Accordo integrativo sul trattamento dei dati

Parti. «Cliente»: l’organizzazione identificata nel Modulo d’ordine (titolare del trattamento). «SkillCort»: SkillCort LLC, 7901 4th St N, Ste 300, St. Petersburg, FL 33702, USA (responsabile del trattamento). Questo Accordo integrativo sul trattamento dei dati («DPA») si incorpora nel contratto fra il Cliente e SkillCort e ha effetto dalla data di efficacia del Contratto.

1. Oggetto, durata, natura e finalità

SkillCort tratta dati personali per conto del Cliente per fornire la piattaforma di assessment SkillCort: erogare gli assessment ai candidati, raccogliere le risposte e gli elaborati delle prove di lavoro, la sorveglianza opzionale configurata dal Cliente, la valutazione e la reportistica. Il trattamento dura per la vigenza del Contratto più il periodo di cancellazione previsto alla Sezione 8.

2. Categorie di interessati e di dati personali

• Interessati: candidati e partecipanti invitati dal Cliente; utenti dello staff del Cliente.
• Dati personali: dati identificativi e di contatto (nome, e-mail); risposte agli assessment, file caricati ed elaborati delle prove di lavoro; dati tecnici (indirizzo IP, browser/dispositivo, marche temporali); risultati di valutazione e record delle decisioni; dove attivati dal Cliente, dati di sorveglianza (foto/video della camera, catture/registrazioni dello schermo, eventi comportamentali di integrità).
• Categorie particolari: nessuna sollecitata — gli assessment non devono essere progettati per raccogliere dati appartenenti a categorie particolari (Condizioni §5). Dove il Cliente attiva la revisione dell’identità, il selfie della sessione del candidato, l’immagine del documento d’identità e l’eventuale foto di riferimento opzionale fornita dall’organizzazione sono trattati per un confronto affiancato da parte di una persona autorizzata, con il consenso esplicito e separato del candidato. Non viene eseguito alcun confronto facciale automatico, alcuna ricerca in galleria o alcun abbinamento tra candidati diversi, non viene conservato alcun modello biometrico del volto e un revisore identificato per nome registra la decisione sull’identità. Il Cliente riconosce che le registrazioni della camera e del microfono contengono immagini e voce di una persona e valuterà i requisiti sulle categorie particolari nel proprio ordinamento.

3. Istruzioni documentate

SkillCort tratta i dati personali soltanto sulla base delle istruzioni documentate del Cliente (il Contratto, questo DPA e la configurazione del Cliente nella piattaforma — comprese le funzioni di sorveglianza attivate e la finestra di conservazione dei contenuti di sorveglianza), salvo che ciò sia richiesto dalla legge; in tal caso SkillCort informa il Cliente prima del trattamento, salvo che la legge lo vieti. SkillCort informerà il Cliente se, a suo giudizio, un’istruzione viola la normativa applicabile in materia di protezione dei dati.

4. Riservatezza e personale

Le persone autorizzate a trattare dati personali sono vincolate da obblighi di riservatezza e accedono ai dati secondo i principi della stretta necessità, del minimo privilegio e dei ruoli.

5. Sicurezza (art. 32)

SkillCort adotta misure tecniche e organizzative adeguate, fra cui: cifratura in transito e a riposo; separazione dei tenant; controlli di accesso basati sui ruoli; archiviazione privata (non pubblica) per i contenuti di sorveglianza; backup quotidiani; cronologia di audit in sola aggiunta per punteggi e decisioni; cancellazione automatica dei contenuti di sorveglianza e degli eventi dei segnali di integrità al termine della finestra di conservazione dei contenuti configurata. Le decisioni di revisione dell’identità e i dettagli di audit che non sono contenuti multimediali seguono la finestra separata dei dati di assessment. Una descrizione aggiornata delle misure è disponibile su skillcort.com/trust.

6. Sub-responsabili del trattamento

Il Cliente concede un’autorizzazione generale ai sub-responsabili elencati su skillcort.com/legal/subprocessors (Allegato 1). SkillCort comunicherà al Cliente le aggiunte o le sostituzioni previste con almeno 30 giorni di anticipo; il Cliente può opporsi per ragionevoli motivi di protezione dei dati, nel qual caso le parti cercheranno una soluzione e il Cliente potrà risolvere il servizio interessato se non se ne trova alcuna. SkillCort impone ai sub-responsabili obblighi di protezione dei dati non meno tutelanti di questo DPA e resta responsabile del loro operato.

SkillCort svolge un riesame documentato di ciascun sub-responsabile rilevante almeno una volta ogni dodici (12) mesi e a seguito di qualsiasi modifica sostanziale, incidente di sicurezza confermato o altro evento che incida ragionevolmente sul profilo di rischio del sub-responsabile in materia di protezione dei dati; il verbale del riesame in corso è conservato nel registro di conformità dei fornitori di SkillCort.

7. Trasferimenti internazionali

I dati della piattaforma sono ospitati nell’UE (Francoforte). I dati sono accessibili dagli Stati Uniti da parte di SkillCort (un soggetto statunitense) per l’operatività del servizio, e le e-mail transazionali sono trattate negli Stati Uniti. I trasferimenti avvengono in base a: (a) per i dati UE/SEE — le Clausole contrattuali tipo (Modulo Due: titolare → responsabile, e Modulo Tre ove applicabile), che le parti concordano essere parte di questo DPA, corredate da una valutazione d’impatto sul trasferimento e da misure supplementari; (b) per i dati soggetti al diritto turco — il contratto tipo pubblicato dall’Autorità turca per la protezione dei dati personali ai sensi dell’art. 9 della Legge n. 6698, sottoscritto dalle parti insieme al Modulo d’ordine per i trattamenti relativi alla Türkiye e notificato all’Autorità entro cinque giorni lavorativi.

8. Cancellazione e restituzione

A seguito della risoluzione o della scadenza, i Dati del Cliente possono restare disponibili fino a 30 giorni per consentire al Cliente di completare l’esportazione dei dati. Al termine di questo periodo SkillCort cancella i dati dai sistemi di produzione attivi; le copie residue nei backup cifrati sono cancellate o sovrascritte nel corso del normale ciclo di backup entro un massimo di 90 giorni. Sono esclusi i record richiesti dalla legge applicabile e quelli strettamente necessari all’accertamento, all’esercizio o alla difesa di un diritto in sede giudiziaria. I log di sicurezza, accesso e audit sono regolati dai periodi di conservazione dell’Informativa sulla privacy, separatamente dai backup. I contenuti di sorveglianza — compresi i contenuti di cattura dell’identità e le versioni della foto di riferimento usate in revisione — e gli eventi dei segnali di integrità sono cancellati automaticamente al termine della finestra di conservazione dei contenuti configurata dal Cliente (90 giorni per impostazione predefinita), a prescindere dallo stato del contratto. Il Cliente può inoltre avviare dal prodotto una cancellazione anticipata dei contenuti e degli eventi dei segnali di integrità riferiti a un singolo tentativo. Le decisioni di revisione dell’identità che non sono contenuti multimediali, i dati del revisore identificato per nome, le note e i riferimenti ai contenuti cancellati seguono la finestra separata di conservazione dei dati di assessment.

9. Assistenza

Tenendo conto della natura del trattamento, SkillCort assiste il Cliente con misure tecniche e organizzative adeguate nel dare seguito alle richieste degli interessati (artt. 12–23 GDPR; art. 11 KVKK) e negli obblighi del Cliente ai sensi degli artt. 32–36 GDPR (sicurezza, notifica delle violazioni, DPIA, consultazione preventiva). Le richieste degli interessati ricevute direttamente da SkillCort sono trasmesse al Cliente senza ingiustificato ritardo.

10. Violazione dei dati personali

SkillCort informa il Cliente senza ingiustificato ritardo dopo essere venuta a conoscenza di una violazione di dati personali che riguarda i dati del Cliente e fornisce le informazioni ragionevolmente necessarie agli obblighi di notifica del Cliente (artt. 33–34 GDPR; art. 12(5) KVKK).

11. Verifiche

SkillCort mette a disposizione le informazioni necessarie a dimostrare il rispetto di questo DPA e consente e contribuisce alle verifiche, comprese le ispezioni, svolte dal Cliente o da un revisore da esso incaricato. Il Cliente può esercitare i propri diritti di verifica non più di una volta ogni dodici (12) mesi, salvo a seguito di una violazione di dati personali confermata, di una richiesta di un’autorità di controllo competente o di elementi ragionevoli di inosservanza sostanziale di questo DPA. Le verifiche richiedono un preavviso scritto di almeno 30 giorni, sono soggette a impegni di riservatezza, devono essere condotte in modo da ridurre al minimo l’interruzione delle attività di SkillCort e non comprendono mai l’accesso ai dati di altri clienti. Le parti si baseranno anzitutto sui report di audit indipendenti esistenti e sulla documentazione di sicurezza pubblicata da SkillCort, ove questi coprano ragionevolmente l’ambito; i costi di richieste di verifica eccessive o su misura al di là di questa base sono a carico del Cliente.

12. Responsabilità e ordine di prevalenza

La responsabilità è regolata dal Contratto. In caso di conflitto fra il Contratto e questo DPA in merito al trattamento dei dati personali, prevale questo DPA; le SCC e i contratti tipo sottoscritti prevalgono su entrambi nei limiti del conflitto.

Allegato KVKK

Dove il Cliente è stabilito in Türkiye o i candidati si trovano in Türkiye, le parti sottoscrivono inoltre il contratto tipo turco per la protezione dei dati (rapporto con il responsabile del trattamento) e lo depositano presso l’Autorità entro cinque giorni lavorativi. L’obbligo di aydınlatma (informativa) nei confronti dei candidati spetta al Cliente in qualità di titolare, con la propria informativa o con il modello fornito da SkillCort.

Per sottoscrivere questo DPA per la tua organizzazione, oppure per copie firmate e documentazione sui trasferimenti: privacy@skillcort.com.