اتفاقية معالجة البيانات

تُشكّل اتفاقية معالجة البيانات هذه («اتفاقية المعالجة») جزءًا من شروط الخدمة المبرمة بين شركة SMART ERP SYSTEMS TECHNOLOGY - L.L.C - S.P.C («SmartPOS AI» أو «نحن») والعميل («العميل» أو «أنت»). وتسري كلما عالجنا بيانات شخصية نيابةً عنك من خلال الخدمة («البيانات الشخصية للعميل»). وقد صيغت لتستوفي متطلبات المادة 28 من اللائحة العامة لحماية البيانات في الاتحاد الأوروبي (GDPR) والمادة 30 من قانون حماية البيانات الشخصية في البوسنة والهرسك.

أنت المتحكم في البيانات الشخصية للعميل، ونحن المعالج. وإذا كنت معالجًا تعمل لحساب عميلك، فإننا نعمل بصفتنا معالجًا فرعيًا لديك. ولا نعالج البيانات الشخصية للعميل إلا لتقديم الخدمة على النحو المبيّن في الملحق 1.

• لا نعالج البيانات الشخصية للعميل إلا بناءً على تعليماتك الموثقة. وتتمثل تعليماتك في شروط الخدمة واتفاقية المعالجة هذه، وطريقة استخدامك للخدمة وإعدادها، وأي تعليمات مكتوبة أخرى نتفق عليها معك.
• إذا رأينا أن تعليمات ما تخالف قانون حماية البيانات، فسنبلغك بذلك.
• إذا ألزمنا القانون بمعالجة البيانات الشخصية للعميل بطريقة أخرى، فسنبلغك قبل القيام بذلك، ما لم يحظر القانون ذلك.
• أنت مسؤول عن وجود أساس قانوني للمعالجة وعن إبلاغ الأشخاص المعنيين، مثل عملائك وموظفيك.

يلتزم كل من يستطيع الوصول إلى البيانات الشخصية للعميل في SmartPOS AI بالسرية، ولا يجوز له الوصول إليها إلا بالقدر اللازم لعمله، مثل تقديم الدعم الذي طلبته.

نطبّق التدابير التقنية والتنظيمية المبيّنة في الملحق 2، ونحافظ على ملاءمتها للمخاطر. ويجوز لنا تحسينها بمرور الوقت، لكننا لن نخفض المستوى العام للحماية.

• تمنحنا تفويضًا عامًا بالاستعانة بمعالجين فرعيين. وتجد القائمة الحالية في صفحة المعالجين الفرعيين.
• نبلغك قبل 30 يومًا على الأقل من إضافة معالج فرعي أو استبداله، عبر البريد الإلكتروني إلى مالك الحساب وعلى تلك الصفحة. ويجوز لك الاعتراض لأسباب معقولة تتعلق بحماية البيانات خلال تلك المدة. وإذا تعذّر علينا معالجة اعتراضك، يجوز لك التوقف عن استخدام الجزء المعني من الخدمة أو إنهاء العقد.
• نُلزم كل معالج فرعي تعاقديًا بالتزامات لحماية البيانات لا تقل حمايةً عن اتفاقية المعالجة هذه، ونظل مسؤولين عن عمله.

مع مراعاة طبيعة المعالجة، نساعدك على:

• الرد على طلبات الأشخاص الذين يمارسون حقوقهم — إذ يتيح لك المكتب الخلفي عرض سجلات العملاء وتصحيحها وتصديرها وحذفها، ونساعدك في كل ما لا يمكنه القيام به؛
• الوفاء بالتزاماتك المتعلقة بالأمان، والإخطار بالخروقات، وتقييمات الأثر على حماية البيانات، والتشاور المسبق مع السلطات.

إذا تواصل معنا أي شخص مباشرةً بشأن البيانات الشخصية للعميل، نحيل طلبه إليك، ولا نرد عليه بأنفسنا ما لم تطلب منا ذلك.

نبلغك دون تأخير لا مبرر له بعد علمنا بأي خرق يمس البيانات الشخصية للعميل. ونطلعك على ما نعرفه، مثل طبيعة الخرق، وفئات الأشخاص والسجلات المعنية وعددها التقريبي، والعواقب المحتملة، والتدابير المتخذة أو المقترحة، ونوافيك بالمستجدات كلما توفرت لدينا معلومات إضافية.

يمكنك تصدير البيانات الشخصية للعميل في أي وقت. وعندما تطلب إغلاق حسابك، أو بناءً على طلبك الكتابي في أي وقت آخر، نحذف البيانات الشخصية للعميل خلال 30 يومًا، ما لم يُلزمنا القانون بالاحتفاظ بها. ويُكتب فوق النسخ الاحتياطية خلال نحو 10 أيام بعد الحذف.

نوفّر لك المعلومات التي تحتاجها لإثبات الامتثال لاتفاقية المعالجة هذه، ونجيب عن استبيانات الأمان المعقولة. وإذا لم يكن ذلك كافيًا، يجوز لك أو لمدقق مستقل ملتزم بالسرية تدقيق امتثالنا مرة واحدة سنويًا، بإشعار مسبق لا يقل عن 30 يومًا، وخلال ساعات العمل، وعلى نفقتك الخاصة، ودون الوصول إلى بيانات العملاء الآخرين. ويمكن إجراء عمليات تدقيق إضافية إذا طلبتها سلطة مختصة أو بعد وقوع خرق للبيانات الشخصية.

نستضيف البيانات الشخصية للعميل في ألمانيا. وقد يصل إليها موظفونا من الإمارات العربية المتحدة ومن البوسنة والهرسك، ويعالجها بعض المعالجين الفرعيين في الولايات المتحدة الأمريكية (انظر صفحة المعالجين الفرعيين).

• بالنسبة للبيانات الشخصية للعميل الخاضعة للائحة العامة لحماية البيانات، تسري على عمليات النقل إلينا البنود التعاقدية القياسية المعتمدة من المفوضية الأوروبية (القرار التنفيذي (EU) 2021/914)، وهي مُدرجة في اتفاقية المعالجة هذه بالإحالة: الوحدة الثانية عندما تكون متحكمًا، والوحدة الثالثة عندما تكون معالجًا. وأنت مُصدِّر البيانات ونحن مستورِدها. وفيما يتعلق بالبند 9، يسري الخيار 2 (التفويض العام مع إشعار مدته 30 يومًا). وفيما يتعلق بالبند 17، يسري قانون الدولة العضو في الاتحاد الأوروبي التي تتخذ فيها مقرًا، أو القانون الأيرلندي إذا كان ذلك القانون لا يعترف بحقوق المستفيدين من الغير، وفيما يتعلق بالبند 18، تختص محاكم تلك الدولة العضو. ويُكمل الملحقان 1 و2 من اتفاقية المعالجة هذه الملحقين الأول والثاني من البنود.
• بالنسبة للبيانات الشخصية للعميل الخاضعة لقانون البوسنة والهرسك، تتم عمليات النقل وفق الضمانات التي تشترطها المواد من 46 إلى 48 من قانون حماية البيانات الشخصية.
• بالنسبة لعمليات النقل اللاحقة إلى معالجين فرعيين خارج الاتحاد الأوروبي/المنطقة الاقتصادية الأوروبية، نستخدم ضمانات مناسبة، مثل البنود التعاقدية القياسية.

تخضع مسؤولية كل طرف بموجب اتفاقية المعالجة هذه للحدود الواردة في شروط الخدمة، إلا حيث لا يسمح القانون أو البنود التعاقدية القياسية بذلك. وفي حال التعارض، تسود البنود التعاقدية القياسية على اتفاقية المعالجة هذه، وتسود اتفاقية المعالجة هذه على شروط الخدمة في المسائل المتعلقة بالبيانات الشخصية.

تسري اتفاقية المعالجة هذه طوال مدة معالجتنا للبيانات الشخصية للعميل. وتخضع للقانون الذي يحكم شروط الخدمة، إلا حيث تشترط المادة 28 من اللائحة العامة لحماية البيانات أو البنود التعاقدية القياسية تطبيق قانون دولة عضو في الاتحاد الأوروبي.

• موضوع المعالجة ومدتها: تقديم الخدمة بموجب شروط الخدمة، طوال مدة استخدام العميل لها وإلى أن تُحذف البيانات وفقًا للقسم 8.
• طبيعة المعالجة والغرض منها: استضافة البيانات وتخزينها ومزامنتها وعرضها وتحليلها (بما في ذلك ميزات الذكاء الاصطناعي التي يستخدمها العميل) وتصديرها ونسخها احتياطيًا وحذفها، وإرسال الرسائل التي يطلقها العميل، وذلك لتشغيل نقطة البيع والمكتب الخلفي والحجوزات والطلبات الإلكترونية وبرنامج الولاء وإدارة الموظفين والتقارير والتكاملات الخاصة بالعميل.
• الأشخاص المعنيون: عملاء العميل وضيوفه؛ وموظفو العميل ومستخدموه الآخرون؛ وجهات الاتصال لدى موردي العميل وشركائه التجاريين.
• فئات البيانات: الأسماء وبيانات الاتصال؛ وسجل المشتريات والإيصالات والطلبات وبيانات الولاء؛ والحجوزات؛ وسجلات الموظفين مثل الأدوار والورديات وسجلات المبيعات والنقد وأرقام PIN المجزّأة؛ ومراجع الدفع (وليس أرقام البطاقات الكاملة مطلقًا)؛ وبنود كشوف الحساب البنكية إذا استخدم العميل التسوية البنكية؛ وأي بيانات أخرى يختار العميل إدخالها.
• الفئات الخاصة: الخدمة غير مصممة للفئات الخاصة من البيانات، مثل البيانات الصحية. وينبغي للعميل ألا يُدخلها إلا إذا كان ذلك ضروريًا ومشروعًا، وفي هذه الحالة يكون العميل مسؤولًا عن الضمانات الإضافية المطلوبة.

• التحكم في الوصول: فصل بيانات كل منشأة؛ وصلاحيات قائمة على الأدوار وأرقام PIN للموظفين؛ والمصادقة الثنائية وسجل التدقيق لحسابات المسؤولين لدينا؛ ولا يصل موظفونا إلى البيانات إلا عند الحاجة.
• التشفير والتجزئة: بروتوكول TLS لجميع الاتصالات؛ وتخزين كلمات المرور وأرقام PIN في صورة تجزئة أحادية الاتجاه.
• المراقبة والحماية: جدار حماية، وحدود لعدد الطلبات، وتسجيل الطلبات والإجراءات المهمة، وتنبيهات عند الأخطاء والأنشطة المشبوهة، وإمكانية إلغاء الجلسات والأجهزة.
• التوفر والمرونة: نسخ احتياطية لقاعدة البيانات كل ساعتين وكل ليلة، ونسخة على خادم منفصل في ألمانيا، واختبار استعادة تلقائي يوميًا، ووضع عدم الاتصال لنقطة البيع.
• الاستضافة: خوادم Hetzner Online GmbH في مراكز بيانات في ألمانيا.
• الأفراد: التزامات بالسرية على كل من لديه حق الوصول، وتطبيق الإصلاحات الأمنية ضمن الإصدارات الدورية.

تجد القائمة الحالية للمعالجين الفرعيين، مع الغرض من كل منهم وموقعه، في صفحة المعالجين الفرعيين.