1.Definicje
W niniejszej Umowie o przetwarzaniu danych ("DPA"): "Administrator" oznacza podmiot określający cele i sposoby przetwarzania Danych osobowych (zazwyczaj Klienta); "Podmiot przetwarzający" oznacza podmiot przetwarzający Dane osobowe w imieniu Administratora (BambooHR); "Osoba, której dane dotyczą" oznacza zidentyfikowaną lub możliwą do zidentyfikowania osobę fizyczną, której dotyczą Dane osobowe; "Dane osobowe" oznaczają wszelkie informacje odnoszące się do zidentyfikowanej lub możliwej do zidentyfikowania osoby fizycznej; "Przetwarzanie" oznacza dowolną operację wykonywaną na Danych osobowych; "Incydent bezpieczeństwa" oznacza wszelkie potwierdzone nieuprawnione pozyskanie, dostęp, użycie lub ujawnienie Danych osobowych.
"RODO" oznacza rozporządzenie (UE) 2016/679 (ogólne rozporządzenie o ochronie danych) oraz, w stosownych przypadkach, wersję RODO obowiązującą w Zjednoczonym Królestwie, zachowaną w prawie Zjednoczonego Królestwa ("UK GDPR"). "Standardowe Klauzule Umowne" lub "SCCs" oznaczają standardowe klauzule umowne przyjęte przez Komisję Europejską dotyczące przekazywania Danych osobowych podmiotom przetwarzającym ustanowionym w państwach trzecich.
2.Zakres i charakter przetwarzania
Niniejsza DPA ma zastosowanie do przetwarzania Danych osobowych przez BambooHR jako Podmiot przetwarzający w imieniu Klienta jako Administratora w związku ze świadczeniem Usług przez BambooHR. BambooHR będzie przetwarzać Dane osobowe wyłącznie w zakresie niezbędnym do świadczenia Usług i zgodnie z udokumentowanymi instrukcjami Klienta, w tym instrukcjami określonymi w Warunkach świadczenia usług dla klientów oraz wszelkich mających zastosowanie Formularzach zamówienia.
BambooHR nie będzie przetwarzać Danych osobowych Klienta w żadnym innym celu, w tym we własnych celach handlowych BambooHR, bez uprzedniej pisemnej zgody Klienta, chyba że jest to wymagane przez obowiązujące prawo, w którym to przypadku BambooHR poinformuje Klienta o takim wymogu prawnym przed rozpoczęciem przetwarzania, o ile nie jest to zabronione przez prawo.
3.Obowiązki podmiotu przetwarzającego
BambooHR będzie: (a) przetwarzać Dane osobowe wyłącznie na udokumentowane instrukcje Klienta; (b) zapewniać, że osoby upoważnione do przetwarzania Danych osobowych zobowiązały się do zachowania poufności; (c) wdrażać odpowiednie techniczne i organizacyjne środki zapewniające poziom bezpieczeństwa odpowiedni do ryzyka; (d) pomagać Klientowi w odpowiadaniu na żądania osób, których dane dotyczą, dotyczące ich praw; (e) pomagać Klientowi w zapewnieniu zgodności z obowiązkami związanymi z bezpieczeństwem, powiadamianiem o naruszeniach, ocenami skutków dla ochrony danych oraz wcześniejszymi konsultacjami; (f) usuwać lub zwracać wszystkie Dane osobowe po zakończeniu umowy; oraz (g) udostępniać informacje niezbędne do wykazania zgodności i umożliwienia audytów.
W przypadku gdy BambooHR przetwarza Dane Osobowe UE lub Zjednoczonego Królestwa przekazane do BambooHR w Stanach Zjednoczonych, Standardowe Klauzule Umowne UE (Moduł 2: Administrator do Podmiotu Przetwarzającego), które mogą być od czasu do czasu aktualizowane, są włączone do niniejszej DPA przez odesłanie i mają zastosowanie do takich transferów. Klient i BambooHR uznaje się za strony, które zawarły SCC w Dacie Wejścia w Życie niniejszej DPA.
4.Obowiązki administratora
Klient oświadcza i gwarantuje, że posiada wszelkie niezbędne prawa i uprawnienia do przekazania Danych Osobowych BambooHR oraz do polecenia BambooHR przetwarzania takich danych. Klient zapewni, że wszystkie wymagane powiadomienia zostały przekazane, a wszystkie wymagane zgody zostały uzyskane od Osób, których dane dotyczą, zgodnie z obowiązującym prawem ochrony danych.
Klient jest odpowiedzialny za określenie celów i sposobów przetwarzania Danych Osobowych oraz za zapewnienie, że takie przetwarzanie jest zgodne z prawem. Klient wdroży odpowiednie środki techniczne i organizacyjne, aby zapewnić i wykazać, że przetwarzanie odbywa się zgodnie z obowiązującym prawem i niniejszą DPA.
5.Podmioty podprzetwarzające
Klient upoważnia BambooHR do korzystania z podmiotów podprzetwarzających wymienionych na stronie bamboohr.com/legal/sub-processors ("Lista podmiotów podprzetwarzających") w celu przetwarzania Danych osobowych. BambooHR zapewni co najmniej trzydzieści (30) dni uprzedniego powiadomienia o wszelkich proponowanych zmianach na Liście podmiotów podprzetwarzających poprzez aktualizację listy i powiadomienie Klienta pocztą elektroniczną. Klient może sprzeciwić się każdemu proponowanemu dodaniu lub zastąpieniu podmiotu podprzetwarzającego w tym okresie, wysyłając pisemne powiadomienie za pośrednictwem naszej strony kontaktowej.
BambooHR nałoży na każdego podwykonawcę obowiązki w zakresie ochrony danych równoważne tym określonym w niniejszej DPA i pozostanie odpowiedzialny wobec Klienta za wszelkie niewykonanie przez podwykonawcę jego obowiązków w zakresie ochrony danych. BambooHR zapewni, że podwykonawcy podlegają odpowiednim mechanizmom transferu w przypadku jakichkolwiek transferów międzynarodowych.
6.Prawa osoby, której dane dotyczą
W zakresie dozwolonym przez prawo BambooHR niezwłocznie powiadomi Klienta, jeżeli BambooHR otrzyma żądanie od osoby, której dane dotyczą, w celu wykonania przysługujących jej praw na mocy mającego zastosowanie prawa o ochronie danych, w tym praw dostępu, sprostowania, usunięcia, ograniczenia, przenoszenia lub sprzeciwu. BambooHR nie będzie odpowiadać na takie żądanie bez uprzedniej zgody Klienta, z wyjątkiem potwierdzenia osobie, której dane dotyczą, że BambooHR przekazał żądanie.
BambooHR zapewni Klientowi komercyjnie uzasadnioną pomoc w wypełnianiu jego obowiązków w zakresie udzielania odpowiedzi na wnioski dotyczące praw osób, których dane dotyczą, z uwzględnieniem charakteru przetwarzania i informacji dostępnych dla BambooHR. Za szeroką pomoc wykraczającą poza to, co jest rozsądnie wymagane, mogą obowiązywać dodatkowe opłaty.
7.Środki bezpieczeństwa
BambooHR wdroży i utrzyma odpowiednie techniczne i organizacyjne środki ochrony Danych osobowych przed przypadkowym lub bezprawnym zniszczeniem, utratą, zmianą, nieuprawnionym ujawnieniem lub dostępem. Takie środki zostaną opisane w Załączniku bezpieczeństwa BambooHR, dostępnym pod adresem bamboohr.com/legal/security-exhibit, który może być okresowo aktualizowany.
Uwzględniając aktualny stan wiedzy technicznej, koszty wdrożenia oraz charakter, zakres, kontekst i cele przetwarzania, a także ryzyko o zmiennym prawdopodobieństwie i wadze dla praw i wolności osób fizycznych, środki bezpieczeństwa BambooHR będą obejmować szyfrowanie Danych osobowych w trakcie transmisji oraz w rest, uwierzytelnianie wieloskładnikowe, regularne testy bezpieczeństwa i kontrolę dostępu.
8.Powiadomienie o naruszeniu danych
BambooHR niezwłocznie powiadomi Klienta, a w każdym razie w ciągu siedemdziesięciu dwóch (72) godzin od powzięcia wiadomości o Incydencie bezpieczeństwa, który dotyczy Danych osobowych Klienta. Takie powiadomienie będzie obejmować: opis charakteru Incydentu bezpieczeństwa; kategorie i przybliżoną liczbę osób, których dane dotyczą, oraz odpowiednich rejestrów Danych osobowych; prawdopodobne konsekwencje Incydentu bezpieczeństwa; oraz środki podjęte lub proponowane przez BambooHR w celu rozwiązania Incydentu bezpieczeństwa.
Powiadomienie BambooHR o Incydencie bezpieczeństwa nie będzie interpretowane jako potwierdzenie winy lub odpowiedzialności. Klient ponosi wyłączną odpowiedzialność za ustalenie, czy i w jaki sposób powiadomić osoby, których dane dotyczą, oraz organy nadzorcze, zgodnie z mającym zastosowanie prawem.
9.Zwrot i usunięcie danych
Po wygaśnięciu lub zakończeniu Umowy BambooHR na pisemny wniosek Klienta zwróci Klientowi wszystkie Dane osobowe w formacie nadającym się do odczytu maszynowego i/lub usunie wszystkie Dane osobowe. BambooHR zakończy taki zwrot lub usunięcie w ciągu trzydziestu (30) dni od pisemnego wniosku Klienta.
O ile obowiązujące prawo nie wymaga dalszego przechowywania, BambooHR usunie wszystkie pozostałe kopie Danych osobowych po zakończeniu procesu zwrotu lub usunięcia. Na pisemny wniosek Klienta BambooHR potwierdzi pisemnie, że wszystkie Dane osobowe zostały zwrócone lub usunięte.
10.Prawa do audytu
BambooHR udostępni Klientowi wszelkie informacje rozsądnie niezbędne do wykazania zgodności z niniejszą DPA oraz umożliwi i przyczyni się do przeprowadzenia audytów, w tym inspekcji, przeprowadzanych przez Klienta lub audytora wyznaczonego przez Klienta. Klient zapewni rozsądne uprzednie powiadomienie (co najmniej trzydzieści (30) dni) przed przeprowadzeniem jakiegokolwiek audytu oraz zapewni, że każdy wyznaczony audytor będzie podlegał odpowiednim obowiązkom poufności.
BambooHR może wypełnić swoje obowiązki audytowe, udostępniając Klientowi swoje najnowsze raporty z audytu stron trzecich (takie jak SOC 2 Type II) oraz odpowiednie certyfikacje. Każdy audyt na miejscu będzie przeprowadzany na koszt Klienta, w regularnych godzinach pracy i bez zakłócania działalności operacyjnej BambooHR.
