Přejít na obsah
vivotempo
Přihlásit seDva měsícezdarma na zkoušku

Bezpečnost a důvěra

Stav k 13. listopadu 2026

Zde je popsáno, jak vivotempo chrání vaše data, kde jsou uložena a jaká osvědčení existují. Uvádíme jen to, co je doloženo. Certifikát, který nemáme, je zde uveden jako neexistující.

Ve zkratce

  • Databáze, soubory a serverové funkce běží v datových centrech v Paříži, v Evropské unii.
  • Každá firma je oddělena od všech ostatních přímo v databázi.
  • Druhý faktor pomocí přístupového klíče, ověřovací aplikace, Threemy nebo kódu e-mailem.
  • Smlouvu o zpracování osobních údajů lze uzavřít online.
  • Správci kdykoli sami exportují všechna data své firmy.

Osvědčení a předpisy

Stav jednotlivých předpisů a co z nich platí už dnes.

  • GDPR

    Platí

    Platí přímo, certifikát pro něj neexistuje. Smlouvu o zpracování osobních údajů uzavřete online, s kontrolním součtem a dokladem o přijetí. Příloha 2 popisuje technická a organizační opatření, příloha 3 další zpracovatele. Porušení zabezpečení údajů hlásíme pokud možno do 24 hodin.

  • Akt EU o datech (změna poskytovatele)

    Platí

    Platí od 12. září 2025. Správci si sami stáhnou všechna data své firmy v otevřených formátech s popisem. Více v části „Změna poskytovatele a export dat“.

  • ISO/IEC 27001

    Necertifikováno

    vivotempo není certifikováno. Opatření a dokumentaci řídíme podle přílohy A normy. Datová centra našich poskytovatelů jsou mimo jiné certifikována podle ISO/IEC 27001.

  • Přístupnost (EN 301 549, WCAG 2.2)

    Částečně splněno

    Částečně v souladu na úrovni AA, zjištěno vlastním hodnocením s automatickými testy a ručními kontrolami.

    K prohlášení o přístupnosti

  • BSI C5

    Neověřeno

    Bez atestace. V Německu může § 393 páté knihy sociálního zákoníku vyžadovat od klinik a ordinací atestaci C5 nebo rovnocenný doklad, pokud se zdravotní údaje zpracovávají v cloudu. Ozvěte se nám prosím před nasazením.

  • SOC 2

    Neověřeno

    Bez zprávy. SOC 2 nezná stupně shody: zpráva auditora buď existuje, nebo ne. Proto nic netvrdíme.

Umístění dat a poskytovatelé

vivotempo běží v regionu Paříž ve Francii. Tito další zpracovatelé pro nás pracují, jak je sjednáno v příloze 3 smlouvy o zpracování osobních údajů:

Vercel a Supabase mají sídlo v USA. Přístup odtud je zajištěn rámcem EU a USA pro ochranu osobních údajů a standardními smluvními doložkami Evropské komise.

E-maily navíc procházejí přeposílací službou, kterou provozuje přímo Bergx2 GmbH.

Ke smlouvě o zpracování se všemi přílohami

Jak data chráníme

  • Firmy oddělené v databázi

    Každá tabulka má pravidla přístupu na úrovni řádků (Row Level Security). Nová tabulka bez takových pravidel způsobí selhání automatického testu před zveřejněním.

  • Druhý faktor, který opravdu platí

    Kdo si nastavil druhý faktor, bez potvrzené relace nic nevidí a nemění. Kontroluje to sama databáze při každém přístupu, ne jen rozhraní. Po pěti neúspěšných pokusech se přístup zablokuje.

  • Role

    Zaměstnanec, vedoucí týmu, personální oddělení a správce s odstupňovanými právy. Zdravotní údaje, jako jsou neschopenky, vidí jen oprávněné role.

  • Protokol

    Změny údajů zaměstnanců, žádostí, časových záznamů a nastavení se zaznamenávají s časem a jednající osobou. Opravy časových záznamů zůstávají dohledatelné. Záznamy starší 24 měsíců se archivují, nemažou.

  • Šifrování

    Všechna spojení běží přes TLS a HSTS k němu prohlížeče trvale váže. Databáze a úložiště souborů jsou šifrovány v klidu, hesla jsou uložena jen jako hash.

  • Ověřené změny

    Každá změna databáze je očíslovaný soubor s verzí. Před každým zveřejněním automatické testy ověří pravidla přístupu, aplikaci a rozhraní.

  • Terminály

    Docházkové terminály se přihlašují vlastním klíčem zařízení. Když vypadne síť, uloží záznamy a odešlou je později.

Co neděláme

  • Neprodáváme data a nepředáváme je k reklamním účelům.
  • S vašimi daty netrénujeme modely umělé inteligence.
  • Web a aplikace nenačítají reklamní ani analytické služby třetích stran.
  • Nerozpoznáváme emoce a netřídíme lidi podle znaků. Rozpoznávání obličeje na terminálu je volitelný způsob přihlášení a slouží jen k rozpoznání osoby při záznamu docházky.

Změna poskytovatele a export dat

Vaše data patří vám. V nastavení si správci stáhnou všechna data své firmy jako soubor ZIP, kdykoli a bez dalších nákladů. Obsahuje:

  • pro každou tabulku soubor CSV a soubor JSON s pevnými názvy sloupců
  • popis polí (JSON Schema) a návod k importu
  • nahrané soubory, například potvrzení

Nejsou zahrnuty přístupové údaje a tajemství, jako jsou hashe hesel, PIN, klíče zařízení, klíče API a rysy obličeje. V žádném jiném systému nejsou použitelné a při předání by jen škodily.

Nahlásit zranitelnost

Našli jste bezpečnostní chybu? Napište na info@bergx2.de s předmětem „Bezpečnost“.

Přijetí potvrdíme do tří pracovních dnů a s posouzením se ozveme do deseti pracovních dnů.

Kdo nám v dobré víře nahlásí zranitelnost a nezneužije ji ani nezveřejní dříve, než ji můžeme odstranit, nemusí se nás obávat.

Tytéž údaje strojově čitelně podle RFC 9116: security.txt

Dokumenty na vyžádání

Na odůvodněnou žádost zákazníci obdrží:

  • podrobnosti technických a organizačních opatření (podle článku 9 smlouvy o zpracování)
  • popis formátu exportu
  • odpovědi na bezpečnostní dotazníky

Na kontaktní formulář