Pogodba o obdelavi podatkov

1. Uvod

Ta pogodba o obdelavi podatkov („DPA“) je del glavne naročniške pogodbe med družbo Labb Holding Ltd, ciprsko zasebno družbo, omejeno z delnicami, s registriranim sedežem na naslovu Anthipolochagou Georgiou M.Savva 26, Shop 1-2, 8201 Paphos, Ciper, vpisano pod številko HE 424230 (ki upravlja platformo PersoHR, „Obdelovalec“), in stranko („Upravljavec“). Ureja obdelavo osebnih podatkov, ki jo Obdelovalec izvaja v imenu Upravljavca v zvezi s platformo PersoHR, in je zasnovana tako, da je skladna z Uredbo (EU) 2016/679 („GDPR“). Če je katera koli določba te pogodbe o obdelavi podatkov v nasprotju z glavno pogodbo, ima ta pogodba o obdelavi podatkov prednost v zadevah obdelave osebnih podatkov. Izrazi, pisani z veliko začetnico, ki so uporabljeni, vendar tu niso opredeljeni, imajo pomen, ki jim ga daje glavna pogodba ali, kadar je primerno, GDPR.

2. Predmet, trajanje, narava in namen

Obdelovalec obdeluje osebne podatke izključno za namen zagotavljanja storitve upravljanja kadrov PersoHR. Obdelava zajema upravljanje kadrovskih evidenc, dopustov in odsotnosti, uvajanje, odhode zaposlenih, evidentiranje delovnega časa, pripravo plač, ocenjevanje uspešnosti, zaposlovanje, shranjevanje dokumentov, interno komunikacijo in druge kadrovske delovne postopke, ki jih konfigurira Upravljavec. Obdelava za te storitve vključuje zbiranje, beleženje, urejanje, shranjevanje, priklic, uporabo, pooblaščeno razkritje, izvoz in izbris. Ta pogodba o obdelavi podatkov še naprej varuje osebne podatke stranke, dokler se hranijo, tudi med dogovorjenim postopkom vračila ali izbrisa po razdelku 13. Obdelava za lastne namene PersoHR, kot je opisana v Politiki zasebnosti, je ločena od tega razmerja obdelave. Upravljavec potrjuje, da sta natančen obseg in globina obdelave odvisna od modulov in konfiguracije, ki jih Upravljavec odloči omogočiti.

3. Kategorije osebnih podatkov

Kategorije obdelanih osebnih podatkov so odvisne od tega, kako Upravljavec konfigurira platformo, in lahko vključujejo: osnovne kadrovske podatke (ime, kontaktni podatki, poštni naslov, datum rojstva, fotografija, podatki o kontaktni osebi za nujne primere); osnovne podatke o zaposlitvi (delovno mesto, oddelek, vrsta zaposlitve, datum začetka in konca, delovni čas, nadrejeni, status invalidnosti); vsebino dokumentov (pogodbe o zaposlitvi, potrdila, osebni dokumenti, druge datoteke, ki jih naloži Upravljavec); podatke o uspešnosti in razvoju (cilji, ocene, povratne informacije, evidence usposabljanj); podatke o dopustih in odsotnostih (zahteve, stanja, prazniki); podatke o evidentiranju delovnega časa (dogodki prihoda in odhoda, časovnice, nadure); podatke za pripravo plač (evidence plač, IBAN, kadar je naveden, davčne številke in številke socialnega zavarovanja, kadar so navedene, državljanstvo, spol, zakonski stan, število otrok, kraj rojstva, zdravstvena zavarovalnica in vrsta zavarovanja, veroizpoved za cerkveni davek); podatke o zaposlovanju (prijave, življenjepisi, zapiski z razgovorov, priporočila); podatke o komunikaciji in klepetu; podatke o avtentikaciji in varnosti (časovni žigi prijav, naslovi IP, podatki o uporabniškem agentu brskalnika/naprave in evidence sej naprav, stanje dvostopenjske avtentikacije); ter vse druge osebne podatke, ki jih Upravljavec odloči naložiti ali ustvariti v platformi. Obdelava lahko vključuje tudi vsebino elektronskih podpisov in dokaze o podpisu. Veroizpoved za cerkveni davek lahko razkrije vero. Status invalidnosti, bolniške odsotnosti in evidence zdravniških potrdil lahko razkrijejo podatke o zdravju, tudi brez naloženih zdravstvenih dokumentov. Kadar se obdelujejo posebne vrste podatkov, mora Upravljavec zagotoviti pravno podlago po členu 6 in veljaven pogoj po členu 9 ter Obdelovalcu dati navodila o potrebnih zaščitnih ukrepih. Podatki o kazenskih obsodbah zahtevajo izpolnitev pogojev iz člena 10 in se ne smejo posredovati brez dogovorjene zakonite in podprte ureditve obdelave. Obdelovalec ostaja odgovoren za svoje veljavne obveznosti glede varstva podatkov in varnosti.

4. Kategorije posameznikov, na katere se nanašajo osebni podatki

Kategorije posameznikov, na katere se nanašajo osebni podatki, glede Upravljavca in vseh povezanih družb, ki jih Upravljavec odloči upravljati prek platforme, praviloma vključujejo: sedanje zaposlene, pogodbene sodelavce, samostojne izvajalce in drugo osebje, vključno z delavci, mlajšimi od 18 let, kadar so zakonito zaposleni; nekdanje zaposlene, pogodbene sodelavce in osebje; prijavitelje in kandidate v tekočih ali preteklih postopkih zaposlovanja; ter vzdrževane družinske člane ali kontaktne osebe za nujne primere, ki jih razkrije katera koli od navedenih oseb. Upravljavec je odgovoren za zakonitost vključitve posameznega posameznika v obseg obdelave.

5. Navodila in pravica do zavrnitve

Obdelovalec obdeluje osebne podatke samo po dokumentiranih navodilih Upravljavca, tudi kar zadeva mednarodne prenose, razen če to od njega drugače zahteva pravo Unije ali države članice (v tem primeru Obdelovalec Upravljavca obvesti pred obdelavo, razen če to pravo takšno obvestilo prepoveduje iz pomembnih razlogov javnega interesa). Upravljavec določi osebe, ki so izključno pooblaščene za izdajanje navodil za obdelavo prek platforme; če takšne določitve ni, lahko navodila izdajajo samo fizične osebe, pooblaščene za zakonito zastopanje Upravljavca. Če Obdelovalec utemeljeno meni, da navodilo krši GDPR ali drugo veljavno zakonodajo o varstvu podatkov, o tem nemudoma obvesti Upravljavca in lahko izvajanje tega navodila začasno ustavi, dokler stranki zadeve ne razrešita.

6. Zaupnost

Obdelovalec zagotovi, da je vsaka fizična oseba, pooblaščena za obdelavo osebnih podatkov v njegovem imenu, zavezana k zaupnosti, bodisi s pogodbo bodisi na podlagi zakonske dolžnosti. Vsaka stranka se poleg tega zavezuje, da bo varovala zaupnost vseh nejavnih informacij, ki jih prejme od druge stranke v zvezi s to pogodbo o obdelavi podatkov, vključno z vsebino revizij, varnostno dokumentacijo in poročili o incidentih, ter da bo te informacije uporabljala izključno za izvajanje glavne pogodbe in te pogodbe o obdelavi podatkov. Izključene so informacije, ki so javno znane, ki so bile razvite neodvisno brez uporabe zaupnih informacij razkrivajoče stranke, ki so bile zakonito prejete od tretje osebe brez obveznosti zaupnosti ali ki jih je treba razkriti na podlagi zavezujočega pravnega postopka. Splošne obveznosti zaupnosti veljajo še pet let po prenehanju. Obveznosti varstva osebnih podatkov veljajo, dokler se ti podatki hranijo, vključno s primeri, ko velja daljša zakonska dolžnost.

7. Varnost obdelave (člen 32)

Obdelovalec izvaja in vzdržuje tehnične in organizacijske ukrepe, ki ustrezajo tveganju, ob upoštevanju dejavnikov iz člena 32 GDPR. Zaščitni ukrepi v aplikaciji vključujejo nadzor dostopa na podlagi vlog in omejen na najemnika, časovno omejene žetone za avtentikacijo, obvezno dvostopenjsko avtentikacijo za vlogi Lastnik in HR administrator, šifriranje izbranih občutljivih polj ter revizijske zapise za podprta dejanja. Varnostna priloga na /legal/security opisuje te zaščitne ukrepe. Obveznosti Obdelovalca glede zagotavljanja ustrezne zaščite, razpoložljivosti in obnovitve niso omejene na tu navedene funkcije. Posodobitve ukrepov ne smejo bistveno znižati splošne ravni varnosti.

8. Podobdelovalci

Upravljavec pooblašča Obdelovalca, da angažira podobdelovalce, navedene na /legal/sub-processors. Obdelovalec bo Upravljavca pisno (tudi po e-pošti) obvestil najmanj 30 dni pred dodajanjem ali zamenjavo podobdelovalca. Upravljavec lahko v 14 dneh od tega obvestila ugovarja iz utemeljenih razlogov varstva podatkov; če pravočasnega ugovora ni, se šteje, da je sprememba odobrena. Če stranki utemeljenega ugovora ne moreta rešiti v nadaljnjih 30 dneh, lahko katera koli stranka glavno pogodbo odpove s pisnim obvestilom brez nadaljnje odgovornosti; v tem primeru je Upravljavec upravičen do sorazmernega vračila morebitnih vnaprej plačanih pristojbin, ki krijejo neizkoriščeni preostanek naročniškega obdobja. Obdelovalec z vsakim podobdelovalcem sklene pisno pogodbo, ki mu nalaga obveznosti varstva podatkov, enakovredne obveznostim iz te pogodbe o obdelavi podatkov, in ostaja odgovoren za dejanja in opustitve svojih podobdelovalcev.

9. Pomoč pri uresničevanju pravic posameznikov

Obdelovalec Upravljavcu ob upoštevanju narave obdelave in kolikor je mogoče pomaga pri zahtevah po poglavju III GDPR. Aplikacija ponuja orodja za izvoz, popravek in izbris podatkov z omejitvami glede na vlogo in obseg. Ta orodja pomagajo Upravljavcu, ne določajo pa, ali je treba posamezni zahtevi ugoditi. Prenosljivost po členu 20 je omejena na podatke, ki jih je zagotovil posameznik in ki se obdelujejo avtomatizirano na podlagi privolitve ali pogodbe; druge evidence lahko spadajo pod dostop po členu 15. Obdelovalec zagotovi razumno dodatno pomoč, kadar orodja ne zadoščajo. Zahteve v zvezi z Upravljavčevo kadrovsko obdelavo, ki jih Obdelovalec prejme neposredno od posameznika, brez nepotrebnega odlašanja posreduje Upravljavcu.

Kadar posameznik Obdelovalca prosi, naj izbriše njegov osebni račun PersoHR, Obdelovalec račun takoj zapre. Posamezniku odvzame dostop, izbriše podatke računa, ki jih hrani kot upravljavec (podatke za prijavo, nastavitve dvostopenjskega preverjanja, seje, nastavitve računa in zahteve za podporo, ki jih je posameznik oddal v aplikaciji, skupaj z njihovimi posnetki zaslona), ter izbriše posameznikove pogovore s pomočnikom AI, ki jih aplikacija ne prikazuje nikomur drugemu. Kopije teh zahtev za podporo, dostavljene v Obdelovalčev poštni predal za podporo, in druga korespondenca z Obdelovalcem se hranijo, kot je opisano v Politiki zasebnosti. Ne izbriše in ne spremeni nobene druge evidence, ki jo Upravljavec hrani o posamezniku. Zahtevo zabeleži pri posameznikovem članstvu v vsakem od Upravljavčevih delovnih prostorov in o njej brez nepotrebnega odlašanja obvesti Upravljavčeve lastnike in HR administratorje v aplikaciji in po e-pošti. Upravljavec odloči, ali bo evidence izbrisal z orodjem za izbris v aplikaciji ali jih obdržal, in odgovori posamezniku. Obdelovalec posamezniku zahtevo potrdi po e-pošti in ga po e-pošti obvesti, ko Upravljavec zabeleži svojo odločitev v aplikaciji ali ko so evidence izbrisane, ker se delovni prostor briše.

Identifikacijski podatki v posameznikovem računu, ki jih uporabljajo Upravljavčeve evidence (ime, e-poštni naslov, datum rojstva in telefonska številka), se hranijo v imenu Upravljavca in vsake druge stranke, katere evidence jih uporabljajo, dokler ni vsako posameznikovo članstvo v delovnem prostoru izbrisano ali njegov delovni prostor izbrisan, nato pa se anonimizirajo. Izbrisano članstvo lahko pusti evidence, ki jih mora Upravljavec hraniti po zakonu, na primer evidenco delovnega časa, ki se vodi pod posameznikovim imenom, za katere velja njihovo lastno obdobje hrambe. Identifikacijski podatki se spremenijo le po navodilu Upravljavca: Upravljavec lahko v aplikaciji doda manjkajoči datum rojstva, vsak drug popravek pa izvede Obdelovalčeva podpora. Obdelovalec jih uporablja za pisanje posamezniku le za potrditev in obvestilo o odločitvi, opisana zgoraj, za obvestila, ki jih mora Upravljavec dati po zakonu, in za končni arhiv, opisan spodaj. Zaprtega računa ni mogoče znova odpreti, njegovega e-poštnega naslova pa ni mogoče uporabiti za nov račun ali povabiti v delovni prostor, dokler ni vsako posameznikovo članstvo v delovnem prostoru izbrisano ali njegov delovni prostor izbrisan.

Kadar je Upravljavec zahteval izbris svojega delovnega prostora, se zahteva, ki je odprta, ko se delovni prostor začne zapirati, ali ki prispe med njegovim zapiranjem, izvede, ko je končni arhiv delovnega prostora dokončan (v nočnem zagonu, ki sledi dokončanju, ali ki sledi zahtevi, če je bil arhiv že dokončan), ali ob izbrisu delovnega prostora, če ta nastopi prej, tako da so posameznikove evidence del vsakega končnega arhiva, ki ga prejme Upravljavec. Obdelovalčeva kopija končnega arhiva se izbriše skupaj z delovnim prostorom. Kadar je posameznik kontaktna oseba, ki jo je Upravljavec določil za ta arhiv, arhiv prejme drug lastnik delovnega prostora, ki se še lahko prijavi, na posameznikov naslov pa se pošlje le, če takega lastnika ni. Kadar je posameznik edini lastnik delovnega prostora, ki se ne briše, zahteve ni mogoče dokončati, dokler delovni prostor nima drugega aktivnega lastnika ali aktivnega HR administratorja ali dokler se delovni prostor ne briše; kadar aktivni HR administrator obstaja, Obdelovalec najdlje delujočega med njimi določi za lastnika, da Upravljavec obdrži lastnika.

10. Uradno obvestilo o kršitvi varstva osebnih podatkov

Obdelovalec Upravljavca obvesti brez nepotrebnega odlašanja, v vsakem primeru pa v 72 urah po tem, ko izve za kršitev varstva osebnih podatkov, ki zadeva podatke Upravljavca, v skladu s členom 33(2) GDPR. Razpoložljive informacije vključujejo naravo kršitve, zadevne kategorije in približno število posameznikov in evidenc, verjetne posledice, kontaktne podatke ter sprejete ali predlagane ukrepe. Informacije se lahko posredujejo postopoma brez nadaljnjega nepotrebnega odlašanja. Obdelovalec Upravljavcu pomaga pri njegovi oceni in izpolnjevanju obveznosti obveščanja po členih 33 in 34. Upravljavčev pogojni 72-urni rok za obvestilo nadzornemu organu ni čakalno obdobje za Obdelovalca.

11. Ocena učinka v zvezi z varstvom podatkov in predhodno posvetovanje

Obdelovalec na razumno zahtevo pomaga Upravljavcu pri ocenah učinka v zvezi z varstvom podatkov v skladu s členom 35 in pri predhodnih posvetovanjih z nadzornimi organi v skladu s členom 36, ob upoštevanju narave obdelave in informacij, ki so na voljo Obdelovalcu.

12. Revizije in pregledi

Obdelovalec da na voljo vse informacije, potrebne za dokazovanje skladnosti s členom 28 GDPR, ter omogoča revizije, vključno s pregledi, ki jih izvaja Upravljavec ali revizor, ki ga ta pooblasti, in k njim prispeva. Stranki se dogovorita o razumnih ureditvah glede obvestila, časa izvedbe, zaupnosti in varstva informacij drugih strank. Neodvisna poročila in varnostna dokumentacija lahko pomagajo dokazati skladnost, vendar ne nadomeščajo zakonskih revizijskih pravic Upravljavca. Zahteve glede načrtovanja, pogostosti in revizorja ne smejo preprečiti revizije, ki jo zahteva zakon, nadzorni organ, kršitev varstva osebnih podatkov ali utemeljeni razlogi za sum neskladnosti. Vsaka stranka praviloma nosi lastne stroške, razen če je drugače dogovorjeno ali zakonsko zahtevano.

13. Vračilo ali izbris osebnih podatkov

Po prenehanju storitev obdelave Obdelovalec po izbiri Upravljavca osebne podatke vrne ali izbriše ter izbriše obstoječe kopije, razen če pravo Unije ali države članice zahteva njihovo hrambo, v skladu s členom 28(3)(g) GDPR. Upravljavec naj potrebne izvoze prenese, preden se plačljivi dostop konča, in se za morebitno nadaljnje vračilo ali izbris obrne na podporo. Prenehanje podaljševanja naročnine samo po sebi ne pomeni oddaje zahteve za izbris računa. Postopek izbrisa računa v aplikaciji načrtuje izbris po 30-dnevnem obdobju za preklic; zgodnejšo ali drugačno zakonsko zahtevano zahtevo je treba nasloviti neposredno na Obdelovalca. Stranki se morata o postopku vračila ali izbrisa dogovoriti in ga izvesti, ne da bi podatke hranili dlje, kot je potrebno. Varnostne kopije ostanejo zaščitene s to pogodbo o obdelavi podatkov, dokler niso odstranjene po veljavnem urniku varnostnih kopij; vsaka obnovitev mora upoštevati prejšnja navodila za izbris. Evidence obračunavanja, ki se obdelujejo za izpolnjevanje lastnih zakonskih obveznosti Obdelovalca, se obravnavajo ločeno v skladu s Politiko zasebnosti.

14. Mednarodni prenosi

Obdelovalec osebne podatke obdeluje predvsem znotraj Evropske unije. Kadar mora Obdelovalec ali kateri koli podobdelovalec prenesti osebne podatke v državo zunaj Evropskega gospodarskega prostora, se prenos izvede samo na podlagi sklepa o ustreznosti v skladu s členom 45 GDPR ali ustreznih zaščitnih ukrepov v skladu s členom 46 GDPR, praviloma standardnih pogodbenih klavzul Evropske komisije (Sklep 2021/914/EU), ki se po potrebi dopolnijo z dodatnimi tehničnimi in organizacijskimi ukrepi. Trenutni seznam prejemnikov in veljavnih mehanizmov prenosa je objavljen na /legal/sub-processors.

15. Insolventnost, zaseg in dogodki, povezani s tretjimi osebami

Če so osebni podatki Upravljavca ogroženi zaradi zasega, zaplembe, postopka insolventnosti ali prisilne poravnave ali katerega koli drugega dejanja tretje osebe, ki bi lahko vplivalo na zmožnost Obdelovalca, da izpolnjuje to pogodbo o obdelavi podatkov, Obdelovalec o tem brez nepotrebnega odlašanja obvesti Upravljavca in tretjo osebo pisno obvesti, da so podatki v odgovornosti Upravljavca kot upravljavca podatkov v smislu GDPR. Obdelovalec do razrešitve dejanja tretje osebe sprejme razumne ukrepe za zaščito celovitosti in razpoložljivosti podatkov Upravljavca.

16. Odgovornost

Vsaka stranka odgovarja za škodo, povzročeno s svojo kršitvijo te pogodbe o obdelavi podatkov, v skladu s členom 82 GDPR in veljavnim pravom. Nobena določba te pogodbe o obdelavi podatkov ne izključuje ali omejuje odgovornosti, ki je po zakonu ni mogoče izključiti ali omejiti, vključno z odgovornostjo za smrt ali telesno poškodbo, goljufijo, goljufivo napačno predstavitev ali naklepno ravnanje. Nobena določba te pogodbe o obdelavi podatkov ne omejuje pravic posameznikov, na katere se nanašajo osebni podatki, ali nadzornih organov. V vseh drugih pogledih se omejitve in izključitve odgovornosti iz glavne pogodbe enako uporabljajo za to pogodbo o obdelavi podatkov.

17. Delna neveljavnost in končne določbe

Spremembe in dopolnitve te pogodbe o obdelavi podatkov morajo biti zabeležene v pisni obliki, tudi elektronsko, in morajo izrecno navajati določbe, ki se spreminjajo. Člen 28(9) GDPR dovoljuje, da je pogodba v elektronski obliki; to samo po sebi ne pomeni sprejetja spremembe. Če je katera koli določba te pogodbe o obdelavi podatkov neveljavna, nezakonita ali neizvršljiva ali to postane, to ne vpliva na veljavnost preostalih določb; stranki bosta neveljavno določbo nadomestili z veljavno, katere gospodarski učinek je čim bližje učinku neveljavne določbe. To pogodbo o obdelavi podatkov je mogoče skleniti in posodabljati elektronsko in nadomešča vse prejšnje dogovore o obdelavi podatkov med strankama glede istega predmeta.

18. Veljavno pravo in pristojnost

Za to pogodbo o obdelavi podatkov se uporablja pravo Republike Ciper, brez njegovih kolizijskih pravil in brez Konvencije Združenih narodov o pogodbah o mednarodni prodaji blaga. Za vse spore, ki izhajajo iz te pogodbe o obdelavi podatkov ali so z njo povezani, so izključno pristojna sodišča v Pafosu na Cipru, brez poseganja v morebitne obvezne pravice glede pristojnosti, ki izhajajo iz varstva potrošnikov ali pravic posameznikov, na katere se nanašajo osebni podatki, v skladu z GDPR.

19. Kontakt

Glede zadev, povezanih s to pogodbo o obdelavi podatkov, se obrnite na Labb Holding Ltd na naslovu privacy@persohr.eu ali pišite na Labb Holding Ltd, Anthipolochagou Georgiou M.Savva 26, Shop 1-2, 8201 Paphos, Ciper. Kontaktna točka Upravljavca za varstvo podatkov je uporabniški račun, ki je na platformi PersoHR označen kot OWNER.