Споразумение за обработване на данни

1. Въведение

Настоящото Споразумение за обработване на данни („DPA“) е част от основното абонаментно споразумение между Labb Holding Ltd, кипърско частно дружество, ограничено с акции, със седалище и адрес на управление Anthipolochagou Georgiou M.Savva 26, Shop 1-2, 8201 Paphos, Cyprus, регистрирано под номер HE 424230 (което управлява платформата PersoHR, „Обработващият“), и клиента („Администраторът“). То урежда обработването на лични данни, което Обработващият извършва от името на Администратора във връзка с платформата PersoHR, и е предназначено да съответства на Регламент (ЕС) 2016/679 („GDPR“). Когато разпоредба на настоящото DPA противоречи на основното споразумение, по въпросите на обработването на лични данни предимство има настоящото DPA. Термините с главна буква, които се използват, но не са определени тук, имат значението, дадено им в основното споразумение или, когато е приложимо, в GDPR.

2. Предмет, срок, естество и цел

Обработващият обработва лични данни с единствената цел да предоставя услугата за управление на човешките ресурси PersoHR. Обработването обхваща управлението на досиета на служители, отпуски и отсъствия, въвеждане и напускане на служители, отчитане на работното време, подготовка на заплати, оценки на изпълнението, подбор на персонал, съхранение на документи, вътрешна комуникация и други HR работни процеси, конфигурирани от Администратора. Обработването включва събиране, записване, организиране, съхранение, извличане, използване, оправомощено разкриване, експорт и изтриване за тези услуги. Настоящото DPA продължава да защитава личните данни на клиента, докато те се съхраняват, включително по време на договорена процедура по връщане или изтриване съгласно раздел 13. Обработването за собствени цели на PersoHR, описано в Политиката за поверителност, е отделно от настоящото възлагане на обработването. Администраторът приема, че точният обхват и дълбочината на обработването зависят от модулите и конфигурацията, които Администраторът реши да активира.

3. Категории лични данни

Категориите обработвани лични данни зависят от конфигурацията на платформата от Администратора и могат да включват: основни данни за персонала (име, данни за контакт, пощенски адрес, дата на раждане, снимка, данни за лице за спешен контакт); основни данни за трудовото правоотношение (длъжност, отдел, вид заетост, начална и крайна дата, работно време, ръководител, статус на увреждане); съдържание на документи (трудови договори, сертификати, документи за самоличност, други файлове, качени от Администратора); данни за изпълнението и развитието (цели, оценки, обратна връзка, записи за обучения); данни за отпуски и отсъствия (заявки, баланси, официални празници); данни за отчитане на работното време (събития за начало и край на работа, отчети за работното време, извънреден труд); данни за подготовка на заплатите (записи за заплати, IBAN, когато е предоставен, данъчни и осигурителни идентификатори, когато са предоставени, гражданство, пол, семейно положение, брой деца, място на раждане, здравноосигурител и вид здравно осигуряване, вероизповедание за целите на църковния данък); данни за подбор на персонал (кандидатури, автобиографии, бележки от интервюта, препоръки); данни от комуникации и чат; данни за удостоверяване и сигурност (времеви отпечатъци на влизанията, IP адреси, информация за user-agent на браузъра/устройството и записи за сесии на устройства, състояние на двуфакторното удостоверяване); както и всякакви други лични данни, които Администраторът реши да качи или генерира в платформата. Обработването може да включва и съдържание на електронни подписи и доказателства за подписването. Вероизповеданието за целите на църковния данък може да разкрие религиозни убеждения. Статусът на увреждане, отсъствията поради болест и записите за медицински удостоверения могат да разкрият данни за здравословното състояние дори без качени медицински документи. Когато се обработват специални категории данни, Администраторът трябва да установи основание по член 6 и приложимо условие по член 9 и да даде указания на Обработващия относно необходимите гаранции. Данните за присъди и нарушения изискват условията по член 10 и не трябва да се предоставят без договорена законосъобразна и поддържана уредба за обработването им. Обработващият остава отговорен за собствените си приложими задължения в областта на защитата на данните и сигурността.

4. Категории субекти на данни

Категориите субекти на данни по отношение на Администратора и всички свързани лица, които Администраторът реши да администрира чрез платформата, обикновено включват: настоящи служители, изпълнители, фрийлансъри и друг персонал, включително работници под 18 години, когато са законно наети; бивши служители, изпълнители и персонал; кандидатстващи лица и кандидати в текущи или минали процеси по подбор; и лица на издръжка или лица за спешен контакт, посочени от някое от горепосочените лица. Администраторът отговаря за законосъобразността на включването на всеки конкретен субект на данни в обхвата на обработването.

5. Указания и право на отказ

Обработващият обработва лични данни само по документирани указания на Администратора, включително по отношение на международните предавания, освен ако не е длъжен да постъпи другояче по силата на правото на Съюза или на държава членка (в който случай Обработващият информира Администратора преди обработването, освен ако това право не забранява такова уведомяване на важни основания от обществен интерес). Администраторът определя лицата, които изключително са оправомощени да дават указания за обработване чрез платформата; при липса на такова определяне указания могат да дават само физически лица, оправомощени да представляват Администратора по закон. Ако Обработващият основателно счита, че дадено указание нарушава GDPR или друго приложимо законодателство в областта на защитата на данните, той незабавно информира Администратора и може да спре изпълнението на това указание, докато въпросът не бъде решен между страните.

6. Поверителност

Обработващият осигурява обвързването на всяко физическо лице, оправомощено да обработва лични данни от негово име, със задължение за поверителност, било то по договор или по силата на законово задължение. Всяка страна освен това се съгласява да пази поверителна всяка непублична информация, която получава от другата страна във връзка с настоящото DPA, включително съдържанието на одити, документацията за сигурността и докладите за инциденти, и да използва тази информация единствено за изпълнението на основния договор и на настоящото DPA. Изключва се информация, която е общоизвестна, която е разработена самостоятелно без използване на поверителната информация на разкриващата страна, която е получена законно от трето лице без задължение за поверителност или която трябва да бъде разкрита по силата на задължителен правен процес. Общите задължения за поверителност остават в сила пет години след прекратяването. Задълженията за защита на личните данни продължават, докато тези данни се съхраняват, включително когато се прилага по-дълго законово задължение.

7. Сигурност на обработването (член 32)

Обработващият въвежда и поддържа технически и организационни мерки, съобразени с риска, като отчита факторите по член 32 от GDPR. Защитите в приложението включват контрол на достъпа въз основа на роли и в рамките на наемателя, токени за удостоверяване с ограничен срок на валидност, задължително двуфакторно удостоверяване за ролите Собственик и HR администратор, криптиране на избрани чувствителни полета и одитни записи за поддържаните действия. Приложението за сигурност на адрес /legal/security описва тези защити. Задълженията на Обработващия да осигури подходяща защита, наличност и възстановяване не се ограничават до изброените тук функции. Актуализациите на мерките не трябва да намаляват съществено общото ниво на сигурност.

8. Подизпълнители

Администраторът упълномощава Обработващия да ангажира подизпълнителите, посочени на /legal/sub-processors. Обработващият уведомява Администратора писмено (включително по имейл) най-малко 30 дни преди добавянето или замяната на подизпълнител. Администраторът може да възрази на разумни основания, свързани със защитата на данните, в срок от 14 дни от това уведомление; при липса на своевременно възражение промяната се счита за одобрена. Ако страните не могат да разрешат обосновано възражение в рамките на следващите 30 дни, всяка от страните може да прекрати основното споразумение с писмено уведомление без по-нататъшна отговорност, като в този случай Администраторът има право на пропорционално възстановяване на предплатените такси, които покриват неизползваната част от абонаментния срок. Обработващият сключва с всеки подизпълнител писмени споразумения, които налагат задължения за защита на данните, равностойни на тези в настоящото DPA, и остава отговорен за действията и бездействията на своите подизпълнители.

9. Съдействие във връзка с правата на субектите на данни

Обработващият съдейства на Администратора, като отчита естеството на обработването и доколкото е възможно, при искания съгласно глава III от GDPR. Приложението предоставя инструменти за експорт, коригиране и изтриване на данни с ограничения според ролята и обхвата. Тези инструменти подпомагат Администратора, но не определят дали дадено индивидуално искане трябва да бъде уважено. Преносимостта по член 20 е ограничена до данни, предоставени от лицето и обработвани по автоматизиран начин на основание съгласие или договор; други записи могат да попадат в обхвата на правото на достъп по член 15. Обработващият предоставя разумно допълнително съдействие, когато инструментите са недостатъчни. Искания, свързани с HR обработването на Администратора, получени пряко от физическо лице, се препращат на Администратора без ненужно забавяне.

Когато физическо лице поиска от Обработващия да изтрие личния му акаунт в PersoHR, Обработващият закрива акаунта незабавно. Той прекратява достъпа на лицето, изтрива данните на акаунта, които съхранява като администратор (данни за вход, настройки за двуфакторно удостоверяване, сесии, настройки на акаунта и исканията за поддръжка, които лицето е отправило в приложението, заедно с техните екранни снимки), и изтрива разговорите на лицето с AI асистента, които приложението не показва на никого другиго. Копията на тези искания за поддръжка, доставени в пощенската кутия за поддръжка на Обработващия, и останалата кореспонденция с Обработващия се съхраняват, както е описано в Политиката за поверителност. Той не изтрива и не променя никой друг запис, който Администраторът съхранява за лицето. Той вписва искането към членството на лицето във всяко от работните пространства на Администратора и уведомява собствениците и HR администраторите на Администратора в приложението и по имейл без ненужно забавяне. Администраторът решава дали да изтрие записите чрез инструмента за изтриване в приложението, или да ги запази, и отговаря на лицето. Обработващият потвърждава искането на лицето по имейл и го уведомява по имейл, след като Администраторът е вписал решението си в приложението или след като записите са били изтрити, защото работното пространство се изтрива.

Данните за самоличност в акаунта на лицето, които записите на Администратора използват (име, имейл адрес, дата на раждане и телефонен номер), се съхраняват от името на Администратора и на всеки друг клиент, чиито записи ги използват, докато всяко членство на лицето в работно пространство не бъде изтрито или работното му пространство не бъде изтрито, след което се анонимизират. Изтрито членство може да остави записи, които Администраторът е длъжен по закон да пази, като например регистър на работното време, воден на името на лицето, които следват собствения си срок на съхранение. Данните за самоличност се променят единствено по указание на Администратор: Администраторът може да добави липсваща дата на раждане в приложението, а всяка друга корекция се извършва от поддръжката на Обработващия. Обработващият ги използва, за да пише на лицето, единствено за потвърждението и уведомлението за решението, описани по-горе, за известията, които Администраторът е длъжен по закон да предостави, и за окончателния архив, описан по-долу. Закрит акаунт не може да бъде отворен отново и неговият имейл адрес не може да бъде използван за нов акаунт или поканен в работно пространство, докато всяко членство на лицето в работно пространство не бъде изтрито или работното му пространство не бъде изтрито.

Когато Администраторът е поискал изтриване на работното си пространство, искане, което е отворено, когато работното пространство започне да се закрива, или което постъпи, докато то се закрива, се изпълнява, след като окончателният архив на работното пространство бъде завършен (при нощното изпълнение след завършването или след искането, ако архивът вече е бил завършен), или при изтриването на работното пространство, ако то настъпи по-рано, така че записите на лицето са част от всеки окончателен архив, който Администраторът получава. Копието на окончателния архив, съхранявано от Обработващия, се изтрива заедно с работното пространство. Когато лицето е лицето за контакт, посочено от Администратора за този архив, архивът се изпраща на друг собственик на работното пространство, който все още може да влиза в системата, и на адреса на лицето само когато няма такъв. Когато лицето е единственият собственик на работно пространство, което не се изтрива, искането не може да бъде изпълнено, докато работното пространство няма друг активен собственик или активен HR администратор или докато работното пространство не започне да се изтрива; когато има активен HR администратор, Обработващият прави собственик най-дълго работещия от тях, така че Администраторът да запази собственик.

10. Уведомяване при нарушение на сигурността на личните данни

Обработващият уведомява Администратора без ненужно забавяне и във всеки случай в рамките на 72 часа, след като узнае за нарушение на сигурността на личните данни, засягащо данните на Администратора, в съответствие с член 33, параграф 2 от GDPR. Наличната информация включва естеството на нарушението, засегнатите категории и приблизителния брой засегнати лица и записи, вероятните последици, данни за контакт и предприетите или предложените мерки. Информацията може да се предоставя на етапи без по-нататъшно ненужно забавяне. Обработващият съдейства на Администратора при изпълнението на задълженията му за оценка и уведомяване съгласно членове 33 и 34. Квалифицираният 72-часов срок на Администратора за уведомяване на надзорния орган не е период на изчакване за Обработващия.

11. DPIA и предварителна консултация

Обработващият съдейства на Администратора, при разумно искане, при оценките на въздействието върху защитата на данните съгласно член 35 и при предварителните консултации с надзорните органи съгласно член 36, като отчита естеството на обработването и информацията, с която разполага Обработващият.

12. Одити и проверки

Обработващият предоставя цялата информация, необходима за доказване на спазването на член 28 от GDPR, и позволява и съдейства за одити, включително проверки, извършвани от Администратора или от упълномощен от него одитор. Страните договарят разумни условия относно предизвестието, времето, поверителността и защитата на информацията на други клиенти. Независими доклади и документация за сигурността могат да помогнат за установяване на спазването, но не заменят законовите права на Администратора на одит. Изискванията относно графика, честотата и одитора не трябва да възпрепятстват одит, изискван по закон, от надзорен орган, поради нарушение на сигурността на личните данни или при основателни причини за съмнение в неспазване. Всяка страна обикновено поема собствените си разходи, освен ако не е договорено друго или не се изисква по закон.

13. Връщане или изтриване на лични данни

След приключване на услугите по обработване Обработващият връща или изтрива личните данни по избор на Администратора и изтрива съществуващите копия, освен ако правото на Съюза или на държава членка не изисква съхранението им, в съответствие с член 28, параграф 3, буква ж) от GDPR. Администраторът следва да изтегли необходимите експорти преди края на платения достъп и да се свърже с поддръжката, за да уреди евентуално допълнително връщане или изтриване. Прекратяването на подновяването на абонамента само по себе си не представлява подаване на искане за изтриване на акаунта. Процедурата за изтриване на акаунта в приложението насрочва изтриването след 30-дневен срок за отмяна; по-ранно или различно искане, изисквано по закон, следва да бъде отправено пряко към Обработващия. Страните трябва да договорят и изпълнят процедурата по връщане или изтриване, без да съхраняват данни по-дълго от необходимото. Резервните копия остават защитени от настоящото DPA, докато не бъдат премахнати съгласно приложимия график за резервни копия; всяко възстановяване трябва да зачита предходните указания за изтриване. Записите за фактуриране, обработвани за изпълнение на собствените законови задължения на Обработващия, се обработват отделно съгласно Политиката за поверителност.

14. Международни предавания

Обработващият обработва лични данни предимно в рамките на Европейския съюз. Когато Обработващият или някой подизпълнител трябва да предаде лични данни на държава извън Европейското икономическо пространство, предаването се извършва само въз основа на решение относно адекватното ниво на защита съгласно член 45 от GDPR или на подходящи гаранции съгласно член 46 от GDPR. Обикновено това са Стандартните договорни клаузи на Европейската комисия (Решение 2021/914/ЕС), допълнени, когато е необходимо, с допълнителни технически и организационни мерки. Актуалният списък на получателите и приложимите механизми за предаване е публикуван на /legal/sub-processors.

15. Несъстоятелност, запор и действия на трети лица

Ако личните данни на Администратора са изложени на риск поради запор, конфискация, производство по несъстоятелност или по споразумение с кредиторите или друго действие на трето лице, което би могло да засегне способността на Обработващия да спазва настоящото DPA, Обработващият уведомява Администратора без ненужно забавяне и уведомява писмено третото лице, че отговорността за данните е на Администратора като администратор на данни по смисъла на GDPR. До разрешаването на действието на третото лице Обработващият предприема разумни мерки за защита на целостта и наличността на данните на Администратора.

16. Отговорност

Всяка страна носи отговорност за вреди, причинени от собственото ѝ нарушение на настоящото DPA, в съответствие с член 82 от GDPR и приложимото право. Нищо в настоящото DPA не изключва и не ограничава отговорност, която не може да бъде изключена или ограничена по закон, включително за смърт или телесна повреда, измама, въвеждане в заблуждение с цел измама или умишлено неправомерно поведение. Нищо в настоящото DPA не ограничава правата на субектите на данни или на надзорните органи. Във всички останали отношения ограниченията и изключенията на отговорността, предвидени в основния договор, се прилагат и за настоящото DPA.

17. Делимост и заключителни разпоредби

Измененията и допълненията към настоящото DPA трябва да бъдат записани в писмена форма, включително в електронна форма, и изрично да посочват изменяните разпоредби. Член 28, параграф 9 от GDPR допуска споразумението да бъде в електронна форма; това само по себе си не установява приемането на изменение. Ако някоя разпоредба на настоящото DPA е или стане невалидна, незаконосъобразна или неприложима, валидността на останалите разпоредби не се засяга; страните ще заменят невалидната разпоредба с валидна, чийто икономически ефект е възможно най-близък до ефекта на невалидната разпоредба. Настоящото DPA може да бъде сключено и актуализирано по електронен път и замества всички предходни договорености за обработване на данни между страните относно същия предмет.

18. Приложимо право и компетентен съд

Настоящото DPA се урежда от правото на Република Кипър, с изключение на нейните стълкновителни норми и на Конвенцията на Организацията на обединените нации за договорите за международна продажба на стоки. Съдилищата в Пафос, Кипър, имат изключителна компетентност по всеки спор, възникнал от или във връзка с настоящото DPA, без да се засягат задължителните права относно мястото на съдебно производство на потребителите или на субектите на данни съгласно GDPR.

19. Контакт

По въпроси, свързани с настоящото DPA, се свържете с Labb Holding Ltd на privacy@persohr.eu или пишете на Labb Holding Ltd, Anthipolochagou Georgiou M.Savva 26, Shop 1-2, 8201 Paphos, Cyprus. Точката за контакт на Администратора по въпросите на защитата на данните е потребителският акаунт, определен като OWNER в платформата PersoHR.