توافق‌نامه پردازش داده‌ها

فهرست مطالب

1. 1. دامنه، نقش‌ها و تعاریف
2. 2. جزئیات پردازش
3. 3. دستورالعمل‌های مشتری
4. 4. محرمانگی اشخاص مجاز
5. 5. تدابیر امنیتی
6. 6. پردازشگران فرعی
7. 7. محل داده‌ها و انتقال‌های بین‌المللی
8. 8. کمک در رسیدگی به درخواست‌های صاحبان داده
9. 9. اطلاع‌رسانی نقض داده‌های شخصی
10. 10. ارزیابی‌های اثر و مشورت با مراجع نظارتی
11. 11. اطلاعات و ممیزی‌ها
12. 12. بازگرداندن و حذف داده‌ها
13. 13. درخواست‌های دولتی
14. 14. مسئولیت
15. 15. مدت و اولویت
16. 16. نقطه تماس حفاظت از داده‌ها و ثبت پردازش
17. Annex 1: جزئیات پردازش
18. Annex 2: تدابیر فنی و سازمانی
19. Annex 3: پردازشگران فرعی

نسخه: 1.2 · منتشرشده: 16 اکتبر 2026 · لازم‌الاجرا از: هنگام پذیرش برای فضاهای کاری جدید؛ برای فضاهای کاری که نسخه‌ای پیشین را پذیرفته‌اند، در تاریخی که STAK در اعلان خود بر اساس بند 20 شرایط خدمات مشتری اعلام می‌کند · متن حاکم: انگلیسی (بند 23.9 شرایط خدمات مشتری)

صادرکننده: STAK Global, LLC، شرکتی با مسئولیت محدود که در ایالت دلاور، ایالات متحده آمریکا تشکیل شده است (شماره پرونده 10798493) و مالک STAK (ستاك) و خدمات است. تماس: [email protected].

1. دامنه، نقش‌ها و تعاریف

1.1 این توافق‌نامه پردازش داده‌ها بر اساس بند 3.1 شرایط خدمات مشتری STAK («شرایط») جزء لاینفک توافق‌نامه است. پردازش داده‌های شخصی مشتری توسط STAK را تنظیم می‌کند. اصطلاحات تعریف‌شده در شرایط در این توافق‌نامه پردازش داده‌ها همان معنا را دارند.

1.2 مشتری کنترل‌کننده داده‌های شخصی مشتری است و STAK پردازشگری است که آن‌ها را از جانب مشتری و بر اساس دستورهای او پردازش می‌کند.

• کنترل‌کننده و پردازشگر معادل‌های آن‌ها بر اساس قانون حفاظت از داده‌های قابل اعمال را می‌رسانند، مانند نهاد کنترل‌کننده و نهاد پردازش‌کننده در پادشاهی عربستان سعودی.
• اگر مشتری داده‌ها را به عنوان پردازشگر از جانب کنترل‌کننده‌ای دیگر پردازش کند، STAK آن‌ها را به عنوان پردازشگری که برای مشتری عمل می‌کند پردازش می‌کند و پردازشگر فرعی به معنای بند 1.3 نیست. مشتری اطمینان حاصل می‌کند که دستورهای او با دستورهای آن کنترل‌کننده سازگار است.
• STAK داده‌های حساب را به عنوان کنترل‌کننده، به شرحی که در سیاست حریم خصوصی آمده است، پردازش می‌کند و این توافق‌نامه پردازش داده‌ها بر آن‌ها اعمال نمی‌شود. نه این ارجاع و نه ارجاع در Annex 3 تعهدات قراردادی بر اساس بند 3.2 شرایط ایجاد نمی‌کند.

1.3 عبارات زیر معانی مقرر در کنار هر یک را دارند:

• داده‌های شخصی مشتری: داده‌های شخصی موجود در داده‌های مشتری، از جمله داده‌های مربوط به مشتریان نهایی، کارکنان، تأمین‌کنندگان و کاربران مشتری، به‌جز داده‌های حساب.
• داده‌های شخصی حساس: داده‌های سلامت و بالینی، و هر داده‌ای که قانون حفاظت از داده‌های قابل اعمال آن را حساس طبقه‌بندی کند.
• پردازش: هر عملیاتی که روی داده‌های شخصی انجام شود، مانند گردآوری، ثبت، ذخیره، بازیابی، استفاده، افشا، انتقال و حذف آن‌ها.
• پردازشگر فرعی: هر طرفی که STAK برای پردازش داده‌های شخصی مشتری به منظور ارائه خدمات به کار می‌گیرد.
• صاحب داده: شخص حقیقی که داده‌های شخصی به او مربوط می‌شود.
• رخداد امنیتی: هر رویدادی که محرمانگی، یکپارچگی یا دسترس‌پذیری خدمات را تهدید کند یا مظنون به تهدید آن باشد.
• نقض داده‌های شخصی: هر نقض امنیتی که به تخریب، از دست رفتن یا تغییر تصادفی یا غیرقانونی، یا افشا یا دسترسی غیرمجاز به داده‌های شخصی مشتری منجر شود.
• نسخه پشتیبان: هر نسخه از داده‌های مشتری که برای مقاصد بازیابی بر اساس بند 12.3 و Annex 2 تهیه شده باشد.
• محیط عملیاتی: سامانه‌ها و پایگاه‌های داده‌ای که خدمات روی آن‌ها اجرا می‌شود و مشتری از آن‌ها استفاده می‌کند، به استثنای نسخه‌های پشتیبان.
• قانون حفاظت از داده‌های قابل اعمال: قوانین حفاظت از داده‌های شخصی که بر پردازش اعمال می‌شوند، هر یک به میزانی که اعمال می‌شود، از جمله موارد زیر:
  • در دولت کویت: قانون شماره 20 سال 2014 درباره معاملات الکترونیکی، و مقررات حفاظت از حریم خصوصی داده‌ها، چارچوب نظارتی رایانش ابری و سیاست طبقه‌بندی داده‌ها که توسط سازمان تنظیم مقررات ارتباطات و فناوری اطلاعات صادر شده است، هر یک در دامنه خود؛
  • قانون حفاظت از داده‌های شخصی پادشاهی عربستان سعودی، صادرشده به موجب فرمان سلطنتی شماره (م/19) مورخ 9/2/1443 هجری قمری، با اصلاحات بعدی، آیین‌نامه اجرایی آن و مقررات انتقال داده‌های شخصی به خارج از پادشاهی؛
  • در امارات متحده عربی: فرمان‌قانون فدرال شماره (45) سال 2021 درباره حفاظت از داده‌های شخصی، قانون فدرال شماره (2) سال 2019 درباره استفاده از فناوری اطلاعات و ارتباطات در حوزه‌های سلامت، و قوانین حفاظت از داده‌های مرکز مالی بین‌المللی دبی (Dubai International Financial Centre) و بازار جهانی ابوظبی (Abu Dhabi Global Market) برای کسانی که مشمول آن‌ها هستند؛
  • قانون شماره (30) سال 2018 درباره صدور قانون حفاظت از داده‌های شخصی پادشاهی بحرین؛
  • قانون شماره (13) سال 2016 درباره حفاظت از حریم خصوصی داده‌های شخصی دولت قطر؛
  • قانون حفاظت از داده‌های شخصی صادرشده به موجب فرمان سلطانی شماره (6/2022) سلطنت عمان؛
  • مقررات عمومی حفاظت از داده‌های اتحادیه اروپا (Regulation (EU) 2016/679)، در مواردی که بر مشتری اعمال می‌شود؛
  • مقررات عمومی حفاظت از داده‌های انگلستان (UK GDPR) و قانون حفاظت از داده‌ها 2018 (Data Protection Act 2018)؛ قانون فدرال سوئیس درباره حفاظت از داده‌ها؛ قانون حریم خصوصی مصرف‌کننده کالیفرنیا با اصلاحات بعدی و سایر قوانین جامع حریم خصوصی ایالت‌های ایالات متحده آمریکا؛ قانون حفاظت از اطلاعات شخصی و اسناد الکترونیکی کانادا (Personal Information Protection and Electronic Documents Act) و قوانین استانی؛ قانون عمومی حفاظت از داده‌های برزیل (Lei Geral de Proteção de Dados) (قانون شماره 13.709/2018)؛ قانون حفاظت از داده‌های شخصی دیجیتال هند، 2023؛ قانون شماره 6698 ترکیه درباره حفاظت از داده‌های شخصی؛ قانون شماره 151 سال 2020 مصر؛ قانون حفاظت از اطلاعات شخصی آفریقای جنوبی، 2013؛ قانون حفاظت از داده‌های شخصی سنگاپور 2012؛ قانون حریم خصوصی 1988 استرالیا؛ و هر قانون حفاظت از داده‌های شخصی دیگری که بر پردازش اعمال شود.

2. جزئیات پردازش

Annex 1 موضوع، مدت، ماهیت و هدف پردازش، دسته‌های صاحبان داده و دسته‌های داده‌های شخصی را مشخص می‌کند.

3. دستورالعمل‌های مشتری

3.1 STAK داده‌های شخصی مشتری را فقط بر اساس دستورهای مستند مشتری پردازش می‌کند. آن دستورها عبارت‌اند از:

• توافق‌نامه؛
• تنظیمات فضای کاری؛
• اقداماتی که کاربران درون خدمات انجام می‌دهند؛
• هر دستور کتبی دیگری که طرفین بر آن توافق کنند.

3.2 STAK می‌تواند در جایی که قانون قابل اعمال ایجاب کند، داده‌ها را به غیر از این دستورها پردازش کند. از پیش به مشتری اطلاع می‌دهد، مگر آنکه قانون اعلان را ممنوع کند.

3.3 اگر STAK معتقد باشد دستوری قانون حفاظت از داده‌های قابل اعمال را نقض می‌کند، به مشتری اطلاع می‌دهد. می‌تواند از اجرای آن دستور خودداری کند تا زمانی که مشتری آن را برای رفع نقض تغییر دهد، یا آن را کتباً با بیانیه مبنای قانونی که STAK به‌طور معقول بپذیرد، تأیید کند.

3.4 مشتری مسئول قانونی بودن دستورهای خود و داشتن مبنای قانونی برای گردآوری و پردازش داده‌های شخصی مشتری است. این شامل اطلاع‌رسانی به صاحبان داده و کسب رضایت آن‌ها در جایی که لازم باشد، از جمله رضایت به انتقال داده‌هایشان بر اساس بند 7 است.

4. محرمانگی اشخاص مجاز

STAK دسترسی به داده‌های شخصی مشتری را به کارکنان و پیمانکارانی که برای کارشان به آن نیاز دارند محدود می‌کند و آن‌ها را به رازداری ملزم می‌کند. کارکنان و پیمانکاران STAK فقط در موارد زیر به داده‌های مشتری دسترسی دارند و آغاز هر دسترسی از این نوع به محیط عملیاتی ثبت می‌شود:

• (a) برای ارائه پشتیبانی‌ای که مشتری درخواست می‌کند؛
• (b) برای راه‌اندازی و نگهداری خدمات و بازگردانی آن‌ها از نسخه‌های پشتیبان؛
• (c) برای بررسی رخداد امنیتی یا نقض مظنون به سیاست استفاده قابل قبول؛
• (d) در مواردی که قانون چنین ایجاب کند.

5. تدابیر امنیتی

5.1 STAK تدابیر فنی و سازمانی مناسبی را برای حفاظت از داده‌های شخصی مشتری اعمال می‌کند، با در نظر گرفتن ماهیت و ریسک‌های پردازش. این تدابیر دست‌کم شامل تدابیر مندرج در Annex 2 است.

5.2 STAK می‌تواند این تدابیر را به‌روزرسانی کند، مشروط به آنکه سطح کلی حفاظت کاهش نیابد.

5.3 مشتری مسئول تدابیر امنیتی تحت کنترل خود است، مانند مدیریت کاربران و مجوزها، روشن کردن ورود دومرحله‌ای، ایمن‌سازی دستگاه‌ها و تجهیزات خود و حفظ امنیت داده‌هایی که صادر می‌کند.

6. پردازشگران فرعی

6.1 مشتری به STAK اجازه می‌دهد پردازشگران فرعی فهرست‌شده در Annex 3 را به کار گیرد.

6.2 STAK باید با هر پردازشگر فرعی قرارداد کتبی منعقد کند. قرارداد باید تعهدات حفاظت از داده‌هایی را مقرر کند که سطحی از حفاظت متناسب با پردازش و اساساً معادل این توافق‌نامه پردازش داده‌ها فراهم می‌آورد. STAK در قبال مشتری مسئول اجرای تعهدات پردازشگران فرعی خود می‌ماند.

6.3 STAK هر پردازشگر فرعی جدید را دست‌کم 30 روز پیش از آنکه پردازش داده‌های شخصی مشتری را آغاز کند، درون خدمات یا از طریق ایمیل به مشتری اطلاع می‌دهد.

6.4 در طول مهلت اطلاع‌رسانی، مشتری می‌تواند بر اساس دلایل معقول حفاظت از داده‌ها کتباً به پردازشگر فرعی جدید اعتراض کند. اگر طرفین نتوانند بر راه‌حلی توافق کنند، مشتری می‌تواند پیش از آغاز پردازش، اشتراک متأثر یا توافق‌نامه را فسخ کند و هزینه‌های پیش‌پرداخت‌شده برای مدت باقی‌مانده را بازپس بگیرد.

6.5 ارائه‌دهندگان متصلی که مشتری از طریق حساب‌های خود به آن‌ها متصل می‌شود، پردازشگران فرعی STAK نیستند. این‌ها شامل ارائه‌دهندگان خدمات پرداخت، Meta در خصوص حساب WhatsApp Business خود مشتری، و پلتفرم‌های تحویل است. ارسال داده به آن‌ها بر اساس دستور مشتری، انتقالی است که به راهنمایی مشتری و از جانب او انجام می‌شود.

6.6 داده‌ها فقط هنگامی به ارائه‌دهنده قابلیت‌های هوش مصنوعی ارسال می‌شوند که کاربر یکی از آن قابلیت‌ها را درخواست کند، کاربر سندی را برای خوانده شدن توسط یکی از آن‌ها بارگذاری کند، مانند رسید، یا خودکارسازی‌ای که کاربر تنظیم کرده است مرحله‌ای را اجرا کند که از هوش مصنوعی استفاده می‌کند، و فقط داده‌های لازم برای انجام همان درخواست یا مرحله ارسال می‌شوند. ارائه‌دهنده نمی‌تواند از آن‌ها برای آموزش مدل‌های خود استفاده کند. داده‌های شخصی حساس فقط در صورتی به او ارسال می‌شوند که خود درخواست یا مرحله حاوی آن‌ها باشد.

7. محل داده‌ها و انتقال‌های بین‌المللی

7.1 خدمات میزبانی می‌شوند و داده‌های شخصی مشتری عمدتاً در محیط عملیاتی Amazon Web Services در منطقه Frankfurt در جمهوری فدرال آلمان ذخیره می‌شوند. نسخه‌های پشتیبان در همان منطقه نگه داشته می‌شوند و نسخه‌هایی از آن‌ها در منطقه جداگانه Amazon Web Services در جمهوری ایرلند تهیه می‌شود.

7.2 مشتری موارد زیر را تصدیق می‌کند و انتقال‌های ناشی از آن را صراحتاً مجاز می‌داند:

• (a) میزبانی در اتحادیه اروپا انجام می‌شود که ممکن است خارج از کشوری باشد که مشتری در آن مستقر است یا فعالیت می‌کند؛
• (b) Cloudflare همواره ترافیک شبکه را از طریق شبکه جهانی خود پردازش می‌کند؛
• (c) سایر پردازشگران فرعی فهرست‌شده در Annex 3 داده‌ها را در کشورهای دیگر، از جمله ایالات متحده آمریکا، فقط هنگامی پردازش می‌کنند که از خدمت مربوط استفاده شود؛
• (d) کارکنان STAK می‌توانند از دولت کویت به داده‌ها دسترسی داشته باشند، فقط در مواردی که در بند 4 مقرر شده است.

7.3 برای انتقال داده‌های شخصی مشتری به خارج از کشوری که در آن گردآوری شده‌اند، STAK تضمین‌های زیر را اعمال می‌کند:

• (a) قراردادهای مذکور در بند 6.2، از جمله بندهای قراردادی استانداردی که STAK با پردازشگران فرعی خارج از اتحادیه اروپا منعقد کرده است؛
• (b) رمزگذاری در حین انتقال و در حالت ذخیره؛
• (c) سازوکارهای انتقال مورد شناسایی قانون حفاظت از داده‌های قابل اعمال، در مواردی که آن قانون آن‌ها را الزامی کند، از جمله سازوکارهای مندرج در بند 7.6.

7.4 مشتری باید هر رضایت یا مجوزی را که قانون کشورش برای انتقال داده‌های شخصی مشتری به خارج از آن کشور الزام می‌کند، چه از مرجع نظارتی و چه از صاحبان داده، تحصیل کند. STAK اطلاعات لازم برای این کار را در صورت درخواست ارائه می‌کند.

7.5 STAK می‌تواند میزبانی اصلی یا نسخه‌های پشتیبان را پس از اطلاع‌رسانی به مشتری دست‌کم 30 روز پیشاپیش به منطقه دیگری منتقل کند و مشتری می‌تواند بر اساس بند 6.4 اعتراض کند و هر فسخ بر اساس آن بند پیش از تاریخ انتقال لازم‌الاجرا شود. اجرای موقت خدمات از نسخه‌های پشتیبان در جمهوری ایرلند پس از از دست رفتن منطقه اصلی میزبانی، انتقال بر اساس این بند نیست و STAK بدون تأخیر به مشتری اطلاع می‌دهد.

7.6 سازوکارهای انتقال الزامی بر اساس قانون: بدون لطمه به بند 7.4:

• (a) در مواردی که مقررات عمومی حفاظت از داده‌های اتحادیه اروپا (GDPR) بر مشتری اعمال می‌شود، بندهای قراردادی استاندارد مصوب بر اساس تصمیم اجرایی کمیسیون اروپا (EU) 2021/914 («بندهای قراردادی استاندارد اتحادیه اروپا») با ارجاع در این توافق‌نامه پردازش داده‌ها گنجانده می‌شود: Module Two (از کنترل‌کننده به پردازشگر) در صورتی که مشتری کنترل‌کننده باشد، و Module Three (از پردازشگر به پردازشگر) در صورتی که مشتری داده‌ها را برای کنترل‌کننده‌ای دیگر پردازش کند. مشتری صادرکننده داده و STAK دریافت‌کننده داده است. Clause 7 (بند الحاق) اعمال می‌شود. در Clause 9(a)، Option 2 (مجوز کتبی عمومی) با مهلت اطلاع‌رسانی مقرر در بند 6.3 اعمال می‌شود. عبارت اختیاری در Clause 11(a) اعمال نمی‌شود. بر اساس Clauses 17 و 18، قانون و دادگاه‌های جمهوری ایرلند اعمال می‌شود. مرجع نظارتی صالح بر اساس Clause 13 تعیین می‌شود. پیوست‌های آن‌ها با Annexes 1، 2 و 3 تکمیل می‌شود. در صورت تعارض میان آن‌ها و توافق‌نامه، آن‌ها مقدم‌اند.
• (b) در مواردی که قانون حفاظت از داده‌های شخصی پادشاهی عربستان سعودی بر مشتری اعمال می‌شود، بندهای قراردادی استاندارد انتقال داده‌های شخصی صادرشده توسط سازمان داده و هوش مصنوعی عربستان سعودی (Saudi Data and Artificial Intelligence Authority)، قالب دوم (کنترل‌کننده به پردازشگر)، با ارجاع در این توافق‌نامه پردازش داده‌ها گنجانده می‌شود. مشتری صادرکننده داده و STAK دریافت‌کننده داده است و پیوست‌های آن با Annexes 1، 2 و 3 تکمیل می‌شود. STAK اطلاعات لازم برای ارزیابی ریسک انتقال را که مشتری بر اساس مقررات انتقال داده‌های شخصی به خارج از پادشاهی باید انجام دهد، در اختیار او قرار می‌دهد. در صورت تعارض میان آن‌ها و توافق‌نامه، آن‌ها مقدم‌اند.
• (c) در مواردی که فرمان‌قانون فدرال شماره (45) سال 2021 امارات متحده عربی بر مشتری اعمال می‌شود، STAK مقررات، تدابیر و کنترل‌های آن قانون را، تا میزانی که بر پردازشگر قابل اعمال است، بر داده‌های منتقل‌شده اعمال می‌کند.
• (d) در مواردی که مقررات عمومی حفاظت از داده‌های انگلستان (UK GDPR) بر مشتری اعمال می‌شود، الحاقیه انتقال بین‌المللی داده‌ها به بندهای قراردادی استاندارد اتحادیه اروپا که توسط کمیسر اطلاعات انگلستان صادر شده است (نسخه B1.0، لازم‌الاجرا از 21 مارس 2022، با اصلاحات بعدی) با ارجاع گنجانده می‌شود. Tables 1 تا 3 با مشخصات طرفین در توافق‌نامه و Annexes 1 تا 3 تکمیل می‌شود. برای Table 4، هر یک از طرفین می‌تواند الحاقیه را مطابق Section 19 آن پایان دهد.
• (e) در مواردی که قانون فدرال سوئیس درباره حفاظت از داده‌ها بر مشتری اعمال می‌شود، بندهای قراردادی استاندارد اتحادیه اروپا با این تغییرات اعمال می‌شود: کمیسر فدرال سوئیس برای حفاظت از داده‌ها و اطلاعات مرجع نظارتی صالح برای انتقال‌های مشمول آن قانون است؛ ارجاع به GDPR شامل آن قانون نیز می‌شود؛ و «کشور عضو» به گونه‌ای خوانده می‌شود که صاحبان داده در سوئیس بتوانند دعاوی خود را در سوئیس مطرح کنند.
• (f) در مواردی که قانون حفاظت از داده‌های قابل اعمال دیگری سند انتقال مشخصی را الزامی کند، مانند بندهای قراردادی استاندارد مرجع ملی حفاظت از داده‌های برزیل یا قرارداد استاندارد بر اساس قانون شماره 6698 ترکیه، STAK آن سند را به درخواست مشتری امضا یا در توافق‌نامه وارد می‌کند و جزئیات آن را از Annexes 1 تا 3 تکمیل می‌کند.
• (g) در مواردی که قانون حریم خصوصی مصرف‌کننده کالیفرنیا (CCPA) یا قانون مشابه حریم خصوصی یکی از ایالت‌های آمریکا اعمال می‌شود، STAK به عنوان ارائه‌دهنده خدمات، پیمانکار یا پردازشگر مشتری عمل می‌کند. STAK داده‌های شخصی مشتری را نمی‌فروشد و به اشتراک نمی‌گذارد. آن‌ها را برای هیچ منظوری جز ارائه خدمات بر اساس توافق‌نامه، یا خارج از رابطه تجاری مستقیم با مشتری، نگه نمی‌دارد، استفاده نمی‌کند و افشا نمی‌کند. آن‌ها را با اطلاعات شخصی حاصل از منابع دیگر ترکیب نمی‌کند، مگر تا حدی که آن قوانین مجاز بدانند. از آن قوانین پیروی می‌کند و همان سطح حفاظت از حریم خصوصی را که آن‌ها الزام می‌کنند فراهم می‌آورد. در صورتی که دیگر نتواند این تعهدات را رعایت کند، به مشتری اطلاع می‌دهد. مشتری می‌تواند اقدامات معقولی برای توقف و جبران هرگونه استفاده غیرمجاز به عمل آورد. STAK گواهی می‌کند که این محدودیت‌ها را درک کرده است.

7.7 داده‌هایی که باید در کشور معینی بمانند: مشتری نباید در خدمات داده‌ای را نگه دارد که قانون قابل اعمال الزام می‌کند در کشور معینی ذخیره یا پردازش شود، مگر آنکه خدمات بر اساس بند 9.5 شرایط نشان دهند که میزبانی در آن کشور برای برنامه مربوط در دسترس است. این بر اساس بند 13.4 شرایط و بند 5.4 سیاست استفاده قابل قبول است.

8. کمک در رسیدگی به درخواست‌های صاحبان داده

8.1 خدمات ابزارهایی را برای مشاهده، صدور و اصلاح داده‌های شخصی مشتریان نهایی، ابزاری برای پاک‌سازی آن‌ها با جایگزین کردن هویت‌شان با نام مستعار در عین حفظ سوابقی که قانون نگهداری آن‌ها را الزام می‌کند، و ابزارهایی برای مشاهده و اصلاح داده‌های کارکنان در اختیار مشتری قرار می‌دهند. مشتری از این ابزارها برای پاسخ به درخواست‌های صاحبان داده استفاده می‌کند و STAK بر اساس بند 8.3 در هر آنچه آن‌ها پوشش نمی‌دهند، از جمله صدور و حذف داده‌های کارکنان، کمک می‌کند.

8.2 اگر STAK درخواستی را مستقیماً از صاحب داده درباره داده‌های شخصی مشتری دریافت کند، آن را بدون تأخیر به مشتری منتقل می‌کند و فقط بر اساس دستورهای مشتری پاسخ می‌دهد.

8.3 STAK در هر موردی که ابزارهای موجود آن را پوشش نمی‌دهند، کمک معقول به مشتری ارائه می‌کند.

9. اطلاع‌رسانی نقض داده‌های شخصی

9.1 STAK پس از آگاهی از هر نقض داده‌های شخصی که بر داده‌های شخصی مشتری تأثیر بگذارد، بدون تأخیر ناروا به مشتری اطلاع می‌دهد. در صورت امکان ظرف 24 ساعت پس از آگاهی از آن و در هر حال ظرف 48 ساعت این کار را انجام می‌دهد.

9.2 اعلان، تا جایی که اطلاعات در دسترس باشد، شامل موارد زیر است:

• (a) ماهیت نقض؛
• (b) دسته‌های داده و صاحبان داده و تعداد تقریبی آن‌ها؛
• (c) پیامدهای محتمل؛
• (d) تدابیر اتخاذشده و پیشنهادشده برای رسیدگی به نقض؛
• (e) یک نقطه تماس در STAK.

STAK به محض در دسترس قرار گرفتن، اطلاعات بیشتری ارائه می‌کند.

9.3 STAK فوراً تدابیر معقولی برای مهار نقض و محدود کردن آثار آن اتخاذ می‌کند. با مشتری در اطلاع‌رسانی به مراجع نظارتی و صاحبان داده، در مواردی که مشتری باید چنین کند، همکاری می‌کند و مهلت‌هایی را که قانون برای مشتری تعیین می‌کند در نظر می‌گیرد. در مواردی که قانون قابل اعمال خود STAK را ملزم می‌کند نقض را به مرجع نظارتی اطلاع دهد، STAK این کار را ظرف مهلت لازم انجام می‌دهد و به مشتری اطلاع می‌دهد.

9.4 اعلان STAK درباره نقض، یا همکاری او در رسیدگی به آن، اعتراف به تقصیر یا مسئولیت نیست.

10. ارزیابی‌های اثر و مشورت با مراجع نظارتی

به درخواست مشتری، STAK اطلاعات معقول لازم برای انجام ارزیابی اثر حفاظت از داده‌ها یا مشورت با مرجع نظارتی را، تا حدی که به خدمات مربوط شود، ارائه می‌کند.

11. اطلاعات و ممیزی‌ها

11.1 به درخواست مشتری، STAK اطلاعاتی را که برای نشان دادن رعایت این توافق‌نامه پردازش داده‌ها به‌طور معقول لازم است ارائه می‌کند. این شامل مستندات امنیتی و پاسخ به یک پرسشنامه امنیتی در سال است.

11.2 مشتری می‌تواند در موارد زیر، با هزینه خود، ممیزی انجام دهد یا ممیز مستقلی را که به رازداری ملزم است به انجام آن بگمارد:

• (a) در مواردی که مرجع نظارتی آن را الزامی کند؛
• (b) پس از نقض داده‌های شخصی که بر داده‌های او تأثیر می‌گذارد؛
• (c) در مواردی که اطلاعات ارائه‌شده بر اساس بند 11.1 کافی نباشد.

ممیزی تابع این شرایط است:

• مشتری دست‌کم 30 روز پیشاپیش ممیزی را به STAK اطلاع می‌دهد.
• در ساعات کاری و در روزهای کاری انجام می‌شود.
• ممیزی بر اساس بند (c) بیش از یک بار در سال انجام نمی‌شود.
• هیچ ممیزی به تأسیسات پردازشگران فرعی تعمیم نمی‌یابد. به جای آن، گواهینامه‌ها و گزارش‌های مستقل آن‌ها کافی است.
• هیچ ممیزی شامل دسترسی به داده‌های مشتریان دیگر یا هر چیزی که بر امنیت آن‌ها اثر بگذارد نیست.

12. بازگرداندن و حذف داده‌ها

12.1 مشتری می‌تواند هر زمان، و تا 30 روز پس از پایان توافق‌نامه، بر اساس بند 19.5 شرایط، داده‌های شخصی مشتری را صادر کند.

12.2 پس از دوره صدور داده‌ها، STAK ظرف 30 روز داده‌های شخصی مشتری را از محیط عملیاتی حذف می‌کند، مگر آنکه قانون قابل اعمال نگهداری آن‌ها را ایجاب کند، و با رعایت توقف مقرر در بند 19.5 شرایط، تا زمانی که به STAK درباره اختلاف قضایی، تحقیقات یا درخواست مرجع صالح اطلاع داده شده باشد.

12.3 نسخه‌های پشتیبان برای دوره‌های نگهداری زیر نگه داشته می‌شوند:

• (a) بازیابی به نقطه زمانی مشخص و نسخه‌های پشتیبان روزانه: 35 روز از تاریخ تهیه هر نسخه پشتیبان؛
• (b) نسخه‌های پشتیبان منطقی شبانه از پایگاه داده (dump پایگاه داده): 35 روز؛
• (c) نسخه‌های پشتیبان ماهانه: 12 ماه از تاریخ تهیه هر نسخه پشتیبان؛
• (d) نسخه‌های قبلی فایل‌های بارگذاری‌شده: 90 روز از تاریخ جایگزینی یا حذف آن‌ها؛

قواعدی که بر این نسخه‌های پشتیبان اعمال می‌شود:

• نسخه‌های پشتیبان روزانه و ماهانه و نسخه‌های آن‌ها در گاوصندوق‌های پشتیبان نگهداری می‌شوند که سیاست آن‌ها مانع از آن می‌شود که هیچ‌کس، از جمله کارکنان خود STAK، پیش از پایان دوره نگهداری نسخه پشتیبانی را حذف یا آن دوره را تغییر دهد، و قفل آن‌ها در حالت انطباق (compliance mode) ارائه‌دهنده میزبانی مانع حذف هر نسخه پشتیبان در دست‌کم 35 روز نخست می‌شود.
• نسخه‌های پشتیبان منطقی شبانه تا پایان دوره نگهداری در برابر تغییر و حذف محافظت می‌شوند.
• STAK هیچ نسخه پشتیبانی را پیش از پایان دوره نگهداری آن حذف نمی‌کند، حتی به درخواست مشتری.
• همه نسخه‌های پشتیبان از دسترس عادی خارج می‌شوند و فقط برای بازیابی فنی، با رعایت بند 12.4، یا در مواردی که قانون ایجاب کند، استفاده می‌شوند.
• همه نسخه‌های پشتیبانِ حاوی داده‌های حذف‌شده با پایان این مدت‌ها منقضی می‌شوند، یعنی حداکثر ظرف 12 ماه، و داده‌های حذف‌شده پس از آن برای همیشه نابود می‌شوند.
• به درخواست، STAK تاریخی را که آخرین نسخه پشتیبانِ حاوی داده‌های حذف‌شده در آن منقضی می‌شود به مشتری اعلام می‌کند تا مشتری بتواند به صاحب داده اطلاع دهد.

12.4 اگر STAK در طول این مدت‌ها نسخه پشتیبانی را بازیابی کند، پیش از در دسترس قرار دادن داده‌ها، پاک‌سازی‌های انجام‌شده بر اساس بند 8.1 و حذف‌های انجام‌شده بر اساس بند 12.2 پس از تاریخ آن نسخه پشتیبان را، با استفاده از سوابقی که از آن عملیات دارد، دوباره اعمال می‌کند.

13. درخواست‌های دولتی

اگر STAK درخواست الزام‌آوری از مرجع دولتی یا قضایی برای افشای داده‌های شخصی مشتری دریافت کند، به مشتری اطلاع می‌دهد، مگر آنکه قانون اعلان را ممنوع کند. STAK افشا را به حداقل مورد نیاز درخواست محدود می‌کند. درخواست‌هایی را که به‌طور معقول غیرقانونی می‌داند، از طریق راه‌های قانونی موجود به چالش می‌کشد.

14. مسئولیت

مسئولیت هر طرف بر اساس این توافق‌نامه پردازش داده‌ها، از جمله مسئولیت او در قبال طرف دیگر بر اساس بندهای قراردادی استاندارد مندرج در بند 7.6، تابع مقررات محدودیت مسئولیت در بند 16 شرایط است، تا حدی که آن بندها اجازه می‌دهند و بدون آنکه به حقوق صاحبان داده بر اساس آن‌ها لطمه بزند.

15. مدت و اولویت

15.1 این توافق‌نامه پردازش داده‌ها تا زمانی که STAK داده‌های شخصی مشتری را پردازش می‌کند اعمال می‌شود.

15.2 در صورت تعارض این توافق‌نامه پردازش داده‌ها با شرایط، در امور مربوط به داده‌های شخصی مشتری این توافق‌نامه مقدم است.

15.3 در مواردی که قانون حفاظت از داده‌های قابل اعمال تعهد آمره‌ای سخت‌گیرانه‌تر از این توافق‌نامه پردازش داده‌ها وضع کند، آن تعهد در محدوده خود اعمال می‌شود.

16. نقطه تماس حفاظت از داده‌ها و ثبت پردازش

STAK نقطه تماس حفاظت از داده‌ها تعیین کرده است که از طریق ایمیل به نشانی [email protected] قابل دسترسی است. STAK سابقه‌ای از فعالیت‌های پردازشی را که از جانب مشتریان انجام می‌دهد نگه می‌دارد و در مواردی که قانون ایجاب کند آن را به مرجع نظارتی صالح ارائه می‌کند.

Annex 1: جزئیات پردازش

• موضوع: ارائه خدمات به مشتری بر اساس شرایط.
• مدت: مدت توافق‌نامه، دوره صدور و حذف داده‌ها پس از آن بر اساس بند 12، دوره‌های نگهداری نسخه‌های پشتیبان در بند 12.3 و دوره‌های نگهداری پردازشگران فرعی مندرج در Annex 3.
• ماهیت و هدف:
  • ذخیره و میزبانی داده‌های مشتری؛
  • پردازش فروش‌ها، سفارش‌ها، رزروها و صورتحساب‌ها؛
  • مدیریت موجودی، حسابداری، منابع انسانی و حقوق و دستمزد؛
  • ارسال پیام‌هایی که مشتری از طریق حساب‌های خود نزد ارائه‌دهندگان متصل، یا از طریق ارائه‌دهندگان پیام‌رسانی که STAK پس از فهرست شدن در Annex 3 از آن‌ها استفاده می‌کند، درخواست می‌کند؛
  • ارائه قابلیت‌های هوش مصنوعی هنگام استفاده از آن‌ها؛
  • نسخه‌های پشتیبان، امنیت و پشتیبانی.
• دسته‌های صاحبان داده:
  • مشتریان نهایی، مهمانان و بیماران مشتری؛
  • کارکنان و متقاضیان شغل آن؛
  • کاربران؛
  • تأمین‌کنندگان آن و مخاطبان ایشان؛
  • رانندگان و پیک‌ها.
• دسته‌های داده‌های شخصی:
  • داده‌های هویتی و تماس، مانند نام، تلفن، ایمیل، نشانی و محل تحویل؛
  • سوابق تراکنش‌ها، سفارش‌ها، رزروها و صورتحساب‌ها؛
  • ارجاع‌های مرتبط با پرداخت‌ها، بدون شماره کامل کارت؛
  • داده‌های وفاداری، ترجیحات و رضایت‌ها؛
  • داده‌های مربوط به کارکنان مشتری، مانند شماره شناسه مدنی، جزئیات اقامت، حقوق، شماره حساب بانکی بین‌المللی (IBAN)، حضور و غیاب و مرخصی؛
  • عکس‌ها و اسنادی که مشتری بارگذاری می‌کند؛
  • گزارش‌های پیام‌ها و مسیر ممیزی.
• داده‌های شخصی حساس: داده‌های سلامت و بالینی هنگام استفاده از برنامه‌های کلینیک، با رعایت بند 7.7 و بند 13.4 شرایط که بر اساس آن قابلیت‌های پرونده بیمار نباید برای بیمارانی که در دولت کویت یا امارات متحده عربی خدمات درمانی دریافت می‌کنند استفاده شود؛ و داده‌های سلامت در پرونده‌های منابع انسانی، مانند گواهی استعلاجی. سوابق بالینی و پرونده‌های منابع انسانی با کلیدهای جداگانه رمزگذاری می‌شوند و این داده‌ها فقط برای کاربرانی که نقش‌های مجاز به دیدن آن‌ها را دارند قابل مشاهده است. کدهای تشخیص و روش در ادعاهای بیمه و مجوزهای پیشین، و تصاویر کارت‌های بیمه، با رمزگذاری پایگاه داده و فضای ذخیره‌سازی مندرج در Annex 2 محافظت می‌شوند.

Annex 2: تدابیر فنی و سازمانی

1. رمزگذاری:
   • داده‌های در حال انتقال با TLS نسخه 1.2 یا بالاتر رمزگذاری می‌شوند و هویت سرور پایگاه داده در هر اتصال راستی‌آزمایی می‌شود.
   • داده‌های ذخیره‌شده در پایگاه‌های داده، دیسک‌ها، فایل‌ها، نسخه‌های پشتیبان و مخزن اسرار با AES-256 و با کلیدهایی که از طریق AWS Key Management Service (AWS KMS) یا ارائه‌دهنده میزبانی مدیریت می‌شوند رمزگذاری می‌شود.
   • پرونده‌های منابع انسانی و سوابق بالینی علاوه بر آن در درون برنامه با کلیدهای جداگانه رمزگذاری می‌شوند و اطلاعات اتصال به ارائه‌دهندگان متصل در مخزن اسرار جداگانه‌ای که با کلید جداگانه رمزگذاری شده است نگه داشته می‌شود.
2. جداسازی داده‌های هر مشتری: هر رکورد از داده‌های مشتری شناسه کسب‌وکاری را که به آن تعلق دارد با خود دارد. سیاست‌های امنیت در سطح ردیف در پایگاه داده بر نقش برنامه اعمال می‌شوند و نقش برنامه مجوز دور زدن آن‌ها را ندارد. محدودیت‌های کلید مرکب مانع از آن می‌شوند که رکوردهای یک کسب‌وکار به رکوردهای کسب‌وکار دیگر پیوند داده شوند.
3. کنترل دسترسی:
   • دسترسی بر اساس اصل حداقل امتیاز (least privilege) اعطا می‌شود.
   • دسترسی به محیط عملیاتی به کارکنان نام‌برده STAK محدود است، مستلزم احراز هویت چندعاملی است و آغاز هر دسترسی ثبت می‌شود.
   • دسترسی مدیریتی به سرورها فقط از طریق AWS Systems Manager انجام می‌شود و ورود مستقیم (SSH) وجود ندارد.
4. امنیت ورود کاربر:
   • برای کاربران، خدمات کلیدهای عبور (passkeys)، برنامه‌های احراز هویت و کدهای تأیید ارسال‌شده به تلفن تأییدشده را ارائه می‌کنند.
   • برای مشتری، نقش‌ها و مجوزهای قابل شخصی‌سازی، دسترسی محدودشده بر اساس شعبه و، در طرح‌هایی که آن‌ها را شامل می‌شوند، قواعد بیکاری نشست و هشدار به مالکان درباره ورود از دستگاه‌های جدید را ارائه می‌کنند.
5. مسیر ممیزی: مسیر ممیزی تغییرات نگه داشته می‌شود که هیچ کاربری نمی‌تواند آن را تغییر دهد یا حذف کند. این مسیر عامل، زمان، منبع و نشانی IP را ثبت می‌کند. هنگامی که مشتری داده‌های شخصی یک مشتری نهایی را بر اساس بند 8.1 پاک می‌کند، ورودی‌ها مشخصات شناسایی آن شخص را از دست می‌دهند اما آنچه انجام شده، به دست چه کسی و چه زمانی، حفظ می‌شود. مسیر ممیزی بر اساس بند 12 همراه با داده‌های مشتری حذف می‌شود. ثبت‌های حسابداری در زنجیره‌ای به هم پیوند داده می‌شوند که هرگونه دستکاری را آشکار می‌کند.
6. نسخه‌های پشتیبان و بازیابی:
   • نسخه‌های پشتیبان خودکار و پیوسته بازیابی به نقطه زمانی مشخص را در 35 روز ممکن می‌کنند؛
   • نسخه‌های پشتیبان روزانه 35 روز و نسخه‌های پشتیبان ماهانه 12 ماه نگه داشته می‌شوند و به منطقه جغرافیایی جداگانه‌ای در جمهوری ایرلند کپی می‌شوند. سیاست گاوصندوق‌های پشتیبان مانع حذف آن‌ها پیش از پایان دوره نگهداری یا هرگونه تغییر آن دوره می‌شود و قفل حالت انطباق (compliance mode) مانع حذف هر نسخه پشتیبان در دست‌کم 35 روز نخست آن می‌شود؛
   • هر شب یک نسخه پشتیبان منطقی از پایگاه داده تهیه می‌شود و 35 روز در فضای ذخیره‌سازی محافظت‌شده در برابر تغییر و حذف نگه داشته می‌شود؛
   • بازیابی پایگاه داده از نسخه‌های پشتیبان هر ماه آزمایش می‌شود.
7. داده‌های پرداخت: خدمات چنان طراحی شده‌اند که STAK شماره کامل کارت‌ها را ذخیره نکند. پرداخت‌ها در صفحات میزبانی‌شده توسط ارائه‌دهندگان خدمات پرداخت یا روی پایانه‌ها و برنامه‌های دارای گواهی پذیرش کارت آن‌ها انجام می‌شود. صفحه‌های خدمات هیچ فیلدی برای ورود داده‌های کارت ندارند و خدمات به مشتری اجازه می‌دهند فیلدهای متن آزاد را برای شماره‌های کارتی که اشتباهاً وارد شده‌اند اسکن کند تا بتوان آن‌ها را حذف کرد.
8. شبکه و زیرساخت: پایگاه‌های داده در شبکه‌های خصوصی که به‌طور عمومی قابل دسترسی نیستند و پشت دیوارهای آتش اجرا می‌شوند. دیوار آتش برنامه وب و حفاظت در برابر حملات انکار سرویس از طریق Cloudflare فراهم می‌شود.
9. مدیریت آسیب‌پذیری و توسعه ایمن: کد پیش از هر انتشار بازبینی می‌شود و آزمون‌های خودکار اجرا می‌شوند. کتابخانه‌های نرم‌افزاری بررسی می‌شوند و به‌روزرسانی‌های امنیتی بدون تأخیر اعمال می‌شوند.
10. پایش و پاسخ به رخدادها:
    • زیرساخت ابری شبانه‌روز به‌طور خودکار پایش می‌شود و هشدارهای فوری ارسال می‌شود؛
    • هر اقدام مدیریتی روی زیرساخت ابری ثبت می‌شود و تهدیدها و مجوزهای مازاد به‌طور خودکار از طریق سرویس‌های اختصاصی Amazon (AWS CloudTrail، GuardDuty و IAM Access Analyzer) شناسایی می‌شوند؛
    • رویه‌های مستند برای پاسخ به رخدادهای امنیتی و برای اطلاع‌رسانی بر اساس بند 9 اعمال می‌شود.
11. تداوم کسب‌وکار: طرح‌های تداوم و بازیابی اعمال می‌شوند، مطابق اهداف بازیابی در توافق‌نامه سطح خدمات.
12. کارکنان: کارکنان و پیمانکاران STAK به رازداری ملزم‌اند و آموزش آگاهی امنیتی می‌بینند.
13. حذف ایمن: داده‌ها بر اساس بند 12 حذف می‌شوند و ارائه‌دهنده میزبانی رسانه‌ها را مطابق استانداردهای خود نابود می‌کند.

Annex 3: پردازشگران فرعی

ارائه‌دهندگانی که فقط در صورت فعال‌سازی استفاده می‌شوند. STAK ارائه‌دهندگان زیر را راه‌اندازی کرده است اما امروز از آن‌ها برای پردازش داده‌های شخصی مشتری استفاده نمی‌کند. استفاده از هر یک را فقط پس از اطلاع‌رسانی بر اساس بند 6.3، دست‌کم 30 روز پیشاپیش، آغاز می‌کند و اطلاعیه محل پردازش داده‌ها توسط ارائه‌دهنده و مدت نگهداری آن‌ها را بیان می‌کند.

پس از آنکه STAK شماره WhatsApp خود را فعال کند، Meta از آن شماره کدهای ورود را برای کاربران و کدهای تأیید را برای مشتریان نهایی که شماره تلفن خود را در صفحات عمومی تأیید می‌کنند ارسال می‌کند. در این کار داده‌هایی را پردازش می‌کند که STAK بر اساس سیاست حریم خصوصی به عنوان کنترل‌کننده پردازش می‌کند، نه داده‌های شخصی مشتری.

جز ارائه‌دهندگان بالا، STAK برای پردازش داده‌های شخصی مشتری از ارائه‌دهندگان پیامک، اعلان فشاری (push)، کیف پول دیجیتال یا جستجو، تأیید و نقشه‌برداری نشانی استفاده نمی‌کند.