Що відбувається з даними Вашої команди

Дані працівників і підприємства (облік часу, графіки змін, документи) розміщені в ЄС (Hetzner Online GmbH, центр обробки даних Falkenstein). Cloudflare віддає вебсайт і пересилає трафік до сервісу (з’єднання там розшифровується й знову шифрується); листи надсилає Resend, платежі проходять через Stripe. Усі обробники та передачі до третіх країн наведено в політиці конфіденційності та договорі про обробку даних.

• Хостинг-провайдер сервісу — Hetzner Online GmbH, Gunzenhausen (DE), центр обробки даних Falkenstein — зазначений з назвою компанії, місцезнаходженням і розташуванням у Додатку 2 договору про обробку даних; Cloudflare зазначено там як провайдера вебсайту та зворотного проксі перед сервісом, разом із Resend (електронна пошта) та Expo (push-сповіщення).
• Сертифікація за ISO 27001 і фізичний контроль доступу є вимогами до цього провайдера.
• Адміністративний доступ лише через персональні облікові записи з SSH-ключами; спільних облікових записів немає.

Під час передавання і в стані спокою. Облікові дані лежать поза вихідним кодом, коди входу — лише як хеш із сіллю.

• Передавання виключно через TLS 1.2 або вище.
• База даних лежить на носії, зашифрованому LUKS (dm-crypt, AES-XTS).
• Документи застосунок шифрує за допомогою AES-256-GCM перед збереженням; ключі зберігаються лише на серверах застосунку.
• Резервні копії бази даних pgBackRest шифрує за допомогою AES-256, перш ніж їх буде збережено в об’єктному сховищі в ЄС.

Кожна NFC-мітка містить чип NXP NTAG424 DNA. Він налаштований так, що кожен дотик створює одноразовий криптографічно підписаний код, який перевіряє сервер NymTime; записаний код не можна використати повторно. Ключ чипа не розкривається ні телефону, ні користувачам.

• За кожного дотику чип утворює з таємного ключа, серійного номера і внутрішнього лічильника нову контрольну суму (SUN/CMAC) і додає її до адреси.
• Лічильник рухається лише вгору. Повторне відтворення перехопленого дотику відхиляється, бо його значення лічильника вже використане.
• Ключ чипа не розкривається ні телефону, ні користувачам; перевірку виконує сервер NymTime.
• Схема розроблена так, щоб запобігати копіям: копія NFC-мітки мала б ту саму адресу, але не мала б чинного ключа — її код буде відхилено («bad_cmac»).
• Додатково телефон підписує кожну відмітку власною парою ключів, і на людину прив’язано рівно один пристрій.

NymTime не зберігає ані координат, ані маршрутів — ні з перевірки присутності, ні деінде.

• Зберігається лише те, чи був телефон у момент відмітки «у зоні» чи «поза зоною», з часом і точністю в метрах.
• Перевірка виконується лише під час відмітки протягом зміни — жодного відстеження у фоновому режимі, ніколи до чи після.
• Перевірка локації за замовчуванням вимкнена, і її можна ввімкнути лише після того, як підприємство виконало кроки своєї країни — залежно від країни та розміру підприємства, наприклад, інформування працівників, угоду з радою працівників або консультацію з нею, оцінку впливу на захист даних і строк очікування. Ми надаємо шаблони; оцінку в конкретному випадку робить Ваш юридичний радник.
• Первинні події присутності ущільнюються через три місяці.

Хто що бачить, вирішує Ваше підприємство. У звичайній роботі ми не бачимо нічого.

• Права за ролями: менеджери обмежені своїми локаціями, дані про зарплату та витрати на персонал бачать лише керівництво та уповноважені ним менеджери.
• Вхід у Back Office за адресою електронної пошти та паролем. Пароль ніколи не зберігається у відкритому вигляді, а лише як scrypt-хеш із власною сіллю; після 10 невдалих спроб доступ тимчасово блокується, кількість запитів обмежена за адресою та IP.
• Необов’язково для всього підприємства: двофакторний вхід із часовим кодом із застосунку-автентифікатора (TOTP). Входу через SMS немає — номер телефону для доступу не потрібен.
• У звичайній роботі NymTime не має доступу до даних клієнтів. Доступ підтримки — лише після Вашого дозволу, з обсягом, тривалістю та відкликанням у будь-який момент.
• Кожна дія, важлива для безпеки, стоїть у протоколі: хто, що, коли, до і після. Протокол можна лише доповнювати — зміну та видалення блокує правило бази даних.

Строки за видом даних, з можливістю налаштування — але ніколи нижче законного мінімуму.

• Записи робочого часу 84 місяці (мінімум 12 місяців за § 26 AZG, § 132 BAO), документи із зарплати 84 місяці.
• Первинні події присутності 3 місяці, повідомлення працівників 12 місяців, сповіщення 6 місяців.
• Щоденний запуск автоматично видаляє та знеособлює і записує, що саме зробив.
• Видалення відбувається з позначкою часу (м’яке видалення); заархівовані профілі знеособлюються після спливу строку.

Ваше підприємство є контролером, NymTime — обробником. Договір входить до покупки і доступний для читання будь-коли.

• Договір про обробку даних за ст. 28 абз. 3 GDPR із категоріями даних (Додаток 1), субобробниками (Додаток 2) і технічно-організаційними заходами (Додаток 3).
• Шаблони для кроків Вашої країни (інформування працівників, пункт договору, угода з радою працівників, оцінка впливу на захист даних) Back Office створює мовою країни та німецькою.
• Повідомлення про порушення захисту даних Вам протягом 48 годин; реєстр операцій обробки за ст. 30 абз. 2 GDPR ведеться.

Коротший список, ніж перелік того, що ми робимо — і щонайменше так само важливий.

• Без cookie на сайті, без аналітики, без трекерів; у Back Office — лише технічно необхідні та функціональні cookie (політика конфіденційності, розділ 4). Шрифти ми віддаємо самі — без з’єднання з Google Fonts чи іншим сервісом шрифтів.
• Без передавання чи продажу даних, без реклами, без профілювання.
• Без навчання моделей штучного інтелекту на Ваших даних.
• Без координат, без профілів пересування, без аудіозаписів, без фото під час відмітки — зображення лише тоді, коли працівник сам завантажує документ, наприклад лікарняну довідку.
• Без діагнозів у лікарняному — лише період і статус.