اتفاقية معالجة البيانات

تسري هذه الاتفاقية على كل بيانات شخصية يرفعها العميل أو مستخدموه إلى المنصة أو تُنشأ فيها عن موظفيه وسكّان مواقعه وعملائه ومورّديه وأي أفراد آخرين. العميل هو المتحكم الذي يحدد أغراض المعالجة ووسائلها، ونحن المعالج الذي يعالجها نيابةً عنه. وتغطي المعالجة: التخزين، والعرض، والتنظيم، والتعديل، والنسخ الاحتياطي، والتصدير، والحذف، وأي تشغيل آلي تتيحه مزايا المنصة.

فئات البيانات المعتادة: بيانات التعريف والاتصال، بيانات التوظيف والرواتب والحضور، بيانات الوحدات السكنية والسكّان، بيانات العملاء والعقود والفواتير، والمواقع الجغرافية والصور عند تفعيلها. لا يجوز للعميل رفع بيانات حساسة (كالبيانات الصحية أو البيومترية) إلا بالقدر الذي يجيزه النظام وبعد اتخاذه الإجراءات اللازمة.

نعالج البيانات الشخصية فقط وفق تعليمات العميل الموثّقة، وتُعد شروط الاستخدام وإعدادات المنشأة والإجراءات التي ينفذها مستخدمو العميل داخل المنصة تعليمات موثّقة. إذا رأينا أن تعليمة تخالف النظام أبلغنا العميل بذلك دون تأخير. لا نعالج البيانات لأغراضنا الخاصة، باستثناء ما يلزم لتأمين المنصة أو الوفاء بالتزام نظامي، وفي هذه الحالة نُشعر العميل ما لم يمنعنا النظام.

نقصر الوصول إلى البيانات الشخصية على العاملين والمتعاقدين الذين يحتاجون إليه لأداء مهامهم، ونُلزمهم بالتزامات سرية مكتوبة، ونوفر لهم التوعية اللازمة بحماية البيانات. وصول فريق الدعم إلى بيانات المنشأة لا يتم إلا بمنح صريح من مدير المنشأة ولمدة محددة ويُسجَّل في سجل التدقيق.

يفوّض العميل استعانتنا بمعالجين من الباطن لتشغيل المنصة، وقائمتهم الحالية مع الغرض والموقع منشورة في صفحة معالجي البيانات من الباطن. نُلزم كل معالج من الباطن تعاقدياً بالتزامات حماية بيانات لا تقل عن الواردة في هذه الاتفاقية، ونبقى مسؤولين أمام العميل عن أدائه.

نُشعر العميل بأي إضافة أو استبدال لمعالج من الباطن قبل ثلاثين يوماً على الأقل من سريانه عبر البريد الإلكتروني أو داخل المنصة. يحق للعميل الاعتراض كتابياً لأسباب مشروعة تتعلق بحماية البيانات خلال تلك المدة، وإذا تعذّر التوصل إلى حل يجوز له إنهاء الاشتراك واسترداد ما دُفع مقدّماً عن المدة غير المستخدمة.

نطبّق إجراءات تنظيمية وتقنية مناسبة لطبيعة البيانات ومخاطر معالجتها، وتشمل على الأقل:

• التشفير أثناء النقل وتشفير بيانات الاعتماد الحساسة في التخزين، وتجزئة كلمات المرور.
• عزل بيانات كل منشأة على مستوى طبقة الوصول إلى قاعدة البيانات.
• الصلاحيات بحسب الأدوار، والتحقق بخطوتين، وتسجيل الدخول الموحّد، وسجل تدقيق للعمليات الحساسة.
• حدود معدل الطلبات، والحماية من الروبوتات، والنسخ الاحتياطي الدوري واختبار الاستعادة.
• إدارة الثغرات وتحديث المكوّنات، ومراجعة الصلاحيات الداخلية بشكل دوري.

نحدّث هذه الإجراءات مع تطور المخاطر، ولا نخفض مستوى الحماية الإجمالي خلال مدة الاتفاقية.

توفر المنصة أدوات تمكّن العميل من الاستجابة لطلبات أصحاب البيانات بنفسه (الاطلاع، التصحيح، التصدير، الحذف). وإذا تلقينا طلباً مباشراً من صاحب بيانات يخص بيانات العميل أحلناه إلى العميل دون تأخير ولم نستجب له إلا بتعليمات منه أو بموجب النظام. نساعد العميل، بالقدر المعقول وبحسب المعلومات المتاحة لنا، في تقييم أثر المعالجة والتشاور مع الجهة المختصة عند الحاجة، ويجوز أن تكون المساعدة التي تتجاوز أدوات المنصة مقابل رسوم معقولة.

نُشعر العميل بأي حادثة اختراق للبيانات الشخصية تمس بياناته دون تأخير غير مبرر وخلال 72 ساعة كحد أقصى من تأكيدها، مع وصف طبيعة الحادثة، وفئات البيانات وأصحاب البيانات المتأثرين وأعدادهم التقريبية، والآثار المحتملة، والإجراءات المتخذة أو المقترحة، وبيانات التواصل لمزيد من المعلومات. ونقدّم المعلومات على مراحل إذا لم تتوفر كاملة دفعة واحدة. ولا يُعد الإشعار إقراراً بالمسؤولية.

عند انتهاء الاشتراك أو طلب حذف المنشأة يتاح للعميل تصدير بياناته كاملة بصيغ قابلة للقراءة آلياً خلال ثلاثين يوماً. بعدها نحذف بيانات العميل من الأنظمة النشطة، وتُزال من النسخ الاحتياطية وفق دورة الاحتفاظ التي لا تتجاوز خمسة وثلاثين يوماً، باستثناء ما يلزمنا النظام بالاحتفاظ به (كالسجلات المالية والفواتير الضريبية) الذي يُحفظ معزولاً ولا يُعالج لغير ذلك الغرض. ونقدّم تأكيداً كتابياً بالحذف عند طلب العميل.

نتيح للعميل، عند الطلب وبما لا يزيد عن مرة سنوياً (أو عقب حادثة أمنية)، المعلومات اللازمة لإثبات التزامنا بهذه الاتفاقية، بما في ذلك وصف الإجراءات الأمنية وتقارير التدقيق أو الشهادات المتاحة لدينا أو لدى معالجينا من الباطن. وإذا لم تكفِ هذه المعلومات جاز للعميل إجراء تدقيق على نفقته بواسطة مدقق مستقل ملتزم بالسرية، بإشعار مسبق لا يقل عن ثلاثين يوماً وفي أوقات العمل وبما لا يخل بأمن بقية العملاء.

المنصة مستضافة حالياً لدى مزوّدي سحابة خارج المملكة (الولايات المتحدة) وتُطبَّق ضوابط النقل وفق نظام حماية البيانات الشخصية؛ للجهات التي تشترط الاستضافة داخل المملكة تتوفر خطة استضافة محلية. يقرّ العميل بقبول هذا الترتيب بصفته متحكماً، ونلتزم بإشعاره قبل أي تغيير في مواقع الاستضافة بثلاثين يوماً على الأقل.

تسري هذه الاتفاقية طوال مدة معالجتنا لبيانات العميل. عند التعارض بينها وبين شروط الاستخدام فيما يخص البيانات الشخصية تُقدَّم أحكام هذه الاتفاقية. تخضع مسؤولية كل طرف لحدود المسؤولية الواردة في شروط الاستخدام بالقدر الذي يجيزه النظام. تخضع الاتفاقية لأنظمة المملكة العربية السعودية وتختص محاكم الرياض بأي نزاع ينشأ عنها. للتواصل بشأنها: [البريد الإلكتروني].