اتفاقية معالجة البيانات

هذه الاتفاقية جزء من شروط الخدمة وتجسّد التزامات الطرفين عند التعامل مع البيانات الشخصية.

المسؤول (العميل الآمِر): العميل.

المعالِج بالنيابة (المُكلَّف):

Zakomo FZCO
IFZA, Dubai Silicon Oasis
دبي، الإمارات العربية المتحدة

1. الموضوع والمدة

1.1 الموضوع هو معالجة البيانات الشخصية التي يُدخِلها المسؤول في إطار استخدام منصة Growmindr أو يجعلها تُجمَع عبرها.

1.2 تطابق المدة مدة سريان العقد الرئيسي. وتنتهي الاتفاقية تلقائيًا بانتهائه؛ وتبقى الالتزامات الواردة في القسم 10 قائمة بعد ذلك.

2. طبيعة المعالجة والغرض منها ونطاقها

2.1 الأغراض: إدارة بيانات الاتصال وإثراؤها، وإنشاء المحتوى والموافقة عليه، وتخطيط رسائل التواصل وإرسالها بما في ذلك معالجة الردود وإلغاء الاشتراك، والبحث عن الروابط ومراقبتها، وإدارة الفريق والحساب، وكذلك تحليل العمليات المذكورة لصالح المسؤول.

2.2 طبيعة المعالجة: الجمع، والتسجيل، والتنظيم، والتخزين، والتكييف، والقراءة، والاستعلام، والاستخدام، والنقل، والتقييد، والحذف، والإتلاف.

2.3 فئات الأشخاص المعنيين: مستلِمو رسائل التواصل، وجهات الاتصال في الشركات المستهدفة، وكذلك موظفو ومُكلَّفو المسؤول الذين يستخدمون المنصة.

2.4 فئات البيانات الشخصية: بيانات الاتصال (الاسم، وعنوان البريد الإلكتروني المهني، ورقم الهاتف، والمنصب، وجهة العمل، والملفات التعريفية المتاحة علنًا)، ومحتوى الاتصالات، وبيانات التسليم والتفاعل (التسليم، والفتح، والنقرات، والردود، وإلغاء الاشتراك)، ومعلومات التقييم والحالة، وكذلك بيانات حسابات المستخدمين وأدوارهم.

2.5 الفئات الخاصة من البيانات الشخصية بموجب المادة 9 من اللائحة العامة لحماية البيانات ليست موضوعًا للتكليف. ولن يُدخِل المسؤول مثل هذه البيانات في المنصة.

3. حق إصدار التعليمات

3.1 يعالج المُكلَّف البيانات الشخصية حصريًا بناءً على تعليمات موثّقة من المسؤول. ويُعدّ استخدام المسؤول لوظائف المنصة بمثابة تعليمات؛ أما التعليمات الفردية التي تتجاوز ذلك فتصدر كتابيًا إلى [email protected].

3.2 إذا رأى المُكلَّف أن تعليمةً ما غير مشروعة، أبلغ بذلك دون تأخير، ويجوز له تعليق تنفيذها حتى الإيضاح.

3.3 لا تتم أي معالجة خارج نطاق التعليمات إلا بقدر ما يكون المُكلَّف ملزمًا بذلك بموجب قانون الاتحاد أو قانون دولة عضو؛ وفي هذه الحالة يُعلم المسؤول مسبقًا، ما لم يحظر القانون ذلك.

4. السرية

يُلزِم المُكلَّف الأشخاص المعنيين بالمعالجة بالسرية كتابيًا، بقدر ما لا يكونون خاضعين أصلًا لالتزام قانوني بالكتمان. ويبقى هذا الالتزام قائمًا أيضًا بعد انتهاء النشاط.

5. التدابير التقنية والتنظيمية

يتخذ المُكلَّف التدابير الموصوفة في المرفق 1 بموجب المادة 32 من اللائحة العامة لحماية البيانات. ويجوز له تطويرها ما دام مستوى الحماية لا يقلّ عن ذلك.

6. المعالِجون من الباطن

6.1 يمنح المسؤول تصريحًا عامًا بتكليف المعالِجين من الباطن التالين:

• Cloudflare — تسليم الموقع الإلكتروني وتأمينه. المقر الولايات المتحدة؛ النقل

على أساس الشروط التعاقدية النموذجية.

6.2 يعمل Paddle لمعالجة المدفوعات بصفته التاجر المسجَّل (Merchant of Record) وهو في هذا الصدد مسؤول مستقل، وليس معالِجًا من الباطن.

6.3 يُشغّل المُكلَّف قاعدة البيانات وتخزين الكائنات وقياس مدى الوصول ووظائف الذكاء الاصطناعي لإنشاء النصوص على بنيته التحتية الخاصة في دبي، الإمارات العربية المتحدة. ولا يتم في هذا الصدد أي تكليف لأطراف ثالثة؛ وبالنسبة للنقل إلى دولة الإمارات العربية المتحدة يسري القسم 12.

6.4 الخدمات التي يربطها المسؤول بنفسه، بأن يُودِع مفتاح وصول خاصًا به — ولا سيما Hunter.io وApollo.io لإثراء جهات الاتصال، وكذلك خادم بريد خاص للإرسال — تعمل على حساب المسؤول وتحت مسؤوليته. ويبرم المسؤول مع هؤلاء المزوّدين الاتفاقيات اللازمة بنفسه.

6.5 إذا اعتزم المُكلَّف الاستعانة بمعالِج من الباطن إضافي أو استبدال معالِج قائم، أعلم المسؤول بذلك كتابيًا قبل 30 يومًا على الأقل. ويجوز للمسؤول الاعتراض خلال 14 يومًا لسبب جوهري متعلق بقانون حماية البيانات. وإذا تعذّر تبديد الاعتراض، جاز لكل طرف إنهاء العقد الرئيسي اعتبارًا من موعد التبديل المخطط له.

7. التزامات الدعم

7.1 يدعم المُكلَّف المسؤول بتدابير مناسبة في الرد على طلبات الأشخاص المعنيين. وتوفّر المنصة لهذا الغرض وظائف تصدير وحذف، وكذلك قائمة حظر دائمة للعناوين التي ألغت اشتراكها.

7.2 إذا توجّه شخص معني مباشرةً إلى المُكلَّف، حوّل الطلب دون تأخير إلى المسؤول ولا يردّ عليه بصورة مستقلة.

7.3 يدعم المُكلَّف المسؤول في الالتزام بالمواد من 32 إلى 36 من اللائحة العامة لحماية البيانات، ولا سيما عند إجراء تقييم أثر على حماية البيانات، بقدر ما تكون البيانات اللازمة متوافرة لديه وحده.

8. الإبلاغ عن انتهاكات حماية البيانات الشخصية

يُبلّغ المُكلَّف المسؤول عن انتهاك حماية البيانات الشخصية دون تأخير، خلال 48 ساعة على أبعد تقدير من العلم به، كتابيًا. ويتضمّن الإبلاغ، بقدر المعلوم، طبيعة الواقعة، وفئات البيانات المتأثرة، والعدد التقريبي للمعنيين، والعواقب المحتملة، والإجراءات المضادة المتخذة. ولا يُبلّغ المُكلَّف السلطة الرقابية؛ فهذا الالتزام يقع على المسؤول.

9. الإثباتات وعمليات التدقيق

9.1 يُثبِت المُكلَّف الالتزام بهذه الاتفاقية بناءً على الطلب بطريقة مناسبة، ولا سيما بتقديم المعلومات وعرض التوثيق الخاص بالتدابير بموجب المرفق 1.

9.2 يحقّ للمسؤول، بعد إشعار مسبق بمهلة مناسبة وأثناء ساعات العمل المعتادة، التحقق من الالتزام. وتتم عمليات التدقيق دون إخلال يمكن تجنّبه بسير العمل، وبحدٍّ أقصى مرة واحدة في كل سنة تقويمية، ما لم تبرّر مناسبة خاصة إجراء تدقيق إضافي. ويجوز للمُكلَّف أن يحتسب على نحو مناسب النفقات التي تتجاوز تقديم معلومات بسيط.

10. الحذف والإعادة

10.1 بعد انتهاء العقد الرئيسي، يتيح المُكلَّف للمسؤول البيانات للتصدير لمدة 30 يومًا، ثم يحذفها بعد ذلك.

10.2 تُستبدَل النسخ الاحتياطية تناوبيًا وتُزال نهائيًا بعد 14 يومًا على أبعد تقدير من الحذف في النظام الإنتاجي.

10.3 يُستثنى من الحذف البيانات التي يوجد بشأنها التزام حفظ قانوني، وكذلك قائمة حظر العناوين التي ألغت اشتراكها، والتي يكون حفظها لازمًا للوفاء بالالتزام الناشئ عن المادة 21 الفقرة 3 من اللائحة العامة لحماية البيانات؛ وتُقيَّد معالجة هذه البيانات تبعًا لذلك.

11. المسؤولية والأحكام الختامية

11.1 تسري على المسؤولية أحكام القسم 10 من شروط الخدمة بما يتناسب؛ وتبقى المادة 82 من اللائحة العامة لحماية البيانات غير متأثرة.

11.2 عند التعارض بين هذه الاتفاقية والعقد الرئيسي، تكون لهذه الاتفاقية الأسبقية في المسائل المتعلقة بقانون حماية البيانات.

11.3 يسري قانون جمهورية ألمانيا الاتحادية.

12. النقل إلى بلد ثالث

12.1 يقع مقر المُكلَّف ويُشغّل أنظمته في دولة الإمارات العربية المتحدة. ولا يوجد بالنسبة لهذا البلد قرار كفاية صادر عن المفوضية الأوروبية بموجب المادة 45 من اللائحة العامة لحماية البيانات.

12.2 ولذلك تسري على عمليات نقل البيانات الشخصية من المنطقة الاقتصادية الأوروبية إلى المُكلَّف الشروط التعاقدية النموذجية للمفوضية الأوروبية وفقًا لقرار التنفيذ (EU) 2021/914 المؤرخ في 4 يونيو 2021، وتحديدًا الوحدة 2 (المسؤول إلى المعالِج بالنيابة). وهي تُدرَج بموجب هذا بكامل نطاقها في هذه الاتفاقية وتكون لها الأسبقية عليها عند التعارض.

12.3 لتعبئة ملاحق الشروط التعاقدية النموذجية يسري ما يلي:

• الملحق I.A (الأطراف): مُصدِّر البيانات هو المسؤول، ومستورِد البيانات هو

المُكلَّف؛ وتنتج البيانات من ديباجة هذه الاتفاقية ومن البيانات الأساسية لحساب المسؤول.

• الملحق I.B (وصف النقل): القسم 2 من هذه الاتفاقية.
• الملحق I.C (السلطة الرقابية المختصة): السلطة الرقابية للدولة العضو التي

يكون المسؤول مستقرًا فيها؛ وإذا لم يكن مستقرًا في الاتحاد، فسلطة الدولة العضو التي يوجد فيها الأشخاص المعنيون.

• الملحق II (التدابير التقنية والتنظيمية): المرفق 1 من هذه الاتفاقية.
• الملحق III (قائمة المعالِجين من الباطن): القسم 6 من هذه الاتفاقية.

12.4 بالنسبة لخيارات الشروط يسري ما يلي: البند 7 (بند الانضمام) ينطبق. وبالنسبة للبند 9 يسري الخيار 2 (التصريح الكتابي العام) بالمهلة المتفق عليها في القسم 6.5. والبند الاختياري 11 البند أ (جهة مستقلة لتسوية النزاعات) لا ينطبق. وبالنسبة للبند 17 يسري قانون أيرلندا، وبالنسبة للبند 18 البند ب تختص محاكم أيرلندا. ويبقى القسم 11.3 من هذه الاتفاقية واختيار القانون في شروط الخدمة غير متأثرين بذلك ويسريان على جميع المسائل الأخرى.

12.5 يؤكّد المُكلَّف أنه لا علم له بأي أحكام قانونية تمنعه من الوفاء بالشروط التعاقدية النموذجية. وإذا تلقّى أمرًا من جهة رسمية بتسليم بيانات مُنقَلة، أعلم المسؤول بذلك، بقدر ما يكون ذلك جائزًا قانونًا، وطعن في الأمر بقدر ما تتوافر احتمالات نجاح كافية. وبصورة مكمّلة تسري تدابير المرفق 1.

12.6 بناءً على الطلب يوفّر المُكلَّف للمسؤول نسخة موقّعة من الشروط التعاقدية النموذجية.

13. القانون الواجب التطبيق لدولة الإمارات العربية المتحدة

بصرف النظر عن اللائحة العامة لحماية البيانات، يخضع المُكلَّف للقانون الاتحادي رقم 45 لسنة 2021 لدولة الإمارات العربية المتحدة بشأن حماية البيانات الشخصية (PDPL). وبقدر ما تتداخل الالتزامات الناشئة عنه مع التزامات هذه الاتفاقية، يفي المُكلَّف في كل حالة بالالتزام الأوسع.

المرفق 1 — التدابير التقنية والتنظيمية بموجب المادة 32 من اللائحة العامة لحماية البيانات

السرية — مراقبة الدخول المادي. تُشغَّل الأنظمة في مركز بيانات في دبي، الإمارات العربية المتحدة. والدخول المادي مقتصر على الأشخاص المصرَّح لهم ويُسجَّل.

السرية — مراقبة الولوج. تسجيل الدخول عبر حسابات فردية بكلمات مرور مُجزّأة (hashed) وفق أحدث التقنيات. وتنتهي الجلسات بعد 15 دقيقة من عدم النشاط. وملفات تعريف ارتباط الجلسة هي httpOnly وSameSite=Strict وتُنقَل حصريًا عبر HTTPS. ويتم الولوج الإداري إلى الأنظمة الإنتاجية حصريًا عبر SSH بمصادقة المفاتيح.

السرية — مراقبة الوصول. صلاحيات قائمة على الأدوار (المالك، والمسؤول، والمحرّر، والمراجِع، والمُطّلِع). ويُفرَض الفصل بين المستأجرين إضافةً إلى ذلك على مستوى قاعدة البيانات عبر أمن مستوى الصفوف (Row-Level Security)، الذي يرفض الوصول في حالة الخطأ بدلًا من السماح به. ولا تتم عمليات الوصول الآلي بين الخدمات إلا عبر رموز خدمة (Service-Token) موقّعة وقصيرة العمر.

السرية — مراقبة الفصل. يعمل كل عميل في مستأجر خاص به؛ وتستخدم كل خدمة قاعدة بيانات خاصة بها دون وصول خارجي. والسجلات التي لا تحمل انتماءً صالحًا لمستأجر غير قابلة للاستدعاء.

السلامة — مراقبة التمرير. تشفير النقل بـ TLS لجميع الاتصالات من المنصة وإليها. والخدمات الداخلية لا يمكن الوصول إليها إلا عبر الواجهة المحلية وليست مكشوفة علنًا.

السلامة — مراقبة الإدخال. تُسجَّل العمليات ذات الصلة بالأمن مع الوقت والحساب الفاعل في سجل نشاط.

التوافر والمتانة. تأمين تلقائي يومي لقاعدة البيانات بمدة احتفاظ 14 يومًا. ومراقبة الخدمات مع إعادة تشغيل تلقائي في حالة العطل. والحماية من التحميل الزائد عبر تحديد المعدل.

إجراءات المراجعة والتقييم. تُفحَص التبعيات بانتظام بحثًا عن الثغرات المعروفة وتُحدَّث. وبيانات الوصول تقع خارج إدارة الإصدارات. وتتم التغييرات على البيئة الإنتاجية عبر عملية تسليم قابلة للتتبّع.

مراقبة التكليف. لا يُستعان بالمعالِجين من الباطن إلا وفقًا للقسم 6 من هذه الاتفاقية، ويُلزَمون تعاقديًا بمستوى حماية مماثل.