اتفاقية معالجة البيانات

تُبرَم هذه الاتفاقية بين العميل بصفته «جهة التحكم» والشركة بصفتها «جهة المعالجة»، وفق نظام حماية البيانات الشخصية الصادر بالمرسوم الملكي (م/19) وتاريخ 9/2/1443هـ وتعديلاته ولوائحه التنفيذية.

1. الغرض. تعالج الشركة البيانات لغرض واحد: إصدار شهادات الصلاحية وتشغيل الخدمة ودعمها. ولا تستخدمها في تدريب نماذج أو لأي غرض آخر دون موافقة مكتوبة من العميل.
2. نطاق البيانات. نصوص المستندات التي يرسلها العميل، وبصماتها التشفيرية، وبيانات الحساب (اسم المنشأة والبريد)، وسجلات الاستخدام. ويتجنب العميل إرسال بيانات شخصية حساسة ما لم تكن ضرورية.
3. التعليمات. تعالج الشركة البيانات وفق تعليمات العميل الموثقة في هذه الاتفاقية واستدعاءات الواجهة البرمجية.
4. الأمن.
   1. تشفير النصوص المخزنة بمفتاح مستقل لكل عميل (AES-256-GCM).
   2. حفظ المفتاح الرئيسي خارج قاعدة البيانات.
   3. تشفير الاتصال (TLS).
   4. عدم تخزين مفاتيح الواجهة البرمجية إلا بصمةً.
   5. عزل بيانات كل عميل عن غيره.
   6. سجل تدقيق للعمليات.
   7. كشف أي تعديل غير مأذون به في المخزن.
5. السرية. يقتصر الوصول على موظفين ملتزمين بالسرية، وفي حدود الحاجة التشغيلية.
6. مكان التخزين والنقل. تُستضاف الخدمة وتُخزَّن البيانات مشفّرةً في مركز بيانات DigitalOcean في فرانكفورت بجمهورية ألمانيا الاتحادية (الاتحاد الأوروبي)، ويديرها فريق الشركة من المملكة العربية السعودية. ويتم هذا النقل وفق نظام حماية البيانات الشخصية ولائحة نقل البيانات الشخصية خارج المملكة، مع الضمانات الواردة في البند 12. وتُشعر الشركة العميل قبل 30 يومًا بأي تغيير في موقع الاستضافة.
7. المعالجون الفرعيون. يوافق العميل على استعانة الشركة بمزوّد الاستضافة السحابية وبوابة الدفع المذكورين في الملحق. وتُشعر الشركة العميل بأي تغيير فيهم قبل 30 يومًا، وللعميل الاعتراض.
8. الإخطار بالحوادث. تُشعر الشركة العميل دون تأخير غير مبرر، وخلال 24 ساعة من العلم بأي تسريب أو وصول غير مشروع يمس بياناته. ويتضمن الإشعار ما يلزم لإخطار العميل الجهةَ المختصة وفق اللائحة التنفيذية لنظام حماية البيانات الشخصية.
9. حقوق أصحاب البيانات. تساعد الشركة العميل في الاستجابة لطلبات الوصول والتصحيح والإتلاف، ويمكن الحذف مباشرة عبر الواجهة البرمجية.
10. الحفظ والحذف. تُحفظ البيانات طوال مدة الاشتراك. وتُحذف خلال 30 يومًا من انتهائه أو من طلب العميل، ويشمل ذلك النسخ الاحتياطية عند دورتها. ويستثنى ما يلزم حفظه نظامًا، كسجلات الفوترة.
11. التدقيق. تزوّد الشركة العميل عند الطلب بما يثبت التزامها. ويستطيع العميل التحقق مستقلًا من سلامة سجله عبر الجذر الموقّع والمفتاح العام.
12. العملاء الدوليون. تبقى بيانات جميع العملاء مخزّنة داخل الاتحاد الأوروبي، ويُعدّ وصول الشركة إليها من المملكة لأغراض التشغيل والدعم نقلًا دوليًا. ولعملاء الاتحاد الأوروبي والمنطقة الاقتصادية الأوروبية تُدمج في هذه الاتفاقية البنود التعاقدية القياسية الصادرة بقرار المفوضية الأوروبية (EU) 2021/914، الوحدة الثانية (من جهة تحكم إلى جهة معالجة)، وتُعدّ المملكة العربية السعودية هي «الدولة الثالثة». ولعملاء المملكة المتحدة يُضاف ملحق النقل الدولي الصادر عن مكتب مفوض المعلومات. وعند التعارض تسود هذه البنود في ما يخص نقل البيانات.
13. الحذف الذاتي. يستطيع العميل حذف جميع مستنداته وإلغاء مفاتيحه فورًا عبر الواجهة البرمجية (DELETE /v1/account).

ملحق — المعالجون الفرعيون

تاريخ السريان: تاريخ النشر على الموقع. آخر تحديث: 2026-10-01.