FTEHIM TA' IPPROĊESSAR TAD-DATA
Ftehim dwar l-Ipproċessar tad-Data
Artikolu 28 GDPR — ftehim bejnek (kontrollur) u PersoHR (proċessur)
1. Introduzzjoni
Dan il-Ftehim dwar l-Ipproċessar tad-Data ("DPA") jifforma parti mill-ftehim prinċipali tas-sottoskrizzjoni bejn Labb Holding Ltd, kumpanija privata Ċiprijota limitata b'ishma b'uffiċċju rreġistrat f'Anthipolochagou Georgiou M.Savva 26, Shop 1-2, 8201 Paphos, Ċipru, irreġistrata taħt HE 424230 (li topera l-pjattaforma PersoHR, il-"Proċessur"), u l-klijent (il-"Kontrollur"). Dan jirregola l-ipproċessar ta' data personali li l-Proċessur iwettaq f'isem il-Kontrollur b'konnessjoni mal-pjattaforma PersoHR u huwa mfassal biex jikkonforma mar-Regolament (UE) 2016/679 (il-"GDPR"). Fejn xi dispożizzjoni ta' dan il-DPA tikkonflitti mal-ftehim prinċipali, dan id-DPA jipprevali f'materji ta' pproċessar ta' data personali. Termini b'ittri kbar użati iżda mhux definiti hawn għandhom it-tifsira mogħtija lilhom fil-ftehim prinċipali jew, fejn applikabbli, fil-GDPR.
2. Suġġett, durata, natura u skop
Il-Proċessur jipproċessa data personali għall-iskop uniku li jipprovdi s-servizz ta' ġestjoni HR ta' PersoHR. L-ipproċessar ikopri l-ġestjoni ta' rekords tal-impjegati, leave u assenza, onboarding, offboarding, traċċar tal-ħin, preparazzjoni tal-paga, reviżjonijiet tal-prestazzjoni, reklutaġġ, ħżin ta' dokumenti, komunikazzjoni interna u flussi oħra ta' HR kkonfigurati mill-Kontrollur. L-ipproċessar jidħol fis-seħħ għad-durata tas-sottoskrizzjoni tal-Kontrollur, flimkien ma' kwalunkwe perjodi ta' żamma meħtieġa mil-liġi jew mit-taqsima 13 ta' dan id-DPA. Il-Kontrollur jirrikonoxxi li l-ambitu u l-fond preċiż tal-ipproċessar jiddependu fuq il-moduli u l-konfigurazzjoni li l-Kontrollur jagħżel li jattiva.
3. Kategoriji ta' data personali
Il-kategoriji ta' data personali pproċessata jiddependu fuq il-konfigurazzjoni tal-pjattaforma mill-Kontrollur u jistgħu jinkludu: data prinċipali tal-persunal (isem, dettalji ta' kuntatt, indirizz postali, data tat-twelid, ritratt); data prinċipali tal-impjieg (titlu tal-impjieg, dipartiment, tip ta' impjieg, dati tal-bidu u t-tmiem, sigħat tax-xogħol, maniġer); kontenut ta' dokumenti (kuntratti tal-impjieg, ċertifikazzjonijiet, dokumenti tal-identità, fajls oħra ttellgħa mill-Kontrollur); data tal-prestazzjoni u l-iżvilupp (objettivi, reviżjonijiet, feedback, rekords tat-taħriġ); data tal-leave u l-assenza (talbiet, bilanċi, festi pubbliċi); data tat-traċċar tal-ħin (avvenimenti ta' clock-in / clock-out, timesheets, overtime); data tal-preparazzjoni tal-paga (rekords tas-salarju, IBAN fejn ipprovdut, identifikaturi tat-taxxa u s-sigurtà soċjali fejn ipprovduti); data tar-reklutaġġ (applikazzjonijiet, CVs, noti tal-intervista, referenzi); data tal-komunikazzjoni u chat; data tal-awtentikazzjoni u s-sigurtà (timestamps tal-login, indirizzi IP, fingerprints tal-apparat, stat ta' two-factor); u kwalunkwe data personali oħra li l-Kontrollur jagħżel li jtella' jew jiġġenera fil-pjattaforma. Il-Kontrollur huwa responsabbli biex jiżgura li kwalunkwe data ta' kategorija speċjali fit-tifsira tal-Artikolu 9 GDPR li jittella' jkollu bażi legali xierqa.
4. Kategoriji tas-suġġetti tad-data
Il-kategoriji tas-suġġetti tad-data, fir-rigward tal-Kontrollur u kwalunkwe affiljati li l-Kontrollur jagħżel li jamministra permezz tal-pjattaforma, tipikament jinkludu: impjegati attwali, kontraenti, freelancers u persunal ieħor; impjegati, kontraenti u persunal preċedenti; applikanti u kandidati f'proċessi ta' reklutaġġ attivi jew preċedenti; u dipendenti jew kuntatti ta' emerġenza żvelati minn kwalunkwe wieħed mill-imsemmija. Il-Kontrollur huwa responsabbli għall-legalità tal-inklużjoni ta' kwalunkwe suġġett speċifiku tad-data fl-ambitu tal-ipproċessar.
5. Istruzzjonijiet u dritt li tirrifjuta
Il-Proċessur se jipproċessa data personali biss fuq l-istruzzjonijiet dokumentati tal-Kontrollur — inkluż fir-rigward ta' trasferimenti internazzjonali — sakemm ma jkunx meħtieġ li jagħmel mod ieħor mil-liġi tal-Unjoni jew ta' Stat Membru (f'liema każ il-Proċessur se jinforma lill-Kontrollur qabel l-ipproċessar, ħlief fejn dik il-liġi tipprojbixxi tali avviż fuq il-bażi ta' interess pubbliku importanti). Il-Kontrollur jinnomina l-persuni esklużivament awtorizzati biex joħorġu istruzzjonijiet ta' pproċessar permezz tal-pjattaforma; fin-nuqqas ta' tali nomina, biss persuni naturali awtorizzati biex jirrappreżentaw legalment lill-Kontrollur jistgħu joħorġu istruzzjonijiet. Jekk il-Proċessur jemmen b'mod raġonevoli li istruzzjoni tikser il-GDPR jew liġi oħra applikabbli dwar il-protezzjoni tad-data, se jinnotifika lill-Kontrollur mingħajr dewmien żejjed u jista' jissospendi l-eżekuzzjoni ta' dik l-istruzzjoni sakemm il-kwistjoni tkun ġiet solvuta bejn il-partijiet.
6. Kunfidenzjalità
Il-Proċessur jiżgura li kwalunkwe persuna naturali awtorizzata li tipproċessa data personali f'ismu hija marbuta b'obbligu ta' kunfidenzjalità, kemm jekk b'kuntratt jew b'dmir statutorju. Kull parti taqbel ukoll li żżomm kunfidenzjali kwalunkwe informazzjoni mhux pubblika li tirċievi mill-parti l-oħra b'konnessjoni ma' dan id-DPA, inkluż il-kontenut tal-awditi, id-dokumentazzjoni tas-sigurtà u r-rapporti tal-inċidenti, u li tuża tali informazzjoni biss għall-eżekuzzjoni tal-ftehim prinċipali u ta' dan id-DPA. Informazzjoni li hija magħrufa pubblikament, ġiet żviluppata b'mod indipendenti mingħajr l-użu tal-informazzjoni kunfidenzjali tal-parti li tiżvela, ġiet riċevuta legalment minn parti terza mingħajr obbligu ta' kunfidenzjalità, jew li hija meħtieġa li tiġi żvelata b'proċess legali vinkolanti hija eskluża. L-obbligi ta' kunfidenzjalità jibqgħu fis-seħħ wara t-terminazzjoni tal-ftehim prinċipali għal perjodu ta' ħames snin.
7. Sigurtà tal-ipproċessar (Artikolu 32)
Filwaqt li jitqiesu l-istat tal-arti, l-ispejjeż tal-implimentazzjoni u n-natura, l-ambitu, il-kuntest u l-iskopijiet tal-ipproċessar, kif ukoll ir-riskju għad-drittijiet u l-libertajiet tas-suġġetti tad-data, il-Proċessur jimplimenta u jżomm miżuri tekniċi u organizzattivi xierqa, inkluż: kriptaġġ ta' data personali fit-tranżitu (TLS 1.2 jew ogħla) u fir-repożitorju; kontroll tal-aċċess ibbażat fuq ir-rwol bil-prinċipju tal-inqas privileġġ; reġistrar komprensiv tal-awditu; skenjar u patching regolari tal-vulnerabbiltajiet; residenza tad-data fl-UE biss għall-ipproċessar primarju; tokens tal-aċċess b'limitu ta' ħin; awtentikazzjoni obbligatorja ta' two-factor għar-rwoli privileġġjati; u backups regolari b'restawr ittestjat. Il-miżuri tekniċi u organizzattivi kurrenti ("TOMs") huma ppubblikati bħala anness pubbliku f'/legal/security u jistgħu jiġu aġġornati minn żmien għal żmien, bil-kundizzjoni li kwalunkwe aġġornament ma jnaqqasx b'mod materjali il-livell ġenerali ta' sigurtà.
8. Sub-processors
Il-Kontrollur jawtorizza lill-Proċessur biex jingaġġa s-sub-processors elenkati fuq /legal/sub-processors. Il-Proċessur se jinforma lill-Kontrollur bil-miktub (inkluż bl-email) mill-inqas 30 jum qabel ma jżid jew jissostitwixxi sub-processor. Il-Kontrollur jista' joġġezzjona fuq raġunijiet raġonevoli tal-protezzjoni tad-data fi żmien 14-il jum minn dik in-notifika; fin-nuqqas ta' oġġezzjoni f'waqtha, il-bidla titqies approvata. Jekk il-partijiet ma jistgħux isolvu oġġezzjoni ġustifikata fi żmien 30 jum oħra, kull parti tista' ttemm il-ftehim prinċipali b'avviż bil-miktub mingħajr responsabbiltà ulterjuri, f'liema każ il-Kontrollur huwa intitolat għar-rimborż pro-rata ta' kwalunkwe tariffi mħallsa minn qabel li jkopru l-bqija mhux użat tat-terminu tas-sottoskrizzjoni. Il-Proċessur jidħol fi ftehimiet bil-miktub ma' kull sub-processor li jimponu obbligi ta' protezzjoni tad-data ekwivalenti għal dawk f'dan id-DPA, u jibqa' responsabbli għall-atti u l-ommissjonijiet tas-sub-processors tiegħu.
9. Assistenza bid-drittijiet tas-suġġetti tad-data
Filwaqt li jitqiesu n-natura tal-ipproċessar, il-Proċessur jassisti lill-Kontrollur b'miżuri tekniċi u organizzattivi xierqa, sa fejn dan huwa possibbli, biex iwieġeb għal talbiet taħt il-Kapitolu III GDPR (aċċess, rettifika, tħassir, restrizzjoni, portabbiltà u oġġezzjoni). Il-pjattaforma tesponi għodod self-service għat-talbiet l-aktar komuni (esportazzjoni tad-data taħt l-Artikolu 20, tħassir taħt l-Artikolu 17, rettifika ta' oqsma ġestiti mis-suġġett innifsu). Għat-talbiet li l-Kontrollur ma jistax jissodisfa permezz ta' dawn l-għodod, il-Proċessur se jipprovdi assistenza addizzjonali raġonevoli. Jekk suġġett tad-data jikkuntattja lill-Proċessur direttament, il-Proċessur se jirreferi t-talba lill-Kontrollur rilevanti u jinnotifika lill-Kontrollur mingħajr dewmien żejjed.
10. Notifika ta' ksur ta' data personali
Il-Proċessur jinnotifika lill-Kontrollur mingħajr dewmien żejjed, u fi kwalunkwe każ fi żmien 72 siegħa, wara li jsir konxju ta' ksur ta' data personali li jaffettwa d-data tal-Kontrollur. In-notifika tiddeskrivi n-natura tal-ksur, il-kategoriji u n-numru approssimattiv tas-suġġetti tad-data u r-rekords ikkonċernati, il-konsegwenzi probabbli, u l-miżuri meħuda jew proposti biex jiġi indirizzat. Il-Proċessur jikkoopera mal-Kontrollur kif raġonevolment meħtieġ għall-obbligi ta' notifika proprji tal-Kontrollur taħt l-Artikoli 33 u 34 GDPR.
11. DPIA u konsultazzjoni minn qabel
Il-Proċessur jassistu lill-Kontrollur, fuq talba raġonevoli, b'valutazzjonijiet tal-impatt fuq il-protezzjoni tad-data taħt l-Artikolu 35 u konsultazzjonijiet minn qabel mal-awtoritajiet superviżorji taħt l-Artikolu 36, filwaqt li jitqiesu n-natura tal-ipproċessar u l-informazzjoni disponibbli għall-Proċessur.
12. Awditi u spezzjonijiet
Il-Proċessur jagħmel disponibbli lill-Kontrollur l-informazzjoni kollha raġonevolment neċessarja biex tintwera konformità mal-Artikolu 28 GDPR u dan id-DPA. Il-Kontrollur jista' jinspezzjona l-konformità tal-Proċessur, jew jaħtar awditur indipendenti kwalifikat biex jagħmel dan f'ismu, b'avviż bil-miktub ta' mill-inqas 30 jum, matul il-ħinijiet normali tan-negozju, mhux aktar minn darba fis-sena kalendarja ("Awditu Fuq il-Post"). Il-Proċessur jista' jeħtieġ li kwalunkwe awditur jidħol f'impenji ta' kunfidenzjalità raġonevoli qabel l-awditu, u jista' joġġezzjona għal awditur maħtur mill-Kontrollur li jkun f'kompetizzjoni diretta mal-Proċessur jew li l-Proċessur raġonevolment iqis mhux adatt. Kull parti tbati l-ispejjeż tagħha stess ta' Awditu Fuq il-Post. Minflok Awditu Fuq il-Post il-Proċessur jista', skont id-diskrezzjoni tiegħu, jissodisfa din l-obbligazzjoni billi jipprovdi ċertifikazzjoni indipendenti jew rapport ta' attestazzjoni attwali (bħal ISO/IEC 27001, SOC 2 Type II, jew ċertifikazzjoni approvata taħt l-Artikolu 42 GDPR), kopji ta' sommarju tat-testijiet ta' penetrazzjoni, jew id-dokumentazzjoni TOMs tiegħu; f'dak il-każ l-Awditu Fuq il-Post jista' jiġi rifjutat. Meta awditu jkun ittriggerjat minn ksur ta' data personali kkonfermat jew ksur aktar minn insinifikanti ta' dan id-DPA ("Awditu Relatat ma' Avveniment"), il-perjodu ta' avviż u l-limitu ta' frekwenza ma japplikawx, u l-Proċessur jikkoopera b'mod sħiħ mingħajr limitu fuq l-ambitu jew il-frekwenza.
13. Ritorn jew tħassir ta' data personali
Fit-terminazzjoni tal-ftehim ewlieni, il-Proċessur iżomm id-data personali tal-Kontrollur għal 30 jum. Matul dak il-perjodu l-Kontrollur jista' jew (a) jesporta d-data tiegħu permezz tal-esportazzjoni tat-tenant fl-app taħt l-Artikolu 20 GDPR jew (b) jagħti istruzzjonijiet lill-Proċessur bil-miktub biex jitħassar id-data immedjatament. Jekk il-Kontrollur ma jieħu l-ebda azzjoni fi żmien il-perjodu ta' 30 jum, il-Proċessur jitħassar id-data awtomatikament fi tmiem dak il-perjodu. Il-backups huma soġġetti għall-iskeda ta' żamma tal-backup iddokumentata u jiġu sostitwiti fil-waqt dovut; sa dak iż-żmien, id-data restawrata tibqa' soġġetta għal dan id-DPA. Id-data personali li l-Proċessur huwa legalment obbligat li jżomm (pereżempju, data tal-fatturazzjoni għal skopijiet fiskali) hija eskluża mit-tħassir għat-tul ta' dak l-obbligu legali.
14. Trasferimenti internazzjonali
Il-Proċessur jipproċessa d-data personali primarjament fl-Unjoni Ewropea. Meta l-Proċessur jew kwalunkwe sub-proċessur jeħtieġ li jittrasferixxi data personali lejn pajjiż barra ż-Żona Ekonomika Ewropea, it-trasferiment isir biss fuq il-bażi ta' deċiżjoni ta' adegwatezza taħt l-Artikolu 45 GDPR jew salvagwardji xierqa taħt l-Artikolu 46 GDPR — tipikament il-Klawżoli Kuntrattwali Standard tal-Kummissjoni Ewropea (Deċiżjoni 2021/914/EU) supplimentati, fejn meħtieġ, b'miżuri tekniċi u organizzattivi addizzjonali. Il-lista attwali tar-riċevituri u l-mekkaniżmi ta' trasferiment applikabbli hija ppubblikata fuq /legal/sub-processors.
15. Insolvenza, qbid u avvenimenti minn partijiet terzi
Jekk id-data personali tal-Kontrollur tkun f'riskju minħabba qbid, konfiska, proċedimenti ta' insolvenza jew kompożizzjoni, jew kwalunkwe azzjoni oħra minn parti terza li tista' taffettwa l-kapaċità tal-Proċessur li jikkonforma ma' dan id-DPA, il-Proċessur jinforma lill-Kontrollur mingħajr dewmien żejjed u jinforma lill-parti terza bil-miktub li d-data hija r-responsabbiltà tal-Kontrollur bħala kontrollur tad-data fit-tifsira tal-GDPR. Il-Proċessur jieħu passi raġonevoli biex jipproteġi l-integrità u d-disponibbiltà tad-data tal-Kontrollur sakemm tiġi rriżolta l-azzjoni tal-parti terza.
16. Responsabbiltà
Kull parti hija responsabbli għad-dannu kkawżat mill-ksur tagħha stess ta' dan id-DPA skont l-Artikolu 82 GDPR u l-liġi applikabbli. Xejn f'dan id-DPA ma jeskludi jew jillimita kwalunkwe responsabbiltà li ma tistax tiġi eskluża jew limitata bil-liġi, inkluż għall-mewt jew korriment personali, frodi, rappreżentazzjoni falza frawdolenta jew kondotta volontarja ħażina. F'kull aspett ieħor, il-limitazzjonijiet u l-esklużjonijiet ta' responsabbiltà stabbiliti fil-ftehim ewlieni japplikaw b'mod ugwali għal dan id-DPA.
17. Separabbiltà u dispożizzjonijiet finali
Emendi u supplimenti għal dan id-DPA jeħtieġu forma bil-miktub (li tinkludi skambju ta' email taħt l-Artikolu 28(9) GDPR) u indikazzjoni espliċita li jemendaw jew jissupplementaw dan id-DPA. Jekk kwalunkwe dispożizzjoni ta' dan id-DPA tkun jew issir invalida, illegali jew mhux infurzabbli, il-validità tad-dispożizzjonijiet li jifdal ma tkunx affettwata; il-partijiet jissostitwixxu d-dispożizzjoni invalida b'waħda valida li l-effett ekonomiku tagħha jiġi kemm jista' jkun qrib dak tad-dispożizzjoni invalida. Dan id-DPA jista' jiġi eżegwit u aġġornat elettronikament u jissostitwixxi kwalunkwe arranġamenti preċedenti ta' pproċessar ta' data bejn il-partijiet għall-istess suġġett.
18. Liġi governanti u ġurisdizzjoni
Dan id-DPA huwa ggovernat mil-liġijiet tar-Repubblika ta' Ċipru, bl-esklużjoni tar-regoli tiegħu dwar il-kunflitt ta' liġijiet u l-Konvenzjoni tan-Nazzjonijiet Uniti dwar Kuntratti għall-Bejgħ Internazzjonali ta' Oġġetti. Il-qrati ta' Pafos, Ċipru għandhom ġurisdizzjoni esklużiva fuq kwalunkwe tilwima li tirriżulta minn jew b'konnessjoni ma' dan id-DPA, mingħajr preġudizzju għal kwalunkwe drittijiet mandatorji ta' post għall-protezzjoni tal-konsumatur jew tas-suġġett tad-data taħt il-GDPR.
19. Kuntatt
Għal kwistjonijiet relatati ma' dan id-DPA, ikkuntattja lil Labb Holding Ltd fuq privacy@persohr.eu, jew ikteb lil Labb Holding Ltd, Anthipolochagou Georgiou M.Savva 26, Shop 1-2, 8201 Paphos, Ċipru. Il-punt ta' kuntatt tal-Kontrollur għall-protezzjoni tad-data huwa l-kont tal-utent innominat bħala OWNER fil-pjattaforma PersoHR.