1.Definities
In deze Gegevensverwerkingsovereenkomst ("DPA"): "Verwerkingsverantwoordelijke" betekent de entiteit die de doeleinden en middelen van de verwerking van Persoonsgegevens bepaalt (doorgaans de Klant); "Verwerker" betekent de entiteit die Persoonsgegevens verwerkt namens de Verwerkingsverantwoordelijke (BambooHR); "Betrokkene" betekent de geïdentificeerde of identificeerbare natuurlijke persoon op wie Persoonsgegevens betrekking hebben; "Persoonsgegevens" betekent alle informatie met betrekking tot een geïdentificeerde of identificeerbare natuurlijke persoon; "Verwerking" betekent elke bewerking die op Persoonsgegevens wordt uitgevoerd; "Beveiligingsincident" betekent elke bevestigde ongeoorloofde verkrijging, toegang, gebruik of openbaarmaking van Persoonsgegevens.
"GDPR" betekent Verordening (EU) 2016/679 (Algemene verordening gegevensbescherming) en, indien van toepassing, de versie van de GDPR in het Verenigd Koninkrijk zoals behouden in het Britse recht ("UK GDPR"). "Standaardcontractbepalingen" of "SCC's" betekent de standaardcontractbepalingen die door de Europese Commissie zijn vastgesteld voor de overdracht van Persoonsgegevens aan verwerkers die in derde landen zijn gevestigd.
2.Reikwijdte en aard van de verwerking
Deze DPA is van toepassing op de verwerking van Persoonsgegevens door BambooHR als Verwerker namens de Klant als Verwerkingsverantwoordelijke in verband met de dienstverlening van BambooHR. BambooHR zal Persoonsgegevens alleen verwerken voor zover nodig om de Diensten te leveren en in overeenstemming met de gedocumenteerde instructies van de Klant, inclusief die uiteengezet in de Klantvoorwaarden en elk toepasselijk bestelformulier.
BambooHR zal de Persoonsgegevens van de Klant niet voor enig ander doel verwerken, inclusief de eigen commerciële doeleinden van BambooHR, zonder voorafgaande schriftelijke toestemming van de Klant, behalve wanneer vereist door toepasselijke wetgeving, in welk geval BambooHR de Klant vóór de verwerking op de hoogte zal stellen van die wettelijke verplichting, tenzij de wet dat verbiedt.
3.Verplichtingen van de verwerker
BambooHR zal: (a) Persoonsgegevens alleen verwerken op gedocumenteerde instructies van de Klant; (b) ervoor zorgen dat personen die bevoegd zijn de Persoonsgegevens te verwerken zich tot vertrouwelijkheid hebben verbonden; (c) passende technische en organisatorische maatregelen implementeren om een beveiligingsniveau te waarborgen dat passend is bij het risico; (d) de Klant bijstaan bij het reageren op verzoeken van betrokkenen; (e) de Klant bijstaan bij het waarborgen van naleving van verplichtingen met betrekking tot beveiliging, kennisgeving van inbreuken, beoordelingen van de gevolgen voor gegevensbescherming en voorafgaand overleg; (f) alle Persoonsgegevens verwijderen of teruggeven bij beëindiging; en (g) informatie beschikbaar stellen die nodig is om naleving aan te tonen en audits mogelijk te maken.
Wanneer BambooHR EU- of UK-Personaal Gegevens verwerkt die naar BambooHR in de Verenigde Staten worden overgedragen, worden de EU Standard Contractual Clauses (Module 2: Controller to Processor), zoals van tijd tot tijd kunnen worden bijgewerkt, door verwijzing in deze DPA opgenomen en zijn deze van toepassing op dergelijke overdrachten. Customer en BambooHR worden geacht op de Ingangsdatum van deze DPA de SCC's te zijn aangegaan.
4.Verplichtingen van de verwerkingsverantwoordelijke
De Customer verklaart en garandeert dat hij over alle noodzakelijke rechten en bevoegdheden beschikt om Persoonsgegevens aan BambooHR te verstrekken en BambooHR te instrueren die gegevens te verwerken. De Customer zorgt ervoor dat alle vereiste kennisgevingen zijn verstrekt en dat alle vereiste toestemmingen van Betrokkenen zijn verkregen in overeenstemming met toepasselijke wetgeving inzake gegevensbescherming.
De Customer is verantwoordelijk voor het bepalen van de doeleinden en middelen van de verwerking van Persoonsgegevens en voor het waarborgen dat die verwerking rechtmatig is. De Customer zal passende technische en organisatorische maatregelen implementeren om te waarborgen en aan te tonen dat de verwerking wordt uitgevoerd in overeenstemming met toepasselijke wetgeving en deze DPA.
5.Subverwerkers
De Klant machtigt BambooHR om de subverwerkers te gebruiken die zijn vermeld op bamboohr.com/legal/sub-processors (de "Sub-Processor List") om Persoonsgegevens te verwerken. BambooHR zal ten minste dertig (30) dagen vooraf kennis geven van eventuele voorgestelde wijzigingen in de Sub-Processor List door de lijst bij te werken en de Klant per e-mail te informeren. De Klant kan binnen die periode bezwaar maken tegen elke voorgestelde toevoeging of vervanging van een subverwerker door een schriftelijke kennisgeving te sturen via onze contactpagina.
BambooHR zal op elke subverwerker gegevensbeschermingsverplichtingen opleggen die gelijkwaardig zijn aan die in deze DPA en blijft tegenover de Customer aansprakelijk voor elke tekortkoming van een subverwerker in het nakomen van diens gegevensbeschermingsverplichtingen. BambooHR zal ervoor zorgen dat subverwerkers onderworpen zijn aan passende overdrachtsmechanismen voor internationale overdrachten.
6.Rechten van betrokkene
Voor zover wettelijk toegestaan, zal BambooHR de Klant onverwijld op de hoogte stellen indien BambooHR een verzoek ontvangt van een Betrokkene om zijn of haar rechten uit hoofde van toepasselijke gegevensbeschermingswetgeving uit te oefenen, waaronder rechten op inzage, rectificatie, verwijdering, beperking, overdraagbaarheid of bezwaar. BambooHR zal niet reageren op een dergelijk verzoek zonder voorafgaande toestemming van de Klant, behalve om de Betrokkene te bevestigen dat BambooHR het verzoek heeft doorgestuurd.
BambooHR zal commercieel redelijke bijstand verlenen aan de Customer bij het nakomen van zijn verplichtingen om te reageren op verzoeken van Betrokkenen, rekening houdend met de aard van de verwerking en de informatie die voor BambooHR beschikbaar is. Voor uitgebreide bijstand die verder gaat dan wat redelijkerwijs vereist is, kunnen extra kosten van toepassing zijn.
7.Beveiligingsmaatregelen
BambooHR zal passende technische en organisatorische maatregelen implementeren en onderhouden om Persoonsgegevens te beschermen tegen accidentele of onwettige vernietiging, verlies, wijziging, ongeoorloofde openbaarmaking of toegang. Dergelijke maatregelen worden beschreven in de Security Exhibit van BambooHR, beschikbaar op bamboohr.com/legal/security-exhibit, die van tijd tot tijd kan worden bijgewerkt.
Rekening houdend met de stand van de techniek, de implementatiekosten en de aard, omvang, context en doeleinden van de verwerking, evenals het risico van uiteenlopende waarschijnlijkheid en ernst voor de rechten en vrijheden van natuurlijke personen, omvatten de beveiligingsmaatregelen van BambooHR versleuteling van Persoonsgegevens tijdens overdracht en bij rest, multifactorauthenticatie, regelmatige beveiligingstests en toegangscontroles.
8.Kennisgeving van gegevensinbreuk
BambooHR zal de Klant onverwijld en in elk geval binnen vierenzeventig (72) uur nadat hij kennis heeft genomen van een Beveiligingsincident dat van invloed is op de Persoonsgegevens van de Klant, informeren. Een dergelijke kennisgeving omvat: een beschrijving van de aard van het Beveiligingsincident; de categorieën en het geschatte aantal betrokken betrokkenen en persoonsgegevensrecords; de waarschijnlijke gevolgen van het Beveiligingsincident; en de maatregelen die door BambooHR zijn genomen of voorgesteld om het Beveiligingsincident aan te pakken.
De kennisgeving van een Beveiligingsincident door BambooHR mag niet worden opgevat als een erkenning van schuld of aansprakelijkheid. De Klant is uitsluitend verantwoordelijk voor het bepalen of en hoe betrokkenen en toezichthoudende autoriteiten moeten worden geïnformeerd zoals vereist door toepasselijke wetgeving.
9.Teruggave en verwijdering van gegevens
Bij afloop of beëindiging van de Overeenkomst zal BambooHR op schriftelijk verzoek van de Klant alle Persoonsgegevens in een machinaal leesbaar formaat aan de Klant teruggeven en/of alle Persoonsgegevens verwijderen. BambooHR zal een dergelijke teruggave of verwijdering binnen dertig (30) dagen na het schriftelijke verzoek van de Klant voltooien.
Tenzij toepasselijke wetgeving voortdurende opslag vereist, zal BambooHR alle resterende kopieën van Persoonsgegevens verwijderen na voltooiing van het terugzending- of verwijderingsproces. Op schriftelijk verzoek van de Klant zal BambooHR schriftelijk bevestigen dat alle Persoonsgegevens zijn teruggegeven of verwijderd.
10.Recht op audit
BambooHR zal aan de Customer alle informatie beschikbaar stellen die redelijkerwijs nodig is om naleving van deze DPA aan te tonen en zal audits, inclusief inspecties, uitgevoerd door de Customer of een door de Customer aangewezen auditor, mogelijk maken en eraan bijdragen. De Customer zal redelijke voorafgaande kennisgeving geven (ten minste dertig (30) dagen) voordat een audit wordt uitgevoerd en zal ervoor zorgen dat elke aangewezen auditor onderworpen is aan passende vertrouwelijkheidsverplichtingen.
BambooHR kan aan zijn auditverplichtingen voldoen door de Klant de meest recente auditrapporten van derden te verstrekken (zoals SOC 2 Type II) en relevante certificeringen. Elke audit ter plaatse zal worden uitgevoerd op kosten van de Klant, tijdens reguliere kantooruren en zonder de bedrijfsvoering van BambooHR te verstoren.
