تُعدّ اتفاقية معالجة البيانات هذه ("اتفاقية معالجة البيانات") ملحقًا للاتفاقية المبرمة بين الشركة والعميل، وتُحدد أدوار كل طرف في معالجة ومراقبة البيانات الشخصية التي يُقدمها العميل للشركة كجزء من خدمة الاشتراك. أي مصطلح مكتوب بأحرف كبيرة وغير مُعرّف هنا، يكون له المعنى المُحدد له في الاتفاقية. تنتهي هذه الاتفاقية تلقائيًا بانتهاء أو انقضاء مدة الاتفاقية. لا يُؤثر أي بند في هذه الاتفاقية على تطبيق القانون الحاكم والاختصاص القضائي بموجب الاتفاقية، والذي ينطبق على جميع الدعاوى المُقامة بموجب الاتفاقية وهذه الاتفاقية.
1. التعاريف
“المنتسبين”يشير مصطلح "السيطرة" إلى أي كيان قانوني يسيطر عليه أحد الأطراف، أو يسيطر على طرف آخر، أو يخضع لسيطرته المشتركة. ولأغراض هذا التعريف، تعني "السيطرة" امتلاك أكثر من حصة 50% في كيان ما.
“اتفاق”"يعني الاتفاقية بين الشركة والعميل لتوفير خدمة الاشتراك".
“شركة”" تعني الكيان القانوني للشركة المحدد في نموذج الطلب ذي الصلة و/أو بيان نطاق العمل.
“مجموعة شركات”" تعني شركة Dilicheck SL والشركات التابعة لها.
“عميل”" تعني الكيان القانوني للعميل المحدد في نموذج الطلب ذي الصلة و/أو بيان نطاق العمل.
“تشريعات حماية البيانات”يشير مصطلح "القانون" إلى أي قوانين أو لوائح أو توجيهات أو إرشادات سارية تنظم حماية البيانات الشخصية أو معالجتها أو تخزينها أو نقلها أو أمنها، أو خصوصية أصحاب البيانات، أو حقوقهم في أي ولاية قضائية تعمل فيها الأطراف أو تقدم خدماتها. ويشمل ذلك، على سبيل المثال لا الحصر، اللائحة العامة لحماية البيانات (الاتحاد الأوروبي) 2016/679 ("اللائحة العامة لحماية البيانات للاتحاد الأوروبي")، وأي قوانين أخرى سارية لحماية البيانات أو الخصوصية ذات طبيعة مماثلة في أي ولاية قضائية تُعالج فيها البيانات الشخصية بموجب هذه الاتفاقية، وأي قوانين ولوائح أخرى حالية أو مستقبلية ذات طبيعة مماثلة (بصيغتها المعدلة أو المحدثة أو المعاد سنها من وقت لآخر).
“صاحب البيانات”"يعني أي شخص طبيعي يمكن التعرف عليه، بشكل مباشر أو غير مباشر، من خلال استخدام البيانات الشخصية، بما في ذلك على سبيل المثال لا الحصر الأفراد مثل العملاء والموظفين والمستخدمين والمقاولين أو أي أشخاص آخرين يمكن التعرف عليهم.
“"“البيانات الشخصية”يشير مصطلح "الشخصية القابلة للتحديد" إلى أي معلومات، بأي شكل من الأشكال، تتعلق بشخص طبيعي محدد أو قابل للتحديد. والشخص القابل للتحديد هو الشخص الذي يمكن التعرف عليه، بشكل مباشر أو غير مباشر، بالرجوع إلى عامل واحد أو أكثر، بما في ذلك على سبيل المثال لا الحصر، الاسم، أو رقم الهوية، أو بيانات الموقع، أو المعرف الإلكتروني، أو العوامل الخاصة بهويته الجسدية، أو الفسيولوجية، أو الجينية، أو العقلية، أو الاقتصادية، أو الثقافية، أو الاجتماعية.
“يعالج”"يعني أي عملية أو مجموعة عمليات يتم تنفيذها على البيانات الشخصية أو على مجموعات البيانات الشخصية، سواء بوسائل آلية أم لا، مثل الجمع والتسجيل والتنظيم والهيكلة والتخزين والتكييف أو التعديل والاسترجاع والاستشارة والاستخدام والإفصاح عن طريق الإرسال أو النشر أو الإتاحة بأي شكل آخر والمواءمة أو الدمج والتقييد والمحو أو التدمير.
“بنود التعاقد القياسية”"تعني البنود التعاقدية القياسية لنقل البيانات من جهات التحكم في المنطقة الاقتصادية الأوروبية إلى جهات المعالجة المنشأة خارج المنطقة الاقتصادية الأوروبية، الصادرة عن المفوضية الأوروبية والسارية اعتبارًا من تاريخ اتفاقية حماية البيانات هذه، على النحو المنصوص عليه في http s : // e ur – l ex . الاتحاد الأوروبي روبا. الاتحاد الأوروبي / ل على سبيل المثال آل –content /EN / TXT /PDF /? uri = CELEX : 32021 D 0914
“دولة ثالثة”"يعني أي بلد لا يوجد فيه نظام يضمن الحماية الكافية".
2. نطاق اتفاقية حماية البيانات
فيما يتعلق بأي بيانات شخصية يقدمها العميل للشركة كجزء من الاتفاقية، تعمل الشركة كمعالج البيانات ويعمل العميل كمراقب البيانات.
3. معالجة البيانات الشخصية
- إلى الحد الذي تعمل فيه الشركة كجهة معالجة بيانات نيابة عن العميل، ولأغراض الاتفاقية:
- أنواع البيانات الشخصية وفئات أصحاب البيانات هي: الاسم الأول، واسم العائلة، وعنوان البريد الإلكتروني، وأرقام الهواتف، والعنوان البريدي؛ و
- إن طبيعة/غرض المعالجة هو تمكين الشركة من تقديم خدمات ممثل الاتحاد الأوروبي بموجب المادة 27 من اللائحة العامة لحماية البيانات، بما في ذلك معالجة وتسهيل طلبات أصحاب البيانات، وتكون مدة المعالجة هي مدة الاتفاقية.
- تلتزم الشركة بالامتثال لالتزاماتها بموجب تشريعات حماية البيانات، وعلى وجه الخصوص:
- معالجة البيانات الشخصية فقط بالقدر اللازم للأغراض المحددة هنا، ووفقًا لتعليمات العميل الكتابية عند الاقتضاء؛;
- تنفيذ التدابير التقنية والتنظيمية المناسبة وفقًا لتشريعات حماية البيانات لضمان مستوى من الأمان يتناسب مع المخاطر التي تنطوي عليها هذه المعالجة؛;
- معالجة أي بيانات شخصية في دولة ثالثة من خلال كيان آخر تابع لمجموعة الشركة أو المقاولين من الباطن فقط وفقًا لشروط البنود التعاقدية القياسية؛;
- ضمان خضوع أي موظفين أو أشخاص آخرين مخولين بمعالجة البيانات الشخصية لالتزامات مناسبة تتعلق بالسرية؛;
- عدم إشراك أي طرف ثالث لتنفيذ التزامات المعالجة بموجب هذه الاتفاقية دون الحصول على موافقة خطية مسبقة من العميل، ولأغراض هذا البند الفرعي (v)، يتفق الطرفان على أنه يجوز للشركة إشراك شريك الاستضافة الخاص بها لتنفيذ التزامات المعالجة وفقًا للاتفاقية، ويجوز لكيان مجموعة الشركات أيضًا تنفيذ التزامات المعالجة وفقًا للبند الفرعي (ii) أعلاه؛;
- إخطار العميل في أقرب وقت ممكن عمليًا، بأي طلب أو شكوى تتعلق بحق المعرفة يتم تلقيها من أصحاب البيانات دون الرد على هذا الطلب (ما لم يكن مصرحًا له بذلك من قبل العميل أو وفقًا للقانون المعمول به) ومساعدة العميل من خلال التدابير الفنية والتنظيمية، بقدر الإمكان بشكل معقول، للوفاء بالتزامات العميل فيما يتعلق بهذه الطلبات والشكاوى؛;
- بناءً على طلب العميل، ومع مراعاة طبيعة المعالجة والمعلومات المتاحة للشركة، مساعدة العميل في ضمان امتثاله لالتزاماته بموجب تشريعات حماية البيانات (إن وجدت) فيما يتعلق بما يلي: (أ) تنفيذ التدابير التقنية والتنظيمية المناسبة؛ (ب) عند الاقتضاء، إخطار السلطة الإشرافية المختصة بانتهاكات البيانات الشخصية و/أو إبلاغ صاحب البيانات بهذه الانتهاكات وفقًا لتشريعات حماية البيانات المعمول بها؛ و(ج) عند الضرورة، إجراء و/أو مراجعة، وإذا لزم الأمر، التشاور مع السلطة الإشرافية المختصة فيما يتعلق بتقييمات أثر حماية البيانات؛;
- بناءً على طلب العميل، يجب توفير جميع المعلومات اللازمة لإثبات امتثال الشركة لهذه الفقرة 3؛
- عند إنهاء أو انتهاء صلاحية الاتفاقية، يتم تدمير جميع البيانات الشخصية وحذف جميع النسخ الموجودة من هذه البيانات الشخصية، باستثناء ما يقتضيه القانون المعمول به.
4. التزامات العميل
يؤكد العميل أنه يمتلك الصلاحيات اللازمة (حيثما يقتضي الأمر) من جميع أصحاب البيانات المعنيين لتمكين الشركة من استخدام ومعالجة هذه البيانات الشخصية وفقًا للاتفاقية. ويلتزم العميل بالامتثال لجميع تشريعات حماية البيانات المعمول بها، بما في ذلك: (أ) تقديم جميع الإشعارات والإفصاحات المطلوبة لجميع أصحاب البيانات فيما يتعلق بجمع واستخدام ومعالجة ونقل البيانات الشخصية الخاصة بالعميل والشركة وأي أطراف ثالثة تعمل نيابةً عن العميل؛ (ب) الحصول على جميع الحقوق والموافقات اللازمة والقابلة للتنفيذ من أصحاب البيانات للسماح للشركة بمعالجة البيانات الشخصية لأغراض الوفاء بالتزامات الشركة، أو على النحو المسموح به بموجب الاتفاقية؛ (ج) الحصول على موافقات صريحة من أصحاب البيانات والامتثال لجميع تشريعات حماية البيانات المعمول بها، في حال قيام العميل بجمع أو نقل أي فئات خاصة من البيانات الشخصية. ويقر العميل بأن خدمات اشتراك الشركة غير مصممة لجمع أو معالجة أي فئات خاصة من البيانات الشخصية.
5. النقل الدولي للبيانات
- يقرّ الطرفان بأن تقديم الخدمات قد ينطوي على نقل البيانات الشخصية من المنطقة الاقتصادية الأوروبية إلى دول خارجها لا توفر مستوى كافيًا من حماية البيانات وفقًا لتشريعات حماية البيانات المعمول بها ("دول ثالثة"). ويلتزم المعالج بضمان تنفيذ أي عمليات نقل من هذا القبيل بما يتوافق مع تشريعات حماية البيانات المعمول بها، وأن تخضع لضمانات مناسبة مصممة لضمان حماية البيانات الشخصية وفقًا لمعيار مكافئ جوهريًا للمعيار المطلوب بموجب اللائحة العامة لحماية البيانات (GDPR).
- عمليات النقل من المعالج إلى وحدة التحكم
إلى الحد الذي يقوم فيه المعالج بنقل البيانات الشخصية إلى المتحكم في دولة ثالثة فيما يتعلق بالخدمات:
(أ) يتفق الطرفان على أن تخضع عمليات النقل هذه للبنود التعاقدية القياسية (قرار تنفيذ المفوضية (الاتحاد الأوروبي) 2021/914)؛;
(ب) يتفق الطرفان تحديدا على أن الوحدة 4 (من المعالج إلى المتحكم) من البنود التعاقدية القياسية يجب أن تنطبق؛;
(ج) يجب أن يعمل المعالج كمصدر للبيانات ويجب أن يعمل المراقب كمستورد للبيانات لأغراض البنود التعاقدية القياسية؛;
(د) يتم بموجب هذا دمج البنود التعاقدية القياسية في اتفاقية حماية البيانات هذه بالإشارة إليها، وهي واردة بالكامل في الملحق الرابع، وتشكل جزءًا لا يتجزأ من هذه الاتفاقية.
- عمليات النقل إلى المعالجات الفرعية
عندما يقوم المعالج بإشراك معالجين فرعيين موجودين في دول ثالثة:
(أ) يجب على المعالج ضمان أن تخضع عمليات النقل هذه لضمانات مناسبة وفقًا لتشريعات حماية البيانات؛;
(ب) عند الاقتضاء، يجب أن تشمل هذه الضمانات تنفيذ البنود التعاقدية القياسية، بما في ذلك الوحدة 3 (من معالج إلى معالج)، بين المعالج والمعالج الفرعي ذي الصلة؛;
(ج) يجب على المعالج أن يفرض على جميع المعالجين الفرعيين التزامات تعاقدية لا تقل حماية عن تلك المنصوص عليها في اتفاقية حماية البيانات هذه؛;
(د) يظل المعالج مسؤولاً مسؤولية كاملة أمام المراقب عن أداء التزامات المعالجين الفرعيين التابعين له.
- ضمانات إضافية وتقييمات أثر النقل
يجب على المعالج ما يلي:
(أ) تنفيذ التدابير التقنية والتنظيمية المناسبة لحماية البيانات الشخصية أثناء النقل والمعالجة اللاحقة، بما في ذلك، عند الاقتضاء، التشفير أثناء النقل؛ وضوابط الوصول؛ وتدابير تقليل البيانات؛;
(ب) تقييم، على أساس كل حالة على حدة عند الاقتضاء، ما إذا كانت قوانين وممارسات الدولة الثالثة قد تؤثر على فعالية الضمانات المنفذة، بما في ذلك البنود التعاقدية القياسية؛;
(ج) بناءً على طلب معقول، تزويد المراقب بالمعلومات اللازمة بشكل معقول لإثبات الامتثال لهذا البند، بما في ذلك الجوانب ذات الصلة بأي تقييم لتأثير النقل.
- التغييرات في الإطار القانوني
إذا (أ) تم إبطال البنود التعاقدية القياسية أو تعديلها أو استبدالها؛ أو (ب) قررت سلطة إشرافية مختصة أو محكمة أن الضمانات المعتمدة لم تعد كافية، فيجب على الأطراف التعاون بحسن نية لتنفيذ آليات نقل بديلة أو تدابير تكميلية مطلوبة لضمان الامتثال لتشريعات حماية البيانات؛ وإذا تعذر تنفيذ مثل هذه الآلية، يجوز للمتحكم تعليق أو إنهاء عمليات النقل المتأثرة دون عقوبة.
- أولوية الضمانات
في حالة وجود أي تعارض بين اتفاقية حماية البيانات هذه والبنود التعاقدية القياسية، تسود البنود التعاقدية القياسية بالقدر اللازم لضمان الامتثال لتشريعات حماية البيانات المعمول بها.
6. المعالج الفرعي
- يوافق العميل على أنه يجوز للشركة الاستعانة بمعالجين فرعيين من أطراف ثالثة (يُشار إليهم مجتمعين بـ "المعالجين الفرعيين")، بالإضافة إلى كيانات مجموعة الشركة، لمعالجة البيانات الشخصية نيابةً عن الشركة. ترد قائمة المعالجين الفرعيين الحاليين للشركة هنا، وسيتم تحديثها دوريًا. ستبذل الشركة جهودًا معقولة لإخطار العميل بأي تغييرات جوهرية تطرأ على معالجيها الفرعيين، مما يتيح للعميل فرصة إبداء أي اعتراض معقول على هذه التغييرات. إذا استطاع العميل إثبات أن تعيين معالج فرعي جديد سيؤثر سلبًا بشكل جوهري على قدرة الشركة على الامتثال لتشريعات حماية البيانات المعمول بها، فيجب على العميل إخطار الشركة كتابيًا على الفور، في غضون عشرة (10) أيام عمل من تاريخ التعيين، بأسبابه المعقولة للاعتراض على استخدام المعالج الفرعي الجديد.
- عند استلام اعتراض العميل الخطي على أي تغيير جوهري في معالجي البيانات الفرعيين التابعين للشركة، سيعمل العميل والشركة معًا دون تأخير غير مبرر للتوصل إلى ترتيب بديل. إذا تحققت جميع الشروط التالية: أ) عدم التوصل إلى ترتيب بديل مقبول ومعقول للطرفين؛ ب) حق العميل في إنهاء الاتفاقية بموجب تشريعات حماية البيانات المعمول بها؛ ج) تقديم العميل إشعارًا خطيًا فوريًا بموجب هذا البند، فإنه يحق للعميل إنهاء الاتفاقية فقط فيما يتعلق بالخدمات التي لا يمكن للشركة تقديمها دون استخدام معالج البيانات الفرعي الجديد. ما لم تحظر تشريعات حماية البيانات المعمول بها ذلك، في حالة الإنهاء المبكر من جانب العميل، يحق للشركة الاحتفاظ بالخدمات المستحقة أو المطالبة بدفع قيمتها حتى نهاية مدة العقد الحالية للعميل بموجب هذه الاتفاقية، وذلك عن الخدمات التي تم إنهاؤها.
- يتعين على الشركة فرض شروط مماثلة لحماية البيانات على هذا المعالج الفرعي، وستظل مسؤولة عن أي خرق لاتفاقية حماية البيانات ناتج عن معالج فرعي إلى الحد الذي يكون فيه هذا الخرق ناتجًا عن أي أفعال أو إغفالات إهمال من جانب الشركة.
7. التدقيق
بناءً على طلب خطي، وبعد إشعار مسبق معقول (لا يقل عن ثلاثين يومًا)، تُتيح الشركة للعميل جميع المعلومات اللازمة بشكل معقول لإثبات الامتثال للالتزامات المنصوص عليها في اتفاقية حماية البيانات هذه، وللسماح بإجراء عمليات تدقيق معقولة لمرافق المعالجة التابعة لها، بما في ذلك عمليات التفتيش، التي يُجريها العميل أو مدقق حسابات مستقل آخر يُعيّنه العميل أو جهة رقابية. يجوز للعميل إجراء عملية تدقيق أو تفتيش واحدة لأنشطة معالجة الشركة كل اثني عشر (12) شهرًا، عبر استبيان يتبعه اتصال هاتفي للمتابعة حسب الحاجة، ما لم تنص تشريعات حماية البيانات المعمول بها على خلاف ذلك، أو في حالة حدوث خرق مؤكد للبيانات الشخصية يؤثر على بيانات العميل الشخصية. توافق الشركة على أن للسلطات الرقابية الحق في إجراء تدقيق لمرافق معالجة الشركة بنفس النطاق وبنفس الشروط التي تطبقها السلطة الرقابية على تدقيق جهة تحكم بموجب تشريعات حماية البيانات المعمول بها. تُبلغ الشركة العميل فورًا بوجود أي تشريع ينطبق عليها أو على أي معالج فرعي معتمد يمنع إجراء التدقيق وفقًا لهذه الفقرة. في هذه الحالة، يحق للعميل تعليق نقل أي بيانات شخصية.
8. المسؤولية
تخضع مسؤولية كل طرف بموجب اتفاقية حماية البيانات هذه للقيود والاستثناءات المنصوص عليها في اتفاقية الاشتراك والخدمات الرئيسية - الشروط القياسية أو الاتفاقيات المماثلة المبرمة بين الطرفين.
9. القانون الحاكم
تخضع اتفاقية حماية البيانات هذه للقوانين المحددة في شروط الاشتراك والخدمات القياسية أو أي اتفاقية مماثلة مبرمة بين الطرفين.