Παράρτημα Επεξεργασίας Δεδομένων

1.Ορισμοί

1. 1.1Όροι όπως «υπεύθυνος επεξεργασίας», «εκτελών την επεξεργασία», «προσωπικά δεδομένα», «επεξεργασία», «υποκείμενο των δεδομένων» και «παραβίαση προσωπικών δεδομένων» έχουν τις έννοιες που τους αποδίδονται στον GDPR.
2. 1.2«Ισχύουσα Νομοθεσία Προστασίας Δεδομένων» σημαίνει τον ΓΚΠΔ και τις εθνικές νομοθεσίες περί προστασίας δεδομένων που ισχύουν στην Κύπρο, τη Βουλγαρία και κάθε επικράτεια στην οποία λαμβάνει χώρα η τεκμηριωμένη επεξεργασία.
3. 1.3«Εκτελών την επεξεργασία» σημαίνει την Xciterr ή την Automaize μόνο στον βαθμό που η οικεία εταιρεία επεξεργάζεται προσωπικά δεδομένα κατόπιν τεκμηριωμένων οδηγιών ενός Υπευθύνου Επεξεργασίας. Ο όρος «Υπο-εκτελών την επεξεργασία» περιλαμβάνει την Automaize όταν αναλαμβάνει εργασία από την Xciterr, καθώς και κάθε πάροχο υποδομής που εμπλέκεται στην αλυσίδα τεκμηριωμένης επεξεργασίας.

2.Ρόλοι και πεδίο εφαρμογής της επεξεργασίας

1. 2.1Για μια ροή εργασίας που ελέγχεται από τον Πελάτη, ο Πελάτης καθορίζει τους σκοπούς και τα βασικά μέσα, ενώ η ισχύουσα παραγγελία προσδιορίζει την Xciterr ως εκτελούσα την επεξεργασία και την Automaize ως εκτελούσα ή υπο-εκτελούσα την επεξεργασία. Η Xciterr και η Automaize επεξεργάζονται τα εν λόγω δεδομένα μόνο βάσει των τεκμηριωμένων οδηγιών που ισχύουν για τον ρόλο τους.
2. 2.2Αυτό το DPA δεν εφαρμόζεται όταν η Xciterr ενεργεί ως ανεξάρτητος υπεύθυνος επεξεργασίας για προσλήψεις μέσω γραφείων ευρέσεως εργασίας ή όταν η Automaize ενεργεί ως ανεξάρτητος υπεύθυνος επεξεργασίας για λογαριασμούς πλατφόρμας, ασφάλεια, συγκατάθεση και τεκμηρίωση υπευθυνότητας AI, συντονισμό, πρόληψη απάτης, τεχνολογική συμμόρφωση ή διαχείριση υπηρεσιών.
3. 2.3Το αντικείμενο, η διάρκεια, η φύση και ο σκοπός της επεξεργασίας, οι κατηγορίες των υποκειμένων των δεδομένων και τα προσωπικά δεδομένα περιγράφονται στο Παράρτημα 1 (Λεπτομέρειες Επεξεργασίας). Αυτό περιλαμβάνει δεδομένα προφίλ υποψηφίων, βιογραφικά σημειώματα, αρχεία αιτήσεων, ηχογραφήσεις συνεντεύξεων, απομαγνητοφωνήσεις, αυτοματοποιημένες κάρτες βαθμολογίας, αποδεικτικά στοιχεία αντιστοίχισης, αρχεία συγκατάθεσης και αρχεία καταγραφής ελέγχου που υποβάλλονται σε επεξεργασία για ροές εργασιών προσλήψεων.
4. 2.4Η επεξεργασία διαρκεί για τη διάρκεια της Υπηρεσίας του Πελάτη και την τεκμηριωμένη περίοδο επιστροφής/διαγραφής, με την επιφύλαξη νομικών δεσμεύσεων και υποχρεωτικής διατήρησης. Τα υποκείμενα των δεδομένων περιλαμβάνουν υποψηφίους, υποψήφιους υποψηφίους και εξουσιοδοτημένους χρήστες του Πελάτη· τα δεδομένα μπορεί να περιλαμβάνουν ταυτότητα/στοιχεία επικοινωνίας, επαγγελματικό προφίλ, βιογραφικό σημείωμα, αίτηση, ήχο/απομαγνητοφώνηση συνέντευξης, αξιολόγηση, επικοινωνίες, συγκατάθεση και δεδομένα τεχνικής ασφάλειας. Δεδομένα ειδικών κατηγοριών δεν ζητούνται ούτε προορίζονται και δεν πρέπει να υποβάλλονται εκτός εάν τα μέρη τεκμηριώσουν μια νόμιμη προϋπόθεση του Άρθρου 9 και οδηγίες.

3.Υποχρεώσεις κάθε Εκτελούντος την επεξεργασία

Κάθε εταιρεία, κατά την άσκηση των καθηκόντων της ως Εκτελών την επεξεργασία, οφείλει:

1. 3.1επεξεργάζεται προσωπικά δεδομένα μόνο κατόπιν τεκμηριωμένων οδηγιών του Υπευθύνου Επεξεργασίας, συμπεριλαμβανομένων των διεθνών διαβιβάσεων, εκτός εάν απαιτείται διαφορετικά από τον νόμο·
2. 3.2διασφαλίζει ότι τα πρόσωπα που είναι εξουσιοδοτημένα να επεξεργάζονται προσωπικά δεδομένα δεσμεύονται από το κατάλληλο καθήκον εμπιστευτικότητας·
3. 3.3εφαρμόζει τα τεχνικά και οργανωτικά μέτρα που περιγράφονται στη ρήτρα 5 και στο Παράρτημα 2·
4. 3.4τήρηση των προϋποθέσεων της ρήτρας 6 για την ανάθεση σε υπο-επεξεργαστές,
5. 3.5παροχή συνδρομής στον Υπεύθυνο Επεξεργασίας, λαμβάνοντας υπόψη τη φύση της επεξεργασίας, για την εκπλήρωση των υποχρεώσεών του να ανταποκρίνεται σε αιτήματα των υποκειμένων των δεδομένων και να διασφαλίζει την ασφάλεια, τη γνωστοποίηση παραβιάσεων και τις εκτιμήσεις αντικτύπου σχετικά με την προστασία δεδομένων, και
6. 3.6κατά την επιλογή του Υπευθύνου Επεξεργασίας, διαγραφή ή επιστροφή όλων των προσωπικών δεδομένων μετά το πέρας της παροχής των υπηρεσιών, εκτός εάν η διατήρησή τους απαιτείται από το νόμο.

4.Εμπιστευτικότητα

1. 4.1Κάθε Εκτελών την επεξεργασία αντιμετωπίζει όλα τα προσωπικά δεδομένα ως εμπιστευτικά και δεν τα αποκαλύπτει παρά μόνο εάν αυτό επιτρέπεται βάσει του παρόντος DPA ή απαιτείται από τον νόμο.

5.Ασφάλεια

1. 5.1Κάθε Εκτελών την επεξεργασία εφαρμόζει κατάλληλα τεχνικά και οργανωτικά μέτρα ανάλογα με τον ρόλο του. Τα μέτρα της πλατφόρμας της Automaize περιγράφονται στο Παράρτημα 2 και στη Δήλωση Ασφάλειας Πληροφοριών· η Xciterr παραμένει υπεύθυνη για τους ελέγχους πρόσβασης σε προσλήψεις, το προσωπικό και τους επιχειρησιακούς ελέγχους.

6.Εκτελούντες την επεξεργασία

1. 6.1Ο Υπεύθυνος Επεξεργασίας παρέχει στην Xciterr γενική εξουσιοδότηση να αναθέτει στην Automaize την τεχνολογική επεξεργασία που περιγράφεται στην ισχύουσα παραγγελία και παρέχει στον αντίστοιχο Εκτελούντα την επεξεργασία γενική εξουσιοδότηση να αναθέτει στους παρόχους υποδομής που αναφέρονται στη Σημείωση Υπο-εκτελούντος την επεξεργασία.
2. 6.2Ο αναθέτων Εκτελών την επεξεργασία επιβάλλει σε κάθε υπο-εκτελούντα υποχρεώσεις προστασίας δεδομένων που δεν είναι λιγότερο προστατευτικές από αυτές που προβλέπονται στο παρόν DPA και παραμένει υπεύθυνος για τον εν λόγω υπο-εκτελούντα σύμφωνα με το άρθρο 28 του ΓΚΠΔ.
3. 6.3Η Xciterr και η Automaize διατηρούν ενημερωμένη την αλυσίδα επεξεργασίας και παρέχουν στον Υπεύθυνο Επεξεργασίας προηγούμενη ειδοποίηση για οποιαδήποτε προβλεπόμενη ουσιαστική αλλαγή, επιτρέποντας στον Υπεύθυνο Επεξεργασίας να προβάλει αντιρρήσεις για βάσιμους λόγους προστασίας δεδομένων.

7.Αιτήματα υποκειμένων των δεδομένων

1. 7.1Ο Εκτελών την Επεξεργασία, λαμβάνοντας υπόψη τη φύση της επεξεργασίας, συνδράμει τον Υπεύθυνο Επεξεργασίας με κατάλληλα τεχνικά και οργανωτικά μέτρα, στο μέτρο του δυνατού, για την ανταπόκριση σε αιτήματα υποκειμένων των δεδομένων για την άσκηση των δικαιωμάτων τους και προωθεί άμεσα στον Υπεύθυνο Επεξεργασίας οποιοδήποτε τέτοιο αίτημα λαμβάνει απευθείας.

8.Παραβίαση προσωπικών δεδομένων

1. 8.1Ο Εκτελών την Επεξεργασία ενημερώνει τον Υπεύθυνο Επεξεργασίας χωρίς αδικαιολόγητη καθυστέρηση μόλις λάβει γνώση παραβίασης προσωπικών δεδομένων που αφορά τα προσωπικά δεδομένα του Υπευθύνου Επεξεργασίας και παρέχει τις εύλογα απαραίτητες πληροφορίες για να μπορέσει ο Υπεύθυνος Επεξεργασίας να εκπληρώσει τις δικές του υποχρεώσεις γνωστοποίησης.
2. 8.2Ο Εκτελών την Επεξεργασία διατηρεί εσωτερική διαδικασία γνωστοποίησης παραβιάσεων ευθυγραμμισμένη με τα Άρθρα 33 και 34 του ΓΚΠΔ, η οποία περιλαμβάνει διαλογή σοβαρότητας, διατήρηση αποδεικτικών στοιχείων, ειδοποίηση του υπευθύνου επεξεργασίας, αξιολόγηση από την εποπτική αρχή, αξιολόγηση επικοινωνίας με το υποκείμενο των δεδομένων και συμπλήρωση μητρώου παραβιάσεων.

9.Διεθνείς διαβιβάσεις

1. 9.1Ο Εκτελών την Επεξεργασία δεν διαβιβάζει προσωπικά δεδομένα εκτός του ΕΟΧ, εκτός εάν ενεργεί κατόπιν εντολών του Υπευθύνου Επεξεργασίας και υπό την επιφύλαξη κατάλληλων εγγυήσεων βάσει του Κεφαλαίου V του ΓΚΠΔ, συμπεριλαμβανομένων, όπου εφαρμόζονται, των Τυποποιημένων Συμβατικών Ρητρών.

10.Έλεγχος

1. 10.1Ο Εκτελών την επεξεργασία διαθέτει πληροφορίες απαραίτητες για την απόδειξη της συμμόρφωσης με το Άρθρο 28 και επιτρέπει εύλογους ελέγχους. Οι έλεγχοι συνήθως ξεκινούν με τρέχουσες ανεξάρτητες εκθέσεις και γραπτά αποδεικτικά στοιχεία· ένας επιτόπιος έλεγχος μπορεί να ακολουθήσει όπου τα στοιχεία αυτά είναι ανεπαρκή ή ένα ουσιώδες περιστατικό το απαιτεί ευλόγως, με την επιφύλαξη της εμπιστευτικότητας, της ασφάλειας, της εύλογης ειδοποίησης και της κατανομής εξαιρετικών εξόδων.

11.Ευθύνη και εφαρμοστέο δίκαιο

1. 11.1Η ευθύνη κάθε μέρους βάσει της παρούσας DPA υπόκειται στους περιορισμούς ευθύνης που έχουν συμφωνηθεί στους Όρους Παροχής Υπηρεσιών Εργοδότη.
2. 11.2Αυτό το DPA ακολουθεί τον καθορισμό του εφαρμοστέου δικαίου στους ισχύοντες υπογεγραμμένους Όρους Εργοδότη ή στην παραγγελία, χωρίς να αντικαθιστά τα υποχρεωτικά δικαιώματα του ΓΚΠΔ ή τις εξουσίες των εποπτικών αρχών.

12.Παραρτήματα

1. 12.1Παράρτημα 1 - Λεπτομέρειες Επεξεργασίας: φιλοξενία ροής εργασιών προσλήψεων, ανάλυση βιογραφικών, διαλογή, δομημένη συνέντευξη μέσω φωνής, αξιολόγηση, αντιστοίχιση, κοινοποίηση υποψηφίων, διαχείριση αγωγού εργοδότη, υποστήριξη και διοίκηση τιμολόγησης για υποψηφίους, χρήστες εργοδότες και προσκεκλημένους εκπροσώπους.
2. 12.2Παράρτημα 2 - Μέτρα Ασφαλείας: κρυπτογράφηση κατά τη διαμετακόμιση και σε κατάσταση ηρεμίας, ασφάλεια επιπέδου σειράς, πρόσβαση με βάση την ελάχιστη απαραίτητη εξουσιοδότηση και έλεγχο, έλεγχοι λήξης υπογεγραμμένων URL, διακόπτες διακοπής παρόχου, ασφάλεια δικτύου και εφαρμογών, παρακολούθηση, έλεγχοι αντιγράφων ασφαλείας/ανθεκτικότητας, αντιμετώπιση συμβάντων και τακτική αναθεώρηση μέτρων.
3. 12.3Παράρτημα 3 - Αλυσίδα επεξεργασίας: Η Xciterr μπορεί να χρησιμοποιήσει την Automaize ως τεχνολογικό επεξεργαστή. Η Automaize μπορεί να χρησιμοποιήσει τις Google Cloud / Gemini, Supabase, WorkOS, Vercel, Railway, Stripe, Cal.com, Resend, Meta, Cloudflare και Sentry όπως δημοσιεύονται και διατηρούνται στη Σημείωση Υπο-επεξεργαστών. Το WorkOS παραμένει απενεργοποιημένο μέχρι να ολοκληρωθούν οι καθορισμένες πύλες έγκρισης.
4. 12.4Παράρτημα 4 - Συνδρομή Συμμόρφωσης: συνδρομή σε αιτήματα υποκειμένων των δεδομένων, DPIAs, αξιολόγηση προηγούμενης διαβούλευσης, γνωστοποιήσεις παραβιάσεων, αποδεικτικά στοιχεία ελέγχου και διαγραφή/επιστροφή προσωπικών δεδομένων κατά τον τερματισμό της υπηρεσίας.