Smlouva o zpracování osobních údajů

1. Úvod

Tato Smlouva o zpracování osobních údajů („DPA“) tvoří součást hlavní smlouvy o předplatném mezi společností Labb Holding Ltd, kyperskou soukromou společností s ručením omezeným akciemi se sídlem na adrese Anthipolochagou Georgiou M.Savva 26, Shop 1-2, 8201 Paphos, Kypr, zapsanou pod číslem HE 424230 (provozovatelem platformy PersoHR, dále jen „Zpracovatel“), a zákazníkem (dále jen „Správce“). Upravuje zpracování osobních údajů, které Zpracovatel provádí jménem Správce v souvislosti s platformou PersoHR, a je koncipována tak, aby byla v souladu s nařízením (EU) 2016/679 („GDPR“). Je-li kterékoli ustanovení této DPA v rozporu s hlavní smlouvou, má v otázkách zpracování osobních údajů přednost tato DPA. Pojmy s velkým počátečním písmenem, které jsou zde použity, ale nejsou zde definovány, mají význam, který jim přisuzuje hlavní smlouva, popřípadě GDPR.

2. Předmět, doba trvání, povaha a účel

Zpracovatel zpracovává osobní údaje výhradně za účelem poskytování služby pro správu HR PersoHR. Zpracování zahrnuje správu záznamů zaměstnanců, dovolené a nepřítomnosti, onboarding, offboarding, evidenci pracovní doby, přípravu mezd, hodnocení výkonu, nábor, ukládání dokumentů, interní komunikaci a další HR procesy nakonfigurované Správcem. Zpracování zahrnuje shromažďování, zaznamenávání, uspořádání, uložení, vyhledání, použití, oprávněné zpřístupnění, export a výmaz pro tyto služby. Tato DPA nadále chrání osobní údaje zákazníka po dobu jejich uchovávání, včetně průběhu dohodnutého postupu vrácení nebo výmazu podle oddílu 13. Zpracování pro vlastní účely PersoHR, popsané v Zásadách ochrany osobních údajů, je od tohoto zpracovatelského vztahu odděleno. Správce bere na vědomí, že přesný rozsah a hloubka zpracování závisí na modulech a konfiguraci, které se Správce rozhodne aktivovat.

3. Kategorie osobních údajů

Kategorie zpracovávaných osobních údajů závisí na konfiguraci platformy Správcem a mohou zahrnovat: základní osobní údaje (jméno, kontaktní údaje, poštovní adresa, datum narození, fotografie, údaje o nouzovém kontaktu); základní pracovní údaje (pracovní pozice, oddělení, typ pracovního poměru, datum nástupu a ukončení, pracovní doba, nadřízený, zdravotní postižení); obsah dokumentů (pracovní smlouvy, certifikáty, doklady totožnosti, další soubory nahrané Správcem); údaje o výkonu a rozvoji (cíle, hodnocení, zpětná vazba, záznamy o školení); údaje o dovolené a nepřítomnosti (žádosti, zůstatky, státní svátky); údaje o evidenci pracovní doby (příchody a odchody, výkazy práce, přesčasy); údaje pro přípravu mezd (mzdové záznamy, IBAN, je-li poskytnut, daňové identifikátory a identifikátory sociálního zabezpečení, jsou-li poskytnuty, státní příslušnost, pohlaví, rodinný stav, počet dětí, místo narození, zdravotní pojišťovna a druh pojištění, vyznání pro účely církevní daně); údaje o náboru (žádosti, životopisy, poznámky z pohovorů, reference); komunikační a chatová data; autentizační a bezpečnostní údaje (časy přihlášení, IP adresy, informace o prohlížeči a zařízení (user-agent) a záznamy relací zařízení, stav dvoufaktorového ověření); a jakékoli další osobní údaje, které se Správce rozhodne v platformě nahrát nebo vytvořit. Zpracování může zahrnovat také obsah elektronických podpisů a doklady o podpisu. Vyznání pro účely církevní daně může odhalit náboženské vyznání. Zdravotní postižení, nepřítomnost z důvodu nemoci a záznamy o lékařských potvrzeních mohou odhalit údaje o zdravotním stavu i bez nahraných lékařských dokumentů. Pokud jsou zpracovávány zvláštní kategorie údajů, musí Správce stanovit právní základ podle článku 6 a použitelnou podmínku podle článku 9 a dát Zpracovateli pokyny k nezbytným zárukám. Údaje o rozsudcích v trestních věcech vyžadují splnění podmínek článku 10 a nesmí být poskytnuty bez dohodnutého zákonného a podporovaného způsobu zpracování. Zpracovatel nadále odpovídá za plnění svých vlastních použitelných povinností v oblasti ochrany osobních údajů a bezpečnosti.

4. Kategorie subjektů údajů

Kategorie subjektů údajů, ve vztahu ke Správci a k přidruženým společnostem, které se Správce rozhodne spravovat prostřednictvím platformy, obvykle zahrnují: současné zaměstnance, smluvní pracovníky, osoby samostatně výdělečně činné (freelancery) a další personál, včetně pracovníků mladších 18 let, jsou-li zaměstnáni v souladu se zákonem; bývalé zaměstnance, smluvní pracovníky a personál; uchazeče a kandidáty v probíhajících nebo minulých výběrových řízeních; a vyživované osoby nebo nouzové kontakty uvedené kteroukoli z výše uvedených osob. Správce odpovídá za zákonnost zahrnutí kteréhokoli konkrétního subjektu údajů do rozsahu zpracování.

5. Pokyny a právo odmítnout

Zpracovatel bude zpracovávat osobní údaje pouze na základě doložených pokynů Správce, a to i pokud jde o mezinárodní předávání, ledaže mu jiný postup ukládá právo Unie nebo členského státu (v takovém případě Zpracovatel Správce před zpracováním informuje, ledaže dotčený právní předpis takové informování zakazuje z důležitých důvodů veřejného zájmu). Správce určí osoby, které jsou výhradně oprávněny udělovat pokyny ke zpracování prostřednictvím platformy; není-li takové určení provedeno, mohou pokyny udělovat pouze fyzické osoby oprávněné Správce zastupovat. Pokud se Zpracovatel důvodně domnívá, že určitý pokyn porušuje GDPR nebo jiný použitelný předpis o ochraně osobních údajů, neprodleně o tom Správce informuje a může provedení tohoto pokynu pozastavit, dokud strany věc nevyřeší.

6. Mlčenlivost

Zpracovatel zajistí, aby každá fyzická osoba oprávněná zpracovávat osobní údaje jeho jménem byla vázána povinností mlčenlivosti, ať již smluvní, nebo zákonnou. Každá strana se dále zavazuje zachovávat důvěrnost veškerých neveřejných informací, které obdrží od druhé strany v souvislosti s touto DPA, včetně obsahu auditů, bezpečnostní dokumentace a zpráv o incidentech, a používat tyto informace výhradně k plnění hlavní smlouvy a této DPA. Vyloučeny jsou informace, které jsou veřejně známé, byly vyvinuty nezávisle bez použití důvěrných informací sdělující strany, byly oprávněně získány od třetí strany bez povinnosti mlčenlivosti nebo musí být zpřístupněny na základě závazného právního postupu. Obecné povinnosti mlčenlivosti trvají po dobu pěti let od ukončení. Povinnosti chránící osobní údaje trvají po celou dobu, po kterou jsou tyto údaje uchovávány, včetně případů, kdy se uplatní delší zákonná povinnost.

7. Zabezpečení zpracování (článek 32)

Zpracovatel zavádí a udržuje technická a organizační opatření přiměřená riziku s ohledem na faktory uvedené v článku 32 GDPR. Záruky v aplikaci zahrnují řízení přístupu podle rolí a v rozsahu tenanta, časově omezené autentizační tokeny, povinné dvoufaktorové ověření pro role Vlastník a HR administrátor, šifrování vybraných citlivých polí a auditní záznamy pro podporované akce. Tyto záruky popisuje bezpečnostní příloha na /legal/security. Povinnosti Zpracovatele zajistit přiměřenou ochranu, dostupnost a obnovu nejsou omezeny na zde uvedené funkce. Aktualizace opatření nesmí podstatně snížit celkovou úroveň zabezpečení.

8. Dílčí zpracovatelé

Správce opravňuje Zpracovatele zapojit dílčí zpracovatele uvedené na /legal/sub-processors. Zpracovatel Správce písemně (včetně e-mailu) informuje nejméně 30 dní před přidáním nebo nahrazením dílčího zpracovatele. Správce může z důvodných důvodů ochrany osobních údajů vznést námitku do 14 dnů od tohoto oznámení; nevznese-li včas námitku, považuje se změna za schválenou. Nedokážou-li strany odůvodněnou námitku vyřešit v průběhu dalších 30 dnů, může kterákoli strana hlavní smlouvu ukončit písemnou výpovědí bez další odpovědnosti a Správce má v takovém případě nárok na poměrné vrácení předplacených poplatků, které připadají na nevyužitou zbývající část doby předplatného. Zpracovatel uzavírá s každým dílčím zpracovatelem písemné smlouvy, které mu ukládají povinnosti v oblasti ochrany osobních údajů rovnocenné povinnostem podle této DPA, a nadále odpovídá za jednání a opomenutí svých dílčích zpracovatelů.

9. Pomoc při uplatňování práv subjektů údajů

Zpracovatel pomáhá Správci s ohledem na povahu zpracování a v rámci možností při vyřizování žádostí podle kapitoly III GDPR. Aplikace poskytuje nástroje pro export, opravu a výmaz dat s omezeními podle role a rozsahu. Tyto nástroje Správci pomáhají, neurčují však, zda musí být jednotlivé žádosti vyhověno. Přenositelnost podle článku 20 se omezuje na údaje poskytnuté danou osobou a zpracovávané automatizovaně na základě souhlasu nebo smlouvy; ostatní záznamy mohou spadat pod právo na přístup podle článku 15. Pokud nástroje nestačí, poskytne Zpracovatel přiměřenou dodatečnou pomoc. Žádosti týkající se HR zpracování Správce, které obdrží přímo od jednotlivce, postoupí Zpracovatel Správci bez zbytečného odkladu.

Pokud jednotlivec požádá Zpracovatele o smazání svého osobního účtu PersoHR, Zpracovatel účet okamžitě zruší. Ukončí přístup jednotlivce, smaže údaje účtu, které uchovává jako správce (přihlašovací údaje, nastavení dvoufaktorového ověření, relace, předvolby účtu a žádosti o podporu, které jednotlivec podal v aplikaci, včetně jejich snímků obrazovky), a smaže konverzace jednotlivce s asistentem AI, které aplikace nikomu jinému nezobrazuje. Kopie těchto žádostí o podporu doručené do poštovní schránky podpory Zpracovatele a další korespondence se Zpracovatelem se uchovávají, jak je popsáno v Zásadách ochrany osobních údajů. Nevymaže ani nezmění žádný jiný záznam, který Správce o jednotlivci uchovává. Zaznamená žádost u členství jednotlivce v každém z pracovních prostorů Správce a bez zbytečného odkladu o ní informuje vlastníky a HR administrátory Správce v aplikaci a e-mailem. Správce rozhodne, zda záznamy vymaže pomocí nástroje pro výmaz v aplikaci, nebo je ponechá, a jednotlivci odpoví. Zpracovatel jednotlivci potvrdí žádost e-mailem a e-mailem mu oznámí, jakmile Správce zaznamená své rozhodnutí v aplikaci, nebo jakmile budou záznamy vymazány, protože se pracovní prostor maže.

Identifikační údaje v účtu jednotlivce, které používají záznamy Správce (jméno, e-mailová adresa, datum narození a telefonní číslo), se uchovávají jménem Správce a každého dalšího zákazníka, jehož záznamy je používají, dokud nebude každé členství jednotlivce v pracovních prostorech vymazáno nebo jeho pracovní prostor smazán, a poté se anonymizují. Vymazané členství může zanechat záznamy, které je Správce ze zákona povinen uchovávat, například evidenci pracovní doby vedenou na jméno jednotlivce, a ty se řídí vlastní dobou uchovávání. Identifikační údaje se mění pouze na pokyn Správce: Správce může v aplikaci doplnit chybějící datum narození a jakoukoli jinou opravu provádí podpora Zpracovatele. Zpracovatel je používá ke korespondenci s jednotlivcem pouze pro potvrzení a oznámení o rozhodnutí popsané výše, pro oznámení, která je Správce ze zákona povinen poskytnout, a pro konečný archiv popsaný níže. Zrušený účet nelze znovu otevřít a jeho e-mailovou adresu nelze použít pro nový účet ani pozvat do pracovního prostoru, dokud nebude každé členství jednotlivce v pracovních prostorech vymazáno nebo jeho pracovní prostor smazán.

Pokud Správce požádal o smazání svého pracovního prostoru, žádost, která je otevřená v okamžiku, kdy se pracovní prostor začne uzavírat, nebo která dorazí během jeho uzavírání, se provede, jakmile bude konečný archiv pracovního prostoru dokončen (při nočním běhu následujícím po dokončení, nebo následujícím po žádosti, pokud byl archiv již dokončen), nebo při smazání pracovního prostoru, pokud k němu dojde dříve, aby záznamy jednotlivce byly součástí jakéhokoli konečného archivu, který Správce obdrží. Kopie konečného archivu u Zpracovatele se smaže spolu s pracovním prostorem. Pokud je jednotlivec kontaktní osobou, kterou Správce pro tento archiv určil, archiv obdrží jiný vlastník pracovního prostoru, který se stále může přihlásit, a na adresu jednotlivce se zašle pouze tehdy, pokud žádný takový vlastník není. Pokud je jednotlivec jediným vlastníkem pracovního prostoru, který se nemaže, nelze žádost dokončit, dokud pracovní prostor nebude mít jiného aktivního vlastníka nebo aktivního HR administrátora, nebo dokud se pracovní prostor nezačne mazat; pokud aktivní HR administrátor existuje, Zpracovatel učiní vlastníkem toho, který v pracovním prostoru působí nejdéle, aby Správce měl i nadále vlastníka.

10. Ohlašování porušení zabezpečení osobních údajů

Zpracovatel ohlásí Správci porušení zabezpečení osobních údajů týkající se údajů Správce bez zbytečného odkladu, a v každém případě do 72 hodin poté, co se o něm dozví, v souladu s čl. 33 odst. 2 GDPR. Poskytnuté dostupné informace zahrnují povahu porušení, dotčené kategorie a přibližný počet osob a záznamů, pravděpodobné důsledky, kontaktní údaje a přijatá nebo navrhovaná opatření. Informace mohou být poskytovány postupně bez dalšího zbytečného odkladu. Zpracovatel Správci pomáhá s posouzením a s plněním ohlašovacích povinností podle článků 33 a 34. Kvalifikovaná 72hodinová lhůta Správce pro ohlášení dozorovému úřadu není pro Zpracovatele čekací dobou.

11. DPIA a předchozí konzultace

Zpracovatel na přiměřenou žádost pomáhá Správci při posouzení vlivu na ochranu osobních údajů podle článku 35 a při předchozích konzultacích s dozorovými úřady podle článku 36, a to s ohledem na povahu zpracování a informace, které má Zpracovatel k dispozici.

12. Audity a inspekce

Zpracovatel zpřístupní veškeré informace potřebné k doložení souladu s článkem 28 GDPR a umožní audity, včetně inspekcí, prováděné Správcem nebo jím pověřeným auditorem, a přispěje k nim. Strany se dohodnou na přiměřených podmínkách ohledně oznámení, načasování, důvěrnosti a ochrany informací ostatních zákazníků. Nezávislé zprávy a bezpečnostní dokumentace mohou pomoci soulad doložit, nenahrazují však zákonná práva Správce na audit. Plánování, četnost a požadavky na auditora nesmí bránit auditu, který vyžaduje právní předpis, dozorový úřad, porušení zabezpečení osobních údajů nebo důvodné podezření na nesoulad. Každá strana zpravidla nese vlastní náklady, není-li dohodnuto jinak nebo nevyžaduje-li právní předpis jinak.

13. Vrácení nebo výmaz osobních údajů

Po ukončení poskytování služeb zpracování Zpracovatel podle volby Správce osobní údaje vrátí nebo vymaže a vymaže existující kopie, ledaže právo Unie nebo členského státu vyžaduje jejich uložení, v souladu s čl. 28 odst. 3 písm. g) GDPR. Správce by si měl potřebné exporty stáhnout před skončením placeného přístupu a pro zajištění dalšího vrácení nebo výmazu kontaktovat podporu. Ukončení obnovování předplatného samo o sobě nepředstavuje žádost o smazání účtu. Postup smazání účtu v aplikaci naplánuje smazání po 30denní lhůtě pro zrušení; dřívější nebo jinou žádost vyžadovanou zákonem je třeba adresovat přímo Zpracovateli. Strany se musí na postupu vrácení nebo výmazu dohodnout a provést jej, aniž by údaje uchovávaly déle, než je nezbytné. Záložní kopie zůstávají chráněny touto DPA až do jejich odstranění podle použitelného harmonogramu záloh; jakékoli obnovení musí respektovat dřívější pokyny k výmazu. Fakturační záznamy zpracovávané pro plnění vlastních právních povinností Zpracovatele se řídí samostatně Zásadami ochrany osobních údajů.

14. Mezinárodní předávání

Zpracovatel zpracovává osobní údaje především v rámci Evropské unie. Potřebuje-li Zpracovatel nebo kterýkoli dílčí zpracovatel předat osobní údaje do země mimo Evropský hospodářský prostor, předání se uskuteční pouze na základě rozhodnutí o odpovídající ochraně podle článku 45 GDPR nebo vhodných záruk podle článku 46 GDPR, obvykle standardních smluvních doložek Evropské komise (rozhodnutí 2021/914/EU), v případě potřeby doplněných o další technická a organizační opatření. Aktuální seznam příjemců a použitelných mechanismů předávání je zveřejněn na /legal/sub-processors.

15. Insolvence, zabavení a události související s třetími stranami

Jsou-li osobní údaje Správce ohroženy v důsledku zabavení, konfiskace, insolvenčního nebo vyrovnávacího řízení nebo jakéhokoli jiného jednání třetí strany, které by mohlo ovlivnit schopnost Zpracovatele dodržovat tuto DPA, Zpracovatel o tom bez zbytečného odkladu informuje Správce a písemně sdělí třetí straně, že za údaje odpovídá Správce jako správce údajů ve smyslu GDPR. Do vyřešení jednání třetí strany přijme Zpracovatel přiměřená opatření k ochraně integrity a dostupnosti údajů Správce.

16. Odpovědnost

Každá strana odpovídá za škodu způsobenou vlastním porušením této DPA v souladu s článkem 82 GDPR a použitelným právem. Nic v této DPA nevylučuje ani neomezuje odpovědnost, kterou nelze ze zákona vyloučit nebo omezit, včetně odpovědnosti za smrt nebo újmu na zdraví, podvod, podvodné uvedení v omyl nebo úmyslné protiprávní jednání. Nic v této DPA neomezuje práva subjektů údajů ani dozorových úřadů. Ve všech ostatních ohledech se omezení a vyloučení odpovědnosti stanovená v hlavní smlouvě uplatní stejně i na tuto DPA.

17. Oddělitelnost a závěrečná ustanovení

Změny a doplňky této DPA musí být zaznamenány písemně, a to i elektronicky, a musí výslovně označovat měněná ustanovení. Čl. 28 odst. 9 GDPR umožňuje, aby smlouva měla elektronickou podobu; to samo o sobě nezakládá přijetí změny. Je-li nebo stane-li se kterékoli ustanovení této DPA neplatným, protiprávním nebo nevymahatelným, nemá to vliv na platnost ostatních ustanovení; strany nahradí neplatné ustanovení platným ustanovením, jehož hospodářský účinek se co nejvíce blíží účinku neplatného ustanovení. Tuto DPA lze uzavřít a aktualizovat elektronicky a nahrazuje veškerá dřívější ujednání o zpracování údajů mezi stranami týkající se téhož předmětu.

18. Rozhodné právo a soudní příslušnost

Tato DPA se řídí právem Kyperské republiky s vyloučením jeho kolizních norem a Úmluvy OSN o smlouvách o mezinárodní koupi zboží. K rozhodování jakéhokoli sporu vzniklého z této DPA nebo v souvislosti s ní jsou výlučně příslušné soudy v Pafosu na Kypru, aniž jsou dotčena kogentní práva na volbu soudu na ochranu spotřebitele nebo práva subjektů údajů podle GDPR.

19. Kontakt

V záležitostech týkajících se této DPA kontaktujte společnost Labb Holding Ltd na adrese privacy@persohr.eu nebo jí napište na adresu Labb Holding Ltd, Anthipolochagou Georgiou M.Savva 26, Shop 1-2, 8201 Paphos, Kypr. Kontaktním místem Správce pro ochranu osobních údajů je uživatelský účet označený na platformě PersoHR jako OWNER.