ملحق معالجة البيانات

1. النطاق والأدوار

يسري ملحق معالجة البيانات هذا («الملحق») عندما يعالج كيان Vigilbase المتعاقد معك («Vigilbase») البيانات الشخصية للعميل نيابةً عنك في إطار تقديم الخدمات. وإذا تعارض هذا الملحق مع شروط الخدمة أو نموذج الطلب فيما يخص معالجة البيانات الشخصية، يسود هذا الملحق.

فيما يخص البيانات الشخصية للعميل، تكون أنت المتحكم وتكون Vigilbase المعالج لديك. وإذا كنت تعمل بصفة المعالج لعملائك، على سبيل المثال بصفتك مزوّد خدمات مُدارة، تكون Vigilbase المعالج الفرعي لديك، وتؤكد أن المتحكم لديك قد أذن بتعييننا.

تُعد Vigilbase متحكمًا مستقلًا في البيانات الشخصية التي تعالجها لأغراضها الخاصة، مثل إدارة الحسابات والفوترة وأمن الخدمات ومواقعنا الإلكترونية والتسويق. وتغطي سياسة الخصوصية الخاصة بنا تلك المعالجة.

2. التعريفات

• «البيانات الشخصية للعميل» تعني البيانات الشخصية الواردة في محتوى العميل التي تعالجها Vigilbase نيابةً عنك.
• «قوانين حماية البيانات» تعني جميع القوانين المتعلقة بمعالجة البيانات الشخصية التي تسري على أي طرف، بما في ذلك اللائحة العامة لحماية البيانات (GDPR)، واللائحة العامة لحماية البيانات في المملكة المتحدة (UK GDPR) وقانون حماية البيانات لعام 2018، والقانون الاتحادي السويسري لحماية البيانات، وقوانين الخصوصية في الولايات الأمريكية مثل قانون خصوصية المستهلك في كاليفورنيا، وقانون LGPD البرازيلي، وقانون حماية المعلومات الشخصية في جنوب أفريقيا، وقانون حماية البيانات الكيني لعام 2019، وقانون حماية البيانات لمركز دبي المالي العالمي (DIFC) لعام 2020، وقانون حماية البيانات الشخصية في دولة الإمارات العربية المتحدة.
• يكون لكل من «البيانات الشخصية» و«المعالجة» و«المتحكم» و«المعالج» و«صاحب البيانات» المعنى المحدد في قوانين حماية البيانات، وتشمل المصطلحات المكافئة مثل «المعلومات الشخصية» و«مزوّد الخدمة» و«الطرف المسؤول» و«المشغّل».
• «خرق البيانات الشخصية» يعني أي خرق أمني يؤدي إلى إتلاف البيانات الشخصية للعميل أو فقدانها أو تغييرها أو الإفصاح عنها أو الوصول إليها دون تصريح، بصورة عرضية أو غير مشروعة.
• «المعالج الفرعي» يعني أي معالج، بما في ذلك أي شركة تابعة لـVigilbase، تستعين به Vigilbase لمعالجة البيانات الشخصية للعميل.
• «البنود التعاقدية القياسية» تعني البنود المعتمدة بموجب قرار التنفيذ الصادر عن المفوضية الأوروبية رقم (EU) 2021/914.

3. المعالجة وفق تعليماتك

لا تعالج Vigilbase البيانات الشخصية للعميل إلا وفق تعليماتك الموثقة. وتتمثل تعليماتك في شروط الخدمة ونماذج الطلب الخاصة بك وإعداداتك للخدمات واستخدامك لها وأي تعليمات كتابية أخرى نتفق عليها. وتبلغك Vigilbase إذا رأت أن أي تعليمات تخالف قوانين حماية البيانات، ويجوز لها عندئذ تعليق المعالجة المتأثرة.

إذا اقتضى أي قانون أن تعالج Vigilbase البيانات الشخصية للعميل على نحو مختلف، فإن Vigilbase تبلغك بذلك قبل القيام به ما لم يحظر ذلك القانون الإبلاغ.

يرد في الملحق 1 وصف موضوع المعالجة وطبيعتها والغرض منها ومدتها وأنواع البيانات الشخصية وفئات أصحاب البيانات.

4. الموظفون

لا تمنح Vigilbase حق الوصول إلى البيانات الشخصية للعميل إلا للموظفين الذين يحتاجون إليه لتقديم الخدمات، والملتزمين بالتزامات السرية، والذين أكملوا التدريب على الأمن والخصوصية.

5. الأمن

تطبّق Vigilbase التدابير الفنية والتنظيمية الواردة في الملحق 2 وتحافظ عليها. وتشغّل Vigilbase برنامجًا لأمن المعلومات متوافقًا مع معياري ISO 27001 وSOC 2 Type 2. ويجوز لنا تحديث التدابير مع تغيّر التقنيات والتهديدات، شريطة ألا ينخفض المستوى العام للحماية.

6. المعالجون الفرعيون

تمنح Vigilbase إذنًا عامًا بالاستعانة بالمعالجين الفرعيين. ويرد المعالجون الفرعيون الحاليون، بما في ذلك الشركات التابعة لـVigilbase، في مركز الثقة لدى Vigilbase.

تحدّث Vigilbase القائمة قبل 30 يومًا على الأقل من بدء أي معالج فرعي جديد في معالجة البيانات الشخصية للعميل، وتخطر مسؤولي حسابات العملاء الذين يدفعون رسومًا وكل من طلب إخطاره عبر البريد الإلكتروني legal+privacy@vigilbase.com. وفي حالة الطوارئ التي تمس أمن الخدمات أو إتاحتها، يجوز لنا استبدال معالج فرعي في وقت أسبق، وسنخطرك في أقرب وقت ممكن.

يجوز لك الاعتراض على أي معالج فرعي جديد لأسباب معقولة تتعلق بحماية البيانات خلال 14 يومًا من الإشعار. وسنعمل معك عندئذ بحسن نية لإيجاد حل. وإذا تعذّر ذلك، يجوز لك إنهاء الخدمات المتأثرة بموجب إشعار كتابي، وسنرد الرسوم المدفوعة مقدمًا عن المدة المتبقية.

تفرض Vigilbase على كل معالج فرعي، بموجب عقد مكتوب، التزامات لحماية البيانات تحمي البيانات الشخصية للعميل بقدر لا يقل عن هذا الملحق، وتظل مسؤولة تجاهك عن أداء معالجيها الفرعيين لتلك الالتزامات.

7. المساعدة

مع مراعاة طبيعة المعالجة، تساعدك Vigilbase، من خلال ميزات الخدمات وبغيرها من الوسائل بالقدر اللازم بشكل معقول، في الرد على طلبات أصحاب البيانات الذين يمارسون حقوقهم. وإذا تواصل معنا أحد أصحاب البيانات مباشرةً بشأن البيانات الشخصية للعميل، فسنحيله إليك.

تزوّدك Vigilbase بالمعلومات والمساعدة المعقولة لإجراء تقييمات الأثر على حماية البيانات والمشاورات المسبقة مع السلطات الرقابية، بالقدر الذي يتعلق بمعالجتنا.

8. حالات خرق البيانات الشخصية

تخطرك Vigilbase دون تأخير لا مبرر له، وفي جميع الأحوال خلال 72 ساعة، بعد علمها بأي خرق للبيانات الشخصية. ويتضمن الإشعار، بقدر ما هو معلوم حينها، وصف طبيعة الخرق، وفئات أصحاب البيانات والسجلات المعنية وعددها التقريبي، وعواقبه المحتملة، والتدابير المتخذة أو المقترحة. وسنقدم مزيدًا من المعلومات فور توفرها.

تتخذ Vigilbase خطوات معقولة لاحتواء الخرق ومعالجته، وتساعدك في الوفاء بالتزاماتك بإخطار السلطات الرقابية وأصحاب البيانات. ولا يُعد إخطارك بالخرق إقرارًا بالخطأ أو المسؤولية.

9. عمليات التدقيق

تتيح Vigilbase المعلومات اللازمة بشكل معقول لإثبات الامتثال لهذا الملحق. وعند الطلب، ومع مراعاة السرية، نقدم أحدث تقرير SOC 2 Type 2 وشهادة ISO 27001 الخاصين بنا، ونجيب عن استبيان أمني معقول مرة واحدة سنويًا.

إذا لم تكن تلك المعلومات كافية لإثبات الامتثال، أو طلبت ذلك سلطة رقابية، أو في أعقاب خرق للبيانات الشخصية، يجوز لك تدقيق معالجتنا للبيانات الشخصية للعميل. وتستلزم عمليات التدقيق إشعارًا مدته 30 يومًا، ولا تُجرى أكثر من مرة واحدة كل 12 شهرًا وخلال ساعات العمل، وتتولاها أنت أو مدقق مستقل ملتزم بالسرية، وتكون على نفقتك، ويجب ألا تتضمن الوصول إلى بيانات العملاء الآخرين أو المساس بالأمن.

10. عمليات النقل الدولية

تعالج Vigilbase ومعالجوها الفرعيون البيانات الشخصية للعميل في الدول المبينة في صفحة المعالجين الفرعيين، بما فيها الولايات المتحدة. ولا تنقل Vigilbase البيانات الشخصية للعميل عبر الحدود إلا بما يتوافق مع قوانين حماية البيانات.

المنطقة الاقتصادية الأوروبية. بالنسبة إلى عمليات النقل من المنطقة الاقتصادية الأوروبية إلى دولة لم يصدر بشأنها قرار كفاية، تُدمج البنود التعاقدية القياسية في هذا الملحق. وتسري الوحدة الثانية عندما تكون أنت المتحكم، والوحدة الثالثة عندما تكون أنت المعالج. وتكون أنت مُصدِّر البيانات وتكون Vigilbase مستورد البيانات. ويسري البند 7 (بند الانضمام). وبموجب البند 9، يسري الخيار 2 (الإذن الكتابي العام) مع مدة الإشعار الواردة في القسم 6. ولا تسري الصياغة الاختيارية الواردة في البند 11. وبموجب البند 13، تكون السلطة الرقابية المختصة هي السلطة التي يحددها مقر منشأتك أو ممثلك. ويحدد البندان 17 و18 قانون أيرلندا ومحاكمها. ويُستكمل الملحقان الأول والثاني بالملحقين 1 و2 من هذا الملحق، ويُستكمل الملحق الثالث بصفحة المعالجين الفرعيين.

المملكة المتحدة. بالنسبة إلى عمليات النقل الخاضعة لقانون حماية البيانات في المملكة المتحدة، يسري ملحق النقل الدولي للبيانات الملحق بالبنود التعاقدية القياسية للاتحاد الأوروبي الصادر عن مفوض المعلومات في المملكة المتحدة. وتُستكمل جداوله بالتفاصيل الواردة في هذا الملحق، ولا يجوز لأي من الطرفين إنهاؤه بموجب القسم 19 منه.

سويسرا. بالنسبة إلى عمليات النقل الخاضعة للقانون الاتحادي السويسري لحماية البيانات، تسري البنود التعاقدية القياسية على النحو المذكور أعلاه، وتشمل الإشارات إلى اللائحة العامة لحماية البيانات (GDPR) القانون السويسري، ويُعد المفوض الاتحادي لحماية البيانات والمعلومات سلطة رقابية مختصة، ويجوز لأصحاب البيانات في سويسرا رفع الدعاوى في سويسرا.

الدول الأخرى. حيثما يقتضي قانون آخر من قوانين حماية البيانات آلية نقل، مثل البنود التعاقدية القياسية بموجب قانون LGPD البرازيلي، أو القسم 72 من قانون POPIA في جنوب أفريقيا، أو الأقسام من 48 إلى 50 من قانون حماية البيانات الكيني، أو قواعد النقل الواردة في قانون حماية البيانات لمركز دبي المالي العالمي (DIFC)، يُقصد بهذا الملحق والبنود المذكورة أعلاه توفير الضمانات المطلوبة. وحيثما يقتضي أي قانون بنودًا قياسية خاصة به، فإنها تُدمج مع التفاصيل الواردة في هذا الملحق.

تضمن Vigilbase التزام أي شركة تابعة تعالج البيانات الشخصية للعميل بشروط مكتوبة توفر حماية لا تقل عن هذا الملحق، بما في ذلك آليات النقل المذكورة أعلاه. وإذا طلبت سلطة عامة الوصول إلى البيانات الشخصية للعميل، تُخطرك Vigilbase متى سمح القانون بذلك، وتطعن في الطلبات التي تعتبرها غير مشروعة.

11. الإرجاع والحذف

يمكنك خلال المدة تصدير محتوى العميل من خلال الخدمات. وخلال 30 يومًا بعد انتهاء الخدمات، تحذف Vigilbase البيانات الشخصية للعميل، ما لم يقتضِ القانون احتفاظنا بها. وتُحذف النسخ الموجودة في النسخ الاحتياطية عند انتهاء صلاحية تلك النسخ الاحتياطية، خلال 90 يومًا، وتظل محمية بموجب هذا الملحق حتى ذلك الحين.

12. قوانين الخصوصية في الولايات الأمريكية

حيثما تسري قوانين الخصوصية في الولايات الأمريكية، تكون Vigilbase مزوّد الخدمة أو المعالج لديك. ولا تبيع Vigilbase البيانات الشخصية للعميل أو تشاركها، ولا تحتفظ بها أو تستخدمها أو تفصح عنها خارج نطاق علاقة العمل المباشرة أو لأي غرض غير تقديم الخدمات، ولا تدمجها مع معلومات شخصية من مصادر أخرى إلا بالقدر الذي تجيزه تلك القوانين. وتلتزم Vigilbase بتلك القوانين، وتوفر مستوى الحماية ذاته الذي تقتضيه، وتخطرك إذا لم تعد قادرة على الوفاء بالتزاماتها، وتتيح لك اتخاذ خطوات معقولة لوقف الاستخدام غير المصرّح به ومعالجته.

13. المسؤولية والمدة

تخضع مسؤولية كل طرف بموجب هذا الملحق للقيود الواردة في البند 19 من شروط الخدمة، إلا حيثما لا تجيز قوانين حماية البيانات أو البنود التعاقدية القياسية تقييدها. ويسري هذا الملحق طوال مدة معالجة Vigilbase للبيانات الشخصية للعميل.

الملحق 1: وصف المعالجة

الملحق 2: التدابير الفنية والتنظيمية

• الحوكمة. نظام لإدارة أمن المعلومات متوافق مع معيار ISO 27001 وخاضع لتدقيق SOC 2 Type 2، مع سياسات تُراجَع مرة واحدة سنويًا على الأقل ومسؤول أمني محدد.
• التحكم في الوصول. تسجيل دخول موحد ومصادقة متعددة العوامل للموظفين، ووصول قائم على الأدوار وفق مبدأ الحد الأدنى من الصلاحيات، ومصادقة معززة للإجراءات الحساسة، ومراجعات ربع سنوية للوصول، وإلغاء فوري للوصول عند مغادرة الموظفين.
• التشفير. بروتوكول TLS 1.2 أو أعلى أثناء النقل، وتشفير AES-256 أو ما يعادله أثناء التخزين. وتُحفظ الأسرار في مخزن أسرار مُدار، ولا تُحفظ مطلقًا في الشيفرة المصدرية.
• عزل المستأجرين. تُفصل بيانات العملاء حسب المستأجر في طبقتي التطبيق وقاعدة البيانات، ويُختبر العزل.
• التطوير الآمن. مراجعة الشيفرة لكل تغيير، واختبارات آلية وفحص أمني ضمن التكامل المستمر (CI)، ومراقبة التبعيات، وعمليات نشر محمية في بيئة الإنتاج.
• المراقبة والتسجيل. تسجيل مركزي للأحداث الإدارية والأمنية، والتنبيه، وتغطية على مدار الساعة طوال أيام الأسبوع (24/7) من خلال فرقنا العاملة وفق نموذج «اتباع الشمس».
• إدارة الثغرات. اختبارات اختراق منتظمة، وبرنامج عام للإفصاح عن الثغرات، وجداول زمنية للمعالجة بحسب درجة الخطورة.
• الاستجابة للحوادث. خطة موثقة ومختبرة للاستجابة للحوادث، تشمل الإخطار بالخرق وفقًا لما هو منصوص عليه في القسم 8.
• المرونة. الاستضافة لدى مزوّدين ذوي بنية تحتية احتياطية، ونسخ احتياطية، وإجراءات استرداد موثقة.
• إدارة الموردين. مراجعة أمنية ومراجعة للخصوصية للمعالجين الفرعيين قبل الاستعانة بهم وبصورة دورية بعد ذلك.
• الأفراد. اتفاقيات سرية، وتدريب على الأمن والخصوصية عند التعيين وكل عام، والتحقق المسبق قبل التوظيف حيثما يجيز القانون المحلي ذلك.
• الأمن المادي. توفره مراكز البيانات المعتمدة التابعة لمزوّدي الاستضافة لدينا. ولا تشغّل Vigilbase مراكز بيانات خاصة بها.