Zmluva o spracúvaní údajov

1. Úvod

Táto Zmluva o spracúvaní údajov („DPA“) tvorí súčasť hlavnej zmluvy o predplatnom medzi spoločnosťou Labb Holding Ltd, cyperskou súkromnou spoločnosťou s ručením obmedzeným akciami so sídlom na adrese Anthipolochagou Georgiou M.Savva 26, Shop 1-2, 8201 Paphos, Cyprus, zapísanou pod číslom HE 424230 (ktorá prevádzkuje platformu PersoHR, ďalej len „Sprostredkovateľ“), a zákazníkom (ďalej len „Prevádzkovateľ“). Upravuje spracúvanie osobných údajov, ktoré Sprostredkovateľ vykonáva v mene Prevádzkovateľa v súvislosti s platformou PersoHR, a je navrhnutá tak, aby bola v súlade s nariadením (EÚ) 2016/679 („GDPR“). Ak je akékoľvek ustanovenie tejto DPA v rozpore s hlavnou zmluvou, v otázkach spracúvania osobných údajov má prednosť táto DPA. Pojmy s veľkým začiatočným písmenom, ktoré sa tu používajú, ale nie sú tu vymedzené, majú význam, ktorý im priraďuje hlavná zmluva, prípadne GDPR.

2. Predmet, trvanie, povaha a účel

Sprostredkovateľ spracúva osobné údaje výlučne na účel poskytovania služby PersoHR na správu ľudských zdrojov. Spracúvanie zahŕňa správu záznamov o zamestnancoch, dovoleniek a neprítomnosti, nástup a odchod zamestnancov, evidenciu pracovného času, prípravu miezd, hodnotenia výkonu, nábor, ukladanie dokumentov, internú komunikáciu a ďalšie HR pracovné postupy nakonfigurované Prevádzkovateľom. Spracúvanie zahŕňa získavanie, zaznamenávanie, usporadúvanie, uchovávanie, vyhľadávanie, používanie, oprávnené sprístupňovanie, export a vymazávanie na účely týchto služieb. Táto DPA naďalej chráni osobné údaje zákazníka, kým sa uchovávajú, a to aj počas dohodnutého postupu vrátenia alebo vymazania podľa oddielu 13. Spracúvanie na vlastné účely PersoHR, ako je opísané v Zásadách ochrany osobných údajov, je od tohto vzťahu sprostredkovateľa oddelené. Prevádzkovateľ berie na vedomie, že presný rozsah a hĺbka spracúvania závisia od modulov a konfigurácie, ktoré sa Prevádzkovateľ rozhodne zapnúť.

3. Kategórie osobných údajov

Kategórie spracúvaných osobných údajov závisia od toho, ako Prevádzkovateľ nakonfiguruje platformu, a môžu zahŕňať: základné osobné údaje (meno, kontaktné údaje, poštová adresa, dátum narodenia, fotografia, údaje núdzového kontaktu); základné pracovné údaje (pracovná pozícia, oddelenie, druh pracovného pomeru, dátum začiatku a skončenia, pracovný čas, nadriadený, zdravotné postihnutie); obsah dokumentov (pracovné zmluvy, osvedčenia, doklady totožnosti, iné súbory nahrané Prevádzkovateľom); údaje o výkonnosti a rozvoji (ciele, hodnotenia, spätná väzba, záznamy o školeniach); údaje o dovolenkách a neprítomnosti (žiadosti, zostatky, štátne sviatky); údaje o evidencii pracovného času (udalosti príchodu / odchodu, pracovné výkazy, nadčasy); údaje na prípravu miezd (záznamy o platoch, IBAN, ak bol poskytnutý, daňové identifikátory a identifikátory sociálneho poistenia, ak boli poskytnuté, štátna príslušnosť, pohlavie, rodinný stav, počet detí, miesto narodenia, zdravotná poisťovňa a druh poistenia, vyznanie na účely cirkevnej dane); údaje z náboru (prihlášky, životopisy, poznámky z pohovorov, referencie); komunikačné a chatové údaje; údaje o overovaní a bezpečnosti (časy prihlásenia, IP adresy, informácie o prehliadači či zariadení (user-agent) a záznamy o reláciách zariadení, stav dvojfaktorového overenia); a akékoľvek ďalšie osobné údaje, ktoré sa Prevádzkovateľ rozhodne nahrať alebo vytvoriť v rámci platformy. Spracúvanie môže zahŕňať aj obsah elektronických podpisov a dôkazy o podpísaní. Vyznanie na účely cirkevnej dane môže odhaliť náboženstvo. Záznamy o zdravotnom postihnutí, neprítomnosti z dôvodu choroby a lekárskych potvrdeniach môžu odhaliť údaje o zdraví aj bez nahraných lekárskych dokumentov. Ak sa spracúvajú osobitné kategórie údajov, Prevádzkovateľ musí stanoviť právny základ podľa článku 6 a príslušnú podmienku podľa článku 9 a dať Sprostredkovateľovi pokyny týkajúce sa potrebných záruk. Údaje o odsúdeniach za trestné činy vyžadujú splnenie podmienok podľa článku 10 a nesmú sa poskytovať bez dohodnutého zákonného a podporovaného režimu spracúvania. Sprostredkovateľ naďalej zodpovedá za plnenie svojich vlastných povinností v oblasti ochrany údajov a bezpečnosti.

4. Kategórie dotknutých osôb

Kategórie dotknutých osôb vo vzťahu k Prevádzkovateľovi a ku všetkým prepojeným osobám, ktoré sa Prevádzkovateľ rozhodne spravovať prostredníctvom platformy, spravidla zahŕňajú: súčasných zamestnancov, zmluvných pracovníkov, živnostníkov a ostatný personál vrátane pracovníkov mladších ako 18 rokov, ak sú zamestnaní v súlade so zákonom; bývalých zamestnancov, zmluvných pracovníkov a personál; žiadateľov a uchádzačov v prebiehajúcich alebo minulých výberových konaniach; a vyživované osoby alebo núdzové kontakty, ktoré uviedla ktorákoľvek z uvedených osôb. Prevádzkovateľ zodpovedá za zákonnosť zahrnutia ktorejkoľvek konkrétnej dotknutej osoby do rozsahu spracúvania.

5. Pokyny a právo odmietnuť

Sprostredkovateľ bude spracúvať osobné údaje len na základe zdokumentovaných pokynov Prevádzkovateľa, a to aj pokiaľ ide o prenosy do zahraničia, pokiaľ mu iný postup neukladá právo Únie alebo členského štátu (v takom prípade Sprostredkovateľ informuje Prevádzkovateľa pred spracúvaním, s výnimkou prípadov, keď takéto právo toto oznámenie zakazuje z dôležitých dôvodov verejného záujmu). Prevádzkovateľ určí osoby, ktoré sú výlučne oprávnené vydávať pokyny na spracúvanie prostredníctvom platformy; ak takéto určenie chýba, pokyny môžu vydávať len fyzické osoby oprávnené Prevádzkovateľa právne zastupovať. Ak sa Sprostredkovateľ dôvodne domnieva, že niektorý pokyn porušuje GDPR alebo iné príslušné právne predpisy o ochrane údajov, bezodkladne o tom informuje Prevádzkovateľa a môže pozastaviť vykonanie tohto pokynu, kým zmluvné strany vec nevyriešia.

6. Dôvernosť

Sprostredkovateľ zabezpečí, aby každá fyzická osoba oprávnená spracúvať osobné údaje v jeho mene bola viazaná povinnosťou zachovávať dôvernosť, či už na základe zmluvy, alebo zákonnej povinnosti. Každá zmluvná strana sa ďalej zaväzuje zachovávať dôvernosť všetkých neverejných informácií, ktoré dostane od druhej zmluvnej strany v súvislosti s touto DPA, vrátane obsahu auditov, bezpečnostnej dokumentácie a správ o incidentoch, a používať tieto informácie výlučne na plnenie hlavnej zmluvy a tejto DPA. Vylúčené sú informácie, ktoré sú verejne známe, boli vyvinuté nezávisle bez použitia dôverných informácií poskytujúcej strany, boli zákonne prijaté od tretej strany bez povinnosti dôvernosti alebo musia byť sprístupnené na základe záväzného právneho postupu. Všeobecné povinnosti zachovávať dôvernosť trvajú päť rokov po skončení zmluvy. Povinnosti chrániace osobné údaje trvajú, kým sa tieto údaje uchovávajú, a to aj vtedy, ak platí dlhšia zákonná povinnosť.

7. Bezpečnosť spracúvania (článok 32)

Sprostredkovateľ zavádza a udržiava technické a organizačné opatrenia primerané riziku, s prihliadnutím na faktory uvedené v článku 32 GDPR. Medzi záruky v aplikácii patrí riadenie prístupu na základe rolí a obmedzené na nájomcu, časovo obmedzené overovacie tokeny, povinné dvojfaktorové overenie pre roly Vlastník a HR administrátor, šifrovanie vybraných citlivých polí a auditné záznamy podporovaných úkonov. Tieto záruky opisuje bezpečnostná príloha na /legal/security. Povinnosti Sprostredkovateľa zabezpečiť primeranú ochranu, dostupnosť a obnovu sa neobmedzujú na tu uvedené funkcie. Aktualizácie opatrení nesmú podstatne znížiť celkovú úroveň bezpečnosti.

8. Subdodávatelia spracúvania

Prevádzkovateľ oprávňuje Sprostredkovateľa zapojiť subdodávateľov spracúvania uvedených na /legal/sub-processors. Sprostredkovateľ informuje Prevádzkovateľa písomne (vrátane e-mailu) najmenej 30 dní pred pridaním alebo nahradením subdodávateľa spracúvania. Prevádzkovateľ môže do 14 dní od tohto oznámenia vzniesť námietku z primeraných dôvodov ochrany údajov; ak včasná námietka nie je vznesená, zmena sa považuje za schválenú. Ak zmluvné strany nedokážu vyriešiť odôvodnenú námietku v ďalšej lehote 30 dní, ktorákoľvek zmluvná strana môže hlavnú zmluvu ukončiť písomným oznámením bez ďalšej zodpovednosti, pričom v takom prípade má Prevádzkovateľ nárok na pomerné vrátenie vopred zaplatených poplatkov za nevyužitú zostávajúcu časť doby predplatného. Sprostredkovateľ uzatvára s každým subdodávateľom spracúvania písomné zmluvy, ktoré ukladajú povinnosti v oblasti ochrany údajov rovnocenné povinnostiam podľa tejto DPA, a zostáva zodpovedný za konanie a opomenutia svojich subdodávateľov spracúvania.

9. Pomoc pri uplatňovaní práv dotknutých osôb

Sprostredkovateľ pomáha Prevádzkovateľovi so žiadosťami podľa kapitoly III GDPR, s prihliadnutím na povahu spracúvania a v rámci možností. Aplikácia poskytuje nástroje na export, opravu a vymazanie údajov s obmedzeniami podľa rolí a rozsahu. Tieto nástroje pomáhajú Prevádzkovateľovi, ale neurčujú, či sa musí individuálnej žiadosti vyhovieť. Prenosnosť podľa článku 20 je obmedzená na údaje poskytnuté fyzickou osobou a spracúvané automatizovane na základe súhlasu alebo zmluvy; ostatné záznamy môžu spadať pod prístup podľa článku 15. Ak nástroje nestačia, Sprostredkovateľ poskytne primeranú dodatočnú pomoc. Žiadosti týkajúce sa HR spracúvania Prevádzkovateľa, ktoré Sprostredkovateľ dostane priamo od fyzickej osoby, postúpi Prevádzkovateľovi bez zbytočného odkladu.

Ak fyzická osoba požiada Sprostredkovateľa o vymazanie svojho osobného účtu PersoHR, Sprostredkovateľ účet okamžite zruší. Ukončí prístup fyzickej osoby, vymaže údaje účtu, ktoré uchováva ako prevádzkovateľ (prihlasovacie údaje, nastavenia dvojfaktorového overenia, relácie, nastavenia účtu a žiadosti o podporu, ktoré fyzická osoba podala v aplikácii, spolu s ich snímkami obrazovky), a vymaže konverzácie fyzickej osoby s AI asistentom, ktoré aplikácia nikomu inému nezobrazuje. Kópie týchto žiadostí o podporu doručené do poštovej schránky podpory Sprostredkovateľa a ostatná korešpondencia so Sprostredkovateľom sa uchovávajú, ako je opísané v Zásadách ochrany osobných údajov. Nevymaže ani nezmení žiadny iný záznam, ktorý Prevádzkovateľ o fyzickej osobe uchováva. Žiadosť zaznamená pri členstve fyzickej osoby v každom z pracovných priestorov Prevádzkovateľa a bez zbytočného odkladu o nej upovedomí vlastníkov a HR administrátorov Prevádzkovateľa v aplikácii a e-mailom. Prevádzkovateľ rozhodne, či záznamy vymaže pomocou nástroja na vymazanie v aplikácii, alebo ich ponechá, a odpovie fyzickej osobe. Sprostredkovateľ potvrdí žiadosť fyzickej osobe e-mailom a informuje ju e-mailom, keď Prevádzkovateľ zaznamená svoje rozhodnutie v aplikácii, alebo keď sa záznamy vymažú, pretože sa pracovný priestor odstraňuje.

Identifikačné údaje v účte fyzickej osoby, ktoré používajú záznamy Prevádzkovateľa (meno, e-mailová adresa, dátum narodenia a telefónne číslo), sa uchovávajú v mene Prevádzkovateľa a každého ďalšieho zákazníka, ktorého záznamy ich používajú, kým nebude každé členstvo fyzickej osoby v pracovnom priestore vymazané alebo jeho pracovný priestor odstránený, a potom sa anonymizujú. Vymazané členstvo môže zanechať záznamy, ktoré musí Prevádzkovateľ zo zákona uchovávať, napríklad evidenciu pracovného času vedenú pod menom fyzickej osoby, na ktoré sa vzťahuje ich vlastná lehota uchovávania. Identifikačné údaje sa menia len na pokyn Prevádzkovateľa: Prevádzkovateľ môže v aplikácii doplniť chýbajúci dátum narodenia a akúkoľvek inú opravu vykoná podpora Sprostredkovateľa. Sprostredkovateľ ich používa na písanie fyzickej osobe len na účely potvrdenia a oznámenia o rozhodnutí opísaných vyššie, oznámení, ktoré musí Prevádzkovateľ zo zákona poskytnúť, a konečného archívu opísaného nižšie. Zrušený účet nemožno znova otvoriť a jeho e-mailovú adresu nemožno použiť pre nový účet ani pozvať do pracovného priestoru, kým nebude každé členstvo fyzickej osoby v pracovnom priestore vymazané alebo jeho pracovný priestor odstránený.

Ak Prevádzkovateľ požiadal o odstránenie svojho pracovného priestoru, žiadosť, ktorá je otvorená v čase, keď sa pracovný priestor začne zatvárať, alebo ktorá príde počas jeho zatvárania, sa vykoná po dokončení konečného archívu pracovného priestoru (v nočnom spracovaní, ktoré nasleduje po dokončení, alebo po žiadosti, ak bol archív už dokončený), alebo pri odstránení pracovného priestoru, ak nastane skôr, takže záznamy fyzickej osoby sú súčasťou každého konečného archívu, ktorý Prevádzkovateľ dostane. Kópia konečného archívu u Sprostredkovateľa sa vymaže spolu s pracovným priestorom. Ak je fyzická osoba kontaktom, ktorý Prevádzkovateľ pre tento archív určil, archív sa doručí inému vlastníkovi pracovného priestoru, ktorý sa ešte môže prihlásiť, a na adresu fyzickej osoby len vtedy, ak taký vlastník nie je. Ak je fyzická osoba jediným vlastníkom pracovného priestoru, ktorý sa neodstraňuje, žiadosť nemožno dokončiť, kým pracovný priestor nebude mať iného aktívneho vlastníka alebo aktívneho HR administrátora, alebo kým sa pracovný priestor nezačne odstraňovať; ak existuje aktívny HR administrátor, Sprostredkovateľ urobí vlastníkom toho, ktorý pôsobí najdlhšie, aby si Prevádzkovateľ zachoval vlastníka.

10. Oznamovanie porušenia ochrany osobných údajov

Sprostredkovateľ oznámi Prevádzkovateľovi porušenie ochrany osobných údajov týkajúce sa údajov Prevádzkovateľa bez zbytočného odkladu, v každom prípade do 72 hodín po tom, ako sa o ňom dozvie, v súlade s článkom 33 ods. 2 GDPR. Dostupné informácie zahŕňajú povahu porušenia, dotknuté kategórie a približný počet fyzických osôb a záznamov, pravdepodobné následky, kontaktné údaje a prijaté alebo navrhované opatrenia. Informácie sa môžu poskytovať postupne bez ďalšieho zbytočného odkladu. Sprostredkovateľ pomáha Prevádzkovateľovi pri jeho posúdení a plnení oznamovacích povinností podľa článkov 33 a 34. Kvalifikovaná 72-hodinová lehota Prevádzkovateľa na oznámenie dozornému orgánu nie je pre Sprostredkovateľa čakacou lehotou.

11. DPIA a predchádzajúca konzultácia

Sprostredkovateľ na základe primeranej žiadosti pomáha Prevádzkovateľovi pri posúdeniach vplyvu na ochranu údajov podľa článku 35 a pri predchádzajúcich konzultáciách s dozornými orgánmi podľa článku 36, pričom zohľadňuje povahu spracúvania a informácie, ktoré má Sprostredkovateľ k dispozícii.

12. Audity a kontroly

Sprostredkovateľ sprístupňuje všetky informácie potrebné na preukázanie splnenia povinností podľa článku 28 GDPR a umožňuje audity vrátane kontrol, ktoré vykonáva Prevádzkovateľ alebo ním poverený audítor, a prispieva k nim. Zmluvné strany sa dohodnú na primeraných podmienkach týkajúcich sa oznámenia, načasovania, dôvernosti a ochrany informácií iných zákazníkov. Nezávislé správy a bezpečnostná dokumentácia môžu pomôcť preukázať splnenie povinností, nenahrádzajú však zákonné práva Prevádzkovateľa na audit. Plánovanie, frekvencia a požiadavky na audítora nesmú zabrániť auditu, ktorý vyžaduje právny predpis, dozorný orgán, porušenie ochrany osobných údajov alebo dôvodné podozrenie z nedodržiavania povinností. Každá zmluvná strana spravidla znáša svoje vlastné náklady, pokiaľ sa nedohodlo inak alebo pokiaľ právny predpis nevyžaduje inak.

13. Vrátenie alebo vymazanie osobných údajov

Po skončení poskytovania služieb spracúvania Sprostredkovateľ podľa rozhodnutia Prevádzkovateľa osobné údaje vráti alebo vymaže a vymaže existujúce kópie, pokiaľ právo Únie alebo členského štátu nevyžaduje ich uchovávanie, v súlade s článkom 28 ods. 3 písm. g) GDPR. Prevádzkovateľ by si mal potrebné exporty stiahnuť pred skončením plateného prístupu a ďalšie vrátenie alebo vymazanie dohodnúť s podporou. Ukončenie obnovovania predplatného samo osebe nepredstavuje podanie žiadosti o vymazanie účtu. Postup vymazania účtu v aplikácii naplánuje vymazanie po uplynutí 30-dňovej lehoty na zrušenie; skoršiu alebo inú žiadosť vyžadovanú zákonom je potrebné adresovať priamo Sprostredkovateľovi. Zmluvné strany sa musia dohodnúť na postupe vrátenia alebo vymazania a vykonať ho bez uchovávania údajov dlhšie, než je nevyhnutné. Záložné kópie zostávajú chránené touto DPA, kým sa neodstránia podľa príslušného plánu zálohovania; každá obnova musí rešpektovať predchádzajúce pokyny na vymazanie. Fakturačné záznamy spracúvané na plnenie vlastných zákonných povinností Sprostredkovateľa sa spracúvajú oddelene podľa Zásad ochrany osobných údajov.

14. Medzinárodné prenosy

Sprostredkovateľ spracúva osobné údaje prevažne v rámci Európskej únie. Ak Sprostredkovateľ alebo ktorýkoľvek subdodávateľ spracúvania potrebuje preniesť osobné údaje do krajiny mimo Európskeho hospodárskeho priestoru, prenos sa uskutoční iba na základe rozhodnutia o primeranosti podľa článku 45 GDPR alebo primeraných záruk podľa článku 46 GDPR, spravidla štandardných zmluvných doložiek Európskej komisie (rozhodnutie 2021/914/EÚ), ktoré sa v prípade potreby dopĺňajú o ďalšie technické a organizačné opatrenia. Aktuálny zoznam príjemcov a uplatniteľných mechanizmov prenosu je zverejnený na /legal/sub-processors.

15. Platobná neschopnosť, zaistenie a udalosti tretích strán

Ak sú osobné údaje Prevádzkovateľa ohrozené v dôsledku zaistenia, konfiškácie, konkurzného alebo reštrukturalizačného konania alebo akéhokoľvek iného úkonu tretej strany, ktorý by mohol ovplyvniť schopnosť Sprostredkovateľa dodržiavať túto DPA, Sprostredkovateľ o tom bez zbytočného odkladu informuje Prevádzkovateľa a písomne oznámi tretej strane, že za údaje zodpovedá Prevádzkovateľ ako prevádzkovateľ v zmysle GDPR. Sprostredkovateľ prijme primerané kroky na ochranu integrity a dostupnosti údajov Prevádzkovateľa až do vyriešenia úkonu tretej strany.

16. Zodpovednosť

Každá zmluvná strana zodpovedá za škodu spôsobenú vlastným porušením tejto DPA v súlade s článkom 82 GDPR a príslušnými právnymi predpismi. Žiadne ustanovenie tejto DPA nevylučuje ani neobmedzuje zodpovednosť, ktorú nemožno vylúčiť ani obmedziť zo zákona, vrátane zodpovednosti za smrť alebo ujmu na zdraví, podvod, podvodné uvedenie do omylu alebo úmyselné porušenie povinností. Žiadne ustanovenie tejto DPA neobmedzuje práva dotknutých osôb ani dozorných orgánov. Vo všetkých ostatných ohľadoch sa obmedzenia a vylúčenia zodpovednosti uvedené v hlavnej zmluve uplatňujú rovnako aj na túto DPA.

17. Oddeliteľnosť a záverečné ustanovenia

Zmeny a doplnenia tejto DPA musia byť zaznamenané v písomnej forme, a to aj elektronicky, a musia výslovne označovať menené ustanovenia. Článok 28 ods. 9 GDPR umožňuje, aby zmluva bola v elektronickej forme; to samo osebe nezakladá prijatie zmeny. Ak je alebo sa stane niektoré ustanovenie tejto DPA neplatným, nezákonným alebo nevymáhateľným, platnosť ostatných ustanovení tým nie je dotknutá; zmluvné strany nahradia neplatné ustanovenie platným ustanovením, ktorého hospodársky účinok sa čo najviac približuje účinku neplatného ustanovenia. Túto DPA možno uzavrieť a aktualizovať elektronicky a nahrádza všetky predchádzajúce dojednania o spracúvaní údajov medzi zmluvnými stranami v tej istej veci.

18. Rozhodné právo a právomoc súdov

Táto DPA sa riadi právom Cyperskej republiky s vylúčením jej kolíznych noriem a Dohovoru Organizácie Spojených národov o zmluvách o medzinárodnej kúpe tovaru. Na rozhodovanie akéhokoľvek sporu vyplývajúceho z tejto DPA alebo súvisiaceho s ňou majú výlučnú právomoc súdy v Pafose na Cypre, a to bez toho, aby boli dotknuté kogentné práva na voľbu miesta konania podľa predpisov na ochranu spotrebiteľa alebo práva dotknutých osôb podľa GDPR.

19. Kontakt

V záležitostiach týkajúcich sa tejto DPA kontaktujte spoločnosť Labb Holding Ltd na adrese privacy@persohr.eu alebo jej napíšte na adresu Labb Holding Ltd, Anthipolochagou Georgiou M.Savva 26, Shop 1-2, 8201 Paphos, Cyprus. Kontaktným miestom Prevádzkovateľa pre ochranu údajov je používateľský účet, ktorý je na platforme PersoHR označený ako OWNER.