اتفاقية المعالجة من الباطن (DPA)

1. الموضوع والطبيعة والغاية

توفير منصة للأمن السيبراني: حماية أجهزة المسؤول عن المعالجة وجردها وتحديثها والإشراف عليها، وكشف الحوادث والاستجابة لها، وتقارير الامتثال، وأمن الرسائل الإلكترونية بحسب الخيارات.

2. فئات البيانات والأشخاص

• الأشخاص المعنيون: موظفو المسؤول عن المعالجة ومديروه ومستخدمو أجهزته؛ والمراسلون عبر البريد الإلكتروني بالنسبة إلى K-Mail.
• البيانات: المعرّفات وأسماء المستخدمين، وأسماء الأجهزة وخصائصها، وجرد البرامج، وسجلات DNS، والأحداث الأمنية، والبصمات، وعند وجود إذن صريح، عينات الملفات، والبيانات الوصفية ومحتويات الرسائل الإلكترونية المحلَّلة (K-Mail).
• لا يُبحث عن أي فئة خاصة من البيانات؛ ويُعامَل وجودها العرضي في محتوى محلَّل بالضمانات نفسها.

3. المدة

تسري الاتفاقية طوال مدة الاشتراك وإلى حين حذف البيانات عند انتهائه.

4. التزامات المعالج من الباطن

• معالجة البيانات فقط بناءً على تعليمات موثقة من المسؤول عن المعالجة، بما في ذلك فيما يخص التحويلات، ما لم يفرض قانون الاتحاد أو قانون دولة عضو التزامًا بخلاف ذلك، وعندها يُعلم المعالج من الباطن المسؤول عن المعالجة مسبقًا؛
• ضمان سرية الأشخاص المخوَّلين بمعالجة البيانات؛
• تطبيق تدابير الأمان الموصوفة في المادة 5؛
• مساعدة المسؤول عن المعالجة على الرد على طلبات ممارسة الحقوق وعلى الوفاء بالتزاماته بموجب المواد 32 إلى 36 من GDPR، بما فيها تقييمات الأثر والتشاور المسبق مع سلطة الرقابة؛
• البقاء مسؤولًا مسؤولية كاملة تجاه المسؤول عن المعالجة عن تنفيذ المعالجين من الباطن اللاحقين التزاماتهم؛
• إعلام المسؤول عن المعالجة فورًا إذا رأى أن تعليمة ما مخالفة للتنظيم.

5. تدابير الأمن

• استضافة بيانات العملاء داخل الاتحاد الأوروبي [À VALIDER : اسم المستضيف]؛
• التشفير أثناء النقل (TLS 1.3) وأثناء التخزين، بمفاتيح خاصة بكل عميل؛
• عزل العملاء عبر تصفية منهجية وقواعد أمنية على مستوى صفوف قاعدة البيانات؛
• مصادقة متبادلة للوكلاء، وأوامر وتحديثات موقَّعة، وحماية من إعادة التشغيل؛
• مصادقة قوية، وأدنى امتياز، وسجل تدقيق للوصول الداخلي؛
• مدد احتفاظ تُطبَّق تلقائيًا؛ ونسخ احتياطية مشفّرة.

6. المعالجون اللاحقون من الباطن

يأذن المسؤول عن المعالجة إذنًا عامًا باللجوء إلى المعالجين اللاحقين المدرجين في صفحة المعالجين من الباطن. ويُعلِم المعالج من الباطن المسؤول عن المعالجة بأي إضافة أو استبدال قبل 30 يومًا على الأقل؛ ويجوز له الاعتراض لسبب مشروع، وعند عدم الاتفاق، الإنهاء دون غرامة. ويخضع كل معالج لاحق لالتزامات مماثلة.

7. انتهاكات البيانات

يُبلّغ المعالج من الباطن المسؤول عن المعالجة بأي انتهاك للبيانات الشخصية في أقرب الآجال، وفي موعد أقصاه 48 ساعة بعد علمه به، مع المعلومات المفيدة لإخطاره هو السلطة الرقابية. [À VALIDER : المهلة]

8. التدقيق

يتيح المعالج من الباطن المعلومات اللازمة لإثبات احترام هذه الاتفاقية، ويسمح بعمليات تدقيق، مرة واحدة في السنة على الأكثر ما لم يقع حادث، مع إشعار مسبق معقول ومراعاة سرية العملاء الآخرين.

9. انتهاء العقد

عند انتهاء الاشتراك، يتيح المعالج من الباطن تصدير البيانات خلال 30 يومًا، ثم يعيدها إلى المسؤول عن المعالجة أو يحذفها مع نسخها، بحسب اختياره، ما لم يوجد التزام قانوني بالاحتفاظ بها.

10. التحويلات

بيانات العملاء مخصصة للاستضافة داخل الاتحاد الأوروبي. ولا يجوز أن يتلقى البيانات إلا المعالجون من الباطن اللاحقون المحددون في صفحة المعالجين من الباطن بأنهم مقيمون خارج الاتحاد (إرسال الرسائل الإلكترونية المعاملاتية، والخدمات الاختيارية مثل Kayzen Copilot إن فُعّلت)، وذلك بضمانات المادتين 45 أو 46 من GDPR (قرار الملاءمة أو البنود التعاقدية النموذجية).