اتفاقية معالجة بيانات محرك الصادر

1. الأطراف والنطاق

تشكل اتفاقية معالجة البيانات ("DPA") جزءًا من الإطار التعاقدي بين:

1) العميل ("التحكم"): الكيان الذي يحدد أغراض ووسائل معالجة البيانات الشخصية، و

2) سفيان بودراجة ("المعالج"): مزود الخدمة الذي يعالج البيانات الشخصية نيابة عن العميل.

تنطبق هذه الاتفاقية على نظام سفيان بودراجة ("النظام") حيث، وفقط حيث، يقوم سفيان بودراجة بمعالجة البيانات الشخصية نيابة عن العميل كمعالج فيما يتعلق بـ "الخدمات".

إذا كان سفيان بودراجة يعمل كجهة تحكم مستقلة (على سبيل المثال، زوار الموقع، العملاء المباشرين للمنتجات الرقمية، أو المشترين من POD)، فإن سياسة الخصوصية تنطبق بدلاً من هذه الاتفاقية. إذا تصرف الطرفان كجهات تحكم منفصلة (من جهة إلى جهة)، فلا تنطبق هذه الاتفاقية ما لم يتم الاتفاق عليها كتابيًا.

2. التعريفات

"GDPR" تعني اللائحة (الاتحاد الأوروبي) 2016/679.

"البيانات الشخصية"، "المعالجة"، "الجهة المسؤولة"، "المعالج"، و"السلطة الإشرافية" لها المعاني المحددة في اللائحة العامة لحماية البيانات.

"بيانات العميل" تعني البيانات الشخصية التي تتم معالجتها بواسطة المعالج نيابة عن العميل بموجب هذه الاتفاقية.

"المعالج الفرعي" يعني طرف ثالث يتم التعاقد معه من قبل المعالج لمعالجة بيانات العميل نيابة عن العميل.

"الخدمات" تعني الخدمات المهنية، والبرمجيات، والنتائج المقدمة بموجب العقد المعمول به، أو بيان العمل، أو نموذج الطلب، أو اتفاق مشابه ("الاتفاقية الرئيسية").

3. تفاصيل المعالجة

تم وصف الموضوع، والمدة، والطبيعة، والغرض من المعالجة، وأنواع البيانات الشخصية، وفئات موضوعات البيانات في الملحق 1 (تفاصيل المعالجة). ستقتصر المعالجة على ما هو ضروري لتقديم الخدمات.

4. التزامات المعالج

يجب على المعالج:

1. معالجة بيانات العملاء فقط بناءً على تعليمات موثقة من العميل، بما في ذلك فيما يتعلق بنقل البيانات الشخصية إلى دولة ثالثة أو منظمة دولية، ما لم يُطلب القيام بذلك بموجب قانون الاتحاد أو قانون الدولة العضو؛ في هذه الحالة، يجب على المعالج إبلاغ العميل بذلك المتطلب القانوني قبل المعالجة، ما لم يمنع ذلك القانون مثل هذه المعلومات لأسباب تتعلق بالمصلحة العامة.

2. تأكد من أن الأشخاص المخولين لمعالجة بيانات العملاء قد التزموا بالسرية أو أنهم تحت التزام قانوني مناسب بالسرية.

3. تنفيذ تدابير تقنية وتنظيمية مناسبة ("TOMs") لضمان مستوى من الأمان يتناسب مع المخاطر، كما هو موضح في الملحق 2، مع الأخذ في الاعتبار المادة 32 من اللائحة العامة لحماية البيانات.

4. احترام الشروط المتعلقة بتوظيف المعالجات الفرعية كما هو موضح في القسم 6.

5. مساعدة العميل من خلال تدابير تقنية وتنظيمية مناسبة، بقدر الإمكان، للوفاء بالتزام العميل بالاستجابة للطلبات المتعلقة بممارسة حقوق موضوع البيانات بموجب الفصل الثالث من اللائحة العامة لحماية البيانات.

6. مساعدة العميل في ضمان الامتثال للالتزامات بموجب المواد 32 إلى 36 من اللائحة العامة لحماية البيانات (الأمان، إشعار الانتهاك، تقييمات تأثير حماية البيانات، والتشاور المسبق)، مع الأخذ في الاعتبار طبيعة المعالجة والمعلومات المتاحة للمعالج.

7. بناءً على اختيار العميل، احذف أو أعد جميع بيانات العميل بعد انتهاء تقديم الخدمات المتعلقة بالمعالجة، واحذف النسخ الموجودة ما لم تتطلب قوانين الاتحاد أو الدولة العضو التخزين.

8. اجعل جميع المعلومات اللازمة متاحة للعميل لإثبات الامتثال لهذه الاتفاقية، واسمح بالمراجعات، بما في ذلك التفتيشات، التي يجريها العميل أو مدقق مفوض من قبل العميل، وفقًا للقسم 11.

5. التزامات العميل

يجب على العميل:

• ضمان أن لديه أساسًا قانونيًا لمعالجة بيانات العميل ولإعطاء التعليمات للمعالج لمعالجة بيانات العميل.

• قدم تعليمات موثقة وتأكد من أن تلك التعليمات تتوافق مع القانون المعمول به.

• تأكد من تقديم إشعارات الشفافية للأشخاص المعنيين حيثما كان ذلك مطلوبًا، بما في ذلك لاستخدام المعالجات والتحويلات الدولية.

• كن مسؤولاً عن دقة وجودة وقانونية بيانات العملاء المقدمة للمعالج.

• قم بتكوين واستخدام أي أدوات طرف ثالث تختارها أو تتحكم فيها بطريقة متوافقة، بما في ذلك أذونات المستخدم وإعدادات الاحتفاظ.

6. المعالجات الفرعية

يمنح العميل المعالج تفويضًا عامًا لتوظيف المعالجات الفرعية لمعالجة بيانات العميل لأغراض تقديم الخدمات، مع مراعاة المتطلبات أدناه.

6.1 شروط المعالج الفرعي

• يجب على المعالج فرض التزامات حماية البيانات على كل معالج فرعي تكون مشابهة بشكل كبير لتلك المنصوص عليها في هذه الاتفاقية، بما في ذلك تدابير الأمان المناسبة.

• يظل المعالج مسؤولاً عن أداء التزامات المعالج الفرعي.

6.2 قائمة المعالجات الفرعية والتحديثات

يتم الاحتفاظ بقائمة حالية من فئات المعالجات الفرعية وأنواع الأدوات المستخدمة في النظام البيئي في ملحق أدوات الطرف الثالث ومزودي البيانات (السياسة 14). بالنسبة للت engagements الخاصة بالعملاء، قد تعتمد المعالجات الفرعية المعنية على الخدمات والأدوات المختارة من قبل العميل.

عندما يقدم تغيير معالجًا فرعيًا جديدًا سيعالج بيانات العميل ل engagement مستمرة، سيقدم المعالج إشعارًا مسبقًا حيثما كان ذلك ممكنًا بشكل معقول. يمكن للعميل الاعتراض على أسس معقولة تتعلق بحماية البيانات. إذا لم تتمكن الأطراف من حل الاعتراض، يمكن لأي طرف إنهاء الجزء المتأثر من الخدمات، دون عقوبة تتجاوز الرسوم المستحقة مقابل العمل المنجز حتى الإنهاء، ما لم ينص الاتفاق الرئيسي على خلاف ذلك.

7. التحويلات الدولية

يجب معالجة بيانات العميل داخل المنطقة الاقتصادية الأوروبية ("EEA") بشكل افتراضي حيثما تسمح الخدمات والأدوات المختارة. عندما يتم نقل بيانات العميل خارج المنطقة الاقتصادية الأوروبية، سيكون النقل خاضعًا لحماية مناسبة بموجب الفصل الخامس من اللائحة العامة لحماية البيانات.

7.1 آليات النقل

• قرار الملاءمة (المادة 45 من اللائحة العامة لحماية البيانات)، حيثما ينطبق.

• بنود التعاقد القياسية ("SCCs") المعتمدة من قبل المفوضية الأوروبية (المادة 46 من اللائحة العامة لحماية البيانات)، حيثما ينطبق.

• آليات قانونية أخرى معترف بها بموجب الفصل الخامس من اللائحة العامة لحماية البيانات، حيثما ينطبق.

حيثما تكون بنود التعاقد القياسية مطلوبة، يتفق الأطراف على استخدام بنود التعاقد القياسية المعتمدة من قبل قرار تنفيذ المفوضية (الاتحاد الأوروبي) 2021/914، مع الوحدة (الوحدات) المناسبة للعلاقة (عادةً من المتحكم إلى المعالج). يتم تضمين بنود التعاقد القياسية بالإشارة وتطبق بالقدر المطلوب للنقل.

8. الأمان (المادة 32 من اللائحة العامة لحماية البيانات)

يجب على المعالج تنفيذ وصيانة تدابير تنظيمية وتقنية مناسبة كما هو موضح في الملحق 2. يمكن للمعالج تحديث التدابير بمرور الوقت لتعكس المخاطر والتكنولوجيا المتطورة، شريطة ألا يتدهور مستوى الأمان العام بشكل مادي.

9. إشعار خرق البيانات الشخصية

يجب على المعالج إبلاغ العميل دون تأخير غير مبرر بعد أن يصبح على علم بخرق بيانات شخصية يؤثر على بيانات العميل. سيتضمن الإشعار، بقدر ما هو متاح، طبيعة الخرق، والفئات وعدد الأشخاص المتأثرين والسجلات المتأثرة، والعواقب المحتملة، والتدابير المتخذة أو المقترحة لمعالجة الخرق. سيتعاون المعالج مع الطلبات المعقولة للعميل للحصول على معلومات إضافية.

10. المساعدة في طلبات موضوع البيانات

مع الأخذ في الاعتبار طبيعة المعالجة، يجب على المعالج مساعدة العميل من خلال تدابير تقنية وتنظيمية مناسبة، بقدر الإمكان، لتلبية طلبات موضوع البيانات لممارسة حقوقهم بموجب الفصل الثالث من اللائحة العامة لحماية البيانات. إذا تلقى المعالج طلبًا مباشرة من موضوع البيانات يتعلق ببيانات العميل، يجب على المعالج، ما لم يكن محظورًا قانونيًا، أن يحيل الطلب بسرعة إلى العميل وألا يرد إلا بناءً على تعليمات موثقة من العميل.

11. معلومات التدقيق والامتثال

يجب على المعالج توفير المعلومات اللازمة لإثبات الامتثال لهذا الاتفاق. يمكن أن يتم إجراء التدقيق من قبل العميل أو مدقق مستقل مفوض من قبل العميل، وذلك وفقًا للشروط التالية:

• يجب أن تكون طلبات التدقيق معقولة، ومتناسبة، ومحدودة بأنشطة المعالجة التي تغطيها هذه الاتفاقية.

• يجب جدولة التدقيق بإشعار مسبق معقول وخلال ساعات العمل العادية، ما لم يبرر خرق أو متطلبات قانونية عاجلة تسريع التوقيت.

• يجب إجراء التدقيق بطريقة تتجنب الاضطراب غير الضروري وتحمي سرية وأمان العملاء الآخرين وأنظمة المعالج.

• يتحمل العميل تكاليف التدقيق الخاصة به ويقوم بتعويض المعالج عن الوقت المعقول الذي تم قضاؤه في دعم التدقيق، ما لم يكشف التدقيق عن خرق مادي لهذا الاتفاق من قبل المعالج.

12. حذف البيانات وإعادتها

عند إنهاء أو انتهاء الخدمات التي تتضمن المعالجة بموجب هذا الاتفاق، يجب على المعالج، حسب اختيار العميل، حذف بيانات العميل أو إعادتها، وحذف النسخ الموجودة، ما لم يكن التخزين مطلوبًا بموجب قانون الاتحاد أو قانون الدولة العضو. حيث يتم اختيار الحذف، سيقوم المعالج بحذف بيانات العميل من الأنظمة النشطة خلال فترة معقولة تجاريًا وقد يحتفظ بنسخ احتياطية محدودة لفترة محدودة تتماشى مع ممارسات الأمان واستعادة الكوارث.

13. السرية

يجب على المعالج التعامل مع بيانات العميل على أنها سرية ويجب أن يضمن أن الأشخاص المخولين بمعالجة بيانات العميل ملزمون بالسرية. هذه الالتزام هو بالإضافة إلى أي أحكام سرية في الاتفاق الرئيسي.

14. المسؤولية

تتبع المسؤولية بموجب هذه الاتفاقية توزيع المسؤولية في الاتفاقية الرئيسية، ما لم يتطلب القانون الإلزامي خلاف ذلك. لا شيء في هذه الاتفاقية يحد من مسؤولية أي من الطرفين حيث لا يُسمح بهذا التقييد بموجب القانون المعمول به.

15. ترتيب الأولويات

في حالة وجود تعارض بين هذه الاتفاقية والاتفاقية الرئيسية، تسود هذه الاتفاقية فيما يتعلق بالتزامات حماية البيانات، ما لم يتفق الطرفان صراحة على خلاف ذلك كتابةً. تشكل الملحقات جزءًا من هذه الاتفاقية.

16. الاتصال

جهة الاتصال بالمعالج لمسائل حماية البيانات:

سفيان بودراجة

شارع والد، 74، 65451 كيلسترباخ، هيس، ألمانيا

البريد الإلكتروني: Soufiane.Boudarraja@soufbouda.com

الهاتف: +49 152 2717 9992

الملحق 1: تفاصيل المعالجة (المادة 28(3) من اللائحة العامة لحماية البيانات)

يصف هذا الملحق تفاصيل المعالجة النموذجية لخدمات النظام البيئي حيث يعمل سفيان بودراجة كمعالج. يمكن للأطراف تحسين هذه التفاصيل في بيان العمل أو نموذج الطلب الخاص بالتعاقد المحدد.

أ. موضوع المعالجة

• تقديم خدمات الاستشارات، والمشورة، والحكم التشغيلي، والتمكين، والتدريب، والتحول.

• توفير البرمجيات، والأتمتة، وخدمات الدعم ذات الصلة (بما في ذلك محرك الخروج ومساعد الخروج) حيث يقدم العميل بيانات شخصية للمعالجة.

• توفير البحث، والتشخيصات، وإثراء البيانات، وتمكين الوصول، والنتائج ذات الصلة حيث يقدم العميل بيانات شخصية أو يوجه معالجة البيانات الشخصية.

ب. المدة

لفترة الاتفاق الرئيسي وأي فترة انتقالية مطلوبة لإرجاع أو حذف بيانات العميل، وفقًا للقسم 12.

ج. طبيعة المعالجة

• جمع، استلام، تسجيل، تنظيم، هيكلة، تخزين، تعديل، استشارة، استخدام، إفشاء عن طريق النقل (عند الطلب)، محاذاة، دمج، تقييد، مسح، وتدمير بيانات العميل.

• إدارة المستخدمين والتحكم في الوصول لمساحات العمل المشتركة حيثما كان ذلك مناسبًا.

• إنشاء تقارير، لوحات معلومات، ونتائج تشغيلية باستخدام بيانات العميل عند الطلب.

د. غرض المعالجة

• تقديم الخدمات كما هو موضح من قبل العميل.

• تشغيل وتأمين بيئة الخدمة ، بما في ذلك المصادقة ، والتسجيل ، والمراقبة ، والاستجابة للحوادث.

• تقديم الدعم ، واستكشاف الأخطاء ، وتحسين الخدمة المتعلقة بتفاعل العملاء.

هـ. فئات موضوعات البيانات

• موظفو العملاء والمقاولون والمستخدمون المعتمدون.

• عملاء العملاء ، والآفاق ، والقيادات ، والموردون ، وجهات الاتصال التجارية ، كما هو موفر أو موصى به من قبل العميل.

• أفراد آخرون الذين يقدم العميل بياناتهم بشكل قانوني للمعالجة فيما يتعلق بالخدمات.

F. أنواع البيانات الشخصية

• بيانات الهوية والاتصال (الاسم، الدور، البريد الإلكتروني التجاري، الهاتف التجاري، الشركة، المسمى الوظيفي، الموقع).

• بيانات التواصل والتفاعل (البريد الإلكتروني، الرسائل، ملاحظات الاجتماعات، ملخصات المكالمات، الردود) كما قدمها العميل.

• بيانات الحساب والوصول (معرفات المستخدم، بيانات تسجيل الدخول، الأذونات) حيث يتم استخدام مساحات العمل المشتركة.

• بيانات العلاقة التجارية (تعيينات الحسابات، بيانات خط الأنابيب، حالة التواصل، بيانات جدولة الاجتماعات).

• البيانات الفنية اللازمة لتشغيل الخدمات (معرفات الأجهزة، السجلات، عناوين IP، الطوابع الزمنية) حيثما كان ذلك مناسبًا.

الفئات الخاصة من البيانات (المادة 9 من اللائحة العامة لحماية البيانات) لا يُقصد بها أن تتم معالجتها. إذا طلب العميل معالجة الفئات الخاصة أو بيانات الجرائم (المادة 10 من اللائحة العامة لحماية البيانات)، يجب على الأطراف الاتفاق على تدابير إضافية كتابيًا قبل حدوث هذه المعالجة.

الملحق 2: التدابير الفنية والتنظيمية (TOMs)

تصف التدابير الفنية والتنظيمية أدناه وضع أمان أساسي لخدمات النظام البيئي. قد تختلف التدابير الفعلية اعتمادًا على الخدمة وأدواتها. يحتفظ المعالج بتدابير مناسبة للمخاطر وقد يقدم تفاصيل TOM محددة حسب الطلب.

أ. التدابير التنظيمية

• التزامات السرية لأي أشخاص مخولين لديهم وصول إلى بيانات العميل.

• ضوابط الوصول بناءً على مبدأ أقل امتياز ومبدأ الحاجة إلى المعرفة.

• ممارسات تقليل البيانات للنتائج والملفات المشتركة حيثما كان ذلك ممكنًا.

• عملية استجابة الحوادث لتحديد واحتواء والتحقيق في أحداث الأمان وإصلاحها.

• اختيار البائع والأداة الموجه من خلال ملحق أدوات ومزودي البيانات من الطرف الثالث.

ب. التدابير الفنية

• أمان الحساب: ممارسات المصادقة القوية، بما في ذلك المصادقة متعددة العوامل حيثما تدعمها المنصة.

• التشفير أثناء النقل باستخدام TLS للخدمات المستندة إلى الويب حيثما تدعم؛ التشفير أثناء الراحة حيثما يدعمه المزودون.

• تكوين آمن للأجهزة المستخدمة في تقديم الخدمة (تحديثات نظام التشغيل، حماية من البرمجيات الضارة، تشفير القرص حيثما يتوفر).

• تسجيل ومراقبة مناسبة لسياق الخدمة، مع ضوابط وصول للسجلات.

• ممارسات النسخ الاحتياطي والاسترداد المناسبة للأدوات المستخدمة، مع وصول متحكم فيه واحتفاظ.

• فصل بيانات العملاء باستخدام مساحات عمل منفصلة، أو مجلدات، أو تدابير فصل منطقية حيثما كان ذلك مدعومًا.

ج. التوفر والمرونة

• استخدام خدمات استضافة وسحابة موثوقة حيثما كان ذلك مناسبًا.

• تخطيط مستمر معقول بناءً على نطاق المشاركة.

د. الاختبار والتحسين

• تحديثات منتظمة للبرامج والاعتماديات حيثما كان ذلك مناسبًا.

• مراجعة أذونات الوصول بشكل دوري للمشاركات النشطة.

الملحق 3: المعالجات الفرعية

يمكن استخدام المعالجات الفرعية اعتمادًا على الخدمات والأدوات المختارة من قبل العميل. يتم الاحتفاظ بوصف لفئات الأدوات التابعة لجهات خارجية ومقدمي الخدمات النموذجيين المستخدمين في النظام البيئي في ملحق أدوات الجهات الخارجية ومقدمي البيانات (السياسة 14). إذا طلب العميل قائمة بالمعالجات الفرعية المحددة المستخدمة في ارتباط معين، سيقوم المعالج بتقديمها عند الطلب.