اتفاقية معالجة البيانات

1. الموضوع والمدة والطبيعة والغرض

الموضوع: تقديم الخدمة بموجب شروط الخدمة. المدة: الاشتراك، إضافةً إلى المدة اللازمة لإعادة البيانات وحذفها. الطبيعة والغرض: استضافة محتوى العميل والبحث فيه ونقله، ليتمكن الأعضاء من البحث في القانون بنموذج ذكاء اصطناعي يختاره المتحكم.

فئات أصحاب البيانات: أعضاء المتحكم وأي شخص مذكور في محتوى يدخله الأعضاء. أنواع البيانات الشخصية: كل ما يدخله الأعضاء؛ والخدمة غير مصمَّمة للفئات الخاصة (المادة 9) ولا لبيانات الجرائم (المادة 10)، والمتحكم هو من يقرر إدخالها.

2. التعليمات

لا نعالج البيانات الشخصية للعميل إلا بناءً على تعليمات المتحكم الموثَّقة — الشروط وهذه الاتفاقية والإعدادات التي يختارها المتحكم في التطبيق — ما لم يقتضِ قانون الاتحاد الأوروبي أو قانون دولة عضو خلاف ذلك، وفي هذه الحالة نخطر المتحكم أولًا ما لم يمنع القانون ذلك. ونخطر المتحكم إذا رأينا أن تعليمات ما تخالف قانون حماية البيانات.

3. السرية

كل من يُصرَّح له بمعالجة البيانات الشخصية للعميل ملزم بالسرية.

4. إجراءات الأمان

• الاستضافة في الاتحاد الأوروبي (Hetzner، نورمبرغ، ألمانيا)؛ والتشفير أثناء النقل. وتُحفظ النسخ الاحتياطية على خادمنا؛ والنسخة خارج الموقع، متى أُنشئت، مشفّرة.
• لا تخزين لنص الأسئلة أو الإجابات ما لم يفعّل المتحكم سجلات المحادثات؛ وسجلات المحادثات مشفّرة بمفتاح خاص بالمؤسسة.
• مفاتيح مزوّدي الذكاء الاصطناعي تُختم عند حفظها؛ وبعد ذلك لا يعرض التطبيق إلا آخر أربعة أحرف منها.
• وصول قائم على الأدوار داخل المؤسسة؛ ودعم مفاتيح المرور والعوامل الثانية؛ وتسجيل دخول موحّد (SSO) على مستوى المؤسسة عبر مزوّد الهوية الخاص بها (Microsoft Entra ID أو Google أو Okta أو أي مزوّد OpenID Connect)، متى أثبتت المؤسسة ملكيتها لنطاق بريدها الإلكتروني.
• سجل تدقيق للإضافة فقط مع تصدير موقَّع.
• يعمل فريقنا من خلال وحدة تحكم الموظفين. وهي تتطلب حساب موظف بعامل ثانٍ وتسجيل دخول خلال الـ12 ساعة الأخيرة. وكل تغيير يجريه الموظفون في مؤسسة يتطلب سببًا ويُسجَّل في سجل التدقيق الخاص بتلك المؤسسة. ومنح وصول الموظفين أو سحبه يُسجَّل في سجل التدقيق الخاص بنا. وتغيير السعر، أو إصدار فاتورة أو دفعها، أو تسجيل التحقق من رقم ضريبة القيمة المضافة، أو تغيير مدة الاحتفاظ من سطر أوامر الخادم نفسه، يتطلب كذلك اسم المشغّل وسببًا. ويجوز للدعم الاطلاع على مؤسسة بصفة عضو، للقراءة فقط، لمدة 30 دقيقة على الأكثر؛ ويُسجَّل ذلك أيضًا في سجل المؤسسة. وتُعالَج خروقات البيانات الشخصية كما هو مبيّن تحت «المساعدة».

5. المعالجون الفرعيون

يمنح المتحكم إذنًا عامًا للمعالجين الفرعيين الواردين في قائمة المعالجين الفرعيين. ونقدّم إخطارًا قبل 30 يومًا على الأقل بأي إضافة أو استبدال، بالبريد الإلكتروني وفي تلك الصفحة؛ ويجوز للمتحكم الاعتراض لأسباب معقولة تتعلق بحماية البيانات، وإذا تعذّر علينا حل الاعتراض، يجوز له إنهاء الخدمة المتأثرة مع ردّ مبلغ متناسب. وكل معالج فرعي ملزم بالتزامات حماية بيانات معادلة لهذه الالتزامات، ونبقى مسؤولين عنه.

مزوّد الذكاء الاصطناعي الذي يربطه المتحكم يتعاقد معه المتحكم بموجب اتفاق المتحكم الخاص معه، وليس معالجًا فرعيًا لنا.

6. المساعدة

نساعد المتحكم في الرد على طلبات أصحاب البيانات — وتغطي وظائف التصدير والحذف في التطبيق معظمها — وفي الأمان والإخطار بالخروقات وتقييمات الأثر والتشاور المسبق، مع مراعاة ما يمكننا معرفته. ونخطر المتحكم بأي خرق للبيانات الشخصية دون تأخير غير مبرَّر، ونسعى إلى ذلك خلال 48 ساعة من علمنا به.

7. الإعادة والحذف

ما دامت مؤسستك مفتوحة، يستطيع المتحكم تصدير بياناتها في أي وقت. وعند إغلاقها، نحذف البيانات الشخصية للعميل التي نحتفظ بها بعد 30 يومًا، بما في ذلك من النسخ الاحتياطية عند تدويرها، ما لم يقتضِ القانون الاحتفاظ بها.

8. المعلومات والتدقيق

نتيح المعلومات اللازمة لإثبات الامتثال للمادة 28، ونسمح بإجراء عمليات تدقيق من المتحكم أو من مدقق يفوّضه، بإخطار معقول ولا أكثر من مرة في السنة ما لم يقتضِ خرق أو سلطة خلاف ذلك. وليس لدينا بعدُ شهادة أمنية ولا اختبار اختراق مستقل؛ وعندما نحصل على أحدهما سيُدرج هنا مع تاريخه.