1.Definiții
În prezentul Acord privind prelucrarea datelor ("DPA"): "Operator" înseamnă entitatea care stabilește scopurile și mijloacele de prelucrare a Datelor cu caracter personal (de regulă, Clientul); "Persoană împuternicită de operator" înseamnă entitatea care prelucrează Datele cu caracter personal în numele Operatorului (BambooHR); "Persoană vizată" înseamnă persoana fizică identificată sau identificabilă la care se referă Datele cu caracter personal; "Date cu caracter personal" înseamnă orice informație referitoare la o persoană fizică identificată sau identificabilă; "Prelucrare" înseamnă orice operațiune efectuată asupra Datelor cu caracter personal; "Incident de securitate" înseamnă orice dobândire, acces, utilizare sau divulgare confirmată și neautorizată a Datelor cu caracter personal.
"GDPR" înseamnă Regulamentul (UE) 2016/679 (Regulamentul general privind protecția datelor) și, dacă este cazul, versiunea din Regatul Unit a GDPR, astfel cum este păstrată în dreptul britanic ("UK GDPR"). "Clauzele contractuale standard" sau "SCCs" înseamnă clauzele contractuale standard adoptate de Comisia Europeană pentru transferul Datelor cu caracter personal către persoane împuternicite stabilite în țări terțe.
2.Domeniul de aplicare și natura prelucrării
Prezentul DPA se aplică prelucrării Datelor cu caracter personal de către BambooHR în calitate de Persoană împuternicită de operator în numele Clientului, în calitate de Operator, în legătură cu furnizarea Serviciilor de către BambooHR. BambooHR va prelucra Datele cu caracter personal numai în măsura necesară pentru a furniza Serviciile și în conformitate cu instrucțiunile documentate ale Clientului, inclusiv cele stabilite în Condițiile de utilizare pentru clienți și în orice Formular de comandă aplicabil.
BambooHR nu va prelucra Datele cu caracter personal ale Clientului în niciun alt scop, inclusiv în scopurile comerciale proprii ale BambooHR, fără consimțământul scris prealabil al Clientului, cu excepția cazului în care acest lucru este impus de legea aplicabilă, caz în care BambooHR va informa Clientul cu privire la acea cerință legală înainte de prelucrare, cu excepția cazului în care legea interzice acest lucru.
3.Obligațiile persoanei împuternicite
BambooHR va: (a) prelucra Datele cu caracter personal numai pe baza instrucțiunilor documentate ale Clientului; (b) se asigura că persoanele autorizate să prelucreze Datele cu caracter personal s-au angajat la confidențialitate; (c) implementa măsuri tehnice și organizatorice adecvate pentru a asigura un nivel de securitate corespunzător riscului; (d) asista Clientul în răspunsul la solicitările privind drepturile Persoanelor vizate; (e) asista Clientul în asigurarea respectării obligațiilor referitoare la securitate, notificarea încălcărilor, evaluările impactului asupra protecției datelor și consultarea prealabilă; (f) șterge sau returna toate Datele cu caracter personal la încetare; și (g) pune la dispoziție informațiile necesare pentru a demonstra conformitatea și pentru a permite auditurile.
Atunci când BambooHR prelucrează Date cu Caracter Personal din UE sau Regatul Unit transferate către BambooHR în Statele Unite, Clauzele Contractuale Standard ale UE (Modulul 2: operator către persoană împuternicită de operator), astfel cum pot fi actualizate din când în când, sunt incorporate prin trimitere în prezentul DPA și se vor aplica acestor transferuri. Clientul și BambooHR se consideră că au încheiat SCC-urile la Data de Intrare în Vigoare a prezentului DPA.
4.Obligațiile operatorului
Clientul declară și garantează că deține toate drepturile și autoritatea necesare pentru a furniza Date cu Caracter Personal către BambooHR și pentru a instrui BambooHR să prelucreze asemenea date. Clientul se va asigura că toate notificările necesare au fost furnizate și că toate consimțămintele necesare au fost obținute de la Persoanele Vizate în conformitate cu legislația aplicabilă privind protecția datelor.
Clientul este responsabil pentru determinarea scopurilor și mijloacelor de prelucrare a Datelor cu Caracter Personal și pentru asigurarea faptului că o astfel de prelucrare este legală. Clientul va implementa măsuri tehnice și organizatorice adecvate pentru a se asigura și a demonstra că prelucrarea este efectuată în conformitate cu legea aplicabilă și cu prezentul DPA.
5.Subprocesatori
Clientul autorizează BambooHR să utilizeze sub-împuterniciții enumerați la bamboohr.com/legal/sub-processors ("Lista sub-împuterniciților") pentru a prelucra Datele cu caracter personal. BambooHR va furniza o notificare prealabilă de cel puțin treizeci (30) de zile cu privire la orice modificări propuse aduse Listei sub-împuterniciților, prin actualizarea listei și notificarea Clientului prin e-mail. Clientul se poate opune oricărei adăugări sau înlocuiri propuse a unui sub-împuternicit în acea perioadă, prin trimiterea unei notificări scrise prin pagina noastră de contact.
BambooHR va impune fiecărui sub-operator obligații de protecție a datelor echivalente cu cele din prezentul DPA și va rămâne răspunzător față de Client pentru orice neîndeplinire de către un sub-operator a obligațiilor sale privind protecția datelor. BambooHR se va asigura că sub-operatorii fac obiectul unor mecanisme adecvate de transfer pentru orice transferuri internaționale.
6.Drepturile persoanei vizate
În măsura permisă de lege, BambooHR va notifica prompt Clientul dacă BambooHR primește o cerere din partea unei Persoane vizate de a-și exercita drepturile în temeiul legislației aplicabile privind protecția datelor, inclusiv drepturile de acces, rectificare, ștergere, restricționare, portabilitate sau opoziție. BambooHR nu va răspunde la nicio astfel de cerere fără autorizarea prealabilă a Clientului, cu excepția confirmării către Persoana vizată că BambooHR a transmis cererea.
BambooHR va oferi Clientului asistență rezonabilă din punct de vedere comercial în îndeplinirea obligațiilor sale de a răspunde solicitărilor privind drepturile persoanelor vizate, ținând seama de natura prelucrării și de informațiile disponibile pentru BambooHR. Se pot aplica taxe suplimentare pentru asistență extinsă dincolo de ceea ce este în mod rezonabil necesar.
7.Măsuri de securitate
BambooHR va implementa și menține măsuri tehnice și organizatorice adecvate pentru a proteja Datele cu caracter personal împotriva distrugerii, pierderii, modificării, divulgării sau accesului accidental sau ilegal. Aceste măsuri vor fi descrise în Anexa de securitate a BambooHR, disponibilă la bamboohr.com/legal/security-exhibit, care poate fi actualizată din când în când.
Ținând seama de stadiul tehnicii, de costurile implementării și de natura, amploarea, contextul și scopurile prelucrării, precum și de riscul cu probabilitate și gravitate variabilă pentru drepturile și libertățile persoanelor fizice, măsurile de securitate ale BambooHR vor include criptarea Datelor cu caracter personal în tranzit și la rest, autentificarea multifactor, testarea periodică a securității și controalele de acces.
8.Notificarea încălcării datelor
BambooHR va notifica Clientul fără întârzieri nejustificate și, în orice caz, în termen de șaptezeci și doi (72) de ore de la luarea la cunoștință a unui Incident de securitate care afectează Datele cu caracter personal ale Clientului. O astfel de notificare va include: o descriere a naturii Incidentului de securitate; categoriile și numărul aproximativ de Persoane vizate și de înregistrări de Date cu caracter personal vizate; consecințele probabile ale Incidentului de securitate; și măsurile luate sau propuse de BambooHR pentru a aborda Incidentul de securitate.
Notificarea de către BambooHR a unui Incident de securitate nu va fi interpretată ca o recunoaștere a vinovăției sau a răspunderii. Clientul este singurul responsabil pentru a stabili dacă și cum să notifice Persoanele vizate și autoritățile de supraveghere, conform cerințelor legislației aplicabile.
9.Returnarea și ștergerea datelor
La expirarea sau încetarea Acordului, BambooHR va, la solicitarea scrisă a Clientului, să returneze toate Datele cu caracter personal Clientului într-un format citibil automat și/sau să șteargă toate Datele cu caracter personal. BambooHR va finaliza o astfel de returnare sau ștergere în termen de treizeci (30) de zile de la solicitarea scrisă a Clientului.
Cu excepția cazului în care legea aplicabilă impune păstrarea în continuare, BambooHR va șterge toate copiile rămase ale Datelor cu caracter personal după finalizarea procesului de returnare sau ștergere. La solicitarea scrisă a Clientului, BambooHR va certifica în scris că toate Datele cu caracter personal au fost returnate sau șterse.
10.Drepturi de audit
BambooHR va pune la dispoziția Clientului toate informațiile necesare în mod rezonabil pentru a demonstra conformitatea cu prezentul DPA și pentru a permite și contribui la audituri, inclusiv inspecții, efectuate de Client sau de un auditor mandatat de Client. Clientul va furniza o notificare prealabilă rezonabilă (de cel puțin treizeci (30) de zile) înainte de efectuarea oricărui audit și se va asigura că orice auditor mandatat este supus obligațiilor adecvate de confidențialitate.
BambooHR își poate îndeplini obligațiile de audit furnizând Clientului cele mai recente rapoarte de audit ale terților (cum ar fi SOC 2 Type II) și certificările relevante. Orice audit la fața locului va fi efectuat pe cheltuiala Clientului, în timpul programului obișnuit de lucru și fără a perturba operațiunile comerciale ale BambooHR.
