1.Definições
Neste Acordo de Tratamento de Dados ("DPA"): "Responsável pelo Tratamento" significa a entidade que determina as finalidades e os meios do tratamento de Dados Pessoais (normalmente o Cliente); "Subcontratante" significa a entidade que trata Dados Pessoais em nome do Responsável pelo Tratamento (BambooHR); "Titular dos Dados" significa a pessoa singular identificada ou identificável a quem os Dados Pessoais dizem respeito; "Dados Pessoais" significa qualquer informação relativa a uma pessoa singular identificada ou identificável; "Tratamento" significa qualquer operação efetuada sobre Dados Pessoais; "Incidente de Segurança" significa qualquer aquisição, acesso, utilização ou divulgação não autorizados e confirmados de Dados Pessoais.
"RGPD" significa o Regulamento (UE) 2016/679 (Regulamento Geral sobre a Proteção de Dados) e, quando aplicável, a versão do RGPD do Reino Unido, tal como mantida no direito do Reino Unido ("UK GDPR"). "Cláusulas Contratuais-Tipo" ou "SCCs" significa as cláusulas contratuais-tipo adotadas pela Comissão Europeia para a transferência de Dados Pessoais para subcontratantes estabelecidos em países terceiros.
2.Âmbito e Natureza do Tratamento
Este DPA aplica-se ao tratamento de Dados Pessoais pela BambooHR enquanto Subcontratante em nome do Cliente enquanto Responsável pelo Tratamento em ligação com a prestação dos Serviços pela BambooHR. A BambooHR tratará Dados Pessoais apenas na medida necessária para prestar os Serviços e em conformidade com as instruções documentadas do Cliente, incluindo as estabelecidas nos Termos de Serviço do Cliente e em qualquer Formulário de Encomenda aplicável.
A BambooHR não tratará os Dados Pessoais do Cliente para qualquer outra finalidade, incluindo para os próprios fins comerciais da BambooHR, sem o consentimento prévio por escrito do Cliente, exceto quando exigido pela lei aplicável, caso em que a BambooHR informará o Cliente dessa exigência legal antes de proceder ao tratamento, salvo proibição legal.
3.Obrigações do Subcontratante
A BambooHR deverá: (a) tratar Dados Pessoais apenas com base em instruções documentadas do Cliente; (b) assegurar que as pessoas autorizadas a tratar os Dados Pessoais se comprometeram com a confidencialidade; (c) implementar medidas técnicas e organizacionais adequadas para garantir um nível de segurança apropriado ao risco; (d) prestar assistência ao Cliente na resposta a pedidos de direitos dos Titulares dos Dados; (e) prestar assistência ao Cliente para assegurar a conformidade com as obrigações relativas a segurança, notificação de violações, avaliações de impacto sobre a proteção de dados e consulta prévia; (f) eliminar ou devolver todos os Dados Pessoais após a cessação; e (g) disponibilizar a informação necessária para demonstrar conformidade e permitir auditorias.
Quando BambooHR trata Dados Pessoais da UE ou do Reino Unido transferidos para BambooHR nos Estados Unidos, as Cláusulas Contratuais-Tipo da UE (Módulo 2: Responsável pelo Tratamento para Subcontratante), conforme possam ser atualizadas periodicamente, são incorporadas no presente DPA por referência e aplicam-se a tais transferências. O Cliente e BambooHR serão considerados como tendo celebrado as SCC na Data de Entrada em Vigor do presente DPA.
4.Obrigações do Responsável pelo Tratamento
O Cliente declara e garante que possui todos os direitos e poderes necessários para fornecer Dados Pessoais a BambooHR e para instruir BambooHR a tratar esses dados. O Cliente deverá assegurar que todos os avisos exigidos foram prestados e que todos os consentimentos exigidos foram obtidos dos Titulares dos Dados em conformidade com a legislação aplicável em matéria de proteção de dados.
O Cliente é responsável por determinar as finalidades e os meios do tratamento dos Dados Pessoais e por assegurar que esse tratamento é lícito. O Cliente deverá implementar medidas técnicas e organizacionais adequadas para garantir e demonstrar que o tratamento é efetuado em conformidade com a lei aplicável e com o presente DPA.
5.Subprocessadores
O Cliente autoriza a BambooHR a utilizar os subcontratantes indicados em bamboohr.com/legal/sub-processors (a "Lista de Subcontratantes") para tratar Dados Pessoais. A BambooHR fornecerá um aviso prévio de pelo menos trinta (30) dias de quaisquer alterações propostas à Lista de Subcontratantes, atualizando a lista e notificando o Cliente por email. O Cliente pode opor-se a qualquer adição ou substituição proposta de um subcontratante dentro desse período, enviando uma notificação escrita através da nossa página de contacto.
BambooHR imporá a cada subcontratante obrigações de proteção de dados equivalentes às previstas no presente DPA e manter-se-á responsável perante o Cliente por qualquer falha de um subcontratante no cumprimento das suas obrigações em matéria de proteção de dados. BambooHR deverá assegurar que os subcontratantes estão sujeitos a mecanismos de transferência adequados para quaisquer transferências internacionais.
6.Direitos do Titular dos Dados
Na medida legalmente permitida, a BambooHR notificará prontamente o Cliente se a BambooHR receber um pedido de um Titular dos Dados para exercer os seus direitos ao abrigo da lei aplicável em matéria de proteção de dados, incluindo direitos de acesso, retificação, apagamento, restrição, portabilidade ou oposição. A BambooHR não responderá a qualquer pedido desse tipo sem autorização prévia do Cliente, exceto para confirmar ao Titular dos Dados que a BambooHR encaminhou o pedido.
BambooHR prestará ao Cliente assistência comercialmente razoável no cumprimento das suas obrigações de resposta a pedidos de direitos dos Titulares dos Dados, tendo em conta a natureza do tratamento e as informações disponíveis a BambooHR. Podem aplicar-se taxas adicionais para assistência extensa para além do que é razoavelmente exigido.
7.Medidas de Segurança
A BambooHR implementará e manterá medidas técnicas e organizacionais adequadas para proteger os Dados Pessoais contra destruição, perda, alteração, divulgação não autorizada ou acesso acidental ou ilícito. Tais medidas serão descritas no Anexo de Segurança da BambooHR, disponível em bamboohr.com/legal/security-exhibit, que pode ser atualizado periodicamente.
Tendo em conta o estado da arte, os custos de implementação e a natureza, âmbito, contexto e finalidades do tratamento, bem como o risco de probabilidade e gravidade variáveis para os direitos e liberdades das pessoas singulares, as medidas de segurança da BambooHR incluirão encriptação de Dados Pessoais em trânsito e na rest, autenticação multifator, testes de segurança regulares e controlos de acesso.
8.Notificação de Violação de Dados
A BambooHR notificará o Cliente sem demora indevida e, em qualquer caso, no prazo de setenta e duas (72) horas após tomar conhecimento de um Incidente de Segurança que afete os Dados Pessoais do Cliente. Tal notificação incluirá: uma descrição da natureza do Incidente de Segurança; as categorias e o número aproximado de Titulares dos Dados e registos de Dados Pessoais em causa; as prováveis consequências do Incidente de Segurança; e as medidas tomadas ou propostas pela BambooHR para tratar o Incidente de Segurança.
A notificação de um Incidente de Segurança pela BambooHR não deverá ser interpretada como reconhecimento de culpa ou responsabilidade. O Cliente é o único responsável por determinar se e como notificar Titulares dos Dados e autoridades de controlo, conforme exigido pela lei aplicável.
9.Devolução e Eliminação de Dados
Após a expiração ou cessação do Acordo, a BambooHR deverá, mediante pedido escrito do Cliente, devolver todos os Dados Pessoais ao Cliente num formato legível por máquina e/ou eliminar todos os Dados Pessoais. A BambooHR concluirá essa devolução ou eliminação no prazo de trinta (30) dias após o pedido escrito do Cliente.
Salvo se a lei aplicável exigir armazenamento continuado, a BambooHR eliminará todas as cópias remanescentes dos Dados Pessoais após concluir o processo de devolução ou eliminação. Mediante pedido escrito do Cliente, a BambooHR certificará por escrito que todos os Dados Pessoais foram devolvidos ou eliminados.
10.Direitos de Auditoria
BambooHR disponibilizará ao Cliente todas as informações razoavelmente necessárias para demonstrar conformidade com o presente DPA e permitirá e contribuirá para auditorias, incluindo inspeções, realizadas pelo Cliente ou por um auditor mandatado pelo Cliente. O Cliente deverá fornecer aviso prévio razoável (pelo menos trinta (30) dias) antes de realizar qualquer auditoria e deverá assegurar que qualquer auditor mandatado está sujeito a obrigações adequadas de confidencialidade.
A BambooHR pode cumprir as suas obrigações de auditoria fornecendo ao Cliente os seus relatórios de auditoria de terceiros mais recentes (tais como SOC 2 Type II) e as certificações relevantes. Qualquer auditoria presencial deverá ser realizada por conta do Cliente, durante o horário normal de expediente e sem perturbar as operações comerciais da BambooHR.
