1. Kdo odpovídá za zpracování
U pracovních údajů vložených do firemního prostoru je zpravidla správcem vaše firma nebo zaměstnavatel: určuje proč se údaje používají, kdo k nim má přístup a jak dlouho se uchovávají. Provozovatel FuzeWork tyto údaje zpracovává jako zpracovatel podle pokynů firmy.
U údajů potřebných k provozu vlastního účtu, zabezpečení služby, fakturaci, komunikaci s podporou a plnění právních povinností může být provozovatel FuzeWork samostatným správcem. Přesná právní identita musí být před zveřejněním doplněna v oddílu 15.
2. Jaké údaje mohou být zpracovány
- identifikační a kontaktní údaje, UID účtu, firma, role, jazyk a nastavení;
- přiřazení k týmům a projektům, oprávnění a žádosti o připojení;
- příchody, odchody, pracovní intervaly, opravy, komentáře a auditní záznamy;
- fotografie, popisky, metadata souborů a případně poloha, pokud je funkce zapnuta a povolena;
- problémy kvality, jejich stav, komentáře, fotografie a související korekce docházky;
- účtenky, výdaje, přílohy a výsledky volitelného automatizovaného vytěžení;
- technické a bezpečnostní údaje, typ zařízení, verze aplikace, diagnostika a záznamy o chybách;
- verze, čas, zdroj a stav udělených nebo změněných souhlasů a potvrzení.
3. Účely a právní základy
- poskytnutí účtu a objednaných funkcí: plnění smlouvy nebo kroky před jejím uzavřením;
- docházka, řízení lidí a projektů: právní základ určuje firma jako správce, typicky pracovní smlouva, právní povinnost nebo oprávněný zájem;
- zabezpečení, prevence zneužití, audit a stabilita: oprávněný zájem nebo právní povinnost;
- fakturace, účetnictví a právní nároky: plnění smlouvy a právní povinnosti;
- volitelný marketing: samostatný odvolatelný souhlas;
- kamera, fototéka a poloha: systémové oprávnění zařízení umožňuje technický přístup; právní základ pracovního zpracování musí určit firma.
4. Zdroje údajů
Údaje získáváme od uživatele, administrátorů a vedoucích jeho firmy, z funkcí zařízení, z pracovních záznamů vytvořených ve službě a automaticky z technického provozu. Firma může doplnit nebo opravit údaje v rozsahu svých oprávnění.
5. Kamera, fotografie a poloha
Kamera a fototéka se použijí jen při uživatelské akci nebo pravidlu projektu a po systémovém povolení. Poloha se zpracuje pouze u funkce, která ji vyžaduje, a v rozsahu povoleném zařízením. Vypnutí oprávnění může omezit příslušnou funkci, nikoli ostatní části aplikace.
Neaktivní oprávnění není souhlasem se zaměstnaneckým sledováním. Firma musí sama posoudit nezbytnost, přiměřenost, informování pracovníků a případné místní pracovněprávní požadavky.
6. Příjemci a poskytovatelé služeb
K údajům mají přístup oprávnění uživatelé příslušné firmy podle rolí. Technicky mohou údaje zpracovávat poskytovatelé hostingu, autentizace, databáze, úložiště, doručování, monitoringu, podpory a u výslovně zapnutých funkcí také poskytovatel automatizované analýzy dokladů.
TODO před zveřejněním: zveřejnit přesný aktuální seznam zpracovatelů a jejich účel. Současná implementace používá zejména služby Firebase a Google Cloud; případná AI analýza musí být uvedena samostatně.
7. Předávání mimo EHP
Někteří poskytovatelé mohou zpracovávat údaje mimo Evropský hospodářský prostor. Takové předání musí být založeno na rozhodnutí o odpovídající ochraně, standardních smluvních doložkách nebo jiné zákonné záruce. Firma může požádat o informace o konkrétní záruce.
8. Doba uchování
TODO před zveřejněním: firma a provozovatel musí doplnit konkrétní lhůty nebo přesná kritéria pro jednotlivé kategorie.
- firemní pracovní údaje: podle pokynů firmy, jejího pracovněprávního a účetního režimu a smlouvy s FuzeWork;
- účet a profil: po dobu aktivního účtu a následně po dobu nutnou k výmazu, řešení sporů a splnění zákonných povinností;
- auditní, bezpečnostní a provozní záznamy: jen po dobu přiměřeně nutnou pro bezpečnost, diagnostiku a právní nároky;
- zálohy: do jejich bezpečného přepsání v pravidelném cyklu;
- souhlasy a jejich verze: po dobu potřebnou k doložení souladu a právních nároků.
9. Zabezpečení
Používají se technická a organizační opatření odpovídající riziku, zejména autentizace, oddělení firemních prostorů, řízení rolí, šifrovaný přenos, pravidla přístupu, auditní záznamy a omezený přístup podpory. Žádný systém však nemůže zaručit absolutní bezpečnost.
10. Práva fyzických osob
U pracovních údajů uplatněte žádost nejprve u své firmy nebo zaměstnavatele. FuzeWork jí jako zpracovatel poskytne přiměřenou součinnost. U údajů, kde je provozovatel správcem, použijte kontakt v oddílu 15.
- právo na informace a přístup k údajům;
- právo na opravu nepřesných údajů;
- právo na výmaz nebo omezení, pokud jsou splněny zákonné podmínky;
- právo na přenositelnost u příslušných zpracování;
- právo vznést námitku proti zpracování založenému na oprávněném zájmu;
- právo kdykoli odvolat souhlas bez vlivu na dřívější zákonnost;
- právo podat stížnost u příslušného dozorového úřadu.
11. Souhlas v pracovním vztahu
Povinné potvrzení této informace v aplikaci především dokládá, že uživatel informace obdržel. Samo o sobě neurčuje právní základ veškeré zaměstnanecké docházky a kontroly práce.
V pracovním vztahu nemusí být souhlas kvůli nerovnováze mezi zaměstnavatelem a pracovníkem svobodný. Firma musí pro každé zpracování určit vhodný právní základ a nepodmiňovat práci volitelným souhlasem, pokud to není nezbytné a zákonné. Marketingový souhlas zůstává samostatný a odvolatelný.
12. Automatizované rozhodování
FuzeWork nemá být používán k rozhodnutí s právním nebo obdobně významným účinkem založenému výhradně na automatizovaném zpracování. Automatické součty, filtry, upozornění nebo vytěžení dokladu jsou podpůrné výstupy a musí být podle významu ověřeny člověkem.
13. Děti
Služba je určena organizacím a osobám oprávněným pracovat podle místních právních předpisů. Firma nesmí vytvořit účet osobě, pro kterou nemá zákonný důvod a potřebná oprávnění.
14. Změny a verze
Každé znění má verzi a trvalou URL. U podstatné změny účelů, právních základů, příjemců nebo práv bude uživatel informován a případně bude vyžadováno nové potvrzení. Starší znění zůstává v archivu.
15. Správce, DPO a kontakt
TODO před zveřejněním: právní identita a kontakt provozovatele FuzeWork, zástupce v EU, pokud je potřebný, kontakt pověřence pro ochranu osobních údajů, pokud byl jmenován, a kontakt pro uplatnění práv.
U pracovních údajů je kontaktem primárně firma nebo zaměstnavatel uvedený v uživatelském profilu. Příslušný dozorový úřad lze vyhledat podle místa bydliště, práce nebo údajného porušení.