数据处理协议
第 2 版，2026 年 11 月 1 日。新增现场签到（访客、承包商和送货）、目录同步和现场通行证。
本数据处理协议（“DPA”）是 Timeclock.Kiwi Limited（新西兰达尼丁 Waverley 区 Belford Street 151 号，邮编 9013，“我们”，“处理者”）与使用 Timeclock.Kiwi 的公司（“您”，“控制者”）之间协议的一部分。当我们为您处理受欧盟《通用数据保护条例》（GDPR）、英国 GDPR 或类似法律管辖的个人数据时适用，并符合 GDPR 第 28 条的要求。
管理员在“设置”的 GDPR 清单中勾选后，即代表其公司接受本 DPA。我们会记录接受人和接受时间。如本 DPA 与我们的其他条款在个人数据方面不一致，以本 DPA 为准。
1. 我们处理的内容
| 主题和目的 | 向您提供 Timeclock.Kiwi：记录工作时间、排班、工作、请假和安全签到，为您的现场访客办理签到签退，并生成报告和薪资导出。 |
|---|---|
| 期限 | 在您使用 Timeclock.Kiwi 期间，直至数据根据第 9 节被删除。 |
| 数据涉及的人员 | 您的员工、承包商和其他工作人员，以及您的管理员和经理。如果您使用现场签到：在您现场签到的访客、承包商和送货司机，您邀请或添加到观察名单的人员，以及您连接的目录中供访客选择拜访对象的员工。 |
| 个人数据类型 | 姓名、邮箱地址、PIN；上下班和休息时间；工作、任务、备注和材料；使用的打卡终端、IP 地址以及使用移动应用打卡时的 GPS 位置；排班、可用时间、请假和换班申请；技能；安全签到、警报及其位置；发送给他们的通知。 |
| 现场签到数据 | 访客：姓名、公司、手机、邮箱、车牌号、访客类型、拜访对象、签到和签退时间、其同意的安全清单和入职培训视频、签名、照片、承包商证件（类型、编号、签发方和到期日，不含图片）、接待人的回复，以及用自己手机签到时与现场的距离。观察名单条目：姓名、手机、邮箱、适用现场和您的原因。目录员工：姓名、邮箱、手机、职位和办公室。 |
| 特殊类别数据 | 不适用。Timeclock.Kiwi 不使用生物识别：访客照片只显示给人看，以便员工辨认现场人员，绝不用于人脸比对。除非有合法依据，否则请勿在备注、请假原因或观察名单原因中填写健康或其他特殊类别信息。 |
2. 您的指示
我们仅根据您的书面指示处理个人数据，即本 DPA、我们的条款以及您设置和使用 Timeclock.Kiwi 的方式，除非法律另有要求（此时我们会先通知您，除非法律禁止）。如果我们认为某项指示违反数据保护法，会告知您。
3. 保密
Timeclock.Kiwi 中所有能够访问您数据的人员均负有保密义务，且仅在运行或支持服务需要时才访问。
4. 安全
我们根据第 32 条采取适当的技术和组织措施，包括：
- 传输中数据加密（HTTPS）和密码哈希处理。
- 每家公司的数据相互隔离，每个请求都会根据登录人员的公司和权限进行检查。
- 经理仅限访问其管理小组中的人员以及其管理现场的访客。
- 观察名单原因仅向管理员和经理显示，绝不会显示在打卡终端上。发给接待人的邮件中的链接经过签名，仅对该次到访有效。
- 目录连接只读取员工信息。其密钥存储在我们的服务器上，绝不会发送到打卡终端。
- 时间记录变更的活动日志。
- 定期备份，服务器访问权限仅限运维人员。
5. 子处理者
您授权我们使用以下子处理者。我们要求每一家遵守不低于本 DPA 的数据保护条款，并对其负责。我们会在新增或更换子处理者前至少 30 天更新此列表；如果您基于合理的数据保护理由提出反对，可以停止使用 Timeclock.Kiwi，我们将退还未使用的预付时间。
| 子处理者 | 用途 | 数据 | 地点 |
|---|---|---|---|
| Postmark (ActiveCampaign, LLC) | 发送邀请、密码重置、排班和数据导出链接等邮件 | 姓名、邮箱地址、邮件内容 | 美国 |
| Google Firebase Cloud Messaging (Google LLC) | 向移动应用发送推送通知 | 设备令牌、通知文本 | 美国 |
| OpenStreetMap Foundation (Nominatim) | 将安全签到的 GPS 位置转换为地址 | 仅 GPS 坐标，不含姓名 | 英国 |
| Stripe, Inc. | 向贵公司收费 | 管理员姓名和邮箱、账单信息（不含员工数据） | 美国 |
您连接的薪资和会计应用（如 Xero 或 QuickBooks）不是我们的子处理者：您根据与其签订的协议自行选择向其发送数据。
您为现场签到连接的目录（Microsoft Entra ID、Google Workspace 或其他使用 SCIM 的服务）同样如此：我们仅按您的指示从中读取员工名单。入职培训视频从您托管的位置获取，不发送个人数据。YouTube 视频在打卡终端上使用 YouTube 自己的播放器播放，因此 YouTube 能看到终端的网络地址，但看不到观看者是谁。
6. 数据存放地点
您的数据存储在新西兰。欧盟委员会已认定新西兰提供充分保护（第 2013/65/EU 号决定），英国也作出了同样的认定。当新西兰、欧盟或英国以外的子处理者接收个人数据时，我们依据充分性决定或欧盟委员会的标准合同条款。
7. 协助您处理个人权利
Timeclock.Kiwi 让您可以自行处理请求：员工可以在应用中查看和下载自己的数据并报告错误时间，管理员可以导出任何人的数据并更正或删除记录。管理员和经理可以在“访客”页面查找并导出访客的到访记录，管理员可以删除某次到访或某位访客的全部信息。如果员工或访客直接联系我们，我们会将请求转交给您，除非您要求，否则我们不会自行答复。
我们还会在合理范围内协助您处理安全、泄露通知、数据保护影响评估以及咨询监管机构等事宜（第 32 至 36 条）。
8. 数据泄露
如果我们发现影响您数据的个人数据泄露，会及时通知您，并告知我们所了解的情况、受影响的数据和人员、可能的后果以及我们正在采取的措施，以便您履行自己的 72 小时通知义务。
9. 删除数据
- 在您使用 Timeclock.Kiwi 期间，您可以通过数据保留设置选择时间记录的保存时长，超过期限的记录会自动删除。
- 到访、访客邀请和访客的承包商证件遵循相同的保留设置。无论如何设置，访客照片都会在到访 30 天后删除。
- 观察名单条目会保留到管理员移除为止，随后被删除。目录员工在每次同步时更新，离开目录时移除，断开目录时全部删除。
- 管理员可以在“设置”中关闭您的账户。计费停止，打卡终端停用，只有管理员仍可登录。所有内容将在 90 天后永久删除，每位管理员会在账户关闭时以及删除前 14 天收到邮件。在此之前，您可以导出记录或重新开启账户。
- 我们按税法要求的期限保存自己的账单记录（发票和付款）。其中不含您员工的数据。
- 已删除的数据会在备份被替换时从备份中消失。
10. 审计
我们会提供您为证明遵守第 28 条而合理需要的信息，并回答合理的书面问题。如果仍不够，您可以每年一次自费审计我们（或委托独立审计师），需提前 30 天通知，且不得暴露其他客户的数据。
11. 联系方式
有关本 DPA 或您的数据的问题： [email protected].