Databehandleraftale

1. Indledning

Denne databehandleraftale ("DPA") udgør en del af den overordnede abonnementsaftale mellem Labb Holding Ltd, et cypriotisk privat selskab med begrænset ansvar (limited by shares) med hjemsted på Anthipolochagou Georgiou M.Savva 26, Shop 1-2, 8201 Paphos, Cypern, registreret under HE 424230 (der driver PersoHR-platformen, "Databehandleren"), og kunden ("Den Dataansvarlige"). Den regulerer den behandling af personoplysninger, som Databehandleren udfører på vegne af Den Dataansvarlige i forbindelse med PersoHR-platformen, og er udformet med henblik på at overholde forordning (EU) 2016/679 ("GDPR"). Hvis en bestemmelse i denne DPA er i strid med den overordnede aftale, har denne DPA forrang i spørgsmål om behandling af personoplysninger. Udtryk med stort begyndelsesbogstav, som anvendes, men ikke defineres her, har den betydning, der er tillagt dem i den overordnede aftale eller, hvor det er relevant, i GDPR.

2. Genstand, varighed, karakter og formål

Databehandleren behandler personoplysninger udelukkende med det formål at levere HR-administrationstjenesten PersoHR. Behandlingen omfatter administration af medarbejderoplysninger, ferie og fravær, onboarding, offboarding, tidsregistrering, lønforberedelse, medarbejderevalueringer, rekruttering, dokumentopbevaring, intern kommunikation og andre HR-arbejdsgange, som Den Dataansvarlige konfigurerer. Behandlingen omfatter indsamling, registrering, organisering, opbevaring, fremsøgning, brug, autoriseret videregivelse, eksport og sletning i forbindelse med disse tjenester. Denne databehandleraftale beskytter fortsat kundens personoplysninger, så længe de opbevares, herunder under en aftalt procedure for tilbagelevering eller sletning efter afsnit 13. Behandling til PersoHR's egne formål, som beskrevet i privatlivspolitikken, er adskilt fra dette databehandlerforhold. Den Dataansvarlige anerkender, at behandlingens præcise omfang og dybde afhænger af de moduler og den konfiguration, som Den Dataansvarlige vælger at aktivere.

3. Kategorier af personoplysninger

Kategorierne af personoplysninger, der behandles, afhænger af Den Dataansvarliges konfiguration af platformen og kan omfatte: personalestamdata (navn, kontaktoplysninger, postadresse, fødselsdato, foto, oplysninger om nødkontakter); ansættelsesstamdata (stillingsbetegnelse, afdeling, ansættelsestype, start- og slutdato, arbejdstid, leder, handicapstatus); dokumentindhold (ansættelseskontrakter, certificeringer, identitetsdokumenter, andre filer uploadet af Den Dataansvarlige); præstations- og udviklingsdata (mål, evalueringer, feedback, uddannelsesregistreringer); ferie- og fraværsdata (anmodninger, saldi, helligdage); tidsregistreringsdata (ind- og udstemplinger, timesedler, overarbejde); data til lønforberedelse (lønoplysninger, IBAN hvor oplyst, skatte- og socialsikringsnumre hvor oplyst, nationalitet, køn, civilstand, antal børn, fødested, sygesikringsudbyder og -type, trossamfund i forbindelse med kirkeskat); rekrutteringsdata (ansøgninger, CV'er, samtalenoter, referencer); kommunikations- og chatdata; autentificerings- og sikkerhedsdata (tidsstempler for login, IP-adresser, oplysninger om browser/enhed (user-agent) og registreringer af enhedssessioner, status for tofaktorgodkendelse); samt alle andre personoplysninger, som Den Dataansvarlige vælger at uploade eller generere på platformen. Behandlingen kan også omfatte indhold i elektroniske signaturer og bevis for underskrivelsen. Oplysning om trossamfund i forbindelse med kirkeskat kan afsløre religion. Handicapstatus, sygefravær og registreringer af lægeerklæringer kan afsløre helbredsoplysninger, selv uden uploadede medicinske dokumenter. Hvor der behandles særlige kategorier af personoplysninger, skal Den Dataansvarlige fastlægge et grundlag efter artikel 6 og en gældende betingelse efter artikel 9 og instruere Databehandleren om de nødvendige garantier. Oplysninger om straffedomme kræver, at betingelserne i artikel 10 er opfyldt, og må ikke leveres uden en aftalt, lovlig og understøttet behandlingsordning. Databehandleren er fortsat ansvarlig for sine egne gældende forpligtelser vedrørende databeskyttelse og sikkerhed.

4. Kategorier af registrerede

Kategorierne af registrerede omfatter, for så vidt angår Den Dataansvarlige og eventuelle tilknyttede selskaber, som Den Dataansvarlige vælger at administrere via platformen, typisk: nuværende medarbejdere, kontraktansatte, freelancere og andet personale, herunder arbejdstagere under 18 år, hvor de er lovligt ansat; tidligere medarbejdere, kontraktansatte og personale; ansøgere og kandidater i aktive eller tidligere rekrutteringsforløb; samt forsørgede familiemedlemmer eller nødkontakter, som oplyses af nogen af de førnævnte. Den Dataansvarlige er ansvarlig for lovligheden af at inddrage en bestemt registreret i behandlingens omfang.

5. Instrukser og ret til at afvise

Databehandleren behandler kun personoplysninger efter Den Dataansvarliges dokumenterede instruktioner, herunder med hensyn til internationale overførsler, medmindre EU-ret eller medlemsstaternes nationale ret kræver, at Databehandleren gør andet (i så fald underretter Databehandleren Den Dataansvarlige inden behandlingen, medmindre den pågældende ret forbyder en sådan underretning af hensyn til vigtige samfundsinteresser). Den Dataansvarlige udpeger de personer, der eksklusivt er bemyndiget til at give behandlingsinstruktioner via platformen; foreligger der ingen sådan udpegning, kan kun fysiske personer, der er bemyndiget til at repræsentere Den Dataansvarlige retligt, give instruktioner. Hvis Databehandleren med rimelighed mener, at en instruktion er i strid med GDPR eller anden gældende databeskyttelseslovgivning, underretter Databehandleren straks Den Dataansvarlige og kan suspendere udførelsen af den pågældende instruktion, indtil spørgsmålet er afklaret mellem parterne.

6. Fortrolighed

Databehandleren sikrer, at enhver fysisk person, der er bemyndiget til at behandle personoplysninger på Databehandlerens vegne, er underlagt en fortrolighedsforpligtelse, enten i henhold til aftale eller i henhold til en lovbestemt pligt. Hver part forpligter sig endvidere til at behandle alle ikke-offentlige oplysninger, som parten modtager fra den anden part i forbindelse med denne databehandleraftale, fortroligt, herunder indholdet af revisioner, sikkerhedsdokumentation og hændelsesrapporter, og til udelukkende at anvende sådanne oplysninger til opfyldelse af hovedaftalen og denne databehandleraftale. Undtaget er oplysninger, der er offentligt kendte, er udviklet uafhængigt uden brug af den videregivende parts fortrolige oplysninger, er modtaget lovligt fra en tredjepart uden fortrolighedsforpligtelse, eller som skal videregives i henhold til bindende retlig proces. Generelle fortrolighedsforpligtelser består i fem år efter ophør. Forpligtelser, der beskytter personoplysninger, gælder, så længe disse data opbevares, herunder hvor en længere lovbestemt pligt finder anvendelse.

7. Behandlingssikkerhed (artikel 32)

Databehandleren gennemfører og opretholder tekniske og organisatoriske foranstaltninger, der er passende i forhold til risikoen, under hensyntagen til de faktorer, der er nævnt i artikel 32 i GDPR. Sikkerhedsforanstaltningerne i applikationen omfatter rollebaserede og tenant-afgrænsede adgangskontroller, tidsbegrænsede autentificeringstokens, obligatorisk tofaktorgodkendelse for rollerne Ejer og HR-administrator, kryptering af udvalgte følsomme felter samt revisionsregistreringer for understøttede handlinger. Sikkerhedsbilaget på /legal/security beskriver disse foranstaltninger. Databehandlerens forpligtelser til at sikre passende beskyttelse, tilgængelighed og genopretning er ikke begrænset til de funktioner, der er nævnt her. Opdateringer af foranstaltningerne må ikke væsentligt sænke det samlede sikkerhedsniveau.

8. Underdatabehandlere

Den Dataansvarlige bemyndiger Databehandleren til at benytte de underdatabehandlere, der er anført på /legal/sub-processors. Databehandleren underretter Den Dataansvarlige skriftligt (herunder via e-mail) mindst 30 dage før tilføjelse eller udskiftning af en underdatabehandler. Den Dataansvarlige kan inden for 14 dage efter denne underretning gøre indsigelse af rimelige databeskyttelsesmæssige grunde; foreligger der ikke en rettidig indsigelse, anses ændringen for godkendt. Hvis parterne ikke kan løse en berettiget indsigelse inden for yderligere 30 dage, kan hver af parterne opsige den overordnede aftale ved skriftligt varsel uden yderligere ansvar, og i så fald har Den Dataansvarlige ret til forholdsmæssig tilbagebetaling af forudbetalte gebyrer, der dækker den uudnyttede resterende del af abonnementsperioden. Databehandleren indgår skriftlige aftaler med hver underdatabehandler, som pålægger databeskyttelsesforpligtelser svarende til dem i denne DPA, og forbliver ansvarlig for sine underdatabehandleres handlinger og undladelser.

9. Bistand vedrørende de registreredes rettigheder

Databehandleren bistår Den Dataansvarlige, under hensyntagen til behandlingens karakter og så vidt muligt, med anmodninger i henhold til kapitel III i GDPR. Applikationen indeholder værktøjer til dataeksport, berigtigelse og sletning med begrænsninger efter rolle og omfang. Disse værktøjer bistår Den Dataansvarlige, men afgør ikke, om en individuel anmodning skal imødekommes. Dataportabilitet efter artikel 20 er begrænset til data, som den pågældende person har leveret, og som behandles automatisk på grundlag af samtykke eller kontrakt; andre registreringer kan være omfattet af indsigtsretten efter artikel 15. Databehandleren yder rimelig yderligere bistand, hvor værktøjerne ikke er tilstrækkelige. Anmodninger vedrørende Den Dataansvarliges HR-behandling, der modtages direkte fra en person, henvises til Den Dataansvarlige uden unødig forsinkelse.

Når en person anmoder Databehandleren om at slette sin personlige PersoHR-konto, lukker Databehandleren kontoen med det samme. Databehandleren afslutter personens adgang, sletter de kontodata, den opbevarer som dataansvarlig (loginoplysninger, indstillinger for totrinsgodkendelse, sessioner, kontoindstillinger og de supportanmodninger, personen har indsendt i applikationen, med deres skærmbilleder), og sletter personens samtaler med AI-assistenten, som applikationen ikke viser til nogen andre. Kopier af disse supportanmodninger, der er leveret til Databehandlerens supportpostkasse, og anden korrespondance med Databehandleren opbevares som beskrevet i privatlivspolitikken. Databehandleren sletter eller ændrer ikke nogen anden registrering, som Den Dataansvarlige har om personen. Databehandleren registrerer anmodningen på personens medlemskab af hvert af Den Dataansvarliges arbejdsrum og underretter Den Dataansvarliges ejere og HR-administratorer i applikationen og via e-mail uden unødig forsinkelse. Den Dataansvarlige beslutter, om registreringerne skal slettes ved hjælp af applikationens sletningsværktøj eller beholdes, og svarer personen. Databehandleren bekræfter anmodningen over for personen via e-mail og giver personen besked via e-mail, når Den Dataansvarlige har registreret sin beslutning i applikationen, eller når registreringerne er blevet slettet, fordi arbejdsrummet er ved at blive slettet.

De identitetsoplysninger på personens konto, som Den Dataansvarliges registreringer bruger (navn, e-mailadresse, fødselsdato og telefonnummer), opbevares på vegne af Den Dataansvarlige og enhver anden kunde, hvis registreringer bruger dem, indtil hvert af personens medlemskaber af et arbejdsrum er blevet slettet eller det pågældende arbejdsrum er slettet, og anonymiseres derefter. Et slettet medlemskab kan efterlade registreringer, som Den Dataansvarlige er forpligtet ved lov til at opbevare, såsom en arbejdstidsregistrering ført i personens navn, og som følger deres egen opbevaringsperiode. Identitetsoplysningerne ændres kun efter instruks fra en dataansvarlig: Den Dataansvarlige kan tilføje en manglende fødselsdato i applikationen, og enhver anden rettelse foretages af Databehandlerens support. Databehandleren bruger dem kun til at skrive til personen med henblik på den bekræftelse og den meddelelse om beslutningen, der er beskrevet ovenfor, meddelelser, som Den Dataansvarlige er forpligtet ved lov til at give, og det endelige arkiv, der er beskrevet nedenfor. En lukket konto kan ikke genåbnes, og dens e-mailadresse kan ikke bruges til en ny konto eller inviteres til et arbejdsrum, før hvert af personens medlemskaber af et arbejdsrum er blevet slettet eller det pågældende arbejdsrum er slettet.

Hvis Den Dataansvarlige har anmodet om sletning af sit arbejdsrum, gennemføres en anmodning, der er åben, når arbejdsrummet begynder at lukke, eller som modtages, mens det lukker, når arbejdsrummets endelige arkiv er færdigt (i den natlige kørsel efter færdiggørelsen, eller efter anmodningen, hvis arkivet allerede var færdigt), eller når arbejdsrummet slettes, hvis det sker først, så personens registreringer indgår i ethvert endeligt arkiv, Den Dataansvarlige modtager. Databehandlerens kopi af det endelige arkiv slettes sammen med arbejdsrummet. Hvis personen er den kontaktperson, Den Dataansvarlige har angivet for dette arkiv, sendes arkivet til en anden ejer af arbejdsrummet, som stadig kan logge ind, og kun til personens adresse, hvis der ikke er en sådan. Hvis personen er eneste ejer af et arbejdsrum, der ikke er ved at blive slettet, kan anmodningen ikke gennemføres, før arbejdsrummet har en anden aktiv ejer eller en aktiv HR-administrator, eller før arbejdsrummet er ved at blive slettet; hvis der findes en aktiv HR-administrator, gør Databehandleren den med længst anciennitet til ejer, så Den Dataansvarlige bevarer en ejer.

10. Underretning om brud på persondatasikkerheden

Databehandleren underretter Den Dataansvarlige uden unødig forsinkelse og under alle omstændigheder senest 72 timer efter at være blevet bekendt med et brud på persondatasikkerheden, der berører Den Dataansvarliges data, i overensstemmelse med artikel 33, stk. 2, i GDPR. De tilgængelige oplysninger omfatter bruddets karakter, de berørte kategorier og det omtrentlige antal berørte personer og registreringer, de sandsynlige konsekvenser, kontaktoplysninger samt de trufne eller foreslåede foranstaltninger. Oplysningerne kan gives i etaper uden yderligere unødig forsinkelse. Databehandleren bistår Den Dataansvarlige med dennes vurdering og underretningsforpligtelser i henhold til artikel 33 og 34. Den Dataansvarliges kvalificerede frist på 72 timer for underretning af tilsynsmyndigheden er ikke en venteperiode for Databehandleren.

11. Konsekvensanalyse (DPIA) og forudgående høring

Databehandleren bistår efter rimelig anmodning Den Dataansvarlige med konsekvensanalyser vedrørende databeskyttelse i henhold til artikel 35 og forudgående høring af tilsynsmyndigheder i henhold til artikel 36, under hensyntagen til behandlingens karakter og de oplysninger, der er tilgængelige for Databehandleren.

12. Revisioner og inspektioner

Databehandleren stiller alle oplysninger, der er nødvendige for at påvise overholdelse af artikel 28 i GDPR, til rådighed og giver mulighed for og bidrager til revisioner, herunder inspektioner, der foretages af Den Dataansvarlige eller en revisor, som Den Dataansvarlige har bemyndiget. Parterne aftaler rimelige ordninger for varsel, tidspunkt, fortrolighed og beskyttelse af andre kunders oplysninger. Uafhængige rapporter og sikkerhedsdokumentation kan bidrage til at påvise overholdelse, men erstatter ikke Den Dataansvarliges lovbestemte revisionsrettigheder. Krav til planlægning, hyppighed og revisor må ikke forhindre en revision, der kræves i henhold til lovgivningen, af en tilsynsmyndighed, som følge af et brud på persondatasikkerheden eller ved rimelig grund til mistanke om manglende overholdelse. Hver part afholder normalt sine egne omkostninger, medmindre andet er aftalt eller kræves ved lov.

13. Tilbagelevering eller sletning af personoplysninger

Når behandlingstjenesterne ophører, tilbageleverer eller sletter Databehandleren personoplysningerne efter Den Dataansvarliges valg og sletter eksisterende kopier, medmindre EU-ret eller medlemsstaternes nationale ret kræver opbevaring, i overensstemmelse med artikel 28, stk. 3, litra g), i GDPR. Den Dataansvarlige bør downloade de nødvendige eksporter, før den betalte adgang ophører, og kontakte support for at aftale yderligere tilbagelevering eller sletning. Ophør af abonnementsfornyelsen udgør ikke i sig selv en anmodning om sletning af kontoen. Proceduren for sletning af kontoen i appen planlægger sletningen efter en fortrydelsesperiode på 30 dage; en tidligere eller anderledes lovpligtig anmodning bør rettes direkte til Databehandleren. Parterne skal aftale og gennemføre proceduren for tilbagelevering eller sletning uden at opbevare data længere end nødvendigt. Sikkerhedskopier forbliver beskyttet af denne databehandleraftale, indtil de fjernes i henhold til den gældende plan for sikkerhedskopiering; enhver gendannelse skal respektere tidligere sletningsinstruktioner. Faktureringsoplysninger, der behandles til opfyldelse af Databehandlerens egne retlige forpligtelser, håndteres separat i henhold til privatlivspolitikken.

14. Internationale overførsler

Databehandleren behandler primært personoplysninger inden for Den Europæiske Union. Hvis Databehandleren eller en underdatabehandler har behov for at overføre personoplysninger til et land uden for Det Europæiske Økonomiske Samarbejdsområde, foretages overførslen kun på grundlag af en afgørelse om tilstrækkeligt beskyttelsesniveau i henhold til artikel 45 i GDPR eller fornødne garantier i henhold til artikel 46 i GDPR, typisk Europa-Kommissionens standardkontraktbestemmelser (afgørelse 2021/914/EU), om nødvendigt suppleret med yderligere tekniske og organisatoriske foranstaltninger. Den aktuelle liste over modtagere og gældende overførselsmekanismer er offentliggjort på /legal/sub-processors.

15. Insolvens, beslaglæggelse og tredjepartshændelser

Hvis Den Dataansvarliges personoplysninger er i fare som følge af beslaglæggelse, konfiskation, insolvens- eller akkordbehandling eller enhver anden handling fra en tredjepart, der kan påvirke Databehandlerens evne til at overholde denne DPA, underretter Databehandleren Den Dataansvarlige uden unødig forsinkelse og oplyser skriftligt tredjeparten om, at dataene henhører under Den Dataansvarliges ansvar som dataansvarlig i GDPR's forstand. Databehandleren træffer rimelige foranstaltninger for at beskytte integriteten og tilgængeligheden af Den Dataansvarliges data, indtil tredjepartens handling er afklaret.

16. Ansvar

Hver part er ansvarlig for skade forårsaget af partens egen overtrædelse af denne databehandleraftale i overensstemmelse med artikel 82 i GDPR og gældende ret. Intet i denne databehandleraftale udelukker eller begrænser et ansvar, der ikke kan udelukkes eller begrænses ved lov, herunder for død eller personskade, svig, svigagtig vildledning eller forsætlig forseelse. Intet i denne databehandleraftale begrænser de registreredes eller tilsynsmyndighedernes rettigheder. I alle andre henseender gælder de ansvarsbegrænsninger og ansvarsfraskrivelser, der er fastsat i hovedaftalen, tilsvarende for denne databehandleraftale.

17. Delvis ugyldighed og afsluttende bestemmelser

Ændringer af og tillæg til denne databehandleraftale skal foreligge skriftligt, herunder elektronisk, og udtrykkeligt angive de bestemmelser, der ændres. Artikel 28, stk. 9, i GDPR tillader, at aftalen foreligger i elektronisk form; dette udgør ikke i sig selv accept af en ændring. Hvis en bestemmelse i denne databehandleraftale er eller bliver ugyldig, ulovlig eller ikke kan håndhæves, berøres gyldigheden af de øvrige bestemmelser ikke; parterne erstatter den ugyldige bestemmelse med en gyldig bestemmelse, hvis økonomiske virkning kommer så tæt som muligt på den ugyldige bestemmelses. Denne databehandleraftale kan indgås og opdateres elektronisk og erstatter alle tidligere databehandlingsordninger mellem parterne vedrørende samme genstand.

18. Lovvalg og værneting

Denne DPA er underlagt lovgivningen i Republikken Cypern med undtagelse af dennes lovvalgsregler og De Forenede Nationers konvention om aftaler om internationale køb. Domstolene i Paphos, Cypern, har eksklusiv kompetence i enhver tvist, der udspringer af eller har forbindelse med denne DPA, uden at dette berører eventuelle ufravigelige værnetingsrettigheder for forbrugere eller registrerede i henhold til GDPR.

19. Kontakt

I spørgsmål vedrørende denne DPA kan du kontakte Labb Holding Ltd på privacy@persohr.eu eller skrive til Labb Holding Ltd, Anthipolochagou Georgiou M.Savva 26, Shop 1-2, 8201 Paphos, Cypern. Den Dataansvarliges kontaktpunkt for databeskyttelse er den brugerkonto, der er udpeget som OWNER på PersoHR-platformen.