1.Definitioner
I detta Personuppgiftsbiträdesavtal ("DPA"): "Personuppgiftsansvarig" avser den enhet som bestämmer ändamålen med och medlen för behandling av Personuppgifter (vanligtvis Kunden); "Personuppgiftsbiträde" avser den enhet som behandlar Personuppgifter för den Personuppgiftsansvariges räkning (BambooHR); "Registrerad" avser den identifierade eller identifierbara fysiska person som Personuppgifterna avser; "Personuppgifter" avser varje uppgift som rör en identifierad eller identifierbar fysisk person; "Behandling" avser varje åtgärd som utförs på Personuppgifter; "Säkerhetsincident" avser varje bekräftat obehörigt förvärv, åtkomst, användning eller utlämnande av Personuppgifter.
"GDPR" avser förordning (EU) 2016/679 (allmänna dataskyddsförordningen) och, när tillämpligt, den brittiska versionen av GDPR som bevarats i brittisk lag ("UK GDPR"). "Standardavtalsklausuler" eller "SCCs" avser de standardavtalsklausuler som antagits av Europeiska kommissionen för överföring av Personuppgifter till personuppgiftsbiträden etablerade i tredjeländer.
2.Omfattning och karaktär av behandlingen
Detta DPA gäller för behandling av Personuppgifter av BambooHR i egenskap av Personuppgiftsbiträde för Kundens räkning i egenskap av Personuppgiftsansvarig i samband med BambooHR:s tillhandahållande av Tjänsterna. BambooHR kommer endast att behandla Personuppgifter i den utsträckning som är nödvändig för att tillhandahålla Tjänsterna och i enlighet med Kundens dokumenterade instruktioner, inklusive de som anges i kundvillkoren och varje tillämpligt beställningsformulär.
BambooHR ska inte behandla Kundens Personuppgifter för något annat syfte, inklusive BambooHR:s egna kommersiella syften, utan Kundens föregående skriftliga samtycke, utom när detta krävs enligt tillämplig lag, i vilket fall BambooHR kommer att informera Kunden om det rättsliga kravet innan behandlingen inleds, såvida inte detta är förbjudet enligt lag.
3.Personuppgiftsbiträdets skyldigheter
BambooHR ska: (a) endast behandla personuppgifter enligt dokumenterade instruktioner från Kunden; (b) säkerställa att personer som har behörighet att behandla personuppgifterna har åtagit sig konfidentialitet; (c) genomföra lämpliga tekniska och organisatoriska åtgärder för att säkerställa en säkerhetsnivå som är lämplig i förhållande till risken; (d) bistå Kunden vid hantering av registrerades rättighetsförfrågningar; (e) bistå Kunden med att säkerställa efterlevnad av skyldigheter avseende säkerhet, anmälan av personuppgiftsincidenter, konsekvensbedömningar avseende dataskydd och förhandssamråd; (f) radera eller återlämna alla personuppgifter vid avtalets upphörande; och (g) tillhandahålla information som är nödvändig för att visa efterlevnad och möjliggöra revisioner.
När BambooHR behandlar EU- eller brittiska personuppgifter som överförs till BambooHR i Förenta staterna, införlivas EU:s standardavtalsklausuler (modul 2: Personuppgiftsansvarig till personuppgiftsbiträde), såsom de kan uppdateras från tid till annan, i denna DPA genom hänvisning och ska gälla för sådana överföringar. Kunden och BambooHR ska anses ha ingått SCC:erna på ikraftträdandedagen för denna DPA.
4.Kontrollörens skyldigheter
Kunden intygar och garanterar att den har alla nödvändiga rättigheter och befogenheter att tillhandahålla personuppgifter till BambooHR och att instruera BambooHR att behandla sådana uppgifter. Kunden ska säkerställa att alla nödvändiga meddelanden har lämnats och att alla nödvändiga samtycken har inhämtats från registrerade i enlighet med tillämplig dataskyddslagstiftning.
Kunden ansvarar för att bestämma ändamålen med och medlen för behandlingen av personuppgifter och för att säkerställa att sådan behandling är laglig. Kunden ska genomföra lämpliga tekniska och organisatoriska åtgärder för att säkerställa och visa att behandlingen utförs i enlighet med tillämplig lag och denna DPA.
5.Underbehandlare
Kunden bemyndigar BambooHR att använda de underbiträden som anges på bamboohr.com/legal/sub-processors ("Underbiträdeslistan") för att behandla personuppgifter. BambooHR kommer att lämna minst trettio (30) dagars förhandsmeddelande om eventuella föreslagna ändringar i Underbiträdeslistan genom att uppdatera listan och meddela Kunden via e-post. Kunden får invända mot varje föreslagen tilläggs- eller ersättningsåtgärd av ett underbiträde inom den perioden genom att skicka skriftligt meddelande via vår kontaktsida.
BambooHR ska ålägga varje underbiträde dataskyddsskyldigheter som motsvarar dem i denna DPA och ska förbli ansvarigt gentemot Kunden för varje underbiträdes underlåtenhet att fullgöra sina dataskyddsskyldigheter. BambooHR ska säkerställa att underbiträden omfattas av lämpliga överföringsmekanismer för alla internationella överföringar.
6.Rättigheter för registrerad
I den utsträckning det är rättsligt tillåtet ska BambooHR utan dröjsmål underrätta Kunden om BambooHR tar emot en begäran från en registrerad om att utöva sina rättigheter enligt tillämplig dataskyddslagstiftning, inklusive rätt till tillgång, rättelse, radering, begränsning, portabilitet eller invändning. BambooHR ska inte besvara någon sådan begäran utan Kundens föregående godkännande, förutom att bekräfta för den registrerade att BambooHR har vidarebefordrat begäran.
BambooHR kommer att tillhandahålla kommersiellt rimligt bistånd till Kunden för att fullgöra dess skyldigheter att besvara begäranden om registrerades rättigheter, med beaktande av behandlingens art och den information som är tillgänglig för BambooHR. Ytterligare avgifter kan tillkomma för omfattande bistånd utöver vad som rimligen krävs.
7.Säkerhetsåtgärder
BambooHR shall implementera och upprätthålla lämpliga tekniska och organisatoriska åtgärder för att skydda Personuppgifter mot oavsiktlig eller olaglig förstörelse, förlust, ändring, obehörigt utlämnande eller åtkomst. Sådana åtgärder ska beskrivas i BambooHR's Security Exhibit, tillgänglig på bamboohr.com/legal/security-exhibit, vilken kan uppdateras från tid till annan.
Med beaktande av den tekniska utvecklingen, kostnaderna för genomförandet samt behandlingens art, omfattning, sammanhang och ändamål, liksom risken för varierande sannolikhet och allvar för fysiska personers rättigheter och friheter, ska BambooHR's säkerhetsåtgärder omfatta kryptering av Personuppgifter under överföring och hos rest, multifaktorautentisering, regelbunden säkerhetstestning och åtkomstkontroller.
8.Meddelande om personuppgiftsincident
BambooHR ska utan onödigt dröjsmål underrätta Kunden, och under alla omständigheter inom sjuttiotvå (72) timmar efter att ha blivit medveten om en säkerhetsincident som påverkar Kundens personuppgifter. Sådant meddelande ska omfatta: en beskrivning av säkerhetsincidentens art; kategorierna och det ungefärliga antalet registrerade och berörda personuppgiftsregister; de sannolika konsekvenserna av säkerhetsincidenten; samt de åtgärder som vidtagits eller föreslagits av BambooHR för att hantera säkerhetsincidenten.
BambooHR's anmälan av en Säkerhetsincident ska inte tolkas som ett medgivande av fel eller ansvar. Kunden ansvarar ensamt för att avgöra om och hur Registrerade och tillsynsmyndigheter ska underrättas i enlighet med tillämplig lag.
9.Återlämning och radering av data
Vid avtalets upphörande eller avslutande ska BambooHR, på Kundens skriftliga begäran, återlämna alla personuppgifter till Kunden i ett maskinläsbart format och/eller radera alla personuppgifter. BambooHR kommer att slutföra sådan återlämning eller radering inom trettio (30) dagar efter Kundens skriftliga begäran.
Om inte tillämplig lag kräver fortsatt lagring ska BambooHR radera alla återstående kopior av personuppgifter efter att återlämnings- eller raderingsprocessen har slutförts. På Kundens skriftliga begäran ska BambooHR skriftligen intyga att alla personuppgifter har återlämnats eller raderats.
10.Revisionsrättigheter
BambooHR ska tillhandahålla Kunden all information som rimligen är nödvändig för att visa efterlevnad av denna DPA och möjliggöra samt bidra till revisioner, inklusive inspektioner, som utförs av Kunden eller en av Kunden utsedd revisor. Kunden ska lämna skäligt förhandsmeddelande (minst trettio (30) dagar) innan någon revision genomförs och ska säkerställa att varje utsedd revisor omfattas av lämpliga sekretessförpliktelser.
BambooHR får fullgöra sina revisionsskyldigheter genom att förse Kunden med sina senaste revisionsrapporter från tredje part (såsom SOC 2 Type II) och relevanta certifieringar. All revision på plats ska genomföras på Kundens bekostnad, under ordinarie arbetstid och utan att störa BambooHR's affärsverksamhet.
