Duomenų tvarkymo sutartis

1. Įvadas

Ši Duomenų tvarkymo sutartis („DPA“) yra pagrindinės prenumeratos sutarties, sudarytos tarp Labb Holding Ltd, Kipro privačiosios ribotos atsakomybės bendrovės, kurios registruota buveinė yra Anthipolochagou Georgiou M.Savva 26, Shop 1-2, 8201 Paphos, Cyprus, įregistruotos numeriu HE 424230 (valdančios PersoHR platformą, „Tvarkytojas“), ir kliento („Valdytojas“), dalis. Ji reglamentuoja asmens duomenų tvarkymą, kurį Tvarkytojas atlieka Valdytojo vardu, susijusį su PersoHR platforma, ir yra parengta siekiant atitikti Reglamentą (ES) 2016/679 („GDPR“). Jei kuri nors šios DPA nuostata prieštarauja pagrindinei sutarčiai, asmens duomenų tvarkymo klausimais viršenybę turi ši DPA. Didžiąja raide rašomos sąvokos, kurios vartojamos, bet neapibrėžtos šioje sutartyje, turi pagrindinėje sutartyje arba, kai taikoma, GDPR joms suteiktą reikšmę.

2. Dalykas, trukmė, pobūdis ir tikslas

Tvarkytojas tvarko asmens duomenis tik tam, kad teiktų PersoHR personalo valdymo paslaugą. Duomenų tvarkymas apima darbuotojų įrašų, atostogų ir nebuvimo, naujų darbuotojų įvedimo, išėjimo procesų, darbo laiko apskaitos, darbo užmokesčio parengimo, veiklos vertinimų, atrankos, dokumentų saugojimo, vidinės komunikacijos ir kitų Valdytojo sukonfigūruotų personalo procesų valdymą. Duomenų tvarkymas šioms paslaugoms apima rinkimą, įrašymą, rūšiavimą, saugojimą, išgavą, naudojimą, leidžiamą atskleidimą, eksportą ir ištrynimą. Ši DPA toliau saugo kliento asmens duomenis tol, kol jie saugomi, įskaitant suderintą grąžinimo arba ištrynimo procedūrą pagal 13 skirsnį. Duomenų tvarkymas paties PersoHR tikslais, aprašytas Privatumo politikoje, yra atskiras nuo šio tvarkytojo įsipareigojimo. Valdytojas pripažįsta, kad tiksli duomenų tvarkymo apimtis ir mastas priklauso nuo modulių ir konfigūracijos, kuriuos Valdytojas nusprendžia įjungti.

3. Asmens duomenų kategorijos

Tvarkomų asmens duomenų kategorijos priklauso nuo to, kaip Valdytojas sukonfigūruoja platformą, ir gali apimti: personalo pagrindinius duomenis (vardas, pavardė, kontaktiniai duomenys, pašto adresas, gimimo data, nuotrauka, kontaktiniai duomenys skubiu atveju); pagrindinius darbo santykių duomenis (pareigos, padalinys, įdarbinimo rūšis, pradžios ir pabaigos datos, darbo laikas, vadovas, negalios statusas); dokumentų turinį (darbo sutartys, sertifikatai, asmens tapatybės dokumentai, kitos Valdytojo įkeltos bylos); veiklos ir tobulėjimo duomenis (tikslai, vertinimai, grįžtamasis ryšys, mokymų įrašai); atostogų ir nebuvimo duomenis (prašymai, likučiai, valstybinės šventės); darbo laiko apskaitos duomenis (darbo pradžios ir pabaigos žymos, darbo laiko žiniaraščiai, viršvalandžiai); darbo užmokesčio parengimo duomenis (atlyginimo įrašai, IBAN, jei pateiktas, mokesčių ir socialinio draudimo identifikatoriai, jei pateikti, pilietybė, lytis, šeiminė padėtis, vaikų skaičius, gimimo vieta, sveikatos draudimo teikėjas ir rūšis, bažnytinio mokesčio konfesija); atrankos duomenis (paraiškos, gyvenimo aprašymai, pokalbių užrašai, rekomendacijos); komunikacijos ir pokalbių duomenis; autentifikavimo ir saugumo duomenis (prisijungimo laiko žymos, IP adresai, naršyklės ir įrenginio naudotojo agento informacija ir įrenginių sesijų įrašai, dviejų veiksnių autentifikavimo būsena); taip pat bet kokius kitus asmens duomenis, kuriuos Valdytojas nusprendžia įkelti arba sukurti platformoje. Duomenų tvarkymas taip pat gali apimti elektroninio parašo turinį ir pasirašymo įrodymus. Bažnytinio mokesčio konfesija gali atskleisti religiją. Negalios statusas, nedarbingumas dėl ligos ir medicininių pažymų įrašai gali atskleisti sveikatos duomenis net ir neįkėlus medicininių dokumentų. Kai tvarkomi specialių kategorijų duomenys, Valdytojas privalo nustatyti 6 straipsnyje numatytą pagrindą ir taikomą 9 straipsnio sąlygą bei nurodyti Tvarkytojui būtinas apsaugos priemones. Duomenims apie apkaltinamuosius nuosprendžius taikomos 10 straipsnio sąlygos, ir jie negali būti pateikiami be suderintos teisėtos ir palaikomos duomenų tvarkymo tvarkos. Tvarkytojas ir toliau atsako už savo taikomų duomenų apsaugos ir saugumo įsipareigojimų vykdymą.

4. Duomenų subjektų kategorijos

Duomenų subjektų kategorijos, susijusios su Valdytoju ir bet kuriomis susijusiomis įmonėmis, kurias Valdytojas nusprendžia administruoti per platformą, paprastai apima: esamus darbuotojus, rangovus, laisvai samdomus asmenis ir kitą personalą, įskaitant jaunesnius nei 18 metų darbuotojus, kai jie įdarbinti teisėtai; buvusius darbuotojus, rangovus ir personalą; pretendentus ir kandidatus vykstančiose arba buvusiose atrankose; taip pat išlaikytinius arba kontaktinius asmenis skubiu atveju, kuriuos nurodė bet kuris iš pirmiau išvardytų asmenų. Valdytojas atsako už tai, kad konkretaus duomenų subjekto įtraukimas į duomenų tvarkymo apimtį būtų teisėtas.

5. Nurodymai ir teisė atsisakyti

Tvarkytojas tvarko asmens duomenis tik pagal dokumentais įformintus Valdytojo nurodymus, įskaitant nurodymus dėl tarptautinio duomenų perdavimo, nebent Sąjungos arba valstybės narės teisė reikalauja kitaip (tokiu atveju Tvarkytojas informuoja Valdytoją prieš pradėdamas tvarkyti duomenis, išskyrus atvejus, kai ta teisė draudžia tokį pranešimą dėl svarbių viešojo intereso priežasčių). Valdytojas paskiria asmenis, kurie išimtinai įgalioti teikti duomenų tvarkymo nurodymus per platformą; jei tokie asmenys nepaskirti, nurodymus gali teikti tik fiziniai asmenys, įgalioti teisiškai atstovauti Valdytojui. Jei Tvarkytojas pagrįstai mano, kad nurodymas pažeidžia GDPR arba kitus taikomus duomenų apsaugos teisės aktus, jis nedelsdamas apie tai informuoja Valdytoją ir gali sustabdyti to nurodymo vykdymą, kol šalys išspręs šį klausimą.

6. Konfidencialumas

Tvarkytojas užtikrina, kad kiekvienas fizinis asmuo, įgaliotas jo vardu tvarkyti asmens duomenis, būtų saistomas konfidencialumo įsipareigojimo pagal sutartį arba pagal įstatymais nustatytą pareigą. Be to, kiekviena šalis įsipareigoja laikyti konfidencialia bet kokią neviešą informaciją, kurią ji gauna iš kitos šalies, susijusią su šia DPA, įskaitant auditų turinį, saugumo dokumentaciją ir incidentų ataskaitas, ir naudoti tokią informaciją tik pagrindinei sutarčiai ir šiai DPA vykdyti. Netaikoma informacijai, kuri yra viešai žinoma, buvo sukurta savarankiškai nenaudojant atskleidžiančiosios šalies konfidencialios informacijos, buvo teisėtai gauta iš trečiosios šalies be konfidencialumo įsipareigojimo arba turi būti atskleista pagal privalomą teisinį procesą. Bendrieji konfidencialumo įsipareigojimai galioja penkerius metus po sutarties nutraukimo. Asmens duomenis saugantys įsipareigojimai galioja tol, kol tie duomenys saugomi, įskaitant atvejus, kai taikoma ilgesnė įstatyme nustatyta pareiga.

7. Duomenų tvarkymo saugumas (32 straipsnis)

Tvarkytojas įgyvendina ir palaiko riziką atitinkančias technines ir organizacines priemones, atsižvelgdamas į GDPR 32 straipsnyje nurodytus veiksnius. Programos apsaugos priemonės apima vaidmenimis pagrįstą ir nuomininko lygmens prieigos kontrolę, riboto galiojimo autentifikavimo prieigos raktus, privalomą dviejų veiksnių autentifikavimą Savininko ir Personalo administratoriaus vaidmenims, pasirinktų jautrių laukų šifravimą ir palaikomų veiksmų audito įrašus. Šios apsaugos priemonės aprašytos saugumo priede adresu /legal/security. Tvarkytojo pareigos užtikrinti tinkamą apsaugą, prieinamumą ir atkūrimą neapsiriboja čia išvardytomis funkcijomis. Priemonių atnaujinimai negali iš esmės sumažinti bendro saugumo lygio.

8. Subtvarkytojai

Valdytojas įgalioja Tvarkytoją pasitelkti subtvarkytojus, išvardytus adresu /legal/sub-processors. Tvarkytojas informuoja Valdytoją raštu (įskaitant el. paštą) ne vėliau kaip prieš 30 dienų iki subtvarkytojo pridėjimo arba pakeitimo. Valdytojas per 14 dienų nuo tokio pranešimo gali pareikšti prieštaravimą dėl pagrįstų duomenų apsaugos priežasčių; laiku nepareiškus prieštaravimo, pakeitimas laikomas patvirtintu. Jei šalys per papildomas 30 dienų negali išspręsti pagrįsto prieštaravimo, bet kuri šalis gali nutraukti pagrindinę sutartį raštu pranešusi kitai šaliai, neprisiimdama jokios tolesnės atsakomybės; tokiu atveju Valdytojas turi teisę į proporcingą iš anksto sumokėtų mokesčių, apimančių nepanaudotą likusią prenumeratos laikotarpio dalį, grąžinimą. Tvarkytojas su kiekvienu subtvarkytoju sudaro rašytines sutartis, kuriomis nustatomi duomenų apsaugos įpareigojimai, lygiaverčiai šioje DPA nustatytiesiems, ir lieka atsakingas už savo subtvarkytojų veiksmus ir neveikimą.

9. Pagalba įgyvendinant duomenų subjektų teises

Tvarkytojas, atsižvelgdamas į duomenų tvarkymo pobūdį ir kiek įmanoma, padeda Valdytojui nagrinėti prašymus pagal GDPR III skyrių. Programoje yra duomenų eksporto, ištaisymo ir ištrynimo įrankiai su vaidmenų ir apimties apribojimais. Šie įrankiai padeda Valdytojui, tačiau nenulemia, ar konkretus asmens prašymas turi būti patenkintas. Teisė į duomenų perkeliamumą pagal 20 straipsnį apima tik asmens pateiktus duomenis, tvarkomus automatizuotomis priemonėmis sutikimo arba sutarties pagrindu; kiti įrašai gali patekti į teisės susipažinti pagal 15 straipsnį taikymo sritį. Kai įrankių nepakanka, Tvarkytojas suteikia pagrįstą papildomą pagalbą. Tiesiogiai iš asmens gauti prašymai dėl Valdytojo vykdomo personalo duomenų tvarkymo nepagrįstai nedelsiant perduodami Valdytojui.

Kai asmuo paprašo Tvarkytojo ištrinti jo asmeninę PersoHR paskyrą, Tvarkytojas iš karto uždaro paskyrą. Jis nutraukia asmens prieigą, ištrina paskyros duomenis, kuriuos tvarko kaip valdytojas (prisijungimo duomenis, dviejų veiksnių autentifikavimo nustatymus, sesijas, paskyros nuostatas ir asmens programoje pateiktus pagalbos prašymus su jų ekrano nuotraukomis), ir ištrina asmens pokalbius su AI asistentu, kurių programa niekam kitam nerodo. Šių pagalbos prašymų kopijos, pristatytos į Tvarkytojo pagalbos pašto dėžutę, ir kitas susirašinėjimas su Tvarkytoju saugomi, kaip aprašyta Privatumo politikoje. Jis neištrina ir nekeičia jokių kitų Valdytojo apie asmenį saugomų įrašų. Jis užregistruoja prašymą prie asmens narystės kiekvienoje Valdytojo darbo srityje ir nepagrįstai nedelsdamas praneša apie jį Valdytojo savininkams ir personalo administratoriams programoje ir el. paštu. Valdytojas sprendžia, ar įrašus ištrinti naudojantis programos ištrynimo įrankiu, ar juos išsaugoti, ir atsako asmeniui. Tvarkytojas el. paštu patvirtina asmeniui gautą prašymą ir el. paštu jam praneša, kai Valdytojas užregistruoja savo sprendimą programoje arba kai įrašai ištrinami dėl to, kad darbo sritis yra trinama.

Asmens paskyroje esantys tapatybės duomenys, kuriuos naudoja Valdytojo įrašai (vardas, pavardė, el. pašto adresas, gimimo data ir telefono numeris), saugomi Valdytojo ir bet kurio kito kliento, kurio įrašai juos naudoja, vardu, kol nebus ištrinta kiekviena asmens narystė darbo srityje arba jos darbo sritis, o tada nuasmeninami. Ištrynus narystę gali likti įrašų, kuriuos Valdytojas privalo saugoti pagal įstatymą, pavyzdžiui, asmens vardu tvarkomas darbo laiko registras; jiems taikomas jų pačių saugojimo laikotarpis. Tapatybės duomenys keičiami tik Valdytojo nurodymu: Valdytojas gali programoje įrašyti trūkstamą gimimo datą, o bet kurį kitą pataisymą atlieka Tvarkytojo pagalbos tarnyba. Tvarkytojas juos naudoja rašydamas asmeniui tik pirmiau aprašytam patvirtinimui ir pranešimui apie sprendimą, pranešimams, kuriuos Valdytojas privalo pateikti pagal įstatymą, ir toliau aprašytam galutiniam archyvui. Uždarytos paskyros negalima atidaryti iš naujo, o jos el. pašto adreso negalima naudoti naujai paskyrai ar pakviesti į darbo sritį, kol nebus ištrinta kiekviena asmens narystė darbo srityje arba jos darbo sritis.

Kai Valdytojas paprašė ištrinti jo darbo sritį, prašymas, kuris yra neįvykdytas darbo sričiai pradedant užsidaryti arba kuris gaunamas jai užsidarant, įvykdomas, kai parengiamas galutinis darbo srities archyvas (per naktinį vykdymą, einantį po archyvo parengimo, arba po prašymo, jei archyvas jau buvo parengtas), arba kai darbo sritis ištrinama, jei tai įvyksta anksčiau, todėl asmens įrašai patenka į bet kurį galutinį archyvą, kurį gauna Valdytojas. Tvarkytojo turima galutinio archyvo kopija ištrinama kartu su darbo sritimi. Kai asmuo yra kontaktinis asmuo, kurį Valdytojas nurodė tam archyvui, archyvas siunčiamas kitam darbo srities savininkui, kuris dar gali prisijungti, o asmens adresu tik tada, kai tokio savininko nėra. Kai asmuo yra vienintelis darbo srities, kuri nėra trinama, savininkas, prašymo negalima įvykdyti, kol darbo sritis neturės kito aktyvaus savininko ar aktyvaus personalo administratoriaus arba kol nebus pradėta trinti darbo sritis; kai yra aktyvus personalo administratorius, Tvarkytojas ilgiausiai dirbantį iš jų paskiria savininku, kad Valdytojas išlaikytų savininką.

10. Pranešimas apie asmens duomenų saugumo pažeidimą

Tvarkytojas praneša Valdytojui nepagrįstai nedelsdamas, bet kuriuo atveju ne vėliau kaip per 72 valandas nuo tada, kai sužino apie asmens duomenų saugumo pažeidimą, darantį poveikį Valdytojo duomenims, kaip numatyta GDPR 33 straipsnio 2 dalyje. Pateikiama turima informacija apima pažeidimo pobūdį, paveiktas kategorijas ir apytikslį asmenų bei įrašų skaičių, tikėtinas pasekmes, kontaktinius duomenis ir taikytas arba siūlomas priemones. Informacija gali būti teikiama etapais, be tolesnio nepagrįsto delsimo. Tvarkytojas padeda Valdytojui vykdyti vertinimo ir pranešimo pareigas pagal 33 ir 34 straipsnius. Valdytojo sąlyginis 72 valandų terminas pranešti priežiūros institucijai nėra Tvarkytojui suteikiamas laukimo laikotarpis.

11. Poveikio duomenų apsaugai vertinimas ir išankstinės konsultacijos

Tvarkytojas, gavęs pagrįstą prašymą, padeda Valdytojui atlikti poveikio duomenų apsaugai vertinimus pagal 35 straipsnį ir išankstines konsultacijas su priežiūros institucijomis pagal 36 straipsnį, atsižvelgdamas į duomenų tvarkymo pobūdį ir Tvarkytojui prieinamą informaciją.

12. Auditai ir patikrinimai

Tvarkytojas pateikia visą informaciją, būtiną įrodyti, kad laikomasi GDPR 28 straipsnio, ir sudaro sąlygas bei prisideda prie auditų, įskaitant patikrinimus, kuriuos atlieka Valdytojas arba jo įgaliotas auditorius. Šalys susitaria dėl pagrįstos tvarkos, susijusios su pranešimu, laiku, konfidencialumu ir kitų klientų informacijos apsauga. Nepriklausomos ataskaitos ir saugumo dokumentacija gali padėti įrodyti atitiktį, tačiau nepakeičia Valdytojo įstatymais nustatytų teisių atlikti auditą. Tvarkaraščio, dažnumo ir auditoriui keliamų reikalavimų sąlygos negali užkirsti kelio auditui, kurio reikalauja teisės aktai ar priežiūros institucija, kuris atliekamas dėl asmens duomenų saugumo pažeidimo arba kai yra pagrįstų priežasčių įtarti reikalavimų nesilaikymą. Kiekviena šalis paprastai pati padengia savo išlaidas, nebent susitarta kitaip arba to reikalauja teisės aktai.

13. Asmens duomenų grąžinimas arba ištrynimas

Pasibaigus duomenų tvarkymo paslaugoms, Tvarkytojas Valdytojo pasirinkimu grąžina arba ištrina asmens duomenis ir ištrina esamas kopijas, nebent Sąjungos arba valstybės narės teisė reikalauja juos saugoti, kaip numatyta GDPR 28 straipsnio 3 dalies g punkte. Valdytojas turėtų atsisiųsti reikiamus eksporto failus, kol nesibaigė mokama prieiga, ir susisiekti su pagalbos tarnyba dėl bet kokio tolesnio grąžinimo ar ištrynimo. Prenumeratos atnaujinimo nutraukimas savaime nėra paskyros ištrynimo prašymas. Programoje vykdoma paskyros ištrynimo procedūra suplanuoja ištrynimą po 30 dienų atšaukimo laikotarpio; ankstesnis arba kitoks teisės aktų reikalaujamas prašymas turėtų būti teikiamas tiesiogiai Tvarkytojui. Šalys privalo suderinti ir įvykdyti grąžinimo arba ištrynimo procedūrą, nesaugodamos duomenų ilgiau nei būtina. Atsarginės kopijos lieka saugomos pagal šią DPA, kol bus pašalintos pagal taikomą atsarginių kopijų tvarkaraštį; bet koks atkūrimas turi atitikti ankstesnius ištrynimo nurodymus. Atsiskaitymo įrašai, tvarkomi Tvarkytojo paties teisinėms prievolėms vykdyti, tvarkomi atskirai pagal Privatumo politiką.

14. Tarptautiniai duomenų perdavimai

Tvarkytojas asmens duomenis pirmiausia tvarko Europos Sąjungoje. Kai Tvarkytojui arba bet kuriam subtvarkytojui reikia perduoti asmens duomenis į šalį, esančią už Europos ekonominės erdvės ribų, perdavimas vykdomas tik remiantis sprendimu dėl tinkamumo pagal GDPR 45 straipsnį arba tinkamomis apsaugos priemonėmis pagal GDPR 46 straipsnį, paprastai Europos Komisijos standartinėmis sutarčių sąlygomis (Sprendimas 2021/914/ES), kurios prireikus papildomos papildomomis techninėmis ir organizacinėmis priemonėmis. Dabartinis gavėjų ir taikomų perdavimo mechanizmų sąrašas skelbiamas adresu /legal/sub-processors.

15. Nemokumas, areštas ir trečiųjų šalių veiksmai

Jei Valdytojo asmens duomenims kyla pavojus dėl arešto, konfiskavimo, nemokumo ar taikos sutarties procedūrų arba bet kokių kitų trečiosios šalies veiksmų, galinčių paveikti Tvarkytojo gebėjimą laikytis šios DPA, Tvarkytojas nepagrįstai nedelsdamas informuoja Valdytoją ir raštu informuoja trečiąją šalį, kad už duomenis atsako Valdytojas kaip duomenų valdytojas, kaip tai suprantama pagal GDPR. Kol trečiosios šalies veiksmai nebus išspręsti, Tvarkytojas imasi pagrįstų priemonių Valdytojo duomenų vientisumui ir prieinamumui apsaugoti.

16. Atsakomybė

Kiekviena šalis atsako už žalą, padarytą dėl jos pačios padaryto šios DPA pažeidimo, pagal GDPR 82 straipsnį ir taikytiną teisę. Jokia šios DPA nuostata nepanaikina ir neriboja atsakomybės, kurios pagal įstatymą negalima panaikinti ar apriboti, įskaitant atsakomybę už mirtį ar sveikatos sužalojimą, sukčiavimą, apgaulingą klaidinimą ar tyčinį netinkamą elgesį. Jokia šios DPA nuostata neriboja duomenų subjektų ar priežiūros institucijų teisių. Visais kitais atžvilgiais pagrindinėje sutartyje nustatyti atsakomybės apribojimai ir išimtys vienodai taikomi ir šiai DPA.

17. Nuostatų atskiriamumas ir baigiamosios nuostatos

Šios DPA pakeitimai ir papildymai turi būti įforminti raštu, įskaitant elektroninę formą, ir aiškiai nurodyti keičiamas nuostatas. GDPR 28 straipsnio 9 dalis leidžia sutartį sudaryti elektronine forma; vien tai savaime nereiškia, kad pakeitimas priimtas. Jei kuri nors šios DPA nuostata yra arba tampa negaliojanti, neteisėta ar neįgyvendinama, tai neturi įtakos likusių nuostatų galiojimui; šalys negaliojančią nuostatą pakeis galiojančia, kurios ekonominis poveikis būtų kuo artimesnis negaliojančios nuostatos poveikiui. Ši DPA gali būti sudaroma ir atnaujinama elektroniniu būdu ir pakeičia bet kokius ankstesnius šalių susitarimus dėl duomenų tvarkymo tuo pačiu klausimu.

18. Taikytina teisė ir jurisdikcija

Šiai DPA taikoma Kipro Respublikos teisė, išskyrus jos kolizines normas ir Jungtinių Tautų konvenciją dėl tarptautinių prekių pirkimo–pardavimo sutarčių. Pafo (Kipras) teismai turi išimtinę jurisdikciją nagrinėti bet kokį ginčą, kylantį iš šios DPA arba susijusį su ja, nepažeidžiant jokių privalomų vartotojų apsaugos ar duomenų subjektų teisių dėl teismingumo pagal GDPR.

19. Kontaktai

Su šia DPA susijusiais klausimais kreipkitės į Labb Holding Ltd adresu privacy@persohr.eu arba rašykite adresu Labb Holding Ltd, Anthipolochagou Georgiou M.Savva 26, Shop 1-2, 8201 Paphos, Cyprus. Valdytojo kontaktinis asmuo duomenų apsaugos klausimais yra PersoHR platformoje kaip OWNER paskirta naudotojo paskyra.