Umowa powierzenia przetwarzania danych

1. Wprowadzenie

Niniejsza Umowa powierzenia przetwarzania danych („DPA”) stanowi część głównej umowy subskrypcyjnej zawartej między Labb Holding Ltd, cypryjską spółką prywatną z ograniczoną odpowiedzialnością z siedzibą pod adresem Anthipolochagou Georgiou M.Savva 26, Shop 1-2, 8201 Paphos, Cypr, zarejestrowaną pod numerem HE 424230 (prowadzącą platformę PersoHR, „Podmiot przetwarzający”), a klientem („Administrator”). Reguluje ona przetwarzanie danych osobowych, które Podmiot przetwarzający wykonuje w imieniu Administratora w związku z platformą PersoHR, i ma na celu zapewnienie zgodności z Rozporządzeniem (UE) 2016/679 („RODO”). W przypadku sprzeczności jakiegokolwiek postanowienia niniejszej DPA z umową główną, w sprawach przetwarzania danych osobowych pierwszeństwo ma niniejsza DPA. Terminy pisane wielką literą, użyte, lecz niezdefiniowane w niniejszym dokumencie, mają znaczenie nadane im w umowie głównej lub, w stosownych przypadkach, w RODO.

2. Przedmiot, czas trwania, charakter i cel

Podmiot przetwarzający przetwarza dane osobowe wyłącznie w celu świadczenia usługi zarządzania HR PersoHR. Przetwarzanie obejmuje zarządzanie danymi pracowników, urlopami i nieobecnościami, onboardingiem, offboardingiem, ewidencją czasu pracy, przygotowaniem list płac, ocenami okresowymi, rekrutacją, przechowywaniem dokumentów, komunikacją wewnętrzną oraz innymi procesami HR skonfigurowanymi przez Administratora. Przetwarzanie obejmuje zbieranie, utrwalanie, porządkowanie, przechowywanie, pobieranie, wykorzystywanie, uprawnione ujawnianie, eksport i usuwanie na potrzeby tych usług. Niniejsza DPA nadal chroni dane osobowe klienta przez cały okres ich przechowywania, w tym w trakcie uzgodnionej procedury zwrotu lub usunięcia na podstawie sekcji 13. Przetwarzanie do własnych celów PersoHR, opisane w Polityce prywatności, jest odrębne od niniejszego powierzenia przetwarzania. Administrator przyjmuje do wiadomości, że dokładny zakres i stopień przetwarzania zależą od modułów i konfiguracji, które Administrator zdecyduje się włączyć.

3. Kategorie danych osobowych

Kategorie przetwarzanych danych osobowych zależą od konfiguracji platformy przez Administratora i mogą obejmować: dane podstawowe personelu (imię i nazwisko, dane kontaktowe, adres pocztowy, data urodzenia, zdjęcie, dane osób do kontaktu w nagłych wypadkach); dane podstawowe zatrudnienia (stanowisko, dział, rodzaj zatrudnienia, daty rozpoczęcia i zakończenia, godziny pracy, przełożony, status niepełnosprawności); treść dokumentów (umowy o pracę, certyfikaty, dokumenty tożsamości, inne pliki przesłane przez Administratora); dane dotyczące wyników i rozwoju (cele, oceny, informacje zwrotne, ewidencja szkoleń); dane dotyczące urlopów i nieobecności (wnioski, salda, dni ustawowo wolne od pracy); dane z ewidencji czasu pracy (zdarzenia rozpoczęcia i zakończenia pracy, karty czasu pracy, nadgodziny); dane do przygotowania list płac (ewidencja wynagrodzeń, IBAN, jeśli został podany, identyfikatory podatkowe i ubezpieczeń społecznych, jeśli zostały podane, obywatelstwo, płeć, stan cywilny, liczba dzieci, miejsce urodzenia, ubezpieczyciel zdrowotny i rodzaj ubezpieczenia, wyznanie na potrzeby podatku kościelnego); dane rekrutacyjne (aplikacje, CV, notatki z rozmów kwalifikacyjnych, referencje); dane z komunikacji i czatu; dane uwierzytelniające i dotyczące bezpieczeństwa (znaczniki czasu logowania, adresy IP, informacje o przeglądarce/urządzeniu (user-agent) i zapisy sesji urządzeń, stan uwierzytelniania dwuskładnikowego); oraz wszelkie inne dane osobowe, które Administrator zdecyduje się przesłać lub wygenerować na platformie. Przetwarzanie może również obejmować treść podpisów elektronicznych i dowody złożenia podpisu. Wyznanie na potrzeby podatku kościelnego może ujawniać przekonania religijne. Status niepełnosprawności, nieobecności chorobowe i zapisy zaświadczeń lekarskich mogą ujawniać dane dotyczące zdrowia nawet bez przesłanych dokumentów medycznych. W przypadku przetwarzania szczególnych kategorii danych Administrator musi ustalić podstawę z art. 6 oraz mający zastosowanie warunek z art. 9 i poinstruować Podmiot przetwarzający o niezbędnych zabezpieczeniach. Dane dotyczące wyroków skazujących wymagają spełnienia warunków z art. 10 i nie mogą być przekazywane bez uzgodnionego, zgodnego z prawem i obsługiwanego sposobu przetwarzania. Podmiot przetwarzający pozostaje odpowiedzialny za własne mające zastosowanie obowiązki w zakresie ochrony danych i bezpieczeństwa.

4. Kategorie osób, których dane dotyczą

Kategorie osób, których dane dotyczą, w odniesieniu do Administratora i wszelkich podmiotów powiązanych, którymi Administrator zdecyduje się zarządzać za pośrednictwem platformy, obejmują zazwyczaj: obecnych pracowników, wykonawców, freelancerów i inny personel, w tym pracowników poniżej 18 roku życia, jeżeli są zatrudnieni zgodnie z prawem; byłych pracowników, wykonawców i członków personelu; osoby ubiegające się o zatrudnienie i kandydatów w trwających lub zakończonych procesach rekrutacyjnych; a także osoby pozostające na utrzymaniu lub osoby do kontaktu w nagłych wypadkach wskazane przez którąkolwiek z powyższych osób. Administrator odpowiada za zgodność z prawem objęcia przetwarzaniem danych konkretnej osoby.

5. Polecenia i prawo odmowy

Podmiot przetwarzający przetwarza dane osobowe wyłącznie na udokumentowane polecenie Administratora, w tym w odniesieniu do międzynarodowego przekazywania danych, chyba że obowiązek postąpienia inaczej nakłada na niego prawo Unii lub prawo państwa członkowskiego (w takim przypadku Podmiot przetwarzający informuje Administratora przed rozpoczęciem przetwarzania, chyba że prawo to zakazuje udzielania takiej informacji z uwagi na ważny interes publiczny). Administrator wyznacza osoby wyłącznie uprawnione do wydawania poleceń przetwarzania za pośrednictwem platformy; w braku takiego wyznaczenia polecenia mogą wydawać wyłącznie osoby fizyczne uprawnione do prawnego reprezentowania Administratora. Jeżeli Podmiot przetwarzający ma uzasadnione podstawy, by sądzić, że polecenie narusza RODO lub inne mające zastosowanie przepisy o ochronie danych, niezwłocznie informuje o tym Administratora i może wstrzymać wykonanie tego polecenia do czasu wyjaśnienia sprawy między stronami.

6. Poufność

Podmiot przetwarzający zapewnia, że każda osoba fizyczna upoważniona do przetwarzania danych osobowych w jego imieniu jest zobowiązana do zachowania poufności na podstawie umowy lub ustawowego obowiązku. Każda ze stron zobowiązuje się ponadto zachować w poufności wszelkie niepubliczne informacje otrzymane od drugiej strony w związku z niniejszą DPA, w tym treść audytów, dokumentację bezpieczeństwa i raporty o incydentach, oraz wykorzystywać je wyłącznie w celu wykonania umowy głównej i niniejszej DPA. Wyłączone są informacje, które są powszechnie znane, zostały opracowane niezależnie bez wykorzystania informacji poufnych strony ujawniającej, zostały zgodnie z prawem otrzymane od osoby trzeciej bez obowiązku zachowania poufności lub muszą zostać ujawnione na podstawie wiążącego postępowania prawnego. Ogólne obowiązki zachowania poufności obowiązują przez pięć lat po rozwiązaniu umowy. Obowiązki chroniące dane osobowe obowiązują tak długo, jak dane te są przechowywane, w tym w przypadku, gdy ma zastosowanie dłuższy obowiązek ustawowy.

7. Bezpieczeństwo przetwarzania (art. 32)

Podmiot przetwarzający wdraża i utrzymuje środki techniczne i organizacyjne odpowiednie do ryzyka, uwzględniając czynniki wskazane w art. 32 RODO. Zabezpieczenia aplikacji obejmują kontrolę dostępu opartą na rolach i ograniczoną do najemcy, tokeny uwierzytelniające o ograniczonym czasie ważności, obowiązkowe uwierzytelnianie dwuskładnikowe dla ról Właściciel i Administrator HR, szyfrowanie wybranych pól wrażliwych oraz zapisy audytowe dla obsługiwanych czynności. Załącznik dotyczący bezpieczeństwa pod adresem /legal/security opisuje te zabezpieczenia. Obowiązki Podmiotu przetwarzającego w zakresie zapewnienia odpowiedniej ochrony, dostępności i odtwarzania nie ograniczają się do wymienionych tu funkcji. Aktualizacje środków nie mogą istotnie obniżać ogólnego poziomu bezpieczeństwa.

8. Dalsze podmioty przetwarzające

Administrator upoważnia Podmiot przetwarzający do korzystania z usług dalszych podmiotów przetwarzających wymienionych pod adresem /legal/sub-processors. Podmiot przetwarzający poinformuje Administratora w formie pisemnej (w tym za pośrednictwem poczty elektronicznej) co najmniej 30 dni przed dodaniem lub zastąpieniem dalszego podmiotu przetwarzającego. Administrator może zgłosić sprzeciw z uzasadnionych przyczyn dotyczących ochrony danych w terminie 14 dni od tego powiadomienia; w przypadku braku terminowego sprzeciwu zmianę uważa się za zatwierdzoną. Jeżeli strony nie zdołają rozwiązać kwestii uzasadnionego sprzeciwu w ciągu kolejnych 30 dni, każda ze stron może wypowiedzieć umowę główną w drodze pisemnego oświadczenia bez dalszej odpowiedzialności, a w takim przypadku Administratorowi przysługuje proporcjonalny zwrot wszelkich opłat uiszczonych z góry za niewykorzystaną pozostałą część okresu subskrypcji. Podmiot przetwarzający zawiera z każdym dalszym podmiotem przetwarzającym pisemną umowę nakładającą obowiązki w zakresie ochrony danych równoważne obowiązkom określonym w niniejszej DPA i pozostaje odpowiedzialny za działania i zaniechania swoich dalszych podmiotów przetwarzających.

9. Pomoc w realizacji praw osób, których dane dotyczą

Podmiot przetwarzający, uwzględniając charakter przetwarzania i w miarę możliwości, pomaga Administratorowi w realizacji żądań na podstawie rozdziału III RODO. Aplikacja udostępnia narzędzia do eksportu, sprostowania i usuwania danych z ograniczeniami wynikającymi z ról i zakresu. Narzędzia te wspierają Administratora, ale nie przesądzają, czy dane żądanie osoby musi zostać spełnione. Prawo do przenoszenia danych z art. 20 ogranicza się do danych dostarczonych przez osobę i przetwarzanych w sposób zautomatyzowany na podstawie zgody lub umowy; inne rekordy mogą być objęte prawem dostępu z art. 15. Podmiot przetwarzający zapewnia rozsądną dodatkową pomoc, jeżeli narzędzia okażą się niewystarczające. Żądania dotyczące przetwarzania danych HR przez Administratora, otrzymane bezpośrednio od osoby, są przekazywane Administratorowi bez zbędnej zwłoki.

Jeżeli osoba zwraca się do Podmiotu przetwarzającego o usunięcie swojego osobistego konta PersoHR, Podmiot przetwarzający natychmiast zamyka konto. Kończy dostęp tej osoby, usuwa dane konta, które przechowuje jako administrator (dane logowania, ustawienia uwierzytelniania dwuskładnikowego, sesje, preferencje konta oraz zgłoszenia do pomocy technicznej złożone przez tę osobę w aplikacji wraz z ich zrzutami ekranu), a także usuwa rozmowy tej osoby z asystentem AI, których aplikacja nie pokazuje nikomu innemu. Kopie tych zgłoszeń dostarczone do skrzynki pomocy technicznej Podmiotu przetwarzającego oraz inna korespondencja z Podmiotem przetwarzającym są przechowywane zgodnie z opisem w Polityce prywatności. Nie usuwa ani nie zmienia żadnego innego rekordu, który Administrator przechowuje o tej osobie. Odnotowuje żądanie przy członkostwie tej osoby w każdym z obszarów roboczych Administratora i bez zbędnej zwłoki powiadamia właścicieli i administratorów HR Administratora w aplikacji oraz e-mailem. Administrator decyduje, czy usunąć rekordy za pomocą narzędzia do usuwania w aplikacji, czy je zachować, i udziela odpowiedzi tej osobie. Podmiot przetwarzający potwierdza żądanie tej osobie e-mailem i informuje ją e-mailem, gdy Administrator odnotuje swoją decyzję w aplikacji lub gdy rekordy zostaną usunięte, ponieważ obszar roboczy jest usuwany.

Dane identyfikacyjne na koncie tej osoby, z których korzystają rekordy Administratora (imię i nazwisko, adres e-mail, data urodzenia i numer telefonu), są przechowywane w imieniu Administratora oraz każdego innego klienta, którego rekordy z nich korzystają, do czasu usunięcia każdego członkostwa tej osoby w obszarach roboczych lub usunięcia danego obszaru roboczego, a następnie są anonimizowane. Usunięte członkostwo może pozostawić rekordy, które Administrator musi przechowywać zgodnie z prawem, takie jak ewidencja czasu pracy prowadzona na nazwisko tej osoby, podlegające własnemu okresowi przechowywania. Dane identyfikacyjne zmieniają się wyłącznie na polecenie Administratora: Administrator może uzupełnić w aplikacji brakującą datę urodzenia, a wszelkie inne poprawki wprowadza pomoc techniczna Podmiotu przetwarzającego. Podmiot przetwarzający wykorzystuje je do kontaktu z tą osobą wyłącznie w celu przesłania opisanych powyżej potwierdzenia i powiadomienia o decyzji, zawiadomień, które Administrator jest prawnie zobowiązany przekazać, oraz opisanego poniżej archiwum końcowego. Zamkniętego konta nie można ponownie otworzyć, a jego adresu e-mail nie można użyć do założenia nowego konta ani zaprosić do obszaru roboczego, dopóki każde członkostwo tej osoby w obszarach roboczych nie zostanie usunięte lub dany obszar roboczy nie zostanie usunięty.

Jeżeli Administrator zażądał usunięcia swojego obszaru roboczego, żądanie otwarte w chwili rozpoczęcia zamykania obszaru roboczego lub otrzymane w trakcie jego zamykania jest realizowane po ukończeniu archiwum końcowego obszaru roboczego (w nocnym przebiegu następującym po ukończeniu archiwum lub po żądaniu, jeżeli archiwum było już ukończone) albo w chwili usunięcia obszaru roboczego, jeżeli nastąpi to wcześniej, tak aby rekordy tej osoby znalazły się w każdym archiwum końcowym, które otrzyma Administrator. Kopia archiwum końcowego przechowywana przez Podmiot przetwarzający jest usuwana wraz z obszarem roboczym. Jeżeli ta osoba jest osobą kontaktową wskazaną przez Administratora dla tego archiwum, archiwum trafia do innego właściciela obszaru roboczego, który nadal może się zalogować, a na adres tej osoby tylko wtedy, gdy takiego właściciela nie ma. Jeżeli ta osoba jest jedynym właścicielem obszaru roboczego, który nie jest usuwany, żądania nie można zrealizować, dopóki obszar roboczy nie będzie miał innego aktywnego właściciela lub aktywnego administratora HR albo dopóki obszar roboczy nie zacznie być usuwany; jeżeli istnieje aktywny administrator HR, Podmiot przetwarzający czyni właścicielem tego o najdłuższym stażu, tak aby Administrator zachował właściciela.

10. Zgłaszanie naruszeń ochrony danych osobowych

Podmiot przetwarzający powiadamia Administratora bez zbędnej zwłoki, a w każdym razie w ciągu 72 godzin od stwierdzenia naruszenia ochrony danych osobowych dotyczącego danych Administratora, zgodnie z art. 33 ust. 2 RODO. Dostępne informacje obejmują charakter naruszenia, kategorie i przybliżoną liczbę osób oraz rekordów, których dotyczy naruszenie, prawdopodobne konsekwencje, dane kontaktowe oraz podjęte lub proponowane środki. Informacje mogą być przekazywane etapami bez dalszej zbędnej zwłoki. Podmiot przetwarzający pomaga Administratorowi w dokonaniu oceny oraz w wywiązaniu się z obowiązków zgłoszenia i zawiadomienia wynikających z art. 33 i 34. Kwalifikowany 72-godzinny termin Administratora na zgłoszenie organowi nadzorczemu nie stanowi dla Podmiotu przetwarzającego okresu oczekiwania.

11. Ocena skutków dla ochrony danych i uprzednie konsultacje

Podmiot przetwarzający pomaga Administratorowi, na jego uzasadnione żądanie, w przeprowadzaniu ocen skutków dla ochrony danych zgodnie z art. 35 oraz uprzednich konsultacji z organami nadzorczymi zgodnie z art. 36, uwzględniając charakter przetwarzania oraz informacje dostępne Podmiotowi przetwarzającemu.

12. Audyty i inspekcje

Podmiot przetwarzający udostępnia wszelkie informacje niezbędne do wykazania spełnienia obowiązków określonych w art. 28 RODO oraz umożliwia Administratorowi lub upoważnionemu przez niego audytorowi przeprowadzanie audytów, w tym inspekcji, i przyczynia się do nich. Strony uzgadniają rozsądne zasady dotyczące powiadomień, terminów, poufności oraz ochrony informacji innych klientów. Niezależne raporty i dokumentacja bezpieczeństwa mogą pomóc w wykazaniu spełnienia obowiązków, ale nie zastępują ustawowych uprawnień audytowych Administratora. Wymogi dotyczące terminów, częstotliwości i audytorów nie mogą uniemożliwiać audytu wymaganego przez prawo, przez organ nadzorczy, w związku z naruszeniem ochrony danych osobowych lub w przypadku uzasadnionych podstaw do podejrzenia nieprzestrzegania obowiązków. Każda ze stron co do zasady ponosi własne koszty, chyba że uzgodniono inaczej lub prawo stanowi inaczej.

13. Zwrot lub usunięcie danych osobowych

Po zakończeniu świadczenia usług przetwarzania Podmiot przetwarzający, zależnie od decyzji Administratora, zwraca lub usuwa dane osobowe oraz usuwa wszelkie istniejące kopie, chyba że prawo Unii lub prawo państwa członkowskiego nakazuje ich przechowywanie, zgodnie z art. 28 ust. 3 lit. g RODO. Administrator powinien pobrać potrzebne eksporty przed zakończeniem płatnego dostępu i skontaktować się z pomocą techniczną w celu ustalenia dalszego zwrotu lub usunięcia danych. Samo zakończenie odnawiania subskrypcji nie stanowi złożenia wniosku o usunięcie konta. Procedura usunięcia konta w aplikacji planuje usunięcie po upływie 30-dniowego okresu, w którym można je anulować; wcześniejsze lub inne żądanie wymagane prawem należy kierować bezpośrednio do Podmiotu przetwarzającego. Strony muszą uzgodnić i przeprowadzić procedurę zwrotu lub usunięcia bez przechowywania danych dłużej, niż jest to konieczne. Kopie zapasowe pozostają chronione niniejszą DPA do czasu ich usunięcia zgodnie z mającym zastosowanie harmonogramem kopii zapasowych; każde przywrócenie danych musi uwzględniać wcześniejsze polecenia usunięcia. Dokumentacja rozliczeniowa przetwarzana w związku z własnymi obowiązkami prawnymi Podmiotu przetwarzającego jest obsługiwana odrębnie na podstawie Polityki prywatności.

14. Przekazywanie danych do państw trzecich

Podmiot przetwarzający przetwarza dane osobowe przede wszystkim na terytorium Unii Europejskiej. Jeżeli Podmiot przetwarzający lub którykolwiek dalszy podmiot przetwarzający musi przekazać dane osobowe do państwa spoza Europejskiego Obszaru Gospodarczego, przekazanie następuje wyłącznie na podstawie decyzji stwierdzającej odpowiedni stopień ochrony na mocy art. 45 RODO lub odpowiednich zabezpieczeń na mocy art. 46 RODO, zazwyczaj standardowych klauzul umownych Komisji Europejskiej (decyzja 2021/914/UE), uzupełnionych, w razie potrzeby, o dodatkowe środki techniczne i organizacyjne. Aktualna lista odbiorców i mających zastosowanie mechanizmów przekazywania jest opublikowana pod adresem /legal/sub-processors.

15. Niewypłacalność, zajęcie i zdarzenia z udziałem osób trzecich

Jeżeli dane osobowe Administratora są zagrożone wskutek zajęcia, konfiskaty, postępowania upadłościowego lub układowego albo jakiegokolwiek innego działania osoby trzeciej, które mogłoby wpłynąć na zdolność Podmiotu przetwarzającego do przestrzegania niniejszej DPA, Podmiot przetwarzający bez zbędnej zwłoki poinformuje o tym Administratora oraz poinformuje osobę trzecią na piśmie, że za dane odpowiada Administrator jako administrator danych w rozumieniu RODO. Do czasu zakończenia sprawy związanej z działaniem osoby trzeciej Podmiot przetwarzający podejmie rozsądne kroki w celu ochrony integralności i dostępności danych Administratora.

16. Odpowiedzialność

Każda ze stron ponosi odpowiedzialność za szkody wyrządzone przez własne naruszenie niniejszej DPA zgodnie z art. 82 RODO i mającym zastosowanie prawem. Żadne z postanowień niniejszej DPA nie wyłącza ani nie ogranicza odpowiedzialności, której nie można wyłączyć ani ograniczyć na mocy prawa, w tym odpowiedzialności za śmierć lub uszkodzenie ciała, oszustwo, podstępne wprowadzenie w błąd lub umyślne naruszenie obowiązków. Żadne z postanowień niniejszej DPA nie ogranicza praw osób, których dane dotyczą, ani uprawnień organów nadzorczych. We wszystkich pozostałych kwestiach ograniczenia i wyłączenia odpowiedzialności określone w umowie głównej mają odpowiednio zastosowanie do niniejszej DPA.

17. Klauzula salwatoryjna i postanowienia końcowe

Zmiany i uzupełnienia niniejszej DPA wymagają formy pisemnej, w tym elektronicznej, i muszą wyraźnie wskazywać zmieniane postanowienia. Art. 28 ust. 9 RODO dopuszcza zawarcie umowy w formie elektronicznej; samo to nie oznacza akceptacji zmiany. Jeżeli którekolwiek postanowienie niniejszej DPA jest lub stanie się nieważne, niezgodne z prawem lub niewykonalne, nie wpływa to na ważność pozostałych postanowień; strony zastąpią nieważne postanowienie postanowieniem ważnym, którego skutek ekonomiczny będzie możliwie najbliższy skutkowi postanowienia nieważnego. Niniejsza DPA może być zawierana i aktualizowana elektronicznie i zastępuje wszelkie wcześniejsze ustalenia stron dotyczące przetwarzania danych w tym samym przedmiocie.

18. Prawo właściwe i jurysdykcja

Niniejsza DPA podlega prawu Republiki Cypryjskiej, z wyłączeniem jej norm kolizyjnych oraz Konwencji Narodów Zjednoczonych o umowach międzynarodowej sprzedaży towarów. Wyłączną jurysdykcję w sprawie wszelkich sporów wynikających z niniejszej DPA lub z nią związanych mają sądy w Paphos na Cyprze, bez uszczerbku dla bezwzględnie obowiązujących praw konsumentów lub osób, których dane dotyczą, w zakresie właściwości sądu, wynikających z RODO.

19. Kontakt

W sprawach dotyczących niniejszej DPA prosimy o kontakt z Labb Holding Ltd pod adresem privacy@persohr.eu lub listownie na adres Labb Holding Ltd, Anthipolochagou Georgiou M.Savva 26, Shop 1-2, 8201 Paphos, Cypr. Punktem kontaktowym Administratora w sprawach ochrony danych jest konto użytkownika oznaczone na platformie PersoHR jako OWNER.