1.Definisi
Dalam Perjanjian Pemrosesan Data ini ("DPA"): "Pengendali" berarti entitas yang menentukan tujuan dan cara pemrosesan Data Pribadi (biasanya Pelanggan); "Pemroses" berarti entitas yang memproses Data Pribadi atas nama Pengendali (BambooHR); "Subjek Data" berarti orang perseorangan yang diidentifikasi atau dapat diidentifikasi yang menjadi rujukan Data Pribadi; "Data Pribadi" berarti setiap informasi yang berkaitan dengan orang perseorangan yang diidentifikasi atau dapat diidentifikasi; "Pemrosesan" berarti setiap operasi yang dilakukan atas Data Pribadi; "Insiden Keamanan" berarti setiap perolehan, akses, penggunaan, atau pengungkapan Data Pribadi yang tidak sah dan telah dikonfirmasi.
"GDPR" berarti Peraturan (UE) 2016/679 (Peraturan Perlindungan Data Umum) dan, jika berlaku, versi GDPR di Britania Raya yang tetap diberlakukan dalam hukum Inggris ("UK GDPR"). "Klausul Kontraktual Standar" atau "SCCs" berarti klausul kontraktual standar yang diadopsi oleh Komisi Eropa untuk transfer Data Pribadi kepada pemroses yang didirikan di negara ketiga.
2.Ruang Lingkup dan Sifat Pemrosesan
DPA ini berlaku untuk pemrosesan Data Pribadi oleh BambooHR sebagai Pemroses atas nama Pelanggan sebagai Pengendali sehubungan dengan penyediaan Layanan oleh BambooHR. BambooHR akan memproses Data Pribadi hanya sejauh yang diperlukan untuk menyediakan Layanan dan sesuai dengan instruksi terdokumentasi Pelanggan, termasuk yang ditetapkan dalam Ketentuan Layanan Pelanggan dan setiap Formulir Pesanan yang berlaku.
BambooHR tidak boleh memproses Data Pribadi Pelanggan untuk tujuan lain apa pun, termasuk tujuan komersial BambooHR sendiri, tanpa persetujuan tertulis sebelumnya dari Pelanggan, kecuali apabila diwajibkan oleh hukum yang berlaku, dalam hal ini BambooHR akan memberi tahu Pelanggan mengenai persyaratan hukum tersebut sebelum melakukan pemrosesan kecuali dilarang oleh hukum.
3.Kewajiban Pemroses
BambooHR harus: (a) memproses Data Pribadi hanya atas instruksi terdokumentasi dari Pelanggan; (b) memastikan bahwa orang-orang yang diberi wewenang untuk memproses Data Pribadi telah mengikatkan diri pada kerahasiaan; (c) menerapkan langkah teknis dan organisasional yang sesuai untuk memastikan tingkat keamanan yang sesuai dengan risiko; (d) membantu Pelanggan dalam menanggapi permintaan hak Subjek Data; (e) membantu Pelanggan dalam memastikan kepatuhan terhadap kewajiban yang berkaitan dengan keamanan, pemberitahuan pelanggaran, penilaian dampak perlindungan data, dan konsultasi terlebih dahulu; (f) menghapus atau mengembalikan seluruh Data Pribadi pada saat pengakhiran; dan (g) menyediakan informasi yang diperlukan untuk menunjukkan kepatuhan dan memungkinkan audit.
Apabila BambooHR memproses Data Pribadi UE atau Inggris yang ditransfer ke BambooHR di Amerika Serikat, Klausul Kontrak Standar UE (Modul 2: Pengendali ke Pemroses), sebagaimana dapat diperbarui dari waktu ke waktu, dimasukkan ke dalam DPA ini melalui rujukan dan akan berlaku untuk transfer tersebut. Pelanggan dan BambooHR akan dianggap telah menandatangani SCC pada Tanggal Efektif DPA ini.
4.Kewajiban Pengendali
Pelanggan menyatakan dan menjamin bahwa ia memiliki seluruh hak dan kewenangan yang diperlukan untuk memberikan Data Pribadi kepada BambooHR dan untuk menginstruksikan BambooHR guna memproses data tersebut. Pelanggan harus memastikan bahwa seluruh pemberitahuan yang diwajibkan telah diberikan dan seluruh persetujuan yang diwajibkan telah diperoleh dari Subjek Data sesuai dengan hukum perlindungan data yang berlaku.
Pelanggan bertanggung jawab untuk menentukan tujuan dan cara pemrosesan Data Pribadi serta untuk memastikan bahwa pemrosesan tersebut sah. Pelanggan harus menerapkan langkah-langkah teknis dan organisasional yang sesuai untuk memastikan dan menunjukkan bahwa pemrosesan dilakukan sesuai dengan hukum yang berlaku dan DPA ini.
5.Sub-Pemroses
Pelanggan memberi wewenang kepada BambooHR untuk menggunakan sub-pemroses yang tercantum di bamboohr.com/legal/sub-processors ("Daftar Sub-Pemroses") untuk memproses Data Pribadi. BambooHR akan memberikan pemberitahuan sebelumnya sekurang-kurangnya tiga puluh (30) hari atas setiap perubahan yang diusulkan pada Daftar Sub-Pemroses dengan memperbarui daftar tersebut dan memberi tahu Pelanggan melalui email. Pelanggan dapat menolak penambahan atau penggantian sub-pemroses yang diusulkan dalam periode tersebut dengan mengirimkan pemberitahuan tertulis melalui halaman kontak kami.
BambooHR harus membebankan kewajiban perlindungan data kepada setiap sub-pemroses yang setara dengan yang terdapat dalam DPA ini dan akan tetap bertanggung jawab kepada Pelanggan atas kegagalan sub-pemroses dalam memenuhi kewajiban perlindungan datanya. BambooHR harus memastikan bahwa sub-pemroses tunduk pada mekanisme transfer yang sesuai untuk setiap transfer internasional.
6.Hak Subjek Data
Sejauh diizinkan secara hukum, BambooHR harus segera memberi tahu Pelanggan jika BambooHR menerima permintaan dari Subjek Data untuk menggunakan hak mereka berdasarkan hukum perlindungan data yang berlaku, termasuk hak akses, koreksi, penghapusan, pembatasan, portabilitas, atau keberatan. BambooHR tidak boleh menanggapi permintaan tersebut tanpa otorisasi sebelumnya dari Pelanggan, kecuali untuk mengonfirmasi kepada Subjek Data bahwa BambooHR telah meneruskan permintaan tersebut.
BambooHR akan memberikan bantuan yang wajar secara komersial kepada Pelanggan dalam memenuhi kewajibannya untuk menanggapi permintaan hak Subjek Data, dengan mempertimbangkan sifat pemrosesan dan informasi yang tersedia bagi BambooHR. Biaya tambahan dapat berlaku untuk bantuan yang luas di luar apa yang secara wajar diwajibkan.
7.Langkah Keamanan
BambooHR harus menerapkan dan memelihara langkah teknis dan organisasional yang sesuai untuk melindungi Data Pribadi dari pemusnahan, kehilangan, perubahan, pengungkapan tanpa izin, atau akses yang tidak disengaja atau melawan hukum. Langkah-langkah tersebut akan dijelaskan dalam Lampiran Keamanan BambooHR, yang tersedia di bamboohr.com/legal/security-exhibit, dan dapat diperbarui dari waktu ke waktu.
Dengan mempertimbangkan perkembangan teknologi terkini, biaya implementasi, serta sifat, ruang lingkup, konteks, dan tujuan pemrosesan, serta risiko dengan kemungkinan dan tingkat keparahan yang bervariasi bagi hak dan kebebasan orang perseorangan, langkah keamanan BambooHR harus mencakup enkripsi Data Pribadi saat transit dan di rest, autentikasi multi-faktor, pengujian keamanan berkala, dan kontrol akses.
8.Pemberitahuan Pelanggaran Data
BambooHR harus memberi tahu Pelanggan tanpa penundaan yang tidak semestinya, dan dalam hal apa pun dalam waktu tujuh puluh dua (72) jam setelah mengetahui adanya Insiden Keamanan yang memengaruhi Data Pribadi Pelanggan. Pemberitahuan tersebut harus mencakup: deskripsi sifat Insiden Keamanan; kategori dan perkiraan jumlah Subjek Data serta catatan Data Pribadi yang terlibat; kemungkinan konsekuensi dari Insiden Keamanan; dan langkah-langkah yang diambil atau diusulkan oleh BambooHR untuk menangani Insiden Keamanan.
Pemberitahuan BambooHR atas Insiden Keamanan tidak boleh ditafsirkan sebagai pengakuan atas kesalahan atau tanggung jawab. Pelanggan sepenuhnya bertanggung jawab untuk menentukan apakah dan bagaimana memberi tahu Subjek Data dan otoritas pengawas sebagaimana diwajibkan oleh hukum yang berlaku.
9.Pengembalian dan Penghapusan Data
Setelah berakhir atau diakhiri Perjanjian, BambooHR harus, atas permintaan tertulis Pelanggan, mengembalikan semua Data Pribadi kepada Pelanggan dalam format yang dapat dibaca mesin dan/atau menghapus semua Data Pribadi. BambooHR akan menyelesaikan pengembalian atau penghapusan tersebut dalam waktu tiga puluh (30) hari sejak permintaan tertulis Pelanggan.
Kecuali jika hukum yang berlaku mewajibkan penyimpanan berkelanjutan, BambooHR harus menghapus semua salinan Data Pribadi yang tersisa setelah menyelesaikan proses pengembalian atau penghapusan. Atas permintaan tertulis Pelanggan, BambooHR harus menyatakan secara tertulis bahwa semua Data Pribadi telah dikembalikan atau dihapus.
10.Hak Audit
BambooHR harus menyediakan kepada Pelanggan seluruh informasi yang secara wajar diperlukan untuk menunjukkan kepatuhan terhadap DPA ini dan memungkinkan serta berkontribusi pada audit, termasuk inspeksi, yang dilakukan oleh Pelanggan atau auditor yang ditunjuk oleh Pelanggan. Pelanggan harus memberikan pemberitahuan sebelumnya yang wajar (setidaknya tiga puluh (30) hari) sebelum melakukan audit apa pun dan harus memastikan bahwa setiap auditor yang ditunjuk tunduk pada kewajiban kerahasiaan yang sesuai.
BambooHR dapat memenuhi kewajiban auditnya dengan memberikan kepada Pelanggan laporan audit pihak ketiga terbarunya (seperti SOC 2 Type II) dan sertifikasi yang relevan. Setiap audit tatap muka harus dilakukan atas biaya Pelanggan, selama jam kerja normal, dan tanpa mengganggu operasi bisnis BambooHR.
