1. Kto spracúva údaje
Službu Taktovka (ďalej „služba“) prevádzkuje [DOPLNIŤ: obchodné meno alebo meno a priezvisko], so sídlom [DOPLNIŤ: adresa sídla / miesto podnikania], IČO [DOPLNIŤ: IČO], zapísaný v [DOPLNIŤ: Obchodný register OS … , oddiel Sro, vložka č. … / Živnostenský register] (ďalej „my“ alebo „prevádzkovateľ služby“).
V otázkach osobných údajov nás kontaktujte na hello@taktovka.com alebo poštou na adrese sídla. Zodpovednú osobu (DPO) sme nevymenovali, pretože nám to čl. 37 GDPR neukladá.
2. Prevádzkovateľ a sprostredkovateľ
V Taktovke vystupujeme v dvoch rolách podľa toho, o aké údaje ide:
- Sme prevádzkovateľ údajov o používateľských účtoch — kto sa prihlasuje, ako a kedy (časť 3). Za tieto údaje zodpovedáme priamo my.
- Sme sprostredkovateľ údajov o zamestnancoch, ktoré do služby vloží zamestnávateľ — rozpis, dochádzka, neprítomnosti (časť 4). Prevádzkovateľom je zamestnávateľ (náš zákazník), ktorý rozhoduje, koho do rozpisu zaradí a prečo. My tieto údaje spracúvame iba podľa jeho pokynov a na základe zmluvy o spracúvaní osobných údajov podľa čl. 28 GDPR, ktorá je súčasťou obchodných podmienok.
Ste zamestnanec a chcete vedieť, prečo je vaše meno v rozpise, alebo žiadate o výmaz? Obráťte sa najprv na svojho zamestnávateľa. Ak nám žiadosť pošlete priamo, postúpime ju mu bez zbytočného odkladu.
3. Údaje o používateľskom účte
Tieto údaje spracúvame ako prevádzkovateľ.
| Údaje | Účel | Právny základ |
|---|---|---|
| E-mail, meno, jazyk, čas overenia e-mailu a posledného prihlásenia | Vytvorenie a vedenie účtu, prihlásenie, prepojenie účtu s firmou a so záznamom v rozpise | Čl. 6 ods. 1 písm. b) GDPR — plnenie zmluvy |
| Jednorazový prihlasovací kód (ukladáme len jeho HMAC odtlačok), e-mail, IP adresa, počet pokusov, čas | Prihlásenie kódom z e-mailu, obmedzenie počtu pokusov a ochrana pred zneužitím | Čl. 6 ods. 1 písm. b) a f) GDPR — oprávnený záujem na bezpečnosti služby |
| Pri prihlásení cez Google: identifikátor účtu Google („sub“), e-mail a meno, ktoré Google odovzdá | Prihlásenie bez hesla; heslo k účtu Google nikdy nevidíme | Čl. 6 ods. 1 písm. b) GDPR |
| Členstvo vo firme a rola (vlastník, vedúci, zamestnanec) | Riadenie prístupu k údajom firmy | Čl. 6 ods. 1 písm. b) GDPR |
| Technické záznamy servera (IP adresa, čas, požiadavka, chybové hlásenia) | Prevádzka, diagnostika chýb, odhaľovanie útokov | Čl. 6 ods. 1 písm. f) GDPR |
| Fakturačné údaje firmy a kontaktnej osoby pri platených tarifoch | Fakturácia a vedenie účtovníctva | Čl. 6 ods. 1 písm. c) GDPR — zákon č. 431/2002 Z. z. o účtovníctve a zákon č. 222/2004 Z. z. o DPH |
| Odpoveď na otázku „Odkiaľ o nás viete?“ pri zakladaní firmy a poznámka, ktorú k nej napíšete (nepovinné) | Zistiť, cez ktoré cesty k nám prichádzajú zákazníci | Čl. 6 ods. 1 písm. f) GDPR — oprávnený záujem; odpoveď je dobrovoľná |
| Pri odporúčaní: kód a odkaz firmy, ktorá firma sa cez neho zaregistrovala, dátum registrácie a prvej platby, pripísaná odmena | Dlhšia skúšobná doba pre novú firmu, odmena pre odporúčajúcu firmu, ochrana pred zneužitím. Odporúčajúca firma vidí len počty, nie názvy firiem | Čl. 6 ods. 1 písm. b) a f) GDPR |
| Obsah e-mailov, ktoré nám pošlete | Odpoveď na otázku, dohodnutie ukážky, podpora | Čl. 6 ods. 1 písm. b) alebo f) GDPR |
Poskytnutie e-mailu je podmienkou vytvorenia účtu, bez neho sa nedá prihlásiť. Nerobíme automatizované rozhodovanie ani profilovanie s právnymi účinkami podľa čl. 22 GDPR. Newsletter ani marketingové e-maily bez vášho súhlasu neposielame.
4. Údaje zamestnancov v rozpise
Tieto údaje do služby vkladá zamestnávateľ a my ich spracúvame ako sprostredkovateľ. Zamestnávateľ ich spravidla spracúva na plnenie pracovnej zmluvy a povinností zo Zákonníka práce (čl. 6 ods. 1 písm. b) a c) GDPR) — napríklad oznámenie rozvrhu podľa § 90 a evidencia pracovného času podľa § 99.
| Kategória | Konkrétne údaje | Na čo slúžia |
|---|---|---|
| Identifikácia a kontakt | Meno, priezvisko, e-mail, telefón | Zaradenie do rozpisu, pozvánka do aplikácie, oznámenie o zverejnení rozpisu |
| Pracovný vzťah | Druh zmluvy (TPP, DoPČ, DoBPŠ, DoVP, HPP, DPP, DPČ), hodinová sadzba, max. počet hodín týždenne, domovská prevádzka, pozície | Kontrola rozsahu pracovného času, podklady pre mzdy |
| Dátum narodenia | Dátum narodenia (nepovinný) | Kontrola pravidiel pre mladistvých do 18 rokov (§ 174–176 ZP), napríklad zákaz nočnej práce. Iný účel nemá. |
| Dostupnosť | Kedy môže alebo nemôže pracovať, jednorazové výnimky a poznámky k nim | Plánovanie zmien |
| Neprítomnosť | Dovolenka, PN, OČR alebo iná neprítomnosť, obdobie, stav žiadosti, kto ju schválil, poznámka | Aby sa človek nezaradil do zmeny, keď nemôže pracovať |
| Rozpis | Zmeny, priradenia, zverejnené verzie rozpisu, čas potvrdenia, že zamestnanec rozpis videl | Oznámenie rozvrhu a dôkaz o jeho doručení (§ 90 ods. 4 a 9 ZP) |
| Dochádzka | Príchod a odchod, prevádzka, spôsob záznamu (QR kód, ručne, pokladňa), schválenie, poznámka | Evidencia odpracovaného času a podklady pre mzdy |
| Auditný záznam | Kto, kedy a akú zmenu v údajoch firmy urobil, vrátane pôvodnej a novej hodnoty | Preukázanie, ktorá verzia platila, pri kontrole z inšpektorátu práce |
PN a OČR. Samotná informácia, že je človek práceneschopný, môže byť údajom o zdraví (čl. 9 GDPR). Taktovka neukladá diagnózu ani lekárske potvrdenia; poznámku k neprítomnosti by zamestnávateľ nemal používať na zdravotné informácie.
Čo nespracúvame. Dochádzka funguje cez QR kód na prevádzke. Nezisťujeme polohu telefónu (GPS), nepoužívame odtlačky prstov, tvár ani iné biometrické údaje a nemonitorujeme zamestnancov podľa § 13 ods. 4 ZP.
5. Sprostredkovatelia a prenosy
Údaje nepredávame a neposkytujeme ich na marketing. Pri prevádzke služby využívame týchto sprostredkovateľov (pri údajoch zamestnancov ide o ďalších sprostredkovateľov podľa čl. 28 ods. 2 GDPR):
| Poskytovateľ | Čo robí | Kde sú údaje |
|---|---|---|
| Hetzner Online GmbH, Nemecko | Servery a databáza, na ktorých služba beží | Dátové centrum Helsinki, Fínsko (EÚ) |
| Cloudflare, Inc., USA | CDN, šifrované spojenie (TLS) a ochrana pred útokmi; cez ňu prechádza všetka komunikácia so službou | Globálna sieť vrátane USA; prenos na základe EU-US Data Privacy Framework a štandardných zmluvných doložiek |
| Sendinblue SAS (Brevo), Francúzsko | Odosielanie e-mailov: prihlasovacie kódy, pozvánky, oznámenia o rozpise | EÚ |
| Google LLC, 1600 Amphitheatre Parkway, Mountain View, CA 94043, USA (Gemini API) | Jazykový model, ktorý odpovedá v pomocníkovi; dostane len text vašej otázky a úryvky našich vlastných článkov a návodov | USA a ďalšie krajiny, kde Google prevádzkuje dátové centrá; prenos na základe EU-US Data Privacy Framework a štandardných zmluvných doložiek |
| Google Ireland Limited, Írsko | Prihlásenie účtom Google, ak ho zvolíte; so súhlasom v lište cookies aj Google Tag Manager, Google Analytics a meranie reklám Google Ads na verejných stránkach | EÚ a USA; prenos na základe EU-US Data Privacy Framework |
Keď si firma zaplatí tarifu, platbu spracúva Polar Software, Inc. (USA), ktorý službu predáva ako náš predajca. Od nás dostane e-mail a meno vlastníka firemného účtu a fakturačné údaje firmy; údaje o karte zadáva zákazník priamo na jeho platobnej stránke. Tieto údaje Polar spracúva ako samostatný prevádzkovateľ podľa vlastných zásad ochrany súkromia. Údaje zamestnancov z rozpisu Polar nedostáva.
Údaje môžeme poskytnúť aj orgánom verejnej moci, ak nám to ukladá zákon (napríklad súd alebo polícia), a našim účtovným a právnym poradcom, ktorí sú viazaní mlčanlivosťou. Zoznam ďalších sprostredkovateľov pre údaje zamestnancov s históriou zmien vedieme na stránke Ďalší sprostredkovatelia; zmenu oznámime zákazníkom e-mailom najmenej 30 dní vopred.
7. Pomocník s umelou inteligenciou
Na stránkach a v aplikácii je pomocník, ktorý odpovedá na otázky o službe a o pravidlách Zákonníka práce. Odpovedá jazykový model spoločnosti Google. Používate ho dobrovoľne: pokiaľ v okne pomocníka nepotvrdíte, že rozumiete, neodošle sa nikam nič.
- Čo sa odosiela. Text, ktorý napíšete, jazyk a adresa stránky, na ktorej ste, a úryvky našich vlastných článkov, cenníka a návodov. Keď sa pýtate na kontrolu rozpisu, pošle sa aj znenie porušených pravidiel z obrazovky, bez mien a bez identifikátorov zamestnancov. Druh neprítomnosti (PN, OČR) ani nahlásenú dostupnosť konkrétneho človeka neodosielame nikdy.
- Čo do pomocníka nepíšte. Mená, adresy, rodné čísla ani zdravotné údaje zamestnancov. Na otázku o konkrétnom človeku nám radšej napíšte e-mailom.
- Ako dlho to uchovávame. Rozhovor uchovávame 90 dní od poslednej správy, aby sme vedeli odpovedať na nadviazanú otázku a zlepšovať naše články; potom ho vymažeme. Ak rozhovor pošlete našej podpore tlačidlom v okne, uchovávame ho ako bežnú e-mailovú komunikáciu.
- Kto ho spracúva. Google LLC, 1600 Amphitheatre Parkway, Mountain View, CA 94043, USA (Gemini API) ako náš sprostredkovateľ; prenos na základe EU-US Data Privacy Framework a štandardných zmluvných doložiek. Používame platenú službu, pri ktorej poskytovateľ texty nepoužíva na trénovanie svojich modelov.
- Právny základ. Náš oprávnený záujem odpovedať na otázky o službe (čl. 6 ods. 1 písm. f GDPR) a pri prihlásenom používateľovi plnenie zmluvy (písm. b).
Odpoveď pripravuje stroj z našich vlastných textov, takže sa môže pomýliť alebo text nesprávne pochopiť. Nie je to právna rada a nenahrádza inšpektorát práce ani advokáta. Ak si odpoveďou nie ste istí, napíšte nám.
8. Ako dlho údaje uchovávame
- Účet — počas trvania účtu; po jeho zrušení údaje vymažeme do 30 dní.
- Prihlasovacie kódy a ich IP adresy — kód platí niekoľko minút; záznam uchovávame 90 dní na účely obmedzenia pokusov.
- Rozhovory s pomocníkom — 90 dní od poslednej správy, potom ich vymažeme.
- Technické záznamy servera — 30 dní, záznamy o bezpečnostných incidentoch do ich uzavretia.
- Údaje firmy a jej zamestnancov — kým ich zákazník používa. Zamestnávateľ ich môže kedykoľvek upraviť alebo vymazať. Po ukončení zmluvy zostane účet 60 dní dostupný len na čítanie a export, potom údaje vymažeme; zo záloh zmiznú najneskôr do ďalších 35 dní.
- Odpoveď „Odkiaľ o nás viete?“ a záznam o odporúčaní — počas trvania firemného účtu, vymažú sa spolu s ním.
- Faktúry — 10 rokov podľa § 35 zákona o účtovníctve.
Zamestnávateľ je sám zodpovedný za to, ako dlho uchováva evidenciu pracovného času a ďalšie pracovnoprávne záznamy; Taktovka ich za neho automaticky nemaže.
9. Zabezpečenie
- Všetka komunikácia je šifrovaná (HTTPS/TLS).
- Údaje každej firmy sú v databáze oddelené na úrovni riadkov (row-level security), takže jedna firma nevidí údaje inej ani pri chybe v aplikácii.
- Prihlasovacie kódy ukladáme iba ako HMAC odtlačok, počet pokusov je obmedzený.
- Zverejnené verzie rozpisu, potvrdenia a auditný záznam sa po zápise nedajú meniť.
- Databáza nie je dostupná z internetu; prístup k serverom a zálohám má iba prevádzkovateľ služby.
Ak dôjde k porušeniu ochrany osobných údajov, oznámime ho dozornému orgánu do 72 hodín (čl. 33 GDPR) a pri údajoch zamestnancov bez zbytočného odkladu zákazníkovi.
10. Vaše práva
Podľa GDPR máte právo:
- na prístup k údajom a ich kópiu (čl. 15),
- na opravu nesprávnych údajov (čl. 16),
- na vymazanie (čl. 17), ak ich už nepotrebujeme alebo sa nespracúvajú zákonne,
- na obmedzenie spracúvania (čl. 18),
- na prenosnosť údajov v strojovo čitateľnom formáte (čl. 20),
- namietať proti spracúvaniu na základe oprávneného záujmu (čl. 21),
- podať sťažnosť dozornému orgánu.
Žiadosť pošlite na hello@taktovka.com. Odpovieme do jedného mesiaca, bezplatne. Aby sme údaje nevydali niekomu inému, môžeme overiť, že ste to vy — napríklad prihlásením do účtu.
Dozorným orgánom na Slovensku je Úrad na ochranu osobných údajov Slovenskej republiky, Hraničná 12, 820 07 Bratislava 27, dataprotection.gov.sk. V Česku je to Úřad pro ochranu osobních údajů, Pplk. Sochora 27, 170 00 Praha 7, uoou.gov.cz.
11. Zmeny zásad
Zásady aktualizujeme, keď pribudne funkcia alebo sprostredkovateľ. Dátum účinnosti je uvedený hore; o podstatných zmenách informujeme vlastníkov firemných účtov e-mailom najmenej 14 dní vopred.
Pravidlá používania služby nájdete v obchodných podmienkach.