Перейти до вмісту
vivotempo
ВхідДва місяцібезкоштовно

Безпека і довіра

Станом на 13 листопада 2026 року

Тут описано, як vivotempo захищає ваші дані, де вони зберігаються і які підтвердження існують. Ми вказуємо лише те, що доведено. Сертифікат, якого в нас немає, тут зазначено як відсутній.

Коротко

  • База даних, файли та серверні функції розміщені в центрах обробки даних у Парижі, в Європейському Союзі.
  • Кожна компанія відокремлена від усіх інших у самій базі даних.
  • Другий фактор через ключ доступу, застосунок автентифікації, Threema або код електронною поштою.
  • Договір про обробку даних можна укласти онлайн.
  • Адміністратори будь-коли самі експортують усі дані своєї компанії.

Підтвердження та нормативи

Стан кожного нормативу і що з нього діє вже сьогодні.

  • GDPR

    Діє

    Діє безпосередньо, сертифіката для нього немає. Договір про обробку даних ви укладаєте онлайн, з контрольною сумою та підтвердженням прийняття. Додаток 2 описує технічні та організаційні заходи, додаток 3 субпідрядників з обробки. Про порушення захисту даних ми повідомляємо, по можливості, протягом 24 годин.

  • Акт ЄС про дані (зміна постачальника)

    Діє

    Діє з 12 вересня 2025 року. Адміністратори самі завантажують усі дані своєї компанії у відкритих форматах з описом. Докладніше в розділі «Зміна постачальника та експорт даних».

  • ISO/IEC 27001

    Не сертифіковано

    vivotempo не сертифіковано. Свої заходи та документацію ми узгоджуємо з додатком A стандарту. Центри обробки даних наших постачальників сертифіковані, зокрема, за ISO/IEC 27001.

  • Доступність (EN 301 549, WCAG 2.2)

    Виконано частково

    Частково відповідає рівню AA, встановлено самооцінкою з автоматичними тестами та ручними перевірками.

    До заяви про доступність

  • BSI C5

    Не перевірено

    Атестату немає. У Німеччині стаття 393 книги V Соціального кодексу може вимагати від клінік і медичних практик атестат C5 або рівноцінне підтвердження, якщо дані про здоровʼя обробляються в хмарі. Будь ласка, звʼяжіться з нами перед використанням.

  • SOC 2

    Не перевірено

    Звіту немає. SOC 2 не знає рівнів відповідності: звіт аудитора або є, або його немає. Тому ми нічого не стверджуємо.

Місце зберігання даних і постачальники

vivotempo працює в регіоні Парижа у Франції. Ці субпідрядники з обробки працюють на нас, як погоджено в додатку 3 договору про обробку даних:

Vercel і Supabase мають штаб-квартиру у США. Доступ звідти захищено Рамковою програмою ЄС і США щодо конфіденційності даних та стандартними договірними положеннями Європейської комісії.

Крім того, електронні листи проходять через службу пересилання, яку обслуговує сама Bergx2 GmbH.

До договору про обробку даних з усіма додатками

Як ми захищаємо дані

  • Компанії відокремлені в базі даних

    Кожна таблиця має правила доступу на рівні рядків (Row Level Security). Нова таблиця без таких правил спричиняє збій автоматичного тесту перед публікацією.

  • Другий фактор, що справді діє

    Хто налаштував другий фактор, без підтвердженої сесії нічого не бачить і не змінює. Це перевіряє сама база даних при кожному доступі, а не лише інтерфейс. Після пʼяти невдалих спроб доступ блокується.

  • Ролі

    Працівник, керівник команди, відділ кадрів і адміністратор зі ступінчастими правами. Дані про здоровʼя, як-от лікарняні, бачать лише уповноважені ролі.

  • Журнал

    Зміни даних працівників, заявок, записів часу та налаштувань фіксуються з часом і особою, що діяла. Виправлення записів часу залишаються простежуваними. Записи, старші за 24 місяці, архівуються, а не видаляються.

  • Шифрування

    Усі зʼєднання йдуть через TLS, а HSTS постійно привʼязує до нього браузери. База даних і сховище файлів зашифровані у стані спокою, паролі зберігаються лише як хеші.

  • Перевірені зміни

    Кожна зміна бази даних є пронумерованим файлом із версією. Перед кожною публікацією автоматичні тести перевіряють правила доступу, застосунок та інтерфейс.

  • Термінали

    Термінали обліку часу входять із власним ключем пристрою. Якщо мережа зникає, вони зберігають відмітки й надсилають їх пізніше.

Чого ми не робимо

  • Ми не продаємо дані й не передаємо їх для реклами.
  • Ми не навчаємо моделі ШІ на ваших даних.
  • Вебсайт і застосунок не завантажують рекламні чи аналітичні сервіси третіх сторін.
  • Ми не розпізнаємо емоції й не класифікуємо людей за ознаками. Розпізнавання обличчя на терміналі є вибірковим способом входу й служить лише для впізнавання людини під час відмітки.

Зміна постачальника та експорт даних

Ваші дані належать вам. У налаштуваннях адміністратори завантажують усі дані своєї компанії як ZIP-файл, будь-коли й без додаткових витрат. У ньому:

  • для кожної таблиці файл CSV і файл JSON із фіксованими назвами стовпців
  • опис полів (JSON Schema) та інструкція з імпорту
  • завантажені файли, наприклад довідки

Не містяться облікові дані та секрети, як-от хеші паролів, PIN-коди, ключі пристроїв, ключі API та ознаки обличчя. Вони не придатні в жодній іншій системі й під час передачі могли б лише зашкодити.

Повідомити про вразливість

Знайшли проблему безпеки? Напишіть на info@bergx2.de з темою «Безпека».

Ми підтверджуємо отримання протягом трьох робочих днів і надсилаємо оцінку протягом десяти робочих днів.

Хто сумлінно повідомляє нам про вразливість і не використовує та не оприлюднює її, доки ми не змогли її усунути, не має чого від нас боятися.

Ті самі відомості в машиночитному вигляді за RFC 9116: security.txt

Документи на запит

На обґрунтований запит клієнти отримують:

  • подробиці технічних та організаційних заходів (згідно зі статтею 9 договору про обробку даних)
  • опис формату експорту
  • відповіді на анкети з безпеки

До контактної форми