ملحق معالجة البيانات

1موقع هذا الملحق

يلحق هذا الملحق بشروط الخدمة ويسري كلما عالجنا بيانات شخصية نيابة عن منظّم. ولا يلزمك توقيعه على حدة: فهو يسري منذ قبولك شروط الخدمة.

وإذا تعارض هذا الملحق مع شروط الخدمة في شأن معالجة البيانات الشخصية، فالعبرة بهذا الملحق.

وإن احتاجت مؤسستك نسخة موقّعة أو أرادت استخدام نموذجها الخاص فراسلنا على info@yarnext.com بموضوع يبدأ بالعلامة [privasi].

2التعريفات

3موضوع المعالجة

4المعالجة بموجب التعليمات وحدها

نعالج البيانات الشخصية بموجب تعليمات المتحكم الموثّقة وحدها. وتشكّل شروط الخدمة وهذا الملحق واستخدام المتحكم لوظائف الخدمة تلك التعليمات الموثّقة.

وإذا ألزمنا القانون بمعالجة خارج تلك التعليمات أخبرنا المتحكم قبل ذلك، ما لم يمنع القانون نفسه الإخطار.

وإذا رأينا أن تعليمة تخالف أنظمة حماية البيانات أخبرنا المتحكم وجاز لنا تعليق تنفيذها حتى تُحسم المسألة.

ولا نستخدم بيانات المسجِّلين لأغراضنا: لا لتسويق شيء، ولا لتدريب نماذج، ولا لتحليلات عابرة للمنظّمين، ولا لبناء ملفات عن الأشخاص.

5السرية

كل من يمكنه الوصول إلى البيانات الشخصية من جهتنا ملتزم بالسرية التزامًا يستمر بعد انتهاء علاقته بنا، ولا يُمنح من الوصول إلا بقدر ما يقتضيه عمله فعلًا.

6التدابير التقنية والتنظيمية

نطبّق تدابير مناسبة للمخاطر، وأدناها ما يلي:

• عزل بين المنظّمين تفرضه قاعدة البيانات عبر أمان مستوى الصف، فلا يتجاوز خطأ في طبقة التطبيق الحدّ بين المؤسسات؛
• تشفير حركة البيانات عبر TLS من طرف إلى طرف؛
• حفظ الأسرار قصيرة الأجل — رموز الدخول والتحقق والوصول ورموز الدعوة — مملّحة ومجزّأة لا خامًا؛
• حفظ عناوين IP كبصمات مملّحة؛
• عدم إتاحة ملفات إجابات المسجِّلين إلا عبر مسار يشترط جلسة، مع كتابة كل جلب في سجل التدقيق؛
• الاستدلال على نوع الملف من بياناته نفسها، وتجريد بيانات الصور الوصفية قبل التخزين؛
• سجل تدقيق يسجّل من اطّلع على بيانات شخصية أو صدّرها بالجملة؛
• تحديد معدل الطلبات على المسارات العامة وعلى إرسال الرموز؛
• نسخ احتياطية دورية مع اختبار الاستعادة؛
• فصل بيئة التطوير عن بيئة الإنتاج، وعدم استخدام بيانات الإنتاج في التطوير.

ويجوز لنا تعديل هذه القائمة ما لم ينقص بذلك مستوى الحماية.

7المعالجون الفرعيون

يمنح المتحكم إذنًا عامًا بالاستعانة بمعالجين فرعيين. والساري حاليًا:

ونُلزم كل معالج فرعي بالتزامات حماية بيانات لا تقل عن التزاماتنا في هذا الملحق، ونبقى مسؤولين أمام المتحكم عن أفعال معالجينا الفرعيين.

ويُعلن عن إضافة معالج فرعي أو استبداله قبل 30 يومًا على الأقل من سريانه. وللمتحكم الاعتراض كتابةً لأسباب معقولة تتعلق بحماية البيانات؛ فإن تعذّر حلّ اعتراضه جاز له إنهاء الخدمة دون غرامة.

8مساعدة المتحكم

بالقدر الذي تسمح به طبيعة المعالجة، نساعد المتحكم في:

• الاستجابة لطلبات أصحاب البيانات — الاطلاع والتصحيح والحذف والتقييد وقابلية النقل — عبر وظائف اللوحة والتصدير المتاحة، وعبر مساعدة مباشرة حين لا تكفي؛
• الوفاء بالتزامات الأمان والإخطار عن الحوادث وتقييمات أثر حماية البيانات؛
• الإجابة عن استفسارات الجهات المختصة.

وتُحال طلبات أصحاب البيانات التي تصلنا مباشرة إلى المتحكم ولا نجيب عنها بأنفسنا، ما لم يأمر القانون بغير ذلك.

9الإخطار عن الحوادث

نخطر المتحكم دون تأخير غير مبرر، وقدر الإمكان خلال 48 ساعة من علمنا، بأي إخفاق في حماية البيانات الشخصية يمسّ بياناته.

ويشمل الإخطار طبيعة الحادث وفئات أصحاب البيانات والسجلات المتأثرة وعددها التقريبي والعواقب المحتملة والخطوات التي اتخذناها وسنتخذها واسم جهة الاتصال لمزيد من المعلومات. وتُستكمل التفاصيل التي لم تُعرف بعد تباعًا دون تأخير الإخطار الأول.

10التدقيق والإثبات

نقدّم بناء على طلب كتابي معلومات معقولة تثبت الالتزام بهذا الملحق — بما في ذلك شرح البنية الأمنية وقائمة المعالجين الفرعيين المحدّثة ونتائج تقييمات الأطراف الثالثة إن وُجدت.

ويجوز التدقيق الميداني مرة واحدة كل اثني عشر شهرًا، بإخطار سابق بثلاثين يومًا على الأقل، في أوقات العمل، بواسطة مدقق ملتزم بالسرية وليس منافسًا لنا، وبما لا يعطّل الخدمة على المنظّمين الآخرين. ويتحمل المتحكم التكلفة ما لم يكشف التدقيق مخالفة جوهرية من جانبنا.

11المعالجة عبر الحدود

حين تُعالَج البيانات خارج منطقة المتحكم نتحقق من وجود أساس نقل مشروع: مستوى حماية مكافئ في بلد المقصد، أو بنود تعاقدية معيارية تُلزم المتلقي، أو أساس آخر تعترف به الأنظمة السارية. ونذكر عند الطلب الأساس المطبَّق على نقل بعينه.

12إعادة البيانات وحذفها

ما دامت الخدمة قائمة، يستطيع المتحكم تصدير بيانات مسجِّليه في أي وقت بصيغة يقرأها الحاسوب.

وبعد انتهاء علاقة الخدمة نحفظ البيانات 30 يومًا لإتاحة استرجاعها أو التراجع عن الإغلاق، ثم نحذفها أو نجهّلها. وتُستبدل النسخ الاحتياطية التي لا تزال تحملها ضمن دورتها خلال 30 يومًا بعد ذلك على الأكثر.

والاستثناء الوحيد ما يلزمنا القانون بحفظه — كسجلات الفوترة وسجلات الموافقة بوصفها دليلًا — فنحفظه لذلك الغرض وحده ولا نعالجه لغيره.

13المسؤولية

تسري حدود المسؤولية الواردة في شروط الخدمة على هذا الملحق أيضًا، بما لا يتعارض مع أنظمة حماية البيانات التي لا يجوز الاتفاق على خلافها.

ويسأل كل طرف عن مخالفة التزاماته هو. ويسأل المتحكم عن صحة الأساس القانوني الذي يقرره وعن محتوى النموذج الذي يبنيه وعن ملاءمة البيانات التي يطلبها من مسجِّليه.