Andmetöötlusleping

1. Pooled ja lepingu alus

Leping on sõlmitud kliendi (vastutav töötleja) ja [Ettevõtte nimi] OÜ (registrikood [registrikood], edaspidi „Värba“, volitatud töötleja) vahel isikuandmete kaitse üldmääruse (IKÜM) artikli 28 alusel.

Leping on kasutustingimuste (varba.ee/tingimused) lahutamatu osa ja kehtib nendega sama kaua. Mõisteid kasutatakse IKÜM-i tähenduses.

2. Töötlemise ese, eesmärk ja kestus

• Eesmärk: kliendi värbamise korraldamine teenuse abil — töökuulutuste avaldamine, kandideerimiste vastuvõtmine, kandidaatide hindamine, intervjuude planeerimine ja kandidaatidega suhtlemine.
• Töötlemise olemus: andmete kogumine kandideerimisvormi kaudu, salvestamine, korrastamine, kliendi kasutajatele kuvamine, e-kirjade saatmine, säilitamine ja kustutamine.
• Kestus: lepingu kehtivuse aeg ning pärast seda andmete kustutamiseks vajalik aeg (vt punkt 9).

3. Andmesubjektid ja andmete liigid

Andmesubjektid: kandidaadid, kliendi kasutajad ning kuulutustes ja kirjades nimetatud kliendi kontaktisikud.

Andmete liigid:

• kontaktandmed: nimi, e-posti aadress, telefon, asukoht;
• CV ja muud kandidaadi üleslaaditud failid, kaaskiri ja vastused kandideerimisvormi küsimustele;
• kliendi kasutajate lisatud info: märkmed, hinnangud, valikuetapp, loobumise põhjus;
• intervjuude aeg, koht, link ja osalejad;
• kandidaadiga vahetatud e-kirjad;
• taustakontrolli nõusolek ja tulemuse märge;
• kandideerimise nõusoleku tekst ja aeg ning kandideerimise keel.

Teenus ei ole mõeldud eriliiki isikuandmete (nt terviseandmete) ega süüteoandmete kogumiseks. Kui klient selliseid andmeid siiski kogub (nt vormiküsimuse või taustakontrolli kaudu), vastutab õigusliku aluse olemasolu eest klient.

4. Töötlemine kliendi juhiste järgi

Värba töötleb isikuandmeid ainult kliendi dokumenteeritud juhiste alusel. Juhised on see leping, kasutustingimused ja kliendi toimingud teenuses — näiteks seaded, säilitustähtaja määramine ja andmete kustutamine. Kui seadus kohustab Värbat andmeid muul viisil töötlema, teatame sellest kliendile enne töötlemist, kui seadus seda ei keela.

Kui Värba hinnangul on kliendi juhis õigusvastane, teatame sellest kliendile viivitamata.

Värba ei kasuta kliendi isikuandmeid oma eesmärkidel, ei müü neid ega kasuta neid tehisintellekti mudelite treenimiseks.

Värba töötaja pääseb kliendi kontole ainult kliendi palvel (nt tugiküsimuse lahendamiseks), kokkulepitud täisteenuse osutamiseks või juhul, kui see on vältimatult vajalik teenuse turvalisuse kaitsmiseks. Iga selline ligipääs logitakse.

5. Konfidentsiaalsus ja turvalisus

Kõik isikud, kellel on Värba poolt ligipääs kliendi isikuandmetele, on kohustatud hoidma need konfidentsiaalsena.

Värba rakendab IKÜM artikli 32 kohaseid tehnilisi ja korralduslikke turvameetmeid. Need on kirjeldatud lisas 2. Võime meetmeid muuta, kui turvatase sellest ei lange.

6. Alamtöötlejad

Klient annab Värbale üldise loa kasutada alamtöötlejaid. Kehtivad alamtöötlejad on loetletud lisas 1.

Uue alamtöötleja lisamisest või olemasoleva vahetamisest teatame kliendile e-posti teel vähemalt 30 päeva ette. Klient võib selle aja jooksul mõjuval põhjusel esitada vastuväite. Kui lahendust ei leita, võib klient lepingu lõpetada enne muudatuse jõustumist.

Värba sõlmib alamtöötlejatega lepingud, mis panevad neile samaväärsed andmekaitsekohustused, ning vastutab kliendi ees nende kohustuste täitmise eest.

7. Andmete edastamine väljapoole Euroopa Majanduspiirkonda

Kui alamtöötleja töötleb andmeid väljaspool Euroopa Majanduspiirkonda, tagab Värba, et edastamine vastab IKÜM V peatüki nõuetele — näiteks Euroopa Komisjoni kaitse piisavuse otsuse (sh EL–USA andmekaitseraamistik) või Euroopa Komisjoni tüüptingimuste alusel.

8. Kliendi abistamine

• Andmesubjekti taotlused: teenuses saab klient kandidaadi andmeid vaadata, parandada ja kustutada. Kui kandidaat pöördub otse Värba poole, edastame taotluse kliendile viivitamata ega vasta sellele kliendi eest.
• Rikkumised: kui Värba saab teada isikuandmetega seotud rikkumisest, teavitame klienti põhjendamatu viivituseta, kuid hiljemalt 48 tunni jooksul. Teates on rikkumise olemus, puudutatud andmed, tõenäolised tagajärjed ja võetud meetmed — nii palju, kui on sel hetkel teada.
• Mõjuhinnang ja eelnev konsulteerimine: anname kliendile mõistlikult vajaliku teabe teenuse ja töötlemise kohta.

9. Andmete kustutamine lepingu lõppedes

Lepingu lõppedes kustutab Värba kliendi isikuandmed 30 päeva jooksul, kui klient ei ole selle aja jooksul küsinud andmete väljavõtet. Varukoopiatest kaovad andmed nende tavapärase rotatsiooni käigus. Erand on andmed, mille säilitamist nõuab seadus.

Lepingu kehtivuse ajal kustutab teenus kandidaatide andmed automaatselt kliendi määratud säilitustähtaja möödudes.

10. Nõuete täitmise tõendamine

Värba annab kliendi taotlusel teabe, mis on vajalik selle lepingu nõuete täitmise tõendamiseks. Kui sellest ei piisa, võib klient korraldada auditi, teatades sellest vähemalt 30 päeva ette. Auditi võib korraldada kõige rohkem kord aastas, kui ei ole alust kahtlustada rikkumist, ning selle kulud kannab klient.

11. Kliendi kohustused

• Kliendil on kandidaatide andmete töötlemiseks õiguslik alus ning kandidaate on töötlemisest teavitatud.
• Klient määrab kandidaatide andmete säilitustähtaja ega kogu rohkem andmeid, kui värbamiseks vaja.
• Klient haldab oma kasutajate ligipääsu ja eemaldab selle inimestelt, kes seda enam vajama ei peaks.
• Kliendi juhised Värbale on kooskõlas andmekaitse nõuetega.

12. Vastutus

Poolte vastutus on kindlaks määratud kasutustingimustes, arvestades IKÜM artiklit 82.

Lisa 1. Alamtöötlejad

Lisa 2. Turvameetmed

• Kõik ühendused on krüpteeritud (HTTPS/TLS), sealhulgas rakenduse ühendus andmebaasiga koos sertifikaadi kontrolliga.
• Paroolid salvestatakse ainult räsina. Parooli vahetamine lõpetab kõik teised sisselogimise sessioonid.
• Sisselogimisel, parooli taastamisel ja avalikul kandideerimisvormil on päringupiirangud.
• Kandidaatide failid on privaatses hoidlas. Faili saab avada ainult sisse logitud kasutaja, kelle õigust sellele failile kontrollitakse igal päringul.
• Ligipääs andmetele on piiratud organisatsiooni ja rolli järgi. Iga organisatsiooni andmed on teistest eraldatud.
• Värba töötaja ligipääs kliendi kontole logitakse ja kehtib korraga kõige rohkem üks tund.
• Kandidaadi nõusoleku tekstist salvestatakse iga kandideerimise juurde koopia.
• Kandidaatide andmed kustutatakse automaatselt kliendi määratud säilitustähtaja möödudes.
• Andmebaasist tehakse teenusepakkuja poolt automaatseid varukoopiaid.