Что хранится о ваших сотрудниках
Система хранит ровно то, что нужно для работы точки, и это стоит знать точно — потому что отвечать за эти данные перед работником будете вы, а не сервис:
- учётные данные: ФИО, адрес почты, должность и филиалы;
- фотографии: фото профиля, селфи при отметке смены, снимки из чек-листов;
- геопозиция в момент отметки начала и конца смены;
- рабочее время: отрезки смен, опоздания, часы за период;
- результаты работы: пройденные чек-листы, попытки тестов, сообщённые проблемы;
- журнал безопасности по аккаунту: входы, смены пароля, действия с сессиями.
Чего в системе нет: паспортных данных, сведений о здоровье, банковских карт сотрудников. Пароли не хранятся в читаемом виде — только их необратимые отпечатки.
Селфи со смены и фото людей не передаются сторонним сервисам.
Как данные защищены
- Организации изолированы. Записи всегда привязаны к вашей компании, и запрос из чужой организации не получает ваши данные — это проверяется на каждом обращении к серверу, а не настройкой.
- Внутри организации данные делит доступ. Кто что видит, определяется должностью и филиалами: сотрудник одной точки не видит смены и кассу другой. Модель прав разобрана в статье про роли.
- Секреты шифруются. Ключи интеграций и секрет двухфакторной аутентификации хранятся в шифрованном виде, пароли — в виде отпечатков.
- Трафик шифруется. Обмен между браузером и сервером идёт по HTTPS.
- Действия фиксируются. Создание, изменение и удаление записей попадают в журнал: видно, кто и когда это сделал.
Защита входа — пароль, код из приложения, список устройств — вынесена в отдельную статью про двухфакторную аутентификацию.
Как выгрузить свои данные
Любой сотрудник может забрать свои данные сам, не обращаясь в поддержку: в разделе «Настройки → Безопасность» есть кнопка «Скачать мои данные (ZIP)».
В архиве — отдельные файлы в машиночитаемом формате: профиль и роли, пройденные чек-листы, записи смен, попытки тестов, поданные сообщения о проблемах и журнал безопасности по этому человеку. Это право на переносимость данных, и работает оно для собственной учётной записи — выгрузить данные другого сотрудника этой кнопкой нельзя.
Как удалить данные
Сотрудник подаёт заявку сам — там же, в разделе безопасности, с указанием причины. Владелец или администратор видит её в разделе «Настройки → Персональные данные», вкладка заявок, и принимает решение: подтвердить или отклонить с объяснением.
Что происходит при подтверждении: учётная запись обезличивается. Личные данные обнуляются, адрес почты заменяется на служебный, а сами рабочие записи — смены, прохождения, табель — остаются, потому что это данные организации и отчётность по ним. Человека по ним больше не опознать.
В момент подтверждения система формирует акт об уничтожении в PDF и выгрузку из журнала событий — то, чем организация подтверждает исполнение требования работника. Оба документа хранятся три года.
Обезличивание необратимо: восстановить обнулённые данные нельзя, и человеку придётся заводить учётную запись заново. Перед подтверждением заявки убедитесь, что расчёты с работником закрыты.
Ваша организация — тоже оператор
Как только вы собрали ФИО, фотографии и геопозицию работников, ваша компания сама стала оператором персональных данных, со своими обязанностями по закону. Это не формальность: проверка спрашивает документы, а не настройки сервиса.
Раздел «Настройки → Персональные данные» — чек-лист этих обязанностей и генератор документов. Реквизиты и часть пунктов заполняются из ваших настроек автоматически, остальные вы отмечаете сами; документы выгружаются готовыми файлами — приказ о назначении ответственного, политика, перечень обрабатываемых данных, согласие работника, уведомление о контроле рабочего времени.
Согласия работников в системе не собираются: подписывается бумажный бланк, который раздел печатает. Раздел даёт заготовки, а не юридическое заключение — проверка юристом обязательна.
Кто что менял: журнал безопасности
Страница «Журнал безопасности» делится на две части:
- Личная безопасность — события вашего аккаунта: входы, смена пароля, действия с двухфакторной аутентификацией и сессиями. Доступна каждому сотруднику.
- Системные изменения — кто менял настройки, справочники и права. Доступна владельцу и администратору.
Это первое место, куда стоит смотреть при «у меня пропал филиал» или «кто-то поменял права»: там видно действие, автора и время. Другие частые вопросы разобраны в частых вопросах.