1.Définitions
Dans la présente Entente sur le traitement des données (« DPA ») : « Responsable du traitement » désigne l’entité qui détermine les fins et les moyens du traitement des données personnelles (habituellement le client); « Sous-traitant » désigne l’entité qui traite des données personnelles au nom du responsable du traitement (BambooHR); « Personne concernée » désigne la personne physique identifiée ou identifiable à laquelle se rapportent les données personnelles; « Données personnelles » désigne toute information se rapportant à une personne physique identifiée ou identifiable; « Traitement » désigne toute opération effectuée sur des données personnelles; « Incident de sécurité » désigne toute acquisition, tout accès, toute utilisation ou toute divulgation non autorisés confirmés de données personnelles.
« RGPD » désigne le Règlement (UE) 2016/679 (Règlement général sur la protection des données) et, le cas échéant, la version du RGPD en vigueur au Royaume-Uni telle que maintenue dans le droit du Royaume-Uni (« RGPD britannique »). « Clauses contractuelles types » ou « CCT » désigne les clauses contractuelles types adoptées par la Commission européenne pour le transfert de données personnelles à des sous-traitants établis dans des pays tiers.
2.Portée et nature du traitement
La présente DPA s’applique au traitement des données personnelles par BambooHR à titre de sous-traitant au nom du client à titre de responsable du traitement dans le cadre de la prestation des services par BambooHR. BambooHR ne traitera les données personnelles que dans la mesure nécessaire pour fournir les services et conformément aux instructions documentées du client, y compris celles énoncées dans les Conditions de service du client et tout bon de commande applicable.
BambooHR ne doit pas traiter les données personnelles du client à toute autre fin, y compris aux fins commerciales propres à BambooHR, sans le consentement écrit préalable du client, sauf si la loi applicable l’exige, auquel cas BambooHR informera le client de cette exigence légale avant le traitement, à moins que la loi ne l’interdise.
3.Obligations du sous-traitant
BambooHR doit : (a) traiter les données personnelles uniquement sur instructions documentées du client; (b) s’assurer que les personnes autorisées à traiter les données personnelles se sont engagées à la confidentialité; (c) mettre en œuvre des mesures techniques et organisationnelles appropriées pour assurer un niveau de sécurité adapté au risque; (d) aider le client à répondre aux demandes des personnes concernées relatives à leurs droits; (e) aider le client à assurer le respect des obligations liées à la sécurité, à la notification des atteintes, aux évaluations des facteurs relatifs à la vie privée et à la consultation préalable; (f) supprimer ou retourner toutes les données personnelles à la résiliation; et (g) mettre à disposition les renseignements nécessaires pour démontrer la conformité et permettre les audits.
Lorsque BambooHR traite des Données personnelles de l’UE ou du Royaume-Uni transférées à BambooHR aux États-Unis, les Clauses contractuelles types de l’UE (module 2 : responsable du traitement à sous-traitant), telles qu’elles peuvent être mises à jour de temps à autre, sont incorporées à la présente CTD par renvoi et s’appliquent à ces transferts. Le Client et BambooHR sont réputés avoir conclu les CCT à la date d’entrée en vigueur de la présente CTD.
4.Obligations du responsable du traitement
Le Client déclare et garantit qu’il possède tous les droits et toutes les autorisations nécessaires pour fournir des Données personnelles à BambooHR et pour demander à BambooHR de traiter ces données. Le Client doit s’assurer que tous les avis requis ont été fournis et que tous les consentements requis ont été obtenus auprès des personnes concernées conformément à la loi applicable en matière de protection des données.
Le Client est responsable de déterminer les finalités et les moyens du traitement des Données personnelles et de veiller à ce que ce traitement soit licite. Le Client doit mettre en œuvre des mesures techniques et organisationnelles appropriées pour s’assurer et démontrer que le traitement est effectué conformément à la loi applicable et à la présente CTD.
5.Sous-traitants
Le client autorise BambooHR à utiliser les sous-traitants ultérieurs indiqués à bamboohr.com/legal/sub-processors (la « Liste des sous-traitants ultérieurs ») pour traiter les données personnelles. BambooHR fournira un préavis d’au moins trente (30) jours de tout changement proposé à la Liste des sous-traitants ultérieurs en mettant à jour la liste et en avisant le client par courriel. Le client peut s’opposer à toute addition ou tout remplacement proposé d’un sous-traitant ultérieur pendant cette période en envoyant un avis écrit par l’entremise de notre page de contact.
BambooHR imposera à chaque sous-traitant des obligations de protection des données équivalentes à celles prévues dans la présente CTD et demeurera responsable envers le Client de tout manquement d’un sous-traitant à remplir ses obligations en matière de protection des données. BambooHR veillera à ce que les sous-traitants soient assujettis à des mécanismes de transfert appropriés pour tout transfert international.
6.Droits des personnes concernées
Dans la mesure permise par la loi, BambooHR avisera rapidement le client si BambooHR reçoit d’une personne concernée une demande d’exercice de ses droits en vertu de la loi applicable en matière de protection des données, y compris les droits d’accès, de rectification, d’effacement, de restriction, de portabilité ou d’opposition. BambooHR ne répondra à aucune telle demande sans l’autorisation préalable du client, sauf pour confirmer à la personne concernée que BambooHR a transmis la demande.
BambooHR fournira au Client une assistance commercialement raisonnable pour s’acquitter de ses obligations de répondre aux demandes relatives aux droits des personnes concernées, en tenant compte de la nature du traitement et des renseignements disponibles à BambooHR. Des frais supplémentaires peuvent s’appliquer pour une assistance importante allant au-delà de ce qui est raisonnablement requis.
7.Mesures de sécurité
BambooHR mettra en œuvre et maintiendra des mesures techniques et organisationnelles appropriées pour protéger les données personnelles contre la destruction, la perte, l’altération, la divulgation ou l’accès non autorisés ou illicites. Ces mesures seront décrites dans l’Annexe de sécurité de BambooHR, disponible à bamboohr.com/legal/security-exhibit, laquelle peut être mise à jour de temps à autre.
Compte tenu de l’état de la technique, des coûts de mise en œuvre et de la nature, de la portée, du contexte et des fins du traitement, ainsi que du risque de probabilité et de gravité variables pour les droits et libertés des personnes physiques, les mesures de sécurité de BambooHR comprendront le chiffrement des données personnelles en transit et au repos, l’authentification multifacteur, des tests de sécurité réguliers et des contrôles d’accès.
8.Notification d’atteinte à la protection des données
BambooHR avisera le client sans retard indu et, en tout état de cause, dans les soixante-douze (72) heures suivant la prise de connaissance d’un incident de sécurité qui touche les données personnelles du client. Un tel avis doit comprendre : une description de la nature de l’incident de sécurité; les catégories et le nombre approximatif de personnes concernées et d’enregistrements de données personnelles visés; les conséquences probables de l’incident de sécurité; et les mesures prises ou proposées par BambooHR pour remédier à l’incident de sécurité.
L’avis donné par BambooHR au sujet d’un incident de sécurité ne saurait être interprété comme une reconnaissance de faute ou de responsabilité. Le client est seul responsable de déterminer s’il doit aviser les personnes concernées et les autorités de contrôle, et de quelle manière, conformément à la loi applicable.
9.Retour et suppression des données
À l’expiration ou à la résiliation de l’Accord, BambooHR doit, à la demande écrite du client, retourner au client toutes les données personnelles dans un format lisible par machine et/ou supprimer toutes les données personnelles. BambooHR effectuera ce retour ou cette suppression dans les trente (30) jours suivant la demande écrite du client.
Sauf si la loi applicable exige la conservation des données, BambooHR supprimera toutes les copies restantes des données personnelles après avoir terminé le processus de retour ou de suppression. À la demande écrite du client, BambooHR certifiera par écrit que toutes les données personnelles ont été retournées ou supprimées.
10.Droits d’audit
BambooHR mettra à la disposition du Client tous les renseignements raisonnablement nécessaires pour démontrer la conformité à la présente CTD et permettra les vérifications, y compris les inspections, menées par le Client ou par un vérificateur mandaté par le Client, et y contribuera. Le Client doit fournir un préavis raisonnable (d’au moins trente (30) jours) avant de mener toute vérification et s’assurer que tout vérificateur mandaté est assujetti à des obligations de confidentialité appropriées.
BambooHR peut remplir ses obligations d’audit en fournissant au client ses plus récents rapports d’audit de tiers (comme SOC 2 Type II) et les certifications pertinentes. Tout audit en personne sera mené aux frais du client, pendant les heures normales de bureau et sans perturber les activités commerciales de BambooHR.
