1.Definiciones
En este Acuerdo de Encargo del Tratamiento ("DPA"): "Responsable del tratamiento" significa la entidad que determina los fines y medios del tratamiento de Datos Personales (normalmente el Cliente); "Encargado del tratamiento" significa la entidad que trata Datos Personales en nombre del Responsable del tratamiento (BambooHR); "Interesado" significa la persona física identificada o identificable a la que se refieren los Datos Personales; "Datos Personales" significa cualquier información relativa a una persona física identificada o identificable; "Tratamiento" significa cualquier operación realizada sobre Datos Personales; "Incidente de Seguridad" significa cualquier adquisición, acceso, uso o divulgación no autorizados y confirmados de Datos Personales.
"RGPD" significa el Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos) y, cuando proceda, la versión del Reino Unido del RGPD incorporada al Derecho del Reino Unido ("UK GDPR"). "Cláusulas Contractuales Tipo" o "SCC" significa las cláusulas contractuales tipo adoptadas por la Comisión Europea para la transferencia de Datos Personales a encargados establecidos en terceros países.
2.Alcance y naturaleza del tratamiento
El presente DPA se aplica al tratamiento de Datos Personales por parte de BambooHR como Encargado del tratamiento en nombre del Cliente como Responsable del tratamiento en relación con la prestación de los Servicios por parte de BambooHR. BambooHR tratará los Datos Personales únicamente en la medida necesaria para prestar los Servicios y de conformidad con las instrucciones documentadas del Cliente, incluidas las establecidas en las Condiciones del Servicio para Clientes y en cualquier Pedido aplicable.
BambooHR no tratará los Datos Personales del Cliente para ningún otro fin, incluidos los propios fines comerciales de BambooHR, sin el consentimiento previo por escrito del Cliente, salvo que lo exija la legislación aplicable, en cuyo caso BambooHR informará al Cliente de ese requisito legal antes del tratamiento, salvo prohibición legal.
3.Obligaciones del Encargado del tratamiento
BambooHR deberá: (a) tratar los Datos Personales únicamente siguiendo instrucciones documentadas del Cliente; (b) garantizar que las personas autorizadas para tratar los Datos Personales se hayan comprometido a la confidencialidad; (c) aplicar medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo; (d) ayudar al Cliente a responder a las solicitudes de ejercicio de derechos de los Interesados; (e) ayudar al Cliente a garantizar el cumplimiento de las obligaciones relativas a la seguridad, la notificación de brechas, las evaluaciones de impacto en la protección de datos y la consulta previa; (f) eliminar o devolver todos los Datos Personales al finalizar; y (g) poner a disposición la información necesaria para demostrar el cumplimiento y permitir auditorías.
Cuando BambooHR trate Datos Personales de la UE o del Reino Unido transferidos a BambooHR en los Estados Unidos, las Cláusulas Contractuales Tipo de la UE (Módulo 2: Responsable a Encargado), según puedan actualizarse de vez en cuando, se incorporan al presente DPA por referencia y serán aplicables a dichas transferencias. Se considerará que el Cliente y BambooHR han celebrado las SCC en la Fecha de Entrada en Vigor del presente DPA.
4.Obligaciones del Responsable del tratamiento
El Cliente declara y garantiza que tiene todos los derechos y la autoridad necesarios para proporcionar Datos Personales a BambooHR e instruir a BambooHR para que trate dichos datos. El Cliente se asegurará de que todos los avisos requeridos hayan sido proporcionados y de que todos los consentimientos requeridos hayan sido obtenidos de los Interesados de conformidad con la legislación aplicable en materia de protección de datos.
El Cliente es responsable de determinar los fines y los medios del tratamiento de los Datos Personales y de garantizar que dicho tratamiento sea lícito. El Cliente implementará medidas técnicas y organizativas adecuadas para asegurar y demostrar que el tratamiento se lleva a cabo de conformidad con la legislación aplicable y con el presente DPA.
5.Subencargados del tratamiento
El Cliente autoriza a BambooHR a utilizar los subencargados enumerados en bamboohr.com/legal/sub-processors (la "Lista de Subencargados") para tratar Datos Personales. BambooHR proporcionará al menos treinta (30) días de preaviso de cualquier cambio propuesto en la Lista de Subencargados mediante la actualización de la lista y la notificación al Cliente por correo electrónico. El Cliente podrá oponerse a cualquier adición o sustitución propuesta de un subencargado dentro de ese período mediante notificación por escrito a través de nuestra página de contacto.
BambooHR impondrá a cada subencargado obligaciones de protección de datos equivalentes a las establecidas en el presente DPA y seguirá siendo responsable ante el Cliente por cualquier incumplimiento por parte de un subencargado de sus obligaciones en materia de protección de datos. BambooHR se asegurará de que los subencargados estén sujetos a mecanismos de transferencia adecuados para cualesquiera transferencias internacionales.
6.Derechos del interesado
En la medida permitida legalmente, BambooHR notificará sin demora al Cliente si BambooHR recibe una solicitud de un Interesado para ejercer sus derechos conforme a la legislación aplicable en materia de protección de datos, incluidos los derechos de acceso, rectificación, supresión, restricción, portabilidad u oposición. BambooHR no responderá a ninguna solicitud de este tipo sin la autorización previa del Cliente, salvo para confirmar al Interesado que BambooHR ha remitido la solicitud.
BambooHR proporcionará al Cliente asistencia comercialmente razonable para cumplir sus obligaciones de responder a las solicitudes de derechos de los Interesados, teniendo en cuenta la naturaleza del tratamiento y la información disponible para BambooHR. Pueden aplicarse tarifas adicionales por una asistencia extensa más allá de lo razonablemente requerido.
7.Medidas de seguridad
BambooHR implementará y mantendrá medidas técnicas y organizativas apropiadas para proteger los Datos Personales contra la destrucción, pérdida, alteración, divulgación no autorizada o acceso accidentales o ilícitos. Dichas medidas se describirán en el Anexo de Seguridad de BambooHR, disponible en bamboohr.com/legal/security-exhibit, que podrá actualizarse de vez en cuando.
Teniendo en cuenta el estado de la técnica, los costes de implementación y la naturaleza, alcance, contexto y fines del tratamiento, así como el riesgo de probabilidad y gravedad variables para los derechos y libertades de las personas físicas, las medidas de seguridad de BambooHR incluirán el cifrado de los Datos Personales en tránsito y en rest, la autenticación multifactor, pruebas de seguridad periódicas y controles de acceso.
8.Notificación de brecha de datos
BambooHR notificará al Cliente sin demora indebida y, en cualquier caso, dentro de las setenta y dos (72) horas siguientes a tener conocimiento de un Incidente de Seguridad que afecte a los Datos Personales del Cliente. Dicha notificación incluirá: una descripción de la naturaleza del Incidente de Seguridad; las categorías y el número aproximado de Interesados y de registros de Datos Personales afectados; las posibles consecuencias del Incidente de Seguridad; y las medidas adoptadas o propuestas por BambooHR para abordar el Incidente de Seguridad.
La notificación de un Incidente de Seguridad por parte de BambooHR no se interpretará como un reconocimiento de culpa o responsabilidad. El Cliente es el único responsable de determinar si notifica a los Interesados y a las autoridades de control, y de qué forma lo hace, conforme a la legislación aplicable.
9.Devolución y eliminación de datos
Al expirar o finalizar el Acuerdo, BambooHR deberá, a petición por escrito del Cliente, devolver todos los Datos Personales al Cliente en un formato legible por máquina y/o eliminar todos los Datos Personales. BambooHR completará dicha devolución o eliminación en un plazo de treinta (30) días a partir de la solicitud por escrito del Cliente.
Salvo que la legislación aplicable exija la conservación continuada, BambooHR eliminará todas las copias restantes de los Datos Personales tras completar el proceso de devolución o eliminación. A petición por escrito del Cliente, BambooHR certificará por escrito que todos los Datos Personales han sido devueltos o eliminados.
10.Derechos de auditoría
BambooHR pondrá a disposición del Cliente toda la información razonablemente necesaria para demostrar el cumplimiento del presente DPA y permitirá y contribuirá a las auditorías, incluidas las inspecciones, llevadas a cabo por el Cliente o por un auditor designado por el Cliente. El Cliente proporcionará un aviso previo razonable (al menos treinta (30) días) antes de realizar cualquier auditoría y se asegurará de que cualquier auditor designado esté sujeto a obligaciones de confidencialidad adecuadas.
BambooHR podrá cumplir sus obligaciones de auditoría proporcionando al Cliente sus informes de auditoría de terceros más recientes (como SOC 2 Tipo II) y las certificaciones pertinentes. Cualquier auditoría presencial se llevará a cabo a cargo del Cliente, durante el horario comercial habitual y sin interrumpir las operaciones comerciales de BambooHR.
