Tietojenkäsittelyn liite

Osapuolet. ”Asiakas”: Tilauslomakkeessa yksilöity organisaatio (rekisterinpitäjä). ”SkillCort”: SkillCort LLC, 7901 4th St N, Ste 300, St. Petersburg, FL 33702, USA (henkilötietojen käsittelijä). Tämä tietojenkäsittelyn liite (”DPA”) sisällytetään Asiakkaan ja SkillCortin väliseen sopimukseen ja tulee voimaan Sopimuksen voimaantulopäivänä.

1. Kohde, kesto, luonne ja tarkoitus

SkillCort käsittelee henkilötietoja Asiakkaan lukuun tarjotakseen SkillCort-arviointialustan: arviointien toimittaminen hakijoille, vastausten ja työnäytetuotosten tallentaminen, Asiakkaan määrittämä valinnainen valvonta, arviointi ja raportointi. Käsittely kestää Sopimuksen voimassaoloajan sekä 8 kohdassa määritellyn poistoajan.

2. Rekisteröityjen ryhmät ja henkilötietoryhmät

• Rekisteröidyt: Asiakkaan kutsumat hakijat ja osallistujat; Asiakkaan henkilöstökäyttäjät.
• Henkilötiedot: tunniste- ja yhteystiedot (nimi, sähköposti); arviointivastaukset, ladatut tiedostot ja työnäytetuotokset; tekniset tiedot (IP-osoite, selain ja laite, aikaleimat); arviointitulokset ja päätöstietueet; siltä osin kuin Asiakas on ottanut ne käyttöön, valvontatiedot (kameran valokuvat ja video, ruutukaappaukset ja ruudun tallenteet, käyttäytymiseen liittyvät luotettavuustapahtumat).
• Erityiset henkilötietoryhmät: ei pyydetä lainkaan — arviointeja ei saa suunnitella niin, että ne houkuttelevat esiin erityisiin ryhmiin kuuluvia tietoja (Käyttöehdot §5). Kun Asiakas ottaa käyttöön henkilöllisyyden tarkastuksen, hakijan istunnossa otettu selfie, henkilöllisyystodistuksen kuva ja mahdollinen organisaation toimittama vertailukuva käsitellään valtuutetun henkilön rinnakkain tekemää tarkastusta varten hakijan erillisellä nimenomaisella suostumuksella. Automaattista kasvojen vertailua, gallerihakua tai hakijoiden välistä täsmäytystä ei tehdä, biometrista kasvomallia ei tallenneta, ja nimetty tarkastaja kirjaa henkilöllisyyttä koskevan ratkaisun. Asiakas ymmärtää, että kamera- ja mikrofonitallenteet sisältävät henkilön kuvaa ja ääntä, ja arvioi erityisiä henkilötietoryhmiä koskevat vaatimukset omalla lainkäyttöalueellaan.

3. Dokumentoidut ohjeet

SkillCort käsittelee henkilötietoja vain Asiakkaan dokumentoitujen ohjeiden mukaisesti (Sopimus, tämä DPA ja Asiakkaan alustalla tekemät asetukset — mukaan lukien se, mitkä valvontatoiminnot ovat käytössä ja mikä on valvontatietojen säilytysikkuna), ellei laki muuta edellytä; siinä tapauksessa SkillCort ilmoittaa asiasta Asiakkaalle ennen käsittelyä, ellei laki sitä kiellä. SkillCort ilmoittaa Asiakkaalle, jos se katsoo ohjeen rikkovan sovellettavaa tietosuojalainsäädäntöä.

4. Salassapito ja henkilöstö

Henkilötietoja käsittelemään valtuutettuja henkilöitä sitovat salassapitovelvoitteet, ja he pääsevät tietoihin tiedonsaantitarpeen, vähimpien oikeuksien ja roolipohjaisuuden perusteella.

5. Tietoturva (32 artikla)

SkillCort toteuttaa asianmukaiset tekniset ja organisatoriset toimenpiteet, joihin kuuluvat: salaus siirrossa ja levossa; asiakaskohtainen eriyttäminen; roolipohjaiset pääsynhallinnat; yksityinen (ei-julkinen) tallennus valvontamedialle; päivittäiset varmuuskopiot; pisteiden ja päätösten vain lisäävä auditointihistoria; valvontamedian ja luotettavuussignaalitapahtumien automaattinen poisto määritetyn mediasäilytysikkunan päättyessä. Muut kuin mediamuotoiset henkilöllisyystarkastuksen ratkaisut ja auditointitiedot noudattavat erillistä arviointitietojen ikkunaa. Ajantasainen kuvaus toimenpiteistä on saatavilla osoitteessa skillcort.com/trust.

6. Alikäsittelijät

Asiakas myöntää yleisen valtuutuksen osoitteessa skillcort.com/legal/subprocessors lueteltuihin alikäsittelijöihin (Liite 1). SkillCort ilmoittaa Asiakkaalle aiotuista lisäyksistä tai korvaamisista vähintään 30 päivää etukäteen; Asiakas voi vastustaa perustelluin tietosuojasyin, jolloin osapuolet etsivät ratkaisua ja Asiakas voi irtisanoa asianomaisen palvelun, jos ratkaisua ei löydy. SkillCort asettaa alikäsittelijöille tietosuojavelvoitteet, jotka ovat vähintään yhtä suojaavat kuin tämä DPA, ja vastaa niiden suorituksesta.

SkillCort tekee jokaisesta olennaisesta alikäsittelijästä dokumentoidun arvioinnin vähintään kerran kahdentoista (12) kuukauden aikana sekä jokaisen olennaisen muutoksen, vahvistetun tietoturvapoikkeaman tai muun sellaisen tapahtuman jälkeen, joka kohtuudella vaikuttaa alikäsittelijän tietosuojariskiprofiiliin; ajantasaista arviointitietuetta ylläpidetään SkillCortin toimittajien vaatimustenmukaisuusrekisterissä.

7. Kansainväliset siirrot

Alustan tiedot isännöidään EU:ssa (Frankfurt). SkillCort (yhdysvaltalainen yhtiö) pääsee tietoihin Yhdysvalloista palvelun toimittamiseksi, ja tapahtumasähköposti käsitellään Yhdysvalloissa. Siirrot tehdään seuraavin perustein: (a) EU:n ja ETA:n tietojen osalta — vakiosopimuslausekkeet (moduuli kaksi: rekisterinpitäjä → henkilötietojen käsittelijä, ja moduuli kolme soveltuvin osin), joiden osapuolet sopivat olevan osa tätä DPA:ta, tuettuna siirtovaikutusten arvioinnilla ja täydentävillä toimenpiteillä; (b) Turkin lain alaisten tietojen osalta — Turkin tietosuojaviranomaisen lain nro 6698 9 artiklan nojalla julkaisema vakiosopimus, jonka osapuolet allekirjoittavat Tilauslomakkeen yhteydessä Türkiyeen liittyvää käsittelyä varten ja josta ilmoitetaan viranomaiselle viiden työpäivän kuluessa.

8. Poistaminen ja palauttaminen

Irtisanomisen tai voimassaolon päättymisen jälkeen Asiakastiedot voivat olla käytettävissä enintään 30 päivän ajan, jotta Asiakas voi saattaa tietojen viennin loppuun. Tämän ajanjakson päätyttyä SkillCort poistaa tiedot aktiivisista tuotantojärjestelmistä; salatuissa varmuuskopioissa olevat jäännöskopiot poistetaan tai ylikirjoitetaan tavanomaisen varmuuskopiokierron myötä enintään 90 päivän kuluessa. Sovellettavan lain edellyttämät tietueet sekä tietueet, jotka ovat suppeasti tarpeen oikeudellisen vaateen laatimiseksi, esittämiseksi tai puolustamiseksi, on rajattu tämän ulkopuolelle. Tietoturva-, pääsy- ja auditointilokeihin sovelletaan tietosuojaselosteen säilytysaikoja erillään varmuuskopioista. Valvontamedia — mukaan lukien henkilöllisyyden todentamiseen otettu media ja tarkastuksessa käytetyt vertailukuvaversiot — sekä luotettavuussignaalitapahtumat poistetaan automaattisesti Asiakkaan määrittämän mediasäilytysikkunan päättyessä (oletus 90 päivää) sopimuksen tilasta riippumatta. Asiakas voi myös käynnistää tuotteessa yrityskohtaisen median ja luotettavuussignaalitapahtumien aikaisemman poiston. Muut kuin mediamuotoiset henkilöllisyystarkastuksen ratkaisut, nimetyn tarkastajan tiedot, muistiinpanot ja viittaukset poistettuun mediaan noudattavat erillistä arviointitietojen säilytysikkunaa.

9. Avustaminen

Käsittelyn luonne huomioon ottaen SkillCort avustaa Asiakasta asianmukaisin teknisin ja organisatorisin toimenpitein rekisteröityjen pyyntöihin vastaamisessa (GDPR:n 12–23 artikla; KVKK:n 11 artikla) sekä Asiakkaan GDPR:n 32–36 artiklan mukaisissa velvoitteissa (tietoturva, tietoturvaloukkauksesta ilmoittaminen, vaikutustenarvioinnit, ennakkokuuleminen). Rekisteröityjen pyynnöt, jotka SkillCort saa suoraan, välitetään Asiakkaalle ilman aiheetonta viivytystä.

10. Henkilötietojen tietoturvaloukkaus

SkillCort ilmoittaa Asiakkaalle ilman aiheetonta viivytystä saatuaan tiedon Asiakkaan tietoja koskevasta henkilötietojen tietoturvaloukkauksesta ja toimittaa tiedot, joita Asiakas kohtuudella tarvitsee ilmoitusvelvollisuuksiensa täyttämiseksi (GDPR:n 33–34 artikla; KVKK:n 12 artiklan 5 kohta).

11. Auditoinnit

SkillCort saattaa saataville tiedot, jotka ovat tarpeen tämän DPA:n noudattamisen osoittamiseksi, sekä sallii Asiakkaan tai sen valtuuttaman auditoijan tekemät auditoinnit, tarkastukset mukaan lukien, ja myötävaikuttaa niihin. Asiakas voi käyttää auditointioikeuksiaan enintään kerran kahdentoista (12) kuukauden jaksolla, paitsi vahvistetun henkilötietojen tietoturvaloukkauksen, toimivaltaisen valvontaviranomaisen pyynnön tai tämän DPA:n olennaista noudattamatta jättämistä koskevan perustellun näytön jälkeen. Auditoinnit edellyttävät vähintään 30 päivän kirjallista ennakkoilmoitusta, ovat salassapitositoumusten alaisia, on toteutettava SkillCortin toimintaan kohdistuvaa häiriötä minimoiden, eivätkä ne koskaan sisällä pääsyä muiden asiakkaiden tietoihin. Osapuolet tukeutuvat ensin olemassa oleviin riippumattomiin auditointiraportteihin ja SkillCortin julkaistuun tietoturvadokumentaatioon siltä osin kuin ne kohtuudella kattavat kohteen; tämän perustason ylittävien liiallisten tai räätälöityjen auditointipyyntöjen kustannuksista vastaa Asiakas.

12. Vastuu ja etusijajärjestys

Vastuuseen sovelletaan Sopimusta. Jos Sopimus ja tämä DPA ovat henkilötietojen käsittelyn osalta ristiriidassa, tämä DPA on etusijalla; allekirjoitetut vakiosopimuslausekkeet ja vakiosopimukset ovat etusijalla molempiin nähden ristiriidan laajuudessa.

KVKK-liite

Jos Asiakas on sijoittautunut Türkiyeen tai hakijat sijaitsevat Türkiyessä, osapuolet allekirjoittavat lisäksi Turkin vakiosopimuksen (henkilötietojen käsittelijäsuhde) ja toimittavat sen viranomaiselle viiden työpäivän kuluessa. Aydınlatma-velvollisuus (informointi-ilmoitus) hakijoita kohtaan kuuluu Asiakkaalle rekisterinpitäjänä, joko sen omalla ilmoituksella tai SkillCortin tarjoamalla mallipohjalla.

Tämän DPA:n allekirjoittaminen organisaatiollesi taikka allekirjoitetut kopiot ja siirtodokumentaatio: privacy@skillcort.com.