Personuppgiftsbiträdesavtal

1. Inledning

Detta personuppgiftsbiträdesavtal ("personuppgiftsbiträdesavtalet") utgör en del av huvudavtalet om prenumeration mellan Labb Holding Ltd, ett cypriotiskt privat aktiebolag med säte på Anthipolochagou Georgiou M.Savva 26, Shop 1-2, 8201 Paphos, Cypern, registrerat under HE 424230 (som driver plattformen PersoHR, "personuppgiftsbiträdet"), och kunden ("den personuppgiftsansvarige"). Det reglerar den behandling av personuppgifter som personuppgiftsbiträdet utför för den personuppgiftsansvariges räkning i samband med plattformen PersoHR och är utformat för att uppfylla förordning (EU) 2016/679 ("GDPR"). Om en bestämmelse i detta personuppgiftsbiträdesavtal strider mot huvudavtalet har detta personuppgiftsbiträdesavtal företräde i frågor som rör behandling av personuppgifter. Begrepp som används men inte definieras här har den betydelse som de ges i huvudavtalet eller, i tillämpliga fall, i GDPR.

2. Föremål, varaktighet, art och ändamål

Personuppgiftsbiträdet behandlar personuppgifter enbart i syfte att tillhandahålla HR-tjänsten PersoHR. Behandlingen omfattar hantering av personalregister, ledighet och frånvaro, introduktion, avslut av anställning, tidrapportering, löneförberedelse, medarbetarsamtal, rekrytering, dokumentlagring, intern kommunikation och andra HR-arbetsflöden som den personuppgiftsansvarige konfigurerar. Behandlingen omfattar insamling, registrering, organisering, lagring, hämtning, användning, behörigt utlämnande, export och radering för dessa tjänster. Detta personuppgiftsbiträdesavtal fortsätter att skydda kundens personuppgifter så länge de lagras, även under ett överenskommet förfarande för återlämnande eller radering enligt avsnitt 13. Behandling för PersoHR:s egna ändamål, enligt beskrivningen i integritetspolicyn, är skild från detta biträdesuppdrag. Den personuppgiftsansvarige är medveten om att behandlingens exakta omfattning och djup beror på vilka moduler och vilken konfiguration den personuppgiftsansvarige väljer att aktivera.

3. Kategorier av personuppgifter

Kategorierna av personuppgifter som behandlas beror på hur den personuppgiftsansvarige har konfigurerat plattformen och kan omfatta: personalgrunddata (namn, kontaktuppgifter, postadress, födelsedatum, fotografi, uppgifter om nödkontakt); anställningsgrunddata (befattning, avdelning, anställningsform, start- och slutdatum, arbetstid, chef, funktionsnedsättning); dokumentinnehåll (anställningsavtal, certifikat, identitetshandlingar, andra filer som den personuppgiftsansvarige laddar upp); prestations- och utvecklingsdata (mål, utvärderingar, återkoppling, utbildningsregister); ledighets- och frånvarodata (ansökningar, saldon, allmänna helgdagar); tidrapporteringsdata (in- och utstämplingar, tidrapporter, övertid); data för löneförberedelse (löneuppgifter, IBAN där sådant lämnats, skatte- och socialförsäkringsnummer där sådana lämnats, medborgarskap, kön, civilstånd, antal barn, födelseort, sjukförsäkringsgivare och försäkringstyp, samfundstillhörighet för kyrkoskatt); rekryteringsdata (ansökningar, CV, intervjuanteckningar, referenser); kommunikations- och chattdata; autentiserings- och säkerhetsdata (tidsstämplar för inloggning, IP-adresser, information om webbläsarens/enhetens user-agent och register över enhetssessioner, status för tvåfaktorsautentisering); samt alla andra personuppgifter som den personuppgiftsansvarige väljer att ladda upp eller generera i plattformen. Behandlingen kan även omfatta innehåll i elektroniska underskrifter och bevis om undertecknandet. Samfundstillhörighet för kyrkoskatt kan avslöja religion. Funktionsnedsättning, sjukfrånvaro och uppgifter om läkarintyg kan avslöja hälsouppgifter även utan uppladdade medicinska dokument. När särskilda kategorier av personuppgifter behandlas måste den personuppgiftsansvarige fastställa en rättslig grund enligt artikel 6 och ett tillämpligt villkor enligt artikel 9 och instruera personuppgiftsbiträdet om nödvändiga skyddsåtgärder. Uppgifter om lagöverträdelser kräver att villkoren i artikel 10 är uppfyllda och får inte lämnas utan ett överenskommet, lagligt och tekniskt stött arrangemang för behandlingen. Personuppgiftsbiträdet förblir ansvarigt för sina egna tillämpliga skyldigheter avseende dataskydd och säkerhet.

4. Kategorier av registrerade

Kategorierna av registrerade, med avseende på den personuppgiftsansvarige och de närstående företag som den personuppgiftsansvarige väljer att administrera via plattformen, omfattar vanligtvis: nuvarande anställda, uppdragstagare, frilansare och annan personal, inklusive arbetstagare under 18 år där de är lagligen anställda; tidigare anställda, uppdragstagare och personal; sökande och kandidater i pågående eller tidigare rekryteringsprocesser; samt anhöriga eller nödkontakter som uppgetts av någon av de förstnämnda. Den personuppgiftsansvarige ansvarar för att det är lagligt att inkludera en viss registrerad i behandlingens omfattning.

5. Instruktioner och rätt att vägra

Personuppgiftsbiträdet behandlar personuppgifter endast enligt dokumenterade instruktioner från den personuppgiftsansvarige, även när det gäller internationella överföringar, om inte unionsrätten eller en medlemsstats nationella rätt kräver annat (i så fall informerar personuppgiftsbiträdet den personuppgiftsansvarige innan behandlingen sker, utom när sådan rätt förbjuder sådan information av hänsyn till ett viktigt allmänintresse). Den personuppgiftsansvarige utser de personer som ensamma är behöriga att utfärda behandlingsinstruktioner via plattformen; om ingen sådan utnämning finns får endast fysiska personer som är behöriga att rättsligt företräda den personuppgiftsansvarige utfärda instruktioner. Om personuppgiftsbiträdet på rimliga grunder anser att en instruktion strider mot GDPR eller annan tillämplig dataskyddslagstiftning ska det omedelbart informera den personuppgiftsansvarige och får skjuta upp verkställandet av instruktionen till dess att frågan har lösts mellan parterna.

6. Konfidentialitet

Personuppgiftsbiträdet säkerställer att varje fysisk person som är behörig att behandla personuppgifter för dess räkning omfattas av en tystnadsplikt, antingen genom avtal eller genom lagstadgad skyldighet. Vardera parten förbinder sig vidare att hålla all icke-offentlig information som den mottar från den andra parten i samband med detta personuppgiftsbiträdesavtal konfidentiell, inklusive innehållet i granskningar, säkerhetsdokumentation och incidentrapporter, och att endast använda sådan information för att fullgöra huvudavtalet och detta personuppgiftsbiträdesavtal. Undantagen är information som är allmänt känd, som har tagits fram självständigt utan användning av den utlämnande partens konfidentiella information, som lagligen har mottagits från tredje part utan sekretesskyldighet eller som måste lämnas ut enligt bindande rättsligt förfarande. Allmänna sekretessåtaganden gäller i fem år efter avtalets upphörande. Åtaganden som skyddar personuppgifter fortsätter att gälla så länge uppgifterna lagras, även när en längre lagstadgad skyldighet gäller.

7. Säkerhet i behandlingen (artikel 32)

Personuppgiftsbiträdet genomför och upprätthåller tekniska och organisatoriska åtgärder som är lämpliga med hänsyn till risken, med beaktande av faktorerna i artikel 32 GDPR. Skyddsåtgärderna i applikationen omfattar rollbaserade och klientavgränsade åtkomstkontroller, tidsbegränsade autentiseringstoken, obligatorisk tvåfaktorsautentisering för rollerna Ägare och HR-administratör, kryptering av utvalda känsliga fält samt granskningsposter för åtgärder som stöds. Säkerhetsbilagan på /legal/security beskriver dessa skyddsåtgärder. Personuppgiftsbiträdets skyldigheter att tillhandahålla lämpligt skydd, tillgänglighet och återställning är inte begränsade till de funktioner som anges här. Uppdateringar av åtgärderna får inte väsentligt sänka den övergripande säkerhetsnivån.

8. Underbiträden

Den personuppgiftsansvarige ger personuppgiftsbiträdet tillstånd att anlita de underbiträden som anges på /legal/sub-processors. Personuppgiftsbiträdet informerar den personuppgiftsansvarige skriftligen (inklusive via e-post) minst 30 dagar innan ett underbiträde läggs till eller byts ut. Den personuppgiftsansvarige får invända av skäliga dataskyddsskäl inom 14 dagar från den underrättelsen; om ingen invändning görs i tid anses ändringen godkänd. Om parterna inte kan lösa en befogad invändning inom ytterligare 30 dagar får vardera parten säga upp huvudavtalet genom skriftligt meddelande utan ytterligare ansvar, och den personuppgiftsansvarige har då rätt till proportionell återbetalning av förskottsbetalda avgifter som avser den outnyttjade återstoden av prenumerationsperioden. Personuppgiftsbiträdet ingår skriftliga avtal med varje underbiträde som ålägger dataskyddsskyldigheter som motsvarar dem i detta personuppgiftsbiträdesavtal och förblir ansvarigt för sina underbiträdens handlingar och underlåtenheter.

9. Bistånd vid de registrerades rättigheter

Personuppgiftsbiträdet bistår den personuppgiftsansvarige, med hänsyn till behandlingens art och i den mån det är möjligt, med begäranden enligt kapitel III GDPR. Applikationen tillhandahåller verktyg för dataexport, rättelse och radering med begränsningar efter roll och omfattning. Dessa verktyg bistår den personuppgiftsansvarige men avgör inte om en enskild begäran ska beviljas. Dataportabilitet enligt artikel 20 är begränsad till uppgifter som den registrerade har tillhandahållit och som behandlas automatiserat på grundval av samtycke eller avtal; andra uppgifter kan omfattas av rätten till tillgång enligt artikel 15. Personuppgiftsbiträdet ger rimligt ytterligare stöd när verktygen inte räcker till. Begäranden som rör den personuppgiftsansvariges HR-behandling och som tas emot direkt från en enskild person hänvisas till den personuppgiftsansvarige utan onödigt dröjsmål.

När en enskild person ber personuppgiftsbiträdet att radera sitt personliga PersoHR-konto stänger personuppgiftsbiträdet kontot omedelbart. Det avslutar personens åtkomst, raderar de kontouppgifter som det förvarar som personuppgiftsansvarig (inloggningsuppgifter, inställningar för tvåfaktorsautentisering, sessioner, kontoinställningar och de supportärenden som personen har skickat i applikationen, med tillhörande skärmbilder) och raderar personens konversationer med AI-assistenten, som applikationen inte visar för någon annan. Kopior av dessa supportärenden som levererats till personuppgiftsbiträdets supportbrevlåda, och annan korrespondens med personuppgiftsbiträdet, bevaras enligt beskrivningen i integritetspolicyn. Det raderar eller ändrar inte någon annan uppgift som den personuppgiftsansvarige har om personen. Det registrerar begäran mot personens medlemskap i var och en av den personuppgiftsansvariges arbetsytor och underrättar den personuppgiftsansvariges ägare och HR-administratörer i applikationen och via e-post utan onödigt dröjsmål. Den personuppgiftsansvarige beslutar om uppgifterna ska raderas, med applikationens raderingsverktyg, eller behållas, och svarar personen. Personuppgiftsbiträdet bekräftar begäran för personen via e-post och meddelar personen via e-post när den personuppgiftsansvarige har registrerat sitt beslut i applikationen, eller när uppgifterna har raderats eftersom arbetsytan håller på att raderas.

De identitetsuppgifter på personens konto som den personuppgiftsansvariges uppgifter använder (namn, e-postadress, födelsedatum och telefonnummer) sparas för den personuppgiftsansvariges räkning och för varje annan kunds räkning vars uppgifter använder dem, tills varje medlemskap som personen har i en arbetsyta har raderats eller dess arbetsyta har raderats, och anonymiseras därefter. Ett raderat medlemskap kan lämna kvar uppgifter som den personuppgiftsansvarige enligt lag måste spara, till exempel ett arbetstidsregister som förs i personens namn, vilka följer sin egen lagringstid. Identitetsuppgifterna ändras endast på instruktion från en personuppgiftsansvarig: den personuppgiftsansvarige kan lägga till ett saknat födelsedatum i applikationen, och varje annan rättelse görs av personuppgiftsbiträdets support. Personuppgiftsbiträdet använder dem för att skriva till personen endast för den bekräftelse och det beslutsmeddelande som beskrivs ovan, för meddelanden som den personuppgiftsansvarige enligt lag måste ge och för det slutliga arkiv som beskrivs nedan. Ett stängt konto kan inte öppnas igen, och dess e-postadress kan inte användas för ett nytt konto eller bjudas in till en arbetsyta förrän varje medlemskap som personen har i en arbetsyta har raderats eller dess arbetsyta har raderats.

När den personuppgiftsansvarige har begärt att dess arbetsyta ska raderas verkställs en begäran som är öppen när arbetsytan börjar stängas, eller som inkommer medan den stängs, när arbetsytans slutliga arkiv är klart (i den nattliga körning som följer efter att arkivet blivit klart, eller som följer efter begäran om arkivet redan var klart), eller när arbetsytan raderas om det inträffar först, så att personens uppgifter ingår i varje slutligt arkiv som den personuppgiftsansvarige får. Personuppgiftsbiträdets kopia av det slutliga arkivet raderas tillsammans med arbetsytan. Om personen är den kontaktperson som den personuppgiftsansvarige angav för detta arkiv går arkivet till en annan ägare av arbetsytan som fortfarande kan logga in, och till personens adress endast om det inte finns någon sådan. Om personen är den enda ägaren av en arbetsyta som inte håller på att raderas kan begäran inte slutföras förrän arbetsytan har en annan aktiv ägare eller en aktiv HR-administratör, eller förrän arbetsytan håller på att raderas; om det finns en aktiv HR-administratör gör personuppgiftsbiträdet den med längst tjänstgöringstid till ägare, så att den personuppgiftsansvarige behåller en ägare.

10. Anmälan om personuppgiftsincidenter

Personuppgiftsbiträdet underrättar den personuppgiftsansvarige utan onödigt dröjsmål, och i varje fall inom 72 timmar efter att ha fått kännedom om en personuppgiftsincident som påverkar den personuppgiftsansvariges uppgifter, i enlighet med artikel 33.2 GDPR. Tillgänglig information omfattar incidentens art, berörda kategorier och ungefärligt antal registrerade och poster, sannolika konsekvenser, kontaktuppgifter samt vidtagna eller föreslagna åtgärder. Informationen får lämnas i omgångar utan ytterligare onödigt dröjsmål. Personuppgiftsbiträdet bistår den personuppgiftsansvarige med dennes bedömning och anmälningsskyldigheter enligt artiklarna 33 och 34. Den personuppgiftsansvariges kvalificerade frist på 72 timmar för anmälan till tillsynsmyndigheten är ingen väntetid för personuppgiftsbiträdet.

11. Konsekvensbedömning och förhandssamråd

Personuppgiftsbiträdet bistår den personuppgiftsansvarige, på rimlig begäran, med konsekvensbedömningar avseende dataskydd enligt artikel 35 och förhandssamråd med tillsynsmyndigheter enligt artikel 36, med beaktande av behandlingens art och den information som personuppgiftsbiträdet har tillgång till.

12. Revisioner och inspektioner

Personuppgiftsbiträdet gör all information som krävs för att visa att artikel 28 GDPR efterlevs tillgänglig och möjliggör och bidrar till granskningar, inklusive inspektioner, som genomförs av den personuppgiftsansvarige eller av en revisor som den personuppgiftsansvarige har utsett. Parterna kommer överens om rimliga arrangemang för varsel, tidpunkt, sekretess och skydd av andra kunders information. Oberoende rapporter och säkerhetsdokumentation kan bidra till att visa efterlevnad men ersätter inte den personuppgiftsansvariges lagstadgade granskningsrätt. Krav på schemaläggning, frekvens och revisor får inte hindra en granskning som krävs enligt lag, av en tillsynsmyndighet, till följd av en personuppgiftsincident eller på grund av rimliga skäl att misstänka bristande efterlevnad. Vardera parten bär normalt sina egna kostnader, om inte annat har avtalats eller krävs enligt lag.

13. Återlämnande eller radering av personuppgifter

När behandlingstjänsterna upphör återlämnar eller raderar personuppgiftsbiträdet personuppgifterna enligt den personuppgiftsansvariges val och raderar befintliga kopior, om inte unionsrätten eller en medlemsstats nationella rätt kräver lagring, i enlighet med artikel 28.3 g GDPR. Den personuppgiftsansvarige bör ladda ned de exporter som behövs innan den betalda åtkomsten upphör och kontakta supporten för att ordna ytterligare återlämnande eller radering. Att avsluta förnyelsen av abonnemanget innebär inte i sig en begäran om radering av kontot. Förfarandet för kontoradering i appen schemalägger raderingen efter en ångerperiod på 30 dagar; en tidigare eller annorlunda begäran som krävs enligt lag ska riktas direkt till personuppgiftsbiträdet. Parterna måste komma överens om och genomföra förfarandet för återlämnande eller radering utan att lagra uppgifter längre än nödvändigt. Säkerhetskopior förblir skyddade av detta personuppgiftsbiträdesavtal tills de tas bort enligt det tillämpliga schemat för säkerhetskopiering; varje återställning måste respektera tidigare raderingsinstruktioner. Faktureringsuppgifter som behandlas för personuppgiftsbiträdets egna rättsliga förpliktelser hanteras separat enligt integritetspolicyn.

14. Internationella överföringar

Personuppgiftsbiträdet behandlar personuppgifter huvudsakligen inom Europeiska unionen. Om personuppgiftsbiträdet eller ett underbiträde behöver överföra personuppgifter till ett land utanför Europeiska ekonomiska samarbetsområdet sker överföringen endast med stöd av ett beslut om adekvat skyddsnivå enligt artikel 45 GDPR eller lämpliga skyddsåtgärder enligt artikel 46 GDPR. Sådana skyddsåtgärder är vanligtvis Europeiska kommissionens standardavtalsklausuler (beslut 2021/914/EU), vid behov kompletterade med ytterligare tekniska och organisatoriska åtgärder. Den aktuella listan över mottagare och tillämpliga överföringsmekanismer publiceras på /legal/sub-processors.

15. Insolvens, beslag och åtgärder från tredje part

Om den personuppgiftsansvariges personuppgifter riskeras till följd av beslag, konfiskering, insolvens- eller ackordsförfarande eller någon annan åtgärd från tredje part som kan påverka personuppgiftsbiträdets förmåga att följa detta personuppgiftsbiträdesavtal, informerar personuppgiftsbiträdet den personuppgiftsansvarige utan onödigt dröjsmål och informerar skriftligen tredje parten om att den personuppgiftsansvarige, i egenskap av personuppgiftsansvarig i den mening som avses i GDPR, ansvarar för uppgifterna. Personuppgiftsbiträdet vidtar rimliga åtgärder för att skydda integriteten och tillgängligheten hos den personuppgiftsansvariges uppgifter i avvaktan på att tredje partens åtgärd får en lösning.

16. Ansvar

Vardera parten ansvarar för skada som orsakas av dess eget brott mot detta personuppgiftsbiträdesavtal i enlighet med artikel 82 GDPR och tillämplig lag. Ingenting i detta personuppgiftsbiträdesavtal utesluter eller begränsar ansvar som inte kan uteslutas eller begränsas enligt lag, inklusive för dödsfall eller personskada, bedrägeri, svikligt förledande eller uppsåtligt fel. Ingenting i detta personuppgiftsbiträdesavtal begränsar de registrerades eller tillsynsmyndigheternas rättigheter. I alla andra avseenden gäller de ansvarsbegränsningar och ansvarsfriskrivningar som anges i huvudavtalet även för detta personuppgiftsbiträdesavtal.

17. Delvis ogiltighet och slutbestämmelser

Ändringar av och tillägg till detta personuppgiftsbiträdesavtal ska dokumenteras skriftligen, även elektroniskt, och uttryckligen ange vilka bestämmelser som ändras. Artikel 28.9 GDPR tillåter att avtalet är i elektronisk form; det innebär inte i sig att en ändring har godtagits. Om någon bestämmelse i detta personuppgiftsbiträdesavtal är eller blir ogiltig, olaglig eller inte kan verkställas påverkas inte giltigheten av övriga bestämmelser; parterna ska ersätta den ogiltiga bestämmelsen med en giltig bestämmelse vars ekonomiska verkan kommer så nära den ogiltiga bestämmelsens som möjligt. Detta personuppgiftsbiträdesavtal kan ingås och uppdateras elektroniskt och ersätter alla tidigare arrangemang för personuppgiftsbehandling mellan parterna i samma sak.

18. Tillämplig lag och behörig domstol

Detta personuppgiftsbiträdesavtal regleras av Republiken Cyperns lagar, med undantag för dess lagvalsregler och Förenta nationernas konvention om avtal om internationella köp av varor. Domstolarna i Paphos, Cypern, har exklusiv behörighet för varje tvist som uppstår på grund av eller i samband med detta personuppgiftsbiträdesavtal, utan att det påverkar tvingande rättigheter till forum för konsumentskydd eller för registrerade enligt GDPR.

19. Kontakt

För frågor som rör detta personuppgiftsbiträdesavtal, kontakta Labb Holding Ltd på privacy@persohr.eu eller skriv till Labb Holding Ltd, Anthipolochagou Georgiou M.Savva 26, Shop 1-2, 8201 Paphos, Cypern. Den personuppgiftsansvariges kontaktpunkt för dataskydd är det användarkonto som har utsetts till OWNER i plattformen PersoHR.