اتفاقية معالجة البيانات

الأطراف

المتحكم في المعالجة ("العميل")

المعالج ("Alvoru")

يُشار إليهما معًا فيما بعد بـ: "الأطراف".

حيث إن

• الأطراف قد أبرمت اتفاقية رئيسية تعالج فيها Alvoru بصفتها المعالج بيانات شخصية نيابة عن العميل (يُشار إليها فيما بعد بـ "الاتفاقية الرئيسية");
• بموجب المادة 28 الفقرة 3 من GDPR، يُشترط وجود اتفاقية معالجة بيانات مكتوبة تُحدَّد فيها الترتيبات المتعلقة بكيفية معالجة المعالج للبيانات الشخصية؛
• اتفاقية معالجة البيانات هذه (يُشار إليها فيما بعد بـ "DPA") تُشكّل جزءًا لا يتجزأ من الاتفاقية الرئيسية.

المادة 1 — التعريفات

للمصطلحات المكتوبة بحرف كبير في اتفاقية معالجة البيانات هذه المعنى المنسوب إليها في GDPR، مكمَّلة بالتعريفات الواردة في الشروط والأحكام العامة لـ Alvoru.

المادة 2 — الموضوع والمدة

2.1 تنظّم اتفاقية معالجة البيانات هذه معالجة البيانات الشخصية بواسطة Alvoru بتكليف من العميل في إطار الاتفاقية الرئيسية.

2.2 تدخل اتفاقية معالجة البيانات هذه حيز التنفيذ في تاريخ بدء الاتفاقية الرئيسية وتنتهي بحكم القانون عند إنهاء الاتفاقية الرئيسية، دون الإخلال بالأحكام التي يُقصد بطبيعتها أن تظل سارية.

المادة 3 — طبيعة المعالجة وغرضها

3.1 تتمثل طبيعة المعالجة وغرضها في تقديم الخدمة الموصوفة في الاتفاقية الرئيسية (خدمة عملاء بالذكاء الاصطناعي، بما في ذلك روبوت الدردشة والبريد الإلكتروني وجدول المواعيد).

3.2 تعالج Alvoru البيانات الشخصية حصريًا بناءً على تعليمات موثّقة من العميل، باستثناء الالتزامات القانونية المخالفة (المادة 28 الفقرة 3 البند أ من GDPR). في هذه الحالة الأخيرة، تُعلِم Alvoru العميل بالمعالجة، ما لم يحظر ذلك القانون هذا لأسباب جوهرية.

المادة 4 — نوع البيانات الشخصية وفئات أصحاب البيانات

لا تُعالَج الفئات الخاصة من البيانات الشخصية (المادة 9 من GDPR) والبيانات الجنائية (المادة 10 من GDPR)، ما لم يُتفق على ذلك كتابةً بشكل إضافي.

المادة 5 — التزامات المعالج

5.1 تعالج Alvoru البيانات الشخصية حصريًا للأغراض المنصوص عليها في الاتفاقية الرئيسية واتفاقية معالجة البيانات هذه وبناءً على تعليمات مكتوبة من العميل.

5.2 تضمن Alvoru أن الأشخاص الذين يعالجون البيانات الشخصية ملزمون بواجب السرية، سواء بموجب القانون أو بموجب اتفاق.

5.3 تقدّم Alvoru للعميل، مع مراعاة طبيعة المعالجة، مساعدة معقولة في الاستجابة لطلبات أصحاب البيانات لممارسة حقوقهم بموجب GDPR.

5.4 تتيح Alvoru للعميل جميع المعلومات اللازمة لإثبات الامتثال للمادة 28 من GDPR.

5.5 حظر التدريب على الذكاء الاصطناعي. لن تستخدم Alvoru البيانات الشخصية التي تعالجها نيابة عن المتحكم في المعالجة أبدًا لتدريب نماذج الذكاء الاصطناعي أو ضبطها الدقيق أو تحسينها بأي شكل آخر، ولا لتطوير تطبيقات ذكاء اصطناعي خاصة بها أو تابعة لطرف ثالث.

المادة 6 — تدابير الأمن (المادة 32 من GDPR)

تتخذ Alvoru تدابير تقنية وتنظيمية مناسبة لضمان مستوى أمان يتناسب مع المخاطر، ومنها:

• التشفير أثناء النقل (TLS 1.2+) وحيثما ينطبق التشفير في حالة السكون؛
• التحكم في الوصول على أساس least privilege؛ المصادقة الثنائية للمسؤولين؛
• جدران الحماية، fail2ban ومراقبة الاختراق؛
• نسخ احتياطية يومية مشفَّرة بمدة احتفاظ أقصاها 90 يومًا؛
• صلاحيات ملفات مقيّدة (600) على ملفات الإعداد والبيانات؛
• تسجيل ومراقبة الوصول إلى أنظمة الإنتاج؛
• تقييم وتحديث دوري لتدابير الأمن.

المادة 7 — المعالجون الفرعيون

7.1 يمنح العميل Alvoru موافقة كتابية عامة على الاستعانة بمعالجين فرعيين، شريطة أن تلتزم Alvoru بباقي أحكام هذه المادة.

7.2 المعالجون الفرعيون المستعان بهم حاليًا هم:

7.3 تفرض Alvoru على المعالِجين الفرعيين نفس التزامات حماية البيانات المنصوص عليها في اتفاقية معالجة البيانات هذه (المادة 28 الفقرة 4 من GDPR).

7.4 تُبلغ Alvoru العميل قبل 14 يومًا على الأقل باستبدال أو إضافة معالِجين فرعيين. ويمكن للعميل تقديم اعتراض مُسبَّب خلال تلك المدة. وفي حال كان الاعتراض مُبررًا، يحق للعميل إنهاء الاتفاقية الرئيسية دون أي تكلفة.

المادة 8 — النقل خارج المنطقة الاقتصادية الأوروبية

لا يتم نقل البيانات الشخصية إلى دولة خارج المنطقة الاقتصادية الأوروبية إلا استنادًا إلى قرار كفاية (المادة 45 من GDPR)، أو قواعد ملزمة للشركات، أو الشروط التعاقدية القياسية للاتحاد الأوروبي (المادة 46 الفقرة 2 البند c من GDPR)، أو أي ضمان آخر منصوص عليه في GDPR، مع استكمالها بتدابير تقنية وتنظيمية إضافية عند الحاجة.

المادة 9 — حقوق أصحاب البيانات

9.1 توفر Alvoru للعميل الدعم المناسب في معالجة طلبات أصحاب البيانات (الاطلاع، التصحيح، الحذف، التقييد، قابلية النقل، الاعتراض) من خلال وظائف تقنية في بوابة العملاء، ومساعدة إضافية عند الضرورة.

9.2 تحيل Alvoru دون تأخير إلى العميل طلبات أصحاب البيانات التي ترد إلى Alvoru مباشرةً.

المادة 10 — تسريبات البيانات

10.1 تُبلغ Alvoru العميل دون تأخير وفي غضون 48 ساعة كحد أقصى بعد اكتشاف انتهاك يتعلق بالبيانات الشخصية (المادة 33 الفقرة 2 من GDPR)، بحيث يتمكن العميل من الوفاء في الوقت المناسب بالتزامه بالإبلاغ خلال 72 ساعة لدى Autoriteit Persoonsgegevens.

10.2 يتضمن الإبلاغ على الأقل: طبيعة الانتهاك، وفئات وعدد أصحاب البيانات المعنيين، وفئات وعدد السجلات المعنية، والعواقب المحتملة، والتدابير المتخذة أو المقترحة.

10.3 تقدم Alvoru للعميل المساعدة المناسبة عند الإبلاغ لدى Autoriteit Persoonsgegevens، وعند الاقتضاء لأصحاب البيانات.

المادة 11 — التدقيق

11.1 يجوز للعميل مرة واحدة في كل سنة تقويمية، بعد إشعار كتابي مسبق لا يقل عن 30 يومًا، وعلى نفقته الخاصة، إجراء (أو التكليف بإجراء) تدقيق للتحقق من امتثال Alvoru لاتفاقية معالجة البيانات هذه.

11.2 يُجرى التدقيق من قبل مدقق مستقل ملتزم بالسرية، خلال ساعات العمل، وبطريقة لا تعطل سير العمل الاعتيادي لـ Alvoru.

11.3 يجوز لـ Alvoru الاكتفاء بدلًا من التدقيق الميداني بتقرير حديث من طرف ثالث مستقل (مثل ISO 27001 أو SOC 2)، شريطة أن يوفر هذا التقرير قدرًا معقولًا وكافيًا من الضمان.

المادة 12 — الإنهاء وحذف البيانات

12.1 بعد إنهاء الاتفاقية الرئيسية، ستقوم Alvoru، وفق اختيار العميل وبناءً على أول طلب كتابي، بحذف جميع البيانات الشخصية أو إعادتها إلى العميل، وفقًا للمادة 28 الفقرة 3 البند g من GDPR.

12.2 يمكن تقديم مثل هذا الطلب في غضون 60 يومًا بعد الإنهاء. وفي حال عدم تقديمه، تُحذف البيانات تلقائيًا بعد 60 يومًا.

12.3 تُمحى النسخ الاحتياطية غير المتصلة وفقًا لجدول التدوير المعتاد في غضون 90 يومًا كحد أقصى بعد الإنهاء.

12.4 تُحفظ البيانات التي يتعين على Alvoru الاحتفاظ بها بموجب القانون طوال المدة التي ينص عليها القانون.

المادة 13 — المسؤولية

13.1 مسؤولية Alvoru بموجب اتفاقية معالجة البيانات هذه مشمولة في أحكام المسؤولية الواردة في الشروط العامة الملحقة بالاتفاقية الرئيسية ومحدودة بها.

13.2 تبقى الأحكام الآمرة في GDPR غير متأثرة.

المادة 13a — سجل أنشطة المعالجة

تحتفظ Alvoru بسجل لأنشطة المعالجة وفقًا للمادة 30 من GDPR. ويتضمن هذا السجل على الأقل: اسم Alvoru وبيانات الاتصال بها بصفتها معالِجًا، وفئات عمليات المعالجة التي تُنفَّذ نيابةً عن المسؤولين عن المعالجة، وعمليات النقل إلى دول ثالثة والضمانات المطبقة، ووصفًا عامًا للتدابير التقنية والتنظيمية للأمان. ويكون السجل متاحًا عند الطلب لـ Autoriteit Persoonsgegevens.

المادة 14 — القانون الواجب التطبيق والمنازعات

يخضع اتفاق معالجة البيانات هذا للقانون الهولندي. وتُعرض المنازعات على محكمة Overijssel، فرع Almelo.

التوقيع

أرسل النسخة الموقعة (ممسوحة ضوئيًا أو موقعة رقميًا) إلى info@alvoru.com. تُعيد Alvoru نسخة موقعة من الطرفين.