Tilläggsavtal om personuppgiftsbehandling

Parter. ”Kunden”: den organisation som anges i Beställningsformuläret (personuppgiftsansvarig). ”SkillCort”: SkillCort LLC, 7901 4th St N, Ste 300, St. Petersburg, FL 33702, USA (personuppgiftsbiträde). Detta tilläggsavtal om personuppgiftsbehandling (”DPA”) infogas i avtalet mellan Kunden och SkillCort och gäller från och med Avtalets ikraftträdandedatum.

1. Föremål, varaktighet, art och syfte

SkillCort behandlar personuppgifter för Kundens räkning för att tillhandahålla assessmentplattformen SkillCort: leverans av assessments till kandidater, insamling av svar och arbetsprovsresultat, valfri övervakning (proctoring) som Kunden konfigurerar, bedömning och rapportering. Behandlingen pågår under Avtalets löptid plus raderingsperioden i avsnitt 8.

2. Kategorier av registrerade och personuppgifter

• Registrerade: kandidater och deltagare som bjudits in av Kunden; Kundens användare bland personalen.
• Personuppgifter: identitets- och kontaktuppgifter (namn, e-post); svar i assessments, uppladdade filer och arbetsprovsresultat; tekniska uppgifter (IP-adress, webbläsare/enhet, tidsstämplar); bedömningsresultat och beslutsunderlag; om Kunden aktiverar det, övervakningsdata (kamerafoton/kameravideo, skärmbilder/skärminspelningar, beteendebaserade integritetshändelser).
• Särskilda kategorier: inga efterfrågas — assessments får inte utformas för att framkalla uppgifter i särskilda kategorier (Användarvillkoren §5). Om Kunden aktiverar identitetsgranskning behandlas kandidatens selfie från sessionen, bilden av id-handlingen och ett eventuellt referensfoto som organisationen tillhandahåller, för granskning sida vid sida av en behörig person med kandidatens separata uttryckliga samtycke. Ingen automatisk ansiktsmatchning, gallerisökning eller matchning mellan kandidater görs, ingen biometrisk ansiktsmall lagras, och en namngiven granskare registrerar identitetsbeslutet. Kunden är införstådd med att kamera- och mikrofoninspelningar innehåller bild och röst av en person och kommer att bedöma kraven för särskilda kategorier i sin jurisdiktion.

3. Dokumenterade instruktioner

SkillCort behandlar personuppgifter endast enligt Kundens dokumenterade instruktioner (Avtalet, denna DPA och Kundens konfiguration i plattformen — inklusive vilka övervakningsfunktioner som är aktiverade och lagringsperioden för övervakningsdata), om inte lag kräver annat; i så fall informerar SkillCort Kunden före behandlingen, om inte lagen förbjuder det. SkillCort informerar Kunden om en instruktion enligt SkillCorts uppfattning strider mot tillämplig dataskyddslagstiftning.

4. Sekretess och personal

Personer som har behörighet att behandla personuppgifter omfattas av sekretessförpliktelser och får åtkomst till uppgifterna utifrån behovsprincipen, minsta möjliga behörighet och roll.

5. Säkerhet (Art. 32)

SkillCort vidtar lämpliga tekniska och organisatoriska åtgärder, bland annat: kryptering under överföring och i vila; separation mellan kunder; rollbaserad åtkomstkontroll; privat (icke-offentlig) lagring av övervakningsmedia; dagliga säkerhetskopior; revisionshistorik för poäng och beslut som bara kan läggas till; automatisk radering av övervakningsmedia och integritetssignalhändelser när den konfigurerade lagringsperioden för media löper ut. Identitetsgranskningsbeslut som inte är media, och revisionsdetaljer, följer den separata perioden för assessmentdata. En aktuell beskrivning av åtgärderna finns på skillcort.com/trust.

6. Underbiträden

Kunden lämnar ett allmänt godkännande av de underbiträden som anges på skillcort.com/legal/subprocessors (bilaga 1). SkillCort underrättar Kunden om avsedda tillägg eller byten minst 30 dagar i förväg; Kunden kan invända på rimliga dataskyddsgrunder, varvid parterna söker en lösning och Kunden kan säga upp den berörda tjänsten om ingen lösning hittas. SkillCort ålägger underbiträden dataskyddsförpliktelser som inte är mindre skyddande än denna DPA och ansvarar fortsatt för deras utförande.

SkillCort genomför en dokumenterad granskning av varje väsentligt underbiträde minst en gång var tolfte (12) månad och efter varje väsentlig förändring, bekräftad säkerhetsincident eller annan händelse som rimligen påverkar underbiträdets dataskyddsriskprofil; det aktuella granskningsunderlaget förs i SkillCorts efterlevnadsregister över leverantörer.

7. Internationella överföringar

Plattformens data lagras i EU (Frankfurt). Uppgifterna är åtkomliga från USA för SkillCort (ett amerikanskt bolag) för driften av tjänsten, och transaktionsmejl behandlas i USA. Överföringar sker enligt: (a) för uppgifter inom EU/EES — standardavtalsklausuler (modul två: personuppgiftsansvarig → personuppgiftsbiträde, och modul tre där så är tillämpligt), vilka parterna är överens om utgör en del av denna DPA, med stöd av en konsekvensbedömning av överföringen och kompletterande åtgärder; (b) för uppgifter som omfattas av turkisk rätt — det standardavtal som publicerats av den turkiska myndigheten för skydd av personuppgifter enligt Art. 9 i lag nr 6698, som parterna ingår tillsammans med Beställningsformuläret för behandling som rör Türkiye och som anmäls till myndigheten inom fem arbetsdagar.

8. Radering och återlämnande

Efter uppsägning eller upphörande kan Kunddata förbli tillgängliga i upp till 30 dagar så att Kunden hinner slutföra sin dataexport. När den perioden löpt ut raderar SkillCort uppgifterna från aktiva produktionssystem; kvarvarande kopior i krypterade säkerhetskopior raderas eller skrivs över genom den ordinarie säkerhetskopieringscykeln inom högst 90 dagar. Underlag som krävs enligt tillämplig lag, och underlag som är snävt nödvändigt för att fastställa, göra gällande eller försvara rättsliga anspråk, undantas. Säkerhets-, åtkomst- och revisionsloggar styrs av lagringsperioderna i integritetspolicyn, separat från säkerhetskopiorna. Övervakningsmedia — inklusive media från identitetsinsamling och de versioner av referensfoton som använts vid granskning — och integritetssignalhändelser raderas automatiskt när den lagringsperiod för media som Kunden konfigurerat löper ut (standard 90 dagar), oavsett avtalsstatus. Kunden kan också utlösa tidigare radering av media och integritetssignalhändelser som hör till ett enskilt försök direkt i produkten. Identitetsgranskningsbeslut som inte är media, uppgifter om den namngivna granskaren, anteckningar och hänvisningar till raderade media följer den separata lagringsperioden för assessmentdata.

9. Bistånd

Med beaktande av behandlingens art bistår SkillCort Kunden med lämpliga tekniska och organisatoriska åtgärder vid hanteringen av registrerades begäranden (Art. 12–23 GDPR; Art. 11 KVKK) och med Kundens skyldigheter enligt Art. 32–36 GDPR (säkerhet, anmälan av personuppgiftsincident, konsekvensbedömningar avseende dataskydd, förhandssamråd). Begäranden från registrerade som SkillCort tar emot direkt vidarebefordras till Kunden utan onödigt dröjsmål.

10. Personuppgiftsincident

SkillCort underrättar Kunden utan onödigt dröjsmål efter att ha fått kännedom om en personuppgiftsincident som påverkar Kundens uppgifter, och lämnar den information som rimligen krävs för Kundens anmälningsskyldigheter (Art. 33–34 GDPR; Art. 12(5) KVKK).

11. Revisioner

SkillCort tillhandahåller den information som krävs för att visa att denna DPA följs och möjliggör och medverkar till revisioner, inklusive inspektioner, som utförs av Kunden eller av en revisor som Kunden anlitar. Kunden får utöva sin revisionsrätt högst en gång under en period om tolv (12) månader, utom efter en bekräftad personuppgiftsincident, en begäran från en behörig tillsynsmyndighet eller rimliga belägg för väsentlig bristande efterlevnad av denna DPA. Revisioner kräver skriftligt förhandsbesked minst 30 dagar i förväg, omfattas av sekretessåtaganden, ska genomföras så att störningar i SkillCorts verksamhet minimeras och innefattar aldrig åtkomst till andra kunders uppgifter. Parterna utgår i första hand från befintliga oberoende revisionsrapporter och SkillCorts publicerade säkerhetsdokumentation i den mån dessa rimligen täcker omfattningen; kostnader för överdrivna eller skräddarsydda revisionsbegäranden utöver den utgångspunkten bärs av Kunden.

12. Ansvar och tolkningsföreträde

Ansvaret regleras av Avtalet. Vid konflikt mellan Avtalet och denna DPA i fråga om behandling av personuppgifter har denna DPA företräde; ingångna standardavtalsklausuler och standardavtal har företräde framför båda i den utsträckning konflikten sträcker sig.

KVKK-bilaga

Om Kunden är etablerad i Türkiye eller kandidater befinner sig i Türkiye ingår parterna dessutom det turkiska standardavtalet från dataskyddsmyndigheten (biträdesförhållande) och lämnar in det till myndigheten inom fem arbetsdagar. Skyldigheten till aydınlatma (informationsmeddelande) gentemot kandidater åligger Kunden som personuppgiftsansvarig, med Kundens eget meddelande eller den mall som SkillCort tillhandahåller.

För att ingå denna DPA för din organisation, eller för undertecknade kopior och överföringsdokumentation: privacy@skillcort.com.