POLITYKA PRYWATNOŚCI HOURLY

Administratorem danych Użytkowników Serwisu jest: Sebastian Kuliński, ur. 14.05.2009, reprezentowany przez Przedstawiciela Ustawowego Elżbietę Kulińską, adres: Łosiów, woj. opolskie, e-mail: [email protected].

• Rejestracyjne: imię, nazwisko, e-mail (login), hasło wyłącznie w formie silnie zaszyfrowanego skrótu (hasło jawne nie jest znane Administratorowi).
• Logi bezpieczeństwa: adres IP zapisywany przy próbach logowania i resetowania hasła - wyłącznie w celu ochrony przed atakami brute-force; usuwany automatycznie po max. 24 godzinach.
• Subskrypcji: Stripe Customer ID, Stripe Subscription ID, plan, status, data wygaśnięcia.
• Sesji: tokeny „Zapamiętaj mnie”, User-Agent przeglądarki (do ochrony przed przejęciem sesji).
• Demo: IP zapisywane max. 24h (ochrona przed nadmiernym zakładaniem kont).

• Art. 6 ust. 1 lit. b RODO - wykonanie umowy: logowanie, zarządzanie Subskrypcją, generowanie Grafiku.
• Art. 6 ust. 1 lit. c RODO - obowiązek prawny: dokumentacja podatkowa (min. 5 lat od zakończenia roku podatkowego).
• Art. 6 ust. 1 lit. f RODO - uzasadniony interes: bezpieczeństwo Serwisu (rate limiting, ochrona przed brute-force, integralność sesji), dochodzenie roszczeń.

• Twoje konto i dane rejestracyjne: przez cały czas trwania Subskrypcji. Po jej zakończeniu - przez 5 lat (obowiązek przechowywania dokumentacji podatkowej wynikający z prawa podatkowego). Jeśli samodzielnie usuniesz konto - wszystkie dane kasowane są natychmiast i nieodwracalnie (§ 10 Regulaminu).
• Logi bezpieczeństwa (Twój adres IP): zapisywane wyłącznie przy logowaniu i resetowaniu hasła, w celu ochrony Twojego konta przed hakerami. Usuwane automatycznie po maksymalnie 24 godzinach. Nie gromadzimy historii Twoich logowań.
• Dane z niedokończonej rejestracji: jeśli wypełniłeś formularz rejestracyjny, ale nie dobiłeś płatności, dane te są tymczasowo zapisane. Znikają automatycznie, gdy tylko Stripe potwierdzi lub odrzuci płatność. Bez opłaty - brak konta.
• Po usunięciu konta: wszystko zostaje bezpowrotnie skasowane w ciągu kilku sekund - Grafik, pracownicy, ustawienia, tokeny logowania i samo konto. Odtworzenie nie jest możliwe.

1. Twórca przetwarza dane Pracowników wyłącznie jako Podmiot Przetwarzający (art. 4 pkt 8 RODO). Administratorem jest Użytkownik (pracodawca).

2. Szczegółowe zasady powierzenia określone są w Umowie Powierzenia Przetwarzania Danych (DPA), zawieranej wraz z akceptacją Regulaminu (art. 28 RODO). Twórca zobowiązuje się w niej m.in. do: przetwarzania danych wyłącznie na udokumentowane polecenie Użytkownika, zachowania poufności, wdrożenia środków technicznych (m.in. szyfrowania haseł, logicznej separacji zasobów, szyfrowania transmisji), nieudostępniania danych podmiotom trzecim bez zgody, informowania o incydentach oraz pomocy w realizacji praw osób, których dane dotyczą.

3. Użytkownik-pracodawca odpowiada za: podstawę prawną przetwarzania danych Pracowników (art. 6 ust. 1 lit. c RODO w zw. z art. 22¹ § 1 ustawy z dnia 26 czerwca 1974 r. - Kodeks pracy, t.j. Dz.U. 2023 poz. 1465 ze zm.); obowiązek informacyjny wobec Pracowników (art. 13 RODO); minimalizację danych.

4. Serwis przetwarza wyłącznie: imię i nazwisko (bez PESEL, adresu, telefonu), identyfikator zmiany (shiftId), daty pracy (scheduleDate), status urlop/chorobowe (plannedShiftId).

• SeoHost Sp. z o.o. (Polska, EOG) - hosting serwera i SMTP; dane przechowywane w Polsce; brak transferu poza EOG.
• Cloudflare, Inc. (USA, poza EOG) - ochrona sieciowa DDoS/WAF; przetwarza metadane sieciowe (IP, nagłówki); EU-US DPF + SCC.
• Stripe Payments Europe, Limited (Irlandia, EOG) - płatności; odrębny administrator; może przetwarzać poza EOG; stripe.com/privacy.
• Dostawca SMTP: SeoHost Sp. z o.o. - e-maile systemowe.
• Organy publiczne - na żądanie uprawnionych organów.

Dane nie są sprzedawane podmiotom trzecim w celach marketingowych.

• Ciasteczko sesji - niezbędne do prawidłowego działania Serwisu i autoryzacji Użytkownika. Zgodnie z art. 399 ust. 3 PKE ich stosowanie nie wymaga zgody, gdyż są niezbędne do świadczenia usługi.
• „Zapamiętaj mnie” - ułatwiające logowanie. Jego zapisanie wymaga wyrażenia dobrowolnej zgody poprzez zaznaczenie odpowiedniego pola podczas logowania (art. 399 ust. 1 PKE oraz art. 6 ust. 1 lit. a RODO).
• localStorage - przechowuje wyłącznie stan interfejsu (np. ukryte ostrzeżenia, samouczek). Dane te zapisywane są tylko w przeglądarce, nie trafiają na serwer i nie wymagają zgody Użytkownika.

Brak cookies reklamowych ani analitycznych podmiotów trzecich.

Dostęp (art. 15 RODO), sprostowanie (art. 16), usunięcie (art. 17 - przez funkcję usunięcia konta), ograniczenie (art. 18), przenoszenie (art. 20 - eksport .csv), sprzeciw (art. 21).

Prawo wniesienia skargi do Prezesa Urzędu Ochrony Danych Osobowych (UODO), ul. Stawki 2, 00-193 Warszawa, www.uodo.gov.pl.

Żądania: [email protected].

W celu ochrony danych osobowych, Administrator stosuje rygorystyczne środki techniczne i organizacyjne, w szczególności:

• Jednokierunkowe szyfrowanie haseł z wykorzystaniem nowoczesnych algorytmów solących, z zabezpieczeniem przed atakami typu timing attack. W systemie nie są przechowywane hasła w postaci jawnej.
• Ochronę przed atakami typu brute-force poprzez monitorowanie i czasowe blokowanie podejrzanych adresów IP (dane te są automatycznie usuwane po 24 godzinach).
• Limitowanie liczby zapytań do serwera (rate limiting) w celu ochrony stabilności infrastruktury.
• Logiczną separację danych na poziomie aplikacji, co gwarantuje, że Użytkownik ma dostęp wyłącznie do zasobów należących do jego konta.
• Szyfrowanie całego ruchu sieciowego przy pomocy protokołu TLS/SSL (wymuszony protokół HTTPS).
• Zapewnienie ciągłości i bezpieczeństwa poprzez stosowanie zapór sieciowych (WAF) oraz ochrony przed atakami DDoS (infrastruktura Cloudflare).

Stripe Payments Europe, Limited z siedzibą w Irlandii (EOG) - przy przetwarzaniu płatności może przekazywać dane poza EOG na podstawie SCC lub EU-US DPF (stripe.com/privacy). Cloudflare, Inc. (USA) - jako podprocesor sieciowy przetwarza metadane sieciowe (adresy IP, nagłówki HTTP) poza EOG na podstawie EU-US DPF + SCC (cloudflare.com/cloudflare-customer-dpa/). Treść danych Pracowników nie jest przekazywana do Cloudflare. Infrastruktura serwerowa Serwisu zlokalizowana jest w EOG (SeoHost.pl, Polska).

Brak. Algorytm generuje propozycje Grafiku na podstawie danych konfiguracyjnych Użytkownika. Wyniki podlegają weryfikacji pracodawcy. Nie stanowi automatycznego podejmowania decyzji (art. 22 RODO). Brak profilowania marketingowego.

O wszelkich istotnych zmianach w Polityce Prywatności Użytkownicy zostaną poinformowani drogą elektroniczną (e-mail) z co najmniej 14-dniowym wyprzedzeniem.