Sicherheit und Daten
Die Arbeitszeiten Ihres Teams sind personenbezogene Daten. Wir behandeln sie auch so.
Wer wann, wo und wie lange arbeitet: Das sind sensible Informationen, für Ihre Arbeitnehmer wie für Sie. Hier lesen Sie ganz konkret, wie Cloketa sie schützt und was in Ihrer Verantwortung bleibt.
Kontrollierte Zugänge.
Starke Authentifizierung
Zwei-Faktor-Authentifizierung per App (TOTP) und Passkeys, zu aktivieren unter « Kontosicherheit ». Sie kann für Konten mit erweiterten Rechten vorgeschrieben werden. Verliert ein Mitglied sein Gerät, setzt der Eigentümer oder ein Administrator seine Zwei-Faktor-Authentifizierung zurück; die eines Eigentümers kann nur von einem Eigentümer zurückgesetzt werden.
Persönliche Zugänge
Jedes Konto, jeder persönliche QR-Code, jede Personalnummer und jeder PIN-Code ist streng persönlich. An einem Zeiterfassungsterminal wird der PIN-Code nach dem QR-Code oder der Personalnummer immer abgefragt, und die Sitzung schließt sich nach 60 Sekunden von selbst. Ein Arbeitnehmer, dessen Beschäftigung beendet ist, wird im Bildschirm Team deaktiviert: Sein Zugang wird gesperrt, einschließlich QR-Code und PIN, und seine Buchungen bleiben erhalten.
Rechte pro Rolle und pro Unternehmen
Getrennte Rollen (Eigentümer, Administrator, Personalabteilung, Manager, Arbeitnehmer). Ein Arbeitnehmer sieht nur sich selbst. Die Rolle des Eigentümers ist geschützt: Sie kann in der Anwendung weder vergeben noch entzogen werden, und ein Administrator kann sich nicht selbst zum Eigentümer ernennen. Lohnexport, Inspektionsakte und vollständiger Export sind dem Eigentümer, den Administratoren und der Personalabteilung vorbehalten, und ein Manager sieht nur seine Teams und Unterteams. Rollen und Personalnummern gehören zur Beziehung zwischen einer Person und einem Unternehmen: Eine Person, die in zwei Unternehmen tätig ist, sieht nie die Daten des einen vom anderen aus.
Nichts wird gelöscht, ohne Spuren zu hinterlassen.
- Logische Trennung jedes Unternehmensbereichs.
- Protokollierung sensibler Vorgänge, einschließlich jedes Downloads des Lohnexports.
- Korrekturen: Der ursprüngliche Wert, die Begründung, der Urheber und die Entscheidung bleiben erhalten.
- Inspektionsakte mit Manifest und Integritätsprüfung.
- Verschlüsselte Übertragung (TLS).
In Europa gehostet, täglich gesichert und verschlüsselt.
Die Anwendung, die Datenbanken, die Dateien und die Sicherungen werden im Europäischen Wirtschaftsraum bei OVHcloud gehostet. Jeden Tag wird eine verschlüsselte Kopie der Datenbank erstellt und 35 Tage lang getrennt von der Produktionsumgebung aufbewahrt. Bei einem Vorfall ist der Datenverlust auf höchstens 15 Minuten begrenzt.
Kein vernetztes System ist unverwundbar. Die Sicherungen decken die gesamte Plattform ab und dienen der Kontinuität des Dienstes: Mit ihnen lässt sich kein früherer Zustand für ein einzelnes Unternehmen wiederherstellen. Um eine Kopie Ihrer Daten aufzubewahren, nutzen Sie den vollständigen Export (JSON + CSV), der jederzeit verfügbar ist.
Verfügbarkeit: Der Status des Dienstes, geplante Wartungen und die Vorfälle der letzten 90 Tage werden auf der Statusseite veröffentlicht.
Mit wem wir zusammenarbeiten.
| Unterauftragsverarbeiter | Rolle |
|---|---|
| OVHcloud (Frankreich) | Hosting der Anwendung, der Daten und der Sicherungen — EWR. |
| Cloudflare | Schutz vor Angriffen, DNS und Weiterleitung des Datenverkehrs. Daten während der Übertragung können außerhalb des EWR verarbeitet werden, abgesichert durch das EU-US Data Privacy Framework und Standardvertragsklauseln. |
| Brevo (Frankreich) | Transaktions-E-Mails (Einladungen, Benachrichtigungen) — EWR. |
| Push-Benachrichtigungsdienste der Browser und Betriebssysteme (Google, Apple, Mozilla) | Zustellung von Benachrichtigungen mit Ende-zu-Ende-verschlüsseltem Inhalt. |
| Stripe (Irland) | Bezahlung des Abonnements (Karte, Apple Pay, Google Pay, Bancontact, SEPA-Lastschrift oder Überweisung). Cloketa sieht und speichert keinerlei Kartendaten. |
Jede Hinzufügung oder Ersetzung eines Unterauftragsverarbeiters wird den Administratoren mindestens 30 Tage im Voraus angekündigt. Aktuelle Liste der Unterauftragsverarbeiter
Sie entscheiden, wir führen aus.
Für die Daten Ihrer Arbeitnehmer ist Ihr Unternehmen der Verantwortliche, und Be The Wave handelt als Auftragsverarbeiter. Der Auftragsverarbeitungsvertrag (Artikel 28 DSGVO) ist Teil der Allgemeinen Geschäftsbedingungen: Es muss nichts gesondert unterzeichnet werden.
- Das Personal von Be The Wave greift nur auf Ihre Daten zu, wenn es erforderlich ist (Supportanfrage, Sicherheit, gesetzliche Pflicht), und jeder Zugriff wird protokolliert.
- Muss der Support Cloketa so sehen, wie ein Benutzer es sieht (« Kontoübernahme »), ist dies geregelt: verpflichtende Begründung, erneute Authentifizierung des Mitarbeiters, Protokollierung und Benachrichtigung des betroffenen Benutzers.
- Bei einer Datenschutzverletzung werden die Administratoren spätestens 48 Stunden, nachdem wir davon Kenntnis erlangt haben, informiert.
- Ihre Daten gehören Ihnen. Wir gewinnen daraus nur anonymisierte und aggregierte Statistiken und verkaufen sie niemals.
- Ein Anbieterwechsel ist jederzeit kostenlos möglich: Verfahren und Formate.
- Bei Fragen zum Datenschutz: [email protected].
Geolokalisierung
Standardmäßig deaktiviert.
Cloketa verfolgt keine Bewegungen. Wenn Sie die Geolokalisierung aktivieren, wird der Standort nur im Moment der Buchung erfasst. Bevor Sie sie aktivieren, müssen Sie einen triftigen Grund haben, ihn dokumentiert haben und Ihre Arbeitnehmer darüber informieren. Es gibt weniger eingreifende Alternativen: Arbeitsorte ohne Koordinaten, ein einem Standort zugeordnetes Zeiterfassungsterminal.
Sie haben den Zugang verloren?
Beginnen Sie mit dem Link « Passwort vergessen? » (1 Stunde gültig) oder Ihren Wiederherstellungscodes für die Zwei-Faktor-Authentifizierung; ein anderer Eigentümer oder Administrator kann Ihre Zwei-Faktor-Authentifizierung ebenfalls zurücksetzen. Wenn Sie den Administratorzugang verloren haben, schreiben Sie von der E-Mail-Adresse des Kontos aus an [email protected]. Wir bitten Sie um einen Identitätsnachweis und einen Nachweis Ihrer Vertretungsbefugnis für die Gesellschaft. Wir bewahren keine Kopie des Ausweisdokuments auf, sondern nur den Vermerk über seine Prüfung. Die Übertragung des Eigentums an einem Bereich folgt demselben Verfahren.
Eine öffentlich dokumentierte API.
Der Eigentümer und die Administratoren erstellen API-Schlüssel und Webhooks, um Cloketa mit anderer Software zu verbinden. Die Dokumentation ist öffentlich, mit der zugehörigen OpenAPI-Datei. API-Schlüssel gewähren Zugriff auf die Daten des Unternehmens: Behandeln Sie sie wie Passwörter.
Gut zu wissen im Alltag.
- Benachrichtigungen: per E-Mail (Einladung, Passwort, Korrekturen und Abweichungen, vergessene Buchungen, Monatsaufstellung, Support, Rechnungsstellung, Änderung der Allgemeinen Geschäftsbedingungen, Wartung und Sicherheitsvorfälle) und per Push-Benachrichtigung, wenn die Anwendung installiert ist (Korrekturen und Abweichungen, vergessene Buchungen, Support, Cloketa Start, Nachrichten des Administrators). Jeder aktiviert oder deaktiviert Push auf jedem seiner Geräte unter « Kontosicherheit ». Wichtige E-Mails werden immer versendet.
- Sprachen: Französisch, Niederländisch, Englisch und Deutsch. Das Unternehmen hat eine Standardsprache, und jeder Benutzer kann seine eigene wählen; E-Mails und Benachrichtigungen richten sich nach der Sprache der Person, die sie erhält.
- Browser: aktuelle Versionen von Chrome, Edge, Firefox und Safari, auf Computer und Smartphone. Auf iPhone und iPad müssen Sie Cloketa für Benachrichtigungen zum Startbildschirm hinzufügen.
Sicherheit ist Teamarbeit.
- Aktivieren Sie die Zwei-Faktor-Authentifizierung.
- Deaktivieren Sie umgehend den Zugang von Personen, die das Unternehmen verlassen (Team → Profil → « Beschäftigung beenden und Zugang entziehen »).
- Schützen Sie Ihre Zeiterfassungsterminals und die Codes Ihrer Arbeitnehmer.
- Informieren Sie Ihre Arbeitnehmer über die Verarbeitung ihrer Daten.
- Sehen Sie ein Notfallverfahren für den Fall der Nichtverfügbarkeit vor.
- Laden Sie Ihre Exporte regelmäßig herunter.
Häufige Fragen zu Sicherheit und Daten
Wo werden die Daten gehostet?
Im Europäischen Wirtschaftsraum, bei OVHcloud, für die Anwendung, die Datenbanken, die Dateien und die Sicherungen.
Gibt es einen Auftragsverarbeitungsvertrag (AVV)? Muss er separat unterzeichnet werden?
Ja, es gibt ihn, und er ist in unseren Allgemeinen Geschäftsbedingungen enthalten (Anhang 1). Sie nehmen ihn zusammen mit dem Vertrag an: Eine gesonderte Unterschrift ist nicht erforderlich.
Kann das Personal von Cloketa meine Daten einsehen?
Nur wenn es nötig ist: zur Bearbeitung einer Supportanfrage, aus Sicherheitsgründen oder aufgrund einer gesetzlichen Pflicht. Diese Zugriffe werden protokolliert.
Vollständige Antwort lesen : Kann das Personal von Cloketa meine Daten einsehen?
Welche Sicherheitsmaßnahmen schützen die Konten?
Als Hash gespeicherte Passwörter, Zwei-Faktor-Authentifizierung (TOTP), Passkeys, Berechtigungen je Rolle und Unternehmen, Protokollierung sensibler Vorgänge und verschlüsselte Übertragung (TLS).
Vollständige Antwort lesen : Welche Sicherheitsmaßnahmen schützen die Konten?
Unser Administrator hat das Unternehmen verlassen oder ich habe meinen Zugang verloren: Wie erhalte ich ihn zurück?
Ist noch ein Eigentümer oder Administrator im Amt, kann er die Rechte einer anderen Person zuweisen oder eine Zwei-Faktor-Authentifizierung zurücksetzen. Andernfalls schreiben Sie von der E-Mail-Adresse des Kontos aus an [email protected]: Wir bitten Sie um einen Identitätsnachweis und einen Nachweis Ihrer Vertretungsbefugnis für die Gesellschaft.
Was passiert bei einem Datenleck?
Wir informieren Sie so schnell wie möglich, spätestens 48 Stunden nachdem wir davon Kenntnis erlangt haben, mit den verfügbaren Informationen zu Art und Folgen der Verletzung.
Vollständige Antwort lesen : Was passiert bei einem Datenleck?
Werden Daten außerhalb der Europäischen Union übermittelt?
Die Produktionsdaten und die Sicherungen bleiben im EWR. Nur der Netzwerkverkehr (Cloudflare) und die Zustellung der Push-Benachrichtigungen können außerhalb des EWR laufen, mit den in der DSGVO vorgesehenen Garantien.
Vollständige Antwort lesen : Werden Daten außerhalb der Europäischen Union übermittelt?
Ein Arbeitnehmer fragt nach seinen Daten: Wie gehe ich vor?
Cloketa stellt Ihnen die nötigen Funktionen bereit, um darauf zu antworten: Export der Daten eines Arbeitnehmers, Berichtigung durch eine nachvollziehbare Korrektur, Deaktivierung und Löschung. Die Antwort auf die Anfrage obliegt Ihnen.
Vollständige Antwort lesen : Ein Arbeitnehmer fragt nach seinen Daten: Wie gehe ich vor?
Kostenlose Testphase
Fragen zur Sicherheit, bevor Sie loslegen?
Die Allgemeinen Geschäftsbedingungen und ihre Anhänge beschreiben alle Maßnahmen im Detail. Sie können Cloketa auch 14 Tage lang testen, bevor Sie sich entscheiden.