Zpracování osobních údajů

1. Smluvní strany a účel smlouvy

1.1. Správcem je zákazník služby Mrkve, který uzavřel smlouvu podle Obchodních podmínek služby Mrkve (dále „správce“).

1.2. Zpracovatelem je i117 MEDIA s.r.o., IČO 09710540, DIČ CZ09710540, se sídlem Michelská 966/74, Michle, 141 00 Praha 4, zapsaná v obchodním rejstříku vedeném Městským soudem v Praze, oddíl C, vložka 339669, kontakt info@mrkve.cz (dále „zpracovatel“).

1.3. Smlouva upravuje zpracování osobních údajů, které zpracovatel provádí pro správce při poskytování služby Mrkve, podle čl. 28 nařízení Evropského parlamentu a Rady (EU) 2016/679 (GDPR) a zákona č. 110/2019 Sb., o zpracování osobních údajů.

1.4. Smlouva vzniká současně se smlouvou o užívání služby (registrací nebo objednávkou) a trvá, dokud zpracovatel zpracovává osobní údaje pro správce.

2. Předmět, povaha a účel zpracování

2.1. Zpracovatel pro správce ukládá, uchovává, zobrazuje, vyhodnocuje, rozesílá a maže osobní údaje v rozsahu, který vyplývá z funkcí služby a z nastavení, které zvolí správce.

2.2. Účelem zpracování je poskytování služby Mrkve: evidence docházky, plánování směn, vyřizování žádostí a nepřítomností, vnitrofiremní komunikace, sdílení dokumentů, výpočet podkladů k výplatám, statistiky a související správa uživatelů.

2.3. Zpracování trvá po dobu trvání smlouvy o užívání služby a do výmazu nebo vrácení údajů podle článku 11.

3. Kategorie subjektů údajů

3.1. Zaměstnanci správce.

3.2. Externisté a další spolupracující osoby, kterým správce zřídí přístup (například brigádníci, dodavatelé, externí účetní).

3.3. Další osoby, jejichž údaje do služby vloží správce nebo uživatelé, například kontaktní osoby u projektů nebo osoby uvedené ve zprávách a dokumentech.

4. Kategorie osobních údajů

4.1. Identifikační a kontaktní údaje: jméno a příjmení, e-mail, telefon, den a měsíc narozenin (bez roku, zveřejnění kolegům volí uživatel), pozice, tým, role ve firmě, domovská provozovna, profilová fotka, stavová zpráva.

4.2. Údaje o docházce: čas a druh pípnutí (příchod, odchod, účel odchodu), pracoviště, způsob pípnutí, označení zařízení, ruční pípnutí a jejich důvody, žádosti o opravu a rozhodnutí o nich, výjimky z pravidel, vyhodnocení pravidel docházky, uzávěrky měsíců, odznaky a body žebříčku.

4.3. Údaje o poloze: při pípnutí QR kódem mobilní aplikace jednorázově zjistí polohu telefonu. Služba z ní vypočítá vzdálenost od pracoviště a uloží vzdálenost a přesnost měření. Zeměpisné souřadnice ukládá jen tehdy, když to správce v nastavení firmy zapne. Mimo okamžik pípnutí aplikace polohu nesleduje. U pípnutí podle sítě pracoviště (článek 4.9) se poloha nezaznamenává.

4.4. Údaje o směnách a projektech: plán směn, přiřazení a zabrání volných směn, příslušnost k projektům.

4.5. Údaje o nepřítomnostech: typ nepřítomnosti (například dovolená, nemoc, lékař, omluva, práce z domova), termín a rozsah, poznámka, příloha (například potvrzení o pracovní neschopnosti nebo od lékaře), rozhodnutí o žádosti a nárok na dovolenou.

4.6. Komunikace a obsah: zprávy a fotky v chatu, oznámení na nástěnce, komentáře, reakce a hlasy v anketách, pochvaly, nápady (u anonymního nápadu vidí jméno autora jen vedení), akce a přihlášky na ně, rezervace zasedaček, dokumenty a potvrzení jejich přečtení.

4.7. Údaje modulu Výplaty (jen když ho správce zapne): sazby, odpracované hodiny, příplatky, zálohy, prémie, srážky, výplaty a jejich platby, číslo bankovního účtu se záznamem o souhlasu a záznam změn.

4.8. Technické údaje: přihlašovací relace (označení zařízení, čas vytvoření a poslední aktivity), jednorázové přihlašovací kódy v zašifrované podobě (hash), tokeny pro doručení upozornění do telefonu, nastavení upozornění, záznamy o upozorněních, záznam o aktivitě uživatele v měsíci pro vyúčtování, záznamy serveru (IP adresa, čas a adresa požadavku).

4.9. Údaje o síti pracoviště (jen když správce u pracoviště zapne pípnutí podle sítě pracoviště, ve výchozím stavu je funkce vypnutá): při pípnutí služba porovná veřejnou IP adresu, ze které přichází požadavek z telefonu, se sítěmi pracoviště. U pracoviště ukládá veřejnou IP adresu obrazovky na recepci (u IPv6 jen síť /64) a k ní údaj, kdo obrazovku spároval, kdy a v jaké vzdálenosti od pracoviště. Při spárování obrazovky aplikace jednorázově zjistí polohu telefonu vedoucího. Uloží jen vzdálenost od pracoviště, souřadnice ne. Síť, kterou služba zjistí z obrazovky, přestane pro pípnutí platit 24 hodin poté, co ji obrazovka naposledy ohlásila. Záznam o ní zůstává, dokud ho správce nesmaže nebo dokud se obrazovka neodpojí. Odpojením obrazovky se smažou sítě, které tato obrazovka uložila. Pevnou IP adresu, kterou správce zadá ručně, služba používá, dokud ji nesmaže.

5. Zvláštní kategorie osobních údajů

5.1. Typy nepřítomnosti „Nemoc, neschopenka“ a „Lékař“ a přílohy k nim mohou obsahovat údaje o zdravotním stavu podle čl. 9 GDPR. Správce odpovídá za to, že pro jejich zpracování má právní důvod.

5.2. Výchozí typy „Nemoc, neschopenka“ a „Lékař“ jsou nastavené jako soukromé. Kolegové, nástěnka i obrazovka na recepci u nich vidí jen „nepřítomnost“. Přílohu k žádosti vidí jen žadatel a ten, kdo o žádosti rozhoduje.

5.3. Zpracovatel správci doporučuje:

• nechat zdravotní typy nepřítomnosti soukromé a každý vlastní typ, ze kterého by šlo usuzovat na zdravotní stav, nastavit také jako soukromý,
• nevyžadovat v poznámkách k nepřítomnosti diagnózu ani jiné podrobnosti o zdraví,
• přílohy nahrávat jen tehdy, když je správce skutečně potřebuje,
• obrazovku na recepci umístit tak, aby ji neviděly nepovolané osoby, pokud na ní ukazuje přítomnost lidí.

5.4. Jiné zvláštní kategorie osobních údajů služba ke zpracování nevyžaduje. Správce zajistí, aby je do služby nevkládal on ani uživatelé.

6. Povinnosti zpracovatele

6.1. Zpracovatel:

• zpracovává osobní údaje jen na základě doložených pokynů správce. Pokyny jsou tato smlouva, Obchodní podmínky a nastavení a úkony, které správce a jeho uživatelé provedou ve službě. Pokud zpracovateli ukládá zpracování zákon, informuje o tom správce předem, pokud to zákon nezakazuje,
• upozorní správce, pokud má za to, že pokyn porušuje GDPR nebo jiný předpis,
• zajistí, aby osoby oprávněné zpracovávat osobní údaje byly zavázané k mlčenlivosti,
• přijme technická a organizační opatření podle článku 7,
• dodržuje podmínky pro zapojení dalších zpracovatelů podle článku 8,
• pomáhá správci vyřizovat žádosti subjektů údajů podle článku 10,
• pomáhá správci plnit povinnosti podle čl. 32 až 36 GDPR s ohledem na povahu zpracování a informace, které má k dispozici,
• po skončení smlouvy údaje vymaže nebo vrátí podle článku 11,
• poskytne správci informace potřebné k doložení plnění povinností podle čl. 28 GDPR a umožní audit podle článku 12.

6.2. Zpracovatel nepoužívá osobní údaje uživatelů pro vlastní účely. Výjimkou je počet aktivních uživatelů v měsíci, který zpracovatel potřebuje k vyúčtování služby, a technické záznamy potřebné pro bezpečný provoz služby.

7. Technická a organizační opatření

7.1. Zpracovatel přijal tato opatření:

• Oddělení dat zákazníků: každá firemní tabulka v databázi nese identifikátor firmy. Přístup k řádkům hlídá databáze pravidly Row Level Security. Aplikace se k databázi připojuje rolí, která není vlastníkem tabulek, takže pravidla platí pro každý dotaz.
• Šifrovaný přenos: komunikace s administrací, aplikací a rozhraním API probíhá přes HTTPS s certifikáty, které server obnovuje automaticky.
• Přihlášení bez hesla: uživatel se přihlašuje jednorázovým kódem z e-mailu. Kód platí 10 minut, je uložený jen jako hash, po 5 chybných pokusech se zablokuje a na jeden e-mail jde poslat nejvýš 5 kódů za hodinu.
• Relace: přístupový token platí 15 minut. Obnovovací token se při každém použití vymění, v databázi je uložený jen jako hash a relace po 90 dnech nečinnosti vyprší. Uživatel se může odhlásit a relaci tím zrušit.
• Oprávnění podle rolí: role vlastník, správce, schvalovatel, zaměstnanec a externista mají odstupňovaný přístup. Externista vidí jen svůj tým a projekty, ke kterým patří.
• Čísla účtů v modulu Výplaty: služba je ukládá šifrovaná algoritmem AES-256-GCM. Klíč není uložený v databázi. Čísla účtů v aplikaci vidí jen vlastník a lidé, které správce označí jako účetní. Číslo se ukládá jen se souhlasem zaměstnance, který může souhlas kdykoli odvolat smazáním čísla. Změny se zapisují do záznamu změn.
• Neměnnost docházky: pípnutí nejde smazat ani přepsat. Oprava vzniká jako nový záznam se schválením a původní záznam zůstává. Uzavřený měsíc je zamčený v databázi.
• Minimalizace polohy a síťových údajů: viz články 4.3 a 4.9.
• Soubory: fotky, přílohy a dokumenty jsou uložené v databázi pod stejným oddělením dat firem jako ostatní údaje. Profilové fotky služba zmenšuje na 512 × 512 bodů.
• Zálohy: databáze se zálohuje každý den, zálohy se uchovávají 14 dní a pak se samy mažou.
• Umístění: server služby provozuje zpracovatel na virtuálním serveru u společnosti Active24 v České republice.
• Přístup k serveru mají jen pověřené osoby zpracovatele přes zabezpečené připojení. Přístupy jsou osobní a zpracovatel je odebírá, jakmile je člověk nepotřebuje k práci. Přehled osob s přístupem k serveru a datům a způsob jejich ochrany zpracovatel na žádost doloží správci.

7.2. Zpracovatel opatření pravidelně přezkoumává a podle vývoje techniky upravuje. Úroveň ochrany přitom nesníží.

7.3. Za nastavení služby ve firmě odpovídá správce, zejména za to, komu přidělí role, zda zapne ukládání souřadnic, u kterých pracovišť zapne pípnutí podle sítě pracoviště, které typy nepřítomnosti budou soukromé, kdo bude účetní a kde umístí obrazovku na recepci.

8. Další zpracovatelé

8.1. Správce uděluje zpracovateli obecné povolení zapojit další zpracovatele. Ke dni účinnosti smlouvy to jsou:

8.2. Webová administrace načítá písma ze služby Google Fonts. Prohlížeč uživatele přitom předá společnosti Google svou IP adresu.

8.3. Obrazovka na recepci načítá předpověď počasí ze služby Open-Meteo podle polohy pracoviště a může přehrávat video z YouTube, pokud ho správce nastaví. Tyto služby nedostávají osobní údaje uživatelů. Zjistí jen IP adresu zařízení, na kterém obrazovka běží, a YouTube může na tomto zařízení ukládat vlastní cookies.

8.4. O zamýšlené změně dalších zpracovatelů informuje zpracovatel správce e-mailem s přiměřeným předstihem. Správce může proti změně vznést námitku. Pokud se strany nedohodnou, může správce smlouvu o užívání služby vypovědět ke dni, kdy změna nastane.

8.5. Zpracovatel uloží dalším zpracovatelům stejné povinnosti ochrany osobních údajů, jaké má sám podle této smlouvy. Za jejich plnění odpovídá správci jako za vlastní.

9. Předávání do třetích zemí

9.1. Do zemí mimo Evropský hospodářský prostor předává zpracovatel osobní údaje jen v rozsahu článku 8, tedy při doručování upozornění do telefonů.

9.2. Předání probíhá na základě rozhodnutí Evropské komise o odpovídající ochraně (EU-US Data Privacy Framework) u příjemců, kteří jsou certifikovaní, jinak na základě standardních smluvních doložek podle čl. 46 GDPR. Společnost 650 Industries, Inc. (Expo) uvádí, že je certifikovaná v EU-US Data Privacy Framework.

9.3. Zpracovatel omezuje obsah upozornění, která odcházejí do telefonů, na krátký text. Uživatel si může druhy upozornění vypnout v nastavení aplikace.

10. Součinnost a porušení zabezpečení

10.1. Subjekty údajů uplatňují svá práva u správce. Pokud žádost dostane zpracovatel, předá ji bez zbytečného odkladu správci a sám ji nevyřizuje. Správce může řadu žádostí vyřídit přímo ve službě (úprava profilu, výpis docházky, exporty). Zpracovatel správci pomůže s žádostmi, které ve službě vyřídit nejdou.

10.2. Zpracovatel oznámí správci porušení zabezpečení osobních údajů bez zbytečného odkladu poté, co se o něm dozví. Oznámení pošle e-mailem na adresu vlastníka účtu správce. Uvede v něm, co je známo o povaze porušení, kategoriích a přibližném počtu dotčených osob a záznamů, pravděpodobných důsledcích a přijatých nebo navržených opatřeních. Informace, které ještě nemá, doplní postupně.

10.3. Ohlášení dozorovému úřadu a oznámení subjektům údajů provádí správce. Zpracovatel mu k tomu poskytne potřebné informace.

10.4. Zpracovatel poskytne správci informace potřebné pro posouzení vlivu na ochranu osobních údajů, pokud ho správce provádí.

11. Výmaz a vrácení údajů po skončení smlouvy

11.1. Před ukončením smlouvy si správce může stáhnout exporty, které služba nabízí, a požádat o vrácení dalších údajů podle čl. 12 Obchodních podmínek.

11.2. Po skončení smlouvy o užívání služby zpracovatel osobní údaje správce vymaže do 90 dní. Ze záloh údaje zmizí nejpozději 14 dní po výmazu.

11.3. Zpracovatel si ponechá údaje jen tehdy, když mu jejich uchování ukládá zákon.

12. Audit a kontrola

12.1. Zpracovatel na žádost správce doloží plnění povinností podle této smlouvy, zejména popisem technických a organizačních opatření.

12.2. Správce nebo jím pověřený auditor vázaný mlčenlivostí může provést audit. Termín a rozsah oznámí zpracovateli s přiměřeným předstihem. Audit nesmí ohrozit data jiných zákazníků ani provoz služby. Náklady auditu nese správce.

13. Odpovědnost a závěrečná ustanovení

13.1. Odpovědnost stran za škodu se řídí čl. 82 GDPR a Obchodními podmínkami služby Mrkve.

13.2. Smlouva se řídí právem České republiky. Ve věcech, které smlouva neupravuje, platí Obchodní podmínky služby Mrkve. Při rozporu má v otázkách ochrany osobních údajů přednost tato smlouva.

13.3. Zpracovatel může smlouvu měnit stejným postupem jako Obchodní podmínky. Změny, které vyžaduje zákon nebo rozhodnutí dozorového úřadu, může provést s účinností ode dne, kdy je zákon nebo rozhodnutí vyžaduje.