اتفاقية معالجة البيانات – baseplan.ai
هذه ترجمة لأغراض التيسير فقط. النص الإنجليزي هو النص الملزم.
تُشكّل اتفاقية معالجة البيانات هذه (يُشار إليها بـ«الاتفاقية») جزءًا من شروط الخدمة المبرمة بين العميل وEtrog، وهي مؤسسة فردية مسجّلة في إسرائيل، وعنوانها 139 Keren Kayemet LeIsrael St., Be'er Sheva, Israel (يُشار إليها بـ«Etrog»). وتسري هذه الاتفاقية عندما تعالج Etrog بيانات شخصية نيابةً عن العميل في سياق تقديم baseplan.ai. وتُقبل مع شروط الخدمة ولا تتطلب توقيعًا منفصلًا. ويمكن الحصول على نسخة موقّعة من الطرفين عند الطلب على privacy@baseplan.ai.
1. التعريفات. يُقصد بـ«اللائحة العامة لحماية البيانات (GDPR)» اللائحة (الاتحاد الأوروبي) 2016/679، وكذلك اللائحة العامة لحماية البيانات في المملكة المتحدة حيثما تنطبق. ويكون لمصطلحات «البيانات الشخصية» و«المعالجة» و«المتحكم» و«المعالج» و«صاحب البيانات» و«خرق البيانات الشخصية» المعاني المحددة لها في اللائحة العامة لحماية البيانات. ويُقصد بـ«المعالج الفرعي» أي طرف ثالث تستعين به Etrog لمعالجة البيانات الشخصية الخاصة بالعميل.
2. الأدوار. العميل هو المتحكم في البيانات الشخصية الواردة في المحتوى الذي يرفعه هو ومستخدموه أو يُنشئونه في الخدمة (يُشار إليها بـ«البيانات الشخصية للعميل»). وEtrog هي المعالج لصالحه. أما بيانات الحساب والأمان والفوترة التي تستخدمها Etrog لأغراضها الخاصة، فإن Etrog تكون متحكمًا فيها، على النحو الموصوف في سياسة الخصوصية الخاصة بها.
3. التعليمات. لا تعالج Etrog البيانات الشخصية للعميل إلا بناءً على التعليمات الموثّقة للعميل. وتتمثل هذه التعليمات في شروط الخدمة وهذه الاتفاقية واستخدام العميل لميزات الخدمة. ويُستثنى من ذلك المعالجة التي يقتضيها القانون، والتي ستُبلغ Etrog العميل بها ما لم يحظر القانون ذلك. وستُبلغ Etrog العميل إذا رأت أن إحدى التعليمات تنتهك قانون حماية البيانات.
4. السرية. يلتزم كل من تأذن له Etrog بمعالجة البيانات الشخصية للعميل بالسرية. ولا يُمنح الوصول إلا بالقدر اللازم لتقديم الخدمة أو دعمها أو تأمينها.
5. الأمان. تحافظ Etrog على تدابير تقنية وتنظيمية مناسبة لحماية البيانات الشخصية للعميل، وهي مدرجة في الملحق 2. ويجوز لـ Etrog تحسينها، لكنها لن تخفّض مستواها العام.
6. المعالجون الفرعيون. يمنح العميل Etrog إذنًا عامًا بالاستعانة بمعالجين فرعيين. وترد القائمة الحالية في صفحة المعالجين الفرعيين. وتلتزم Etrog بما يلي:
- إلزام كل معالج فرعي بموجب عقد مكتوب بالتزامات لحماية البيانات لا تقل حمايةً عن هذه الاتفاقية؛
- البقاء مسؤولة عن معالجيها الفرعيين؛
- الإعلان عن أي معالج فرعي جديد أو بديل قبل 30 يومًا على الأقل، في تلك الصفحة وعبر البريد الإلكتروني إلى مسؤولي العميل.
يجوز للعميل الاعتراض لأسباب معقولة تتعلق بحماية البيانات خلال تلك الفترة. وإذا تعذّر على الطرفين تسوية الاعتراض، يجوز للعميل إنهاء الخدمة المتأثرة واسترداد أي رسوم مدفوعة مسبقًا وغير مستخدمة عنها.
7. طلبات أصحاب البيانات. مع مراعاة طبيعة المعالجة، تساعد Etrog العميل في الرد على الطلبات الواردة من أصحاب البيانات. وتقوم بذلك أساسًا من خلال الوظائف المتاحة في الخدمة نفسها، مثل تحرير المشاريع والمستخدمين وحذفهم وتصديرهم. وإذا تلقت Etrog طلبًا مباشرةً، فإنها تحيله إلى العميل ولا ترد عليه بنفسها ما لم يوجّهها العميل بذلك.
8. خروقات البيانات الشخصية. تُخطر Etrog العميل دون تأخير غير مبرر، وفي جميع الأحوال خلال 72 ساعة من علمها بأي خرق للبيانات الشخصية يمس البيانات الشخصية للعميل. ويتضمن الإخطار المعلومات المتاحة حينئذٍ التي يحتاجها العميل للوفاء بالتزاماته. وتتخذ Etrog خطوات معقولة لاحتواء الخرق والحد من آثاره.
9. المساعدة. تقدّم Etrog للعميل مساعدة معقولة، باستخدام المعلومات المتاحة لديها، في تقييمات أثر حماية البيانات والمشاورات المسبقة مع السلطات.
10. عمليات النقل الدولية. يقع مقر Etrog في إسرائيل. وتعترف المفوضية الأوروبية والمملكة المتحدة بأن إسرائيل توفّر حماية كافية. وحيثما يعالج معالج فرعي البيانات الشخصية للعميل في بلد لا يحظى بهذا الاعتراف، تضمن Etrog وجود آلية نقل صالحة. وتتمثل هذه الآلية إما في البنود التعاقدية القياسية (قرار المفوضية 2021/914) مع ملحق المملكة المتحدة حيثما كان ذلك ذا صلة، وإما في اعتماد المزوّد بموجب إطار خصوصية البيانات بين الاتحاد الأوروبي والولايات المتحدة.
11. الحذف والإرجاع. عند انتهاء الخدمة، يمكن للعميل تصدير مخرجاته ومشاريعه لمدة 30 يومًا. ثم تحذف Etrog البيانات الشخصية للعميل. وتنتهي صلاحية النسخ الموجودة في النسخ الاحتياطية ضمن دورة النسخ الاحتياطي: النسخ الاحتياطية لقاعدة البيانات خلال 7 أيام، والملفات المحذوفة القابلة للاستعادة خلال 30 يومًا. ويُستثنى من ذلك البيانات التي يُلزم القانون Etrog بالاحتفاظ بها.
12. عمليات التدقيق. بناءً على طلب مكتوب، توفّر Etrog المعلومات اللازمة لإثبات امتثالها لهذه الاتفاقية، بما في ذلك الإجابة على استبيانات الأمان المعقولة. وإذا لم تكن تلك المعلومات كافية، يجوز للعميل إجراء تدقيق، بنفسه أو عن طريق مدقق مستقل ملتزم بالسرية، وفق الشروط التالية: مرة واحدة سنويًا على الأكثر، وبإشعار مدته 30 يومًا، وخلال ساعات العمل، وعلى نفقة العميل، ودون الوصول إلى بيانات العملاء الآخرين. ويُدقَّق المعالجون الفرعيون من خلال شهاداتهم وتقاريرهم الخاصة.
13. المسؤولية والأسبقية. تخضع المسؤولية بموجب هذه الاتفاقية للقيود الواردة في شروط الخدمة، بالقدر الذي يسمح به القانون. وإذا تعارضت هذه الاتفاقية مع شروط الخدمة فيما يتعلق بحماية البيانات الشخصية، تسود هذه الاتفاقية. وتظل هذه الاتفاقية سارية ما دامت Etrog تعالج البيانات الشخصية للعميل.
الملحق 1 – تفاصيل المعالجة
- الموضوع والغرض: تقديم baseplan.ai للعميل. ويعني ذلك استضافة المخططات والنماذج وقراءتها وتحويلها، وتخطيط القوالب والدعامات، وإنتاج الرسومات والتقارير والكميات والنماذج، وإرسال رسائل البريد الإلكتروني الخاصة بالخدمة، ودعم المستخدمين.
- الطبيعة: التخزين، والتحويل، والتحليل الآلي (بما في ذلك بواسطة الذكاء الاصطناعي)، وتوليد المخرجات، والإرسال، والحذف.
- المدة: مدة سريان شروط الخدمة، مضافًا إليها فترات الحذف الواردة في البند 11.
- أصحاب البيانات: مستخدمو العميل، والأشخاص الذين تظهر بياناتهم في محتوى العميل، مثل المصممين والمهندسين والزبائن وجهات الاتصال المذكورين في الرسومات أو أطر العناوين.
- فئات البيانات: الأسماء، وعناوين البريد الإلكتروني، والأدوار والمسمّيات الوظيفية، وأرقام التراخيص، والتواقيع أو الأختام التي تظهر في الرسومات، وسجلات النشاط، وبيانات الاتصال الأخرى التي يختار العميل رفعها. ولا يُحتاج إلى أي فئات خاصة من البيانات ولا يُتوقع وجودها.
الملحق 2 – التدابير التقنية والتنظيمية
- الاستضافة على Google Cloud في الاتحاد الأوروبي (بلجيكا؛ وتخزين الملفات في المنطقة المتعددة للاتحاد الأوروبي)، في مراكز بيانات حاصلة على شهادتي ISO 27001 وSOC 2.
- التشفير أثناء النقل (TLS) لجميع حركة البيانات، والتشفير أثناء التخزين لقاعدة البيانات والملفات والنسخ الاحتياطية.
- التحقق بخطوتين إلزامي لكل مستخدم. وتُخزَّن كلمات المرور فقط على هيئة تجزئة Argon2. وتقتصر جلسات تسجيل الدخول على يوم عمل واحد.
- تُفصل بيانات كل شركة عن بيانات أي شركة أخرى. ويُتحقق من الوصول حسب الشركة والدور في كل طلب.
- تُحفظ الأسرار في مخزن أسرار مُدار. وتتبع حسابات الخدمة مبدأ الحد الأدنى من الصلاحيات. ولا تُجرى التغييرات على بيئة الإنتاج إلا من خلال مسار نشر آلي.
- نسخ احتياطية يومية لقاعدة البيانات مع إمكانية الاستعادة إلى نقطة زمنية محددة، وحماية من الحذف لقاعدة بيانات الإنتاج.
- حدود لمعدل الطلبات، وتسجيل أمني، وسجل تدقيق لإجراءات المستخدمين والموظفين.
- فترات احتفاظ محددة مع حذف يومي آلي (انظر سياسة الخصوصية).
- يقتصر وصول الموظفين على ما يلزم للدعم والتشغيل والأمان، مع الالتزام بالسرية.
- الاستجابة للحوادث مع الإخطار بالخروقات الموصوف في البند 8.
الملحق 3 – المعالجون الفرعيون
انظر صفحة المعالجين الفرعيين، التي تُشكّل جزءًا من هذه الاتفاقية.