PRAVILA O PRIVATNOSTI
Politika privatnosti
Kako obrađujemo osobne podatke, vaša prava prema GDPR-u i kako ih ostvariti.
Ako vas je vaš poslodavac dodao u PersoHR
Vaš poslodavac je voditelj obrade vaših HR podataka u PersoHR-u. Za ostvarivanje svojih prava prema člancima 15. do 22. GDPR-a — pristup, ispravak, brisanje, ograničenje, prenosivost, prigovor — obratite se svom poslodavcu ili HR administratoru. PersoHR obrađuje te podatke u ime vašeg poslodavca na temelju Ugovora o obradi podataka. PersoHR je voditelj obrade samo za vaše izravne interakcije s nama — naplata ako ste vlasnik računa, komunikacija s podrškom i javna web-stranica.
1. Uvod
Labb Holding Ltd ("mi", "nas", "naš") upravlja HR-upravljačkim servisom PersoHR. Ova politika privatnosti objašnjava kako prikupljamo, koristimo, dijelimo i štitimo osobne podatke u vezi s platformom PersoHR i našom javnom web-stranicom, u skladu s Uredbom (EU) 2016/679 ("GDPR") i ciparskim Zakonom 125(I)/2018 kojim se ona provodi.
2. Tko je voditelj obrade vaših podataka
Kada koristite PersoHR putem svog poslodavca, vaš poslodavac je voditelj obrade vaših osobnih podataka, a mi djelujemo kao izvršitelj obrade u njegovo ime temeljem Ugovora o obradi podataka (vidi /legal/dpa). Kada se registrirate na PersoHR izravno (na primjer, kao vlasnik računa tijekom registracije tvrtke), kada nas kontaktirate ili kada koristite naše javno web-mjesto, voditelj obrade je Labb Holding Ltd, ciparsko privatno društvo s ograničenom odgovornošću s registriranim sjedištem na adresi Anthipolochagou Georgiou M.Savva 26, Shop 1-2, 8201 Paphos, Cipar, registrirano pod brojem HE 424230, PDV CY 10424230D, zastupano od strane jedinog direktora Michaela Delamerea. Možete nas kontaktirati na privacy@persohr.eu.
3. Službenik za zaštitu podataka
Nismo imenovali posebnog Službenika za zaštitu podataka. Članak 37. stavak 1. GDPR-a obvezuje na imenovanje DPO-a samo kada obradu provodi tijelo javne vlasti, kada osnovne aktivnosti uključuju redovito i sustavno praćenje ispitanika u velikim razmjerima, ili kada osnovne aktivnosti uključuju obradu posebnih kategorija podataka u skladu s člankom 9. ili podataka o kaznenim osudama u skladu s člankom 10. u velikim razmjerima. Nijedan od ovih uvjeta ne primjenjuje se na nas, a Cipar nije uveo strože nacionalne pragove. Upite u vezi sa zaštitom privatnosti potrebno je uputiti na privacy@persohr.eu, a njima postupa uprava u rokovima koje zahtijeva članak 12. GDPR-a.
4. Kategorije osobnih podataka koje obrađujemo
Identifikacijski podaci i kontakt podaci: ime, e-pošta, telefon, poštanska adresa, profilna fotografija. Podaci o zaposlenju: radno mjesto, odjel, vrsta zaposlenja, datumi početka i završetka, radno vrijeme, voditelj. Podaci o dopustima i odsutnosti: zahtjevi za dopust, stanja, državni praznici. Podaci o plaći i pripremi obračuna plaća: evidencija plaća, IBAN gdje je naveden, porezni identifikatori i identifikatori socijalnog osiguranja gdje su navedeni. Podaci o radnoj uspješnosti i razvoju: ciljevi, ocjene, povratne informacije, evidencija obuke. Podaci o zapošljavanju: prijave, životopisi, bilješke s intervjua, preporuke. Sadržaj dokumenata: datoteke koje ste vi ili vaš poslodavac učitali. Komunikacijski podaci i podaci iz chata unutar platforme. Podaci o autentifikaciji i sigurnosti: vremenski žigovi prijave, IP adrese, otisci uređaja, stanje dvofaktorske autentifikacije. Korespondencija o podršci. Podaci o naplati kada ste vlasnik računa: ime, adresa za naplatu, PDV identifikator, tokeni načina plaćanja (sirove podatke kartice čuva Stripe, a ne mi). Ne obrađujemo posebne kategorije osobnih podataka u smislu članka 9. osim ako ih vaš poslodavac odluči učitati i odgovoran je za to temeljem vlastitog pravnog temelja.
5. Pravna osnova za obradu
Kada smo mi voditelj obrade, naše pravne osnove su: (a) izvršavanje ugovora prema članku 6. stavku 1. točki (b) za pružanje pretplaćene usluge vlasniku računa; (b) poštivanje pravnih obveza prema članku 6. stavku 1. točki (c), posebno ciparskih pravila o čuvanju poreznih i računovodstvenih evidencija; (c) legitimni interesi prema članku 6. stavku 1. točki (f) za sigurnost usluge, sprečavanje zlouporabe i poboljšanje proizvoda, uravnoteženi s vašim pravima i slobodama. Kada je vaš poslodavac voditelj obrade, pravnu osnovu određuje vaš poslodavac i obično je to članak 6. stavak 1. točka (b) (izvršavanje ugovora o radu) ili članak 6. stavak 1. točka (c) (poštivanje obveza prema radnom pravu).
6. Kako koristimo vaše podatke
Vaši podaci koriste se isključivo za upravljanje ljudskim resursima i rad platforme: vođenje evidencije zaposlenika, upravljanje dopustima i odsutnostima, organiziranje strukture tvrtke, podršku radnoj uspješnosti i razvoju, provođenje zapošljavanja, pripremu izvoza obračuna plaća, pohranu dokumenata, omogućavanje interne komunikacije, naplatu, sprečavanje zlouporabe i sigurnost. Ne prodajemo vaše podatke, ne dijelimo ih s reklamnim mrežama niti ih koristimo u marketinške svrhe bez vašeg zasebnog pristanka.
7. Značajke s podrškom umjetne inteligencije
PersoHR nudi opcionalne AI-asistirane značajke poput integriranog HR asistenta, prijedloga zadataka za onboarding, analize dokumenata i izrade nacrta procjena učinkovitosti. Kada su te značajke omogućene, upiti poslani pružatelju AI usluga mogu uključivati osobne podatke potrebne za odgovor na pitanje. AI zaključivanje pruža Mistral AI sa sjedištem u Parizu, Francuska, na infrastrukturi unutar Europske unije. Ulazi i izlazi ne koriste se za treniranje Mistralovih osnovnih modela. AI zaključivanje tijekom izvođenja koristi isključivo Mistral; nijedan AI pružatelj izvan EU-a ne prima upite ili izlaze korisnika.
8. Podizrađivači i primatelji
Angažiramo mali broj podizrađivača za pružanje usluge. Trenutni popis, uključujući ulogu, lokaciju i mehanizam zaštite podataka svakog podizrađivača, objavljen je na /legal/sub-processors. Obavještavamo vlasnika računa najmanje 30 dana prije dodavanja ili zamjene podizrađivača i nudimo pravo prigovora na razumnim temeljima zaštite podataka.
9. Međunarodni prijenosi
Sva primarna infrastruktura (baza podataka, pohrana datoteka, AI inferencija, transakcijska e-pošta) smještena je unutar Europske unije. Jedini redoviti prijenos izvan EU-a je prema Stripe Payments Europe Limited (Irska), s daljnjim prijenosom prema Stripe Inc. u Sjedinjenim Američkim Državama za obradu naplate i pretplata. Taj prijenos obavlja se na temelju Standardnih ugovornih klauzula Europske komisije (Odluka 2021/914/EU) dopunjenih Stripeovim dodatnim zaštitnim mjerama. Primjerak relevantnih SCC-ova možete zatražiti slanjem e-pošte na privacy@persohr.eu.
10. Razdoblja čuvanja podataka
Osobne podatke čuvamo samo onoliko dugo koliko je potrebno za svrhe navedene u ovoj politici. Aktivne evidencije zaposlenika: za trajanja zaposlenja kako je konfigurirao vaš poslodavac. Evidencije o prestanku zaposlenja: vaš poslodavac ih čuva za razdoblje koje zahtijeva lokalno radno pravo, porezno pravo i pravo socijalnog osiguranja, obično 6 do 10 godina; brišemo ili anonimiziramo podatke u roku od 30 dana od primitka upute od vašeg poslodavca. Evidencije o dopustima i praćenju vremena: čuvaju se zajedno s evidencijom zaposlenika. Evidencije o pripremi obračuna plaća: čuvaju se zajedno s evidencijom zaposlenika i podliježu zakonskom roku čuvanja računovodstvenih dokumenata vaše zemlje. Autentifikacijski dnevnici i revizijski dnevnici: čuvaju se 24 mjeseca u sigurnosne i svrhe odgovornosti, ili dulje ako su predmet zakonske obveze čuvanja. Korespondencija o podršci: 12 mjeseci nakon zatvaranja zahtjeva. Evidencije o naplati (računi, metapodaci o plaćanjima): 7 godina od kraja relevantne porezne godine, u skladu s ciparskim računovodstvenim pravom. Podaci stanara nakon otkazivanja pretplate: 30 dana za izvoz prema članku 20., zatim brisanje. Nakon isteka primjenjivog roka, podaci se brišu ili nepovratno anonimiziraju u skladu s člankom 17.
11. Vaša prava
Prema člancima 15.–22. GDPR-a imate pravo na: (a) pristup svojim osobnim podacima; (b) ispravak netočnih podataka; (c) zahtjev za brisanje ("pravo na zaborav"); (d) ograničenje obrade; (e) prenosivost podataka — primanje vaših podataka u strukturiranom, uobičajeno korištenom i strojno čitljivom formatu; (f) prigovor na obradu temeljenu na legitimnim interesima; (g) povlačenje privole u bilo kojem trenutku, gdje se obrada temelji na privoli; (h) da ne budete predmet odluke koja se temelji isključivo na automatiziranoj obradi i koja ima pravne ili slično značajne učinke (vidi odjeljak 12.). Prava (a), (b), (c) i (e) možete ostvariti samostalno putem GDPR alata u aplikaciji (Profil → Preuzmi moje podatke; Postavke → Izbriši podatke). Za sva ostala prava pišite na privacy@persohr.eu ili kontaktirajte administratora svog računa. Odgovorit ćemo u roku od jednog mjeseca, s mogućnošću produljenja za dodatna dva mjeseca za složene zahtjeve, u skladu s člankom 12. stavkom 3.
12. Automatizirano donošenje odluka
Ne donosimo odluke koje imaju pravne ili slično značajne učinke na vas na temelju isključivo automatizirane obrade. Značajke s podrškom umjetne inteligencije generiraju prijedloge koje uvijek pregledava i prihvaća, uređuje ili odbija ljudski korisnik prije poduzimanja bilo kakve radnje.
13. Sigurnost obrade
Provodimo tehničke i organizacijske mjere primjerene riziku: TLS 1.2 ili viši u prijenosu, enkripcija podataka u mirovanju, kontrola pristupa temeljena na ulogama uz načelo najmanje privilegije, sveobuhvatno evidentiranje revizijskog traga, redovito skeniranje ranjivosti, pohrana podataka isključivo unutar EU-a za primarnu obradu, vremenski ograničeni pristupni tokeni, obavezna dvofaktorska autentifikacija za privilegirane uloge te testirani postupci sigurnosnog kopiranja i obnove.
14. Obavijest o povredi podataka
U slučaju povrede osobnih podataka koja utječe na vaše podatke, bez nepotrebnog odgađanja obavještavamo nadležno nadzorno tijelo i, gdje je izvedivo, unutar 72 sata od saznanja o povredi (članak 33. GDPR-a). Ako je vjerojatno da će povreda rezultirati visokim rizikom za vaša prava i slobode, izravno vas obavještavamo bez nepotrebnog odgađanja (članak 34. GDPR-a).
15. Kolačići i slične tehnologije
Koristimo samo strogo nužne kolačiće i ekvivalentne unose lokalne pohrane, sve na same-site osnovi s domene persohr.eu. Konkretno: kolačić `persohr_rt` HttpOnly Secure SameSite=Strict refresh-token, koji vas drži prijavljenima do 7 dana — vaš preglednik ga automatski vraća, ali JavaScript na stranici ga ne može pročitati, čime se zatvara XSS-refresh-token vektor; unos `persohr-locale` u localStorage koji pamti vaše jezične postavke; mali broj UI-state localStorage unosa (smanjena bočna traka, zatvoreni baneri). Autentifikaciju in-process obrađuje PersoHR backend (passwordless magic link plus opcionalni TOTP); nijedan vanjski pružatelj identiteta ne postavlja kolačiće na vaš uređaj. Stripe postavlja vlastite strogo nužne kolačiće tijekom naplate kad nadograđujete pretplatu. Koristimo Plausible Analytics (hostan u Estoniji, EU) za brojanje posjeta i konverzijskih događaja samo na marketinškoj stranici i javnom tijeku registracije. Plausible je bez kolačića i ne pohranjuje IP adrese u sirovom obliku, tako da na vašem uređaju nisu postavljeni nikakvi oglasni, retargeting ili kolačići za praćenje društvenih medija. Stranice prijavljene aplikacije ne prate se. Budući da ne postavljamo nikakve neobavezne kolačiće, nije potreban banner za pristanak prema ePrivacy direktivi i ciparskom zakonu 112(I)/2004. Ako ikada uvedemo opcionalne kolačiće, objavit ćemo opt-in banner za pristanak prije postavljanja bilo kojeg neobaveznog kolačića.
16. Zahtjevi za podršku
Kada nas kontaktirate putem kontaktnog obrasca u aplikaciji ili pišete na support@persohr.eu, vaša poruka i priložene snimke zaslona dostižu naš tim za podršku kako bismo mogli odgovoriti. Prilagamo kontekst koji nam pomaže da brže odgovorimo: tvrtku u kojoj se nalazite, vaš plan, vaše ime i e-adresu te stranicu na kojoj ste se nalazili. Zahtjev čuvamo dovoljno dugo da riješimo problem uz kratki period praćenja, a zatim ga brišemo unutar 12 mjeseci.
17. Pravo na podnošenje pritužbe
Ne dovodeći u pitanje bilo koji drugi pravni lijek, imate pravo podnijeti pritužbu nadzornom tijelu, posebno u državi članici EU-a vašeg uobičajenog boravišta, mjesta rada ili mjesta navodne povrede, ako smatrate da naša obrada vaših osobnih podataka krši GDPR. Vodeće nadzorno tijelo za Labb Holding Ltd jest Ured povjerenika za zaštitu osobnih podataka na Cipru (www.dataprotection.gov.cy). Popis svih nacionalnih nadzornih tijela objavljuje Europski odbor za zaštitu podataka na edpb.europa.eu.
18. Izmjene ove politike
Ovu politiku možemo ažurirati kako bi odražavala promjene u usluzi, primjenjivom pravu ili našim aktivnostima obrade. O značajnim promjenama vlasnik računa obavještava se e-poštom najmanje 30 dana prije njihovog stupanja na snagu. Trenutna verzija i datum stupanja na snagu prikazani su na vrhu ovog dokumenta. Prethodna verzija dostupna je na zahtjev upućen na privacy@persohr.eu.
19. Kontakt
Za upite vezane uz privatnost, pošaljite e-poštu na privacy@persohr.eu ili pišite na adresu Labb Holding Ltd, Anthipolochagou Georgiou M.Savva 26, Shop 1-2, 8201 Paphos, Cipar. Možete se obratiti i administratoru svoje tvrtke za pitanja koja se odnose na podatke kojima upravljate vaš poslodavac. Nastojimo odgovoriti unutar jednog mjeseca od primitka zahtjeva, u skladu s člankom 12. stavkom 3. GDPR-a.