ملحق معالجة البيانات

ملحق معالجة البيانات هذا (الملحق) جزء من شروط الخدمة المبرمة بينك وبين شركة مجموعة GridStudio المذكورة في فاتورتك (نحن، لنا). ويسري متى عالجنا نيابةً عنك بيانات شخصية واردة في بيانات العميل. وللمصطلحات المعرَّفة غير المحدَّدة هنا المعنى المبيّن لها في شروط الخدمة.

في تلك المعالجة تكون أنت المتحكم، أو معالجًا يعمل لحساب عملائك، ونكون نحن المعالج لديك. يلتزم كل طرف بقوانين حماية البيانات السارية عليه، ومنها حيثما انطبق اللائحة العامة لحماية البيانات في الاتحاد الأوروبي والمملكة المتحدة، وقانون حماية البيانات الشخصية التركي (KVKK)، وقانون حماية البيانات الشخصية في دولة الإمارات.

لا يشمل هذا الملحق البيانات التي نعالجها بصفتنا متحكمًا لأغراضنا الخاصة، مثل بيانات الحساب والفوترة. توضّح سياسة الخصوصية تلك المعالجة.

إذا تعارض هذا الملحق مع بقية شروط الخدمة بشأن معالجة البيانات الشخصية، فالغلبة لهذا الملحق.

• الموضوع والغرض: إرسال الرسائل واستقبالها عبر القنوات التي تربطها، والإبلاغ عن حالتها، وتسليم أحداث Webhook إليك، والفوترة، والحفاظ على أمان الخدمة.
• المدة: ما دام لديك حساب، وبعد ذلك إلى أن تُحذف البيانات وفق ما هو موضّح في القسم 10.
• طبيعة المعالجة: الاستلام، والتخزين، والإرسال إلى مزوّدي القنوات، والتسجيل، والعرض لك، والحذف.
• أصحاب البيانات: الأشخاص الذين ترسل إليهم الرسائل وتستقبلها منهم، وأي شخص آخر يرد ذكره في الرسائل.
• فئات البيانات: المعرّفات مثل أرقام الهواتف ومعرّفات المحادثات ومعرّفات المستخدمين على المنصات؛ ومحتوى الرسائل والوسائط المشار إليها؛ وحالات التسليم والقراءة؛ والمراجع والبيانات الوصفية التي ترفقها.
• الفئات الخاصة: الخدمة غير مصمَّمة للفئات الخاصة من البيانات الشخصية. أنت من يقرّر ما تحتويه رسائلك، ويُحظر عليك إرسال مثل هذه البيانات ما لم يكن لديك أساس قانوني وكان مزوّد القناة يسمح بذلك.

لا نعالج البيانات الشخصية إلا وفق تعليماتك الموثّقة. وتشكّل شروط الخدمة وهذا الملحق واستخدامك واجهة API ولوحة التحكم تعليماتك الكاملة. نخبرك إذا رأينا أن تعليمات ما تخالف قانون حماية البيانات، ولسنا ملزمين باتباع تعليمات كهذه.

يجوز لنا أيضًا معالجة البيانات حيثما يقتضي ذلك قانون يسري علينا. وفي تلك الحالة نخبرك أولًا، ما لم يحظر ذلك القانون إخبارك.

أنت مسؤول عن مشروعية المعالجة: عن وجود أساس قانوني، وعن الموافقات والإشعارات المستحقة لأصحاب البيانات، وعن دقة البيانات التي تقدّمها.

نتأكد من أن الأشخاص المخوَّلين بمعالجة البيانات الشخصية ملزمون بواجب السرية ولا يصلون إلى البيانات إلا بالقدر الذي يقتضيه عملهم.

نطبّق تدابير تقنية وتنظيمية ملائمة للمخاطر، ويجوز لنا تحديثها ما دام مستوى الحماية لا ينخفض. وتشمل حاليًا:

• تشفير البيانات أثناء النقل باستخدام TLS؛
• تخزين كلمات المرور مجزّأة باستخدام Argon2id، وتخزين رموز الجلسات ومفاتيح API مجزّأة فقط؛
• تشفير أسرار توقيع Webhook والمفاتيح التي تربط الحساب بمنصة التسليم أثناء التخزين باستخدام AES-256-GCM؛
• تمرير بيانات اعتماد القنوات ورموزها ورموز التفويض إلى منصة التسليم دون أن تخزّنها البوابة أو تسجّلها؛
• صلاحيات وصول مبنية على الأدوار لأعضاء الحساب، ومفاتيح API مقيّدة بالنطاق وبعنوان IP، وتحديد للمعدّل، وقفل بعد تكرار محاولات تسجيل الدخول الفاشلة؛
• فصل منطقي بين بيانات كل حساب؛
• سجل تدقيق للإجراءات الإدارية، يشمل كل مرة يدخل فيها فريقنا إلى حساب لتقديم الدعم؛
• تسليمات Webhook موقّعة، والتحقق من عناوين Webhook مقابل نطاقات الشبكات الخاصة.

تمنحنا تفويضًا عامًّا بالاستعانة بمعالجين من الباطن. نستعين بهم بموجب عقد مكتوب يفرض التزامات لحماية البيانات مكافئة لما في هذا الملحق، ونبقى مسؤولين أمامك عن عملهم.

فئات المعالجين من الباطن الذين نستعين بهم لبيانات العميل هي:

• الاستضافة والبنية التحتية: المزوّدون الذين يستضيفون خوادمنا وقواعد بياناتنا ونسخنا الاحتياطية؛
• شركات مجموعة GridStudio: التي تشغّل منصة التسليم المتصلة بمزوّدي القنوات وتدعم الخدمة.

نخبر مالكي حسابك قبل أن نضيف معالجًا من الباطن أو نستبدله. ويجوز لك الاعتراض لأسباب معقولة تتعلق بحماية البيانات خلال أربعة عشر يومًا. فإذا تعذّر علينا حل الاعتراض، جاز لك إنهاء الاتفاقية، ونردّ عندئذ رصيد المحفظة غير المستخدم الذي دفعت مقابله والجزء غير المستخدم من الباقات غير المنتهية التي اشتريتها، محسوبًا بالتناسب.

مزوّدو القنوات، مثل Meta وTelegram وTikTok وTwilio وغيرها من مزوّدي SMS وشركات الاتصالات، ليسوا معالجين من الباطن لدينا. أنت من يختارهم، ولك اتفاقيتك الخاصة مع كل منهم، ونرسل البيانات إليهم وفق تعليماتك. أما معالج الدفع ومزوّد تسليم البريد الإلكتروني اللذان نتعامل معهما فيعالجان بيانات الحساب والفوترة لحسابنا بصفتنا متحكمًا ولا يستلمان بيانات العميل.

مع مراعاة طبيعة المعالجة، نساعدك بتدابير تقنية وتنظيمية ملائمة على الرد على طلبات أصحاب البيانات الذين يمارسون حقوقهم. تتيح لك لوحة التحكم وواجهة API البحث عن رسائل مستلم واسترجاعها. وإذا تواصل معنا صاحب بيانات مباشرة، نحيله إليك ولا نجيب عن الطلب بأنفسنا ما لم تطلب منا ذلك أو يقتضِه القانون.

نقدّم لك أيضًا مساعدة معقولة في تقييمات أثر حماية البيانات، وفي المشاورات مع السلطات الإشرافية، وفي أمان المعالجة، بقدر ما تتصل هذه الأمور بالخدمة ولا تستطيع الحصول على المعلومات بنفسك.

نبلغ مالكي حسابك دون تأخير غير مبرَّر بعد علمنا بخرق للبيانات الشخصية يؤثّر في بيانات العميل. يصف الإشعار ما نعرفه عن طبيعة الخرق، والبيانات المعنية، وعواقبه المحتملة، والتدابير المتخذة أو المقترحة، ونضيف المعلومات كلما توافرت. والإشعار ليس إقرارًا بالخطأ.

توجّهنا بإرسال بيانات العميل إلى مزوّدي القنوات وإلى المستلمين الذين تخاطبهم، أينما كانوا. ويجوز لنا ولمعالجينا من الباطن معالجة بيانات العميل في بلدان غير البلد الذي تتخذه مقرًّا.

حيثما يقيّد قانون حماية البيانات نقلًا ما، يعتمد الطرفان على آلية نقل يقرّها. وحيثما تكون البنود التعاقدية النموذجية المعتمدة من المفوضية الأوروبية، مع الملحق البريطاني حيثما انطبق، لازمة لنقل منك إلينا، فهي مدمجة في هذا الملحق بالإحالة، وتكون أنت مصدّر البيانات ونحن مستورد البيانات، وتكون تفاصيل المعالجة هي المبيّنة في القسمين 2 و5.

ما دامت الاتفاقية سارية، يمكنك استرجاع بيانات العميل عبر لوحة التحكم وواجهة API. وعند انتهاء الاتفاقية، نحذف بيانات العميل خلال مدة معقولة، ما لم يُلزمنا قانون يسري علينا بالاحتفاظ بها؛ وفي تلك الحالة نحافظ على سريتها ولا نستخدمها لأي غرض آخر. وعند الطلب قبل إغلاق الحساب، نقدّم لك مساعدة معقولة في تصدير البيانات.

تُستبدل النسخ الاحتياطية وفق دورة النسخ الاحتياطي لدينا. أما السجلات التي نحتاج إليها بصفتنا متحكمًا، مثل إجماليات الاستخدام لأغراض الفوترة، فتُحفظ وفق سياسة الخصوصية.

نتيح المعلومات اللازمة على نحو معقول لإثبات امتثالنا لهذا الملحق، ونجيب عن الأسئلة المكتوبة عن تدابير الأمان لدينا.

حيثما لا تكفي تلك المعلومات للوفاء بمتطلب قانوني، يجوز لك، مرة واحدة على الأكثر كل اثني عشر شهرًا وبإشعار كتابي قبل ثلاثين يومًا، أن تجري تدقيقًا بنفسك أو عبر مدقق مستقل ملزَم بالسرية. يُجرى التدقيق خلال ساعات العمل، ويجب ألا يعطّل الخدمة أو يكشف بيانات عملاء آخرين، ويكون على نفقتك. ويمكن إجراء تدقيقات أكثر تكرارًا حيثما تطلبها سلطة إشرافية أو بعد خرق للبيانات الشخصية.

تسري حدود المسؤولية واستثناءاتها الواردة في شروط الخدمة على هذا الملحق، إلا حيثما لا يجيز قانون حماية البيانات تطبيقها على حقوق أصحاب البيانات.

يسري هذا الملحق ما دمنا نعالج بيانات شخصية نيابةً عنك. إذا احتجت إلى نسخة موقّعة، راسلنا على support@omnimessage.co.