COMHAONTÚ PRÓISEÁLA SONRAÍ
Comhaontú Próiseála Sonraí
Airteagal 28 GDPR — comhaontú idir tú (rialtóir) agus PersoHR (próiseálaí)
1. Réamhrá
Foirmíonn an Comhaontú Próiseála Sonraí seo ("DPA") cuid den mháistir-chomhaontú síntiúis idir Labb Holding Ltd, cuideachta phríobháideach Cipreach theoranta ag scaireanna le hoifig chláraithe ag Anthipolochagou Georgiou M.Savva 26, Shop 1-2, 8201 Paphos, an Chipir, cláraithe faoi HE 424230 (ag oibriú ardán PersoHR, an "Próiseálaí"), agus an custaiméir (an "Rialtóir"). Rialaíonn sé próiseáil sonraí pearsanta a dhéanann an Próiseálaí thar ceann an Rialtóra i gcomhcheangal le hardán PersoHR agus tá sé deartha chun Rialachán (AE) 2016/679 (an "GDPR") a chomhlíonadh. I gcás ina mbíonn coinníoll ar bith den DPA seo ag teacht salach ar an máistir-chomhaontú, bíonn tosaíocht ag an DPA seo i gcúrsaí próiseála sonraí pearsanta. Tá an bhrí chéanna ag téarmaí caipitlithe a úsáidtear ach nach sainmhínítear anseo atá dóibh sa mháistir-chomhaontú nó, nuair is infheidhme, sa GDPR.
2. Ábhar, fad, cineál agus cuspóir
Próiseálann an Próiseálaí sonraí pearsanta d'aon chuspóir amháin, is é sin seirbhís bainistíochta AD PersoHR a sholáthar. Clúdaíonn an phróiseáil bainistiú taifead fostaithe, saoire agus asláithreacht, dul ar bord, imeacht, rianú ama, ullmhú párolla, athbhreithnithe feidhmíochta, earcaíocht, stóráil cáipéisí, cumarsáid inmheánach agus sreafaí oibre AD eile arna gcomhchumrú ag an Rialtóir. Ritheann próiseáil ar feadh fhad síntiús an Rialtóra, móide aon tréimhsí coinneála a éilíonn an dlí nó alt 13 den DPA seo. Aithníonn an Rialtóir go mbraitheann raon feidhme agus doimhneacht bheacht na próiseála ar na modúil agus ar an gcumraíocht a roghnaíonn an Rialtóir a chumasú.
3. Catagóirí sonraí pearsanta
Braitheann catagóirí na sonraí pearsanta a phróiseáiltear ar chumraíocht an Rialtóra den ardán agus féadfaidh siad a áireamh: máistir-shonraí pearsanra (ainm, sonraí teagmhála, seoladh poist, dáta breithe, grianghraf); máistir-shonraí fostaíochta (teideal post, rannóg, cineál fostaíochta, dátaí tosaigh agus deiridh, uaireanta oibre, bainisteoir); ábhar cáipéise (conarthaí fostaíochta, deimhnithe, cáipéisí aitheantais, comhaid eile arna uaslódáil ag an Rialtóir); sonraí feidhmíochta agus forbartha (cuspóirí, athbhreithnithe, aiseolas, taifid oiliúna); sonraí saoire agus asláithreachta (iarratais, iarmhéideanna, laethanta saoire poiblí); sonraí rianú ama (imeachtaí cláraithe isteach / amach, scarbhileoga ama, ragobair); sonraí ullmhúcháin párolla (taifid tuarastail, IBAN nuair a sholáthraítear, aitheantóirí cánach agus slándála sóisialaí nuair a sholáthraítear); sonraí earcaíochta (iarratais, CVanna, nótaí agallaimh, tagairtí); sonraí cumarsáide agus comhrá; sonraí fíordheimhnithe agus slándála (stampaí ama logála isteach, seoltaí IP, méarloirg gléasanna, staid dhá-fhachtóir); agus aon sonraí pearsanta eile a roghnaíonn an Rialtóir a uaslódáil nó a ghiniúint laistigh den ardán. Tá an Rialtóir freagrach as a chinntiú go bhfuil bunús dlíthiúil cuí ag aon sonraí de chatagóir speisialta de réir bhrí Airteagal 9 GDPR a uaslódálann sé.
4. Catagóirí ábhar sonraí
I measc catagóirí ábhar sonraí, i leith an Rialtóra agus aon chomhlachtaí cleamhnaithe a roghnaíonn an Rialtóir a riaradh tríd an ardán, bíonn de ghnáth: fostaithe reatha, conraitheoirí, saorfhostaithe agus pearsanra eile; iar-fhostaithe, conraitheoirí agus pearsanra; iarrthóirí agus candidates i bpróisis earcaíochta reatha nó caite; agus cleithiúnaithe nó teagmhálaithe éigeandála arna nochtadh ag aon duine de na daoine thuasluaite. Tá an Rialtóir freagrach as dlíthiúlacht aon ábhar sonraí áirithe a áireamh laistigh de raon feidhme na próiseála.
5. Treoracha agus ceart diúltaithe
Ní phróiseálfaidh an Próiseálaí sonraí pearsanta ach amháin ar threoracha doiciméadaithe an Rialtóra — lena n-áirítear maidir le haistrithe idirnáisiúnta — mura gá dó a mhalairt a dhéanamh de réir dhlí an Aontais nó dhlí Ballstáit (ar an gcás sin cuirfidh an Próiseálaí an Rialtóir ar an eolas roimh phróiseáil, ach amháin i gcás ina gcoisceann an dlí sin fógra den sórt sin ar fhorais leasanna tábhachtacha poiblí). Ainmníonn an Rialtóir na daoine atá údaraithe go heisiach chun treoracha próiseála a eisiúint tríd an ardán; in éagmais ainmniúcháin den sórt sin, ní féidir ach le daoine nádúrtha atá údaraithe chun an Rialtóir a ionadaíocht go dlíthiúil treoracha a eisiúint. Má chreidean an Próiseálaí go réasúnta go sáraíonn treoir an GDPR nó dlí eile um chosaint sonraí is infheidhme, cuirfidh sé an Rialtóir ar an eolas gan moill mhíchuí agus féadfaidh sé forghníomhú na treorach sin a chur ar fionraí go dtí go réitítear an cheist idir na páirtithe.
6. Rúndacht
Cinntíonn an Próiseálaí go bhfuil aon duine nádúrtha atá údaraithe chun sonraí pearsanta a phróiseáil thar a cheann faoi cheangal oibleagáid rúndachta, cibé acu trí chonradh nó trí dhualgais reachtúil. Aontaíonn gach páirtí freisin aon fhaisnéis neamhphoiblí a fhaigheann sé ón bpáirtí eile i gcomhcheangal leis an DPA seo a choinneáil faoi rún, lena n-áirítear ábhar iniúchtaí, doiciméadacht slándála agus tuarascálacha teagmhas, agus gan úsáid a bhaint as faisnéis den sórt sin ach amháin chun an máistir-chomhaontú agus an DPA seo a chomhlíonadh. Eisítear faisnéis atá ar eolas ag an bpobal, a forbraíodh go neamhspleách gan úsáid a bhaint as faisnéis rúnda pháirtí an nochtaithe, a fuarthas go dleathach ó thríú páirtí gan oibleagáid rúndachta, nó ar gá é a nochtadh trí phróiseas dlíthiúil ceangailteach. Maireann oibleagáidí rúndachta tar éis fhoirceannadh an mháistir-chomhaontaithe ar feadh tréimhse cúig bliana.
7. Slándáil próiseála (Airteagal 32)
Ag cur staid na healaíne san áireamh, costais cur i bhfeidhm agus cineál, raon feidhme, comhthéacs agus críocha na próiseála, chomh maith leis an riosca do chearta agus saoirsí na n-ábhar sonraí, cuireann an Próiseálaí i bhfeidhm agus coinníonn sé bearta teicniúla agus eagraíochtúla cuí, lena n-áirítear: criptiú sonraí pearsanta le linn tarchurtha (TLS 1.2 nó níos airde) agus ag fois; rialú rochtana bunaithe ar róil le prionsabal na pribhléide íosta; logáil iniúchóireachta chuimsitheach; scanadh leochaileachta agus paistéireacht rialta; cónaí sonraí san AE amháin le haghaidh príomhphróiseála; comharthaí rochtana teoranta ó thaobh ama; fíordheimhniú dhá fhachtóir éigeantach do róil phribhléideacha; agus cúltacaí rialta le hathchóiriú tástáilte. Foilsítear na bearta teicniúla agus eagraíochtúla reatha ("TOMs") mar iarscríbhinn phoiblí ag /legal/security agus féadfar iad a nuashonrú ó am go chéile, ar choinníoll nach laghdaíonn aon nuashonrú leibhéal foriomlán na slándála go substaintiúil.
8. Fo-phróiseálaithe
Údaraíonn an Rialtóir don Phróiseálaí na fo-phróiseálaithe atá liostaithe ag /legal/sub-processors a fhostú. Cuirfidh an Próiseálaí an Rialtóir ar an eolas i scríbhinn (lena n-áirítear ríomhphost) ar a laghad 30 lá sula gcuirtear fo-phróiseálaí leis nó ina ionad. Féadfaidh an Rialtóir agóid a dhéanamh ar fhorais réasúnacha cosanta sonraí laistigh de 14 lá ón bhfógra sin; in éagmais agóide tráthúla, meastar go bhfuil an t-athrú ceadaithe. Mura féidir leis na páirtithe agóid bhunúsach a réiteach laistigh de 30 lá eile, féadfaidh ceachtar páirtí an máistir-chomhaontú a fhoirceannadh ar fhógra scríofa gan dliteanas breise, ar an gcás sin tá an Rialtóir i dteideal aisíocaíocht pro-rata d'aon táillí réamhíoctha a chlúdaíonn fuílleach neamhúsáidte na tréimhse síntiúis. Déanann an Próiseálaí comhaontuithe scríofa le gach fo-phróiseálaí a fhorchuireann oibleagáidí cosanta sonraí coibhéiseacha leo siúd sa DPA seo, agus fanann sé freagrach as gníomhartha agus neamhghníomhartha a fho-phróiseálaithe.
9. Cúnamh le cearta ábhar sonraí
Agus cineál na próiseála san áireamh, cabhraíonn an Próiseálaí leis an Rialtóir trí bhearta teicniúla agus eagraíochtúla cuí, a mhéid is féidir, chun freagairt d'iarratais faoi Chaibidil III GDPR (rochtain, ceartú, scriosadh, srian, iniompartha agus agóid). Nochtann an t-ardán uirlisí féinseirbhíse do na hiarratais is coitianta (easpórtáil sonraí faoi Airteagal 20, scriosadh faoi Airteagal 17, ceartú réimsí féinbhainistithe). I gcás iarratais nach féidir leis an Rialtóir a chomhlíonadh tríd na huirlisí seo, soláthróidh an Próiseálaí cúnamh breise réasúnach. Má théann ábhar sonraí i dteagmháil leis an bPróiseálaí go díreach, cuirfidh an Próiseálaí an t-iarratas ar aghaidh chuig an Rialtóir ábhartha agus cuirfidh sé an Rialtóir ar an eolas gan moill mhíchuí.
10. Fógra sáraithe sonraí pearsanta
Cuireann an Próiseálaí in iúl don Rialaitheoir gan moill mhíchuí, agus in aon chás laistigh de 72 uair an chloig, tar éis dó a bheith ar an eolas faoi shárú sonraí pearsanta a dhéanann difear do shonraí an Rialaitheora. Déanann an fógra cur síos ar chineál an tsáraithe, ar chatagóirí agus ar líon thart ar ábhair sonraí agus taifid lena mbaineann, ar na hiarmhairtí is dócha, agus ar na bearta a glacadh nó atá beartaithe chun déileáil leis. Comhoibríonn an Próiseálaí leis an Rialaitheoir mar is réasúnta ag teastáil le haghaidh oibleagáidí fógra féin an Rialaitheora faoi Airteagail 33 agus 34 GDPR.
11. DPIA agus réamhchomhairliúchán
Cabhraíonn an Próiseálaí leis an Rialaitheoir, ar iarratas réasúnta, le measúnuithe tionchair cosanta sonraí faoi Airteagal 35 agus réamhchomhairliúcháin le húdaráis mhaoirseachta faoi Airteagal 36, ag cur san áireamh cineál na próiseála agus an fhaisnéis atá ar fáil don Phróiseálaí.
12. Iniúchtaí agus cigireachtaí
Cuireann an Próiseálaí ar fáil don Rialaitheoir gach faisnéis atá réasúnta riachtanach chun comhlíonadh Airteagal 28 GDPR agus an DPA seo a léiriú. Féadfaidh an Rialaitheoir comhlíonadh an Phróiseálaí a iniúchadh, nó iniúchóir neamhspleách cáilithe a cheapadh chun é sin a dhéanamh thar a cheann, ar fhógra scríofa 30 lá ar a laghad, le linn gnáthuaireanta gnó, uair amháin in aghaidh na bliana féilire ar a mhéad ("Iniúchadh Ar an Láthair"). Féadfaidh an Próiseálaí a cheangal ar aon iniúchóir gealltanais rúndachta réasúnta a thabhairt roimh an iniúchadh, agus féadfaidh sé agóid a dhéanamh i gcoinne iniúchóra a cheap an Rialaitheoir atá in iomaíocht dhíreach leis an bPróiseálaí nó a mheasann an Próiseálaí go réasúnta nach bhfuil oiriúnach. Iompraíonn gach páirtí a chuid costas féin i ndáil le hIniúchadh Ar an Láthair. In ionad Iniúchadh Ar an Láthair, féadfaidh an Próiseálaí, de réir a rogha féin, an oibleagáid seo a chomhlíonadh trí dheimhniú neamhspleách reatha nó tuarascáil fianaithe (amhail ISO/IEC 27001, SOC 2 Cineál II, nó deimhniú formheasta faoi Airteagal 42 GDPR), cóipeanna de achoimrí tástálacha ionraidh, nó a cháipéisíocht TOMs a sholáthar; sa chás sin féadfar an tIniúchadh Ar an Láthair a dhiúltú. I gcás ina spreagtar iniúchadh ag sárú sonraí pearsanta deimhnithe nó sárú níos mó ná neamhshuntasach ar an DPA seo ("Iniúchadh a bhaineann le hImeacht"), ní bheidh feidhm ag an tréimhse fógra ná ag an teorainn minicíochta, agus comhoibreoidh an Próiseálaí go hiomlán gan teorainn ar raon feidhme ná minicíocht.
13. Sonraí pearsanta a thabhairt ar ais nó a scriosadh
Ar fhoirceannadh an príomh-chomhaontaithe, coimeádann an Próiseálaí sonraí pearsanta an Rialaitheora ar feadh 30 lá. Le linn na tréimhse sin féadfaidh an Rialaitheoir (a) a chuid sonraí a onnmhairiú trí easpórtáil tionóntaí laistigh den aip faoi Airteagal 20 GDPR nó (b) a threorú don Phróiseálaí i scríbhinn na sonraí a scriosadh láithreach. Mura ndéanann an Rialaitheoir ceachtar gníomh laistigh den tréimhse 30 lá, scriosfaidh an Próiseálaí na sonraí go huathoibríoch ag deireadh na tréimhse sin. Tá cúltacaí faoi réir an sceidil coinneála cúltaca doiciméadaithe agus déantar forscríobh orthu tráth an cuí; go dtí sin, fanann sonraí athchóirithe faoi réir an DPA seo. Tá sonraí pearsanta a cheanglaítear ar an bPróiseálaí a choinneáil de réir dlí (mar shampla, sonraí billeála le haghaidh críocha cánach) eisiata ón scriosadh ar feadh ré na hoibleagáide dlíthiúla sin.
14. Aistrithe idirnáisiúnta
Próiseálann an Próiseálaí sonraí pearsanta go príomha laistigh den Aontas Eorpach. I gcás ina gcaithfidh an Próiseálaí nó aon fhopróiseálaí sonraí pearsanta a aistriú chuig tír lasmuigh den Limistéar Eorpach Eacnamaíoch, ní dhéantar an t-aistriú ach ar bhonn cinneadh leordhóthanachta faoi Airteagal 45 GDPR nó cosaintí iomchuí faoi Airteagal 46 GDPR — de ghnáth Clásail Chonarthacha Caighdeánacha Choimisiún na hEorpa (Cinneadh 2021/914/AE) forlíonta, nuair is gá, le bearta teicniúla agus eagraíochtúla breise. Tá liosta reatha na bhfaighteoirí agus na sásraí aistrithe infheidhme foilsithe ag /legal/sub-processors.
15. Dócmhainneacht, urghabháil agus imeachtaí tríú páirtí
Má tá sonraí pearsanta an Rialaitheora i mbaol mar gheall ar urghabháil, coigistiú, dócmhainneacht nó imeachtaí comhshocraíochta, nó aon ghníomh eile ag tríú páirtí a d'fhéadfadh difear a dhéanamh do chumas an Phróiseálaí an DPA seo a chomhlíonadh, cuirfidh an Próiseálaí an Rialaitheoir ar an eolas gan moill mhíchuí agus cuirfidh sé in iúl don tríú páirtí i scríbhinn gur freagracht an Rialaitheora na sonraí mar rialaitheoir sonraí de réir bhrí an GDPR. Glacfaidh an Próiseálaí céimeanna réasúnta chun sláine agus infhaighteacht shonraí an Rialaitheora a chosaint fad a bhíonn an gníomh tríú páirtí á réiteach.
16. Dliteanas
Tá gach páirtí faoi dhliteanas as damáiste a dhéantar de bharr a shárú féin ar an DPA seo i gcomhréir le hAirteagal 82 GDPR agus an dlí infheidhme. Ní eisiann ná ní theorannaíonn aon ní sa DPA seo aon dliteanas nach féidir a eisiamh ná a theorannú de réir dlí, lena n-áirítear i leith báis nó gortaithe coirp, calaoise, mífhaisnéis chalaoiseach nó mí-iompar toiliúil. I ngach gné eile, tá na teorainneacha agus na heisiaimh dliteanais atá leagtha amach sa phríomh-chomhaontú infheidhme go comhionann maidir leis an DPA seo.
17. Indeighilteacht agus forálacha deiridh
Teastaíonn foirm téacs ó leasuithe agus forlíontaí ar an DPA seo (lena n-áirítear malartú ríomhphoist faoi Airteagal 28(9) GDPR) agus léiriú sainráite go leasaíonn nó go bhforlíonann siad an DPA seo. Mura bhfuil foráil ar bith den DPA seo bailí, dlíthiúil nó infhorfheidhmithe, nó má éiríonn sí amhlaidh, ní dhéantar difear do bhailíocht na bhforálacha eile; cuirfidh na páirtithe an fhoráil neamhbhailí in ionad foráile bailí a bhfuil a héifeacht eacnamaíoch chomh gar agus is féidir don fhoráil neamhbhailí. Féadfar an DPA seo a fhorghníomhú agus a nuashonrú go leictreonach agus cuireann sé in ionad aon socruithe próiseála sonraí roimhe seo idir na páirtithe don ábhar céanna.
18. An dlí rialaithe agus dlínse
Rialaítear an DPA seo ag dlíthe Phoblacht na Cipire, gan a rialacha coinbhleachta dlíthe ná Coinbhinsiún na Náisiún Aontaithe ar Chonarthaí le haghaidh Díolacháin Idirnáisiúnta Earraí a áireamh. Tá dlínse eisiach ag cúirteanna Pháfos, an Chipir thar aon díospóid a eascraíonn as an DPA seo nó i ndáil leis, gan dochar d'aon chearta ionaid éigeantacha cosanta tomhaltóirí nó ábhair sonraí faoin GDPR.
19. Teagmháil
I gcás ábhair a bhaineann leis an DPA seo, déan teagmháil le Labb Holding Ltd ag privacy@persohr.eu, nó scríobh chuig Labb Holding Ltd, Anthipolochagou Georgiou M.Savva 26, Shop 1-2, 8201 Páfos, an Chipir. Is é pointe teagmhála an Rialaitheora le haghaidh cosanta sonraí an cuntas úsáideora atá ainmnithe mar OWNER ar ardán PersoHR.