اتفاقية معالجة البيانات

المحتويات

1. 1. النطاق والأدوار والتعريفات
2. 2. تفاصيل المعالجة
3. 3. تعليمات العميل
4. 4. سرية الأشخاص المخولين
5. 5. التدابير الأمنية
6. 6. المعالجون من الباطن
7. 7. موقع البيانات والنقل الدولي
8. 8. المساعدة في طلبات أصحاب البيانات
9. 9. الإخطار بخرق البيانات الشخصية
10. 10. تقييم الأثر والتشاور مع الجهات الرقابية
11. 11. المعلومات والتدقيق
12. 12. إعادة البيانات وحذفها
13. 13. طلبات الجهات الحكومية
14. 14. المسؤولية
15. 15. المدة والأولوية
16. 16. جهة الاتصال لحماية البيانات وسجل المعالجة
17. الملحق (1): تفاصيل المعالجة
18. الملحق (2): التدابير الفنية والتنظيمية
19. الملحق (3): المعالجون من الباطن

الإصدار: 1.2 · تاريخ النشر: 16 أكتوبر 2026 · تاريخ النفاذ: عند القبول لمساحات العمل الجديدة؛ ولمساحات العمل التي قبلت إصدارًا سابقًا، في التاريخ الذي تحدده ستاك في إخطارها وفق البند 20 من شروط خدمة ستاك للعملاء · النص المعتمد: النص الإنجليزي (البند 23.9 من شروط خدمة ستاك للعملاء)

الجهة المُصدِرة: STAK Global, LLC، وهي شركة ذات مسؤولية محدودة مؤسسة في ولاية ديلاوير بالولايات المتحدة الأمريكية (رقم الملف 10798493)، وتملك ستاك (STAK) والخدمات. للتواصل: [email protected].

1. النطاق والأدوار والتعريفات

1.1 تُعد اتفاقية معالجة البيانات هذه جزءًا لا يتجزأ من الاتفاقية وفق البند 3.1 من شروط خدمة ستاك للعملاء ("الشروط")، وتنظم معالجة ستاك للبيانات الشخصية للعميل. ويكون للمصطلحات المعرّفة في الشروط المعنى ذاته في اتفاقية معالجة البيانات هذه.

1.2 يكون العميل هو المتحكم في البيانات الشخصية للعميل، وتكون ستاك معالجًا يعالجها لحسابه ووفق تعليماته. ويُقصد بالمتحكم والمعالج ما يقابلهما في قانون حماية البيانات المعمول به، كجهة التحكم وجهة المعالجة في المملكة العربية السعودية. وإذا كان العميل يعالج البيانات بصفته معالجًا لحساب متحكم آخر، تعالجها ستاك بصفتها معالجًا يعمل لحساب العميل، ولا تُعد في ذلك معالجًا من الباطن بالمعنى المعرّف في البند 1.3، ويضمن العميل أن تعليماته تتفق مع تعليمات ذلك المتحكم. أما بيانات الحساب، فتعالجها ستاك بصفتها متحكمًا على النحو المبين في سياسة الخصوصية، ولا تسري عليها اتفاقية معالجة البيانات هذه، ولا تُنشئ هذه الإحالة ولا الإحالة الواردة في الملحق (3) التزامات تعاقدية وفق البند 3.2 من الشروط.

1.3 يكون للعبارات التالية المعاني المبينة قرين كل منها:

• البيانات الشخصية للعميل: البيانات الشخصية الواردة ضمن بيانات العميل، ومنها بيانات عملاء العميل والعاملين لديه ومورديه والمستخدمين، عدا بيانات الحساب.
• البيانات الشخصية الحساسة: البيانات الصحية والسريرية، وأي بيانات يعدّها قانون حماية البيانات المعمول به حساسة.
• المعالجة: أي عملية تُجرى على البيانات الشخصية، كجمعها وتسجيلها وتخزينها واسترجاعها واستخدامها والإفصاح عنها ونقلها وحذفها.
• المعالج من الباطن: كل جهة تتعاقد معها ستاك لمعالجة البيانات الشخصية للعميل لأغراض تقديم الخدمات.
• صاحب البيانات: الشخص الطبيعي الذي تتعلق به البيانات الشخصية.
• الحادث الأمني: كل حدث يهدد سرية الخدمات أو سلامتها أو توافرها، أو يُشتبه في أنه يهددها.
• خرق البيانات الشخصية: كل إخلال بالأمن يؤدي، على نحو عرضي أو غير مشروع، إلى إتلاف البيانات الشخصية للعميل أو فقدها أو تغييرها، أو إلى الإفصاح عنها أو الوصول إليها دون تصريح.
• النسخة الاحتياطية: كل نسخة من بيانات العميل تُنشأ لأغراض الاستعادة، وفق البند 12.3 والملحق (2).
• بيئة التشغيل: الأنظمة وقواعد البيانات التي تعمل عليها الخدمات ويستخدمها العميل، دون النسخ الاحتياطية.
• قانون حماية البيانات المعمول به: تشريعات حماية البيانات الشخصية التي تسري على المعالجة، كل منها بحسب انطباقه، ومنها:
  • في دولة الكويت: القانون رقم 20 لسنة 2014 في شأن المعاملات الإلكترونية، ولائحة حماية خصوصية البيانات وإطار تنظيم الحوسبة السحابية وسياسة تصنيف البيانات الصادرة عن هيئة الاتصالات وتقنية المعلومات، وذلك في حدود نطاق كل منها؛
  • نظام حماية البيانات الشخصية في المملكة العربية السعودية الصادر بالمرسوم الملكي رقم (م/19) وتاريخ 9/2/1443هـ وتعديلاته، ولائحته التنفيذية، ولائحة نقل البيانات الشخصية إلى خارج المملكة؛
  • المرسوم بقانون اتحادي رقم (45) لسنة 2021 في شأن حماية البيانات الشخصية، والقانون الاتحادي رقم (2) لسنة 2019 في شأن استخدام تقنية المعلومات والاتصالات في المجالات الصحية، في دولة الإمارات العربية المتحدة، وقوانين حماية البيانات في مركز دبي المالي العالمي وسوق أبوظبي العالمي لمن يخضع لها؛
  • القانون رقم (30) لسنة 2018 بإصدار قانون حماية البيانات الشخصية في مملكة البحرين؛
  • القانون رقم (13) لسنة 2016 بشأن حماية خصوصية البيانات الشخصية في دولة قطر؛
  • قانون حماية البيانات الشخصية الصادر بالمرسوم السلطاني رقم (6/2022) في سلطنة عُمان؛
  • اللائحة العامة لحماية البيانات في الاتحاد الأوروبي (اللائحة (EU) 2016/679)، متى سرت على العميل؛
  • اللائحة العامة لحماية البيانات في المملكة المتحدة وقانون حماية البيانات لسنة 2018؛ والقانون الاتحادي السويسري لحماية البيانات؛ وقانون خصوصية المستهلك في ولاية كاليفورنيا بتعديلاته، وقوانين الخصوصية الشاملة الأخرى في الولايات الأمريكية؛ وقانون حماية المعلومات الشخصية والوثائق الإلكترونية في كندا والقوانين الإقليمية فيها؛ والقانون العام لحماية البيانات في البرازيل (القانون رقم 13.709/2018)؛ وقانون حماية البيانات الشخصية الرقمية في الهند لسنة 2023؛ والقانون التركي رقم 6698 لحماية البيانات الشخصية؛ والقانون المصري رقم 151 لسنة 2020؛ وقانون حماية المعلومات الشخصية في جنوب أفريقيا لسنة 2013؛ وقانون حماية البيانات الشخصية في سنغافورة لسنة 2012؛ وقانون الخصوصية الأسترالي لسنة 1988؛ وأي قانون آخر لحماية البيانات الشخصية يسري على المعالجة.

2. تفاصيل المعالجة

يبيّن الملحق (1) موضوع المعالجة ومدتها وطبيعتها والغرض منها، وفئات أصحاب البيانات، وفئات البيانات الشخصية.

3. تعليمات العميل

3.1 لا تعالج ستاك البيانات الشخصية للعميل إلا وفق تعليمات العميل الموثقة. وتتمثل هذه التعليمات في الاتفاقية، وفي إعدادات مساحة العمل، وفي ما يجريه المستخدمون من عمليات داخل الخدمات، وفي أي تعليمات كتابية أخرى يتفق عليها الطرفان.

3.2 يجوز لستاك معالجة البيانات خلافًا لهذه التعليمات إذا أوجب ذلك القانون المعمول به، وتخطر العميل بذلك مسبقًا ما لم يحظر القانون الإخطار.

3.3 تخطر ستاك العميل إذا رأت أن تعليمة ما تخالف قانون حماية البيانات المعمول به، ويجوز لها الامتناع عن تنفيذها إلى أن يعدّلها العميل بما يزيل المخالفة، أو يؤكدها كتابةً مع بيان أساسها القانوني على نحو تقبله ستاك بصورة معقولة.

3.4 يتحمل العميل مسؤولية مشروعية تعليماته، ومسؤولية الأساس القانوني لجمع البيانات الشخصية للعميل ومعالجتها. ويشمل ذلك إعلام أصحاب البيانات، والحصول على موافقاتهم متى لزمت، بما في ذلك موافقتهم على نقل بياناتهم وفق البند 7.

4. سرية الأشخاص المخولين

تقصر ستاك الوصول إلى البيانات الشخصية للعميل على العاملين لديها ومتعاقديها الذين يحتاجون إليه لأداء أعمالهم، وتلزمهم بالسرية. ولا يصل العاملون لدى ستاك ومتعاقدوها إلى بيانات العميل إلا في الحالات التالية، ويُسجَّل بدء كل وصول من هذا النوع إلى بيئة التشغيل:

• (أ) لتقديم دعم يطلبه العميل؛
• (ب) لتشغيل الخدمات وصيانتها واستعادتها من النسخ الاحتياطية؛
• (ج) للتحقيق في حادث أمني أو في مخالفة مشتبه بها لسياسة الاستخدام المقبول؛
• (د) إذا أوجب القانون ذلك.

5. التدابير الأمنية

5.1 تطبّق ستاك تدابير فنية وتنظيمية مناسبة لحماية البيانات الشخصية للعميل، تراعي طبيعة المعالجة ومخاطرها، وتتضمن على الأقل التدابير الواردة في الملحق (2).

5.2 يجوز لستاك تحديث هذه التدابير، شريطة ألا ينخفض المستوى العام للحماية.

5.3 يتحمل العميل مسؤولية التدابير الأمنية الواقعة تحت سيطرته، كإدارة المستخدمين والصلاحيات، وتفعيل التحقق الثنائي، وتأمين الأجهزة والمعدات، وحفظ ما يصدّره من بيانات.

6. المعالجون من الباطن

6.1 يأذن العميل لستاك بالاستعانة بالمعالجين من الباطن المدرجين في الملحق (3).

6.2 تلتزم ستاك بإبرام عقد مكتوب مع كل معالج من الباطن، يفرض عليه التزامات لحماية البيانات توفر مستوى من الحماية يتناسب مع طبيعة المعالجة، ولا يقل في جوهره عن المستوى الوارد في اتفاقية معالجة البيانات هذه. وتظل ستاك مسؤولة أمام العميل عن أداء المعالجين من الباطن لالتزاماتهم.

6.3 تخطر ستاك العميل بأي معالج جديد من الباطن قبل 30 يومًا على الأقل من بدء معالجته للبيانات الشخصية للعميل، وذلك داخل الخدمات أو بالبريد الإلكتروني.

6.4 يحق للعميل الاعتراض كتابةً على المعالج من الباطن الجديد لأسباب معقولة تتعلق بحماية البيانات، خلال مهلة الإخطار. فإن لم يتفق الطرفان على حل، جاز للعميل إنهاء الاشتراك المتأثر أو إنهاء الاتفاقية قبل بدء المعالجة، واسترداد الرسوم المسددة مقدمًا عن المدة المتبقية.

6.5 لا يُعد مزوّدو الخدمة المرتبطون الذين يربطهم العميل بحساباته الخاصة معالجين من الباطن لستاك، ومنهم مزوّدو خدمات الدفع، وMeta فيما يخص حساب WhatsApp للأعمال الخاص بالعميل، ومنصات التوصيل. ويُعد إرسال البيانات إليهم بناءً على تعليمات العميل نقلًا بأمره ولحسابه.

6.6 لا تُرسَل أي بيانات إلى مزوّد ميزات الذكاء الاصطناعي إلا عندما يطلب المستخدم إحدى هذه الميزات، أو يرفع مستندًا لتقرأه إحداها كالإيصالات، أو عند تشغيل أتمتة أعدّها مستخدم وتتضمن خطوة تستعين بالذكاء الاصطناعي، ويقتصر ما يُرسَل على البيانات اللازمة لتنفيذ الطلب أو الخطوة. ولا يجوز للمزوّد استخدامها في تدريب نماذجه، ولا تُرسَل إليه البيانات الشخصية الحساسة إلا إذا تضمنها الطلب أو الخطوة ذاتها.

7. موقع البيانات والنقل الدولي

7.1 تُستضاف الخدمات، وتُخزَّن البيانات الشخصية للعميل أساسًا، في بيئة التشغيل لدى Amazon Web Services في منطقة فرانكفورت بجمهورية ألمانيا الاتحادية. وتُحفظ النسخ الاحتياطية في المنطقة ذاتها، وتُنسخ نسخ منها إلى منطقة منفصلة لدى الشركة ذاتها في جمهورية أيرلندا.

7.2 يُقر العميل بما يلي، ويأذن صراحةً بالنقل الناشئ عنه:

• (أ) أن البيانات تُستضاف في الاتحاد الأوروبي، وقد يكون ذلك خارج الدولة التي أُسس فيها العميل أو يمارس فيها نشاطه؛
• (ب) أن Cloudflare تعالج حركة الشبكة عبر شبكتها العالمية بصفة دائمة؛
• (ج) أن المعالجين من الباطن الآخرين المدرجين في الملحق (3) يعالجون البيانات في دول أخرى، منها الولايات المتحدة الأمريكية، عند استخدام الخدمة المعنية فقط؛
• (د) أن العاملين لدى ستاك قد يصلون إلى البيانات من دولة الكويت، في الحالات المبينة في البند 4 فقط.

7.3 تلتزم ستاك عند نقل البيانات الشخصية للعميل خارج الدولة التي جُمعت فيها بالضمانات التالية:

• (أ) العقود المشار إليها في البند 6.2، ومنها البنود التعاقدية النموذجية التي تبرمها ستاك مع المعالجين من الباطن خارج الاتحاد الأوروبي؛
• (ب) التشفير أثناء النقل وأثناء التخزين؛
• (ج) آليات النقل التي يعترف بها قانون حماية البيانات المعمول به متى اشترطها، ومنها ما ورد في البند 7.6.

7.4 يلتزم العميل بالحصول على أي موافقة أو ترخيص يشترطه القانون المعمول به في دولته لنقل البيانات الشخصية للعميل خارجها، سواء من جهة رقابية أو من أصحاب البيانات. وتقدم ستاك المعلومات اللازمة لذلك عند الطلب.

7.5 يجوز لستاك نقل الاستضافة الرئيسية أو النسخ الاحتياطية إلى منطقة أخرى بعد إخطار العميل قبل 30 يومًا على الأقل، ويحق للعميل الاعتراض على ذلك وفق البند 6.4، على أن يكون الإنهاء المنصوص عليه فيه قبل تاريخ النقل. ولا يُعد نقلًا للاستضافة وفق هذا البند تشغيل الخدمات مؤقتًا من النسخ الاحتياطية في جمهورية أيرلندا عند فقد منطقة الاستضافة الرئيسية، وتخطر ستاك العميل بذلك دون تأخير.

7.6 آليات النقل بحسب القانون: دون إخلال بالبند 7.4:

• (أ) متى سرت على العميل اللائحة العامة لحماية البيانات في الاتحاد الأوروبي، تُعد البنود التعاقدية النموذجية الصادرة بقرار المفوضية الأوروبية التنفيذي (EU) 2021/914 ("البنود التعاقدية النموذجية الأوروبية") جزءًا من اتفاقية معالجة البيانات هذه بالإحالة: بوحدتها الثانية (من المتحكم إلى المعالج) متى كان العميل متحكمًا، وبوحدتها الثالثة (من المعالج إلى المعالج) متى كان يعالج البيانات لحساب متحكم آخر. ويكون العميل فيها مُصدِّر البيانات وستاك مستوردها. ويسري البند 7 منها (بند الانضمام). ويسري الخيار 2 (الإذن الكتابي العام) وفق البند 9(أ) منها، بمهلة الإخطار الواردة في البند 6.3. ولا تسري الصيغة الاختيارية الواردة في البند 11(أ) منها. ويحكمها قانون جمهورية أيرلندا وتختص بنزاعاتها محاكمها وفق البندين 17 و18 منها. وتُحدَّد السلطة الرقابية المختصة وفق البند 13 منها. وتُستكمل ملاحقها بالملاحق (1) و(2) و(3). وتسري هذه البنود عند تعارضها مع الاتفاقية.
• (ب) متى سرى على العميل نظام حماية البيانات الشخصية في المملكة العربية السعودية، تُعد البنود التعاقدية النموذجية لنقل البيانات الشخصية الصادرة عن الهيئة السعودية للبيانات والذكاء الاصطناعي، بنموذجها الثاني (من جهة التحكم إلى جهة المعالجة)، جزءًا من اتفاقية معالجة البيانات هذه بالإحالة. ويكون العميل فيها مُصدِّر البيانات وستاك مستوردها، وتُستكمل ملحقاتها بالملاحق (1) و(2) و(3). وتقدم ستاك للعميل المعلومات التي يحتاج إليها لإجراء تقييم مخاطر النقل الواجب عليه وفق لائحة نقل البيانات الشخصية إلى خارج المملكة. وتسري هذه البنود عند تعارضها مع الاتفاقية.
• (ج) متى سرى على العميل المرسوم بقانون اتحادي رقم (45) لسنة 2021 في دولة الإمارات العربية المتحدة، تلتزم ستاك بأن تطبّق على البيانات المنقولة الأحكام والتدابير والضوابط الواردة فيه، بقدر ما تسري على المعالج.
• (د) متى سرت على العميل اللائحة العامة لحماية البيانات في المملكة المتحدة، يُعد ملحق النقل الدولي للبيانات الملحق بالبنود التعاقدية النموذجية الأوروبية، الصادر عن مفوض المعلومات في المملكة المتحدة (الإصدار B1.0، النافذ من 21 مارس 2022، بتعديلاته اللاحقة)، جزءًا من اتفاقية معالجة البيانات هذه بالإحالة. وتُستكمل الجداول من 1 إلى 3 فيه ببيانات الطرفين الواردة في الاتفاقية والملاحق من (1) إلى (3). وفيما يخص الجدول 4، يجوز لأي من الطرفين إنهاء الملحق وفق ما يجيزه القسم 19 منه.
• (هـ) متى سرى على العميل القانون الاتحادي السويسري لحماية البيانات، تسري البنود التعاقدية النموذجية الأوروبية مع التعديلات التالية: يكون المفوض الاتحادي السويسري لحماية البيانات والمعلومات هو السلطة الرقابية المختصة بالنقل الذي يحكمه ذلك القانون؛ وتشمل الإشارات إلى اللائحة العامة لحماية البيانات ذلك القانون؛ ويُفسَّر لفظ "الدولة العضو" بما يمكّن أصحاب البيانات في سويسرا من رفع دعاواهم فيها.
• (و) متى اشترط قانون آخر من قوانين حماية البيانات المعمول بها أداة نقل بعينها، كالبنود التعاقدية النموذجية الصادرة عن الهيئة الوطنية لحماية البيانات في البرازيل أو العقد النموذجي وفق القانون التركي رقم 6698، توقّع ستاك تلك الأداة أو تُدرجها بالإحالة بناءً على طلب العميل، وتُستكمل بياناتها من الملاحق (1) إلى (3).
• (ز) متى سرى قانون خصوصية المستهلك في ولاية كاليفورنيا أو قانون مماثل من قوانين الخصوصية في الولايات الأمريكية، تعمل ستاك بصفتها مزوّد خدمة أو متعاقدًا أو معالجًا لحساب العميل. ولا تبيع ستاك البيانات الشخصية للعميل ولا تشاركها بالمعنى الوارد في تلك القوانين. ولا تحتفظ بها ولا تستخدمها ولا تفصح عنها لأي غرض غير تقديم الخدمات وفق الاتفاقية، ولا خارج علاقة العمل المباشرة مع العميل. ولا تدمجها مع معلومات شخصية من مصادر أخرى إلا بالقدر الذي تجيزه تلك القوانين. وتلتزم بتلك القوانين وتوفر مستوى حماية الخصوصية الذي تشترطه. وتُخطر العميل إذا لم يعد بإمكانها الوفاء بهذه الالتزامات. ويجوز للعميل اتخاذ خطوات معقولة لوقف أي استخدام غير مصرح به ومعالجته. وتُقر ستاك بأنها تفهم هذه القيود.

7.7 البيانات التي يوجب القانون حفظها داخل دولة معينة: لا يجوز للعميل أن يحفظ في الخدمات بيانات يوجب القانون المعمول به حفظها أو معالجتها داخل دولة معينة، ما لم تُبيّن الخدمات، وفق البند 9.5 من الشروط، إتاحة الاستضافة في تلك الدولة للتطبيق المعني، وذلك وفق البند 13.4 من الشروط والبند 5.4 من سياسة الاستخدام المقبول.

8. المساعدة في طلبات أصحاب البيانات

8.1 تتيح الخدمات للعميل أدوات للاطلاع على البيانات الشخصية لعملاء العميل وتصديرها وتصحيحها، وأداة لمحوها بإخفاء هويتهم مع الإبقاء على السجلات التي يوجب القانون الاحتفاظ بها، وأدوات للاطلاع على بيانات العاملين لديه وتصحيحها. ويستخدم العميل هذه الأدوات للرد على طلبات أصحاب البيانات، وتساعده ستاك وفق البند 8.3 في ما لا تغطيه، ومنه تصدير بيانات العاملين لديه وحذفها.

8.2 إذا تلقت ستاك طلبًا مباشرًا من صاحب بيانات في شأن البيانات الشخصية للعميل، تحيله إلى العميل دون تأخير، ولا ترد عليه إلا بتعليمات منه.

8.3 تقدم ستاك للعميل مساعدة معقولة في ما لا تغطيه الأدوات المتاحة.

9. الإخطار بخرق البيانات الشخصية

9.1 تخطر ستاك العميل دون تأخير غير مبرر بعد علمها بأي خرق للبيانات الشخصية يمس البيانات الشخصية للعميل، وخلال 24 ساعة من علمها به متى أمكن ذلك، وفي جميع الأحوال خلال 48 ساعة.

9.2 يتضمن الإخطار، بقدر ما يتوفر من معلومات، ما يلي:

• (أ) طبيعة الخرق؛
• (ب) فئات البيانات وأصحابها وأعدادهم التقريبية؛
• (ج) العواقب المحتملة؛
• (د) التدابير المتخذة والمقترحة لمعالجة الخرق؛
• (هـ) جهة الاتصال لدى ستاك.

وتوافي ستاك العميل بالمعلومات الإضافية فور توفرها.

9.3 تتخذ ستاك فورًا التدابير المعقولة لاحتواء الخرق والحد من آثاره، وتتعاون مع العميل في إخطار الجهات الرقابية وأصحاب البيانات متى وجب ذلك عليه، مراعيةً المدد التي يفرضها القانون عليه. وإذا أوجب القانون المعمول به على ستاك ذاتها إخطار جهة رقابية بالخرق، تولت ذلك خلال المدة المقررة، وأخطرت العميل به.

9.4 لا يُعد إخطار ستاك بالخرق أو تعاونها في معالجته إقرارًا منها بالخطأ أو بالمسؤولية.

10. تقييم الأثر والتشاور مع الجهات الرقابية

تقدم ستاك للعميل، بناءً على طلبه، المعلومات المعقولة اللازمة لإجراء تقييم أثر حماية البيانات أو للتشاور مع جهة رقابية، بقدر ما يتعلق ذلك بالخدمات.

11. المعلومات والتدقيق

11.1 تقدم ستاك للعميل، بناءً على طلبه، المعلومات المعقولة اللازمة لإثبات امتثالها لاتفاقية معالجة البيانات هذه. ويشمل ذلك وثائق الأمان والإجابة عن استبيان أمني واحد سنويًا.

11.2 يحق للعميل، على نفقته، إجراء تدقيق أو تكليف مدقق مستقل ملتزم بالسرية بإجرائه، في الحالات التالية:

• (أ) إذا اشترطت ذلك جهة رقابية؛
• (ب) بعد وقوع خرق للبيانات الشخصية يمس بياناته؛
• (ج) إذا لم تكفِ المعلومات المقدمة وفق البند 11.1.

ويخطر العميل ستاك بالتدقيق قبل 30 يومًا على الأقل، ويُجرى التدقيق خلال ساعات العمل في أيام العمل، ولا يُجرى وفق الفقرة (ج) أكثر من مرة واحدة في السنة. ولا يشمل أي تدقيق مرافق المعالجين من الباطن ولا الاطلاع على بيانات العملاء الآخرين أو المساس بأمنها، ويُكتفى في شأن تلك المرافق بشهادات المعالجين من الباطن وتقاريرهم المستقلة.

12. إعادة البيانات وحذفها

12.1 يحق للعميل تصدير البيانات الشخصية للعميل في أي وقت، وخلال 30 يومًا بعد إنهاء الاتفاقية، وفق البند 19.5 من الشروط.

12.2 بعد انقضاء مدة التصدير، تحذف ستاك البيانات الشخصية للعميل من بيئة التشغيل خلال 30 يومًا، ما لم يوجب القانون المعمول به الاحتفاظ بها، ومع مراعاة حالة الاحتفاظ الواردة في البند 19.5 من الشروط عند الإخطار بنزاع قضائي أو تحقيق أو طلب من جهة مختصة.

12.3 تُحفظ النسخ الاحتياطية وفق مدد الاحتفاظ التالية:

• (أ) الاستعادة إلى نقطة زمنية والنسخ الاحتياطية اليومية: 35 يومًا من تاريخ إنشاء كل نسخة؛
• (ب) النسخ المنطقية الليلية لقاعدة البيانات: 35 يومًا؛
• (ج) النسخ الاحتياطية الشهرية: 12 شهرًا من تاريخ إنشاء كل نسخة؛
• (د) النسخ السابقة من الملفات المرفوعة: 90 يومًا من تاريخ استبدالها أو حذفها.

وتُحفظ النسخ الاحتياطية اليومية والشهرية ونسخها في خزائن نسخ احتياطي تمنع سياستُها أيَّ شخص، بمن في ذلك العاملون لدى ستاك، من حذف أي نسخة قبل انقضاء مدة احتفاظها أو تغيير هذه المدة، ويمنع قفلُها بوضع الامتثال لدى مزوّد الاستضافة حذفَ أي نسخة خلال أيامها الخمسة والثلاثين الأولى على الأقل. وتُحفظ النسخ المنطقية الليلية محميةً من التعديل والحذف حتى انقضاء مدة احتفاظها. ولا تحذف ستاك أي نسخة احتياطية قبل انقضاء مدة احتفاظها ولو بطلب من العميل. وتُعزل جميع النسخ الاحتياطية عن الاستخدام، ولا تُستعمل إلا لأغراض الاستعادة الفنية مع مراعاة البند 12.4، أو إذا أوجب القانون ذلك. وتنتهي صلاحية جميع النسخ الاحتياطية المتضمنة للبيانات المحذوفة بانقضاء هذه المدد، أي خلال 12 شهرًا على الأكثر، فتُتلف بذلك تلك البيانات نهائيًا. وتُبلغ ستاك العميل، عند طلبه، بتاريخ انتهاء صلاحية آخر نسخة احتياطية تتضمن بيانات محذوفة، ليتمكن من إعلام صاحب البيانات به.

12.4 إذا استعادت ستاك نسخة احتياطية خلال هذه المدد، تعيد، قبل إتاحة البيانات، تطبيق عمليات المحو التي نُفذت وفق البند 8.1 والحذف الذي أُجري وفق البند 12.2 بعد تاريخ تلك النسخة، استنادًا إلى ما لديها من سجلات لتلك العمليات.

13. طلبات الجهات الحكومية

إذا تلقت ستاك طلبًا ملزمًا من جهة حكومية أو قضائية للإفصاح عن البيانات الشخصية للعميل، تخطر العميل بذلك ما لم يحظر القانون الإخطار. وتقصر ستاك الإفصاح على الحد الأدنى الذي يقتضيه الطلب، وتعترض على الطلبات التي ترى بصورة معقولة أنها غير مشروعة، بالوسائل القانونية المتاحة.

14. المسؤولية

تخضع مسؤولية كل من الطرفين بموجب اتفاقية معالجة البيانات هذه، بما في ذلك مسؤولية كل منهما تجاه الآخر بموجب البنود التعاقدية النموذجية الواردة في البند 7.6، لأحكام تحديد المسؤولية الواردة في البند 16 من الشروط، وذلك بالقدر الذي تجيزه تلك البنود، ودون مساس بحقوق أصحاب البيانات بموجبها.

15. المدة والأولوية

15.1 تسري اتفاقية معالجة البيانات هذه ما دامت ستاك تعالج البيانات الشخصية للعميل.

15.2 تسري اتفاقية معالجة البيانات هذه عند تعارضها مع الشروط فيما يتعلق بالبيانات الشخصية للعميل.

15.3 إذا فرض قانون حماية البيانات المعمول به التزامًا آمرًا أشد مما ورد في اتفاقية معالجة البيانات هذه، يُطبَّق ذلك الالتزام في نطاقه.

16. جهة الاتصال لحماية البيانات وسجل المعالجة

عيّنت ستاك جهة اتصال لحماية البيانات، يمكن مراسلتها على البريد الإلكتروني [email protected]. وتحتفظ ستاك بسجل لأنشطة المعالجة التي تجريها لحساب العملاء، وتقدمه إلى الجهة الرقابية المختصة متى أوجب القانون ذلك.

الملحق (1): تفاصيل المعالجة

• موضوع المعالجة: تقديم الخدمات للعميل وفق الشروط.
• المدة: مدة الاتفاقية، ومدة التصدير والحذف التالية لها وفق البند 12، ومدد الاحتفاظ بالنسخ الاحتياطية وفق البند 12.3، ومدد احتفاظ المعالجين من الباطن المبينة في الملحق (3).
• الطبيعة والغرض:
  • تخزين بيانات العميل واستضافتها؛
  • معالجة المبيعات والطلبات والحجوزات والفواتير؛
  • إدارة المخزون والمحاسبة والموارد البشرية والرواتب؛
  • إرسال الرسائل التي يطلبها العميل عبر حساباته لدى مزوّدي الخدمة المرتبطين، أو عبر مزوّدي الرسائل الذين تستعين بهم ستاك متى أُدرجوا في الملحق (3)؛
  • تقديم ميزات الذكاء الاصطناعي عند استخدامها؛
  • النسخ الاحتياطي والأمان والدعم الفني.
• فئات أصحاب البيانات:
  • عملاء العميل وضيوفه ومرضاه؛
  • العاملون لدى العميل والمتقدمون للعمل لديه؛
  • المستخدمون؛
  • مورّدو العميل وجهات الاتصال لديهم؛
  • السائقون والمندوبون.
• فئات البيانات الشخصية:
  • بيانات الهوية والاتصال، كالاسم والهاتف والبريد الإلكتروني والعنوان وموقع التوصيل؛
  • سجلات المعاملات والطلبات والحجوزات والفواتير؛
  • المراجع المرتبطة بالمدفوعات، دون أرقام البطاقات الكاملة؛
  • بيانات الولاء والتفضيلات والموافقات؛
  • بيانات العاملين لدى العميل، كالرقم المدني وبيانات الإقامة والراتب ورقم الحساب المصرفي الدولي (IBAN) والحضور والإجازات؛
  • الصور والمستندات التي يرفعها العميل؛
  • سجلات الرسائل وسجل التدقيق.
• البيانات الشخصية الحساسة: البيانات الصحية والسريرية عند استخدام تطبيقات العيادات، مع مراعاة البند 7.7 والبند 13.4 من الشروط، الذي يمنع استخدام ميزات ملفات المرضى للمرضى الذين تُقدَّم لهم الخدمات الصحية في دولة الكويت أو دولة الإمارات العربية المتحدة؛ والبيانات الصحية الواردة في ملفات الموارد البشرية كالشهادات المرضية. وتُشفَّر السجلات السريرية وملفات الموارد البشرية بمفاتيح مستقلة، ولا يطّلع على هذه البيانات إلا المستخدمون الذين يحملون الأدوار المخولة بذلك. أما رموز التشخيص والإجراءات الواردة في مطالبات التأمين وطلبات الموافقة المسبقة، وصور بطاقات التأمين، فتحميها تدابير تشفير قواعد البيانات والتخزين الواردة في الملحق (2).

الملحق (2): التدابير الفنية والتنظيمية

1. التشفير:
   • تُشفَّر البيانات أثناء نقلها باستخدام بروتوكول TLS 1.2 أو أحدث، ويُتحقق من هوية خادم قاعدة البيانات عند كل اتصال به.
   • تُشفَّر البيانات أثناء تخزينها في قواعد البيانات والأقراص والملفات والنسخ الاحتياطية ومخزن الأسرار بمعيار AES-256، بمفاتيح تُدار عبر خدمة إدارة المفاتيح (AWS KMS) أو يديرها مزوّد الاستضافة.
   • تُشفَّر ملفات الموارد البشرية والسجلات السريرية تشفيرًا إضافيًا داخل التطبيق بمفاتيح مستقلة، وتُحفظ بيانات الربط بمزوّدي الخدمة المرتبطين في مخزن أسرار منفصل مشفر بمفتاح مستقل.
2. عزل بيانات كل عميل: يحمل كل سجل من سجلات بيانات العميل معرّف المنشأة التي يتبعها، وتُطبَّق سياسات أمان على مستوى الصف في قاعدة البيانات على دور التطبيق، ولا يملك دور التطبيق صلاحية تجاوزها. وتمنع قيود المفاتيح المركبة ربط سجلات منشأة بسجلات منشأة أخرى.
3. التحكم في الوصول: يُمنح الوصول وفق مبدأ الحد الأدنى من الصلاحيات. ويقتصر الوصول إلى بيئة التشغيل على عاملين لدى ستاك محددين بأسمائهم، ويُشترط فيه التحقق متعدد العوامل، ويُسجَّل بدء كل وصول. ولا يكون الوصول الإداري إلى الخوادم إلا عبر خدمة إدارة الأنظمة لدى Amazon (AWS Systems Manager)، دون دخول مباشر إليها (SSH).
4. أمان دخول المستخدمين: تتيح الخدمات للمستخدمين مفاتيح المرور وتطبيقات المصادقة ورموز التحقق المرسلة إلى الهاتف الموثق. وتتيح للعميل أدوارًا وصلاحيات قابلة للتخصيص، وتقييد الوصول بالفروع، وفي الباقات التي تتضمنها قواعد خمول الجلسات وتنبيه المالكين بتسجيل الدخول من أجهزة جديدة.
5. سجل التدقيق: يُحفظ سجل تدقيق للتغييرات لا يستطيع أي مستخدم تعديله أو حذفه، ويتضمن هوية الفاعل ووقت الفعل ومصدره وعنوان بروتوكول الإنترنت. وإذا محا العميل البيانات الشخصية لأحد عملاء العميل وفق البند 8.1، أُزيلت بيانات هويته من قيود السجل مع بقاء ما يبين الفعل وفاعله ووقته. ويُحذف السجل مع بيانات العميل وفق البند 12. وتُربط القيود المحاسبية بسلسلة تكشف أي تلاعب بها.
6. النسخ الاحتياطي والاستعادة:
   • تُنشأ نسخ احتياطية آلية ومستمرة تتيح الاستعادة إلى نقطة زمنية خلال 35 يومًا؛
   • تُنشأ نسخ احتياطية يومية تُحفظ 35 يومًا، ونسخ شهرية تُحفظ 12 شهرًا، وتُنسخ إلى منطقة جغرافية منفصلة في جمهورية أيرلندا، وتمنع سياسة خزائن النسخ الاحتياطي حذفها قبل انقضاء مدة احتفاظها أو تغيير هذه المدة، ويمنع قفلها بوضع الامتثال حذف أي نسخة خلال أيامها الخمسة والثلاثين الأولى على الأقل؛
   • تُنشأ كل ليلة نسخة منطقية من قاعدة البيانات، تُحفظ 35 يومًا في تخزين محمي من التعديل والحذف؛
   • تُختبر كل شهر استعادة قاعدة البيانات من النسخ الاحتياطية.
7. بيانات الدفع: صُممت الخدمات بحيث لا تخزن ستاك أرقام البطاقات الكاملة. ويكون الدفع عبر صفحات الدفع المستضافة لدى مزوّدي خدمات الدفع أو عبر أجهزتهم وتطبيقاتهم المعتمدة لقبول البطاقات، ولا تتضمن شاشات الخدمات حقولًا لإدخال بيانات البطاقات، وتتيح الخدمات للعميل فحص الحقول النصية الحرة بحثًا عن أرقام بطاقات أُدخلت فيها خطأً لإزالتها.
8. الشبكة والبنية: تعمل قواعد البيانات في شبكات خاصة غير متاحة للعامة، مع جدران حماية. ويُوفَّر عبر Cloudflare جدار حماية لتطبيقات الويب وحماية من هجمات حجب الخدمة.
9. إدارة الثغرات والتطوير الآمن: تُراجَع الشيفرة وتُجرى الاختبارات الآلية قبل كل إصدار، وتُفحص المكتبات البرمجية، وتُطبَّق التحديثات الأمنية دون تأخير.
10. المراقبة والاستجابة للحوادث:
    • تُراقَب البنية السحابية آليًا على مدار الساعة مع تنبيهات فورية؛
    • تُسجَّل جميع العمليات الإدارية على البنية السحابية، وتُرصد التهديدات والصلاحيات الزائدة آليًا عبر خدمات Amazon المخصصة لذلك (AWS CloudTrail وGuardDuty وIAM Access Analyzer)؛
    • تُطبَّق إجراءات موثقة للاستجابة للحوادث الأمنية وللإخطار وفق البند 9.
11. استمرارية الأعمال: تُطبَّق خطط الاستمرارية والاستعادة وفق أهداف الاستعادة الواردة في اتفاقية مستوى الخدمة.
12. العاملون: يلتزم العاملون لدى ستاك ومتعاقدوها بالسرية، ويتلقون توعية أمنية.
13. الحذف الآمن: تُحذف البيانات وفق البند 12، ويتولى مزوّد الاستضافة إتلاف الوسائط وفق معاييره.

الملحق (3): المعالجون من الباطن

مزوّدون لا يُستعان بهم إلا بعد تفعيلهم. أعدّت ستاك المزوّدين التاليين، لكنها لا تستعين بهم حاليًا في معالجة البيانات الشخصية للعميل. ولا تبدأ الاستعانة بأي منهم إلا بعد الإخطار وفق البند 6.3 قبل 30 يومًا على الأقل، ويبيّن الإخطار موقع معالجة المزوّد للبيانات ومدة احتفاظه بها.

ومتى فعّلت ستاك رقم WhatsApp الخاص بها، ترسل Meta منه رموز الدخول إلى المستخدمين ورموز التحقق إلى عملاء العميل الذين يتحققون من أرقام هواتفهم في الصفحات العامة، وتعالج في ذلك بيانات تعالجها ستاك بصفتها متحكمًا وفق سياسة الخصوصية، لا البيانات الشخصية للعميل.

وفيما عدا المزوّدين المذكورين أعلاه، لا تستعين ستاك بمزوّدي الرسائل النصية أو الإشعارات الفورية أو بطاقات المحفظة الرقمية أو خدمات البحث عن العناوين والتحقق منها والخرائط في معالجة البيانات الشخصية للعميل.