سياسة الخصوصية

التزام الإقامة الأوروبية الأساسي لدى 4.1

بالنسبة إلى العملاء الذين يشترون خدمة Grouper الأوروبية الخاصة بـ BambooHR مع إقامة بيانات داخل EEA، تُستضاف البيانات الشخصية للعملاء التي تشكّل جزءًا من بيئة الإنتاج الأساسية لـ HRIS وتُخزَّن داخل EEA، مع موقع الاستضافة الأساسي في أيرلندا.

توفر Amazon Web Services (AWS) البنية التحتية الأساسية للاستضافة السحابية للخدمة الأوروبية، مع تخزين البيانات الأساسي في منطقة AWS Ireland. صُممت الخدمة بحيث يظل التخزين التشغيلي الاعتيادي للإنتاج ضمن المنطقة الأوروبية المتعاقد عليها.

ينطبق هذا على البيانات الشخصية المحتفظ بها ضمن بيئة HRIS الأوروبية، بما في ذلك معلومات الموظفين والمرشحين والقوى العاملة الأخرى.

تخزين 4.2 مقابل الوصول

تصف إقامة البيانات المكان الذي تُخزَّن فيه البيانات الشخصية للعملاء. ولا يعني ذلك أنه لا يمكن أبدًا أن يحدث وصول فني أو دعم معتمد من بلد آخر.

قد يحدث الوصول الاستثنائي من خارج المنطقة الاقتصادية الأوروبية (EEA) فقط عند الضرورة، وبموافقة مُصرَّح بها، ومع الحماية القانونية كما هو موضح في Sections 17 and 18 من هذه السياسة.

نسخ 4.3 الاحتياطية والمرونة والتعافي من الكوارث

تم تصميم ترتيبات النسخ الاحتياطي والمرونة والتعافي من الكوارث للحفاظ على السرية والنزاهة والتوافر، ولتبقى متسقة مع التزامات الاستضافة الإقليمية المتعاقد عليها مع العميل.

عند استخدام بنية تحتية للتكرار أو المرونة أو التعافي من الكوارث، تظل البيانات الشخصية للعميل مخزنة داخل المنطقة الاقتصادية الأوروبية، مع مراعاة سيناريوهات الطوارئ أو الاستمرارية أو الدعم الموثقة والضمانات المطبقة على النقل.

عدم النقل الروتيني خارج EEA لدى 4.4

لا تستخدم Grouper وصول الدعم الاستثنائي بوصفه آلية للنقل الروتيني للبيانات الشخصية للعملاء الأوروبيين.

لا تتم استضافة البيانات الشخصية للعميل التي تشكل جزءًا من الخدمة الأوروبية أو تخزينها عادةً خارج المنطقة الاقتصادية الأوروبية. أي تغيير جوهري في نموذج إقامة البيانات المتعاقد عليه يخضع للاتفاقية المطبقة، ومتطلبات الإشعار، وقانون حماية البيانات المعمول به.

content.legal-document.record.content.811c9dc5

سيُفسِّر الطرفان هذه السياسة وأي اتفاقية معالجة بيانات مطبقة بما يتسق مع قانون حماية البيانات الإلزامي. وتكون للأحكام الإلزامية من GDPR، وأدوات النقل المطبقة، ومتطلبات السلطة الإشرافية الأولوية حيثما طُلب ذلك.

معلومات الموظفين والقوى العاملة من 6.1

قد تشمل البيانات الشخصية ما يلي:

• الاسم وأرقام تعريف الموظفين;
• الصور الفوتوغرافية عند تقديمها;
• بيانات الاتصال المنزلية أو العملية;
• تاريخ الميلاد والجنس والمعلومات الديموغرافية عند تقديمها;
• المعلومات الزوجية أو العائلية عند تقديمها;
• جهات الاتصال للطوارئ وأرقام الهاتف;
• المؤهلات الأكاديمية والمهنية;
• السيرة الذاتية أو معلومات الـ CV أو resume، وسجل التوظيف، وإجادة اللغات;
• المسمى الوظيفي، والدرجة، والإدارة، والموقع، وخطوط الإبلاغ، والانتماء إلى الفريق;
• تواريخ التعيين وإنهاء الخدمة، وساعات العمل، والتفاصيل التعاقدية;
• معلومات الأداء والتقييم والانضباط وسجل العمل;
• المزايا والتأمين وأصول الشركة ومعلومات التدريب; و
• معلومات الإجازات والحضور والوقت المستقطع.

معلومات الرواتب والتعويضات لدى 6.2

عند استخدام الخدمات ذات الصلة، قد تشمل البيانات الشخصية ما يلي:

• الراتب والتعويضات والمكافآت;
• معلومات الضرائب والضمان الاجتماعي;
• بيانات البنك والدفع;
• معلومات المعاش التقاعدي;
• خيارات الأسهم والمزايا الأخرى؛ و
• معلومات أخرى مرتبطة بالرواتب.

معلومات التوظيف والمرشحين والمرجعين لدى 6.3

بالنسبة إلى المرشحين والموظفين المحتملين والمرجعين، قد تتضمن المعلومات ما يلي:

• بيانات الهوية والاتصال;
• السير الذاتية، وCVs، وrésumés، وسجل التوظيف والمؤهلات;
• سجلات الطلب والمقابلات والتوظيف;
• اتصالات المرشحين وحالة التوظيف;
• معلومات التعويض المقترحة;
• أسماء المرجعين، وتفاصيل الاتصال، والعلاقة المهنية; و
• المعلومات الواردة في المراجع.

البيانات الخاصة والفئات الحساسة لدى 6.4

بحسب استخدام العميل لمنصة BambooHR HRIS، قد تحتوي الخدمات على معلومات صحية أو معلومات تتعلق بالإعاقة وبيانات شخصية أخرى ضمن الفئات الخاصة أو الحساسة.

تظل المسؤولية على العميل في ضمان أساس قانوني مناسب لـ Article 6، وعندما ينطبق GDPR Article 9، وجود شرط صالح للفئة الخاصة.

ينبغي ألا يضع العملاء المعلومات الحساسة في حقول النص الحر أو ميزات الذكاء الاصطناعي ما لم يكن ذلك ضروريًا ومشروعًا ومسموحًا به بموجب شروط المنتج ذات الصلة.

content.legal-document.record.content.811c9dc5

عندما يطّلع موظفو الدعم على بيانات العملاء الشخصية، يجب أن يقتصر الوصول على الحد الأدنى من المعلومات اللازمة بشكل معقول لغرض الدعم، ويجب أن يتم بواسطة موظفين مصرح لهم مع خضوعهم لضوابط السرية والوصول.

عقد 10.1

المعالجة اللازمة لإبرام عقد أو تنفيذه، أو لاتخاذ خطوات قبل إبرام عقد بناءً على طلب الفرد.

المصالح المشروعة لـ 10.2

المعالجة اللازمة لتحقيق المصالح التجارية المشروعة، شريطة ألا تُغلب تلك المصالح على حقوق الأفراد وحرياتهم. وقد تشمل المصالح المشروعة ما يلي:

• تقديم الخدمة؛
• إدارة العملاء؛
• أمن المعلومات؛
• منع الاحتيال؛
• استمرارية الأعمال؛
• دعم العملاء؛ و
• إدارة العلاقات.

الالتزام القانوني لـ 10.3

المعالجة اللازمة للامتثال للمتطلبات القانونية أو التنظيمية المعمول بها.

موافقة 10.4

حيثما كان ذلك مناسبًا، قد تستند المعالجة إلى الموافقة. ويجوز سحب الموافقة في أي وقت دون التأثير في مشروعية المعالجة التي أُجريت قبل السحب.

content.legal-document.record.content.811c9dc5

يجب على العميل عدم توجيه Grouper لمعالجة البيانات الشخصية بطريقة تنتهك قانون حماية البيانات المطبق.

سوف يُخطر Grouper العميل عندما يرى، وفقًا لرأيه المعقول، أن أحد التعليمات ينتهك قانون حماية البيانات المطبق، ويجوز له تعليق المعالجة المتأثرة إلى حين حل المشكلة.

content.legal-document.record.content.811c9dc5

تم تحديد تفاصيل إضافية حول مجالات التحكم الدنيا في Schedule 2 من اتفاقية معالجة البيانات. قد تتطور التدابير الأمنية بمرور الوقت، لكن التغييرات لن تقلل بشكل جوهري من مستوى الحماية العام للبيانات الشخصية للعميل أثناء الاشتراك النشط، إلا إذا كان ذلك مطلوبًا بموجب القانون أو متفقًا عليه مع العميل.

content.legal-document.record.content.811c9dc5

قد تُقدَّم المعلومات على مراحل كلما أصبحت متاحة.

سوف يقدّم Grouper تعاونًا معقولًا لتمكين العميل من الوفاء بالتزاماته التنظيمية وإخطارات أصحاب البيانات ذات الصلة.

سيتم تنسيق الاتصالات العامة أو التنظيمية المتعلقة بخرق خاص بعميل بما يتسق مع القانون والاتفاقية المطبقة.

content.legal-document.record.content.811c9dc5

حيثما تمنح شروط العميل السارية تفويضًا كتابيًا عامًا، سيحصل العملاء على إشعار مسبق بأي معالِجين فرعيين جدد ذوي أهمية، وفرصة للاعتراض على أسس معقولة تتعلق بحماية البيانات.

فيما يتعلق بالمعالِجين الفرعيين لـ BambooHR، ينص اتفاق معالجة البيانات الحالي لـ BambooHR على إشعار مسبق لا يقل عن 30 يومًا بشأن أي متعاقد فرعي جديد سيعالج البيانات الشخصية الخاصة بالعميل.

يوفر Schedule 4 الشفافية بشأن فئات مقدمي الخدمات الرئيسيين والموردين المسمّين المحددين في مواد الخدمة الحاكمة.

content.legal-document.record.content.811c9dc5

يبقى Grouper مسؤولًا عن التزاماته الخاصة بموجب قانون حماية البيانات المطبق واتفاق العميل المطبق. وعندما يعالج BambooHR البيانات الشخصية دعمًا لبيئة العملاء الأوروبية الخاصة بـ Grouper، تنطبق المتطلبات التعاقدية والأمنية ومتطلبات إقامة البيانات ذات الصلة.

content.legal-document.record.content.811c9dc5

عندما يحدث نقل مقيد، سيستخدم Grouper و/أو مقدم التقنية ذي الصلة آلية معترفًا بها قانونيًا مثل:

• قرار كفاية؛
• البنود التعاقدية القياسية للمفوضية الأوروبية؛
• الملحق البريطاني الدولي لنقل البيانات، حيثما ينطبق؛
• المشاركة في إطار خصوصية البيانات بين الاتحاد الأوروبي والولايات المتحدة، حيثما كان ذلك متاحًا قانونًا ومنطبقًا؛
• قواعد الشركات الملزمة، حيثما ينطبق ذلك؛ أو
• ضمانة صالحة أخرى معترف بها بموجب قانون حماية البيانات المطبق.

content.legal-document.record.content.811c9dc5

عند الاقتضاء، سيُنفَّذ تقييم تأثير النقل والتدابير التقنية أو التعاقدية أو التنظيمية التكميلية.

لا يغيّر أي شيء في ترتيبات الوصول الاستثنائية هذه التزام Grouper بأن البيانات الشخصية الخاصة بخدمة أوروبا تُخزَّن داخل المنطقة الاقتصادية الأوروبية.

content.legal-document.record.content.811c9dc5

قد تشمل التدابير التكميلية ما يلي:

• التشفير؛
• قيود الوصول؛
• ضوابط إدارة المفاتيح؛
• تقليل البيانات؛
• التسجيل؛
• القيود التعاقدية على النقل اللاحق؛
• إجراءات مراجعة الطلبات الحكومية؛
• تدابير الشفافية؛ و
• تعليق أو إنهاء عمليات النقل عندما يتعذر ضمان مستوى كافٍ من الحماية.

content.legal-document.record.content.811c9dc5

سيقتصر الإفصاح على الحد الأدنى المطلوب قانونًا.

سيُخطر العميل حيثما يسمح القانون بذلك. وعندما يكون الإخطار محظورًا، ستُبذل جهود معقولة للحصول على إذن بتقديم الإشعار عند الاقتضاء.

سيُحتفظ بسجلات الطلب والاستجابة وفقًا لما يقتضيه القانون وآلية النقل المطبقة.

content.legal-document.record.content.811c9dc5

عندما يعمل Grouper بصفته معالجًا، يجب توجيه الطلبات المتعلقة بالبيانات الشخصية الخاصة بالعميل عادةً إلى العميل المعني بصفته المتحكِّم. وإذا تلقى Grouper مثل هذا الطلب مباشرةً، فسيقوم Grouper، ما لم يكن محظورًا قانونًا، بإحالة الطلب إلى العميل أو إخباره به، ولن يرد عليه موضوعيًا إلا بناءً على تعليمات العميل الموثقة أو عندما يقتضي القانون ذلك. وسيقدم Grouper مساعدة معقولة لتمكين العميل من الوفاء بالتزاماته.

content.legal-document.record.content.811c9dc5

عندما يكون ذلك مطلوبًا قانونًا أو تعاقديًا وكانت الأدلة الوثائقية المعقولة غير كافية، يجوز للعملاء ممارسة حقوق التدقيق المنطبقة مع إشعار معقول، مع مراعاة السرية والأمن وعدم التدخل والضمانات لحماية معلومات العملاء الآخرين. وما لم يكن ذلك مطلوبًا بسبب حادث أمني أو متطلب تنظيمي أو دليل معقول على عدم امتثال جوهري، فينبغي عادةً أن تقتصر عمليات التدقيق الرسمية على مرة واحدة خلال أي فترة اثني عشر شهرًا. ويتحمل العملاء عمومًا تكاليف التدقيق الخاصة بهم ما لم ينص القانون أو العقد على خلاف ذلك.

content.legal-document.record.content.811c9dc5

عند إنهاء الخدمات أو انتهاء مدتها، أو قبل ذلك بناءً على تعليمات صالحة من العميل حيثما كان ذلك ممكنًا تقنيًا وقانونيًا، ستقوم Grouper بإرجاع البيانات الشخصية للعميل أو إتاحتها للتصدير أو حذفها بشكل آمن وفقًا للاتفاقية.

عندما يقتضي القانون الاحتفاظ المستمر، ستظل البيانات المتأثرة محمية ومعزولة عن الاستخدام الاعتيادي ولا تُعالج إلا بالقدر الذي يفرضه القانون.

سيُحتفظ بالمعلومات المتعلقة بالدعم فقط للمدة اللازمة لتقديم نشاط الدعم وإثباته وإغلاقه، مع مراعاة متطلبات الاحتفاظ القانونية والتشغيلية المعمول بها.

content.legal-document.record.content.811c9dc5

يتحمل العملاء مسؤولية الحفاظ على دقة البيانات الشخصية الخاصة بالعميل. وعندما يعلم Grouper أو معالج أن البيانات غير دقيقة أو قديمة في ظروف تتطلب اتخاذ إجراء، فسيتعاون Grouper مع العميل لتصحيح البيانات أو محوها وفقًا للتعليمات الموثقة وقانون حماية البيانات المطبق.

content.legal-document.record.content.811c9dc5

يجب قصر البيانات الشخصية من الفئة الخاصة على المعلومات التي يمتلك العميل بشأنها أساسًا قانونيًا مناسبًا وضرورة عمل حقيقية.

content.legal-document.record.content.811c9dc5

يجب ألا يقدّم العملاء معلومات حساسة أو خاضعة للتنظيم إلى ميزات الذكاء الاصطناعي عندما يحظر ذلك شروط الذكاء الاصطناعي المطبقة، بما في ذلك المعلومات الصحية أو الوراثية أو البيومترية، والمعرفات الصادرة عن الحكومة، والمعلومات المالية الشخصية أو المصرفية. قد تكون مخرجات الذكاء الاصطناعي غير دقيقة أو غير مكتملة أو متحيزة أو غير فريدة أو غير مناسبة لغرض معين، ولا يجوز اعتبارها بديلًا عن الحكم البشري المسؤول.

content.legal-document.record.content.811c9dc5

عندما يستخدم BambooHR بيانات العميل أو الإدخال أو الإخراج لضبط نموذج خاص بالعميل أو تدريبه، تنص شروط BambooHR المنطبقة على الذكاء الاصطناعي على أن هذا الاستخدام يكون لتقديم ميزات الذكاء الاصطناعي لذلك العميل، وأن النموذج المدرب على بيانات العميل الناتج لا يُستخدم بخلاف ذلك لتقديم خدمات لعملاء آخرين.

content.legal-document.record.content.811c9dc5

قد تشمل مقدمو الذكاء الاصطناعي والمعالجة المرتبطة به معالجة مخوّلة خارج المنطقة الاقتصادية الأوروبية. وتخضع هذه المعالجة لضمانات النقل الدولي الواردة في هذه السياسة وأي اتفاقية معالجة بيانات مطبقة. إن التزامات الإقامة الأساسية لتخزين HRIS لا تعني بحد ذاتها أن كل عملية استدلال اختيارية للذكاء الاصطناعي تحدث فعليًا داخل المنطقة الاقتصادية الأوروبية.

content.legal-document.record.content.811c9dc5

ينبغي أن يستخدم الوصول البرمجي أساليب المصادقة المدعومة وألا يكشف البيانات الخاصة بالعميل أو بيانات الاعتماد لأطراف غير مخولة.

يجب ألا تستخدم التكاملات بيانات العميل بما يتجاوز الغرض الموثق والمصرح به.

عندما يعالج مزود تكامل بيانات شخصية نيابةً عن العميل أو Grouper، فيجب تطبيق شروط المعالج أو المعالِج الفرعي المناسبة وضمانات النقل.

content.legal-document.record.content.811c9dc5

قد تتضمن المعلومات الاسم، والمنظمة، والدور، وبيانات الاتصال التجارية، والرسائل، ومعلومات الاستفسار، وعنوان IP، ومعلومات المتصفح والجهاز، والصفحات التي تمت زيارتها، وبيانات تقنية مشابهة.

content.legal-document.record.content.811c9dc5

نعالج هذه المعلومات للرد على الاستفسارات، وإدارة العلاقات، وتقديم الخدمات المطلوبة، والحفاظ على الأمن، والوفاء بالعقود، والامتثال للقانون، وإرسال الاتصالات التجارية ذات الصلة حيثما كان ذلك مسموحًا. ويجوز للمستلمين إلغاء الاشتراك من التسويق المباشر في أي وقت. ولا تُعد الاتصالات التشغيلية أو التعاقدية أو الأمنية أو الخاصة بخدمة العملاء تسويقًا.

content.legal-document.record.content.811c9dc5

قد تستخدم المواقع الإلكترونية ملفات تعريف الارتباط الأساسية والوظيفية والتحليلية وتقنيات مشابهة. وعندما يقتضي القانون ذلك، لن تُستخدم ملفات تعريف الارتباط غير الأساسية إلا بعد الحصول على الموافقة المناسبة، وسيُتاح للمستخدمين ضوابط لإدارة التفضيلات.

content.legal-document.record.content.811c9dc5

سيحتفظ Grouper بالسجلات وتدابير الحوكمة المناسبة لدوره، وسيتعاون بحسن نية مع العملاء وأصحاب البيانات والسلطات الرقابية المختصة.

content.legal-document.record.content.811c9dc5

بيانات الاتصال الحالية لـ DPC: لجنة حماية البيانات، 6 Pembroke Row، Dublin 2، D02 X963، إيرلندا. توصي DPC باستخدام قنوات الاتصال الإلكترونية الخاصة بها للشكاوى ومخاوف حماية البيانات.

تشجع Grouper الأفراد على التواصل أولًا مع المتحكم ذي الصلة إذا كانت المسألة تتعلق بحساب BambooHR يُدار من قبل صاحب العمل، بحيث يمكن التحقيق في الأمر وحله بسرعة.

content.legal-document.record.content.811c9dc5

عندما يعالج Grouper البيانات الشخصية الخاصة بالعميل بصفته معالجًا، يحكم الجزء ب واتفاق العميل المطبق علاقة المعالجة التعاقدية. وفي حالة وجود تعارض يتعلق بالبيانات الشخصية الخاصة بالعميل، ينطبق ترتيب الأسبقية التالي: قانون حماية البيانات المطبق الإلزامي؛ البنود التعاقدية القياسية المنطبقة، أو الملحق البريطاني، أو أي آلية نقل إلزامية أخرى؛ اتفاق معالجة البيانات؛ أحكام حماية البيانات المنطبقة في الاتفاق؛ وبقية الاتفاق.

إقامة البيانات الأوروبية.

تُستضاف البيانات الشخصية الخاصة بالعميل وتُخزَّن داخل المنطقة الاقتصادية الأوروبية، مع استضافة رئيسية في أيرلندا عبر Amazon Web Services (AWS).

معايير الخصوصية الأوروبية.

تتم معالجة البيانات الشخصية للعميل وفقًا لمتطلبات حماية البيانات الأوروبية المعمول بها، بما في ذلك GDPR.

الخدمة والدعم الأوروبيان.

توفر Grouper للعملاء التنفيذ والدعم وإدارة الخدمة الأوروبية حول منصة BambooHR HRIS.

content.legal-document.record.content.811c9dc5

هدفنا هو تمكين المؤسسات من استخدام BambooHR مع الحفاظ على معايير الخصوصية والحوكمة وإقامة البيانات المتوقعة من العملاء الأوروبيين.

البيانات الشخصية الخاصة بالعميل

البيانات الشخصية التي يتحكم فيها العميل أو الشركة التابعة للعميل والتي يعالجها Grouper فيما يتصل بالخدمات.

النقل المقيد

نقل للبيانات الشخصية يتطلب آلية نقل مشروعة بموجب قانون حماية البيانات المطبق.

البنود التعاقدية القياسية (SCCs)

البنود التعاقدية القياسية الصادرة عن المفوضية الأوروبية لنقل البيانات الشخصية إلى دول ثالثة، بصيغتها المعدلة أو المستبدلة أو المكمّلة من وقت لآخر.

المعالج الفرعي

طرف ثالث يتم تعيينه من جانب Grouper أو نيابةً عنه لمعالجة البيانات الشخصية الخاصة بالعميل.

مقدم التقنية

BambooHR LLC والكيانات ذات الصلة التابعة لـ BambooHR، عند الاقتضاء، التي توفر منصة تقنية الموارد البشرية الأساسية.

content.legal-document.record.content.811c9dc5

سيعالج Grouper البيانات الشخصية الخاصة بالعميل فقط بناءً على تعليمات العميل الموثقة وفقط بالقدر اللازم لتقديم الخدمات وصيانتها وتأمينها ودعمها، ما لم يكن مطلوبًا معالجة البيانات بموجب القانون المطبق.

سيُبلغ Grouper العميل على الفور إذا رأى، وفقًا لرأيه المعقول، أن إحدى التعليمات تنتهك قانون حماية البيانات المطبق، ويجوز له تعليق المعالجة المتأثرة إلى حين الحل.

content.legal-document.record.content.811c9dc5

ستحتفظ Grouper بمعلومات عن المعالجين الفرعيين الذين يعالجون البيانات الشخصية للعميل وستقدّم إشعارًا مسبقًا معقولًا بالإضافات أو الاستبدالات الجوهرية.

عندما ينطبق اتفاق معالجة البيانات الأساسي لـ BambooHR، يقدّم BambooHR حاليًا إشعارًا كتابيًا مسبقًا لا يقل عن 30 يومًا بشأن أي متعاقد فرعي جديد سيعالج البيانات الشخصية الخاصة بالعميل.

ستفرض Grouper التزامات مكتوبة لحماية البيانات على المعالجين الفرعيين تكون مكافئة جوهريًا للحمايات التي تتطلبها هذه الاتفاقية. وتظل Grouper مسؤولة عن أداء المعالج الفرعي بالقدر الذي يتطلبه قانون حماية البيانات المعمول به.

المتحكِّم / مُصدِّر البيانات

العميل المحدد في الاتفاقية أو نموذج الطلب المطبق.

المعالج / مستورد البيانات

Grouper Technology Limited، 3rd Floor، 22 Ely Place، Dublin، D02 AH73، Ireland.

مقدم التقنية

BambooHR LLC والكيانات المنطبقة التابعة لـ BambooHR التي توفر منصة نظام معلومات الموارد البشرية الأساسية.

موضوع المعالجة

توفير خدمات نظام معلومات الموارد البشرية ذات الصلة بـ BambooHR وتنفيذها وتهيئتها وتشغيلها وصيانتها ودعمها واستضافةها ودعم الأمان لها.

طبيعة المعالجة

الجمع، والاستلام، والتسجيل، والتنظيم، والهيكلة، والترحيل، والاستضافة، والتخزين، والاسترجاع، والمراجعة، والاستخدام، والنقل، والإتاحة، والتقييد، ودعم الوصول، والحذف، وغيرها من عمليات المعالجة اللازمة بشكل معقول لتقديم الخدمات.

الغرض

لتوفير الخدمات وتنفيذها وتشغيلها وتأمينها وصيانتها ودعمها وفقًا لتعليمات العميل الموثقة والاتفاقية.

المدة

لمدة الخدمات وأي فترة لاحقة لازمة لإرجاع البيانات الشخصية الخاصة بالعميل أو حذفها أو الامتثال للقانون.

أصحاب البيانات

الموظفون، والموظفون السابقون، والموظفون المحتملون، والمرشحون، والمتعاقدون، والاستشاريون، والعاملون عبر الوكالات، والعاملون المؤقتون والعارضون، والمتدربون، والمتطوعون، والمرجعون، والمعالون، والمستفيدون، وجهات الاتصال في حالات الطوارئ، ومسؤولو العميل، وغيرهم من الأفراد الذين تُقدَّم بياناتهم الشخصية من قبل العميل أو نيابةً عنه.

البيانات الشخصية

معلومات الهوية، والاتصال، والبيانات الديموغرافية، والوظيفية، والتوظيفية، والمؤهلات، والتنظيمية، والتعويضات، والرواتب، والضرائب، والضمان الاجتماعي، والمصرفية، والتقاعد، والمزايا، والحضور، والإجازات، والأداء، والتدريب، والانضباط، وجهات اتصال الطوارئ، والحسابات، والنظام، ومعلومات الموارد البشرية ذات الصلة.

البيانات الحساسة

عند اختيار العميل، قد تشمل معلومات الصحة والإعاقة وغيرها من البيانات الحساسة أو الخاصة بالفئات الخاصة التي تسمح بها الخدمات.

التخزين الأوروبي الرئيسي

أيرلندا / المنطقة الاقتصادية الأوروبية عبر Amazon Web Services (AWS) للعملاء الذين يشترون خدمة إقامة البيانات الأوروبية.

السلطة الرقابية المختصة

عندما تكون DPC مختصة: لجنة حماية البيانات، 6 Pembroke Row، Dublin 2، D02 X963، إيرلندا.

1. حوكمة أمن المعلومات

مسؤوليات أمنية موثقة، وتقييم للمخاطر، وحوكمة، وإشراف إداري، وسياسات مناسبة.

2. أمن الأفراد

التزامات السرية، والفحص المناسب للدور الوظيفي حيثما كان ذلك مشروعًا، والتوعية الأمنية والتدريب على الخصوصية، وضوابط التأديب على الوصول غير المصرح به.

3. الأمن المادي

تقييد الوصول إلى المرافق والبنية التحتية ذات الصلة؛ ومسارات وصول مُحكمة؛ وتفويضات الوصول؛ والمراقبة المادية وغيرها من الضمانات المناسبة لبيئة الاستضافة.

4. إدارة الهوية والوصول

المصادقة، والوصول المستند إلى الدور، والحد الأدنى من الامتيازات، وضوابط الحسابات المميزة، وإدارة دورة حياة الحساب، ومهلة الخمول، والمراجعة الدورية.

5. التحكم في الوصول إلى البيانات

ضوابط مصممة بحيث لا يتمكن المستخدمون المخولون من الوصول إلا إلى البيانات ضمن صلاحياتهم؛ وتسجيل ومراقبة الوصول؛ وإتاحة البيانات فقط للأشخاص المخولين.

6. التشفير وإزالة التعريف

التشفير المناسب للبيانات الشخصية أثناء النقل وعند rest؛ وإزالة التعريف حيثما كان ذلك مناسبًا لغرض المعالجة.

7. أمن الشبكات ونقل البيانات

جدران حماية، وبوابات محمية، وقنوات اتصال آمنة، وآليات نقل محمية مثل TLS/SFTP أو ما يعادلها، وضوابط ضد التنصت أو التعديل غير المصرح بهما.

8. التسجيل والمراقبة

تسجيل الأنشطة ذات الصلة بالنظام والإدارة والوصول؛ ومراقبة الأحداث المشبوهة؛ والاحتفاظ بمعلومات التدقيق بما يتناسب مع المخاطر.

9. التحكم في الإدخال والتغيير

ضوابط لتحديد من أدخل البيانات أو عدّلها أو حذفها؛ ومصادقة المستخدمين والأنظمة المخولين؛ وممارسات موثقة لإدارة التغيير.

10. اختبار الثغرات والأمن

عمليات لتحديد الثغرات وتقييمها ومعالجتها؛ واختبارات دورية للاختراق أو الأمن؛ وتقييم منتظم لفعالية الضوابط.

11. التوافر والنسخ الاحتياطي والاستعادة

ازدواجية البنية التحتية، والنسخ الاحتياطي، وإمكانية الاستعادة، وضوابط التوافر، والحماية من الفقدان أو التلف العرضي.

12. استمرارية الأعمال والتعافي من الكوارث

خطط استمرارية واستعادة موثقة مصممة لاستعادة التوافر والوصول في الوقت المناسب عقب أي تعطّل أو حادثة أمنية.

13. فصل البيانات

فصل منطقي أو على مستوى التطبيق بين العملاء وبين أغراض المعالجة؛ وضوابط مصممة لمنع الوصول غير المصرح به بين العملاء.

14. التطوير الآمن

ممارسات أمنية مناسبة لتطوير البرمجيات واختبارها وإصدارها وإدارة التغيير.

15. إدارة المعالِجين الفرعيين

العناية الواجبة، والتزامات حماية البيانات المكتوبة، ومراجعة الأمن، وضمانات النقل، والإشراف المستمر المناسب للمعالجة.

16. إدارة الحوادث

إجراءات موثقة للكشف والتحقيق والاحتواء والمعالجة والتصعيد وإخطار العملاء واستخلاص الدروس.

التحويلات المقيدة في الاتحاد الأوروبي

عندما تكون بنود SCCs الخاصة بالاتحاد الأوروبي مطلوبة، تُدرج البنود الرسمية الصادرة عن المفوضية الأوروبية بالإحالة دون أي تغيير في الصياغة الإلزامية. ما لم تقتضِ الأدوار خلاف ذلك، يكون العميل هو المصدّر للبيانات، ويكون Grouper و/أو مزود التقنية المعني هو المستورد للبيانات، وينطبق النموذج الثاني على التحويلات من جهة المتحكم إلى المعالج.

التحويلات المقيدة في المملكة المتحدة

فيما يتعلق بالتحويلات الخاضعة لقانون حماية البيانات البريطاني، ستطبق البنود التعاقدية القياسية للاتحاد الأوروبي مع الملحق البريطاني الدولي لنقل البيانات الساري حينها، أو آلية نقل بريطانية أخرى معترف بها قانونيًا.

التحويلات السويسرية

بالنسبة إلى التحويلات الخاضعة لقانون حماية البيانات السويسري، ستُفسَّر بنود SCCs وتُكيَّف حسبما يقتضيه القانون السويسري المعمول به، بما في ذلك الإشارات المناسبة إلى السلطة الرقابية السويسرية وأصحاب البيانات السويسريين.

EU-US Data Privacy Framework

عندما يكون المستلم الأمريكي مشاركًا مؤهلًا في إطار خصوصية البيانات بين الاتحاد الأوروبي والولايات المتحدة وتظل قرار الملاءمة الصادر عن المفوضية الأوروبية صالحًا للمعالجة ذات الصلة، يجوز الاعتماد على الإطار كآلية ملاءمة. لا تعتمد Grouper على أطر Privacy Shield المتقادمة بين الاتحاد الأوروبي والولايات المتحدة أو سويسرا والولايات المتحدة.

تقييمات أثر النقل والتدابير التكميلية

عند الاقتضاء، سيقيّم الطرفان ظروف النقل، وقوانين وممارسات بلد المقصد، وعمليات النقل اللاحقة، وفئات البيانات، وموقع التخزين، وقنوات الإرسال، والضمانات التكميلية التقنية أو التعاقدية أو التنظيمية. وسيُعلَّق النقل عندما لا يمكن الإبقاء بشكل معقول على أي ضمان قانوني ومناسب.

سيناريوهات الوصول الاستثنائي للعملاء الأوروبيين

لا يجوز الوصول الاستثنائي غير الخاضع للمنطقة الاقتصادية الأوروبية إلا في الحالات التالية:

• حالة طارئة تؤثر في بيئة مركز البيانات الأيرلندي أو استمرارية الخدمة؛
• طلب دعم أو صيانة يتطلب وصولًا متخصصًا مخولًا خارج المنطقة الاقتصادية الأوروبية، وذلك رهناً بموافقة العميل المعمول بها أو التفويض التعاقدي؛ و
• طلب موثق من العميل للمعالجة أو الاستضافة خارج المنطقة الأوروبية.

BambooHR LLC

مزود التقنية؛ صيانة نظام HRIS والاستضافة والدعم. الموقع: الولايات المتحدة / مناطق الخدمة بما في ذلك أوروبا.

Amazon Web Services (AWS)

البنية التحتية الأساسية للاستضافة السحابية؛ والاستضافة الإقليمية الأوروبية في أيرلندا. الموقع: أيرلندا / أوروبا ومناطق أخرى بحسب إعدادات الخدمة.

Anthropic / Claude

معالجة الذكاء الاصطناعي / نماذج اللغة. الموقع: الولايات المتحدة.

Cohere

معالجة نماذج اللغة API / الذكاء الاصطناعي. الموقع: الولايات المتحدة.

OpenAI

معالجة نماذج اللغة API / الذكاء الاصطناعي. الموقع: الولايات المتحدة.

LlamaIndex / LlamaParse

تحليل مستندات اختياري مرتبط بوظيفة الذكاء الاصطناعي. الموقع: الولايات المتحدة.

Atlas MongoDB

تخزين البيانات الداعم للخدمات المحددة / الوظائف المرتبطة بالذكاء الاصطناعي. الموقع: الولايات المتحدة.

Gainsight

خدمات إدارة علاقات العملاء / CRM.

Salesforce

منصة CRM.

Cloudflare

جدار حماية لتطبيقات الويب / الأمان.

Datadog

مراقبة البنية التحتية والتطبيقات.

Microsoft / Google Workspace

التعاون والتواصل وتخزين المستندات بحسب الإعداد الحالي.

Mailgun

اتصالات التطبيق.

Snowflake

تحليلات البيانات.

Twilio

المصادقة متعددة العوامل / تسليم الرسائل النصية.

مزودون إضافيون

قد تشمل الجهات المزودة الإضافية المحددة في مواد الخدمة الحالية Celonis/Make وDatabricks وFormstack وJira وNetskope وOmni/Visier وPendo وRollbar وSlack وTableau وOneTrust/TrustArc وWrike وغيرها. ينبغي للعملاء الرجوع إلى قائمة المتعاقدين الفرعيين المباشرة BambooHR وإلى معلومات المعالج الفرعي الحالية لدى Grouper للاطلاع على أحدث التفاصيل.

1. النطاق

ينطبق هذا الجدول عندما يفعّل العميل أو يستخدم وظائف الذكاء الاصطناعي أو تعلّم الآلة الخاصة بـ BambooHR فيما يتعلق بالخدمات المدعومة من Grouper.

2. مزودو الذكاء الاصطناعي

تتضمن مواد الخدمة الحالية مزودي الذكاء الاصطناعي، بما في ذلك OpenAI وCohere وAnthropic/Claude، وقد تتضمن مزودين إضافيين مثل LlamaIndex لتحليل المستندات الاختياري. وقد تتغير مجموعة المزودين النشطين وفقًا لمتطلبات إشعار المعالِج الفرعي المعمول بها.

3. المدخلات والمخرجات

قد تشكل المطالبات أو التعليمات أو البيانات المقدمة من العميل إلى وظائف الذكاء الاصطناعي «مدخلات»، وقد تشكل الردود المولدة «مخرجات». وبحسب الميزة، قد تتضمن المدخلات أو المخرجات بيانات العميل. وقد لا تكون المخرجات فريدة وقد تكون مشابهة للمخرجات المنتجة للمستخدمين الآخرين.

4. مسؤوليات العميل والإشراف البشري

يتحمل العميل مسؤولية التأكد من امتلاكه الحقوق والأساس النظامي والإشعارات والأذونات اللازمة لإرسال المدخلات واستخدام المخرجات. ويجب على العميل تطبيق إشراف بشري كافٍ، كما يجب عليه تقييم المخرجات بشكل مستقل قبل استخدامها في قرارات التوظيف أو القرارات القانونية أو المالية أو المتعلقة بالسلامة أو القرارات المهمة المماثلة.

5. قيود البيانات الحساسة والمنظمة

حيثما تحظر شروط الذكاء الاصطناعي المعمول بها ذلك، يجب على العميل ألا يرسل معلومات حساسة أو منظمة إلى ميزات الذكاء الاصطناعي، بما في ذلك المعلومات الصحية أو الجينية أو البيومترية، أو أرقام الهوية الصادرة عن جهة حكومية، أو المعلومات المالية الشخصية أو معلومات الحساب البنكي. وينبغي للعملاء تقليل البيانات الشخصية في المطالبات إلى الحد الأدنى.

6. الدقة والتحيز والإنصاف

للذكاء الاصطناعي التوليدي قيود معروفة وأخرى غير معروفة. وقد تكون المخرجات غير دقيقة أو غير مكتملة أو غير آمنة أو متحيزة أو غير عادلة أو مسيئة أو غير مناسبة بأي شكل آخر. ويتحمل العملاء مسؤولية مراجعة المخرجات واختبار المخاطر ذات الصلة وتجنب التمييز غير المشروع أو قرارات التوظيف الآلية بالكامل.

7. تحسين النموذج

عندما تسمح شروط BambooHR الخاصة بالذكاء الاصطناعي المعمول بها باستخدام بيانات الأداء والملاحظات لتحسين وظائف الذكاء الاصطناعي، فإن هذا الاستخدام يخضع لتلك الشروط. وعندما تُستخدم بيانات العميل للضبط الدقيق لنموذج خاص بعميل معين، يُستخدم النموذج الناتج لتقديم ميزات الذكاء الاصطناعي لذلك العميل ولا يُستخدم بخلاف ذلك لتقديم الخدمات إلى عملاء آخرين.

8. المعالجة الدولية

قد تعالج مزودات الذكاء الاصطناعي المدخلات المصرح بها أو البيانات الشخصية ذات الصلة خارج المنطقة الاقتصادية الأوروبية. وتخضع هذه المعالجة لضمانات النقل المنصوص عليها في اتفاقية معالجة البيانات هذه ولا تغيّر موقع منطقة تخزين نظام HRIS الأساسي المتعاقد عليها لدى العميل. وينبغي للعملاء تقييم ما إذا كان الاستخدام الاختياري للذكاء الاصطناعي متسقًا مع متطلبات الإقامة أو مجالس العمل أو قانون العمل أو المخاطر الخاصة بهم قبل تفعيله.