اتفاقية معالجة البيانات

تقرر جهة التحكم أغراض معالجة البيانات الشخصية ووسائلها في الخدمات، ويعالج المعالِج البيانات الشخصية نيابةً عن جهة التحكم فقط ووفق تعليماتها الموثقة. أما بالنسبة لإدارة عملائه وفوترتهم، فالمعالِج جهة تحكم مستقلة، ولا تسري هذه الاتفاقية على ذلك.

الموضوع: استضافة الخدمات وتشغيلها وصيانتها ودعمها وتطويرها.

طبيعة المعالجة: جمع البيانات وتخزينها وتنظيمها واسترجاعها ونقلها (مثلًا عبر إشعارات البريد الإلكتروني أو المراسلة) وحذفها ومعالجتها بطرق أخرى داخل الخدمات.

الغرض: تقديم الخدمات المتفق عليها في عقد الخدمات.

المدة: طوال مدة عقد الخدمات وحتى حذف البيانات أو إعادتها وفق البند 10.

أصحاب البيانات: زوار المواقع، والعملاء المحتملون، والعملاء والمشترون، والمشاركون في الفعاليات، ومشتركو النشرات الإخبارية، والمتقدمون للوظائف، وموظفو جهة التحكم ومستخدموها، وغيرهم ممن تعالج جهة التحكم بياناتهم في الخدمات.

فئات البيانات: بيانات التواصل والتعريف، ومحتوى الاتصالات، وبيانات الاستفسارات والمشاريع والشراء، وبيانات الفعاليات والموافقات، وبيانات طلبات التوظيف بما فيها السير الذاتية، والمستندات المحمّلة إلى بوابة العملاء، وبيانات الاستخدام والسجلات، وبيانات الحسابات. ولا تستخدم جهة التحكم الخدمات لمعالجة الفئات الخاصة من البيانات (المادة 9 من اللائحة العامة لحماية البيانات) ما لم يُتفق على ذلك بشكل منفصل.

لا يعالج المعالِج البيانات الشخصية إلا وفق تعليمات موثقة من جهة التحكم، بما في ذلك ما يتعلق بالنقل إلى دول ثالثة، ما لم يُلزمه القانون بذلك، وفي هذه الحالة يُبلغ جهة التحكم مسبقًا ما لم يحظر القانون ذلك. وتُعطى التعليمات من خلال إعدادات الخدمات وعقد الخدمات وكتابةً. ويُبلغ المعالِج جهة التحكم فورًا إذا رأى أن تعليمة ما تخالف قانون حماية البيانات.

يضمن المعالِج التزام جميع الأشخاص المخوّلين بمعالجة البيانات الشخصية بالسرية أو خضوعهم لالتزام قانوني مناسب بالسرية، وعدم وصولهم إلى البيانات إلا بالقدر اللازم لمهامهم.

ينفّذ المعالِج التدابير التقنية والتنظيمية الموضحة في الملحق، بما يتناسب مع المخاطر (المادة 32 من اللائحة العامة لحماية البيانات)، ويجوز له تكييفها مع التقدم التقني ما دام مستوى الحماية لا ينخفض.

تمنح جهة التحكم المعالِج إذنًا عامًا بالاستعانة بالمعالِجين الفرعيين المذكورين أدناه وفي صفحة المعالِجين الفرعيين. ويُبلغ المعالِج جهة التحكم عبر البريد الإلكتروني قبل 30 يومًا على الأقل من إضافة معالِج فرعي أو استبداله. ويجوز لجهة التحكم الاعتراض خلال هذه المدة لأسباب معقولة تتعلق بحماية البيانات، وإذا لم يُتوصل إلى حل، يجوز لأي من الطرفين إنهاء الخدمات المتأثرة. ويفرض المعالِج على كل معالِج فرعي التزامات حماية البيانات ذاتها بموجب عقد، ويظل مسؤولًا عن أدائها.

الخدمات التي تربطها جهة التحكم بحسابها الخاص (مثل مزوّد بريدها الإلكتروني أو منصات الإعلان أو أدوات النشرات الإخبارية أو التحليلات) ليست معالِجين فرعيين للمعالِج، وتتعاقد جهة التحكم معها مباشرة.

مع مراعاة طبيعة المعالجة، يساعد المعالِج جهة التحكم بتدابير تقنية وتنظيمية مناسبة في الرد على طلبات أصحاب البيانات (المواد 12–22 من اللائحة العامة لحماية البيانات) وفي ضمان الامتثال للمواد 32–36 من اللائحة العامة لحماية البيانات، بما في ذلك تقييمات الأثر على حماية البيانات. ويحيل المعالِج إلى جهة التحكم دون تأخير أي طلبات من أصحاب البيانات تصل إليه.

يُخطر المعالِج جهة التحكم دون تأخير غير مبرر، وخلال 24 ساعة إن أمكن، بعد علمه بأي خرق للبيانات الشخصية يتعلق ببيانات جهة التحكم، ويقدّم المعلومات التي تحتاجها جهة التحكم لإخطاراتها (المادتان 33 و34 من اللائحة العامة لحماية البيانات).

بعد انتهاء الخدمات، يحذف المعالِج جميع البيانات الشخصية المعالجة نيابةً عن جهة التحكم أو يعيدها إليها حسب اختيارها، ويحذف النسخ الموجودة، ما لم يفرض القانون الاحتفاظ بها. وتُحذف البيانات الموجودة في النسخ الاحتياطية مع دورة النسخ الاحتياطي المعتادة. ويؤكد المعالِج الحذف كتابةً عند الطلب.

يتيح المعالِج لجهة التحكم جميع المعلومات اللازمة لإثبات الامتثال للمادة 28 من اللائحة العامة لحماية البيانات، ويسمح بعمليات التدقيق، بما فيها عمليات التفتيش، التي تجريها جهة التحكم أو مدقق تكلفه، ويساهم فيها، بعد إشعار مسبق معقول وخلال ساعات العمل المعتادة ودون تعطيل غير متناسب. ويجوز للمعالِج الوفاء بهذا الالتزام بتقديم شهادات أو تقارير تدقيق حديثة عنه وعن معالِجيه الفرعيين.

يعالج المعالِج البيانات في الاتحاد الأوروبي/المنطقة الاقتصادية الأوروبية. ولا يتم النقل إلى معالِجين فرعيين في دول ثالثة إلا وفق المادة 44 وما يليها من اللائحة العامة لحماية البيانات (مثلًا استنادًا إلى إطار خصوصية البيانات بين الاتحاد الأوروبي والولايات المتحدة أو البنود التعاقدية النموذجية). وإذا كان مقر جهة التحكم خارج الاتحاد الأوروبي/المنطقة الاقتصادية الأوروبية، يخضع نقل البيانات من المعالِج إلى جهة التحكم للبنود التعاقدية النموذجية للاتحاد الأوروبي، الوحدة 4 (من المعالِج إلى جهة التحكم)، التي يدمجها الطرفان في هذه الاتفاقية بالإحالة.

تسري هذه الاتفاقية ما دام المعالِج يعالج بيانات شخصية نيابةً عن جهة التحكم. وتخضع المسؤولية للمادة 82 من اللائحة العامة لحماية البيانات ولعقد الخدمات. وفي حال التعارض، تسود هذه الاتفاقية على عقد الخدمات فيما يتعلق بحماية البيانات. ويجوز للمعالِج تعديل هذه الاتفاقية إذا اقتضت ذلك تغييرات في القانون أو في الخدمات، ويُبلغ جهة التحكم بالتغييرات الجوهرية مسبقًا.

• ضبط الوصول: صلاحيات قائمة على الأدوار لكل وحدة، وعزل المستأجرين عبر أمان مستوى الصفوف في قاعدة البيانات، وفصل بيانات اعتماد الخادم والمتصفح، وعدم استخدام صلاحيات دور الخدمة في الشيفرة الموجهة للمستخدم
• المصادقة: روابط تسجيل دخول بدون كلمة مرور ومفاتيح مرور؛ ووصول إداري إلى مزوّدي البنية التحتية مقصور على المشغّل ومحمي بمصادقة قوية
• التشفير: TLS لجميع الاتصالات؛ وتشفير البيانات المخزنة لدى مزوّدي الاستضافة وقواعد البيانات؛ وحفظ الأسرار مشفرة في خزنة
• التخزين: قاعدة البيانات وتخزين الملفات في فرانكفورت (ألمانيا)؛ وحاويات خاصة للمستندات والسير الذاتية لا يمكن الوصول إليها إلا عبر روابط موقعة قصيرة الأجل
• ضبط الإدخال: سجلات نشاط للتغييرات على السجلات، وسجلات تشغيل للعمليات الآلية
• التوافر: بنية تحتية مُدارة مع التكرار، ونسخ احتياطي لقاعدة البيانات، ومراقبة المهام المجدولة
• تقليل البيانات وحذفها: مهام حذف آلية حيثما حُددت مدد الاحتفاظ (مثل طلبات التوظيف)، وحذف الملفات المحمّلة غير المرتبطة
• الحماية من الرسائل غير المرغوب فيها وإساءة الاستخدام: حماية من الروبوتات للنماذج العامة، والتحقق من نوع الملفات المحمّلة
• التنظيم: التزامات بالسرية، ووصول وفق مبدأ الحد الأدنى من الصلاحيات، واستجابة موثقة للحوادث