მონაცემთა დამუშავების შეთანხმება

1. მხარეები და როლები

1. ეს შეთანხმება არის მომსახურების პირობებისა და კლიენტთან დადებული ხელშეკრულების განუყოფელი ნაწილი. იგი შედგენილია „პერსონალურ მონაცემთა დაცვის შესახებ“ საქართველოს კანონის 36-ე მუხლის შესაბამისად.
2. კლიენტი არის დამმუშავებელი: ის განსაზღვრავს, რა მიზნით და რა საშუალებებით მუშავდება მონაცემები პლატფორმაზე.
3. sourcelab ([კომპანიის სრული სახელწოდება და სამართლებრივი ფორმა]) არის უფლებამოსილი პირი: მონაცემებს ამუშავებს მხოლოდ კლიენტის სახელით და მისი მითითებით.
4. შეთანხმება ვრცელდება როგორც ხელშეკრულებაზე, ისე უფასო საცდელ პერიოდზე.
5. თუ ეს შეთანხმება და ხელშეკრულება ერთმანეთს ეწინააღმდეგება პერსონალური მონაცემების საკითხში, უპირატესია ეს შეთანხმება.

2. დამუშავების საგანი, მიზანი და ვადა

• საგანი: პლატფორმის მიწოდება — ჰოსტინგი (ღრუბლოვან ვარიანტში), დანერგვა, მონაცემების გადმოტანა, ტექნიკური მხარდაჭერა, განახლებები და სარეზერვო ასლები.
• მიზანი: მხოლოდ ხელშეკრულებით განსაზღვრული მომსახურების მიწოდება. sourcelab-ი მონაცემებს საკუთარი მიზნით არ ამუშავებს.
• ხასიათი: შენახვა, ორგანიზება, ასახვა, ძიება, გადაცემა კლიენტის მომხმარებლებს შორის, ექსპორტი და წაშლა.
• ვადა: ხელშეკრულების მოქმედების ვადა და მე-11 მუხლით განსაზღვრული დასრულების პერიოდი.

3. მონაცემთა სუბიექტები და მონაცემთა კატეგორიები

მონაცემთა სუბიექტები: კლიენტის თანამშრომლები და კონტრაქტორები; კლიენტის კლიენტები, მომწოდებლები და სხვა კონტრაგენტები; ელფოსტისა და ჩატის კორესპონდენტები; ვიდეოზარების მონაწილეები.

მონაცემთა კატეგორიები (კლიენტის მიერ ჩართული მოდულების მიხედვით):

• საიდენტიფიკაციო და საკონტაქტო მონაცემები: სახელი, გვარი, თანამდებობა, დეპარტამენტი, ელფოსტა, ტელეფონი, ფოტო;
• დასწრების მონაცემები: მოსვლისა და წასვლის დრო, აღნიშვნის წყარო (ოფისის ქსელის IP მისამართი, QR კოდი ან ადგილმდებარეობის კოორდინატები აღნიშვნის მომენტში), სამუშაო საათები, შვებულებები და გაცდენები;
• სამუშაო მონაცემები: ამოცანები, პროექტები, კომენტარები, ფაილები, კალენდარი;
• კომუნიკაცია: ჩატის შეტყობინებები, ელფოსტის წერილები, ვიდეოზარების მეტამონაცემები და — თუ კლიენტი ჩართავს — ჩანაწერები;
• CRM, საწყობისა და დისტრიბუციის მონაცემები, მათ შორის RS.ge-ის ზედნადებები და ინვოისები;
• ტექნიკური მონაცემები: შესვლის დრო, IP მისამართი, მოწყობილობა, აქტივობის ჟურნალი.

პლატფორმა არ არის განკუთვნილი განსაკუთრებული კატეგორიის მონაცემებისთვის და არ ამუშავებს ბიომეტრიულ მონაცემებს. თუ კლიენტი მაინც ატვირთავს ასეთ მონაცემებს (მაგალითად, შრომისუუნარობის ცნობას, რომელიც ჯანმრთელობის მონაცემად ითვლება), ის პასუხისმგებელია სამართლებრივ საფუძველზე და დამატებით გარანტიებზე.

4. კლიენტის მითითებები

1. sourcelab-ი მონაცემებს ამუშავებს მხოლოდ კლიენტის დოკუმენტირებული მითითებით. ასეთად ითვლება ხელშეკრულება, ეს შეთანხმება, კლიენტის მიერ პლატფორმაზე არჩეული პარამეტრები და ადმინისტრატორის წერილობითი მოთხოვნები.
2. თუ sourcelab-ი ჩათვლის, რომ მითითება კანონს ეწინააღმდეგება, დაუყოვნებლივ აცნობებს კლიენტს და შეუძლია შეაჩეროს მისი შესრულება დაზუსტებამდე.
3. თუ კანონი sourcelab-ს მონაცემების გამჟღავნებას ავალდებულებს, ის ამის შესახებ წინასწარ აცნობებს კლიენტს, თუ კანონი ასეთ შეტყობინებას არ კრძალავს.

5. კონფიდენციალურობა და უსაფრთხოება

1. მონაცემებზე წვდომა აქვთ მხოლოდ sourcelab-ის იმ თანამშრომლებს, ვისაც ის მომსახურებისთვის სჭირდებათ და ვინც კონფიდენციალურობის ვალდებულებით არის შეზღუდული.
2. sourcelab-ი იყენებს დანართ 1-ში აღწერილ ტექნიკურ და ორგანიზაციულ ზომებს და მათ რეგულარულად აახლებს რისკების შესაბამისად.
3. მხარდაჭერისთვის კლიენტის მონაცემების ნახვა ხდება მხოლოდ საჭიროების შემთხვევაში, მინიმალური მოცულობით, და აღირიცხება ჟურნალში.

6. ქვე-უფლებამოსილი პირები

1. კლიენტი თანხმობას აცხადებს დანართ 2-ში მითითებული ქვე-უფლებამოსილი პირების გამოყენებაზე.
2. ახალი ქვე-უფლებამოსილი პირის დამატებამდე ან შეცვლამდე sourcelab-ი კლიენტს აცნობებს არანაკლებ 30 დღით ადრე. თუ კლიენტს აქვს დასაბუთებული პრეტენზია, მას შეუძლია შეწყვიტოს ხელშეკრულება ცვლილების ძალაში შესვლამდე, ჯარიმის გარეშე.
3. sourcelab-ი ქვე-უფლებამოსილ პირს წერილობით აკისრებს იმავე ვალდებულებებს, რაც ამ შეთანხმებით თავად აკისრია, და პასუხს აგებს მის ქმედებებზე.

7. დახმარება სუბიექტის უფლებების განხორციელებაში

1. თუ მონაცემთა სუბიექტი უშუალოდ sourcelab-ს მიმართავს, sourcelab-ი მოთხოვნას კლიენტს გადაუგზავნის დაუყოვნებლივ, არაუგვიანეს 2 სამუშაო დღისა, და თავად არ უპასუხებს კლიენტის მითითების გარეშე.
2. პლატფორმა ადმინისტრატორს აძლევს საშუალებას, მოძებნოს, გაასწოროს, გამოითხოვოს და წაშალოს მომხმარებლის მონაცემები. თუ ამისთვის დამატებითი დახმარებაა საჭირო, sourcelab-ი გონივრულ ვადაში უზრუნველყოფს მას, რათა კლიენტმა დაიცვას კანონით დადგენილი 10 სამუშაო დღის ვადა.

8. ინციდენტები

1. sourcelab-ი კლიენტს აცნობებს პერსონალური მონაცემების ინციდენტის შესახებ დაუყოვნებლივ, არაუგვიანეს 24 საათისა მისი აღმოჩენიდან.
2. შეტყობინებაში, შეძლებისდაგვარად, მითითებულია: რა მოხდა, მონაცემთა რა კატეგორიები და დაახლოებით რამდენი სუბიექტი დაზარალდა, შესაძლო შედეგები და მიღებული ზომები.
3. sourcelab-ი ეხმარება კლიენტს, რომ მან ზედამხედველ ორგანოს ინციდენტის შესახებ აცნობოს კანონით დადგენილ ვადაში — ინციდენტის აღმოჩენიდან 72 საათის განმავლობაში — და, საჭიროებისას, აცნობოს მონაცემთა სუბიექტებსაც.

9. მონაცემების ადგილმდებარეობა და საზღვარგარეთ გადაცემა

1. ღრუბლოვან ვარიანტში მონაცემები ინახება დანართ 2-ში მითითებულ სერვერებზე, ევროკავშირში. საკუთარი სერვერის ვარიანტში მონაცემები რჩება კლიენტის ინფრასტრუქტურაზე.
2. sourcelab-ი მონაცემებს სხვა ქვეყანაში გადასცემს მხოლოდ კლიენტის თანხმობით და „პერსონალურ მონაცემთა დაცვის შესახებ“ საქართველოს კანონის 37-ე მუხლის მოთხოვნების დაცვით.

10. ინფორმაცია და აუდიტი

sourcelab-ი კლიენტს მიაწვდის ინფორმაციას, რომელიც საჭიროა ამ შეთანხმების შესრულების შესამოწმებლად. კლიენტს შეუძლია წელიწადში ერთხელ ჩაატაროს აუდიტი, თავისი ხარჯით, წინასწარი შეტყობინებით არანაკლებ 30 დღით ადრე, სამუშაო საათებში და კონფიდენციალურობის დაცვით. ზედამხედველი ორგანოს მოთხოვნისას აუდიტი ტარდება კანონით დადგენილი წესით.

11. მონაცემების დაბრუნება და წაშლა

1. ხელშეკრულების შეწყვეტიდან 30 დღის განმავლობაში კლიენტს შეუძლია მოითხოვოს ყველა მონაცემის ექსპორტი.
2. ამის შემდეგ sourcelab-ი შლის მონაცემებს ძირითადი სისტემიდან, ხოლო სარეზერვო ასლებიდან — არაუგვიანეს 60 დღისა, თუ კანონი შენახვას არ ავალდებულებს.
3. მოთხოვნისას sourcelab-ი წერილობით ადასტურებს წაშლას.

12. კლიენტის ვალდებულებები თანამშრომლების მონაცემებზე

კლიენტი, როგორც დამსაქმებელი და დამმუშავებელი, ვალდებულია:

• ჰქონდეს დამუშავების კანონიერი საფუძველი თითოეული ჩართული ფუნქციისთვის. შრომით ურთიერთობაში თანხმობა ხშირად არ ითვლება ნებაყოფლობით, ამიტომ, როგორც წესი, გამოიყენება შრომითი ხელშეკრულების შესრულება, კანონით დაკისრებული ვალდებულება ან დამსაქმებლის ლეგიტიმური ინტერესი;
• თანამშრომლებს წინასწარ, წერილობით აცნობოს დასწრებისა და აქტივობის აღრიცხვის მიზნები, მოცულობა, შენახვის ვადა და მათი უფლებები. ნიმუში მოცემულია დანართ 3-ში;
• ფუნქციები გამოიყენოს მიზნის პროპორციულად: ადგილმდებარეობა აღრიცხოს მხოლოდ საველე თანამშრომლებისთვის, მხოლოდ საჭიროებისას და მხოლოდ სამუშაო დროს;
• არ განახორციელოს ფარული მონიტორინგი და არ აკონტროლოს გამოსაცვლელი ოთახები, სანიტარიული კვანძები და სხვა ადგილები, სადაც პირს პირადი სივრცის გონივრული მოლოდინი აქვს. სამუშაო სივრცის ვიდეომონიტორინგზე ვრცელდება კანონის მე-10 მუხლის დამატებითი მოთხოვნები;
• განსაზღვროს მონაცემების შენახვის ვადები და პლატფორმაზე მოაწყოს უფლებები ისე, რომ მონაცემები მხოლოდ საჭირო პირებმა ნახონ;
• საჭიროების შემთხვევაში (მაგალითად, სისტემური ან ფართომასშტაბიანი მონიტორინგისას) ჩაატაროს მონაცემთა დაცვაზე ზეგავლენის შეფასება. sourcelab-ი ამისთვის საჭირო ინფორმაციას მიაწვდის.

დანართი 1 — ტექნიკური და ორგანიზაციული ზომები

• დაშიფვრა: ყველა კავშირი დაშიფრულია TLS-ით; სარეზერვო ასლები ინახება დაშიფრული სახით.
• წვდომის კონტროლი: როლებზე დაფუძნებული უფლებები, მინიმალური საჭირო წვდომის პრინციპი, ორფაქტორიანი ავთენტიფიკაცია ადმინისტრატორებისთვის.
• ჟურნალი: შესვლები, უფლებების ცვლილება და მნიშვნელოვანი ქმედებები აღირიცხება და ინახება ცვლილებისგან დაცულად.
• კლიენტების გამიჯვნა: თითოეული კლიენტის მონაცემები ლოგიკურად გამიჯნულია სხვა კლიენტების მონაცემებისგან.
• სარეზერვო ასლები და აღდგენა: ყოველდღიური სარეზერვო ასლები და აღდგენის პერიოდული შემოწმება.
• განახლებები: ოპერაციული სისტემისა და კომპონენტების უსაფრთხოების განახლებები რეგულარულად ხორციელდება.
• ქსელის დაცვა: ფაიერვოლი, მხოლოდ საჭირო პორტები, დაცვა პაროლის მრავალჯერადი შერჩევისგან.
• ფიზიკური დაცვა: სერვერები განთავსებულია სერტიფიცირებულ მონაცემთა ცენტრებში, დაცული ფიზიკური წვდომით.
• პერსონალი: კონფიდენციალურობის ვალდებულება და მონაცემთა დაცვის ცნობიერება.

დანართი 2 — ქვე-უფლებამოსილი პირები

საკუთარი სერვერის ვარიანტში ჰოსტინგის პროვაიდერს კლიენტი ირჩევს და ის კლიენტის უფლებამოსილი პირია. ელფოსტის გარე სერვისები (Gmail, Google Workspace, Microsoft 365 და სხვა), რომლებსაც კლიენტი პლატფორმას საკუთარი ანგარიშით აკავშირებს, კლიენტის პროვაიდერები არიან და არ ითვლებიან sourcelab-ის ქვე-უფლებამოსილ პირებად.

დანართი 3 — თანამშრომლის ინფორმირების ნიმუში

ნიმუში დამსაქმებლისთვის. შეავსეთ კვადრატულ ფრჩხილებში მოცემული ველები, მოარგეთ თქვენს პრაქტიკას და გადაეცით თანამშრომლებს ხელმოსაწერად სისტემის ჩართვამდე.