会社情報
- Name
- TimeTracking
- KvK
- 84956526
- Address
- 31, 6165 BH Geleen, Netherlands
- プライバシーに関するご請求
- privacy@timetracking.tech
- セキュリティに関する報告（責任ある開示）
- security@timetracking.tech
GDPRと役割
TimeTrackingを利用するのは、雇用主、人材派遣会社、その取引先といった組織です。お客様の組織がTimeTrackingに保存する勤務時間、配属、承認については、お客様の組織が管理者、TimeTrackingが処理者となります。当社はお客様の文書化された指示に基づいてのみそのデータを処理し、位置情報をオンにするかどうか、どれだけの期間保存するかなど、アプリで選択した設定もその指示とみなされます。
データ処理契約（DPA）は利用規約の一部であり、登録時に利用規約とともに同意いただきます。守秘義務、セキュリティ対策、侵害の通知、再委託先、データ主体の請求への対応支援、監査、契約終了時の削除を定めています。アカウント、請求、Webサイトのデータについては、プライバシーポリシーに記載のとおりTimeTrackingが管理者となります。
EUでのホスティングと再委託先
お客様のデータはEUに保存されます。メインのデータベースは、アイルランド（eu-west-1）のAWS上のSupabaseで稼働しています。WebアプリはVercelでホストし、関数は可能な限りEUリージョンで実行します。静的コンテンツはグローバルCDN経由で配信されます。
すべての再委託先について、目的、所在地、移転の仕組み、ステータス（提供中、または予定中で事前通知後にのみ有効化）を公開しています。再委託先の追加や変更の少なくとも30日前にお客様へ通知し、お客様はその期間内に異議を申し立てることができます。広告ネットワーク、データブローカー、スクリーンショットやキー入力の記録ツールは一切使用していません。
暗号化
ブラウザ、モバイルアプリ、API、データベース間のすべての通信はTLS 1.2以上を使用し、timetracking.techではHSTSを有効にしています。保存時には、データベース、ファイルストレージ、バックアップに、プロバイダー管理の鍵によるAES-256のディスク暗号化を適用しています。
承認用のマジックリンクは256ビットのランダムなトークンです。各トークンはハッシュのみを保存し、リンクは14日後に失効し、取り消すことができ、承認には1回しか使用できません。
テナント分離とアクセス制御
すべてのお客様のデータは同じデータベースにありますが、厳格に分離されています。各テナントのテーブルはPostgreSQLの行レベルセキュリティ（RLS）で保護されており、他の組織に属する行はデータベース自体が返しません。これらのポリシーは、自動テストでロールごとに検証しています。
組織内では、ロールによって閲覧できる範囲が制限されます。従業員は自分の配属と勤務時間のみを閲覧でき、取引先の担当者はリンクの範囲内の配属のみを閲覧できます。管理者ロールは二要素認証で保護されています。当社スタッフによる本番データへのアクセスは、指名された担当者に限られ、お客様のご依頼によるサポートまたはインシデント対応の場合のみ行い、すべてのアクセスを記録しています。
監査ログと署名付きの承認
タイムシート、配属、期間、承認、エクスポート、不一致へのすべての変更は、追記専用の監査ログに記録されます。誰が、何を、いつ、どの入力元から変更したかを、変更前後の値とともに記録します。監査ログは編集も削除もできません。ロックされた期間は変更できず、新しい参照行による訂正のみが可能です。エクスポートにはコンテンツハッシュが付与され、再現できます。
取引先が勤務時間を承認する際は、安全なマジックリンクを開き、メールで届くワンタイムコードで署名します。承認には、署名者の氏名、役職、判断、日時、IPアドレス、ブラウザが記録されます。これはeIDAS規則に基づく単純電子署名であり、誰がどの勤務時間に同意したかを双方が明確に記録できます。
スクリーンショットなし、キー入力の記録なし
TimeTrackingは、スクリーンショットの撮影、キー入力の記録、使用しているアプリやWebサイトの監視を行いません。そのような監視は信頼を損ない、GDPRの下で比例性を満たすことはまれだと考えています。
TimeTrackingは現在、位置情報を収集していません。ジオフェンス通知は予定中です。提供開始後も位置情報は任意で、雇用主がオンにする仕組みとなり、アプリが位置を取得するのは出勤打刻時、退勤打刻時、作業現場周辺のジオフェンスへの出入り時のみで、移動の軌跡を継続的に記録することはありません。生の座標データはデフォルトで30日間保存され（0〜90日で設定可能）、その後はジオフェンスの内側か外側かの情報のみが残ります。予定中のプッシュ通知には、勤務時間や氏名は含まれません。
AIによる処理
TimeTrackingは、取引先からメールで届くタイムシートの読み取り、ありえない勤務時間や重複などの異常のフラグ付け、エントリーの分類といった機能にAI（Anthropic Claude）を使用しています。AIの出力は常に提案です。信頼度の低い抽出結果は人による確認に回され、AIが何かを承認、送信、削除することはできません。承認、エクスポート、給与計算に関する判断は人が行います。
受信メールはデータとして扱われます。モデルは固定の抽出スキーマを埋めることしかできず、操作を実行することはできません。お客様のデータがAIモデルの学習に使われることはありません。EU（フランクフルト）のAWS Bedrock経由でのモデル実行を予定しており、提供開始までは再委託先リストに現在のステータスを表示しています。AI機能は組織単位でオフにできます。
バックアップ、インシデント、削除
データベースではポイントインタイムリカバリを有効にしています。開発、ステージング、本番の環境は分離されており、本番データを開発に使用することはありません。個人データの侵害が発生した場合は、影響を受けるお客様が自らの72時間以内の通知義務を果たせるよう、発見から48時間以内を目標に、不当な遅滞なく通知します。
データはいつでもCSVやXLSX、またはAPI経由でエクスポートできます。契約終了後は30日間エクスポートが可能で、その後お客様のデータを本番環境から削除し、バックアップの保持期間が過ぎた時点でバックアップからも削除します。
責任ある開示
セキュリティ上の脆弱性を発見したと思われる場合は、セキュリティ窓口のアドレスまでご報告ください。問題の説明、影響を受けるURLまたはコンポーネント、再現手順、想定される影響、ご連絡先をお書き添えください。スクリーンショットや簡単な概念実証があると助かります。
協調的な開示をお願いしています。公表する前に、問題を調査・修正するための合理的な時間をください。ご自身のものではないデータへのアクセス、変更、削除は行わず、他の利用者へのサービスを低下させず、問題を示せた時点でテストを中止してください。
よくあるご質問
データはどこに保存されますか？
EU内です。メインのデータベースはアイルランドのAWS上のSupabaseで稼働しています。所在地とステータスを含む再委託先の全リストは、再委託先ページに掲載しています。
TimeTrackingはISO 27001やSOC 2の認証を取得していますか？
いいえ。TimeTracking自体はこれらの認証を取得していません。当社のインフラプロバイダーは独自の認証レポートを公開しており、当社が適用しているセキュリティ対策はデータ処理契約の別紙2に記載しています。
データ処理契約はありますか？
はい。DPAは利用規約の一部であり、登録時に利用規約とともに同意いただきます。法務文書は現在最終調整中で、現在の草案をWebサイトでご覧いただけます。
TimeTrackingは従業員の位置情報を常に追跡しますか？
いいえ。TimeTrackingは現在、位置情報を収集していません。予定中のジオフェンス通知は任意で、雇用主が設定し、打刻時と作業現場のジオフェンスへの出入り時にのみ位置を取得します。継続的な追跡、スクリーンショット、キー入力の記録は一切ありません。
当社のデータがAIモデルの学習に使われますか？
いいえ。お客様のデータがAIモデルの学習に使われることはなく、AI機能は組織単位でオフにできます。