اتفاقية معالجة البيانات
هذه ترجمة مقدمة للتيسير. وفي حال وجود أي اختلاف بينها وبين النص الإنجليزي، يسود النص الإنجليزي.
- معالج البيانات
- Transfer Runner Ltd (شركة مسجلة في إنجلترا وويلز برقم 17488928), 71-75 Shelton Street, Covent Garden, London WC2H 9JQ, المملكة المتحدة, [email protected] ("TransferRunner")
- المتحكم في البيانات
- ("الشركة")
تُشكّل هذه الاتفاقية جزءًا من اتفاقية الاشتراك في TransferRunner. وهي تنظم العلاقة بين المتحكم في البيانات ومعالج البيانات بموجب المادة 28 من UK GDPR، والمادة 28 من اللائحة العامة لحماية البيانات في الاتحاد الأوروبي (GDPR)، والمادة 12 من قانون حماية البيانات الشخصية التركي رقم 6698 (KVKK)، وبموجب أي قانون آخر لحماية البيانات يسري على الشركة (ويشار إليها مجتمعة بـ"قانون حماية البيانات"). وTransferRunner شركة مؤسسة في المملكة المتحدة.
1. الأدوار
فيما يتعلق ببيانات الضيوف والسائقين وموظفي الشركة التي تُعالج في الخدمة، تكون الشركة هي المتحكم في البيانات ويكون TransferRunner هو معالج البيانات. ولا يعالج TransferRunner هذه البيانات إلا نيابةً عن الشركة ولغرض تقديم الخدمة.
2. موضوع المعالجة ومدتها والغرض منها
- الموضوع والغرض: استقبال الحجوزات وإدارتها، ونشر موقع الحجز الخاص بالشركة، وتعيين السائقين، وإرسال الإشعارات إلى الضيوف، وتتبع الرحلات الجوية، وتحويل الضيوف إلى مزود خدمة الدفع، وإعداد التقارير، وما يلزم لذلك من استضافة ونسخ احتياطي.
- المدة: طوال مدة اتفاقية الاشتراك وحتى انقضاء مدة الحذف المنصوص عليها في البند 8.
- أصحاب البيانات: الضيوف والركاب، والأشخاص الذين يُجرون الحجوزات، ومتلقو الفواتير، وسائقو الشركة، ومستخدمو اللوحة.
- فئات البيانات: الاسم والبريد الإلكتروني ورقم الهاتف؛ وعناوين الانطلاق والوصول، والتاريخ والوقت، ورقم الرحلة الجوية، وعدد الركاب، والملاحظات؛ والمبلغ وحالة الدفع (دون بيانات البطاقات)؛ وبيانات الفوترة؛ والتقييمات؛ وموقع السائق أثناء الرحلة؛ وبيانات رخص القيادة ووثائق المركبات الخاصة بالسائقين؛ وعناوين IP والسجلات التقنية.
- الفئات الخاصة من البيانات: لا يُقصد معالجتها. وتحرص الشركة على عدم إدخال الفئات الخاصة من البيانات، كالمعلومات الصحية، في حقول الملاحظات.
3. التزامات TransferRunner
- معالجة البيانات بناءً على تعليمات الشركة الموثقة فقط. وتُعد هذه الاتفاقية واتفاقية الاشتراك وإعدادات الشركة في اللوحة تعليماتٍ لها. وإذا رأى TransferRunner أن أي تعليمات مخالفة للقانون، فإنه يُبلغ الشركة بذلك فورًا.
- التأكد من التزام الموظفين الذين يمكنهم الوصول إلى البيانات بالسرية.
- اتخاذ التدابير الأمنية التقنية والتنظيمية الواردة في الملحق 1 والمحافظة على تحديثها.
- مساعدة الشركة، من خلال أدوات اللوحة وفي حدود معقولة، في الرد على طلبات أصحاب البيانات (كطلبات الوصول أو التصحيح أو الحذف)، وإحالة أي طلب يتلقاه مباشرةً دون تأخير.
- إبلاغ الشركة دون تأخير غير مبرر، وفي موعد لا يتجاوز 48 ساعة من علمه به، بأي خرق للبيانات الشخصية، مع التفاصيل المعروفة في حينه، ومساعدة الشركة في إخطار السلطة الرقابية، مثل ICO أو إحدى سلطات الاتحاد الأوروبي أو مجلس حماية البيانات الشخصية التركي.
- تقديم المعلومات المعقولة حيثما يلزم إجراء تقييم لأثر حماية البيانات أو استشارة مسبقة مع إحدى السلطات.
- تقديم المعلومات اللازمة لإثبات الامتثال لهذه الاتفاقية، والسماح بتدقيق واحد معقول في السنة، يُعلن عنه قبل 30 يومًا على الأقل ويُجرى دون تعطيل سير العمل.
4. المعالجون الفرعيون
تمنح الشركة TransferRunner تفويضًا عامًا بالاستعانة بمعالجين فرعيين من الأنواع المبينة أدناه. ويُبرم TransferRunner معهم اتفاقيات مكتوبة توفر للبيانات حمايةً لا تقل عن الحماية المقررة في هذه الاتفاقية، ويظل مسؤولًا أمام الشركة عن المعالجة التي يجرونها. ويُعلن عن أي معالج فرعي جديد في اللوحة قبل 30 يومًا على الأقل من إضافته؛ ويجوز للشركة الاعتراض لأسباب معقولة، وإذا تعذرت تسوية الاعتراض، يجوز لها إنهاء اشتراكها مع رد المبالغ على النحو المبين في اتفاقية الاشتراك.
- استضافة الخوادم والنسخ الاحتياطي
- إرسال البريد الإلكتروني
- المراسلة عبر الرسائل النصية القصيرة وWhatsApp (مثل Meta WhatsApp Business)
- الخرائط واقتراحات العناوين (Google Maps)
- مزود معلومات الرحلات الجوية (رقم الرحلة والتاريخ فقط)
لا يُعد مزود خدمة الدفع الذي تربطه الشركة بحسابها الخاص (مثل Stripe أو iyzico)، ولا وسوم القياس والإعلان التي تضيفها الشركة إلى موقعها الخاص (مثل Google أو Meta)، من المعالجين الفرعيين لـTransferRunner. وتقوم العلاقة مع تلك الخدمات مباشرةً بين الشركة والمزود.
5. عمليات النقل الدولي
- الشركات في تركيا: يُعد إرسال البيانات إلى TransferRunner في المملكة المتحدة نقلًا إلى الخارج بموجب المادة 9 من KVKK. ولأغراض هذا النقل، يوقّع الطرفان دون تعديل العقد النموذجي "من المتحكم في البيانات إلى معالج البيانات" الصادر عن مجلس حماية البيانات الشخصية التركي، وتُخطر الشركة المجلس خلال 5 أيام عمل من تاريخ التوقيع. ويقدم TransferRunner المعلومات والمستندات اللازمة لتوقيعه.
- الشركات في المنطقة الاقتصادية الأوروبية: يستند النقل إلى قرار الكفاية الصادر عن المفوضية الأوروبية بشأن المملكة المتحدة. وفي حال انتهاء ذلك القرار، يستخدم الطرفان البنود التعاقدية النموذجية بموجب المادة 46 من GDPR.
- الشركات في أماكن أخرى: حيثما يشترط قانون حماية البيانات الساري على الشركة ضمانةً محددةً لعمليات النقل إلى المملكة المتحدة، يتخذ الطرفان تلك الضمانة، ويقدم TransferRunner المعلومات اللازمة.
- المعالجون الفرعيون: بالنسبة إلى المعالجين الفرعيين الذين يعالجون البيانات خارج المملكة المتحدة أو المنطقة الاقتصادية الأوروبية أو تركيا، تُستخدم ضمانات مثل قرارات الكفاية، أو اتفاقية نقل البيانات الدولية في المملكة المتحدة (IDTA)، أو البنود التعاقدية النموذجية للاتحاد الأوروبي.
6. التزامات الشركة
- أن يكون لديها أساس قانوني صحيح لمعالجة البيانات، وأن تُبلغ أصحاب البيانات. ويوفر TransferRunner نصوصًا جاهزة لموقع الحجز؛ وتتحمل الشركة المسؤولية عن التحقق من ملاءمتها لنشاطها واستكمالها على النحو الصحيح.
- التسجيل لدى السلطة المختصة حيثما يُشترط ذلك (مثل VERBİS في تركيا أو رسوم ICO في المملكة المتحدة).
- إعطاء TransferRunner تعليمات مشروعة فقط، وإدارة صلاحيات وصول مستخدمي اللوحة على النحو الصحيح.
7. السرية
لا يُفصح TransferRunner عن البيانات لأطراف ثالثة. ولا ينقل البيانات إلا إلى المعالجين الفرعيين وفقًا لهذه الاتفاقية، أو إلى السلطات المختصة حيثما يوجب القانون ذلك، ويُبلغ الشركة بأي طلب من هذا القبيل حيثما يسمح القانون.
8. انتهاء المعالجة وإعادة البيانات وحذفها
عند انتهاء اتفاقية الاشتراك، يجوز للشركة تصدير بياناتها من اللوحة خلال 30 يومًا. وفي نهاية تلك المدة يحذف TransferRunner البيانات من أنظمته التشغيلية؛ وتُحذف النسخ الموجودة في النسخ الاحتياطية تلقائيًا خلال 90 يومًا كحد أقصى. أما البيانات التي يجب الاحتفاظ بها قانونًا (مثل سجلات الفواتير الخاصة بـTransferRunner) فيُحتفظ بها طوال المدة المقررة.
9. المسؤولية وترتيب الأولوية
تخضع المسؤولية بموجب هذه الاتفاقية للحدود المنصوص عليها في اتفاقية الاشتراك، باستثناء المسؤولية التي لا يجوز تحديدها قانونًا. وفي المسائل المتعلقة بالبيانات الشخصية، تسود هذه الاتفاقية على اتفاقية الاشتراك في حال التعارض بينهما.
10. اللغة والقانون
حُررت هذه الاتفاقية باللغة الإنجليزية، وتُقدَّم الترجمات للتيسير؛ وفي حال وجود اختلاف في الترجمة، يسود النص الإنجليزي. ويسري القانون وتختص المحاكم المحددة في اتفاقية الاشتراك، دون المساس بأحكام قانون حماية البيانات الآمرة في بلد الشركة.
الملحق 1: التدابير الأمنية التقنية والتنظيمية
- تشفير جميع الاتصالات (HTTPS / TLS)
- تخزين كلمات المرور في صورة تجزئة أحادية الاتجاه فقط؛ وتسجيل دخول بخطوتين إلى اللوحة
- تخزين المفاتيح السرية لمزودي خدمات الدفع مشفرةً (AES-256) في قاعدة البيانات؛ وعدم تخزين بيانات البطاقات مطلقًا
- وصول قائم على الأدوار: لا يرى السائقون إلا المهام المسندة إليهم
- فصل البيانات بين الشركات: لا ترى كل شركة إلا بياناتها الخاصة
- نسخ احتياطي منتظم واختبارات استعادة
- قصر الوصول إلى الخوادم على الأشخاص المفوضين، مع سجلات للوصول
- تطبيق التحديثات الأمنية بانتظام