Ugovor o obradi podataka

1. Uvod

Ovaj Ugovor o obradi podataka ("DPA") sastavni je dio glavnog ugovora o pretplati između društva Labb Holding Ltd, ciparskog privatnog društva s ograničenom odgovornošću (limited by shares) sa sjedištem na adresi Anthipolochagou Georgiou M.Savva 26, Shop 1-2, 8201 Paphos, Cipar, registriranog pod brojem HE 424230 (koje upravlja platformom PersoHR, "Izvršitelj obrade"), i korisnika ("Voditelj obrade"). Njime se uređuje obrada osobnih podataka koju Izvršitelj obrade provodi u ime Voditelja obrade u vezi s platformom PersoHR, a osmišljen je radi usklađenosti s Uredbom (EU) 2016/679 ("GDPR"). Ako je neka odredba ovog DPA-a u suprotnosti s glavnim ugovorom, u pitanjima obrade osobnih podataka prednost ima ovaj DPA. Pojmovi pisani velikim početnim slovom koji se koriste, ali nisu definirani u ovom DPA-u, imaju značenje koje im je dano u glavnom ugovoru ili, gdje je primjenjivo, u GDPR-u.

2. Predmet, trajanje, priroda i svrha

Izvršitelj obrade obrađuje osobne podatke isključivo u svrhu pružanja usluge upravljanja ljudskim resursima PersoHR. Obrada obuhvaća upravljanje evidencijama zaposlenika, odmorima i odsutnostima, uvođenje novih zaposlenika, odlazak zaposlenika, evidenciju radnog vremena, pripremu obračuna plaća, ocjenjivanje uspješnosti, zapošljavanje, pohranu dokumenata, internu komunikaciju i druge HR tijekove rada koje konfigurira Voditelj obrade. Obrada uključuje prikupljanje, bilježenje, organizaciju, pohranu, pronalaženje, uporabu, ovlašteno otkrivanje, izvoz i brisanje za potrebe tih usluga. Ovaj DPA i dalje štiti osobne podatke korisnika dok se oni čuvaju, uključujući tijekom dogovorenog postupka vraćanja ili brisanja iz odjeljka 13. Obrada u vlastite svrhe PersoHR-a, kako je opisana u Pravilima o privatnosti, odvojena je od ovog angažmana izvršitelja obrade. Voditelj obrade potvrđuje da točan opseg i dubina obrade ovise o modulima i konfiguraciji koje Voditelj obrade odluči omogućiti.

3. Kategorije osobnih podataka

Kategorije osobnih podataka koje se obrađuju ovise o tome kako je Voditelj obrade konfigurirao platformu i mogu uključivati: matične podatke o osoblju (ime, kontaktni podaci, poštanska adresa, datum rođenja, fotografija, podaci o kontaktu za hitne slučajeve); matične podatke o zaposlenju (naziv radnog mjesta, odjel, vrsta zaposlenja, datumi početka i završetka, radno vrijeme, nadređeni, status invaliditeta); sadržaj dokumenata (ugovori o radu, certifikati, identifikacijski dokumenti, druge datoteke koje je učitao Voditelj obrade); podatke o uspješnosti i razvoju (ciljevi, ocjene, povratne informacije, evidencije o osposobljavanju); podatke o odmorima i odsutnostima (zahtjevi, stanja, državni praznici); podatke o evidenciji radnog vremena (događaji prijave i odjave, evidencije sati, prekovremeni rad); podatke za pripremu obračuna plaća (evidencije plaća, IBAN ako je dostavljen, porezni identifikatori i identifikatori socijalnog osiguranja ako su dostavljeni, državljanstvo, spol, bračni status, broj djece, mjesto rođenja, pružatelj i vrsta zdravstvenog osiguranja, vjeroispovijest za crkveni porez); podatke o zapošljavanju (prijave, životopisi, bilješke s razgovora, preporuke); podatke o komunikaciji i chatu; podatke o autentifikaciji i sigurnosti (vremenske oznake prijave, IP adrese, informacije o korisničkom agentu preglednika/uređaja i evidencije sesija uređaja, stanje dvofaktorske autentifikacije); te sve druge osobne podatke koje Voditelj obrade odluči učitati ili generirati na platformi. Obrada može uključivati i sadržaj elektroničkih potpisa i dokaze o potpisivanju. Vjeroispovijest za crkveni porez može otkriti vjersko uvjerenje. Status invaliditeta, odsutnost zbog bolesti i evidencije liječničkih potvrda mogu otkriti podatke o zdravlju čak i bez učitanih medicinskih dokumenata. Kada se obrađuju posebne kategorije podataka, Voditelj obrade mora utvrditi pravnu osnovu iz članka 6. i primjenjivi uvjet iz članka 9. te uputiti Izvršitelja obrade o potrebnim zaštitnim mjerama. Podaci o kaznenim osudama zahtijevaju ispunjenje uvjeta iz članka 10. i ne smiju se dostavljati bez dogovorenog zakonitog i podržanog načina obrade. Izvršitelj obrade ostaje odgovoran za vlastite primjenjive obveze u pogledu zaštite podataka i sigurnosti.

4. Kategorije ispitanika

Kategorije ispitanika, u odnosu na Voditelja obrade i sva povezana društva kojima Voditelj obrade odluči upravljati putem platforme, obično uključuju: sadašnje zaposlenike, vanjske suradnike, slobodne djelatnike i ostalo osoblje, uključujući radnike mlađe od 18 godina ako su zakonito zaposleni; bivše zaposlenike, vanjske suradnike i osoblje; podnositelje prijava i kandidate u aktivnim ili prošlim postupcima zapošljavanja; te uzdržavane članove ili kontakte za hitne slučajeve koje je otkrila bilo koja od navedenih osoba. Voditelj obrade odgovoran je za zakonitost uključivanja bilo kojeg pojedinog ispitanika u opseg obrade.

5. Upute i pravo na odbijanje

Izvršitelj obrade obrađuje osobne podatke isključivo prema dokumentiranim uputama Voditelja obrade, uključujući one u pogledu međunarodnih prijenosa, osim ako ga pravo Unije ili države članice obvezuje na drukčije postupanje (u tom slučaju Izvršitelj obrade obavješćuje Voditelja obrade prije obrade, osim ako to pravo zabranjuje takvu obavijest zbog važnog javnog interesa). Voditelj obrade određuje osobe koje su isključivo ovlaštene izdavati upute za obradu putem platforme; ako takvo određivanje izostane, upute mogu izdavati samo fizičke osobe ovlaštene za zakonsko zastupanje Voditelja obrade. Ako Izvršitelj obrade opravdano smatra da neka uputa krši GDPR ili drugo primjenjivo pravo o zaštiti podataka, o tome odmah obavješćuje Voditelja obrade i može obustaviti izvršenje te upute dok stranke ne riješe to pitanje.

6. Povjerljivost

Izvršitelj obrade osigurava da je svaka fizička osoba ovlaštena za obradu osobnih podataka u njegovo ime obvezana na povjerljivost, bilo ugovorom bilo zakonskom obvezom. Svaka se stranka nadalje obvezuje čuvati kao povjerljive sve nejavne informacije koje primi od druge stranke u vezi s ovim DPA-om, uključujući sadržaj revizija, sigurnosnu dokumentaciju i izvješća o incidentima, te ih koristiti isključivo za izvršenje glavnog ugovora i ovog DPA-a. Isključene su informacije koje su javno poznate, koje su neovisno razvijene bez korištenja povjerljivih informacija stranke koja ih otkriva, koje su zakonito primljene od treće strane bez obveze povjerljivosti ili čije je otkrivanje propisano obvezujućim pravnim postupkom. Opće obveze povjerljivosti ostaju na snazi pet godina nakon prestanka. Obveze zaštite osobnih podataka traju sve dok se ti podaci čuvaju, uključujući slučajeve u kojima se primjenjuje dulja zakonska obveza.

7. Sigurnost obrade (članak 32.)

Izvršitelj obrade provodi i održava tehničke i organizacijske mjere primjerene riziku, uzimajući u obzir čimbenike iz članka 32. GDPR-a. Zaštitne mjere u aplikaciji uključuju kontrole pristupa temeljene na ulogama i ograničene na zakupnika (tenant), vremenski ograničene tokene za autentifikaciju, obveznu dvofaktorsku autentifikaciju za uloge Vlasnik i HR administrator, enkripciju odabranih osjetljivih polja te revizijske zapise za podržane radnje. Sigurnosni prilog na /legal/security opisuje te zaštitne mjere. Obveze Izvršitelja obrade da osigura primjerenu zaštitu, dostupnost i oporavak nisu ograničene na ovdje navedene značajke. Ažuriranja mjera ne smiju bitno smanjiti ukupnu razinu sigurnosti.

8. Podizvršitelji obrade

Voditelj obrade ovlašćuje Izvršitelja obrade da angažira podizvršitelje obrade navedene na /legal/sub-processors. Izvršitelj obrade obavijestit će Voditelja obrade u pisanom obliku (uključujući e-poštu) najmanje 30 dana prije dodavanja ili zamjene podizvršitelja obrade. Voditelj obrade može uložiti prigovor iz opravdanih razloga zaštite podataka u roku od 14 dana od te obavijesti; ako pravodoban prigovor izostane, smatra se da je promjena odobrena. Ako stranke ne mogu riješiti opravdani prigovor u daljnjem roku od 30 dana, svaka stranka može raskinuti glavni ugovor pisanom obaviješću bez daljnje odgovornosti, a u tom slučaju Voditelj obrade ima pravo na razmjeran povrat svih unaprijed plaćenih naknada koje se odnose na neiskorišteni ostatak razdoblja pretplate. Izvršitelj obrade sa svakim podizvršiteljem obrade sklapa pisane ugovore kojima mu nameće obveze zaštite podataka jednakovrijedne onima iz ovog DPA-a te ostaje odgovoran za radnje i propuste svojih podizvršitelja obrade.

9. Pomoć u vezi s pravima ispitanika

Izvršitelj obrade pomaže Voditelju obrade, uzimajući u obzir prirodu obrade i koliko je to moguće, u vezi sa zahtjevima iz poglavlja III. GDPR-a. Aplikacija pruža alate za izvoz, ispravak i brisanje podataka s ograničenjima prema ulozi i opsegu. Ti alati pomažu Voditelju obrade, ali ne određuju mora li se pojedinačni zahtjev odobriti. Prenosivost iz članka 20. ograničena je na podatke koje je pružio pojedinac i koji se obrađuju automatizirano na temelju privole ili ugovora; druge evidencije mogu biti obuhvaćene pravom na pristup iz članka 15. Izvršitelj obrade pruža razumnu dodatnu pomoć kada alati nisu dostatni. Zahtjeve koji se odnose na HR obradu Voditelja obrade, a koji su primljeni izravno od pojedinca, Izvršitelj obrade bez nepotrebnog odgađanja prosljeđuje Voditelju obrade.

Kada pojedinac zatraži od Izvršitelja obrade da izbriše njegov osobni PersoHR račun, Izvršitelj obrade odmah zatvara račun. Prekida pristup pojedinca, briše podatke računa koje čuva kao voditelj obrade (podatke za prijavu, postavke dvofaktorske autentifikacije, sesije, postavke računa i zahtjeve za podršku koje je pojedinac podnio u aplikaciji, zajedno s njihovim snimkama zaslona) te briše razgovore pojedinca s AI asistentom, koje aplikacija ne prikazuje nikome drugome. Kopije tih zahtjeva za podršku dostavljene u poštanski sandučić za podršku Izvršitelja obrade i ostala korespondencija s Izvršiteljem obrade čuvaju se kako je opisano u Pravilima o privatnosti. Ne briše niti mijenja nijednu drugu evidenciju koju Voditelj obrade čuva o pojedincu. Zahtjev evidentira uz članstvo pojedinca u svakom od radnih prostora Voditelja obrade i o njemu bez nepotrebnog odgađanja obavještava vlasnike i HR administratore Voditelja obrade u aplikaciji i e-poštom. Voditelj obrade odlučuje hoće li izbrisati evidencije, s pomoću alata za brisanje u aplikaciji, ili ih zadržati te odgovara pojedincu. Izvršitelj obrade potvrđuje zahtjev pojedincu e-poštom i obavještava ga e-poštom kada Voditelj obrade evidentira svoju odluku u aplikaciji ili kada se evidencije izbrišu jer se radni prostor briše.

Identifikacijski podaci na računu pojedinca koje upotrebljavaju evidencije Voditelja obrade (ime, adresa e-pošte, datum rođenja i broj telefona) čuvaju se u ime Voditelja obrade i svakog drugog korisnika čije ih evidencije upotrebljavaju, dok svako članstvo pojedinca u radnom prostoru ne bude izbrisano ili njegov radni prostor izbrisan, a zatim se anonimiziraju. Izbrisano članstvo može ostaviti evidencije koje Voditelj obrade mora čuvati prema zakonu, kao što je evidencija radnog vremena koja se vodi pod imenom pojedinca, a na koje se primjenjuje njihovo vlastito razdoblje čuvanja. Identifikacijski podaci mijenjaju se samo prema uputi Voditelja obrade: Voditelj obrade može u aplikaciji dodati datum rođenja koji nedostaje, a svaki drugi ispravak provodi podrška Izvršitelja obrade. Izvršitelj obrade upotrebljava ih za pisanje pojedincu samo radi potvrde i obavijesti o odluci opisanih gore, obavijesti koje Voditelj obrade mora dati prema zakonu i konačne arhive opisane u nastavku. Zatvoreni račun ne može se ponovno otvoriti, a njegova adresa e-pošte ne može se upotrijebiti za novi račun ni pozvati u radni prostor dok svako članstvo pojedinca u radnom prostoru ne bude izbrisano ili njegov radni prostor izbrisan.

Kada je Voditelj obrade zatražio brisanje svojeg radnog prostora, zahtjev koji je otvoren kada se radni prostor počne zatvarati ili koji stigne dok se zatvara provodi se nakon što se dovrši konačna arhiva radnog prostora (u noćnom pokretanju koje slijedi nakon dovršetka ili nakon zahtjeva ako je arhiva već bila dovršena) ili pri brisanju radnog prostora ako ono nastupi ranije, tako da evidencije pojedinca budu dio svake konačne arhive koju Voditelj obrade primi. Kopija konačne arhive kod Izvršitelja obrade briše se zajedno s radnim prostorom. Kada je pojedinac kontakt kojeg je Voditelj obrade ostavio za tu arhivu, arhiva se šalje drugom vlasniku radnog prostora koji se još može prijaviti, a na adresu pojedinca samo ako takvog vlasnika nema. Kada je pojedinac jedini vlasnik radnog prostora koji se ne briše, zahtjev se ne može dovršiti dok radni prostor ne dobije drugog aktivnog vlasnika ili aktivnog HR administratora ili dok se radni prostor ne počne brisati; kada postoji aktivni HR administrator, Izvršitelj obrade onoga s najduljim stažem postavlja za vlasnika kako bi Voditelj obrade zadržao vlasnika.

10. Obavješćivanje o povredi osobnih podataka

Izvršitelj obrade obavješćuje Voditelja obrade bez nepotrebnog odgađanja, a u svakom slučaju u roku od 72 sata nakon što sazna za povredu osobnih podataka koja utječe na podatke Voditelja obrade, u skladu s člankom 33. stavkom 2. GDPR-a. Dostupne informacije uključuju prirodu povrede, pogođene kategorije i približan broj pojedinaca i evidencija, vjerojatne posljedice, kontaktne podatke te poduzete ili predložene mjere. Informacije se mogu pružati postupno, bez daljnjeg nepotrebnog odgađanja. Izvršitelj obrade pomaže Voditelju obrade u njegovoj procjeni i ispunjavanju obveza obavješćivanja iz članaka 33. i 34. Kvalificirani rok od 72 sata u kojem Voditelj obrade obavješćuje nadzorno tijelo nije razdoblje čekanja za Izvršitelja obrade.

11. Procjena učinka na zaštitu podataka i prethodno savjetovanje

Izvršitelj obrade na razuman zahtjev pomaže Voditelju obrade pri procjenama učinka na zaštitu podataka iz članka 35. i prethodnom savjetovanju s nadzornim tijelima iz članka 36., uzimajući u obzir prirodu obrade i informacije koje su Izvršitelju obrade dostupne.

12. Revizije i inspekcije

Izvršitelj obrade stavlja na raspolaganje sve informacije potrebne za dokazivanje poštovanja članka 28. GDPR-a te omogućuje i doprinosi revizijama, uključujući inspekcije, koje provodi Voditelj obrade ili revizor kojeg je on ovlastio. Stranke dogovaraju razumne uvjete u pogledu obavijesti, vremena, povjerljivosti i zaštite informacija drugih korisnika. Neovisna izvješća i sigurnosna dokumentacija mogu pomoći u dokazivanju poštovanja obveza, ali ne zamjenjuju zakonska prava Voditelja obrade na reviziju. Raspored, učestalost i zahtjevi u pogledu revizora ne smiju spriječiti reviziju koju zahtijeva zakon ili nadzorno tijelo, koja je potrebna zbog povrede osobnih podataka ili zbog osnovane sumnje u nepoštovanje obveza. Svaka stranka u pravilu snosi vlastite troškove, osim ako je drukčije dogovoreno ili propisano zakonom.

13. Vraćanje ili brisanje osobnih podataka

Nakon završetka usluga obrade Izvršitelj obrade, prema izboru Voditelja obrade, vraća ili briše osobne podatke te briše postojeće kopije, osim ako pravo Unije ili države članice zahtijeva njihovo čuvanje, u skladu s člankom 28. stavkom 3. točkom (g) GDPR-a. Voditelj obrade trebao bi preuzeti potrebne izvoze prije završetka plaćenog pristupa i obratiti se podršci kako bi dogovorio daljnje vraćanje ili brisanje. Prekid obnove pretplate sam po sebi ne predstavlja zahtjev za brisanje računa. Postupak brisanja računa u aplikaciji zakazuje brisanje nakon 30-dnevnog razdoblja u kojem se zahtjev može opozvati; raniji ili drukčiji zakonski propisani zahtjev treba uputiti izravno Izvršitelju obrade. Stranke moraju dogovoriti i provesti postupak vraćanja ili brisanja bez čuvanja podataka dulje nego što je potrebno. Sigurnosne kopije ostaju zaštićene ovim DPA-om dok se ne uklone prema primjenjivom rasporedu sigurnosnog kopiranja; svako vraćanje iz sigurnosne kopije mora poštovati prethodne upute o brisanju. Evidencije o naplati koje se obrađuju radi ispunjenja vlastitih zakonskih obveza Izvršitelja obrade obrađuju se odvojeno prema Pravilima o privatnosti.

14. Međunarodni prijenosi

Izvršitelj obrade osobne podatke obrađuje prvenstveno unutar Europske unije. Kada Izvršitelj obrade ili bilo koji podizvršitelj obrade treba prenijeti osobne podatke u zemlju izvan Europskog gospodarskog prostora, prijenos se obavlja isključivo na temelju odluke o primjerenosti iz članka 45. GDPR-a ili odgovarajućih zaštitnih mjera iz članka 46. GDPR-a, u pravilu standardnih ugovornih klauzula Europske komisije (Odluka 2021/914/EU), koje se prema potrebi dopunjuju dodatnim tehničkim i organizacijskim mjerama. Aktualni popis primatelja i primjenjivih mehanizama prijenosa objavljen je na /legal/sub-processors.

15. Nesolventnost, zapljena i radnje trećih strana

Ako su osobni podaci Voditelja obrade ugroženi zbog zapljene, oduzimanja, postupka nesolventnosti ili nagodbe ili bilo koje druge radnje treće strane koja bi mogla utjecati na sposobnost Izvršitelja obrade da poštuje ovaj DPA, Izvršitelj obrade o tome će bez nepotrebnog odgađanja obavijestiti Voditelja obrade te će treću stranu pisanim putem obavijestiti da je za podatke odgovoran Voditelj obrade kao voditelj obrade u smislu GDPR-a. Izvršitelj obrade poduzet će razumne korake kako bi zaštitio cjelovitost i dostupnost podataka Voditelja obrade dok se radnja treće strane ne riješi.

16. Odgovornost

Svaka stranka odgovara za štetu prouzročenu vlastitom povredom ovog DPA-a u skladu s člankom 82. GDPR-a i primjenjivim pravom. Ništa u ovom DPA-u ne isključuje niti ograničava odgovornost koja se prema zakonu ne može isključiti ili ograničiti, uključujući odgovornost za smrt ili tjelesnu ozljedu, prijevaru, prijevarno lažno prikazivanje ili namjerno protupravno postupanje. Ništa u ovom DPA-u ne ograničava prava ispitanika ili nadzornih tijela. U svim ostalim pogledima ograničenja i isključenja odgovornosti utvrđena u glavnom ugovoru jednako se primjenjuju na ovaj DPA.

17. Djelomična ništetnost i završne odredbe

Izmjene i dopune ovog DPA-a moraju se sastaviti u pisanom obliku, uključujući elektronički, i izričito navesti odredbe koje se mijenjaju. Članak 28. stavak 9. GDPR-a dopušta da ugovor bude u elektroničkom obliku; to samo po sebi ne dokazuje prihvaćanje izmjene. Ako je neka odredba ovog DPA-a ili postane nevaljana, nezakonita ili neprovediva, to ne utječe na valjanost preostalih odredaba; stranke će nevaljanu odredbu zamijeniti valjanom odredbom čiji je gospodarski učinak što bliži učinku nevaljane odredbe. Ovaj DPA može se sklopiti i ažurirati elektronički te zamjenjuje sve prethodne dogovore o obradi podataka između stranaka o istom predmetu.

18. Mjerodavno pravo i nadležnost

Na ovaj DPA primjenjuje se pravo Republike Cipra, uz isključenje njegovih kolizijskih pravila i Konvencije Ujedinjenih naroda o ugovorima o međunarodnoj prodaji robe. Za sve sporove koji proizlaze iz ovog DPA-a ili su s njim u vezi isključivo su nadležni sudovi u Paphosu, Cipar, ne dovodeći u pitanje obvezna prava u pogledu nadležnosti koja potrošačima ili ispitanicima pripadaju na temelju propisa o zaštiti potrošača ili GDPR-a.

19. Kontakt

Za pitanja u vezi s ovim DPA-om obratite se društvu Labb Holding Ltd na privacy@persohr.eu ili pišite na adresu Labb Holding Ltd, Anthipolochagou Georgiou M.Savva 26, Shop 1-2, 8201 Paphos, Cipar. Kontaktna točka Voditelja obrade za zaštitu podataka je korisnički račun koji je na platformi PersoHR označen kao OWNER.