اتفاقية معالجة البيانات (DPA)

مسودة — قيد المراجعة القانونية الخارجية. يحدد هذا المستند المتطلبات وقرارات المنتج التي يجب أن يعكسها النص النهائي؛ ولم تتم مراجعته من قبل محامٍ. لا يشكل هذا المستند استشارة قانونية ولا نسخة نهائية قابلة للنشر.

آخر تحديث: [تاريخ السريان]

1. الغرض

تُكمّل اتفاقية معالجة البيانات هذه ("DPA") شروط الخدمة المبرمة بين ZARZA CORP, S.A. ("المعالج"، أو "نحن") وبين Workspace الذي يتعاقد على خطة مدفوعة من iNTELIGENCIA VIVA ("المتحكم"، أو "العميل"). وتنطبق حصراً على الخطط المدفوعة (Pro وBusiness وEnterprise)، حيث نعالج البيانات الشخصية لجهات Contact الخاصة بالعميل نيابة عنه. ولا تنطبق على الدليل المجاني ولا على إضافة WordPress المجانية، وهما طبقتان لا ترسلان أي بيانات إلى بنيتنا التحتية.

في حال وجود تعارض بين هذه الـ DPA وشروط الخدمة فيما يتعلق بمعالجة البيانات الشخصية، تسود هذه الـ DPA.

2. التعريفات

• البيانات الشخصية: أي معلومة تتعلق بشخص طبيعي محدد الهوية أو قابل للتحديد، يُدخلها العميل أو جهات Contact الخاصة به في الخدمة.
• المتحكم (Controller): العميل، فيما يتعلق بالبيانات الشخصية لجهات Contact الخاصة به وبوكلائه.
• المعالج (Processor): نحن، فيما يتعلق بتلك البيانات الشخصية ذاتها، والتي نعالجها فقط بغرض تقديم الخدمة المتعاقد عليها.
• صاحب البيانات (Data Subject): الشخص الطبيعي صاحب البيانات الشخصية — وهو عادةً Contact، وفي بعض الحالات وكيل تابع للعميل.
• المعالج الفرعي (Sub-processor): طرف ثالث نستعين به لمعالجة البيانات الشخصية نيابة عنا، وفقاً للبند 6.
• الحادث الأمني: أي خرق أمني يتسبب في إتلاف البيانات الشخصية أو فقدانها أو تعديلها أو الإفصاح عنها أو الوصول إليها دون تصريح.

3. المدة

تدخل هذه الـ DPA حيز التنفيذ في تاريخ موافقة العميل على شروط الخدمة، وتظل سارية طالما احتفظ العميل بـ Workspace ضمن خطة مدفوعة، وخلال فترة الاحتفاظ اللاحقة الموضحة في البند 10.

4. طبيعة المعالجة وغرضها ومدتها وفئاتها

الطبيعة والغرض. نعالج البيانات الشخصية لتقديم منصة التواصل مع العملاء: استقبال الرسائل وتوجيهها، وتوليد ردود الذكاء الاصطناعي، والتحويل إلى وكلاء بشريين، والبحث الدلالي على مصادر معرفة العميل، والتحليلات الإجمالية، وفوترة الاستخدام.

المدة. طوال مدة عقد الخطة المدفوعة، وفترة الاحتفاظ التي يحددها العميل وفقاً للبند 10.

فئات أصحاب البيانات. جهات Contact الخاصة بالعميل (عملاؤه النهائيون)، ووكلاء العميل بالقدر ذي الصلة.

فئات البيانات الشخصية. معرّفات التواصل حسب قناة المنشأ (رقم الهاتف، اسم المستخدم، عنوان البريد الإلكتروني)، والاسم، ومحتوى الرسائل المتبادَلة، والبيانات الوصفية للمحادثة (القناة، الطابع الزمني، القسم، الملخص الذي يولّده الذكاء الاصطناعي، الوسوم)، وأي بيانات إضافية يدرجها صاحب البيانات طوعاً في رسائله.

5. التزامات المعالج

بصفتنا المعالج، نلتزم بما يلي:

1. معالجة البيانات الشخصية فقط وفقاً للتعليمات الموثّقة الصادرة عن العميل، والمعبَّر عنها من خلال إعداداته للخدمة وهذه الشروط، ما لم يُلزمنا قانون بمعالجة مختلفة — وفي هذه الحالة، وبالقدر الذي يسمح به القانون، سنبلّغ العميل بذلك الالتزام القانوني قبل الشروع فيه.
2. ضمان خضوع الأشخاص المصرَّح لهم بمعالجة البيانات الشخصية لالتزام بالسرية.
3. تطبيق التدابير التقنية والتنظيمية الموضحة في البند 8، بما يتسق مع البند 15 من وثائقنا الخاصة بالمنتج: التشفير أثناء النقل وأثناء التخزين، ومفاتيح واجهة برمجة التطبيقات ذات النطاق القابل للإلغاء، والتوقيع بـ HMAC على عمليات تسليم Webhook الصادرة، وعزل البيانات حسب كل Workspace في جميع طبقات التخزين.
4. عدم نقل البيانات الشخصية إلى معالج فرعي دون الامتثال للبند 6.
5. مساعدة العميل وفقاً للبند 7.
6. إخطار العميل دون تأخير لا مبرر له عند وقوع حادث أمني يؤثر على بياناته الشخصية، وفقاً للبند 9.
7. حذف البيانات الشخصية أو إعادتها إلى العميل عند انتهاء العلاقة، بحسب اختيار العميل، ووفقاً للبند 10.
8. إتاحة المعلومات اللازمة بشكل معقول لإثبات الامتثال لهذه الـ DPA، وفقاً للبند 11.

6. المعالجون الفرعيون

يفوّض العميل بشكل عام استخدام معالجين فرعيين لتقديم الخدمة. وبتاريخ هذا المستند، المعالجون الفرعيون الحاليون هم:

سنحتفظ بقائمة محدَّثة بالمعالجين الفرعيين، منشورة أو متاحة عند الطلب. وسنُخطر العميل بإشعار معقول مسبق عند إضافة معالج فرعي جديد يعالج بيانات شخصية، ليتمكن من الاعتراض لأسباب معقولة متعلقة بحماية البيانات؛ وإذا لم يُحَل الاعتراض، يجوز للعميل إنهاء الخطة المدفوعة المتأثرة دون غرامة إضافية لهذا السبب المحدد.

نحن مسؤولون عن امتثال معالجينا الفرعيين لالتزامات حماية البيانات بنفس القدر الذي نتحمله نحن أنفسنا بموجب هذه الـ DPA.

7. مساعدة المتحكم

سنساعد العميل بشكل معقول من أجل: (١) الاستجابة لطلبات أصحاب البيانات الذين يمارسون حقوقهم في الوصول أو التصحيح أو الحذف أو النقل أو الاعتراض؛ (٢) إجراء تقييمات أثر حماية البيانات عندما تتطلب المعالجة ذلك؛ (٣) التشاور المسبق مع سلطة الرقابة المختصة عندما يشير التقييم إلى وجود خطر مرتفع. وعندما يتواصل معنا صاحب بيانات مباشرة بشأن بيانات نعالجها نيابة عن العميل، سنحيله إلى العميل ونُخطر العميل بالطلب دون تأخير لا مبرر له.

8. التدابير الأمنية

نطبّق، كحد أدنى: التشفير أثناء النقل في جميع واجهات الخدمة (الموقع، وواجهة برمجة التطبيقات، وWebSocket)، وأثناء التخزين في قواعد البيانات ومساحات تخزين الملفات والمتجهات؛ والتحكم في الوصول عبر مفاتيح واجهة برمجة التطبيقات ذات نطاق صلاحيات قابل للتهيئة وقابلة للإلغاء بشكل فردي؛ والتوقيع الرقمي (HMAC) على كل عملية تسليم Webhook صادرة؛ والعزل المنطقي لبيانات كل Workspace على مستوى الاستعلام في جميع طبقات التخزين، بحيث لا يستطيع أي Workspace الوصول إلى بيانات Workspace آخر؛ وعمليات حذف فعلي (وليس مجرد حذف منطقي) للبيانات عند انتهاء فترة الاحتفاظ المحددة.

9. الإخطار بالحوادث الأمنية

سنُخطر العميل دون تأخير لا مبرر له بعد التأكد من وقوع حادث أمني يؤثر على البيانات الشخصية التي نعالجها نيابة عنه، مع تقديم المعلومات المتاحة بشكل معقول عن طبيعته، وفئات أصحاب البيانات والسجلات المتأثرة وعددها التقريبي، والتدابير المتخذة أو المقترحة للتخفيف من آثاره، ونقطة اتصال للحصول على مزيد من المعلومات. ولا يشكل هذا الإخطار إقراراً بالمسؤولية، والغرض الوحيد منه هو تمكين العميل من الوفاء بالتزاماته القانونية الخاصة بالإخطار.

10. حذف البيانات أو إعادتها

يحدد العميل، ضمن الحدود التي تتيحها الخدمة، فترة الاحتفاظ ببيانات محادثات Workspace الخاص به. وعند انتهاء تلك الفترة، أو عند انتهاء العلاقة التعاقدية بعد انقضاء فترة السماح المعمول بها، سنحذف البيانات الشخصية فعلياً — وليس عبر حذف منطقي بسيط — من أنظمة الإنتاج لدينا ومن النسخ الاحتياطية المعنية وفقاً لدورة حياتها، ما لم يُلزمنا القانون بالاحتفاظ بنسخ محددة، وفي هذه الحالة تظل تلك النسخ خاضعة لنفس التزامات السرية والأمان المنصوص عليها في هذه الـ DPA إلى حين حذفها. وبناءً على طلب العميل قبل الحذف، سنُسهّل تصدير البيانات الشخصية عبر آليات واجهة برمجة التطبيقات العامة.

11. عمليات التدقيق

سنوفر للعميل، بناءً على طلب معقول وبسرية مناسبة، المعلومات اللازمة لإثبات الامتثال لهذه الـ DPA، بما في ذلك ملخصات تدقيق أو شهادات أمنية صادرة عن أطراف ثالثة إن وُجدت. ويمكن الاتفاق تحديداً على حق تدقيق أوسع، بما في ذلك عمليات التفتيش الميداني أو من قبل طرف ثالث معيّن، في خطط Enterprise.

12. المسؤولية

تخضع مسؤولية كل طرف بموجب هذه الـ DPA للحدود والاستثناءات المنصوص عليها في بند تحديد المسؤولية الوارد في شروط الخدمة، إلا فيما ينص القانون المعمول به على عدم إمكانية تقييده.

13. سريان هذه الـ DPA وتعديلاتها

يجوز لنا تحديث هذه الـ DPA لتعكس تغييرات تنظيمية أو تغييرات في الخدمة، مع إخطار العميل بإشعار معقول مسبق. وتتطلب التغييرات التي تقلل بشكل جوهري من الضمانات الموضحة هنا موافقة صريحة من العميل عندما يقتضي القانون ذلك.

14. التواصل معنا

للاستفسارات المتعلقة بهذه الـ DPA، بما في ذلك الطلبات المتعلقة بالمعالجين الفرعيين أو الإخطار بالحوادث: legal@inteligenciaviva.com