1.Definiciones
En este Acuerdo de Procesamiento de Datos ("DPA"): "Responsable" significa la entidad que determina los fines y medios del procesamiento de Datos Personales (por lo general, el Cliente); "Encargado" significa la entidad que procesa Datos Personales en nombre del Responsable (BambooHR); "Titular de los Datos" significa la persona física identificada o identificable a la que se refieren los Datos Personales; "Datos Personales" significa cualquier información relacionada con una persona física identificada o identificable; "Procesamiento" significa cualquier operación realizada sobre Datos Personales; "Incidente de Seguridad" significa cualquier adquisición, acceso, uso o divulgación no autorizados confirmados de Datos Personales.
"GDPR" significa el Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos) y, cuando corresponda, la versión del GDPR del Reino Unido incorporada en la legislación del Reino Unido ("UK GDPR"). "Cláusulas Contractuales Tipo" o "SCCs" significa las cláusulas contractuales tipo adoptadas por la Comisión Europea para la transferencia de Datos Personales a encargados establecidos en terceros países.
2.Alcance y naturaleza del tratamiento
Este DPA aplica al tratamiento de Datos Personales por parte de BambooHR como Encargado en nombre del Cliente como Responsable del tratamiento en relación con la prestación de los Servicios de BambooHR. BambooHR tratará Datos Personales solo en la medida necesaria para prestar los Servicios y de conformidad con las instrucciones documentadas del Cliente, incluidas las establecidas en los Términos del Servicio para Clientes y cualquier Formulario de Pedido aplicable.
BambooHR no tratará los Datos Personales del Cliente para ningún otro fin, incluidos los fines comerciales propios de BambooHR, sin el consentimiento previo por escrito del Cliente, salvo que la ley aplicable lo requiera; en ese caso, BambooHR informará al Cliente de ese requisito legal antes de realizar el tratamiento, a menos que la ley lo prohíba.
3.Obligaciones del Encargado
BambooHR deberá: (a) tratar los Datos Personales solo con instrucciones documentadas del Cliente; (b) garantizar que las personas autorizadas para tratar los Datos Personales se hayan comprometido a la confidencialidad; (c) implementar medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo; (d) ayudar al Cliente a responder a solicitudes de derechos de los Titulares de los Datos; (e) ayudar al Cliente a garantizar el cumplimiento de las obligaciones relacionadas con la seguridad, la notificación de brechas, las evaluaciones de impacto en materia de protección de datos y la consulta previa; (f) eliminar o devolver todos los Datos Personales al terminar; y (g) poner a disposición la información necesaria para demostrar el cumplimiento y permitir auditorías.
Cuando BambooHR procesa Datos Personales de la UE o del Reino Unido transferidos a BambooHR en los Estados Unidos, las Cláusulas Contractuales Tipo de la UE (Módulo 2: Responsable del tratamiento a Encargado del tratamiento), según puedan actualizarse de vez en cuando, se incorporan a este APD por referencia y se aplicarán a dichas transferencias. Se considerará que el Cliente y BambooHR han celebrado las CCT en la Fecha de Entrada en Vigor de este APD.
4.Obligaciones del Responsable
El Cliente declara y garantiza que tiene todos los derechos y la autoridad necesarios para proporcionar Datos Personales a BambooHR e instruir a BambooHR para que procese dichos datos. El Cliente se asegurará de que todos los avisos requeridos hayan sido proporcionados y de que todos los consentimientos requeridos hayan sido obtenidos de los Titulares de los Datos de conformidad con la ley aplicable de protección de datos.
El Cliente es responsable de determinar los fines y medios del procesamiento de Datos Personales y de garantizar que dicho procesamiento sea lícito. El Cliente implementará medidas técnicas y organizacionales apropiadas para asegurar y demostrar que el procesamiento se realiza de conformidad con la ley aplicable y este APD.
5.Subencargados del tratamiento
El Cliente autoriza a BambooHR a usar los subencargados listados en bamboohr.com/legal/sub-processors (la "Lista de Subencargados") para tratar Datos Personales. BambooHR proporcionará al menos treinta (30) días de aviso previo sobre cualquier cambio propuesto a la Lista de Subencargados mediante la actualización de la lista y la notificación al Cliente por correo electrónico. El Cliente podrá objetar cualquier adición o sustitución propuesta de un subencargado dentro de ese periodo enviando un aviso por escrito a través de nuestra página de contacto.
BambooHR impondrá obligaciones de protección de datos a cada subencargado equivalentes a las de este APD y seguirá siendo responsable frente al Cliente por cualquier incumplimiento de un subencargado de sus obligaciones de protección de datos. BambooHR se asegurará de que los subencargados estén sujetos a mecanismos de transferencia apropiados para cualquier transferencia internacional.
6.Derechos del Titular de los Datos
En la medida en que lo permita la ley, BambooHR notificará de inmediato al Cliente si BambooHR recibe una solicitud de un Titular de los Datos para ejercer sus derechos conforme a la ley aplicable de protección de datos, incluidos los derechos de acceso, rectificación, supresión, restricción, portabilidad u oposición. BambooHR no responderá a ninguna solicitud de este tipo sin la autorización previa del Cliente, excepto para confirmar al Titular de los Datos que BambooHR ha remitido la solicitud.
BambooHR proporcionará al Cliente asistencia comercialmente razonable para cumplir con sus obligaciones de responder a solicitudes de derechos de los Titulares de los Datos, tomando en cuenta la naturaleza del procesamiento y la información disponible para BambooHR. Pueden aplicarse tarifas adicionales por asistencia extensa que exceda lo razonablemente requerido.
7.Medidas de seguridad
BambooHR implementará y mantendrá medidas técnicas y organizativas apropiadas para proteger los Datos Personales contra destrucción accidental o ilícita, pérdida, alteración, divulgación no autorizada o acceso no autorizado. Dichas medidas se describirán en el Anexo de Seguridad de BambooHR, disponible en bamboohr.com/legal/security-exhibit, el cual podrá actualizarse de tiempo en tiempo.
Tomando en cuenta el estado de la técnica, los costos de implementación y la naturaleza, alcance, contexto y fines del tratamiento, así como el riesgo de diversa probabilidad y gravedad para los derechos y libertades de las personas físicas, las medidas de seguridad de BambooHR incluirán el cifrado de los Datos Personales en tránsito y en rest, la autenticación multifactor, pruebas de seguridad periódicas y controles de acceso.
8.Notificación de Brecha de Datos
BambooHR notificará al Cliente sin demora indebida y, en cualquier caso, dentro de setenta y dos (72) horas después de tener conocimiento de un Incidente de Seguridad que afecte los Datos Personales del Cliente. Dicha notificación incluirá: una descripción de la naturaleza del Incidente de Seguridad; las categorías y el número aproximado de Titulares de los Datos y registros de Datos Personales afectados; las posibles consecuencias del Incidente de Seguridad; y las medidas tomadas o propuestas por BambooHR para abordar el Incidente de Seguridad.
La notificación de un Incidente de Seguridad por parte de BambooHR no se interpretará como un reconocimiento de culpa o responsabilidad. El Cliente es el único responsable de determinar si y cómo notificar a los Titulares de los Datos y a las autoridades supervisoras conforme lo exija la ley aplicable.
9.Devolución y supresión de datos
Al vencimiento o terminación del Acuerdo, BambooHR deberá, a solicitud escrita del Cliente, devolver todos los Datos Personales al Cliente en un formato legible por máquina y/o suprimir todos los Datos Personales. BambooHR completará dicha devolución o supresión dentro de treinta (30) días de la solicitud escrita del Cliente.
Salvo que la ley aplicable requiera un almacenamiento continuo, BambooHR suprimirá todas las copias restantes de los Datos Personales después de completar el proceso de devolución o supresión. A solicitud escrita del Cliente, BambooHR certificará por escrito que todos los Datos Personales han sido devueltos o suprimidos.
10.Derechos de Auditoría
BambooHR pondrá a disposición del Cliente toda la información razonablemente necesaria para demostrar el cumplimiento de este APD y permitirá y contribuirá a las auditorías, incluidas las inspecciones, realizadas por el Cliente o por un auditor designado por el Cliente. El Cliente deberá proporcionar aviso previo razonable (al menos treinta (30) días) antes de realizar cualquier auditoría y deberá asegurarse de que cualquier auditor designado esté sujeto a obligaciones de confidencialidad apropiadas.
BambooHR podrá cumplir sus obligaciones de auditoría proporcionando al Cliente sus informes de auditoría de terceros más recientes (como SOC 2 Type II) y las certificaciones pertinentes. Cualquier auditoría presencial se realizará a expensas del Cliente, durante el horario comercial habitual y sin interrumpir las operaciones comerciales de BambooHR.
