1.Ringkasan
Dokumen Privasi ini menetapkan kewajiban yang berlaku atas pemrosesan data pribadi sehubungan dengan platform sistem informasi sumber daya manusia ("HRIS") BambooHR dan layanan terkait. Dokumen ini harus dibaca bersama dengan Ketentuan Layanan Pelanggan dan Perjanjian Pemrosesan Data ("DPA"), yang keduanya diintegrasikan melalui rujukan.
Dalam dokumen ini: "Data Pribadi Pelanggan" berarti seluruh data pribadi (sebagaimana didefinisikan dalam Peraturan Perundang-undangan Perlindungan Data) yang dikendalikan oleh Pelanggan dan diproses oleh Penyedia sehubungan dengan Layanan; "Peraturan Perundang-undangan Perlindungan Data" berarti seluruh hukum yang berlaku terkait perlindungan data dan privasi, termasuk Peraturan Perlindungan Data Umum UE (2016/679) ("GDPR"), Petunjuk Komunikasi Elektronik dan Privasi UE 2002/58/EC sebagaimana diimplementasikan di setiap yurisdiksi, serta setiap undang-undang yang mengubah atau menggantikannya dari waktu ke waktu; "Insiden Keamanan" berarti pemusnahan, kehilangan, perubahan, pengungkapan, atau akses secara tidak sengaja, tanpa izin, atau melanggar hukum terhadap data pribadi; dan "Orang yang Berwenang" berarti setiap orang yang memproses data pribadi atas nama Penyedia, termasuk karyawan, pejabat, mitra, kontraktor, dan subkontraktor.
2.Peran dalam Pemrosesan Data
Dalam dokumen ini, istilah "data pribadi", "memproses", "pengendali data", "pemroses data", "subjek data", dan "otoritas pengawas" memiliki makna sebagaimana ditetapkan dalam Peraturan Perundang-undangan Perlindungan Data.
Penyedia (sebagai pemroses data) ditunjuk oleh Pelanggan (sebagai pengendali data) untuk memproses Data Pribadi Pelanggan atas nama Pelanggan sebagaimana diperlukan untuk menyediakan Layanan dan sesuai dengan petunjuk tertulis lain yang dapat diberikan oleh Pelanggan dari waktu ke waktu.
Setiap pihak harus mematuhi kewajibannya berdasarkan Peraturan Perlindungan Data sehubungan dengan data pribadi apa pun yang diprosesnya berdasarkan atau terkait dengan Perjanjian ini. Tanpa mengurangi hal tersebut di atas, Penyedia tidak akan memproses Data Pribadi Pelanggan dengan cara yang akan atau kemungkinan besar akan mengakibatkan Pelanggan melanggar kewajibannya berdasarkan Peraturan Perlindungan Data.
Penyedia setiap saat hanya akan memproses Data Pribadi Pelanggan untuk tujuan menyediakan Layanan kepada Pelanggan dan sesuai dengan petunjuk terdokumentasi Pelanggan, kecuali Penyedia diwajibkan untuk memproses Data Pribadi tersebut untuk tujuan lain oleh hukum yang berlaku. Apabila persyaratan tersebut berlaku, Penyedia harus memberikan pemberitahuan terlebih dahulu kepada Pelanggan kecuali hukum yang relevan melarang pemberian pemberitahuan tersebut.
Penyedia harus segera memberi tahu Pelanggan jika menentukan bahwa ia tidak dapat mematuhi kewajibannya berdasarkan dokumen ini, dan harus bekerja sama dengan Pelanggan serta mengambil semua langkah yang wajar untuk menghentikan dan memperbaiki setiap pemrosesan yang tidak patuh. Penyedia harus segera menghentikan (dan meminta semua subkontraktor untuk segera menghentikan) pemrosesan Data Pribadi Pelanggan jika Pelanggan menentukan bahwa ketidakpatuhan tersebut tidak dapat diperbaiki dalam jangka waktu yang wajar.
3.Kategori Data Pribadi yang Diproses
Kategori Data Pribadi Pelanggan yang diproses sehubungan dengan Layanan mencakup data yang berkaitan dengan karyawan dan kandidat Pelanggan. Hal ini dapat mencakup: informasi pribadi seperti nama, nomor identifikasi, foto, alamat, tanggal lahir, jenis kelamin, status perkawinan, kontak darurat, nomor telepon, kualifikasi akademik dan profesional, CV atau resume, riwayat pekerjaan, dan kemahiran bahasa; informasi sehubungan dengan pekerjaan seperti jabatan, tingkat, lokasi, jalur pelaporan, tanggal perekrutan, jam kerja, rincian kontrak, data kinerja dan penilaian, informasi disiplin karyawan, tunjangan dan asuransi, aset yang ditugaskan, pelatihan, dan dokumentasi cuti; informasi terkait penggajian seperti gaji dan kompensasi, informasi pajak dan jaminan sosial, rincian bank, pensiun, bonus, dan tunjangan lainnya. Jika berlaku, Layanan juga dapat memproses rincian kontak referensi dan pemberi referensi, serta kategori data khusus seperti status kesehatan dan informasi disabilitas.
Pemrosesan Data Pribadi Pelanggan dilakukan untuk tujuan menyediakan dan memelihara platform HRIS, termasuk pengumpulan, hosting, pemrosesan, dan dukungan data SDM. Durasi pemrosesan sesuai dengan periode selama Layanan diberikan kepada Pelanggan sesuai dengan Perjanjian, termasuk setiap periode dukungan yang berlaku setelahnya.
4.Sub-pemrosesan
Penyedia tidak boleh menunjuk pihak ketiga mana pun untuk memproses Data Pribadi Pelanggan ("Sub-pemroses") tanpa persetujuan tertulis sebelumnya dari Pelanggan. Dengan tunduk pada persetujuan tersebut, Penyedia harus: (a) memberikan pemberitahuan sebelumnya yang wajar kepada Pelanggan mengenai identitas dan lokasi setiap Sub-pemroses baru atau pengganti serta deskripsi pemrosesan yang dimaksud; (b) memberlakukan ketentuan perlindungan data yang mengikat secara hukum pada setiap Sub-pemroses yang sama dengan yang berlaku bagi Penyedia berdasarkan Perjanjian; dan (c) tetap bertanggung jawab penuh kepada Pelanggan atas setiap pelanggaran Perjanjian yang disebabkan oleh tindakan, kesalahan, atau kelalaian Sub-pemroses mana pun.
BambooHR LLC bertindak sebagai penyedia teknologi dan memproses Data Pribadi Pelanggan untuk menyediakan layanan platform berdasarkan Perjanjian Pemrosesan Data BambooHR. Seluruh data pribadi, termasuk data karyawan, yang disimpan di platform di-host di Irlandia oleh BambooHR, dengan Amazon Web Services (AWS) sebagai sub-pemroses hosting utama. Sub-pemroses operasional tambahan yang digunakan oleh BambooHR antara lain: Cloudflare (web application firewall), Datadog (pemantauan infrastruktur), Microsoft (kolaborasi ruang kerja dan penyimpanan dokumen), Mailgun (komunikasi aplikasi), Twilio (autentikasi multifaktor melalui SMS), Snowflake (analitik data), dan OneTrust (hak privasi dan pengelolaan cookie). Daftar sub-pemroses terkini tersedia atas permintaan.
Jika, dalam waktu yang wajar setelah penerimaan pemberitahuan tentang Sub-pemroses baru, Pelanggan menolak Sub-pemroses tersebut berdasarkan alasan perlindungan data, maka Penyedia tidak akan melibatkan Sub-pemroses tersebut atau Pelanggan dapat memilih untuk menangguhkan atau mengakhiri Perjanjian.
5.Langkah Keamanan Teknis dan Organisasional
Penyedia menerapkan dan memelihara langkah-langkah keamanan teknis dan organisasional yang sesuai untuk melindungi Data Pribadi Pelanggan dari pemrosesan yang tidak sah dan melanggar hukum serta dari kehilangan, penghancuran, pengungkapan, kerusakan, atau perubahan yang tidak disengaja. Langkah-langkah tersebut ditinjau dan diperbarui secara berkala dengan mempertimbangkan standar industri, biaya implementasi, serta sifat, cakupan, konteks, dan tujuan pemrosesan.
Kontrol akses fisik: peralatan pemrosesan data dan server tempat Data Pribadi Pelanggan diproses ditempatkan di area tertutup dengan akses terbatas. Seluruh akses ke pusat data dicatat, dipantau, dan dilacak. Pusat data diamankan oleh sistem alarm keamanan dan langkah-langkah keamanan lain yang sesuai, termasuk pembatasan pada penerbitan dan penggunaan kredensial akses.
Kontrol akses sistem: enkripsi standar industri digunakan untuk mencegah akses yang tidak sah ke sistem pemrosesan data. Langkah-langkah mencakup penghentian otomatis terminal pengguna jika dibiarkan tidak aktif, persyaratan identifikasi dan kata sandi (termasuk persyaratan panjang minimum dan karakter khusus), pengelogan keluar otomatis atas ID pengguna yang tidak aktif untuk jangka waktu yang substansial, serta pencatatan dan pemantauan penuh atas seluruh akses ke data.
Kontrol akses data: hanya personel yang diperlukan untuk membantu penyediaan Layanan yang memiliki akses ke Data Pribadi Pelanggan, dan akses tersebut dibatasi secara ketat pada ruang lingkup izin akses mereka. Karyawan terikat oleh kewajiban kerahasiaan yang sesuai dan menerima pelatihan yang relevan. Akses dikendalikan melalui keamanan aplikasi dan data dipisahkan pada tingkat basis data berdasarkan modul dan fungsi. Tindakan disipliner yang efektif berlaku atas setiap akses yang tidak sah.
Kontrol transmisi: teknologi firewall dan enkripsi melindungi gerbang dan jalur data selama transmisi. Data tidak disimpan pada media penyimpanan bergerak atau perangkat seluler yang tidak terenkripsi. Kelengkapan dan ketepatan seluruh transfer data dipantau.
Kontrol ketersediaan dan keberlangsungan: redundansi infrastruktur, penyimpanan cadangan di luar lokasi, serta rencana pemulihan bencana dan kelangsungan usaha dipelihara untuk memastikan bahwa Data Pribadi Pelanggan dapat dipulihkan secara tepat waktu jika terjadi Insiden Keamanan. Penyimpanan Data Pribadi Pelanggan secara permanen pada workstation lokal dilarang.
Pemisahan pemrosesan: data yang dikumpulkan untuk tujuan yang berbeda diproses secara terpisah melalui keamanan aplikasi, pemisahan di tingkat basis data, serta antarmuka dan proses batch yang spesifik untuk tujuan tertentu.
Pengujian: BambooHR secara berkala menguji, menilai, dan mengevaluasi efektivitas langkah keamanan teknis dan organisasionalnya.
6.Insiden Keamanan dan Pemberitahuan Pelanggaran
Penyedia harus memberi tahu Pelanggan dalam waktu paling cepat yang dimungkinkan dan dalam hal apa pun dalam 48 jam setelah mengetahui adanya Insiden Keamanan yang sebenarnya atau yang dicurigai. Pemberitahuan tersebut harus mencakup: (a) deskripsi rinci mengenai Insiden Keamanan; (b) jenis Data Pribadi Pelanggan yang menjadi objek Insiden Keamanan; (c) identitas masing-masing subjek data yang terdampak, atau jika tidak memungkinkan, perkiraan jumlah subjek data dan catatan data pribadi yang terlibat; dan (d) deskripsi tindakan yang telah diambil atau yang diusulkan untuk diambil guna menangani Insiden Keamanan, termasuk langkah-langkah untuk memitigasi kemungkinan dampak buruknya.
Penyedia setuju untuk segera mengambil tindakan, dengan biayanya sendiri, untuk menyelidiki Insiden Keamanan dan mengidentifikasi, mencegah, serta memitigasi dampaknya. Penyedia harus terus memberi Pelanggan informasi terbaru mengenai seluruh perkembangan material. Penyedia juga harus memberikan informasi dan kerja sama secara tepat waktu sebagaimana mungkin diperlukan oleh Pelanggan untuk memenuhi kewajiban Pelanggan dalam pelaporan dan pemberitahuan pelanggaran data berdasarkan hukum perlindungan data yang berlaku.
Isi dan penyampaian setiap pemberitahuan, komunikasi kepada regulator, atau siaran pers mengenai Insiden Keamanan semata-mata berada dalam diskresi Pelanggan, kecuali jika diwajibkan lain oleh hukum yang berlaku. Penyedia tidak boleh menerbitkan, memublikasikan, atau menyediakan komunikasi semacam itu kepada pihak ketiga mana pun tanpa persetujuan sebelumnya dari Pelanggan. Apabila BambooHR disebutkan namanya dalam komunikasi semacam itu, BambooHR harus diberi kesempatan untuk meninjau dan menyetujui komunikasi tersebut demi ketepatannya, dan persetujuan tersebut tidak boleh ditahan secara tidak wajar.
7.Transfer Data dan Pemrosesan Internasional
Seluruh Data Pribadi Pelanggan, termasuk data karyawan, yang disimpan pada platform BambooHR di-hosting di Irlandia. Penyedia harus memastikan bahwa Data Pribadi Pelanggan diproses di dalam Wilayah Ekonomi Eropa (EEA) atau wilayah lain di mana tidak diberlakukan pembatasan atas transfer data pribadi lintas batas berdasarkan Peraturan Perundang-undangan Perlindungan Data, dengan pengecualian berikut di mana BambooHR diberi wewenang untuk mentransfer data ke luar pusat data Irlandia: (1) dalam keadaan darurat, seperti pelanggaran data di pusat data Irlandia; (2) dalam rangka permintaan dukungan ketika akses oleh tim dukungan AS diperlukan dan konfirmasi tertulis telah diterima dari Pelanggan; dan (3) atas permintaan tertulis terverifikasi dari Pelanggan untuk memindahkan hosting ke luar Irlandia.
Sepanjang Data Pribadi Pelanggan ditransfer ke luar EEA, transfer tersebut diatur oleh Klausul Kontrak Standar UE untuk transfer data pribadi kepada pemroses, sebagaimana disetujui oleh Komisi Eropa dan dimasukkan ke dalam Perjanjian. Untuk transfer dari Britania Raya, Lampiran Transfer Data Internasional terhadap Klausul Kontrak Standar Komisi UE berlaku. Untuk transfer dari Swiss, klausul yang sama berlaku dengan amandemen untuk mencerminkan hukum Swiss, termasuk rujukan pada Federal Act on Data Protection (FDAP) dan yurisdiksi Federal Data Protection and Information Commissioner.
Penyedia akan selalu menyediakan tingkat perlindungan yang memadai bagi Data Pribadi Pelanggan, di mana pun data tersebut diproses, sesuai dengan persyaratan hukum perlindungan data yang berlaku. Klausul Model atau Klausul Kontrak Standar akan berlaku lebih tinggi apabila terjadi pertentangan dengan ketentuan Perjanjian atau dokumen ini. Dalam keadaan apa pun dokumen ini tidak membatasi atau mengurangi hak dari subjek data mana pun atau dari otoritas pengawas yang berwenang mana pun.
8.Hak Subjek Data
Subjek data yang data pribadinya diproses sehubungan dengan Layanan dapat, sesuai dengan hukum perlindungan data yang berlaku, memiliki hak untuk: mengakses salinan data pribadi mereka; meminta perbaikan atas data pribadi yang tidak akurat; meminta penghapusan data pribadi mereka apabila tidak ada alasan yang sah untuk melanjutkan pemrosesan; membatasi atau menolak pemrosesan data pribadi mereka; menerima data pribadi mereka dalam format yang terstruktur, umum digunakan, dan dapat dibaca mesin (portabilitas data); serta menarik persetujuan apabila pemrosesan didasarkan pada persetujuan.
Penyedia harus, tanpa biaya tambahan, memberikan kerja sama dan bantuan penuh kepada Pelanggan untuk memungkinkan Pelanggan mematuhi kewajibannya sebagai pengendali data, termasuk terkait dengan: keamanan data; pemberitahuan pelanggaran data; penilaian dampak perlindungan data; konsultasi terlebih dahulu dengan otoritas pengawas; pemenuhan hak subjek data; serta setiap pertanyaan, pemberitahuan, atau penyelidikan oleh otoritas pengawas atau otoritas regulator lainnya. Setiap permintaan dari subjek data yang diterima langsung oleh Penyedia harus, kecuali dilarang oleh hukum yang berlaku, segera diteruskan kepada Pelanggan tanpa ditanggapi tanpa otorisasi tegas dari Pelanggan.
9.Laporan Keamanan, Inspeksi, dan Audit
BambooHR memelihara catatan sesuai dengan ISO 27001, SOC II, atau standar Sistem Manajemen Keamanan Informasi ("ISMS") serupa lainnya dan harus memberikan kepada Pelanggan salinan sertifikasi ISMS yang relevan, ringkasan laporan audit, dan/atau dokumentasi lain yang secara wajar diperlukan oleh Pelanggan untuk memverifikasi kepatuhan terhadap kewajiban perlindungan data yang berlaku, atas permintaan.
Penyedia harus, setelah menerima permintaan tertulis dari Pelanggan, menyediakan informasi sebagaimana secara wajar diperlukan untuk menunjukkan kepatuhan terhadap hukum perlindungan data yang berlaku dan mengizinkan Pelanggan dan/atau agen resminya untuk mengaudit catatan sejauh yang secara wajar diperlukan untuk mengonfirmasi kepatuhan terhadap kewajiban yang berlaku, dengan ketentuan bahwa audit tersebut tidak melibatkan peninjauan terhadap data pihak ketiga apa pun dan catatan yang diakses diperlakukan sebagai rahasia. Pelanggan harus menanggung sendiri biaya untuk melakukan audit tersebut. Kecuali apabila permintaan Pelanggan mengikuti suatu Insiden Keamanan atau diwajibkan lain oleh hukum perlindungan data yang berlaku, Pelanggan tidak boleh membuat permintaan semacam itu lebih dari sekali dalam setiap periode 12 bulan.
Penyedia harus membantu Pelanggan dalam melakukan penilaian dampak perlindungan data atas Layanan sejauh hal tersebut wajar mengingat data pribadi yang sedang diproses, dan harus bekerja sama secara wajar untuk menerapkan tindakan mitigasi yang diperlukan guna menangani risiko privasi yang teridentifikasi dalam penilaian tersebut.
10.Penghapusan dan Pengembalian Data
Atas permintaan dan pilihan Pelanggan (baik selama maupun setelah pengakhiran Perjanjian), Penyedia harus segera dan sesuai dengan yang ditentukan oleh Pelanggan mengembalikan atau memusnahkan seluruh Data Pribadi Pelanggan yang berada dalam penguasaan atau kendali Penyedia atau sub-pemrosesnya. Persyaratan ini tidak berlaku sejauh Penyedia diwajibkan oleh hukum yang berlaku untuk menyimpan sebagian atau seluruh Data Pribadi Pelanggan, dalam hal mana Penyedia harus mengisolasi dan melindungi data tersebut dari pemrosesan lebih lanjut kecuali sejauh diwajibkan oleh hukum.
Setelah pengakhiran atau berakhirnya Perjanjian, BambooHR menyediakan periode selama Pelanggan dapat mengekspor Data Pelanggannya dari platform. Pelanggan sepenuhnya bertanggung jawab untuk memastikan bahwa ia menyelesaikan setiap ekspor data yang diperlukan sebelum periode tersebut berakhir. Penyedia akan memberikan bantuan yang wajar dalam ekspor data, dengan tunduk pada biaya yang berlaku atas bantuan tersebut yang disepakati terlebih dahulu.
11.Umum
Dokumen Privasi ini dan kewajiban pemrosesan data yang diatur di dalamnya dimasukkan ke dalam Perjanjian dan akan diatur oleh serta ditafsirkan sesuai dengan hukum negara tempat Pelanggan memiliki tempat usaha utamanya di Uni Eropa, EEA, Swiss, atau Britania Raya, kecuali jika diwajibkan lain oleh hukum perlindungan data yang berlaku. Apabila terjadi pertentangan antara Perjanjian dan kewajiban pemrosesan data ini, kewajiban pemrosesan data yang akan berlaku.
Kewajiban yang dibebankan kepada Penyedia berdasarkan ketentuan ini akan tetap berlaku selama Penyedia dan/atau subkontraktornya memproses Data Pribadi Pelanggan atas nama Pelanggan. Kewajiban ini tidak dapat diubah kecuali melalui instrumen tertulis berikutnya yang ditandatangani oleh kedua belah pihak. Jika ada bagian dari kewajiban ini dinyatakan tidak dapat diberlakukan, keabsahan seluruh bagian lainnya tidak akan terpengaruh.
Kami dapat memperbarui dokumen Privasi ini dari waktu ke waktu untuk mencerminkan perubahan dalam hukum yang berlaku, aktivitas pemrosesan kami, atau langkah-langkah organisasional kami. Perubahan material akan diberitahukan kepada Pelanggan terlebih dahulu. Jika Anda memiliki pertanyaan atau kekhawatiran tentang pemrosesan data pribadi Anda, silakan hubungi kami melalui halaman kontak kami.
