اتفاقية معالجة البيانات

1. التعريفات

• "صاحب البيانات" — مشغّل المنشأة الذي يحدّد أغراض ووسائل معالجة البيانات الشخصية للعملاء والموظفين عبر المنصّة.
• "المعالج" — Alkfo، الذي يعالج البيانات الشخصية نيابةً عن صاحب البيانات وبناءً على تعليماته.
• "البيانات الشخصية" — أي معلومة تتعلق بشخص طبيعي محدّد أو قابل للتحديد تُعالَج عبر المنصّة.
• "صاحب البيانات الشخصية" — الشخص الطبيعي الذي تتعلق به البيانات (العملاء وموظفو المنشأة).
• "PDPL" — نظام حماية البيانات الشخصية في المملكة (المرسوم الملكي م/19 لعام 1443هـ) ولوائحه التنفيذية.

2. الموضوع وطبيعة المعالجة

تعالج Alkfo البيانات الشخصية فقط لغرض تقديم خدمات المنصّة الموصوفة في شروط الاستخدام، شاملة:

• استقبال طلبات العملاء وتوجيهها وتخزينها.
• معالجة المدفوعات وإصدار فواتير إلكترونية متوافقة مع زاتكا.
• تقديم التحليلات والتقارير التشغيلية لصاحب البيانات.
• تقديم الدعم الفني بناءً على طلب صاحب البيانات.

3. أنواع البيانات الشخصية وأصحابها

لا تُعالج أي بيانات من فئة خاصة (صحية، حيوية، إلخ) عبر المنصّة. ولا يجوز لصاحب البيانات رفع مثل هذه البيانات دون موافقة خطية مسبقة من Alkfo.

4. التزامات صاحب البيانات

يضمن صاحب البيانات ويتعهد بأنه:

• يملك سنداً قانونياً بموجب PDPL (أو غيره من الأنظمة) لكل نشاط معالجة عبر المنصّة.
• زوّد أصحاب البيانات بإشعارات خصوصية كافية تصف استخدام المنصّة.
• ستكون تعليماته للمعالج متوافقة دائماً مع النظام المعمول به.
• سيُخطر المعالج فوراً بأي طلب يتعلق بحقوق صاحب البيانات الشخصية ويستدعي إجراءً على بيانات لدى المعالج.

5. التزامات المعالج

تلتزم Alkfo بـ:

• معالجة البيانات الشخصية فقط بناءً على تعليمات موثّقة من صاحب البيانات وليس لأي غرض آخر، ما لم يقتضِ النظام ذلك.
• ضمان التزام الموظفين الذين لديهم وصول للبيانات الشخصية بالسرّية المناسبة.
• تطبيق وصيانة إجراءات أمنية تقنية وتنظيمية مناسبة (انظر القسم 6).
• مساعدة صاحب البيانات في الوفاء بالتزاماته المتعلقة بحقوق أصحاب البيانات (الوصول، التصحيح، الحذف) إلى الحدّ الممكن تقنياً.
• إخطار صاحب البيانات خلال 72 ساعة من علمه بأي اختراق للبيانات الشخصية يؤثّر على بياناته.
• عند إنهاء الشروط، حذف أو إعادة كل البيانات الشخصية لصاحب البيانات خلال 30 يوماً (تُحدَّد السجلات المالية المُحتفظ بها بموجب زاتكا بشكل منفصل).

6. الإجراءات الأمنية

تطبّق Alkfo الإجراءات التالية، ويجوز تحديثها لمواكبة تطور التقنية:

• تشفير البيانات الشخصية أثناء النقل (TLS 1.2+) وفي الحفظ (AES-256).
• ضوابط وصول حسب الدور وفق مبدأ أقل الصلاحيات.
• مصادقة متعدّدة العوامل لموظفي المعالج المخوّلين بأنظمة الإنتاج.
• تقييمات ثغرات واختبارات اختراق دورية.
• تسجيل تدقيق شامل لعمليات الوصول إلى البيانات الشخصية.
• إجراءات استمرارية الأعمال والتعافي من الكوارث.

7. المعالجون الفرعيون

يمنح صاحب البيانات تفويضاً عاماً لـ Alkfo للاستعانة بمعالجين فرعيين. وتشمل الفئات الحالية:

• مزوّدو البنية السحابية والاستضافة.
• مزوّدو خدمات معالجة المدفوعات.
• مزوّدو البريد الإلكتروني والرسائل النصية للمعاملات.
• خدمات مراقبة الأخطاء والسجلات.

نفرض على المعالجين الفرعيين التزامات حماية بيانات مكافئة لما في هذه الاتفاقية. وسنُخطر صاحب البيانات بأي إضافة أو استبدال لمعالج فرعي قبل 14 يوماً على الأقل، يحقّ له خلالها الاعتراض لأسباب معقولة.

8. النقل الدولي

حيث تُنقل البيانات الشخصية خارج المملكة العربية السعودية بواسطة معالج فرعي، تضمن Alkfo وجود ضمانات مناسبة وفقاً لـ PDPL، شاملة بنوداً تعاقدية توفّر حماية مكافئة.

9. حقوق التدقيق

يجوز لصاحب البيانات، بإشعار مدته 30 يوماً وبما لا يتجاوز مرة واحدة سنوياً، طلب ملخّص لتقارير التدقيق أو الشهادات للتحقّق من الالتزام بهذه الاتفاقية. وتُرتَّب عمليات التدقيق الموقعي بالاتفاق وتخضع لتقاسم تكاليف معقول.

10. المدّة

تظل هذه الاتفاقية سارية طوال مدة شروط الاستخدام وتنتهي تلقائياً بانتهائها، مع مراعاة أي التزامات احتفاظ تستمر بعد الإنهاء.

11. القانون الحاكم

تخضع هذه الاتفاقية لأنظمة المملكة العربية السعودية، اتساقاً مع شروط الاستخدام.

12. التواصل

للاستفسارات بشأن حماية البيانات، يرجى التواصل عبر:
support@alkfo.com