Acordul de prelucrare a datelor
Cum prelucrăm datele candidaților în numele tău, conform art. 28 GDPR.
Versiunea 1.0. Textul în limba română este cel care produce efecte; traducerea în engleză este pentru informare.
Versiunea 1.0 · în vigoare de la data publicării
Acest acord face parte din Termenii de utilizare Partnerd Hire și reglementează prelucrarea datelor cu caracter personal pe care Clientul le introduce în platformă, conform art. 28 din Regulamentul (UE) 2016/679 („GDPR”).
Părțile: PARTNERD RECRUITMENT SERVICES S.R.L., Str. Hatman Luca Arbore nr. 34A, Constanța, România, J2020003067138, CUI RO 43349846 („Partnerd”, persoana împuternicită) și organizația care a creat spațiul de lucru („Clientul”, operatorul).
Acordul se acceptă electronic de către administratorul spațiului de lucru, la crearea acestuia, în numele Clientului. Acceptarea are valoarea unei semnături; evidența acceptării (persoana, data, versiunea) este disponibilă în cont.
1. Rolurile părților
1.1 Clientul este operator. Clientul decide de ce și cum sunt prelucrate datele candidaților săi: ce joburi publică, ce candidați introduce, cât timp păstrează datele, dacă activează funcțiile de inteligență artificială, WhatsApp sau interviul video, cine din echipa lui are acces.
1.2 Partnerd este persoană împuternicită. Partnerd prelucrează datele candidaților numai în numele Clientului și numai conform instrucțiunilor lui, pentru a furniza platforma.
1.3 Unde Partnerd este operator. Pentru datele conturilor de utilizator ale Clientului (nume, email, acțiuni în platformă), pentru facturare și pentru securitatea serviciului, Partnerd este operator; acestor prelucrări li se aplică Politica de confidențialitate, nu acest acord.
1.4 Agenții de recrutare. Dacă Clientul este o agenție care recrutează pentru clienții săi, Clientul rămâne responsabil față de Partnerd ca operator sau, după caz, ca persoană împuternicită a clienților săi, și garantează că are dreptul să dea instrucțiunile din acest acord.
2. Obiectul și durata prelucrării
Detaliile prelucrării (natura, scopul, categoriile de persoane și de date, durata) sunt în Anexa A. Acordul se aplică pe toată durata utilizării platformei, inclusiv în perioada de probă, și până la ștergerea datelor conform articolului 10.
3. Instrucțiunile Clientului
3.1 Instrucțiuni documentate. Partnerd prelucrează datele numai pe baza instrucțiunilor documentate ale Clientului. Instrucțiunile sunt: acest acord, Termenii de utilizare, setările pe care Clientul le face în platformă (roluri, perioada de retenție, module activate) și acțiunile utilizatorilor săi.
3.2 Instrucțiuni ilegale. Dacă Partnerd consideră că o instrucțiune încalcă GDPR sau altă lege, informează Clientul fără întârziere și poate suspenda executarea ei până la clarificare.
3.3 Obligații legale. Dacă legea Uniunii sau a unui stat membru obligă Partnerd să prelucreze datele altfel, Partnerd informează Clientul înainte, cu excepția cazului în care legea interzice informarea.
4. Obligațiile Partnerd
Partnerd:
- (a) prelucrează datele numai pentru furnizarea platformei și numai conform instrucțiunilor;
- (b) se asigură că persoanele autorizate să prelucreze datele sunt obligate la confidențialitate și sunt instruite corespunzător;
- (c) implementează măsurile tehnice și organizatorice din Anexa B și le menține la un nivel adecvat riscului;
- (d) respectă condițiile privind subprocesatorii de la articolul 6;
- (e) asistă Clientul, prin funcțiile platformei și, la nevoie, direct, în îndeplinirea obligației de a răspunde cererilor persoanelor vizate (articolul 7);
- (f) asistă Clientul în respectarea obligațiilor privind securitatea, notificarea breșelor și evaluarea impactului (articolele 8 și 9);
- (g) la încetarea serviciilor, șterge sau returnează datele conform articolului 10;
- (h) pune la dispoziția Clientului informațiile necesare pentru a demonstra respectarea art. 28 GDPR și permite auditurile conform articolului 11;
- (i) nu folosește datele candidaților pentru scopuri proprii, nu le vinde și nu le folosește pentru antrenarea de modele de inteligență artificială.
5. Obligațiile Clientului
Clientul:
- (a) garantează că are un temei legal pentru prelucrarea datelor candidaților și că le-a furnizat informațiile cerute de art. 13 și 14 GDPR, inclusiv despre folosirea funcțiilor de inteligență artificială, a WhatsApp-ului și a interviului video, atunci când le activează;
- (b) răspunde pentru exactitatea datelor și pentru legalitatea instrucțiunilor sale;
- (c) stabilește perioada de retenție a datelor candidaților în platformă și răspunde pentru ea;
- (d) administrează accesul utilizatorilor săi și îl revocă la plecarea lor;
- (e) folosește platforma conform Condițiilor privind funcțiile de inteligență artificială și își îndeplinește obligațiile de utilizator (deployer) al unui sistem de inteligență artificială cu grad ridicat de risc;
- (f) notifică Partnerd fără întârziere dacă află de o breșă de securitate produsă din contul său sau de o cerere a unei autorități care privește datele din platformă.
6. Subprocesatori
6.1 Autorizare generală. Clientul autorizează Partnerd să folosească subprocesatorii din lista publicată la ats.partnerd.ro/legal/subprocesatori (Anexa C). Lista cuprinde, la data acestui acord: furnizorul de bază de date și stocare (date în Uniunea Europeană), furnizorul de găzduire, furnizorul de modele de inteligență artificială, furnizorul de email, Meta pentru WhatsApp, furnizorul de transcriere pentru interviul video, procesatorul de plăți, furnizorul de protecție anti-bot și furnizorul de monitorizare a erorilor.
6.2 Schimbări. Partnerd anunță Clientul, prin email către administratorul spațiului de lucru, cu cel puțin 30 de zile înainte de a adăuga sau înlocui un subprocesator care prelucrează date de candidat. Clientul poate obiecta în scris, motivat, în acest termen. Dacă părțile nu găsesc o soluție rezonabilă, Clientul poate rezilia contractul fără penalități, cu rambursarea proporțională a sumelor plătite în avans pentru perioada de după reziliere.
6.3 Răspundere. Partnerd încheie cu fiecare subprocesator un acord care impune obligații de protecție a datelor echivalente cu cele din acest acord și rămâne răspunzător față de Client pentru îndeplinirea obligațiilor de către subprocesatori.
6.4 Servicii conectate de Client. Platformele de joburi (eJobs, BestJobs, OLX), Zoom, Microsoft Teams și alte servicii pe care Clientul le conectează pe conturile sale nu sunt subprocesatori ai Partnerd; ele prelucrează datele sub termenii lor și sub răspunderea Clientului.
7. Drepturile persoanelor vizate
7.1 Cererile primite de Partnerd. Dacă un candidat se adresează direct Partnerd cu o cerere privind datele prelucrate pentru Client, Partnerd îl îndrumă către Client și informează Clientul în cel mult 5 zile lucrătoare, fără a răspunde pe fond, cu excepția cazului în care Clientul a instruit altfel.
7.2 Instrumentele din platformă. Platforma oferă Clientului instrumente pentru a răspunde cererilor: exportul datelor unui candidat, rectificarea, ștergerea (executată automat în cel mult 48 de ore), explicația evaluărilor asistate de inteligență artificială și evidența termenului legal de 30 de zile.
7.3 Asistență suplimentară. La cerere, Partnerd oferă asistență rezonabilă suplimentară. Pentru cereri care depășesc funcțiile platformei și necesită efort semnificativ, Partnerd poate factura timpul la tariful său orar, comunicat în prealabil.
8. Securitatea și breșele de securitate
8.1 Măsuri. Partnerd aplică măsurile din Anexa B. Descrierea lor detaliată este disponibilă Clientului la cerere.
8.2 Notificarea breșelor. Partnerd notifică Clientul, prin email către administratorul spațiului de lucru, fără întârzieri nejustificate și în cel mult 24 de ore de la momentul în care ia cunoștință de o breșă de securitate care afectează datele Clientului. Notificarea cuprinde, în măsura în care sunt cunoscute: natura breșei, categoriile și numărul aproximativ de persoane și de înregistrări afectate, consecințele probabile, măsurile luate sau propuse și un punct de contact. Informațiile care nu sunt disponibile inițial se transmit pe măsură ce devin disponibile.
8.3 Colaborare. Partnerd colaborează cu Clientul pentru investigarea breșei, pentru limitarea efectelor și, dacă este cazul, pentru notificarea autorității de supraveghere și informarea persoanelor afectate, care rămân în sarcina Clientului ca operator.
9. Evaluarea impactului și consultarea prealabilă
Partnerd asistă Clientul, cu informațiile pe care le deține despre platformă, în realizarea evaluărilor de impact asupra protecției datelor (art. 35 GDPR) și în consultarea prealabilă a autorității (art. 36). Documentația de conformitate a Partnerd (registrul prelucrărilor, evaluarea de impact a platformei, documentația privind funcțiile de inteligență artificială) este pusă la dispoziția Clientului la cerere, sub confidențialitate.
10. Ștergerea și returnarea datelor
10.1 Pe durata contractului. Clientul poate exporta și șterge oricând datele din platformă. Ștergerile cerute de candidați se execută automat în cel mult 48 de ore. Datele ale căror perioadă de retenție a expirat se șterg automat, după informarea candidatului conform setărilor Clientului.
10.2 La încetare. După încetarea contractului, indiferent de motiv, Clientul are 30 de zile pentru a-și exporta datele, timp în care spațiul de lucru este în mod „doar citire”. După acest termen, Partnerd șterge definitiv toate datele Clientului, inclusiv din copiile de siguranță, în cel mult 30 de zile suplimentare, cu excepția a ceea ce legea obligă să fie păstrat. La cerere, Partnerd confirmă în scris ștergerea.
10.3 Jurnalul de decizii. Înregistrările din jurnalul funcțiilor de inteligență artificială sunt anonimizate la ștergerea datelor candidatului, astfel încât să nu mai poată fi legate de o persoană. Ele se păstrează în formă anonimizată pentru obligațiile Partnerd de trasabilitate prevăzute de Regulamentul (UE) 2024/1689.
11. Audituri
11.1 Documentație. Partnerd pune la dispoziția Clientului, la cerere, informațiile necesare pentru a demonstra respectarea acestui acord: descrierea măsurilor de securitate, lista subprocesatorilor, rapoarte sau certificări obținute.
11.2 Audit la fața locului sau la distanță. Dacă documentația nu este suficientă în mod rezonabil, Clientul poate efectua un audit, direct sau printr-un auditor independent obligat la confidențialitate, cel mult o dată pe an (sau după o breșă care l-a afectat), cu un preaviz de 30 de zile, în timpul orelor de lucru, fără a perturba activitatea Partnerd și fără acces la datele altor clienți. Costurile auditului sunt suportate de Client, cu excepția cazului în care auditul relevă o încălcare semnificativă a acordului de către Partnerd.
12. Transferuri internaționale
Datele sunt stocate în Uniunea Europeană. Unde un subprocesator prelucrează date în afara Uniunii sau a Spațiului Economic European, transferul este acoperit de o decizie de adecvare a Comisiei Europene (inclusiv EU-US Data Privacy Framework, pentru furnizorii certificați) sau de clauzele contractuale standard ale Comisiei, cu măsurile suplimentare necesare. Detaliile pentru fiecare subprocesator sunt în Anexa C. Clientul autorizează aceste transferuri și nu instruiește Partnerd să transfere date în alte țări.
13. Răspundere
Răspunderea fiecărei părți în temeiul acestui acord este supusă limitărilor din Termenii de utilizare, cu excepția răspunderii față de persoanele vizate și a amenzilor aplicate de autorități, care se distribuie între părți conform art. 82 și 83 GDPR, în funcție de răspunderea fiecăreia.
14. Dispoziții finale
14.1 Prevalență. În ce privește datele cu caracter personal, acest acord prevalează asupra Termenilor de utilizare. Un acord de prelucrare semnat separat de părți prevalează asupra acestuia.
14.2 Modificări. Partnerd poate actualiza acordul pentru a reflecta schimbări legislative sau ale platformei, cu preaviz de 30 de zile și re-acceptare de către administratorul spațiului de lucru, conform procedurii din Termenii de utilizare. Modificările nu reduc nivelul de protecție a datelor.
14.3 Contact. Pentru orice chestiune privind protecția datelor: privacy@partnerd.ro. Partnerd nu a desemnat un responsabil cu protecția datelor (DPO);.
14.4 Legea. Acordului i se aplică legea română și GDPR.
Anexa A — Detaliile prelucrării
| Element | Conținut |
|---|---|
| Obiectul | Furnizarea platformei de recrutare Partnerd Hire, inclusiv modulele activate de Client (inteligență artificială, WhatsApp, interviu video Introvid, integrări cu platforme de joburi) |
| Natura prelucrării | Colectare (prin formulare de aplicare, import, introducere manuală), stocare, structurare, organizare, consultare, analiză asistată de inteligență artificială, comunicare (email, WhatsApp), export, ștergere |
| Scopul | Gestionarea proceselor de recrutare ale Clientului: publicarea joburilor, primirea și evaluarea aplicațiilor, comunicarea cu candidații, programarea interviurilor, arhivarea candidaților pentru joburi viitoare (cu acordul lor), răspunsul la cererile candidaților |
| Persoanele vizate | Candidați și aplicanți la joburile Clientului; persoane din arhivele de candidați ale Clientului; persoane de contact ale Clientului menționate în comunicări |
| Categoriile de date | Date de identificare și contact (nume, email, telefon, adresă, profil LinkedIn); date din CV și din aplicație (experiență, educație, competențe, limbi, certificări, permise, atestate); răspunsurile din formularul de aplicare; documente încărcate (CV, portofoliu); mesajele schimbate cu Clientul (email, WhatsApp); programările și notițele de interviu; dacă interviul video este activat: înregistrarea video, transcrierea și evaluarea ei; rezultatele funcțiilor de inteligență artificială (structurare CV, scor orientativ, explicații) și decizia umană ulterioară; jurnalul acțiunilor asupra fișei candidatului |
| Date sensibile | Platforma nu solicită date din categorii speciale (art. 9 GDPR). Dacă un candidat le include în CV, platforma le detectează, le maschează la afișare și le exclude din evaluarea automată. Clientul se obligă să nu solicite astfel de date prin întrebările din formularul de aplicare |
| Durata | Pe durata procesului de recrutare, apoi pe perioada de retenție stabilită de Client (implicit 12 luni de la intrarea în platformă), cu informarea candidatului cu 30 de zile înainte de expirare și ștergere automată; cel târziu la ștergerea prevăzută în articolul 10 |
| Frecvența | Continuă, pe durata contractului |
Anexa B — Măsuri tehnice și organizatorice
| Domeniu | Măsuri |
|---|---|
| Localizarea datelor | Baza de date, fișierele și copiile de siguranță sunt găzduite în Uniunea Europeană (Irlanda) |
| Separarea clienților | Fiecare Client are un spațiu de lucru separat; izolarea este impusă la nivelul bazei de date, pe fiecare tabel, astfel încât un utilizator nu poate accesa datele altui spațiu de lucru, indiferent de calea de acces |
| Controlul accesului | Autentificare cu email și parolă sau prin link securizat; roluri și drepturi diferențiate (administrator, recrutor, manager de angajare, agenție) cu acces limitat la joburile și candidații atribuiți; revocare imediată a accesului de către administrator |
| Criptare | Date criptate în tranzit (TLS) și în repaus (la nivelul infrastructurii de stocare) |
| Trasabilitate | Jurnal al acțiunilor efectuate în platformă (cine, când, de unde, ce); jurnal separat al fiecărei utilizări a funcțiilor de inteligență artificială (intrare, ieșire, versiunea modelului, decizia umană ulterioară) |
| Minimizare și mascare | Funcțiile de evaluare nu primesc câmpuri irelevante sau riscante (vârstă, an de absolvire, adresă, limbă maternă, salariu); datele sensibile detectate în CV sunt mascate la afișare și excluse din evaluare |
| Retenție automată | Perioada de retenție per spațiu de lucru, cu notificarea candidatului înainte de expirare și ștergere automată; ștergerea la cerere executată automat în cel mult 48 de ore |
| Protecția formularelor publice | Verificare anti-bot și limitare a numărului de trimiteri pe formularele de aplicare și de creare a contului |
| Furnizori | Fiecare subprocesator este legat printr-un acord de prelucrare a datelor; furnizorul de modele de inteligență artificială nu antrenează modele pe datele transmise |
| Personal | Accesul angajaților Partnerd la datele clienților este limitat la suport și operare, pe bază de necesitate, sub obligație de confidențialitate |
| Continuitate | Copii de siguranță automate zilnice ale bazei de date, păstrate în Uniunea Europeană; infrastructură furnizată de operatori cu certificări recunoscute (ISO 27001, SOC 2) |
| Incidente | Procedură internă de răspuns la incidente, cu termene de investigare, notificarea clienților afectați în cel mult 24 de ore și notificarea autorității în 72 de ore când este cazul |
| Dezvoltare | Revizuirea codului înainte de publicare, teste de securitate periodice, actualizarea componentelor cu vulnerabilități cunoscute |
Anexa C — Subprocesatori
Lista curentă, cu scopul, categoriile de date, locația prelucrării și garanția pentru transfer pentru fiecare subprocesator, este publicată și actualizată la ats.partnerd.ro/legal/subprocesatori și face parte din acest acord. Schimbările se anunță conform articolului 6.