Acord de prelucrare a datelor

1. Introducere

Prezentul Acord de prelucrare a datelor („DPA”) face parte din acordul-cadru de abonament încheiat între Labb Holding Ltd, societate privată cipriotă cu răspundere limitată prin acțiuni, cu sediul social la Anthipolochagou Georgiou M.Savva 26, Shop 1-2, 8201 Paphos, Cipru, înregistrată sub numărul HE 424230 (care operează platforma PersoHR, „Persoana împuternicită”), și clientul („Operatorul”). Acesta reglementează prelucrarea datelor cu caracter personal pe care Persoana împuternicită o efectuează în numele Operatorului în legătură cu platforma PersoHR și este conceput pentru a respecta Regulamentul (UE) 2016/679 („GDPR”). În cazul în care o prevedere a prezentului DPA intră în conflict cu acordul-cadru, prezentul DPA prevalează în ceea ce privește prelucrarea datelor cu caracter personal. Termenii scriși cu majusculă care sunt utilizați, dar nu sunt definiți aici, au înțelesul atribuit în acordul-cadru sau, după caz, în GDPR.

2. Obiectul, durata, natura și scopul

Persoana împuternicită prelucrează date cu caracter personal în scopul unic al furnizării serviciului de management HR PersoHR. Prelucrarea acoperă gestionarea dosarelor angajaților, a concediilor și absențelor, onboardingul, offboardingul, evidența timpului de lucru, pregătirea salarizării, evaluările de performanță, recrutarea, stocarea documentelor, comunicarea internă și alte fluxuri de lucru HR configurate de Operator. Prelucrarea include colectarea, înregistrarea, organizarea, stocarea, consultarea, utilizarea, divulgarea autorizată, exportul și ștergerea în cadrul acestor servicii. Prezentul DPA continuă să protejeze datele cu caracter personal ale clientului cât timp acestea sunt păstrate, inclusiv pe durata unei proceduri convenite de returnare sau ștergere în temeiul secțiunii 13. Prelucrarea în scopurile proprii ale PersoHR, astfel cum sunt descrise în Politica de confidențialitate, este separată de prezenta împuternicire. Operatorul ia act de faptul că domeniul exact și amploarea prelucrării depind de modulele și configurația pe care Operatorul alege să le activeze.

3. Categorii de date cu caracter personal

Categoriile de date cu caracter personal prelucrate depind de configurarea platformei de către Operator și pot include: date de bază privind personalul (nume, date de contact, adresă poștală, data nașterii, fotografie, date ale persoanei de contact în caz de urgență); date de bază privind raportul de muncă (funcție, departament, tipul raportului de muncă, data de început și de încetare, program de lucru, manager, situația privind dizabilitatea); conținutul documentelor (contracte de muncă, certificări, documente de identitate, alte fișiere încărcate de Operator); date privind performanța și dezvoltarea (obiective, evaluări, feedback, evidența instruirilor); date privind concediile și absențele (cereri, solduri, sărbători legale); date privind evidența timpului de lucru (evenimente de pontare la intrare / ieșire, foi de pontaj, ore suplimentare); date pentru pregătirea salarizării (evidențe salariale, IBAN, dacă este furnizat, identificatori fiscali și de asigurări sociale, dacă sunt furnizați, cetățenie, gen, stare civilă, număr de copii, locul nașterii, casa de asigurări de sănătate și tipul asigurării, confesiunea pentru impozitul bisericesc); date de recrutare (candidaturi, CV-uri, note de interviu, referințe); date de comunicare și de chat; date de autentificare și de securitate (marcaje temporale ale autentificărilor, adrese IP, informații user-agent ale browserului/dispozitivului și înregistrări ale sesiunilor pe dispozitive, starea autentificării cu doi factori); precum și orice alte date cu caracter personal pe care Operatorul alege să le încarce sau să le genereze în cadrul platformei. Prelucrarea poate include, de asemenea, conținutul semnăturilor electronice și dovezile de semnare. Confesiunea pentru impozitul bisericesc poate dezvălui religia. Situația privind dizabilitatea, absențele pe motiv de boală și evidențele certificatelor medicale pot dezvălui date privind sănătatea chiar și fără documente medicale încărcate. Atunci când sunt prelucrate categorii speciale de date, Operatorul trebuie să stabilească un temei în conformitate cu articolul 6 și o condiție aplicabilă în conformitate cu articolul 9 și să instruiască Persoana împuternicită cu privire la garanțiile necesare. Datele privind condamnările penale necesită îndeplinirea condițiilor de la articolul 10 și nu trebuie furnizate fără un mecanism de prelucrare convenit, legal și susținut. Persoana împuternicită rămâne responsabilă pentru propriile obligații aplicabile în materie de protecție a datelor și de securitate.

4. Categorii de persoane vizate

Categoriile de persoane vizate, în ceea ce privește Operatorul și orice afiliați pe care Operatorul alege să îi administreze prin intermediul platformei, includ de regulă: angajații actuali, contractanții, colaboratorii independenți și alt personal, inclusiv lucrătorii sub 18 ani, atunci când sunt angajați în mod legal; foștii angajați, contractanți și membri ai personalului; solicitanții și candidații din procese de recrutare în curs sau anterioare; precum și persoanele aflate în întreținere sau persoanele de contact în caz de urgență comunicate de oricare dintre persoanele de mai sus. Operatorul răspunde de legalitatea includerii oricărei persoane vizate specifice în domeniul de aplicare al prelucrării.

5. Instrucțiuni și dreptul de refuz

Persoana împuternicită va prelucra datele cu caracter personal numai pe baza instrucțiunilor documentate ale Operatorului, inclusiv în ceea ce privește transferurile internaționale, cu excepția cazului în care este obligată să procedeze altfel în temeiul dreptului Uniunii sau al dreptului intern (caz în care Persoana împuternicită va informa Operatorul înainte de prelucrare, cu excepția situației în care dreptul respectiv interzice o astfel de informare din motive importante de interes public). Operatorul desemnează persoanele autorizate în mod exclusiv să emită instrucțiuni de prelucrare prin intermediul platformei; în lipsa unei astfel de desemnări, pot emite instrucțiuni numai persoanele fizice autorizate să reprezinte legal Operatorul. Dacă Persoana împuternicită consideră în mod rezonabil că o instrucțiune încalcă GDPR sau alte dispoziții aplicabile în materie de protecție a datelor, aceasta va informa imediat Operatorul și poate suspenda executarea instrucțiunii respective până când chestiunea este soluționată între părți.

6. Confidențialitate

Persoana împuternicită se asigură că orice persoană fizică autorizată să prelucreze date cu caracter personal în numele său este ținută de o obligație de confidențialitate, fie prin contract, fie printr-o obligație legală. De asemenea, fiecare parte se angajează să păstreze confidențialitatea oricăror informații nepublice pe care le primește de la cealaltă parte în legătură cu prezentul DPA, inclusiv conținutul auditurilor, documentația de securitate și rapoartele privind incidentele, și să utilizeze aceste informații exclusiv pentru executarea acordului-cadru și a prezentului DPA. Sunt excluse informațiile care sunt de notorietate publică, care au fost dezvoltate independent fără utilizarea informațiilor confidențiale ale părții care le divulgă, care au fost primite în mod legal de la un terț fără obligație de confidențialitate sau a căror divulgare este impusă printr-o procedură legală obligatorie. Obligațiile generale de confidențialitate continuă să se aplice timp de cinci ani după încetare. Obligațiile care protejează datele cu caracter personal continuă să se aplice cât timp datele respective sunt păstrate, inclusiv atunci când se aplică o obligație legală pe o durată mai lungă.

7. Securitatea prelucrării (articolul 32)

Persoana împuternicită pune în aplicare și menține măsuri tehnice și organizatorice adecvate riscului, ținând seama de factorii prevăzuți la articolul 32 din GDPR. Garanțiile la nivelul aplicației includ controale de acces bazate pe roluri și limitate la nivel de tenant, tokenuri de autentificare cu valabilitate limitată, autentificare cu doi factori obligatorie pentru rolurile Owner și HR Admin, criptarea anumitor câmpuri sensibile și înregistrări de audit pentru acțiunile acceptate. Anexa de securitate de la /legal/security descrie aceste garanții. Obligațiile Persoanei împuternicite de a asigura protecția, disponibilitatea și recuperarea adecvate nu se limitează la funcționalitățile enumerate aici. Actualizările măsurilor nu trebuie să reducă în mod semnificativ nivelul general de securitate.

8. Sub-procesatori

Operatorul autorizează Persoana împuternicită să recurgă la sub-procesatorii enumerați la /legal/sub-processors. Persoana împuternicită va informa Operatorul în scris (inclusiv prin e-mail) cu cel puțin 30 de zile înainte de adăugarea sau înlocuirea unui sub-procesator. Operatorul poate formula obiecții din motive rezonabile legate de protecția datelor în termen de 14 zile de la această notificare; în lipsa unei obiecții formulate în termen, modificarea se consideră aprobată. Dacă părțile nu pot soluționa o obiecție justificată în termen de încă 30 de zile, oricare dintre părți poate rezilia acordul-cadru prin notificare scrisă, fără nicio altă răspundere, caz în care Operatorul are dreptul la rambursarea proporțională a tarifelor plătite în avans care acoperă restul neutilizat al perioadei de abonament. Persoana împuternicită încheie cu fiecare sub-procesator acorduri scrise care impun obligații de protecție a datelor echivalente cu cele din prezentul DPA și rămâne răspunzătoare pentru acțiunile și omisiunile sub-procesatorilor săi.

9. Asistență privind drepturile persoanelor vizate

Persoana împuternicită asistă Operatorul, ținând seama de natura prelucrării și în măsura posibilului, în soluționarea cererilor formulate în temeiul capitolului III din GDPR. Aplicația oferă instrumente de export, rectificare și ștergere a datelor, cu restricții în funcție de rol și de domeniul de acces. Aceste instrumente asistă Operatorul, dar nu stabilesc dacă o cerere individuală trebuie admisă. Dreptul la portabilitate prevăzut la articolul 20 se limitează la datele furnizate de persoana vizată și prelucrate prin mijloace automate pe baza consimțământului sau a unui contract; alte înregistrări pot intra sub incidența dreptului de acces prevăzut la articolul 15. Persoana împuternicită oferă asistență suplimentară rezonabilă atunci când instrumentele nu sunt suficiente. Cererile privind prelucrarea în scopuri HR efectuată de Operator, primite direct de la o persoană vizată, sunt transmise Operatorului fără întârzieri nejustificate.

Atunci când o persoană vizată îi cere Persoanei împuternicite să îi șteargă contul personal PersoHR, Persoana împuternicită închide contul imediat. Aceasta încetează accesul persoanei vizate, șterge datele contului pe care le deține în calitate de operator (datele de autentificare, setările de autentificare cu doi factori, sesiunile, preferințele contului și cererile de asistență pe care persoana vizată le-a făcut în aplicație, împreună cu capturile lor de ecran) și șterge conversațiile persoanei vizate cu asistentul AI, pe care aplicația nu le arată nimănui altcuiva. Copiile acelor cereri de asistență livrate în căsuța poștală de asistență a Persoanei împuternicite, precum și restul corespondenței cu Persoana împuternicită, sunt păstrate conform celor descrise în Politica de confidențialitate. Aceasta nu șterge și nu modifică nicio altă înregistrare pe care Operatorul o deține despre persoana vizată. Persoana împuternicită înregistrează cererea pentru apartenența persoanei vizate la fiecare dintre spațiile de lucru ale Operatorului și îi notifică pe proprietarii și administratorii HR ai Operatorului, în aplicație și prin e-mail, fără întârzieri nejustificate. Operatorul decide dacă șterge înregistrările, folosind instrumentul de ștergere al aplicației, sau le păstrează și îi răspunde persoanei vizate. Persoana împuternicită îi confirmă cererea persoanei vizate prin e-mail și o informează prin e-mail după ce Operatorul și-a înregistrat decizia în aplicație sau după ce înregistrările au fost șterse pentru că spațiul de lucru este în curs de ștergere.

Datele de identitate din contul persoanei vizate pe care le folosesc înregistrările Operatorului (numele, adresa de e-mail, data nașterii și numărul de telefon) sunt păstrate în numele Operatorului și al oricărui alt client ale cărui înregistrări le folosesc, până când fiecare apartenență a persoanei vizate la un spațiu de lucru a fost ștearsă sau spațiul ei de lucru a fost șters, iar apoi sunt anonimizate. O apartenență ștearsă poate lăsa înregistrări pe care Operatorul trebuie să le păstreze prin lege, cum ar fi o evidență a timpului de lucru ținută pe numele persoanei vizate, care urmează propria perioadă de păstrare. Datele de identitate se modifică doar la instrucțiunea unui Operator: Operatorul poate adăuga în aplicație o dată a nașterii lipsă, iar orice altă corectură este efectuată de echipa de asistență a Persoanei împuternicite. Persoana împuternicită le folosește pentru a-i scrie persoanei vizate doar pentru confirmarea și notificarea deciziei descrise mai sus, pentru notificările pe care Operatorul este obligat prin lege să le transmită și pentru arhiva finală descrisă mai jos. Un cont închis nu poate fi redeschis, iar adresa sa de e-mail nu poate fi folosită pentru un cont nou și nici invitată într-un spațiu de lucru până când fiecare apartenență a persoanei vizate la un spațiu de lucru a fost ștearsă sau spațiul ei de lucru a fost șters.

Atunci când Operatorul a solicitat ștergerea spațiului său de lucru, o cerere care este deschisă în momentul în care spațiul de lucru începe să se închidă sau care sosește în timp ce acesta se închide este executată după finalizarea arhivei finale a spațiului de lucru (în rularea de noapte care urmează finalizării sau care urmează cererii, dacă arhiva era deja finalizată) ori la ștergerea spațiului de lucru, dacă aceasta are loc mai întâi, astfel încât înregistrările persoanei vizate fac parte din orice arhivă finală pe care o primește Operatorul. Copia arhivei finale deținută de Persoana împuternicită este ștearsă odată cu spațiul de lucru. Atunci când persoana vizată este persoana de contact pe care Operatorul a desemnat-o pentru acea arhivă, arhiva este trimisă unui alt proprietar al spațiului de lucru care se mai poate autentifica și la adresa persoanei vizate doar atunci când nu există niciunul. Atunci când persoana vizată este singurul proprietar al unui spațiu de lucru care nu este în curs de ștergere, cererea nu poate fi finalizată până când spațiul de lucru nu are un alt proprietar activ sau un administrator HR activ ori până când spațiul de lucru nu este în curs de ștergere; atunci când există un administrator HR activ, Persoana împuternicită îl face proprietar pe cel cu cea mai mare vechime, astfel încât Operatorul să păstreze un proprietar.

10. Notificarea încălcării securității datelor cu caracter personal

Persoana împuternicită notifică Operatorul fără întârzieri nejustificate și, în orice caz, în termen de 72 de ore de la momentul în care a luat cunoștință de o încălcare a securității datelor cu caracter personal care afectează datele Operatorului, în conformitate cu articolul 33 alineatul (2) din GDPR. Informațiile disponibile includ natura încălcării, categoriile afectate și numărul aproximativ de persoane și de înregistrări vizate, consecințele probabile, datele de contact și măsurile luate sau propuse. Informațiile pot fi furnizate în etape, fără alte întârzieri nejustificate. Persoana împuternicită asistă Operatorul în evaluarea și îndeplinirea obligațiilor sale de notificare în temeiul articolelor 33 și 34. Termenul de 72 de ore, cu excepțiile sale, în care Operatorul trebuie să notifice autoritatea de supraveghere nu constituie o perioadă de așteptare pentru Persoana împuternicită.

11. DPIA și consultarea prealabilă

Persoana împuternicită asistă Operatorul, la cerere rezonabilă, la efectuarea evaluărilor impactului asupra protecției datelor în temeiul articolului 35 și la consultările prealabile cu autoritățile de supraveghere în temeiul articolului 36, ținând seama de natura prelucrării și de informațiile de care dispune Persoana împuternicită.

12. Audituri și inspecții

Persoana împuternicită pune la dispoziție toate informațiile necesare pentru a demonstra respectarea articolului 28 din GDPR și permite și contribuie la audituri, inclusiv inspecții, efectuate de Operator sau de auditorul mandatat de acesta. Părțile convin asupra unor modalități rezonabile privind notificarea, calendarul, confidențialitatea și protecția informațiilor altor clienți. Rapoartele independente și documentația de securitate pot contribui la demonstrarea conformității, dar nu înlocuiesc drepturile legale de audit ale Operatorului. Programarea, frecvența și cerințele privind auditorul nu trebuie să împiedice un audit impus de lege, de o autoritate de supraveghere, de o încălcare a securității datelor cu caracter personal sau de existența unor motive rezonabile de a suspecta nerespectarea obligațiilor. Fiecare parte suportă, în mod normal, propriile costuri, cu excepția cazului în care s-a convenit altfel sau legea impune altfel.

13. Returnarea sau ștergerea datelor cu caracter personal

După încetarea serviciilor de prelucrare, Persoana împuternicită returnează sau șterge datele cu caracter personal, la alegerea Operatorului, și șterge copiile existente, cu excepția cazului în care dreptul Uniunii sau dreptul intern impune păstrarea acestora, în conformitate cu articolul 28 alineatul (3) litera (g) din GDPR. Operatorul ar trebui să descarce exporturile necesare înainte de încetarea accesului plătit și să contacteze echipa de asistență pentru a organiza orice returnare sau ștergere ulterioară. Oprirea reînnoirii abonamentului nu constituie, în sine, o cerere de ștergere a contului. Procedura de ștergere a contului din aplicație programează ștergerea după o perioadă de anulare de 30 de zile; o cerere impusă de lege, anterioară sau diferită, trebuie adresată direct Persoanei împuternicite. Părțile trebuie să convină asupra procedurii de returnare sau ștergere și să o pună în aplicare fără a păstra datele mai mult decât este necesar. Copiile de rezervă rămân protejate de prezentul DPA până la eliminarea lor conform programului aplicabil al copiilor de rezervă; orice restaurare trebuie să respecte instrucțiunile de ștergere anterioare. Evidențele de facturare prelucrate pentru îndeplinirea obligațiilor legale proprii ale Persoanei împuternicite sunt tratate separat, în temeiul Politicii de confidențialitate.

14. Transferuri internaționale

Persoana împuternicită prelucrează datele cu caracter personal în principal în Uniunea Europeană. În cazul în care Persoana împuternicită sau un sub-procesator trebuie să transfere date cu caracter personal către o țară din afara Spațiului Economic European, transferul se efectuează numai în temeiul unei decizii privind caracterul adecvat în conformitate cu articolul 45 din GDPR sau al unor garanții adecvate în conformitate cu articolul 46 din GDPR, de regulă Clauzele contractuale standard ale Comisiei Europene (Decizia 2021/914/UE), completate, acolo unde este necesar, cu măsuri tehnice și organizatorice suplimentare. Lista actuală a destinatarilor și a mecanismelor de transfer aplicabile este publicată la /legal/sub-processors.

15. Insolvență, sechestru și evenimente cauzate de terți

Dacă datele cu caracter personal ale Operatorului sunt puse în pericol de un sechestru, o confiscare, o procedură de insolvență sau de concordat ori de orice altă acțiune a unui terț care ar putea afecta capacitatea Persoanei împuternicite de a respecta prezentul DPA, Persoana împuternicită va informa Operatorul fără întârzieri nejustificate și va informa terțul în scris că datele se află în responsabilitatea Operatorului, în calitate de operator în sensul GDPR. Persoana împuternicită va lua măsuri rezonabile pentru a proteja integritatea și disponibilitatea datelor Operatorului până la soluționarea acțiunii terțului.

16. Răspundere

Fiecare parte răspunde pentru prejudiciile cauzate de propria încălcare a prezentului DPA, în conformitate cu articolul 82 din GDPR și cu legislația aplicabilă. Nicio dispoziție a prezentului DPA nu exclude și nu limitează vreo răspundere care nu poate fi exclusă sau limitată prin lege, inclusiv pentru deces sau vătămare corporală, fraudă, declarații false frauduloase sau culpă intenționată. Nicio dispoziție a prezentului DPA nu restrânge drepturile persoanelor vizate sau ale autorităților de supraveghere. În toate celelalte privințe, limitările și excluderile de răspundere prevăzute în acordul-cadru se aplică în egală măsură prezentului DPA.

17. Clauza de independență și dispoziții finale

Modificările și completările prezentului DPA trebuie consemnate în scris, inclusiv în format electronic, și trebuie să identifice în mod explicit dispozițiile modificate. Articolul 28 alineatul (9) din GDPR permite ca acordul să fie în format electronic; acest lucru nu stabilește, în sine, acceptarea unei modificări. Dacă oricare dintre dispozițiile prezentului DPA este sau devine nulă, ilegală sau inaplicabilă, valabilitatea celorlalte dispoziții nu este afectată; părțile vor înlocui dispoziția nulă cu una valabilă al cărei efect economic este cât mai apropiat posibil de cel al dispoziției nule. Prezentul DPA poate fi încheiat și actualizat în format electronic și înlocuiește orice acorduri anterioare de prelucrare a datelor dintre părți având același obiect.

18. Legea aplicabilă și instanța competentă

Prezentul DPA este guvernat de legislația Republicii Cipru, cu excluderea normelor sale privind conflictul de legi și a Convenției Națiunilor Unite privind contractele de vânzare internațională de mărfuri. Instanțele din Paphos, Cipru, au competență exclusivă asupra oricărui litigiu care decurge din prezentul DPA sau în legătură cu acesta, fără a aduce atingere drepturilor imperative privind instanța competentă care decurg din normele de protecție a consumatorilor sau care revin persoanelor vizate în temeiul GDPR.

19. Contact

Pentru aspecte legate de prezentul DPA, contactați Labb Holding Ltd la privacy@persohr.eu sau scrieți la adresa Labb Holding Ltd, Anthipolochagou Georgiou M.Savva 26, Shop 1-2, 8201 Paphos, Cipru. Punctul de contact al Operatorului pentru protecția datelor este contul de utilizator desemnat ca OWNER în platforma PersoHR.