Tillegg om felles behandlingsansvar

Parter

Moi Consulting AS, et norsk aksjeselskap registrert i Brønnøysundregistrene, som driver Matchboks-plattformen (samlet «Matchboks» i dette tillegget), og hver arbeidsgiver som bruker Matchboks-plattformen («Bedriften»), samlet «de behandlingsansvarlige».

Når dette tillegget omtaler «Matchboks» som avtalepart, binder forpliktelsene Moi Consulting AS som juridisk enhet. Når «Matchboks» omtales som tjeneste eller plattform, menes produktet matchboks.no som drives av Moi Consulting AS.

Ikrafttredelse: Fra det tidspunktet Bedriften første gang oppretter en bedriftskonto på Matchboks. Dette tillegget inngår ved henvisning i Matchboks' brukervilkår som Bedriften har inngått.

1. Hvorfor dette tillegget finnes

GDPR artikkel 26 krever at når to eller flere behandlingsansvarlige i fellesskap fastsetter formålene med og midlene for behandlingen av personopplysninger, skal de på en åpen måte fordele ansvaret seg imellom gjennom en ordning. Dette tillegget er den ordningen for personopplysningene om kandidater som utveksles mellom Matchboks og Bedriften på Matchboks-plattformen.

For hver norsk eller EØS-basert kandidat hvis personopplysninger Bedriften behandler via Matchboks — enten ved å bla i profiler, låse opp en anonymisert profil, sende en melding, laste ned en CV eller avtale et intervju — er Matchboks og Bedriften felles behandlingsansvarlige etter GDPR artikkel 26.

2. Virkeområde

Dette tillegget gjelder for følgende behandlingsaktiviteter:

1. Søk etter og utvelgelse av kandidater via Matchboks' søke- og matchingflater.
2. Opplåsing av tidligere anonymiserte kandidatprofiler («opplåsing av blindmodus») på Bedriftens konto.
3. Direkte meldingsutveksling mellom Bedriften og kandidaten.
4. Avtale av intervjuer via Matchboks' kalenderintegrasjon.

Bedriften laster ikke ned kandidatens CV-fil gjennom plattformen: nedlasting av selve CV-filen er forbeholdt kandidaten som eier den. Bedriften ser kun de strukturerte profilopplysningene kandidaten selv har valgt å gjøre synlige (dekket av aktivitet 1–2).

Tillegget gjelder ikke kandidatens personopplysninger fra før plattformen (for eksempel eksterne CV-filer kandidaten laster opp), og heller ikke Bedriftens interne HR-opplysninger som kandidaten aldri ser.

3. Ansvarsfordeling

3.1 Behandlingsgrunnlag

For hver rad ovenfor er begge behandlingsansvarlige i fellesskap ansvarlige for lovligheten av sin egen behandling.

3.2 Åpenhet (art. 13/14)

• Matchboks vedlikeholder den kandidatrettede personvernerklæringen, oversikten over underleverandører og siden «hvem kontrollerer dataene dine», som navngir Bedriften fra det tidspunktet kandidaten først blir synlig for den.
• Bedriften må informere kandidaten om enhver behandling den utfører UTENFOR Matchboks-plattformen (for eksempel i interne rekrutteringssystemer eller ved referansesjekk). Matchboks oppfyller ikke, og kan ikke oppfylle, Bedriftens forpliktelser etter art. 13/14 utenfor plattformen.

3.3 Den registrertes rettigheter (art. 15–22)

Kandidaten kan utøve sine rettigheter overfor hvilken som helst av de behandlingsansvarlige. De behandlingsansvarlige er enige om følgende:

Dersom en kandidat utøver en rettighet overfor den behandlingsansvarlige som ikke er primærkontakt, skal den mottakende behandlingsansvarlige videresende forespørselen til den andre behandlingsansvarlige uten ugrunnet opphold (mål: innen 5 arbeidsdager).

3.4 Brudd på personopplysningssikkerheten (art. 33/34)

Hver behandlingsansvarlig varsler den andre behandlingsansvarlige om ethvert brudd som berører kandidatens personopplysninger, innen 24 timer etter at bruddet ble oppdaget. Denne 24-timersfristen mellom de behandlingsansvarlige er en kontraktsfestet innstramming fastsatt av Matchboks, ikke et utgangspunkt i GDPR — art. 33 nr. 2 krever at databehandleren varsler den behandlingsansvarlige «uten ugrunnet opphold», men angir ingen fast timefrist. De behandlingsansvarlige ble enige om 24 timer fordi det gir den andre parten reell tid til å rekke fristen på 72 timer for varsling til Datatilsynet etter art. 33 nr. 1, som ER pålagt i GDPR. Den behandlingsansvarlige som oppdaget bruddet, er ansvarlig for å sende varselet til Datatilsynet innen disse 72 timene, med mindre de behandlingsansvarlige skriftlig avtaler noe annet.

3.5 Sikkerhet (art. 32)

• Matchboks opprettholder de tekniske tiltakene som er listet i sin vurdering av personvernkonsekvenser (DPIA): konvoluttkryptering av CV-filer og kalendertokener, transportsikkerhet med HSTS og CSP, radnivåsikkerhet (Row-Level Security) på samtlige tabeller og signerte lagrings-URL-er for den private lagringsplassen for profilbilder.
• Bedriften er ansvarlig for sikkerheten til kandidatopplysninger som er eksportert fra plattformen (for eksempel nedlastede CV-er eller meldingsarkiv). Bedriften er også ansvarlig for forsvarlig håndtering av påloggingsopplysningene til Matchboks-kontoene som benyttes av rekrutteringsmedarbeiderne.

3.6 Lagringstid

Matchboks håndhever lagringstidene i vedlegg A til sin vurdering av personvernkonsekvenser (DPIA) på datasettet som ligger på plattformen, gjennom en automatisert slettejobb. Bedriften må anvende minst de samme lagringstidene på opplysninger som er eksportert fra plattformen, og kortere frister der Bedriftens egne retningslinjer for lagring krever det.

3.7 Underleverandører

• Matchboks fører en offentlig oversikt over sine underleverandører og varsler på forhånd om vesentlige endringer med melding i appen eller e-post.
• Bedriften må informere Matchboks dersom den engasjerer en underleverandør til å håndtere kandidatopplysninger som Bedriften har eksportert fra plattformen (for eksempel et eksternt rekrutteringssystem).

4. Ordningens hovedinnhold (art. 26 nr. 2)

«Hovedinnholdet» kandidaten ser, sammenfattet i klarspråk på Hvem kontrollerer dataene dine, er:

To organisasjoner kontrollerer dataene dine på Matchboks: Matchboks selv, som driver plattformen du bruker, og hver arbeidsgiver som kan se profilen din. Du kan be hvem som helst av oss om å vise, rette eller slette dataene dine — den som mottar forespørselen, håndterer den selv eller sender den videre til den andre innen fem arbeidsdager.

5. Kontakt

• Personvernansvarlig hos Matchboks: privacy@matchboks.no
• Bedriftens personvernkontakt: vedlikeholdes av Bedriften på dens Matchboks-bedriftsprofil (feltet «Privacy contact email»).

6. Lovvalg

Dette tillegget er underlagt norsk rett og GDPR slik forordningen er gjennomført i personopplysningsloven. Tvister er underlagt eksklusivt verneting ved Oslo tingrett.