اتفاقية معالجة البيانات

الأطراف والنطاق

تُبرم اتفاقية معالجة البيانات هذه («الاتفاقية») بين العميل الذي قبل شروط الخدمة الخاصة بنا («العميل»، وهو المتحكم) وشركة IGP Global Solutions FZ-LLC («IGP one»، وهي المعالج). وتسري عندما تعالج IGP one بيانات شخصية نيابةً عن العميل في سياق تقديم الخدمة («البيانات الشخصية للعميل»).

تُعد هذه الاتفاقية جزءًا من شروط الخدمة، وتُعتبر مقبولة عند قبول العميل لتلك الشروط. وفي حال التعارض بين هذه الاتفاقية والشروط فيما يتعلق بحماية البيانات، تسود هذه الاتفاقية. وللحصول على نسخة موقعة من الطرفين، راسل [email protected].

تفاصيل المعالجة (الملحق الأول)

الموضوع والغرض: تقديم خدمة IGP one، بما في ذلك وكيل الذكاء الاصطناعي (في المحادثة وفي الوضع الصوتي)، وإنشاء المحتوى، والنشر، والتعامل مع التعليقات والرسائل والردود على القصص، ومسارات التحويل من التعليق إلى رسالة مباشرة، والرد الآلي على القصص، والتقاط العملاء المحتملين، والإشعارات، والتقارير.

طبيعة المعالجة: الجمع عبر الحسابات المرتبطة، والتخزين، والتنظيم، والتحليل بواسطة نماذج الذكاء الاصطناعي، وتوليد الردود والمحتوى، والإرسال إلى المنصات المرتبطة، والحذف.

المدة: مدة اشتراك العميل، إضافةً إلى مدة الحذف المبيّنة أدناه.

أصحاب البيانات: الأشخاص الذين يتفاعلون مع حساب Instagram المرتبط الخاص بالعميل (مثل أصحاب التعليقات، ومرسلي الرسائل، والأشخاص الذين يردون على قصصه، والعملاء المحتملين)، وأعضاء فريق العميل.

فئات البيانات: أسماء المستخدمين، وأسماء الملفات الشخصية وصورها، والمعرّفات على المنصات، ومحتوى الرسائل والتعليقات والردود على القصص، وبيانات التواصل والطلبات التي يشاركها الأشخاص، وملاحظات العملاء المحتملين ووسومهم، وأسماء أعضاء الفريق وعناوين بريدهم الإلكتروني، وسجل المحادثات في مساحة العمل (بما في ذلك النصوص المفرّغة للمحادثات الصوتية؛ إذ يُعالَج الصوت في الوقت الفعلي ولا يُخزَّن).

الفئات الخاصة: غير مقصودة. ولا يجوز للعميل استخدام الخدمة لجمع بيانات من الفئات الخاصة أو بيانات صحية أو بيانات بطاقات الدفع أو أرقام الهويات الرسمية.

وتيرة النقل: مستمرة طوال استخدام الخدمة. الاحتفاظ: على النحو المبين في قسم «الحذف والإعادة». السلطة الرقابية المختصة لأغراض البنود التعاقدية القياسية: وفق ما يُحدَّد بموجب البند 13 بالنسبة إلى العميل. المعالجون الفرعيون (الملحق الثالث): على النحو المدرج في صفحة «المعالجون الفرعيون» لدينا.

تعليمات العميل

لا تعالج IGP one البيانات الشخصية للعميل إلا بناءً على تعليماته الموثقة، بما في ذلك ما يتعلق بالنقل الدولي للبيانات، ما لم يقتضِ القانون خلاف ذلك؛ وفي هذه الحالة تُبلغ IGP one العميل قبل المعالجة، ما لم يحظر القانون ذلك. وتشكّل الشروط وهذه الاتفاقية وإعدادات العميل للخدمة واستخدامه لها تلك التعليمات. وتُبلغ IGP one العميل إذا رأت أن أي تعليمات تخالف قانون حماية البيانات.

يتحمل العميل مسؤولية توفر أساس قانوني للمعالجة وتقديم الإشعارات المطلوبة لأصحاب البيانات، بما في ذلك الإشعار باستخدام الردود الآلية والمُعدّة بمساعدة الذكاء الاصطناعي.

السرية

تضمن IGP one أن يكون كل شخص مخوَّل بمعالجة البيانات الشخصية للعميل ملتزمًا بالسرية، وألا يصل إليها إلا بالقدر اللازم لتقديم الخدمة ودعمها.

الأمان (الملحق الثاني)

تطبق IGP one تدابير تقنية وتنظيمية مناسبة، منها: التشفير أثناء النقل وأثناء التخزين؛ والتخزين الأساسي للبيانات الشخصية للعميل في الاتحاد الأوروبي؛ والعزل المنطقي بين العملاء باستخدام الأمان على مستوى الصفوف؛ وتشفير رموز الوصول إلى الحسابات الاجتماعية على مستوى الحقول داخل خزنة؛ والصلاحيات القائمة على الأدوار؛ وتسجيل الدخول الموحد وضوابط الوصول للأدوات الداخلية؛ وسجلات التدقيق؛ والنسخ الاحتياطية اليومية مع اختبار الاستعادة؛ والمراقبة المستمرة للأخطاء وتوفر الخدمة. وتحتفظ Better Stack في الولايات المتحدة بسجلات الخدمة، التي لا تتضمن محتوى الرسائل. وتصف صفحة الأمان لدينا هذه التدابير، ويجوز تحديثها شريطة ألا ينخفض المستوى العام للحماية.

المعالجون الفرعيون

يمنح العميل IGP one تفويضًا عامًا باستخدام المعالجين الفرعيين المدرجين في صفحة المعالجين الفرعيين لدينا.

تخطر IGP one العميل قبل 30 يومًا على الأقل من إضافة أو استبدال أي معالج فرعي يعالج البيانات الشخصية للعميل، وذلك بتحديث تلك الصفحة ومراسلة مالكي الحسابات بالبريد الإلكتروني. ويحق للعميل الاعتراض خلال تلك المدة لأسباب معقولة تتعلق بحماية البيانات. وإذا تعذّر علينا معالجة الاعتراض على نحو معقول، يجوز للعميل إنهاء الجزء المتأثر من الخدمة واسترداد الرسوم المدفوعة مقدمًا عنه.

تفرض IGP one على كل معالج فرعي التزامات لحماية البيانات لا تقل حماية عن هذه الاتفاقية، وتظل مسؤولة عن معالجيها الفرعيين.

النقل الدولي للبيانات

تُخزَّن البيانات الشخصية للعميل في الاتحاد الأوروبي. ويجوز أن تصل إليها IGP one من دولة الإمارات العربية المتحدة، وأن يعالجها في الولايات المتحدة مزودو الذكاء الاصطناعي وغيرهم من المعالجين الفرعيين.

بالنسبة إلى نقل البيانات الشخصية الخاضعة لـGDPR إلى دولة لم يصدر بشأنها قرار كفاية، يتفق الطرفان على تطبيق البنود التعاقدية القياسية المعتمدة بموجب قرار التنفيذ (EU) 2021/914 الصادر عن المفوضية الأوروبية: الوحدة الثانية (من المتحكم إلى المعالج) بين العميل وIGP one، والوحدة الثالثة (من المعالج إلى المعالج) بين IGP one ومعالجيها الفرعيين عند الحاجة. ويسري البند 7 (بند الانضمام)؛ ويكون الخيار المعتمد في البند 9(a) هو التفويض العام مع مدة الإخطار المذكورة أعلاه؛ ولا تسري الصياغة الاختيارية في البند 11؛ ويخضع البندان 17 و18 لقانون أيرلندا واختصاص محاكمها. ويُعد القسمان أعلاه الملحقين الأول والثاني.

بالنسبة إلى بيانات المملكة المتحدة، يسري ملحق النقل الدولي للبيانات الملحق بالبنود التعاقدية القياسية للاتحاد الأوروبي الصادر عن مفوض المعلومات في المملكة المتحدة، وتُستكمل الجداول من 1 إلى 3 فيه استنادًا إلى هذه الاتفاقية والبنود التعاقدية القياسية. وبالنسبة إلى البيانات السويسرية، تسري البنود التعاقدية القياسية مع تفسير الإحالات فيها على أنها إحالات إلى القانون الاتحادي السويسري لحماية البيانات، ويُعد المفوض الاتحادي السويسري لحماية البيانات والمعلومات سلطةً مختصة.

إذا كان المعالج الفرعي معتمدًا بموجب إطار خصوصية البيانات بين الاتحاد الأوروبي والولايات المتحدة، يجوز الاستناد إلى هذا الإطار بدلًا من ذلك.

يتم النقل الخاضع لقانون حماية البيانات الشخصية الإماراتي (PDPL) أو للقانون الإسرائيلي وفقًا لقواعد النقل المقررة في هذين القانونين، بما في ذلك الضمانات التعاقدية.

إذا تلقت IGP one طلبًا ملزمًا قانونًا من سلطة عامة للحصول على البيانات الشخصية للعميل، فإنها تُخطر العميل حيثما يسمح القانون بذلك، وتطعن في الطلب متى توافرت أسباب معقولة لذلك، ولا تفصح إلا عن الحد الأدنى المطلوب.

مساعدة العميل

تساعد IGP one العميل على الاستجابة لطلبات أصحاب البيانات، وذلك أساسًا عبر أدوات الخدمة الذاتية للاطلاع والتصدير والتصحيح والحذف. وإذا تلقت IGP one طلبًا مباشرةً، فإنها تحيله إلى العميل دون تأخير غير مبرر، ولا ترد عليه إلا بناءً على تعليماته أو حيث يقتضي القانون ذلك.

تقدم IGP one مساعدة معقولة للعميل في الوفاء بالتزاماته المتعلقة بالأمان، والإخطار بخرق البيانات، وتقييمات الأثر على حماية البيانات، والتشاور المسبق مع السلطات (المواد من 32 إلى 36 من GDPR)، بناءً على المعلومات المتاحة لها، وتحتفظ بسجل لعمليات المعالجة التي تجريها لصالح العميل.

خرق البيانات الشخصية

تخطر IGP one العميل دون تأخير غير مبرر، وفي جميع الأحوال خلال 48 ساعة من علمها بأي خرق للبيانات الشخصية يمس البيانات الشخصية للعميل. ويصف الإخطار ما حدث، والبيانات والأشخاص المتأثرين، والعواقب المحتملة، والتدابير المتخذة أو المقترحة، ويُحدَّث كلما توفرت معلومات إضافية.

لا تخطر IGP one السلطات أو أصحاب البيانات نيابةً عن العميل إلا بناءً على طلبه أو حيث يقتضي القانون ذلك.

الحذف والإعادة

يمكن للعميل تصدير البيانات الشخصية للعميل في أي وقت خلال مدة الاشتراك ولمدة 30 يومًا بعد انتهائه. وبحسب اختيار العميل، تُعاد البيانات عبر التصدير أو تُحذف: فبعد حذف العميل لحسابه، أو بعد 30 يومًا من الإنهاء، تحذف IGP one البيانات الشخصية للعميل، وتخرج من النسخ الاحتياطية الدورية خلال 35 يومًا إضافية، ما لم يقتضِ القانون الاحتفاظ بها مدة أطول.

ما دام حساب Instagram مربوطًا، يُحتفظ بالرسائل والتعليقات مدة 12 شهرًا من آخر نشاط في المحادثة، وبسجلات العملاء المحتملين ما دام حساب العميل قائمًا وظل Instagram مربوطًا. وعندما يفصل العميل حساب Instagram، يُحذف رمز الوصول فورًا، وتُحذف البيانات الواردة عبر ذلك الربط خلال 30 يومًا، ما لم يُعَد ربط الحساب خلال تلك المدة.

التدقيق

توفر IGP one المعلومات اللازمة على نحو معقول لإثبات الامتثال لهذه الاتفاقية، بما في ذلك الإجابات الكتابية على استبيانات الأمان مرة واحدة سنويًا. وإذا لم يكن ذلك كافيًا، أو إذا طلبت ذلك إحدى السلطات، يجوز للعميل إجراء تدقيق مرة واحدة سنويًا، بإخطار مسبق مدته 30 يومًا، خلال ساعات العمل، بواسطة مدقق مستقل ملتزم بالسرية، وعلى نفقة العميل.

قوانين الخصوصية في الولايات الأمريكية

لأغراض قانون CCPA/CPRA وقوانين الولايات الأمريكية المشابهة، تعمل IGP one بصفتها مزود خدمة أو معالجًا. ولن تبيع البيانات الشخصية للعميل أو تشاركها، ولن تحتفظ بها أو تستخدمها أو تفصح عنها خارج علاقة العمل المباشرة أو لأي غرض غير تقديم الخدمة، ولن تدمجها مع بيانات أخرى إلا في الحدود التي تجيزها تلك القوانين، وستخطر العميل إذا لم تعد قادرة على الوفاء بهذه الالتزامات. وتقر IGP one بأنها تفهم هذه القيود وستلتزم بها.

الإمارات العربية المتحدة وإسرائيل

بالنسبة إلى البيانات الشخصية للعميل الخاضعة لقانون حماية البيانات الشخصية الإماراتي (PDPL)، لا تعالجها IGP one إلا بناءً على التعليمات، وتحافظ على سريتها وأمنها، وتخطر بأي خرق على النحو المبيّن أعلاه، وتحذفها عند انتهاء المعالجة. وبالنسبة إلى البيانات الخاضعة لقانون حماية الخصوصية الإسرائيلي ولوائح أمن البيانات الصادرة بموجبه، تفي IGP one بالتزامات الحائز (المحتفظ بقاعدة البيانات) الذي يعالج البيانات لصالح العميل، بما في ذلك تدابير الأمان، والسرية، والإبلاغ عن الخروقات إلى العميل، وإعادة البيانات أو حذفها عند انتهاء التعاقد.

المسؤولية والمدة

تخضع مسؤولية كل طرف بموجب هذه الاتفاقية لحدود المسؤولية الواردة في الشروط، إلا حيث لا يجيز القانون أو البنود التعاقدية القياسية ذلك. وتظل هذه الاتفاقية سارية طوال مدة معالجة IGP one للبيانات الشخصية للعميل.

التواصل

الأسئلة المتعلقة بحماية البيانات: [email protected]. النسخ الموقعة والإخطارات القانونية: [email protected].