ملحق معالجة البيانات

الأطراف. «العميل»: المؤسسة المحددة في نموذج الطلب (المتحكم بالبيانات). «SkillCort»: شركة SkillCort LLC, 7901 4th St N, Ste 300, St. Petersburg, FL 33702, USA (معالج البيانات). ملحق معالجة البيانات هذا («DPA») مدمج في الاتفاقية بين العميل وSkillCort ويسري اعتبارا من تاريخ نفاذ الاتفاقية.

1. الموضوع والمدة والطبيعة والغرض

تعالج SkillCort البيانات الشخصية نيابة عن العميل لتقديم منصة التقييم: إيصال التقييمات إلى المرشحين، والتقاط الإجابات ومخرجات عينات العمل، والمراقبة الاختيارية التي يضبطها العميل، والتقييم وإعداد التقارير. وتستمر المعالجة طوال مدة الاتفاقية مضافا إليها مدة الحذف الواردة في البند 8.

2. فئات أصحاب البيانات والبيانات الشخصية

• أصحاب البيانات: المرشحون والمشاركون الذين يدعوهم العميل؛ ومستخدمو العميل من الموظفين.
• البيانات الشخصية: بيانات الهوية والتواصل (الاسم، البريد الإلكتروني)؛ وإجابات التقييم والملفات المرفوعة ومخرجات عينات العمل؛ والبيانات التقنية (عنوان IP، المتصفح/الجهاز، الأختام الزمنية)؛ ونتائج التقييم وسجلات القرار؛ وحيثما فعلها العميل، بيانات المراقبة (صور/فيديو الكاميرا، لقطات/تسجيلات الشاشة، أحداث النزاهة السلوكية).
• الفئات الخاصة: لا تطلب — يجب ألا تصمم التقييمات لاستخلاص بيانات من فئة خاصة (شروط الاستخدام §5). وحيثما فعل العميل مراجعة الهوية، تعالج صورة المرشح الذاتية أثناء الجلسة وصورة وثيقة هويته وأي صورة مرجعية اختيارية تقدمها المؤسسة، لمراجعة جنبا إلى جنب يجريها شخص مخول، بموافقة صريحة منفصلة من المرشح. ولا تجرى أي مطابقة وجوه آلية ولا بحث في معارض صور ولا مطابقة بين المرشحين، ولا يخزن أي قالب وجه حيوي، ويسجل مراجع معروف بالاسم قرار الهوية. ويقر العميل بأن تسجيلات الكاميرا والميكروفون تتضمن صورة شخص وصوته، وبأنه سيقيم متطلبات الفئات الخاصة في نطاق ولايته.

3. التعليمات الموثقة

تعالج SkillCort البيانات الشخصية وفق تعليمات العميل الموثقة وحدها (الاتفاقية، وهذا الملحق، وضبط العميل داخل المنصة — بما في ذلك ميزات المراقبة المفعلة ومدة الاحتفاظ بوسائط المراقبة)، ما لم يوجب القانون غير ذلك؛ وفي تلك الحالة تخطر SkillCort العميل قبل المعالجة ما لم يحظر القانون الإخطار. وستخطر SkillCort العميل إن رأت أن تعليمة ما تخالف قانون حماية البيانات الواجب التطبيق.

4. السرية والعاملون

يلتزم الأشخاص المخولون بمعالجة البيانات الشخصية بواجبات السرية، ويصلون إلى البيانات على أساس الحاجة إلى المعرفة وأقل امتياز ووفق الأدوار.

5. الأمن (المادة 32)

تطبق SkillCort تدابير تقنية وتنظيمية مناسبة، منها: التشفير أثناء النقل وفي حالة السكون؛ وفصل المستأجرين؛ وضوابط وصول قائمة على الأدوار؛ وتخزين خاص (غير عام) لوسائط المراقبة؛ ونسخ احتياطي يومي؛ وسجل تدقيق للدرجات والقرارات لا يقبل إلا الإضافة؛ والحذف الآلي لوسائط المراقبة وأحداث إشارات النزاهة عند انتهاء مدة الاحتفاظ بالوسائط المضبوطة. أما قرارات مراجعة الهوية غير الوسائطية وتفاصيل التدقيق فتتبع مدة بيانات التقييم المنفصلة. ويتوفر وصف حديث لهذه التدابير على skillcort.com/trust.

6. المعالجون الفرعيون

يمنح العميل تفويضا عاما للمعالجين الفرعيين المدرجين على skillcort.com/legal/subprocessors (الملحق 1). وتخطر SkillCort العميل بأي إضافة أو استبدال مزمع قبل 30 يوما على الأقل؛ وللعميل الاعتراض لأسباب معقولة تتعلق بحماية البيانات، وعندئذ يسعى الطرفان إلى حل، وللعميل إنهاء الخدمة المتأثرة إن لم يوجد حل. وتفرض SkillCort على المعالجين الفرعيين التزامات حماية بيانات لا تقل عن هذا الملحق، وتظل مسؤولة عن أدائهم.

تجري SkillCort مراجعة موثقة لكل معالج فرعي جوهري مرة واحدة على الأقل كل اثني عشر (12) شهرا، وعقب أي تغيير جوهري أو حادثة أمنية مؤكدة أو أي حدث آخر يؤثر بصورة معقولة في صورة مخاطر حماية البيانات لدى ذلك المعالج؛ ويحفظ سجل المراجعة الحالي في سجل امتثال المزودين لدى SkillCort.

7. عمليات النقل الدولية

تستضاف بيانات المنصة في الاتحاد الأوروبي (فرانكفورت). والبيانات متاحة من الولايات المتحدة لـSkillCort (وهي كيان أمريكي) لتشغيل الخدمة، ويعالج البريد المعاملاتي في الولايات المتحدة. وتتم عمليات النقل بموجب: (أ) لبيانات الاتحاد الأوروبي/المنطقة الاقتصادية الأوروبية — البنود التعاقدية القياسية (الوحدة الثانية: متحكم ← معالج، والوحدة الثالثة حيث ينطبق)، ويتفق الطرفان على أنها جزء من هذا الملحق، مدعومة بتقييم لأثر النقل وبتدابير تكميلية؛ (ب) للبيانات الخاضعة للقانون التركي — العقد القياسي الذي تنشره هيئة حماية البيانات الشخصية التركية بموجب المادة 9 من القانون رقم 6698، يبرمه الطرفان مع نموذج الطلب للمعالجة المتصلة بتركيا ويخطر به الهيئة خلال خمسة أيام عمل.

8. الحذف والإعادة

عقب الإنهاء أو انتهاء المدة، قد تبقى بيانات العميل متاحة لمدة تصل إلى 30 يوما ليتمكن العميل من إتمام تصدير البيانات. وعند انتهاء هذه المدة تحذف SkillCort البيانات من أنظمة الإنتاج النشطة؛ وتحذف النسخ المتبقية في النسخ الاحتياطية المشفرة أو يكتب فوقها عبر دورة النسخ الاحتياطي المعتادة خلال 90 يوما كحد أقصى. وتستثنى السجلات التي يوجبها القانون الواجب التطبيق، والسجلات الضرورية بدقة لإقامة الدعاوى القانونية أو ممارستها أو الدفاع عنها. أما سجلات الأمن والوصول والتدقيق فتخضع لمدد الاحتفاظ الواردة في سياسة الخصوصية، بمعزل عن النسخ الاحتياطية. وتحذف وسائط المراقبة — بما فيها وسائط التقاط الهوية ونسخ الصورة المرجعية المستخدمة في المراجعة — وأحداث إشارات النزاهة تلقائيا عند انتهاء مدة الاحتفاظ بالوسائط التي يضبطها العميل (90 يوما افتراضيا)، بصرف النظر عن حالة العقد. وللعميل أيضا أن يطلق داخل المنتج محوا أبكر للوسائط وأحداث إشارات النزاهة على نطاق محاولة بعينها. أما قرارات مراجعة الهوية غير الوسائطية وتفاصيل المراجع المسمى والملاحظات والإحالات إلى وسائط محذوفة فتتبع مدة الاحتفاظ ببيانات التقييم المنفصلة.

9. المساعدة

مراعاة لطبيعة المعالجة، تساعد SkillCort العميل بتدابير تقنية وتنظيمية مناسبة في الاستجابة لطلبات أصحاب البيانات (المواد 12-23 من GDPR؛ والمادة 11 من KVKK)، وفي التزامات العميل بموجب المواد 32-36 من GDPR (الأمن، والإخطار بالخرق، وتقييمات أثر حماية البيانات، والتشاور المسبق). وتحال طلبات أصحاب البيانات التي تصل SkillCort مباشرة إلى العميل دون تأخير لا مبرر له.

10. خرق البيانات الشخصية

تخطر SkillCort العميل دون تأخير لا مبرر له بعد علمها بخرق للبيانات الشخصية يمس بيانات العميل، وتقدم المعلومات المطلوبة بصورة معقولة لالتزامات العميل بالإخطار (المادتان 33-34 من GDPR؛ والمادة 12(5) من KVKK).

11. عمليات التدقيق

تتيح SkillCort المعلومات اللازمة لإثبات الامتثال لهذا الملحق، وتسمح بعمليات التدقيق التي يجريها العميل أو مدققه المفوض وتسهم فيها، بما في ذلك المعاينات. وللعميل ممارسة حقه في التدقيق مرة واحدة على الأكثر في أي مدة اثني عشر (12) شهرا، إلا عقب خرق مؤكد للبيانات الشخصية، أو طلب من سلطة رقابية مختصة، أو دليل معقول على عدم امتثال جوهري لهذا الملحق. وتستلزم عمليات التدقيق إشعارا خطيا مسبقا بـ30 يوما على الأقل، وتخضع لتعهدات السرية، ويجب أن تجرى بما يقلل تعطيل عمليات SkillCort، ولا تشمل أبدا الوصول إلى بيانات عملاء آخرين. ويعتمد الطرفان أولا على تقارير التدقيق المستقلة القائمة وعلى وثائق الأمن التي تنشرها SkillCort حيثما غطت النطاق بصورة معقولة؛ ويتحمل العميل تكاليف طلبات التدقيق المفرطة أو المفصلة على المقاس بما يتجاوز ذلك الأساس.

12. المسؤولية وترتيب الأولوية

تحكم المسؤولية بالاتفاقية. وفي حال تعارض الاتفاقية مع هذا الملحق بشأن معالجة البيانات الشخصية، يسود هذا الملحق؛ وتسود البنود التعاقدية القياسية والعقود القياسية المبرمة على كليهما بقدر التعارض.

ملحق KVKK

حيثما كان العميل مؤسسا في تركيا أو كان المرشحون موجودين فيها، يبرم الطرفان إضافة إلى ذلك العقد القياسي التركي (علاقة المعالج) ويودعانه لدى الهيئة خلال خمسة أيام عمل. ويقع واجب aydınlatma (إشعار الإحاطة) تجاه المرشحين على العميل بوصفه المتحكم، مستخدما إشعاره الخاص أو النموذج الذي توفره SkillCort.

لإبرام هذا الملحق لمؤسستك، أو للحصول على نسخ موقعة ووثائق النقل: privacy@skillcort.com.