Legal
سياسة الخصوصية | Grouper
How Grouper Technology Limited collects, uses, hosts and protects your personal data as BambooHR’s authorised European partner, with primary data storage on AWS Ireland.
آخر تحديث: 16 أغسطس 2026
Grouper يلتزم بحماية البيانات الشخصية والحفاظ على معايير عالية من الخصوصية والأمان والامتثال التنظيمي. تعتبر حماية البيانات مسؤولية تشغيلية وعقدية أساسية، وليست تفكيراً ثانوياً. نُصمِم تقديم خدماتنا، ضوابط الوصول، عمليات الدعم وحوكمة البائعين لتعكس مبادئ المساءلة، النزاهة، السرية والشفافية لGDPR.
تشرح سياسة الخصوصية هذه كيف تجمع تقنيات Grouper المحدودة (أو Grouper، “نحن”، “لدينا” أو “خدماتنا”) البيانات الشخصية وتستخدمها وتصل إليها وتستضيفها وتخزنها وتحميها وتنقلها وتقوم بأي معالجة أخرى لها فيما يتعلق بالخدمات التي نقدمها، بما في ذلك دورنا كشريك أوروبي لـ BambooHR.
Grouper تدعم المؤسسات عبر أيرلندا والمملكة المتحدة وأوروبا ومناطق أخرى من خلال نشر وإدارة واستخدام منصة BambooHR HRIS والتقنيات المرتبطة بالموارد البشرية.
يتم تصميم نموذج خدماتنا الأوروبية حول مبدأ واضح لإقامة البيانات في أوروبا. يتم استضافة البيانات الشخصية الخاصة بالعملاء التي تتم معالجتها من خلال خدمة Grouper الأوروبية لـ BambooHR وتخزينها ضمن المنطقة الاقتصادية الأوروبية (EEA)، مع الاستضافة الأساسية في أيرلندا.
تنطبق سياسة الخصوصية هذه على البيانات الشخصية المعالجة فيما يتعلق بـ:
- تنفيذ وتهيئة BambooHR؛
- تكوين HRIS؛
- إدارة الحساب؛
- دعم العملاء؛
- الدعم الفني؛
- دعم التكامل؛
- هجرة البيانات؛
- نجاح العملاء؛
- التدريب؛
- الخدمات المهنية؛
- الأمان وإدارة الخدمة؛
- اتصالات العملاء؛
- المبيعات والعروض التقديمية؛
- Grouper المواقع الإلكترونية والخدمات الرقمية؛ و
- أنشطتنا التجارية العامة.
Grouper Technology Limited هي شركة أيرلندية fellow مقرها الرسمي في 3rd Floor, 22 Ely Place, Dublin, D02 AH73, Ireland.
BambooHR يوفر نظام معلومات الموارد البشرية الأساسي ووظائف المنتج ذات الصلة. يوفر Grouper التنفيذ الأوروبي والهجرة والتكوين والتدريب ونجاح العملاء والدعم وإدارة الخدمة والخدمات المهنية المرتبطة. وفقًا لاشتراك العميل وتكوينه، قد يدعم منصة HRIS من BambooHR سجلات الموظفين، التهيئة، التوظيف، الوقت والحضور، إدارة الإجازات، الأداء، التعويضات، المزايا، الوظائف المتعلقة بالرواتب، التقارير والتحليلات والتكاملات وواجهات برمجة التطبيقات وميزات الذكاء الاصطناعي.
اعتمادًا على الخدمات التي يشتريها العميل، قد يوفر Grouper: Arabic translation here may vary depending on exact services; please ensure consistency with terminology.
- BambooHR التنفيذ؛
- onboarding;
- التكوين؛
- إعداد الحساب؛
- مساعدة الهجرة؛
- خدمات الدمج؛
- الدعم الفني؛
- دعم HRIS؛
- التدريب؛
- خدمات نجاح العميل؛
- إدارة الخدمة؛
- استكشاف الأخطاء وإصلاحها؛ و
- الخدمات المهنية ذات الصلة المساعدة المهنية.
يَعْتَمد الدور الدقيق في حماية البيانات لـ Grouper على نشاط المعالجة المحدد.
عندما تحدد Grouper غايات ووسائل المعالجة — على سبيل المثال في أنشطة محددة للموقع الإلكتروني والمبيعات والتواصل التجاري والأمن والإدارة المؤسسية — فإن Grouper تعمل كجهة مراقبة.
عندما تقوم Grouper بمعالجة بيانات العملاء الشخصية نيابة عن عميل وبما يتوافق مع تعليمات ذلك العميل الموثقة، تعمل Grouper كمعالج.
عندما يعمل العميل نفسه كمعالج لجهة تحكيم أخرى، قد يعمل Grouper كمعالج فرعي إلى الحد المطبق.
BambooHR may separately act as a Processor or Sub-processor in relation to Customer Personal Data processed through the BambooHR HRIS platform. Roles are further described in Part B and the applicable customer agreement.
4.1 التزام الإقامة الأوروبية الأساسي
بالنسبة للعملاء الذين يشترون خدمة Grouper الأوروبية من BambooHR مع إقامة البيانات في EEA، يتم استضافة وتخزين البيانات الشخصية الخاصة بالعميل كجزء من بيئة إنتاج HRIS الأساسية ضمن EEA، مع موقع الاستضافة الأساسي في أيرلندا.
The primary cloud hosting infrastructure for the European service is provided by Amazon Web Services (AWS), with primary data storage in the AWS Ireland region. The service is designed so that ordinary production storage remains in the contracted European region.
This applies to Personal Data maintained within the European HRIS environment, including employee, candidate and other workforce information.
4.2 التخزين مقابل الوصول
تصف الإقامة البيانات الشخصية للعميل حيث يتم تخزينها. لا يعني ذلك أنه لا يمكن أن يحدث وصول دعم معتمد أو وصول تقني من بلد آخر.
قد يحدث وصول استثنائي من خارج منطقة EEA فقط إذا لزم الأمر، ومصرح به ومحمى قانونيًا كما هو موضح في القسمين 17 و18 من هذه السياسة.
4.3 النسخ الاحتياطي والقدرة على الصمود والتعافي من الكوارث
تم تصميم إجراءات النسخ الاحتياطي والمرونة والتعافي من الكوارث للحفاظ على السرية والنزاهة والتوافر وتظل متوافقة مع الالتزامات الاستضافة الإقليمية المتعاقد عليها للعميل.
Where replication, resilience or disaster-recovery infrastructure is used, Customer Personal Data remains stored within the EEA, subject to documented emergency, continuity or support scenarios and applicable transfer safeguards.
4.4 عدم نقل روتيني خارج EEA
Grouper لا تستخدم وصول الدعم الاستثنائي كآلية لإعادة موقع بيانات شخصية أوروبية بشكل روتيني.
Customer Personal Data forming part of the European service is not routinely hosted or stored outside the EEA. Any material change to the contracted data-residency model is subject to the applicable Agreement, notice requirements and Applicable Data Protection Law.
يشير مصطلح (قانون حماية البيانات المعمول به) إلى جميع قوانين ولوائح حماية البيانات والخصوصية وأمن البيانات المطبقة على المعالجة، بما في ذلك حيثما كان ذلك مناسبًا:
- اللائحة (EU) 2016/679 — اللائحة العامة لحماية البيانات (GDPR);
- قانون حماية البيانات الأيرلندي 2018؛
- قوانين الخصوصية الإيرلندية وقواعد الاتصالات الإلكترونية ذات الصلة؛
- المملكة المتحدة GDPR وقانون حماية البيانات في المملكة المتحدة 2018 حيثما كان ذلك مناسبًا؛
- القانون السويسري المعمول به لحماية البيانات حيثما كان ذلك مناسبًا؛
- التشريعات الوطنية المعمول بها لتطبيق متطلبات الخصوصية الأوروبية؛ و
- any legislation that replaces, supplements or amends those laws.
The parties will interpret this Policy and any applicable DPA consistently with mandatory Data Protection Law. Mandatory provisions of the GDPR, applicable transfer instruments and supervisory-authority requirements take precedence where required.
المعلومات المعالجة تعتمد على الخدمات التي يختارها العميل والبيانات التي يضعها العميل في بيئة الموارد البشرية.
6.1 Employee and Workforce Information
قد تشمل البيانات الشخصية:
- الاسم وأرقام تعريف الموظفين؛
- الصور الفوتوغرافية حيثما وُفِّرت؛
- تفاصيل الاتصال في المنزل أو العمل؛
- تاريخ الميلاد، والجنس والمعلومات السكانية حينما تكون متوفرة؛
- معلومات الحالة الاجتماعية أو العائلية حينما تكون متوفرة؛
- جهات اتصال الطوارئ وأرقام الهواتف؛
- المؤهلات الأكاديمية والمهنية؛
- معلومات السيرة الذاتية أو الملخص، تاريخ العمل والكفاءة اللغوية؛
- المسمى الوظيفي، الدرجة، القسم، الموقع، خطوط التقارير والانتماء إلى الفريق؛
- تواريخ التعيين والفصل، ساعات العمل والتفاصيل التعاقدية؛
- الأداء والتقييم والانضباط ومعلومات تاريخ العمل؛
- المزايا والتأمين وممتلكات الشركة ومعلومات التدريب؛ و
- المعلومات المتعلقة بالإجازة والحضور ووقت الإجازة.
6.2 معلومات الرواتب والتعويضات
عند استخدام الخدمات ذات الصلة، قد تشمل البيانات الشخصية:
- الراتب والتعويض والمكافآت؛
- معلومات الضرائب والضمان الاجتماعي؛
- تفاصيل البنك والمدفوعات؛
- معلومات المعاش التقاعدي؛
- خيارات الأسهم وغيرها من المزايا؛ و
- معلومات أخرى متعلقة بالرواتب.
6.3 التوظيف، معلومات المرشح والمحيل
For candidates, prospective employees and referees, information may include:
- الهوية وتفاصيل الاتصال؛
- السير الذاتية، الملخصات، تاريخ العمل والمؤهلات؛
- سجلات التقديم والمقابلة والتوظيف؛
- الاتصالات مع المرشح وحالة التوظيف؛
- معلومات التعويض المقترح؛
- أسماء المحيلين وتفاصيل الاتصال وعلاقتهم المهنية؛ و
- المعلومات الواردة في المراجعات.
6.4 فئة خاصة وبيانات حساسة
اعتمادًا على استخدام العميل لمنصة HRIS من BambooHR، قد تتضمن الخدمات معلومات صحية أو إعاقة وغيرها من البيانات الشخصية الحساسة أو فئة خاصة.
The Customer remains responsible for ensuring an appropriate Article 6 lawful basis and, where GDPR Article 9 applies, a valid special-category condition.
لا ينبغي للعملاء إدخال معلومات حساسة في حقول نص حرة أو ميزات الذكاء الاصطناعي إلا إذا كان ذلك ضرورياً ومشروعاً ومسموحاً به بموجب شروط المنتج المعنية.
قد تتعلق البيانات الشخصية المعالجة في خدمات Grouper بـ:
- موظفون حاليون، سابقون، آملون ومستقبليون؛
- مرشحون والمتقدمون؛
- متعهدون، مستشارون، وكلاء ومقاولون مستقلون؛
- وكالة، عمال مؤقته ومؤقتون؛
- متدربون ومتطوعون؛
- اعتماد الموظف والجهات المستفيدة وجهات اتصال الطوارئ؛
- المحيلون ومقدمو المراجع؛
- مديرو العملاء والمستخدمون المعتمدون؛ و
- أشخاص آخرون يقدِّم لهم العميل بياناتهم الشخصية بشكل قانوني إلى الخدمات.
قد يتم الحصول على البيانات الشخصية:
- مباشرة من الشخص نفسه؛
- من جهة صاحب العمل للفرد أو صاحب العمل المحتمل؛
- من مسؤولي العملاء والمستخدمين المعتمدين؛
- خلال التنفيذ والتكوين وهجرة البيانات؛
- من خلال الاندماجات أو واجهات برمجة التطبيقات المعتمدة؛
- من خلال طلبات الدعم واستكشاف الأخطاء؛
- من خلال منصة BambooHR HRIS أو نظام آخر يختاره العميل؛
- من خلال عمليات التوظيف؛
- من مصادر عامة تُستخدم قانونياً؛ و
- من مصادر قانونية أخرى يوافق عليها العميل.
Grouper يعالج البيانات الشخصية فقط لأغراض محددة وقانونية. قد تشمل هذه:
- تنفيذ وتكوين منصة HRIS الخاصة بـ BambooHR؛
- استضافة أو تسهيل استضافة البيانات الشخصية للعميل؛
- إدارة الحسابات وأذونات المستخدمين؛
- الحفاظ على الخدمة وتأمينها؛
- توفير الدعم الفني وخدمة العملاء؛
- دعم التكاملات والهجرات؛
- تقديم التدريب والخدمات المهنية؛
- إدارة الاشتراكات وعلاقات العملاء؛
- كشف الحوادث الأمنية والتحقيق فيها؛
- الحفاظ على سجلات التدقيق؛
- منع الاحتيال أو سوء الاستخدام؛
- الامتثال للالتزامات القانونية؛ و
- improving service performance where permitted by the Agreement and Applicable Data Protection Law.
عندما يصل موظفو الدعم إلى البيانات الشخصية للعميل، يجب أن يقتصر الوصول على الحد الأدنى من المعلومات اللازمة لأغراض الدعم ويجب أن يتم بواسطة موظفين مخولين مع الالتزام بالسرية والضوابط على الوصول.
عندما يعمل Grouper كجهة تحكم، قد تشمل الأسس القانونية المعمول بها:
10.1 العقد
المعالجة اللازمة للدخول في عقد أو تنفيذه، أو اتخاذ خطوات قبل الدخول في عقد بناءً على طلب الفرد.
10.2 المصالح المشروعة
Processing necessary for legitimate business interests, provided those interests are not overridden by the rights and freedoms of individuals. Legitimate interests may include:
- تقديم الخدمة؛
- إدارة العملاء؛
- أمن المعلومات؛
- منع الاحتيال؛
- استمرارية الأعمال؛
- دعم العملاء؛ و
- relationship management.
10.3 الالتزام القانوني
Processing necessary to comply with applicable legal or regulatory requirements.
10.4 الموافقة
حيثما كان مناسبًا، قد يعتمد المعالجة على الموافقة. يمكن سحب الموافقة في أي وقت دون التأثير على مشروعية المعالجة قبل السحب.
عندما يعمل العميل كجهة تحكم، يكون العميل مسؤولاً عن:
- تحديد الأغراض التي يتم فيها معالجة البيانات الشخصية؛
- إقامة قواعد قانونية وشروط فئة خاصة؛
- توفير إشعارات الخصوصية المطلوبة؛
- الحصول على الموافقة عند الحاجة؛
- ضمان دقة وجودة البيانات؛
- تحديد فترات الاحتفاظ المناسبة؛
- إدارة المستخدمين المعتمدين والأذونات؛
- استخدام الخدمات بأمان؛ و
- ضمان أن تعليماته لـ Grouper قانونية.
يجب على العميل عدم توجيه Grouper بمعالجة البيانات الشخصية بشكل ينتهك القانون المعمول به حماية البيانات.
سيُخطر Grouper العميل عندما ترى بشكل معقول أن التعليمات تنتهك القانون المعمول به لحماية البيانات وقد يعلق المعالجة المتأثرة حتى يتم حل المشكلة.
Grouper يقيّد الوصول إلى البيانات الشخصية للعميل للأشخاص المفوضين الذين يحتاجون الوصول بشكل معقول إلى واجباتهم. يخضع العاملون لالتزامات السرية المناسبة ويتلقون تدريب الخصوصية والأمن المناسبين لدورهم. يتم تنظيم الوصول وفق مبادئ الحد الأدنى من الامتيازات ومعرفة الحاجة.
ضوابط الوصول تشمل:
- ضوابط الهوية والمصادقة؛
- ضوابط الوصول القائم على الدور والامتيازات؛
- ضوابط الحسابات الإدارية؛
- إدارة دورة حياة الحساب؛
- تسجيل الوصول والمراقبة؛
- مراجعة الوصول الدورية؛
- متطلبات السرية والاستخدام المقبول؛ و
- التوظيف والمهارات الأمنية والتدريب المناسب.
Grouper maintains, and requires relevant technology providers to maintain, technical and organisational measures appropriate to the risks presented by the Processing, taking account of the state of the art, implementation costs, the nature, scope, context and purposes of Processing and the risk to individuals.
الإجراءات تشمل:
- الضوابط المادية والمنطقية للوصول؛
- المصادقة القوية والضوابط المناسبة لكلمات المرور؛
- التشفير أثناء النقل وراحة عند التخزين حيثما كان ذلك مناسباً؛
- التسمية المستعارة عندما يكون ذلك مناسباً؛
- جدران الحماية للشبكة، أمن المحيط، واكتشاف الاختراق؛
- التسجيل، المراقبة، ومسارات التدقيق؛
- إدارة الثغرات واختبار الأمان؛
- وصول إداري مقيد؛
- إرسال آمن، بما في ذلك قنوات النقل المحمية؛
- النسخ الاحتياطي، الاحتياطية، الاستعادة والمرونة؛
- استمرارية الأعمال والتخطيط لاستعادة من الكوارث؛
- تطوير آمن وإدارة التغيير؛
- فصل البيانات بين العملاء وأغراض المعالجة؛
- إجراءات الاستجابة للحوادث؛
- الوعي الأمني والتدريب للموظفين؛ و
- العناية الواجبة من قبل المتعهد الفرعي وممارسات الحوكمة الأمنية؛
Additional detail on minimum control domains is set out in Schedule 2 of the Data Processing Agreement. Security measures may evolve over time, but changes will not materially diminish the overall level of protection for Customer Personal Data during an active subscription except where required by law or agreed with the Customer.
Grouper maintains documented procedures to identify, investigate, contain, mitigate, remediate and report Personal Data Breaches.
عندما يعمل Grouper كمعالج ويصبح على علم بخروقات فعلية أو مُشتبهة لبيانات العملاء الشخصية التي تؤثر على البيانات الشخصية للعميل، ستقوم Grouper بإخطار العميل المعني في أقرب وقت ممكن وبالحد الأدنى خلال 48 ساعة من علمها بالحادثة.
إلى الحد المعقول المتاح، ستتضمن الإخطار:
- طبيعة الحادث؛
- فئات البيانات الشخصية المتأثرة؛
- تصنيفات وأعداد طرفي البيانات والسجلات التقريبية؛
- النتائج المحتملة المحتملة؛
- الإجراءات التي تم اتخاذها أو الاقتراحات؛
- إجراءات التخفيف؛ و
- نقطة اتصال لمعلومات إضافية.
قد تُقدَّم المعلومات على دفعات عند توفرها.
سيقدم Grouper تعاوناً معقولا لتمكين العميل من الوفاء بالالتزامات التنظيمية وإخطار موضوع البيانات المعمول بها.
Public or regulatory communications concerning a Customer-specific breach will be coordinated consistently with law and the applicable Agreement.
قد يقوم Grouper بتعيين معالجات فرعيين ومزودي خدمة مختارين بعناية عند الحاجة لتوفير، استضافة، تأمين، دعم، مراقبة أو تحسين الخدمات.
Before permitting a Sub-processor to Process Customer Personal Data, Grouper will carry out appropriate due diligence and impose written data-protection obligations appropriate to the Processing. These obligations include confidentiality, appropriate technical and organisational measures, purpose limitation, support for Data Subject rights and breach obligations, deletion or return requirements, and lawful international-transfer safeguards where applicable.
Grouper remains responsible for Sub-processor performance to the extent required by Applicable Data Protection Law and contract.
عندما تنص شروط العميل المعمول بها على تفويض مكتوب عام، سيحصل العملاء على إشعار مُسبق للمقدّميْن الفرعيين الجدد ذوي الأهمية وإتاحة الاعتراض لأسباب معقولة تتعلق بحماية البيانات.
بالنسبة لمزوّدي الخدمات الفرعية لـ BambooHR، يوفر اتفاق معالجة البيانات (DPA) الحالي مع BambooHR إشعارًا مسبقًا لا يقل عن 30 يومًا بشان مقاول فرعي جديد سيعالج البيانات الشخصية للعميل.
توفر الجدول 4 الشفافية حول فئات المزودين الرئيسية والمزودين المعروفين المحددين في مواد الخدمة الحاكمة.
BambooHR LLC provides the underlying HR technology platform used in connection with the relevant Services. Grouper may work with BambooHR for platform maintenance, hosting, implementation, troubleshooting, service support, security, technical administration, integrations and other functions necessary to provide the contracted Services.
تخضع معالجة BambooHR للمعايير التعاقدية وقواعد حماية البيانات المعمول بها، بما في ذلك DPA وإجراءات الأمان وترتيبات المعالِجات الفرعيين واحتياطات النقل الدولي.
Grouper تظل مسؤولة عن التزاماتها بموجب قانون حماية البيانات المعمول به وبموجب اتفاق العميل المعمول به. حيث تعالج BambooHR البيانات الشخصية لدعم بيئة عملاء Grouper الأوروبية، تنطبق المتطلبات التعاقدية وأمنية واحتياجات إقامة البيانات.
لخدمة أوروبية متعاقد عليها لـ Grouper، تم تصميم بيانات العميل الشخصية ليتم تخزينها في EEA مع الاستضافة الأساسية في أيرلندا عبر Amazon Web Services (AWS). قد تشكل المعالجة المصرّح بها أو الوصول عن بُعد من خارج EEA نقلة مقيدة حتى لو ظلت البيانات مُخزنة في أيرلندا. يُسمح بهذا الوصول فقط إذا كان قانونيًا وضروريًا ومحمى بتدابير حماية مناسبة.
تشمل أمثلة السيناريوهات الاستثنائية:
- حادث طارئ يؤثر على بيئة مركز البيانات الأيرلندي أو استمرارية الخدمة؛
- طلب دعم أو صيانة يتطلب وصول أخصائي مصرح من خارج EEA، رهناً بموافقة العميل السارية أو تفويض تعاقدي؛ و
- طلب عميل مُحقق لإعادة التوطين أو لمعالجة البيانات خارج منطقة الاستضافة الأوروبية المتعاقد عليها.
عندما يحدث تحويل مقيد، سيستخدم Grouper و/أو مزود التقنية المعني آلية معترف بها قانونياً مثل:
- قرار كفاية؛
- بنود العقد القياسية للاتحاد الأوروبي الخاصة بنقل البيانات؛
- الملحق البريطاني لنقل البيانات الدولية حيثما ينطبق؛
- المشاركة في إطار حماية البيانات بين الولايات المتحدة والاتحاد الأوروبي حيثما كان ذلك متاحاً وذا صلة قانوناً؛
- قواعد الشركات الملزمة حيثما كان ذلك مناسباً؛ أو
- إجراء أمني صحيح آخر معترف به بموجب قانون حماية البيانات المعمول به.
Where required, a Transfer Impact Assessment and supplementary technical, contractual or organisational measures will be implemented.
لا يغيّر أي شيء من هذه الترتيبات الاستثنائية للوصول التزام Grouper بأن بيانات العميل الشخصية للخدمة الأوروبية تُخزَّن ضمن EEA.
عندما تكون شروط العقد القياسية للاتحاد الأوروبي مطلوبة، تُدمج بالشكل المعتمد رسميًا دون تعديل النص الإلزامي. في تحويلات المراقب إلى المعالج، سيطبق عادة Module Two ما لم يتطلب الأمر استخدام وحدة أخرى وفق أدوار الأطراف.
عندما يتم اختيار أيرلندا كقانون ومكان الاختصاص الأوروبي المعنيين، يتفق الطرفان على محاكم أيرلندا كما هو وارد في مرفق SCC المعمول به.
بالنقلات الخاضعة لقانون حماية البيانات في المملكة المتحدة، ستطبق SCCs الخاصة بالاتحاد الأوروبي مع إضافة نقل البيانات الدولية البريطانية السارية آنذاك أو أي آلية نقل أخرى معترف بها قانونياً في المملكة المتحدة.
Supplementary measures may include:
- التشفير؛
- قيود الوصول؛
- ضوابط إدارة المفاتيح؛
- التقليل من البيانات؛
- التسجيل؛
- القيود التعاقدية على النقل إلى الأمام؛
- إجراءات مراجعة طلبات الحكومة؛
- إشعارات الشفافية؛ و
- تعليق أو إنهاء التحويلات حيث لا يمكن ضمان مستوى كاف من الحماية.
Grouper recognises that lawful government access requests can create material privacy risks. To the extent permitted by law, where Grouper or a relevant processor receives a legally binding request for Customer Personal Data from a public, law-enforcement or judicial authority, the request will be reviewed for validity, scope and proportionality.
سيتم تحدي الطلبات غير القانونية أو غير المتناسبة عندما توجد أسباب معقولة ومسوغ قانونياً لذلك.
سيظل الكشف محدوداً بالحد الأدنى المطلوب قانونياً.
سيتم إخطار العميل حيثما يُسمح قانونياً بذلك. وعندما يكون الإخطار محظوراً، ستُبذل جهود معقولة للحصول على إذن لتوفير الإخطار حيثما كان ذلك مناسباً.
سيُحفظ سجل للطلب والرد كما يتطلبه القانون وآلية النقل المعمول بها.
Depending upon Applicable Data Protection Law, individuals may have rights including:
- الوصول؛
- التصحيح؛
- مسح البيانات؛
- تقييدات معالجة البيانات؛
- تنقل البيانات؛
- اعتراض؛
- سحب الموافقة؛
- الحقوق المتعلقة باتخاذ القرار الآلي وتقييماته؛ و
- the right to complain to a competent supervisory authority.
عندما يعمل Grouper كمعالج، يجب عادة توجيه الطلبات المتعلقة بالبيانات الشخصية للعميل إلى العميل المعني باعتباره المتحكم. إذا تلقّى Grouper مثل هذا الطلب مباشرة، ستقوم Grouper، ما لم يكن ذلك محظوراً قانونياً، بالإحالة أو إخطار الطلب إلى العميل ولن يتم الرد مادياً إلا بناءً على تعليمات documented للعميل أو حيثما يتطلب القانون. ستقدم Grouper مساعدة معقولة لتمكين العميل من الوفاء بالتزاماته.
مع مراعاة طبيعة المعالجة والمعلومات المتاحة لـ Grouper, ستقدم Grouper مساعدة معقولة في تقييمات أثر حماية البيانات وبالمشاورات المسبقة مع جهة إشرافية مختصة عند الحاجة.
The Customer remains responsible for determining whether a DPIA or prior consultation is required for its use of the Services.
Grouper will make available information reasonably necessary to demonstrate compliance with applicable Processor obligations. This may include:
- توثيق الأمان؛
- السياسات؛
- معلومات الامتثال؛
- معلومات التدقيق؛
- تقارير الضمان المستقلة؛
- الشهادات ذات الصلة؛ و
- استجابات لاستبيانات أمان معقولة.
عند طلبها قانونيًا أو تعاقديًا وبما أن الدليل الوثائقي المعقول غير كافٍ، يجوز للعملاء ممارسة حقوق التدقيق المعمول بها مع إشعار معقول، مع الالتزام بالسرية والأمن وعدم التدخل و保护 معلومات العملاء الآخرين. ما لم يَتَطلّب الأمر بسبب حادث أمني أو متطلبات تنظيمية أو دليل معقول على عدم الامتثال الجوهري، يجب أن تقتصر عمليات التدقيق الرسمية عادةً على مرة واحدة كل اثني عشر شهرًا. يتحمل العملاء عادة تكاليف التدقيق الخاصة بهم ما لم ينص القانون أو العقد على خلاف ذلك.
Grouper يحتفظ بالبيانات الشخصية فقط طالما كانت ضرورية بشكل معقول للغرض المعني أو كما يفرض القانون.
عندما يعمل Grouper كمعالج، تكون فترة الاحتفاظ محددة أساساً بواسطة:
- تعليمات العميل الموثقة؛
- الاتفاقية العميلة المعمول بها؛
- مدة خدمات الخدمات؛
- متطلبات الدعم؛
- الالتزامات القانونية؛ و
- contractual deletion requirements.
Upon termination or expiry of the Services, or earlier upon a valid Customer instruction where technically and legally practicable, Grouper will return, make available for export, or securely delete Customer Personal Data in accordance with the Agreement.
Where law requires continued retention, the affected data will remain protected, isolated from ordinary use and Processed only to the extent required by law.
Support-related information will be retained only for the period necessary to deliver, evidence and close the support activity, subject to applicable legal and operational retention requirements.
Grouper supports the principles of data minimisation, accuracy and purpose limitation. Customers should Process only Personal Data reasonably necessary for legitimate HR and workforce-management purposes and should avoid unnecessary sensitive information in free-text fields, attachments, notes, custom fields or optional features.
العملاء مسؤولون عن الحفاظ على بيانات العملاء الشخصية دقيقة. عند علم Grouper أو معالج بأن البيانات غير دقيقة أو قديمة في ظروف تتطلب إجراءً، ستتعاون Grouper مع العميل لتصحيح أو مسح البيانات وفق تعليمات موثقة وقانون حماية البيانات المعمول به.
Special category Personal Data should be limited to information for which the Customer has an appropriate lawful basis and genuine business requirement.
قد تستخدم بعض ميزات BambooHR الذكاء الاصطناعي أو التعلم الآلي. وظيفة الذكاء الاصطناعي اختيارية حيثما تم التعرف عليها ك such وقد تكون خاضعة لبنود الذكاء الاصطناعي BambooHR المستقلة.
مواد خدمة BambooHR AI الحالية تحدد مقدمي AI من طرف ثالث مثل OpenAI و Cohere و Anthropic/Claude، وقد تحدد مواد المقاول الفرعي الحالية مقدمي AI إضافيين أو معالجة مستندات (مثل LlamaIndex) اعتمادًا على تكوين الميزة.
Customers remain responsible for:
- تقييم مدى ملاءمة استخدام الذكاء الاصطناعي لمنظمتهم؛
- إنشاء أساس قانوني؛
- توفير الشفافية المطلوبة للأشخاص المعنيين بالبيانات؛
- الحصول على الموافقة عند الحاجة؛
- تنفيذ إشراف بشري كاف؛
- تقييم مخاطر التحيز والعدالة؛ و
- complying with employment, equality, AI and data-protection law.
Customers must not submit sensitive or regulated information to AI features where prohibited by the applicable AI terms, including health, genetic or biometric information, government-issued identifiers, and personal financial or bank information. AI outputs may be inaccurate, incomplete, biased, non-unique or unsuitable for a particular purpose and must not be treated as a substitute for responsible human judgement.
عندما تستخدم BambooHR بيانات العميل أو المدخلات أو المخرجات لضبط أو تدريب نموذج مخصص للعميل، فإن شروط الذكاء الاصطناعي الخاصة بـ BambooHR تنص على أن هذا الاستخدام يهدف إلى تزويد العميل بميزات الذكاء الاصطناعي لهذا العميل وأن النموذج المُدرَّب من قِبَل العميل لا يُستخدم بخلاف ذلك لتقديم خدمات لعملاء آخرين.
AI providers and AI-related processing may involve authorised Processing outside the EEA. Such Processing is subject to the international-transfer safeguards in this Policy and any applicable Data Processing Agreement. Core HRIS storage residency commitments do not by themselves mean every optional AI inference operation occurs physically within the EEA.
Grouper provides HR technology implementation, support and related services. Grouper does not ordinarily determine who a Customer recruits or employs, promotions, compensation, performance outcomes, disciplinary action, benefits decisions, termination or other employment decisions. Those decisions remain the responsibility of the relevant employer or Controller.
Customers must ensure that AI, analytics, scoring or workflow features are not used to make unlawfully automated decisions producing legal or similarly significant effects without the safeguards required by Applicable Data Protection Law, including meaningful human involvement where required.
The BambooHR HRIS platform supports APIs and integrations that can retrieve, transmit or modify employee and other HR data. Customers are responsible for authorising appropriate permissions, protecting API credentials, limiting integration access to legitimate business purposes, and ensuring that third-party integrations are lawfully configured and contractually governed.
يجب أن تستخدم وصولاً برمجياً طرق مصادقة مدعومة ويجب ألا تكشف بيانات العميل أو أوراق اعتماده لأطراف غير مصرح بها.
يجب ألا تستخدم التكاملات بيانات العميل خارج الغرض الوثائقي والمصرح به.
عندما يقوم مزود التكامل بمعالجة البيانات الشخصية نيابة عن العميل أو Grouper, يجب تطبيق شروط معالج أو معالِج فرعي مناسبة وآليات نقل حماية.
عندما يعمل Grouper كقَيم في ما يتعلق بنشاطه التجاري الخاص، قد نقوم بمعالجة معلومات الاتصال التجارية المتعلقة بـ:
- العملاء المحتملين؛
- جهات اتصال العملاء؛
- الموردين؛
- الشركاء؛
- المستشارون المهنيون؛
- الحضور في الفعاليات؛
- زوار المواقع الإلكترونية؛ و
- أفراد يتواصلون مع Grouper.
قد تتضمن المعلومات الاسم، الجهة، المنصب، تفاصيل اتصال الأعمال، الاتصالات، معلومات الاستفسار، عنوان IP، معلومات المتصفح والجهاز، الصفحات التي تم زيارتها، وبيانات تقنية مماثلة.
نقوم بمعالجة هذه المعلومات للرد على الاستفسارات، إدارة العلاقات، توفير الخدمات المطلوبة، الحفاظ على الأمان، تنفيذ العقود، الامتثال للقانون وعند السماح، إرسال اتصالات تجارية ذات صلة. يمكن للمستلمين الانسحاب من التسويق المباشر في أي وقت. الاتصالات التشغيلية والتعاقدية والأمنية وخدمة العملاء ليست تسويقاً.
قد تستخدم المواقع ملفات تعريف الارتباط الأساسية والوظيفية والتقليلية والتحليلات وتكنولوجيات مشابهة. عند الطلب القانوني، ستُستخدم ملفات تعريف الارتباط غير الأساسية فقط بعد الحصول على موافقة مناسبة وسيتم تزويد المستخدمين بإمكانيات للتحكم في التفضيلات.
Grouper seeks to embed privacy into service design and operations. This includes:
- خيارات الإقامة الأوروبية للبيانات؛
- تقليل البيانات؛
- أقل وصولاً يمنح الأقل امتيازاً؛
- مصادقة مناسبة؛
- التشفير؛
- تسجيل الوصول؛
- أذونات قائمة على الدور؛
- نقل آمن؛
- ضوابط المعالج الفرعي؛
- ضوابط الاحتفاظ؛
- عمليات الاستجابة للحوادث؛
- التدريب على الخصوصية والأمان؛
- اختبار الأمان؛
- دعم DPIA؛ و
- المساءلة الموثقة.
سيحافظ Grouper على السجلات والإجراءات الحوكمة الملاءمة لدوره وسيتعاون بحسن نية مع العملاء وموضوعي البيانات والسلطات الإشرافية المختصة.
Grouper may update this Privacy Policy and DPA where reasonably necessary to reflect changes in law, regulatory guidance, security requirements, technology, Services, Processing activities, sub-processors or transfer mechanisms. Material changes will be communicated where required.
عندما تقوم Grouper بمعالجة بيانات العملاء الشخصية كمعالج، يحكم الجزء ب و الاتفاقية العميلة المعمول بها العلاقة التعاقدية للمعالجة. في حال وجود تعارض فيما يخص بيانات العملاء الشخصية، يتم تطبيق ترتيب الأولوية التالي: القانون الواجب التطبيق لحماية البيانات؛ بنود SCCs المعمول بها، الملحق البريطاني للنقل، أو آلية نقل أخرى ملزمة قانوناً؛ اتفاقية معالجة البيانات؛ الأحكام المعمول بها لحماية البيانات في الاتفاق؛ وباقي بنود الاتفاق.
اقتراح Grouper الأوروبي لـ BambooHR مبني على ثلاثة مبادئ:
الإقامة البيانات في أوروبا.
يتم استضافة وتخزين بيانات العملاء الشخصية داخل منطقة EEA، مع الاستضافة الأساسية في أيرلندا عبر خدمات أمازون ويب (AWS).
معايير الخصوصية الأوروبية.
Customer Personal Data is Processed in accordance with applicable European data-protection requirements including the GDPR.
الخدمات والدعم الأوروبي.
Grouper provides customers with European implementation, support and service management around the BambooHR HRIS platform.
هدفنا هو تمكين المؤسسات من استخدام BambooHR مع الحفاظ على معايير الخصوصية والحوكمة وبيئة البيانات المقيمة كما يتوقعها عملاء أوروبا.
يمكن إرسال الأسئلة المتعلقة بسياسة الخصوصية هذه وأنشطة معالجة Grouper وحقوق أصحاب البيانات والأمن وترتيبات الإقامة الأوروبية للبيانات عبر قنوات الخصوصية أو دعم العملاء المخصصة من Grouper.
قد يتم التواصل مع Grouper Technology Limited أيضًا في 3rd Floor, 22 Ely Place, Dublin, D02 AH73, Ireland.
عندما تكون البيانات الشخصية المعنية موجودة ضمن حساب صاحب عمل لدى BambooHR، ينبغي للأفراد في العادة التواصل مع صاحب العمل أولاً، حيث ستكون تلك المؤسسة عادة المسؤول عن تحديد كيفية استخدام المعلومات.
تشكل هذه الاتفاقية لمعالجة البيانات (DPA) جزءًا من الاتفاقية ونموذج الطلب أو بيان العمل أو عقد آخر يحكم تقديم خدمات Grouper المرتبطة بـ BambooHR بين العميل و Grouper Technology Limited.
في تقديم الخدمات، قد تقوم Grouper بمعالجة بيانات العملاء الشخصية نيابة عن العميل. وهذا الـ DPA يحدد التزامات الطرفين فيما يخص تلك المعالجة.
تنطبق هذه المعالجة على النطاق الذي تقوم فيه Grouper بمعالجة بيانات العملاء الشخصية نيابة عن العميل وتخضع هذه المعالجة لقانون حماية البيانات المعمول به. إنها تكمل وت form جزءًا من الاتفاقية؛ وتُعَدّ المصطلحات المكتوبة بحروف كبيرة هنا بدون تعريف المعنى المقصود في الاتفاقية.
لهذه الاتفاقية:
بيانات العملاء الشخصية
البيانات الشخصية التي يسيطر عليها عميل أو جهة تابعة للعميل وتتم معالجتها بواسطة Grouper فيما يتعلق بالخدمات.
نقل مقيد
نقل لبيانات شخصية يتطلب آلية نقل قانونية وفقًا لقانون حماية البيانات المعمول به.
بنود عقدية معيارية (SCCs)
The applicable European Commission standard contractual clauses for transfers of Personal Data to third countries, as amended, replaced or supplemented from time to time.
Sub-processor
طرف ثالث يُعينه أو نيابة عن Grouper لمعالجة بيانات العملاء الشخصية.
مزود التكنولوجيا
BambooHR LLC وعند الاقتضاء، الكيانات المرتبطة BambooHR التي توفر منصة تقنية الموارد البشرية الأساسية.
ما لم يتم الاتفاق كتابيًا على خلاف ذلك، يعتبر العميل متحكمًا وتتصرف Grouper كمعالج. إذا كان العميل يعمل كمعالج لجهة تحكم أخرى، فإن Grouper تعمل كوكيلاً فرعي وفقًا لما يجوز تطبيقه.
سيقوم Grouper بمعالجة البيانات الشخصية للعملاء فقط وفقًا لتعليمات العميل الموثقة وبقدر ما هو ضروري لتقديم الخدمات وصيانتها وتأمينها ودعمها، ما لم يُطلب معالجة البيانات بموجب القانون المعمول به.
سيُخطر Grouper العميل على الفور إذا كان في رأيه المعقول أن التعليمات تنتهك قانون حماية البيانات المعمول به وقد يعلق المعالجة المتأثرة انتظارًا للحل.
Each Party will comply with its obligations under Applicable Data Protection Law in relation to Personal Data Processed under or in connection with the Agreement. Grouper will not knowingly Process Customer Personal Data in a manner that is likely to cause the Customer to breach Applicable Data Protection Law.
سيضمن Grouper خضوع الأشخاص المخولين لالتزامات سرية مناسبة، والوصول إلى بيانات العملاء الشخصية فقط عند الضرورة المعقولة، وتلقي تدريب مناسب على الخصوصية والأمان ومعالجة بيانات العملاء الشخصية فقط وفقًا لهذا DPA وتعليمات العملاء الموثقة. وسيُقيد الوصول وفق مبادئ أقل امتيازًا ومبدأ المعرفة اللازمة.
Grouper will implement and maintain appropriate technical and organisational measures to protect Customer Personal Data against accidental or unlawful destruction, loss, alteration, unauthorised disclosure or access.
المجالات الحدّ الأدنى للرقابة موصوفة في الجدول 2. يجوز لـ Grouper تحديث تلك التدابير بشرط ألا تقلل التغييرات بشكل كبير من مستوى الحماية الشامل لبيانات العملاء الشخصية.
سوف تُخطِر Grouper العميل في أقرب وقت ممكن عمليًا، وعندما ينطبق الالتزام التعاقدي لمدة 48 ساعة، لن يتجاوز ذلك 48 ساعة بعد معرفة وجود واقع أمني أو اشتباه يؤثر على بيانات العملاء الشخصية.
قد يُقدَّم المعلومات على دفعات عند توافرها. ستقدم Grouper التعاون المناسب المطلوب لامتثال العميل لواجبات الإخطار إلى الجهات الرقابية وأصحاب البيانات المتأثرين.
يمنح العميل Grouper تفويضًا كتابيًا عامًا لإشراك المعالِجين الفرعيين اللازمين لتقديم الخدمات.
Grouper will maintain information on Sub-processors that Process Customer Personal Data and will provide reasonable advance notice of material additions or replacements.
عندما ينطبق DPA الأساسي لـ BambooHR، يوفر BambooHR حاليًا إشعارًا كتابيًا مسبقًا بما لا يقل عن 30 يومًا بشان وجود مقاول فرعي جديد سيعالج بيانات العميل الشخصية.
Grouper will impose written data-protection obligations on Sub-processors materially equivalent to the protections required by this DPA. Grouper remains responsible for Sub-processor performance to the extent required by Applicable Data Protection Law.
Taking account of the nature of Processing, Grouper will provide reasonable assistance to enable the Customer to respond to requests for access, rectification, erasure, restriction, portability, objection and other applicable rights.
إذا تلقَّت Grouper طلبًا مباشرًا يتعلق ببيانات العملاء الشخصية، فسيقوم Grouper بالإشارة فورًا أو إشعار العميل ولن يرد بشكل جوهري إلا وفق تعليمات موثقة أو حيثما يلزم القانون.
ستقدم Grouper مساعدة معقولة، مع الأخذ في الاعتبار طبيعة المعالجة والمعلومات المتاحة، في إجراء تقييمات أثر حماية البيانات والتشاور المسبق مع السلطات الرقابية والتحريات المعقولة التي تجريها سلطة إشرافية مختصة فيما يتعلق بالخدمات.
Grouper will make available information reasonably necessary to demonstrate compliance with applicable Processor obligations, which may include security documentation, certifications, audit reports and summaries.
Where such information is insufficient and an audit is required by Applicable Data Protection Law, the Customer may request an audit on reasonable notice. Audits will ordinarily be limited to once in any twelve-month period unless a Security Incident or regulatory requirement justifies more frequent review. The Customer will bear its own audit costs unless law or the Agreement provides otherwise.
Grouper will ensure that Restricted Transfers of Customer Personal Data are made in accordance with Applicable Data Protection Law. Where the Customer purchases the European data-residency service, primary Customer Personal Data storage is in Ireland/EEA via Amazon Web Services (AWS), but authorised non-EEA remote access may still constitute a Restricted Transfer and must be protected accordingly.
If a transfer mechanism ceases to be lawful, Grouper will work with the Customer to implement an alternative lawful mechanism or suspend the affected transfer.
بالقدر المسموح به قانونيًا، ستراجع Grouper الطلبات الملزمة من سلطات عامة بشأن بيانات العملاء الشخصية وتواجه الطلبات غير القانونية أو غير المتناسبة إذا كانت هناك أسس معقولة، وتسعى إلى الحد من الكشف إلى الحد الأدنى قانونيًا، وإخطار العميل حيثما يسمح القانون والحفاظ على السجلات الملائمة.
بناءً على طلب العميل أو عند انتهاء الخدمة أو انتهاء مدتها، حسب اختيار العميل وبناءً على الإمكانية الفنية والاتفاق، سيعيد Grouper أو يحذف بيانات العميل الشخصية بشكل آمن ويلزم الم accumulative/sub-processors بفعل الشيء نفسه. حيثما يتطلب القانون الاحتفاظ بالبيانات، سيعزل Grouper البيانات المحفوظة ويحميها ويمررها فقط كما يقتضي القانون.
يضمن العميل أنه يمتلك الحقوق والتصاريح والإشعارات والأسس القانونية والموافقات اللازمة لتوفير البيانات الشخصية للعملية؛ وأن تعليماته تتوافق مع قانون حماية البيانات المعمول به؛ وأنه لن يأمر بمعالجة غير قانونية؛ وأنه سيكوِّن ويستخدم الخدمات بشكل آمن ويحافظ على ضوابط مناسبة على حسابات المستخدمين وبيانات الاعتماد والتكاملات.
Liability arising from or relating to this DPA is subject to the limitations and exclusions in the Agreement except to the extent prohibited by Applicable Data Protection Law or inconsistent with mandatory SCC provisions. Nothing in this DPA limits rights of Data Subjects or supervisory authorities that cannot lawfully be limited.
تسري هذه الـ DPA عندما يصبح العميل مُلزماً بها وتستمر طالما تقوم Grouper بمعالجة بيانات العملاء الشخصية نيابة عن العميل. تبقى الالتزامات بطبيعتها أو بموجب القانون سارية حتى بعد انتهاء المدة أو الإنهاء.
Grouper may update this DPA where reasonably necessary to comply with law, implement new transfer mechanisms, respond to regulatory guidance, or reflect changes to Services or Processing. No update will materially reduce protection during an active subscription term except where required by law or expressly agreed.
Except where Applicable Data Protection Law or mandatory transfer terms require otherwise, this DPA is governed by the governing law applicable to the Agreement.
في حال وجود تناقض فيما يخص بيانات العملاء الشخصية، تسري الأولويات التالية: القانون الإلزامي لحماية البيانات المعمول به؛ بنود SCCs المعمول بها، أو الإضافة البريطانية (UK Addendum) أو آلية نقل إلزامية أخرى؛ هذا DPA؛ أحكام حماية البيانات المعمول بها في الاتفاقية؛ وباقي الاتفاقية.
المتحكم/مُصدِّر البيانات
The Customer identified in the applicable Agreement or Order Form.
المعالج/مُستورِد البيانات
Grouper Technology Limited، 3rd Floor, 22 Ely Place, Dublin, D02 AH73, Ireland.
مزود التكنولوجيا
BambooHR LLC والكيانات BambooHR المعنية التي توفر منصة HRIS الأساسية.
موضوع المسألة
Provision, implementation, configuration, operation, maintenance, hosting support, security and support of BambooHR-related HR information system services.
طبيعة المعالجة
التجميع والاستلام والتسجيل والتنظيم وهيكلة الهجرة والاستضافة والتخزين والاسترجاع والاستشارة والاستخدام ونقل البيانات وإتاحتها والقيود والدعم والوصول والحذف وغيرها من الإجراءات المعالجة اللازمة بشكل معقول لتقديم الخدمات.
Purpose
To provide, implement, operate, secure, maintain and support the Services in accordance with documented Customer instructions and the Agreement.
Duration
لدى مدة الخدمات وأي فترة لاحقة ضرورية لإرجاع أو حذف البيانات الشخصية للعملاء أو الامتثال للقانون.
موضوعات البيانات
Employees, former employees, prospective employees, candidates, contractors, consultants, agency workers, temporary and casual workers, interns, volunteers, referees, dependants, beneficiaries, emergency contacts, Customer administrators and other individuals whose Personal Data is submitted by or on behalf of the Customer.
البيانات الشخصية
Identity, contact, demographic, employment, recruitment, qualification, organisational, compensation, payroll, tax, social-security, banking, pension, benefits, attendance, leave, performance, training, disciplinary, emergency-contact, account, system and related HR information.
البيانات الحساسة
عند اختيار العميل، قد تتضمن معلومات صحية وذهنية وإعاقة وغيرها من البيانات من فئة خاصة أو حساسةPermitted by the Services.
التخزين الأوروبي الأساسي
أيرلندا/منطقة EEA عبر خدمات أمازون ويب سيرفيسز (AWS) لعملاء يشترون خدمة الإقامة الأوروبية للبيانات.
السلطة الرقابية المختصة
Where the DPC is competent: Data Protection Commission, 6 Pembroke Row, Dublin 2, D02 X963, Ireland.
Grouper يحافظ على تدابير فنية وتنظيمية عبر مجالات التحكم الدنيا التالية:
1. حوكمة أمن المعلومات
Documented security responsibilities, risk assessment, governance, management oversight and appropriate policies.
2. أمان الموظفين
إلتزامات السرية، فحص الأدوار حسب القانون، وعي الأمن والتدريب على الخصوصية، والضوابط التأديبية للوصول غير المصرح به.
3. الأمن المادي
الوصول المقيد إلى المرافق والبنية التحتية ذات الصلة؛ مسارات وصول مقيدة؛ تفويضات وصول؛ مراقبة مادية ووسائل حماية أخرى مناسبة لبيئة الاستضافة.
4. Identity and Access Management
Authentication, role-based access, least privilege, privileged-account controls, account lifecycle management, idle timeout and periodic review.
5. التحكم في وصول البيانات
ضبط تحكمات للوصول المصرح به فحسب إلى البيانات ضمن صلاحياتهم؛ تسجيل ومراقبة الوصول؛ الإفراج عن البيانات فقط لأشخاص مخولين.
6. التشفير وتبديل الأسماء
التشفير المناسب للبيانات الشخصية أثناء النقل وفي حالتها الثابتة؛ التبديل أو التشفير المُستعار عند مناسبته لغرض المعالجة.
7. أمان الشبكة والنقل
جدران الحماية، بوابات محمية، قنوات اتصال آمنة، نقل محمي باستخدام TLS/SFTP أو آليات نقل محمية مكافئة، والتحكم في اعتراض أو تعديل غير مصرح به.
8. التسجيل والمراقبة
تسجيل نشاط النظام والإدارة والوصول؛ المراقبة لوجود أحداث مريبة؛ الاحتفاظ بمعلومات التدقيق بما يتناسب مع المخاطر.
9. إدخال وتغيير التحكم
ضبط لتحديد من قام بإدخال البيانات أو تعديلها أو حذفها؛ مصادقة المستخدمين والأنظمة المصرح لهم؛ ممارسات إدارة التغيير الموثقة.
10. ضعف الأمن واختبار الاختراق
إجراءات لتحديد وتقييم ومعالجة الثغرات؛ اختبارات اختراق دورية أو اختبارات أمان؛ تقييم دوري وقياس فاعلية الضوابط.
11. التوفر، الاحتياطي والاسترداد
ازدواج البنية التحتية، النسخ الاحتياطي، القدرة على الاستعادة، ضوابط التوفر والحماية من الفقدان أو التلف العرضي.
12. استمرارية الأعمال واستعادة الكوارث
خطط استمرارية وتعافٍ موثقة تهدف لاستعادة التوفر والوصول في الوقت المناسب بعد اضطراب أو حادث أمني.
13. فصل البيانات
فصل منطقي أو على مستوى التطبيق بين العملاء وبين أغراض المعالجة؛ ضوابط لمنع الوصول غير المصرح به بين عملاء مختلفين.
14. التطوير الآمن
Security practices appropriate to software development, testing, release and change management.
15. Subprocessor Management
اجتهاد، والتزامات حماية البيانات مكتوبة، ومراجعة أمان، وضمانات النقل والاشراف المستمر بما يناسب المعالجة.
16. Incident Management
Documented procedures for detection, investigation, containment, remediation, escalation, customer notification and lessons learned.
التحويلات المقيدة في الاتحاد الأوروبي
عند ما تستلزم SCCs للاتحاد الأوروبي، تُدرج بنود SCCs الرسمية للمفوضية الأوروبية من دون تغيير في الصياغة الإجبارية. ما لم تقتضِ الأدوار خلاف ذلك، العميل هو مُصدِّر البيانات، وGrouper و/أو مزود التقنية المعني هو مُستورد البيانات، وتطبق الوحدة الثانية علىTransfers من المراقِب إلى المعالج.
التحويلات المقيدة في المملكة المتحدة
بالنقلات الخاضعة لقانون حماية البيانات في المملكة المتحدة، ستطبق SCCs الخاصة بالاتحاد الأوروبي مع إضافة نقل البيانات الدولية البريطانية السارية آنذاك أو أي آلية نقل أخرى معترف بها قانونياً في المملكة المتحدة.
التحويلات السويسرية
بالنطاقات الخاضعة لقانون حماية البيانات في سويسرا، ستُفسَّر وتُكيف SCCs وفقًا للقانون السويسري المعمول به، بما في ذلك الإشارات المناسبة إلى السلطة الرقابية السويسرية وموضوعات البيانات السويسرية.
إطار حماية البيانات الاتحاد الأوروبي-الولايات المتحدة
Where a US recipient is an eligible participant in the EU-US Data Privacy Framework and the European Commission adequacy decision remains valid for the relevant Processing, the framework may be relied upon as an adequacy mechanism. Grouper does not rely on the obsolete EU-US or Swiss-US Privacy Shield frameworks.
Transfer Impact Assessments and Supplementary Measures
Where required, the parties will assess the circumstances of the transfer, destination-country laws and practices, onward transfers, categories of data, storage location, transmission channels and supplementary technical, contractual or organisational safeguards. Transfers will be suspended where no lawful and adequate safeguard can reasonably be maintained.
سيناريوهات وصول استثنائية استثنائية لعملاء أوروبيين
قد يحدث وصول استثنائي مصرح به خارج منطقة EEA فقط في الظروف التالية:
- حادث طارئ يؤثر على بيئة مركز البيانات الأيرلندي أو استمرارية الخدمة؛
- أ) طلب دعم أو صيانة يتطلب وصول متخصص معتمد خارج EEA، رهناً بموافقة العميل المعمول بها أو تفويض تعاقدي؛ و
- ب) طلب عميل موثّق لمعالجة أو استضافة خارج المنطقة الأوروبية.
المزودون الدقيقون المستخدمون يختلفون حسب المنتج والميزة ومسار الدعم وتكوين العميل. سجل المعالِجين الفرعيين الحالي المبقي من قبل Grouper و/أو BambooHR هو المرجع الفعّال لتقديم الخدمة.
تم تحديد المزودين الرئيسيين التاليين في مواد الخدمة الحاكمة. مزود مدرج هنا لا يعني بالضرورة أنه يعالج بيانات العملاء الشخصية لكل عميل أو لكل نشر.
BambooHR LLC
مزوّد التقنية؛ صيانة HRIS، الاستضافة والدعم. الموقع: الولايات المتحدة/مناطق الخدمة بما في ذلك أوروبا.
أمازون ويب سيرفيسز (AWS)
البنية التحتية الأساسية لاستضافة السحابة؛ الاستضافة الإقليمية الأوروبية في أيرلندا. الموقع: أيرلندا/أوروبا ومناطق أخرى اعتمادًا على تكوين الخدمة.
أنثروبك / كلود
معالجة AI / نموذج اللغة. الموقع: الولايات المتحدة.
Cohere
واجهة برمجة نموذج اللغة / معالجة AI. الموقع: الولايات المتحدة.
OpenAI
واجهة برمجة نموذج اللغة / معالجة AI. الموقع: الولايات المتحدة.
LlamaIndex / LlamaParse
تحليل مستند اختياري مرتبط بوظائف AI. الموقع: الولايات المتحدة.
Atlas MongoDB
تخزين البيانات الداعمة للخدمات المختارة / وظائف مرتبطة بـ AI. الموقع: الولايات المتحدة.
Gainsight
خدمات علاقة العملاء / CRM.
Salesforce
منصة CRM.
Cloudflare
جدار حماية تطبيقات الويب / الأمن.
Datadog
مراقبة البنية والتطبيق.
Microsoft / Google Workspace
التعاون، الاتصالات وتخزين المستندات حسب التكوين الحالي.
Mailgun
الاتصالات التطبيقية.
Snowflake
تحليلات البيانات.
Twilio
تسليم MFA / SMS.
مزودون إضافيون
قد تشمل مقدمو خدمات إضافيون محددون في مواد الخدمة الحالية Celonis/Make وDatabricks وFormstack وJira وNetskope وOmni/Visier وPendo وRollbar وSlack وTableau وOneTrust/TrustArc وWrike وغيرهم. يجب على العملاء الرجوع إلى قائمة المقاولين الفرعيين الحية لـ BambooHR ومعلومات المزوّد الفرعي الحالية لـ Grouper للحصول على أحدث التفاصيل.
1. النطاق
تنطبق هذه الخطة عندما يقوم العميل بتمكين أو استخدام وظائف الذكاء الاصطناعي أو التعلم الآلي المرتبطة بخدمات مدعومة من Grouper في إطار BambooHR.
2. مزودو AI
Current service materials identify AI providers including OpenAI, Cohere and Anthropic/Claude and may identify additional providers such as LlamaIndex for optional document parsing. The active provider set may change in accordance with applicable subprocessor notice requirements.
3. المدخلات والمخرجات
قد تشكل المطالبات أو التعليمات أو البيانات التي يقدمها العميل إلى وظائف الذكاء الاصطناعي “مدخلات” وقد تشكل الاستجابات المولَّدة “مخرجات”. وفقًا للميزة، قد تتضمن المدخلات أو المخرجات بيانات العميل. قد لا تكون المخرجات فريدة وقد تكون مشابهة للمخرجات الناتجة لمستخدمين آخرين.
4. مسؤوليات العميل والإشراف البشري
The Customer is responsible for ensuring that it has the rights, lawful basis, notices and permissions necessary to submit Inputs and use Outputs. The Customer must implement sufficient human oversight and must independently assess outputs before using them for employment, legal, financial, safety-critical or similarly significant decisions.
5. القيود على البيانات الحساسة والمهيكلة
عند حظرها بموجب شروط الذكاء الاصطناعي المطبقة، يجب ألا يقوم العميل بإرسال معلومات حساسة أو مُقيدة إلى ميزات الذكاء الاصطناعي، بما في ذلك المعلومات الصحية أو الوراثية أو البيومترية، أو أرقام هويات حكومية المصدر، أو معلومات شخصية مالية أو معلومات الحساب البنكي. يجب على العملاء تقليل البيانات الشخصية في المدخلات.
6. الدقة والتحيز والعدالة
Generative AI has known and unknown limitations. Outputs may be inaccurate, incomplete, unsafe, biased, unfair, offensive or otherwise unsuitable. Customers are responsible for reviewing outputs, testing for relevant risks and avoiding unlawful discrimination or solely automated employment decisions.
7. Model Improvement
حيث تسمح شروط BambooHR الذكاء الاصطناعي باستخدام بيانات الأداء والتغذية الراجعة لتحسين وظائف الذكاء الاصطناعي، فإن هذا الاستخدام يخضع لتلك الشروط. عندما تُستخدم بيانات العميل لضبط نموذج مخصص للعميل، يتم استخدام النموذج الناتج لتوفير ميزات ذكاء اصطناعي لهذا العميل ولا يُستخدم خدمات لأغراض عملاء آخرين.
8. المعالجة الدولية
قد تقوم مقدمو الذكاء الاصطاني بمعالجة مدخلات مصرح بها أو بيانات شخصية متعلقة خارج EEA. تخضع هذه المعالجة لضمانات النقل الواردة في هذا الـ DPA ولا تغيّر موقع تخزين HRIS الأساسي المتعاقد عليه للعميل. يجب على العملاء تقييم ما إذا كان استخدام الذكاء الاصطناعي الاختياري متسقًا مع إقامة العميل وحقوقWorker المجلس والعمالة والمخاطر قبل تمكينه.
هل لديك أسئلة حول سياسة الخصوصية هذه أو حقوق بياناتك؟
تواصل معنا
