Polityka prywatności Contivo HRM

1Kto odpowiada za Twoje dane

Contivo HRM dostarcza Codentra spółka z ograniczoną odpowiedzialnością, ul. Długa 21/5, 58-100 Świdnica, KRS 0000877399, NIP 9571129766, REGON 387886268 (dalej „Codentra” albo „my”). Polityka dotyczy serwisu contivo-hrm.pl — panelu pracodawcy i pracownika w przeglądarce oraz strony ewidencji otwieranej z linku lub karty QR — a także aplikacji Contivo HRM na iPhone’a.

W zależności od tego, o jakie dane chodzi, występujemy w jednej z dwóch ról:

Jesteś pracownikiem? Sprawy dotyczące danych kadrowych i ewidencji najszybciej załatwisz u pracodawcy — w kadrach albo u inspektora ochrony danych, jeśli firma go wyznaczyła. Możesz też napisać do nas: przekażemy sprawę pracodawcy i pomożemy mu ją załatwić.

„RODO” oznacza rozporządzenie (UE) 2016/679, a „KP” — Kodeks pracy.

2Jakie dane przetwarzamy

Konto i kontakt

• imię i nazwisko, numer telefonu, adres e-mail, login, firma i rola (pracownik, przełożony, kadry, właściciel),
• identyfikator konta i pracownika w systemie,
• hasło — wyłącznie w postaci skrótu kryptograficznego; nikt nie zna Twojego hasła,
• kod logowania SMS — przechowywany tylko jako skrót, ważny 5 minut.

Dane kadrowe

• dane z kartoteki wpisane przez pracodawcę albo przez Ciebie w onboardingu (np. PESEL, adres, stanowisko, umowa, wynagrodzenie),
• wnioski urlopowe, paski wynagrodzeń, dokumenty do podpisu i akta osobowe (także zdjęcia i skany dodane do akt).

Akta osobowe mogą zawierać dane szczególnych kategorii (np. orzeczenie lekarskie). Są przetwarzane tylko w zakresie, jakiego wymaga prawo pracy (art. 9 ust. 2 lit. b RODO).

Ewidencja czasu pracy

• godziny START i STOP według zegara serwera, miejsce pracy (np. budowa), plan pracy i przerwy,
• odpowiedzi na pytania aplikacji (np. „Czy przełożony polecił pracę?”), wnioski o korektę, potwierdzenia przełożonego i kadr,
• informacja, czy wpis został zapisany bez zasięgu i wysłany później,
• identyfikator tagu NFC na budowie — jeśli przyłożysz do niego telefon,
• potwierdzenie miesięcznej karty czasu pracy,
• dziennik zdarzeń ewidencji — każde zdarzenie jest powiązane skrótem z poprzednim (łańcuch skrótów), więc zmian nie da się ukryć.

Dane techniczne

• identyfikator sparowanego telefonu i rodzaj przeglądarki lub aplikacji (zapisany jako skrót),
• adres IP, wersja aplikacji, język, token powiadomień push,
• rejestr dostępu — kto z kadr przeglądał lub eksportował ewidencję i kiedy.

Inne

• lokalizacja — tylko w sytuacjach opisanych w punkcie 4,
• SMS-y — numer, rodzaj i treść wysłanych i odebranych wiadomości (kody logowania są w niej zamaskowane), status wysyłki,
• zakupy — identyfikator transakcji Apple, produkt, daty i status subskrypcji,
• zgłoszenia Help Desk — treść i dołączone zdjęcia lub pliki.

3Cele i podstawy prawne

Każdy cel ma swoją podstawę w RODO. Przy każdym podajemy też, kto o nim decyduje.

Zgoda i decyzje automatyczne

Nie opieramy przetwarzania danych pracowników na zgodzie. Pytania iPhone’a o dostęp do lokalizacji, aparatu czy powiadomień to systemowe uprawnienia — decydujesz w nich, czy aplikacja może użyć danej funkcji telefonu.

System nie podejmuje decyzji wywołujących wobec Ciebie skutki prawne wyłącznie automatycznie (art. 22 RODO). Oznaczenia takie jak „poza miejscem pracy” albo „START po planie” tylko wskazują kadrom wpisy do sprawdzenia. Automatyczne zamknięcie otwartego dnia jest propozycją — możesz ją poprawić wnioskiem o korektę, a ostatecznie decyduje człowiek.

Podanie numeru telefonu jest potrzebne do logowania kodem SMS. Bez niego możesz korzystać z ewidencji przez kartę QR od pracodawcy.

4Lokalizacja przy START/STOP

Sprawdzanie miejsca pracy jest formą monitoringu pracowników. Dlatego ma ścisłe zasady, wbudowane w system — a nie tylko zapisane w regulaminie.

Kiedy pozycja jest odczytywana

• Tylko w chwili naciśnięcia START, STOP albo zmiany miejsca pracy w ciągu dnia — jeden odczyt, trwający najwyżej 15 sekund.
• Nigdy w tle. Aplikacja nie ma uprawnienia do lokalizacji „Zawsze” i nie śledzi trasy ani pozycji między START a STOP.
• Gdy przełożony odbija START lub STOP za zespół, odczytywana jest pozycja jego telefonu.

Kiedy w ogóle może być włączona

Serwer prosi o pozycję dopiero wtedy, gdy pracodawca wykonał wszystkie kroki:

1. włączył sprawdzanie miejsca pracy w ustawieniach ewidencji,
2. wpisał datę uruchomienia monitoringu podaną w obwieszczeniu — i ta data już minęła; przepisy wymagają ogłoszenia monitoringu co najmniej 2 tygodnie wcześniej (art. 22² § 6 KP w związku z art. 22³ § 4 KP),
3. przeprowadził ocenę skutków dla ochrony danych — DPIA (art. 35 RODO) — i wpisał jej datę,
4. przekazał Ci pisemną informację o monitoringu, a datę jej doręczenia ma w Twojej kartotece.

Jeżeli któregoś warunku brakuje, aplikacja nie pyta o lokalizację i jej nie wysyła.

Możesz odmówić

Dostęp do lokalizacji wyłączysz w iPhonie: Ustawienia → Contivo HRM → Lokalizacja. START i STOP zapiszą się normalnie — kadry zobaczą tylko informację, że pozycji nie było. Odmowa niczego nie blokuje.

Co jest zapisywane i kto to widzi

• Przy wpisie zostaje wynik sprawdzenia: w miejscu pracy albo poza nim, odległość i dokładność odczytu. Wynik jest wskazówką dla kadr, nie blokuje zapisu i nie jest karą.
• Dokładne współrzędne i adres IP są przechowywane osobno i usuwane automatycznie po okresie ustalonym przez pracodawcę — domyślnie po 90 dniach, najpóźniej po 180 dniach. Dłużej tylko wtedy, gdy pracodawca zabezpieczy je do wyjaśnienia konkretnego sporu lub kontroli.
• Przyłożenie telefonu do tagu NFC na budowie potwierdza miejsce bez odczytu GPS — to nie jest monitoring lokalizacji.

5SMS i powiadomienia push

SMS-y

• Kod logowania — 6 cyfr, ważny 5 minut, najwyżej 5 prób. Kodu nie zapisujemy w logach; w bazie jest tylko jego skrót.
• Link do karty ewidencji — gdy kadry wyślą Ci go SMS-em.
• Przypomnienie o brakującym STOP — tylko gdy pracodawca włączył przypomnienia SMS (domyślnie są wyłączone). Możesz odpisać „TAK” albo godziną zakończenia, np. „16:30”. Odpowiedź trafia do ewidencji i widzą ją kadry; system może odpisać krótkim potwierdzeniem.

SMS-y wysyła i odbiera Twilio, a w firmach, które wybrały własne konto SMSAPI — SMSAPI. Zapisujemy numer, rodzaj i treść wiadomości (kody logowania są zamaskowane) oraz status wysyłki, bo dokumentują przypomnienia i odpowiedzi wpływające na ewidencję.

Powiadomienia push

• Wysyłamy je tylko wtedy, gdy zgodzisz się na powiadomienia w iPhonie. Wyłączysz je w Ustawienia → Powiadomienia → Contivo HRM.
• Dotyczą ewidencji (brak STOP, pytanie o wpis, propozycja zamknięcia dnia, sprawy zespołu dla przełożonego) oraz spraw kadrowych (decyzja urlopowa, nowy pasek, dokument do podpisu).
• Dostarcza je usługa Apple Push Notification service — treść powiadomienia przechodzi przez serwery Apple.
• Przechowujemy token urządzenia, wersję aplikacji i język. Wylogowanie albo usunięcie konta kasuje rejestrację.
• Szybka odpowiedź „Zgadza się” w powiadomieniu działa tak samo jak odpowiedź w aplikacji.

E-maile

System wysyła e-maile związane z usługą, np. link do onboardingu, przypomnienia i zestawienia ewidencji dla kadr. Nie wysyłamy reklam ani newslettera na adresy pracowników.

6Aplikacja: uprawnienia i dane w telefonie

Aplikacja prosi o uprawnienia dopiero wtedy, gdy są potrzebne. Każde możesz cofnąć w ustawieniach iPhone’a.

• Lokalizacja („Podczas używania aplikacji”) — tylko przy START/STOP, zasady w punkcie 4.
• Aparat — zeskanowanie kodu QR z karty ewidencji i zrobienie skanu dokumentu do akt.
• Zdjęcia — tylko te, które sam wybierzesz (do akt osobowych albo zgłoszenia Help Desk).
• NFC — odczyt tagu na budowie przy START/STOP.
• Face ID — opcjonalna ochrona pasków, umów i dokumentów. Sprawdzenie odbywa się w telefonie; nie dostajemy żadnych danych biometrycznych.
• Powiadomienia — opisane w punkcie 5.

W telefonie zostają: dane logowania w pęku kluczy iOS (Keychain), ustawienia aplikacji oraz START i STOP zapisane bez zasięgu — te ostatnie tylko do czasu wysłania na serwer. Wylogowanie i usunięcie konta kasują dane logowania.

Aplikacja nie zawiera reklam, narzędzi analitycznych ani zewnętrznych pakietów śledzących i nie śledzi Cię między aplikacjami i stronami innych firm.

7Płatności i subskrypcje

• Ewidencja czasu pracy jest bezpłatna. Subskrypcje Pracownik Plus i Pracodawca Pro kupujesz w App Store.
• Płatność obsługuje Apple na własnych zasadach (polityka prywatności Apple). Nie otrzymujemy numeru karty ani innych danych płatniczych.
• Od Apple dostajemy podpisaną informację o transakcji: identyfikator (także pierwotny identyfikator transakcji), produkt, datę zakupu i ważności oraz status (np. odnowienie, anulowanie, zwrot). Służy wyłącznie do odblokowania funkcji na Twoim koncie (Pracownik Plus) albo w firmie (Pracodawca Pro).
• Dostęp może też nadać Twój pracodawca w ramach umowy z Codentra — wtedy nic nie kupujesz.
• Subskrypcją zarządzasz w ustawieniach Apple ID: Ustawienia iPhone’a → [Twoje imię] → Subskrypcje albo apps.apple.com/account/subscriptions. Zwroty obsługuje Apple: reportaproblem.apple.com. Usunięcie konta nie anuluje subskrypcji — anuluj ją w ustawieniach Apple ID.

8Komu przekazujemy dane

Nie sprzedajemy danych i nie udostępniamy ich reklamodawcom. Dostęp mają tylko:

Po stronie pracodawcy

• pracodawca i osoby, którym nadał dostęp: kadry, współzarządzający, przełożony (widzi ewidencję swojego zespołu),
• system księgowo-płacowy Contivo tego samego dostawcy (Codentra) i biuro rachunkowe pracodawcy, które z niego korzysta — tylko gdy pracodawca włączył integrację (kartoteki, czas pracy i nieobecności trafiają do płac, a paski wracają do Contivo HRM).

Dostawcy, z których korzystamy

• dostawca hostingu Render Services, Inc. (USA) — serwery i baza danych (centra danych w UE lub USA),
• Cloudflare, Inc. (USA) — CDN i DNS, czyli dostarczanie ruchu do serwisu,
• Twilio Inc. (USA) — wysyłka i odbiór SMS-ów: kody logowania, przypomnienia i odpowiedzi,
• SMSAPI (LINK Mobility Poland sp. z o.o.) — tylko SMS-y firm, które wybrały własne konto SMSAPI,
• Apple Inc. — powiadomienia push (Apple Push Notification service) oraz App Store; przy płatnościach Apple działa jako niezależny administrator,
• dostawca poczty e-mail (serwer SMTP) — wysyłka wiadomości z systemu; pracodawca może wskazać własny serwer poczty,
• system obsługi zgłoszeń Help Desk — prowadzony przez Codentra albo wskazany przez pracodawcę,
• Vapi, Inc. (USA) — wyłącznie SMS-y przekazane z numeru współdzielonego do innego systemu Codentra (zob. punkt 5),
• Google — tylko przy odwiedzinach strony głównej, która pobiera czcionkę z Google Fonts (zob. punkt 13).

Dostawcy przetwarzają dane na podstawie umów i tylko w zakresie potrzebnym do wykonania usługi.

Organy publiczne

Państwowa Inspekcja Pracy, ZUS, urząd skarbowy czy sąd mogą otrzymać dane, gdy wymaga tego prawo. O przekazaniu danych kadrowych decyduje pracodawca.

9Przekazywanie danych poza EOG

Część dostawców (Render, Cloudflare, Twilio, Apple, Vapi, Google) ma siedzibę w USA albo może przetwarzać dane poza Europejskim Obszarem Gospodarczym. Przekazujemy dane tylko z zabezpieczeniami wymaganymi przez RODO:

• na podstawie decyzji Komisji Europejskiej o odpowiednim stopniu ochrony — dla dostawców certyfikowanych w programie EU-U.S. Data Privacy Framework (art. 45 RODO), albo
• na podstawie standardowych klauzul umownych zatwierdzonych przez Komisję Europejską (art. 46 ust. 2 lit. c RODO).

Dane w drodze są szyfrowane. Kopię zastosowanych zabezpieczeń możesz otrzymać, pisząc na adres z punktu 16.

10Jak długo przechowujemy dane

Okresy dla danych kadrowych ustala pracodawca zgodnie z prawem pracy. Gdy umowa pracodawcy z Codentra się kończy, jego dane usuwamy albo zwracamy — tak, jak zdecyduje.

Ewidencja czasu pracy i dokumentacja pracownicza

U pracodawcy przez okres zatrudnienia i co do zasady 10 lat od końca roku, w którym ono ustało (art. 94 pkt 9b KP). Dla zleceniobiorców — potwierdzenia liczby godzin przez 3 lata od wymagalności wynagrodzenia.

Dokładne współrzędne i adres IP przy START/STOP

Tyle dni, ile ustawi pracodawca: domyślnie 90, najwyżej 180. Potem usuwane automatycznie — chyba że pracodawca zabezpieczy je do wyjaśnienia konkretnego sporu lub kontroli.

Kod logowania SMS

5 minut (jako skrót).

Historia SMS-ów

Przez czas korzystania z Contivo HRM przez pracodawcę — dokumentuje przypomnienia i odpowiedzi do ewidencji.

Sesja w aplikacji

Wygasa najpóźniej po 90 dniach; potem trzeba zalogować się ponownie.

Token powiadomień push

Do wylogowania, usunięcia konta albo do chwili, gdy Apple zgłosi, że token jest nieaktualny.

Konto w aplikacji

Do usunięcia konta (zob. punkt 12) albo zakończenia współpracy przez pracodawcę.

Dane subskrypcji

Przez czas trwania subskrypcji, a potem tak długo, jak wymagają tego przepisy lub obrona przed roszczeniami.

Konto firmy i rozliczenia

Przez czas umowy; dokumenty księgowe tak długo, jak wymagają tego przepisy podatkowe i o rachunkowości (co do zasady 5 lat).

Korespondencja i zgłoszenia

Do załatwienia sprawy, a potem do upływu terminu przedawnienia ewentualnych roszczeń.

Logi techniczne serwera

Krótko — tyle, ile potrzeba do diagnostyki i ochrony przed nadużyciami.

11Twoje prawa

Masz prawo:

• dostępu do swoich danych i otrzymania ich kopii (art. 15 RODO),
• sprostowania nieprawidłowych danych (art. 16) — godziny w ewidencji poprawisz wnioskiem o korektę w aplikacji,
• usunięcia danych (art. 17) — z wyjątkiem tych, które pracodawca musi przechowywać z mocy prawa,
• ograniczenia przetwarzania (art. 18),
• przenoszenia danych, które przetwarzamy na podstawie umowy, w formacie elektronicznym (art. 20),
• sprzeciwu wobec przetwarzania opartego na prawnie uzasadnionym interesie (art. 21) — także wobec sprawdzania lokalizacji,
• skargi do Prezesa Urzędu Ochrony Danych Osobowych, ul. Stawki 2, 00-193 Warszawa (uodo.gov.pl).

Prawa dotyczące danych kadrowych wykonuje pracodawca — to do niego najlepiej kierować wniosek. Jeśli napiszesz do nas, przekażemy wniosek pracodawcy i pomożemy mu odpowiedzieć. Na wnioski dotyczące danych, za które odpowiada Codentra, odpowiadamy bez zbędnej zwłoki, najpóźniej w ciągu miesiąca.

12Usunięcie konta

Konto usuniesz w aplikacji: Więcej → Ustawienia → Konto → Usuń konto. Co się wtedy stanie:

• Konto założone w aplikacji (logowanie numerem telefonu) usuwamy od razu: konto logowania, rejestrację powiadomień push i powiadomienia w aplikacji. Z telefonu znikają wszystkie dane aplikacji, w tym parowanie z linkiem ewidencji.
• Konto z panelu w przeglądarce (np. konto pracodawcy albo pracownika z kontem webowym) działa także poza aplikacją, więc trafia jako wniosek do pracodawcy (konto kadr — do administratora Contivo HRM). Rejestrację powiadomień i powiadomienia kasujemy od razu.
• Jeśli korzystasz tylko z karty QR, zaloguj się numerem telefonu i kodem SMS, aby usunąć konto.

Nie masz aplikacji? Napisz do pracodawcy albo do nas na adres z punktu 16.

13Pliki cookie i pamięć przeglądarki na stronie

Serwis contivo-hrm.pl używa wyłącznie plików i pamięci technicznych, niezbędnych do działania usługi, o którą prosisz. Nie używamy cookie reklamowych ani analitycznych, dlatego nie wyświetlamy banera zgody.

• Ciasteczko tt_dev — paruje telefon z linkiem do ewidencji, żeby nikt inny nie mógł odbijać START/STOP za Ciebie. Jest niedostępne dla skryptów (HttpOnly), wysyłane tylko do ewidencji i ważne do 400 dni.
• Pamięć lokalna przeglądarki (local storage) — token sesji po zalogowaniu do panelu i wybrana firma; na stronie ewidencji także wybrany język, ostatni stan dnia i START/STOP zapisane bez zasięgu, do czasu wysłania. Wylogowanie usuwa token sesji, a resztę skasujesz, czyszcząc dane witryny w przeglądarce.

Strona główna contivo-hrm.pl pobiera czcionkę Inter z serwerów Google Fonts — Google otrzymuje wtedy adres IP i informacje o przeglądarce, bez plików cookie. Ta strona i panel z tego nie korzystają.

14Bezpieczeństwo

• połączenia są szyfrowane (HTTPS), a dane logowania w telefonie trzymamy w pęku kluczy iOS,
• hasła i kody SMS przechowujemy wyłącznie jako skróty; logowanie kodem ma limity prób i wysyłek,
• telefon jest parowany z linkiem do ewidencji, a liczba telefonów na jeden link jest ograniczona,
• dziennik zdarzeń ewidencji można tylko uzupełniać — wpisów nie da się po cichu zmienić ani usunąć; zamknięty miesiąc jest zabezpieczony sumą kontrolną,
• każdy dostęp kadr do ewidencji i eksport trafia do rejestru dostępu,
• dokładne współrzędne i adresy IP są przechowywane osobno od ewidencji i automatycznie usuwane.

15Zmiany polityki

Politykę aktualizujemy, gdy zmienia się usługa, dostawcy albo przepisy. Aktualna wersja jest zawsze pod adresem contivo-hrm.pl/prywatnosc, a datę ostatniej zmiany podajemy na górze strony. O istotnych zmianach poinformujemy w aplikacji albo w panelu.

16Kontakt

W sprawach danych kadrowych i ewidencji kontaktuj się najpierw ze swoim pracodawcą. Organ nadzorczy: Prezes Urzędu Ochrony Danych Osobowych.