ملحق معالجة البيانات

1. الأدوار والنطاق

يشكّل هذا الملحق جزءًا من شروط الخدمة. والعميل هو المتحكم في البيانات، وTHEFOCUS LTD هي المعالج للبيانات الشخصية التي تُعالج داخل مساحة عمل العميل، وفي حسابات العميل الإعلانية وأدوات إدارة الوسوم والتحليلات، وفي ملفات CRM المصدَّرة التي تُسلَّم إلينا («البيانات الشخصية للعميل»). ويصف الملحق 1 عملية المعالجة. وحين يكون العميل نفسه معالجًا لصالح متحكم آخر، نعمل بصفتنا معالجًا من الباطن له بالشروط نفسها.

يستوفي هذا الملحق المادة 28 من اللائحة العامة لحماية البيانات في المملكة المتحدة (UK GDPR)، وحيثما انطبقت، المادة 28 من اللائحة العامة لحماية البيانات في الاتحاد الأوروبي (EU GDPR) وأحكام المعالجين في قوانين حماية البيانات الأخرى في الأسواق التي نخدمها.

2. التزاماتنا بصفتنا معالجًا

• معالجة البيانات الشخصية للعميل وفق تعليمات العميل الموثقة فقط، بما في ذلك العقد واستخدام العميل للتطبيق، ما لم يقتضِ القانون خلاف ذلك. وفي هذه الحالة نبلغ العميل قبل المعالجة ما لم يحظر القانون ذلك. ونبلغ العميل إذا رأينا أن أحد التعليمات يخالف قانون حماية البيانات.
• ضمان التزام كل شخص مفوَّض بمعالجتها بالسرية.
• تطبيق التدابير الفنية والتنظيمية الواردة في الملحق 2.
• عدم الاستعانة بمعالجين من الباطن إلا وفق ما هو مبين في القسم 3.
• مساعدة العميل، مع مراعاة طبيعة المعالجة، في طلبات أصحاب البيانات وفي التزاماته المتعلقة بالأمان والإخطار بالانتهاكات وتقييمات الأثر والتشاور المسبق مع الجهات التنظيمية.
• إخطار العميل دون تأخير غير مبرر، وخلال 48 ساعة، بعد العلم بانتهاك للبيانات الشخصية يمس البيانات الشخصية للعميل، مع المعلومات التي يحتاجها العميل للوفاء بالتزاماته الخاصة بالإبلاغ.
• عند انتهاء الخدمات، حذف البيانات الشخصية للعميل أو إعادتها بحسب اختيار العميل خلال 30 يومًا، وحذف النسخ الموجودة، ما لم يُلزمنا القانون بالاحتفاظ بها.
• إتاحة المعلومات اللازمة لإثبات الامتثال، والسماح بعمليات التدقيق من قبل العميل أو مدقق يعيّنه، بإشعار مدته 30 يومًا، مع الالتزام بالسرية، وبما لا يتجاوز مرة واحدة سنويًا ما لم يستدعِ ذلك انتهاك أو جهة تنظيمية.

3. المعالجون من الباطن

يمنح العميل تفويضًا عامًا للمعالجين من الباطن الموصوفين في صفحة المعالجين من الباطن لدينا؛ والقائمة الحالية بالأسماء متاحة في لوحة تحكم العميل وعند الطلب. ونقدّم إشعارًا لا يقل عن 30 يومًا بأي معالج من الباطن جديد عبر التطبيق. ويجوز للعميل الاعتراض لأسباب معقولة تتعلق بحماية البيانات؛ وإذا تعذّر علينا حل الاعتراض، يجوز للعميل إنهاء الخدمة المتأثرة دون غرامة. ونفرض على كل معالج من الباطن شروطًا لحماية البيانات لا تقل حماية عن هذا الملحق، ونبقى مسؤولين عن أدائه.

4. النقل الدولي

لا ننقل البيانات الشخصية للعميل خارج المملكة المتحدة إلا بموجب لوائح الكفاية في المملكة المتحدة، أو UK Extension to the EU-US Data Privacy Framework، أو ICO International Data Transfer Agreement، أو UK Addendum to the EU Standard Contractual Clauses.

حين يكون العميل في المنطقة الاقتصادية الأوروبية، يستند النقل إلينا إلى قرار الكفاية الصادر عن المفوضية الأوروبية بشأن المملكة المتحدة؛ وإذا توقف تطبيق هذا القرار، تُدمج البنود التعاقدية النموذجية للاتحاد الأوروبي (الوحدة الثانية، أو الوحدة الثالثة حين يكون العميل معالجًا) بالإحالة، ويكون قانون أيرلندا ومحاكمها هما القانون الحاكم وجهة الاختصاص لتلك البنود فقط. وحين يكون العميل في سويسرا، تنطبق البنود نفسها مع التعديلات السويسرية. وبالنسبة إلى الأسواق الأخرى، نوقّع عند الطلب شروط النقل التي يقتضيها قانون العميل، مثل العقود النموذجية بموجب KVKK في تركيا أو PIPL في الصين.

5. فئات البيانات الخاصة والاستهداف الحساس

يجب ألا يرفع العميل إلى التطبيق بيانات من الفئات الخاصة (مثل البيانات الصحية) أو بيانات الجرائم الجنائية أو بيانات الأطفال، ويجب ألا يوجّه بالاستهداف القائم على خصائص حساسة.

6. المسؤولية والمدة

تخضع المسؤولية بموجب هذا الملحق للحدود الواردة في شروط الخدمة. ويسري هذا الملحق ما دمنا نعالج البيانات الشخصية للعميل.

الملحق 1: وصف المعالجة

• الموضوع والمدة: تقديم الخدمات طوال مدة العقد وفترة الخروج البالغة 30 يومًا.
• الطبيعة والغرض: تخطيط الحملات وتشغيلها، وإشارات التحسين في الوقت الفعلي لحملات العميل، وإعداد القياس والتتبع، والتقارير والدعم.
• أصحاب البيانات: الموظفون المستخدمون لدى العميل، وعملاؤه المحتملون وعملاؤه كما يظهرون في بيانات الإعلان والتحليلات وCRM.
• فئات البيانات: أسماء مستخدمي العميل وبيانات الاتصال التجارية الخاصة بهم؛ والمعرّفات الإلكترونية، وبيانات الاتصال المجزّأة المستخدمة في مطابقة التحويلات لدى المنصات، ومقاييس الحملات المجمَّعة، ومراحل العملاء المحتملين في CRM.
• الاحتفاظ: وفق ما هو مبين في إشعار الخصوصية والقسم 2.

الملحق 2: التدابير الفنية والتنظيمية

• مصادقة متعددة العوامل إلزامية لجميع الحسابات، مع رموز استرداد للاستخدام مرة واحدة تُخزَّن كقيم مجزّأة فقط.
• وصول للموظفين قائم على الأدوار ووفق مبدأ الحد الأدنى من الصلاحيات، تتم مراجعته عند تغير الأدوار.
• عزل بين مساحات عمل العملاء مطبَّق في التطبيق وعلى مستوى قاعدة البيانات.
• تشفير أثناء النقل باستخدام إصدار حالي من TLS، وتشفير في حالة السكون لقواعد البيانات والملفات والنسخ الاحتياطية.
• تقديم خدمة موزَّع ومشفَّر عبر أكثر من 125 دولة.
• سجلات تدقيق قابلة للإضافة فقط للإجراءات ذات الصلة بالأمان.
• عدم تخزين كلمات مرور الحسابات الإعلانية؛ والوصول فقط عبر صلاحيات المستخدم أو الشريك في المنصة.
• خطافات ويب واستيعاب بيانات موقَّعة ومحمية من إعادة الإرسال.
• فحص آلي للأسرار واختبارات قبل كل إصدار.
• إجراء للاستجابة للحوادث مع تصعيد محدد وإخطار للعملاء.