Säkerhet och integritet

TimeTracking används av organisationer: arbetsgivare, bemanningsföretag och deras kunder. För de timmar, uppdrag och godkännanden din organisation lagrar i TimeTracking är din organisation personuppgiftsansvarig och TimeTracking personuppgiftsbiträde. Vi behandlar den datan bara enligt dina dokumenterade instruktioner, och de inställningar du väljer i appen, som om plats är påslaget och hur länge den sparas, räknas som sådana instruktioner.

Vårt personuppgiftsbiträdesavtal (DPA) är en del av villkoren och godkänns tillsammans med dem vid registreringen. Det omfattar sekretess, säkerhetsåtgärder, anmälan av personuppgiftsincidenter, underbiträden, hjälp med registrerades förfrågningar, granskningar och radering när avtalet upphör. För konto-, fakturerings- och webbplatsdata är TimeTracking personuppgiftsansvarig, enligt integritetspolicyn.

• Personuppgiftsbiträdesavtal
• Integritetspolicy
• Användarvillkor

Alla anslutningar, mellan webbläsare, mobilapp, API och databas, använder TLS 1.2 eller högre, med HSTS på timetracking.tech. I vila använder databasen, fillagringen och säkerhetskopiorna AES-256-diskkryptering med nycklar som hanteras av leverantören.

Magiska länkar för godkännanden är slumpmässiga 256-bitars tokens. Vi sparar bara en hash av varje token, länkarna löper ut efter 14 dagar, kan återkallas och kan bara användas en gång för godkännande.

Varje ändring av tidrapporter, uppdrag, perioder, godkännanden, exporter och konflikter sparas i en ändringslogg där poster bara läggs till: vem som ändrade vad, när, från vilken källa, med gammalt och nytt värde. Ändringsloggen kan inte redigeras eller raderas. Låsta perioder kan inte ändras, bara rättas med en ny referensrad, och exporter har en innehållshash så att de kan återskapas.

När en kund godkänner timmar öppnar hen en säker magisk länk och signerar med en engångskod som skickas till e-posten. Godkännandet sparar undertecknarens namn, roll, beslut, tid, IP-adress och webbläsare. Det är en enkel elektronisk underskrift enligt eIDAS-förordningen, och det ger båda parter ett tydligt underlag för vem som godkände vilka timmar.

• Kundgodkännande

TimeTracking använder AI (Anthropic Claude) för funktioner som att läsa tidrapporter som kunder mejlar, flagga avvikelser som omöjliga timmar eller dubbletter och kategorisera registreringar. AI-resultat är alltid ett förslag. Utläsningar med låg säkerhet går till granskning av en människa, och AI:n kan inte godkänna, skicka eller radera något. Godkännanden, exporter och lönebeslut fattas av människor.

Inkommande e-post behandlas som data: modellen kan bara fylla i ett fast utläsningsschema och kan inte utlösa åtgärder. Kunddata används inte för att träna AI-modeller. Att köra modellen via AWS Bedrock inom EU (Frankfurt) är planerat; tills det är live visar listan över underbiträden den aktuella statusen. Du kan stänga av AI-funktionerna för din organisation.

• AI-tolkning av tidrapporter

Om du tror att du har hittat en säkerhetssårbarhet, rapportera den till vår säkerhetsadress. Ta med en beskrivning av problemet, den berörda URL:en eller komponenten, steg för att återskapa det, den förväntade påverkan och hur vi kan nå dig. Skärmdumpar eller ett kort konceptbevis hjälper.

Vi ber om samordnat avslöjande: ge oss rimlig tid att undersöka och åtgärda problemet innan du delar det offentligt. Kom inte åt, ändra eller radera data som inte är din, försämra inte tjänsten för andra och sluta testa när du har visat problemet.

• Kontakt