Tillæg om databehandling

Parter. "Kunden": den organisation, der er angivet i Ordreformularen (dataansvarlig). "SkillCort": SkillCort LLC, 7901 4th St N, Ste 300, St. Petersburg, FL 33702, USA (databehandler). Dette tillæg om databehandling ("DPA") indgår i aftalen mellem Kunden og SkillCort og træder i kraft på Aftalens ikrafttrædelsesdato.

1. Genstand, varighed, karakter og formål

SkillCort behandler personoplysninger på Kundens vegne for at levere SkillCorts assessmentplatform: levering af assessments til kandidater, opsamling af svar og arbejdsprøveoutput, valgfrit tilsyn konfigureret af Kunden, bedømmelse og rapportering. Behandlingen varer i Aftalens løbetid plus sletteperioden i afsnit 8.

2. Kategorier af registrerede og af personoplysninger

• Registrerede: kandidater og deltagere inviteret af Kunden; Kundens personalebrugere.
• Personoplysninger: identitets- og kontaktoplysninger (navn, e-mail); assessmentsvar, uploadede filer og arbejdsprøveoutput; tekniske oplysninger (IP-adresse, browser/enhed, tidsstempler); bedømmelsesresultater og beslutningsregistreringer; hvor Kunden har slået det til, tilsynsdata (kamerafotos/-video, skærmbilleder/-optagelser, adfærdsmæssige integritetshændelser).
• Særlige kategorier: ingen indhentes — assessments må ikke udformes med henblik på at fremkalde oplysninger i særlige kategorier (Vilkårene §5). Hvor Kunden slår identitetskontrol til, behandles kandidatens selfie fra sessionen, billedet af identitetsdokumentet og et eventuelt valgfrit referencefoto stillet til rådighed af organisationen med henblik på en gennemgang side om side foretaget af en autoriseret person og med kandidatens særskilte, udtrykkelige samtykke. Der foretages ingen automatisk ansigtssammenligning, gallerisøgning eller matchning på tværs af kandidater, der gemmes ingen biometrisk ansigtsskabelon, og en navngiven kontrollant registrerer identitetsafgørelsen. Kunden anerkender, at kamera- og mikrofonoptagelser indeholder billede og stemme af en person, og vil vurdere kravene til særlige kategorier i sin egen jurisdiktion.

3. Dokumenterede instrukser

SkillCort behandler kun personoplysninger efter Kundens dokumenterede instrukser (Aftalen, denne DPA og Kundens konfiguration i platformen — herunder hvilke tilsynsfunktioner der er slået til, og opbevaringsvinduet for tilsynsdata), medmindre lovgivningen kræver andet; i så fald oplyser SkillCort Kunden herom før behandlingen, medmindre lovgivningen forbyder det. SkillCort oplyser Kunden, hvis en instruks efter SkillCorts opfattelse er i strid med gældende databeskyttelsesret.

4. Fortrolighed og personale

Personer, der er autoriseret til at behandle personoplysninger, er underlagt fortrolighedsforpligtelser og tilgår oplysninger efter et need-to-know-princip, med færrest mulige rettigheder og på rollebaseret grundlag.

5. Sikkerhed (Art. 32)

SkillCort gennemfører passende tekniske og organisatoriske foranstaltninger, herunder: kryptering under overførsel og i hvile; adskillelse mellem lejere; rollebaseret adgangsstyring; privat (ikke-offentlig) lagring af tilsynsmedier; daglige sikkerhedskopier; en audithistorik for point og beslutninger, som der kun kan tilføjes til; automatiseret sletning af tilsynsmedier og hændelser med integritetssignaler ved udløbet af det konfigurerede opbevaringsvindue for medier. Ikke-mediebaserede afgørelser fra identitetskontrol og auditdetaljer følger det særskilte vindue for assessmentdata. En aktuel beskrivelse af foranstaltningerne findes på skillcort.com/trust.

6. Underdatabehandlere

Kunden giver en generel bemyndigelse til de underdatabehandlere, der er anført på skillcort.com/legal/subprocessors (bilag 1). SkillCort underretter Kunden om påtænkte tilføjelser eller udskiftninger mindst 30 dage i forvejen; Kunden kan gøre indsigelse på rimelige databeskyttelsesmæssige grunde, hvorefter parterne søger en løsning, og Kunden kan opsige den berørte tjeneste, hvis ingen findes. SkillCort pålægger underdatabehandlere databeskyttelsesforpligtelser, der ikke er mindre beskyttende end denne DPA, og forbliver ansvarlig for deres udførelse.

SkillCort gennemfører en dokumenteret gennemgang af hver væsentlig underdatabehandler mindst én gang inden for enhver periode på tolv (12) måneder og efter enhver væsentlig ændring, bekræftet sikkerhedshændelse eller anden begivenhed, der med rimelighed påvirker underdatabehandlerens databeskyttelsesmæssige risikoprofil; den aktuelle registrering af gennemgangen opbevares i SkillCorts complianceregister over leverandører.

7. Internationale overførsler

Platformens data hostes i EU (Frankfurt). Data er tilgængelige fra USA for SkillCort (en amerikansk enhed) med henblik på driften af tjenesten, og transaktionsmails behandles i USA. Overførsler sker efter: (a) for EU/EØS-data — standardkontraktbestemmelser (modul to: dataansvarlig → databehandler, og modul tre hvor det er relevant), som parterne er enige om udgør en del af denne DPA, understøttet af en konsekvensanalyse af overførslen og supplerende foranstaltninger; (b) for data omfattet af tyrkisk ret — den standardkontrakt, der er offentliggjort af den tyrkiske databeskyttelsesmyndighed i henhold til Art. 9 i lov nr. 6698, indgået af parterne sammen med Ordreformularen for behandling vedrørende Türkiye og anmeldt til myndigheden inden for fem hverdage.

8. Sletning og tilbagelevering

Efter ophør eller udløb kan Kundedata forblive tilgængelige i op til 30 dage, så Kunden kan gennemføre sin dataeksport. Ved udgangen af denne periode sletter SkillCort dataene fra aktive produktionssystemer; resterende kopier i krypterede sikkerhedskopier slettes eller overskrives gennem den almindelige sikkerhedskopieringscyklus inden for højst 90 dage. Registreringer, der kræves efter gældende lov, og registreringer, der snævert er nødvendige for at fastlægge, gøre gældende eller forsvare retskrav, er undtaget. Sikkerheds-, adgangs- og auditlogs er omfattet af opbevaringsperioderne i privatlivspolitikken, adskilt fra sikkerhedskopierne. Tilsynsmedier — herunder medier fra identitetsopsamling og de versioner af referencefotos, der bruges i gennemgangen — og hændelser med integritetssignaler slettes automatisk ved udløbet af det opbevaringsvindue for medier, som Kunden har konfigureret (standard 90 dage), uanset kontraktens status. Kunden kan også i produktet udløse en tidligere sletning af medier og hændelser med integritetssignaler knyttet til et forsøg. Ikke-mediebaserede afgørelser fra identitetskontrol, oplysninger om den navngivne kontrollant, noter og henvisninger til slettede medier følger det særskilte opbevaringsvindue for assessmentdata.

9. Bistand

Under hensyntagen til behandlingens karakter bistår SkillCort Kunden med passende tekniske og organisatoriske foranstaltninger ved besvarelsen af anmodninger fra registrerede (Art. 12–23 GDPR; Art. 11 KVKK) og med Kundens forpligtelser efter Art. 32–36 GDPR (sikkerhed, anmeldelse af brud, DPIA'er, forudgående høring). Anmodninger fra registrerede, som SkillCort modtager direkte, videresendes til Kunden uden unødig forsinkelse.

10. Brud på persondatasikkerheden

SkillCort underretter Kunden uden unødig forsinkelse efter at være blevet opmærksom på et brud på persondatasikkerheden, der berører Kundens data, og stiller de oplysninger til rådighed, som med rimelighed er nødvendige for Kundens underretningsforpligtelser (Art. 33–34 GDPR; Art. 12(5) KVKK).

11. Audits

SkillCort stiller de oplysninger til rådighed, der er nødvendige for at påvise overholdelse af denne DPA, og giver mulighed for og bidrager til audits, herunder inspektioner, der gennemføres af Kunden eller af en revisor, Kunden har bemyndiget. Kunden kan udøve sin auditret højst én gang inden for enhver periode på tolv (12) måneder, undtagen efter et bekræftet brud på persondatasikkerheden, en anmodning fra en kompetent tilsynsmyndighed eller rimelige beviser for væsentlig manglende overholdelse af denne DPA. Audits kræver mindst 30 dages skriftligt varsel, er underlagt fortrolighedstilsagn, skal gennemføres, så forstyrrelser af SkillCorts drift minimeres, og omfatter aldrig adgang til andre kunders data. Parterne lægger først eksisterende uafhængige auditrapporter og SkillCorts offentliggjorte sikkerhedsdokumentation til grund i det omfang, de med rimelighed dækker omfanget; omkostninger ved overdrevne eller skræddersyede auditanmodninger ud over dette udgangspunkt bæres af Kunden.

12. Ansvar og rangorden

Ansvaret reguleres af Aftalen. I tilfælde af konflikt mellem Aftalen og denne DPA vedrørende behandling af personoplysninger har denne DPA forrang; indgåede standardkontraktbestemmelser og standardkontrakter har forrang for dem begge i det omfang, konflikten rækker.

KVKK-bilag

Hvor Kunden er etableret i Türkiye, eller kandidater befinder sig i Türkiye, indgår parterne desuden den tyrkiske databeskyttelsesmyndigheds standardkontrakt (databehandlerforhold) og indgiver den til myndigheden inden for fem hverdage. Pligten til aydınlatma (oplysningsmeddelelse) over for kandidater påhviler Kunden som dataansvarlig, ved brug af organisationens egen meddelelse eller den skabelon, SkillCort stiller til rådighed.

For at indgå denne DPA for din organisation eller for underskrevne kopier og overførselsdokumentation: privacy@skillcort.com.