ملحق معالجة البيانات

1التعاريف

المصطلحات المكتوبة بحروف كبيرة غير المعرفة هنا لها المعنى المحدد في الاتفاقية أو القوانين المعمول بها لحماية البيانات.

• التحكمالكيان الذي يحدد مقاصد ووسائل تجهيز البيانات الشخصية فيما يتعلق ببيانات نهاية الاستخدام، العميل هو المتحكم.
• المعالجالكيان الذي يُجري عمليات البيانات الشخصية نيابة عن المراقب المالي، فيما يتعلق ببيانات نهاية الخدمة، Nabtech Digitalnet Limited (OpsIQ) هو المعالج.
• المعالج الفرعي: أي طرف ثالث متعاقد معه OpsIQ (ج) تجهيز البيانات الشخصية المتعلقة بالخدمات.
• البيانات الشخصية: أي معلومات تتعلق بشخص طبيعي محدد أو يمكن تحديد هويته OpsIQ عمليات نيابة عن العملاء بموجب الاتفاق
• موضوع البيانات: الشخص الطبيعي الذي تتعلق به البيانات الشخصية (مثل زوار العميل ومستخدميه النهائيين وجهات اتصاله).
• بيانات المستخدم النهائي: البيانات الشخصية لزوار العميل ومستخدميه النهائيين وجهات اتصاله التي تُعالَج من خلال الخدمات.
• قوانين حماية البيانات: All applicable data-protection and privacy laws, including the EU GDPR(التنظيم (الاتحاد الأوروبي) 2016/679)، المملكة المتحدة(GDPR قانون حماية البيانات 2018.. CCPA قانون حماية البيانات النيجيري 2023 و قوانين مماثلة في مكان آخر
• المعالجة, خرق البيانات الشخصية, السلطة الإشرافية و إعادة شحن تلقائية للذكاء الاصطناعي مفعلة. لها المعاني المعطاة في قوانين حماية البيانات المعمول بها.

2نطاق الأدوار

تشكل هذه الإضافة لمعالجة البيانات ("DPA") جزءًا من، ومدمجة بالرجوع إلى، الاتفاقية بين Nabtech Digitalnet Limited ("OpsIQ", "نحن", "نا", "المعالج"), من www.nabtechonlineng.net، والعميل ("العميل" أو "أنت" أو "المتحكم")، والتي تحكم استخدام منصة OpsIQ، وأداة الدردشة بالذكاء الاصطناعي، ونظام التذاكر المدمج، وCRM، واستوديو العروض الترويجية، وذكاء الموقع وSEO، وتحليلات الزوار، وWebhook، والاستبيانات، ومنصة الموافقة على ملفات تعريف الارتباط، وإجراءات الذكاء الاصطناعي، المقدَّمة كخدمة سحابية (SaaS) أو كبرنامج باستضافة ذاتية (مرخّص) ("الخدمات").

بالنسبة لبيانات المستخدم النهائي المعالجة من خلال الخدمات، العميل هو المتحكم (أو معالج يعمل لصالح وحدة تحكم طرف ثالث) و OpsIQ هو المعالج. تعمل OpsIQ كجهة تحكم مستقلة فقط لحسابها الخاص، وفواتيرها وبياناتها التسويقية، والتي تحكمها سياسة الخصوصية وليس بموجب هذا DPA.

حيث يتعارض هذا DPA مع بقية الاتفاقية، يسود هذا DPA في موضوع معالجة البيانات. نسخة موقعة متاحة عند الطلب إلى [email protected]. يتم تفصيل الموضوع، الطبيعة، الغرض، فئات موضوعات البيانات وفئات البيانات الشخصية في المرفق الأول.

فئات موضوعات البيانات

• زوار موقع العميل والعملاء المحتملين
• المستخدمون النهائيون المسجلون للعميل وحاملي الحساب
• جهات اتصال العميل، والفرص، ومقدمي التذاكر
• موظفو العميل ووكلاؤه الذين يديرون مساحة العمل

فئات البيانات الشخصية

3تعليمات التجهيز

ستقوم OpsIQ بمعالجة البيانات الشخصية فقط بناءً على تعليمات العميل الموثقة، بما في ذلك تكوين الخدمات، هذه DPA والاتفاقية، ما لم يُطلب القيام بخلاف ذلك بموجب القانون (في هذه الحالة ستقوم OpsIQ بإبلاغ العميل بذلك المتطلب القانوني، ما لم يُحظر قانونيًا من القيام بذلك).

سوف يقوم OpsIQ بإبلاغ العميل على الفور إذا كان، في رأيه، أن التعليمات تنتهك قوانين حماية البيانات. لا يقوم OpsIQ لا تبيع البيانات الشخصية ويفعل لا تدرب نماذج الذكاء الاصطناعي على بيانات العملاء أو المستخدمين النهائيين (انظر القسم 15).

4مدة التجهيز

تقوم OpsIQ بمعالجة البيانات الشخصية من أجل مدة الاتفاقيةفي الانتظار · المرفق الأول.

إعدادات الاحتفاظ التي يتحكم فيها العميل داخل مساحة العمل تنطبق خلال المدة؛ انظر أيضًا الامتثال نظرة عامة.

5السرية

تضمن OpsIQ أن أي شخص مخول لمعالجة البيانات الشخصية هو ملتزم بالسرية (سواء بموجب التزام تعاقدي أو قانوني) ويتم منح الوصول بشكل صارم على أساس الحاجة إلى المعرفة.

• يكون الموظفون ملزمين بالتعهدات المناسبة للسرية التي تستمر بعد انتهاء ارتباطهم.
• يتلقى الموظفون تدريبًا على حماية البيانات والأمان مناسبًا لدورهم.
• الوصول إلى أنظمة الإنتاج التي تحتوي على بيانات شخصية هو أقل امتياز ومسجل (انظر القسم 6 والملحق الثاني).

6التدابير الأمنية

تقوم OpsIQ بتنفيذ تدابير تقنية وتنظيمية مناسبة لضمان مستوى من الأمان يتناسب مع المخاطر، بما في ذلك:

• تشفير: AES-256 للبيانات الشخصية في حالة السكون؛ TLS 1.3 للبيانات أثناء النقل.
• النزاهة والأصالة: توقيعات HMAC-SHA256 على كل تسليم ويب هوك صادر.
• عزل المستأجر: تم التسليم عبر موصل مثبت
• ضوابط الدخول: الوصول القائم على الدور، إدارة أقل امتياز، وضوابط المصادقة لموظفي OpsIQ.
• النظافة الشخصية: تُخزن بيانات الاعتماد وأسرار التكوين خارج الجذر الويب، وليس في شجرة الوثائق المقدمة.
• قابلية التدقيق: سجلات تدقيق لكل إجراء تسجل العمليات ذات الصلة بالأمان.
• المرونة: نسخ احتياطية على دورة دورانية وإجراءات استرداد موثقة.

وصف أكثر تفصيلاً لبرنامج الأمان منشور في مركز الثقة وتفصيلها في الملحق الثاني.

7المعالجون الفرعيون

يوفر العميل تفويض عام لـ OpsIQ للانخراط مع المعالجات الفرعية المدرجة في الملحق III. يفرض OpsIQ التزامات حماية البيانات على كل معالج فرعي لا تقل حماية عن تلك الموجودة في هذه الاتفاقية، ويظل مسؤول بالكامل إلى العميل عن أداء كل معالج فرعي.

ستقدم OpsIQ للعميل إشعار مسبق من الإضافة أو الاستبدال لأي معالج فرعي. يمكن للعميل كائن على أسس معقولة تتعلق بحماية البيانات خلال 30 يومًا من الإشعار؛ إذا لم يمكن حل الاعتراض، يمكن للعميل إنهاء الخدمات المتأثرة. القائمة الحالية موضحة في الملحق الثالث.

التكاملات التي يقوم العميل بتمكينها ليست جهات معالجة فرعية. OpsIQ السفن وصلات إلى خدمات الأطراف الثالثة مثل. Shopify, Zendesk، Slack، WhatsApp، Jira، WooCommerce وعندما يربط العميل أحدهما، فإنه يختار الوجهة ويقدم أوراق الاعتماد، وتعمل الدائرة المتلقية بموجب الترتيب المعقود بين العميل ومقدم الخدمة.() ولذلك لا يورد المرفق الثالث سوى الجهات الفرعية لتجهيز البيانات().OpsIQ وتُنشر قائمة حالية بالموصلات المتاحة في الموقع الشبكي للشركة، ويمكن الاطلاع عليها على العنوان التالي:OpsIQ مدير.

8المساعدة في مجال البيانات

وإذ تأخذ في اعتبارها طبيعة المعالجة، OpsIQ وسيساعد العملاء، قدر الإمكان، باتخاذ التدابير التقنية والتنظيمية المناسبة في الاستجابة للطلبات الواردة من مواضيع البيانات التي تمارس حقوقها (الانضمام إلى البيانات، والاستجمام، والضمان، والتقييد، والقابلية للتنقل، والاعتراض).

• توفر الخدمات أدوات تصدير وحذف ذاتية الخدمة تتيح للعميل تنفيذ معظم الطلبات مباشرة داخل مساحة عمله.
• عندما يتلقى OpsIQ طلباً مباشرة من موضوع البيانات يتعلق ببيانات المستخدم النهائي، سيقوم OpsIQ، ما لم يكن محظوراً قانونياً، بإعادة توجيهه بسرعة إلى العميل ولن يستجيب إلا بناءً على تعليمات العميل.

9خرق البيانات الشخصية

ستقوم OpsIQ بإخطار العميل دون تأخير غير مبرر بعد أن تصبح على علم بخرق بيانات شخصية يؤثر على بيانات العميل الشخصية. إلى الحد المتاح، ستتضمن الإخطار:

• وصف لطبيعة الانتهاك، بما في ذلك الفئات والعدد التقريبي للأشخاص المعنيين والسجلات؛
• العواقب المحتملة للاختراق؛
• التدابير المتخذة أو المقترحة لمعالجة الخرق والتخفيف من آثاره؛
• نقطة اتصال لمزيد من المعلومات.

سيتعاون OpsIQ مع العميل ويتخذ خطوات معقولة لمساعدته في التزامات إشعار الخرق للسلطات الإشرافية والأشخاص المعنيين. يتم إرسال الإشعار إلى جهة الاتصال الأمنية في حساب العميل؛ يجب على العميل الحفاظ على تحديث تلك الجهة.

10المشاورة السابقة لإدارة الشؤون السياسية

مع الأخذ في الاعتبار طبيعة المعالجة والمعلومات المتاحة لها، سيفعل OpsIQ مساعدة العميل في تنفيذ تقييمات تأثير حماية البيانات ("DPIAs") وأي استشارة مسبقة مع سلطة إشرافية يتعين على العميل القيام بها بموجب قوانين حماية البيانات.

تشمل هذه المساعدة توفير الوثائق الأمنية ذات الصلة، تفاصيل المعالجة ومحتويات الملاحق لهذا DPA، والرد على الأسئلة المعقولة والمحددة حول كيفية معالجة الخدمات للبيانات الشخصية.

11التحويلات الدولية

بيانات العملاء من الاتحاد الأوروبي/المنطقة الاقتصادية الأوروبية والمملكة المتحدة مستضافة في مناطق الاتحاد الأوروبي بشكل افتراضي. حيث يقوم OpsIQ بنقل البيانات الشخصية خارج المنطقة الاقتصادية الأوروبية، أو المملكة المتحدة أو ولايات قضائية أخرى تفرض قيود النقل، يعتمد OpsIQ على آلية نقل مناسبة، بما في ذلك:

• الاتحاد الأوروبي بنود تعاقدية قياسية (الوحدة الثانية: من المتحكم إلى المعالج؛ والوحدة الثالثة حيث تنطبق التحويلات إلى المعالجات الفرعية)، مدمجة بالإشارة ومكتملة بالتفاصيل في الملاحق؛
• الـ ملحق نقل البيانات الدولية في المملكة المتحدة إلى SCCs الخاصة بالاتحاد الأوروبي للنقل الخاضع لـ UK GDPR؛
• قرارات الكفاية حيثما كانت متاحة، وتدابير إضافية حيثما كانت مطلوبة.

ستساعد OpsIQ العميل في إكمال أي تقييم لتأثير النقل عند الطلب. في حالة النزاع، تكون SCCs لها الأسبقية على هذه DPA في الأمور التي تحكمها (انظر القسم 13).

12العودة

عند إنهاء أو انتهاء صلاحية الاتفاقية، ستقوم OpsIQ بـ حسب اختيار العميل، احذف أو أعد جميع البيانات الشخصية المعالجة نيابة عن العميل، وحذف النسخ الموجودة، ما لم يكن الاحتفاظ مطلوبًا بموجب القانون.

• لدى العميل نافذة تصدير لمدة 30 يومًا بعد إنهاء لاسترداد بياناته باستخدام أدوات التصدير الذاتية.
• بعد نافذة التصدير، يتم حذف البيانات الشخصية للنظام النشط.
• يتم تطهير النسخ المتبقية في النسخ الاحتياطية وفقًا لدورة النسخ الاحتياطي المتداول (عادةً خلال 30 يومًا)، بعد ذلك لا يتم استعادتها.

13عمليات التفتيش على مراجعة الحسابات

ستوفر OpsIQ للعميل المعلومات الضرورية بشكل معقول لإثبات الامتثال لهذا DPA. بناءً على طلب مكتوب معقول من العميل (لا يزيد عن مرة واحدة في السنة، باستثناء بعد خرق بيانات شخصية أو حيث يتطلب ذلك سلطة إشرافية)، ستسمح OpsIQ وتساهم في عمليات التدقيق، بما في ذلك الفحوصات، التي يجريها العميل أو مدقق مستقل مفوض من قبل العميل.

لتقليل الاضطراب، قد تلبي OpsIQ طلبات التدقيق من خلال تقديم شهادات طرف ثالث، تقارير تدقيق ووثائق أمان حيث تعالج هذه بشكل معقول متطلبات العميل. تخضع عمليات التدقيق للسرية ولجدولة معقولة، ونطاق وقيود أمان.

14ترتيب الأسبقية

تكون مسؤولية كل طرف الناشئة عن أو المتعلقة بهذا DPA خاضعة للقيود والاستثناءات المنصوص عليها في الاتفاقية. لا شيء في هذا DPA يحد من أي مسؤولية لا يمكن تحديدها بموجب القانون المعمول به.

ترتيب الأولوية: في حالة حدوث أي نزاع، تحكم الوثائق بالترتيب التالي فيما يتعلق بمعالجة البيانات: (1) SCCs (حيثما ينطبق)؛ (2) هذه DPA؛ (3) بقية الاتفاقية. تشكل الملحقات جزءًا لا يتجزأ من هذه DPA.

15تجهيز البيانات بالذكاء الاصطناعي وشرط عدم التدريب

OpsIQ تفعل لا يتم تدريب أو تحسين أو تحسين أي نموذج ذكاء اصطناعي على بيانات العملاء أو بيانات المستخدم النهائي. يتم توجيه طلبات استدلال AI إلى مزود النموذج الذي يختاره العميل, تحمل فقط سياق المحادثة المباشرة المطلوب لتوليد استجابة.

• يعمل مزود الذكاء الاصطناعي المحدد كمعالج فرعي لذلك الاستنتاج فقط؛ انظر الملحق III.
• لا يحتفظ OpsIQ بالمطالبات أو الاستجابات لأغراض تدريب النموذج ولا يجمع بيانات العملاء عبر المستأجرين للذكاء الاصطناعي.
• العميل مسؤول عن اختيار مزود تتوافق شروطه مع التزاماته الخاصة، وعن عدم تقديم بيانات غير مسموح له بإرسالها إلى ذلك المزود.

16توضيح حول الاستضافة الذاتية

حيث ينشر الزبون OpsIQ as برنامج "مستضاف ذاتيًا" (مرخص) على البنية التحتية التي يتحكم فيها العميل، يقوم العميل بتشغيل البرنامج، الاستضافة والتخزين بنفسه.

• في ذلك النشر، لا تستضيف OpsIQ أو تخزن أو تنقل أو تعالج بيانات المستخدم النهائي بأي شكل من الأشكال نيابة عن العميل، وتعمل كمرخص برمجيات بدلاً من معالج.
• فروع هذا DPA هذا وصف OpsIQ"أنشطة المعالجات (مثل الاستضافة من كلود، والمعاملات الفرعية والتحويلات) لا تنطبق إلا بقدر ما"OpsIQ في الواقع يقوم بالتجهيز، الذي لا يؤديه النشر الذاتي البحت.
• يظل العميل هو المتحكم وهو مسؤول عن الأمان، والتحويلات والمعالجات الفرعية لبيئته الخاصة. لا يزال مقدمو الذكاء الاصطناعي المختارون من OpsIQ يعملون لصالح العميل عندما يقوم العميل بتوجيه الاستدلال إليهم.

17القانون الواجب التطبيق

تخضع هذه DPA للقوانين، وتفسر وفقًا لـ القانون الحاكم للاتفاقية, دون الإخلال بأي أحكام إلزامية لقوانين حماية البيانات السارية على العميل أو الموضوعات المعنية.

حيث تنطبق SCCs، فإن القانون والمنتدى الحاكمين لـ SCCs هي كما هو محدد ضمن تلك البنود وتفوق الأمور ضمن نطاقها.

18المرفق الأول، تفاصيل التجهيز

19المرفق الثاني، التدابير الأمنية

20المرفق الثالث، العمليات الفرعية المعتمدة

تقوم مزودي AI المختارين من OpsIQ بمعالجة البيانات الشخصية فقط للاستنتاج الذي يوجهه العميل إليهم، وفقط كمعالجات فرعية بموجب القسم 15.

21اتصل

مسؤول حماية البيانات: [email protected]

استفسارات الخصوصية: [email protected]

استفسارات الأمان: [email protected]

استفسارات قانونية: [email protected]

لطلب نسخة موقعة من هذه DPA، أرسل بريدًا إلكترونيًا إلى [email protected]انظر أيضاً تقريرنا سياسة الخصوصية, الامتثال استعراض عام مركز الثقة.

تم تقديم هذه الوثيقة من أجل الشفافية ولا تشكل نصيحة قانونية. يجب على العملاء في الصناعات المنظمة مراجعتها مع مستشارهم الخاص قبل النشر.