1.Ορισμοί
Στην παρούσα Συμφωνία Επεξεργασίας Δεδομένων («DPA»): «Υπεύθυνος Επεξεργασίας» σημαίνει η οντότητα που καθορίζει τους σκοπούς και τα μέσα της Επεξεργασίας Προσωπικών Δεδομένων (συνήθως ο Πελάτης)· «Εκτελών την Επεξεργασία» σημαίνει η οντότητα που επεξεργάζεται Προσωπικά Δεδομένα για λογαριασμό του Υπεύθυνου Επεξεργασίας (BambooHR)· «Υποκείμενο των Δεδομένων» σημαίνει το ταυτοποιημένο ή ταυτοποιήσιμο φυσικό πρόσωπο στο οποίο αφορούν τα Προσωπικά Δεδομένα· «Προσωπικά Δεδομένα» σημαίνει κάθε πληροφορία που αφορά ταυτοποιημένο ή ταυτοποιήσιμο φυσικό πρόσωπο· «Επεξεργασία» σημαίνει κάθε πράξη που εκτελείται σε Προσωπικά Δεδομένα· «Συμβάν Ασφάλειας» σημαίνει οποιαδήποτε επιβεβαιωμένη μη εξουσιοδοτημένη απόκτηση, πρόσβαση, χρήση ή γνωστοποίηση Προσωπικών Δεδομένων.
«GDPR» σημαίνει ο Κανονισμός (ΕΕ) 2016/679 (Γενικός Κανονισμός για την Προστασία Δεδομένων) και, όπου εφαρμόζεται, η εκδοχή του GDPR του Ηνωμένου Βασιλείου όπως διατηρήθηκε στο δίκαιο του Ηνωμένου Βασιλείου («UK GDPR»). «Τυποποιημένες Συμβατικές Ρήτρες» ή «SCCs» σημαίνει τις τυποποιημένες συμβατικές ρήτρες που εγκρίθηκαν από την Ευρωπαϊκή Επιτροπή για τη διαβίβαση Προσωπικών Δεδομένων σε εκτελούντες την επεξεργασία εγκατεστημένους σε τρίτες χώρες.
2.Πεδίο και Φύση της Επεξεργασίας
Η παρούσα DPA εφαρμόζεται στην επεξεργασία Προσωπικών Δεδομένων από την BambooHR ως Εκτελούντα την Επεξεργασία για λογαριασμό του Πελάτη ως Υπεύθυνου Επεξεργασίας σε σχέση με την παροχή των Υπηρεσιών από την BambooHR's. Η BambooHR θα επεξεργάζεται Προσωπικά Δεδομένα μόνο στο μέτρο που είναι αναγκαίο για την παροχή των Υπηρεσιών και σύμφωνα με τις τεκμηριωμένες οδηγίες του Πελάτη, συμπεριλαμβανομένων εκείνων που ορίζονται στους Όρους Υπηρεσίας Πελάτη και σε οποιοδήποτε ισχύον Έντυπο Παραγγελίας.
Η BambooHR δεν θα επεξεργάζεται τα Προσωπικά Δεδομένα του Πελάτη για οποιονδήποτε άλλο σκοπό, συμπεριλαμβανομένων των δικών της εμπορικών σκοπών της BambooHR's, χωρίς την προηγούμενη έγγραφη συγκατάθεση του Πελάτη, εκτός εάν απαιτείται από την εφαρμοστέα νομοθεσία, οπότε η BambooHR θα ενημερώσει τον Πελάτη για τη νομική αυτή απαίτηση πριν από την επεξεργασία, εκτός εάν απαγορεύεται από τον νόμο.
3.Υποχρεώσεις Εκτελούντος την Επεξεργασία
Η BambooHR θα: (a) επεξεργάζεται Προσωπικά Δεδομένα μόνο βάσει τεκμηριωμένων οδηγιών του Πελάτη· (b) διασφαλίζει ότι τα πρόσωπα που είναι εξουσιοδοτημένα να επεξεργάζονται τα Προσωπικά Δεδομένα έχουν δεσμευθεί σε εμπιστευτικότητα· (c) εφαρμόζει κατάλληλα τεχνικά και οργανωτικά μέτρα για να εξασφαλίσει επίπεδο ασφάλειας ανάλογο του κινδύνου· (d) συνδράμει τον Πελάτη κατά την απάντηση σε αιτήματα δικαιωμάτων Υποκειμένου των Δεδομένων· (e) συνδράμει τον Πελάτη ώστε να διασφαλίζεται η συμμόρφωση με υποχρεώσεις σχετικές με ασφάλεια, γνωστοποίηση παραβίασης, εκτιμήσεις αντικτύπου προστασίας δεδομένων και προηγούμενη διαβούλευση· (f) διαγράφει ή επιστρέφει όλα τα Προσωπικά Δεδομένα μετά τον τερματισμό· και (g) καθιστά διαθέσιμες πληροφορίες αναγκαίες για να αποδειχθεί η συμμόρφωση και να επιτραπεί η διενέργεια ελέγχων.
Όπου η BambooHR επεξεργάζεται Προσωπικά Δεδομένα ΕΕ ή ΗΒ που μεταφέρονται στην BambooHR στις Ηνωμένες Πολιτείες, οι Τυποποιημένες Συμβατικές Ρήτρες της ΕΕ (Ενότητα 2: Υπεύθυνος επεξεργασίας προς Εκτελούντα την επεξεργασία), όπως ενδέχεται να επικαιροποιούνται κατά καιρούς, ενσωματώνονται στην παρούσα DPA με παραπομπή και θα εφαρμόζονται στις εν λόγω μεταφορές. Ο Πελάτης και η BambooHR θεωρείται ότι έχουν συνάψει τις SCCs κατά την Ημερομηνία Έναρξης Ισχύος της παρούσας DPA.
4.Υποχρεώσεις Υπεύθυνου Επεξεργασίας
Ο Πελάτης δηλώνει και εγγυάται ότι έχει όλα τα αναγκαία δικαιώματα και την εξουσιοδότηση να παρέχει Προσωπικά Δεδομένα στην BambooHR και να ζητά από την BambooHR να επεξεργάζεται τα εν λόγω δεδομένα. Ο Πελάτης θα διασφαλίσει ότι όλες οι απαιτούμενες γνωστοποιήσεις έχουν παρασχεθεί και όλες οι απαιτούμενες συναινέσεις έχουν ληφθεί από τα Υποκείμενα των Δεδομένων σύμφωνα με την εφαρμοστέα νομοθεσία προστασίας δεδομένων.
Ο Πελάτης είναι υπεύθυνος για τον καθορισμό των σκοπών και των μέσων επεξεργασίας των Προσωπικών Δεδομένων και για τη διασφάλιση ότι η εν λόγω επεξεργασία είναι σύννομη. Ο Πελάτης θα εφαρμόσει κατάλληλα τεχνικά και οργανωτικά μέτρα για να διασφαλίσει και να αποδείξει ότι η επεξεργασία πραγματοποιείται σύμφωνα με την εφαρμοστέα νομοθεσία και την παρούσα DPA.
5.Υπο-επεξεργαστές
Ο Πελάτης εξουσιοδοτεί την BambooHR να χρησιμοποιεί τους υποεκτελούντες την επεξεργασία που παρατίθενται στο bamboohr.com/legal/sub-processors (η «Λίστα Υποεκτελούντων την Επεξεργασία») για την επεξεργασία Προσωπικών Δεδομένων. Η BambooHR θα παρέχει τουλάχιστον τριάντα (30) ημέρες προηγούμενη ειδοποίηση για οποιεσδήποτε προτεινόμενες αλλαγές στη Λίστα Υποεκτελούντων την Επεξεργασία, ενημερώνοντας τη λίστα και ειδοποιώντας τον Πελάτη μέσω email. Ο Πελάτης μπορεί να αντιταχθεί σε οποιαδήποτε προτεινόμενη προσθήκη ή αντικατάσταση υποεκτελούντος την επεξεργασία εντός της εν λόγω περιόδου, αποστέλλοντας γραπτή ειδοποίηση μέσω της σελίδας επικοινωνίας μας.
BambooHR θα επιβάλει σε κάθε υπεργολάβο υποχρεώσεις προστασίας δεδομένων ισοδύναμες με εκείνες της παρούσας DPA και θα παραμείνει υπεύθυνη έναντι του Πελάτη για οποιαδήποτε αδυναμία υπεργολάβου να εκπληρώσει τις υποχρεώσεις του ως προς την προστασία δεδομένων. Η BambooHR θα διασφαλίσει ότι οι υπεργολάβοι υπόκεινται σε κατάλληλους μηχανισμούς διαβίβασης για οποιεσδήποτε διεθνείς μεταφορές.
6.Δικαιώματα Υποκειμένου Δεδομένων
Στο μέτρο που επιτρέπεται νομίμως, η BambooHR θα ειδοποιεί αμελλητί τον Πελάτη εάν η BambooHR λάβει αίτημα από Υποκείμενο των Δεδομένων να ασκήσει τα δικαιώματά του βάσει της εφαρμοστέας νομοθεσίας περί προστασίας δεδομένων, συμπεριλαμβανομένων δικαιωμάτων πρόσβασης, διόρθωσης, διαγραφής, περιορισμού, φορητότητας ή εναντίωσης. Η BambooHR δεν θα απαντά σε οποιοδήποτε τέτοιο αίτημα χωρίς την προηγούμενη εξουσιοδότηση του Πελάτη, εκτός από το να επιβεβαιώνει στο Υποκείμενο των Δεδομένων ότι η BambooHR έχει διαβιβάσει το αίτημα.
BambooHR θα παρέχει εμπορικά εύλογη συνδρομή στον Πελάτη κατά την εκπλήρωση των υποχρεώσεών του να ανταποκρίνεται σε αιτήματα δικαιωμάτων Υποκειμένων Δεδομένων, λαμβάνοντας υπόψη τη φύση της επεξεργασίας και τις διαθέσιμες πληροφορίες στην BambooHR. Ενδέχεται να ισχύσουν πρόσθετες χρεώσεις για εκτεταμένη συνδρομή πέραν του ευλόγως απαιτούμενου.
7.Μέτρα Ασφάλειας
Η BambooHR θα εφαρμόζει και θα διατηρεί κατάλληλα τεχνικά και οργανωτικά μέτρα για την προστασία των Προσωπικών Δεδομένων από τυχαία ή παράνομη καταστροφή, απώλεια, αλλοίωση, μη εξουσιοδοτημένη γνωστοποίηση ή πρόσβαση. Τα εν λόγω μέτρα θα περιγράφονται στο Παράρτημα Ασφάλειας της BambooHR's, διαθέσιμο στο bamboohr.com/legal/security-exhibit, το οποίο μπορεί να ενημερώνεται κατά καιρούς.
Λαμβάνοντας υπόψη την κατάσταση της τεχνολογίας, το κόστος εφαρμογής και τη φύση, το εύρος, το πλαίσιο και τους σκοπούς της επεξεργασίας, καθώς και τον κίνδυνο μεταβλητής πιθανότητας και σοβαρότητας για τα δικαιώματα και τις ελευθερίες των φυσικών προσώπων, τα μέτρα ασφάλειας της BambooHR's θα περιλαμβάνουν κρυπτογράφηση των Προσωπικών Δεδομένων κατά τη μεταφορά και στην rest, έλεγχο ταυτότητας πολλαπλών παραγόντων, τακτικές δοκιμές ασφάλειας και ελέγχους πρόσβασης.
8.Γνωστοποίηση Παραβίασης Δεδομένων
Η BambooHR θα ειδοποιεί τον Πελάτη χωρίς αδικαιολόγητη καθυστέρηση και, σε κάθε περίπτωση, εντός εβδομήντα δύο (72) ωρών αφότου λάβει γνώση Συμβάντος Ασφάλειας που επηρεάζει τα Προσωπικά Δεδομένα του Πελάτη. Η εν λόγω ειδοποίηση θα περιλαμβάνει: περιγραφή της φύσης του Συμβάντος Ασφάλειας· τις κατηγορίες και τον κατά προσέγγιση αριθμό των Υποκειμένων των Δεδομένων και των σχετικών αρχείων Προσωπικών Δεδομένων· τις πιθανές συνέπειες του Συμβάντος Ασφάλειας· και τα μέτρα που έλαβε ή προτείνει η BambooHR για την αντιμετώπιση του Συμβάντος Ασφάλειας.
Η ειδοποίηση από την BambooHR's για Συμβάν Ασφάλειας δεν θα ερμηνεύεται ως αναγνώριση υπαιτιότητας ή ευθύνης. Ο Πελάτης είναι αποκλειστικά υπεύθυνος για τον καθορισμό του αν και πώς θα ειδοποιηθούν τα Υποκείμενα των Δεδομένων και οι εποπτικές αρχές, όπως απαιτεί η εφαρμοστέα νομοθεσία.
9.Επιστροφή και Διαγραφή Δεδομένων
Μετά τη λήξη ή τον τερματισμό της Συμφωνίας, η BambooHR θα, κατόπιν γραπτού αιτήματος του Πελάτη, επιστρέψει όλα τα Προσωπικά Δεδομένα στον Πελάτη σε μορφή αναγνώσιμη από μηχανή ή/και θα διαγράψει όλα τα Προσωπικά Δεδομένα. Η BambooHR θα ολοκληρώσει την εν λόγω επιστροφή ή διαγραφή εντός τριάντα (30) ημερών από το γραπτό αίτημα του Πελάτη.
Εκτός εάν η εφαρμοστέα νομοθεσία απαιτεί συνεχιζόμενη αποθήκευση, η BambooHR θα διαγράψει όλα τα εναπομένοντα αντίγραφα των Προσωπικών Δεδομένων μετά την ολοκλήρωση της διαδικασίας επιστροφής ή διαγραφής. Κατόπιν γραπτού αιτήματος του Πελάτη, η BambooHR θα πιστοποιεί εγγράφως ότι όλα τα Προσωπικά Δεδομένα έχουν επιστραφεί ή διαγραφεί.
10.Δικαιώματα Ελέγχου
BambooHR θα διαθέτει στον Πελάτη όλες τις πληροφορίες που είναι εύλογα αναγκαίες για να αποδειχθεί η συμμόρφωση με την παρούσα DPA και θα επιτρέπει και θα συμβάλλει σε ελέγχους, συμπεριλαμβανομένων επιθεωρήσεων, που διενεργούνται από τον Πελάτη ή από ελεγκτή διορισμένο από τον Πελάτη. Ο Πελάτης θα παρέχει εύλογη προειδοποίηση εκ των προτέρων (τουλάχιστον τριάντα (30) ημέρες) πριν από τη διενέργεια οποιουδήποτε ελέγχου και θα διασφαλίζει ότι οποιοσδήποτε διορισμένος ελεγκτής υπόκειται σε κατάλληλες υποχρεώσεις εμπιστευτικότητας.
Η BambooHR μπορεί να εκπληρώσει τις υποχρεώσεις ελέγχου της παρέχοντας στον Πελάτη τις πλέον πρόσφατες εκθέσεις ελέγχου τρίτων (όπως SOC 2 Type II) και τις σχετικές πιστοποιήσεις. Οποιοσδήποτε επιτόπιος έλεγχος θα διενεργείται με δαπάνη του Πελάτη, κατά τις συνήθεις εργάσιμες ώρες και χωρίς να διαταράσσονται οι επιχειρησιακές λειτουργίες της BambooHR's.
