Vem som ansvarar för uppgifterna
Tidmate levereras av jlt solutions, Änggatan 4a, 256 56 Helsingborg, organisationsnummer [org.nr].
Er arbetsgivare är personuppgiftsansvarig för uppgifterna om sina medarbetare. jlt solutions är personuppgiftsbiträde och behandlar dem på arbetsgivarens instruktion. Biträdesavtal tecknas separat och går före den här policyn om de skulle säga emot varandra.
För den som på egen hand besöker webbplatsen och skapar ett konto är jlt solutions i stället personuppgiftsansvarig, fram till dess att kontot knyts till en organisation.
Behandlingen vilar på anställningsavtalet och på rättsliga förpliktelser i arbetsgivarrollen — inte på samtycke. Tjänsten ber därför aldrig om samtycke till behandlingen, eftersom ett samtycke som inte går att neka inte är ett samtycke.
Vilka uppgifter som behandlas
Uppgifterna kommer från arbetsgivaren och från medarbetaren själv.
- Inloggningskonto
- E-postadress, namn och en kryptografisk kontroll av lösenordet. Lösenordet lagras aldrig i klartext.
- Medlemskap i organisationen
- Visningsnamn, roll, anställningsform, närmaste chef, kompetenser, utbildningar och tillgänglighet.
- Schema och tid
- Pass, frånvaroansökningar, tidrapporter och bytesförfrågningar — med de tidpunkter och godkännanden som hör till.
- Beslutsunderlag
- Skäl som skrivs när ett pass avvisas. Fältet är fritext och kan innehålla uppgifter om en namngiven person; det läses bara av chefer, schemaläggare och administratörer.
- Händelselogg
- Vem som ändrade vad och när i schema och godkännanden. Loggen går att skriva till och läsa, aldrig att ändra i efterhand.
- Drifttekniska uppgifter
- IP-adress och tidpunkt i leverantörernas driftloggar, för felsökning och skydd mot missbruk.
Kakor
Tidmate sätter bara de kakor tjänsten inte fungerar utan. Det finns inga analys- eller marknadsföringskakor, ingen tredjepartsspårning och inga annonsnätverk. Språkvalet ligger i adressen, inte i en kaka.
- sb-* (Supabase Auth)
- Håller dig inloggad mellan sidvisningar. Försvinner när du loggar ut.
- org_id
- Vilken organisation du arbetar i just nu, för den som är medlem i flera.
Underbiträden
Tjänsten drivs med hjälp av tre leverantörer, alla inom EU. Någon överföring till tredjeland är inte avsedd.
- Supabase
- Databas och inloggning. Servrar i Irland.
- Vercel
- Drift av själva webbplatsen. Servrar inom EU.
- Resend
- Utskick av inbjudningar och återställningslänkar. Får e-postadress och meddelandetext, inget annat.
Anonymisering i stället för radering
Ett pass utan person är inte anonymt, det är trasigt. Om en medarbetare raderas rakt av blir passen kvar utan ägare, medan frånvarostatistiken räknar dem som en lugn vecka. Historiken går sönder utan att personen försvinner.
Tidmate anonymiserar därför i stället: kopplingen till inloggningskontot nollas, visningsnamnet ersätts med en etikett som inte går att härleda till någon, och e-postadress, externt katalog-id och chefskoppling töms. Passen finns kvar som arbetstid, men inte som en person.
En medlem som varken har pass, frånvaro eller tidrapporter har ingen historik att bevara och tas bort på riktigt.
Att radera själva inloggningskontot är ett beslut för jlt solutions, inte för en enskild arbetsgivare — samma konto kan vara medlem i flera organisationer, och den ena kundens radering får inte släcka den andras.
Hur länge uppgifterna sparas
Klockan börjar gå den dag anställningen avslutas i tjänsten. Utan det datumet går det inte att skilja någon som har slutat från någon som är ledig.
Fönstren sätts av arbetsgivaren. Tidmate har försiktiga standardvärden — 24 månader efter avslutad anställning, och 24 månader för händelseloggen — men varje kund kan korta eller förlänga dem efter sitt eget behov och sina egna krav.
En gallring körs varje natt. Den anonymiserar det som har förfallit och raderar loggrader som har passerat sitt fönster. Anonymiserade uppgifter är inte längre personuppgifter, och gallringen rör dem därför inte.
Era rättigheter
Enligt dataskyddsförordningen har du bland annat rätt till följande.
- Registerutdrag — alla uppgifter om dig i en läsbar sammanställning. Din arbetsgivare tar fram det direkt i tjänsten.
- Rättelse av uppgifter som är fel.
- Radering i den mån uppgifterna inte behövs för att fullgöra anställningen eller ett lagkrav.
- Begränsning och invändning mot viss behandling.
- Dataportabilitet — utdraget levereras i ett format som går att läsa maskinellt.
Vänd dig i första hand till din arbetsgivare, som är personuppgiftsansvarig och den som kan besluta i frågan. jlt solutions hjälper arbetsgivaren att verkställa begäran.
Du har också rätt att klaga hos Integritetsskyddsmyndigheten, IMY.
Säkerhet
Åtkomst begränsas på radnivå i databasen: varje fråga filtreras mot vilken organisation du tillhör och vilken roll du har där. Rollkontrollen ligger i databasen, inte bara i gränssnittet — en adress som skrivs in för hand ger ingen extra åtkomst.
Löne- och kostnadsuppgifter ligger i egna tabeller med egen behörighet, så att schemaläggare kan se timmar utan att se kronor.
All trafik är krypterad. Nycklar som kringgår behörighetskontrollen finns bara på servern och når aldrig webbläsaren.
Vid en misstänkt personuppgiftsincident underrättas berörda arbetsgivare utan onödigt dröjsmål, och anmälan till IMY görs inom 72 timmar när regelverket kräver det.
Ändringar i policyn
Ändras behandlingen i sak höjs versionsnumret överst på sidan och datumet uppdateras. Kunder underrättas om ändringen påverkar biträdesavtalet.
Kontakt
Frågor om personuppgifter: info@jltsolutions.se.
jlt solutions, Änggatan 4a, 256 56 Helsingborg.