1.Визначення
У цій Угоді про обробку даних ("DPA"): "Controller" означає суб’єкта, який визначає цілі та способи обробки Personal Data (зазвичай Клієнта); "Processor" означає суб’єкта, який обробляє Personal Data від імені Controller (BambooHR); "Data Subject" означає ідентифіковану або таку, що піддається ідентифікації, фізичну особу, до якої стосується Personal Data; "Personal Data" означає будь-яку інформацію, що стосується ідентифікованої або такої, що піддається ідентифікації, фізичної особи; "Processing" означає будь-яку операцію, що виконується над Personal Data; "Security Incident" означає будь-яке підтверджене несанкціоноване отримання, доступ, використання або розкриття Personal Data.
"GDPR" означає Регламент (ЄС) 2016/679 (Загальний регламент про захист даних) і, де це застосовно, версію GDPR у Сполученому Королівстві, що збережена в законодавстві Великої Британії ("UK GDPR"). "Standard Contractual Clauses" або "SCCs" означає стандартні договірні положення, прийняті Європейською Комісією для передавання Personal Data процесорам, заснованим у третіх країнах.
2.Обсяг і характер обробки
Ця DPA застосовується до обробки Personal Data компанією BambooHR як Processor від імені Customer як Controller у зв’язку з наданням Послуг BambooHR's. BambooHR оброблятиме Personal Data лише в обсязі, необхідному для надання Послуг, і відповідно до задокументованих інструкцій Customer, зокрема тих, що викладені в Умовах обслуговування для клієнтів і будь-якій застосовній Формі замовлення.
BambooHR не повинен обробляти Personal Data Customer з будь-якою іншою метою, включно з власними комерційними цілями BambooHR's, без попередньої письмової згоди Customer, окрім випадків, коли це вимагається застосовним законом; у такому разі BambooHR поінформує Customer про таку юридичну вимогу до початку обробки, якщо це не заборонено законом.
3.Обов’язки оператора
BambooHR повинен: (a) обробляти Personal Data лише на підставі задокументованих інструкцій від Customer; (b) забезпечити, щоб особи, уповноважені обробляти Personal Data, взяли на себе зобов’язання щодо конфіденційності; (c) впровадити належні технічні та організаційні заходи для забезпечення рівня безпеки, відповідного ризику; (d) допомагати Customer у відповідях на запити щодо прав Data Subject; (e) допомагати Customer у забезпеченні дотримання зобов’язань, пов’язаних із безпекою, повідомленням про порушення, оцінюванням впливу на захист даних та попередніми консультаціями; (f) видалити або повернути всі Personal Data після припинення; і (g) надавати інформацію, необхідну для підтвердження дотримання, та дозволяти проведення аудитів.
Якщо BambooHR обробляє персональні дані ЄС або Великої Британії, передані BambooHR у Сполучених Штатах, Стандартні договірні положення ЄС (Модуль 2: Контролер до Обробника), які можуть час від часу оновлюватися, включаються до цієї DPA шляхом посилання і застосовуються до таких передач. Клієнт і BambooHR вважаються такими, що уклали SCC на Дату набрання чинності цієї DPA.
4.Обов’язки контролера
Клієнт заявляє та гарантує, що має всі необхідні права та повноваження для надання Персональних Даних BambooHR і для доручення BambooHR обробляти такі дані. Клієнт повинен забезпечити, щоб усі необхідні повідомлення були надані та всі необхідні згоди були отримані від Суб’єктів Даних відповідно до чинного законодавства про захист даних.
Клієнт відповідає за визначення цілей і засобів обробки Персональних Даних та за забезпечення того, щоб така обробка була законною. Клієнт повинен упровадити належні технічні й організаційні заходи, щоб забезпечити та продемонструвати, що обробка здійснюється відповідно до чинного законодавства та цієї DPA.
5.Субобробники
Customer уповноважує BambooHR використовувати субпроцесорів, перелічених на bamboohr.com/legal/sub-processors ("Список субпроцесорів"), для обробки Personal Data. BambooHR надасть щонайменше тридцяти (30) днів попереднього повідомлення про будь-які запропоновані зміни до Списку субпроцесорів шляхом оновлення списку та повідомлення Customer електронною поштою. Customer може заперечити проти будь-якого запропонованого додавання або заміни субпроцесора протягом цього періоду, надіславши письмове повідомлення через нашу сторінку контактів.
BambooHR покладає на кожного субпроцесора обов’язки щодо захисту даних, еквівалентні тим, що містяться в цій DPA, і залишається відповідальним перед Клієнтом за будь-яку неспроможність субпроцесора виконати свої зобов’язання щодо захисту даних. BambooHR забезпечує, щоб до субпроцесорів застосовувалися належні механізми передачі для будь-яких міжнародних передач.
6.Права суб’єкта даних
У межах, дозволених законом, BambooHR негайно повідомить Customer, якщо BambooHR отримає запит від Data Subject на реалізацію їхніх прав відповідно до застосовного законодавства про захист даних, включно з правами доступу, виправлення, видалення, обмеження, перенесення або заперечення. BambooHR не відповідатиме на будь-який такий запит без попереднього дозволу Customer, окрім підтвердження Data Subject, що BambooHR переслав запит.
BambooHR надаватиме Клієнту комерційно обґрунтовану допомогу у виконанні його зобов’язань щодо реагування на запити про права Суб’єктів Даних, беручи до уваги характер обробки та інформацію, доступну BambooHR. За значну допомогу понад те, що є розумно необхідним, можуть стягуватися додаткові збори.
7.Заходи безпеки
BambooHR впровадить і підтримуватиме належні технічні та організаційні заходи для захисту Personal Data від випадкового або незаконного знищення, втрати, зміни, несанкціонованого розкриття або доступу. Такі заходи будуть описані в Security Exhibit BambooHR's, доступному за адресою bamboohr.com/legal/security-exhibit, який може час від часу оновлюватися.
Беручи до уваги рівень розвитку технологій, витрати на впровадження, характер, обсяг, контекст і цілі обробки, а також ризик різної ймовірності та серйозності для прав і свобод фізичних осіб, заходи безпеки BambooHR's повинні включати шифрування Personal Data під час передавання та у rest, багатофакторну автентифікацію, регулярне тестування безпеки та засоби контролю доступу.
8.Повідомлення про порушення даних
BambooHR повідомить Customer без невиправданої затримки і в будь-якому разі протягом сімдесяти двох (72) годин після того, як стане відомо про Security Incident, що впливає на Personal Data Customer. Таке повідомлення має містити: опис характеру Security Incident; категорії та приблизну кількість Data Subjects і записів Personal Data, яких це стосується; імовірні наслідки Security Incident; та заходи, вжиті або запропоновані BambooHR для вирішення Security Incident.
Повідомлення BambooHR's про Security Incident не повинно тлумачитися як визнання вини або відповідальності. Customer несе виключну відповідальність за визначення того, чи потрібно і як саме повідомляти Data Subjects та наглядові органи відповідно до застосовного закону.
9.Повернення та видалення даних
Після закінчення або припинення Угоди BambooHR за письмовим запитом Customer поверне всі Personal Data Customer у машинозчитуваному форматі та/або видалить усі Personal Data. BambooHR завершить таке повернення або видалення протягом тридцяти (30) днів із моменту письмового запиту Customer.
Якщо застосовне законодавство не вимагає подальшого зберігання, BambooHR видалить усі решту копії Personal Data після завершення процесу повернення або видалення. На письмовий запит Customer BambooHR письмово засвідчить, що всі Personal Data були повернуті або видалені.
10.Права на аудит
BambooHR надає Клієнту всю інформацію, обґрунтовано необхідну для демонстрації дотримання цієї DPA, та дозволяє і сприяє аудитам, включно з перевірками, проведеними Клієнтом або аудитором, уповноваженим Клієнтом. Клієнт повинен надати розумне попереднє повідомлення (щонайменше тридцять (30) днів) перед проведенням будь-якого аудиту та повинен забезпечити, щоб будь-який уповноважений аудитор був підпорядкований належним зобов’язанням щодо конфіденційності.
BambooHR може виконати свої зобов’язання щодо аудиту, надавши Customer свої найновіші звіти стороннього аудиту (такі як SOC 2 Type II) та відповідні сертифікації. Будь-який аудит на місці проводитиметься за рахунок Customer, у звичайний робочий час і без порушення ділових операцій BambooHR's.
