يُشكّل ملحق معالجة البيانات هذا («الملحق») جزءًا من شروط الخدمة المبرمة بين [اسم الشركة القانوني] («زابس» أو «المعالِج») والعميل («جهة التحكم»). ويسري متى عالجت زابس البيانات الشخصية للعميل نيابةً عنه في سياق تقديم الخدمة. وفي حال تعارضه مع الشروط في المسائل المتعلقة بالبيانات الشخصية، يسود هذا الملحق.
1. التعريفات
- «نظام حماية البيانات»: نظام حماية البيانات الشخصية في المملكة العربية السعودية ولائحته التنفيذية ولوائح نقل البيانات إلى خارج المملكة؛ والمرسوم بقانون اتحادي رقم 45 لسنة 2021 بشأن حماية البيانات الشخصية في دولة الإمارات العربية المتحدة؛ وأي نظام آخر لحماية البيانات يسري على المعالجة.
- «البيانات الشخصية للعميل»: البيانات الشخصية الواردة ضمن بيانات العميل التي تعالجها زابس نيابةً عن العميل.
- «تسرب البيانات الشخصية»: أي خرق أمني يؤدي إلى إتلاف البيانات الشخصية للعميل أو فقدانها أو تعديلها أو الإفصاح عنها أو الوصول إليها بصورة عرضية أو غير نظامية أو غير مصرَّح بها.
- «المعالِج من الباطن»: أي طرف ثالث تستعين به زابس لمعالجة البيانات الشخصية للعميل.
- «الجهة المختصة»: الجهة المختصة بحماية البيانات، بما في ذلك الهيئة السعودية للبيانات والذكاء الاصطناعي (سدايا) ومكتب الإمارات للبيانات.
- وللمصطلحات الأخرى المعرّفة المعاني الواردة في الشروط.
2. الأدوار والنطاق
يكون العميل جهة التحكم في البيانات الشخصية للعميل، وتكون زابس معالِجًا لها. وإذا كان العميل نفسه يعمل معالِجًا لصالح جهة تحكم أخرى، فتعمل زابس معالِجًا من الباطن له، ويكون العميل مسؤولًا عن الحصول على أي تفويضات لازمة من تلك الجهة. ولا يسري هذا الملحق على البيانات التي تعالجها زابس بصفتها جهة تحكم، إذ تغطيها سياسة الخصوصية.
3. تفاصيل المعالجة
موضوع المعالجة ومدتها
تقديم الخدمة بموجب الشروط، طوال مدة الاشتراك وفترتَي تصدير البيانات وحذفها اللاحقتين له.
طبيعة المعالجة والغرض منها
استضافة البيانات الشخصية للعميل وتخزينها وتنظيمها واسترجاعها ومزامنتها ونقلها وعرضها وتحليلها (بما في ذلك المعالجة بمساعدة الذكاء الاصطناعي والتفريغ النصي) ونسخها احتياطيًا وحذفها، بغرض تقديم الخدمة للعميل وتأمينها ودعمها.
أصحاب البيانات
- موظفو العميل والمتعاقدون معه وغيرهم من المستخدمين المصرَّح لهم؛
- عملاء العميل والعملاء المحتملون والموردون والأشخاص المسؤولون عن التواصل لديهم؛
- المشاركون في الاجتماعات التي تُسجَّل أو تُفرَّغ نصيًا بطلب من العميل؛
- الأفراد الآخرون الذين يختار العميل إدخال بياناتهم في الخدمة.
فئات البيانات الشخصية
- بيانات الهوية والتواصل: الأسماء والمسميات الوظيفية وعناوين البريد الإلكتروني وأرقام الهواتف وبيانات بطاقات العمل؛
- بيانات العمل: القسم والدور وخطوط التقارير وسجلات الحضور وتسجيل الوصول وطلبات الإجازة وأرصدتها والأهداف والعمولات؛
- بيانات الموقع: الموقع الدقيق للجهاز خلال ساعات العمل أو أثناء تسجيل الحضور، بموافقة المستخدم؛
- المراسلات: رسائل البريد الإلكتروني وأحداث التقويم للحسابات المرتبطة، وسجلات المكالمات وواتساب، والملاحظات، والملاحظات الصوتية، وتسجيلات الاجتماعات ونصوصها؛
- البيانات التجارية: الصفقات وعروض الأسعار والطلبات والفواتير والسجلات المتعلقة بها؛
- البيانات التقنية: معرّفات الأجهزة وعناوين IP ورموز الإشعارات الفورية والسجلات.
البيانات الحساسة
الخدمة غير مصممة لمعالجة البيانات الشخصية الحساسة. وقد تتضمن سجلات الإجازات أسبابًا أو مستندات ذات طابع صحي، ويلتزم العميل بقصرها على ما هو ضروري وضبط صلاحيات الوصول إليها تبعًا لذلك.
4. التزامات العميل
يلتزم العميل بما يأتي: ألّا يصدر إلا تعليمات نظامية؛ وأن يتحقق من توافر أساس نظامي للمعالجة ومن تقديم الإشعارات والحصول على الموافقات التي يشترطها نظام حماية البيانات (بما في ذلك موافقة الموظفين على خصائص الموقع وموافقة المشاركين على تسجيل الاجتماعات متى كان ذلك مطلوبًا)؛ وأن يضمن دقة البيانات الشخصية للعميل؛ وأن يُجري أي تقييمات لأثر حماية البيانات تُطلب منه بصفته جهة تحكم.
5. التزامات زابس
التعليمات
لا تعالج زابس البيانات الشخصية للعميل إلا وفق تعليمات العميل الموثقة، وهي الشروط وهذا الملحق وإعدادات العميل للخدمة واستخدامه لها، ما لم يقتضِ النظام خلاف ذلك (وفي هذه الحالة تُبلغ زابس العميل قبل المعالجة، ما لم يحظر النظام ذلك). وتُبلغ زابس العميل إذا رأت أن أي تعليمات تخالف نظام حماية البيانات.
السرية
تضمن زابس أن يكون كل من يُصرَّح له بمعالجة البيانات الشخصية للعميل ملتزمًا بالسرية، وألّا يصل إليها إلا بالقدر اللازم لتقديم الخدمة.
الأمن
تطبّق زابس التدابير التقنية والتنظيمية الموضحة في البند 11 وتحافظ عليها، بما يتناسب مع مخاطر المعالجة.
المعالجون من الباطن
يمنح العميل زابس تفويضًا عامًا بالاستعانة بمعالجين من الباطن ضمن الفئات المبيّنة في البند 12. وتفرض زابس على كل معالِج من الباطن التزامات لحماية البيانات لا تقل حماية عن هذا الملحق، وتظل مسؤولة عن أدائهم. وتُبلغ زابس مسؤولي العميل قبل 30 يومًا على الأقل من إضافة معالِج من الباطن أو استبداله. ويجوز للعميل الاعتراض خلال تلك المدة لأسباب معقولة تتعلق بحماية البيانات، وعندها يناقش الطرفان الاعتراض بحسن نية، وإذا تعذّر حله جاز للعميل إنهاء الجزء المتأثر من الخدمة واسترداد الرسوم المدفوعة مقدمًا عن المدة المتبقية.
طلبات أصحاب البيانات
مع مراعاة طبيعة المعالجة، تساعد زابس العميل في الرد على طلبات أصحاب البيانات لممارسة حقوقهم، بما في ذلك عبر الأدوات المتاحة في الخدمة (كالتصدير والتصحيح والحذف). وإذا تلقت زابس طلبًا من هذا النوع مباشرةً، فإنها تحيله إلى العميل دون تأخير غير مبرر، ولا ترد عليه إلا وفق تعليمات العميل.
تقييمات الأثر والتشاور
تقدّم زابس المساعدة المعقولة في تقييمات أثر حماية البيانات وأي تشاور مسبق مع الجهة المختصة يتعيّن على العميل إجراؤه فيما يتعلق بالخدمة.
تسرب البيانات الشخصية
تُبلغ زابس العميل دون تأخير غير مبرر، وخلال 48 ساعة متى أمكن، بعد علمها بأي تسرب للبيانات الشخصية يمس البيانات الشخصية للعميل. ويتضمن الإشعار، بقدر ما هو معلوم حينها، طبيعة التسرب، وفئات أصحاب البيانات والسجلات المعنية وعددها التقريبي، والعواقب المحتملة، والتدابير المتخذة أو المقترحة. وتقدّم زابس معلومات إضافية فور توافرها، وتساعد العميل في الوفاء بالتزامات الإبلاغ الخاصة به، بما في ذلك إبلاغ سدايا خلال 72 ساعة متى كان ذلك مطلوبًا.
الحذف والإعادة
عند انتهاء الاشتراك، يجوز للعميل تصدير البيانات الشخصية للعميل خلال 30 يومًا. ثم تحذفها زابس من أنظمتها التشغيلية وتزيلها من النسخ الاحتياطية خلال 90 يومًا إضافية، ما لم يوجب النظام الاحتفاظ بها، وفي هذه الحالة تواصل زابس حمايتها ولا تعالجها إلا لذلك الغرض.
السجلات والتدقيق
تحتفظ زابس بسجلات لأنشطة المعالجة وفق ما يشترطه نظام حماية البيانات، وتتيح للعميل المعلومات اللازمة بصورة معقولة لإثبات الامتثال لهذا الملحق، بما في ذلك ملخصات التقييمات الأمنية المستقلة متى توافرت. وإذا لم تكن تلك المعلومات كافية، أو طلبت ذلك الجهة المختصة، فيجوز للعميل إجراء تدقيق، بحد أقصى مرة واحدة في السنة، بإشعار كتابي مسبق لا تقل مدته عن 30 يومًا، خلال ساعات العمل، وعلى نفقته، بواسطة مدقق ملتزم بالسرية، ودون الوصول إلى بيانات العملاء الآخرين.
6. النقل الدولي للبيانات
يفوّض العميل زابس والمعالجين من الباطن لديها بنقل البيانات الشخصية للعميل إلى خارج الدولة التي جُمعت فيها بالقدر اللازم لتقديم الخدمة. وتضمن زابس امتثال كل عملية نقل لنظام حماية البيانات — بما في ذلك اللوائح السعودية لنقل البيانات الشخصية إلى خارج المملكة والمتطلبات الإماراتية للنقل عبر الحدود — بالاستناد إلى قرارات كفاية مستوى الحماية أو إلى ضمانات ملائمة مثل البنود التعاقدية المعيارية، وبإجراء تقييمات لمخاطر النقل متى كان ذلك مطلوبًا، ونقل الحد الأدنى من البيانات اللازمة فقط.
7. طلبات الجهات العامة
إذا تلقت زابس طلبًا من جهة عامة للحصول على البيانات الشخصية للعميل، فإنها تحيل الجهة إلى العميل متى أمكن، وتُبلغ العميل ما لم يحظر النظام ذلك، ولا تُفصح إلا عن الحد الأدنى من البيانات المطلوبة نظامًا، وتعترض على الطلبات التي ترى بصورة معقولة أنها غير نظامية.
8. المسؤولية
تخضع مسؤولية كل طرف بموجب هذا الملحق أو فيما يتعلق به لحالات الاستبعاد وحدود المسؤولية الواردة في الشروط، إلا حيث لا يجيز نظام حماية البيانات تحديد المسؤولية.
9. المدة
يسري هذا الملحق ما دامت زابس تعالج البيانات الشخصية للعميل، وتستمر التزاماته إلى أن تُحذف تلك البيانات أو تُعاد.
10. أولوية التطبيق والتعديلات
في حال التعارض في المسائل المتعلقة بالبيانات الشخصية، يسود هذا الملحق على الشروط. ويجوز لزابس تحديث هذا الملحق ليعكس التغييرات في نظام حماية البيانات أو في الخدمة، دون خفض المستوى العام للحماية، مع الإشعار على النحو الموضح في الشروط.
11. التدابير الأمنية
- تشفير البيانات أثناء النقل (TLS) وأثناء التخزين.
- الفصل المنطقي لبيانات كل عميل من خلال عزل المستأجرين على مستوى الصفوف في قاعدة البيانات.
- المصادقة متعددة العوامل للمسؤولين، وحفظ كلمات المرور بتجزئة آمنة أحادية الاتجاه، وضوابط الجلسات.
- التحكم في الوصول بحسب الأدوار داخل كل مساحة عمل، ومنح موظفي زابس أدنى صلاحيات لازمة، عند الحاجة فقط، مع تسجيلها.
- سجلات تدقيق للإجراءات المهمة في كل مساحة عمل، ومراقبة أنظمة التشغيل والتنبيه بشأنها.
- نسخ احتياطي منتظم ومشفّر، وإجراءات استعادة مختبرة.
- ممارسات تطوير آمنة، وإدارة المكتبات البرمجية والثغرات الأمنية، وتطبيق التحديثات في الوقت المناسب.
- التزامات بالسرية وتوعية أمنية لجميع الموظفين.
- إجراءات للاستجابة للحوادث تشمل اكتشاف تسرب البيانات الشخصية واحتواءه والتحقيق فيه والإبلاغ عنه.
12. فئات المعالجين من الباطن المصرَّح بهم
- الاستضافة السحابية وقواعد البيانات والتخزين
- إرسال البريد الإلكتروني (Resend)
- المدفوعات (StreamPay)
- الذكاء الاصطناعي (Anthropic)
- الخرائط وتحديد المواقع الجغرافية
- مدوّن ملاحظات الاجتماعات (Recall.ai)
- الإشعارات الفورية (Expo، وخدمة الإشعارات الفورية من Apple، وFirebase Cloud Messaging من Google)
- الحماية من الروبوتات عند التسجيل (Cloudflare Turnstile)
تتوفر القائمة الحالية للمعالجين من الباطن ومواقعهم عبر privacy@heyzaps.com.