Polityka prywatności WTMS
W skrócie:
- WTMS to system dla firm. Za dane pracowników w WTMS odpowiada ich pracodawca (nasz Klient), a my przetwarzamy je w jego imieniu.
- Sami decydujemy o danych w serwisie wtms.app, przy rejestracji wersji demonstracyjnej, w kontaktach handlowych, rozliczeniach i zabezpieczeniach.
- Aplikacja mobilna WTMS nie śledzi lokalizacji w tle. Pobiera ją tylko w chwili robienia zdjęcia i zapisuje w danych zdjęcia.
- Serwery WTMS znajdują się w naszej serwerowni w Polsce.
- Nie sprzedajemy danych i nie używamy ich do reklam.
1. Kto odpowiada za Twoje dane
Operatorem WTMS jest inProjects spółka z ograniczoną odpowiedzialnością sp. k. z siedzibą w Szczecinie, ul. Harcerzy 3, 71-465 Szczecin, wpisana do rejestru przedsiębiorców KRS pod numerem 0000650754, NIP 854-240-20-87, REGON 321193708 (dalej: inProjects, my).
Kontakt: [email protected], tel. +48 91 886 18 38. Wyznaczyliśmy Inspektora Ochrony Danych, z którym skontaktujesz się pod adresem [email protected] lub pisemnie na adres siedziby z dopiskiem „IOD”.
Nasza rola zależy od tego, o jakich danych mowa:
| Sytuacja | Kto jest administratorem | Nasza rola |
|---|---|---|
| Przeglądasz serwis wtms.app, piszesz do nas, umawiasz spotkanie | inProjects | administrator (sekcja 2) |
| Rejestrujesz instancję demonstracyjną | inProjects, w zakresie danych rejestracyjnych | administrator (sekcja 3) |
| Reprezentujesz Klienta, jesteś osobą kontaktową, opłacasz abonament | inProjects | administrator (sekcja 2) |
| Pracujesz w WTMS jako pracownik lub współpracownik firmy, która korzysta z WTMS (czas pracy, zdjęcia, zlecenia, sprzęt) | Twój pracodawca lub zleceniodawca (Klient) | podmiot przetwarzający (sekcja 4) |
| Twoje dane (np. adres, telefon) znalazły się w zleceniu, bo firma korzystająca z WTMS wykonuje u Ciebie prace | ta firma (Klient) | podmiot przetwarzający (sekcja 4) |
| Dane techniczne o korzystaniu z Platformy, przetwarzane w celu jej zabezpieczenia i usuwania błędów | inProjects | administrator (sekcja 2) |
2. Dane, które przetwarzamy jako administrator
| Cel | Dane | Podstawa prawna | Okres przechowywania |
|---|---|---|---|
| Udostępnienie serwisu wtms.app i jego zabezpieczenie | adres IP, data i godzina, adres żądanej strony, typ przeglądarki (logi serwera) | art. 6 ust. 1 lit. f RODO: nasz uzasadniony interes w zapewnieniu działania i bezpieczeństwa serwisu | do 30 dni, dłużej tylko w razie incydentu |
| Odpowiedź na wiadomość z formularza kontaktowego lub e-mail | imię i nazwisko, e-mail, telefon, firma, treść wiadomości | art. 6 ust. 1 lit. f RODO (odpowiedź na zapytanie), a gdy zapytanie dotyczy zawarcia umowy: art. 6 ust. 1 lit. b RODO | do 12 miesięcy od ostatniego kontaktu, chyba że nawiążemy współpracę |
| Umówienie spotkania przez kalendarz online | imię i nazwisko, e-mail, wybrany termin, dodatkowe informacje podane w formularzu | art. 6 ust. 1 lit. b RODO (działania przed zawarciem umowy) | do 12 miesięcy od spotkania, chyba że nawiążemy współpracę |
| Zawarcie i wykonanie Umowy z Klientem, kontakt w sprawach Umowy, wsparcie techniczne, reklamacje | dane osób reprezentujących Klienta i osób kontaktowych: imię i nazwisko, stanowisko, e-mail, telefon; treść zgłoszeń | art. 6 ust. 1 lit. f RODO: uzasadniony interes w wykonaniu umowy z Klientem, którego reprezentujesz; jeżeli Klientem jest osoba fizyczna prowadząca działalność: art. 6 ust. 1 lit. b RODO | przez czas trwania Umowy i do upływu terminu przedawnienia roszczeń |
| Rozliczenia, fakturowanie i obowiązki podatkowo-księgowe | dane z faktur, historia płatności, identyfikator transakcji u operatora płatności (nie przechowujemy pełnych numerów kart) | art. 6 ust. 1 lit. c RODO (przepisy podatkowe i o rachunkowości) | 5 lat od końca roku kalendarzowego, w którym upłynął termin płatności podatku |
| Bezpieczeństwo Platformy, wykrywanie nadużyć, diagnostyka błędów i wydajności | identyfikator Użytkownika i Organizacji, adres IP, dzienniki zdarzeń, raporty błędów (w aplikacji mobilnej także adres e-mail i zrzut ekranu z chwili błędu), dane o wydajności i przebiegu sesji w panelu | art. 6 ust. 1 lit. f RODO: uzasadniony interes w zapewnieniu bezpieczeństwa i ciągłości działania usługi | raporty błędów i dane telemetryczne do 90 dni; dzienniki bezpieczeństwa do 12 miesięcy |
| Ustalenie, dochodzenie i obrona roszczeń | dane niezbędne w danej sprawie | art. 6 ust. 1 lit. f RODO | do upływu terminu przedawnienia roszczeń |
| Informacje o nowościach WTMS wysyłane e-mailem (tylko jeśli się na to zgodzisz) | e-mail, imię | art. 6 ust. 1 lit. a RODO (zgoda) oraz art. 398 ustawy Prawo komunikacji elektronicznej | do wycofania zgody |
Podanie danych jest dobrowolne, ale bez niektórych z nich nie odpowiemy na zapytanie, nie założymy Demo ani nie zawrzemy Umowy. Obowiązek podania danych do faktury wynika z przepisów prawa.
3. Instancja demonstracyjna (Demo)
Każdy może bezpłatnie założyć w serwisie wtms.app czasową, odrębną instancję demonstracyjną WTMS. Tak przetwarzamy dane związane z Demo:
| Dane | Po co | Podstawa prawna |
|---|---|---|
| Nazwa firmy, wybrana subdomena, służbowy adres e-mail; opcjonalnie numer telefonu i język | założenie i udostępnienie Demo, założenie konta administratora Demo, kontakt w sprawach Demo | art. 6 ust. 1 lit. b RODO (umowa o świadczenie usługi Demo); gdy rejestrujesz Demo w imieniu firmy: art. 6 ust. 1 lit. f RODO |
| Jednorazowy kod weryfikacyjny wysłany e-mailem | potwierdzenie, że adres e-mail należy do Ciebie. Kod i adres przechowujemy tylko w postaci kryptograficznego skrótu, przez 15 minut | art. 6 ust. 1 lit. f RODO (zapobieganie nadużyciom) |
| Adres IP, z którego nastąpiła rejestracja, i czas rejestracji | wykrywanie nadużyć, egzekwowanie limitów rejestracji, bezpieczeństwo | art. 6 ust. 1 lit. f RODO |
| Wynik weryfikacji antybotowej (Cloudflare Turnstile) | ochrona formularza przed automatyczną rejestracją. Cloudflare analizuje sygnały techniczne przeglądarki i adres IP | art. 6 ust. 1 lit. f RODO |
| Nazwa firmy, adres Demo, e-mail, telefon, język, czas rejestracji (powiadomienie dla zespołu sprzedaży) | kontakt handlowy w sprawie Demo i ewentualnego zakupu WTMS | art. 6 ust. 1 lit. f RODO (marketing bezpośredni własnych usług wobec firmy, która wyraziła zainteresowanie). Możesz się w każdej chwili sprzeciwić. |
- Jak długo: Demo trwa standardowo 7 dni od ustawienia hasła. Potem dostęp jest blokowany, a dane przechowujemy jeszcze przez 90 dni, abyś mógł kontynuować pracę po zakupie abonamentu. Po tym czasie usuwamy trwale całe Demo:
- dane rejestracyjne i adres IP,
- konta użytkowników Demo, które nie należą do innej organizacji,
- wszystkie wprowadzone dane i pliki.
- Nie wprowadzaj do Demo danych osobowych pracowników ani klientów. Demo służy wyłącznie do testów. Jeśli mimo to wprowadzisz takie dane, Twoja firma jest ich administratorem, a my przetwarzamy je w jej imieniu do czasu usunięcia Demo (sekcja 4).
- Jeżeli podany adres e-mail ma już konto w WTMS, nie tworzymy Demo i wysyłamy na ten adres informację o próbie rejestracji. W ten sposób nie ujawniamy, czy adres istnieje w systemie.
- Strony Demo są oznaczone jako niepodlegające indeksowaniu przez wyszukiwarki.
4. Dane w WTMS przetwarzane w imieniu Klientów
Firmy korzystające z WTMS (Klienci) używają go do organizacji pracy swoich zespołów. W tym zakresie administratorem danych jest Klient, np. Twój pracodawca. To on decyduje:
- jakie dane są zbierane,
- w jakim celu i na jakiej podstawie prawnej,
- kto ma do nich dostęp,
- jak długo są przechowywane.
inProjects przetwarza te dane wyłącznie na polecenie Klienta, na podstawie umowy powierzenia (art. 28 RODO) stanowiącej Załącznik nr 2 do Regulaminu.
W zależności od modułów używanych przez Klienta w WTMS mogą być przetwarzane:
- dane konta: imię, nazwisko, e-mail, telefon, rola, zespół, przełożony, przynależność do organizacji;
- dane logowania: hasło (w postaci skrótu), kod QR do logowania (zmieniany przy każdym logowaniu), identyfikator karty RFID, informacje o zaproszeniach;
- czas pracy i obecność: rejestry wejść i wyjść (w tym z kiosku RFID), czas pracy przy zadaniach, harmonogramy, automatycznie wyliczane spóźnienia, wcześniejsze wyjścia i przerwy, korekty;
- zlecenia i zadania: przypisania, statusy, formularze, komentarze, historia zmian;
- zdjęcia i ich metadane: zdjęcie, lokalizacja GPS i wysokość z chwili wykonania, czas, model i parametry aparatu, na części kopii naniesiony opis z datą i współrzędnymi. Na zdjęciach może być widoczny wizerunek osób;
- urządzenia: identyfikator, model i wersja systemu telefonu używanego z aplikacją;
- sprzęt, materiały i magazyn: wypożyczenia narzędzi, pobrania materiałów, pojazdy (w tym numer rejestracyjny);
- paliwo i wydatki: zdjęcia paragonów, ilości, kwoty, dane dostawców, numery faktur;
- dane klientów końcowych Klienta: imię i nazwisko lub nazwa, telefon, adres i lokalizacja miejsca prac, uwagi;
- dziennik zmian (audyt): kto, kiedy i co zmienił w danych.
Jeżeli jesteś pracownikiem lub współpracownikiem firmy korzystającej z WTMS, pełne informacje o przetwarzaniu Twoich danych oraz o podstawach prawnych, np. ewidencji czasu pracy czy kontroli pracowników, przekazuje Ci pracodawca lub zleceniodawca. Do niego kieruj też żądania dotyczące swoich danych, w tym wglądu, poprawienia i usunięcia. Jeżeli napiszesz do nas, przekażemy Twoją prośbę właściwemu Klientowi.
5. Aplikacja mobilna WTMS
Aplikacja mobilna WTMS (Android, iOS) jest przeznaczona dla Użytkowników, którym Klient nadał dostęp. Aplikacja prosi o następujące uprawnienia:
| Uprawnienie | Do czego służy | Kiedy działa |
|---|---|---|
| Aparat | wykonywanie zdjęć dokumentujących prace, skanowanie kodu QR do logowania | tylko gdy otworzysz aparat w aplikacji; aplikacja nie nagrywa dźwięku |
| Lokalizacja (dokładna i przybliżona) | zapisanie współrzędnych GPS w danych zdjęcia, aby można je było pokazać na mapie przy właściwym adresie | tylko w chwili wykonania zdjęcia: jednorazowy odczyt pozycji (do ok. 8 sekund) lub ostatnia znana pozycja. Aplikacja nie śledzi lokalizacji w sposób ciągły ani w tle i nie zapisuje trasy przejazdu |
| Dostęp do zdjęć i lokalizacji zapisanej w zdjęciach | dodanie zdjęcia z galerii i odczyt zapisanej w nim lokalizacji | tylko dla zdjęć, które sam wybierzesz |
| Pamięć urządzenia (Android 9 i starsze) | zapis wykonanych zdjęć | przy zapisie zdjęcia |
| Internet, wibracje | komunikacja z Platformą, sygnalizacja zdarzeń | podczas pracy aplikacji |
- Możesz w każdej chwili odebrać uprawnienia w ustawieniach telefonu. Bez dostępu do aparatu i lokalizacji dokumentowanie prac zdjęciami będzie niemożliwe lub ograniczone.
- Praca w tle i offline: zdjęcia i dane zapisane bez dostępu do internetu są przechowywane lokalnie na telefonie i wysyłane do Platformy, gdy połączenie wróci. Wysyłka odbywa się też w tle, cyklicznie (ok. co 15 minut). Dotyczy to wyłącznie przesyłania danych, nie zbierania lokalizacji.
- Na urządzeniu zapisujemy: token logowania, wybraną organizację i instancję, lokalną bazę danych trybu offline oraz zdjęcia do czasu ich wysłania. Wylogowanie lub odinstalowanie aplikacji usuwa te dane z urządzenia; wyjątkiem są zdjęcia, które zapisałeś w galerii telefonu.
- Identyfikator urządzenia: aplikacja przekazuje identyfikator urządzenia, jego model i wersję systemu, aby Klient mógł zarządzać urządzeniami firmowymi.
- Raporty błędów: gdy aplikacja napotka błąd, przesyła raport na nasz serwer diagnostyczny. Raport zawiera identyfikator i adres e-mail Użytkownika, identyfikator organizacji, dane techniczne urządzenia, przebieg zdarzeń oraz zrzut ekranu z chwili błędu. Serwer diagnostyczny znajduje się w infrastrukturze inProjects i nie jest udostępniany podmiotom zewnętrznym. Raporty służą wyłącznie do usuwania błędów.
- Aplikacja nie zawiera reklam ani narzędzi śledzących do celów reklamowych i nie korzysta z identyfikatora reklamowego.
- Usunięcie konta: konta w WTMS zakłada i usuwa Klient (pracodawca). Aby usunąć konto, zwróć się do administratora WTMS w swojej firmie albo napisz do nas na [email protected]. Przekażemy prośbę Klientowi i potwierdzimy jej obsługę.
6. Pliki cookies i pamięć przeglądarki
Panel WTMS korzysta wyłącznie z plików cookies i mechanizmów pamięci przeglądarki, które są niezbędne do świadczenia usługi, o którą prosisz (wyjątek od obowiązku uzyskania zgody z art. 399 ustawy Prawo komunikacji elektronicznej). Nie wymagają one zgody. Nie stosujemy cookies reklamowych ani analitycznych narzędzi firm trzecich.
| Nazwa | Rodzaj | Cel | Czas przechowywania |
|---|---|---|---|
sessionid | cookie | utrzymanie sesji zalogowanego użytkownika | do wylogowania lub wygaśnięcia sesji |
csrftoken | cookie | ochrona przed atakami typu CSRF | do 1 roku |
wtms_access_token, wtms_refresh_token | sessionStorage | uwierzytelnianie zapytań do API | do zamknięcia karty przeglądarki (token dostępowy ważny 60 minut, odświeżający 7 dni) |
wtms.language, wtms.listMode i podobne | localStorage | zapamiętanie języka, widoku list, liczby elementów na stronie i ustawień kalendarza | do usunięcia przez użytkownika |
| identyfikator sesji diagnostycznej | sessionStorage | powiązanie błędów i pomiarów wydajności z jedną sesją panelu (monitoring na serwerach inProjects) | do zamknięcia karty przeglądarki |
| Cloudflare Turnstile | skrypt i dane techniczne dostawcy | weryfikacja antybotowa w formularzu rejestracji Demo | według zasad Cloudflare, zwykle na czas weryfikacji |
Strona informacyjna WTMS nie używa cookies ani narzędzi analitycznych. Osadzone filmy YouTube ładujemy w trybie ograniczonego śledzenia (youtube-nocookie.com). Google może zapisać dane w przeglądarce dopiero po uruchomieniu filmu. Zasady prywatności Google: policies.google.com/privacy.
Cookies możesz usunąć lub zablokować w ustawieniach przeglądarki. Zablokowanie cookies niezbędnych uniemożliwi zalogowanie się do panelu.
7. Odbiorcy danych i dalsze podmioty przetwarzające
Infrastruktura produkcyjna WTMS jest utrzymywana w serwerowni inProjects w Polsce. Tu działają:
- bazy danych, pliki i kopie zapasowe,
- serwer pocztowy wysyłający wiadomości systemowe,
- serwer map kafelkowych,
- system raportowania błędów i monitoringu.
Dane przekazujemy innym podmiotom tylko w zakresie niezbędnym do działania określonych funkcji:
| Podmiot | Zakres i cel | Lokalizacja / podstawa transferu |
|---|---|---|
| Cloudflare, Inc. | weryfikacja antybotowa (Turnstile) w formularzu Demo; obsługa DNS i ochrona ruchu adresów Demo | USA / EU-U.S. Data Privacy Framework, standardowe klauzule umowne |
| Mapbox, Inc. | zamiana adresów na współrzędne (geokodowanie) i statyczne podglądy map. Przekazywane są adresy lub współrzędne, bez danych Użytkowników | USA / EU-U.S. Data Privacy Framework, standardowe klauzule umowne |
| OpenStreetMap Foundation | ustalenie adresu na podstawie współrzędnych zdjęcia (Nominatim) oraz podkłady mapowe pobierane przez przeglądarkę (tile.openstreetmap.org). Dostawca widzi adres IP przeglądarki | Wielka Brytania / decyzja Komisji Europejskiej stwierdzająca odpowiedni stopień ochrony |
| MapTiler AG | podkład mapy terenu pobierany przez przeglądarkę. Dostawca widzi adres IP przeglądarki | Szwajcaria / decyzja stwierdzająca odpowiedni stopień ochrony |
| Google Ireland Ltd. / Google LLC | jeżeli Klient włączy integrację: przechowywanie zdjęć w Google Drive i synchronizacja arkuszy w Google Sheets. Gdy integracja działa na koncie Google Klienta, Google jest dostawcą Klienta, a nie naszym | UE/USA / EU-U.S. Data Privacy Framework, standardowe klauzule umowne |
| Operatorzy płatności: Stripe Payments Europe Ltd. (Irlandia), PayU S.A., PayPro S.A. (Przelewy24), Krajowy Integrator Płatności S.A. (Tpay), Autopay S.A. | obsługa płatności za abonament. Operator, którego wybierzesz, przetwarza dane płatności jako odrębny administrator, na zasadach własnej polityki prywatności | UE (Stripe może przekazywać dane do USA na podstawie standardowych klauzul umownych) |
| Cal.com, Inc. | umawianie spotkań przez kalendarz online w serwisie | USA / standardowe klauzule umowne |
| Biuro rachunkowe, doradcy prawni, audytorzy | obsługa księgowa, prawna i audytowa inProjects | Polska |
| Organy publiczne | gdy obowiązek przekazania danych wynika z przepisów prawa | zgodnie z przepisami |
Dostęp do danych mają też Klienci i Użytkownicy w zakresie nadanym przez Klienta. O zmianach listy dalszych podmiotów przetwarzających informujemy Klientów co najmniej 14 dni wcześniej (Regulamin, Załącznik nr 2, pkt 5).
8. Przekazywanie danych poza EOG
Dane przechowujemy w Polsce. Poza Europejski Obszar Gospodarczy trafiają tylko w związku z usługami wskazanymi w sekcji 7, tj. Cloudflare, Mapbox, Cal.com, Stripe i opcjonalnie Google. W każdym takim przypadku stosujemy zabezpieczenia z rozdziału V RODO:
- decyzję Komisji Europejskiej stwierdzającą odpowiedni stopień ochrony (w tym EU-U.S. Data Privacy Framework dla certyfikowanych podmiotów),
- albo standardowe klauzule umowne.
Kopię zabezpieczeń możesz uzyskać, pisząc na [email protected].
9. Jak długo przechowujemy dane
| Dane | Okres |
|---|---|
| Dane Klienta w Platformie (sekcja 4) | przez czas trwania umowy, w ramach okresu przechowywania wynikającego z pakietu (np. 24 miesiące) lub ustawień Klienta. Po zakończeniu umowy: 30 dni na eksport, potem usunięcie w ciągu kolejnych 60 dni; z kopii zapasowych w ramach ich cyklu rotacji |
| Demo i dane rejestracyjne Demo, w tym adres IP | okres Demo + 90 dni, następnie trwałe usunięcie |
| Powiadomienie o rejestracji Demo dla zespołu sprzedaży | do 12 miesięcy od zakończenia Demo, chyba że nawiążemy współpracę |
| Kod weryfikacyjny e-mail (skrót) | 15 minut |
| Logi serwera strony informacyjnej | do 30 dni |
| Raporty błędów i dane telemetryczne | do 90 dni |
| Dzienniki bezpieczeństwa | do 12 miesięcy |
| Zapytania i korespondencja handlowa | do 12 miesięcy od ostatniego kontaktu |
| Dane osób kontaktowych Klienta | czas trwania umowy + okres przedawnienia roszczeń |
| Dokumenty rozliczeniowe | 5 lat od końca roku, w którym upłynął termin płatności podatku |
10. Twoje prawa
W zakresie danych, których jesteśmy administratorem, masz prawo:
- dostępu do danych i otrzymania ich kopii (art. 15 RODO),
- sprostowania danych (art. 16 RODO),
- usunięcia danych (art. 17 RODO),
- ograniczenia przetwarzania (art. 18 RODO),
- przenoszenia danych przetwarzanych na podstawie umowy lub zgody w sposób zautomatyzowany (art. 20 RODO),
- sprzeciwu wobec przetwarzania na podstawie naszego uzasadnionego interesu, w tym wobec kontaktu handlowego po rejestracji Demo (art. 21 RODO),
- wycofania zgody w dowolnym momencie, bez wpływu na zgodność z prawem przetwarzania przed jej wycofaniem,
- wniesienia skargi do Prezesa Urzędu Ochrony Danych Osobowych (ul. Stawki 2, 00-193 Warszawa, uodo.gov.pl) lub organu nadzorczego w państwie Twojego miejsca zamieszkania lub pracy.
Żądania wysyłaj na [email protected]. Odpowiadamy bez zbędnej zwłoki, nie później niż w ciągu miesiąca. W razie potrzeby możemy poprosić o potwierdzenie tożsamości.
W zakresie danych przetwarzanych w imieniu Klientów (sekcja 4) swoje prawa realizujesz wobec Klienta, np. pracodawcy. My pomagamy Klientowi w ich realizacji.
11. Bezpieczeństwo
Stosujemy środki techniczne i organizacyjne dostosowane do ryzyka, w szczególności:
- każdy Klient ma odrębną instancję z własną bazą danych,
- transmisja danych jest szyfrowana (TLS),
- hasła są przechowywane w postaci skrótów kryptograficznych,
- kody QR do logowania zmieniają się przy każdym logowaniu,
- stosujemy limity prób logowania i zapytań,
- uprawnienia opierają się na rolach, a dostęp naszego personelu jest ograniczony do niezbędnego minimum,
- prowadzimy dziennik zmian w danych,
- wykonujemy kopie zapasowe, monitorujemy błędy i regularnie aktualizujemy oprogramowanie.
Pracownicy i współpracownicy inProjects mający dostęp do danych są zobowiązani do zachowania poufności.
12. Zautomatyzowane decyzje i profilowanie
Nie podejmujemy wobec nikogo decyzji opartych wyłącznie na zautomatyzowanym przetwarzaniu, które wywoływałyby skutki prawne lub w podobny sposób istotnie na kogoś wpływały (art. 22 RODO), i nie profilujemy w celach marketingowych.
WTMS wylicza automatycznie np. czas pracy, spóźnienia lub przekroczenia limitów. To jednak obliczenia udostępniane Klientowi. Ewentualne decyzje na ich podstawie podejmuje Klient.
WTMS jest przeznaczony dla firm i nie jest skierowany do osób poniżej 16 roku życia.
13. Zmiany polityki
Politykę aktualizujemy, gdy zmieniają się funkcje WTMS, lista dostawców lub przepisy. O istotnych zmianach informujemy Klientów e-mailem lub w Platformie. Na tej stronie zawsze znajduje się aktualna wersja z datą obowiązywania, a poprzednie wersje udostępniamy na żądanie.