الأمان والخصوصية
كيف نتعامل مع بيانات المرشحين
بيانات التوظيف حسّاسة بطبيعتها: فهي بيانات شخصية، وتخصّ أشخاصًا ليسوا عملاءك، ونادرًا ما يملكون اختيار أين تذهب. هذا ما تفعله المنصة بها فعليًا.
التحكم في الوصول
كل جدول يحتوي على بيانات مرشحين أو بيانات مؤسسات محميّ بأمان على مستوى الصف داخل قاعدة البيانات نفسها، مع سياسات تحصر كل صف في المؤسسة المالكة له. أي أن التحكم في الوصول لا يُطبَّق في كود التطبيق وحده، فلا يمكن لخطأ برمجي في استعلام أن يُعيد مرشحي مؤسسة أخرى.
وداخل المؤسسة الواحدة، لكل عضو في الفريق صلاحيات تحدّد ما يمكنه الاطلاع عليه وتعديله. وتبقى سجلات المرشحين وملاحظاتهم ومستنداتهم محصورة في المؤسسة التي أنشأتها، ولا تُجمَّع بين العملاء.
أثناء النقل وأثناء التخزين
كل الاتصالات تتم عبر HTTPS مع تفعيل سياسة النقل الآمن الصارم (HSTS) ضمن قوائم التحميل المسبق، بحيث ترفض المتصفحات الاتصال عبر HTTP العادي. والبيانات مشفّرة أثناء التخزين في قاعدة البيانات المُدارة وفي تخزين الملفات.
كما يضبط التطبيق مجموعة صارمة من ترويسات أمان المتصفح، تشمل منع التضمين في إطارات من نطاقات أخرى، ومنع تخمين نوع المحتوى، وسياسة إحالة صارمة، وسياسة صلاحيات تمنع تحديد الموقع وتحصر الكاميرا والميكروفون في ميزات المقابلات داخل الموقع.
القرارات الآلية
تقييم المرشحين أداة مساندة للقرار. تقوم المنصة بالترتيب والتلخيص والتفسير، ولا ترفض المرشحين من تلقاء نفسها، وتبقى أسباب الترتيب ظاهرة لفريق التوظيف لا مخفية خلف رقم.
وهذا اختيار مقصود، وهو أيضًا أبسط طريق لتفادي اشتراط سعودي محدّد. فنظام حماية البيانات الشخصية لا يتضمّن حظرًا عامًا على القرارات المبنية كليًا على المعالجة الآلية، ولا حقًا نظاميًا في مراجعة بشرية — تلك قاعدة أوروبية كثيرًا ما تُنسب خطأً إلى النظام السعودي. ما تشترطه اللائحة التنفيذية هو أن تكون الموافقة صريحة عند اتخاذ قرار مبني بالكامل على المعالجة الآلية، وأن يُبلَّغ المرشحون بذلك، وأن يُعدّ تقييم أثر مكتوب لحماية البيانات. وإبقاء المسؤولية النهائية بيد شخص يعني ألّا تنطبق هذه الالتزامات أصلًا.
مقدّمو الخدمة وموقع البيانات
تعمل المنصة على بنية سحابية مُدارة، وتستعين بمزوّدين خارجيين لاستضافة قاعدة البيانات، وتخزين الملفات، وإرسال البريد، ومقابلات الفيديو، وتشغيل نماذج الذكاء الاصطناعي. أمّا من هم هؤلاء المزوّدون تحديدًا، وفي أي مناطق جغرافية تُخزَّن بيانات المرشحين وتُعالَج، فهي أسئلة ينبغي أن تطرحها مباشرة قبل التعاقد — وأن تتوقّع إجابة محدّدة تذكر أسماء المناطق، لا طمأنة عامة.
وإذا كانت لديك متطلبات تتعلق بموقع البيانات بموجب نظام حماية البيانات الشخصية أو بموجب سياسة داخلية، فاطرحها أثناء التقييم لا بعده. اسألنا كتابةً ونجيبك كتابةً.
حقوق المرشحين
يحقّ للمرشحين الذين توجد بياناتهم في المنصة طلب الاطلاع عليها أو تصحيحها أو حذفها. وبما أن صاحب العمل هو المتحكّم في البيانات وRezome هي المعالِج، فإن هذه الطلبات تُوجَّه عادةً إلى صاحب العمل، وتدعم المنصة صاحب العمل في تنفيذها. وإذا تواصل معنا مرشح مباشرةً، نوجّه طلبه إلى صاحب العمل المعني.
ما لا ندّعيه
تُكتب صفحات الأمان عادةً لتوحي بأكثر مما تقول. وهذه أمور نصرّح بأننا لا ندّعيها:
- لا نحمل شهادة SOC 2 ولا ISO 27001. وإذا تغيّر ذلك، ستذكر هذه الصفحة اسم جهة التدقيق ونوع التقرير والفترة الزمنية، وسيكون التقرير متاحًا بموجب اتفاقية عدم إفصاح.
- لا ندّعي أن البيانات مستضافة داخل المملكة. ومن المفيد معرفة أن نظام حماية البيانات الشخصية لا يشترط ذلك أصلًا — فالنقل خارج المملكة جائز مع الضمانات المناسبة، وأي مزوّد يوحي بأن النظام يفرض الاستضافة المحلية فهو يبالغ. وقد تكون قواعد القطاعات (ساما، ومكتب إدارة البيانات الوطنية، وهيئة الاتصالات والفضاء والتقنية) أكثر تشددًا، فاسألنا أين ستوجد بياناتك فعليًا بدل الافتراض.
- لا ندّعي إجراء اختبار اختراق مستقل من جهة خارجية. اسأل عن الوضع الحالي بدلًا من افتراضه.
التواصل بشأن الأمان
لطلب وثائق الأمان، أو اتفاقية معالجة بيانات، أو تفاصيل مقدّمي الخدمة، أو للإبلاغ عن ثغرة أمنية.