Споразумение за обработване на лични данни

по чл. 28 от Регламент (ЕС) 2016/679
Приложение към Общите условия на платформата „Bulgaria Wants You“

Страни

1. „ДИ ЕН ЕЙ МЕДИЯ“ АД, ЕИК 205882707, наричано по-долу за краткост „ОПЕРАТОР“, със седалище и адрес на управление: гр. София 1164, район „Лозенец“, ул. „Галичица“ № 22, ет. 3, представлявано от Андрей Василев Арнаудов— изпълнителен директор, оператор на платформата bulgariawantsyou.com („Платформата“).

2. Всяко юридическото лице, едноличният търговец или друго правно образувание, което е регистрирало корпоративен профил в Платформата и е приело настоящото Споразумение по реда на т. 3. Работодателят се идентифицира с наименованието, ЕИК/БУЛСТАТ (съответно чуждестранен регистрационен и/или ДДС номер), седалището и адреса на управление, представляващото лице и данните за контакт, въведени от него в корпоративния профил и включени в записа по т. 3.2. наричано по-долу за краткост „РАБОТОДАТЕЛ“

3. Операторът и Работодателят се наричат поотделно „Страна“ и заедно „Страните“.

Раздел I. Предмет, приемане и определения

1. Предмет

1.1. Настоящото Споразумение урежда обработването на лични данни във връзка с ползването на услугите на Платформата и определя правата и задълженията на Страните съгласно чл. 28 от Регламент (ЕС) 2016/679 („Регламента“).

1.2. Споразумението е неразделна част от Общите условия на Платформата за Работодатели и от всеки договор за абонамент или за отделна услуга между Страните (наричани заедно „Основния договор“).

1.3. Наименованията „Оператор“ и „Работодател“ обозначават страните по Споразумението, а не тяхното качество по смисъла на Регламента. Качеството, в което всяка Страна действа — на администратор или на обработващ лични данни — е определено поотделно за всяка група операции в Раздел II и не се променя от наименованията, използвани в останалата част от текста.

2. Определения

2.1. Термините по чл. 4 от Регламента имат значението, дадено им в Регламента. Термините „Талант“, „Обява“, „Кандидатура“, „Профил“, „Платформа“ и „Уебсайт“ имат значението, дадено им в Общите условия.

2.2. „Кандидат“ означава Талант, който е подал Кандидатура по Обява на Работодателя, както и лице, чиито данни са предоставени на Работодателя чрез Платформата в контекста на конкретна процедура по подбор.

3. Приемане и доказване

3.1. Споразумението се сключва по електронен път съгласно Закона за електронния документ и електронните удостоверителни услуги чрез маркиране на полето „Приемам Споразумението за обработване на лични данни“ при регистрация на корпоративен профил или при заявяване, съответно заплащане, на услуга. Маркирането представлява електронно изявление, с което Работодателят приема изцяло Споразумението и приложенията към него.

3.2. За всяко приемане Операторът създава и съхранява електронен запис, съдържащ: идентификатор на корпоративния профил и на потребителя, имена и електронен адрес на приемащото лице, дата и час (UTC), IP адрес, номер на версията и контролна сума (хеш) на приетия текст. Записът се съхранява за срока на Основния договор и 5 (пет) години след прекратяването му и се предоставя на Работодателя при писмено искане.

3.3. Приемащото лице декларира, че разполага с представителна власт да обвърже Работодателя. Актуалната версия е публикувана постоянно на адрес bulgariawantsyou.com/dpa; Операторът поддържа архив на предходните версии и предоставя приложимата версия при поискване.

Раздел II. Роли на страните

4. Операторът като самостоятелен администратор

4.1. Операторът действа като самостоятелен администратор на лични данни и не обработва по инструкция на Работодателя по отношение на:

• регистрацията, поддържането и закриването на профилите на Талантите и данните в тях;

• изграждането, управлението и заличаването на базата от профили на Таланти („база таланти“);

• режимите на видимост и правилата, при които данни на Таланти се показват на работодатели;

• алгоритмите за класиране, съпоставяне и препоръчване;

• известията, напомнянията и бюлетина към Талантите;

• агрегираните и анонимизирани статистики, включително функционалността „Talent Pool“;

• сигурността, журналите за достъп, модерирането и предотвратяването на злоупотреби;

• анализа на потребителското поведение на Уебсайта и управлението на съгласията за бисквитки;

• регистрацията и администрирането на корпоративните профили и подакаунтите, верификацията на Работодателя, фактурирането и счетоводната отчетност;

• организирането на събития и препращането на запитвания в секция „Имоти“.

4.2. За обработването по т. 4.1 Операторът определя самостоятелно целите и средствата, включително сроковете за съхранение и категориите получатели, и носи самостоятелна отговорност пред субектите на данни. Информацията по чл. 13 и чл. 14 от Регламента се предоставя чрез Политиката за поверителност на Платформата.

5. Работодателят като самостоятелен администратор

5.1. Работодателят действа като самостоятелен администратор на лични данни по отношение на:

• собствения си процес по подбор — преценката, оценяването, поканата за интервю, отказа и назначаването;

• всички лични данни, които е изтеглил, експортирал или възпроизвел извън Платформата;

• данните, до които е получил достъп чрез функционалностите за достъп до профили и за търсене на таланти — от момента на достъпа;

• комуникацията, която води с Кандидати извън Платформата;

• последващото управление на данните на наетите от него лица.

5.2. Работодателят предоставя на субектите на данни информацията по чл. 13 и чл. 14 от Регламента за собственото си обработване и осигурява упражняването на техните права спрямо себе си.

6. Операторът като обработващ лични данни

6.1. Операторът действа като обработващ лични данни от името на Работодателя единствено по отношение на операциите, изчерпателно описани в Приложение № 1. Всяка операция извън Приложение № 1 не представлява обработване по настоящото Споразумение.

6.2. Операторът не използва личните данни, обработвани по настоящото Споразумение, за собствени цели.

7. Разграничение; липса на съвместно администраторство

7.1. Страните не определят съвместно целите и средствата за обработването, свързано с талантската база. Работодателят не участва в нейното създаване, попълване или структуриране; профилите се създават и поддържат от самите Таланти, а решенията за видимост се вземат от Таланта в рамките на предоставените от Оператора функционалности.

7.2. Предоставянето на достъп до профили на Таланти представлява разкриване на данни от Оператора в качеството му на администратор към Работодателя като самостоятелен получател. От момента на достъпа Работодателят обработва тези данни на собствено основание и за собствени цели.

7.3. Ако компетентен надзорен орган или съд приеме, че по отношение на определено обработване Страните действат като съвместни администратори, те се задължават в разумен срок да сключат договореност по чл. 26, § 1 от Регламента и да предоставят съществените ѝ елементи на субектите на данни.

Раздел III. Инструкции на работодателя

8. Обхват на инструкциите

8.1. Операторът обработва лични данни само по документирани инструкции на Работодателя. Инструкциите се съдържат в: настоящото Споразумение и Приложение № 1; Общите условия и заявените и заплатени услуги; настройките, конфигурациите и действията на Работодателя в корпоративния профил — публикуване и редактиране на Обяви, определяне на статуси на Кандидатури, критерии за филтриране и сортиране, експортиране, заличаване и предоставяне на достъп на подакаунти; както и в последващи писмени инструкции.

8.2. Работодателят може да променя инструкциите с писмено уведомление. Когато изпълнението изисква технически изменения на Платформата или води до съществени допълнителни разходи, Операторът има право да откаже изпълнението или да го обвърже с допълнително възнаграждение, като уведоми в срок от 10 (десет) работни дни; при отказ Работодателят има право да прекрати Основния договор за засегнатите услуги без санкция.

8.3. Операторът уведомява незабавно Работодателя, ако счита, че дадена инструкция нарушава Регламента или друга приложима разпоредба, и има право да спре изпълнението ѝ до писменото ѝ потвърждение или изменение.

9. Специални категории данни и забранени практики

9.1. Платформата не изисква и не предвижда обработване на лични данни по чл. 9, § 1 от Регламента. Работодателят се задължава да не използва функционалностите за целенасочено събиране, търсене, филтриране или оценяване по такива данни, както и да не изисква от Кандидати чрез Платформата единен граждански номер, номер на документ за самоличност или банкови данни.

9.2. Когато Кандидат доброволно включи данни по чл. 9, § 1 в качените от него документи, инструкцията на Работодателя се ограничава до тяхното съхранение и визуализация в непроменен вид, без индексиране, извличане, профилиране или използване като критерий за подбор.

9.3. Работодателят не задава критерии, изисквания или указания, водещи до пряка или непряка дискриминация. Операторът не носи отговорност за практики при подбора, произтичащи от зададени от Работодателя критерии, и има право да откаже изпълнението на такива инструкции и да премахне съответното съдържание съгласно Общите условия.

10. Забрана за използване за собствени цели; срокове

10.1. Операторът не използва личните данни по настоящото Споразумение за разработване, обучение, тестване, оценяване или валидиране на модели или системи с изкуствен интелект, освен по изрична предварителна писмена инструкция на Работодателя.

10.2. Операторът има право да анонимизира необратимо данните и да използва получените анонимни и агрегирани данни. Анонимните данни не представляват лични данни и не попадат в обхвата на Споразумението.

10.3. Работодателят приема като своя инструкция сроковете по Общите условия: достъпът до Кандидатурите и до прикачените към тях документи се прекратява при изтичане на срока на съответната Обява, съответно при нейното сваляне или архивиране. Работодателят може по всяко време да зададе по-кратък срок или да заличи конкретни Кандидатури чрез функционалностите на профила си.

Раздел IV. Задължения на оператора

11. Поверителност и сигурност

11.1. Достъп до личните данни имат само лица, за които това е необходимо съгласно принципа „необходимост да се знае“ и които са поели писмено задължение за поверителност или са обвързани от съответно законово задължение, действащо и след прекратяване на правоотношението им с Оператора.

11.2. Операторът прилага техническите и организационните мерки по чл. 32 от Регламента, описани в Приложение № 2, и ги преглежда най-малко веднъж годишно, както и след всяко съществено изменение на Платформата. Изменение на Приложение № 2 не изисква съгласие на Работодателя, доколкото нивото на защита не се понижава.

12. Нарушения на сигурността на личните данни

12.1. Операторът уведомява Работодателя без неоправдано забавяне и не по-късно от 48 (четиридесет и осем) часа след узнаване за нарушение на сигурността, засягащо лични данни по настоящото Споразумение — по електронна поща на адреса, посочен в корпоративния профил, и чрез съобщение в Платформата.

12.2. Уведомлението съдържа, доколкото информацията е налична: естеството на нарушението, засегнатите категории и приблизителен брой субекти на данни и записи, вероятните последици, предприетите и предложените мерки и данни за контакт. При липса на пълна информация тя се предоставя на етапи без по-нататъшно неоправдано забавяне.

12.3. Операторът документира всяко нарушение и съдейства при изпълнението на задълженията по чл. 33 и чл. 34 от Регламента. Операторът не уведомява надзорния орган или субектите на данни от името на Работодателя, освен по изрична писмена инструкция или когато е задължен да го стори в собственото си качество на администратор.

13. Права на субектите на данни

13.1. Операторът съдейства на Работодателя чрез подходящи технически и организационни мерки, включително чрез функционалности за достъп, коригиране, експортиране и заличаване в корпоративния профил.

13.2. Искане, което се отнася до обработване по настоящото Споразумение, се препраща на Работодателя в срок до 3 (три) работни дни; Операторът не отговаря самостоятелно по същество без негово писмено указание.

13.3. Точка 13.2 не се прилага, когато искането се отнася до обработване по т. 4.1. В тези случаи Операторът отговаря самостоятелно в качеството си на администратор, като при необходимост уведомява Работодателя.

13.4. Съдействието се предоставя безвъзмездно в разумен обем. При системни, прекомерни или явно неоснователни искания Операторът има право на възнаграждение за действително направените разходи, след предварително уведомяване.

14. Съдействие, регистър и одити

14.1. Операторът съдейства на Работодателя за съответствие със задълженията по чл. 32—36 от Регламента съобразно естеството на обработването и наличната му информация и поддържа регистър по чл. 30, § 2 от Регламента, който предоставя при поискване на Работодателя или на надзорния орган.

14.2. Операторът предоставя информацията, необходима за доказване на изпълнението на задълженията по чл. 28 от Регламента, и осигурява възможност за одит, включително проверка на място, при следните условия: писмено предизвестие не по-малко от 15 (петнадесет) работни дни; не повече от един одит на всеки 12 (дванадесет) месеца, освен при настъпило нарушение на сигурността, засягащо Работодателя, или по разпореждане на надзорен орган; провеждане в редовното работно време без нарушаване на нормалната стопанска дейност; одиторът не е конкурент на Оператора и е поел задължение за поверителност; одитът не обхваща данни на други клиенти, търговски тайни и елементи от изходния код.

14.3. Разноските за одита са за сметка на Работодателя, освен при установено съществено неизпълнение от страна на Оператора.

14.4. По отношение на подизпълнителите, предоставящи облачни, хостинг и инфраструктурни услуги, задължението по т. 14.2 се изпълнява чрез предоставяне на актуални сертификати (напр. ISO/IEC 27001) или доклади от независими одитори (напр. SOC 1 / SOC 2).

15. Заличаване и връщане на данните

15.1. При прекратяване на Основния договор Операторът, по избор на Работодателя, заявен в срок до 30 (тридесет) дни от прекратяването, връща личните данни в структуриран, широко използван и машинночетим формат или ги заличава заедно със съществуващите копия. При липса на заявен избор данните се заличават.

15.2. Операторът има право да запази данни, доколкото и докато правото на Европейския съюз или правото на Република България изисква съхранението им, като ограничава обработването до целта на съхранението.

15.3. Заличаването от резервните копия се извършва по реда на цикъла на съхранение, но не по-късно от 90 (деветдесет) дни. По искане на Работодателя Операторът издава писмено потвърждение за извършеното заличаване.

Раздел V. Подизпълнители

16. Ангажиране, възражения и отговорност

16.1. С приемането на Споразумението Работодателят дава общо писмено разрешение по чл. 28, § 2 от Регламента за ангажирането на подизпълнителите, посочени в Приложение № 3.

16.2. Операторът уведомява Работодателя за всяка планирана промяна във включването или замяната на подизпълнител най-малко 15 (петнадесет) дни предварително — по електронна поща до адреса в корпоративния профил и чрез съобщение в Платформата. Работодателят има право да възрази писмено и мотивирано в срок от 10 (десет) работни дни; при липса на възражение промяната се счита за одобрена.

16.3. При мотивирано възражение Страните полагат добросъвестни усилия да намерят решение. Ако решение не бъде постигнато в срок от 20 (двадесет) работни дни, Работодателят има право да прекрати Основния договор в засегнатата част, като му се възстановява предплатената сума за неизползвания период. Възражението не поражда други права и претенции.

16.4. Операторът има право да ангажира нов подизпълнител незабавно, когато това е необходимо за отстраняване на непосредствен риск за сигурността или за непрекъснатостта на услугата, като уведомява Работодателя без забавяне.

16.5. Операторът сключва с всеки подизпълнител писмен договор със същите задължения за защита на данните и остава изцяло отговорен пред Работодателя за тяхното изпълнение съгласно чл. 28, § 4 от Регламента.

16.6. Операторът не допуска инструменти за анализ на потребителското поведение (записи на сесии, топлинни карти и аналогични) да събират данни от страниците, на които се визуализират Кандидатури, автобиографии, прикачени документи и съобщения.

Раздел VI. Международни предавания на данни

17. Предаване към трети държави

17.1. Личните данни по настоящото Споразумение се съхраняват и обработват на територията на Европейския съюз и Европейското икономическо пространство.

17.2. Операторът не предава лични данни към трета държава или международна организация, освен по документирана инструкция на Работодателя или когато е задължен по силата на правото на Европейския съюз или на държава членка; в последния случай информира Работодателя преди обработването, освен ако това е забранено на важни основания от обществен интерес.

17.3. При предаване Операторът осигурява подходящи гаранции по глава V от Регламента — решение относно адекватното ниво на защита, Стандартни договорни клаузи или друг механизъм по чл. 46, при необходимост с допълнителни технически и организационни мерки. При отпадане, спиране или обявяване на недействителност на решение относно адекватното ниво на защита Операторът без забавяне преминава към друг механизъм по чл. 46 или преустановява предаването.

Раздел VII. Задължения на работодателя

18. Задължения

18.1. Работодателят носи отговорност за наличието на валидно правно основание по чл. 6, съответно чл. 9 от Регламента, за данните, които обработва чрез Платформата.

18.2. Работодателят предоставя на Оператора актуална хипервръзка към собствената си политика за поверителност за кандидати за работа, която Операторът публикува в неговите Обяви. При непредоставяне Работодателят носи самостоятелна отговорност за неизпълнението на задълженията си по чл. 13 и чл. 14 от Регламента.

18.3. Работодателят предоставя верни, точни и актуални данни в корпоративния профил и в Обявите; предоставя достъп до профила и подакаунтите само на лица, за които това е необходимо, и незабавно го оттегля при отпадане на необходимостта; осигурява поверителността на данните за достъп и уведомява Оператора без неоправдано забавяне при съмнение за неправомерен достъп.

18.4. Работодателят носи самостоятелна отговорност като администратор за законосъобразното обработване, съхранение и заличаване на всички данни, изтеглени извън Платформата, и няма право да създава собствена база данни с Таланти чрез експортиране, копиране или повторно използване на информация, получена чрез Платформата, извън конкретната процедура по подбор.

18.5. Когато Работодателят обработва чрез Платформата данни от или за свои дъщерни дружества, той гарантира наличието на съответните правни основания и че е уредил отношенията по защита на данните с тях.

Раздел VIII. Автоматизирано обработване и изкуствен интелект

19. Настоящо състояние и бъдещи функционалности

19.1. Към датата на влизане в сила на Споразумението Платформата не използва системи с изкуствен интелект по смисъла на чл. 3, § 1 от Регламент (ЕС) 2024/1689. Класирането и съпоставянето се извършват чрез детерминистични алгоритми с предварително зададени правила и тежести. Обработването представлява профилиране по чл. 4, т. 4 от Регламента, но не и автоматизирано вземане на решения по чл. 22 от него; окончателната преценка за разглеждане на кандидатура, покана за интервю, отказ или назначаване се извършва изцяло от физическо лице на страната на Работодателя.

19.2. Преди активиране на функционалности, базирани на изкуствен интелект, Операторът актуализира Споразумението, Приложение № 1 и Политиката за поверителност, уведомява Работодателя при условията на чл. 3, § 2 от Регламент (ЕС) 2019/1150 и предоставя информация за предназначението, логиката, ограниченията и мерките за човешки надзор.

19.3. Системите с изкуствен интелект за филтриране на кандидатури, оценяване на кандидати и целенасочено публикуване на обяви за работа се квалифицират като високорискови съгласно Приложение III, т. 4 от Регламент (ЕС) 2024/1689. При въвеждането им Операторът действа като доставчик, а Работодателят — като внедрител, като се задължава да ги използва съобразно инструкциите за употреба, да възложи човешки надзор на компетентно лице, да осигури относими и достатъчно представителни входни данни, да информира предварително засегнатите работници и служители и техните представители и да информира засегнатите физически лица. Работодателят носи самостоятелна отговорност за критериите и указанията, които въвежда.

Раздел IX. Отговорност

20. Отговорност и обезщетяване

20.1. Всяка Страна носи отговорност за вреди, причинени от обработване, което не съответства на Регламента или на Споразумението, съгласно чл. 82 от Регламента. Операторът носи отговорност само когато не е изпълнил задълженията си по Регламента, изрично адресирани към обработващите лични данни, или когато е действал извън или в противоречие със законосъобразните инструкции на Работодателя.

20.2. Общата отговорност на Оператора към Работодателя за всички претенции по настоящото Споразумение се ограничава до общия размер на възнагражденията, действително платени по Основния договор за 12 (дванадесет) месеца преди събитието, причинило вредата. Ограничението не се прилага при умисъл или груба небрежност.

20.3. Ограничението по т. 20.2 действа само в отношенията между Страните и не засяга правата на субектите на данни по чл. 82 от Регламента, нито правомощията на надзорните органи. Ограниченията на отговорността по Общите условия се прилагат към всички останали претенции.

20.4. Работодателят обезщетява Оператора за вреди, имуществени санкции, разноски и претенции на трети лица, произтичащи от обработване по негови инструкции без осигурено правно основание, от неизпълнение на задълженията му по Раздел VII, от въведени от него дискриминационни или незаконосъобразни критерии за подбор или от предоставени неверни данни.

Раздел X. Срок, изменение и заключителни разпоредби

21. Заключителни разпоредби

21.1. Споразумението влиза в сила от момента на електронното изявление по т. 3.1 и действа за срока на Основния договор. След прекратяването остават в сила т. 11.1, т. 15, Раздел IX и т. 21.4.

21.2. При противоречие между Споразумението и Общите условия или друга част от Основния договор относно защитата на личните данни с предимство се прилага Споразумението.

21.3. Операторът има право да изменя Споразумението, като уведомява Работодателя на траен носител най-малко 15 (петнадесет) дни преди влизането в сила на изменението съгласно чл. 3, § 2 от Регламент (ЕС) 2019/1150; изменението не се прилага преди изтичане на срока. В този срок Работодателят има право да прекрати Основния договор без санкция, като му се възстановява предплатената сума за неизползвания период. Продължаването на ползването след изтичане на срока представлява приемане. Срокът не се прилага, когато изменението е необходимо за изпълнение на законово задължение или на разпореждане на компетентен орган.

21.4. Прилага се правото на Република България. Споровете се решават чрез преговори, а при непостигане на съгласие — от компетентния съд в гр. София.

21.5. Недействителността на отделна клауза не води до недействителност на Споразумението. Споразумението е съставено на български и на английски език; при противоречие с предимство се прилага текстът на български език.

21.6. Неразделна част от Споразумението са Приложение № 1 (Описание на обработването), Приложение № 2 (Технически и организационни мерки) и Приложение № 3 (Подизпълнители).

22. Данни за контакт по въпросите на защитата на данните

Споразумението се сключва по електронен път чрез приемане в Платформата и не изисква подпис.

Приложение № 1 — описание на обработването

Операторът извършва изброените по-долу операции от името и по инструкция на Работодателя, единствено в рамките на функционалностите на Платформата и на заявените и заплатени услуги.

1. Операции

1. Публикуване и поддържане на Обяви — приемане, модериране, публикуване, редактиране, спиране, подновяване и архивиране на Обявите на Работодателя, включително визуализиране на данните за контакт на посочените от него лица.

2. Получаване, съхранение и визуализация на Кандидатури — получаване на подадените по Обявите Кандидатури и прикачените към тях документи, съхранение в средата на Платформата, визуализация в корпоративния профил, проследяване на статуса на кандидатурите и поддържане на история на кандидатурите по Обявите на Работодателя.

3. Комуникация с Кандидати — пренасяне, съхранение и визуализация на съобщенията между Работодателя и Кандидати чрез вътрешната система за съобщения в контекста на конкретна Кандидатура или Обява. Операторът остава администратор по отношение на техническата експлоатация на системата, модерирането и предотвратяването на злоупотреби.

4. Експорт и заличаване — осигуряване на функционалности за изтегляне, експортиране и заличаване на Кандидатури и свързаните с тях документи.

5. Пренасочване към външна система (при заявяване) — автоматично препращане на Кандидатури към посочена от Работодателя система за управление на кандидатури, електронен адрес или крайна точка на приложно-програмен интерфейс.

6. Филтриране и сортиране по критерии на Работодателя (при заявяване) — прилагане на зададени от Работодателя критерии към постъпилите Кандидатури. Операцията има подпомагащ характер и не води до автоматизирано вземане на решение с правни или сходно значителни последици.

Извън обхвата: операциите по т. 4.1 от Споразумението, при които Операторът действа като самостоятелен администратор.

2. Цел

Осигуряване на възможност на Работодателя да публикува свободни работни позиции, да получава, разглежда и управлява кандидатури и да комуникира с кандидати за целите на собствената си процедура по подбор.

3. Срок

До по-ранното от: изтичане на срока на съответната Обява, съответно нейното сваляне или архивиране — за достъпа до Кандидатурите и прикачените документи; заличаване по инструкция на Работодателя; или прекратяване на Основния договор, след което се прилага т. 15 от Споразумението.

4. Категории субекти на данни

Кандидати — Таланти, подали Кандидатура по Обява на Работодателя; лица за контакт, посочени от Работодателя в Обявите.

5. Категории лични данни

За Кандидати: имена; данни за контакт (електронен адрес, телефон, местоположение); профилна снимка; образование, професионален опит, квалификации, умения и владеене на езици; съдържание на автобиографии, дипломи, сертификати и други прикачени документи; данни за кандидатурата (Обява, дата и час, статус, бележки и оценки, въведени от Работодателя); съдържание на разменените съобщения; при активирани функционалности — резултати от филтриране и сортиране.

За лица за контакт: имена, длъжност, служебен електронен адрес и телефон.

Специални категории: не се събират целенасочено; за доброволно включени от Кандидати данни се прилага т. 9 от Споразумението.

Изрично изключени: единен граждански номер, номер на документ за самоличност, банкови данни и данни за плащане на Кандидати.

Приложение № 2 — технически и организационни мерки

Операторът прилага и поддържа посочените по-долу мерки съгласно чл. 32 от Регламента, самостоятелно и чрез подизпълнителите си.

I. Криптиране и псевдонимизация

• криптиране на данните при пренос (TLS с актуална версия и конфигурация) и в покой, включително на резервните копия;

• съхранение на паролите чрез еднопосочна криптографска функция със сол;

• псевдонимизация на идентификатори и забрана за използване на реални лични данни в среди за разработка и тестване.

II. Контрол на достъпа

• индивидуални потребителски профили без споделени идентификатори;

• многофакторна автентикация за административен достъп до продукционната среда;

• права по принципа „най-малки привилегии“, предоставяни след изрично одобрение;

• периодичен преглед на правата най-малко веднъж на 6 месеца и незабавно оттегляне при отпадане на основанието;

• разделяне на средите за разработка, тестване и продукция.

III. Сигурност на инфраструктурата и приложението

• мрежови защитни стени и защита на приложно ниво; ограничаване на административния достъп;

• защитен отдалечен достъп с многофакторна автентикация;

• защита от зловреден софтуер и антиспам филтриране на корпоративната поща;

• управление на уязвимостите — периодично сканиране и своевременни актуализации за сигурност;

• тестове за проникване най-малко веднъж годишно и след съществени изменения;

• сигурен процес на разработка съобразно добрите практики, преглед на кода и контрол на промените.

IV. Наличност, журнали и наблюдение

• редовни резервни копия с периодично тестване на възстановяването и определени цели за време и точка на възстановяване;

• резервираност на инфраструктурата на ниво доставчик на облачни услуги;

• журнали за достъп до системата и до личните данни, защитени от неоторизирано изменение;

• наблюдение и регистриране на инциденти по сигурността.

V. Организационни мерки

• вътрешни правила за обработване и защита на личните данни, преглеждани най-малко веднъж годишно;

• документирана процедура за управление на инциденти и нарушения на сигурността, включително срокове за уведомяване;

• задължения за поверителност за персонала и контрагентите и регулярни обучения;

• процедура за подбор и периодична оценка на подизпълнителите;

• контрол на физическия достъп до офисите и носителите на информация; процедура за сигурно унищожаване.

VI. Защита на данните на етапа на проектирането

• събиране само на данни, необходими за съответната функционалност;

• настройки по подразбиране, ограничаващи видимостта на профилите на Талантите;

• изключване на страниците с кандидатури, автобиографии и съобщения от инструментите за анализ на потребителското поведение;

• автоматизирано прекратяване на достъпа до кандидатури при изтичане на приложимия срок.

Приложение № 3 — подизпълнители

А. Подизпълнители по настоящото Споразумение

Б. Доставчици, ползвани от Оператора като самостоятелен администратор

Посочените по-долу доставчици не обработват лични данни от името на Работодателя и не са подизпълнители по настоящото Споразумение. Списъкът се предоставя за информация; подробности се съдържат в Политиката за поверителност.