TIETOSUOJASELOSTE
Tietosuojakäytäntö
Miten käsittelemme henkilötietoja, oikeutesi GDPR:n nojalla ja miten voit käyttää niitä.
Jos työnantajasi on lisännyt sinut PersoHR:ään
Työnantajasi on henkilöstötietojesi rekisterinpitäjä PersoHR:ssä. Käyttääksesi GDPR:n 15–22 artiklojen mukaisia oikeuksiasi — tietojen saanti, oikaisu, poistaminen, käsittelyn rajoittaminen, siirrettävyys ja vastustaminen — ota yhteyttä työnantajaasi tai HR-järjestelmänvalvojaasi. PersoHR käsittelee kyseisiä tietoja työnantajasi puolesta tietojenkäsittelysopimuksen nojalla. PersoHR on rekisterinpitäjä ainoastaan suoran vuorovaikutuksesi osalta kanssamme — laskutuksen osalta, jos olet tilin omistaja, tukiviestinnän sekä julkisen verkkosivuston osalta.
1. Johdanto
Labb Holding Ltd ("me", "meidän") ylläpitää PersoHR HR-hallintapalvelua. Tässä tietosuojakäytännössä selitetään, miten keräämme, käytämme, jaamme ja suojaamme henkilötietoja PersoHR:n ja julkisen verkkosivustomme yhteydessä Euroopan parlamentin ja neuvoston asetuksen (EU) 2016/679 ("GDPR") ja sen täytäntöönpanevan Kyproksen lain 125(I)/2018 mukaisesti.
2. Kuka on tietojesi rekisterinpitäjä
Kun käytät PersoHR:ää työnantajasi kautta, työnantajasi on henkilötietojesi rekisterinpitäjä ja me toimimme heidän lukuunsa käsittelijänä tietojenkäsittelysopimuksen nojalla (katso /legal/dpa). Kun rekisteröidyt PersoHR:ään suoraan (esimerkiksi tilin omistajana yrityksen rekisteröinnin yhteydessä), kun otat meihin yhteyttä tai kun käytät julkista verkkosivustoamme, rekisterinpitäjä on Labb Holding Ltd, Kyproksen osakeyhtiö, jonka rekisteröity toimipaikka on Anthipolochagou Georgiou M.Savva 26, Shop 1-2, 8201 Paphos, Kypros, rekisteröity tunnuksella HE 424230, ALV CY 10424230D, edustajana ainoa johtaja Michael Delamere. Voit ottaa meihin yhteyttä osoitteessa privacy@persohr.eu.
3. Tietosuojavastaava
Emme ole nimittäneet erillistä tietosuojavastaavaa. GDPR:n 37(1) artikla velvoittaa nimittämään tietosuojavastaavan ainoastaan silloin, kun käsittelyä suorittaa viranomainen, kun ydintoiminnot koostuvat rekisteröityjen laajamittaisesta säännöllisestä ja järjestelmällisestä seurannasta tai kun ydintoiminnot koostuvat 9 artiklan mukaisten erityisten henkilötietoryhmien tai 10 artiklan mukaisten rikostuomioihin liittyvien tietojen laajamittaisesta käsittelystä. Mikään näistä edellytyksistä ei koske meitä, eikä Kypros ole ottanut käyttöön tiukempaa kansallista kynnysarvoa. Tietosuojaa koskevat tiedustelut tulee osoittaa osoitteeseen privacy@persohr.eu, ja johto käsittelee ne GDPR:n 12 artiklan edellyttämissä määräajoissa.
4. Käsittelemiemme henkilötietojen kategoriat
Tunnistamis- ja yhteystiedot: nimi, sähköposti, puhelin, postiosoite, profiilikuva. Työsuhdetiedot: tehtävänimike, osasto, työsuhteen tyyppi, alku- ja päättymispäivät, työaika, esimies. Loma- ja poissaolotiedot: lomapyynnöt, saldot, julkiset pyhäpäivät. Palkka- ja palkanlaskennan valmisteluaineisto: palkkatiedot, IBAN tarvittaessa, vero- ja sosiaaliturvantunnukset tarvittaessa. Suorituskyky- ja kehitystiedot: tavoitteet, arvioinnit, palaute, koulutustiedot. Rekrytointitiedot: hakemukset, ansioluettelot, haastattelumuistiinpanot, suositukset. Asiakirjojen sisältö: sinun tai työnantajasi lataamat tiedostot. Viestintä- ja chat-tiedot alustalla. Todennus- ja tietoturvatiedot: kirjautumisaikaleimAt, IP-osoitteet, laitetunnisteet, kaksivaiheisen todennuksen tila. Tukikirjeenvaihto. Laskutustiedot, kun olet tilin omistaja: nimi, laskutusosoite, ALV-tunnus, maksutapatunnukset (raakaa korttitietoa säilyttää Stripe, ei me). Emme käsittele GDPR:n 9 artiklan tarkoittamia erityisiä henkilötietoryhmiä, ellei työnantajasi päätä ladata niitä ja ole vastuussa omasta oikeusperusteestaan.
5. Käsittelyn oikeusperuste
Kun toimimme rekisterinpitäjänä, oikeusperusteemme ovat: (a) sopimuksen täytäntöönpano GDPR:n 6(1)(b) artiklan nojalla tilin omistajalle tilatun palvelun toimittamiseksi; (b) lakisääteisten velvoitteiden noudattaminen 6(1)(c) artiklan nojalla, erityisesti Kyproksen vero- ja kirjanpitoasiakirjojen säilyttämistä koskevien sääntöjen osalta; (c) oikeutetut edut 6(1)(f) artiklan nojalla palvelun turvallisuuden, väärinkäytösten ehkäisemisen ja tuotekehityksen osalta, tasapainottaen oikeuksiasi ja vapauksiasi vastaan. Kun työnantajasi on rekisterinpitäjä, oikeusperusteen määrittää työnantajasi, ja se on tyypillisesti 6(1)(b) artikla (työsopimuksen täytäntöönpano) tai 6(1)(c) artikla (työlakisäädösten mukaisten velvoitteiden noudattaminen).
6. Miten käytämme tietojasi
Tietojasi käytetään yksinomaan HR-hallintaan ja alustan toimintaan: työntekijätietojen ylläpitoon, loma- ja poissaolojen hallintaan, yritysrakenteen organisointiin, suorituskyvyn ja kehityksen tukemiseen, rekrytoinnin toteuttamiseen, palkanlaskennan vientien valmisteluun, asiakirjojen tallentamiseen, sisäisen viestinnän mahdollistamiseen, laskutukseen, väärinkäytösten ehkäisemiseen ja turvallisuuteen. Emme myy tietojasi, emme jaa niitä mainosverkostoille emmekä käytä niitä markkinointiin ilman erillistä opt-in-suostumustasi.
7. Tekoälyavusteiset ominaisuudet
PersoHR tarjoaa valinnaisia tekoälyavusteisia ominaisuuksia, kuten sovelluksen sisäisen HR-avustajan, perehdytystehtävien ehdotuksia, dokumenttianalyysiä ja suoritusarvioiden luonnoksia. Kun nämä ominaisuudet ovat käytössä, tekoälyn tarjoajalle lähetetyt kehotteet voivat sisältää kysymyksen vastaamiseen tarvittavia henkilötietoja. Tekoälyn päättelyn tarjoaa Mistral AI, jonka pääkonttori on Pariisissa, Ranskassa, Euroopan unionin sisäisessä infrastruktuurissa. Syötteitä ja tulosteita ei käytetä Mistralin perustamallien kouluttamiseen. Runtime-tekoälyn päättely käyttää yksinomaan Mistralia; mikään EU:n ulkopuolinen tekoälyn tarjoaja ei vastaanota asiakkaan kehotteita tai tulosteita.
8. Alihankkijat ja vastaanottajat
Käytämme pientä joukkoa alihankkijoita palvelun toimittamiseen. Ajantasainen luettelo, jossa on kunkin alihankkijan rooli, sijainti ja tietosuojamekanismi, on julkaistu osoitteessa /legal/sub-processors. Ilmoitamme tilin omistajalle vähintään 30 päivää ennen alihankkijan lisäämistä tai vaihtamista ja tarjoamme oikeuden vastustaa sitä perustelluilla tietosuojasyillä.
9. Kansainväliset siirrot
Kaikki ensisijainen infrastruktuuri (tietokanta, tiedostojen tallennus, tekoälyn päättely, tapahtumasähköposti) on sijoitettu Euroopan unioniin. Ainoa säännöllinen siirto EU:n ulkopuolelle tapahtuu Stripe Payments Europe Limitedille (Irlanti), josta tiedot siirtyvät edelleen Stripe Inc:lle Yhdysvaltoihin laskutus- ja tilausten käsittelyä varten. Siirto tehdään Euroopan komission vakiosopimuslausekkeiden (päätös 2021/914/EU) perusteella täydennettynä Stripen lisäsuojatoimilla. Voit pyytää kopiota asiaankuuluvista vakiosopimuslausekkeista sähköpostitse osoitteesta privacy@persohr.eu.
10. Säilytysajat
Säilytämme henkilötietoja vain niin kauan kuin on tarpeen tässä käytännössä esitettyihin tarkoituksiin. Aktiiviset työntekijätiedot: työnantajasi määrittämän työsuhteen keston ajan. Päättyneiden työsuhteiden työntekijätiedot: työnantajasi säilyttää paikallisen työ-, vero- ja sosiaaliturvalainsäädännön vaatiman ajan, tyypillisesti 6–10 vuotta; poistamme tai anonymisoimme tiedot 30 päivän kuluessa siitä, kun työnantajasi on antanut tähän ohjeen. Loma- ja työajanseurantatiedot: säilytetään työntekijätietojen yhteydessä. Palkanlaskennan valmisteluaineisto: säilytetään työntekijätietojen yhteydessä ja maasi lakisääteisen kirjanpidon säilytysajan mukaisesti. Todennuslokit ja auditointilokit: säilytetään 24 kuukautta turvallisuus- ja vastuullisuustarkoituksia varten tai pidempään, jos niihin kohdistuu oikeudellinen säilytysvelvoite. Tukikirjeenvaihto: 12 kuukautta pyynnön sulkemisen jälkeen. Laskutustiedot (laskut, maksutiedot): 7 vuotta asiaankuuluvan verovuoden päättymisestä Kyproksen kirjanpitolain mukaisesti. Vuokralaisen tiedot tilauksen peruuttamisen jälkeen: 30 päivää vientiä varten GDPR:n 20 artiklan nojalla, jonka jälkeen tiedot poistetaan. Sovellettavan ajanjakson jälkeen tiedot poistetaan tai anonymisoidaan peruuttamattomasti 17 artiklan mukaisesti.
11. Oikeutesi
GDPR:n 15–22 artiklan nojalla sinulla on oikeus: (a) saada pääsy henkilötietoihisi; (b) oikaista virheelliset tiedot; (c) pyytää tietojen poistamista ("oikeus tulla unohdetuksi"); (d) rajoittaa käsittelyä; (e) tietojen siirrettävyyteen — vastaanottaa tietosi jäsennellyssä, yleisesti käytetyssä ja koneellisesti luettavassa muodossa; (f) vastustaa oikeutettuihin etuihin perustuvaa käsittelyä; (g) peruuttaa suostumus milloin tahansa, kun käsittely perustuu suostumukseen; (h) olla joutumatta yksinomaan automaattiseen käsittelyyn perustuvan päätöksen kohteeksi, joka tuottaa oikeudellisia tai vastaavia merkittäviä vaikutuksia (katso kohta 12). Voit käyttää oikeuksia (a), (b), (c) ja (e) omatoimisesti sovelluksen GDPR-työkalujen kautta (Profiili → Lataa tietoni; Asetukset → Poista tiedot). Kaikkia muita oikeuksia varten lähetä sähköpostia osoitteeseen privacy@persohr.eu tai ota yhteyttä tilisi järjestelmänvalvojaan. Vastaamme kuukauden kuluessa, jota voidaan pidentää enintään kahdella lisäkuukaudella monimutkaisten pyyntöjen osalta GDPR:n 12(3) artiklan mukaisesti.
12. Automatisoitu päätöksenteko
Emme tee sinuun kohdistuvia oikeudellisia tai vastaavia merkittäviä vaikutuksia tuottavia päätöksiä yksinomaan automaattisen käsittelyn perusteella. Tekoälyavusteiset ominaisuudet tuottavat ehdotuksia, jotka ihmiskäyttäjä aina tarkistaa ja hyväksyy, muokkaa tai hylkää ennen kuin mitään toimenpidettä toteutetaan.
13. Käsittelyn turvallisuus
Toteutamme riskiin nähden asianmukaiset tekniset ja organisatoriset toimenpiteet: TLS 1.2 tai uudempi tiedonsiirrossa, salaus levossa, roolipohjainen pääsynhallinta vähimpien oikeuksien periaatteella, kattava tapahtumaloki, säännöllinen haavoittuvuuksien skannaus, ensisijainen käsittely ainoastaan EU:n alueella, määräaikaiset käyttöoikeustunnukset, pakollinen kaksivaiheinen todennus etuoikeutetuille rooleille sekä testatut varmuuskopioimis- ja palautusmenettelyt.
14. Tietoturvaloukkausilmoitus
Jos henkilötietojasi koskeva tietoturvaloukkaus tapahtuu, ilmoitamme siitä toimivaltaiselle valvontaviranomaiselle ilman aiheetonta viivytystä ja mahdollisuuksien mukaan 72 tunnin kuluessa loukkauksesta tietoiseksi tulemisesta (GDPR:n 33 artikla). Jos loukkauksen arvioidaan aiheuttavan korkean riskin oikeuksillesi ja vapauksillesi, ilmoitamme asiasta myös sinulle suoraan ilman aiheetonta viivytystä (GDPR:n 34 artikla).
15. Evästeet ja vastaavat teknologiat
Käytämme vain ehdottoman välttämättömiä evästeitä ja vastaavia localStorage-kirjauksia, kaikki same-site-pohjaisesti persohr.eu-verkkotunnuksesta. Erityisesti: `persohr_rt` HttpOnly Secure SameSite=Strict refresh-token-eväste, joka pitää sinut kirjautuneena enintään 7 päivää — selaimesi lähettää sen takaisin automaattisesti, mutta sivun JavaScript ei voi lukea sitä, mikä sulkee XSS-refresh-token-vektorin; `persohr-locale` localStorage-kirjaus, joka muistaa kielimieltymyksesi; pieni määrä UI-tilan localStorage-kirjauksia (tiivistetty sivupalkki, hylätyt bannerit). Todennusta käsittelee in-process PersoHR-taustaohjelma (salasanaton magic link plus valinnainen TOTP); mikään ulkoinen henkilöllisyyden tarjoaja ei aseta evästeitä laitteellesi. Stripe asettaa omat ehdottoman välttämättömät evästeensä kassalla, kun päivität tilauksesi. Käytämme Plausible Analyticsia (isännöity Virossa, EU) laskemaan vierailuja ja konversioiden tapahtumia vain markkinointisivustolla ja julkisessa rekisteröitymisvirrassa. Plausible on evästeetön eikä tallenna IP-osoitteita raa'assa muodossa, joten laitteellesi ei aseteta mitään mainos-, uudelleenmainonta- tai sosiaalisen median seurantaevästeitä. Kirjautuneen sovelluksen sivuja ei seurata. Koska emme aseta ei-välttämättömiä evästeitä, ei vaadita suostumusbanneria ePrivacy-direktiivin ja Kyproksen lain 112(I)/2004 mukaan. Jos joskus otamme käyttöön valinnaisia evästeitä, julkaisemme opt-in-suostumusbannerin ennen kuin asetetaan mitään ei-välttämätöntä evästettä.
16. Tukipyynnöt
Kun otat yhteyttä sovelluksen sisäisen yhteydenottolomakkeen kautta tai kirjoitat osoitteeseen support@persohr.eu, viestisi ja mahdolliset kuvakaappausliitteet toimitetaan tukitiimillemme vastausta varten. Liitämme mukaan tietoja, jotka auttavat meitä vastaamaan nopeammin: yrityksesi, tilauksesi, nimesi ja sähköpostiosoitteesi sekä sivu, jolla olit. Säilytämme pyynnön niin kauan kuin ongelma on ratkaistu, minkä jälkeen on lyhyt seurantajakso, ja poistamme sen 12 kuukauden kuluessa.
17. Oikeus tehdä valitus
Sinulla on oikeus tehdä valitus valvontaviranomaiselle, erityisesti siinä EU:n jäsenvaltiossa, jossa sinulla on vakinainen asuinpaikka, työpaikka tai jossa väitetty rikkomus tapahtui, jos katsot, että henkilötietojesi käsittely loukkaa GDPR:ää. Tämä ei rajoita muita oikeussuojakeinojasi. Labb Holding Ltd:n johtava valvontaviranomainen on Kyproksen henkilötietojen suojakomissaarin toimisto (www.dataprotection.gov.cy). Luettelo kaikista kansallisista valvontaviranomaisista on julkaistu Euroopan tietosuojaneuvoston toimesta osoitteessa edpb.europa.eu.
18. Muutokset tähän käytäntöön
Saatamme päivittää tätä käytäntöä palveluun, sovellettavaan lainsäädäntöön tai käsittelytoimintaamme liittyvien muutosten johdosta. Olennaisista muutoksista ilmoitetaan tilin omistajalle sähköpostitse vähintään 30 päivää ennen niiden voimaantuloa. Voimassa oleva versio ja voimaantulopäivä näkyvät tämän asiakirjan alussa. Aiempi versio on saatavilla pyynnöstä osoitteesta privacy@persohr.eu.
19. Yhteystiedot
Tietosuojaa koskevissa tiedusteluissa ota yhteyttä sähköpostitse osoitteeseen privacy@persohr.eu tai kirjoita osoitteeseen Labb Holding Ltd, Anthipolochagou Georgiou M.Savva 26, Shop 1-2, 8201 Paphos, Kypros. Voit myös ottaa yhteyttä yrityksesi järjestelmänvalvojaan työnantajasi hallinnoimiin tietoihin liittyvissä asioissa. Pyrimme vastaamaan yhden kuukauden kuluessa pyynnön vastaanottamisesta GDPR:n 12 artiklan 3 kohdan mukaisesti.