Securitate și confidențialitate

TimeTracking este folosit de organizații: angajatori, agenții de muncă temporară și clienții acestora. Pentru orele, misiunile și aprobările pe care organizația dumneavoastră le stochează în TimeTracking, organizația dumneavoastră este operatorul, iar TimeTracking este persoana împuternicită. Prelucrăm aceste date doar pe baza instrucțiunilor dumneavoastră documentate, iar setările pe care le alegeți în aplicație, de exemplu dacă locația este activată și cât timp este păstrată, sunt considerate astfel de instrucțiuni.

Acordul nostru de prelucrare a datelor (DPA) face parte din condiții și este acceptat odată cu acestea la înregistrare. Acesta acoperă confidențialitatea, măsurile de securitate, notificarea încălcărilor, subprocesatorii, asistența la solicitările persoanelor vizate, auditurile și ștergerea la încetarea contractului. Pentru datele de cont, de facturare și de pe site, TimeTracking este operator, așa cum este descris în politica de confidențialitate.

• Acord de prelucrare a datelor
• Politica de confidențialitate
• Termeni și condiții

Toate conexiunile, între browser, aplicația mobilă, API și baza de date, folosesc TLS 1.2 sau o versiune superioară, cu HSTS pe timetracking.tech. În repaus, baza de date, stocarea fișierelor și copiile de rezervă folosesc criptare de disc AES-256, cu chei gestionate de furnizor.

Magic linkurile pentru aprobări sunt tokenuri aleatorii de 256 de biți. Stocăm doar un hash al fiecărui token, linkurile expiră după 14 zile, pot fi revocate și pot fi folosite o singură dată pentru aprobare.

Fiecare modificare a foilor de pontaj, misiunilor, perioadelor, aprobărilor, exporturilor și conflictelor este înregistrată într-un jurnal de audit în care se poate doar adăuga: cine a modificat ce, când, din ce sursă, cu valoarea veche și cea nouă. Jurnalul de audit nu poate fi editat sau șters. Perioadele blocate nu pot fi modificate, ci doar corectate printr-o nouă linie de referință, iar exporturile au un hash al conținutului, astfel încât pot fi reproduse.

Când un client aprobă orele, deschide un magic link securizat și semnează cu un cod unic trimis pe e-mail. Aprobarea înregistrează numele semnatarului, funcția, decizia, ora, adresa IP și browserul. Aceasta este o semnătură electronică simplă în sensul Regulamentului eIDAS și oferă ambelor părți o evidență clară a cine a fost de acord cu ce ore.

• Aprobare de către client

TimeTracking folosește AI (Anthropic Claude) pentru funcționalități precum citirea foilor de pontaj trimise de clienți prin e-mail, semnalarea anomaliilor, cum ar fi ore imposibile sau duplicate, și clasificarea înregistrărilor. Rezultatul AI este întotdeauna o sugestie. Extragerile cu încredere scăzută ajung la verificare umană, iar AI-ul nu poate aproba, trimite sau șterge nimic. Aprobările, exporturile și deciziile de salarizare sunt luate de oameni.

E-mailurile primite sunt tratate ca date: modelul poate doar completa o schemă fixă de extragere și nu poate declanșa acțiuni. Datele clienților nu sunt folosite pentru antrenarea modelelor AI. Rularea modelului prin AWS Bedrock în UE (Frankfurt) este planificată; până când va funcționa, lista subprocesatorilor arată statusul actual. Puteți dezactiva funcționalitățile AI pentru organizația dumneavoastră.

• Parser AI pentru foi de pontaj

Dacă credeți că ați găsit o vulnerabilitate de securitate, vă rugăm să o raportați la adresa noastră pentru securitate. Includeți o descriere a problemei, URL-ul sau componenta afectată, pașii de reproducere, impactul estimat și modul în care vă putem contacta. Capturile de ecran sau o scurtă demonstrație (proof of concept) sunt utile.

Solicităm divulgare coordonată: acordați-ne un timp rezonabil pentru a investiga și remedia problema înainte de a o face publică. Vă rugăm să nu accesați, modificați sau ștergeți date care nu vă aparțin, să nu afectați serviciul pentru alții și să opriți testarea odată ce ați demonstrat problema.

• Contact