Vinnslusamningur

1. Aðilar og hlutverk

1.1 Ábyrgðaraðili er viðskiptavinurinn, þ.e. það fyrirtæki eða sá atvinnurekandi sem gerir samning um notkun Salarium og skráir upplýsingar um starfsmenn sína í kerfið.

1.2 Vinnsluaðili er MMV ehf., kt. 601102-2420, Lágmúla 5, 108 Reykjavík, sem á og rekur Salarium.

1.3 Ábyrgðaraðili ákveður tilgang og aðferðir vinnslunnar. Vinnsluaðili vinnur persónuupplýsingarnar eingöngu fyrir hönd ábyrgðaraðila og samkvæmt skjalfestum fyrirmælum hans.

1.4 Hugtök í samningnum hafa sömu merkingu og í lögum nr. 90/2018 og GDPR.

2. Viðfangsefni og tilgangur vinnslunnar

2.1 Vinnslan felst í því að hýsa, geyma, reikna út og miðla launaupplýsingum svo ábyrgðaraðili geti greitt laun og staðið skil á sköttum, iðgjöldum og öðrum launatengdum gjöldum.

2.2 Tegundir upplýsinga, flokkar skráðra einstaklinga og eðli vinnslunnar eru nánar tilgreind í viðauka 1.

2.3 Vinnsluaðila er óheimilt að vinna upplýsingarnar í öðrum tilgangi, þar á meðal í eigin þágu, til markaðssetningar eða til að selja eða afhenda þær þriðja aðila. Heimilt er þó að nota ópersónugreinanleg, samantekin gögn til að bæta þjónustuna.

3. Skyldur ábyrgðaraðila

Ábyrgðaraðili ber ábyrgð á því að:

• vinnslan byggi á lögmætri heimild, sbr. 6. og 9. gr. GDPR, t.d. lagaskyldu eða ráðningarsamningi;
• upplýsingarnar sem hann skráir séu réttar, viðeigandi og ekki umfram það sem nauðsynlegt er;
• starfsmenn hans fái fræðslu um vinnsluna, sbr. 13. gr. GDPR;
• fyrirmæli hans til vinnsluaðila séu lögmæt;
• notendur á hans vegum hafi aðeins þann aðgang sem þeir þurfa.

Notkun ábyrgðaraðila á virkni kerfisins og stillingar hans í kerfinu teljast skjalfest fyrirmæli til vinnsluaðila.

4. Skyldur vinnsluaðila

4.1 Vinnsluaðili skal eingöngu vinna persónuupplýsingar samkvæmt skjalfestum fyrirmælum ábyrgðaraðila, nema lög krefjist annars. Telji vinnsluaðili fyrirmæli brjóta gegn lögum skal hann tilkynna ábyrgðaraðila það án tafar.

4.2 Vinnsluaðili tryggir að starfsmenn og aðrir sem hafa aðgang að upplýsingunum séu bundnir trúnaði og þagnarskyldu, sem helst eftir að starfi lýkur.

4.3 Vinnsluaðili veitir aðeins þeim starfsmönnum aðgang sem þurfa hann vegna reksturs, þjónustu eða bilanagreiningar.

4.4 Vinnsluaðili aðstoðar ábyrgðaraðila, eftir því sem eðlilegt er, við að uppfylla skyldur sínar samkvæmt 32.–36. gr. GDPR, þ.m.t. við mat á áhrifum á persónuvernd.

4.5 Vinnsluaðili heldur skrá yfir vinnslustarfsemi sína fyrir hönd ábyrgðaraðila, sbr. 2. mgr. 30. gr. GDPR.

5. Öryggisráðstafanir

Vinnsluaðili gerir viðeigandi tæknilegar og skipulagslegar ráðstafanir samkvæmt 32. gr. GDPR. Þær eru að lágmarki:

• dulkóðun gagna í flutningi (TLS) og í geymslu;
• auðkenning notenda með rafrænum skilríkjum eða tveggja þátta auðkenningu;
• hlutverkabundin aðgangsstýring og skráning á aðgangi og breytingum (aðgerðaskrá);
• regluleg afritun og prófuð endurheimt gagna;
• aðskilnaður gagna milli viðskiptavina;
• regluleg uppfærsla hugbúnaðar og öryggisprófanir;
• skjalfest verklag við öryggisbresti.

Vinnsluaðili getur breytt ráðstöfunum, enda dragi breytingin ekki úr heildaröryggi.

6. Undirvinnsluaðilar

6.1 Ábyrgðaraðili veitir almenna heimild til að nota þá undirvinnsluaðila sem taldir eru upp í viðauka 2.

6.2 Vinnsluaðili tilkynnir ábyrgðaraðila um fyrirhugaða nýja eða breytta undirvinnsluaðila með minnst 30 daga fyrirvara. Ábyrgðaraðili getur andmælt á málefnalegum forsendum innan þess frests. Náist ekki lausn getur ábyrgðaraðili sagt samningnum upp áður en breytingin tekur gildi.

6.3 Vinnsluaðili gerir skriflegan samning við hvern undirvinnsluaðila sem leggur á hann sömu persónuverndarskyldur og samningur þessi.

6.4 Vinnsluaðili ber ábyrgð gagnvart ábyrgðaraðila á því að undirvinnsluaðilar standi við skyldur sínar.

7. Öryggisbrestir

7.1 Verði vinnsluaðili var við öryggisbrest skal hann tilkynna ábyrgðaraðila það án ótilhlýðilegrar tafar og eigi síðar en innan 24 klukkustunda. Ábyrgðaraðili hefur sjálfur 72 klukkustundir til að tilkynna Persónuvernd, sbr. 33. gr. GDPR.

7.2 Tilkynningin skal eftir föngum tilgreina eðli brestsins, flokka og fjölda einstaklinga og færslna, líklegar afleiðingar og þær ráðstafanir sem gripið hefur verið til.

7.3 Vinnsluaðili grípur strax til ráðstafana til að takmarka tjón og aðstoðar ábyrgðaraðila við tilkynningar til Persónuverndar og hinna skráðu.

7.4 Vinnsluaðili tilkynnir ekki Persónuvernd eða hinum skráðu um bresti fyrir hönd ábyrgðaraðila nema samkvæmt fyrirmælum hans eða lagaskyldu.

8. Réttindi skráðra einstaklinga

8.1 Beiðnir starfsmanna um aðgang, leiðréttingu, eyðingu, takmörkun eða flutning gagna skulu afgreiddar af ábyrgðaraðila.

8.2 Berist vinnsluaðila slík beiðni beint vísar hann henni til ábyrgðaraðila án tafar og svarar henni ekki sjálfur nema samkvæmt fyrirmælum.

8.3 Vinnsluaðili gerir ábyrgðaraðila kleift að afgreiða beiðnir, t.d. með því að sækja, leiðrétta eða flytja út gögn í kerfinu. Aðstoð umfram það sem kerfið býður má vinnsluaðili rukka samkvæmt verðskrá.

9. Flutningur utan EES

Undirvinnsluaðilar vinnsluaðila kunna að vinna persónuupplýsingar utan Evrópska efnahagssvæðisins, þar á meðal í Bandaríkjunum. Slíkur flutningur fer aðeins fram á grundvelli gildrar flutningsheimildar samkvæmt V. kafla GDPR, t.d. ákvörðunar framkvæmdastjórnar ESB um fullnægjandi vernd (þ.m.t. EU-US Data Privacy Framework) eða staðlaðra samningsákvæða.

10. Úttektir og upplýsingagjöf

10.1 Vinnsluaðili lætur ábyrgðaraðila í té þær upplýsingar sem þarf til að sýna fram á að samningnum sé fylgt, t.d. lýsingu á öryggisráðstöfunum og niðurstöður öryggisprófana.

10.2 Ábyrgðaraðili, eða óháður úttektaraðili sem bundinn er trúnaði, getur gert úttekt með minnst 30 daga fyrirvara, að jafnaði ekki oftar en einu sinni á ári nema vegna öryggisbrests eða kröfu Persónuverndar.

10.3 Ábyrgðaraðili ber kostnað af úttekt, þ.m.t. hæfilegan kostnað vinnsluaðila vegna hennar, nema úttektin leiði í ljós verulegt brot vinnsluaðila.

11. Ábyrgð

11.1 Hvor aðili ber ábyrgð á tjóni sem hann veldur með broti á samningi þessum eða persónuverndarlögum, sbr. 82. gr. GDPR.

11.2 Vinnsluaðili ber einungis ábyrgð á tjóni sem stafar af því að hann hefur ekki uppfyllt skyldur sem lagðar eru sérstaklega á vinnsluaðila, eða hefur farið út fyrir eða gegn lögmætum fyrirmælum ábyrgðaraðila.

11.3 Takmarkanir á ábyrgð í kafla 8 í notkunarskilmálum Salarium gilda einnig um samning þennan, að því marki sem lög leyfa.

11.4 Ábyrgðaraðili heldur vinnsluaðila skaðlausum af kröfum, sektum og kostnaði sem rekja má til ólögmætrar vinnslu sem byggir á fyrirmælum ábyrgðaraðila eða gögnum sem hann hafði ekki heimild til að vinna með.

12. Gildistími, lok samnings og eyðing gagna

12.1 Samningurinn gildir á meðan vinnsluaðili vinnur persónuupplýsingar fyrir ábyrgðaraðila og fellur sjálfkrafa úr gildi þegar notkunarsamningi lýkur og gögnum hefur verið eytt.

12.2 Eftir lok notkunarsamnings getur ábyrgðaraðili sótt gögn sín á algengu, véllæsilegu sniði í 90 daga.

12.3 Að þeim fresti liðnum eyðir vinnsluaðili öllum persónuupplýsingum ábyrgðaraðila, þ.m.t. afritum, innan 30 daga frá lokum frestsins, nema lög skyldi hann til lengri varðveislu. Vinnsluaðili staðfestir eyðingu skriflega sé þess óskað.

13. Lög og varnarþing

13.1 Um samninginn gilda íslensk lög. Ágreiningur skal rekinn fyrir Héraðsdómi Reykjavíkur.

13.2 Stangist ákvæði samnings þessa á við notkunarskilmála Salarium gengur samningur þessi framar að því er varðar vinnslu persónuupplýsinga.

Viðauki 1: Lýsing á vinnslunni

Viðauki 2: Undirvinnsluaðilar

Vinnsluaðili notar eftirfarandi undirvinnsluaðila, sbr. kafla 6. Um flutning upplýsinga utan EES fer samkvæmt kafla 9.

Base44 notar eftirfarandi undirvinnsluaðila við rekstur vettvangsins:

Breytingar á listanum eru tilkynntar samkvæmt grein 6.2. Fyrirspurnir sendist á personuvernd@salarium.is.

Spurningar um samninginn má senda á personuvernd@salarium.is. Sjá einnig persónuverndarstefnu Salarium.