CONTRATTO SUL TRATTAMENTO DEI DATI

Website: https://yokeconnect.com | Email: admin@yokeconnect.com

1. Parti e costituzione

Il presente Accordo sul trattamento dei dati ("DPA") fa parte dei Termini di abbonamento del datore di lavoro tra YokeConnect Ltd, numero di società 17334598, sede legale The Pagoda, 30 Avenue Road, Bournemouth, BH2 5SL, Regno Unito ("YokeConnect"), e il datore di lavoro identificato nell'Account o nell'ordine ("Datore di lavoro").

Si applica dalla data in cui il Datore di lavoro accetta i Termini di abbonamento del datore di lavoro o utilizza in altro modo una funzionalità in cui YokeConnect elabora i dati personali secondo le istruzioni documentate del Datore di lavoro.

2. Definizioni

Per legge applicabile sulla protezione dei dati si intende UK GDPR, Data Protection Act 2018, Data (Use and Access) Act 2025, EU GDPR ove applicabile, e altre leggi obbligatorie sulla protezione dei dati applicabili al Trattamento.

Titolare del trattamento, Responsabile del trattamento, Interessato, Dati personali, Violazione dei dati personali, Autorità di trattamento e di vigilanza hanno i significati indicati nella Legge applicabile sulla protezione dei dati.

Dati personali del datore di lavoro indica i dati personali trattati da YokeConnect in qualità di responsabile del trattamento per conto del datore di lavoro ai sensi del presente DPA. Subresponsabile del trattamento indica una terza parte incaricata da YokeConnect di elaborare i dati personali del datore di lavoro per conto di YokeConnect.

3. Assegnazione dei ruoli e ambito

3.1 Trattamento effettuato da titolari indipendenti

YokeConnect è un controller indipendente per la registrazione dell'account, i profili e la visibilità dei candidati, la sicurezza della piattaforma, gli abbonamenti, l'infrastruttura di messaggistica generale, la prevenzione delle frodi, la moderazione, la verifica aziendale, la conformità legale, l'amministrazione dei servizi e altri scopi che determina e spiega nell'Informativa sulla privacy.

Il Datore di Lavoro è un titolare indipendente del trattamento delle decisioni di assunzione e dei Dati Personali dei Candidati a cui accede, esporta, registra o utilizza nei propri sistemi o processi. Le parti non sono contitolari del trattamento semplicemente perché trattano alcuni dei medesimi dati per finalità diverse.

3.2 Elaborazione del responsabile

YokeConnect agisce in qualità di Responsabile del trattamento solo nella misura in cui gestisce i dati personali del datore di lavoro esclusivamente per fornire una funzione dell'area di lavoro diretta dal datore di lavoro, come l'hosting di note di reclutamento fornite dal datore di lavoro, l'instradamento delle comunicazioni del datore di lavoro, l'archiviazione di informazioni sull'applicazione o sulla pipeline configurate dal datore di lavoro o l'esecuzione di altre istruzioni documentate che non servono a uno scopo YokeConnect indipendente.

Se le circostanze fattuali rendono YokeConnect un titolare del trattamento di un'attività di trattamento, l'Informativa sulla privacy e la legge applicabile sulla protezione dei dati si applicano a tale attività e questo DPA non la riclassifica.

4. Istruzioni per la lavorazione

Il Datore di lavoro incarica YokeConnect di trattare i Dati personali del Datore di lavoro solo per fornire, proteggere, mantenere e supportare i Servizi descritti nei Termini di abbonamento del datore di lavoro e nell'Allegato 1 e di rispettare le istruzioni documentate inviate tramite le funzionalità autorizzate della Piattaforma o per iscritto.

YokeConnect non tratterà i Dati personali del Datore di lavoro per scopi diversi se non richiesto dalla legge, nel qual caso informerà il Datore di lavoro prima del trattamento, a meno che non sia legalmente vietato. Se YokeConnect ritiene ragionevolmente che un'istruzione violi la legge applicabile sulla protezione dei dati, può sospendere il Trattamento interessato e avvisare il Datore di lavoro.

5. YokeConnect obblighi

YokeConnect:

6. Obblighi dell'Impiegatore

L'Impiegatore garantisce e si impegna a garantire che:

7. Sottoprocessori

L'Impiegatore concede un'autorizzazione scritta generale per i Sottoprocessori elencati in Allegato 3. YokeConnect imporrà obblighi di protezione dei dati appropriati alle prestazioni e rimarrà responsabile per la prestazione di ciascun Sottoprocessore delle sue obbligazioni di elaboratore ai sensi della legge, nella misura in cui richiesto.

YokeConnect potrà aggiungere o sostituire un Sottoprocessore aggiornando la sua lista pubblicata o informando l'Impiegatore almeno 14 giorni prima che il cambiamento abbia effetto, laddove ciò sia praticabile. L'Impiegatore potrà obiettare entro tale periodo su motivi documentati ragionevoli. Le parti cercheranno di risolvere l'obiezione. Se un'obiezione sostanziale non può essere risolta e il Sottoprocessore è necessario, ognuna delle parti potrà risolvere i Servizi interessati; il rimborso è determinato ai sensi dei Termini di abbonamento dell'Impiegatore.

8. Sicurezza

YokeConnect manterrà misure appropriate al rischio, comprese quelle applicabili: crittografia in transito; crittografia gestita dal provider per i dati in riposo; cookie di sessione HttpOnly e Secure; controlli di ruolo, organizzazione e autorizzazione; verifiche di indirizzo email e porte di lancio; controlli CSRF, CORS e host; limitazione di rate; sfide di sicurezza; archiviazione di oggetti privati; accesso temporaneo ai file; registrazioni di logging e audit; accesso limitato degli amministratori; controlli di salute; capacità di backup e ripristino del provider; e procedure di incidente.

L'Impiegatore riconosce che i messaggi non sono crittografati in modo end-to-end e che nessimo sistema online può essere garantito completamente sicuro. L'Impiegatore è responsabile della sicurezza degli endpoint, dell'accesso degli Utenti autorizzati, dei dati esportati e dei propri sistemi.

9. Violazioni dei dati personali

YokeConnect notificherà l'Impiegatore senza indugio eccessivo dopo essere venuto a conoscenza di una Violazione dei dati personali che riguarda i dati personali dell'Impiegatore e fornirà le informazioni disponibili ragionevolmente richieste per la valutazione legale dell'Impiegatore, compresa la natura dell'incidente, i dati e le persone interessati, le probabili conseguenze e le misure adottate o proposte.

L'Impiegatore rimane responsabile della determinazione e della notifica richiesta come Titolare dei dati. YokeConnect fornirà una cooperazione ragionevole. Una notifica di violazione non costituisce ammissione di responsabilità.

10. Diritti dei soggetti coinvolti e assistenza per la conformità

Tenendo conto della natura del trattamento, YokeConnect fornirà assistenza tecnica e organizzativa ragionevole per aiutare l'Impiegatore a rispondere alle richieste legittime di accesso, correzione, cancellazione, limitazione, obiezione e portabilità relativi ai dati personali dell'Impiegatore.

Non esiste un flusso di esportazione o cancellazione automatizzata completo al momento del lancio. L'assistenza potrebbe quindi coinvolgere ricerche manuali verificate, esportazioni, restrizioni o cancellazioni utilizzando i record e gli strumenti ragionevolmente disponibili. YokeConnect potrebbe addebitare onorari ragionevoli documentati per assistenza eccezionale al di là degli obblighi di servizio ordinari, dove permesso dalla legge e concordato in anticipo.

11. Restituzione e cancellazione

Al termine dei Servizi interessati o di una istruzione scritta legittima, YokeConnect restituirà i Dati Personali dell'Impiegato in un formato strutturato disponibile o li cancellerà dai sistemi attivi entro 90 giorni, a scelta dell'Impiegato e nella misura in cui tecnicamente e legalmente applicabile.

YokeConnect potrebbe conservare i dati richiesti dalla legge, per la sicurezza, l'audit, la prevenzione della frode o le richieste legali, e potrebbe conservare copie protette fino a quando non scadono i cicli di backup o di ripristino a punto di tempo. I dati conservati rimangono soggetti a questa DPA e non vengono utilizzati per un altro scopo. I dati per cui YokeConnect è un Controller indipendente sono gestiti in base alla Politica sulla Privacy piuttosto che a questa sezione.

12. Trasferimenti internazionali

YokeConnect potrebbe elaborare o consentire l'accesso ai Dati Personali dell'Impiegato al di fuori del Regno Unito o dell'Area Economica Europea solo dove applica un meccanismo di trasferimento legittimo. A seconda del trasferimento, ciò potrebbe includere regolamenti o decisioni di adeguamento, l'Accordo internazionale di trasferimento dei dati del Regno Unito o l'Addendum del Regno Unito, le Clausole contrattuali standard dell'UE e ulteriori misure di sicurezza.

L'Impiegato autorizza i trasferimenti derivanti dai Subprocessor e dalle località elencate in Allegato 3. Cloudflare R2 utilizza la localizzazione automatica al lancio e non garantisce la conservazione esclusiva nel Regno Unito o nell'UE.

13. Controllo e informazioni

Su richiesta scritta ragionevole, YokeConnect fornirà le informazioni necessarie per dimostrare la conformità a questo DPA, che potrebbe includere politiche, sommari di architettura, assicurazioni di provider, risultati di test o sommari di audit, a condizione di riservatezza e sicurezza.

Se le informazioni sopra indicate sono insufficienti e la Legge sulla protezione dei dati applicabile richiede un audit, l'Impiegatore potrà condurre uno senza superare la frequenza di una volta all'anno, con almeno 30 giorni di preavviso, durante gli orari di lavoro normali e senza accesso a dati dei clienti o informazioni di sicurezza sensibili. L'Impiegatore sostenerebbe i costi a meno che l'audit non identifichi una non conformità materiale da parte di YokeConnect. Gli auditor devono essere independenti e vincolati da segretezza.

14. Responsabilità e ordine di precedenza

La responsabilità in base a questo DPA è soggetta ai Termini di abbonamento dell'Impiegatore, salvo in quanto la Legge sulla protezione dei dati applicabile non consenta una limitazione. Se questo DPA confligge con i Termini di abbonamento dell'Impiegatore in materia di obblighi del trattamento, questo DPA prevale per tale questione. La Politica sulla privacy regola il trattamento autonomo da parte di YokeConnect.

15. Termine e contatto

Questo DPA continua mentre YokeConnect elabora i dati personali dell'Impiegatore come trattatore. Le disposizioni destinate a sopravvivere, compresa la riservatezza, la cancellazione, l'audit, la responsabilità e i salvaguardi di trasferimento, continuano dopo la cessazione.

Le notifiche sulla protezione dei dati devono essere inviate a admin@yokeconnect.com o a YokeConnect Ltd, The Pagoda, 30 Avenue Road, Bournemouth, BH2 5SL, Regno Unito.

Allegato 1 - Dettagli del trattamento

Allegato 2 – Misure tecniche ed organizzative

Governance e accesso

Account nominativi, privilegi minimi, autorizzazioni di ruolo e organizzazione, obblighi di riservatezza, accesso alle operazioni protette, revisione degli accessi e procedure di offboarding.

Autenticazione e sessioni

ASP.NET Core identità e convalida JWT, cookie di sessione HttpOnly e sicuro rilasciato dal server, criteri di posta elettronica verificata, scadenza della sessione, protezioni CSRF e controlli host/CORS.

Sicurezza della rete e delle applicazioni

HTTPS/TLS, Cloudflare DNS e controlli di sicurezza, tornello sui flussi rilevanti, limitazione della velocità, convalida dell'input, registrazione, endpoint di integrità e disponibilità.

Sicurezza dello stoccaggio

PostgreSQL gestito da Neon, archiviazione privata di oggetti Cloudflare R2, crittografia dei dati inattivi gestita dal provider, metadati del database e accesso ai file limitato nel tempo.

Resilienza e ripresa

Funzionalità di backup del provider e ripristino point-in-time, rami di database attivi e di sviluppo separati, controlli di distribuzione e procedure di ripristino. Le finestre esatte di ripristino del provider vengono riviste a livello operativo.

Monitoraggio e gestione degli incidenti

Registri di applicazioni e fornitori, eventi di audit per flussi di lavoro sensibili, processi di supporto ed escalation, valutazione degli incidenti e notifica agli enti regolatori o agli utenti, ove richiesto.

Minimizzazione e conservazione dei dati

Raccolta specifica per funzionalità, regole vietate per i documenti di identità, condivisione controllata dai candidati, programma di conservazione, processo manuale di richiesta dei diritti e controlli del ciclo di backup.

Gestione dei fornitori

Due diligence del fornitore, DPA e termini di trasferimento ove applicabili, registri del Subresponsabile e notifiche di modifica.

Allegato 3 - Subresponsabili autorizzati e altri servizi

A. Subresponsabili autorizzati

B. Altri servizi indipendenti o pubblici