Настоящее Соглашение об обработке данных (далее — «DPA») является частью соглашения об услугах рекрутмента AINA (далее — «Основное соглашение») между работодателем или бизнес-клиентом (далее — «Контроллер») и Senocom Ltd, компанией, зарегистрированной на Кипре, регистрационный номер HE468429, юридический адрес: Germasogeia, Kapsalion 4, Floor 2, Flat/Office 203, Block B, 4044 Limassol, Cyprus (далее — «Обработчик»).

Настоящее DPA регулирует только персональные данные, обрабатываемые Senocom от имени Контроллера (далее — «Персональные данные Контроллера»). Персональные данные, которые Senocom обрабатывает самостоятельно как контроллер, включая прямые сервисы для кандидатов, собственный биллинг и собственную аналитику, регулируются Политикой конфиденциальности и применимым правом. Роли определяются фактическими операциями обработки, а не только договорными обозначениями.

1. Сфера и определения

1.1. «GDPR» означает Регламент (EU) 2016/679. Иные термины имеют значения, присвоенные в GDPR. Сведения об обработке приведены в Приложении I.

1.2. Настоящее DPA действует в течение срока Основного соглашения и до возврата или удаления Персональных данных Контроллера в соответствии с его условиями. При конфликте, касающемся обработки Персональных данных Контроллера, настоящее DPA имеет преимущество над Основным соглашением.

2. Инструкции и обязанности

2.1. Обработчик обрабатывает Персональные данные Контроллера только по документированным инструкциям Контроллера, включая международные передачи, если обработка не требуется применимым правом ЕС или государства — члена ЕС; в этом случае Обработчик заранее уведомляет, если это не запрещено по важным основаниям общественного интереса.

2.2. Основное соглашение, настоящее DPA, документированные настройки конфигурации, авторизованные инструкции в Сервисе и письменные инструкции, принятые Обработчиком, вместе составляют инструкции Контроллера. Обработчик незамедлительно информирует Контроллера, если, по его мнению, инструкция нарушает GDPR или иные применимые положения ЕС или государства — члена ЕС о защите данных.

2.3. Контроллер определяет законные цели, правовое основание, объём, уведомления и сроки хранения для своей рекрутмент-деятельности, включая сорсинг, запись собеседований, профилирование, рассмотрение для будущих вакансий и любые данные особых категорий. Контроллер обеспечивает законность любых инструкций и раскрытия данных кандидатов Обработчику.

2.4. Обработчик не использует Персональные данные Контроллера для собственных несвязанных целей, включая обучение универсальных AI-моделей, за исключением случаев явного разрешения Контроллера на отдельном законном основании и в соответствии с применимыми условиями вендоров.

3. Конфиденциальность и безопасность

3.1. Обработчик обеспечивает, чтобы уполномоченные лица были связаны обязательствами конфиденциальности или соответствующими законными обязанностями, а доступ ограничивался необходимым.

3.2. Обработчик внедряет надлежащие технические и организационные меры согласно ст. 32 GDPR с учётом характера, объёма, контекста и целей обработки и рисков для субъектов данных. Эти меры описаны в Приложении II.

4. Инциденты с персональными данными

4.1. Обработчик уведомляет Контроллера без неоправданной задержки после того, как узнаёт о нарушении, затрагивающем Персональные данные Контроллера, и предоставляет доступную информацию, помогающую Контроллеру исполнить обязанности, включая соответствующие факты, категории затронутых данных и меры по смягчению.

4.2. Обработчик разумно сотрудничает в сдерживании, расследовании и устранении последствий и может предоставлять информацию поэтапно по мере её появления.

5. Содействие и запросы

5.1. С учётом характера обработки и доступной информации Обработчик содействует Контроллеру в запросах об осуществлении прав субъектов данных, обязанностях по безопасности, уведомлениях об инцидентах, DPIA и предварительных консультациях, требуемых ст. 32–36 GDPR.

5.2. Если Обработчик получает запрос, относящийся к Персональным данным Контроллера, он незамедлительно направляет его Контроллеру, если иное не запрещено законом. Обработчик самостоятельно не определяет существо ответа по запросу, контролируемому Контроллером.

6. Субобработчики

6.1. Контроллер даёт общее письменное разрешение привлекать субобработчиков для обработки, описанной в Приложении I, с учётом настоящего раздела и текущего реестра в Приложении III.

6.2. Обработчик заранее уведомляет о предполагаемом добавлении или замене субобработчиков достаточно для того, чтобы Контроллер мог возразить по разумным основаниям защиты данных до вступления изменения в силу. Стороны добросовестно рассматривают возражения; если разумное решение невозможно, Контроллер может прекратить затронутую обработку или Сервис в пределах, предусмотренных Основным соглашением и применимым правом.

6.3. Обработчик возлагает на субобработчиков письменные обязательства по защите данных, обеспечивающие материально эквивалентную защиту Персональных данных Контроллера, и остаётся ответственным за их исполнение, как требуется ст. 28(4) GDPR.

6.4. Обработчик ведёт точный реестр уполномоченных субобработчиков, их операций обработки и соответствующих локаций и делает его доступным Контроллеру. Текущий реестр приведён в Приложении III. Изменения подчиняются п. 6.2.

7. Международные передачи

7.1. Для передач, подпадающих под главу V GDPR, Обработчик и Контроллер обеспечивают наличие применимого механизма передачи до соответствующей передачи — решения об адекватности, применимых Стандартных договорных положений ЕС или иного допустимого механизма — и дополнительных гарантий, где нужно.

7.2. Настоящее DPA по ст. 28 само по себе не является Стандартными договорными положениями о международной передаче и самостоятельно не уполномочивает ограниченную передачу. Обработчик по запросу предоставляет разумные сведения о локациях обработки и гарантиях.

8. Хранение, удаление и возврат

8.1. Контроллер может поручить хранение записей кандидатов после закрытия вакансии, в том числе для будущего найма, только если установил законное основание, предоставил требуемые уведомления и задал надлежащий срок хранения. Обработчик следует документированным инструкциям Контроллера и не предполагает бессрочное хранение.

8.2. Контроллер может запросить экспорт или удаление Персональных данных Контроллера через доступные административные функции или письменные инструкции с учётом правовых ограничений.

8.3. По окончании Услуг Обработчик по выбору Контроллера удаляет или возвращает все Персональные данные Контроллера и удаляет существующие копии, если применимое право ЕС или государства — члена ЕС не требует хранения. Удаление из резервных копий и подтверждение удаления следуют документированным процедурам, согласованным с правовыми обязанностями.

9. Информация и аудит

9.1. Обработчик предоставляет информацию, необходимую для демонстрации соответствия ст. 28 GDPR, и допускает аудиты, включая инспекции, Контроллера или назначенного им независимого аудитора, а также содействует им. Стороны согласуют разумный график, конфиденциальность и меры безопасности без ограничения установленных законом прав на аудит.

10. Ответственность и применимое право

10.1. Ответственность распределяется по Основному соглашению в пределах, допускаемых законом; ничто не ограничивает неотчуждаемые обязанности, установленные законом права субъектов данных или полномочия надзорных органов.

10.2. Настоящее DPA регулируется правом Республики Кипр без ущерба для императивных норм. Любая оговорка о форуме в Основном соглашении применяется в допустимых законом пределах.

11. Изменения и контакты

11.1. Изменения, затрагивающие обязательные условия обработки данных, вносятся юридически действительным соглашением или иным способом, допускаемым Основным соглашением и применимым правом, с надлежащим уведомлением.

11.2. Контакт Обработчика по вопросам защиты данных: main@aina-tech.com. Уведомления Контроллера могут направляться на контакты, указанные в Основном соглашении.

ПРИЛОЖЕНИЕ I — ОПИСАНИЕ ОБРАБОТКИ

ПРИЛОЖЕНИЕ II — ТЕХНИЧЕСКИЕ И ОРГАНИЗАЦИОННЫЕ МЕРЫ

Обработчик поддерживает технические и организационные меры, соответствующие рискам по ст. 32 GDPR, включая следующие категории контроля для Сервиса:

• Ролевой доступ с наименьшими привилегиями и отзыв доступа при отсутствии необходимости.
• Безопасная аутентификация для привилегированного доступа и надлежащая защита учётных данных.
• Шифрование или эквивалентная защита данных при передаче и хранении, соответствующая рискам обработки.
• Резервное копирование, восстановление, доступность и меры непрерывности бизнеса.
• Журналирование безопасности, устранение уязвимостей, обслуживание систем и реагирование на инциденты.
• Обязательства конфиденциальности, инструкции по безопасности персонала и надзор за субобработчиками.
• Процедуры хранения, экспорта данных, удаления, запросов на доступ и периодического пересмотра контролей.

ПРИЛОЖЕНИЕ III — РЕЕСТР СУБОБРАБОТЧИКОВ

В этом реестре перечислены вендоры, которые могут обрабатывать Персональные данные Контроллера от имени Senocom при использовании соответствующих функций AINA. Указание вендора не означает, что данные каждого Контроллера передаются этому вендору. Независимая продуктовая аналитика AINA и биллинг сами по себе, лишь в силу использования в других частях платформы, не делают этих провайдеров субобработчиками работодателя.

ПРИЛОЖЕНИЕ IV — ГРАНИЦЫ РОЛЕЙ (ПОЯСНЕНИЕ)

ATS по указанию работодателя, записи кандидатов, загруженные работодателем, собеседования по запросу работодателя и производные от них оценки, как правило, являются обработкой под контролем Контроллера и охватываются настоящим DPA. Профили AINA, созданные кандидатом, личный карьерный коучинг, поиск вакансий, независимая продуктовая аналитика и биллинг AINA могут контролироваться Senocom напрямую и не подпадают под настоящее DPA автоматически.

Для внешнего сорсинга и кросс-работодательской видимости роли определяются фактическими целями и средствами сторон. Каждая сторона обеспечивает соответствующие уведомления о прозрачности, правовые основания, условия обмена данными и контроль доступа для своей деятельности.