1.정의
본 데이터 처리 계약("DPA")에서: "관리자"란 개인정보의 처리 목적과 수단을 결정하는 법인(통상 고객)을 의미합니다. "처리자"란 관리자를 대신하여 개인정보를 처리하는 법인(BambooHR)을 의미합니다. "정보주체"란 개인정보가 관련되는 식별되었거나 식별 가능한 자연인을 의미합니다. "개인정보"란 식별되었거나 식별 가능한 자연인과 관련된 모든 정보를 의미합니다. "처리"란 개인정보에 대하여 수행되는 모든 작업을 의미합니다. "보안 사고"란 개인정보의 확인된 무단 취득, 접근, 사용 또는 공개를 의미합니다.
"GDPR"이란 규정(EU) 2016/679(일반개인정보보호규정)을 의미하며, 해당되는 경우 영국 법률에 유지된 GDPR의 영국판("UK GDPR")을 포함합니다. "표준계약조항" 또는 "SCCs"란 제3국에 설립된 처리자에게 개인정보를 이전하기 위하여 유럽집행위원회가 채택한 표준계약조항을 의미합니다.
2.처리의 범위 및 성격
본 DPA는 BambooHR이(가) 서비스의 BambooHR's 제공과 관련하여 고객을 위하여 관리자로서 수행하는 개인정보 처리에 적용됩니다. BambooHR은(는) 서비스 제공에 필요한 범위 내에서만, 그리고 고객 서비스 약관 및 해당 주문서에 명시된 사항을 포함하여 고객의 문서화된 지침에 따라 개인정보를 처리합니다.
BambooHR은(는) 고객의 사전 서면 동의 없이, BambooHR's의 자체 상업적 목적을 포함하여 그 밖의 어떠한 목적을 위해서도 고객의 개인정보를 처리하지 아니합니다. 다만, 관련 법률에 따라 요구되는 경우는 예외로 하며, 그러한 경우 BambooHR은(는) 법률에 의해 금지되지 않는 한 처리 전에 해당 법적 요구사항을 고객에게 통지합니다.
3.처리자 의무
BambooHR는 다음을 수행해야 합니다. (a) 고객의 문서화된 지시에 따라서만 개인정보를 처리할 것; (b) 개인정보를 처리하도록 승인된 자가 기밀유지 의무를 부담하고 있음을 보장할 것; (c) 위험에 적합한 수준의 보안을 보장하기 위해 적절한 기술적 및 조직적 조치를 이행할 것; (d) 정보주체 권리 요청에 응답하는 데 고객을 지원할 것; (e) 보안, 유출 통지, 데이터 보호 영향평가 및 사전 협의와 관련된 의무 준수에 있어 고객을 지원할 것; (f) 종료 시 모든 개인정보를 삭제하거나 반환할 것; 및 (g) 준수를 입증하고 감사를 허용하는 데 필요한 정보를 제공할 것.
BambooHR가 미국 내 BambooHR으로 이전된 EU 또는 UK Personal Data를 처리하는 경우, 수시로 업데이트될 수 있는 EU Standard Contractual Clauses (Module 2: Controller to Processor)가 본 DPA에 참조로 편입되며 그러한 이전에 적용됩니다. Customer와 BambooHR는 본 DPA의 발효일에 SCCs를 체결한 것으로 간주됩니다.
4.관리자 의무
Customer는 BambooHR에게 Personal Data를 제공하고 BambooHR에게 해당 데이터를 처리하도록 지시할 모든 필요한 권리와 권한을 보유하고 있음을 진술 및 보증합니다. Customer는 적용 가능한 데이터 보호법에 따라 모든 필수 통지가 제공되었고 모든 필수 동의가 Data Subjects로부터 확보되었음을 보장해야 합니다.
Customer는 Personal Data 처리의 목적과 수단을 결정하고 해당 처리가 합법적임을 보장할 책임이 있습니다. Customer는 적용 가능한 법률 및 본 DPA에 따라 처리가 수행된다는 점을 보장하고 입증하기 위하여 적절한 기술적 및 조직적 조치를 이행해야 합니다.
5.하위 처리자
고객은 BambooHR가 bamboohr.com/legal/sub-processors에 기재된 하위 처리자("하위 처리자 목록")를 개인정보 처리에 사용하도록 승인합니다. BambooHR는 목록을 업데이트하고 이메일로 고객에게 통지함으로써 하위 처리자 목록에 대한 제안된 변경사항을 최소 삼십(30)일 전에 통지합니다. 고객은 당사 문의 페이지를 통해 서면 통지를 보내 해당 기간 내에 제안된 추가 또는 대체에 이의를 제기할 수 있습니다.
BambooHR는 각 하위 처리업체에 본 DPA와 동등한 데이터 보호 의무를 부과해야 하며, 하위 처리업체가 데이터 보호 의무를 이행하지 못한 경우 Customer에 대한 책임을 계속 부담해야 합니다. BambooHR는 국제 이전에 대해 하위 처리업체가 적절한 이전 메커니즘의 적용을 받도록 보장해야 합니다.
6.데이터 주체 권리
법적으로 허용되는 범위 내에서, BambooHR는 정보주체가 접근, 정정, 삭제, 제한, 이동성 또는 이의 제기 권리를 포함하여 적용 가능한 데이터 보호법에 따른 권리를 행사하려는 요청을 BambooHR가 수신하는 경우 고객에게 신속하게 통지해야 합니다. BambooHR는 고객의 사전 승인 없이 그러한 요청에 응답해서는 안 되며, 단 BambooHR가 요청을 전달했음을 정보주체에게 확인하는 경우는 예외로 합니다.
BambooHR는 처리의 성격과 BambooHR에게 이용 가능한 정보를 고려하여, Data Subject 권리 요청에 응답하는 의무를 이행함에 있어 Customer에게 상업적으로 합리적인 지원을 제공합니다. 합리적으로 요구되는 범위를 초과하는 광범위한 지원에 대해서는 추가 비용이 부과될 수 있습니다.
7.보안 조치
BambooHR는 개인정보를 우발적 또는 불법적 파기, 손실, 변경, 무단 공개 또는 접근으로부터 보호하기 위해 적절한 기술적 및 조직적 조치를 이행하고 유지해야 합니다. 그러한 조치는 수시로 업데이트될 수 있는 BambooHR's Security Exhibit에 설명되어 있으며, 해당 문서는 bamboohr.com/legal/security-exhibit에서 확인할 수 있습니다.
최신 기술 수준, 구현 비용, 처리의 성격·범위·맥락·목적, 그리고 자연인의 권리와 자유에 미칠 가능성과 심각성이 다양한 위험을 고려할 때, BambooHR's의 보안 조치에는 전송 중 및 rest에서의 개인정보 암호화, 다중 인증, 정기적인 보안 테스트 및 접근 통제가 포함되어야 합니다.
8.데이터 유출 통지
BambooHR는 고객의 개인정보에 영향을 미치는 보안 사고를 인지한 후 부당한 지체 없이, 그리고 어떠한 경우에도 칠십이(72)시간 이내에 고객에게 통지해야 합니다. 그러한 통지에는 보안 사고의 성격에 대한 설명, 관련 정보주체 및 개인정보 기록의 범주와 대략적인 수, 보안 사고의 예상 결과, 그리고 BambooHR가 보안 사고를 해결하기 위해 취했거나 제안한 조치가 포함되어야 합니다.
보안 사고에 대한 BambooHR's의 통지는 책임 또는 과실의 인정으로 간주되어서는 안 됩니다. 고객은 적용 가능한 법률에 따라 정보주체 및 감독기관에 통지할지 여부와 방법을 결정할 전적인 책임을 집니다.
9.데이터 반환 및 삭제
계약의 만료 또는 종료 시, BambooHR는 고객의 서면 요청에 따라 모든 개인정보를 기계 판독 가능한 형식으로 고객에게 반환하고/또는 모든 개인정보를 삭제해야 합니다. BambooHR는 그러한 반환 또는 삭제를 고객의 서면 요청일로부터 삼십(30)일 이내에 완료합니다.
적용 가능한 법률에 따라 계속 보관이 요구되지 않는 한, BambooHR는 반환 또는 삭제 절차 완료 후 남아 있는 모든 개인정보 사본을 삭제해야 합니다. 고객의 서면 요청이 있는 경우, BambooHR는 모든 개인정보가 반환되었거나 삭제되었음을 서면으로 증명해야 합니다.
10.감사 권리
BambooHR는 본 DPA 준수를 입증하는 데 합리적으로 필요한 모든 정보를 고객에게 제공하고, 고객 또는 고객이 위임한 감사인이 수행하는 검사를 포함하여 감사에 대한 허용 및 기여를 하여야 합니다. 고객은 감사 실시 전에 합리적인 사전 통지(최소 삼십 (30) 일)를 제공하여야 하며, 위임된 감사인이 적절한 기밀 유지 의무의 적용을 받도록 보장하여야 합니다.
BambooHR는 고객에게 가장 최근의 제3자 감사 보고서(예: SOC 2 Type II)와 관련 인증을 제공함으로써 감사 의무를 이행할 수 있습니다. 모든 현장 감사는 고객의 비용 부담으로, 정상 영업시간 중에, 그리고 BambooHR's의 사업 운영을 방해하지 않는 방식으로 수행되어야 합니다.
