Unde sunt prelucrate datele dvs. de resurse umane? Întrebări pe care să le adresați furnizorului dvs.

Alegerea unei platforme de resurse umane înseamnă să înțelegeți unde sunt stocate datele angajaților, cine are acces la ele și ce măsuri de protecție se aplică. Un răspuns clar ar trebui să acopere baza de date, documentele, copiile de siguranță, accesul la asistență și serviciile conexe.

Informații verificate la 21 septembrie 2026.

Găzduirea în UE și conformitatea cu RGPD sunt aspecte distincte

Găzduirea în UE poate fi o cerință utilă în cadrul procedurii de achiziții. Aceasta nu garantează în sine conformitatea, iar RGPD nu impune o interdicție generală privind stocarea sau prelucrarea datelor cu caracter personal în afara Spațiului Economic European. Transferurile internaționale necesită o cale valabilă prevăzută în capitolul V, pe lângă celelalte cerințe aplicabile prelucrării. EDPB: transferuri internaționale de date

Cereți furnizorului să facă distincția între sediul social și locațiile de prelucrare. O companie din UE poate utiliza infrastructură sau echipe de asistență situate în altă parte. Adresa unui server, în sine, nu oferă prea multe informații despre cine deține cheile de criptare sau cine poate accesa înregistrările de la distanță.

Ce s-a schimbat după hotărârea Schrems II?

Hotărârea Schrems II din 2020 a invalidat Privacy Shield, dar a menținut clauzele contractuale standard (SCC) ca instrument de transfer, sub rezerva evaluării și a măsurilor de protecție necesare. SCC-urile nu reprezintă o aprobare generală a fiecărui transfer: părțile trebuie să analizeze dacă acestea sunt adecvate în circumstanțele date și să aplice măsuri suplimentare acolo unde este necesar. EDPB: măsuri suplimentare

Comisia a adoptat în 2023 decizia privind caracterul adecvat al Cadrului UE-SUA privind protecția datelor. Aceasta acoperă transferurile către organizațiile americane participante, în limitele certificării acestora. Verificați dacă destinatarul figurează în lista actuală și dacă aceasta acoperă datele relevante, inclusiv datele privind resursele umane, acolo unde este cazul. Comisia Europeană: Transferuri UE–SUA

În septembrie 2025, Tribunalul a respins contestația în cauza Latombe/Comisia, evaluând decizia la momentul adoptării acesteia. Această hotărâre nu trebuie interpretată ca o garanție cu privire la viitoare litigii sau la politica guvernamentală. Verificați poziția actuală privind adecvarea atunci când luați o decizie de achiziție publică. Tribunalul: hotărârea Latombe

Ce înseamnă CLOUD Act pentru un cumpărător?

Legea CLOUD a clarificat faptul că furnizorii care fac obiectul procedurilor juridice relevante din SUA ar putea fi obligați să dezvăluie datele aflate în posesia, custodia sau sub controlul lor, chiar și atunci când acestea sunt stocate în străinătate. Nu este vorba de un acces nelimitat la fiecare bază de date din străinătate, iar simpla constituire a unei societăți nu răspunde la toate întrebările legate de jurisdicție sau control. Departamentul de Justiție al SUA: Explicații privind Legea CLOUD

Întrebările utile de aprofundare sunt: ce entitate poate accesa datele, cine controlează cheile de acces, cum sunt analizate solicitările autorităților și ce preaviz poate oferi furnizorul? Aceste răspunsuri sunt mai informative decât o promisiune că o anumită companie sau locația unui server elimină orice risc juridic.

Solicitați o hartă completă a procesării datelor

Solicitați următoarele informații înainte de a alege o platformă:

• Locația bazei de date principale, a documentelor și a copiilor de rezervă.
• Entitățile juridice care furnizează servicii de găzduire, e-mail, inteligență artificială, asistență și facturare.
• Orice acces la distanță sau prelucrare ulterioară în afara SEE.
• Mecanismul de transfer utilizat pentru fiecare destinatar relevant.
• Clauzele contractuale privind schimbarea sub-procesatorilor, exportul și ștergerea datelor.
• Dovezi care să susțină afirmațiile privind criptarea, controalele de acces și recuperarea datelor.

Separați datele aplicației de datele de facturare, dar nu presupuneți că informațiile de facturare sunt anonime. Datele de contact ale unui titular de cont identificat pot constitui în continuare date cu caracter personal. Integrările opționale trebuie evaluate atât în ceea ce privește informațiile pe care le transmit, cât și cele pe care le primesc.

Cum să utilizați răspunsurile

Păstrați acordul de prelucrare a datelor (DPA) al furnizorului și declarațiile privind prelucrarea împreună cu evaluarea dumneavoastră. Notați orice cerință importantă pentru organizația dumneavoastră, cum ar fi o anumită regiune de găzduire sau restricții privind accesul la asistență. Solicitați clarificări în scris cu privire la aspectele nerezolvate înainte de a vă baza pe o mențiune generală de tipul „găzduit în UE”.

În cazul PersoHR, începeți cu măsurile noastre de securitate, Acordul privind prelucrarea datelor și lista sub-procesatorilor. Aceste documente descriu diferite aspecte ale serviciului și trebuie citite împreună. O descriere completă a fluxului de date este mai utilă decât o afirmație conform căreia doar localizarea geografică face ca un produs să fie conform.