اتفاقية معالجة بيانات محرك الإصدار

1. الأطراف والنطاق

تشكل اتفاقية معالجة البيانات هذه ("DPA") جزءًا من الإطار التعاقدي بين:

1) العميل ("المتحكم"):الكيان الذي يحدد أغراض ووسائل معالجة البيانات الشخصية، و

2) سفيان بودراجة ("المعالج"):مقدم الخدمة الذي يعالج البيانات الشخصية نيابةً عن العميل.

تنطبق اتفاقية معالجة البيانات هذه على منظومة سفيان بودراجة (المنظومة) حيث، وفقط حيث، يعالج سفيان بودراجة البيانات الشخصية نيابةً عن العميل كمعالج فيما يتعلق بـ "الخدمات".

إذا كان سفيان بودراجة يعمل كمتحكم مستقل (على سبيل المثال، زوار الموقع الإلكتروني، أو العملاء المباشرين للمنتجات الرقمية، أو مشتري الطباعة عند الطلب)، فإن سياسة الخصوصية تُطبق بدلاً من هذه الاتفاقية. اتفاقية حماية البيانات. إذا تصرف الطرفان كجهة تحكم منفصلة (جهة تحكم إلى جهة تحكم)، فإن اتفاقية حماية البيانات هذه لا تنطبق إلا إذا تم الاتفاق عليها كتابةً.

2. التعريفات

"GDPR" تعنياللائحة (الاتحاد الأوروبي) 2016/679.

"البيانات الشخصية"، و"المعالجة"، و"المتحكم"، و"المعالج"، و"سلطة الإشراف"لها المعاني المحددة في اللائحة العامة لحماية البيانات (GDPR).

"بيانات العميل" تعنيالبيانات الشخصية التي يعالجها المعالج نيابةً عن العميل بموجب اتفاقية حماية البيانات هذه.

"المعالج الفرعي" يعنيطرفًا ثالثًا يتعاقد معه المعالج لمعالجة بيانات العميل نيابةً عن العميل.

"الخدمات" تعنيالخدمات المهنية والبرامج والمنتجات المقدمة بموجب العقد أو بيان العمل أو نموذج الطلب أو الاتفاقية المماثلة المعمول بها ( "الاتفاقية الرئيسية").

3. تفاصيل المعالجة

يُوضح الملحق 1 (تفاصيل المعالجة) موضوع المعالجة ومدتها وطبيعتها والغرض منها، بالإضافة إلى أنواع البيانات الشخصية وفئات أصحاب البيانات. ستقتصر المعالجة على ما هو ضروري لتقديم الخدمات.

4. التزامات المعالج

يجب على المعالج ما يلي:

1. معالجة بيانات العميل فقط بناءً على تعليمات موثقة من العميل، بما في ذلك ما يتعلق بنقل البيانات الشخصية إلى دولة ثالثة أو منظمة دولية، ما لم يكن ذلك مطلوبًا بموجب قانون الاتحاد أو الدولة العضو؛ في هذه الحالة، يجب على المعالج إبلاغ العميل بهذا الشرط القانوني قبل المعالجة، ما لم يحظر القانون تقديم هذه المعلومات لأسباب تتعلق بالمصلحة العامة.

2. التأكد من أن الأشخاص المصرح لهم بمعالجة بيانات العميل قد التزموا بالسرية أو يخضعون لالتزام قانوني مناسب بالسرية.

3. تطبيق الإجراءات التقنية المناسبة و

4. اتخاذ تدابير تنظيمية ("TOMs") لضمان مستوى أمان مناسب للمخاطر، كما هو موضح في الملحق 2، مع مراعاة المادة 32 من اللائحة العامة لحماية البيانات (GDPR).

5. احترام شروط التعاقد مع المعالجين الفرعيين كما هو موضح في القسم 6.

6. مساعدة العميل من خلال تدابير فنية وتنظيمية مناسبة، قدر الإمكان، لـ الوفاء بالتزام العميل بالاستجابة لطلبات ممارسة حقوق صاحب البيانات بموجب الفصل الثالث من اللائحة العامة لحماية البيانات (GDPR).

7. مساعدة العميل في ضمان الامتثال للالتزامات المنصوص عليها في المواد من 32 إلى 36 من اللائحة العامة لحماية البيانات (الأمن، والإخطار بالاختراق، وتقييمات أثر حماية البيانات، والتشاور المسبق)، مع مراعاة طبيعة المعالجة والمعلومات المتاحة للمعالج.

8. في يُترك للعميل الخيار في حذف أو إعادة جميع بياناته بعد انتهاء تقديم الخدمات المتعلقة بالمعالجة، وحذف النسخ الموجودة ما لم ينص قانون الولاية أو الاتحاد أو العضو على ضرورة الاحتفاظ بها.

توفير جميع المعلومات اللازمة للعميل لإثبات الامتثال لاتفاقية حماية البيانات هذه، والسماح بإجراء عمليات التدقيق، بما في ذلك عمليات التفتيش، التي يجريها العميل أو جهة أخرى، والمساهمة فيها. المدقق الذي يفوضه العميل، وفقًا للقسم 11.

5. التزامات العميل

• يجب على العميل ما يلي:

• التأكد من وجود أساس قانوني لديه لمعالجة بيانات العميل ولتوجيه المعالج لمعالجة بيانات العميل.

• تقديم تعليمات موثقة والتأكد من أن هذه التعليمات تتوافق مع القانون المعمول به.

• التأكد من تقديم إشعارات الشفافية إلى أصحاب البيانات عند الاقتضاء، بما في ذلك استخدام المعالجات و التحويلات الدولية.

• تحمل مسؤولية دقة وجودة وشرعية بيانات العميل المقدمة إلى المعالج.

تكوين واستخدام أي أدوات خارجية يختارها أو يتحكم بها بطريقة متوافقة، بما في ذلك أذونات المستخدم وإعدادات الاحتفاظ.

6. المعالجون الفرعيون

يمنح العميل المعالج تفويضًا عامًا لإشراك معالجين فرعيين لمعالجة بيانات العميل لأغراض تقديم الخدمات، وفقًا للشروط الواردة أدناه.

• 6.1 شروط المعالج الفرعي

• يفرض المعالج على كل معالج فرعي التزامات لحماية البيانات مماثلة لتلك المنصوص عليها في اتفاقية حماية البيانات هذه، بما في ذلك تدابير الأمان المناسبة.

يظل المعالج مسؤولاً عن أداء المعالج الفرعي لالتزاماته.

6.2 قائمة المعالجات الفرعية وتحديثاتها

تُحفظ قائمة محدّثة بفئات المعالجات الفرعية وأنواع الأدوات المستخدمة في النظام البيئي في ملحق أدوات الطرف الثالث وموفري البيانات (السياسة 14). بالنسبة للتعاقدات الخاصة بالعميل، قد تعتمد المعالجات الفرعية المطبقة على الخدمات والأدوات التي يختارها العميل.

عندما يُدخل تغييرٌ ما معالجًا فرعيًا جديدًا سيعالج بيانات العميل لتعاقد مستمر، سيُقدّم المعالج إشعارًا مسبقًا كلما أمكن ذلك بشكل معقول. يحق للعميل الاعتراض لأسباب معقولة تتعلق بحماية البيانات. إذا لم يتمكن الطرفان من حل الاعتراض، فيجوز لأي منهما إنهاء الجزء المتأثر من الخدمات، دون أي غرامة تتجاوز الرسوم المستحقة عن العمل المنجز حتى تاريخ الإنهاء، ما لم ينص الاتفاق الرئيسي على خلاف ذلك.

7. التحويلات الدولية

يجب معالجة بيانات العملاء داخل المنطقة الاقتصادية الأوروبية ("EEA") بشكل افتراضي حيثما تسمح الخدمات والأدوات المختارة بذلك. عند نقل بيانات العميل خارج المنطقة الاقتصادية الأوروبية، يخضع النقل لضمانات مناسبة بموجب الفصل الخامس من اللائحة العامة لحماية البيانات (GDPR).

• 7.1 آليات النقل

• قرار كفاية الحماية (المادة 45 من اللائحة العامة لحماية البيانات)، حيثما ينطبق.

• البنود التعاقدية القياسية ("البنود التعاقدية القياسية") التي اعتمدتها المفوضية الأوروبية (المادة 46 من اللائحة العامة لحماية البيانات)، حيثما ينطبق.

آليات قانونية أخرى معترف بها بموجب

يُخطر المعالج العميل دون تأخير غير مبرر فور علمه بخرق بيانات شخصية يؤثر على بيانات العميل. ويتضمن الإشعار، قدر الإمكان، طبيعة الخرق، وفئات وعدد الأفراد والسجلات المتأثرة، والآثار المحتملة، والتدابير المتخذة أو المقترحة لمعالجة الخرق. ويتعاون المعالج مع طلبات العميل المعقولة للحصول على معلومات إضافية.

10. المساعدة في طلبات الأفراد

مع مراعاة طبيعة المعالجة، يُساعد المعالج العميل من خلال اتخاذ تدابير فنية وتنظيمية مناسبة، قدر الإمكان، لتلبية طلبات الأفراد لممارسة حقوقهم بموجب الفصل الثالث من اللائحة العامة لحماية البيانات (GDPR).

إذا تلقى المعالج طلبًا مباشرًا من صاحب البيانات يتعلق ببيانات العميل، فيجب على المعالج، ما لم يكن ذلك محظورًا قانونًا، إحالة الطلب إلى العميل على الفور، ولن يستجيب إلا بناءً على تعليمات العميل الموثقة.

11. عمليات التدقيق ومعلومات الامتثال

يجب على المعالج توفير المعلومات اللازمة لإثبات الامتثال لاتفاقية حماية البيانات هذه.

يجوز للعميل أو مدقق حسابات مستقل يُعيّنه العميل إجراء عمليات التدقيق، وذلك وفقًا للشروط التالية:

يجب أن تكون طلبات التدقيق معقولة ومتناسبة ومقتصرة على أنشطة المعالجة التي يغطيها هذا الاتفاق.

• يجب جدولة عمليات التدقيق بإشعار مسبق معقول وخلال ساعات العمل الرسمية، ما لم يبرر خرق أو متطلب قانوني عاجل تسريع الجدول الزمني.

• يجب إجراء عمليات التدقيق بطريقة تضمن يتجنب حدوث أي اضطراب غير ضروري ويحمي سرية وأمن العملاء الآخرين وأنظمة المعالج.

• يتحمل العميل تكاليف التدقيق الخاصة به، ويسدد للمعالج مقابل الوقت المعقول الذي يقضيه في دعم التدقيق، ما لم يكشف التدقيق عن خرق جوهري لاتفاقية حماية البيانات هذه من قبل المعالج.

• 12. حذف البيانات وإعادتها

عند إنهاء أو انتهاء صلاحية الخدمات التي تتضمن معالجة بموجب اتفاقية حماية البيانات هذه، يقوم المعالج، بناءً على اختيار العميل، بحذف بيانات العميل أو إعادتها، وحذف النسخ الموجودة، ما لم يكن التخزين مطلوبًا بموجب قانون الاتحاد أو الدولة العضو. في حالة اختيار الحذف، يقوم المعالج بحذف بيانات العميل من الأنظمة النشطة خلال فترة معقولة تجاريًا، ويجوز له الاحتفاظ بنسخ احتياطية محدودة لفترة محدودة بما يتوافق مع ممارسات الأمن والتعافي من الكوارث.

13. السرية

يتعامل المعالج مع بيانات العميل على أنها سرية، ويضمن أن يكون الأشخاص المصرح لهم بمعالجة بيانات العميل ملتزمين بالسرية. هذا الالتزام هو إضافة إلى أي أحكام سرية في الاتفاقية الرئيسية.

14. المسؤولية

تتبع المسؤولية بموجب اتفاقية حماية البيانات هذه توزيع المسؤولية في الاتفاقية الرئيسية، ما لم ينص القانون الإلزامي على خلاف ذلك.لا يُقيّد أي بند في اتفاقية حماية البيانات هذه مسؤولية أي من الطرفين حيثما لا يسمح القانون المعمول به بهذا التقييد.

15. ترتيب الأولوية

في حال وجود تعارض بين اتفاقية حماية البيانات هذه والاتفاقية الرئيسية، تسود اتفاقية حماية البيانات هذه فيما يتعلق بالتزامات حماية البيانات، ما لم يتفق الطرفان صراحةً كتابةً على خلاف ذلك. تُعدّ الملاحق جزءًا من اتفاقية حماية البيانات هذه.

16. جهة الاتصال

جهة اتصال المعالج لشؤون حماية البيانات:

سفيان بودراجا

Soufiane Boudarraja

شارع والد 74، 65451 كيلسترباخ، هيسن، ألمانيا

Email: Soufiane.Boudarraja@soufbouda.com

البريد الإلكتروني: Soufiane.Boudarraja@soufbouda.com

الهاتف: +49 152 2717 9992

الملحق 1: تفاصيل المعالجة (المادة 28(3) من اللائحة العامة لحماية البيانات)

يصف هذا الملحق تفاصيل المعالجة النموذجية لخدمات النظام البيئي حيث يعمل سفيان بودراجا كمعالج. بالنسبة لمهمة محددة، يجوز للأطراف توضيح هذه التفاصيل في بيان العمل أو نموذج الطلب.

• أ. الموضوع

• تقديم خدمات الاستشارات، والتوجيه، والحوكمة التشغيلية، والتمكين، والتدريب، والتحول.

• توفير البرمجيات، والأتمتة، وخدمات الدعم ذات الصلة (بما في ذلك محرك Outbound ومساعد Outbound) حيث يقدم العميل بيانات شخصية للمعالجة.

توفير البحوث، والتشخيص، وإثراء البيانات، وتمكين التواصل، والمخرجات ذات الصلة حيث يقدم العميل بيانات شخصية أو يوجه بمعالجة البيانات الشخصية.

ب. المدة

لمدة الاتفاقية الرئيسية وأي فترة انتقالية سارية مطلوبة لإعادة بيانات العميل أو حذفها، وفقًا للقسم 12.

• ج. طبيعة المعالجة

• جمع بيانات العملاء واستلامها وتسجيلها وتنظيمها وهيكلتها وتخزينها وتكييفها والاستشارات المتعلقة بها واستخدامها والإفصاح عنها عن طريق الإرسال (عند التوجيه بذلك) ومواءمتها ودمجها وتقييدها ومسحها وإتلافها.

• إدارة المستخدمين والتحكم في الوصول إلى مساحات العمل المشتركة عند الاقتضاء.

إنشاء التقارير ولوحات المعلومات و المخرجات التشغيلية باستخدام بيانات العميل عند التوجيه بذلك.

• D. الغرض من المعالجة

• تقديم الخدمات وفقًا لتعليمات العميل.

• تشغيل بيئة الخدمة وتأمينها، بما في ذلك المصادقة والتسجيل والمراقبة والاستجابة للحوادث.

تقديم الدعم واستكشاف الأخطاء وإصلاحها وتحسين الخدمة المتعلقة بتفاعل العميل.

• E. فئات أصحاب البيانات

• موظفو العميل، والمتعاقدون معه، والمستخدمون المصرح لهم.

• عملاء العميل، والعملاء المحتملون، والعملاء المتوقعون، والموردون، وجهات الاتصال التجارية، كما هو مقدم أو موجّه من قبل العميل.

أفراد آخرون يقدم العميل بياناتهم بشكل قانوني للمعالجة فيما يتعلق بالخدمات.

• F. أنواع البيانات الشخصية

• بيانات الهوية والاتصال (الاسم، الوظيفة، البريد الإلكتروني للعمل، هاتف العمل، الشركة، المسمى الوظيفي، الموقع).

• بيانات التواصل والتفاعل (رسائل البريد الإلكتروني، الرسائل النصية، محاضر الاجتماعات، ملخصات المكالمات، الردود) كما يقدمها العميل.

• بيانات الحساب والوصول (معرفات المستخدم، بيانات تسجيل الدخول، الأذونات) حيث توجد مساحات العمل المشتركة مستخدمة.

• بيانات علاقات العمل (تخصيصات الحساب، بيانات خط الأنابيب، حالة التواصل، بيانات تعريف جدولة الاجتماعات).

البيانات التقنية اللازمة لتشغيل الخدمات (معرفات الأجهزة، السجلات، عناوين IP، الطوابع الزمنية) حيثما ينطبق ذلك.

لا يُقصد معالجة فئات البيانات الخاصة (المادة 9 من اللائحة العامة لحماية البيانات). إذا طلب العميل معالجة بيانات الفئات الخاصة أو بيانات الجرائم الجنائية (المادة 10 من اللائحة العامة لحماية البيانات)، فيجب على الطرفين الاتفاق كتابيًا على ضمانات إضافية قبل إجراء هذه المعالجة.

الملحق 2: التدابير التقنية والتنظيمية

تصف التدابير التقنية والتنظيمية أدناه الوضع الأمني الأساسي لخدمات النظام البيئي. قد تختلف التدابير الفعلية حسب الخدمة ومجموعة الأدوات. يحتفظ المعالج بتدابير مناسبة للمخاطر، وقد يقدم تفاصيل التدابير التقنية والتنظيمية الخاصة بكل حالة عند الطلب.

• أ. التدابير التنظيمية

• التزامات السرية لأي شخص مُصرَّح له بالوصول إلى بيانات العميل.

• ضوابط الوصول القائمة على مبدأ أقل الامتيازات ومبدأ الحاجة إلى المعرفة.

• ممارسات تقليل البيانات للمخرجات والملفات المشتركة حيثما أمكن ذلك.

• عملية الاستجابة للحوادث لتحديد الحوادث واحتوائها والتحقيق فيها، ومعالجة الأحداث الأمنية.

اختيار البائع والأداة وفقًا لملحق أدوات الطرف الثالث وموفري البيانات.

• ب. التدابير التقنية

• أمان الحساب: ممارسات المصادقة القوية، بما في ذلك المصادقة متعددة العوامل حيثما تدعمها المنصة.

• التشفير أثناء النقل باستخدام TLS للخدمات المستندة إلى الويب حيثما يدعمها؛ التشفير في حالة السكون حيثما يدعمه مزودو الخدمة.

• تكوين آمن للأجهزة المستخدمة لتقديم الخدمة (تحديثات نظام التشغيل، والحماية من البرامج الضارة، وتشفير القرص حيثما كان ذلك متاحًا).

• التسجيل والمراقبة بما يتناسب مع سياق الخدمة، مع ضوابط الوصول إلى السجلات.

• ممارسات النسخ الاحتياطي والاستعادة بما يتناسب مع الأدوات المستخدمة، مع تحكم في الوصول و الاحتفاظ.

فصل بيانات العملاء باستخدام مساحات عمل أو مجلدات أو تدابير فصل منطقية منفصلة حيثما كان ذلك مدعومًا.

• ج. التوافر والمرونة

• استخدام خدمات استضافة وحوسبة سحابية ذات سمعة طيبة عند الاقتضاء.

تخطيط استمرارية معقول بناءً على حجم المشاركة.

• د. الاختبار والتحسين

• تحديثات منتظمة للبرامج والتبعيات عند الاقتضاء.

مراجعة أذونات الوصول بشكل دوري للتفاعلات النشطة.

الملحق 3: المعالجات الفرعية