Smlouva o zpracování osobních údajů (DPA)

1. Role stran a předmět

Klient je správcem (čl. 4 bod 7 GDPR) osobních údajů svých zaměstnanců a uchazečů; Egalis je zpracovatelem (čl. 4 bod 8). Předmět zpracování: poskytování platformy souladu s transparentností odměňování — import, výpočty, hodnocení míst, reporting, žádosti o informace, náprava.

2. Povaha a účel zpracování; kategorie údajů

• Subjekty údajů: zaměstnanci klienta a v náborovém modulu uchazeči.
• Kategorie údajů: interní identifikátor (mzdové ID), pohlaví, pozice, kód povolání (např. ISCO-08), oddělení, datum nástupu, úvazek, složky odměny, nepřítomnosti, změny mzdy; volitelně jméno (uloženo zvlášť, šifrované); kontaktní e-mail k žádostem. Rodná čísla se nezpracovávají a žádná zvláštní kategorie údajů nevstupuje do výpočtových dat.
• Doba: po dobu smlouvy plus zákonná retence zpráv podle směrnice a příslušného národního práva, nepokyne-li správce jinak.

3. Povinnosti Egalis (čl. 28 odst. 3 GDPR)

• Zpracovává údaje jen podle doložených pokynů správce (užívání aplikace je pokyn).
• Zajišťuje důvěrnost osob oprávněných zpracovávat údaje.
• Uplatňuje technická a organizační opatření (čl. 32): hosting jen v EU, pseudonymizace by design, šifrování jmenných identit, role-based přístup, neměnný auditní log.
• Nezapojí nové dílčí zpracovatele bez předchozí informace správci (příloha 1), s 15denním právem námitky.
• Podporuje správce při žádostech subjektů údajů a posouzeních vlivu.
• Oznamuje správci bez zbytečného odkladu, nejpozději do 72 hodin, každé porušení zabezpečení, o němž se dozví.
• Po ukončení: vrátí údaje (úplný export, strukturovaný formát) a trvale je smaže, s výjimkou auditního logu (právní důkaz, bez mzdových dat) a zákonných retenčních povinností.
• Zpřístupní informace k prokázání souladu a umožní audity, s přiměřeným předstihem.

4. Předávání

Údaje se zpracovávají a ukládají výhradně v Evropské unii. Předávání do třetích zemí neprobíhá.

5. Anonymizované agregáty pro tržní statistiky

Klient opravňuje Egalis vypočítat z údajů zpracovávaných jeho jménem nevratně anonymizované statistické agregáty a používat je, i veřejně, pro tržní statistiky o odměňování. Výpočet probíhá v roli zpracovatele na základě tohoto zdokumentovaného pokynu; zveřejněný výsledek je anonymní (recitál 26 GDPR) a není již osobním údajem. Klient jako správce uvede tuto informaci ve svém informačním oznámení; Egalis poskytuje vzorový odstavec.

• Ve výchozím stavu vypnuto. Agregace proběhne až po výslovném zapnutí klientem v aplikaci; zapnutí i odvolání se zapisují do auditního logu.
• Prahy zveřejnění. Žádná zveřejněná hodnota nepochází ze skupiny s méně než 5 zaměstnanci nebo méně než 5 firmami, ani ze skupiny, kde jedna firma přispívá více než 40 % pozorování; hodnoty se zveřejňují zaokrouhlené.
• Nikdy se nezveřejňuje ani nepředává. Individuální údaje, totožnost klienta, jmenovitá srovnání firem ani neagregované soubory třetím stranám. Agregáty se neprodávají.
• Odvolání. Klient může kdykoli vypnout s účinkem na budoucí vydání; již zveřejněná vydání jsou anonymní a nelze je stáhnout.

6. Příloha 1 — schválení dílčí zpracovatelé

• Hetzner Online GmbH, Německo — hostingová infrastruktura.
• Transakční e-mail: náš vlastní server v EU — bez třetí strany.
• Stripe Payments Europe, Ltd., Irsko — platby kartou (jen fakturační data; mzdová data do Stripe nikdy nejdou).

7. Strany

Egalis: ADDO VISION SOLUTIONS SRL, sídlo: Bukurešť, Șos. Berceni 96, Monaco Towers, A9.06, Rumunsko, rejstřík J2013010973404, EUID ROONRC.J2013010973404, DIČ RO32203240 (kontakt: office@addovision.ro). Klient: subjekt označený ve smlouvě o službě.