Persónuverndarstefna

1. Um þessa stefnu

Stefnan á við um alla notkun á Timr, hvort sem er í gegnum timr.is, app.timr.is eða smáforritið fyrir starfsfólk. Hún nær til fyrirtækja sem gerast áskrifendur, stjórnenda þeirra og þess starfsfólks sem skráð er í kerfið.

2. Ábyrgðaraðili og vinnsluaðili

Timr gegnir tveimur hlutverkum eftir því hvaða upplýsingar um ræðir. Timr er ábyrgðaraðili þeirra upplýsinga sem verða til við stofnun og rekstur áskriftar, svo sem tengiliða- og greiðsluupplýsinga fyrirtækisins. Þegar fyrirtæki skráir starfsfólk sitt í kerfið er fyrirtækið sjálft ábyrgðaraðili þeirra upplýsinga og Timr vinnur þær eingöngu sem vinnsluaðili, samkvæmt fyrirmælum fyrirtækisins.

Starfsfólk sem vill nýta réttindi sín yfir vinnutíma- og staðsetningargögnum snýr sér því fyrst til vinnuveitanda síns, sem Timr aðstoðar við að verða við beiðninni.

3. Hvaða upplýsingum við söfnum

Við söfnum eingöngu þeim upplýsingum sem nauðsynlegar eru til að reka kerfið:

• Reikningsupplýsingar: nafn, netfang, símanúmer og lykilorð á tætiformi.
• Upplýsingar um fyrirtækið: heiti, kennitala, heimilisfang og starfsstöðvar.
• Upplýsingar um starfsfólk sem vinnuveitandi skráir: nafn, kennitala, netfang, símanúmer, starfshlutfall og launaforsendur.
• Vinnutímagögn: vaktir, innstimplanir, útstimplanir, frí og orlof.
• Staðsetning við stimplun, þegar vinnuveitandi hefur virkjað staðsetningarstaðfestingu.
• Greiðsluupplýsingar vegna áskriftar. Kortanúmer eru meðhöndluð af greiðsluþjónustuaðila og eru aldrei vistuð í kerfum Timr.
• Tæknilegar upplýsingar: IP-tala, gerð tækis og vafra og atburðaskrár um notkun kerfisins.

4. Í hvaða tilgangi upplýsingarnar eru notaðar

Persónuupplýsingar eru einungis notaðar í eftirfarandi tilgangi:

• Að veita þjónustuna: vaktaskipulag, tímaskráningu, launagrunn og skýrslur.
• Að staðfesta að stimplun eigi sér stað á réttum vinnustað, þegar vinnuveitandi hefur virkjað þann eiginleika.
• Að veita notendaþjónustu og svara fyrirspurnum.
• Að innheimta áskriftargjöld og halda utan um reikninga.
• Að bæta kerfið, greina villur og tryggja rekstraröryggi þess.
• Að uppfylla lagaskyldur, meðal annars um bókhald og varðveislu gagna.

5. Heimild til vinnslu

Vinnslan byggir á lögum nr. 90/2018 um persónuvernd og vinnslu persónuupplýsinga og almennu persónuverndarreglugerð ESB, nr. 2016/679. Heimildirnar eru eftirfarandi:

• Efndir samnings, þegar vinnslan er nauðsynleg til að veita áskrifanda þjónustuna.
• Lagaskylda, meðal annars vegna bókhalds og skattskila.
• Lögmætir hagsmunir, svo sem að verja kerfið gegn misnotkun og tryggja rekstraröryggi.
• Samþykki, þegar það á við, til dæmis fyrir aðgangi smáforritsins að staðsetningu tækisins. Samþykki má afturkalla hvenær sem er í stillingum tækisins.

6. Staðsetningargögn

Timr fylgist ekki með ferðum starfsfólks. Staðsetning er einungis lesin á því augnabliki sem starfsmaður stimplar sig inn eða út, og þá er aðeins vistuð ein hnitasetning ásamt tímastimpli. Kerfið sækir enga staðsetningu þegar smáforritið er lokað eða í bakgrunni og engin ferilskrá verður til.

Vinnuveitandi ákveður hvort staðsetningarstaðfesting er virk og hversu stórt svæði telst gilt. Starfsmaður getur hafnað staðsetningaraðgangi í stillingum tækisins; þá þarf að stimpla inn með öðrum hætti í samráði við vinnuveitanda.

7. Miðlun til þriðju aðila

Timr selur aldrei persónuupplýsingar og miðlar þeim ekki til þriðja aðila í markaðslegum tilgangi. Upplýsingum er einungis miðlað til þjónustuaðila sem eru nauðsynlegir rekstri kerfisins og starfa sem vinnsluaðilar samkvæmt vinnslusamningi:

• Hýsingar- og innviðaþjónustur sem keyra vefinn og gagnagrunninn.
• Greiðsluþjónustuaðili sem sér um kortagreiðslur og áskriftir.
• Þjónusta sem sendir tilkynningar og kerfispóst.
• Vefmælingaþjónusta sem safnar samandregnum upplýsingum um notkun vefsins.
• Yfirvöld, þegar lagaskylda krefst þess.

8. Flutningur út fyrir EES

Gögn eru að meginstefnu vistuð innan Evrópska efnahagssvæðisins. Ef þjónustuaðili vinnur gögn utan EES er sú vinnsla tryggð með stöðluðum samningsákvæðum framkvæmdastjórnar ESB eða öðrum viðurkenndum verndarráðstöfunum.

9. Varðveislutími

Upplýsingar eru ekki geymdar lengur en þörf krefur. Vaktir, tímaskráningar og önnur gögn fyrirtækis eru varðveitt á meðan áskrift er virk. Bókhaldsgögn eru varðveitt í sjö ár í samræmi við lög nr. 145/1994 um bókhald.

Þegar áskrift lýkur er fyrirtækinu gefinn kostur á að sækja gögn sín áður en þeim er eytt. Vinnuveitandi getur hvenær sem er óskað eftir eyðingu gagna sem hann ber ábyrgð á, að því marki sem lagaskyldur standa því ekki í vegi.

10. Öryggi

Öll samskipti við Timr fara fram um dulkóðaða tengingu (TLS). Lykilorð eru geymd á tætiformi og eru aldrei aðgengileg starfsfólki Timr. Aðgangur að gögnum er takmarkaður við þá sem hans þurfa við og gögn hvers fyrirtækis eru einangruð frá öðrum fyrirtækjum í kerfinu.

Komi upp öryggisbrestur sem líklegt er að hafi í för með sér áhættu fyrir réttindi einstaklinga er Persónuvernd tilkynnt um hann innan 72 klukkustunda og hlutaðeigandi ábyrgðaraðilum gert viðvart án ótilhlýðilegrar tafar.

11. Réttindi þín

Þú átt eftirfarandi réttindi yfir þeim persónuupplýsingum sem varða þig:

• Rétt til aðgangs að þeim upplýsingum sem unnið er með um þig.
• Rétt til leiðréttingar á röngum eða ófullnægjandi upplýsingum.
• Rétt til eyðingar, að því marki sem lagaskyldur standa því ekki í vegi.
• Rétt til að takmarka vinnslu eða andmæla henni.
• Rétt til að fá gögn þín afhent á tölvutæku formi.
• Rétt til að afturkalla samþykki sem vinnsla byggir á, án þess að það hafi áhrif á lögmæti fyrri vinnslu.

Ert þú starfsmaður fyrirtækis sem notar Timr skaltu beina beiðninni til vinnuveitanda þíns, sem er ábyrgðaraðili þeirra gagna.

12. Vefkökur

Timr notar vefkökur sem eru nauðsynlegar fyrir virkni kerfisins, svo sem að halda þér innskráðum og muna tungumálaval. Að auki notum við vefmælingar til að skilja hvernig vefurinn er notaður. Þú getur eytt vefkökum og hafnað þeim í stillingum vafrans, en þá er ekki víst að öll virkni haldist.

13. Breytingar á stefnunni

Stefnan kann að breytast, til dæmis vegna nýrra eiginleika eða breyttra lagakrafna. Nýjasta útgáfan er ávallt aðgengileg á þessari síðu og dagsetning síðustu uppfærslu kemur fram efst. Verði gerðar verulegar breytingar eru áskrifendur látnir vita með tölvupósti áður en þær taka gildi.

14. Hafðu samband

Fyrirspurnum um þessa stefnu og beiðnum um að nýta réttindi má beina á hjalp@timr.is.

Teljir þú að vinnsla persónuupplýsinga samrýmist ekki lögum getur þú beint kvörtun til Persónuverndar, Rauðarárstíg 10, 105 Reykjavík (personuvernd.is).