1.التعريفات
في اتفاقية معالجة البيانات هذه ("DPA"): تعني "المتحكم" الكيان الذي يحدد أغراض ووسائل معالجة البيانات الشخصية (عادةً العميل)؛ وتعني "المعالج" الكيان الذي يعالج البيانات الشخصية نيابةً عن المتحكم (BambooHR)؛ ويعني "صاحب البيانات" الشخص الطبيعي المحدد أو القابل للتحديد الذي تتعلق به البيانات الشخصية؛ وتعني "البيانات الشخصية" أي معلومات تتعلق بشخص طبيعي محدد أو قابل للتحديد؛ وتعني "المعالجة" أي عملية تُجرى على البيانات الشخصية؛ ويعني "الحادث الأمني" أي استحواذ أو وصول أو استخدام أو إفصاح غير مصرَّح به ومؤكد للبيانات الشخصية.
تعني "GDPR" اللائحة (الاتحاد الأوروبي) 2016/679 (اللائحة العامة لحماية البيانات) و، حيثما ينطبق، نسخة المملكة المتحدة من GDPR كما هي محفوظة في قانون المملكة المتحدة ("UK GDPR"). وتعني "البنود التعاقدية القياسية" أو "SCCs" البنود التعاقدية القياسية التي اعتمدتها المفوضية الأوروبية لنقل البيانات الشخصية إلى معالِجين منشَأين في بلدان ثالثة.
2.نطاق المعالجة وطبيعتها
تنطبق اتفاقية معالجة البيانات هذه على معالجة البيانات الشخصية من قبل BambooHR بصفته معالجًا نيابةً عن العميل بصفته متحكمًا، فيما يتعلق بتقديم الخدمات من قبل BambooHR. وسيعالج BambooHR البيانات الشخصية فقط بالقدر اللازم لتقديم الخدمات ووفقًا لتعليمات العميل الموثقة، بما في ذلك تلك المبينة في شروط خدمة العملاء وأي نموذج طلب ساري.
لا يجوز لـ BambooHR معالجة البيانات الشخصية للعميل لأي غرض آخر، بما في ذلك الأغراض التجارية الخاصة بـ BambooHR، دون الحصول على موافقة خطية مسبقة من العميل، إلا إذا كان القانون الساري يقتضي ذلك، وفي هذه الحالة يخطر BambooHR العميل بهذا الالتزام القانوني قبل المعالجة ما لم يحظر القانون ذلك.
3.التزامات المعالج
يلتزم BambooHR بما يلي: (أ) معالجة البيانات الشخصية فقط بناءً على تعليمات موثقة من العميل؛ (ب) التأكد من أن الأشخاص المخولين بمعالجة البيانات الشخصية قد التزموا بالسرية؛ (ج) تنفيذ تدابير تقنية وتنظيمية مناسبة لضمان مستوى أمان يتناسب مع المخاطر؛ (د) مساعدة العميل في الاستجابة لطلبات حقوق صاحب البيانات؛ (هـ) مساعدة العميل في ضمان الامتثال للالتزامات المتعلقة بالأمن والإبلاغ عن الإخلال وتقييمات أثر حماية البيانات والتشاور المسبق؛ (و) حذف أو إعادة جميع البيانات الشخصية عند الإنهاء؛ و(ز) إتاحة المعلومات اللازمة لإثبات الامتثال والسماح بإجراء عمليات التدقيق.
عندما يعالج BambooHR البيانات الشخصية للاتحاد الأوروبي أو المملكة المتحدة المنقولة إلى BambooHR في الولايات المتحدة، تُدرج البنود التعاقدية القياسية للاتحاد الأوروبي (الوحدة 2: المتحكم إلى المعالج)، كما قد تُحدَّث من وقت لآخر، في اتفاقية معالجة البيانات هذه بالإحالة وتسري على هذه التحويلات. ويُعد العميل وBambooHR قد أبرما البنود التعاقدية القياسية في تاريخ سريان اتفاقية معالجة البيانات هذه.
4.التزامات المتحكم
يقر العميل ويتعهد بأنه يملك جميع الحقوق والصلاحيات اللازمة لتقديم البيانات الشخصية إلى BambooHR ولأمر BambooHR بمعالجة تلك البيانات. ويجب على العميل التأكد من تقديم جميع الإشعارات المطلوبة والحصول على جميع الموافقات المطلوبة من أصحاب البيانات وفقًا لقانون حماية البيانات المعمول به.
يتحمل العميل مسؤولية تحديد أغراض ووسائل معالجة البيانات الشخصية والتأكد من أن تلك المعالجة مشروعة. ويجب على العميل تنفيذ تدابير تقنية وتنظيمية مناسبة لضمان وإثبات أن المعالجة تتم وفقًا للقانون المعمول به واتفاقية معالجة البيانات هذه.
5.المعالجات الفرعية
يخوّل العميل لـ BambooHR استخدام المعالِجين الفرعيين المدرجين في bamboohr.com/legal/sub-processors ("قائمة المعالجين الفرعيين") لمعالجة البيانات الشخصية. وسيقدّم BambooHR إشعارًا مسبقًا لا يقل عن ثلاثين (30) يومًا بأي تغييرات مقترحة على قائمة المعالجين الفرعيين عبر تحديث القائمة وإشعار العميل بالبريد الإلكتروني. ويجوز للعميل الاعتراض على أي إضافة أو استبدال مقترح لمعالِج فرعي خلال تلك الفترة بإرسال إشعار خطي عبر صفحة الاتصال الخاصة بنا.
يجب على BambooHR فرض التزامات حماية البيانات على كل معالج فرعي تعادل تلك الواردة في اتفاقية معالجة البيانات هذه، وتبقى مسؤولة تجاه العميل عن أي إخفاق من جانب أي معالج فرعي في الوفاء بالتزاماته الخاصة بحماية البيانات. ويجب على BambooHR التأكد من خضوع المعالجات الفرعية لآليات نقل مناسبة لأي عمليات نقل دولية.
6.حقوق صاحب البيانات
بالقدر المسموح به قانونًا، يجب على BambooHR إخطار العميل على الفور إذا تلقى BambooHR طلبًا من صاحب بيانات لممارسة حقوقه بموجب قانون حماية البيانات الساري، بما في ذلك حقوق الوصول أو التصحيح أو المحو أو التقييد أو قابلية النقل أو الاعتراض. ولا يجوز لـ BambooHR الرد على أي طلب من هذا القبيل دون تفويض مسبق من العميل، باستثناء تأكيده لصاحب البيانات بأن BambooHR قد أحال الطلب.
ستوفر BambooHR للعميل مساعدة معقولة تجاريًا في الوفاء بالتزاماته للرد على طلبات حقوق أصحاب البيانات، مع مراعاة طبيعة المعالجة والمعلومات المتاحة لدى BambooHR. وقد تُطبق رسوم إضافية على المساعدة المكثفة التي تتجاوز ما هو مطلوب بشكل معقول.
7.تدابير الأمان
يلتزم BambooHR بتنفيذ والمحافظة على تدابير تقنية وتنظيمية مناسبة لحماية البيانات الشخصية من التدمير أو الفقدان أو التغيير أو الإفصاح أو الوصول غير المصرح به أو غير القانوني، بما في ذلك العرضية. وترد هذه التدابير في ملحق الأمان الخاص بـ BambooHR، المتاح على bamboohr.com/legal/security-exhibit، والذي قد يتم تحديثه من وقت لآخر.
مع مراعاة أحدث ما وصل إليه العلم، وتكاليف التنفيذ، وطبيعة المعالجة ونطاقها وسياقها وأغراضها، وكذلك مخاطر الاحتمال والشدة المتفاوتة على حقوق الأشخاص الطبيعيين وحرياتهم، تشمل تدابير الأمان لدى BambooHR تشفير البيانات الشخصية أثناء النقل وعند rest، والمصادقة متعددة العوامل، والاختبار الأمني المنتظم، وضوابط الوصول.
8.إشعار خرق البيانات
يلتزم BambooHR بإخطار العميل دون تأخير غير مبرر، وفي كل الأحوال خلال اثنتين وسبعين (72) ساعة بعد علمه بحادث أمني يؤثر في البيانات الشخصية للعميل. ويشمل هذا الإخطار: وصفًا لطبيعة الحادث الأمني؛ وفئات وأعدادًا تقريبية لأصحاب البيانات والسجلات الشخصية المعنية؛ والنتائج المحتملة للحادث الأمني؛ والتدابير التي اتخذها أو يقترحها BambooHR لمعالجة الحادث الأمني.
لا يُفسر إخطار BambooHR بحادث أمني على أنه إقرار بالخطأ أو المسؤولية. ويقع على العميل وحده مسؤولية تحديد ما إذا كان يجب إخطار أصحاب البيانات والسلطات الإشرافية وكيفية ذلك وفقًا لما يقتضيه القانون الساري.
9.إعادة البيانات وحذفها
عند انتهاء صلاحية الاتفاقية أو إنهائها، يجب على BambooHR، بناءً على طلب خطي من العميل، إعادة جميع البيانات الشخصية إلى العميل بصيغة قابلة للقراءة آليًا و/أو حذف جميع البيانات الشخصية. وسيُكمل BambooHR هذه الإعادة أو الحذف خلال ثلاثين (30) يومًا من طلب العميل الخطي.
ما لم يقتضِ القانون الساري الاستمرار في التخزين، يجب على BambooHR حذف جميع النسخ المتبقية من البيانات الشخصية بعد إكمال عملية الإعادة أو الحذف. وبناءً على طلب خطي من العميل، يجب على BambooHR أن يشهد كتابةً بأن جميع البيانات الشخصية قد أُعيدت أو حُذفت.
10.حقوق التدقيق
يجب على BambooHR إتاحة جميع المعلومات اللازمة بشكل معقول لإثبات الامتثال لاتفاقية معالجة البيانات هذه، والسماح بعمليات التدقيق، بما في ذلك عمليات التفتيش، التي يجريها العميل أو مدقق مفوض من قبله، والمساهمة فيها. ويجب على العميل تقديم إشعار مسبق معقول (لا يقل عن ثلاثين (30) يومًا) قبل إجراء أي تدقيق، ويجب عليه التأكد من أن أي مدقق مفوض يخضع لالتزامات سرية مناسبة.
يجوز لـ BambooHR الوفاء بالتزامات التدقيق الخاصة به من خلال تزويد العميل بأحدث تقارير التدقيق الصادرة عن طرف ثالث لديه (مثل SOC 2 Type II) والشهادات ذات الصلة. ويجب إجراء أي تدقيق حضوري على نفقة العميل، خلال ساعات العمل الاعتيادية، ودون تعطيل العمليات التجارية الخاصة بـ BambooHR.
