1.Määritelmät
Tässä tietojenkäsittelysopimuksessa ("DPA"): "Rekisterinpitäjä" tarkoittaa tahoa, joka määrittää Henkilötietojen käsittelyn tarkoitukset ja keinot (tavallisesti Asiakas); "Käsittelijä" tarkoittaa tahoa, joka käsittelee Henkilötietoja Rekisterinpitäjän puolesta (BambooHR); "Rekisteröity" tarkoittaa tunnistettua tai tunnistettavissa olevaa luonnollista henkilöä, jota Henkilötiedot koskevat; "Henkilötiedot" tarkoittaa mitä tahansa tunnistettua tai tunnistettavissa olevaa luonnollista henkilöä koskevia tietoja; "Käsittely" tarkoittaa mitä tahansa Henkilötietoihin kohdistuvaa toimenpidettä; "Tietoturvaloukkaus" tarkoittaa mitä tahansa vahvistettua luvattoman hankinnan, pääsyn, käytön tai paljastamisen tapauksta Henkilötiedoissa.
"GDPR" tarkoittaa asetusta (EU) 2016/679 (yleinen tietosuoja-asetus) ja soveltuvin osin Yhdistyneen kuningaskunnan versiota GDPR:stä sellaisena kuin se on säilytetty Yhdistyneen kuningaskunnan lainsäädännössä ("UK GDPR"). "Vakiolausekkeet" tai "SCCs" tarkoittaa Euroopan komission hyväksymiä vakiosopimuslausekkeita Henkilötietojen siirtämiseksi kolmansissa maissa sijaitseville käsittelijöille.
2.Käsittelyn laajuus ja luonne
Tätä DPA:ta sovelletaan BambooHR'n käsittämään Henkilötietojen käsittelyyn Käsittelijänä Asiakkaan puolesta Rekisterinpitäjänä liittyen BambooHR'n Palvelujen tarjoamiseen. BambooHR käsittelee Henkilötietoja vain siinä määrin kuin on tarpeen Palvelujen tarjoamiseksi ja Asiakkaan dokumentoitujen ohjeiden mukaisesti, mukaan lukien ne, jotka on esitetty Asiakkaan palveluehdoissa ja mahdollisessa Tilauslomakkeessa.
BambooHR ei saa käsitellä Asiakkaan Henkilötietoja mihinkään muuhun tarkoitukseen, mukaan lukien BambooHR'n omat kaupalliset tarkoitukset, ilman Asiakkaan etukäteen antamaa kirjallista suostumusta, paitsi silloin kun sovellettava laki sitä edellyttää, jolloin BambooHR ilmoittaa Asiakkaalle kyseisestä oikeudellisesta vaatimuksesta ennen käsittelyä, ellei laki kiellä sitä.
3.Käsittelijän velvollisuudet
BambooHR:n tulee: (a) käsitellä Henkilötietoja vain Asiakkaan dokumentoitujen ohjeiden mukaisesti; (b) varmistaa, että henkilöt, joilla on oikeus käsitellä Henkilötietoja, ovat sitoutuneet salassapitoon; (c) toteuttaa asianmukaiset tekniset ja organisatoriset toimenpiteet varmistaakseen riskille sopivan turvallisuustason; (d) avustaa Asiakasta Rekisteröityjen oikeuksia koskeviin pyyntöihin vastaamisessa; (e) avustaa Asiakasta varmistamaan velvoitteiden noudattaminen, jotka liittyvät tietoturvaan, tietoturvaloukkauksesta ilmoittamiseen, tietosuojavaikutusten arviointeihin ja ennakkokuulemiseen; (f) poistaa tai palauttaa kaikki Henkilötiedot sopimuksen päättyessä; ja (g) saattaa saataville tiedot, jotka ovat tarpeen noudattamisen osoittamiseksi, sekä sallia auditoinnit.
Jos BambooHR käsittelee Yhdysvalloissa BambooHR:lle siirrettyjä EU- tai UK-henkilötietoja, EU:n vakiosopimuslausekkeet (moduuli 2: rekisterinpitäjä käsittelijälle), sellaisina kuin niitä voidaan ajoittain päivittää, sisällytetään tähän DPA:han viittauksella ja niitä sovelletaan tällaisiin siirtoihin. Asiakkaan ja BambooHR:n katsotaan tehneen SCC:t tämän DPA:n voimaantulopäivänä.
4.Rekisterinpitäjän velvollisuudet
Asiakas vakuuttaa ja takaa, että sillä on kaikki tarvittavat oikeudet ja valtuudet toimittaa henkilötietoja BambooHR:lle ja määrätä BambooHR käsittelemään kyseisiä tietoja. Asiakkaan on varmistettava, että kaikki vaaditut ilmoitukset on annettu ja kaikki vaaditut suostumukset on saatu rekisteröidyiltä sovellettavan tietosuojalainsäädännön mukaisesti.
Asiakas vastaa henkilötietojen käsittelyn tarkoitusten ja keinojen määrittämisestä sekä siitä, että tällainen käsittely on lainmukaista. Asiakkaan on toteutettava asianmukaiset tekniset ja organisatoriset toimenpiteet varmistaakseen ja osoittaakseen, että käsittely suoritetaan sovellettavan lain ja tämän DPA:n mukaisesti.
5.Alihankkijat
Asiakas valtuuttaa BambooHR'n käyttämään alikäsittelijöitä, jotka on lueteltu osoitteessa bamboohr.com/legal/sub-processors ("Alikäsittelijäluettelo") Henkilötietojen käsittelemiseksi. BambooHR antaa vähintään kolmenkymmenen (30) päivän ennakkoilmoituksen kaikista ehdotetuista muutoksista Alikäsittelijäluetteloon päivittämällä luettelon ja ilmoittamalla Asiakkaalle sähköpostitse. Asiakas voi vastustaa mitä tahansa ehdotettua alikäsittelijän lisäämistä tai korvaamista kyseisen ajan kuluessa lähettämällä kirjallisen ilmoituksen yhteydenottosivumme kautta.
BambooHR asettaa jokaiselle alikäsittelijälle tietosuojavelvoitteet, jotka vastaavat tämän DPA:n velvoitteita, ja säilyy vastuussa Asiakkaalle kaikesta alikäsittelijän laiminlyönnistä täyttää tietosuojavelvoitteensa. BambooHR varmistaa, että alikäsittelijöihin sovelletaan asianmukaisia siirtomekanismeja kaikkien kansainvälisten siirtojen osalta.
6.Rekisteröidyn oikeudet
Siltä osin kuin laki sallii, BambooHR ilmoittaa viipymättä Asiakkaalle, jos BambooHR vastaanottaa Rekisteröidyltä pyynnön käyttää oikeuksiaan sovellettavan tietosuojalainsäädännön nojalla, mukaan lukien oikeudet saada pääsy tietoihin, oikaista, poistaa, rajoittaa, siirtää tai vastustaa. BambooHR ei saa vastata mihinkään tällaiseen pyyntöön ilman Asiakkaan etukäteen antamaa valtuutusta, paitsi vahvistaakseen Rekisteröidylle, että BambooHR on välittänyt pyynnön eteenpäin.
BambooHR tarjoaa kaupallisesti kohtuullista apua Asiakkaalle sen velvoitteiden täyttämisessä vastata rekisteröityjen oikeuksia koskeviin pyyntöihin ottaen huomioon käsittelyn luonne ja BambooHR:n saatavilla olevat tiedot. Laajamittaisesta avusta, joka ylittää sen, mitä kohtuudella edellytetään, voidaan periä lisämaksuja.
7.Turvatoimet
BambooHR toteuttaa ja ylläpitää asianmukaisia teknisiä ja organisatorisia toimenpiteitä Henkilötietojen suojaamiseksi vahingossa tapahtuvalta tai lainvastaiselta tuhoutumiselta, menetykseltä, muuttamiselta, luvattomalta paljastamiselta tai pääsyltä. Tällaiset toimenpiteet kuvataan BambooHR'n Turvaliitteessä, joka on saatavilla osoitteessa bamboohr.com/legal/security-exhibit ja jota voidaan päivittää ajoittain.
Ottaen huomioon tekniikan tason, toteuttamiskustannukset sekä käsittelyn luonteen, laajuuden, asiayhteyden ja tarkoitukset sekä luonnollisten henkilöiden oikeuksille ja vapauksille aiheutuvan eritasoisen ja -asteisen riskin, BambooHR'n turvatoimiin kuuluvat Henkilötietojen salaus siirron aikana ja rest:ssä, monivaiheinen tunnistautuminen, säännöllinen tietoturvatestaus ja pääsynhallinta.
8.Tietoturvaloukkausilmoitus
BambooHR ilmoittaa Asiakkaalle ilman aiheetonta viivytystä ja joka tapauksessa seitsemänkymmenenkahden (72) tunnin kuluessa sen jälkeen, kun se on saanut tiedon Tietoturvaloukkauksesta, joka vaikuttaa Asiakkaan Henkilötietoihin. Tällaisen ilmoituksen tulee sisältää: kuvaus Tietoturvaloukkauksen luonteesta; asianomaisten Rekisteröityjen ja Henkilötietojen tietueiden luokat ja arvioitu määrä; Tietoturvaloukkauksen todennäköiset seuraukset; sekä toimenpiteet, jotka BambooHR on toteuttanut tai ehdottanut Tietoturvaloukkauksen käsittelemiseksi.
BambooHR'n ilmoitusta Tietoturvaloukkauksesta ei tule tulkita virheen tai vastuun myöntämiseksi. Asiakas vastaa yksinomaan siitä, määritetäänkö Rekisteröidyille ja valvontaviranomaisille ilmoittaminen sovellettavan lain edellyttämällä tavalla ja miten se tehdään.
9.Tietojen palauttaminen ja poistaminen
Sopimuksen päättyessä tai irtisanomisen yhteydessä BambooHR palauttaa Asiakkaan kirjallisesta pyynnöstä kaikki Henkilötiedot Asiakkaalle koneellisesti luettavassa muodossa ja/tai poistaa kaikki Henkilötiedot. BambooHR suorittaa tällaisen palauttamisen tai poistamisen kolmenkymmenen (30) päivän kuluessa Asiakkaan kirjallisesta pyynnöstä.
Ellei sovellettava laki edellytä säilyttämistä, BambooHR poistaa kaikki jäljellä olevat Henkilötietojen kopiot palautus- tai poistoprosessin päätyttyä. Asiakkaan kirjallisesta pyynnöstä BambooHR vahvistaa kirjallisesti, että kaikki Henkilötiedot on palautettu tai poistettu.
10.Tarkastusoikeudet
BambooHR asettaa Asiakkaan saataville kaikki tiedot, jotka ovat kohtuudella tarpeen tämän DPA:n noudattamisen osoittamiseksi, ja mahdollistaa Asiakkaan tai Asiakkaan valtuuttaman tarkastajan suorittamat tarkastukset, mukaan lukien tarkastukset, sekä osallistuu niihin. Asiakkaan on annettava kohtuullinen ennakkoilmoitus (vähintään kolmekymmentä (30) päivää) ennen minkä tahansa tarkastuksen suorittamista ja varmistettava, että mahdolliseen tarkastajaan sovelletaan asianmukaisia salassapitovelvoitteita.
BambooHR voi täyttää auditointivelvoitteensa toimittamalla Asiakkaalle uusimmat kolmannen osapuolen auditointiraporttinsa (kuten SOC 2 Type II) ja asiaankuuluvat sertifioinnit. Mahdollinen paikan päällä tehtävä auditointi suoritetaan Asiakkaan kustannuksella, säännöllisin työaikoin ja siten, että se ei häiritse BambooHR'n liiketoimintaa.
