UGOVOR O OBRADI PODATAKA
Ugovor o obradi podataka
Članak 28 GDPR — sporazum između vas (voditelja obrade) i PersoHR (izvršitelja obrade)
1. Uvod
Ovaj Ugovor o obradi podataka ("UOP") čini dio glavnog ugovora o pretplati između Labb Holding Ltd, cipranskog privatnog društva s ograničenom odgovornošću sa sjedištem na adresi Anthipolochagou Georgiou M.Savva 26, Shop 1-2, 8201 Paphos, Cipar, registriranog pod HE 424230 (koji upravlja platformom PersoHR, "Izvršitelj obrade"), i korisnika ("Voditelj obrade"). Njime se uređuje obrada osobnih podataka koju Izvršitelj obrade provodi u ime Voditelja obrade u vezi s platformom PersoHR te je osmišljen radi usklađenosti s Uredbom (EU) 2016/679 ("GDPR"). U slučaju da je neka odredba ovog UOP-a u suprotnosti s glavnim ugovorom, ovaj UOP ima prednost u pitanjima obrade osobnih podataka. Pojmovi pisani velikim slovom koji se koriste, ali nisu definirani ovdje, imaju značenje koje im je dano u glavnom ugovoru ili, gdje je primjenjivo, u GDPR-u.
2. Predmet, trajanje, priroda i svrha
Izvršitelj obrade obrađuje osobne podatke isključivo u svrhu pružanja HR-upravljačke usluge PersoHR. Obrada obuhvaća upravljanje evidencijama zaposlenika, godišnjim odmorima i odsutnostima, onboardingom, offboardingom, praćenjem radnog vremena, pripremom plaća, ocjenama radne učinkovitosti, regrutacijom, pohranjem dokumenata, internom komunikacijom i ostalim HR procesima koje konfigurira Voditelj obrade. Obrada traje za vrijeme trajanja pretplate Voditelja obrade, uz sva razdoblja zadržavanja koja zahtijeva zakon ili odjeljak 13 ovog UOP-a. Voditelj obrade prihvaća da precizni opseg i dubina obrade ovise o modulima i konfiguraciji koje Voditelj obrade odabere omogućiti.
3. Kategorije osobnih podataka
Kategorije obrađenih osobnih podataka ovise o konfiguraciji platforme od strane Voditelja obrade i mogu uključivati: osnovne osobne podatke zaposlenika (ime, kontaktni podaci, poštanska adresa, datum rođenja, fotografija); osnovne podatke o zaposlenju (naziv radnog mjesta, odjel, vrsta zaposlenja, datumi početka i završetka, radno vrijeme, nadređeni); sadržaj dokumenata (ugovori o radu, certifikati, identifikacijski dokumenti, ostale datoteke koje je učitao Voditelj obrade); podatke o radnoj učinkovitosti i razvoju (ciljevi, ocjene, povratne informacije, evidencije obuke); podatke o godišnjim odmorima i odsutnostima (zahtjevi, stanja, državni praznici); podatke o praćenju radnog vremena (dolasci/odlasci, evidencije sati, prekovremeni rad); podatke za pripremu plaća (evidencije plaća, IBAN gdje je naveden, porezni i identifikacijski brojevi socijalnog osiguranja gdje su navedeni); podatke o regrutaciji (prijave, životopisi, bilješke s razgovora, reference); podatke o komunikaciji i chatu; podatke o autentifikaciji i sigurnosti (vremenski žigovi prijave, IP adrese, otisci uređaja, stanje dvofaktorske autentifikacije); i sve ostale osobne podatke koje Voditelj obrade odluči učitati ili generirati unutar platforme. Voditelj obrade odgovoran je za osiguranje da svi podaci posebnih kategorija u smislu članka 9 GDPR-a koje učita imaju odgovarajuću pravnu osnovu.
4. Kategorije ispitanika
Kategorije ispitanika, u odnosu na Voditelja obrade i sve podružnice kojima Voditelj obrade odluči upravljati putem platforme, obično uključuju: trenutne zaposlenike, izvođače, slobodnjake i ostalo osoblje; bivše zaposlenike, izvođače i osoblje; podnositelje prijava i kandidate u aktivnim ili prošlim procesima regrutacije; te uzdržavane osobe ili kontakte za hitne slučajeve koje je otkrio bilo koji od navedenih. Voditelj obrade odgovoran je za zakonitost uključivanja bilo kojeg konkretnog ispitanika u opseg obrade.
5. Upute i pravo odbijanja
Izvršitelj obrade obrađuje osobne podatke isključivo prema dokumentiranim uputama Voditelja obrade — uključujući u pogledu međunarodnih prijenosa — osim ako ga pravo Unije ili države članice ne obvezuje na drugačije postupanje (u tom slučaju Izvršitelj obrade obavijestit će Voditelja obrade prije obrade, osim ako to pravo zabranjuje takvu obavijest iz razloga važnog javnog interesa). Voditelj obrade određuje osobe isključivo ovlaštene za izdavanje uputa za obradu putem platforme; u nedostatku takve odredbe, samo fizičke osobe ovlaštene za zakonsko zastupanje Voditelja obrade mogu izdavati upute. Ako Izvršitelj obrade s razumnim razlogom smatra da neka uputa krši GDPR ili drugi primjenjivi zakon o zaštiti podataka, bez nepotrebnog odgađanja obavijestit će Voditelja obrade i može suspendirati izvršenje te upute dok se pitanje ne riješi između stranaka.
6. Povjerljivost
Izvršitelj obrade osigurava da je svaka fizička osoba ovlaštena za obradu osobnih podataka u njegovo ime vezana obvezom povjerljivosti, bilo ugovorom ili zakonskom dužnošću. Svaka stranka nadalje se obvezuje čuvati povjerljivost svih njavnih informacija koje primi od druge stranke u vezi s ovim UOP-om, uključujući sadržaj revizija, sigurnosne dokumentacije i izvještaja o incidentima, te koristiti takve informacije isključivo za izvršavanje glavnog ugovora i ovog UOP-a. Informacije koje su javno poznate, razvijene neovisno bez korištenja povjerljivih informacija stranke koja ih objavljuje, zakonito primljene od treće strane bez obveze povjerljivosti, ili koje se moraju otkriti prema obvezujućem pravnom postupku, isključene su. Obveze povjerljivosti preživljavaju prestanak glavnog ugovora na period od pet godina.
7. Sigurnost obrade (Članak 32)
Uzimajući u obzir najnovije dostignuća tehnologije, troškove implementacije te prirodu, opseg, kontekst i svrhe obrade, kao i rizik za prava i slobode ispitanika, Izvršitelj obrade implementira i održava odgovarajuće tehničke i organizacijske mjere, uključujući: enkripciju osobnih podataka u prijenosu (TLS 1.2 ili viši) i u mirovanju; kontrolu pristupa temeljenu na ulogama s načelom najmanjih privilegija; sveobuhvatno evidentiranje revizijskog traga; redovito skeniranje ranjivosti i primjenu zakrpa; primarnu obradu isključivo na poslužiteljima unutar EU-a; vremenski ograničene pristupne tokene; obveznu dvofaktorsku autentifikaciju za privilegirane uloge; te redovite sigurnosne kopije s testiranim postupcima obnove. Trenutačne tehničke i organizacijske mjere ("TOM-ovi") objavljene su kao javni prilog na /legal/security i mogu se povremeno ažurirati, pod uvjetom da nijedno ažuriranje bitno ne smanjuje opću razinu sigurnosti.
8. Poddobavljači
Voditelj obrade ovlašćuje Izvršitelja obrade za angažiranje poddobavljača navedenih na /legal/sub-processors. Izvršitelj obrade obavijestit će Voditelja obrade pisanim putem (uključujući e-poštu) najmanje 30 dana prije dodavanja ili zamjene poddobavljača. Voditelj obrade može uložiti prigovor na razumnim osnovama zaštite podataka unutar 14 dana od te obavijesti; u nedostatku pravovremenog prigovora, promjena se smatra odobrenom. Ako stranke ne mogu riješiti opravdani prigovor unutar daljnjih 30 dana, bilo koja stranka može raskinuti glavni ugovor pisanom obavijesti bez daljnje odgovornosti, pri čemu Voditelj obrade ima pravo na razmjerni povrat svih unaprijed plaćenih naknada koje pokrivaju neiskorišteni ostatak roka pretplate. Izvršitelj obrade sklapa pisane ugovore sa svakim poddobavljačem kojima se nameću obveze zaštite podataka jednakovrijedne onima u ovom UOP-u, te ostaje odgovoran za radnje i propuste svojih poddobavljača.
9. Pomoć pri ostvarivanju prava ispitanika
Uzimajući u obzir prirodu obrade, Izvršitelj obrade pomaže Voditelju obrade odgovarajućim tehničkim i organizacijskim mjerama, u mjeri u kojoj je to moguće, u odgovaranju na zahtjeve prema Poglavlju III GDPR-a (pristup, ispravak, brisanje, ograničenje, prenosivost i prigovor). Platforma nudi alate za samoposlužbu za najčešće zahtjeve (izvoz podataka prema članku 20, brisanje prema članku 17, ispravak samo-upravljanih polja). Za zahtjeve koje Voditelj obrade ne može ispuniti putem ovih alata, Izvršitelj obrade pružit će razumnu dodatnu pomoć. Ako se ispitanik obrati Izvršitelju obrade izravno, Izvršitelj obrade proslijedit će zahtjev relevantnom Voditelju obrade i obavijestiti Voditelja obrade bez nepotrebnog odgađanja.
10. Obavijest o povredi osobnih podataka
Izvršitelj obavještava Voditelja bez nepotrebnog odlaganja, a u svakom slučaju u roku od 72 sata od saznanja o povredi osobnih podataka koja se odnosi na podatke Voditelja. Obavijest opisuje prirodu povrede, kategorije i približan broj ispitanika i evidencija na koje se odnosi, vjerojatne posljedice te mjere poduzete ili predložene radi njezina otklanjanja. Izvršitelj surađuje s Voditeljem u mjeri koja je razumno potrebna za ispunjavanje Voditeljevih vlastitih obveza obavještavanja u skladu s člancima 33. i 34. GDPR-a.
11. Procjena učinka na zaštitu podataka i prethodne konzultacije
Izvršitelj pomaže Voditelju, na razuman zahtjev, pri procjenama učinka na zaštitu podataka u skladu s člankom 35. te prethodnim konzultacijama s nadzornim tijelima u skladu s člankom 36., uzimajući u obzir prirodu obrade i informacije dostupne Izvršitelju.
12. Revizije i inspekcije
Izvršitelj Voditelju stavlja na raspolaganje sve informacije razumno potrebne za dokazivanje usklađenosti s člankom 28. GDPR-a i ovim DPA-om. Voditelj može nadzirati usklađenost Izvršitelja, ili za to u svoje ime imenovati kvalificiranog neovisnog revizora, uz pisanu obavijest od najmanje 30 dana, u redovnom radnom vremenu, najviše jednom u kalendarskoj godini ("Revizija na licu mjesta"). Izvršitelj može zahtijevati da svaki revizor prije revizije potpiše razumne obveze povjerljivosti te može prigovoriti revizoru kojeg je imenovao Voditelj ako je taj revizor u izravnoj konkurenciji s Izvršiteljem ili ako ga Izvršitelj razumno smatra neprikladnim. Svaka stranka snosi vlastite troškove Revizije na licu mjesta. Umjesto Revizije na licu mjesta, Izvršitelj može, prema vlastitoj procjeni, ispuniti ovu obvezu dostavljanjem trenutnog neovisnog certifikata ili izvješća o atestiranju (kao što su ISO/IEC 27001, SOC 2 Type II ili odobrena certifikacija prema članku 42. GDPR-a), primjeraka sažetaka testova penetracije ili dokumentacije o tehničkim i organizacijskim mjerama (TOM); u tom slučaju Revizija na licu mjesta može biti odbijena. Kada je revizija pokrenuta potvrđenom povredom osobnih podataka ili značajnom povredom ovog DPA-a ("Revizija vezana uz događaj"), rok obavijesti i ograničenje učestalosti se ne primjenjuju, a Izvršitelj će u potpunosti surađivati bez ograničenja opsega ili učestalosti.
13. Povrat ili brisanje osobnih podataka
Po prestanku glavnog ugovora, Izvršitelj zadržava osobne podatke Voditelja 30 dana. Tijekom tog razdoblja Voditelj može (a) izvesti svoje podatke putem funkcije izvoza u aplikaciji u skladu s člankom 20. GDPR-a ili (b) pisanim putem uputiti Izvršitelja da odmah izbriše podatke. Ako Voditelj u roku od 30 dana ne poduzme nijednu od navedenih radnji, Izvršitelj će automatski izbrisati podatke po isteku tog roka. Na sigurnosne kopije primjenjuje se dokumentirani raspored zadržavanja sigurnosnih kopija i one se s vremenom prepisuju; do tada, vraćeni podaci ostaju podložni ovom DPA-u. Osobni podaci koje je Izvršitelj zakonski obvezan zadržati (na primjer, podaci o naplati u porezne svrhe) isključeni su iz brisanja za trajanja te zakonske obveze.
14. Međunarodni prijenosi
Izvršitelj osobne podatke primarno obrađuje unutar Europske unije. Kada Izvršitelj ili neki podizrađivač treba prenijeti osobne podatke u zemlju izvan Europskog gospodarskog prostora, prijenos se obavlja isključivo na temelju odluke o primjerenosti u skladu s člankom 45. GDPR-a ili odgovarajućih zaštitnih mjera u skladu s člankom 46. GDPR-a — uglavnom Standardnih ugovornih klauzula Europske komisije (Odluka 2021/914/EU), dopunjenih, gdje je potrebno, dodatnim tehničkim i organizacijskim mjerama. Trenutni popis primatelja i primjenjivih mehanizama prijenosa objavljuje se na /legal/sub-processors.
15. Nesolventnost, zapljena i događaji trećih strana
Ako su osobni podaci Voditelja ugroženi zbog zapljene, konfiskacije, postupka nesolventnosti ili nagodbe, ili bilo kakve druge radnje treće strane koja bi mogla utjecati na Izvršiteljevu sposobnost da se pridržava ovog DPA-a, Izvršitelj će o tome obavijestiti Voditelja bez nepotrebnog odlaganja te pisanim putem obavijestiti treću stranu da su podaci odgovornost Voditelja kao voditelja obrade u smislu GDPR-a. Izvršitelj će poduzeti razumne korake kako bi zaštitio integritet i dostupnost Voditeljevih podataka do rješavanja radnje treće strane.
16. Odgovornost
Svaka stranka odgovara za štetu uzrokovanu vlastitim kršenjem ovog DPA-a u skladu s člankom 82. GDPR-a i primjenjivim pravom. Ništa u ovom DPA-u ne isključuje niti ograničava odgovornost koja se ne može isključiti ili ograničiti zakonom, uključujući onu za smrt ili tjelesnu ozljedu, prijevaru, lažno predstavljanje ili namjerno protupravno ponašanje. U svim ostalim aspektima, ograničenja i isključenja odgovornosti navedena u glavnom ugovoru jednako se primjenjuju na ovaj DPA.
17. Odvojivost i završne odredbe
Izmjene i dopune ovog DPA-a zahtijevaju tekstualni oblik (koji uključuje razmjenu e-pošte u skladu s člankom 28. stavkom 9. GDPR-a) i izričitu naznaku da se njima mijenja ili dopunjuje ovaj DPA. Ako neka odredba ovog DPA-a jest ili postane nevažeća, nezakonita ili neprovediva, valjanost preostalih odredbi time nije ugrožena; stranke će nevažeću odredbu zamijeniti valjanom čiji je ekonomski učinak što bliži učinku nevažeće odredbe. Ovaj DPA može se sklopiti i ažurirati elektroničkim putem te zamjenjuje sve prethodno dogovorene aranžmane o obradi podataka između stranaka za isti predmet.
18. Mjerodavno pravo i nadležnost
Ovaj DPA uređen je pravom Republike Cipra, isključujući njezina pravila o sukobu zakona i Konvenciju Ujedinjenih naroda o ugovorima o međunarodnoj prodaji robe. Sudovi u Pafosu, Cipar, imaju isključivu nadležnost za sve sporove koji proizlaze iz ili su u vezi s ovim DPA-om, ne dovodeći u pitanje eventualna obvezna prava potrošača ili ispitanika u pogledu nadležnosti prema GDPR-u.
19. Kontakt
Za pitanja koja se odnose na ovaj DPA, obratite se tvrtki Labb Holding Ltd na privacy@persohr.eu ili pišite na adresu: Labb Holding Ltd, Anthipolochagou Georgiou M.Savva 26, Shop 1-2, 8201 Paphos, Cipar. Kontaktna točka Voditelja za zaštitu podataka je korisnički račun označen kao OWNER na platformi PersoHR.