اتفاقية معالجة البيانات (DPA)

1. التعريفات

• «البيانات الشخصية للعميل» تعني البيانات الشخصية التي تعالجها Nebs-Creative نيابةً عن العميل بموجب الاتفاقية.
• «قوانين حماية البيانات» تعني UK GDPR وقانون حماية البيانات لعام 2018 (Data Protection Act 2018)، وحيثما كان ذلك منطبقًا على المعالجة، اللائحة العامة لحماية البيانات للاتحاد الأوروبي (EU GDPR) وقوانين الخصوصية المعمول بها في الولايات الأمريكية وغيرها من قوانين الخصوصية/حماية البيانات المعمول بها، بصيغتها المعدّلة أو المستبدلة.
• «البنود التعاقدية النموذجية للاتحاد الأوروبي (EU SCCs)» تعني البنود التعاقدية النموذجية الصادرة عن المفوضية الأوروبية والمعتمدة بموجب قرار التنفيذ (الاتحاد الأوروبي) 2021/914.
• يُقصد بعبارة «النقل المقيَّد» أي نقل كانت قوانين حماية البيانات المعمول بها ستحظره في غياب ضمانة مناسبة.
• يُقصد بعبارة «المعالج الفرعي» أي طرف ثالث أو شركة تابعة تستعين بها Nebs-Creative لمعالجة البيانات الشخصية للعميل.
• يُقصد بعبارة «آلية النقل» اتفاقية نقل البيانات الدولية للمملكة المتحدة (UK International Data Transfer Agreement)، أو الملحق البريطاني الخاص بالبنود التعاقدية النموذجية للاتحاد الأوروبي (UK Addendum to the EU SCCs)، أو البنود التعاقدية النموذجية للاتحاد الأوروبي (EU SCCs)، أو أي آلية أخرى تعترف بها قوانين حماية البيانات المعمول بها.
• يُقصد بعبارة «يوم العمل» الفترة من يوم الأحد إلى يوم الخميس، باستثناء العطلات الرسمية في بنغلاديش وأي إغلاق للاستوديو يتم الإخطار به.

تكون للمصطلحات: المتحكِّم، والمعالِج، وصاحب البيانات، والبيانات الشخصية، وخرق البيانات الشخصية، والمعالجة، والسلطة الرقابية، المعاني المنصوص عليها في اللائحة العامة لحماية البيانات في المملكة المتحدة (UK GDPR) أو ما يعادلها من المصطلحات القانونية المعمول بها.

2. الأدوار والنطاق

يكون العميل هو المتحكِّم وتكون Nebs-Creative هي المعالِج فيما يتعلق بالبيانات الشخصية للعميل. وإذا كان العميل نفسه معالِجًا لمتحكِّم آخر، فإن Nebs-Creative تعمل بصفة معالِج فرعي، ويقرّ العميل بأنه مخوَّل بإصدار التعليمات الواردة في اتفاقية معالجة البيانات هذه. ويصف الملحق 1 عملية المعالجة. ويظل كل طرف متحكِّمًا مستقلًا فيما يخص بيانات الاتصال التجارية المعتادة التي يعالجها لأغراض إدارة العلاقة.

3. مسؤوليات العميل

• التأكد من وجود أساس قانوني للمعالجة، ومن تقديم الإشعارات والموافقات المطلوبة بشأنها.
• عدم تقديم سوى البيانات الشخصية اللازمة بصورة معقولة للخدمات، واستخدام بيانات نموذجية أو مجهولة الهوية أو مستعارة الهوية كلما أمكن ذلك.
• إبلاغ Nebs-Creative كتابةً قبل تقديم بيانات من الفئات الخاصة أو بيانات تتعلق بالجرائم الجنائية أو بيانات الأطفال.
• التأكد من أن التعليمات الصادرة إلى Nebs-Creative تتوافق مع قوانين حماية البيانات المعمول بها.

4. التزامات Nebs-Creative

• عدم معالجة البيانات الشخصية للعميل إلا بناءً على تعليمات موثقة من العميل، بما في ذلك التعليمات المتعلقة بعمليات النقل الدولية، ما لم يقتضِ القانون خلاف ذلك.
• إبلاغ العميل إذا بدا أن أي تعليمات تخالف قوانين حماية البيانات المعمول بها، وذلك في حدود ما يسمح به القانون.
• التأكد من أن الموظفين المصرَّح لهم خاضعون لالتزامات السرية.
• الحفاظ على تدابير تقنية وتنظيمية مناسبة، بما في ذلك التدابير الموضحة في الملحق 2 بعد التحقق منها.
• تقديم المساعدة المعقولة فيما يتعلق بحقوق أصحاب البيانات، والتزامات الأمن، وحالات الخرق، وتقييمات الأثر على حماية البيانات (DPIAs)، والتشاور مع الجهة التنظيمية، مع مراعاة طبيعة المعالجة والمعلومات المتاحة.
• إتاحة المعلومات المعقولة المتعلقة بالامتثال والسماح بإجراء عمليات التدقيق وفقًا للبند 9.
• عدم بيع البيانات الشخصية للعميل أو استخدامها لأغراض Nebs-Creative الخاصة، بما في ذلك تدريب نماذج الذكاء الاصطناعي الخاصة بـ Nebs-Creative.

5. المعالجون الفرعيون

يمنح العميل تفويضًا عامًا بالاستعانة بمعالجين فرعيين. ويجب إدراج المعالجين الفرعيين الحاليين في الملحق 3. وتقدم Nebs-Creative إشعارًا مسبقًا لا تقل مدته عن 14 يومًا بأي إضافة أو استبدال مزمع. ويجوز للعميل الاعتراض لأسباب معقولة تتعلق بحماية البيانات. وإذا تعذّر حل الاعتراض بصورة معقولة، جاز للعميل إنهاء الخدمات المتأثرة واسترداد الرسوم المدفوعة مقدمًا عن الخدمات التي لم تُنفَّذ. وتفرض Nebs-Creative على كل معالج فرعي التزامات لحماية البيانات مماثلة في جوهرها، وتظل مسؤولة أمام العميل عن أداء المعالج الفرعي لتلك الالتزامات وفقًا لما يقضي به القانون المعمول به والاتفاقية.

6. عمليات النقل الدولية

يقرّ العميل بأن فريق Nebs-Creative يعمل من بنغلاديش، وبأن المعالجين الفرعيين المعتمدين قد يعالجون البيانات الشخصية للعميل في المواقع المبينة في الملحق 3. ويجب أن يستند كل نقل مقيَّد إلى آلية نقل صالحة أو أساس قانوني آخر، وأن يُدعَم، عند الاقتضاء، بتقييم مناسب لمخاطر النقل أو بتقييم مماثل.

بالنسبة لعمليات النقل المقيَّدة من المملكة المتحدة التي تجريها Nebs-Creative إلى متلقٍّ مثل كيان الاستوديو في بنغلاديش أو أحد المعالجين الفرعيين، تستخدم Nebs-Creative اتفاقية نقل البيانات الدولية للمملكة المتحدة المعمول بها، أو الملحق البريطاني مع وحدة البنود التعاقدية النموذجية للاتحاد الأوروبي ذات الصلة، أو أي آلية صالحة أخرى. وبالنسبة لعمليات النقل من المنطقة الاقتصادية الأوروبية التي تستلزم البنود التعاقدية النموذجية للاتحاد الأوروبي، تسري الوحدة المعمول بها بين المتحكِّم والمعالِج أو بين معالِج ومعالِج، بحسب الاقتضاء. وإذا تعارضت شروط النقل الإلزامية مع اتفاقية معالجة البيانات هذه، فإن شروط النقل الإلزامية هي التي تسود.

7. انتهاكات البيانات الشخصية

ستقوم Nebs-Creative بإخطار العميل دون تأخير غير مبرر، وبموجب اتفاقية معالجة البيانات القياسية الحالية، في جميع الأحوال خلال 48 ساعة من علمها بأي انتهاك للبيانات الشخصية يؤثر في البيانات الشخصية للعميل. وسيتضمن الإخطار المعلومات المتاحة عن طبيعة الانتهاك ونطاقه وعواقبه المحتملة وإجراءات التخفيف منه، على أن تُقدَّم معلومات إضافية فور توفرها. وستتخذ Nebs-Creative خطوات معقولة لاحتواء الحادث ومعالجته، وستتعاون مع العميل. ما لم يقتضِ القانون خلاف ذلك، لن تقوم Nebs-Creative بإخطار أي جهة تنظيمية أو أي صاحب بيانات نيابةً عن العميل دون تعليمات من العميل.

8. طلبات أصحاب البيانات

إذا تلقت Nebs-Creative طلبًا يتعلق بالبيانات الشخصية للعميل، فستحيل الطلب إلى العميل خلال 5 أيام عمل، ولن ترد عليه ردًا موضوعيًا إلا بتفويض من العميل أو بموجب ما يقتضيه القانون.

9. عمليات التدقيق ومعلومات الامتثال

ستستجيب Nebs-Creative لاستبيانات الامتثال المعقولة، وذلك عادةً مرة واحدة في السنة، مع تقديم معلومات إضافية عقب أي انتهاك ذي صلة أو بناءً على طلب جهة تنظيمية حيثما كان ذلك مناسبًا. وإذا لم تكن المعلومات الكتابية المعقولة كافية لإثبات الامتثال، جاز للعميل أو لمدقق مستقل غير منافس ملزم بالسرية إجراء تدقيق وفقًا لقيود الإشعار والتكرار وساعات العمل وعدم التعطيل المنصوص عليها في اتفاقية معالجة البيانات الواجبة التطبيق. ويتحمل كل طرف تكاليف التدقيق الخاصة به ما لم يقتضِ الاتفاق أو القانون الواجب التطبيق خلاف ذلك.

10. الإعادة والحذف

عند انتهاء الخدمات ذات الصلة، أو في وقت أسبق بناءً على تعليمات كتابية، ستقوم Nebs-Creative، وفق اختيار العميل، بإعادة البيانات الشخصية للعميل أو حذفها خلال 30 يومًا، وبحذف النسخ الموجودة ما لم يقتضِ القانون الواجب التطبيق الاحتفاظ بها. وتظل البيانات المتبقية في النسخ الاحتياطية الاعتيادية محمية بموجب اتفاقية معالجة البيانات هذه إلى أن يتم الكتابة فوقها في دورة النسخ الاحتياطي المعتادة. وسيتم تقديم تأكيد كتابي بالحذف عند الطلب.

11. شروط الخصوصية في الولايات الأمريكية

بالقدر الذي يعامل فيه قانون خصوصية معمول به في إحدى الولايات الأمريكية شركة Nebs-Creative بوصفها مزود خدمة أو مقاولًا أو معالِجًا فيما يتعلق بالبيانات الشخصية للعميل، فلن تقوم Nebs-Creative ببيع تلك البيانات أو مشاركتها بالمعنى المحدد في القانون المعمول به، ولن تحتفظ بها أو تستخدمها أو تفصح عنها خارج علاقة الخدمة المسموح بها، ولن تدمجها مع بيانات شخصية أخرى إلا بالقدر الذي يسمح به القانون. وستوفر Nebs-Creative مستوى حماية الخصوصية المطلوب من دورها، وستبلغ العميل إذا لم تعد قادرة على الوفاء بتلك الالتزامات. ويجوز للعميل اتخاذ الخطوات المعقولة التي يقتضيها القانون المعمول به لوقف الاستخدام غير المصرح به ومعالجته.

12. المسؤولية والأسبقية والقانون الواجب التطبيق

تخضع المسؤولية بموجب اتفاقية معالجة البيانات هذه لشروط المسؤولية الواردة في الاتفاق بالقدر الذي تسمح به قوانين حماية البيانات. وتظل اتفاقية معالجة البيانات سارية طوال مدة معالجة Nebs-Creative للبيانات الشخصية للعميل، وتسود على شروط الاتفاق المتعارضة معها في المسائل المتعلقة بالبيانات الشخصية. وتخضع اتفاقية معالجة البيانات القياسية لقانون إنجلترا وويلز، إلا في الحالات التي تقتضي فيها بنود النقل الإلزامية قانونًا واجب التطبيق أو جهة قضائية أخرى.

الملحق 1 - تفاصيل المعالجة

الملحق 2 - التدابير التقنية والتنظيمية

• المصادقة متعددة العوامل (MFA) على الحسابات المستخدمة للوصول إلى البيانات الشخصية للعميل متى كانت الخدمة تدعم ذلك.
• ضوابط وصول قائمة على المشروع؛ وإلغاء الوصول عند انتهاء المشروع؛ ومراجعات دورية للوصول.
• حسابات مستخدمين فردية؛ وحفظ الأسرار المشتركة في مدير كلمات مرور مشفّر معتمد.
• تشفير القرص بالكامل، وقفل الشاشة، وأنظمة تشغيل مدعومة، وتحديثات أمنية تلقائية، وبرامج مكافحة البرمجيات الخبيثة على الأجهزة المستخدمة في أعمال العملاء، وفقًا لما تقتضيه السياسة الداخلية.
• تُخزَّن البيانات الشخصية للعميل في الأدوات المعتمدة فقط؛ ولا يجوز استخدام وسائط قابلة للإزالة أو تخزين في حسابات شخصية ما لم يُصرَّح بذلك تحديدًا.
• تقليل البيانات إلى الحد الأدنى، واستخدام بيانات نموذجية أو مجهولة الهوية أو مستعارة الهوية حيثما أمكن.
• مشاركة الروابط/الملفات بصلاحيات مقيّدة، والتشفير أثناء النقل؛ وتشفير مزوّد التخزين للبيانات المخزنة حيثما ينطبق.
• عدم إدخال أي بيانات شخصية للعميل في أدوات الذكاء الاصطناعي إلا في أداة معتمدة مع الضمانات/الإعدادات المطلوبة وموافقة العميل.
• اتفاقيات السرية والملكية الفكرية مع أعضاء الفريق، والتدريب على الأمن وحماية البيانات.
• الإبلاغ الداخلي الفوري عن الحوادث وتسجيلها.
• إمكانات النسخ الاحتياطي والاسترداد لدى مزوّد الخدمة فيما يخص الخدمات السحابية المعتمدة.
• إعادة البيانات الشخصية للعميل أو حذفها وفقًا لقواعد الاحتفاظ الواردة في اتفاقية معالجة البيانات.

الملحق 3 - المعالجون الفرعيون

نموذج التوقيع (اختياري عند طلب اتفاقية معالجة بيانات موقّعة)