Ugovor o obradi podataka (DPA) — sažetak

Uloge

Vaša organizacija voditelj je obrade osobnih podataka svojih zaposlenika koje unosi u CHRIS. Web rješenja d.o.o., Markuševečka cesta 115, 10040 Zagreb, OIB: 97669668809, izvršitelj je obrade i podatke obrađuje isključivo prema dokumentiranim uputama organizacije.

Predmet, trajanje i svrha obrade

Obrada se provodi radi pružanja usluge CHRIS — vođenja evidencije zaposlenika i upravljanja odsutnostima — i traje dok traje ugovor o korištenju usluge.

Podrška obračunu plaće

Svrha obrade uključuje i podršku obračunu plaće i knjigovodstvu organizacije: CHRIS priprema i razmjenjuje podatke s kojima organizacija i strana koja za nju vodi knjigovodstvo pripremaju obračun plaće. To su zadaci između njih, mjesečni paket za plaće, platne liste i evidencija neoporezivih primitaka.

Obračun plaće, JOPPD i druge prijave tijelima ne podnosi CHRIS, nego organizacija ili njezin knjigovodstveni servis. Evidencija neoporezivih primitaka u CHRIS-u pomoćna je evidencija; službenu evidenciju čine JOPPD i poslovne knjige organizacije.

Kategorije ispitanika i podataka

Ispitanici su zaposlenici i članovi organizacije. Obrađuju se sljedeće kategorije podataka:

• ime i prezime te službena e-mail adresa,
• podaci o zaposlenju: datum početka rada, vrsta ugovora i kvote odsustava,
• zahtjevi za odsutnost, uključujući vrstu odsutnosti (koja može upućivati na zdravstvene razloge),
• neobavezno: HR bilješke, kontakt za hitne slučajeve i životopis.

Podaci za obračun plaće

Za podršku obračunu plaće obrađuju se i sljedeće kategorije podataka o zaposlenicima. Oznaka invalida rada zdravstveni je podatak, dakle posebna kategorija podataka, i obrađuje se na temelju čl. 9. st. 2. t. (b) GDPR-a samo za raspodjelu naknade za bolovanje između poslodavca i HZZO-a.

• OIB, datum rođenja i adresa,
• IBAN računa za isplatu plaće te općina ili grad prebivališta,
• oznaka je li osoba invalid rada, bez stupnja invaliditeta, dijagnoze ili dokumenata,
• platne liste,
• neoporezivi primici isplaćeni zaposleniku, a za primitke vezane uz dijete ime i godina rođenja djeteta.

Obveze izvršitelja obrade

Kao izvršitelj obrade obvezujemo se na sljedeće:

• podatke obrađujemo samo prema uputama organizacije,
• osobe s pristupom podacima obvezane su na povjerljivost,
• primjenjujemo primjerene tehničke i organizacijske mjere zaštite (kontrola pristupa po ulogama, izolacija podataka po organizaciji, dostupna dvofaktorska prijava, šifrirani prijenos, pohrana baze i dokumenata u EU),
• pomažemo organizaciji pri ostvarivanju prava ispitanika i ispunjavanju sigurnosnih obveza,
• o povredi osobnih podataka obavještavamo organizaciju bez nepotrebnog odgađanja.

Podizvršitelji

Za pružanje usluge angažirani su sljedeći podizvršitelji. Baza podataka, dokumenti i e-mail nalaze se u Europskoj uniji. Prijenos izvan EU-a postoji kod dvije usluge — prijave i dostave push obavijesti — i temelji se na standardnim ugovornim klauzulama Europske komisije (čl. 46. st. 2. t. c GDPR-a).

O planiranim promjenama podizvršitelja organizacije ćemo unaprijed obavijestiti.

Ako organizacija uključi asistenta, u obradu se uključuju i podizvršitelji navedeni u odjeljku »Asistent (Pitaj CHRIS)«.

• Supabase — baza podataka i autentifikacija (EU regija),
• WorkOS — prijava i upravljanje računima (SAD; standardne ugovorne klauzule),
• Stripe — obrada plaćanja,
• Mailgun EU — slanje e-mail poruka,
• Expo — dostava push obavijesti na mobilne uređaje (SAD; standardne ugovorne klauzule),
• Hetzner (putem Nebiona) — hosting u EU.

Asistent (Pitaj CHRIS)

Asistent »Pitaj CHRIS« neobavezan je modul pokretan umjetnom inteligencijom. Isključen je dok ga administrator organizacije ne uključi uz potvrdu pristanka; ta je potvrda dokumentirana uputa voditelja obrade i evidentira se s imenom, datumom i verzijom teksta pristanka. Dok je modul isključen, podizvršiteljima iz ovog odjeljka ne šalje se nijedan podatak.

Kad je asistent uključen, šalju se pitanje zaposlenika i samo oni podaci koje taj zaposlenik već smije vidjeti u CHRIS-u. Nikad se ne šalju HR bilješke, podaci o plaći, OIB i drugi identifikatori, adrese, kontakti za hitne slučajeve ni dokumenti, osim onoga koji zaposlenik sam preda asistentu. Poslani podaci ne koriste se za učenje modela.

Prijenos u SAD temelji se na standardnim ugovornim klauzulama Europske komisije (čl. 46. st. 2. t. c GDPR-a). O promjeni podizvršitelja ili mjesta obrade organizacije ćemo obavijestiti unaprijed. Obradu izvodi jedan od navedenih podizvršitelja, u EU ili SAD-u:

• OpenAI — generiranje odgovora asistenta (SAD; standardne ugovorne klauzule; obrada u EU na zahtjev),
• Anthropic PBC — generiranje odgovora asistenta (SAD; standardne ugovorne klauzule),
• Amazon Web Services EMEA — generiranje odgovora asistenta (obrada u EU).

Strana za knjigovodstvo koju odredi organizacija

Organizacija u CHRIS-u može odrediti jednu stranu koja za nju vodi knjigovodstvo: knjigovodstveni servis s kojim suradnju odobri administrator organizacije ili vlastite zaposlenike koje administrator ovlasti kao interne knjigovođe. Na temelju te dokumentirane upute CHRIS toj strani otkriva podatke iz područja pristupa koja je administrator uključio. CHRIS bilježi tko je uputu dao, kada, s kojim područjima pristupa i koju verziju teksta potvrde.

Knjigovodstveni servis izvršitelj je obrade organizacije na temelju zasebnog ugovora o obradi podataka između organizacije i servisa. Servis nije podizvršitelj CHRIS-a, a ovaj DPA taj ugovor ne uređuje i ne zamjenjuje. Ispitanici su tada i osobe servisa: organizacija vidi što su kod nje otvorile, unijele i preuzele, a ti zapisi pripadaju organizaciji.

Datoteke koje knjigovodstveni servis ili interni knjigovođe otvaraju ili učitavaju, poput priloga zadataka i platnih lista, pohranjuju se isključivo u Europskoj uniji.

Organizacija suradnju ili ovlaštenje može prekinuti u svakom trenutku; pristup tada prestaje odmah, a ono što je strana za knjigovodstvo unijela ostaje organizaciji.

Brisanje i povrat podataka

Nakon prestanka ugovora podatke brišemo na zahtjev organizacije ili najkasnije u roku od 30 dana. Prije brisanja organizacija može zatražiti izvoz svojih podataka.

Razgovori s asistentom čuvaju se 12 mjeseci. Podizvršitelj asistenta ulazne podatke čuva najviše 30 dana radi nadzora zlouporabe.

Potpisani DPA

Ovaj sažetak služi za informaciju i ne zamjenjuje ugovor. Potpisani Ugovor o obradi podataka zatražite na hello@chris.hr.