ملحق معالجة البيانات

يُشكّل ملحق معالجة البيانات هذا ("الملحق" أو "DPA") جزءًا من شروط الخدمة المبرمة بين Weesify ("Weesify" أو "المعالِج") والعميل الذي يملك مساحة عمل على Weesify ("العميل" أو "المتحكِّم"). ويسري كلما عالجت Weesify بيانات شخصية نيابةً عن العميل. وقد صُمّم للوفاء بمتطلبات المادة 28 من GDPR (اللائحة العامة لحماية البيانات) وUK GDPR، ومتطلبات المعالِج بموجب CCPA وNDPA وPDPL الإماراتي وPOPIA. ويسري تلقائيًا، ويمكن لمالكي مساحات العمل أيضًا قبوله من إعدادات مساحة العمل لأغراض حفظ سجلاتهم.

1. التعريفات

تحمل المصطلحات مثل "البيانات الشخصية" و"المعالجة" و"المتحكِّم" و"المعالِج" و"صاحب البيانات" و"خرق البيانات الشخصية" المعاني المحددة لها في GDPR. ويُقصد بـ"البيانات الشخصية للعميل" البيانات الشخصية التي تعالجها Weesify نيابةً عن العميل من خلال الخدمة. ويُقصد بـ"المعالِج الفرعي" أي طرف ثالث تستعين به Weesify لمعالجة البيانات الشخصية للعميل.

2. الأدوار

2.1. العميل هو المتحكِّم (أو معالِج يعمل لصالح المتحكِّم الخاص به) في البيانات الشخصية للعميل. وWeesify هي المعالِج (أو المعالِج الفرعي).

2.2. تُعدّ Weesify متحكِّمًا مستقلًا في البيانات المتعلقة بحساب العميل والفوترة وسجلات الأمان ومنع الاحتيال، وهي بيانات تشملها سياسة الخصوصية الخاصة بنا.

2.3. بموجب CCPA، تُعدّ Weesify "مزوّد خدمة". ولن تبيع البيانات الشخصية للعميل أو تشاركها، ولن تحتفظ بها أو تستخدمها أو تفصح عنها خارج نطاق علاقة العمل المباشرة، ولن تدمجها مع بيانات أخرى إلا بالقدر الذي يسمح به CCPA.

3. تفاصيل المعالجة

البند	الوصف
موضوع المعالجة	تقديم خدمة Weesify
المدة	طوال مدة سريان الشروط، بالإضافة إلى فترة الحذف المنصوص عليها في القسم 11
طبيعة المعالجة والغرض منها	الاستضافة والتخزين والعرض والتحليلات والاتصالات (البريد الإلكتروني) والتجارة والدفع وتقديم الدورات والمجتمعات والفعاليات والحجوزات والميزات المدعومة بالذكاء الاصطناعي والدعم
أصحاب البيانات	زوّار العميل ومشتركوه وجهات اتصاله ومشتروه وطلابه وأعضاؤه والحاضرون والمسوّقون بالعمولة وأعضاء فريقه
فئات البيانات	المعرّفات وبيانات الاتصال، وبيانات الطلبات والمعاملات، والتقدّم في الدورات، وإجابات النماذج، والرسائل، وبيانات الحجز والحضور، وبيانات الأجهزة والتحليلات دون ملفات تعريف الارتباط، وأي بيانات أخرى يختار العميل جمعها
الفئات الخاصة	فقط إذا اختار العميل جمعها، وفي هذه الحالة يكون العميل مسؤولًا عن توفير أساس قانوني لذلك

4. التزامات Weesify

تلتزم Weesify بما يلي:

4.1. معالجة البيانات الشخصية للعميل بناءً على تعليماته الموثّقة فقط (هذه الشروط، وإعدادات العميل للخدمة، والتعليمات المكتوبة)، ما لم يقتضِ القانون خلاف ذلك، وفي هذه الحالة تُبلغ Weesify العميل مسبقًا ما لم يحظر القانون ذلك؛

4.2. إبلاغ العميل إذا رأت أن تعليمةً ما تخالف قانون حماية البيانات؛

4.3. التأكد من التزام جميع الأشخاص المصرّح لهم بمعالجة البيانات بواجب السرية؛

4.4. تطبيق تدابير الأمان الواردة في القسم 6؛

4.5. مساعدة العميل، مع مراعاة طبيعة المعالجة، في طلبات أصحاب البيانات وتقييمات الأثر على حماية البيانات والمشاورات المسبقة؛

4.6. إتاحة المعلومات اللازمة لإثبات الامتثال والسماح بعمليات التدقيق وفق ما هو موضح في القسم 10.

5. المعالِجون الفرعيون

5.1. يمنح العميل Weesify تفويضًا عامًا بالاستعانة بمعالِجين فرعيين. وتفرض Weesify على كل معالِج فرعي شروطًا لحماية البيانات لا تقل في مستوى حمايتها عن هذا الملحق، وتظل مسؤولة عن أدائهم.

5.2. الفئات الحالية للمعالِجين الفرعيين:

الفئة	الغرض	الموقع المعتاد
الاستضافة السحابية وقواعد البيانات	تشغيل التطبيق وتخزين البيانات	المنطقة المختارة للنشر، مع نسخ احتياطية في المنطقة نفسها أو في منطقة توفّر حماية كافية
تخزين الكائنات وتوصيل المحتوى	تخزين الوسائط والملفات وتقديمها	شبكة طرفية عالمية
إرسال البريد الإلكتروني	إرسال رسائل البريد الإلكتروني التشغيلية والتسويقية	الاتحاد الأوروبي / الولايات المتحدة
معالجة المدفوعات (Stripe وPaystack وFlutterwave وPayPal)	معالجة المدفوعات وتحويل الأرباح وفحوصات الاحتيال (جزئيًا بصفتها متحكِّمين مستقلين)	عالمي
مزوّدو نماذج الذكاء الاصطناعي	توليد مخرجات الذكاء الاصطناعي عند الطلب؛ دون التدريب على بيانات العميل	الولايات المتحدة / الاتحاد الأوروبي
مراقبة الأخطاء وتسجيلها	تشخيص الأعطال	الاتحاد الأوروبي / الولايات المتحدة
أدوات دعم العملاء	الرد على طلبات الدعم	الاتحاد الأوروبي / الولايات المتحدة

5.3. تتوفر قائمة حالية بأسماء المعالِجين الفرعيين عند الطلب عبر privacy@weesify.com. وستُرسل Weesify إشعارًا قبل 30 يومًا على الأقل من الاستعانة بأي معالِج فرعي جديد، عبر البريد الإلكتروني أو داخل التطبيق. ويجوز للعميل الاعتراض خلال تلك المدة لأسباب معقولة تتعلق بحماية البيانات؛ وإذا تعذّر علينا حل الاعتراض، جاز للعميل إنهاء الخدمة المتأثرة واسترداد الرسوم المدفوعة مسبقًا بشكل تناسبي.

6. تدابير الأمان

تحافظ Weesify على تدابير تقنية وتنظيمية مناسبة، تشمل:

• التشفير أثناء النقل (TLS 1.2 أو أعلى) وأثناء التخزين؛
• تخزين كلمات المرور باستخدام دالة تجزئة قوية أحادية الاتجاه؛ والمصادقة الثنائية للحسابات، وهي إلزامية لوصول الموظفين؛
• الفصل المنطقي لبيانات كل مساحة عمل، والتحقق من الصلاحيات في كل طلب؛
• وصول الموظفين وفق مبدأ الحد الأدنى من الصلاحيات وعلى أساس الأدوار، مع تسجيل عمليات التدقيق؛
• حماية الشبكة وتقييد معدل الطلبات واكتشاف إساءة الاستخدام؛
• النسخ الاحتياطي المنتظم واختبار الاستعادة؛
• التطوير الآمن ومراجعة الشيفرة وتحديث الاعتماديات وإدارة الثغرات، بما في ذلك برنامج للإفصاح المسؤول عن الثغرات؛
• تحليلات دون ملفات تعريف الارتباط تستخدم قيم تجزئة مملّحة تتغيّر يوميًا بدلًا من المعرّفات؛
• اتفاقيات سرية مع الموظفين وتدريبهم على الأمان؛
• إجراءات الاستجابة للحوادث.

7. خروقات البيانات الشخصية

7.1. ستُخطر Weesify العميل دون تأخير غير مبرر، وفي جميع الأحوال خلال 72 ساعة، من علمها بأي خرق للبيانات الشخصية يمس البيانات الشخصية للعميل.

7.2. سيتضمن الإخطار، بالقدر المعروف، وصفًا لطبيعة الخرق، وفئات أصحاب البيانات والسجلات المعنية وعددها التقريبي، والعواقب المحتملة، والتدابير المتخذة أو المقترحة. ويجوز تقديم المعلومات على مراحل.

7.3. ستتخذ Weesify خطوات معقولة لاحتواء الخرق ومعالجته، وستتعاون مع العميل في الوفاء بالتزاماته الخاصة بالإخطار. ولا يُعدّ الإخطار إقرارًا بالخطأ.

8. عمليات النقل الدولية

8.1. لا يجوز لـWeesify نقل البيانات الشخصية للعميل إلى خارج المنطقة الاقتصادية الأوروبية أو المملكة المتحدة أو سويسرا أو أي دولة أخرى لديها قواعد تنظّم النقل إلا مع توفير ضمانات مناسبة.

8.2. حيثما يلزم، يتفق الطرفان على أن البنود التعاقدية القياسية للاتحاد الأوروبي (قرار المفوضية التنفيذي (EU) 2021/914)، الوحدة الثانية (من المتحكِّم إلى المعالِج) أو الوحدة الثالثة (من المعالِج إلى المعالِج) حسب الاقتضاء، مُدمجة بالإحالة، مع تضمين البند 7 (بند الانضمام)، واعتماد الخيار 2 من البند 9 (التفويض العام، مع إشعار قبل 30 يومًا)، وحذف الصياغة الاختيارية في البند 11، وخضوع البندين 17 و18 لقانون أيرلندا ومحاكمها. وتُستكمل الملاحق بالمعلومات الواردة في الأقسام 3 و5 و6 من هذا الملحق.

8.3. بالنسبة لعمليات النقل من المملكة المتحدة، يسري ملحق نقل البيانات الدولي الخاص بالمملكة المتحدة إلى SCCs (البنود التعاقدية القياسية)؛ وبالنسبة لعمليات النقل من سويسرا، تسري SCCs مع تكييف الإحالات وفق قانون FADP السويسري. وبالنسبة لعمليات النقل الخاضعة لـNDPA أو PDPL الإماراتي أو POPIA، تُستخدم SCCs بوصفها الضمانة المناسبة بالقدر الذي تعترف به تلك القوانين، إلى جانب التدابير الواردة في القسم 6.

9. طلبات أصحاب البيانات

إذا تلقّت Weesify طلبًا من صاحب بيانات بشأن البيانات الشخصية للعميل، فستحيله إلى العميل ولن ترد عليه بنفسها إلا لتأكيد إحالة الطلب. وتتضمن الخدمة أدوات للعثور على بيانات جهات الاتصال وتصديرها وتصحيحها وحذفها.

10. عمليات التدقيق

ستجيب Weesify عن استبيانات الأمان والامتثال المكتوبة والمعقولة مرة واحدة سنويًا، وستقدّم ملخصات لشهادات الأطراف الثالثة أو تقارير التدقيق ذات الصلة متى توفرت. وإذا لم يكن ذلك كافيًا لإثبات الامتثال، أو إذا طلبت ذلك جهة تنظيمية، جاز للعميل إجراء تدقيق بإشعار مسبق قبل 30 يومًا، وعلى نفقته الخاصة، وخلال ساعات العمل، مع مراعاة السرية ودون الوصول إلى بيانات العملاء الآخرين.

11. الإرجاع والحذف

عند الإنهاء، يمكن للعميل تصدير بياناته خلال 30 يومًا. وبعد ذلك ستحذف Weesify البيانات الشخصية للعميل من الأنظمة الفعلية خلال 30 يومًا، ومن النسخ الاحتياطية خلال 35 يومًا إضافية، ما لم يُلزمها القانون بالاحتفاظ بها، وفي هذه الحالة ستُحمى ولن تُعالج إلا لهذا الغرض.

12. المسؤولية والأولوية

تخضع مسؤولية كل طرف بموجب هذا الملحق للحدود الواردة في الشروط، إلا حيث لا يسمح القانون بذلك. وإذا تعارض هذا الملحق مع الشروط، يسري هذا الملحق على معالجة البيانات الشخصية للعميل؛ وإذا تعارض مع SCCs، تسري SCCs.

13. التواصل

المعالِج: Weesify، the address shown on your invoice. مسؤول حماية البيانات: privacy@weesify.com.