اتفاقية معالجة البيانات

الأطراف

• المتحكم: [اسم مؤسسة العميل]، ومقرها [مكان العمل]، رقم الغرفة التجارية [رقم الغرفة التجارية] (“المتحكم”).
• المعالج: ‏AGENTICA، ومقرها Langeland 18، 2548 WE لاهاي، رقم الغرفة التجارية 94577056، رقم ضريبة القيمة المضافة NL005093484B44 (“المعالج”).

المادة 1: التعريفات

• اللائحة: اللائحة العامة لحماية البيانات.
• البيانات الشخصية: كل معلومة تتعلق بشخص طبيعي محدد أو يمكن تحديده وتُعالج في إطار هذه الاتفاقية.
• المعالجة: كل عملية تتعلق بالبيانات الشخصية، مثل الجمع والتخزين والاطلاع والمحو.
• المعالج من الباطن: طرف ثالث يستعين به المعالج لتنفيذ (جزء من) المعالجة.

المادة 2: الموضوع والمدة

يعالج المعالج البيانات الشخصية حصرًا لحساب المتحكم وبناءً على تعليماته، في إطار استخدام TelMaar. وتسري هذه الاتفاقية بالتوازي مع العقد الرئيسي وتنتهي بحكم القانون بانتهائه، دون الإخلال بالأحكام التي تظل بطبيعتها سارية بعد الانتهاء (ومنها المادة 10 بشأن الإعادة والمحو).

المادة 3: طبيعة المعالجة والغرض منها

تشمل المعالجة تخزين البيانات الشخصية للأطراف ذات العلاقة (العملاء والموردين وجهات الاتصال لديهم) لدى المتحكم وإدارتها ومعالجتها لأغراض الإدارة المالية وإصدار الفواتير وإدارة العلاقة مع العملاء، على النحو المفصل في بيان الخصوصية الخاص بالمتحكم. وتتطابق فئات أصحاب البيانات والبيانات الشخصية مع المادتين 2 و4 من ذلك البيان.

المادة 4: التزامات المعالج

• يعالج المعالج البيانات الشخصية حصرًا بناءً على تعليمات مكتوبة من المتحكم، ما لم يقتضِ التزام قانوني خلاف ذلك.
• يضمن المعالج أن الأشخاص المخولين بمعالجة البيانات الشخصية قد التزموا بالسرية.
• يقدم المعالج تعاونًا معقولًا في طلبات أصحاب البيانات المتعلقة بالاطلاع أو التصحيح أو المحو، ضمن حدود التزام الحفظ القانوني.
• يبلغ المعالج المتحكم دون تأخير إذا رأى أن تعليمة ما تخالف التشريعات السارية.
• لا يستخدم المعالج البيانات الشخصية لتدريب أو تحسين نماذجه أو نماذج غيره، ويشترط ذلك أيضًا على المعالجين من الباطن الذين يستعين بهم.

المادة 5: تدابير الأمن

يتخذ المعالج تدابير تقنية وتنظيمية مناسبة، ومنها:

• تشفير البيانات أثناء النقل باستخدام TLS 1.3.
• تشفير البيانات في حالة السكون باستخدام AES-256، مع تشفير مغلّف إضافي (مفتاح تشفير بيانات لكل مؤسسة، مشفَّر بمفتاح رئيسي) لبيانات اعتماد مزودي الدفع وسائر الحقول البالغة الحساسية.
• إدارة الوصول على أساس الأدوار (RBAC) والحماية على مستوى الصف (Row Level Security) في قاعدة البيانات، بحيث لا تكون بيانات مؤسسة متاحة أبدًا لمؤسسة أخرى.
• المصادقة الثنائية (2FA) إلزامية للمستخدمين الذين يملكون صلاحية الكتابة على البيانات المالية.
• سجل تدقيق للإضافة فقط للتغييرات على البيانات المالية، يتضمن الوقت وعنوان IP والمستخدم.
• نسخ احتياطية دورية ومشفَّرة تُحفظ 7 أيام على الأقل و30 يومًا على الأكثر، بحيث لا تبقى أي نسخة بعد المحو بموجب المادة 10.

المادة 6: المعالجون من الباطن

يأذن المتحكم للمعالج بالاستعانة بالمعالجين الفرعيين التاليين: Supabase (قاعدة البيانات والمصادقة والتخزين)، وVercel (الاستضافة)، وResend (البريد الإلكتروني)، وStripe وMollie (معالجة المدفوعات)، وCloudflare (الأمان وتوصيل المحتوى)، وAnthropic (معالجة الأسئلة والمستندات التي يقدمها المتحكم عبر المساعد)، وSentry (تقارير الأخطاء من التطبيق بعد إزالة البيانات الشخصية)، Expo وGoogle وApple (إيصال الإشعارات إلى الهاتف)، وGoogle ML Kit (التعرف على النص على الجهاز عند تصوير إيصال)، Mapbox (عرض خريطة لعنوان)، وoverheid.io (الاستعلام في السجل التجاري)، وpostcode.tech (العنوان من الرمز البريدي). المساعد متاح فقط للمستخدمين ذوي الدور المالي ولا يعالج إلا ما يقدمه المستخدم بنفسه؛ ولا تُستخدم البيانات المقدمة لتدريب النماذج. يفرض المعالج على كل معالج فرعي التزامات مماثلة لما في هذه الاتفاقية ويُبلغ المتحكم بأي تغيير في هذه القائمة، مع إمكانية الاعتراض.

المادة 7: النقل خارج المنطقة الاقتصادية الأوروبية

تجري المعالجة من حيث المبدأ داخل المنطقة الاقتصادية الأوروبية. وبقدر ما يعالج معالج من الباطن بيانات شخصية خارجها، فإن ذلك يستند حصرًا إلى قرار كفاية صادر عن المفوضية الأوروبية أو إلى الشروط التعاقدية النموذجية للمفوضية الأوروبية، مدعومة بتدابير إضافية مناسبة مثل تشفير البيانات أثناء النقل وفي حالة السكون. ويطلع المعالج المتحكم، عند الطلب، على أساس النقل المعمول به لدى كل معالج من الباطن.

المادة 8: خروقات البيانات ومهلة الإبلاغ

يبلغ المعالج المتحكم بأي خرق مكتشف يتعلق بالبيانات الشخصية دون تأخير غير مبرر، وفي موعد أقصاه 48 ساعة من اكتشافه، حتى يتمكن المتحكم من الوفاء في الوقت المناسب بالتزامه بالإبلاغ (خلال 72 ساعة) تجاه الهيئة الهولندية لحماية البيانات. ويشمل الإبلاغ على الأقل طبيعة الخرق وفئات وأعداد أصحاب البيانات المتأثرين والتدابير المتخذة أو المقترحة.

المادة 9: عمليات التدقيق

يحق للمتحكم، بعد إشعار كتابي مسبق بمهلة معقولة لا تقل عن أربعة أسابيع، إجراء عمليات تدقيق على الامتثال لهذه الاتفاقية، أو الاطلاع عبر تقرير من طرف ثالث مستقل يتيحه المعالج. ويتحمل المتحكم تكاليف التدقيق الذي يجريه، ما لم تُكتشف أوجه قصور.

المادة 10: الإعادة والمحو بعد الانتهاء

عند انتهاء العقد الرئيسي، يتيح المعالج بناءً على طلب المتحكم جميع البيانات الشخصية بصيغة تصدير شائعة، ثم يمحو جميع البيانات الشخصية، باستثناء ما يجب حفظه بموجب التزام حفظ قانوني (ومنه التزام الحفظ الضريبي لمدة سبع سنوات). ويتم المحو خلال 30 يومًا من تاريخ الطلب.

المادة 11: المسؤولية

تخضع مسؤولية الطرفين بموجب هذه الاتفاقية للعقد الرئيسي المبرم بينهما، أي المادة 11 من الشروط العامة.

المادة 12: القانون الواجب التطبيق

يخضع هذا العقد للقانون الهولندي. وتُعرض المنازعات على المحكمة المختصة في دائرة لاهاي، ما لم ينص قانون آمر على خلاف ذلك.

المادة 13: ملحق خاص بالمسؤولين عن البيانات في الإمارات العربية المتحدة

تسري هذه المادة فقط إذا كان المسؤول عن البيانات مؤسسًا في الإمارات العربية المتحدة. وفي حال اختلافها عن المواد السابقة، تكون لهذه المادة الأولوية.

الإطار الواجب التطبيق. تخضع المعالجة للمرسوم بقانون اتحادي رقم 45 لسنة 2021 بشأن حماية البيانات الشخصية (PDPL). وحيثما تشير هذه الاتفاقية إلى اللائحة العامة لحماية البيانات، تسري على المسؤول عن البيانات الأحكام المقابلة في القانون المذكور.

النقل. يعالج المعالج البيانات الشخصية على خوادم في الاتحاد الأوروبي. ويتم هذا النقل بتعليمات من المسؤول عن البيانات؛ وهو ضروري لتنفيذ الاتفاقية، ويوفر الإقليم المستقبِل مستوى حماية لا يقل عن مستوى القانون المذكور.

خروقات البيانات. يخطر المعالج المسؤول عن البيانات بأي خرق للبيانات الشخصية دون تأخير غير مبرر، بما يمكّن المسؤول من الوفاء بالتزاماته في الإخطار تجاه مكتب البيانات في دولة الإمارات (UAE Data Office) وتجاه أصحاب البيانات.

حقوق أصحاب البيانات. يقدّم المعالج للمسؤول عن البيانات مساعدة معقولة في طلبات الاطلاع والتصحيح والمحو والتقييد والنقل والاعتراض بموجب القانون المذكور.

مدة الاحتفاظ. استثناءً من المادة 10، يُحتفظ بالسجلات الضريبية طوال المدة التي يفرضها قانون الدولة: خمس سنوات بعد نهاية الفترة الضريبية بالنسبة لضريبة القيمة المضافة، وخمس عشرة سنة للسجلات المتعلقة بالعقارات.

القانون الواجب التطبيق. استثناءً من المادة 12، تُعرض المنازعات الناشئة عن هذا الملحق على المحكمة المختصة في دبي، ويسري عليها قانون دولة الإمارات العربية المتحدة.

التوقيع

اتُّفق على ذلك ووُقِّع من الطرفين: