اتفاقية معالجة البيانات

1. النطاق والأدوار

تشكل اتفاقية معالجة البيانات هذه ("DPA") جزءًا من شروط الخدمة المبرمة بين Rediacc OÜ ("Rediacc"، أي "المعالِج") والعميل، حيثما يستخدم العميل الخدمات بصفته جهة أعمال وتعالج Rediacc بيانات العميل الشخصية نيابةً عنه. وتحمل المصطلحات المعرَّفة في شروط الخدمة المعنى نفسه هنا. هذه الاتفاقية مكتوبة بالإنجليزية، والترجمات مقدمة للتيسير فقط، وعند أي اختلاف تكون النسخة الإنجليزية هي المعتمدة.

فيما يخص بيانات العميل الشخصية، يكون العميل هو المتحكم في البيانات (أو معالِجًا يعمل لحساب المتحكم الخاص به) وتكون Rediacc هي المعالِج (أو المعالِج الفرعي). أما بالنسبة لسجلات الحساب والفوترة والقبول ولبيانات القياس عن بُعد، فإن Rediacc متحكم مستقل في البيانات، كما هو موضح في سياسة الخصوصية، ولا تسري هذه الاتفاقية على تلك المعالجة.

لا تعالج Rediacc بيانات العميل الموجودة على أجهزته. ويُشفَّر تخزين التكوين والنسخ الاحتياطية المستضافة بمفاتيح لا تحتفظ بها Rediacc، ولذلك تخزّن Rediacc هذه الكتل لكنها لا تستطيع قراءة محتواها.

2. التعريفات

• "قوانين حماية البيانات" تعني اللائحة العامة لحماية البيانات في الاتحاد الأوروبي (اللائحة (الاتحاد الأوروبي) 2016/679، "GDPR")، وGDPR البريطانية، وأي قانون آخر لحماية البيانات ينطبق على المعالجة بموجب هذه الاتفاقية.
• "بيانات العميل الشخصية" تعني البيانات الشخصية التي تعالجها Rediacc نيابةً عن العميل في أثناء تقديم المنصة، مثل أسماء المستخدمين المصرَّح لهم وأعضاء الفريق الذين يدعوهم العميل وعناوين بريدهم الإلكتروني، والبيانات المشفَّرة التي يخزنها العميل على المنصة.
• "انتهاك البيانات الشخصية" و"المعالجة" و"المتحكم" و"المعالِج" و"صاحب البيانات" لها المعاني المنصوص عليها في GDPR.
• "البنود التعاقدية القياسية" (SCCs) تعني البنود التعاقدية القياسية التي أقرها قرار التنفيذ (الاتحاد الأوروبي) 2021/914 الصادر عن المفوضية الأوروبية.
• "المعالِج الفرعي" يعني طرفًا ثالثًا تكلّفه Rediacc بمعالجة بيانات العميل الشخصية.

3. المعالجة بناءً على التعليمات

لا تعالج Rediacc بيانات العميل الشخصية إلا بناءً على تعليمات العميل الموثقة، وهي شروط الخدمة وهذه الاتفاقية واستخدام العميل للخدمات وتهيئته لها، ما لم يقتض القانون خلاف ذلك، وفي هذه الحالة تُبلغ Rediacc العميل قبل المعالجة ما لم يحظر القانون ذلك. وتُبلغ Rediacc العميل إذا رأت أن أي تعليمات تنتهك قوانين حماية البيانات.

4. تفاصيل المعالجة

• الموضوع والغرض: تقديم المنصة، بما في ذلك إدارة الحساب والفريق وإصدار التراخيص وتخزين التكوين المشفَّر وتخزين النسخ الاحتياطي المستضاف والدعم
• المدة: مدة شروط الخدمة، بالإضافة إلى فترة الحذف المنصوص عليها في القسم 11
• طبيعة المعالجة: الجمع والتخزين والإرسال والاسترجاع والحذف
• فئات أصحاب البيانات: المستخدمون المصرَّح لهم لدى العميل وأعضاء الفريق المدعوون وجهات اتصال الشركاء
• فئات البيانات الشخصية: الأسماء وعناوين البريد الإلكتروني والمنظمة والدور وبيانات المصادقة (تجزئات كلمات المرور والمفاتيح العامة لمفاتيح المرور) وعناوين الشبكة ووكلاء المستخدم الخاصة بالجلسات، وأي بيانات شخصية داخل البيانات المشفَّرة التي يخزنها العميل على المنصة
• الفئات الخاصة: لا يُقصد معالجة أي منها؛ ولا يجوز للعميل تخزين فئات خاصة من البيانات على المنصة دون تشفير

5. السرية

تكفل Rediacc أن يلتزم كل شخص مصرَّح له بمعالجة بيانات العميل الشخصية بواجب السرية.

6. الأمان

تطبّق Rediacc تدابير تقنية وتنظيمية مناسبة بموجب المادة 32 من GDPR، بما في ذلك:

• التشفير أثناء النقل (TLS 1.2 أو أحدث) وأثناء التخزين، والتشفير من جهة العميل لتخزين التكوين والنسخ الاحتياطية المستضافة بمفاتيح لا تحتفظ بها Rediacc
• قصر الوصول إلى أنظمة الإنتاج على الأفراد المصرَّح لهم، مع المصادقة متعددة العوامل
• الفصل المنطقي لبيانات العملاء وتخزين البيانات إقليميًا
• تسجيل أنظمة الإنتاج ومراقبتها، والاختبار المنتظم للتدابير الأمنية

7. المعالجون الفرعيون

يفوّض العميل Rediacc بالاستعانة بمعالجين فرعيين. وتفرض Rediacc على كل معالج فرعي التزامات لحماية البيانات لا تقل حمايةً عن هذه الاتفاقية، وتظل مسؤولة عن أداء معالجيها الفرعيين. والمعالجون الفرعيون الحاليون هم:

• Cloudflare, Inc. (الولايات المتحدة؛ شبكة عالمية): استضافة بوابة الحساب وواجهة API (Workers)، وقاعدة بيانات الحسابات (D1)، والنسخ الاحتياطي المستضاف وتخزين الكائنات (R2)، وتسليم المحتوى وDNS، والحماية من الروبوتات في النماذج (Turnstile)
• Amazon Web Services, Inc. (خدمة البريد الإلكتروني البسيطة Amazon Simple Email Service، في منطقة AWS التي تخدم منطقة حساب العميل): إرسال رسائل البريد الإلكتروني المعاملاتية مثل روابط تسجيل الدخول والإشعارات والفواتير
• Stripe, Inc. والشركات التابعة لها (الولايات المتحدة وأيرلندا): معالجة المدفوعات وفوترة الاشتراكات وإصدار الفواتير وحساب الضرائب للاشتراكات المدفوعة
• Hostinger (خوادم افتراضية في الاتحاد الأوروبي): استضافة نقطة نهاية القياس عن بُعد والمراقبة (otlp.rediacc.io) التي تستقبل بيانات القياس عن بُعد وسجلات الخدمة

تقدّم Rediacc إشعارًا قبل ثلاثين (30) يومًا على الأقل من إضافة معالج فرعي أو استبداله، وذلك بتحديث هذه الصفحة وإخطار البريد الإلكتروني للحساب. ويجوز للعميل الاعتراض لأسباب معقولة تتعلق بحماية البيانات خلال تلك الفترة. وإذا تعذر على الطرفين حل الاعتراض، يجوز للعميل إنهاء الخدمات المتأثرة واسترداد الرسوم المدفوعة مقدمًا عن الفترة التي تلي الإنهاء.

لا تعالج أدوات تحليلات الموقع (Plausible) بيانات العميل الشخصية، وتنظمها سياسة الخصوصية.

8. عمليات النقل الدولية

عند نقل بيانات العميل الشخصية إلى بلد خارج المنطقة الاقتصادية الأوروبية لا يتوفر له قرار كفاية، تُدرج البنود التعاقدية القياسية في هذه الاتفاقية بالإحالة: الوحدة الثانية (من المتحكم إلى المعالِج) حيثما يكون العميل متحكمًا، والوحدة الثالثة (من معالِج إلى معالِج) حيثما يكون العميل معالِجًا. وفيما يخص البنود التعاقدية القياسية: يسري بند الانضمام الاختياري (البند 7)؛ ويسري البند 9(أ) الخيار 2 (التفويض العام) مع مدة الإشعار الواردة في القسم 7؛ ولا تسري الصياغة الاختيارية في البند 11؛ ويختار البندان 17 و18 قانون إستونيا ومحاكمها؛ ويُستكمل الملحقان الأول والثاني بالأقسام 1 و4 و6، والملحق الثالث بالقسم 7 من هذه الاتفاقية.

بالنسبة لعمليات النقل الخاضعة لـGDPR البريطانية، يسري ملحق نقل البيانات الدولي الصادر عن مفوض المعلومات في المملكة المتحدة إلى جانب البنود التعاقدية القياسية. وتعتمد Rediacc على إطار خصوصية البيانات بين الاتحاد الأوروبي والولايات المتحدة بالنسبة للمعالجين الفرعيين المعتمدين بموجبه.

9. طلبات أصحاب البيانات والمساعدة

تحيل Rediacc إلى العميل فورًا أي طلب من صاحب بيانات بشأن بيانات العميل الشخصية، ولا ترد بنفسها إلا بناءً على تعليمات العميل. وبمراعاة طبيعة المعالجة، تساعد Rediacc العميل في الرد على هذه الطلبات وفي الوفاء بالتزاماته بموجب المواد من 32 إلى 36 من GDPR، بما في ذلك تقييمات الأثر على حماية البيانات والتشاور المسبق.

10. انتهاك البيانات الشخصية

تُخطر Rediacc العميل دون تأخير غير مبرر، وفي جميع الأحوال خلال اثنتين وسبعين (72) ساعة، من علمها بانتهاك للبيانات الشخصية يمس بيانات العميل الشخصية. ويصف الإشعار، بقدر المعلوم، طبيعة الانتهاك، وفئات أصحاب البيانات والسجلات المعنية وعددهم التقريبي، والعواقب المحتملة، والتدابير المتخذة أو المقترحة. وتتخذ Rediacc خطوات معقولة لاحتواء الانتهاك ومعالجته.

11. الحذف أو الإعادة

عند انتهاء الخدمات، يجوز للعميل تصدير بيانات العميل الشخصية خلال ثلاثين (30) يومًا. وبعد ذلك تحذف Rediacc بيانات العميل الشخصية من الأنظمة النشطة، ومن النسخ الاحتياطية خلال تسعين (90) يومًا، ما لم يقتض القانون من Rediacc الاحتفاظ بها.

12. عمليات التدقيق

تتيح Rediacc للعميل المعلومات اللازمة لإثبات الامتثال للمادة 28 من GDPR، وذلك أساسًا عبر إجابات كتابية عن استبيانات أمنية معقولة وعبر تقارير التدقيق والشهادات المتاحة الخاصة بـRediacc ومعالجيها الفرعيين. وحيثما لا تكفي تلك المعلومات أو تطلب ذلك سلطة رقابية، يجوز للعميل إجراء تدقيق على نفقته، بإشعار قبل ثلاثين (30) يومًا، وخلال ساعات العمل، وبما لا يزيد على مرة في السنة، وفي إطار التزامات السرية، وبطريقة لا تعطّل الخدمات أو العملاء الآخرين.

13. المسؤولية والأسبقية

تخضع مسؤولية كل طرف بموجب هذه الاتفاقية لقيود شروط الخدمة، إلا حيثما لا تسمح بذلك قوانين حماية البيانات. وإذا تعارضت هذه الاتفاقية مع شروط الخدمة، فإن هذه الاتفاقية هي التي تحكم معالجة بيانات العميل الشخصية؛ وإذا تعارضت البنود التعاقدية القياسية مع هذه الاتفاقية، فالبنود التعاقدية القياسية هي التي تحكم.

14. مصدر هذه الاتفاقية

اقتُبست أجزاء من هذه الاتفاقية وكُيّفت من الشروط القياسية لاتفاقية معالجة البيانات لدى Common Paper الإصدار 1.1 (commonpaper.com/standards/data-processing-agreement/1.1)، الصادرة عن Common Paper, Inc. بموجب ترخيص المشاع الإبداعي نسب المصنف 4.0 الدولي (CC BY 4.0). وقد عُدِّل النص: أُعيدت هيكلته واختُصر وكُيّف مع الخدمات. ولا تؤيد Common Paper, Inc. هذه الاتفاقية.