Andmetöötlusleping

1. Sissejuhatus

Käesolev andmetöötlusleping („andmetöötlusleping“) on osa põhitellimuslepingust, mis on sõlmitud Labb Holding Ltd (Küprose osaühing, registrijärgne asukoht Anthipolochagou Georgiou M.Savva 26, Shop 1-2, 8201 Paphos, Cyprus, registreeritud numbri HE 424230 all, kes haldab PersoHR-i platvormi, edaspidi „volitatud töötleja“) ja kliendi (edaspidi „vastutav töötleja“) vahel. See reguleerib isikuandmete töötlemist, mida volitatud töötleja teeb vastutava töötleja nimel seoses PersoHR-i platvormiga, ning on koostatud vastama määrusele (EL) 2016/679 (edaspidi „GDPR“). Kui mõni käesoleva andmetöötluslepingu säte on vastuolus põhilepinguga, on isikuandmete töötlemise küsimustes ülimuslik käesolev andmetöötlusleping. Mõistetel, mida käesolevas andmetöötluslepingus kasutatakse, kuid ei määratleta, on põhilepingus või kohaldatavuse korral GDPR-is neile antud tähendus.

2. Ese, kestus, laad ja eesmärk

Volitatud töötleja töötleb isikuandmeid üksnes PersoHR-i personalijuhtimisteenuse osutamise eesmärgil. Töötlemine hõlmab töötajate andmete, puhkuste ja puudumiste, sisseelamise, töösuhte lõpetamise, tööajaarvestuse, palgaarvestuse ettevalmistamise, tulemusvestluste, värbamise, dokumentide säilitamise, sisekommunikatsiooni ja muude vastutava töötleja seadistatud personaliprotsesside haldamist. Töötlemine hõlmab nende teenuste jaoks kogumist, salvestamist, korrastamist, säilitamist, päringute tegemist, kasutamist, lubatud avalikustamist, eksportimist ja kustutamist. Käesolev andmetöötlusleping kaitseb kliendi isikuandmeid seni, kuni neid säilitatakse, sealhulgas punkti 13 kohase kokkulepitud tagastamis- või kustutamismenetluse ajal. Töötlemine PersoHR-i enda eesmärkidel, nagu on kirjeldatud privaatsuspoliitikas, on sellest volitatud töötleja suhtest eraldiseisev. Vastutav töötleja tunnistab, et töötlemise täpne ulatus ja sügavus sõltuvad moodulitest ja seadistusest, mille vastutav töötleja otsustab kasutusele võtta.

3. Isikuandmete kategooriad

Töödeldavate isikuandmete kategooriad sõltuvad sellest, kuidas vastutav töötleja platvormi seadistab, ja võivad hõlmata: personali põhiandmeid (nimi, kontaktandmed, postiaadress, sünniaeg, foto, hädaolukorra kontaktisiku andmed); töösuhte põhiandmeid (ametinimetus, osakond, töösuhte liik, algus- ja lõppkuupäev, tööaeg, juht, puude staatus); dokumentide sisu (töölepingud, tunnistused, isikut tõendavad dokumendid, muud vastutava töötleja üles laaditud failid); tulemuslikkuse ja arengu andmeid (eesmärgid, hindamised, tagasiside, koolitusandmed); puhkuse ja puudumise andmeid (taotlused, jäägid, riigipühad); tööajaarvestuse andmeid (tööle saabumise ja lahkumise registreerimised, tööajatabelid, ületunnid); palgaarvestuse ettevalmistamise andmeid (palgaandmed, IBAN, kui see on esitatud, maksu- ja sotsiaalkindlustuse identifikaatorid, kui need on esitatud, kodakondsus, sugu, perekonnaseis, laste arv, sünnikoht, ravikindlustuse andja ja liik, kirikumaksu konfessioon); värbamisandmeid (avaldused, CV-d, vestluste märkmed, soovitused); suhtlus- ja vestlusandmeid; autentimis- ja turvaandmeid (sisselogimise ajatemplid, IP-aadressid, brauseri/seadme kasutajaagendi teave ja seadmeseansi kirjed, kaheastmelise autentimise olek); ning kõiki muid isikuandmeid, mida vastutav töötleja otsustab platvormil üles laadida või luua. Töötlemine võib hõlmata ka e-allkirjastamise sisu ja allkirjastamise tõendeid. Kirikumaksu konfessioon võib paljastada usulise veendumuse. Puude staatus, haiguspuudumised ja arstitõendite kirjed võivad paljastada terviseandmeid ka ilma üles laaditud meditsiiniliste dokumentideta. Eriliiki andmete töötlemisel peab vastutav töötleja määrama kindlaks artikli 6 kohase aluse ja kohaldatava artikli 9 tingimuse ning andma volitatud töötlejale juhised vajalike kaitsemeetmete kohta. Süüteoasjades süüdimõistvaid kohtuotsuseid käsitlevate andmete töötlemiseks peavad olema täidetud artikli 10 tingimused ning neid andmeid ei tohi esitada ilma kokkulepitud õiguspärase ja toetatud töötlemiskorrata. Volitatud töötleja vastutab endiselt oma kohaldatavate andmekaitse- ja turvakohustuste täitmise eest.

4. Andmesubjektide kategooriad

Andmesubjektide kategooriad vastutava töötleja ja kõigi sidusettevõtete osas, mida vastutav töötleja otsustab platvormi kaudu hallata, hõlmavad tavaliselt järgmisi isikuid: praegused töötajad, töövõtjad, vabakutselised ja muu personal, sealhulgas alla 18-aastased töötajad, kui nad on õiguspäraselt tööle võetud; endised töötajad, töövõtjad ja personal; kandideerijad ja kandidaadid käimasolevates või varasemates värbamisprotsessides; ning eespool nimetatud isikute avaldatud ülalpeetavad või hädaolukorra kontaktisikud. Vastutav töötleja vastutab iga konkreetse andmesubjekti töötlemise ulatusse arvamise õiguspärasuse eest.

5. Juhised ja keeldumisõigus

Volitatud töötleja töötleb isikuandmeid üksnes vastutava töötleja dokumenteeritud juhiste alusel, sealhulgas seoses rahvusvaheliste edastustega, välja arvatud juhul, kui liidu või liikmesriigi õigus nõuab teisiti (sellisel juhul teavitab volitatud töötleja vastutavat töötlejat enne töötlemist, välja arvatud juhul, kui see õigus keelab sellise teavitamise olulise avaliku huvi tõttu). Vastutav töötleja määrab isikud, kellel on ainuõigus anda platvormi kaudu töötlemisjuhiseid; sellise määramise puudumisel võivad juhiseid anda üksnes füüsilised isikud, kellel on õigus vastutavat töötlejat seaduslikult esindada. Kui volitatud töötleja usub põhjendatult, et juhis rikub GDPR-i või muud kohaldatavat andmekaitseõigust, teavitab ta sellest viivitamata vastutavat töötlejat ja võib peatada selle juhise täitmise, kuni pooled on küsimuse lahendanud.

6. Konfidentsiaalsus

Volitatud töötleja tagab, et iga füüsiline isik, kellel on luba tema nimel isikuandmeid töödelda, on seotud konfidentsiaalsuskohustusega kas lepingu või seadusjärgse kohustuse alusel. Lisaks kohustub kumbki pool hoidma konfidentsiaalsena kogu mitteavalikku teavet, mille ta saab teiselt poolelt seoses käesoleva andmetöötluslepinguga, sealhulgas auditite sisu, turvadokumentatsiooni ja intsidendiaruandeid, ning kasutama sellist teavet üksnes põhilepingu ja käesoleva andmetöötluslepingu täitmiseks. Välja on jäetud teave, mis on avalikult teada, mis on välja töötatud sõltumatult ilma avaldava poole konfidentsiaalset teavet kasutamata, mis on saadud õiguspäraselt kolmandalt isikult ilma konfidentsiaalsuskohustuseta või mille avaldamist nõuab siduv õigusmenetlus. Üldised konfidentsiaalsuskohustused kehtivad pärast lepingu lõppemist veel viis aastat. Isikuandmeid kaitsvad kohustused kehtivad seni, kuni neid andmeid säilitatakse, sealhulgas juhul, kui kehtib pikem seadusjärgne kohustus.

7. Töötlemise turvalisus (artikkel 32)

Volitatud töötleja rakendab ja säilitab riskile vastavaid tehnilisi ja korralduslikke meetmeid, võttes arvesse GDPR artiklis 32 nimetatud tegureid. Rakenduse kaitsemeetmed hõlmavad rollipõhist ja üürnikupõhist juurdepääsukontrolli, ajaliselt piiratud autentimistõendeid, kohustuslikku kaheastmelist autentimist Omaniku ja HR administraatori rollidele, valitud tundlike väljade krüpteerimist ning toetatud toimingute auditikirjeid. Turvalisuse lisa aadressil /legal/security kirjeldab neid kaitsemeetmeid. Volitatud töötleja kohustused tagada asjakohane kaitse, käideldavus ja taastamine ei piirdu siin loetletud funktsioonidega. Meetmete uuendamine ei tohi oluliselt vähendada üldist turvalisuse taset.

8. Alamtöötlejad

Vastutav töötleja volitab volitatud töötlejat kaasama alamtöötlejaid, kes on loetletud aadressil /legal/sub-processors. Volitatud töötleja teavitab vastutavat töötlejat kirjalikult (sealhulgas e-posti teel) vähemalt 30 päeva enne alamtöötleja lisamist või asendamist. Vastutav töötleja võib esitada mõistlikel andmekaitsealastel põhjustel vastuväite 14 päeva jooksul pärast sellist teavitamist; kui vastuväidet õigeaegselt ei esitata, loetakse muudatus heakskiidetuks. Kui pooled ei suuda põhjendatud vastuväidet lahendada järgmise 30 päeva jooksul, võib kumbki pool põhilepingu kirjaliku teatega lõpetada ilma edasise vastutuseta, mispuhul on vastutaval töötlejal õigus saada proportsionaalne tagasimakse ettemakstud tasudest, mis katavad tellimisperioodi kasutamata jäänud osa. Volitatud töötleja sõlmib iga alamtöötlejaga kirjaliku lepingu, millega pannakse alamtöötlejale käesolevas andmetöötluslepingus sätestatutega samaväärsed andmekaitsekohustused, ning vastutab jätkuvalt oma alamtöötlejate tegevuse ja tegevusetuse eest.

9. Abi andmesubjektide õiguste teostamisel

Volitatud töötleja abistab vastutavat töötlejat, võttes arvesse töötlemise laadi ja võimaluste piires, GDPR III peatüki kohaste taotluste täitmisel. Rakendus pakub andmete eksportimise, parandamise ja kustutamise tööriistu, millel on rolli- ja ulatusepiirangud. Need tööriistad abistavad vastutavat töötlejat, kuid ei määra, kas üksikut taotlust tuleb rahuldada. Artikli 20 kohane andmete ülekandmise õigus piirdub andmetega, mille isik on ise esitanud ja mida töödeldakse automatiseeritult nõusoleku või lepingu alusel; muud kirjed võivad kuuluda artikli 15 kohase juurdepääsuõiguse alla. Volitatud töötleja osutab mõistlikku lisaabi, kui tööriistadest ei piisa. Taotlused, mis puudutavad vastutava töötleja personaliandmete töötlemist ja mis on saadud otse isikult, edastatakse vastutavale töötlejale põhjendamatu viivituseta.

Kui isik palub volitatud töötlejal kustutada oma isikliku PersoHR-i konto, sulgeb volitatud töötleja konto kohe. Ta lõpetab isiku juurdepääsu, kustutab konto andmed, mida ta hoiab vastutava töötlejana (sisselogimisandmed, kaheastmelise autentimise seaded, seansid, konto eelistused ning isiku rakenduses esitatud kasutajatoe taotlused koos nende kuvatõmmistega), ja kustutab isiku vestlused tehisintellekti assistendiga, mida rakendus kellelegi teisele ei näita. Nende kasutajatoe taotluste koopiaid, mis on edastatud volitatud töötleja kasutajatoe postkasti, ja muud kirjavahetust volitatud töötlejaga säilitatakse privaatsuspoliitikas kirjeldatud viisil. Ta ei kustuta ega muuda ühtegi muud kirjet, mida vastutav töötleja isiku kohta hoiab. Ta registreerib taotluse isiku liikmesuse juurde vastutava töötleja igas tööruumis ning teavitab vastutava töötleja omanikke ja HR administraatoreid rakenduses ja e-posti teel põhjendamatu viivituseta. Vastutav töötleja otsustab, kas kirjed rakenduse kustutamistööriista abil kustutada või need säilitada, ja vastab isikule. Volitatud töötleja kinnitab taotlust isikule e-posti teel ja teatab talle e-posti teel, kui vastutav töötleja on oma otsuse rakenduses registreerinud või kui kirjed on kustutatud, sest tööruumi kustutamine on pooleli.

Isiku konto isikuandmeid, mida vastutava töötleja kirjed kasutavad (nimi, e-posti aadress, sünniaeg ja telefoninumber), hoitakse vastutava töötleja ja iga muu sellise kliendi nimel, kelle kirjed neid kasutavad, kuni iga isiku tööruumi liikmesus on kustutatud või selle tööruum kustutatud, ning seejärel need anonüümitakse. Kustutatud liikmesus võib alles jätta kirjeid, mida vastutav töötleja peab seaduse järgi säilitama, näiteks isiku nimel peetava tööajaarvestuse, mille suhtes kehtib nende oma säilitamistähtaeg. Isikuandmeid muudetakse ainult vastutava töötleja juhise alusel: vastutav töötleja saab puuduva sünniaja rakenduses lisada ja kõik muud parandused teeb volitatud töötleja kasutajatugi. Volitatud töötleja kasutab neid isikule kirjutamiseks ainult eespool kirjeldatud kinnituse ja otsuse teate jaoks, teadete jaoks, mida vastutav töötleja on seaduse järgi kohustatud andma, ning allpool kirjeldatud lõpliku arhiivi jaoks. Suletud kontot ei saa uuesti avada ning selle e-posti aadressi ei saa kasutada uue konto jaoks ega sellele tööruumi kutset saata enne, kui iga isiku tööruumi liikmesus on kustutatud või selle tööruum kustutatud.

Kui vastutav töötleja on taotlenud oma tööruumi kustutamist, täidetakse taotlus, mis on avatud tööruumi sulgemise alguses või mis saabub sulgemise ajal, siis, kui tööruumi lõplik arhiiv on valmis (arhiivi valmimisele järgnevas öises käivituses või, kui arhiiv oli juba valmis, taotlusele järgnevas öises käivituses), või tööruumi kustutamisel, kui see toimub varem, nii et isiku kirjed sisalduvad igas lõplikus arhiivis, mille vastutav töötleja saab. Volitatud töötleja koopia lõplikust arhiivist kustutatakse koos tööruumiga. Kui isik on kontaktisik, kelle vastutav töötleja selle arhiivi jaoks määras, saadetakse arhiiv tööruumi teisele omanikule, kes saab endiselt sisse logida, ja isiku aadressile ainult siis, kui sellist omanikku ei ole. Kui isik on sellise tööruumi ainus omanik, mille kustutamine ei ole pooleli, ei saa taotlust lõpule viia enne, kui tööruumil on teine aktiivne omanik või aktiivne HR administraator või kuni tööruumi kustutamine on pooleli; kui aktiivne HR administraator on olemas, muudab volitatud töötleja kõige kauem teeninud HR administraatori omanikuks, et vastutaval töötlejal säiliks omanik.

10. Isikuandmetega seotud rikkumisest teavitamine

Volitatud töötleja teavitab vastutavat töötlejat põhjendamatu viivituseta ja igal juhul 72 tunni jooksul pärast seda, kui ta on saanud teada vastutava töötleja andmeid mõjutavast isikuandmetega seotud rikkumisest, kooskõlas GDPR artikli 33 lõikega 2. Esitatav teave hõlmab rikkumise laadi, asjaomaseid kategooriaid ning puudutatud isikute ja kirjete ligikaudset arvu, tõenäolisi tagajärgi, kontaktandmeid ning võetud või kavandatud meetmeid. Teavet võib esitada etappide kaupa ilma täiendava põhjendamatu viivituseta. Volitatud töötleja abistab vastutavat töötlejat tema hindamis- ja teavitamiskohustuste täitmisel artiklite 33 ja 34 alusel. Vastutava töötleja järelevalveasutuse teavitamise 72-tunnine tähtaeg, mida kohaldatakse teatud tingimustel, ei ole volitatud töötleja jaoks ooteaeg.

11. Andmekaitsealane mõjuhinnang ja eelnev konsulteerimine

Volitatud töötleja abistab vastutavat töötlejat mõistliku taotluse korral artikli 35 kohaste andmekaitsealaste mõjuhinnangute ja artikli 36 kohase järelevalveasutustega eelneva konsulteerimise juures, võttes arvesse töötlemise laadi ja volitatud töötlejale kättesaadavat teavet.

12. Auditid ja kontrollid

Volitatud töötleja teeb kättesaadavaks kogu teabe, mis on vajalik GDPR artikli 28 täitmise tõendamiseks, ning võimaldab vastutava töötleja või tema volitatud audiitori tehtavaid auditeid, sealhulgas kontrolle, ja aitab neile kaasa. Pooled lepivad kokku mõistliku korra etteteatamise, ajastuse, konfidentsiaalsuse ja teiste klientide teabe kaitse osas. Sõltumatud aruanded ja turvadokumentatsioon võivad aidata nõuete täitmist tõendada, kuid ei asenda vastutava töötleja seadusjärgseid auditiõigusi. Ajakava, sagedus ja audiitorile esitatavad nõuded ei tohi takistada auditit, mida nõuab seadus, järelevalveasutus, isikuandmetega seotud rikkumine või põhjendatud kahtlus nõuete rikkumises. Kumbki pool kannab tavaliselt oma kulud ise, kui ei ole kokku lepitud teisiti või seadus ei nõua teisiti.

13. Isikuandmete tagastamine või kustutamine

Pärast töötlemisteenuste lõppemist tagastab või kustutab volitatud töötleja isikuandmed vastavalt vastutava töötleja valikule ning kustutab olemasolevad koopiad, välja arvatud juhul, kui liidu või liikmesriigi õigus nõuab nende säilitamist, kooskõlas GDPR artikli 28 lõike 3 punktiga g. Vastutav töötleja peaks vajalikud ekspordid alla laadima enne tasulise juurdepääsu lõppemist ja võtma ühendust kasutajatoega, et korraldada edasine tagastamine või kustutamine. Tellimuse pikendamise lõpetamine iseenesest ei esita konto kustutamise taotlust. Rakendusesisene konto kustutamise menetlus ajastab kustutamise pärast 30-päevast tühistamisaega; varasem või teistsugune seadusest tulenev taotlus tuleks esitada otse volitatud töötlejale. Pooled peavad tagastamis- või kustutamismenetluse kokku leppima ja läbi viima, säilitamata andmeid kauem kui vajalik. Varukoopiad jäävad käesoleva andmetöötluslepingu kaitse alla, kuni need eemaldatakse kohaldatava varundusgraafiku alusel; mis tahes taastamisel tuleb järgida varasemaid kustutamisjuhiseid. Arveldusandmeid, mida töödeldakse volitatud töötleja enda õiguslike kohustuste täitmiseks, käsitletakse eraldi privaatsuspoliitika alusel.

14. Rahvusvahelised edastused

Volitatud töötleja töötleb isikuandmeid peamiselt Euroopa Liidus. Kui volitatud töötlejal või mõnel alamtöötlejal on vaja edastada isikuandmeid Euroopa Majanduspiirkonnast väljaspool asuvasse riiki, tehakse edastamine üksnes GDPR artikli 45 kohase kaitse piisavuse otsuse või GDPR artikli 46 kohaste asjakohaste kaitsemeetmete alusel, milleks on tavaliselt Euroopa Komisjoni lepingutüüptingimused (otsus 2021/914/EL), mida vajaduse korral täiendavad lisatehnilised ja -korralduslikud meetmed. Vastuvõtjate ja kohaldatavate edastusmehhanismide kehtiv loend on avaldatud aadressil /legal/sub-processors.

15. Maksejõuetus, arestimine ja kolmandate isikutega seotud sündmused

Kui vastutava töötleja isikuandmed on ohus arestimise, konfiskeerimise, maksejõuetus- või kompromissimenetluse või kolmanda isiku mõne muu toimingu tõttu, mis võib mõjutada volitatud töötleja võimet käesolevat andmetöötluslepingut täita, teavitab volitatud töötleja sellest vastutavat töötlejat põhjendamatu viivituseta ja teatab kolmandale isikule kirjalikult, et andmete eest vastutab vastutav töötleja, kes on GDPR-i tähenduses vastutav töötleja. Volitatud töötleja võtab mõistlikke meetmeid vastutava töötleja andmete terviklikkuse ja käideldavuse kaitsmiseks, kuni kolmanda isiku toiming on lahendatud.

16. Vastutus

Kumbki pool vastutab kahju eest, mis on tekkinud tema enda poolt käesoleva andmetöötluslepingu rikkumisega, kooskõlas GDPR artikliga 82 ja kohaldatava õigusega. Miski käesolevas andmetöötluslepingus ei välista ega piira vastutust, mida ei saa seadusega välistada ega piirata, sealhulgas vastutust surma või kehavigastuse, pettuse, pettusliku valeandmete esitamise või tahtliku üleastumise eest. Miski käesolevas andmetöötluslepingus ei piira andmesubjektide ega järelevalveasutuste õigusi. Kõigis muudes aspektides kohaldatakse põhilepingus sätestatud vastutuse piiranguid ja välistusi võrdselt ka käesolevale andmetöötluslepingule.

17. Sätete eraldatavus ja lõppsätted

Käesoleva andmetöötluslepingu muudatused ja täiendused tuleb vormistada kirjalikult, sealhulgas elektrooniliselt, ning neis tuleb selgelt nimetada muudetavad sätted. GDPR artikli 28 lõige 9 lubab lepingut sõlmida elektroonilises vormis; see iseenesest ei tõenda muudatuse aktsepteerimist. Kui mõni käesoleva andmetöötluslepingu säte on või muutub kehtetuks, ebaseaduslikuks või täitmisele mittepööratavaks, ei mõjuta see ülejäänud sätete kehtivust; pooled asendavad kehtetu sätte kehtivaga, mille majanduslik mõju on kehtetu sätte omale võimalikult lähedane. Käesoleva andmetöötluslepingu võib sõlmida ja seda uuendada elektrooniliselt ning see asendab kõik poolte varasemad sama esemega andmetöötluskokkulepped.

18. Kohaldatav õigus ja kohtualluvus

Käesolevale andmetöötluslepingule kohaldatakse Küprose Vabariigi õigust, välja arvatud selle kollisiooninormid ja ÜRO rahvusvahelise kaupade müügilepingute konventsioon. Käesolevast andmetöötluslepingust tulenevate või sellega seotud vaidluste lahendamiseks on ainupädevad Küprose Paphose kohtud, ilma et see piiraks GDPR-ist tulenevaid kohustuslikke tarbijakaitse- või andmesubjekti kohtualluvusõigusi.

19. Kontakt

Käesoleva andmetöötluslepinguga seotud küsimustes võtke ühendust ettevõttega Labb Holding Ltd aadressil privacy@persohr.eu või kirjutage aadressil Labb Holding Ltd, Anthipolochagou Georgiou M.Savva 26, Shop 1-2, 8201 Paphos, Cyprus. Vastutava töötleja andmekaitsealane kontaktpunkt on kasutajakonto, mis on PersoHR-i platvormil määratud rolliga OWNER (omanik).