اتفاقية معالجة البيانات

تشكل اتفاقية معالجة البيانات هذه ("DPA") جزءًا لا يتجزأ من الاتفاقية المبرمة بين ELXAO SASU ("المعالج") والعميل ("المتحكم") وتنفذ المادة 28 من اللائحة (الاتحاد الأوروبي) 2016/679 ("GDPR") وقانون حماية البيانات الفرنسي (القانون رقم 78-17 المؤرخ 6 يناير 1978 بصيغته المعدلة). وينطبق ذلك عندما تقوم ELXAO بمعالجة البيانات الشخصية نيابة عن المراقب أثناء تقديم الخدمات.

التعاريف

المصطلحات "البيانات الشخصية"، و"المعالجة"، و"المراقب"، و"المعالج"، و"المعالج الفرعي"، و"موضوع البيانات"، و"بيانات الفئة الخاصة"، و"خرق البيانات الشخصية" لها المعاني الواردة في المادة 4 من اللائحة العامة لحماية البيانات. تنطبق شروط الاتفاقية على ملحق DPA هذا إلا إذا تجاوزها ملحق DPA هذا صراحةً.

الموضوع والمدة وطبيعة المعالجة

الأدوار والتعليمات

ويحدد المراقب أغراض المعالجة ووسائلها. ELXAO تعالج البيانات الشخصية فقط بناءً على تعليمات المتحكم الموثقة، والتي تم إضفاء الطابع الرسمي عليها بموجب الاتفاقية والأوامر واتفاقيات مستوى الخدمة وسياسة الخصوصية الخاصة بوحدة التحكم وأي تعليمات مكتوبة محددة يتم إرسالها بعد ذلك. ELXAO سوف يقوم بإبلاغ المراقب دون تأخير لا مبرر له إذا اعتبر تعليمات تنتهك قانون حماية البيانات.

سرية الموظفين

ELXAO يضمن أن كل فرد مصرح له بمعالجة البيانات الشخصية ملتزم بالتزام السرية القابل للتنفيذ (عقد العمل أو عقد العمل المستقل أو NDA) وقد تلقى تدريبًا على حماية البيانات الشخصية بما يتناسب مع دوره.

التدابير الأمنية

ELXAO تنفذ التدابير الفنية والتنظيمية المناسبة (المادة 32 من اللائحة العامة لحماية البيانات)، بما في ذلك:

• تشفير TLS 1.2+ أثناء النقل وتشفير AES-256 أثناء عدم الاستخدام لمخازن بيانات الإنتاج.
• التحكم في الوصول على أساس الدور مع مبدأ الامتياز الأقل؛ المصادقة الإلزامية متعددة العوامل لجميع المسؤولين.
• بنية تحتية معززة يستضيفها الاتحاد الأوروبي مع فحص وتصحيح الثغرات بشكل منتظم.
• مراجعة التعليمات البرمجية وإدارة الأسرار وSDLC الآمن والفصل بين بيئات الإنتاج/التدريج.
• التسجيل المركزي والمحمي بالسلامة؛ التنبيه بشأن المصادقة المشبوهة وأحداث تصدير البيانات.
• نسخ احتياطية مشفرة ومنفصلة جغرافيًا مع اختبارات استعادة موثقة.
• إجراءات تأهيل/إخراج الموظفين، وإدارة كلمات المرور، وأجهزة الكمبيوتر المحمولة الآمنة المزودة بتشفير كامل القرص.
• تتم مراجعة خطط استمرارية الأعمال والاستجابة للحوادث سنويًا على الأقل.

المعالجة الفرعية

يمنح المراقب ELXAO ترخيصًا عامًا لإشراك المعالجين الفرعيين لأداء أنشطة معالجة محددة (الاستضافة، تسليم البريد الإلكتروني، التحليلات، منصات الإعلانات، أدوات دعم العملاء، منصات إدارة الأحداث). ELXAO يحتفظ بقائمة حالية من المعالجين الفرعيين، متاحة عند الطلب على [email protected]، وسيقدم إشعارًا مسبقًا قبل ثلاثين (30) يومًا على الأقل بأي إضافة أو استبدال مزمع، وخلال هذه الفترة قد يعترض المراقب المالي لأسباب معقولة تتعلق بحماية البيانات. ELXAO يفرض على كل معالج فرعي التزامات حماية بيانات لا تقل حماية عن تلك المنصوص عليها في ملحق DPA هذا.

التحويلات الدولية

تتم معالجة البيانات الشخصية في المقام الأول داخل المنطقة الاقتصادية الأوروبية (EEA). عندما تنطوي المعالجة على نقل خارج المنطقة الاقتصادية الأوروبية إلى بلد دون اتخاذ قرار بالملاءمة، فإن ELXAO يعتمد على الضمانات المناسبة بموجب المادة 46 من اللائحة العامة لحماية البيانات، وبشكل أساسي الشروط التعاقدية القياسية للمفوضية الأوروبية (SCC) المؤرخة 4 يونيو 2021، والتي تكملها أي إجراءات إضافية يتطلبها تقييم تأثير النقل.

مساعدة المراقب المالي

ELXAO يساعد المراقب المالي، من خلال التدابير الفنية والتنظيمية المناسبة، في الوفاء بالتزاماته للرد على طلبات أصحاب البيانات (المواد 12-22 من اللائحة العامة لحماية البيانات) وفي ضمان الامتثال للمواد 32-36 من اللائحة العامة لحماية البيانات (الأمان، إشعار الانتهاك، حماية البيانات الشخصية، التشاور المسبق). يتم تضمين المساعدة القياسية في الخدمات؛ قد تتم محاسبة العمل الجوهري الذي يزيد عن يوم عمل واحد (1) لكل طلب بمعدلات ELXAO المهنية الحالية بعد إشعار كتابي.

خرق البيانات الشخصية

ELXAO يخطر المراقب دون تأخير لا مبرر له وعلى أي حال خلال اثنين وسبعين (72) ساعة بعد علمه بخرق البيانات الشخصية الذي يؤثر على بيانات المراقب. يتضمن الإخطار طبيعة الانتهاك والفئات والأحجام التقريبية المتأثرة والعواقب المحتملة والتدابير المتخذة أو المقترحة لمعالجتها.

عمليات التدقيق

ELXAO يتيح لوحدة التحكم، بناءً على طلب معقول وليس أكثر من مرة واحدة سنويًا (باستثناء ما يلي الانتهاك)، المعلومات اللازمة لإثبات الامتثال لملحق DPA هذا، بما في ذلك تقارير النوع ISO 27001 / SOC 2 من المعالجين الفرعيين عند توفرها. يجوز إجراء عمليات التدقيق في الموقع بواسطة المراقب المالي أو مدقق خارجي معتمد بشكل متبادل وملتزم بالسرية، على نفقة المراقب المالي، مع إشعار مسبق معقول وخلال ساعات العمل، بطريقة لا تعطل عمليات ELXAO بشكل غير معقول.

إرجاع أو حذف البيانات

عند إنهاء الاتفاقية، ستقوم ELXAO، بناءً على اختيار المراقب المعبر عنه في غضون ثلاثين (30) يومًا، إما بإرجاع جميع البيانات الشخصية بتنسيق منظم وشائع الاستخدام وقابل للقراءة آليًا، أو حذفها من جميع أنظمة الإنتاج والتشغيل. يتم حذف النسخ الاحتياطية في دورة التناوب القياسية (ما يصل إلى تسعين (90) يومًا) ولا يجوز الاحتفاظ بها بعد تلك الفترة إلا عندما يقتضي القانون المعمول به، وفي هذه الحالة تظل خاضعة لالتزامات الأمان والسرية المنصوص عليها في ملحق DPA هذا.

مسئولية قانونية

تنطبق أحكام المسؤولية المنصوص عليها في اتفاقية الخدمات الإدارية على المطالبات الناشئة بموجب ملحق DPA هذا. يظل كل طرف مسؤولاً أمام أصحاب البيانات والسلطات الإشرافية وفقًا للمادة 82 من اللائحة العامة لحماية البيانات.

اتصل بنا

بالنسبة لأي سؤال أو طلب أو إشعار يتعلق بحماية البيانات بموجب ملحق DPA هذا، اتصل بـ ELXAO على [email protected].