Legal
سياسة الخصوصية | Grouper
How Grouper Technology Limited collects, uses, hosts and protects your personal data as BambooHR’s authorised European partner, with primary data storage on AWS Ireland.
آخر تحديث: 16 أغسطس 2026
Grouper ملتزمون بحماية البيانات الشخصية والحفاظ على معايير عالية من الخصوصية والأمن والالتزام التنظيمي. تعتبر حماية البيانات مسألة تشغيلية وعقدية أساسية، وليست فكرة لاحقة. نُصمِّم تقديم خدمتنا، ووسائل وصول وآليات دعم وحوكمة البائعين لتعكس مبادئ المساءلة والنزاهة والسرية والشفافية لـ GDPR.
تشرح هذه السياسة الخاصة بالخصوصية كيف تقوم Grouper Technology Limited ("Grouper"، "نحن"، أو "لدينا") بجمع البيانات الشخصية واستخدامها والوصول إليها واستضافتها وتخزينها وحمايتها ونقلها ومعالجة البيانات بطرق أخرى فيما يتعلق بالخدمات التي نقدمها، بما في ذلك دورنا كشريك أوروبي لـ BambooHR.
Grouper تدعم المؤسسات في أيرلندا والمملكة المتحدة وأوروبا ومناطق أخرى من خلال نشر وإدارة واستخدام منصة BambooHR HRIS وتكنولوجيا الموارد البشرية المرتبطة.
يُصمَّم نموذج الخدمة الأوروبي لدينا حول مبدأ واضح لإقامة البيانات داخل أوروبا. يتم استضافة البيانات الشخصية الخاصة بالعميل التي تتم معالجتها من خلال خدمة Grouper الأوروبية BambooHR وتخزينها ضمن المنطقة الاقتصادية الأوروبية (EEA)، مع الاستضافة الأساسية في أيرلندا.
تنطبق سياسة الخصوصية هذه على البيانات الشخصية المعالجة فيما يتعلق بـ:
- BambooHR التنفيذ والتوجيه الإداري؛
- إعدادات HRIS؛
- إدارة الحسابات؛
- دعم العملاء؛
- دعم تقني؛
- دعم التكامل؛
- هجرة البيانات؛
- نجاح العميل؛
- التدريب؛
- خدمات مهنية؛
- الأمان وإدارة الخدمة؛
- اتصالات العملاء؛
- المبيعات والعروض التقديمية؛
- Grouper مواقع وخدمات رقمية؛ و
- أنشطتنا التجارية العامة.
Grouper Technology Limited هي شركة أيرلندية ذات مكتب مسجل في الطابق الثالث، 22 Ely Place, Dublin, D02 AH73, Ireland.
يوفر BambooHR نظام معلومات الموارد البشرية الأساسي ووظائف المنتج المرتبطة به. يوفر Grouper التنفيذ الأوروبي والهجرة والتكوين والتدريب ونجاح العملاء والدعم وإدارة الخدمات والخدمات المهنية المرتبطة. وفقاً لاشتراك العميل وتكوينه، قد تدعم منصة BambooHR HRIS السجلات الوظيفية والتوجيه للموظفين والتعيين والوقت والحضور وإدارة الإجازات والأداء والتعويضات والمزايا ووظائف المرتب والتقارير والتحليلات والتكاملات وواجهات برمجة التطبيقات وميزات الذكاء الاصطناعي.
اعتماداً على الخدمات التي يشتريها العميل، قد تقدم Grouper:
- تنفيذ BambooHR؛
- onboarding;
- التكوين؛
- إعداد الحساب؛
- مساعدة في الترحيل؛
- خدمات الاندماج؛
- دعم تقني؛
- دعم HRIS؛
- التدريب؛
- خدمات نجاح العملاء؛
- إدارة الخدمة؛
- استكشاف الأخطاء وإصلاحها؛ و
- الخدمات المهنية المتصلة.
يعتمد الدور الدقيق لحماية البيانات لـ Grouper على نشاط المعالجة المحدد.
عندما تحدد Grouper الأغراض وطرق المعالجة — على سبيل المثال في أنشطة مواقع الويب المعينة والمبيعات والتواصل التجاري والأمن أو الإدارة المؤسسية — تعمل Grouper كجهة مُتحكِّمَة.
عندما تقوم Grouper بمعالجة بيانات العميل الشخصية لحساب العميل وبما يتوافق مع تعليمات العميل الموثقة فقط، تعمل Grouper كمعالج.
عندما يقوم العميل نفسه بدور المعالج لجهة تحكم أخرى، قد يعمل Grouper كمعالج فرعي بما ينطبق.
BambooHR may separately act as a Processor or Sub-processor in relation to Customer Personal Data processed through the BambooHR HRIS platform. Roles are further described in Part B and the applicable customer agreement.
4.1 الالتزام الأساسي بالإقامة الأوروبية
بالنسبة للعملاء الذين يشترون خدمة Grouper الأوروبية BambooHR مع إقامة البيانات في المنطقة الاقتصادية الأوروبية، تكون بيانات العميل الشخصية التي تشكل جزءاً من بيئة إنتاج HRIS الأساسية مستضافة ومخزنة داخل المنطقة الاقتصادية الأوروبية، مع موقع الاستضافة الأساسي في أيرلندا.
The primary cloud hosting infrastructure for the European service is provided by Amazon Web Services (AWS), with primary data storage in the AWS Ireland region. The service is designed so that ordinary production storage remains in the contracted European region.
This applies to Personal Data maintained within the European HRIS environment, including employee, candidate and other workforce information.
4.2 التخزين مقابل الوصول
تصف الإقامة البيانات الشخصية للعميل أين تُخزَّن. لا يعني أن الدعم المصرح به أو الوصول الفني لا يمكن أن يحدث من بلد آخر.
قد يحدث وصول استثنائي من خارج المنطقة الاقتصادية الأوروبية فقط عند الضرورة، وبموافقة وبحماية قانونية كما هو موضح في القسمين 17 و18 من السياسة.
4.3 النسخ الاحتياطية والمرونة والتعافي من الكوارث
إعدادات النسخ الاحتياطي والمرونة والتعافي من الكوارث مصممة للحفاظ على السرية والنزاهة وتوافر البيانات ولتظل متوافقة مع التزامات الاستضافة الإقليمية المتعاقد عليها مع العميل.
Where replication, resilience or disaster-recovery infrastructure is used, Customer Personal Data remains stored within the EEA, subject to documented emergency, continuity or support scenarios and applicable transfer safeguards.
4.4 لا نقل روتيني خارج EEA
Grouper لا يستخدم وصول الدعم الاستثنائي كآلية لنقل بيانات شخصية للعميل الأوروبي بشكل روتيني.
Customer Personal Data forming part of the European service is not routinely hosted or stored outside the EEA. Any material change to the contracted data-residency model is subject to the applicable Agreement, notice requirements and Applicable Data Protection Law.
تعني "القانون المعمول به لحماية البيانات" جميع قوانين ولوائح حماية البيانات والخصوصية وأمن البيانات المعمول بها في المعالجة، بما في ذلك عند الاقتضاء:
- اللائحة (الاتحاد الأوروبي) 2016/679 — اللائحة العامة لحماية البيانات (GDPR);
- قانون حماية البيانات الأيرلندي 2018؛
- قوانين خصوصية وإلكترونية إيرلندية سارية؛
- المملكة المتحدة GDPR وقانون حماية البيانات في المملكة المتحدة 2018 حيثما ينطبق؛
- قانون حماية البيانات السويسري المعمول به حيثما ينطبق؛
- التشريعات الوطنية المعمول بها التي تنفذ متطلبات الخصوصية الأوروبية؛ و
- any legislation that replaces, supplements or amends those laws.
The parties will interpret this Policy and any applicable DPA consistently with mandatory Data Protection Law. Mandatory provisions of the GDPR, applicable transfer instruments and supervisory-authority requirements take precedence where required.
تختلف المعلومات المعالجة وفق الخدمات التي يختارها العميل والبيانات التي يختار العميل وضعها في بيئة الموارد البشرية.
6.1 Employee and Workforce Information
قد تشمل البيانات الشخصية:
- أسماء وهويات الموظفين؛
- الصور عند تقديمها؛
- تفاصيل الاتصال بالمنزل أو العمل؛
- تاريخ الميلاد، الجنس والمعلومات الديموغرافية عند تقديمها؛
- المعلومات العائلية أو الحالة الزواجية عند تقديمها؛
- جهات اتصال الطوارئ وأرقام الهاتف؛
- المؤهلات الأكاديمية والمهنية؛
- معلومات السيرة الذاتية أو CV أو الملخصات والسجل الوظيفي والكفاءة اللغوية؛
- المسمى الوظيفي، الدرجة، القسم، الموقع، خطوط التقارير وارتباط الفريق؛
- تواريخ التعيين والإنهاء، ساعات العمل والتفاصيل التعاقدية؛
- الأداء والتقييم والانضباط ومعلومات تاريخ العمل؛
- المزايا والتأمين وموجودات الشركة ومعلومات التدريب؛ و
- معلومات الإجازة والحضور وبيانات الوقت.
6.2 معلومات الرواتب والتعويضات
عند استخدام الخدمات ذات الصلة، قد تتضمن البيانات الشخصية:
- الراتب والتعويضات والمكافآت؛
- معلومات الضرائب والضمان الاجتماعي؛
- تفاصيل البنك والدفع؛
- معلومات المعاش التقاعدي؛
- خيارات الأسهم والفوائد الأخرى؛ و
- معلومات أخرى متعلقة بالرواتب.
6.3 معلومات التعيين والمرشحين والمراجعين
For candidates, prospective employees and referees, information may include:
- الهوية وتفاصيل الاتصال؛
- السير الذاتية والملخصات والسجل الوظيفي والمؤهلات؛
- سجلات الطلب والمقابلة والتعيين؛
- اتصالات المرشح وحالة التعيين؛
- معلومات التعويض المقترح؛
- أسماء المراجعين وتفاصيل الاتصال وعلاقتهم المهنية؛ و
- المعلومات الواردة في المراجع.
6.4 فئة خاصة وبيانات حساسة
اعتماداً على استخدام العميل لمنصة BambooHR HRIS، قد تحتوي الخدمات على معلومات صحية أو معلومات عن الإعاقة وبيانات شخصية من فئة خاصة أو حساسة أخرى.
The Customer remains responsible for ensuring an appropriate Article 6 lawful basis and, where GDPR Article 9 applies, a valid special-category condition.
يجب ألا Place العملاء معلومات حساسة في حقول نص حر أو ميزات الذكاء الاصطناعي ما لم يكن ذلك ضروريًا وقانونيًا ومسموحًا بموجب شروط المنتج ذات الصلة.
قد تتعلق البيانات الشخصية المعالجة في خدمات Grouper بالخدمات بالمتعلق بالموظف فردياً أو صاحب العمل أو صاحب عمل محتمل؛
- الموظفين الحاليين والسابقين والمرشحين والمستقبلين؛
- المرشحون والمتقدمون؛
- المقاولون والمستشارون والوكلاء والمتعهدون المستقلون؛
- الوكالات والعمالة المؤقتة والمتغيرة؛
- المتدربون والمتطوعون؛
- التابعون للموظف والمستفيدون وجهات اتصال الطوارئ؛
- المراجعون ومقدمو المراجع؛
- مدراء العملاء والمستخدمون المفوضون؛ و
- أشخاص آخرون يقدّم لهم العميل بياناتهم الشخصية إلى الخدمات بشكل قانوني.
قد يتم الحصول على البيانات الشخصية من:
- مباشرة من الشخص نفسه؛
- من صاحب العمل الفردي أو صاحب العمل المحتمل؛
- من مديري العملاء والمستخدمين المفوضين؛
- خلال التنفيذ والتكوين وترحيل البيانات؛
- من خلال الاندماجات أو واجهات برمجة التطبيقات المصرّح بها؛
- من خلال طلبات الدعم واستكشاف الأخطاء؛
- من خلال منصة BambooHR HRIS أو نظام آخر يختاره العميل؛
- من خلال عمليات التوظيف؛
- من مصادر عامة حيث يُستخدم بشكل قانوني؛ و
- من مصادر قانونية أخرى يوافق عليها العميل.
Grouper يعالج البيانات الشخصية فقط لأغراض محددة وقانونية. قد تشمل هذه:
- تنفيذ وتكوين منصة HRIS لـ BambooHR؛
- استضافة أو تسهيل استضافة البيانات الشخصية للعميل؛
- إدارة الحسابات وتراخيص المستخدمين؛
- الحفاظ على الخدمة وتأمينها؛
- تقديم الدعم للعملاء والفني؛
- دعم الاندماجات والترحيلات؛
- تقديم التدريب والخدمات المهنية؛
- إدارة الاشتراكات وعلاقات العملاء؛
- اكتشاف وحماية من أحداث الأمان والتحقيق فيها؛
- الحفاظ على سجلات التدقيق؛
- منع الاحتيال أو سوء الاستخدام؛
- الامتثال للالتزامات القانونية؛ و
- improving service performance where permitted by the Agreement and Applicable Data Protection Law.
عند وصول موظفي الدعم إلى بيانات العميل الشخصية، يجب أن يقتصر الوصول على الحد الأدنى من المعلومات الضرورية لأغراض الدعم ويجب أن يتم من قبل موظفين مخولون خاضعين لقيود السرية والتحكم في الوصول.
عندما يعمل Grouper كطرف مسؤول، قد تشمل الأسس القانونية المعمول بها:
10.1 العقد
المعالجة اللازمة للدخول في عقد أو تنفيذ عقد، أو اتخاذ خطوات قبل الدخول في عقد بناءً على طلب الفرد.
10.2 المصالح المشروعة
Processing necessary for legitimate business interests, provided those interests are not overridden by the rights and freedoms of individuals. Legitimate interests may include:
- تسليم الخدمة؛
- إدارة العميل؛
- أمن المعلومات؛
- منع الاحتيال؛
- استمرارية الأعمال؛
- دعم العملاء؛ و
- relationship management.
10.3 الالتزام القانوني
Processing necessary to comply with applicable legal or regulatory requirements.
10.4 الموافقة
عند اللزوم، قد تكون المعالجة مستندة إلى الموافقة. يمكن سحب الموافقة في أي وقت دون التأثير على شرعية المعالجة السابقة.
عندما يعمل العميل كجهة تحكم، يكون العميل مسؤولاً عن:
- تحديد أغراض معالجة البيانات الشخصية؛
- إرساء قواعد قانونية وشروط فئة خاصة؛
- توفير الإشعارات الخصوصية المطلوبة؛
- الحصول على الموافقة عند الحاجة؛
- ضمان دقة البيانات وجودتها؛
- تحديد فترات الاحتفاظ المناسبة؛
- إدارة المستخدمين المخولين والصلاحيات؛
- استخدام الخدمات بأمان؛ و
- ضمان أن تعليماته إلى Grouper شرعية.
يجب ألا يأمر العميل Grouper بمعالجة البيانات الشخصية بطريقة تنتهك قانون حماية البيانات المعمول به.
سيُخطِر Grouper العميل عندما ترى الأسباب المعقولة أن تعليماً ينتهك قانون حماية البيانات المعمول به وقد يعلق المعالجة المتأثرة حتى يتم حل المشكلة.
Grouper يحد من الوصول إلى البيانات الشخصية للعميل للأشخاص المخولين الذين يحتاجون الوصول بشكل معقول إلى واجباتهم. يخضع الموظفون لالتزامات السرية المناسبة ويتلقون تدريب الخصوصية والأمان وفقاً لدورهم. يتم تنظيم الوصول وفقاً لمبادئ الحد الأدنى من الامتياز والضرورة المعرفة.
عناصر تحكم الوصول تشمل:
- عناصر تحكم الهوية والمصادقة؛
- عناصر تحكم قائمة على الدور وبوحدات وصول مميزة؛
- عناصر تحكم في حسابات الإدارة؛
- إدارة دورة حياة الحساب؛
- سجل الوصول والمراقبة؛
- مراجعة الوصول بشكل دوري؛
- متطلبات السرية والاستخدام المقبول؛ و
- الأفراد المعنيين وتدريبهم بشكل مناسب.
Grouper maintains, and requires relevant technology providers to maintain, technical and organisational measures appropriate to the risks presented by the Processing, taking account of the state of the art, implementation costs, the nature, scope, context and purposes of Processing and the risk to individuals.
الإجراءات تشمل:
- عقبات الوصول الفيزيائية والمنطقية؛
- المصادقة القوية وضوابط كلمات المرور المناسبة؛
- التشفير أثناء النقل وفي حالة الراحة حيثما كان ذلك مناسباً؛
- إسناد أسماء مستعارة حيثما كان ذلك مناسباً؛
- جدران حماية الشبكة، أمن محيط والأمن للكشف عن التسلل؛
- التسجيل والمراقبة ومسارات التدقيق؛
- إدارة الثغرات والاختبار الأمني؛
- وصول إداري مقيد؛
- نقل آمن، بما في ذلك قنوات النقل المحمية؛
- النسخ الاحتياطي والتكرارية والمرونة؛
- استمرارية الأعمال والتخطيط لاسترداد الكوارث؛
- تطوير آمن وإدارة التغيير؛
- فصل البيانات بين العملاء وأغراض المعالجة؛
- إجراءات الاستجابة للحوادث؛
- التوعية والتدريب الأمني للموظفين؛ و
- تحري دقيق من المعالِم الفرعيين والحوكمة الأمنية.
Additional detail on minimum control domains is set out in Schedule 2 of the Data Processing Agreement. Security measures may evolve over time, but changes will not materially diminish the overall level of protection for Customer Personal Data during an active subscription except where required by law or agreed with the Customer.
Grouper maintains documented procedures to identify, investigate, contain, mitigate, remediate and report Personal Data Breaches.
عندما يعمل Grouper كمعالج ويدرك واقعة انتهاك بيانات شخصية فعلية أو مشتبه بها تؤثر على بيانات العميل الشخصية، سيُخطِر Grouper العميل المعني بأسرع ما يمكن وبحد أقصى خلال 48 ساعة من العلم بالحادث.
إلى المدى المتاح بشكل معقول، سيشمل الإشعار:
- طبيعة الحادث؛
- فئات البيانات الشخصية المتأثرة؛
- فئات تقريبية وعدد الأشخاص ودفاتر السجلات؛
- النتائج المحتملة؛
- الإجراءات المتخذة أو المقترحة؛
- إجراءات التخفيف؛ و
- نقطة اتصال لمزيد من المعلومات.
قد تتوفر المعلومات على مراحل عند توافرها.
سيقدم Grouper تعاوناً معقولاً لتمكين العميل من تلبية الالتزامات التنظيمية وإشعارات البياناتSubjects المعمول بها.
Public or regulatory communications concerning a Customer-specific breach will be coordinated consistently with law and the applicable Agreement.
قد يعين Grouper معالِجين فرعيين ومزودين للخدمات مُختارين بعناية حيثما دعت الحاجة لتقديم الخدمات واستضافتها وتأمينها ودعمها ومراقبتها وتحسينها.
Before permitting a Sub-processor to Process Customer Personal Data, Grouper will carry out appropriate due diligence and impose written data-protection obligations appropriate to the Processing. These obligations include confidentiality, appropriate technical and organisational measures, purpose limitation, support for Data Subject rights and breach obligations, deletion or return requirements, and lawful international-transfer safeguards where applicable.
Grouper remains responsible for Sub-processor performance to the extent required by Applicable Data Protection Law and contract.
حالما توفر شروط العميل المعمول بها تفويضاً مكتوباً عاماً، سيحصل العملاء على إشعار مسبق بالمعالِجين الفرعيين الجدد مادياً وإتاحة فرصة للاعتراض على أسس حماية البيانات المعقولة.
بالنسبة لـ BambooHR من المتعهدين الفرعيين، يوفر اتفاقية معالجة البيانات الحالية BambooHR إشعاراً مسبقاً لا يقل عن 30 يوماً بوجود مقاول فرعي جديد سيعالج بيانات العملاء الشخصية.
الجدول 4 يوفر شفافية حول فئات المزودين الرئيسيين والموفِّدين named المحددين في مواد الخدمة الحاكمة.
BambooHR LLC provides the underlying HR technology platform used in connection with the relevant Services. Grouper may work with BambooHR for platform maintenance, hosting, implementation, troubleshooting, service support, security, technical administration, integrations and other functions necessary to provide the contracted Services.
إن معالجة BambooHR محكومة بشروط تعاقدية ومتطلبات حماية البيانات السارية، بما في ذلك DPA وإجراءات الأمن وترتيبات المستخلصين واحتياطات النقل الدولية.
يظل Grouper مسؤولاً عن التزاماته بموجب قانون حماية البيانات المعمول به وبالاتفاقية الموثقة مع العميل. عندما تعالج BambooHR البيانات الشخصية في بيئة عملاءها الأوروبية لدعم بيئة Grouper، تكون المتطلبات التعاقدية والأمنية وإقامة البيانات واجبة التطبيق.
بالنسبة لخدمة Grouper الأوروبية المتعاقدة، يتم تصميم تخزين بيانات العملاء الشخصية في المنطقة الاقتصادية الأوروبية، مع استضافة أساسية في أيرلندا عبر خدمات أمازون ويب سيرفيسز (AWS). قد يشكل المعالجة المصرّح بها أو الوصول عن بُعد من خارج EEA نقلاً مقيداً حتى لو ظل البيانات مخزّنة في أيرلندا. يُسمح بهذا الوصول فقط إذا كان قانونياً وضرورياً ومحمياً بضمانات مناسبة.
أمثلة على سيناريوهات استثنائية تشمل:
- حادث طارئ يؤثر على بيئة مركز البيانات الإيرلندي أو استمرارية الخدمة؛
- طلب دعم أو صيانة يتطلب وصولاً متخصصاً معتمدًا من خارج EEA، رهناً بموافقة العميل المطبقة أو تفويض العقد؛ و
- طلب عميل موثَّق لإعادة الترحيل أو معالجة البيانات خارج منطقة الاستضافة الأوروبية المتعاقد عليها.
عند حدوث تحويل مقيد، سيستخدم Grouper و/أو مزود التكنولوجيا المعني آلية معترف بها قانونياً مثل:
- قرار كفاية؛
- شروط العقد القياسية للاتحاد الأوروبي والمملكة المتحدة؛
- الملحق الدولي لنقل البيانات في المملكة المتحدة حيثما ينطبق؛
- المشاركة في إطار حماية خصوصية البيانات EU-US حين تكون متاحة وقابلة للتطبيق قانونياً؛
- قواعد الشركات الملزمة حيثما كان ذلك مناسباً؛ أو
- إجراء حماية سارية أخرى معترف بها بموجب قانون حماية البيانات المعمول به.
Where required, a Transfer Impact Assessment and supplementary technical, contractual or organisational measures will be implemented.
لا تغيّر أي ترتيبات وصول استثنائي هذه التزامات Grouper بأن بيانات العملاء الشخصية للخدمة الأوروبية تُخزَّن ضمن EEA.
عندما تكون شروط العقد القياسية للاتحاد الأوروبي مطلوبة، تُدمج في form الرسمية المعتمدة دون تعديل الصياغة الإلزامية. بالنسبة لنقلات من المراقِب إلى المعالج، عادةً ما يطبق الوحدة الثانية ما لم تتطلب الأطراف وحدة أخرى وفقاً لأدوارهما.
عند اختيار أيرلندا كقانون حاكم وإطار قضائي سارٍ، يتفق الطرفان على محاكم أيرلندا كما هو موضح في الملحق SCC المعمول به.
بالنسبة للتحويلات الخاضعة لقانون حماية البيانات في المملكة المتحدة، ستطبق SCCs الأوروبية مع ملحق النقل الدولي للمملكة المتحدة أو آلية نقل أخرى معترف بها قانونياً.
Supplementary measures may include:
- التشفير؛
- قيود الوصول؛
- ضوابط إدارة المفاتيح؛
- التقليل من البيانات؛
- التسجيل؛
- قيود التحويل المستقبلي بموجب العقد؛
- إجراءات مراجعة طلبات الحكومة؛
- إجراءات الشفافية; و
- تعليق أو إنهاء النقلات حيث لا يمكن ضمان مستوى حماية كافٍ.
Grouper recognises that lawful government access requests can create material privacy risks. To the extent permitted by law, where Grouper or a relevant processor receives a legally binding request for Customer Personal Data from a public, law-enforcement or judicial authority, the request will be reviewed for validity, scope and proportionality.
سيتم تحدي الطلبات غير القانونية أو غير المتناسبة عندما تكون هناك أسباب معقولة ومبرر قانوني للقيام بذلك.
سيتم حصر الكشف في الحد الأدنى المطلوب قانوناً.
سيتم إعلام العميل حيثما كان ذلك مسموحاً قانوناً. وعندما يحظر الإشعار، ستبذل جهود معقولة للحصول على إذن لتقديم الإشعار حيثما كان ذلك مناسباً.
سيتم الاحتفاظ بسجلات الطلب والرد كما يفرضه القانون وآلية النقل المعمول بها.
Depending upon Applicable Data Protection Law, individuals may have rights including:
- الوصول؛
- التصحيح؛
- المحو؛
- القيود على المعالجة؛
- قابلية نقل البيانات؛
- الاعتراض؛
- سحب الموافقة؛
- حقوق المتعلقة باتخاذ القرار الآلي وتقييم الملفات؛ و
- the right to complain to a competent supervisory authority.
عندما يعمل Grouper كمعالج، يجب عادة توجيه الطلبات المتعلقة بالبيانات الشخصية للعميل إلى جهة التحكم المعنية. إذا استقبلت Grouper مثل هذا الطلب مباشرةً، ستقوم Grouper، ما لم يمنع القانون ذلك، بالإحالة أو الإخطار إلى العميل ولن ترد بشكل جوهري باستثناء تعليمات العميل الموثقة أو حيث يفرض القانون ذلك. ستقدم Grouper مساعدة معقولة لتمكين العميل من الوفاء بالتزاماته.
مع أخذ طبيعة المعالجة والمعلومات المتاحة لـ Grouper في الاعتبار، ستقدم Grouper مساعدة معقولة في تقييمات أثر حماية البيانات وعند الحاجة، مسبقاً مع جهة إشرافية مختصة.
The Customer remains responsible for determining whether a DPIA or prior consultation is required for its use of the Services.
Grouper will make available information reasonably necessary to demonstrate compliance with applicable Processor obligations. This may include:
- توثيق الأمان؛
- سياسات؛
- معلومات الامتثال؛
- معلومات التدقيق؛
- تقارير ضمان مستقل؛
- شهادات ذات صلة؛ و
- إجابات على استبيانات الأمان المعقولة.
عند وجود دليل وثائقي مطلوب قانونياً أو تعاقدياً وغير كافٍ، يجوز للعملاء ممارسة حقوق التدقيق المعمول بها بإشعار معقول، مع الحفاظ على السرية والأمن وعدم التدخل وحماية معلومات العملاء الآخرين. ما لم يستلزم ذلك بسبب حادثة أمنية أو متطلب تنظيمي أو دليل معقول على عدم الامتثال المادي، فغالباً ما تكون التدقيقات الرسمية مقيدة لمرة واحدة في أي فترة اثني عشر شهراً. يتحمل العملاء عادة تكاليف التدقيق الخاصة بهم ما لم ينص القانون أو العقد على خلاف ذلك.
Grouper يحتفظ بالبيانات الشخصية فقط طالما كان ذلك ضرورياً بشكل معقول للغرض المعني أو كما يفرضه القانون.
عندما يعمل Grouper كمعالج، يتم تحديد الاحتفاظ بشكل أساسي بواسطة:
- تعليمات العميل الموضحة؛
- الاتفاقية الخاصة بالعميل المعمول بها؛
- مدة الخدمات؛
- متطلبات الدعم؛
- الالتزامات القانونية؛ و
- contractual deletion requirements.
Upon termination or expiry of the Services, or earlier upon a valid Customer instruction where technically and legally practicable, Grouper will return, make available for export, or securely delete Customer Personal Data in accordance with the Agreement.
Where law requires continued retention, the affected data will remain protected, isolated from ordinary use and Processed only to the extent required by law.
Support-related information will be retained only for the period necessary to deliver, evidence and close the support activity, subject to applicable legal and operational retention requirements.
Grouper supports the principles of data minimisation, accuracy and purpose limitation. Customers should Process only Personal Data reasonably necessary for legitimate HR and workforce-management purposes and should avoid unnecessary sensitive information in free-text fields, attachments, notes, custom fields or optional features.
العملاء مسؤولون عن الحفاظ على دقة بيانات العملاء الشخصية. عندما يصبح Grouper أو معالج على علم بأن البيانات غير دقيقة أو قديمة في ظروف تتطلب إجراءً، ستتعاون Grouper مع العميل لتصحيح أو محو البيانات وفقاً لتعليمات موثقة وقوانين حماية البيانات المعمول بها.
Special category Personal Data should be limited to information for which the Customer has an appropriate lawful basis and genuine business requirement.
قد تستخدم بعض ميزات BambooHR الذكاء الاصطاني أو التعلم الآلي. تكون وظيفة AI اختيارية عند تحديدها كذلك وقد تخضع لشروط AI منفصلة لـ BambooHR.
مواد خدمة الذكاء الاصطناعي الحالية من BambooHR IDENTIFY مزودي ذكاء اصطناعي من طرف ثالث بما في ذلك OpenAI و Cohere و Anthropic/Claude، ويمكن أن تحدد مواد المتعهد الحالية مزودين آخرين للذكاء الاصطناعي أو معالجة المستندات (مثل LlamaIndex) اعتماداً على تكوين الميزة.
Customers remain responsible for:
- تقييم ما إذا كان استخدام الذكاء الاصطناعي مناسباً لمنظمتهم؛
- إثبات أساس قانوني؛
- توفير الشفافية اللازمة للأشخاص المعنيين بالبيانات؛
- الحصول على الموافقة عند الحاجة؛
- تنفيذ إشراف بشري كافٍ؛
- تقييم مخاطر التحيز والإنصاف؛ و
- complying with employment, equality, AI and data-protection law.
Customers must not submit sensitive or regulated information to AI features where prohibited by the applicable AI terms, including health, genetic or biometric information, government-issued identifiers, and personal financial or bank information. AI outputs may be inaccurate, incomplete, biased, non-unique or unsuitable for a particular purpose and must not be treated as a substitute for responsible human judgement.
عندما تستخدم BambooHR بيانات العميل، الإدخال أو الناتج لضبط نموذج خاص بالعميل، تنص شروط AI المعمول بها لـ BambooHR أن مثل هذا الاستخدام مخصص لتوفير ميزات الذكاء الاصطناعي لذلك العميل وأن النموذج الناتج الذي دربه العميل لا يُستخدم بشكل آخر لتقديم الخدمات لعملاء آخرين.
AI providers and AI-related processing may involve authorised Processing outside the EEA. Such Processing is subject to the international-transfer safeguards in this Policy and any applicable Data Processing Agreement. Core HRIS storage residency commitments do not by themselves mean every optional AI inference operation occurs physically within the EEA.
Grouper provides HR technology implementation, support and related services. Grouper does not ordinarily determine who a Customer recruits or employs, promotions, compensation, performance outcomes, disciplinary action, benefits decisions, termination or other employment decisions. Those decisions remain the responsibility of the relevant employer or Controller.
Customers must ensure that AI, analytics, scoring or workflow features are not used to make unlawfully automated decisions producing legal or similarly significant effects without the safeguards required by Applicable Data Protection Law, including meaningful human involvement where required.
The BambooHR HRIS platform supports APIs and integrations that can retrieve, transmit or modify employee and other HR data. Customers are responsible for authorising appropriate permissions, protecting API credentials, limiting integration access to legitimate business purposes, and ensuring that third-party integrations are lawfully configured and contractually governed.
الوصول البرمجي يجب أن يستخدم أساليب تحقق معتمدة ولا يجوز تعريض بيانات العميل أو بيانات الاعتماد لأطراف غير مصرح بها.
يجب ألا تستخدم التكاملات بيانات العميل خارج الغرض الموثَّق والمصرَّح به.
عندما يقوم مزوِّد التكامل بمعالجة بيانات شخصية نيابة عن العميل أو Grouper، يجب أن تنطبق شروط معالج أو معالج فرعي مناسبة وإجراءات نقل حماية.
عندما يعمل Grouper كجهة تحكم فيما يتعلق بأنشطة عمله الخاصة، قد نقوم بمعالجة معلومات اتصال العمل المتعلقة بـ:
- العملاء المتوقعون؛
- جهات اتصال العملاء؛
- الموردون؛
- الشركاء؛
- المستشارون المهنيون؛
- حضور فعاليات؛
- زوار المواقع الإلكترونية؛ و
- الأفراد الذين يتواصلون مع Grouper.
قد تشمل المعلومات الاسم، المؤسسة، الدور، تفاصيل اتصال العمل، الاتصالات، معلومات الاستفسار، عنوان IP، معلومات المتصفح والجهاز، الصفحات التي تم زيارتها وبيانات تقنية مماثلة.
نعالج هذه المعلومات للرد على الاستفسارات، إدارة العلاقات، تزويد الخدمات المطلوبة، الحفاظ على الأمان، تنفيذ العقود، الامتثال للقانون، وعند السماح، إرسال اتصالات تجارية ذات صلة. قد يختار المستلمون رفض التسويق المباشر في أي وقت. الاتصالات التشغيلية والتعاقدية وأمن الخدمة وخدمة العملاء ليست تسويقاً.
قد تستخدم المواقع cookies أساسية ووظيفية وتحليلات وتقنيات مماثلة. عند الحاجة قانونياً، ستستخدم cookies غير أساسية فقط بعد الحصول على موافقة مناسبة وسيُزوَّد المستخدمون بآليات للتحكم في التفضيلات.
Grouper seeks to embed privacy into service design and operations. This includes:
- خيارات الإقامة الأوروبية
- تقليل البيانات؛
- الوصول بأقل امتيازات؛
- مصادقة مناسبة؛
- التشفير؛
- سجل الوصول؛
- أذونات مبنية على الدور؛
- نقل آمن؛
- ضوابط المعالج الفرعي؛
- ضوابط الاحتفاظ؛
- عمليات الاستجابة للحوادث؛
- تدريب الخصوصية والأمان؛
- اختبار الأمان؛
- دعم DPIA؛ و
- المساءلة الموثقة.
سيقوم Grouper بالحفاظ على السجلات والإجراءات الحاكمة المناسبة لدوره والتعاون بحسن نية مع العملاء وموضوعي بيانات الاشخاص والجهات الإشرافية المختصة.
Grouper may update this Privacy Policy and DPA where reasonably necessary to reflect changes in law, regulatory guidance, security requirements, technology, Services, Processing activities, sub-processors or transfer mechanisms. Material changes will be communicated where required.
عندما يعالج Grouper بيانات العملاء الشخصية كمعالج، يتحكم الجزء B والاتفاقية الخاصة بالعميل المعتمدة في علاقة المعالجة التعاقدية. في حال وجود تعارض فيما يخص بيانات العميل الشخصية، تسري الأولويات التالية: القانون المعمول به الإلزامي لحماية البيانات؛ SCCs المعمول بها، الملحق البريطاني أو آلية نقل أخرى إلزامية؛ اتفاقية معالجة البيانات؛ أحكام حماية البيانات المعمول بها في الاتفاقية؛ وبقية بنود الاتفاقية.
اقتراح Grouper الأوروبي لـ BambooHR مبني على ثلاثة مبادئ:
الإقامة الأوروبية الأوروبية.
يستضيف بيانات العملاء الشخصية ويخزنها داخل منطقة EEA، مع استضافة أساسية في أيرلندا عبر Amazon Web Services (AWS).
معايير الخصوصية الأوروبية.
Customer Personal Data is Processed in accordance with applicable European data-protection requirements including the GDPR.
خدمات ودعم أوروبية.
Grouper provides customers with European implementation, support and service management around the BambooHR HRIS platform.
هدفنا تمكين المنظمات من استخدام BambooHR مع الحفاظ على معايير الخصوصية والحوكمة وتوطين البيانات المتوقعة من العملاء الأوروبيين.
يمكن إرسال الأسئلة المتعلقة بسياسة الخصوصية هذه، وأنشطة معالجة Grouper، وحقوق مو subjects، والأمن أو ترتيبات الإقامة الأوروبية للبيانات عبر قنوات الخصوصية أو دعم العملاء المعينة التابعة لـ Grouper.
يمكن أيضًا التواصل مع Grouper Technology Limited في العنوان التالي: 3rd Floor, 22 Ely Place, Dublin, D02 AH73, Ireland.
إذا كان من المحتوى الشخصي المعني موجوداً ضمن حساب جهة العمل BambooHR، فعادة ما يجب على الأفراد التواصل مع صاحب العمل أولاً، حيث تكون تلك المؤسسة عادة هيController المسؤولة عن تحديد كيفية استخدام المعلومات.
تشكّل هذه اتفاقية معالجة البيانات (DPA) جزءاً من الاتفاقية أو نموذج الطلب أو بيان العمل أو العقد الآخر الذي يحكم توفير خدمات Grouper المتعلقة بـ BambooHR بين العميل و Grouper Technology Limited.
في تقديم الخدمات، قد تقوم Grouper بمعالجة بيانات العملاء الشخصية نيابة عن العميل. تحدد هذه الاتفاقية الأطراف والتزاماتها فيما يخص تلك المعالجة.
تطبق هذه المعاهدة على النطاق الذي تقوم فيه Grouper بمعالجة بيانات العملاء الشخصية بالنيابة عن العميل وتخضع مثل هذه المعالجة لقانون حماية البيانات المعمول به. كما أنها تكمل وت形成 جزءًا من الاتفاق؛ وتُعرَّف المصطلحات الكبيرة التي لم يتم تعريفها هنا في الاتفاق.
لهذه الاتفاقية:
بيانات العميل الشخصية
البيانات الشخصية الخاضعة لسيطرة عميل أو تابع له ومعالجتها بواسطة Grouper فيما يتعلق بالخدمات.
نقل مقيد
نقل البيانات الشخصية الذي يتطلب آلية نقل قانونية وفقًا لقانون حماية البيانات المعمول به.
بنود عقدية نمطية (SCCs)
The applicable European Commission standard contractual clauses for transfers of Personal Data to third countries, as amended, replaced or supplemented from time to time.
Sub-processor
طرف ثالث معين من قبل أو نيابة عن Grouper لمعالجة بيانات العميل الشخصية.
مزود تكنولوجيا
BambooHR LLC و، حيثما ينطبق، كيانات BambooHR المرتبطة التي توفر منصة التكنولوجيا الأساسية للموارد البشرية.
ما لم يتفق خطيًا بخلاف ذلك، يعتبر العميل متحكمًا وتعتبر Grouper معالجًا. حيث يعمل العميل كمعالج لجهة تحكم أخرى، تعمل Grouper كوـ Sub-processor إلى الحد الذي ينطبق.
Grouper سيعالج البيانات الشخصية للعملاء فقط بناءً على تعليمات مكتوبة من العميل وبما يلزم فقط لتقديم الخدمات وصيانتها وتأمينها ودعمها، ما لم يتطلب القانون المعمول به معالجة البيانات.
Grouper سيعلم العميل فورًا إذا كان في رأيه المعقول أن التعلميات تنتهك قانون حماية البيانات المعمول به وقد يعلق المعالجة المتأثرة حتى يتمResolution.
Each Party will comply with its obligations under Applicable Data Protection Law in relation to Personal Data Processed under or in connection with the Agreement. Grouper will not knowingly Process Customer Personal Data in a manner that is likely to cause the Customer to breach Applicable Data Protection Law.
Grouper سيضمن أن يخضع الأشخاص المصرح لهم لالتزامات سرية مناسبة، والوصول إلى البيانات الشخصية للعميل فقط عندما يكون ذلك ضروريًا بشكل معقول، وتلقي تدريبات مناسبة في الخصوصية والأمان، ومعالجة البيانات الشخصية للعميل فقط وفقًا لهذه المعاهدة ولوائح تعليمات العملاء الموثقة. سيقتصر الوصول وفق مبادئ الأقل امتيازًا والمبدأ اللازم للمعرفة.
Grouper will implement and maintain appropriate technical and organisational measures to protect Customer Personal Data against accidental or unlawful destruction, loss, alteration, unauthorised disclosure or access.
مجالات الضبط الدنيا موضحة في الجدول 2. قد تقوم Grouper بتحديث تلك التدابير بشرط ألا تقلل التغييرات بشكل جوهري من مستوى الحماية العام الممنوح لبيانات العميل الشخصية.
Grouper ستبلغ العميل في أقرب وقت ممكن عمليًا، وبما أن الالتزام التعاقدي بمدة 48 ساعة ينطبق، وأي حال لا يتجاوز 48 ساعة بعد العلم بحدث أمني فعلي أو مشتبه يؤثر على البيانات الشخصية للعميل.
يمكن توفير المعلومات على مراحل كلما توفرت. ستوفر Grouper التعاون المعقول اللازم ليتوافق العميل مع واجبات الإخطار لسلطات الإشراف والأشخاص المتأثرين بالبيانات.
يرخص العميل لـ Grouper تفويضًا كتابيًا عامًا لإشراك مواقع معالجة فرعية ضرورية لتقديم الخدمات.
Grouper will maintain information on Sub-processors that Process Customer Personal Data and will provide reasonable advance notice of material additions or replacements.
حيث ينطبق اتفاقية معالجة البيانات الأساسية BambooHR، يوفر BambooHR حاليًا إشعارًا كتابيًا مسبقًا لمدة لا تقل عن 30 يومًا بخصوص التعهّد الفرعي الجديد الذي سيعالج بيانات العملاء الشخصية.
Grouper will impose written data-protection obligations on Sub-processors materially equivalent to the protections required by this DPA. Grouper remains responsible for Sub-processor performance to the extent required by Applicable Data Protection Law.
Taking account of the nature of Processing, Grouper will provide reasonable assistance to enable the Customer to respond to requests for access, rectification, erasure, restriction, portability, objection and other applicable rights.
إذا تلقت Grouper طلبًا مباشرة يتعلق بالبيانات الشخصية للعميل، فستقوم Grouper بالإحالة الفورية أو إشعار العميل ولن ترد جوهريًا إلا وفق تعليمات موثقة أو عند الطلب القانوني.
Grouper ستقدم مساعدة معقولة، بالنظر إلى طبيعة المعالجة والمعلومات المتاحة، في تقييمات تأثير حماية البيانات، والمشاورة المسبقة مع السلطات الرقابية، والاستفسارات أو التحقيقات المعقولة من سلطة رقابية مختصة تتعلق بالخدمات.
Grouper will make available information reasonably necessary to demonstrate compliance with applicable Processor obligations, which may include security documentation, certifications, audit reports and summaries.
Where such information is insufficient and an audit is required by Applicable Data Protection Law, the Customer may request an audit on reasonable notice. Audits will ordinarily be limited to once in any twelve-month period unless a Security Incident or regulatory requirement justifies more frequent review. The Customer will bear its own audit costs unless law or the Agreement provides otherwise.
Grouper will ensure that Restricted Transfers of Customer Personal Data are made in accordance with Applicable Data Protection Law. Where the Customer purchases the European data-residency service, primary Customer Personal Data storage is in Ireland/EEA via Amazon Web Services (AWS), but authorised non-EEA remote access may still constitute a Restricted Transfer and must be protected accordingly.
If a transfer mechanism ceases to be lawful, Grouper will work with the Customer to implement an alternative lawful mechanism or suspend the affected transfer.
إلى المدى الذي يسمح به القانون، ستراجع Grouper طلبات الجهات العامة ذات الطبيعة الملزمة قانونيًا لبيانات العميل الشخصية، وتتحدى الطلبات غير القانونية أو غير المتناسبة إذا وُجدت أسباب معقولة، وتحاول الحد من الكشف إلى الحد الأدنى المطلوب قانونيًا، وتخطر العميل حيث يسمح القانون وتحتفظ بسجلات مناسبة.
وفقًا لطلب العميل، أو عند إنهاء الخدمات أو انتهاء مدتها، سيعيد Grouper أو يحذف بيانات العملاء الشخصية بشكل آمن بناءً على خيار العميل وبناءً على قابلية التنفيذ تقنيًا والاتفاقية، كما سيُلزم المعالِجون الفرعيون المعنيون بفعل الشيء نفسه. حيثما يفرض القانون الاحتفاظ، سيعزل Grouper البيانات المحفوظة ويحمِيها ويعالجها فقط كما يفرضه القانون.
يؤكد العميل أن لديه الحقوق والتصاريح والإشعارات والأسس القانونية والموافقات اللازمة لتوفير البيانات الشخصية للعميل للمعالجة؛ وأن تعليماته تتوافق مع قانون حماية البيانات المعمول به؛ وأنه لن يوجه معالجة غير قانونية؛ وأنه سيقوم بتكوين واستخدام الخدمات بأمان والحفاظ على ضوابط مناسبة على حسابات المستخدمين والاعتماديات والتكاملات.
Liability arising from or relating to this DPA is subject to the limitations and exclusions in the Agreement except to the extent prohibited by Applicable Data Protection Law or inconsistent with mandatory SCC provisions. Nothing in this DPA limits rights of Data Subjects or supervisory authorities that cannot lawfully be limited.
تدخل هذه المعاهدة حيز التنفيذ عندما يصبح العميل مرتبطًا بها وتستمر طالما تقوم Grouper بمعالجة بيانات العميل الشخصية نيابة عن العميل. فالالتزامات بطبيعتها أو وفق القانون تستمر خلال الاحتفاظ بالبيانات بعد انتهاء العقد.
Grouper may update this DPA where reasonably necessary to comply with law, implement new transfer mechanisms, respond to regulatory guidance, or reflect changes to Services or Processing. No update will materially reduce protection during an active subscription term except where required by law or expressly agreed.
Except where Applicable Data Protection Law or mandatory transfer terms require otherwise, this DPA is governed by the governing law applicable to the Agreement.
في حالة وجود تعارض فيما يخص البيانات الشخصية للعميل، يسري ترتيب الأولويات التالي: القانون المعمول به الإلزامي؛ SCCs المعمول بها، أو الملحق البريطاني أو آلية نقل إلزامية أخرى؛ هذه المعاهدة؛ الأحكام المتعلقة بحماية البيانات في الاتفاق؛ وبقية بنود الاتفاق.
المتحكم / مُصدر البيانات
The Customer identified in the applicable Agreement or Order Form.
المعالج / مستورد البيانات
Grouper شركة تكنولوجيا محدودة، الطابق الثالث، 22 إلي بلاس، دبلن، D02 AH73، أيرلندا.
مزود تكنولوجيا
BambooHR LLC وكيانات BambooHR المعنية التي توفر منصة HRIS الأساسية.
موضوع الموضوع
Provision, implementation, configuration, operation, maintenance, hosting support, security and support of BambooHR-related HR information system services.
طبيعة المعالجة
الجمع والاستلام والتسجيل والتنظيم والهندسة والهجرة والاستضافة والتخزين والاسترجاع والاستشارة والاستخدام ونقل البيانات وجعلها متاحة والتقييد والدعم والوصول والحذف والمعالجات الأخرى اللازمة لتوفير الخدمات.
Purpose
To provide, implement, operate, secure, maintain and support the Services in accordance with documented Customer instructions and the Agreement.
Duration
لمدة خدماتها وأي فترة لاحقة لازمة لإرجاع أو حذف البيانات الشخصية للعميل أو الامتثال للقانون.
أطراف البيانات
Employees, former employees, prospective employees, candidates, contractors, consultants, agency workers, temporary and casual workers, interns, volunteers, referees, dependants, beneficiaries, emergency contacts, Customer administrators and other individuals whose Personal Data is submitted by or on behalf of the Customer.
البيانات الشخصية
Identity, contact, demographic, employment, recruitment, qualification, organisational, compensation, payroll, tax, social-security, banking, pension, benefits, attendance, leave, performance, training, disciplinary, emergency-contact, account, system and related HR information.
البيانات الحساسة
عند اختيار العميل، قد تتضمن معلومات صحية وإعاقة وبيانات فئة خاصة أخرى أو بيانات حساسة يسمح بها الخدمات.
التخزين الأوروبي الأساسي
أيرلندا / المنطقة الاقتصادية الأوروبية عبر خدمات أمازون ويب (AWS) لعملاء شراء خدمة توطين البيانات الأوروبية.
الهيئة الرقابية المختصة
Where the DPC is competent: Data Protection Commission, 6 Pembroke Row, Dublin 2, D02 X963, Ireland.
Grouper يحافظ على إجراءات فنية وتنظيمية عبر مجالات الرقابة الدنيا التالية:
1. حوكمة أمن المعلومات
Documented security responsibilities, risk assessment, governance, management oversight and appropriate policies.
2. أمان القوى العاملة
التزامات السرية، فحص الملاءمة حسب الدور عند الشرعية، التوعية بالأمن والتدريب على الخصوصية، وعمليات ضبط الانضباط للوصول غير المصرح به.
3. الأمن الفيزيائي
الوصول المقيد إلى المرافق والبنية التحتية ذات صلة؛ مسارات وصول مقيدة؛ تفويضات وصول؛ مراقبة مادية وتدابير أخرى مناسبة لبيئة الاستضافة.
4. Identity and Access Management
Authentication, role-based access, least privilege, privileged-account controls, account lifecycle management, idle timeout and periodic review.
5. التحكم في وصول البيانات
ضوابط تسمح للمستخدمين المصرح لهم بالوصول فقط إلى البيانات ضمن صلاحياتهم؛ تسجيل ومراقبة الوصول؛ الإطلاق للبيانات فقط للأشخاص المصرح لهم.
6. التشفير وإحداث الأسماء المستعارة
التشفير المناسب للبيانات الشخصية أثناء النقل وفي السكون؛ الإخفاء على نحو مناسب لغرض المعالجة.
7. أمان الشبكة والنقل
جدران الحماية، بوابات محمية، قنوات اتصال آمنة، بروتوكولات TLS/SFTP أو وسائل نقل محمية مكافئة، والتحكم في اعتراض البريد أو التعديل غير المصرح به.
8. التسجيل والمراقبة
تسجيل نشاط النظام والإدارة والوصول ذات الصلة؛ المراقبة للأحداث المشبوهة؛ الاحتفاظ بمعلومات التدقيق بما يتناسب مع المخاطر.
9. إدخال وتغيير التحكم
ضوابط لتحديد من قام بإدخال البيانات أو تعديلها أو حذفها؛ مصادقة المستخدمين والأنظمة المصرح لهم؛ ممارسات إدارة التغيير الموثقة.
10. اختبارات الثغرات والأمن
العمليات لتحديد وتقييم ومعالجة الثغرات؛ اختبارات اختراق دورية أو أمني؛ تقييم وتقييم مستمر لفعالية الضوابط.
11. التAvailability والنسخ الاحتياطي والتعافي
التكرار البنيوي، النسخ الاحتياطي، إمكانات الاستعادة، ضوابط التوفر وحماية من الفقدان أو التدمير العرضي.
12. استمرارية العمل والتعافي من الكوارث
خطط استمرارية وتعافي موثقة تهدف إلى استعادة التوفر والوصول في الوقت المناسب بعد تعطل أو حدث أمني.
13. فصل البيانات
فصل منطقي أو على مستوى التطبيق بين العملاء وبين أهداف المعالجة؛ ضوابط تمنع الوصول غير المصرح به عبر العملاء.
14. التطوير الآمن
Security practices appropriate to software development, testing, release and change management.
15. Subprocessor Management
الاجتهاد، والالتزامات الكتابية لحماية البيانات، ومراجعة الأمان، وإجراءات نقل آمنة ورقابة مستمرة مناسبة للمعالجة.
16. Incident Management
Documented procedures for detection, investigation, containment, remediation, escalation, customer notification and lessons learned.
نقلات الاتحاد الأوروبي المحدودة
عند اشتراط SCCs الاتحاد الأوروبي، يتم تضمين بنود SCCs الرسمية للمفوضية الأوروبية بالإشارة بدون تعديل للعبارة الإلزامية. ما لم تلزم الأدوار بخلاف ذلك، العميل هو مُصدِر البيانات، وGrouper و/أو مزود التقنية المعني هو مستورد البيانات، وتطبق الوحدة الثانية على تحويلات من المراقب إلى المعالج.
نقلات المملكة المتحدة المحدودة
بالنسبة للتحويلات الخاضعة لقانون حماية البيانات في المملكة المتحدة، ستطبق SCCs الأوروبية مع ملحق النقل الدولي للمملكة المتحدة أو آلية نقل أخرى معترف بها قانونياً.
نقلات سويسرية
للنقلات الخاضعة لقانون حماية البيانات السويسري، ستُفسَّر وتُعدل SCCs وفقًا لما يقتضيه القانون السويسري المعمول به، بما في ذلك الإشارات المناسبة إلى السلطة الرقابية السويسرية وأطراف البيانات السويسرية.
إطار خصوصية البيانات بين الاتحاد الأوروبي والولايات المتحدة
Where a US recipient is an eligible participant in the EU-US Data Privacy Framework and the European Commission adequacy decision remains valid for the relevant Processing, the framework may be relied upon as an adequacy mechanism. Grouper does not rely on the obsolete EU-US or Swiss-US Privacy Shield frameworks.
Transfer Impact Assessments and Supplementary Measures
Where required, the parties will assess the circumstances of the transfer, destination-country laws and practices, onward transfers, categories of data, storage location, transmission channels and supplementary technical, contractual or organisational safeguards. Transfers will be suspended where no lawful and adequate safeguard can reasonably be maintained.
سيناريوهات وصول استثنائية استثنائية للعملاء الأوروبيين
قد يحدث وصول استثنائي معتمد خارج المنطقة الاقتصادية الأوروبية فقط في الحالات التالية:
- حادث طارئ يؤثر على بيئة مركز البيانات الإيرلندي أو استمرارية الخدمة؛
- أ) طلب دعم أو صيانة يتطلب وصول متخصص معتمد خارج المنطقة الاقتصادية الأوروبية، رهناً بموافقة العميل المعمول بها أو تفويض تعاقدي؛ و
- ب) طلب موثق من العميل لمعالجة أو استضافة خارج المنطقة الأوروبية.
مزودو الخدمة الدقيقون المستخدمون يختلفون حسب المنتج والميزة ومسار الدعم وتكوين العميل. القيد الفرعي الحي الحالي الذي تحافظ عليه Grouper و/أو BambooHR هو القاعدة لخدمة التشغيل النشطة.
تم تعريف مقدمي الخدمات الرئيسيين في مواد الخدمة الحاكمة. مقدم هنا ليس بالضرورة أن يقوم بمعالجة بيانات العملاء الشخصية لكل عميل أو لكل نشر.
BambooHR LLC
مزود التكنولوجيا؛ صيانة HRIS والاستضافة والدعم. الموقع: الولايات المتحدة / مناطق الخدمة بما في ذلك أوروبا.
أمازون ويب سيرفِسز (AWS)
البنية التحتية الأساسية لاستضافة السحابة؛ استضافة إقليمية أوروبية في أيرلندا. الموقع: أيرلندا / أوروبا ومناطق أخرى اعتمادًا على تكوين الخدمة.
أنثروبك / كلود
معالجة الذكاء الاصطناعي/النماذج اللغوية. الموقع: الولايات المتحدة.
Cohere
واجهة برمجة تطبيقات نماذة اللغة / معالجة الذكاء الاصطناعي. الموقع: الولايات المتحدة.
OpenAI
واجهة برمجة تطبيقات نماذة اللغة / معالجة الذكاء الاصطناعي. الموقع: الولايات المتحدة.
LlamaIndex / LlamaParse
معالجة مستندات اختيارية مرتبطة بوظائف الذكاء الاصطناعي. الموقع: الولايات المتحدة.
أتلس مونجو دي بي
تخزين بيانات يدعم الخدمات المختارة/وظائف مرتبطة بالذكاء الاصطناعي. الموقع: الولايات المتحدة.
Gainsight
خدمات العلاقات مع العملاء / CRM.
Salesforce
منصة CRM.
Cloudflare
جدار حماية لتطبيقات الويب / الأمن.
Datadog
المراقبة للبنية التحتية والتطبيق.
Microsoft / Google Workspace
التعاون والاتصال وتخزين المستندات اعتمادًا على التكوين الحالي.
Mailgun
الاتصالات التطبيقية.
Snowflake
تحليلات البيانات.
Twilio
التسليم عبر MFA / SMS.
مزودون إضافيون
قد تشمل مقدمو خدمات إضافيون محددون في مواد الخدمة الحالية Celonis/Make، Databricks، Formstack، Jira، Netskope، Omni/Visier، Pendo، Rollbar، Slack، Tableau، OneTrust/TrustArc، Wrike وغيرهم. يجب على العملاء الرجوع إلى قائمة subcontractor الحية في BambooHR وقائمة معلومات المعالِم الفرعي الحالي لـ Grouper للحصول على أحدث التفاصيل.
1. النطاق
تنطبق هذه الجدولة عندما يقوم العميل بتمكين أو استخدام وظيفة الذكاء الاصطناعي أو التعلم الآلي المرتبطة بـ BambooHR في الخدمات المدعومة بـ Grouper.
2. مقدمو AI
Current service materials identify AI providers including OpenAI, Cohere and Anthropic/Claude and may identify additional providers such as LlamaIndex for optional document parsing. The active provider set may change in accordance with applicable subprocessor notice requirements.
3. المدخلات والمخرجات
المدخلات التي يقدمها العميل أو التعليمات أو البيانات المقدمة إلى وظائف الذكاء الاصطناعي قد تشكل “مدخلات”، وقد تشكل الاستجابات الناتجة “مخرجات”. حسب الميزة، قد تتضمن المدخلات أو المخرجات بيانات العميل. قد لا تكون المخرجات فريدة وقد تكون مشابهة للمخرجات التي تم إنتاجها لمستخدمين آخرين.
4. مسؤوليات العميل والإشراف البشري
The Customer is responsible for ensuring that it has the rights, lawful basis, notices and permissions necessary to submit Inputs and use Outputs. The Customer must implement sufficient human oversight and must independently assess outputs before using them for employment, legal, financial, safety-critical or similarly significant decisions.
5. القيود على البيانات الحساسة والمنظَّمة
عند وجود حظر وفقًا لشروط AI المعمول بها، لا يجوز للعميل إرسال معلومات حساسة أو مُنظَّمة إلى ميزات الذكاء الاصطناعي، بما في ذلك معلومات صحية أو وراثية أو بيومترية، أرقام الهوية الحكومية، أو معلومات مالية شخصية أو معلومات حساب بنكي. ينبغي على العملاء تقليل جمع البيانات الشخصية في المطالبات.
6. الدقة والتحيز والإنصاف
Generative AI has known and unknown limitations. Outputs may be inaccurate, incomplete, unsafe, biased, unfair, offensive or otherwise unsuitable. Customers are responsible for reviewing outputs, testing for relevant risks and avoiding unlawful discrimination or solely automated employment decisions.
7. Model Improvement
عندما تسمح شروط BambooHR AI المعمول بها باستخدام بيانات الأداء والتغذية الراجعة لتحسين وظيفة الذكاء الاصطناعي، تكون تلك الاستخدامات م governed by تلك الشروط. عندما تُستخدم بيانات العملاء لضبط نموذج مخصص للعميل، يتم استخدام النموذج الناتج لتوفير ميزات AI لذلك العميل ولا يُستخدم خلاف ذلك لتقديم خدمات لعملاء آخرين.
8. المعالجة الدولية
قد تقوم مقدمو خدمات الذكاء الاصطناعي بمعالجة مدخلات مفوَّضة أو بيانات شخصية ذات صلة خارج المنطقة الاقتصادية الأوروبية. هذه المعالجة خاضعة لإجراءات الحماية للنقل الواردة في هذه اتفاقية معالجة البيانات ولا تغيّر موقع تخزين HRIS الأساسي المتعاقد عليه للعميل. يجب على العملاء تقييم ما إذا كان استخدام الذكاء الاصطناعي الاختياري يتماشى مع متطلبات الإقامة القانونية الخاصة بهم، ومجلس العمل، وقوانين التوظيف، والمخاطر قبل تمكينه.
أسئلة حول سياسة الخصوصية هذه أو حقوق بياناتك؟
اتصل بنا
