Verwerkersovereenkomst

1. Inleiding

Deze Verwerkersovereenkomst (de "Verwerkersovereenkomst") maakt deel uit van de hoofdabonnementsovereenkomst tussen Labb Holding Ltd, een Cypriotische besloten vennootschap met aandelen (private company limited by shares) met statutaire zetel te Anthipolochagou Georgiou M.Savva 26, Shop 1-2, 8201 Paphos, Cyprus, ingeschreven onder HE 424230 (exploitant van het PersoHR-platform, de "Verwerker"), en de klant (de "Verwerkingsverantwoordelijke"). Zij regelt de verwerking van persoonsgegevens die de Verwerker namens de Verwerkingsverantwoordelijke uitvoert in verband met het PersoHR-platform en is opgesteld om te voldoen aan Verordening (EU) 2016/679 (de "AVG"). Indien een bepaling van deze Verwerkersovereenkomst strijdig is met de hoofdovereenkomst, prevaleert deze Verwerkersovereenkomst voor aangelegenheden betreffende de verwerking van persoonsgegevens. Met een hoofdletter geschreven termen die hier worden gebruikt maar niet gedefinieerd, hebben de betekenis die daaraan in de hoofdovereenkomst of, waar van toepassing, in de AVG wordt gegeven.

2. Onderwerp, duur, aard en doel

De Verwerker verwerkt persoonsgegevens uitsluitend met het doel de HR-beheerdienst PersoHR te leveren. De verwerking omvat het beheer van personeelsdossiers, verlof en verzuim, onboarding, offboarding, tijdregistratie, voorbereiding van de salarisadministratie, prestatiebeoordelingen, werving, documentopslag, interne communicatie en andere door de Verwerkingsverantwoordelijke geconfigureerde HR-workflows. De verwerking omvat het verzamelen, vastleggen, ordenen, opslaan, opvragen, gebruiken, geautoriseerd verstrekken, exporteren en verwijderen ten behoeve van deze diensten. Deze verwerkersovereenkomst blijft persoonsgegevens van de klant beschermen zolang die worden bewaard, ook tijdens een overeengekomen procedure voor teruggave of verwijdering op grond van sectie 13. Verwerking voor de eigen doeleinden van PersoHR, zoals beschreven in het privacybeleid, staat los van deze opdracht als verwerker. De Verwerkingsverantwoordelijke erkent dat de precieze reikwijdte en diepgang van de verwerking afhangen van de modules en de configuratie die de Verwerkingsverantwoordelijke inschakelt.

3. Categorieën persoonsgegevens

De categorieën verwerkte persoonsgegevens zijn afhankelijk van de configuratie van het platform door de Verwerkingsverantwoordelijke en kunnen omvatten: persoonlijke stamgegevens (naam, contactgegevens, postadres, geboortedatum, foto, gegevens van noodcontacten); stamgegevens over het dienstverband (functietitel, afdeling, soort dienstverband, begin- en einddatum, werktijden, leidinggevende, handicapstatus); inhoud van documenten (arbeidsovereenkomsten, certificaten, identiteitsdocumenten, andere door de Verwerkingsverantwoordelijke geüploade bestanden); prestatie- en ontwikkelingsgegevens (doelstellingen, beoordelingen, feedback, opleidingsgegevens); verlof- en verzuimgegevens (aanvragen, saldi, feestdagen); tijdregistratiegegevens (in- en uitklokgebeurtenissen, urenstaten, overuren); gegevens voor de voorbereiding van de salarisadministratie (salarisgegevens, IBAN indien verstrekt, fiscale en socialezekerheidsnummers indien verstrekt, nationaliteit, geslacht, burgerlijke staat, aantal kinderen, geboorteplaats, zorgverzekeraar en soort verzekering, kerkelijke gezindte voor de kerkbelasting); wervingsgegevens (sollicitaties, cv's, gespreksnotities, referenties); communicatie- en chatgegevens; authenticatie- en beveiligingsgegevens (inlogtijdstippen, IP-adressen, user-agentinformatie van browser/apparaat en registraties van apparaatsessies, status van tweefactorauthenticatie); en alle andere persoonsgegevens die de Verwerkingsverantwoordelijke binnen het platform uploadt of genereert. De verwerking kan ook de inhoud van elektronische handtekeningen en ondertekeningsbewijs omvatten. De kerkelijke gezindte voor de kerkbelasting kan godsdienst onthullen. Handicapstatus, ziekteverzuim en registraties van medische verklaringen kunnen gezondheidsgegevens onthullen, ook zonder geüploade medische documenten. Wanneer bijzondere categorieën van persoonsgegevens worden verwerkt, moet de Verwerkingsverantwoordelijke een grondslag op grond van artikel 6 en een toepasselijke voorwaarde van artikel 9 vaststellen en de Verwerker instrueren over de noodzakelijke waarborgen. Gegevens over strafrechtelijke veroordelingen vereisen de voorwaarden van artikel 10 en mogen niet worden aangeleverd zonder een overeengekomen, rechtmatige en ondersteunde verwerkingsregeling. De Verwerker blijft verantwoordelijk voor haar eigen toepasselijke verplichtingen op het gebied van gegevensbescherming en beveiliging.

4. Categorieën betrokkenen

Categorieën van betrokkenen, met betrekking tot de Verwerkingsverantwoordelijke en eventuele gelieerde ondernemingen die de Verwerkingsverantwoordelijke via het platform wil beheren, omvatten doorgaans: huidige werknemers, contractanten, freelancers en ander personeel, met inbegrip van werknemers jonger dan 18 jaar voor zover zij rechtmatig in dienst zijn; voormalige werknemers, contractanten en personeel; sollicitanten en kandidaten in lopende of afgeronde wervingsprocedures; en personen ten laste of noodcontacten die door een van de voorgaanden zijn opgegeven. De Verwerkingsverantwoordelijke is verantwoordelijk voor de rechtmatigheid van het opnemen van een specifieke betrokkene binnen de reikwijdte van de verwerking.

5. Instructies en recht van weigering

De Verwerker verwerkt persoonsgegevens uitsluitend op basis van gedocumenteerde instructies van de Verwerkingsverantwoordelijke, ook wat betreft internationale doorgiften, tenzij zij op grond van Unierecht of lidstatelijk recht anders moet handelen (in dat geval stelt de Verwerker de Verwerkingsverantwoordelijke vóór de verwerking daarvan in kennis, tenzij dat recht een dergelijke kennisgeving om gewichtige redenen van algemeen belang verbiedt). De Verwerkingsverantwoordelijke wijst de personen aan die als enigen bevoegd zijn om via het platform verwerkingsinstructies te geven; bij gebreke van een dergelijke aanwijzing mogen alleen natuurlijke personen die bevoegd zijn de Verwerkingsverantwoordelijke wettelijk te vertegenwoordigen instructies geven. Indien de Verwerker redelijkerwijs van mening is dat een instructie inbreuk maakt op de AVG of ander toepasselijk gegevensbeschermingsrecht, stelt zij de Verwerkingsverantwoordelijke daarvan onmiddellijk in kennis en mag zij de uitvoering van die instructie opschorten totdat de kwestie tussen de partijen is opgelost.

6. Vertrouwelijkheid

De Verwerker zorgt ervoor dat iedere natuurlijke persoon die gemachtigd is om namens haar persoonsgegevens te verwerken, gebonden is aan een geheimhoudingsplicht, hetzij contractueel, hetzij op grond van een wettelijke verplichting. Elke partij verbindt zich daarnaast om alle niet-openbare informatie die zij in verband met deze verwerkersovereenkomst van de andere partij ontvangt, waaronder de inhoud van audits, beveiligingsdocumentatie en incidentrapporten, vertrouwelijk te houden en die informatie uitsluitend te gebruiken voor de uitvoering van de hoofdovereenkomst en deze verwerkersovereenkomst. Uitgezonderd is informatie die algemeen bekend is, die onafhankelijk is ontwikkeld zonder gebruik van de vertrouwelijke informatie van de verstrekkende partij, die rechtmatig van een derde is ontvangen zonder geheimhoudingsplicht, of waarvan openbaarmaking is vereist door een bindende juridische procedure. Algemene geheimhoudingsverplichtingen blijven na beëindiging vijf jaar van kracht. Verplichtingen ter bescherming van persoonsgegevens blijven gelden zolang die gegevens worden bewaard, ook wanneer een langere wettelijke verplichting van toepassing is.

7. Beveiliging van de verwerking (artikel 32)

De Verwerker treft en onderhoudt technische en organisatorische maatregelen die passend zijn voor het risico, rekening houdend met de factoren van artikel 32 AVG. Waarborgen in de applicatie omvatten op rollen gebaseerde en tot de tenant beperkte toegangscontroles, tijdgebonden authenticatietokens, verplichte tweefactorauthenticatie voor de rollen Eigenaar en HR-beheerder, versleuteling van geselecteerde gevoelige velden en auditregistraties voor ondersteunde handelingen. De beveiligingsbijlage op /legal/security beschrijft deze waarborgen. De verplichtingen van de Verwerker om te zorgen voor passende bescherming, beschikbaarheid en herstel zijn niet beperkt tot de hier genoemde functies. Wijzigingen van de maatregelen mogen het algehele beveiligingsniveau niet wezenlijk verlagen.

8. Subverwerkers

De Verwerkingsverantwoordelijke machtigt de Verwerker om de subverwerkers in te schakelen die zijn vermeld op /legal/sub-processors. De Verwerker informeert de Verwerkingsverantwoordelijke ten minste 30 dagen voordat een subverwerker wordt toegevoegd of vervangen schriftelijk (waaronder per e-mail). De Verwerkingsverantwoordelijke kan binnen 14 dagen na die kennisgeving op redelijke gronden van gegevensbescherming bezwaar maken; bij gebreke van een tijdig bezwaar wordt de wijziging geacht te zijn goedgekeurd. Indien de partijen een gerechtvaardigd bezwaar niet binnen een volgende termijn van 30 dagen kunnen oplossen, kan elk van beide partijen de hoofdovereenkomst door schriftelijke kennisgeving beëindigen zonder verdere aansprakelijkheid, in welk geval de Verwerkingsverantwoordelijke recht heeft op een terugbetaling naar rato van vooruitbetaalde vergoedingen die het ongebruikte resterende deel van de abonnementsperiode dekken. De Verwerker sluit met elke subverwerker schriftelijke overeenkomsten die gegevensbeschermingsverplichtingen opleggen die gelijkwaardig zijn aan die in deze Verwerkersovereenkomst, en blijft verantwoordelijk voor het handelen en nalaten van haar subverwerkers.

9. Bijstand bij de rechten van betrokkenen

De Verwerker staat de Verwerkingsverantwoordelijke, rekening houdend met de aard van de verwerking en voor zover mogelijk, bij in verzoeken op grond van hoofdstuk III AVG. De applicatie biedt hulpmiddelen voor gegevensexport, correctie en verwijdering, met beperkingen naar rol en reikwijdte. Deze hulpmiddelen ondersteunen de Verwerkingsverantwoordelijke, maar bepalen niet of een individueel verzoek moet worden ingewilligd. Overdraagbaarheid op grond van artikel 20 is beperkt tot gegevens die door de betrokkene zijn verstrekt en geautomatiseerd worden verwerkt op basis van toestemming of een overeenkomst; andere registraties kunnen onder het recht van inzage van artikel 15 vallen. De Verwerker verleent redelijke aanvullende bijstand wanneer de hulpmiddelen ontoereikend zijn. Verzoeken over de HR-verwerking van de Verwerkingsverantwoordelijke die rechtstreeks van een betrokkene worden ontvangen, worden zonder onredelijke vertraging naar de Verwerkingsverantwoordelijke doorverwezen.

Wanneer een betrokkene de Verwerker verzoekt zijn persoonlijke PersoHR-account te verwijderen, sluit de Verwerker het account onmiddellijk. De Verwerker beëindigt de toegang van de betrokkene, verwijdert de accountgegevens die hij als verwerkingsverantwoordelijke bewaart (inloggegevens, instellingen voor tweefactorauthenticatie, sessies, accountvoorkeuren en de supportverzoeken die de betrokkene in de applicatie heeft gedaan, met hun schermafbeeldingen) en verwijdert de gesprekken van de betrokkene met de AI-assistent, die de applicatie aan niemand anders toont. Kopieën van die supportverzoeken die in de supportmailbox van de Verwerker zijn bezorgd, en andere correspondentie met de Verwerker, worden bewaard zoals beschreven in het Privacybeleid. Hij wist of wijzigt geen andere registratie die de Verwerkingsverantwoordelijke over de betrokkene bewaart. Hij legt het verzoek vast bij het lidmaatschap van de betrokkene in elk van de werkruimten van de Verwerkingsverantwoordelijke en stelt de eigenaren en HR-beheerders van de Verwerkingsverantwoordelijke zonder onredelijke vertraging in de applicatie en per e-mail op de hoogte. De Verwerkingsverantwoordelijke beslist of zij de registraties wist, met het wishulpmiddel van de applicatie, of bewaart, en beantwoordt de betrokkene. De Verwerker bevestigt het verzoek per e-mail aan de betrokkene en laat hem per e-mail weten zodra de Verwerkingsverantwoordelijke haar beslissing in de applicatie heeft vastgelegd, of zodra de registraties zijn gewist omdat de werkruimte wordt verwijderd.

De identiteitsgegevens op het account van de betrokkene die de registraties van de Verwerkingsverantwoordelijke gebruiken (naam, e-mailadres, geboortedatum en telefoonnummer), worden bewaard namens de Verwerkingsverantwoordelijke en namens elke andere klant wiens registraties ze gebruiken, totdat elk werkruimtelidmaatschap van de betrokkene is gewist of de werkruimte ervan is verwijderd, en worden daarna geanonimiseerd. Een gewist lidmaatschap kan registraties achterlaten die de Verwerkingsverantwoordelijke wettelijk moet bewaren, zoals een werktijdenregistratie op naam van de betrokkene, waarvoor hun eigen bewaartermijn geldt. De identiteitsgegevens worden alleen gewijzigd op instructie van een Verwerkingsverantwoordelijke: de Verwerkingsverantwoordelijke kan een ontbrekende geboortedatum in de applicatie toevoegen, en elke andere correctie wordt door de support van de Verwerker uitgevoerd. De Verwerker gebruikt ze om de betrokkene uitsluitend te schrijven voor de hierboven beschreven bevestiging en kennisgeving van de beslissing, voor kennisgevingen die de Verwerkingsverantwoordelijke wettelijk moet doen, en voor het hieronder beschreven laatste archief. Een gesloten account kan niet worden heropend, en het e-mailadres ervan kan niet worden gebruikt voor een nieuw account of voor een werkruimte worden uitgenodigd totdat elk werkruimtelidmaatschap van de betrokkene is gewist of de werkruimte ervan is verwijderd.

Wanneer de Verwerkingsverantwoordelijke heeft verzocht haar werkruimte te verwijderen, wordt een verzoek dat openstaat wanneer de sluiting van de werkruimte begint, of dat binnenkomt terwijl de werkruimte wordt gesloten, uitgevoerd zodra het laatste archief van de werkruimte gereed is (in de nachtelijke run die volgt op de voltooiing, of die volgt op het verzoek wanneer het archief al gereed was), of wanneer de werkruimte wordt verwijderd als dat eerder gebeurt, zodat de registraties van de betrokkene deel uitmaken van elk laatste archief dat de Verwerkingsverantwoordelijke ontvangt. De kopie van het laatste archief bij de Verwerker wordt samen met de werkruimte verwijderd. Wanneer de betrokkene de contactpersoon is die de Verwerkingsverantwoordelijke voor dat archief heeft opgegeven, gaat het archief naar een andere eigenaar van de werkruimte die nog kan inloggen, en alleen naar het adres van de betrokkene wanneer er geen is. Wanneer de betrokkene de enige eigenaar is van een werkruimte die niet wordt verwijderd, kan het verzoek niet worden afgerond totdat de werkruimte een andere actieve eigenaar of een actieve HR-beheerder heeft, of totdat de werkruimte wordt verwijderd; wanneer er een actieve HR-beheerder is, maakt de Verwerker degene die het langst in dienst is tot eigenaar, zodat de Verwerkingsverantwoordelijke een eigenaar behoudt.

10. Melding van inbreuken in verband met persoonsgegevens

De Verwerker stelt de Verwerkingsverantwoordelijke zonder onredelijke vertraging, en in ieder geval binnen 72 uur nadat zij kennis heeft gekregen van een inbreuk in verband met persoonsgegevens die de gegevens van de Verwerkingsverantwoordelijke betreft, daarvan in kennis, overeenkomstig artikel 33, lid 2, AVG. De beschikbare informatie omvat de aard van de inbreuk, de betrokken categorieën en het geschatte aantal betrokkenen en registraties, de waarschijnlijke gevolgen, contactgegevens en de genomen of voorgestelde maatregelen. Informatie mag in fasen worden verstrekt, zonder verdere onredelijke vertraging. De Verwerker staat de Verwerkingsverantwoordelijke bij in haar beoordelings- en meldingsverplichtingen op grond van de artikelen 33 en 34. De gekwalificeerde termijn van 72 uur waarbinnen de Verwerkingsverantwoordelijke de toezichthoudende autoriteit moet informeren, is geen wachttijd voor de Verwerker.

11. DPIA en voorafgaande raadpleging

De Verwerker staat de Verwerkingsverantwoordelijke op redelijk verzoek bij bij gegevensbeschermingseffectbeoordelingen op grond van artikel 35 en bij voorafgaande raadplegingen van toezichthoudende autoriteiten op grond van artikel 36, rekening houdend met de aard van de verwerking en de informatie waarover de Verwerker beschikt.

12. Audits en inspecties

De Verwerker stelt alle informatie beschikbaar die nodig is om de naleving van artikel 28 AVG aan te tonen en maakt audits, waaronder inspecties, door de Verwerkingsverantwoordelijke of een door haar gemachtigde auditor mogelijk en draagt daaraan bij. De partijen maken redelijke afspraken over kennisgeving, timing, vertrouwelijkheid en bescherming van informatie van andere klanten. Onafhankelijke rapporten en beveiligingsdocumentatie kunnen helpen de naleving aan te tonen, maar vervangen de wettelijke auditrechten van de Verwerkingsverantwoordelijke niet. Planning, frequentie en eisen aan de auditor mogen geen audit verhinderen die vereist is op grond van de wet, door een toezichthoudende autoriteit, wegens een inbreuk in verband met persoonsgegevens of wegens redelijke gronden om niet-naleving te vermoeden. Elke partij draagt in de regel haar eigen kosten, tenzij anders overeengekomen of wettelijk vereist.

13. Teruggave of verwijdering van persoonsgegevens

Na beëindiging van de verwerkingsdiensten bezorgt de Verwerker de persoonsgegevens, naar keuze van de Verwerkingsverantwoordelijke, terug of verwijdert zij deze, en verwijdert zij bestaande kopieën, tenzij opslag verplicht is op grond van Unierecht of lidstatelijk recht, overeenkomstig artikel 28, lid 3, onder g), AVG. De Verwerkingsverantwoordelijke dient de benodigde exports te downloaden voordat de betaalde toegang eindigt en contact op te nemen met support om verdere teruggave of verwijdering te regelen. Het beëindigen van de verlenging van het abonnement geldt op zichzelf niet als verzoek tot verwijdering van het account. De procedure voor accountverwijdering in de app plant de verwijdering in na een annuleringstermijn van 30 dagen; een eerder of ander wettelijk vereist verzoek moet rechtstreeks aan de Verwerker worden gericht. De partijen moeten de procedure voor teruggave of verwijdering overeenkomen en uitvoeren zonder gegevens langer te bewaren dan nodig. Back-upkopieën blijven onder de bescherming van deze verwerkersovereenkomst vallen totdat zij volgens het toepasselijke back-upschema zijn verwijderd; bij elk herstel moeten eerdere verwijderingsinstructies worden gerespecteerd. Factureringsgegevens die worden verwerkt voor de eigen wettelijke verplichtingen van de Verwerker, worden afzonderlijk behandeld op grond van het privacybeleid.

14. Internationale doorgiften

De Verwerker verwerkt persoonsgegevens primair binnen de Europese Unie. Wanneer de Verwerker of een subverwerker persoonsgegevens moet doorgeven aan een land buiten de Europese Economische Ruimte, vindt de doorgifte uitsluitend plaats op basis van een adequaatheidsbesluit op grond van artikel 45 AVG of van passende waarborgen op grond van artikel 46 AVG. Dat zijn doorgaans de standaardcontractbepalingen van de Europese Commissie (Besluit 2021/914/EU), waar vereist aangevuld met aanvullende technische en organisatorische maatregelen. De actuele lijst van ontvangers en toepasselijke doorgiftemechanismen is gepubliceerd op /legal/sub-processors.

15. Insolventie, beslag en gebeurtenissen bij derden

Indien de persoonsgegevens van de Verwerkingsverantwoordelijke in gevaar komen door beslag, verbeurdverklaring, een insolventie- of akkoordprocedure of enige andere handeling van een derde die het vermogen van de Verwerker om deze Verwerkersovereenkomst na te leven kan aantasten, informeert de Verwerker de Verwerkingsverantwoordelijke zonder onredelijke vertraging en deelt zij de derde schriftelijk mee dat de gegevens onder de verantwoordelijkheid vallen van de Verwerkingsverantwoordelijke als verwerkingsverantwoordelijke in de zin van de AVG. De Verwerker neemt redelijke maatregelen om de integriteit en beschikbaarheid van de gegevens van de Verwerkingsverantwoordelijke te beschermen totdat de handeling van de derde is afgehandeld.

16. Aansprakelijkheid

Elke partij is aansprakelijk voor schade die is veroorzaakt door haar eigen schending van deze verwerkersovereenkomst, overeenkomstig artikel 82 AVG en het toepasselijke recht. Niets in deze verwerkersovereenkomst sluit aansprakelijkheid uit of beperkt aansprakelijkheid die wettelijk niet kan worden uitgesloten of beperkt, waaronder aansprakelijkheid voor overlijden of letselschade, fraude, bedrieglijke voorstelling van zaken of opzettelijk wangedrag. Niets in deze verwerkersovereenkomst beperkt de rechten van betrokkenen of toezichthoudende autoriteiten. In alle overige opzichten zijn de in de hoofdovereenkomst opgenomen beperkingen en uitsluitingen van aansprakelijkheid evenzeer van toepassing op deze verwerkersovereenkomst.

17. Scheidbaarheid en slotbepalingen

Wijzigingen van en aanvullingen op deze verwerkersovereenkomst moeten schriftelijk worden vastgelegd, ook elektronisch, en uitdrukkelijk vermelden welke bepalingen worden gewijzigd. Artikel 28, lid 9, AVG staat toe dat de overeenkomst in elektronische vorm wordt opgesteld; dat alleen bewijst nog niet dat een wijziging is aanvaard. Indien een bepaling van deze verwerkersovereenkomst ongeldig, onrechtmatig of niet afdwingbaar is of wordt, laat dat de geldigheid van de overige bepalingen onverlet; de partijen vervangen de ongeldige bepaling door een geldige bepaling waarvan de economische strekking die van de ongeldige bepaling zo dicht mogelijk benadert. Deze verwerkersovereenkomst kan elektronisch worden gesloten en bijgewerkt en vervangt alle eerdere regelingen inzake gegevensverwerking tussen de partijen over hetzelfde onderwerp.

18. Toepasselijk recht en bevoegde rechter

Op deze Verwerkersovereenkomst is het recht van de Republiek Cyprus van toepassing, met uitsluiting van de regels van internationaal privaatrecht en van het Verdrag der Verenigde Naties inzake internationale koopovereenkomsten betreffende roerende zaken. De rechtbanken van Paphos, Cyprus, zijn exclusief bevoegd voor elk geschil dat voortvloeit uit of verband houdt met deze Verwerkersovereenkomst, onverminderd dwingende rechten inzake de bevoegde rechter op grond van consumentenbescherming of die van betrokkenen op grond van de AVG.

19. Contact

Voor aangelegenheden met betrekking tot deze Verwerkersovereenkomst kunt u contact opnemen met Labb Holding Ltd via privacy@persohr.eu of schrijven naar Labb Holding Ltd, Anthipolochagou Georgiou M.Savva 26, Shop 1-2, 8201 Paphos, Cyprus. Het contactpunt van de Verwerkingsverantwoordelijke voor gegevensbescherming is het gebruikersaccount dat in het PersoHR-platform als OWNER is aangewezen.