1.Định nghĩa
Trong Thỏa Thuận Xử Lý Dữ Liệu này ("DPA"): "Bên Kiểm Soát" có nghĩa là tổ chức xác định mục đích và phương tiện xử lý Dữ Liệu Cá Nhân (thường là Khách Hàng); "Bên Xử Lý" có nghĩa là tổ chức xử lý Dữ Liệu Cá Nhân thay mặt cho Bên Kiểm Soát (BambooHR); "Chủ Thể Dữ Liệu" có nghĩa là cá nhân tự nhiên đã được xác định hoặc có thể được xác định mà Dữ Liệu Cá Nhân liên quan đến; "Dữ Liệu Cá Nhân" có nghĩa là bất kỳ thông tin nào liên quan đến một cá nhân tự nhiên đã được xác định hoặc có thể được xác định; "Xử Lý" có nghĩa là bất kỳ thao tác nào được thực hiện trên Dữ Liệu Cá Nhân; "Sự Cố An Ninh" có nghĩa là bất kỳ việc tiếp cận, truy cập, sử dụng hoặc tiết lộ Dữ Liệu Cá Nhân trái phép đã được xác nhận.
"GDPR" có nghĩa là Quy định (EU) 2016/679 (Quy định Chung về Bảo vệ Dữ liệu) và, khi áp dụng, phiên bản GDPR của Vương quốc Anh được giữ lại trong luật Vương quốc Anh ("UK GDPR"). "Các Điều Khoản Hợp Đồng Tiêu Chuẩn" hoặc "SCCs" có nghĩa là các điều khoản hợp đồng tiêu chuẩn do Ủy ban Châu Âu thông qua để chuyển giao Dữ Liệu Cá Nhân cho các bên xử lý được thành lập tại các quốc gia thứ ba.
2.Phạm Vi và Bản Chất của Xử Lý
DPA này áp dụng cho việc BambooHR xử lý Dữ Liệu Cá Nhân với tư cách là Bên Xử Lý thay mặt Khách Hàng với tư cách là Bên Kiểm Soát liên quan đến việc BambooHR cung cấp Dịch vụ. BambooHR sẽ chỉ xử lý Dữ Liệu Cá Nhân trong phạm vi cần thiết để cung cấp Dịch vụ và theo các chỉ dẫn đã được ghi nhận của Khách Hàng, bao gồm các chỉ dẫn được nêu trong Điều Khoản Dịch Vụ Khách Hàng và bất kỳ Biểu Mẫu Đặt Hàng áp dụng nào.
BambooHR sẽ không xử lý Dữ Liệu Cá Nhân của Khách Hàng cho bất kỳ mục đích nào khác, bao gồm các mục đích thương mại riêng của BambooHR, nếu không có sự đồng ý trước bằng văn bản của Khách Hàng, trừ khi pháp luật hiện hành yêu cầu, trong trường hợp đó BambooHR sẽ thông báo cho Khách Hàng về yêu cầu pháp lý đó trước khi xử lý, trừ khi bị pháp luật cấm.
3.Nghĩa Vụ Của Bên Xử Lý
BambooHR sẽ: (a) chỉ xử lý Dữ Liệu Cá Nhân theo các chỉ dẫn đã được ghi nhận từ Khách Hàng; (b) bảo đảm rằng những người được ủy quyền xử lý Dữ Liệu Cá Nhân đã cam kết bảo mật; (c) triển khai các biện pháp kỹ thuật và tổ chức phù hợp để bảo đảm mức độ an ninh tương xứng với rủi ro; (d) hỗ trợ Khách Hàng trong việc phản hồi các yêu cầu về quyền của Chủ Thể Dữ Liệu; (e) hỗ trợ Khách Hàng bảo đảm tuân thủ các nghĩa vụ liên quan đến an ninh, thông báo vi phạm, đánh giá tác động bảo vệ dữ liệu và tham vấn trước; (f) xóa hoặc trả lại toàn bộ Dữ Liệu Cá Nhân khi chấm dứt; và (g) cung cấp thông tin cần thiết để chứng minh việc tuân thủ và cho phép kiểm toán.
Trong trường hợp BambooHR xử lý Dữ liệu Cá nhân của EU hoặc Vương quốc Anh được chuyển giao cho BambooHR tại Hoa Kỳ, Các Điều khoản Hợp đồng Tiêu chuẩn của EU (Mô-đun 2: Bên Kiểm soát sang Bên Xử lý), như có thể được cập nhật theo thời gian, được tích hợp vào DPA này theo dẫn chiếu và sẽ áp dụng cho các chuyển giao đó. Khách hàng và BambooHR sẽ được coi là đã ký kết SCCs vào Ngày Có Hiệu lực của DPA này.
4.Nghĩa Vụ Của Bên Kiểm Soát
Khách hàng tuyên bố và bảo đảm rằng mình có tất cả các quyền và thẩm quyền cần thiết để cung cấp Dữ liệu Cá nhân cho BambooHR và chỉ thị cho BambooHR xử lý dữ liệu đó. Khách hàng phải bảo đảm rằng tất cả các thông báo bắt buộc đã được cung cấp và tất cả các sự đồng ý bắt buộc đã được thu thập từ các Chủ thể Dữ liệu theo đúng luật bảo vệ dữ liệu hiện hành.
Khách hàng chịu trách nhiệm xác định mục đích và phương tiện xử lý Dữ liệu Cá nhân và bảo đảm rằng việc xử lý đó là hợp pháp. Khách hàng phải triển khai các biện pháp kỹ thuật và tổ chức phù hợp để bảo đảm và chứng minh rằng việc xử lý được thực hiện theo đúng pháp luật hiện hành và DPA này.
5.Các bên xử lý phụ
Khách Hàng cho phép BambooHR sử dụng các bên xử lý phụ được liệt kê tại bamboohr.com/legal/sub-processors ("Danh Sách Bên Xử Lý Phụ") để xử lý Dữ Liệu Cá Nhân. BambooHR sẽ thông báo trước ít nhất ba mươi (30) ngày về bất kỳ thay đổi nào dự kiến đối với Danh Sách Bên Xử Lý Phụ bằng cách cập nhật danh sách và thông báo cho Khách Hàng qua email. Khách Hàng có thể phản đối bất kỳ việc bổ sung hoặc thay thế bên xử lý phụ nào trong thời gian đó bằng cách gửi thông báo bằng văn bản qua trang liên hệ của chúng tôi.
BambooHR sẽ áp đặt các nghĩa vụ bảo vệ dữ liệu lên từng nhà xử lý phụ tương đương với các nghĩa vụ trong DPA này và sẽ vẫn chịu trách nhiệm với Khách hàng đối với mọi việc nhà xử lý phụ không thực hiện đầy đủ nghĩa vụ bảo vệ dữ liệu của mình. BambooHR sẽ bảo đảm rằng các nhà xử lý phụ phải tuân theo các cơ chế chuyển giao phù hợp đối với mọi chuyển giao quốc tế.
6.Quyền của Chủ thể Dữ liệu
Trong phạm vi được pháp luật cho phép, BambooHR sẽ thông báo kịp thời cho Khách Hàng nếu BambooHR nhận được yêu cầu từ một Chủ Thể Dữ Liệu để thực hiện các quyền của họ theo pháp luật bảo vệ dữ liệu hiện hành, bao gồm quyền truy cập, chỉnh sửa, xóa, hạn chế, chuyển dữ liệu hoặc phản đối. BambooHR sẽ không phản hồi bất kỳ yêu cầu nào như vậy nếu không có sự cho phép trước của Khách Hàng, ngoại trừ việc xác nhận với Chủ Thể Dữ Liệu rằng BambooHR đã chuyển tiếp yêu cầu.
BambooHR sẽ hỗ trợ hợp lý về mặt thương mại cho Khách hàng trong việc thực hiện các nghĩa vụ của Khách hàng để phản hồi các yêu cầu quyền của Chủ thể Dữ liệu, có tính đến tính chất của hoạt động xử lý và thông tin mà BambooHR có được. Có thể áp dụng thêm phí đối với sự hỗ trợ chuyên sâu vượt quá mức hợp lý cần thiết.
7.Các Biện Pháp An Ninh
BambooHR sẽ triển khai và duy trì các biện pháp kỹ thuật và tổ chức phù hợp để bảo vệ Dữ Liệu Cá Nhân trước sự phá hủy, mất mát, thay đổi, tiết lộ hoặc truy cập trái phép hoặc do vô ý. Các biện pháp đó sẽ được mô tả trong Phụ Lục An Ninh của BambooHR, có sẵn tại bamboohr.com/legal/security-exhibit, và có thể được cập nhật theo từng thời điểm.
Xét đến trình độ kỹ thuật hiện có, chi phí triển khai, cũng như bản chất, phạm vi, bối cảnh và mục đích xử lý, cùng với rủi ro về xác suất và mức độ nghiêm trọng khác nhau đối với quyền và tự do của cá nhân, các biện pháp an ninh của BambooHR sẽ bao gồm mã hóa Dữ Liệu Cá Nhân trong quá trình truyền và tại rest, xác thực đa yếu tố, kiểm thử an ninh định kỳ và các biện pháp kiểm soát truy cập.
8.Thông Báo Vi Phạm Dữ Liệu
BambooHR sẽ thông báo cho Khách Hàng mà không chậm trễ quá mức và trong mọi trường hợp trong vòng bảy mươi hai (72) giờ sau khi biết về một Sự Cố An Ninh ảnh hưởng đến Dữ Liệu Cá Nhân của Khách Hàng. Thông báo đó sẽ bao gồm: mô tả về bản chất của Sự Cố An Ninh; các danh mục và số lượng xấp xỉ của các Chủ Thể Dữ Liệu và hồ sơ Dữ Liệu Cá Nhân liên quan; các hậu quả có thể xảy ra của Sự Cố An Ninh; và các biện pháp đã được BambooHR thực hiện hoặc đề xuất để xử lý Sự Cố An Ninh.
Thông báo của BambooHR về một Sự Cố An Ninh sẽ không được hiểu là sự thừa nhận lỗi hoặc trách nhiệm pháp lý. Khách Hàng hoàn toàn chịu trách nhiệm xác định xem có cần thông báo cho các Chủ Thể Dữ Liệu và cơ quan giám sát theo yêu cầu của pháp luật hiện hành hay không và bằng cách nào.
9.Trả Lại và Xóa Dữ Liệu
Khi Thỏa Thuận hết hạn hoặc bị chấm dứt, BambooHR sẽ, theo yêu cầu bằng văn bản của Khách Hàng, trả lại toàn bộ Dữ Liệu Cá Nhân cho Khách Hàng ở định dạng có thể đọc bằng máy và/hoặc xóa toàn bộ Dữ Liệu Cá Nhân. BambooHR sẽ hoàn tất việc trả lại hoặc xóa đó trong vòng ba mươi (30) ngày kể từ yêu cầu bằng văn bản của Khách Hàng.
Trừ khi pháp luật hiện hành yêu cầu tiếp tục lưu trữ, BambooHR sẽ xóa mọi bản sao Dữ Liệu Cá Nhân còn lại sau khi hoàn tất quy trình trả lại hoặc xóa. Theo yêu cầu bằng văn bản của Khách Hàng, BambooHR sẽ xác nhận bằng văn bản rằng toàn bộ Dữ Liệu Cá Nhân đã được trả lại hoặc xóa.
10.Quyền Kiểm toán
BambooHR sẽ cung cấp cho Khách hàng tất cả thông tin cần thiết một cách hợp lý để chứng minh việc tuân thủ DPA này và cho phép cũng như góp phần vào các cuộc kiểm toán, bao gồm kiểm tra, do Khách hàng hoặc kiểm toán viên do Khách hàng chỉ định thực hiện. Khách hàng phải thông báo trước hợp lý (ít nhất ba mươi (30) ngày) trước khi tiến hành bất kỳ cuộc kiểm toán nào và phải bảo đảm rằng bất kỳ kiểm toán viên được chỉ định nào cũng phải chịu các nghĩa vụ bảo mật phù hợp.
BambooHR có thể thực hiện nghĩa vụ kiểm toán của mình bằng cách cung cấp cho Khách Hàng các báo cáo kiểm toán bên thứ ba mới nhất của mình (chẳng hạn như Type II của SOC 2) và các chứng nhận có liên quan. Bất kỳ cuộc kiểm toán trực tiếp nào cũng sẽ do Khách Hàng chịu chi phí, được thực hiện trong giờ làm việc thông thường và không làm gián đoạn hoạt động kinh doanh của BambooHR.
