Tietoturva ja yksityisyys
Työajanseurannan tiedot kertovat ihmisistä paljon: missä he työskentelevät, milloin ja kenelle. Tällä sivulla kerrotaan, miten TimeTracking suojaa ne, mitä emme kerää ja mistä löydät lisätiedot. Juridisia asiakirjojamme viimeistellään; tämä sivu tiivistää niiden sitoumukset.
Yrityksen tiedot
- Name
- TimeTracking
- KvK
- 84956526
- Address
- 31, 6165 BH Geleen, Netherlands
- Tietosuojapyynnöt
- privacy@timetracking.tech
- Tietoturvailmoitukset (vastuullinen ilmoittaminen)
- security@timetracking.tech
GDPR ja roolit
TimeTrackingia käyttävät organisaatiot: työnantajat, henkilöstöpalveluyritykset ja niiden asiakkaat. Organisaatiosi TimeTrackingiin tallentamien tuntien, toimeksiantojen ja hyväksyntöjen osalta organisaatiosi on rekisterinpitäjä ja TimeTracking henkilötietojen käsittelijä. Käsittelemme näitä tietoja vain dokumentoitujen ohjeidesi mukaisesti, ja sovelluksessa valitsemasi asetukset, kuten onko sijainti käytössä ja kuinka kauan sitä säilytetään, katsotaan tällaisiksi ohjeiksi.
Tietojenkäsittelysopimuksemme (DPA) on osa käyttöehtoja, ja se hyväksytään niiden kanssa rekisteröitymisen yhteydessä. Se kattaa luottamuksellisuuden, turvatoimet, tietoturvaloukkauksista ilmoittamisen, alihankkijat, avun rekisteröityjen pyyntöihin, auditoinnit ja tietojen poistamisen sopimuksen päättyessä. Tili-, laskutus- ja verkkosivustotietojen osalta TimeTracking on rekisterinpitäjä tietosuojaselosteen mukaisesti.
Palvelimet EU:ssa ja alihankkijat
Asiakasdata säilytetään EU:ssa. Ensisijainen tietokanta toimii Supabasessa AWS:n Irlannin alueella (eu-west-1). Web-sovellus toimii Vercelissä, funktiot EU-alueella aina kun mahdollista; staattinen sisältö tarjoillaan maailmanlaajuisen CDN:n kautta.
Julkaisemme jokaisen alihankkijan käyttötarkoituksineen, sijainteineen, siirtomekanismeineen ja tiloineen: käytössä tai suunniteltu ja otetaan käyttöön vasta ilmoituksen jälkeen. Ilmoitamme asiakkaille vähintään 30 päivää ennen alihankkijan lisäämistä tai vaihtamista, ja asiakkaat voivat vastustaa muutosta tämän ajan kuluessa. Emme käytä mainosverkostoja, tietojen välittäjiä emmekä kuvakaappaus- tai näppäilytyökaluja.
Salaus
Kaikki yhteydet selaimen, mobiilisovelluksen, API:n ja tietokannan välillä käyttävät TLS 1.2:ta tai uudempaa, ja timetracking.tech käyttää HSTS:ää. Levossa tietokanta, tiedostotallennus ja varmuuskopiot käyttävät AES-256-levysalausta palveluntarjoajan hallinnoimilla avaimilla.
Hyväksyntöjen kirjautumislinkit ovat 256-bittisiä satunnaisia tunnisteita. Tallennamme jokaisesta tunnisteesta vain tiivisteen, linkit vanhenevat 14 päivän jälkeen, ne voi peruuttaa, ja ne ovat hyväksynnässä kertakäyttöisiä.
Asiakkaiden eristäminen ja pääsynhallinta
Jokaisen asiakkaan data on samassa tietokannassa, mutta tiukasti erotettuna. Jokainen asiakastaulu on suojattu PostgreSQL:n rivitason suojauksella (RLS), joten tietokanta itse kieltäytyy palauttamasta rivejä, jotka kuuluvat toiselle organisaatiolle. Käytännöt testataan rooleittain automaattisissa testeissä.
Organisaation sisällä roolit rajaavat, mitä ihmiset näkevät. Työntekijät voivat lukea vain omat toimeksiantonsa ja tuntinsa, ja asiakkaan yhteyshenkilö näkee vain linkkinsä piiriin kuuluvat toimeksiannot. Kaksivaiheinen tunnistautuminen suojaa ylläpitäjärooleja. Oman henkilöstömme pääsy tuotantodataan on rajattu nimetyille henkilöille, vain pyynnöstäsi tehtävään tukeen tai poikkeamien käsittelyyn, ja jokainen pääsy kirjataan lokiin.
Tapahtumaloki ja allekirjoitetut hyväksynnät
Jokainen muutos tuntilistoihin, toimeksiantoihin, jaksoihin, hyväksyntöihin, vienteihin ja ristiriitoihin kirjataan vain lisäyksiä sallivaan tapahtumalokiin: kuka muutti mitä, milloin, mistä lähteestä, vanhoine ja uusine arvoineen. Tapahtumalokia ei voi muokata eikä poistaa. Lukittuja jaksoja ei voi muuttaa, vain korjata uudella viiterivillä, ja vienneissä on sisältötiiviste, jotta ne voidaan tuottaa uudelleen.
Kun asiakas hyväksyy tunnit, hän avaa turvallisen kirjautumislinkin ja allekirjoittaa sähköpostiinsa lähetetyllä kertakäyttökoodilla. Hyväksyntään tallentuvat allekirjoittajan nimi, rooli, päätös, aika, IP-osoite ja selain. Kyseessä on eIDAS-asetuksen mukainen sähköinen allekirjoitus, ja se antaa molemmille osapuolille selkeän tallenteen siitä, kuka hyväksyi mitkäkin tunnit.
Ei kuvakaappauksia, ei näppäilyjä
TimeTracking ei ota kuvakaappauksia, tallenna näppäilyjä eikä valvo, mitä sovelluksia ja verkkosivustoja ihmiset käyttävät. Mielestämme tällainen valvonta vahingoittaa luottamusta ja on GDPR:n kannalta harvoin oikeasuhteista.
TimeTracking ei kerää sijaintia nyt. Geoaitamuistutukset ovat suunnitteilla: kun ne tulevat, sijainti on valinnainen ja työnantajan käyttöön ottama, ja sovellus tallentaa sijainnin vain sisään- ja ulosleimauksessa sekä työmaan geoaitaan saavuttaessa tai sieltä poistuttaessa, ei koskaan jatkuvana reittinä. Raakakoordinaatteja säilytetään oletuksena 30 päivää (säädettävissä 0–90), minkä jälkeen säilytetään vain tieto geoaidan sisä- tai ulkopuolella olemisesta. Suunnitellut push-ilmoitukset eivät sisällä tunteja eikä nimiä.
Tekoälyn käsittely
TimeTracking käyttää tekoälyä (Anthropic Claude) esimerkiksi asiakkaiden sähköpostitse lähettämien tuntilistojen lukemiseen, poikkeamien, kuten mahdottomien tuntien tai kaksoiskappaleiden, merkitsemiseen ja kirjausten luokitteluun. Tekoälyn tuotos on aina ehdotus. Matalan varmuuden poiminnat menevät ihmisen tarkistettaviksi, eikä tekoäly voi hyväksyä, lähettää tai poistaa mitään. Hyväksynnät, viennit ja palkanlaskennan päätökset tekevät ihmiset.
Saapuvaa sähköpostia käsitellään datana: malli voi vain täyttää kiinteän poimintarakenteen eikä voi käynnistää toimintoja. Asiakasdataa ei käytetä tekoälymallien kouluttamiseen. Mallin ajaminen AWS Bedrockin kautta EU:ssa (Frankfurt) on suunnitteilla; kunnes se on käytössä, alihankkijaluettelo näyttää nykyisen tilan. Voit kytkeä tekoälyominaisuudet pois organisaatiossasi.
Varmuuskopiot, poikkeamat ja poistaminen
Tietokannassa on käytössä tiettyyn ajanhetkeen palauttaminen. Kehitys-, testaus- ja tuotantoympäristöt ovat erillisiä, eikä tuotantodataa käytetä kehitykseen. Jos henkilötietojen tietoturvaloukkaus tapahtuu, ilmoitamme asianomaisille asiakkaille ilman aiheetonta viivytystä, tavoitteena 48 tuntia havaitsemisesta, jotta he voivat täyttää oman 72 tunnin velvollisuutensa.
Voit viedä datasi milloin tahansa CSV- tai XLSX-muodossa tai API:n kautta. Sopimuksen päätyttyä sinulla on 30 päivää aikaa viedä tiedot, minkä jälkeen poistamme asiakasdatan tuotannosta ja varmuuskopioikkunan umpeuduttua myös varmuuskopioista.
Vastuullinen ilmoittaminen
Jos uskot löytäneesi tietoturvahaavoittuvuuden, ilmoita siitä tietoturvaosoitteeseemme. Liitä mukaan kuvaus ongelmasta, kyseinen URL tai komponentti, toistamisen vaiheet, odotettu vaikutus ja tapa tavoittaa sinut. Kuvakaappaukset tai lyhyt konseptitodiste auttavat.
Pyydämme koordinoitua julkistamista: anna meille kohtuullisesti aikaa selvittää ja korjata ongelma ennen kuin jaat sen julkisesti. Älä käytä, muuta tai poista tietoja, jotka eivät ole sinun, älä heikennä palvelua muilta ja lopeta testaus, kun olet osoittanut ongelman.
Usein kysytyt kysymykset
Missä datani säilytetään?
EU:ssa. Ensisijainen tietokanta toimii Supabasessa AWS:n Irlannin alueella. Täydellinen alihankkijaluettelo sijainteineen ja tiloineen on alihankkijasivullamme.
Onko TimeTrackingilla ISO 27001- tai SOC 2 -sertifiointi?
Ei, TimeTrackingilla itsellään ei ole näitä sertifiointeja. Infrastruktuuripalveluntarjoajamme julkaisevat omat sertifiointiraporttinsa, ja soveltamamme turvatoimet on kuvattu tietojenkäsittelysopimuksemme liitteessä 2.
Tarjoatteko tietojenkäsittelysopimuksen?
Kyllä. DPA on osa käyttöehtojamme, ja se hyväksytään niiden kanssa rekisteröitymisen yhteydessä. Juridisia asiakirjojamme viimeistellään; nykyinen luonnos on saatavilla verkkosivustolla.
Seuraako TimeTracking työntekijöiden sijaintia koko ajan?
Ei. TimeTracking ei kerää sijaintia nyt. Suunnitellut geoaitamuistutukset ovat valinnaisia, työnantajan asettamia, ja ne tallentavat sijainnin vain leimaustapahtumissa sekä työmaan geoaitaan saavuttaessa tai sieltä poistuttaessa. Jatkuvaa seurantaa, kuvakaappauksia tai näppäilyjen tallennusta ei ole.
Käytetäänkö dataamme tekoälymallien kouluttamiseen?
Ei. Asiakasdataa ei käytetä tekoälymallien kouluttamiseen, ja tekoälyominaisuudet voi kytkeä pois organisaatiossasi.
Kokeile TimeTrackingia ilmaiseksi
Ilmainen enintään 5 käyttäjälle. Core alkaen €1 käyttäjältä kuukaudessa, kaikki sisältyy.