اتفاقية معالجة البيانات

1. نطاق المعالجة

• الموضوع والغرض: تشغيل المساعد الذكي على واتساب والحجز وتتبّع العملاء المحتملين ولوحات التحكم والتقارير لصالح العميل.
• المدة: مدة الاشتراك مضافاً إليها فترة الحذف الواردة في البند 8.
• أصحاب البيانات: المستخدمون النهائيون للعميل (من يراسلونه عبر واتساب) وموظفو العميل.
• فئات البيانات: رقم واتساب، واسم الملف، ومحتوى الرسائل والصور، واللغة، وتفاصيل المواعيد، وملاحظات ملف العميل المحتمل، وبيانات التسليم. ولا تُعالج البيانات الحساسة (كالمعلومات الصحية) إلا إذا تطلّبها نشاط العميل وكان لديه أساس قانوني لذلك.

2. المعالجة وفق التعليمات

لا يعالج المعالج البيانات الشخصية إلا وفق تعليمات المتحكّم الموثّقة — أي هذه الشروط وإعدادات المتحكّم للخدمة والطلبات المكتوبة — ما لم يُلزمه القانون بخلاف ذلك، وفي هذه الحالة يُبلغ المتحكّم متى سمح القانون. ويُبلغ المعالجُ المتحكّمَ إذا رأى أن أي تعليمات تخالف القانون.

3. التزامات المتحكّم

يتحمّل المتحكّم مسؤولية مشروعية المعالجة، وتزويد المستخدمين النهائيين بمعلومات الخصوصية اللازمة (بما في ذلك أن مساعداً آلياً قد يرد عليهم)، والحصول على أي موافقات لازمة، ودقة البيانات والتعليمات التي يقدّمها.

4. السرية والأمان

يلتزم كل من يُخوَّل بمعالجة البيانات بالسرية. ويطبّق المعالج تدابير تقنية وتنظيمية مناسبة، منها:

• التشفير أثناء النقل عبر TLS، والتشفير عند التخزين بخوارزمية AES-256-GCM لرموز الوصول وأسرار التحقق بخطوتين؛
• العزل المنطقي بين العملاء، والصلاحيات حسب الأدوار، والتحقق بخطوتين، وقفل الحساب، وتحديد معدل المحاولات؛
• تسجيل الإجراءات الإدارية في سجل تدقيق، وإرسال تنبيهات أمنية لأصحاب الحسابات؛
• بيئة تشغيل محصّنة بأقل صلاحيات لازمة، ونسخ احتياطية يومية مشفّرة تُحفظ 14 يوماً؛
• الكشف الآلي عن إساءة الاستخدام (الإغراق والإزعاج وحقن التعليمات) وتصفية المخرجات.

5. المعالجون الفرعيون

يأذن المتحكّم بالمعالجين الفرعيين التالين: Meta Platforms (منصة واتساب للأعمال)، وAnthropic (مزوّد نموذج الذكاء الاصطناعي، ما لم يُستخدم نموذج مستضاف ذاتياً)، ومزوّد الاستضافة المخصّصة لدينا، وCloudflare (أمان الشبكة للموقع)، وGoogle Firebase Cloud Messaging (إشعارات الجوال لموظفي المتحكّم). ويفرض المعالج على كل معالج فرعي التزامات لحماية البيانات لا تقل عن هذه الاتفاقية ويبقى مسؤولاً عنهم.

يُشعر المعالج بأي معالج فرعي جديد قبل 14 يوماً على الأقل عبر البريد أو في هذه الصفحة. ويحق للمتحكّم الاعتراض لأسباب معقولة تتعلق بحماية البيانات، وإذا تعذّر حل الاعتراض يحق له إنهاء الخدمة المتأثرة دون غرامة.

6. المساعدة وطلبات أصحاب البيانات

مع مراعاة طبيعة المعالجة، يساعد المعالجُ المتحكّمَ في الرد على المستخدمين النهائيين عند ممارسة حقوقهم (مثل تصدير بيانات جهة اتصال أو حذفها)، وفي تقييمات أثر حماية البيانات والتشاور مع الجهات المختصة. وتُحال إلى المتحكّم أي طلبات ترد مباشرةً من المستخدمين النهائيين.

7. خروقات البيانات الشخصية

يُبلغ المعالجُ المتحكّمَ دون تأخير غير مبرر، وفي جميع الأحوال خلال 72 ساعة من علمه بأي خرق للبيانات الشخصية يمسّ بيانات المتحكّم، مع المعلومات المتاحة بشكل معقول (طبيعة الخرق وعواقبه المحتملة والإجراءات المتخذة)، ويتعاون في الحد من آثاره.

8. الإرجاع والحذف

عند انتهاء الخدمة، يقوم المعالج — بحسب اختيار المتحكّم خلال 30 يوماً — بإرجاع نسخة من جهات الاتصال والمواعيد ثم حذف البيانات الشخصية من الأنظمة الفعلية خلال 30 يوماً، وتُستبدل النسخ الاحتياطية خلال 14 يوماً إضافية، ما لم يقتضِ القانون الاحتفاظ بها.

9. المعلومات والتدقيق

يتيح المعالج المعلومات اللازمة بشكل معقول لإثبات الامتثال لهذه الاتفاقية، وذلك أولاً عبر إجابات مكتوبة على استبيان أمني. وإن لم يكن ذلك كافياً، يحق للمتحكّم إجراء تدقيق مرة واحدة سنوياً كحد أقصى، بإشعار مدته 30 يوماً، خلال ساعات العمل، وعلى نفقته، مع الالتزام بالسرية، ودون الوصول إلى بيانات العملاء الآخرين.

10. المسؤولية والأولوية

تخضع المسؤولية بموجب هذه الاتفاقية للحدود الواردة في شروط الخدمة. وفي حال تعارض هذه الاتفاقية مع الشروط فيما يتعلق بالبيانات الشخصية، تسود هذه الاتفاقية.