Σύμβαση Επεξεργασίας Δεδομένων

1. Εισαγωγή

Η παρούσα Σύμβαση Επεξεργασίας Δεδομένων («ΣΕΔ») αποτελεί μέρος της κύριας σύμβασης συνδρομής μεταξύ της Labb Holding Ltd, κυπριακής ιδιωτικής εταιρείας περιορισμένης ευθύνης με μετοχές, με εγγεγραμμένο γραφείο στην οδό Ανθυπολοχαγού Γεωργίου Μ. Σάββα 26, Κατάστημα 1-2, 8201 Πάφος, Κύπρος, εγγεγραμμένης με αριθμό HE 424230 (η οποία λειτουργεί την πλατφόρμα PersoHR, ο «Εκτελών την Επεξεργασία»), και του πελάτη (ο «Υπεύθυνος Επεξεργασίας»). Διέπει την επεξεργασία δεδομένων προσωπικού χαρακτήρα που διενεργεί ο Εκτελών την Επεξεργασία για λογαριασμό του Υπεύθυνου Επεξεργασίας σε σχέση με την πλατφόρμα PersoHR και έχει σχεδιαστεί ώστε να συμμορφώνεται με τον Κανονισμό (ΕΕ) 2016/679 (ο «ΓΚΠΔ»). Εάν οποιαδήποτε διάταξη της παρούσας ΣΕΔ συγκρούεται με την κύρια σύμβαση, η παρούσα ΣΕΔ υπερισχύει για θέματα επεξεργασίας δεδομένων προσωπικού χαρακτήρα. Οι όροι με κεφαλαίο αρχικό γράμμα που χρησιμοποιούνται χωρίς να ορίζονται εδώ έχουν την έννοια που τους αποδίδεται στην κύρια σύμβαση ή, κατά περίπτωση, στον ΓΚΠΔ.

2. Αντικείμενο, διάρκεια, φύση και σκοπός

Ο Εκτελών την Επεξεργασία επεξεργάζεται δεδομένα προσωπικού χαρακτήρα αποκλειστικά για τον σκοπό της παροχής της υπηρεσίας διαχείρισης HR PersoHR. Η επεξεργασία καλύπτει τη διαχείριση αρχείων εργαζομένων, αδειών και απουσιών, την ένταξη και την αποχώρηση εργαζομένων, την καταγραφή χρόνου εργασίας, την προετοιμασία μισθοδοσίας, τις αξιολογήσεις απόδοσης, τις προσλήψεις, την αποθήκευση εγγράφων, την εσωτερική επικοινωνία και άλλες ροές εργασίας HR που διαμορφώνει ο Υπεύθυνος Επεξεργασίας. Η επεξεργασία περιλαμβάνει συλλογή, καταχώριση, οργάνωση, αποθήκευση, ανάκτηση, χρήση, εξουσιοδοτημένη κοινολόγηση, εξαγωγή και διαγραφή για τις υπηρεσίες αυτές. Η παρούσα ΣΕΔ εξακολουθεί να προστατεύει τα δεδομένα προσωπικού χαρακτήρα του πελάτη για όσο διάστημα διατηρούνται, συμπεριλαμβανομένης της διάρκειας συμφωνημένης διαδικασίας επιστροφής ή διαγραφής κατά την ενότητα 13. Η επεξεργασία για τους δικούς σκοπούς του PersoHR, όπως περιγράφεται στην Πολιτική Απορρήτου, είναι ξεχωριστή από την παρούσα ανάθεση εκτέλεσης επεξεργασίας. Ο Υπεύθυνος Επεξεργασίας αναγνωρίζει ότι το ακριβές εύρος και βάθος της επεξεργασίας εξαρτώνται από τις λειτουργικές ενότητες και τη διαμόρφωση που επιλέγει να ενεργοποιήσει.

3. Κατηγορίες δεδομένων προσωπικού χαρακτήρα

Οι κατηγορίες δεδομένων προσωπικού χαρακτήρα που υποβάλλονται σε επεξεργασία εξαρτώνται από τη διαμόρφωση της πλατφόρμας από τον Υπεύθυνο Επεξεργασίας και μπορεί να περιλαμβάνουν: βασικά στοιχεία προσωπικού (ονοματεπώνυμο, στοιχεία επικοινωνίας, ταχυδρομική διεύθυνση, ημερομηνία γέννησης, φωτογραφία, στοιχεία επαφής έκτακτης ανάγκης)· βασικά στοιχεία απασχόλησης (θέση εργασίας, τμήμα, είδος απασχόλησης, ημερομηνίες έναρξης και λήξης, ωράριο εργασίας, προϊστάμενος, κατάσταση αναπηρίας)· περιεχόμενο εγγράφων (συμβάσεις εργασίας, πιστοποιήσεις, έγγραφα ταυτότητας, άλλα αρχεία που μεταφορτώνει ο Υπεύθυνος Επεξεργασίας)· δεδομένα απόδοσης και ανάπτυξης (στόχοι, αξιολογήσεις, ανατροφοδότηση, αρχεία εκπαίδευσης)· δεδομένα αδειών και απουσιών (αιτήματα, υπόλοιπα, επίσημες αργίες)· δεδομένα καταγραφής χρόνου (συμβάντα εισόδου / εξόδου, φύλλα χρόνου εργασίας, υπερωρίες)· δεδομένα προετοιμασίας μισθοδοσίας (αρχεία μισθών, IBAN όπου παρέχεται, φορολογικά αναγνωριστικά και αναγνωριστικά κοινωνικής ασφάλισης όπου παρέχονται, ιθαγένεια, φύλο, οικογενειακή κατάσταση, αριθμός τέκνων, τόπος γέννησης, φορέας και είδος ασφάλισης υγείας, θρήσκευμα για τον εκκλησιαστικό φόρο)· δεδομένα προσλήψεων (αιτήσεις, βιογραφικά, σημειώσεις συνεντεύξεων, συστάσεις)· δεδομένα επικοινωνίας και συνομιλιών· δεδομένα αυθεντικοποίησης και ασφάλειας (χρονοσημάνσεις σύνδεσης, διευθύνσεις IP, πληροφορίες user-agent προγράμματος περιήγησης/συσκευής και αρχεία συνεδριών συσκευών, κατάσταση ελέγχου ταυτότητας δύο παραγόντων)· και κάθε άλλο δεδομένο προσωπικού χαρακτήρα που ο Υπεύθυνος Επεξεργασίας επιλέγει να μεταφορτώσει ή να δημιουργήσει εντός της πλατφόρμας. Η επεξεργασία μπορεί επίσης να περιλαμβάνει περιεχόμενο ηλεκτρονικών υπογραφών και αποδεικτικά στοιχεία υπογραφής. Το θρήσκευμα για τον εκκλησιαστικό φόρο μπορεί να αποκαλύπτει θρησκευτικές πεποιθήσεις. Η κατάσταση αναπηρίας, οι απουσίες λόγω ασθένειας και τα αρχεία ιατρικών βεβαιώσεων μπορούν να αποκαλύπτουν δεδομένα υγείας ακόμη και χωρίς μεταφόρτωση ιατρικών εγγράφων. Όταν υποβάλλονται σε επεξεργασία ειδικές κατηγορίες δεδομένων, ο Υπεύθυνος Επεξεργασίας οφείλει να διασφαλίζει νομική βάση κατά το άρθρο 6 και εφαρμοστέα προϋπόθεση κατά το άρθρο 9 και να δίνει εντολές στον Εκτελούντα την Επεξεργασία για τις αναγκαίες εγγυήσεις. Τα δεδομένα ποινικών καταδικών απαιτούν τις προϋποθέσεις του άρθρου 10 και δεν πρέπει να παρέχονται χωρίς συμφωνημένη, νόμιμη και υποστηριζόμενη ρύθμιση επεξεργασίας. Ο Εκτελών την Επεξεργασία παραμένει υπεύθυνος για τις δικές του εφαρμοστέες υποχρεώσεις προστασίας δεδομένων και ασφάλειας.

4. Κατηγορίες υποκειμένων των δεδομένων

Οι κατηγορίες υποκειμένων των δεδομένων, όσον αφορά τον Υπεύθυνο Επεξεργασίας και τυχόν συνδεδεμένες επιχειρήσεις που ο Υπεύθυνος Επεξεργασίας επιλέγει να διαχειρίζεται μέσω της πλατφόρμας, περιλαμβάνουν συνήθως: νυν εργαζόμενους, εξωτερικούς συνεργάτες, ελεύθερους επαγγελματίες και λοιπό προσωπικό, συμπεριλαμβανομένων εργαζομένων κάτω των 18 ετών όπου απασχολούνται νόμιμα· πρώην εργαζόμενους, εξωτερικούς συνεργάτες και προσωπικό· αιτούντες και υποψηφίους σε ενεργές ή προηγούμενες διαδικασίες πρόσληψης· και εξαρτώμενα μέλη ή επαφές έκτακτης ανάγκης που γνωστοποιούνται από οποιοδήποτε από τα παραπάνω πρόσωπα. Ο Υπεύθυνος Επεξεργασίας ευθύνεται για τη νομιμότητα της υπαγωγής οποιουδήποτε συγκεκριμένου υποκειμένου των δεδομένων στο πεδίο της επεξεργασίας.

5. Οδηγίες και δικαίωμα άρνησης

Ο Εκτελών την Επεξεργασία επεξεργάζεται δεδομένα προσωπικού χαρακτήρα μόνο βάσει καταγεγραμμένων εντολών του Υπευθύνου Επεξεργασίας, μεταξύ άλλων όσον αφορά τις διεθνείς διαβιβάσεις, εκτός αν υποχρεούται διαφορετικά από το δίκαιο της Ένωσης ή κράτους μέλους (οπότε ο Εκτελών την Επεξεργασία ενημερώνει τον Υπεύθυνο Επεξεργασίας πριν από την επεξεργασία, εκτός αν το εν λόγω δίκαιο απαγορεύει την ενημέρωση αυτή για σοβαρούς λόγους δημόσιου συμφέροντος). Ο Υπεύθυνος Επεξεργασίας ορίζει τα πρόσωπα που είναι αποκλειστικά εξουσιοδοτημένα να δίνουν εντολές επεξεργασίας μέσω της πλατφόρμας· ελλείψει τέτοιου ορισμού, εντολές μπορούν να δίνουν μόνο τα φυσικά πρόσωπα που είναι εξουσιοδοτημένα να εκπροσωπούν νόμιμα τον Υπεύθυνο Επεξεργασίας. Αν ο Εκτελών την Επεξεργασία εύλογα κρίνει ότι μια εντολή παραβιάζει τον ΓΚΠΔ ή άλλη εφαρμοστέα νομοθεσία για την προστασία δεδομένων, ενημερώνει αμέσως τον Υπεύθυνο Επεξεργασίας και μπορεί να αναστείλει την εκτέλεση της εντολής αυτής μέχρι να επιλυθεί το ζήτημα μεταξύ των μερών.

6. Εμπιστευτικότητα

Ο Εκτελών την Επεξεργασία διασφαλίζει ότι κάθε φυσικό πρόσωπο που είναι εξουσιοδοτημένο να επεξεργάζεται δεδομένα προσωπικού χαρακτήρα για λογαριασμό του δεσμεύεται από υποχρέωση εμπιστευτικότητας, είτε συμβατική είτε εκ του νόμου. Κάθε μέρος συμφωνεί επιπλέον να τηρεί εμπιστευτικές τις μη δημόσιες πληροφορίες που λαμβάνει από το άλλο μέρος σε σχέση με την παρούσα ΣΕΔ, συμπεριλαμβανομένου του περιεχομένου ελέγχων, της τεκμηρίωσης ασφάλειας και των αναφορών περιστατικών, και να χρησιμοποιεί τις πληροφορίες αυτές αποκλειστικά για την εκτέλεση της κύριας σύμβασης και της παρούσας ΣΕΔ. Εξαιρούνται οι πληροφορίες που είναι δημοσίως γνωστές, που αναπτύχθηκαν ανεξάρτητα χωρίς χρήση των εμπιστευτικών πληροφοριών του γνωστοποιούντος μέρους, που ελήφθησαν νόμιμα από τρίτο χωρίς υποχρέωση εμπιστευτικότητας ή των οποίων η γνωστοποίηση απαιτείται από δεσμευτική νομική διαδικασία. Οι γενικές υποχρεώσεις εμπιστευτικότητας εξακολουθούν να ισχύουν για πέντε έτη μετά τη λήξη. Οι υποχρεώσεις που προστατεύουν δεδομένα προσωπικού χαρακτήρα ισχύουν για όσο διάστημα διατηρούνται τα δεδομένα αυτά, συμπεριλαμβανομένων των περιπτώσεων όπου ισχύει μακρύτερη υποχρέωση εκ του νόμου.

7. Ασφάλεια της επεξεργασίας (άρθρο 32)

Ο Εκτελών την Επεξεργασία εφαρμόζει και διατηρεί τεχνικά και οργανωτικά μέτρα κατάλληλα για τον κίνδυνο, λαμβάνοντας υπόψη τους παράγοντες του άρθρου 32 ΓΚΠΔ. Οι εγγυήσεις της εφαρμογής περιλαμβάνουν ελέγχους πρόσβασης βάσει ρόλων και οριοθετημένους ανά μισθωτή, διακριτικά αυθεντικοποίησης περιορισμένης χρονικής ισχύος, υποχρεωτικό έλεγχο ταυτότητας δύο παραγόντων για τους ρόλους Ιδιοκτήτη και Διαχειριστή HR, κρυπτογράφηση επιλεγμένων ευαίσθητων πεδίων και αρχεία ελέγχου για υποστηριζόμενες ενέργειες. Το παράρτημα ασφάλειας στη διεύθυνση /legal/security περιγράφει τις εγγυήσεις αυτές. Οι υποχρεώσεις του Εκτελούντος την Επεξεργασία για την παροχή κατάλληλης προστασίας, διαθεσιμότητας και αποκατάστασης δεν περιορίζονται στις λειτουργίες που απαριθμούνται εδώ. Οι ενημερώσεις των μέτρων δεν πρέπει να μειώνουν ουσιωδώς το συνολικό επίπεδο ασφάλειας.

8. Υπεκτελούντες την επεξεργασία

Ο Υπεύθυνος Επεξεργασίας εξουσιοδοτεί τον Εκτελούντα την Επεξεργασία να αναθέτει εργασίες στους υπεκτελούντες την επεξεργασία που αναφέρονται στη διεύθυνση /legal/sub-processors. Ο Εκτελών την Επεξεργασία ενημερώνει τον Υπεύθυνο Επεξεργασίας εγγράφως (συμπεριλαμβανομένου του email) τουλάχιστον 30 ημέρες πριν από την προσθήκη ή την αντικατάσταση υπεκτελούντος την επεξεργασία. Ο Υπεύθυνος Επεξεργασίας μπορεί να προβάλει αντίρρηση για εύλογους λόγους προστασίας δεδομένων εντός 14 ημερών από την ενημέρωση αυτή· ελλείψει έγκαιρης αντίρρησης, η αλλαγή θεωρείται εγκεκριμένη. Εάν τα μέρη δεν μπορούν να επιλύσουν μια δικαιολογημένη αντίρρηση εντός περαιτέρω 30 ημερών, οποιοδήποτε από τα μέρη μπορεί να καταγγείλει την κύρια σύμβαση με έγγραφη ειδοποίηση χωρίς περαιτέρω ευθύνη, οπότε ο Υπεύθυνος Επεξεργασίας δικαιούται αναλογική επιστροφή τυχόν προπληρωμένων τελών που καλύπτουν το υπόλοιπο της περιόδου συνδρομής που δεν έχει χρησιμοποιηθεί. Ο Εκτελών την Επεξεργασία συνάπτει έγγραφες συμφωνίες με κάθε υπεκτελούντα την επεξεργασία, οι οποίες επιβάλλουν υποχρεώσεις προστασίας δεδομένων ισοδύναμες με εκείνες της παρούσας ΣΕΔ, και παραμένει υπεύθυνος για τις πράξεις και τις παραλείψεις των υπεκτελούντων την επεξεργασία.

9. Συνδρομή σε σχέση με τα δικαιώματα των υποκειμένων των δεδομένων

Ο Εκτελών την Επεξεργασία συνδράμει τον Υπεύθυνο Επεξεργασίας, λαμβάνοντας υπόψη τη φύση της επεξεργασίας και στον βαθμό που αυτό είναι δυνατό, σε σχέση με αιτήματα δυνάμει του κεφαλαίου III ΓΚΠΔ. Η εφαρμογή παρέχει εργαλεία εξαγωγής, διόρθωσης και διαγραφής δεδομένων με περιορισμούς βάσει ρόλου και εμβέλειας. Τα εργαλεία αυτά συνδράμουν τον Υπεύθυνο Επεξεργασίας, αλλά δεν καθορίζουν αν ένα μεμονωμένο αίτημα πρέπει να ικανοποιηθεί. Η φορητότητα του άρθρου 20 περιορίζεται στα δεδομένα που παρέχονται από το πρόσωπο και υποβάλλονται σε αυτοματοποιημένη επεξεργασία βάσει συγκατάθεσης ή σύμβασης· άλλα αρχεία ενδέχεται να εμπίπτουν στο δικαίωμα πρόσβασης του άρθρου 15. Ο Εκτελών την Επεξεργασία παρέχει εύλογη πρόσθετη συνδρομή όταν τα εργαλεία δεν επαρκούν. Αιτήματα που αφορούν την επεξεργασία HR του Υπευθύνου Επεξεργασίας και λαμβάνονται απευθείας από πρόσωπο παραπέμπονται στον Υπεύθυνο Επεξεργασίας χωρίς αδικαιολόγητη καθυστέρηση.

Όταν ένα πρόσωπο ζητά από τον Εκτελούντα την Επεξεργασία να διαγράψει τον προσωπικό του λογαριασμό PersoHR, ο Εκτελών την Επεξεργασία κλείνει τον λογαριασμό αμέσως. Τερματίζει την πρόσβαση του προσώπου, διαγράφει τα δεδομένα λογαριασμού που τηρεί ως υπεύθυνος επεξεργασίας (στοιχεία σύνδεσης, ρυθμίσεις ελέγχου ταυτότητας δύο παραγόντων, συνεδρίες, προτιμήσεις λογαριασμού και τα αιτήματα υποστήριξης που υπέβαλε το πρόσωπο στην εφαρμογή, μαζί με τα στιγμιότυπα οθόνης τους) και διαγράφει τις συνομιλίες του προσώπου με τον βοηθό AI, τις οποίες η εφαρμογή δεν εμφανίζει σε κανέναν άλλον. Τα αντίγραφα των αιτημάτων υποστήριξης αυτών που παραδόθηκαν στο γραμματοκιβώτιο υποστήριξης του Εκτελούντος την Επεξεργασία, καθώς και η λοιπή αλληλογραφία με τον Εκτελούντα την Επεξεργασία, διατηρούνται όπως περιγράφεται στην Πολιτική Απορρήτου. Δεν διαγράφει ούτε μεταβάλλει κανένα άλλο αρχείο που τηρεί ο Υπεύθυνος Επεξεργασίας για το πρόσωπο. Καταχωρίζει το αίτημα στη συμμετοχή του προσώπου σε κάθε χώρο εργασίας του Υπευθύνου Επεξεργασίας και ειδοποιεί τους κατόχους και τους διαχειριστές HR του Υπευθύνου Επεξεργασίας εντός της εφαρμογής και με email χωρίς αδικαιολόγητη καθυστέρηση. Ο Υπεύθυνος Επεξεργασίας αποφασίζει αν θα διαγράψει τα αρχεία, χρησιμοποιώντας το εργαλείο διαγραφής της εφαρμογής, ή αν θα τα διατηρήσει, και απαντά στο πρόσωπο. Ο Εκτελών την Επεξεργασία επιβεβαιώνει το αίτημα στο πρόσωπο με email και το ενημερώνει με email μόλις ο Υπεύθυνος Επεξεργασίας καταχωρίσει την απόφασή του στην εφαρμογή ή μόλις τα αρχεία διαγραφούν επειδή ο χώρος εργασίας βρίσκεται υπό διαγραφή.

Τα στοιχεία ταυτότητας στον λογαριασμό του προσώπου που χρησιμοποιούν τα αρχεία του Υπευθύνου Επεξεργασίας (όνομα, διεύθυνση email, ημερομηνία γέννησης και αριθμός τηλεφώνου) τηρούνται για λογαριασμό του Υπευθύνου Επεξεργασίας και κάθε άλλου πελάτη τα αρχεία του οποίου τα χρησιμοποιούν, μέχρι να έχει διαγραφεί κάθε συμμετοχή του προσώπου σε χώρο εργασίας ή να έχει διαγραφεί ο αντίστοιχος χώρος εργασίας, και στη συνέχεια ανωνυμοποιούνται. Μια διαγραμμένη συμμετοχή μπορεί να αφήσει αρχεία που ο Υπεύθυνος Επεξεργασίας οφείλει να τηρεί βάσει νόμου, όπως ένα μητρώο χρόνου εργασίας που τηρείται στο όνομα του προσώπου, τα οποία ακολουθούν τη δική τους περίοδο διατήρησης. Τα στοιχεία ταυτότητας μεταβάλλονται μόνο κατ' εντολή ενός Υπευθύνου Επεξεργασίας: ο Υπεύθυνος Επεξεργασίας μπορεί να προσθέσει ημερομηνία γέννησης που λείπει στην εφαρμογή, και κάθε άλλη διόρθωση γίνεται από την υποστήριξη του Εκτελούντος την Επεξεργασία. Ο Εκτελών την Επεξεργασία τα χρησιμοποιεί για να γράφει στο πρόσωπο μόνο για την επιβεβαίωση και την ειδοποίηση απόφασης που περιγράφονται παραπάνω, για ειδοποιήσεις που ο Υπεύθυνος Επεξεργασίας υποχρεούται από τον νόμο να δώσει και για το τελικό αρχείο που περιγράφεται παρακάτω. Ένας κλειστός λογαριασμός δεν μπορεί να ανοίξει ξανά, και η διεύθυνση email του δεν μπορεί να χρησιμοποιηθεί για νέο λογαριασμό ούτε να προσκληθεί σε χώρο εργασίας μέχρι να έχει διαγραφεί κάθε συμμετοχή του προσώπου σε χώρο εργασίας ή να έχει διαγραφεί ο αντίστοιχος χώρος εργασίας.

Όταν ο Υπεύθυνος Επεξεργασίας έχει ζητήσει τη διαγραφή του χώρου εργασίας του, ένα αίτημα που είναι ανοιχτό όταν ο χώρος εργασίας αρχίζει να κλείνει ή που φτάνει ενώ αυτός κλείνει εκτελείται μόλις ολοκληρωθεί το τελικό αρχείο του χώρου εργασίας (στη νυχτερινή εκτέλεση που ακολουθεί την ολοκλήρωση, ή που ακολουθεί το αίτημα όταν το αρχείο είχε ήδη ολοκληρωθεί), ή κατά τη διαγραφή του χώρου εργασίας αν αυτή προηγηθεί, ώστε τα αρχεία του προσώπου να αποτελούν μέρος κάθε τελικού αρχείου που λαμβάνει ο Υπεύθυνος Επεξεργασίας. Το αντίγραφο του τελικού αρχείου που τηρεί ο Εκτελών την Επεξεργασία διαγράφεται μαζί με τον χώρο εργασίας. Όταν το πρόσωπο είναι το πρόσωπο επικοινωνίας που όρισε ο Υπεύθυνος Επεξεργασίας για το αρχείο αυτό, το αρχείο αποστέλλεται σε άλλον κάτοχο του χώρου εργασίας που μπορεί ακόμη να συνδεθεί, και στη διεύθυνση του προσώπου μόνο όταν δεν υπάρχει τέτοιος. Όταν το πρόσωπο είναι ο μοναδικός κάτοχος ενός χώρου εργασίας που δεν βρίσκεται υπό διαγραφή, το αίτημα δεν μπορεί να ολοκληρωθεί μέχρι ο χώρος εργασίας να αποκτήσει άλλον ενεργό κάτοχο ή ενεργό διαχειριστή HR ή μέχρι ο χώρος εργασίας να τεθεί υπό διαγραφή· όταν υπάρχει ενεργός διαχειριστής HR, ο Εκτελών την Επεξεργασία καθιστά κάτοχο εκείνον με τη μεγαλύτερη προϋπηρεσία, ώστε ο Υπεύθυνος Επεξεργασίας να διατηρεί κάτοχο.

10. Γνωστοποίηση παραβίασης δεδομένων προσωπικού χαρακτήρα

Ο Εκτελών την Επεξεργασία ενημερώνει τον Υπεύθυνο Επεξεργασίας χωρίς αδικαιολόγητη καθυστέρηση και σε κάθε περίπτωση εντός 72 ωρών αφότου λάβει γνώση παραβίασης δεδομένων προσωπικού χαρακτήρα που αφορά δεδομένα του Υπευθύνου Επεξεργασίας, σύμφωνα με το άρθρο 33 παράγραφος 2 ΓΚΠΔ. Οι διαθέσιμες πληροφορίες περιλαμβάνουν τη φύση της παραβίασης, τις κατηγορίες και τον κατά προσέγγιση αριθμό των θιγόμενων προσώπων και αρχείων, τις πιθανές συνέπειες, τα στοιχεία επικοινωνίας και τα μέτρα που λήφθηκαν ή προτείνονται. Οι πληροφορίες μπορούν να παρέχονται σταδιακά χωρίς περαιτέρω αδικαιολόγητη καθυστέρηση. Ο Εκτελών την Επεξεργασία συνδράμει τον Υπεύθυνο Επεξεργασίας στην αξιολόγηση και στις υποχρεώσεις γνωστοποίησης και ανακοίνωσης που υπέχει δυνάμει των άρθρων 33 και 34. Η υπό όρους προθεσμία 72 ωρών του Υπευθύνου Επεξεργασίας για τη γνωστοποίηση στην εποπτική αρχή δεν αποτελεί περίοδο αναμονής για τον Εκτελούντα την Επεξεργασία.

11. ΕΑΠΔ και προηγούμενη διαβούλευση

Ο Εκτελών την Επεξεργασία συνδράμει τον Υπεύθυνο Επεξεργασίας, κατόπιν εύλογου αιτήματος, σε εκτιμήσεις αντικτύπου σχετικά με την προστασία δεδομένων βάσει του άρθρου 35 και σε προηγούμενες διαβουλεύσεις με τις εποπτικές αρχές βάσει του άρθρου 36, λαμβάνοντας υπόψη τη φύση της επεξεργασίας και τις πληροφορίες που έχει στη διάθεσή του ο Εκτελών την Επεξεργασία.

12. Έλεγχοι και επιθεωρήσεις

Ο Εκτελών την Επεξεργασία θέτει στη διάθεση του Υπευθύνου Επεξεργασίας όλες τις πληροφορίες που είναι αναγκαίες για την απόδειξη της συμμόρφωσης με το άρθρο 28 ΓΚΠΔ και επιτρέπει και συνεισφέρει σε ελέγχους, συμπεριλαμβανομένων επιθεωρήσεων, που διενεργούνται από τον Υπεύθυνο Επεξεργασίας ή από ελεγκτή εντεταλμένο από αυτόν. Τα μέρη συμφωνούν εύλογες ρυθμίσεις για την ειδοποίηση, τον χρόνο, την εμπιστευτικότητα και την προστασία των πληροφοριών άλλων πελατών. Ανεξάρτητες εκθέσεις και τεκμηρίωση ασφάλειας μπορούν να συμβάλουν στην απόδειξη της συμμόρφωσης, αλλά δεν υποκαθιστούν τα εκ του νόμου δικαιώματα ελέγχου του Υπευθύνου Επεξεργασίας. Ο προγραμματισμός, η συχνότητα και οι απαιτήσεις για τον ελεγκτή δεν πρέπει να εμποδίζουν έλεγχο που απαιτείται από τον νόμο, από εποπτική αρχή, λόγω παραβίασης δεδομένων προσωπικού χαρακτήρα ή λόγω εύλογων υπονοιών μη συμμόρφωσης. Κάθε μέρος φέρει κατά κανόνα τα δικά του έξοδα, εκτός αν συμφωνηθεί διαφορετικά ή αν ο νόμος ορίζει άλλως.

13. Επιστροφή ή διαγραφή δεδομένων προσωπικού χαρακτήρα

Μετά τη λήξη των υπηρεσιών επεξεργασίας, ο Εκτελών την Επεξεργασία επιστρέφει ή διαγράφει τα δεδομένα προσωπικού χαρακτήρα, κατ' επιλογή του Υπευθύνου Επεξεργασίας, και διαγράφει τα υφιστάμενα αντίγραφα, εκτός αν το δίκαιο της Ένωσης ή κράτους μέλους απαιτεί τη διατήρησή τους, σύμφωνα με το άρθρο 28 παράγραφος 3 στοιχείο ζ) ΓΚΠΔ. Ο Υπεύθυνος Επεξεργασίας θα πρέπει να κατεβάσει τις απαιτούμενες εξαγωγές πριν λήξει η επί πληρωμή πρόσβαση και να επικοινωνήσει με την υποστήριξη για να κανονίσει τυχόν περαιτέρω επιστροφή ή διαγραφή. Η διακοπή της ανανέωσης της συνδρομής δεν υποβάλλει από μόνη της αίτημα διαγραφής λογαριασμού. Η διαδικασία διαγραφής λογαριασμού εντός της εφαρμογής προγραμματίζει τη διαγραφή μετά από περίοδο ακύρωσης 30 ημερών· νωρίτερο ή διαφορετικό αίτημα που απαιτείται από τον νόμο θα πρέπει να απευθύνεται απευθείας στον Εκτελούντα την Επεξεργασία. Τα μέρη πρέπει να συμφωνήσουν και να εκτελέσουν τη διαδικασία επιστροφής ή διαγραφής χωρίς να διατηρούν δεδομένα περισσότερο από όσο είναι αναγκαίο. Τα αντίγραφα ασφαλείας εξακολουθούν να προστατεύονται από την παρούσα ΣΕΔ μέχρι να αφαιρεθούν σύμφωνα με το εφαρμοστέο χρονοδιάγραμμα αντιγράφων ασφαλείας· κάθε επαναφορά πρέπει να σέβεται τις προηγούμενες εντολές διαγραφής. Τα αρχεία χρέωσης που υποβάλλονται σε επεξεργασία για τις δικές του νομικές υποχρεώσεις του Εκτελούντος την Επεξεργασία διέπονται χωριστά από την Πολιτική Απορρήτου.

14. Διεθνείς διαβιβάσεις

Ο Εκτελών την Επεξεργασία επεξεργάζεται δεδομένα προσωπικού χαρακτήρα κατά κύριο λόγο εντός της Ευρωπαϊκής Ένωσης. Όταν ο Εκτελών την Επεξεργασία ή οποιοσδήποτε υπεκτελών την επεξεργασία χρειάζεται να διαβιβάσει δεδομένα προσωπικού χαρακτήρα σε χώρα εκτός του Ευρωπαϊκού Οικονομικού Χώρου, η διαβίβαση πραγματοποιείται μόνο βάσει απόφασης επάρκειας σύμφωνα με το άρθρο 45 ΓΚΠΔ ή κατάλληλων εγγυήσεων σύμφωνα με το άρθρο 46 ΓΚΠΔ, κατά κανόνα των Τυποποιημένων Συμβατικών Ρητρών της Ευρωπαϊκής Επιτροπής (Απόφαση 2021/914/ΕΕ), συμπληρωμένων, όπου απαιτείται, με πρόσθετα τεχνικά και οργανωτικά μέτρα. Ο τρέχων κατάλογος αποδεκτών και των εφαρμοστέων μηχανισμών διαβίβασης δημοσιεύεται στη διεύθυνση /legal/sub-processors.

15. Αφερεγγυότητα, κατάσχεση και γεγονότα τρίτων

Εάν τα δεδομένα προσωπικού χαρακτήρα του Υπεύθυνου Επεξεργασίας διατρέχουν κίνδυνο λόγω κατάσχεσης, δήμευσης, διαδικασιών αφερεγγυότητας ή συνδιαλλαγής, ή οποιασδήποτε άλλης ενέργειας τρίτου που θα μπορούσε να επηρεάσει την ικανότητα του Εκτελούντος την Επεξεργασία να συμμορφώνεται με την παρούσα ΣΕΔ, ο Εκτελών την Επεξεργασία ενημερώνει τον Υπεύθυνο Επεξεργασίας χωρίς αδικαιολόγητη καθυστέρηση και ενημερώνει εγγράφως τον τρίτο ότι την ευθύνη για τα δεδομένα φέρει ο Υπεύθυνος Επεξεργασίας ως υπεύθυνος επεξεργασίας κατά την έννοια του ΓΚΠΔ. Ο Εκτελών την Επεξεργασία λαμβάνει εύλογα μέτρα για την προστασία της ακεραιότητας και της διαθεσιμότητας των δεδομένων του Υπεύθυνου Επεξεργασίας έως ότου διευθετηθεί η ενέργεια του τρίτου.

16. Ευθύνη

Κάθε μέρος ευθύνεται για ζημία που προκαλείται από δική του παράβαση της παρούσας ΣΕΔ σύμφωνα με το άρθρο 82 ΓΚΠΔ και το εφαρμοστέο δίκαιο. Καμία διάταξη της παρούσας ΣΕΔ δεν αποκλείει ούτε περιορίζει ευθύνη που δεν μπορεί να αποκλειστεί ή να περιοριστεί κατά νόμο, συμπεριλαμβανομένης της ευθύνης για θάνατο ή σωματική βλάβη, απάτη, δόλια ψευδή δήλωση ή εσκεμμένο παράπτωμα. Καμία διάταξη της παρούσας ΣΕΔ δεν περιορίζει τα δικαιώματα των υποκειμένων των δεδομένων ή των εποπτικών αρχών. Κατά τα λοιπά, οι περιορισμοί και οι αποκλεισμοί ευθύνης που προβλέπονται στην κύρια σύμβαση ισχύουν εξίσου για την παρούσα ΣΕΔ.

17. Διαιρετό και τελικές διατάξεις

Οι τροποποιήσεις και συμπληρώσεις της παρούσας ΣΕΔ πρέπει να καταγράφονται γραπτώς, συμπεριλαμβανομένης της ηλεκτρονικής μορφής, και να προσδιορίζουν ρητά τις διατάξεις που τροποποιούνται. Το άρθρο 28 παράγραφος 9 ΓΚΠΔ επιτρέπει η σύμβαση να έχει ηλεκτρονική μορφή· αυτό από μόνο του δεν τεκμηριώνει την αποδοχή μιας τροποποίησης. Αν οποιαδήποτε διάταξη της παρούσας ΣΕΔ είναι ή καταστεί άκυρη, παράνομη ή μη εκτελεστή, η ισχύς των λοιπών διατάξεων δεν θίγεται· τα μέρη αντικαθιστούν την άκυρη διάταξη με έγκυρη διάταξη της οποίας το οικονομικό αποτέλεσμα προσεγγίζει όσο το δυνατόν περισσότερο εκείνο της άκυρης διάταξης. Η παρούσα ΣΕΔ μπορεί να συνάπτεται και να ενημερώνεται ηλεκτρονικά και αντικαθιστά κάθε προηγούμενη ρύθμιση επεξεργασίας δεδομένων μεταξύ των μερών για το ίδιο αντικείμενο.

18. Εφαρμοστέο δίκαιο και δικαιοδοσία

Η παρούσα ΣΕΔ διέπεται από το δίκαιο της Κυπριακής Δημοκρατίας, με εξαίρεση τους κανόνες του περί σύγκρουσης νόμων και τη Σύμβαση των Ηνωμένων Εθνών για τις Συμβάσεις Διεθνούς Πώλησης Εμπορευμάτων. Τα δικαστήρια της Πάφου, Κύπρος, έχουν αποκλειστική δικαιοδοσία για κάθε διαφορά που προκύπτει από την παρούσα ΣΕΔ ή σε σχέση με αυτήν, με την επιφύλαξη τυχόν αναγκαστικών δικαιωμάτων ως προς τη δωσιδικία για την προστασία των καταναλωτών ή των υποκειμένων των δεδομένων βάσει του ΓΚΠΔ.

19. Επικοινωνία

Για θέματα που αφορούν την παρούσα ΣΕΔ, επικοινωνήστε με τη Labb Holding Ltd στο privacy@persohr.eu ή γράψτε στη Labb Holding Ltd, Ανθυπολοχαγού Γεωργίου Μ. Σάββα 26, Κατάστημα 1-2, 8201 Πάφος, Κύπρος. Σημείο επικοινωνίας του Υπεύθυνου Επεξεργασίας για την προστασία δεδομένων είναι ο λογαριασμός χρήστη που έχει οριστεί ως OWNER στην πλατφόρμα PersoHR.