Personvern og databehandling

Ditt personvern er viktig for oss. I Favo har vi noen grunnleggende prinsipper:

• Vi ber ikke om personopplysninger med mindre vi virkelig trenger dem.
• Vi deler dem ikke med andre, utenom for å levere tjenesten, følge loven eller beskytte våre rettigheter.
• All behandling skal være i samsvar med norsk rett, herunder EUs forordning 2016/679 (GDPR).

Denne erklæringen gjelder Tatid, timeføringstjenesten levert av Favo AS («Favo»). Den er en del av vilkårene for bruk, og databehandlervilkårene i § 4 til § 9 er den databehandleravtalen GDPR artikkel 28 krever mellom kunden og Favo. Det inngås ingen separat avtale i tillegg.

1. Hvem er ansvarlig for hva

Kunden er behandlingsansvarlig for personopplysningene som registreres i Tatid om egne ansatte og innleide: navn, e-post, rolle, stillingsprosent, ansettelsesdatoer, ferievilkår og timeføringen deres. Kunden bestemmer formålet med behandlingen og hvor lenge opplysningene skal lagres. Favo behandler dem utelukkende på kundens vegne, som databehandler.

Favos kontaktopplysninger som databehandler og behandlingsansvarlig:

• Favo AS, organisasjonsnummer 934 039 459
• Haukelivegen 668, 5582 Ølensvåg, Norge
• legal@favo.no

Favo er behandlingsansvarlig for et mindre sett opplysninger vi trenger for å ha kunden som kunde: kontaktopplysninger til den som administrerer kontoen, fakturagrunnlag, korrespondanse med support, og sikkerhetslogger. Grunnlaget er at behandlingen er nødvendig for å oppfylle avtalen, jf. GDPR artikkel 6 nr. 1 bokstav b, og vår berettigede interesse i å drive tjenesten sikkert, jf. artikkel 6 nr. 1 bokstav f.

Er du ansatt hos en Tatid-kunde og lurer på hvorfor timene dine registreres, er det arbeidsgiveren din som er ansvarlig for det — ikke Favo. Se § 10.

2. Hva Tatid behandler

Dette er personopplysningene tjenesten faktisk lagrer:

• Om brukere: navn, e-postadresse, kryptert passord, rolle (ansatt, team leder, administrator), stillingsprosent, ansettelsesdatoer, om brukeren er aktiv, og eventuelt profilbilde.
• Ansettelsesvilkår over tid: stillingsprosent, ferieuker og hvordan ferie behandles, med gyldighetsdato — grunnlaget for fleksitidsregnestykket.
• Timeføring: dato, antall timer, kategori, prosjekt og fritekstkommentar. Kommentarfeltet er fritekst, og kunden bestemmer selv hva som skrives der.
• Godkjenning: hvilke måneder som er sendt inn, godkjent eller gjenåpnet, av hvem og når.
• SkatteFUNN: signaturer på FoU-timer per kvartal, med tidspunkt.
• Innloggingslogg: tidspunkt, IP-adresse og nettleserkjennetegn for pålogging og utlogging. Mislykkede forsøk logges ikke — å registrere dem ville krevd et oppslag som avslører om en e-postadresse finnes hos oss.
• API-tokens: hvilke tokens som er opprettet, av hvem, og når de sist var i bruk.
• Import: CSV-filer som lastes opp ved overføring fra et annet system, med innholdet slik det var i filen.

Særlige kategorier av personopplysninger (helseopplysninger, fagforeningsmed- lemskap og lignende) skal ikke registreres i Tatid. Skriver en bruker slikt i et kommentarfelt, er det kunden som er ansvarlig for det.

3. Formål og behandlingsgrunnlag

Favo behandler opplysningene i § 2 for ett formål: å levere timeføring til kunden — føre og vise timer, regne ut fleksitid og normtid, styre tilganger, lage rapporter og SkatteFUNN-grunnlag, sende varsler og invitasjoner på e-post, og drifte og sikre tjenesten.

Vi bruker ikke kundens data til å utvikle andre produkter, til å trene modeller, eller til markedsføring. Vi kan bruke anonymisert og aggregert statistikk som ikke kan spores tilbake til en person eller en kunde.

4. Databehandlervilkår

Disse vilkårene gjelder Favos behandling av personopplysninger på kundens vegne.

Instruks. Favo behandler personopplysningene bare etter dokumentert instruks fra kunden. Vilkårene her, sammen med kundens egen bruk av tjenesten, utgjør instruksen. Mener vi at en instruks er i strid med personvernregelverket, sier vi fra. Er vi rettslig forpliktet til å behandle opplysninger utover instruksen, varsler vi kunden før behandlingen, med mindre loven forbyr det.

Konfidensialitet. Alle hos Favo som har tilgang til kundens personopplysninger er underlagt taushetsplikt. Tilgang gis bare til dem som trenger det for å drifte og støtte tjenesten, og bare i det omfanget oppgaven krever.

Sikkerhet. Favo gjennomfører egnede tekniske og organisatoriske tiltak etter GDPR artikkel 32. Tiltakene er beskrevet i § 7.

Bistand. Favo bistår kunden med å svare på henvendelser fra registrerte (§ 10), og med kundens plikter etter GDPR artikkel 32 til 36 — sikkerhet, avviksvarsling og personvernkonsekvensvurdering — i den grad det er rimelig ut fra behandlingens art og opplysningene vi har tilgang til.

Revisjon. Favo gir kunden den informasjonen som er nødvendig for å vise at pliktene i dette punktet er oppfylt, og legger til rette for revisjon, herunder inspeksjon, gjennomført av kunden eller en revisor kunden utpeker. Revisjon varsles i rimelig tid, gjennomføres i normal arbeidstid, og skal ikke gi innsyn i andre kunders opplysninger. Kunden dekker egne kostnader ved revisjonen.

Underdatabehandlere. Se § 5.

Opphør. Se § 9.

5. Underdatabehandlere

Kunden gir Favo generell godkjenning til å bruke underdatabehandlere. Vi har databehandleravtale med hver av dem, og de er bundet av de samme pliktene som følger av § 4.

• Gigahost AS — drift, hosting og e-post. Tatid kjører på én virtuell server hos Gigahost i Sandefjord, og alle data ligger i Norge. Sikkerhetskopiene ligger på samme sted. Utgående e-post fra tjenesten — invitasjoner, lenker for å sette nytt passord og varsler — sendes gjennom Gigahosts e-postløsning, som dermed mottar mottakerens navn og e-postadresse og innholdet i meldingen.
• Betalingsleverandør (Stripe) — kortbetaling og fakturering. Stripe behandler betalingsopplysningene til den som betaler for abonnementet. Kortnummer sendes fra betalerens nettleser direkte til Stripe og lagres aldri hos Favo. Stripe behandler ikke timeføring eller ansattopplysninger. Betalingsløsningen er ennå ikke koblet på; inntil den er det, behandles ingen betalingsopplysninger.

Endrer vi listen, varsler vi kontoens administrator på e-post minst 30 dager før endringen trer i kraft. Har kunden saklig grunn til å motsette seg en ny underdatabehandler, kan kunden si opp abonnementet med virkning fra den datoen endringen trer i kraft.

Vi selger eller leier ikke ut personopplysninger. Utover leverandørene over gir vi bare tilgang når vi er rettslig forpliktet til det, eller når det er nødvendig for å beskytte Favos eller andres rettigheter.

6. Overføring utenfor EØS

Timeføring og ansattopplysninger lagres i Norge og overføres ikke ut av EØS.

Betalingsleverandøren kan behandle betalingsopplysninger utenfor EØS. Skjer det, bygger overføringen på et gyldig overføringsgrunnlag etter GDPR kapittel V. Kunden godkjenner slik overføring ved å inngå avtalen.

7. Sikkerhet

Dette er tiltakene som faktisk er på plass:

• All trafikk til tjenesten går kryptert over HTTPS, med automatisk videresending fra ukryptert trafikk.
• Passord lagres aldri i klartekst, men som kryptografisk hash.
• Hver kunde har sin egen konto, og all datauthenting filtreres på konto, slik at én kunde ikke kan se en annens data. Innenfor kontoen styrer rollene ansatt, team leder og administrator hvem som ser hva.
• Innlogginger, utlogginger og mislykkede forsøk logges, og administratoren kan se loggen selv.
• Sikkerhetskopi av hele databasen tas hver natt og oppbevares i 21 dager. Gjenoppretting fra kopi er testet.
• Tilgang til serveren krever SSH-nøkkel. Hemmeligheter ligger utenfor kildekoden.

Og dette er tiltakene som ikke er på plass i dag, sagt rett ut fordi kunden skal kunne vurdere risikoen selv: det finnes ingen tofaktorautentisering, ingen automatisk overvåking som varsler ved nedetid eller feil, og ingen redundans — tjenesten kjører på én server. Sikkerhetskopiene ligger hos samme leverandør som databasen.

8. Varsling ved brudd på personopplysningssikkerheten

Oppdager Favo et brudd på personopplysningssikkerheten som berører kundens opplysninger, varsler vi kontoens administrator på e-post uten ugrunnet opphold etter at vi ble kjent med bruddet, og senest innen 24 timer. Varselet beskriver hva som har skjedd, hvilke opplysninger og hvor mange personer som er berørt så langt vi vet, sannsynlige konsekvenser, og hvilke tiltak vi har satt i verk.

Fristen er satt slik at kunden rekker sin egen frist på 72 timer til å melde bruddet til Datatilsynet. Det er kunden som melder til Datatilsynet og eventuelt varsler de ansatte — vi bistår med det vi har av opplysninger.

9. Lagring, eksport og sletting

Vi lagrer kundens personopplysninger så lenge abonnementet løper. Kunden kan når som helst hente ut sine egne data som CSV fra rapportsidene eller gjennom API-et, uten å be oss om noe.

Ved opphør holdes dataene tilgjengelige for eksport i 30 dager. Deretter slettes de, og de forsvinner fra sikkerhetskopiene innen 21 dager etter det. Ber kunden om sletting tidligere, gjør vi det.

Innloggingsloggen slettes automatisk etter 12 måneder.

Vi beholder likevel opplysninger vi er rettslig forpliktet til å oppbevare lenger — i praksis fakturagrunnlag, som bokføringsloven krever oppbevart i fem år. Det gjelder ikke timeføring eller ansattopplysninger.

Slettes en ansatt fra kontoen mens abonnementet løper, er det kunden som bestemmer om det skal skje ved anonymisering eller full sletting. Timeføring som inngår i regnskaps- eller SkatteFUNN-grunnlag kan kunden være forpliktet til å beholde, og da er anonymisering av personen den riktige veien.

10. Dine rettigheter

Er du registrert i Tatid gjennom arbeidsgiveren din, har du rett til innsyn i hvilke opplysninger som er lagret om deg, til å få feil rettet, og — innenfor det loven åpner for — til sletting, begrensning, innsigelse og dataportabilitet.

Henvend deg til arbeidsgiveren din. Det er de som er behandlingsansvarlige, og de har tilgang til opplysningene i tjenesten. Kommer henvendelsen til oss, videresender vi den til arbeidsgiveren og bistår dem med å svare.

Gjelder henvendelsen opplysninger Favo selv er behandlingsansvarlig for (§ 1), kan du kontakte oss direkte på legal@favo.no.

Du har rett til å klage til Datatilsynet.

11. Endringer

Vi kan endre denne erklæringen. Vesentlige endringer varsles på e-post til kontoens administrator minst 30 dager før de trer i kraft, og kunden blir bedt om å godta den nye versjonen. Hver versjon har et versjonsnummer, og vi lagrer hvilken versjon kunden godtok og når.

Kontakt

Favo AS — legal@favo.no