1.التعريفات
في اتفاقية معالجة البيانات هذه ("DPA"): تعني عبارة "المتحكم" الكيان الذي يحدد أغراض ووسائل معالجة البيانات الشخصية (وعادةً ما يكون العميل)؛ وتعني عبارة "المعالج" الكيان الذي يعالج البيانات الشخصية نيابةً عن المتحكم (BambooHR)؛ وتعني عبارة "صاحب البيانات" الشخص الطبيعي المحدد أو القابل للتحديد الذي تتعلق به البيانات الشخصية؛ وتعني عبارة "البيانات الشخصية" أي معلومات تتعلق بشخص طبيعي محدد أو قابل للتحديد؛ وتعني عبارة "المعالجة" أي عملية تُجرى على البيانات الشخصية؛ وتعني عبارة "الحادث الأمني" أي حيازة أو وصول أو استخدام أو إفصاح غير مصرح به ومؤكد للبيانات الشخصية.
تعني "GDPR" اللائحة (الاتحاد الأوروبي) 2016/679 (اللائحة العامة لحماية البيانات)، وعند الاقتضاء، نسخة المملكة المتحدة من GDPR كما أُبقي عليها في قانون المملكة المتحدة ("UK GDPR"). وتعني عبارة "الشروط التعاقدية القياسية" أو "SCCs" الشروط التعاقدية القياسية التي اعتمدتها المفوضية الأوروبية لنقل البيانات الشخصية إلى معالِجين قائمين في بلدان ثالثة.
2.نطاق المعالجة وطبيعتها
تنطبق اتفاقية معالجة البيانات هذه على معالجة البيانات الشخصية من قبل BambooHR بصفته معالجاً نيابةً عن العميل بصفته المتحكم فيما يتعلق بتقديم الخدمات من قبل BambooHR. وسيعالج BambooHR البيانات الشخصية فقط بالقدر اللازم لتقديم الخدمات ووفقاً للتعليمات الموثقة الخاصة بالعميل، بما في ذلك تلك الواردة في شروط خدمة العملاء وأي نموذج طلب ساري.
لا يجوز لـ BambooHR معالجة البيانات الشخصية الخاصة بالعميل لأي غرض آخر، بما في ذلك الأغراض التجارية الخاصة بـ BambooHR، دون موافقة خطية مسبقة من العميل، إلا إذا كان ذلك مطلوباً بموجب القانون الساري، وفي هذه الحالة سيُعلم BambooHR العميل بذلك المطلب القانوني قبل المعالجة ما لم يحظر القانون ذلك.
3.التزامات المعالج
يجب على BambooHR أن: (أ) يعالج البيانات الشخصية فقط بناءً على تعليمات موثقة من العميل؛ (ب) يضمن أن الأشخاص المصرح لهم بمعالجة البيانات الشخصية قد التزموا بالسرية؛ (ج) يطبق التدابير التقنية والتنظيمية المناسبة لضمان مستوى أمان ملائم للمخاطر؛ (د) يساعد العميل في الاستجابة لطلبات حقوق أصحاب البيانات؛ (هـ) يساعد العميل في ضمان الامتثال للالتزامات المتعلقة بالأمن والإخطار بالإخلال وتقييمات أثر حماية البيانات والتشاور المسبق؛ (و) يحذف أو يعيد جميع البيانات الشخصية عند الإنهاء؛ و(ز) يتيح المعلومات اللازمة لإثبات الامتثال والسماح بالتدقيق.
عندما تعالج BambooHR بيانات شخصية تابعة للاتحاد الأوروبي أو المملكة المتحدة وتم نقلها إلى BambooHR في الولايات المتحدة، تُدرج الشروط التعاقدية القياسية للاتحاد الأوروبي (الوحدة 2: من المتحكم إلى المعالج)، بصيغتها التي قد يتم تحديثها من وقت لآخر، في اتفاقية معالجة البيانات هذه بالإحالة وتطبق على تلك التحويلات. ويُعتبر العميل وBambooHR قد أبرما الشروط التعاقدية القياسية في تاريخ النفاذ لهذه الاتفاقية.
4.التزامات المتحكم
يقر العميل ويضمن أن لديه جميع الحقوق والصلاحيات اللازمة لتقديم البيانات الشخصية إلى BambooHR وأن يوجه BambooHR لمعالجة تلك البيانات. ويجب على العميل التأكد من تقديم جميع الإشعارات المطلوبة والحصول على جميع الموافقات المطلوبة من أصحاب البيانات وفقاً لقانون حماية البيانات الساري.
العميل مسؤول عن تحديد أغراض ووسائل معالجة البيانات الشخصية وعن ضمان قانونية تلك المعالجة. ويجب على العميل تنفيذ التدابير التقنية والتنظيمية المناسبة لضمان وإثبات أن المعالجة تتم وفقاً للقانون الساري وهذه الاتفاقية.
5.المعالجون الفرعيون
يفوض العميل BambooHR باستخدام المعالِجين الفرعيين المدرجين على bamboohr.com/legal/sub-processors ("قائمة المعالِجين الفرعيين") لمعالجة البيانات الشخصية. وسيقدم BambooHR إشعاراً مسبقاً لا يقل عن ثلاثين (30) يوماً بأي تغييرات مقترحة على قائمة المعالِجين الفرعيين من خلال تحديث القائمة وإخطار العميل عبر البريد الإلكتروني. ويجوز للعميل الاعتراض على أي إضافة أو استبدال مقترح لمعالج فرعي خلال تلك الفترة من خلال إرسال إشعار خطي عبر صفحة الاتصال الخاصة بنا.
BambooHR تفرض التزامات حماية البيانات على كل معالج فرعي تعادل تلك الواردة في اتفاقية معالجة البيانات هذه، وتظل مسؤولة أمام العميل عن أي إخفاق من أي معالج فرعي في الوفاء بالتزاماته المتعلقة بحماية البيانات. ويجب على BambooHR التأكد من أن المعالجات الفرعية خاضعة لآليات نقل مناسبة لأي تحويلات دولية.
6.حقوق صاحب البيانات
إلى الحد المسموح به قانوناً، يجب على BambooHR إخطار العميل على الفور إذا تلقى BambooHR طلباً من صاحب بيانات لممارسة حقوقه بموجب قانون حماية البيانات الساري، بما في ذلك حقوق الوصول أو التصحيح أو المحو أو التقييد أو قابلية النقل أو الاعتراض. ولا يجوز لـ BambooHR الرد على أي طلب من هذا القبيل دون تفويض مسبق من العميل، باستثناء تأكيده لصاحب البيانات أن BambooHR قد أحال الطلب.
سوف تقدم BambooHR للعميل مساعدة معقولة تجارياً في الوفاء بالتزاماته للرد على طلبات حقوق صاحب البيانات، مع مراعاة طبيعة المعالجة والمعلومات المتاحة لدى BambooHR. وقد تُطبق رسوم إضافية على المساعدة المكثفة التي تتجاوز ما هو مطلوب بصورة معقولة.
7.التدابير الأمنية
يجب على BambooHR تنفيذ التدابير التقنية والتنظيمية المناسبة والحفاظ عليها لحماية البيانات الشخصية من التدمير أو الفقد أو التغيير أو الإفصاح أو الوصول غير المصرح به أو غير القانوني، سواء كان عرضياً أو غير ذلك. ويجب وصف هذه التدابير في الملحق الأمني الخاص بـ BambooHR، والمتاح على bamboohr.com/legal/security-exhibit، والذي يجوز تحديثه من وقت لآخر.
مع الأخذ في الاعتبار حالة الفن وتكاليف التنفيذ وطبيعة ونطاق وسياق وأغراض المعالجة، وكذلك المخاطر المتفاوتة الاحتمال والحدة على حقوق وحريات الأشخاص الطبيعيين، يجب أن تشمل التدابير الأمنية الخاصة بـ BambooHR تشفير البيانات الشخصية أثناء النقل وعند rest، والمصادقة متعددة العوامل، والاختبارات الأمنية المنتظمة، وضوابط الوصول.
8.إشعار خرق البيانات
يجب على BambooHR إخطار العميل دون تأخير غير مبرر، وعلى أي حال خلال اثنتين وسبعين (72) ساعة بعد علمه بحادث أمني يؤثر في بيانات العميل الشخصية. ويجب أن يتضمن هذا الإخطار: وصفاً لطبيعة الحادث الأمني؛ والفئات والعدد التقريبي لأصحاب البيانات وسجلات البيانات الشخصية المعنية؛ والعواقب المرجحة للحادث الأمني؛ والتدابير التي اتخذها أو يقترحها BambooHR لمعالجة الحادث الأمني.
لا يجوز تفسير إخطار BambooHR بحادث أمني على أنه إقرار بالخطأ أو المسؤولية. ويقع على العميل وحده مسؤولية تحديد ما إذا كان ينبغي إخطار أصحاب البيانات والسلطات الإشرافية وكيفية ذلك وفقاً لما يقتضيه القانون الساري.
9.إرجاع البيانات وحذفها
عند انتهاء أو إنهاء الاتفاقية، يجب على BambooHR، بناءً على طلب خطي من العميل، إرجاع جميع البيانات الشخصية إلى العميل بصيغة قابلة للقراءة آلياً و/أو حذف جميع البيانات الشخصية. وسيُكمل BambooHR عملية الإرجاع أو الحذف هذه خلال ثلاثين (30) يوماً من طلب العميل الخطي.
ما لم يقتضِ القانون الساري استمرار التخزين، يجب على BambooHR حذف جميع النسخ المتبقية من البيانات الشخصية بعد إتمام عملية الإرجاع أو الحذف. وبناءً على طلب خطي من العميل، يجب على BambooHR أن يشهد خطياً بأن جميع البيانات الشخصية قد أُعيدت أو حُذفت.
10.حقوق التدقيق
BambooHR تتيح للعميل جميع المعلومات اللازمة بصورة معقولة لإثبات الامتثال لهذه الاتفاقية، وتسمح وتساهم في عمليات التدقيق، بما في ذلك عمليات الفحص، التي يجريها العميل أو مدقق مُفوَّض من قِبل العميل. ويجب على العميل تقديم إشعار مسبق معقول (لا يقل عن ثلاثين (30) يوماً) قبل إجراء أي تدقيق، ويجب أن يضمن خضوع أي مدقق مُفوَّض لالتزامات مناسبة بالسرية.
يجوز لـ BambooHR الوفاء بالتزامات التدقيق الخاصة بها من خلال تزويد العميل بأحدث تقارير التدقيق من طرف ثالث لديها (مثل SOC 2 Type II) والشهادات ذات الصلة. ويجب إجراء أي تدقيق ميداني على نفقة العميل، خلال ساعات العمل المعتادة، ومن دون تعطيل العمليات التجارية الخاصة بـ BambooHR.
