اتفاقية معالجة البيانات

01الوضع القانوني والإدراج

تشكّل اتفاقية معالجة البيانات هذه («الاتفاقية») جزءًا من الاتفاقية التجارية المبرمة بين شركة BINNOVY BUSINESS INNOVATION TECHNOLOGY QFZ LLC («بينوفي») والعميل المحدَّد في نموذج الطلب أو الاتفاقية ذات الصلة («العميل»)، حيثما تعالج بينوفي بيانات شخصية نيابةً عن العميل. وفي حال التعارض بشأن معالجة البيانات الشخصية، تسمو هذه الاتفاقية على شروط الخدمة العامة، بينما يسمو أي ملحق لحماية البيانات جرى التفاوض عليه تحديدًا على هذه الاتفاقية المعيارية بالقدر المنصوص عليه في ذلك الملحق.

02التعريفات والأدوار

يكون لمصطلحات «البيانات الشخصية» و«المعالجة» و«المتحكّم» و«المعالج» المعاني المقرّرة في قانون حماية خصوصية البيانات الشخصية القطري، وحيثما انطبق، في لائحة GDPR أو نظيرتها في المملكة المتحدة أو أي قانون خصوصية حاكم آخر. وبالنسبة إلى البيانات الشخصية للعميل المعالَجة بموجب هذه الاتفاقية، يعمل العميل بصفة المتحكّم (أو بصفة المعالج لحساب المتحكّم التابع له) وتعمل بينوفي بصفة المعالج (أو المعالج من الباطن بحسب الحال)، إلا حيث تحدّد بينوفي بصورة مستقلة غرض نشاط معالجة منفصل ووسائله فتعمل عندئذٍ بصفة المتحكّم بشأن ذلك النشاط.

03تعليمات العميل والمشروعية

لن تعالج بينوفي البيانات الشخصية للعميل إلا بناءً على تعليماته الموثّقة، بما فيها الواردة في الاتفاقية التجارية والتهيئة وطلبات الدعم المصرَّح بها، ما لم تكن المعالجة مطلوبة بموجب القانون الساري. وحيثما يجيز القانون ذلك، تُعلم بينوفي العميل قبل إجراء معالجة يقتضيها القانون. ويتحمّل العميل مسؤولية مشروعية البيانات والتعليمات التي يقدّمها وعدالتها وشفافيتها ودقتها ونطاقها، بما في ذلك الإشعارات والموافقات وسائر الأسس القانونية المطلوبة من أصحاب البيانات.

04تفاصيل المعالجة

يرد وصف الموضوع والطبيعة والغرض والمدة وفئات أصحاب البيانات وفئات البيانات الشخصية في الملحق الأول، وقد تُحدَّد بمزيد من التفصيل في نموذج الطلب أو وثائق الخدمة. ولن توسّع بينوفي نطاق المعالجة توسيعًا جوهريًا يتجاوز تلك التعليمات دون تصريح من العميل أو أساس قانوني صحيح آخر.

05السرية والعاملون

تقصر بينوفي الوصول إلى البيانات الشخصية للعميل على العاملين والمتعاقدين المصرَّح لهم الذين يحتاجون إليه لأداء الخدمة والملتزمين بواجبات السرية. وتوفّر بينوفي تدريبًا مناسبًا في الخصوصية والأمن وتدريبًا مرتبطًا بالأدوار للعاملين الذين يصلون إلى البيانات الشخصية.

06التدابير الأمنية

تنفّذ بينوفي وتحافظ على ضمانات إدارية وتقنية ومادية مناسبة ومتناسبة مع حساسية البيانات الشخصية للعميل ومع مخاطر المعالجة، مع مراعاة المتطلبات القطرية السارية ومبادئ المادة 32 من لائحة GDPR حيثما اتصلت بالأمر. ويرد ملخّص التدابير الأساسية في الملحق الثاني. ولا تسري الالتزامات الأمنية أو الشهادات أو معايير الضبط الخاصة بعميل بعينه إلا إذا نُصّ عليها في الملحق الأمني الساري أو نموذج الطلب أو وثائق الثقة المتحقَّق منها حاليًا.

07اختراقات البيانات الشخصية

تُخطر بينوفي العميل دون تأخير لا مبرّر له بعد علمها باختراق مؤكَّد للبيانات الشخصية يمسّ بيانات العميل. ويتضمّن الإخطار المعلومات المتاحة لبينوفي بصورة معقولة عن طبيعة الحادث والبيانات والأنظمة المتأثرة والعواقب المحتملة وإجراءات الاحتواء والمعالجة وجهة اتصال للتنسيق. وقد تُقدَّم المعلومات على مراحل مع تقدّم التحقيق. وتقدّم بينوفي مساعدة معقولة للعميل في الإخطارات المطلوبة قانونًا، مع مراعاة طبيعة المعالجة والمعلومات المتاحة لديها.

08طلبات أصحاب البيانات

مع مراعاة طبيعة المعالجة، تقدّم بينوفي مساعدة تقنية وتنظيمية معقولة تمكّن العميل من الردّ على طلبات ممارسة حقوق حماية البيانات. وإذا تلقّت بينوفي طلبًا يتعلق بالبيانات الشخصية للعميل مباشرةً من صاحب البيانات، فإنها تحيل مقدّم الطلب إلى العميل أو تُخطر العميل، ما لم يوجب القانون على بينوفي الردّ بصورة مستقلة.

09المساعدة في الامتثال

تقدّم بينوفي مساعدة معقولة، مع مراعاة طبيعة المعالجة والمعلومات المتاحة لديها، في تقييمات أثر الخصوصية والتشاور مع الجهات المختصة والاستفسارات الأمنية وسائر التزامات المتحكّم المنطبقة على الخدمة. وقد تخضع الخدمات المهنية الإضافية الخارجة عن نطاق الخدمة المعيارية لرسوم متفق عليها.

10المعالجون من الباطن

يمنح العميل بينوفي تصريحًا عامًا بالاستعانة بمعالجين من الباطن معتمَدين لأغراض الخدمة، مع مراعاة هذا البند وأي نموذج تصريح أكثر تشدّدًا في الاتفاقية التجارية. وتفرض بينوفي على كل معالج من الباطن التزامات مكتوبة لحماية البيانات لا تقلّ في جوهرها حمايةً للمعالجة المعنية عن التزامات بينوفي بموجب هذه الاتفاقية. وتظل بينوفي مسؤولة عن أداء التزامات معالجيها من الباطن بالقدر الذي يقتضيه القانون الساري والعقد.

تحتفظ بينوفي بصفحة محدَّثة للمعالجين من الباطن تحدّد المعتمَدين منهم ممن قد يعالجون البيانات الشخصية للعميل، وغرض خدمتهم، وموقع المعالجة ذي الصلة. وتقدّم بينوفي إخطارًا مسبقًا بأي معالج من الباطن جديد أو بديل جوهري حيثما تقتضي الاتفاقية أو القانون الساري ذلك، بما يتيح للعميل فرصة معقولة لإبداء اعتراض موثّق يتعلق بحماية البيانات.

11النقل الدولي وإقامة البيانات

تعالج بينوفي البيانات الشخصية للعميل في المواقع التي تجيزها تهيئة الخدمة ونموذج الطلب ومتطلبات الإقامة الموثّقة للعميل. ولا ينطبق أي ادعاء بالمعالجة داخل الدولة أو المعالجة السيادية أو المعزولة إلا حيث جرت تهيئة النشر المعني والاتفاق عليه تحديدًا. وتستخدم عمليات النقل عبر الحدود الضمانات التي يقتضيها القانون الساري. وحيثما يتطلب نقل بيانات شخصية من المنطقة الاقتصادية الأوروبية البنود التعاقدية النموذجية للمفوضية الأوروبية، أو يتطلب النقل إلى المملكة المتحدة آليةً معتمَدة لديها، يُدرج الطرفان الوحدة أو الملحق المناسب بالإحالة أو بالتوقيع حسب الاقتضاء.

12طلبات الجهات الحكومية وجهات إنفاذ القانون

إذا تلقّت بينوفي طلبًا ملزِمًا قانونًا للحصول على البيانات الشخصية للعميل من جهة عامة، فإنها تُخطر العميل حيثما يجيز القانون ذلك، وتقيّم الطلب من حيث صحته القانونية ونطاقه. ولا تفصح بينوفي إلا عن البيانات التي تُلزَم قانونًا بالإفصاح عنها، ولا تقدّم طوعًا بيانات شخصية للعميل إلى جهة عامة بما يتجاوز السند القانوني وشروط الاتفاقية.

13التدقيق والأدلة

تتيح بينوفي المعلومات اللازمة بصورة معقولة لإثبات الامتثال لهذه الاتفاقية. وقد يشمل ذلك، عند الاقتضاء، تقارير تدقيق مستقلة حديثة أو شهادات أو ملخّصات ضوابط أو وثائق أمنية أو ردودًا على تقييم معقول. وإذا لم تكن تلك المعلومات كافية للوفاء بالتزام قانوني، جاز للعميل طلب تدقيق مع مراعاة شروط معقولة تتعلق بالنطاق والسرية والأمن والتكرار وعدم تعطيل العمل. ويجب ألّا تكشف عمليات التدقيق بيانات عملاء آخرين أو معلومات ذات حصانة أو تفاصيل أمنية حساسة بما يتجاوز القدر اللازم.

14الإعادة والحذف

عند إنهاء الخدمة أو انتهاء مدتها، ورهنًا باختيار العميل الخطي حيثما كان ذلك مدعومًا تقنيًا، تعيد بينوفي البيانات الشخصية للعميل أو تحذفها وفقًا لعملية التصدير/الحذف الموثّقة للخدمة، إلا بالقدر الذي يقتضي فيه القانون الاحتفاظ بها أو الذي تبقى فيه مؤقتًا ضمن دورات النسخ الاحتياطي المحميّة. وتظل البيانات المحتفظ بها خاضعة لهذه الاتفاقية إلى حين حذفها أو جعلها مجهولة الهوية.

15المسؤولية والأولوية

تخضع المسؤولية الناشئة بموجب هذه الاتفاقية لإطار المسؤولية المنصوص عليه في الاتفاقية التجارية السارية، إلا بالقدر الذي يقتضي فيه قانون حماية البيانات الآمر خلاف ذلك. ولا يحدّ أي حكم في هذه الاتفاقية من حقوق صاحب البيانات أو من صلاحيات الجهة الرقابية حيثما لا يجوز قانونًا تقييدها بالعقد.

16القانون الحاكم

ما لم تنص الاتفاقية التجارية على خلاف ذلك بصورة صحيحة، تخضع هذه الاتفاقية للقانون ذاته ولجهة تسوية المنازعات ذاتها المقرَّرين في الاتفاقية التجارية. وحيثما لا توجد اتفاقية تجارية موقّعة تحدّدهما، تسري أحكام القانون الحاكم والمنازعات الواردة في شروط الخدمة، مع مراعاة الاختصاص الآمر لقانون الخصوصية وصلاحيات الجهة الرقابية.

17الملحق الأول — تفاصيل المعالجة

• المتحكّم / العميل — العميل المحدَّد في نموذج الطلب أو الاتفاقية التجارية السارية.
• المعالج — شركة BINNOVY BUSINESS INNOVATION TECHNOLOGY QFZ LLC، رقم القيد FZA 1075، مبنى 1، شارع 504، منطقة 49، المناطق الحرة القطرية، الدوحة، دولة قطر.
• الموضوع — تقديم خدمة بينوفي المتعاقد عليها واستضافتها ودعمها وتأمينها وإدارتها وتشغيلها.
• المدة — مدة الخدمة إضافةً إلى فترات محدودة بعد الإنهاء لازمة للتصدير ودورات النسخ الاحتياطي والاحتفاظ القانوني أو حفظ الأدلة في المنازعات.
• الطبيعة والغرض — الاستضافة والتخزين والنقل والحوسبة والمصادقة والإدارة والمراقبة والدعم والحوكمة والتسجيل وسائر وظائف الخدمة التي يهيّئها العميل.
• أصحاب البيانات — العاملون لدى العميل والمستخدمون المصرَّح لهم والمستخدمون النهائيون وجهات الاتصال وسائر الأشخاص الذين يختار العميل معالجة بياناتهم الشخصية عبر الخدمة.
• فئات البيانات الشخصية — تحدّدها حالة استخدام العميل وتهيئته؛ وقد تشمل بيانات التواصل المهني والحساب والمصادقة والاستخدام والمحتوى والمعاملات والدعم والبيانات التقنية.
• البيانات ذات الفئة الخاصة / الطبيعة الخاصة — غير مفترضة. ويجب على العميل تحديد هذه البيانات قبل المعالجة حيثما يقتضي نموذج الخدمة أو القانون أو النموذج الأمني تصريحًا أو ضوابط إضافية.

18الملحق الثاني — التدابير التقنية والتنظيمية الأساسية

• إدارة الهوية والوصول على أساس الحدّ الأدنى من الامتيازات والمصادقة المناسبة للدور.
• تشفير البيانات الشخصية أثناء النقل، وفي حالة السكون حيثما تدعم ذلك طبقة التخزين/الخدمة المعنية، باستخدام معايير تشفير حديثة معتمدة في القطاع.
• فصل بيئات العملاء وبياناتهم وصلاحياتهم بما يتناسب مع بنية النشر.
• التهيئة الآمنة وضبط التغيير وإدارة الثغرات وإجراءات الترقيع.
• التسجيل المركزي والمراقبة الأمنية وسجلات التدقيق بما يتناسب مع الخدمة والمخاطر.
• تدابير النسخ الاحتياطي والاسترجاع والمرونة واستمرارية الأعمال بما يتناسب مع التزامات الخدمة.
• إجراءات كشف الحوادث واحتوائها والتحقيق فيها ومعالجتها والإخطار بالاختراقات.
• التزامات السرية والتدريب على الأمن والخصوصية للعاملين المصرَّح لهم.
• العناية الواجبة تجاه المورّدين والضوابط التعاقدية للمعالجين من الباطن المعتمَدين.
• مراعاة الخصوصية منذ التصميم وتقليل البيانات إلى الحدّ الأدنى عند تصميم وظائف معالجة جديدة أو تغييرها تغييرًا جوهريًا.
• ضوابط الإقامة أو السيادة أو النشر المعزول القابلة للتهيئة من العميل، حيثما شملتها الخدمة المتعاقد عليها.

19الملحق الثالث — المعالجون من الباطن

تُحفظ القائمة التشغيلية الملزِمة للمعالجين من الباطن المعتمَدين على /sub-processors، وتشكّل جزءًا من هذه الاتفاقية بالإحالة حيثما تعتمد الاتفاقية التجارية التصريح العام. وقد تُدرج المعالجون من الباطن أو المواقع الخاصة بعميل بعينه في نموذج الطلب أو في ملحق النشر. ويجب تعبئة القائمة العامة من سجل مورّدي الإنتاج المتحقَّق منه لدى بينوفي قبل النشر الملزِم؛ ولا يجوز تخمين أسماء المورّدين أو أغراضهم أو مواقعهم أو نشرها قبل التحقق.