Məlumatların Emalı Müqaviləsi (DPA)

Bu müqavilə operator qismində Abunəçi ilə emalçı qismində Nivorbit arasında GDPR-ın 28(3) maddəsinin tələb etdiyi müqavilədir.

1. Tərəflər və onların rolları

• Operator — Abunəçi (işəgötürən). İşçilərinin fərdi məlumatlarının niyə və necə emal edildiyini o müəyyən edir.
• Emalçı — Nivorbit Teknoloji Limited Şirketi ("Nivorbit"). Yalnız Abunəçinin sənədləşdirilmiş göstərişləri əsasında və yalnız Xidməti göstərmək üçün emal edir.

Nivorbit-in öz operator qabiliyyətində emal etdiyi hesab məlumatları bu müqavilədən kənardadır; onları Məxfilik Siyasəti tənzimləyir.

2. Mövzu, müddət, xarakter və məqsəd

• Mövzu: Vardify vasitəsilə Abunəçinin işçilərinə aid fərdi məlumatların emalı.
• Müddət: Abunəlik müddəti və 8-ci bənddəki məhv etmə prosesi tamamlanana qədər.
• Xarakter və məqsəd: Növbə planlaşdırması, əlçatanlığın toplanması, giriş-çıxış qeydləri, məzuniyyət və dəyişdirmə təsdiqləri, əmək xərcləri hesabatı, bahşiş bölgüsü, əmək haqqı hazırlığı çıxışı, kadr işlərinin saxlanması və — Abunəçi aktivləşdirdikdə — franşiza şəbəkəsinə məcmu hesabat.

2.1 Məlumat kateqoriyaları

Kimlik və əlaqə məlumatları; əmək məlumatları (vəzifə, əmək haqqı, müqavilə növü, staj); iş qeydləri (növbələr, giriş-çıxışlar, məzuniyyət, qeyibliklər); kadr sənədləri; bank hesabı (IBAN); giriş anında oxunan məkan (yalnız tətbiq açıq olduqda, telefonun məkan icazəsi vasitəsilə); cihaz kimliyi və anomaliya siqnalları; bildiriş tokeni; 9-cu maddə üzrə xüsusi kateqoriyalı məlumatlar (qan qrupu və əlillik dərəcəsi kimi sağlamlıq məlumatları, həmkarlar ittifaqı üzvlüyü) — yalnız Abunəçinin 9(2) maddə üzrə hüquqi əsası olduqda, məhsul bunu açıq razılıq kimi qeyd edir; işçilərin himayəsində olan şəxslərin adları və kimlik nömrələri.

2.2 Məlumat subyektlərinin kateqoriyaları

Abunəçinin işçiləri, keçmiş işçiləri və — məhdud dərəcədə — işçilərin himayəsində olan şəxslər.

3. Nivorbit-in öhdəlikləri (28(3) maddə)

1. Yalnız sənədləşdirilmiş göstərişlər əsasında emal edir, üçüncü ölkəyə ötürmələr də daxil olmaqla, tabe olduğu İttifaq və ya Üzv Dövlət hüququ tərəfindən tələb olunmadıqca; bu halda qanun qadağan etmədikdə emaldan əvvəl Abunəçini məlumatlandırır. Fərdi məlumatları öz məqsədləri üçün emal etmir. Məhsulu təkmilləşdirmək üçün yalnız nə şəxsin, nə də biznesin müəyyən edilə bilməyəcəyi şəkildə məcmuləşdirilmiş ölçmələrdən istifadə olunur.
2. Göstərişin GDPR-ı pozduğunu hesab edərsə, Abunəçini dərhal məlumatlandırır.
3. Məlumatları emal etməyə səlahiyyətli şəxslərin məxfilik öhdəliyi götürdüyünü təmin edir və çıxışı rolun tələb etdiyi ilə məhdudlaşdırır.
4. 4-cü bənddəki texniki və təşkilati tədbirləri tətbiq edir (32-ci maddə).
5. Alt operatorları 5-ci bənddəki qaydalara uyğun cəlb edir (28(2) və (4) maddələr).
6. Emalın xarakterini nəzərə alaraq, Abunəçiyə məlumat subyektlərinin sorğularının cavablandırılmasında (III fəsil) və Abunəçinin 32–36-cı maddələr üzrə öhdəliklərində kömək edir.
7. Pozuntuları 7-ci bəndə uyğun bildirir.
8. Xidmətlərin sonunda məlumatları 8-ci bəndin nəzərdə tutduğu kimi silir və ya qaytarır.
9. Uyğunluğu nümayiş etdirmək üçün zəruri məlumatı təqdim edir və 9-cu bəndin nəzərdə tutduğu kimi auditlərə imkan verir və onlara töhfə verir.

4. Texniki və təşkilati tədbirlər

Bu tədbirlər məhsulun içinə quraşdırılıb; bu, marketinq mətni deyil:

• Kirayəçilərin təcrid edilməsi — PostgreSQL sətir səviyyəli təhlükəsizlik (RLS) və hər sorğuda kirayəçi konteksti. Bir kirayəçinin sorğusu verilənlər bazası səviyyəsində digərinin sətirlərini görə bilməz.
• Ötürülmə zamanı şifrələmə — Bütün müştəri–server və server–alt operator trafiki TLS üzərindən.
• Saxlanma zamanı şifrələmə — Verilənlər bazası və ehtiyat nüsxələr disk səviyyəsində şifrələnir.
• Sütun səviyyəsində şifrələmə — 9-cu maddə üzrə xüsusi kateqoriyalı məlumatlar və himayədə olan şəxslərin kimlik nömrələri verilənlər bazasında əlavə olaraq şifrələnir.
• Rola əsaslanan çıxış — Əmək haqqı və kimlik sahələri rola görə maskalanır; filial meneceri əmək haqqını görə bilməz.
• Açıq razılıq qapısı — Xüsusi kateqoriyalı məlumatlar qüvvədə olan açıq razılıq qeydi olmadan ümumiyyətlə yazılmır; razılığın geri götürülməsi sahələri təmizləyir.
• Audit jurnalı — Fərdi məlumatlara çıxış və onlarda dəyişikliklər audit jurnalına yazılır; xüsusi kateqoriyalı sahələr üçün yalnız "dəyişdirilib" işarəsi saxlanılır.
• Sənədlərə çıxış — Kadr sənədləri obyekt yaddaşında saxlanılır və yalnız qısamüddətli (5 dəqiqəlik) imzalı bağlantı ilə endirilir.
• Məlumatların minimallaşdırılması — Məkan yalnız tətbiq açıq olduqda və telefonun əməliyyat sisteminin məkan icazəsi vasitəsilə oxunur: giriş zamanı, filialın coğrafi sərhədi və Wi-Fi yoxlaması üçün, eləcə də biznes və ya filial axtarışında (server vasitəsilə Google Places-ə). Filialda olmanın cihazın özündə yoxlanması telefondan kənara çıxmır. Arxa planda və ya fasiləsiz izləmə yoxdur. Məkanın emalının hüquqi əsası Abunəçinin öz əsasıdır (əmək müqaviləsinin icrası, hüquqi öhdəlik və ya qanuni maraqlar, GDPR 6(1)(b), (c) və ya (f) maddələr, yaxud 88-ci maddə və milli əmək hüququ); o, işçinin razılığına əsaslanmır. Biometrik məlumatlar və üzün tanınması yoxdur.
• Saxtakarlığa qarşı — Cihaza bağlanma və anomaliya siqnalları; biometrik doğrulama deyil.
• Silinmə — Anonimləşdirmə: əmək əlaqəsini silir, şəxs başqa işəgötürən üçün işləmirsə profilini təmizləyir və saxlama müddəti başa çatmış sənədləri məhv edir.

5. Alt operatorlar

1. Abunəçi Nivorbit-ə alt operatorlardan istifadə etmək üçün ümumi yazılı icazə verir (28(2) maddə). Cari siyahı: Alt operatorların siyahısı.
2. Nivorbit hər alt operatora müqavilə ilə bu müqavilədəki eyni məlumatların mühafizəsi öhdəliklərini qoyur (28(4) maddə) və həmin alt operatorun öhdəliklərinin icrasına görə Abunəçi qarşısında tam məsuliyyət daşımağa davam edir.
3. Alt operatorun əlavə edilməsi və ya əvəz edilməsi ən azı 30 gün əvvəl bildirilir. Abunəçi həmin müddət ərzində əsaslı səbəblərlə etiraz edərsə, tərəflər həll yolu axtarır; tapılmazsa, Abunəçi cərimə olmadan xitam edə bilər.

6. Üçüncü ölkələrə ötürmələr

Vardify-ın serverləri Avropa İttifaqında yerləşdirilib (Falkenştayn, Almaniya). Buna baxmayaraq, İttifaqdan kənara iki ötürmə baş verir:

1. Nivorbit-in Türkiyədən öz çıxışı, Xidməti idarə etmək və dəstəkləmək üçün. Türkiyə üçün adekvatlıq qərarı yoxdur; ötürmə Avropa Komissiyasının Standart Müqavilə Bəndlərinə (ikinci modul, operatordan emalçıya; (Aİ) 2021/914 saylı Qərar) əsasən həyata keçirilir və tərəflər onları istinadla bu müqaviləyə daxil edir, 4-cü bənddəki əlavə tədbirlərlə birlikdə.
2. Google LLC (ABŞ) vasitəsilə mobil bildirişlərin çatdırılması, SMB-lər (üçüncü modul, emalçıdan emalçıya) və Google LLC sertifikatlaşdırıldığı müddətdə Aİ–ABŞ Məlumat Məxfiliyi Çərçivəsi əsasında.
3. Heç bir ötürmə işçilərin razılığına əsaslanmır və Abunəçi onu almalı deyil: fasiləsiz hostinq quruluşu 49-cu maddə mənasında təsadüfi ötürmə deyil.
4. Şifrələmə (TLS + disk + sütun) təhlükəsizlik tədbiridir, ötürmə mexanizmi deyil. Bunlar ayrıca təmin edilir.

7. Pozuntu barədə bildiriş

1. Nivorbit fərdi məlumatların pozulmasından xəbər tutduqda Abunəçini əsassız gecikmə olmadan və ən geci 24 saat ərzində məlumatlandırır (33(2) maddə).
2. Bildiriş pozuntunun xarakterini, təsirə məruz qalan məlumat kateqoriyalarını və şəxslərin təxmini sayını, ehtimal olunan nəticələrini və görülmüş və ya görüləcək tədbirləri əhatə edir.
3. Nəzarət orqanını 72 saat ərzində (33-cü maddə) və məlumat subyektlərini (34-cü maddə) məlumatlandırmaq öhdəliyi operatorun, yəni Abunəçinin üzərindədir. Nivorbit həmin bildiriş üçün lazım olan məlumat və dəstəyi təmin edir.

8. Müqavilənin sonu: qaytarma və məhv etmə

1. Abunəlik bitdikdə 30 günlük pəncərə açılır; bu müddətdə Abunəçi məlumatlarını ixrac edə bilər, ixrac paneldən edilir və pulsuzdur.
2. Həmin müddətin sonunda fərdi məlumatlar silinir və ya anonimləşdirilir; şifrələnmiş ehtiyat nüsxələrdən çıxarılma ehtiyat nüsxə dövrünün sonunda, ən geci 6 ay (180 gün) ərzində tamamlanır.
3. Yeganə istisna İttifaq və ya Üzv Dövlət hüququnun saxlanmasını tələb etdiyi qeydlərdir. Onlar yalnız müvafiq qanuni müddət ərzində və yalnız saxlama məqsədi ilə saxlanılır; bu müddətdə heç bir başqa məqsədlə emal edilmir.
4. Silinmə sorğusu qanuni saxlama müddəti bitməmiş kadr sənədlərini məhv etmir (17(3)(b) maddə). Bu halda işçi sətri anonimləşdirilir; qalan şey sistemin artıq heç kimə aid edə bilmədiyi sənədlərdir.

9. Audit

1. Nivorbit Abunəçiyə 28-ci maddəyə uyğunluğu nümayiş etdirmək üçün lazım olan məlumatı təqdim edir.
2. İldə bir dəfə, ən azı 30 gün əvvəl xəbərdarlıqla, iş saatlarında və Xidməti pozmadan Abunəçi audit apara bilər və ya müstəqil auditora apartdıra bilər. Xərci Abunəçi daşıyır; audit uyğunsuzluq aşkar edərsə, xərc Nivorbit-ə keçir.
3. Nivorbit audit öhdəliyini müstəqil audit hesabatı təqdim etməklə yerinə yetirə bilər.

10. Franşiza şəbəkəsi ilə bölüşmə — qərar kimindir

Abunəçi franşiza şəbəkəsi funksiyasını aktivləşdirdikdə, hansı sahələrin şəbəkə mərkəzi ilə bölüşüləcəyini o müəyyən edir və bu bölüşmə üzrə operator Abunəçidir; Nivorbit yalnız ötürməni həyata keçirir. İşçi adları, əmək haqqı, saatlıq xərclər, kimlik və sosial sığorta nömrələri, şəxs üzrə iş saatları və məkan qeydləri heç bir bölüşmə səviyyəsində şəbəkə mərkəzinə heç vaxt göndərilmir.

11. Məsuliyyət

Bu müqavilə üzrə məsuliyyət İstifadə Şərtlərinin 9-cu bəndindəki limitlərə tabedir. Lakin 82-ci maddə üzrə məlumat subyektləri və nəzarət orqanları qarşısında məsuliyyət GDPR-ın onu operator və emalçı arasında bölüşdürdüyü kimi qalır və müqavilə ilə daraldıla bilməz.

12. Ziddiyyət

Bu müqavilə İstifadə Şərtləri və ya Məxfilik Siyasəti ilə ziddiyyət təşkil edərsə, fərdi məlumatların emalına aid məsələlərdə bu müqavilə üstünlük təşkil edir. Standart Müqavilə Bəndləri ilə ziddiyyət təşkil edərsə, Bəndlər üstünlük təşkil edir.