اتفاقية معالجة البيانات

هذه الاتفاقية تُحدّد كيف يُعالج وصول بيانات عملاء متجرك بالنيابة عنك، ضمن إطار PDPL وأفضل الممارسات الدولية لحماية البيانات.

تُكمّل هذه الاتفاقية شروط الاستخدام و سياسة الخصوصية، ولا تحلّ محلهما. عند أيّ تعارض في النصوص، تسود هذه الاتفاقية فيما يخصّ معالجة بيانات عملاء المتجر.

مصطلحات هذه الاتفاقية تستخدم نفس المعاني الواردة في نظام حماية البيانات الشخصية السعودي.

أنت متحكّم البيانات. وصول معالج لها. لكلٍّ منا مسؤولية محدّدة لا تتداخل.

نُعالج فقط البيانات الضرورية لتشغيل الوكيل، ولفترة محدّدة، ولفئات محدّدة من الأفراد.

طبيعة المعالجة

• الرد الآلي على استفسارات العملاء عبر واتساب.
• تنفيذ أوامر صاحب المتجر عبر الوكيل الذكي.
• تتبّع الطلبات والإشعارات التلقائية.
• تحليل سلوك العملاء لتحسين التجربة.

فئات البيانات المعالَجة

• أرقام جوال عملاء المتجر.
• محتوى المحادثات النصية والصوتية.
• بيانات الطلبات والمنتجات.
• تفضيلات العميل وسجل الشراء.

فئات الأفراد المعنيين

• عملاء المتجر الحاليون.
• المتصفّحون والعملاء المحتملون.

نلتزم بستّة تعهدات أساسية كمعالج للبيانات — تشمل المعالجة وفق التعليمات، السرّية، الأمان، ومساعدة المتحكّم.

• (أ) المعالجة وفق التعليمات: معالجة البيانات فقط وفق تعليمات المتجر الموثّقة في لوحة التحكم أو الإعدادات.
• (ب) السرّية: ضمان أنّ جميع الموظفين المخوّلين بالوصول إلى البيانات ملتزمون بالسرّية التعاقدية.
• (ج) الأمان: تطبيق تدابير أمنية تقنية وتنظيمية مناسبة لحماية البيانات من الفقدان أو الوصول غير المصرّح.
• (د) مساعدة المتحكّم: تقديم المساعدة المعقولة للمتجر في الاستجابة لطلبات أصحاب البيانات.
• (هـ) الإبلاغ عن الاختراقات: إبلاغ المتجر دون تأخير عن أيّ اختراق أمني يؤثر على بياناته.
• (و) الحذف أو الإرجاع: حذف أو إرجاع البيانات عند انتهاء الاتفاقية حسب اختيار المتجر.

نستعين بمعالجين فرعيين موثوقين لتقديم الخدمة، وكلٌّ منهم ملزم باتفاقية معالجة بيانات مكافئة لحماية مماثلة.

نوفّر للمتجر الأدوات اللازمة للاستجابة لطلبات عملائه بسرعة وضمن المهل النظامية.

يُقدّم وصول الأدوات اللازمة لتمكين المتجر من الاستجابة لطلبات أصحاب البيانات — بما في ذلك:

• تصدير بيانات عميل محدّد بصيغة قابلة للقراءة آلياً.
• حذف بيانات عميل عند الطلب خلال 30 يوماً.
• تصحيح أو تقييد معالجة بيانات عميل محدّد عبر لوحة التحكم.
• كشف شامل بجميع البيانات المخزّنة عن عميل معيّن عند الطلب.

نطبّق طبقات حماية تقنية وتنظيمية كحدٍّ أدنى، تشمل التشفير، العزل، المراقبة، واختبارات الاختراق.

• التشفير أثناء النقل (TLS 1.3).
• التشفير في التخزين (AES-256).
• عزل بيانات كل متجر (multi-tenant isolation).
• مراقبة مستمرة للأنظمة ومحاولات الوصول.
• نسخ احتياطية مشفّرة يومياً.
• اختبارات اختراق دورية (سنوية).
• مبدأ أقل الامتيازات للوصول الداخلي.

عند أيّ اختراق، نُبلّغك خلال 48 ساعة، ونُبلّغ الجهة التنظيمية خلال 72 ساعة وفق المادة 19 من PDPL.

عند اكتشاف اختراق أمني يؤثر على بيانات متجرك:

• نُبلّغك خلال 48 ساعة من الاكتشاف كحدٍّ أقصى.
• نُبلّغ الهيئة السعودية للبيانات والذكاء الاصطناعي خلال 72 ساعة وفق المادة 19 من PDPL.
• نُقدّم تقريراً شاملاً يشمل: طبيعة الاختراق، البيانات المتأثرة، الإجراءات التصحيحية، وتقييم الأثر.

يحقّ للمتجر التحقّق من امتثالنا عبر تقارير دورية أو تدقيق سنوي بإشعار مسبق.

يحقّ للمتجر طلب معلومات معقولة لإثبات امتثال وصول لالتزامات هذه الاتفاقية، بما في ذلك:

• تقارير التدقيق الأمني السنوية.
• شهادات الامتثال من الأطراف الثالثة.
• تدقيقات مستقلة مرّة واحدة سنوياً بإشعار مسبق لا يقلّ عن 30 يوماً.

عند نقل البيانات خارج المملكة، نلتزم بضوابط تعاقدية ونظامية تضمن مستوى حماية مكافئاً.

عند نقل البيانات خارج المملكة العربية السعودية، يلتزم وصول بـ:

• توقيع شروط تعاقدية موحّدة (SCCs) مع جميع المعالجين الفرعيين.
• ضمان مستوى حماية مكافئ لمتطلبات نظام حماية البيانات الشخصية.
• الحصول على الموافقات المطلوبة من SDAIA للنقل عند الاقتضاء.

مسؤوليتك كمتحكّم تشمل الحصول على موافقات العملاء وإخبارهم بوجود وكيل ذكاء اصطناعي.

• الحصول على الموافقة الصريحة من عملائك قبل استخدام وصول للتواصل معهم.
• إخبار العملاء بأنّ وكيل ذكاء اصطناعي سيتولّى الرد عليهم.
• عدم طلب بيانات حساسة عبر قنوات واتساب.
• الامتثال لسياسة واتساب للأعمال.
• تحديث بيانات التواصل وموافقات العملاء بشكل دوري.

عند انتهاء الاشتراك، تُحذف البيانات خلال 30 يوماً — مع نافذة 14 يوماً لطلب نسخة قبل الحذف.

عند إلغاء اشتراك المتجر أو انتهاء الاتفاقية:

• تُحذف بيانات العملاء حذفاً آمناً خلال 30 يوماً من تاريخ الانتهاء.
• يُتاح للمتجر طلب نسخة من بياناته قبل الحذف خلال 14 يوماً.
• تبقى الالتزامات المتعلقة بالسرّية سارية بعد انتهاء الاتفاقية.
• تُحتفظ سجلات التدقيق فقط لمدة سنة واحدة لأغراض الامتثال.