اتفاقية معالجة البيانات الشخصية
تُبرم هذه الاتفاقية بين المركز المشترك («جهة التحكم») وتقنية خوارزم المالكة لمنصة مُترَفة («جهة المعالجة»)، وتُقبل إلكترونيًا مع شروط الاستخدام وتُعد جزءًا منها. وأُعدّت وفق المادة 8 من نظام حماية البيانات الشخصية والمادة 17 من لائحته التنفيذية.
1. الأدوار
- المركز جهة تحكم: يحدد أغراض المعالجة ووسائلها، ويضمن وجود مسوغ نظامي لها، ويحيط عميلاته بإشعار الخصوصية.
- مُترَفة جهة معالجة: تعالج البيانات لمصلحة المركز ونيابةً عنه ووفق تعليماته الموثقة فقط، ومنها هذه الاتفاقية وإعدادات المركز في المنصة.
- إن رأت مُترَفة أن تعليمة تخالف الأنظمة أبلغت المركز كتابةً، ولها الامتناع عن تنفيذها.
2. تفاصيل المعالجة
- الغرض: إدارة الحجوزات والتقويم وملفات العميلات والمدفوعات والتقييمات والتقارير وقوائم الرسائل الجاهزة والدعم الفني.
- أصحاب البيانات: عميلات المركز وموظفاته.
- فئات البيانات: الاسم، رقم الجوال، المواعيد والخدمات، حالة الدفع ومبلغه (دون بيانات البطاقات)، التقييمات، ملاحظات المركز عن العميلة.
- رمز التحقق عند الحجز: يُرسل إلى بريد العميلة الإلكتروني لتأكيد حجزها. لا يُحفظ البريد مع الحجز، وتُحفظ بصمة غير قابلة للعكس منه 48 ساعة فقط لمنع الإساءة ثم تُحذف.
- إحصاءات صفحة الحجز غير المرتبطة بهوية الزائرة (اختيارية، بحسب الباقة): معرّف زيارة عشوائي مؤقت من متصفح الزائرة، والخطوة التي بلغتها في الحجز، والموقع المُحيل. بلا اسم ولا جوال ولا عنوان IP، وتُحذف بعد 13 شهرًا. يستخدمها المركز لتحسين صفحة حجزه فقط.
- البيانات الحساسة: قد تتضمن ملاحظات المركز معلومات صحية أو حساسية للبشرة، وهي حساسة. على المركز أخذ الموافقة الصريحة للعميلة، وتدوين الحد الأدنى اللازم.
- المدة: مدة الاشتراك، ثم مدة لإتاحة التصدير، ثم الإتلاف.
3. التزامات مُترَفة
- المعالجة للأغراض المذكورة فقط، وعدم استخدام البيانات لأغراضها الخاصة أو لتسويق خدماتها للعميلات أو لتدريب نماذج الذكاء الاصطناعي أو بيعها.
- السرية: قصر الوصول على من تقتضي مهامهم ذلك، وإلزامهم بالسرية.
- الأمن: تطبيق ضوابط تقنية وتنظيمية مناسبة، وضوابط إضافية للبيانات الحساسة وفق المادة 26 من اللائحة.
- الحقوق: توفير أدوات لتصدير بيانات العميلة وتصحيحها وحذفها، وإحالة ما يصلها من طلبات إلى المركز دون الرد عليه إلا بتفويض.
- الامتثال: مساعدة المركز بالمعلومات اللازمة لتقويم الأثر وسجل أنشطة المعالجة وللرد على استفسارات الجهة المختصة.
4. الحوادث
- تُخطر مُترَفة المركز دون تأخير غير مبرر عند علمها بأي تسرب أو تلف أو وصول غير مشروع للبيانات، بما يمكّنه من إشعار الهيئة السعودية للبيانات والذكاء الاصطناعي خلال 72 ساعة عند وجود ضرر محتمل، وإشعار وزارة التجارة والمستهلك خلال 3 أيام عند الاقتضاء.
- يتضمن الإخطار: وصف الحادثة ووقتها وفئات البيانات المتأثرة والآثار المحتملة والإجراءات المتخذة ووسيلة التواصل.
- تتخذ مُترَفة فورًا إجراءات الاحتواء وتتعاون في التحقيق.
5. الإفصاح الوجوبي
لا تشترط مُترَفة موافقة المركز المسبقة على إفصاح توجبه الأنظمة السعودية، وتخطره به. وتخضع مُترَفة للأنظمة السعودية.
6. المعالجون الفرعيون
- يوافق المركز على استعانة مُترَفة بمعالجين فرعيين لتقديم الخدمة، ومنهم: مزود الاستضافة، وبوابة الدفع عند تفعيلها (قريبًا).
- تلتزم مُترَفة بأن تعلن للمركز قائمة المعالجين الفرعيين ومواقع معالجتهم، وبأن تُخطره قبل إضافة معالج فرعي أو استبداله مدة كافية، وللمركز الاعتراض لسبب معقول.
- تفرض مُترَفة على كل معالج فرعي التزامات حماية لا تقل عن هذه الاتفاقية، وتبقى مسؤولة أمام المركز عن أدائه.
7. النقل خارج المملكة
لا تنقل مُترَفة بيانات العميلات خارج المملكة إلا للمعالجين الفرعيين المعلنين، وللغرض اللازم، وبالحد الأدنى، ووفق المادة 29 من النظام ولائحة النقل، بما فيها البنود التعاقدية القياسية الصادرة عن سدايا حيث تلزم. وتُراعى قيود البيانات الحساسة في لائحة النقل.
8. التدقيق
تقدم مُترَفة عند الطلب المعقول ما يثبت التزامها (ملخص ضوابطها الأمنية أو استبيان أمني)، تمكينًا للمركز من التحقق الدوري من التزامها.
9. انتهاء المعالجة
عند انتهاء الاشتراك تتيح مُترَفة تصدير البيانات بصيغة شائعة، ثم تتلفها بما فيها النسخ الاحتياطية بعد انتهاء الغرض، وتؤكد ذلك كتابيًا عند الطلب، إلا ما توجب الأنظمة الاحتفاظ به.
10. التزامات المركز
- وجود مسوغ نظامي لكل معالجة يطلبها، وأخذ الموافقات اللازمة للرسائل الترويجية والبيانات الصحية.
- إتاحة إشعار الخصوصية لعميلاته عند الجمع. تنشئه مُترَفة تلقائيًا في حساب المركز وتعرضه في صفحة الحجز (انظر رسائل واتساب والموافقة)، ويبقى المركز مسؤولًا عن مضمونه وعن استقبال طلبات عميلاته والرد عليها.
- عدم توجيه تعليمات مخالفة للأنظمة.
- التسجيل لدى الجهة المختصة وتعيين مسؤول حماية بيانات إن لزمه ذلك.
- حماية بيانات دخوله وصلاحيات موظفاته.
11. المسؤولية والأولوية
يتحمل كل طرف مسؤولية مخالفته للأنظمة أو لهذه الاتفاقية تجاه الطرف الآخر. وعند التعارض مع شروط الاستخدام في شأن حماية البيانات تُقدَّم هذه الاتفاقية.