اتفاقية معالجة البيانات

تُعدّ اتفاقية معالجة البيانات هذه ("الاتفاقية") جزءًا من العقد المبرم بين MIRAKL SRL والعميل، وفقًا لـ الشروط والأحكام. وتحدّد الاتفاقية الشروط التي نعالج بموجبها البيانات الشخصية نيابةً عن العميل، وفقًا للمادة 28 من اللائحة (الاتحاد الأوروبي) 2016/679 ("اللائحة العامة لحماية البيانات" أو "GDPR").

• تنطبق الاتفاقية على العملاء من الأشخاص الاعتباريين والمهنيين، وكذلك على أي عميل يحتوي محتواه المستضاف على بيانات شخصية لأطراف ثالثة (مثل بيانات زوار موقع ويب، أو عملاء متجر إلكتروني، أو المشتركين في نشرة إخبارية، أو محتوى صناديق البريد الإلكتروني).
• بالنسبة إلى هذه البيانات، العميل هو جهة التحكم، وMIRAKL SRL هي جهة المعالجة.
• لا تنطبق الاتفاقية على البيانات التي نعالجها بصفتنا جهة تحكم لحسابنا الخاص (حساب العميل، والفوترة، والمدفوعات، وبيانات أصحاب النطاقات المُرسَلة إلى السجلات، وسجلات الأمان). وتنطبق على هذه البيانات سياسة الخصوصية.
• إذا كان نشاطك شخصيًا أو منزليًا بحتًا، فقد لا تنطبق اللائحة العامة لحماية البيانات على المعالجة التي تقوم بها؛ وفي هذه الحالة نطبّق مع ذلك، بصفة تعاقدية، التدابير الواردة في هذه الاتفاقية.
• يتضمن قبول الشروط والأحكام عند الطلب قبول هذه الاتفاقية. ويقبلها العملاء من الأشخاص الاعتباريين صراحةً عند الطلب.

• لا نعالج البيانات الشخصية إلا بناءً على تعليمات موثّقة من العميل، بما في ذلك ما يتعلق بعمليات النقل إلى دول ثالثة، ما لم يُلزمنا قانون الاتحاد الأوروبي أو القانون الروماني بإجراء معالجة ما. وفي هذه الحالة، نُبلغ العميل بهذا المتطلب قبل المعالجة، ما لم يحظر القانون هذا الإبلاغ لأسباب مهمة تتعلق بالمصلحة العامة.
• ترد تعليمات العميل في العقد، وفي هذه الاتفاقية، وفي إعدادات الخدمة التي يجريها العميل، وفي الطلبات المُرسَلة من خلال منطقة العملاء أو عبر البريد الإلكتروني.
• نُبلغ العميل فورًا إذا رأينا أن تعليمة ما تخالف اللائحة العامة لحماية البيانات أو غيرها من أحكام حماية البيانات.
• لا نستخدم بيانات العميل لأغراضنا الخاصة، ولا نبيعها، ولا نطّلع عليها إلا بالقدر اللازم لتقديم الخدمة، أو للدعم الفني، أو للأمان، أو للامتثال للقانون (مثلًا في حالة أمر صادر عن سلطة أو إخطار بشأن محتوى غير قانوني).

نتأكد من أن الأشخاص المصرّح لهم بمعالجة البيانات الشخصية (الموظفين والمتعاونين) قد التزموا بالحفاظ على السرية أو يخضعون لالتزام قانوني بالسرية، وأن وصولهم مقصور على ما هو ضروري.

نتخذ تدابير تقنية وتنظيمية مناسبة، وفقًا للمادة 32 من GDPR، مع مراعاة أحدث ما توصلت إليه التقنية والتكاليف والمخاطر. وبشكل عام، تشمل هذه التدابير:

• استضافة الخوادم في مركز بيانات داخل الاتحاد الأوروبي، مع أمن مادي وتحكّم في الوصول يوفّرهما مزوّد مركز البيانات؛
• قصر الوصول الإداري على الأشخاص المصرّح لهم، مع مصادقة آمنة؛
• الفصل بين حسابات العملاء على الخوادم؛
• تشفير حركة المرور أثناء النقل حيثما تسمح الخدمة بذلك (مثل شهادات TLS/SSL)؛
• الحماية على مستوى الشبكة (جدار الحماية، والتصفية، والحماية من هجمات DDoS)؛
• تطبيق التحديثات الأمنية في الوقت المناسب على البنية التحتية التي نديرها؛
• المراقبة وتسجيل الأحداث لأغراض أمنية؛
• إجراءات إدارة الحوادث.

لا نحمل شهادات أمنية ولا ندّعي الامتثال لمعيار معين. وأمن التطبيقات وكلمات المرور والمحتوى الذي يثبّته العميل ويديره (مثل WordPress والإضافات والنصوص البرمجية) هو مسؤولية العميل، وكذلك الاحتفاظ بنسخه الاحتياطية الخاصة (انظر الشروط والأحكام).

1. التفويض العام. بقبول هذه الاتفاقية، يمنحنا العميل تفويضًا عامًا مكتوبًا، بالمعنى المقصود في المادة 28 الفقرة (2) من GDPR، للاستعانة بجهات معالجة أخرى ("المعالجون الفرعيون") لأنشطة المعالجة اللازمة لتقديم الخدمات، مثل: مراكز البيانات والبنية التحتية للخوادم، والشبكة، وDNS والحماية من الهجمات، وتخزين النسخ الاحتياطية، وتسليم رسائل البريد الإلكتروني، والدعم الفني المتخصص.
2. قائمة المعالجين الفرعيين. تُنشر القائمة المحدّثة، مع نشاط كل معالج فرعي ومكان المعالجة والضمانات المطبقة على عمليات النقل، في صفحة قائمة المعالجين الفرعيين. وللقائمة طابع إعلامي ولا تُعدّ جزءًا من بنود هذه الاتفاقية، وبالتالي فإن تحديثها، الذي يتم وفقًا لهذا القسم، لا يُعدّ تعديلًا للاتفاقية.
3. الإبلاغ المسبق. نُبلغ العميل بأي نية لإضافة أو استبدال معالج فرعي يمكنه الوصول إلى بيانات العميل قبل 14 يومًا على الأقل من سريان التغيير، عبر البريد الإلكتروني إلى العنوان المسجّل في حساب العميل أو من خلال رسالة في حساب العميل، ونحدّث القائمة في الوقت نفسه.
4. الاستبدالات العاجلة. إذا وجب استبدال معالج فرعي بشكل عاجل لضمان استمرارية الخدمة أو أمنها (مثل توقّف نشاطه، أو وقوع حادث أمني، أو إخلاله بالتزاماته)، يجوز لنا إجراء الاستبدال قبل انقضاء المهلة المذكورة أعلاه، مع إبلاغ العميل دون تأخير. وينطبق حق الاعتراض المذكور أدناه في هذه الحالة أيضًا، على أن تسري المهلة من تاريخ الإبلاغ.
5. حق الاعتراض. يجوز للعميل الاعتراض على تغيير ما، خلال 14 يومًا من الإبلاغ، برسالة بريد إلكتروني مُعلَّلة بأسباب تتعلق بحماية البيانات، تُرسَل إلى [email protected]. وندرس الاعتراض بحسن نية ونبحث عن حل معقول (مثل بديل لخدمة العميل). وإذا لم نجد حلًا، يجوز للعميل إنهاء الخدمات المتأثرة بالتغيير، دون غرامات، مع استرداد الجزء غير المستخدم من الفترة المدفوعة بشكل متناسب. ويُعدّ عدم الاعتراض خلال المهلة قبولًا للتغيير.
6. التزامات المعالجين الفرعيين. نفرض على كل معالج فرعي، بموجب عقد أو أي صك قانوني آخر، التزامات حماية البيانات نفسها الواردة في هذه الاتفاقية، ولا سيما ضمانات كافية بشأن التدابير التقنية والتنظيمية، وفقًا للمادة 28 الفقرة (4) من GDPR.
7. المسؤولية. نظل مسؤولين مسؤولية كاملة أمام العميل عن وفاء كل معالج فرعي بالتزاماته.
8. من ليس معالجًا فرعيًا. معالج المدفوعات، وسجلات أسماء النطاقات، والمسجِّلون، والسلطات العامة يعالجون البيانات بصفتهم جهات تحكّم مستقلة، وفقًا لقواعدهم الخاصة، ولا يمكنهم الوصول إلى المحتوى الذي يستضيفه العميل. ونذكرهم في الصفحة المشار إليها أعلاه من باب الشفافية فقط.

تُخزَّن البيانات المستضافة في الاتحاد الأوروبي. وإذا عالج معالج فرعي بيانات العميل خارج المنطقة الاقتصادية الأوروبية (مثلًا ضمن شبكة عالمية لتوزيع حركة المرور وحمايتها)، فلا يتم النقل إلا بإحدى الضمانات المنصوص عليها في الفصل الخامس من GDPR: قرار كفاية صادر عن المفوضية الأوروبية (بما في ذلك إطار خصوصية البيانات بين الاتحاد الأوروبي والولايات المتحدة، EU-US Data Privacy Framework، للجهات المعتمدة)، أو بنود تعاقدية قياسية معتمدة من المفوضية الأوروبية، أو ضمانات مناسبة أخرى. والضمانة المطبقة على كل معالج فرعي مبيّنة في قائمة المعالجين الفرعيين.

مع مراعاة طبيعة المعالجة، نساعد العميل من خلال تدابير تقنية وتنظيمية مناسبة، قدر الإمكان، في الوفاء بالتزامه بالرد على طلبات أصحاب البيانات (الوصول، والتصحيح، والحذف، وتقييد المعالجة، وقابلية النقل، والاعتراض). وفي العادة، يمكن للعميل الرد مباشرةً على هذه الطلبات، لأن لديه وصولًا كاملًا إلى محتواه. وإذا تلقينا طلبًا مباشرةً من صاحب بيانات بشأن بيانات العميل، نحيله إلى العميل دون تأخير، ولا نرد عليه في الموضوع إلا بموافقة العميل أو إذا ألزمنا القانون بذلك.

• نُخطر العميل دون تأخير غير مبرر بعد علمنا بخرق لأمن البيانات الشخصية يمسّ بيانات العميل.
• نسعى إلى إرسال الإخطار بالسرعة الكافية لكي يتمكن العميل، بصفته جهة تحكم، من الالتزام بمهلة 72 ساعة التي يجب عليه خلالها إخطار السلطة الرقابية، وفقًا للمادة 33 من GDPR (وهي مهلة تسري من اللحظة التي تعلم فيها جهة التحكم بالخرق).
• يتضمن الإخطار، بقدر ما يكون متاحًا: طبيعة الخرق، وفئات أصحاب البيانات والسجلات المتأثرة وعددها التقريبي، والعواقب المحتملة، والتدابير المتخذة أو المقترحة، وبيانات الاتصال للحصول على مزيد من المعلومات. وتُرسَل المعلومات غير المتاحة في البداية لاحقًا، دون تأخير غير مبرر.
• يُرسَل الإخطار إلى عنوان البريد الإلكتروني المسجّل في حساب العميل.
• نتخذ التدابير المعقولة للحد من آثار الخرق ونتعاون مع العميل.
• الحوادث الناتجة عن تطبيقات العميل أو كلمات مروره أو إعداداته (مثل موقع WordPress مخترق) لا تُعدّ خروقات أمنية من جانبنا؛ ومع ذلك نُبلغ العميل بها إذا اكتشفناها.

مع مراعاة طبيعة المعالجة والمعلومات المتوفرة لدينا، نساعد العميل في الوفاء بالالتزامات المنصوص عليها في المواد 32–36 من GDPR (الأمن، والإخطار بالخروقات، وإبلاغ أصحاب البيانات، وتقييم الأثر، والتشاور المسبق مع السلطة)، ولا سيما من خلال تقديم المعلومات ذات الصلة بالخدمة وبتدابير الأمن. ويجوز فوترة المساعدة التي تتجاوز تقديم هذه المعلومات بتكاليف معقولة يُبلَغ بها مسبقًا.

• طوال مدة العقد، يمكن للعميل تنزيل محتواه في أي وقت، باستخدام أدوات الخدمة (مثل لوحة التحكم، وFTP/SFTP، وتصدير قواعد البيانات).
• عند انتهاء الخدمة، وبحسب اختيار العميل، نحذف جميع البيانات الشخصية أو نتيحها للعميل لتنزيلها، ثم نحذف النسخ الموجودة، ما لم يفرض قانون الاتحاد الأوروبي أو القانون الروماني الاحتفاظ بها.
• يجب على العميل تنزيل بياناته قبل الانتهاء أو خلال الفترة الممتدة بين التعليق والحذف، المنصوص عليها في الشروط والأحكام. وبعد هذه الفترة، تُحذف البيانات من الخوادم العاملة.
• يُكتب فوق النسخ الاحتياطية (7 يومية، و4 أسبوعية، و3 شهرية) أو تُحذف ضمن دورة التدوير المعتادة، خلال 90 يومًا كحد أقصى من حذف البيانات من الخوادم العاملة.

• نتيح للعميل، عند الطلب، جميع المعلومات اللازمة لإثبات الامتثال للالتزامات المنصوص عليها في المادة 28 من GDPR.
• نسمح بعمليات التدقيق، بما في ذلك عمليات التفتيش، التي يجريها العميل أو مدقق مفوّض من قِبله، ونساهم فيها، وفقًا للشروط التالية: إخطار مسبق قبل 30 يومًا على الأقل؛ ومدقق ملزَم بالسرية؛ وإجراؤها دون المساس بأمن العملاء الآخرين أو بياناتهم؛ ومرة واحدة في السنة كحد أقصى، ما لم يقع خرق لأمن البيانات أو تطلب سلطة رقابية إجراء التدقيق.
• تتم عمليات التفتيش في مراكز البيانات التابعة للمعالجين الفرعيين وفقًا لسياساتهم؛ وبدلًا من التفتيش يجوز لنا تقديم التقارير أو المستندات التي يتيحها المعالجون الفرعيون.
• يتحمل العميل تكاليف التدقيق، ما لم يكشف التدقيق عن مخالفة جوهرية لهذه الاتفاقية من جانبنا.

• يتحمل العميل، بصفته جهة تحكم، المسؤولية عن مشروعية معالجة البيانات التي يستضيفها: الأساس القانوني، وإبلاغ أصحاب البيانات، والرد على طلباتهم، وعند الاقتضاء، الإخطار بالخروقات إلى السلطة وإلى أصحاب البيانات.
• يتأكد العميل من أن تعليماته تتوافق مع القانون وأن له الحق في إرسال البيانات إلينا.
• يختار العميل التدابير الأمنية التي تقع ضمن مسؤوليته ويُعدّها (كلمات المرور، والتحديثات، والنسخ الاحتياطية، وتشفير البيانات الحساسة على مستوى التطبيق).

• تسري الاتفاقية طوال مدة العقد، وبعد انتهائه، حتى حذف جميع بيانات العميل.
• مسؤولية الطرفين هي تلك المنصوص عليها في المادة 82 من GDPR وفي الشروط والأحكام، في الحدود التي يسمح بها القانون.
• في حال وجود تعارض بين هذه الاتفاقية والشروط والأحكام، فيما يتعلق بحماية البيانات، تسود هذه الاتفاقية.
• تخضع الاتفاقية للقانون الروماني. ويجوز لنا تحديث الاتفاقية وفقًا لإجراء تعديل الشروط والأحكام، باستثناء التعديلات المتعلقة بالمعالجين الفرعيين، التي ينطبق عليها القسم 6.
• تُرسَل الأسئلة المتعلقة بهذه الاتفاقية إلى [email protected].
• الاتفاقية سارية اعتبارًا من 29 أكتوبر 2026.