მონაცემთა დამუშავების ხელშეკრულება

1. ტერმინთა განმარტება

ბრჭყალებში მოცემულ ტერმინებს, რომლებიც წინამდებარე DPA-ში არ არის განმარტებული, აქვთ GDPR-ით მინიჭებული მნიშვნელობა.

• "პერსონალური მონაცემები" — ნებისმიერი ინფორმაცია, რომელიც უკავშირდება იდენტიფიცირებულ ან იდენტიფიცირებად ფიზიკურ პირს და მუშავდება წინამდებარე DPA-ს საფუძველზე.
• "მონაცემთა სუბიექტი" — ფიზიკური პირი, რომელსაც უკავშირდება პერსონალური მონაცემები (როგორც წესი, თქვენი თანამშრომლები, კონტრაქტორები, კანდიდატები).
• "დამუშავება" — პერსონალურ მონაცემებზე განხორციელებული ნებისმიერი ოპერაცია, მათ შორის შეგროვება, შენახვა, გადაცემა, ცვლილება, წაშლა.
• "ქვედამმუშავებელი" — ნებისმიერი მესამე პირი, რომელსაც დამმუშავებელი ჩართავს მაკონტროლებლის სახელით პერსონალური მონაცემების დასამუშავებლად.
• "პერსონალურ მონაცემთა დარღვევა" — უსაფრთხოების დარღვევა, რომელიც იწვევს პერსონალური მონაცემების შემთხვევით ან უკანონო განადგურებას, დაკარგვას, შეცვლას, უნებართვო გამჟღავნებას ან მათზე წვდომას.

2. მოქმედების სფერო და როლები

მაკონტროლებელი განსაზღვრავს სერვისში განთავსებული პერსონალური მონაცემების დამუშავების მიზნებსა და საშუალებებს. დამმუშავებელი პერსონალურ მონაცემებს ამუშავებს მხოლოდ მაკონტროლებლის დოკუმენტირებული მითითებების საფუძველზე, მათ შორის იმ მითითებებით, რომლებიც ასახულია წინამდებარე DPA-ში, მომსახურების პირობებსა და ნებისმიერ შემდგომ წერილობით მითითებაში.

დამუშავების საგანი, ხანგრძლივობა, ხასიათი და მიზანი, აგრეთვე მონაცემთა სუბიექტების კატეგორიები და პერსონალური მონაცემების ტიპები განსაზღვრულია — იხ. დანართი I.

3. დამმუშავებლის ვალდებულებები

დამმუშავებელი ვალდებულია:

• პერსონალური მონაცემები დაამუშაოს მხოლოდ მაკონტროლებლის დოკუმენტირებული მითითებების საფუძველზე, გარდა იმ შემთხვევისა, როდესაც ამას მოითხოვს ევროკავშირის ან წევრი სახელმწიფოს კანონმდებლობა.
• უზრუნველყოს, რომ პერსონალური მონაცემების დამუშავებაზე უფლებამოსილ პირებს ეკისრებოდეთ კონფიდენციალურობის შესაბამისი ვალდებულებები.
• დანერგოს და შეინარჩუნოს ტექნიკური და ორგანიზაციული ზომები, რომლებიც განსაზღვრულია — იხ. დანართი II.
• დაეხმაროს მაკონტროლებელს GDPR-ის 32–36 მუხლებით გათვალისწინებული ვალდებულებების შესრულებაში (უსაფრთხოება, დარღვევის შესახებ შეტყობინება, მონაცემთა დაცვაზე ზემოქმედების შეფასება, წინასწარი კონსულტაცია).
• მაკონტროლებლის არჩევანის შესაბამისად, მომსახურების შეწყვეტის შემდეგ წაშალოს ან დააბრუნოს ყველა პერსონალური მონაცემი და გაანადგუროს არსებული ასლები, გარდა იმ შემთხვევისა, როდესაც შენახვას მოითხოვს კანონმდებლობა (იხ. 10).
• ხელმისაწვდომი გახადოს GDPR-ის 28-ე მუხლთან შესაბამისობის დასადასტურებლად საჭირო ყველა ინფორმაცია და უზრუნველყოს აუდიტის ჩატარება, როგორც ეს განსაზღვრულია პუნქტში 8.
• დაუყოვნებლივ აცნობოს მაკონტროლებელს, თუ მისი შეფასებით მაკონტროლებლის მითითება არღვევს GDPR-ს ან მონაცემთა დაცვის სხვა მოქმედ დებულებებს.

4. უსაფრთხოების ზომები

დამმუშავებელი ნერგავს ტექნიკურ და ორგანიზაციულ ზომებს, რომლებიც უზრუნველყოფს რისკის შესაბამის უსაფრთხოების დონეს, ტექნოლოგიური განვითარების დონის, დანერგვის ხარჯებისა და დამუშავების ხასიათის, მოცულობის, კონტექსტისა და მიზნების გათვალისწინებით. წინამდებარე DPA-ს თარიღისთვის მოქმედი ზომები აღწერილია — იხ. დანართი II.

დამმუშავებელს უფლება აქვს პერიოდულად განაახლოს აღნიშნული ზომები იმ პირობით, რომ უსაფრთხოების დონე არსებითად არ შემცირდება.

5. ქვე-დამმუშავებლები

მაკონტროლებელი დამმუშავებელს ანიჭებს ზოგად წერილობით უფლებამოსილებას, ჩართოს ქვე-დამმუშავებლები წინამდებარე პუნქტით დადგენილი პირობების დაცვით.

ქვე-დამმუშავებელთა მოქმედი ჩამონათვალი მოცემულია — იხ. დანართი III. დამმუშავებელი ვალდებულია ნებისმიერი დაგეგმილი ცვლილების (დამატება ან ჩანაცვლება) შესახებ მაკონტროლებელს აცნობოს სულ მცირე ოცდაათი (30) დღით ადრე და მისცეს მას დასაბუთებული პროტესტის გამოხატვის შესაძლებლობა.

დამმუშავებელი თითოეულ ქვე-დამმუშავებელთან დებს წერილობით შეთანხმებას, რომელიც აკისრებს მას მონაცემთა დაცვის იმავე ვალდებულებებს, რაც განსაზღვრულია წინამდებარე DPA-ით, და მაკონტროლებლის წინაშე სრულად რჩება პასუხისმგებელი ამ ვალდებულებების შესრულებაზე.

6. მონაცემთა სუბიექტის უფლებები

სერვისი მაკონტროლებელს სთავაზობს თვითმომსახურების ინსტრუმენტებს, რომ უპასუხოს მონაცემთა სუბიექტების მოთხოვნებს GDPR-ით გათვალისწინებული უფლებების განხორციელებაზე (მათ შორის წვდომა, შესწორება, წაშლა, შეზღუდვა, გადატანადობა და პროტესტი). თუ ეს ინსტრუმენტები საკმარისი არ არის, დამმუშავებელი, დამუშავების ხასიათის გათვალისწინებით, შეძლებისდაგვარად დაეხმარება მაკონტროლებელს შესაბამისი ტექნიკური და ორგანიზაციული ზომებით.

თუ მონაცემთა სუბიექტი უშუალოდ დამმუშავებელს მიმართავს GDPR-ით გათვალისწინებული მოთხოვნით, დამმუშავებელი დაუყოვნებლივ გადაუგზავნის ამ მოთხოვნას მაკონტროლებელს და პირდაპირ არ უპასუხებს მონაცემთა სუბიექტს მაკონტროლებლის უფლებამოსილების გარეშე.

7. პერსონალურ მონაცემთა დარღვევის შესახებ შეტყობინება

მაკონტროლებლის მონაცემებთან დაკავშირებული პერსონალურ მონაცემთა დარღვევის შესახებ ინფორმაციის მიღებისთანავე დამმუშავებელი ვალდებულია დაუყოვნებლივ, ნებისმიერ შემთხვევაში სამოცდათორმეტი (72) საათის განმავლობაში, აცნობოს მაკონტროლებელს. შეტყობინება, არსებული ინფორმაციის ფარგლებში, უნდა მოიცავდეს:

• დარღვევის ხასიათს, მათ შორის დაზარალებულ მონაცემთა სუბიექტებისა და ჩანაწერების კატეგორიებსა და სავარაუდო რაოდენობას.
• დარღვევის სავარაუდო შედეგებს.
• დარღვევის აღმოსაფხვრელად და მისი შესაძლო უარყოფითი შედეგების შესარბილებლად მიღებულ ან შემოთავაზებულ ზომებს.
• დამმუშავებელთან მონაცემთა დაცვის საკონტაქტო პირის სახელსა და საკონტაქტო მონაცემებს.

დამმუშავებელი გონივრულ ფარგლებში ითანამშრომლებს მაკონტროლებელთან და მიაწვდის დამატებით ინფორმაციას მისი ხელმისაწვდომობის შესაბამისად.

8. აუდიტი

დამმუშავებელი მაკონტროლებელს დასაბუთებული წერილობითი მოთხოვნის საფუძველზე, კალენდარულ წელიწადში არაუმეტეს ერთხელ (გარდა პერსონალურ მონაცემთა დარღვევის ან მარეგულირებელი ორგანოს გამოძიების შემთხვევისა), მიაწვდის წინამდებარე DPA-სთან შესაბამისობის დასადასტურებლად საჭირო ინფორმაციას. ასეთი ინფორმაცია შეიძლება მოიცავდეს დამმუშავებლის უახლეს მესამე მხარის აუდიტის დასკვნებს, უსაფრთხოების კითხვარებს ან ტექნიკური და ორგანიზაციული ზომების წერილობით მიმოხილვას.

ადგილზე აუდიტი დაიშვება მხოლოდ მაშინ, როდესაც დისტანციური საშუალებები არასაკმარისია — სულ მცირე ოცდაათი (30) დღით ადრე გაფრთხილებით, სამუშაო საათებში, ისე, რომ არ შეფერხდეს დამმუშავებლის საქმიანობა, და კონფიდენციალურობის ვალდებულებების დაცვით.

9. მონაცემთა საერთაშორისო გადაცემა

როდესაც დამმუშავებელი პერსონალურ მონაცემებს გადასცემს ევროპის ეკონომიკური სივრცის ან გაერთიანებული სამეფოს ფარგლებს გარეთ, იგი უზრუნველყოფს, რომ გადაცემა ექვემდებარებოდეს GDPR-ის 46-ე მუხლით გათვალისწინებულ შესაბამის გარანტიებს, მათ შორის, საჭიროების შემთხვევაში, ევროკომისიის სტანდარტულ სახელშეკრულებო პირობებს (SCC). მაკონტროლებელი დამმუშავებელს ანიჭებს უფლებამოსილებას, საჭიროების შემთხვევაში მისი სახელით დადოს SCC (მოდული მეორე: მაკონტროლებლიდან დამმუშავებელზე) ევროპის ეკონომიკური სივრცის გარეთ განთავსებულ ქვედამმუშავებლებთან.

10. მოქმედების ვადა და შეწყვეტა

წინამდებარე DPA ძალაშია მანამ, სანამ დამმუშავებელი მაკონტროლებლის სახელით ამუშავებს პერსონალურ მონაცემებს. ძირითადი მომსახურების ხელშეკრულების შეწყვეტისას:

• დამმუშავებელი შეწყვეტს პერსონალური მონაცემების დამუშავებას და, მაკონტროლებლის არჩევანით, ოთხმოცდაათი (90) დღის განმავლობაში დააბრუნებს ან წაშლის ყველა პერსონალურ მონაცემს.
• მაკონტროლებელს შეუძლია ხელშეკრულების შეწყვეტამდე სერვისში არსებული თვითმომსახურების ინსტრუმენტებით მოახდინოს საკუთარი მონაცემების ექსპორტი.
• დამმუშავებელს უფლება აქვს შეინახოს პერსონალური მონაცემები მოქმედი კანონმდებლობით მოთხოვნილი ფარგლებით; ამ შემთხვევაში პერსონალურ მონაცემებზე ვრცელდება წინამდებარე DPA-ს უსაფრთხოების ვალდებულებები.

მომხმარებლის ინიციატივით კომპანიის ანგარიშის წაშლა იწყებს ოცდაათდღიან (30) საშეღავათო პერიოდს, რის შემდეგაც პერსონალური მონაცემები სამუშაო სისტემებიდან სრულად იშლება.

11. პასუხისმგებლობა

წინამდებარე DPA-დან გამომდინარე ან მასთან დაკავშირებული თითოეული მხარის პასუხისმგებლობა რეგულირდება ძირითადი მომსახურების ხელშეკრულებით (მომსახურების პირობებით) დადგენილი პასუხისმგებლობის შეზღუდვებით. წინამდებარე DPA არ ზღუდავს და არ გამორიცხავს პასუხისმგებლობას იმ შემთხვევებში, როდესაც ასეთი შეზღუდვა ან გამორიცხვა აკრძალულია მოქმედი კანონმდებლობით.

დანართი I — დამუშავების აღწერა

დამუშავების საგანი

მაკონტროლებლისთვის ადამიანური რესურსების მართვის პროგრამული უზრუნველყოფის მომსახურების სახით მიწოდება, მათ შორის თანამშრომელთა ჩანაწერების, შვებულებების, სამუშაო დროის აღრიცხვის, ხელფასის დარიცხვის, ადაპტაციისა და სამსახურიდან გასვლის პროცესის, აღჭურვილობის, გამოკითხვების, მხილების, განცხადებებისა და ანგარიშგების ფუნქციები.

ხანგრძლივობა

მაკონტროლებლის მიერ სერვისის გამოწერის მთელი პერიოდი, დამატებით შეწყვეტის შემდგომი შენახვის ვადა, როგორც ეს განსაზღვრულია მე-10 პუნქტში.

ხასიათი და მიზანი

თანამშრომელთა პერსონალური მონაცემების შენახვა, მოძიება, გადაცემა, ცვლილება, წაშლა და ანალიტიკური აგრეგირება მაკონტროლებლის ადამიანური რესურსების ადმინისტრირების მიზნით, მაკონტროლებლის მითითებების შესაბამისად.

მონაცემთა სუბიექტების კატეგორიები

• მაკონტროლებლის მოქმედი და ყოფილი თანამშრომლები
• მაკონტროლებლის კონტრაქტორები და თავისუფალი პროფესიის პირები (თუ ისინი სერვისში იმართებიან)
• მაკონტროლებლის ადამიანური რესურსების ადმინისტრატორები, ხელმძღვანელები და უფლებამოსილი მომხმარებლები
• სამსახურის კანდიდატები, საჭიროების შემთხვევაში
• მამხილებელი პირები (ფსევდონიმური ან ანონიმური სახით)

პერსონალური მონაცემების კატეგორიები

• საიდენტიფიკაციო და საკონტაქტო მონაცემები (სახელი, ელფოსტა, ტელეფონი, მისამართი)
• დასაქმების მონაცემები (თანამდებობის დასახელება, დეპარტამენტი, თანამდებობა, ხელშეკრულებები, დაწყების/დასრულების თარიღები, ხელფასი, დასაქმების სტატუსი)
• სამუშაო დროისა და დასწრების მონაცემები (სამუშაო კვირები, დროის ჩანაწერები, შვებულების მოთხოვნები, ნაშთები)
• ხელფასის დარიცხვის მონაცემები (საბაზო ხელფასი, კომპონენტები, ბრუტო, დაქვითვები, გადასახადი, ნეტო, სახელფასო ფურცლები)
• სენსიტიური ფინანსური / საიდენტიფიკაციო მონაცემები (საბანკო ანგარიში, გადასახადის გადამხდელის საიდენტიფიკაციო ნომერი, სოციალური დაზღვევის ნომერი) — შენახვისას დაშიფრული
• საგანგებო შემთხვევის საკონტაქტო ინფორმაცია
• მაკონტროლებლის მიერ ატვირთული დოკუმენტები (ხელშეკრულებები, პირადობის დამადასტურებელი დოკუმენტები, სერტიფიკატები)
• აუდიტისა და აქტივობის ჟურნალები
• თავისუფალი ტექსტის ველები, რომლებიც ივსება გამოკითხვების, მხილების შეტყობინებებისა და პროფილის ცვლილების მოთხოვნების მეშვეობით

პერსონალური მონაცემების განსაკუთრებული კატეგორიები

სერვისი არ არის განკუთვნილი პერსონალური მონაცემების განსაკუთრებული კატეგორიების (GDPR-ის მე-9 მუხლი) — მაგალითად, ჯანმრთელობის, რელიგიური მრწამსის ან პოლიტიკური შეხედულებების — დასამუშავებლად. მაკონტროლებელი თანხმდება, რომ ასეთ მონაცემებს არ ატვირთავს თავისუფალი ტექსტის ველებში. თუ ამის თავიდან აცილება შეუძლებელია (მაგალითად, შვებულების მოთხოვნას თანდართული სამედიცინო ცნობა ატვირთულია დოკუმენტის სახით), დამუშავების მიზნის ერთადერთი განმსაზღვრელი რჩება მაკონტროლებელი.

დანართი II — ტექნიკური და ორგანიზაციული ზომები

დამმუშავებელი ინარჩუნებს რისკის შესაბამის, მრავალშრიან ტექნიკურ და ორგანიზაციულ ზომებს, რომლებიც შეესაბამება დარგში აღიარებულ უსაფრთხოების პრაქტიკასა და GDPR-ის 32-ე მუხლს. კონკრეტული კონფიგურაციები — მათ შორის მომწოდებლებისა და პროდუქტების დასახელებები, პროგრამული უზრუნველყოფის ვერსიები, ქსელური მარშრუტები, განრიგები და აღდგენის დროის სამიზნე მაჩვენებლები — განიხილება როგორც კონფიდენციალური უსაფრთხოების ინფორმაცია და წინამდებარე დოკუმენტში არ ქვეყნდება. მსხვილ კორპორატიულ მომხმარებლებს შეუძლიათ დამატებითი ინფორმაცია მოითხოვონ ცალკე კონფიდენციალურობის შეთანხმების საფუძველზე. ზომები შეიძლება განახლდეს იმ პირობით, რომ უსაფრთხოების საერთო დონე არსებითად არ შემცირდება.

ქსელისა და პერიმეტრის უსაფრთხოება

• საჯაროდ ხელმისაწვდომი წერტილები განთავსებულია დაცვის ზედა შრის უკან, რომელიც უზრუნველყოფს DDoS შეტევების შერბილებას, სასაზღვრო დონეზე ვებაპლიკაციების დაცვის ეკრანს (WAF) და მოთხოვნების სიხშირის შეზღუდვას.
• საჯაროდ ხელმისაწვდომია მხოლოდ სერვისის მიწოდებისთვის აუცილებელი ქსელური მარშრუტების მინიმალური ნაკრები; ადმინისტრირების არხები საჯარო ინტერნეტიდან მიუწვდომელია და საჭიროებს ავთენტიფიცირებულ, მრავალფაქტორიანი დაცვის მქონე კერძო წვდომას.

დაშიფვრა

• მომხმარებელსა და სერვერს შორის ტრაფიკი გადაცემისას დაშიფრულია დარგის სტანდარტული სატრანსპორტო შრის უსაფრთხოების პროტოკოლით.
• განსაკუთრებით სენსიტიური პერსონალური მონაცემების ველები დამატებით დაცულია აპლიკაციის დონის დაშიფვრით, ხოლო გასაღებები იმართება მონაცემთა საცავისგან განცალკევებით.
• შიდა სერვისებს შორის კავშირები იყენებს დაშიფრულ არხს.

წვდომის კონტროლი

• მკაცრი ლოგიკური იზოლაცია მრავალმოიჯარიან გარემოში: თითოეული მაკონტროლებლის მონაცემები ყოველ წაკითხვისა და ჩაწერის არხში შემოსაზღვრულია საკუთარი სივრცით.
• დეტალიზებული როლებზე დაფუძნებული წვდომის კონტროლი; შიდა როლების განაწილებას თავად მაკონტროლებელი მართავს.
• ორფაქტორიანი ავთენტიფიკაცია ხელმისაწვდომია ყველა მომხმარებლისთვის და სავალდებულოა პრივილეგირებული ანგარიშებისთვის.
• სესიები და წვდომის ტოკენები დაუყოვნებლივ უქმდება შესაბამისი მოვლენების დროს (მომხმარებლის გათიშვა, შრომითი ურთიერთობის შეწყვეტა, ანგარიშის დახურვა).

ჟურნალირება და მონიტორინგი

• სტრუქტურირებული აპლიკაციური ჟურნალირება და მოთხოვნების ურთიერთდაკავშირება სერვისებს შორის.
• სენსიტიურ პერსონალურ მონაცემებზე წვდომისა და შრომითი ურთიერთობის მნიშვნელოვანი მოვლენების აუდიტის ჟურნალირება, რომელიც ხელმისაწვდომია მაკონტროლებლისთვის.

მდგრადობა და სარეზერვო ასლები

• სამუშაო გარემო განთავსებულია ისეთ კონფიგურაციაში, რომელიც ამცირებს ერთი წერტილის მწყობრიდან გამოსვლით გამოწვეული შეფერხების რისკს.
• სამუშაო მონაცემების სარეზერვო ასლები რეგულარულად იქმნება და მათი მთლიანობა პერიოდულად მოწმდება არასამუშაო გარემოში აღდგენის ტესტირებით.

პროგრამული უზრუნველყოფის უსაფრთხოების პრაქტიკა

• შეყვანილი მონაცემების ვალიდაცია, პარამეტრიზებული მოთხოვნები და მონაცემთა ბაზასთან წვდომა ORM-ის მეშვეობით.
• სერვისებს შორის საიმედო შეტყობინებების გაცვლა იდემპოტენტური მიმღებებით.
• დამოკიდებულებების მოწყვლადობის პერიოდული სკანირება და გამოვლენილი ხარვეზების აღმოფხვრა.

ორგანიზაციული ზომები

• პერსონალურ მონაცემებზე წვდომის მქონე თანამშრომლებს ეკისრებათ კონფიდენციალურობის ვალდებულებები.
• სამუშაო სისტემებზე წვდომა ენიჭება მხოლოდ საჭიროებისამებრ და პერიოდულად გადაისინჯება.
• განსაზღვრული ინციდენტებზე რეაგირების პროცედურა, მათ შორის მაკონტროლებლისთვის დარღვევის შესახებ შეტყობინების არხი.

დანართი III — დამტკიცებული ქვე-დამმუშავებლები

დამმუშავებლის მიერ ჩართული მოქმედი ქვე-დამმუშავებლები:

განახლებული ჩამონათვალი მუდმივად ქვეყნდება ამ გვერდზე. არსებითი ცვლილებების შესახებ შეტყობინება განხორციელდება მე-5 პუნქტის შესაბამისად.

კონტაქტი

წინამდებარე DPA-სთან დაკავშირებული კითხვები, ორმხრივად ხელმოწერილი ასლის მოთხოვნა ან მე-5 (ქვე-დამმუშავებლები) და მე-7 (დარღვევის შესახებ შეტყობინება) პუნქტებით გათვალისწინებული შეტყობინებები უნდა გაიგზავნოს შემდეგ მისამართზე:

HourSquare — მონაცემთა დაცვის საკონტაქტო პირი
ელფოსტა: legal@hoursquare.com
საფოსტო მისამართი: HourSquare, თბილისი, საქართველო

წინამდებარე დოკუმენტი წარმოადგენს გამჭვირვალობის მიზნით მოწოდებულ შაბლონს და შესაფერისია მცირე ბიზნესთან თანამშრომლობისთვის. მომხმარებლებს, რომლებსაც აქვთ ინდივიდუალური შესყიდვის, რეგულირებადი დარგის ან მსხვილი კორპორატიული შესაბამისობის მოთხოვნები, შეუძლიათ ზემოაღნიშნულ მისამართზე მოითხოვონ ორმხრივად ხელმოწერილი, შეთანხმებული DPA.