اتفاقية معالجة البيانات الشخصية

هذه الاتفاقية ملحق باتفاقية الاشتراك وتقديم الخدمة وجزء منها. تنظم معالجة شركة بريميكس للبيانات الشخصية التي يدخلها العميل ومستخدموه في منصة Primix OS نيابة عن العميل، وفق نظام حماية البيانات الشخصية ولائحته التنفيذية، وتفصّل القسم ١١ من اتفاقية الاشتراك. وتُملأ الخانات بين قوسين معقوفين عند التعاقد.

١. الأطراف والصفة

1. العميل جهة التحكم في البيانات الشخصية التي يدخلها في المنصة أو يرفعها إليها أو تنتج عنها. ويحدد أغراض معالجتها وأساسها النظامي، ويتحمل مسؤولية نظامية جمعها.
2. الشركة جهة معالجة لهذه البيانات، تعالجها نيابة عن العميل ووفق تعليماته.
3. الشركة جهة التحكم في بيانات التسجيل والفوترة والدعم الخاصة بحساب العميل، وتعالجها وفق سياسة الخصوصية. ولا تسري عليها هذه الاتفاقية.

٢. موضوع المعالجة وطبيعتها وغرضها ومدتها

٣. فئات أصحاب البيانات والبيانات

1. البيانات الصحية بيانات حساسة، وبيانات الطلاب تخص في الغالب ناقصي الأهلية. يُشعر العميل الشركة كتابة قبل تفعيل وحدة تعالج أيًّا منهما ببيانات حقيقية، ليُستكمل تقويم الأثر الخاص بها.
2. لا يُدخل العميل في المنصة بيانات بطاقات الدفع، ولا بيانات مصنفة «سري للغاية».

٤. تعليمات العميل

1. تعالج الشركة البيانات بناءً على تعليمات العميل الموثقة فقط. والتعليمات هي:
• هذه الاتفاقية واتفاقية الاشتراك.
• إعدادات العميل وإجراءات مستخدميه في المنصة.
• ما تطلبه جهة الاتصال لدى العميل كتابة.
2. إذا رأت الشركة أن تعليمات العميل تخالف نظامًا معمولًا به في المملكة، تُشعره بذلك كتابة ودون تأخير، وفق الفقرة ٢ من المادة السابعة عشرة من اللائحة التنفيذية.
3. لا تستخدم الشركة البيانات لغرض آخر، ولا تبيعها، ولا تستخدمها لتدريب نماذج الذكاء الاصطناعي أو تحسينها إلا بموافقة كتابية مسبقة من العميل.
4. الإفصاح الذي يوجبه النظام لا يتوقف على موافقة العميل المسبقة، وتُشعر الشركة العميل بذلك الإفصاح.
5. إذا عالجت الشركة البيانات خلافًا لتعليمات العميل، تُعد في حكم جهة التحكم وتتحمل المسؤولية عن ذلك، وفق الفقرة ٤ من المادة السابعة عشرة من اللائحة التنفيذية.
6. الشركة منشأة سعودية، ولا تخضع في معالجة بيانات العميل لأنظمة دولة أخرى. أما المعالجون الفرعيون خارج المملكة في القسم ٦ فقد يخضعون لأنظمة دولهم، ويُبيَّن أثر ذلك في تقويم مخاطر النقل المرفق.

٥. التزامات الشركة

السرية

1. لا يصل إلى البيانات إلا موظفو الشركة ومتعاقدوها الذين وقّعوا تعهد السرية، وبقدر ما يحتاجه عملهم.
2. وصول الدعم إلى حساب العميل يكون بطلب موثَّق منه، وفي حدود الطلب، ويُسجَّل.
3. تبقى السرية سارية بعد انتهاء الاتفاقية.

التدابير الأمنية

تطبّق الشركة التدابير التنظيمية والإدارية والتقنية الواردة في دليل سياسات الأمن السيبراني، وضوابط الهيئة الوطنية للأمن السيبراني. ومنها:

1. عزل بيانات كل عميل على مستوى قاعدة البيانات (Row Level Security).
2. تشفير الاتصال بالبروتوكول TLS 1.2 فأعلى.
3. قاعدة البيانات في شبكة خاصة بلا عنوان عام.
4. الدخول إلى الخوادم بمفاتيح SSH فقط، دون كلمة مرور.
5. تخزين كلمات المرور ورموز التحقق بتجزئة لا تُعكس، وإخفاء أرقام الجوالات في السجلات.
6. التحقق المتعدد (TOTP) متاح لكل مستخدم.
7. عدم استخدام بيانات العميل في بيئة الاختبار.
8. تُتاح للعميل عند طلبه قائمة الضوابط المخطط لها ومواعيد تنفيذها.

حقوق أصحاب البيانات

1. توفر المنصة للعميل أدوات العرض والتصحيح والتصدير والحذف، ليستجيب لطلبات أصحاب البيانات.
2. إذا وصل الشركة طلب من صاحب بيانات يتحكم فيها العميل، تحيله إلى العميل خلال ٣ أيام عمل، ولا ترد عليه مباشرة إلا بتعليمات العميل.
3. تساعد الشركة العميل في الطلبات التي لا تغطيها أدوات المنصة، بطلب كتابي منه، ليتمكن من الرد خلال المدة النظامية.

تقويم الأثر والإشعارات

1. تزوّد الشركة العميل بما يلزمه لإعداد تقويم الأثر على حماية البيانات الشخصية: وصف المعالجة، والتدابير الأمنية، والمعالجين الفرعيين، وملخص تقويم الأثر الذي أعدّته الشركة للمنصة.
2. تتعاون الشركة مع العميل في أي إشعار أو طلب من الجهة المختصة يخص بياناته.

الإشعار بتسرب البيانات

1. تُشعر الشركة العميل بأي تسرب يمس بياناته الشخصية فور التأكد منه، وفي جميع الأحوال خلال مدة لا تتجاوز ٢٤ ساعة من التأكد، عبر بريد الإشعارات وجهة الاتصال.
2. يتضمن الإشعار ما يتوفر من البيانات الآتية، ليتمكن العميل من إشعار الجهة المختصة خلال ٧٢ ساعة من علمه:
• وصف الحادثة، ووقتها وتاريخها وكيفية وقوعها، ووقت علم الشركة بها.
• فئات أصحاب البيانات المتأثرين، وأعدادهم الفعلية أو التقريبية، ونوع البيانات.
• المخاطر المتوقعة، والإجراءات المتخذة للحد منها، والتدابير لمنع تكرارها.
• بيانات التواصل مع قائد الاستجابة لدى الشركة.
3. ما لم يتوفر عند الإشعار الأول يُرسَل في أقرب وقت ممكن، مع تحديثات دورية حتى الاحتواء.
4. لا تُشعر الشركة أصحاب البيانات أو الجهة المختصة عن بيانات العميل إلا بتفويض كتابي منه، أو إذا ألزمها النظام بذلك.
5. تُدار الحادثة وفق خطة الاستجابة للحوادث، وتحفظ الشركة سجلاتها وأدلتها.

الإرجاع والحذف عند الانتهاء

1. عند إغلاق الحساب أو إنهاء العقد، تُتاح البيانات للتصدير ٣٠ يومًا ويُسلَّم العميل نسخة منها عند طلبه، ثم تُحذف حذفًا آمنًا خلال ٣٠ يومًا، وفق القسم ١٣ من اتفاقية الاشتراك وإجراء التسليم والحذف.
2. تخرج البيانات من النسخ الاحتياطية بانتهاء مدة احتفاظها: ٧ أيام على الأقل للنسخ التلقائية، و٩٠ يومًا للنسخ المنطقية الأسبوعية. وتبقى السجلات ١٢ شهرًا.
3. يُستثنى ما يلزم النظام بالاحتفاظ به، مثل الفواتير الضريبية، ويُبلَّغ العميل به كتابة.
4. يُسلَّم العميل محضر الحذف عند طلبه.

المعلومات والتدقيق

1. تقدم الشركة للعميل ما يلزمه للتحقق من التزامها بهذه الاتفاقية، ومنه نتائج المراجعة والتدقيق المستقل عند توفرها.
2. للعميل التدقيق على التزام الشركة مرة في السنة، بإشعار كتابي قبل ٣٠ يومًا، بنفسه أو بمدقق مستقل ملتزم بالسرية، وعلى نفقته.
3. لا يشمل التدقيق بيانات العملاء الآخرين، ولا ما يعرّض أمن المنصة للخطر.
4. تحتفظ الشركة بسجل لأنشطة المعالجة التي تجريها نيابة عن العميل.

٦. المعالجون الفرعيون

1. يوافق العميل بتوقيع هذه الاتفاقية على المعالجين الفرعيين في الجدول أدناه.
2. قبل إضافة معالج فرعي أو استبداله، تُشعر الشركة العميل كتابة قبل ٣٠ يومًا. وللعميل الاعتراض بأسباب معقولة خلال ١٤ يومًا من الإشعار، وفق الفقرة ٥ من المادة السابعة عشرة من اللائحة التنفيذية.
3. إذا اعترض العميل ولم يتفق الطرفان على حل، يجوز له إنهاء الخدمة المتأثرة دون غرامة، مع رد رسوم المدة غير المستخدمة بنسبتها.
4. تختار الشركة معالجًا فرعيًا يقدم ضمانات كافية، وتلزمه بالتزامات لا تقل عن هذه الاتفاقية، وتبقى مسؤولة أمام العميل عن التزامه.

1. جهات يُفصح لها بحكم النظام أو بتعليمات العميل، وليست معالجين فرعيين: هيئة الزكاة والضريبة والجمارك (بيانات الفاتورة الإلكترونية، ومنها بيانات المشتري)، والجهات الرسمية المختصة بطلب نظامي.
2. لا يُعتمد معالجًا فرعيًا: مزودو الذكاء الاصطناعي الخارجيون، والبيئة السابقة للشركة خارج المملكة. [تُثبت عند التوقيع حالة إيقاف الإرسال إليهم، وحذف النسخ السابقة لديهم، وتاريخ ذلك]

٧. نقل البيانات خارج المملكة

1. لا تنقل الشركة بيانات العميل إلى خارج المملكة إلا في الحدود التي يسمح بها نظام حماية البيانات الشخصية ولائحة نقل البيانات الشخصية خارج المملكة.
2. يقتصر النقل على الحد الأدنى اللازم للغرض، مثل رقم الجوال ونص رسالة التحقق.
3. تُرفق بهذه الاتفاقية لكل معالج فرعي خارج المملكة: البيانات المنقولة، والدولة، وأساس النقل، والضمانات، وتقويم المخاطر. [يُستكمل قبل التوقيع]
4. توقف الشركة النقل دون تأخير إذا مس الأمن الوطني، أو نتجت عنه مخاطر عالية على خصوصية أصحاب البيانات، أو توقفت الضمانات أو تعذر الالتزام بها، وتُشعر العميل.
5. للعميل أن يطلب كتابة إيقاف قناة معينة خارج المملكة متى أتاحت المنصة بديلًا لها.

٨. المسؤولية

1. يقتصر إجمالي مسؤولية الشركة عن الإخلال بهذه الاتفاقية على الرسوم التي دفعها العميل فعلًا خلال ١٢ شهرًا السابقة للمطالبة، وهو الحد الوارد في اتفاقية الاشتراك.
2. لا تُسأل الشركة عن الأضرار غير المباشرة أو التبعية، ولا عن الربح الفائت، ولا عن الضرر الناتج عن فعل العميل أو بياناته.
3. لا يسري هذا الحد على الضرر الناتج عن خطأ عمد أو إهمال جسيم من الشركة، ولا على الإخلال بالسرية أو بحماية البيانات الشخصية الناتج عن إهمالها الجسيم، وذلك في الحدود التي يسمح بها النظام.
4. لا تُسأل الشركة عما ينتج عن تعليمات العميل أو عن عدم نظامية جمعه للبيانات.

٩. المدة والإنهاء

1. تسري هذه الاتفاقية بسريان اتفاقية الاشتراك، وتبقى حتى اكتمال حذف بيانات العميل.
2. تُعدَّل بملحق مكتوب يوقعه الطرفان، أو عند صدور تعديل نظامي يستوجب ذلك بإشعار من الشركة.

١٠. التوقيع