Persónuverndarstefna

VAKTO er vakta- og launakerfi fyrir vinnustaði. Þessi stefna lýsir því hvaða persónuupplýsingar BGL Ventures ehf., kt. 490806-0400 („VAKTO“, „við“) vinnur, í hvaða tilgangi, hversu lengi og hvaða réttindi þú hefur. Hún byggir á lögum nr. 90/2018 um persónuvernd og vinnslu persónuupplýsinga og almennu persónuverndarreglugerðinni (GDPR).

1. Tvö hlutverk: ábyrgðaraðili og vinnsluaðili

Ábyrgðaraðili. Þegar þú stofnar aðgang, heimsækir vakto.is, notar spjallið á heimasíðunni eða hefur samband við okkur er BGL Ventures ehf. ábyrgðaraðili þeirra upplýsinga.

Vinnsluaðili. Þegar fyrirtæki (viðskiptavinur okkar) skráir starfsfólk sitt, vaktir, stimplanir og launaupplýsingar í VAKTO er fyrirtækið ábyrgðaraðili og VAKTO vinnsluaðili sem vinnur upplýsingarnar eingöngu samkvæmt fyrirmælum þess. Vinnslusamningur (DPA) er hluti af skilmálum þjónustunnar. Starfsfólk sem hefur spurningar um eigin upplýsingar í VAKTO ætti fyrst að leita til vinnuveitanda síns.

2. Hvaða upplýsingar við vinnum

Um viðskiptavini og notendur (VAKTO er ábyrgðaraðili)

• Aðgangsupplýsingar: nafn, netfang, lykilorð (geymt dulkóðað/hashað), hlutverk og fyrirtæki.
• Fyrirtækisupplýsingar: nafn, kennitala, heimilisfang, sími, netfang, áskriftarleið og greiðslustaða.
• Notkunar- og öryggisskrár: innskráningar, IP-tala, tegund vafra, tímastimplar og aðgerðaskrá (audit log) í kerfinu.
• Samskipti: skilaboð sem þú sendir okkur í tölvupósti eða í spjallinu á heimasíðunni, þ.m.t. nafn og netfang ef þú biður um að tala við manneskju.

Um starfsfólk viðskiptavina (VAKTO er vinnsluaðili)

• Starfsmannaupplýsingar sem vinnuveitandi skráir: nafn, kennitala, netfang, sími, staða, deild, starfshlutfall, ráðningardagur, launaform, launataxti, kjarasamningur, stéttarfélag, lífeyrissjóður, bankaupplýsingar ef þær eru skráðar, prófílmynd.
• Vaktir, stimplanir (inn/út, tími, uppruni: VAKTO-appið í síma, vefur eða kiosk), frávik, fríbeiðnir, vaktaskipti, tímabanki og orlofsstaða.
• Launaútreikningar og launakeyrslur, útflutningsskrár í launakerfi (Payday, DK, Excel).
• Skjöl: ráðningarsamningar (þ.m.t. rafrænt samþykki með nafni, tímastimpli og innskráningu), handbækur og önnur skjöl sem vinnuveitandi hleður upp.
• Spjall og fréttaveita innan fyrirtækisins: skilaboð, myndir, talskilaboð, viðbrögð, athugasemdir og lesstaða.
• Starfsmannaskírteini: nafn, staða, deild, starfsmannanúmer og QR-kóði. Sé skírteinið sett í Apple Wallet eða Google Wallet gilda skilmálar Apple/Google um geymslu þess í símanum.
• Push-tilkynningar: auðkenni tækis (push subscription) ef starfsmaður kveikir á tilkynningum.
• VAKTO-appið (iPhone og Android) vinnur sömu gögn og vefurinn. Appið biður aðeins um aðgang að myndum þegar notandi velur mynd til að senda, og að staðsetningu aðeins við stimplun ef vinnuveitandi krefst þess.
• VAKTO AI: þegar stjórnandi eða vaktstjóri spyr aðstoðarmanninn eru spurningin og þau rekstrargögn sem þarf til að svara (t.d. vaktir, tímar, launakostnaður og nöfn starfsfólks) send til gervigreindarþjónustu. Samtöl stjórnandans eru vistuð svo hann geti opnað þau aftur og getur hann eytt þeim hvenær sem er.
• Tilkynnt efni: ef notandi tilkynnir skilaboð eða færslu er tilkynningin, útdráttur úr efninu og hver tilkynnti vistað og sýnt stjórnendum fyrirtækisins.

• Staðsetning við stimplun: aðeins ef vinnuveitandi kveikir á staðsetningarkröfu. Þá er staðsetning símans skráð einu sinni þegar stimplað er inn og út, til að staðfesta að starfsmaður sé á vinnustaðnum. Engin rakning fer fram á milli stimplana og ekki í bakgrunni.

Á opna vefnum notum við Google Analytics og Meta Pixel aðeins ef gestur samþykkir það; inni í kerfinu er hvorugt nokkurn tímann notað. Sjá vafrakökur.

3. Tilgangur og lagagrundvöllur

• Að veita þjónustuna (vaktaplan, stimpilklukka, laun, spjall, skjöl): efndir samnings (6. gr. 1. mgr. b GDPR) og fyrir starfsfólk: fyrirmæli ábyrgðaraðila í vinnslusamningi.
• Öryggi, aðgangsstýring, aðgerðaskrá og varnir gegn misnotkun: lögmætir hagsmunir (6. gr. 1. mgr. f).
• Reikningagerð og bókhald: lagaskylda (6. gr. 1. mgr. c), m.a. bókhaldslög.
• Staðsetning við stimplun: lögmætir hagsmunir vinnuveitanda af því að staðfesta viðveru á vinnustað (6. gr. 1. mgr. f), samkvæmt fyrirmælum hans sem ábyrgðaraðila.
• VAKTO AI og aðrar gervigreindaraðgerðir (tillögur að vaktaplani, lestur kjarasamnings, drög að samningsákvæðum, skýrslur): efndir samnings; unnið aðeins þegar stjórnandi biður um það.
• Spjallið á heimasíðunni: lögmætir hagsmunir af því að svara fyrirspurnum. Samtöl eru send til gervigreindarþjónustu (sjá kafla 5) og geymd í allt að 12 mánuði.
• Greining á notkun opna vefsins og mæling á árangri auglýsinga (Google Analytics, Meta Pixel): samþykki (6. gr. 1. mgr. a), sem má draga til baka hvenær sem er.
• Tölvupóstar um þjónustuna (t.d. plan birt, samningur bíður, prufa að renna út): efndir samnings. Við sendum ekki markaðspóst nema með samþykki.

4. Hvar gögnin eru geymd

Öll gögn eru geymd á Evrópska efnahagssvæðinu. Gagnagrunnur og skráageymsla eru hjá Supabase í gagnaveri á Írlandi (AWS eu-west-1). Vefþjónninn keyrir hjá Vercel í Dublin. Öll samskipti eru dulkóðuð (TLS) og gögn í hvíld eru dulkóðuð. Aðgangur að gögnum er afmarkaður við fyrirtæki (row level security) og hlutverk notanda.

5. Vinnsluaðilar (undirvinnsluaðilar)

Við tilkynnum viðskiptavinum um breytingar á undirvinnsluaðilum með a.m.k. 30 daga fyrirvara.

6. Varðveislutími

• Gögn viðskiptavinar eru geymd á meðan áskrift er virk. Við uppsögn getur viðskiptavinur flutt gögnin út (Excel/PDF). Gögnum er eytt innan 90 daga frá lokum áskriftar nema lög krefjist lengri varðveislu.
• Launa- og bókhaldsgögn sem tengjast reikningum VAKTO: 7 ár samkvæmt bókhaldslögum.
• Aðgerðaskrá og öryggisskrár: allt að 12 mánuðir.
• Samtöl í spjalli heimasíðunnar: allt að 12 mánuðir.

7. Réttindi þín

Þú átt rétt á aðgangi að upplýsingum um þig, leiðréttingu, eyðingu, takmörkun vinnslu, flutningi gagna og að andmæla vinnslu sem byggir á lögmætum hagsmunum. Sé vinnslan byggð á samþykki máttu afturkalla það hvenær sem er. Beiðnir sendast á hallo@vakto.is og við svörum innan 30 daga. Starfsfólk viðskiptavina beinir beiðnum fyrst til vinnuveitanda síns (ábyrgðaraðila); við aðstoðum hann við að svara. Þú getur einnig kvartað til Persónuverndar.

8. Öryggi

Aðgangur er varinn með lykilorðum og innskráningarhlekkjum, allar tengingar eru dulkóðaðar, gögn eru aðskilin milli fyrirtækja í gagnagrunni, kiosk-stimpilklukkan er varin með leynilykli fyrirtækisins og allar mikilvægar aðgerðir eru skráðar í aðgerðaskrá. Verði öryggisbrestur sem varðar persónuupplýsingar tilkynnum við viðskiptavinum án ótilhlýðilegrar tafar og Persónuvernd innan 72 klukkustunda þegar það á við.

9. Börn

Þjónustan er ætluð fyrirtækjum og starfsfólki þeirra. Vinnuveitandi ber ábyrgð á að skráning starfsfólks undir 18 ára sé í samræmi við lög.

10. Breytingar

Við getum uppfært þessa stefnu. Efnislegar breytingar eru tilkynntar viðskiptavinum með tölvupósti eða í kerfinu áður en þær taka gildi. Gildandi útgáfa er alltaf á vakto.is/personuvernd.

11. Samband

BGL Ventures ehf., kt. 490806-0400, Ísland · hallo@vakto.is