Accordo sul trattamento dei dati

1. Introduzione

Il presente Accordo sul trattamento dei dati ("DPA") costituisce parte integrante del contratto principale di abbonamento tra Labb Holding Ltd, società privata a responsabilità limitata (private company limited by shares) di diritto cipriota con sede legale in Anthipolochagou Georgiou M.Savva 26, Shop 1-2, 8201 Paphos, Cipro, iscritta con il numero HE 424230 (che gestisce la piattaforma PersoHR, il "Responsabile"), e il cliente (il "Titolare"). Esso disciplina il trattamento dei dati personali che il Responsabile effettua per conto del Titolare in relazione alla piattaforma PersoHR ed è concepito per conformarsi al Regolamento (UE) 2016/679 (il "GDPR"). In caso di conflitto tra una disposizione del presente DPA e il contratto principale, il presente DPA prevale per le questioni relative al trattamento dei dati personali. I termini con iniziale maiuscola utilizzati ma non definiti nel presente documento hanno il significato loro attribuito nel contratto principale o, ove applicabile, nel GDPR.

2. Oggetto, durata, natura e finalità

Il Responsabile tratta i dati personali al solo scopo di fornire il servizio di gestione HR PersoHR. Il trattamento riguarda la gestione delle anagrafiche dei dipendenti, di ferie e assenze, onboarding, offboarding, rilevazione delle presenze, preparazione delle buste paga, valutazioni delle prestazioni, selezione del personale, archiviazione dei documenti, comunicazione interna e altri flussi di lavoro HR configurati dal Titolare. Il trattamento comprende raccolta, registrazione, organizzazione, conservazione, consultazione, uso, comunicazione autorizzata, esportazione e cancellazione per tali servizi. Il presente DPA continua a tutelare i dati personali del cliente finché sono conservati, anche durante una procedura concordata di restituzione o cancellazione ai sensi della sezione 13. Il trattamento per finalità proprie di PersoHR, come descritto nell'Informativa sulla privacy, è distinto dal presente incarico di responsabile del trattamento. Il Titolare prende atto che l'ambito e la profondità esatti del trattamento dipendono dai moduli e dalla configurazione che il Titolare sceglie di attivare.

3. Categorie di dati personali

Le categorie di dati personali trattati dipendono dalla configurazione della piattaforma da parte del Titolare e possono comprendere: dati anagrafici del personale (nome, recapiti, indirizzo postale, data di nascita, fotografia, dati dei contatti di emergenza); dati anagrafici del rapporto di lavoro (qualifica, reparto, tipo di contratto, date di inizio e fine, orario di lavoro, responsabile diretto, stato di disabilità); contenuto dei documenti (contratti di lavoro, certificazioni, documenti d'identità, altri file caricati dal Titolare); dati su prestazioni e sviluppo (obiettivi, valutazioni, feedback, registrazioni della formazione); dati su ferie e assenze (richieste, saldi, festività); dati di rilevazione delle presenze (timbrature di entrata e di uscita, fogli presenze, straordinari); dati per la preparazione delle buste paga (registrazioni retributive, IBAN se fornito, identificativi fiscali e previdenziali se forniti, cittadinanza, genere, stato civile, numero di figli, luogo di nascita, ente e tipo di assicurazione sanitaria, confessione ai fini dell'imposta ecclesiastica); dati di selezione (candidature, CV, note dei colloqui, referenze); dati di comunicazione e chat; dati di autenticazione e sicurezza (data e ora degli accessi, indirizzi IP, informazioni user-agent del browser/dispositivo e registrazioni delle sessioni dei dispositivi, stato dell'autenticazione a due fattori); e qualsiasi altro dato personale che il Titolare sceglie di caricare o generare nella piattaforma. Il trattamento può comprendere anche il contenuto delle firme elettroniche e le prove della firma. La confessione ai fini dell'imposta ecclesiastica può rivelare la religione. Lo stato di disabilità, le assenze per malattia e le registrazioni dei certificati medici possono rivelare dati relativi alla salute anche senza che siano caricati documenti medici. Quando sono trattate categorie particolari di dati, il Titolare deve individuare una base giuridica ai sensi dell'articolo 6 e una condizione applicabile ai sensi dell'articolo 9 e istruire il Responsabile sulle garanzie necessarie. I dati relativi a condanne penali richiedono le condizioni di cui all'articolo 10 e non devono essere forniti in assenza di un accordo di trattamento concordato, lecito e supportato. Il Responsabile resta responsabile dei propri obblighi applicabili in materia di protezione dei dati e di sicurezza.

4. Categorie di interessati

Le categorie di interessati, relativamente al Titolare e alle eventuali società collegate che il Titolare sceglie di amministrare tramite la piattaforma, comprendono tipicamente: dipendenti attuali, collaboratori, liberi professionisti e altro personale, compresi lavoratori di età inferiore a 18 anni ove legalmente impiegati; ex dipendenti, ex collaboratori ed ex personale; aspiranti e candidati in processi di selezione in corso o passati; familiari a carico o contatti di emergenza comunicati da uno qualsiasi dei soggetti precedenti. Il Titolare è responsabile della liceità dell'inclusione di qualsiasi specifico interessato nell'ambito del trattamento.

5. Istruzioni e diritto di rifiuto

Il Responsabile tratterà i dati personali soltanto su istruzione documentata del Titolare, anche per quanto riguarda i trasferimenti internazionali, salvo che il diritto dell'Unione o dello Stato membro gli imponga di agire diversamente (nel qual caso il Responsabile informerà il Titolare prima del trattamento, a meno che tale diritto vieti tale informazione per rilevanti motivi di interesse pubblico). Il Titolare designa le persone esclusivamente autorizzate a impartire istruzioni di trattamento tramite la piattaforma; in assenza di tale designazione, possono impartire istruzioni solo le persone fisiche autorizzate a rappresentare legalmente il Titolare. Se il Responsabile ritiene ragionevolmente che un'istruzione violi il GDPR o altra normativa applicabile in materia di protezione dei dati, ne informerà immediatamente il Titolare e potrà sospendere l'esecuzione di tale istruzione fino a quando la questione non sarà stata risolta tra le parti.

6. Riservatezza

Il Responsabile assicura che ogni persona fisica autorizzata a trattare dati personali per suo conto sia vincolata da un obbligo di riservatezza, di natura contrattuale o legale. Ciascuna parte si impegna inoltre a mantenere riservate le informazioni non pubbliche ricevute dall'altra parte in relazione al presente DPA, compresi i contenuti degli audit, la documentazione di sicurezza e le segnalazioni di incidenti, e a utilizzarle esclusivamente per l'esecuzione del contratto principale e del presente DPA. Sono escluse le informazioni di pubblico dominio, quelle sviluppate autonomamente senza utilizzare informazioni riservate della parte che le ha comunicate, quelle ricevute lecitamente da un terzo senza obbligo di riservatezza e quelle la cui divulgazione è imposta da un provvedimento giudiziario o legale vincolante. Gli obblighi generali di riservatezza restano in vigore per cinque anni dopo la cessazione. Gli obblighi a tutela dei dati personali proseguono per tutto il tempo in cui tali dati sono conservati, anche quando si applica un obbligo legale di durata superiore.

7. Sicurezza del trattamento (articolo 32)

Il Responsabile mette in atto e mantiene misure tecniche e organizzative adeguate al rischio, tenendo conto dei fattori di cui all'articolo 32 del GDPR. Le misure di protezione dell'applicazione comprendono controlli di accesso basati sui ruoli e limitati al tenant, token di autenticazione a durata limitata, autenticazione a due fattori obbligatoria per i ruoli Proprietario e Amministratore HR, crittografia di determinati campi sensibili e registri di audit per le azioni supportate. L'allegato sulla sicurezza disponibile su /legal/security descrive queste misure. Gli obblighi del Responsabile di assicurare protezione, disponibilità e ripristino adeguati non sono limitati alle funzionalità qui elencate. Gli aggiornamenti delle misure non devono ridurre in modo sostanziale il livello complessivo di sicurezza.

8. Sub-responsabili

Il Titolare autorizza il Responsabile a ricorrere ai sub-responsabili elencati su /legal/sub-processors. Il Responsabile informerà il Titolare per iscritto (anche via email) almeno 30 giorni prima di aggiungere o sostituire un sub-responsabile. Il Titolare può opporsi per ragionevoli motivi attinenti alla protezione dei dati entro 14 giorni da tale comunicazione; in assenza di un'opposizione tempestiva, la modifica si considera approvata. Se le parti non riescono a risolvere un'opposizione giustificata entro ulteriori 30 giorni, ciascuna parte può recedere dal contratto principale mediante comunicazione scritta senza ulteriore responsabilità; in tal caso il Titolare ha diritto al rimborso pro rata degli eventuali corrispettivi pagati in anticipo relativi alla parte residua non utilizzata del periodo di abbonamento. Il Responsabile stipula con ciascun sub-responsabile accordi scritti che impongono obblighi di protezione dei dati equivalenti a quelli previsti dal presente DPA e resta responsabile degli atti e delle omissioni dei propri sub-responsabili.

9. Assistenza per i diritti degli interessati

Il Responsabile assiste il Titolare, tenendo conto della natura del trattamento e nella misura del possibile, nel dare seguito alle richieste di cui al capo III del GDPR. L'applicazione mette a disposizione strumenti di esportazione, rettifica e cancellazione dei dati con limitazioni in base al ruolo e all'ambito. Questi strumenti assistono il Titolare ma non stabiliscono se una singola richiesta debba essere accolta. La portabilità di cui all'articolo 20 è limitata ai dati forniti dall'interessato e trattati con mezzi automatizzati sulla base del consenso o di un contratto; altre registrazioni possono rientrare nel diritto di accesso di cui all'articolo 15. Il Responsabile fornisce un'ulteriore assistenza ragionevole quando gli strumenti non sono sufficienti. Le richieste relative al trattamento HR del Titolare ricevute direttamente da un interessato vengono inoltrate al Titolare senza ingiustificato ritardo.

Quando un interessato chiede al Responsabile di eliminare il proprio account PersoHR personale, il Responsabile chiude immediatamente l'account. Pone fine all'accesso dell'interessato, cancella i dati dell'account che conserva in qualità di titolare del trattamento (dati di accesso, impostazioni dell'autenticazione a due fattori, sessioni, preferenze dell'account e le richieste di assistenza che l'interessato ha presentato nell'applicazione, con i relativi screenshot) e cancella le conversazioni dell'interessato con l'assistente IA, che l'applicazione non mostra a nessun altro. Le copie di tali richieste di assistenza recapitate nella casella di posta dell'assistenza del Responsabile, e le altre comunicazioni con il Responsabile, sono conservate come descritto nell'Informativa sulla privacy. Non cancella né modifica alcun'altra registrazione che il Titolare conserva sull'interessato. Registra la richiesta sull'appartenenza dell'interessato a ciascuno spazio di lavoro del Titolare e ne informa i proprietari e gli amministratori HR del Titolare nell'applicazione e via email senza ingiustificato ritardo. Il Titolare decide se cancellare le registrazioni, utilizzando lo strumento di cancellazione dell'applicazione, o se conservarle, e risponde all'interessato. Il Responsabile conferma la richiesta all'interessato via email e lo informa via email non appena il Titolare ha registrato la propria decisione nell'applicazione, oppure non appena le registrazioni sono state cancellate perché lo spazio di lavoro è in fase di eliminazione.

I dati identificativi dell'account dell'interessato utilizzati dalle registrazioni del Titolare (nome, indirizzo email, data di nascita e numero di telefono) sono conservati per conto del Titolare e di qualsiasi altro cliente le cui registrazioni li utilizzano, finché ogni appartenenza dell'interessato a uno spazio di lavoro non è stata cancellata o il relativo spazio di lavoro non è stato eliminato, e vengono poi anonimizzati. Un'appartenenza cancellata può lasciare registrazioni che il Titolare deve conservare per legge, come un registro dell'orario di lavoro tenuto a nome dell'interessato, che seguono il proprio periodo di conservazione. I dati identificativi vengono modificati solo su istruzione di un Titolare: il Titolare può aggiungere nell'applicazione una data di nascita mancante, e qualsiasi altra rettifica viene effettuata dall'assistenza del Responsabile. Il Responsabile li utilizza per scrivere all'interessato solo per la conferma e la comunicazione della decisione descritte sopra, per le comunicazioni che il Titolare è tenuto per legge a fornire e per l'archivio finale descritto di seguito. Un account chiuso non può essere riaperto, e il relativo indirizzo email non può essere utilizzato per un nuovo account né invitato in uno spazio di lavoro finché ogni appartenenza dell'interessato a uno spazio di lavoro non è stata cancellata o il relativo spazio di lavoro non è stato eliminato.

Quando il Titolare ha chiesto l'eliminazione del proprio spazio di lavoro, una richiesta aperta nel momento in cui inizia la chiusura dello spazio di lavoro, o pervenuta durante la chiusura, viene eseguita una volta completato l'archivio finale dello spazio di lavoro (nell'elaborazione notturna successiva al completamento, o successiva alla richiesta se l'archivio era già completo), oppure al momento dell'eliminazione dello spazio di lavoro se questa avviene prima, in modo che le registrazioni dell'interessato facciano parte di qualsiasi archivio finale ricevuto dal Titolare. La copia dell'archivio finale in possesso del Responsabile viene eliminata insieme allo spazio di lavoro. Se l'interessato è il contatto indicato dal Titolare per tale archivio, l'archivio viene inviato a un altro proprietario dello spazio di lavoro che può ancora accedere, e all'indirizzo dell'interessato solo se non ve n'è nessuno. Se l'interessato è l'unico proprietario di uno spazio di lavoro che non è in fase di eliminazione, la richiesta non può essere completata finché lo spazio di lavoro non ha un altro proprietario attivo o un amministratore HR attivo, oppure finché lo spazio di lavoro non è in fase di eliminazione; se esiste un amministratore HR attivo, il Responsabile rende proprietario quello con la maggiore anzianità affinché il Titolare mantenga un proprietario.

10. Notifica delle violazioni dei dati personali

Il Responsabile informa il Titolare senza ingiustificato ritardo, e in ogni caso entro 72 ore dal momento in cui viene a conoscenza di una violazione dei dati personali che riguarda i dati del Titolare, ai sensi dell'articolo 33, paragrafo 2, del GDPR. Le informazioni disponibili comprendono la natura della violazione, le categorie e il numero approssimativo di interessati e di registrazioni coinvolti, le probabili conseguenze, i dati di contatto e le misure adottate o proposte. Le informazioni possono essere fornite in fasi successive senza ulteriore ingiustificato ritardo. Il Responsabile assiste il Titolare nella valutazione e negli obblighi di notifica di cui agli articoli 33 e 34. Il termine qualificato di 72 ore entro cui il Titolare deve effettuare la notifica all'autorità di controllo non costituisce un periodo di attesa per il Responsabile.

11. DPIA e consultazione preventiva

Il Responsabile assiste il Titolare, su ragionevole richiesta, nelle valutazioni d'impatto sulla protezione dei dati ai sensi dell'articolo 35 e nelle consultazioni preventive con le autorità di controllo ai sensi dell'articolo 36, tenendo conto della natura del trattamento e delle informazioni a disposizione del Responsabile.

12. Audit e ispezioni

Il Responsabile mette a disposizione tutte le informazioni necessarie per dimostrare il rispetto dell'articolo 28 del GDPR e consente e contribuisce alle attività di revisione, comprese le ispezioni, realizzate dal Titolare o dal revisore da questi incaricato. Le parti concordano modalità ragionevoli in materia di preavviso, tempistica, riservatezza e protezione delle informazioni di altri clienti. Relazioni indipendenti e documentazione di sicurezza possono contribuire a dimostrare il rispetto degli obblighi, ma non sostituiscono i diritti di audit che la legge riconosce al Titolare. Pianificazione, frequenza e requisiti relativi al revisore non devono impedire un audit richiesto dalla legge, da un'autorità di controllo, da una violazione dei dati personali o da fondati motivi di sospettare un'inosservanza. Ciascuna parte sostiene di norma i propri costi, salvo diverso accordo o diversa disposizione di legge.

13. Restituzione o cancellazione dei dati personali

Al termine della prestazione dei servizi di trattamento, il Responsabile restituisce o cancella i dati personali, a scelta del Titolare, e cancella le copie esistenti salvo che il diritto dell'Unione o dello Stato membro ne preveda la conservazione, ai sensi dell'articolo 28, paragrafo 3, lettera g), del GDPR. Il Titolare dovrebbe scaricare le esportazioni necessarie prima della fine dell'accesso a pagamento e contattare l'assistenza per concordare un'eventuale ulteriore restituzione o cancellazione. L'interruzione del rinnovo dell'abbonamento non costituisce di per sé una richiesta di eliminazione dell'account. La procedura di eliminazione dell'account nell'app programma la cancellazione dopo una finestra di revoca di 30 giorni; una richiesta anticipata o diversa prevista dalla legge deve essere rivolta direttamente al Responsabile. Le parti devono concordare ed eseguire la procedura di restituzione o cancellazione senza conservare i dati più a lungo del necessario. Le copie di backup restano tutelate dal presente DPA fino alla loro rimozione secondo il calendario di backup applicabile; qualsiasi ripristino deve rispettare le precedenti istruzioni di cancellazione. I dati di fatturazione trattati per gli obblighi legali propri del Responsabile sono gestiti separatamente ai sensi dell'Informativa sulla privacy.

14. Trasferimenti internazionali

Il Responsabile tratta i dati personali principalmente all'interno dell'Unione europea. Qualora il Responsabile o un sub-responsabile debba trasferire dati personali verso un paese al di fuori dello Spazio economico europeo, il trasferimento avviene esclusivamente sulla base di una decisione di adeguatezza ai sensi dell'articolo 45 del GDPR o di garanzie adeguate ai sensi dell'articolo 46 del GDPR, di norma le clausole contrattuali tipo della Commissione europea (Decisione 2021/914/UE) integrate, ove necessario, da misure tecniche e organizzative supplementari. L'elenco aggiornato dei destinatari e dei meccanismi di trasferimento applicabili è pubblicato su /legal/sub-processors.

15. Insolvenza, sequestro ed eventi riguardanti terzi

Qualora i dati personali del Titolare siano a rischio a causa di sequestro, confisca, procedure di insolvenza o concordatarie o di qualsiasi altra azione di un terzo che possa incidere sulla capacità del Responsabile di rispettare il presente DPA, il Responsabile ne informerà il Titolare senza ingiustificato ritardo e comunicherà per iscritto al terzo che i dati sono di competenza del Titolare in qualità di titolare del trattamento ai sensi del GDPR. Il Responsabile adotterà misure ragionevoli per tutelare l'integrità e la disponibilità dei dati del Titolare in attesa della definizione dell'azione del terzo.

16. Responsabilità

Ciascuna parte risponde del danno causato dalla propria violazione del presente DPA ai sensi dell'articolo 82 del GDPR e della legge applicabile. Nessuna disposizione del presente DPA esclude o limita una responsabilità che non può essere esclusa o limitata per legge, anche in caso di morte o lesioni personali, frode, dichiarazioni fraudolente o condotta dolosa. Nessuna disposizione del presente DPA limita i diritti degli interessati o delle autorità di controllo. Per tutti gli altri aspetti, le limitazioni ed esclusioni di responsabilità previste dal contratto principale si applicano allo stesso modo al presente DPA.

17. Clausola di salvaguardia e disposizioni finali

Le modifiche e le integrazioni al presente DPA devono essere redatte per iscritto, anche in formato elettronico, e indicare espressamente le disposizioni modificate. L'articolo 28, paragrafo 9, del GDPR consente che l'accordo sia in forma elettronica; ciò non comporta di per sé l'accettazione di una modifica. Se una disposizione del presente DPA è o diventa invalida, illecita o inapplicabile, la validità delle restanti disposizioni non è pregiudicata; le parti sostituiranno la disposizione invalida con una valida il cui effetto economico si avvicini il più possibile a quello della disposizione invalida. Il presente DPA può essere stipulato e aggiornato elettronicamente e sostituisce ogni precedente accordo sul trattamento dei dati tra le parti avente il medesimo oggetto.

18. Legge applicabile e foro competente

Il presente DPA è disciplinato dalle leggi della Repubblica di Cipro, con esclusione delle norme sui conflitti di leggi e della Convenzione delle Nazioni Unite sui contratti di compravendita internazionale di merci. I tribunali di Paphos, Cipro, hanno competenza esclusiva per qualsiasi controversia derivante dal presente DPA o connessa ad esso, fatti salvi gli eventuali diritti inderogabili in materia di foro a tutela dei consumatori o degli interessati previsti dal GDPR.

19. Contatti

Per questioni relative al presente DPA, contattare Labb Holding Ltd all'indirizzo privacy@persohr.eu oppure scrivere a Labb Holding Ltd, Anthipolochagou Georgiou M.Savva 26, Shop 1-2, 8201 Paphos, Cipro. Il punto di contatto del Titolare per la protezione dei dati è l'account utente designato come OWNER nella piattaforma PersoHR.