Mis juhtub teie meeskonna andmetega

Töötajate ja ettevõtte andmeid (tööajaarvestus, graafikud, dokumendid) majutatakse ELis (Hetzner Online GmbH, andmekeskus Falkenstein). Cloudflare edastab veebilehte ja suunab andmeliikluse teenusesse (ühendus dekrüpteeritakse seal ja krüpteeritakse uuesti); e-kirju saadab Resend, maksed käivad Stripe’i kaudu. Kõik volitatud töötlejad ja edastamised kolmandatesse riikidesse on loetletud privaatsuspoliitikas ja andmetöötluslepingus (AVV).

• Teenuse majutuspakkuja on Hetzner Online GmbH, Gunzenhausen (Saksamaa), andmekeskus Falkenstein — nimetatud koos ärinime, asukoha ja andmekeskusega andmetöötluslepingu 2. lisas; seal on ka Cloudflare veebilehe pakkuja ja teenuse ees oleva pöördpuhverserverina (reverse proxy) ning Resend (e-post) ja Expo (tõuketeavitused).
• ISO 27001 sertifikaat ja füüsiline juurdepääsukontroll on selle pakkuja suhtes kehtestatud nõuded.
• Haldusjuurdepääs ainult isiklike kontodega ja SSH-võtmetega; ühiskasutuses kontot pole.

Edastamisel ja salvestatuna. Juurdepääsuandmed on väljaspool lähtekoodi, sisselogimiskoodid ainult soolatud räsina.

• Edastamine ainult TLS 1.2 või uuema kaudu.
• Andmebaas asub LUKS-iga krüpteeritud andmekandjal (dm-crypt, AES-XTS).
• Rakendus krüpteerib dokumendid enne salvestamist AES-256-GCM-iga; võtmed on ainult rakendusserverites.
• pgBackRest krüpteerib andmebaasi varukoopiad AES-256-ga, enne kui need salvestatakse ELis asuvasse objektisalvestusse.

Igal NFC-sildil on NXP NTAG424 DNA kiip. See on seadistatud nii, et iga puudutus loob ühekordse, krüptograafiliselt allkirjastatud koodi, mida NymTime’i server kontrollib; salvestatud koodi ei saa uuesti kasutada. Kiibi võtit ei avaldata ei telefonile ega kasutajatele.

• Iga puudutuse korral loob kiip oma salajasest võtmest, seerianumbrist ja sisemisest loendurist uue kontrollsumma (SUN/CMAC) ja lisab selle aadressile.
• Loendur liigub ainult ülespoole. Pealtkuulatud puudutuse uuesti esitamine lükatakse tagasi, sest selle loenduri väärtus on juba kasutatud.
• Kiibi võtit ei avaldata ei telefonile ega kasutajatele; kontrolli teeb NymTime’i server.
• Menetlus on kavandatud koopiate vältimiseks: NFC-sildi koopial oleks sama aadress, kuid mitte kehtivat võtit — selle kood lükatakse tagasi („bad_cmac“).
• Lisaks allkirjastab telefon iga kande oma võtmepaariga ja iga inimesega on seotud täpselt üks seade.

NymTime ei salvesta koordinaate ega teekondi — ei kohalolekukontrollist ega mujalt.

• Salvestatakse ainult see, kas telefon oli registreerimise hetkel „tsoonis“ või „väljas“, koos ajahetke ja täpsusega meetrites.
• Kontroll toimub ainult registreerimisel vahetuse ajal — taustal asukohta ei määrata, mitte kunagi enne ega pärast.
• Asukohakontroll on vaikimisi välja lülitatud ja selle saab sisse lülitada alles siis, kui ettevõte on oma riigi sammud teinud — olenevalt riigist ja ettevõtte suurusest näiteks töötajate teavitamine, kokkulepe töönõukoguga või konsulteerimine, andmekaitsealane mõjuhinnang ja ooteaeg. Pakume malle; hinnangu konkreetsel juhul annab teie õigusnõustaja.
• Kohaloleku toorsündmused koondatakse kolme kuu pärast.

Kes mida näeb, otsustab teie ettevõte. Tavapärase töö käigus ei näe meie midagi.

• Rollidel ja õigustel põhinev õiguste süsteem: juhid on piiratud oma tegevuskohtadega, palga- ja tööjõukulu andmeid näevad ainult juhtkond ja tema volitatud juhid.
• Back Office’isse sisselogimine e-posti aadressi ja parooliga. Parooli ei salvestata kunagi lihttekstina, vaid scrypt-räsina oma soolaga; pärast 10 ebaõnnestunud katset lukustatakse kasutajakonto ajutiselt ning päringud aadressi ja IP-aadressi kohta on piiratud.
• Valikuliselt kogu ettevõttele: kaheastmeline sisselogimine autentimisrakenduse ajapõhise koodiga (TOTP). SMS-iga sisselogimist pole — juurdepääsuks pole telefoninumbrit vaja.
• Tavapärase töö käigus pole NymTime’il kliendiandmetele juurdepääsu. Toe juurdepääs ainult pärast teiepoolset lubamist, ulatuse ja kestusega ning igal ajal tagasivõetavana.
• Iga turvalisuse seisukohalt oluline toiming on logis: kes, mida, millal, enne ja pärast. Logisse saab ainult lisada — muutmise ja kustutamise takistab andmebaasi reegel.

Tähtajad andmeliigi kaupa, seadistatavad — kuid mitte kunagi alla seadusliku miinimumi.

• Tööaja arvestuse andmed 84 kuud (miinimum 12 kuud § 26 AZG, § 132 BAO järgi), palgadokumendid 84 kuud.
• Kohaloleku toorsündmused 3 kuud, töötajate teated 12 kuud, teavitused 6 kuud.
• Igapäevane käivitus kustutab ja anonüümib automaatselt ning paneb kirja, mida tegi.
• Kustutamine toimub ajatempliga (soft delete); arhiveeritud profiilid anonüümitakse pärast tähtaja lõppu.

Teie ettevõte on vastutav töötleja, NymTime on volitatud töötleja. Selle leping kuulub ostu juurde ja on igal ajal loetav.

• Andmetöötlusleping IKÜM artikli 28 lõike 3 alusel koos andmekategooriate (1. lisa), alamtöötlejate (2. lisa) ning tehniliste ja korralduslike meetmetega (3. lisa).
• Teie riigi sammude mallid (töötajate teavitus, lepingutingimus, kokkulepe töönõukoguga, andmekaitsealane mõjuhinnang) koostab Back Office riigi keeles ja saksa keeles.
• Isikuandmetega seotud rikkumistest teavitame teid 48 tunni jooksul; IKÜM artikli 30 lõike 2 kohane isikuandmete töötlemise toimingute register on olemas.

Lühem nimekiri kui see, mida me teeme — ja vähemalt sama oluline.

• Veebilehel pole küpsiseid, analüütikat ega jälgijaid; Back Office’is ainult tehniliselt vajalikud ja funktsionaalsed küpsised (privaatsuspoliitika, jaotis 4). Fonte pakume ise — ühendust Google Fontsi ega muu fonditeenusega pole.
• Andmeid ei jagata ega müüda, reklaami ega profiilianalüüsi pole.
• Teie andmetega ei treenita tehisintellekti mudeleid.
• Ei koordinaate, liikumisprofiile, helisalvestisi ega fotosid registreerimisel — pilte ainult siis, kui töötajad ise laadivad üles dokumendi, näiteks arstitõendi.
• Haiguse puhul diagnoose ei salvestata — ainult periood ja olek.