اتفاقية معالجة البيانات (DPA)

المعالِج: Opus Growth، علامة تجارية لـ Talat KOÇ، مؤسسة فردية مسجلة في Türkiye (Gökalp Tax Office). للتواصل: support@opus-growth.com

تُعد اتفاقية معالجة البيانات هذه ("DPA") جزءًا من شروط الخدمة الخاصة بـ Opus Growth ("الاتفاقية") وتسري تلقائيًا على كل عميل يوافق عليها ("العميل"). وهي تنظم البيانات الشخصية التي تعالجها Opus Growth نيابةً عن العميل أثناء تقديم خدمة Opus Growth ("الخدمة"). لا حاجة إلى توقيع منفصل. وإذا كنت بحاجة إلى نسخة موقّعة من الطرفين لسجلاتك، فراسلنا على support@opus-growth.com.

1. التعريفات#

للمصطلحات مثل "البيانات الشخصية" و"المعالجة" و"المتحكم" و"المعالِج" و"صاحب البيانات" و"خرق البيانات الشخصية" و"سلطة الإشراف" المعاني الواردة في اللائحة (EU) 2016/679 ("GDPR"). ويقصد بـ "SCCs" البنود التعاقدية النموذجية الملحقة بقرار التنفيذ (EU) 2021/914 الصادر عن المفوضية الأوروبية.

2. الأدوار والنطاق#

• العميل هو المتحكم في البيانات الشخصية الموضحة في الملحق I، وتعالجها Opus Growth بصفتها معالِجًا. وحين يعمل العميل نفسه معالِجًا لصالح عميل له، تعمل Opus Growth معالِجًا فرعيًا للعميل، ويؤكد العميل أن عميله قد أذن بذلك.
• منصات الإعلانات والتحليلات التي يربطها العميل (مثل Google وMeta وMicrosoft وTikTok وLinkedIn وChatGPT Ads من OpenAI) ومساعد الذكاء الاصطناعي الذي يستخدم العميل الخدمة معه (مثل Claude من Anthropic أو ChatGPT من OpenAI) تقدم خدماتها للعميل بموجب اتفاقياته الخاصة معها. وهي ليست معالِجين فرعيين لدى Opus Growth. وتتبادل Opus Growth البيانات معها بناءً على تعليمات العميل فقط.
• لا تشمل اتفاقية DPA هذه البيانات التي تعالجها Opus Growth بصفتها متحكمًا مستقلًا، مثل بيانات الحساب والفوترة والدعم الخاصة بمستخدمي العميل. تخضع هذه البيانات لـ سياسة الخصوصية لدينا.

3. التعليمات#

تعالج Opus Growth البيانات الشخصية وفقًا لتعليمات العميل الموثقة فقط، بما في ذلك ما يتعلق بعمليات النقل، ما لم يقتضِ القانون المعمول به خلاف ذلك، وفي هذه الحالة تبلغ العميل قبل المعالجة ما لم يحظر القانون ذلك. وتُعد الاتفاقية واتفاقية DPA هذه واستخدام العميل للخدمة وإعداده لها، بما في ذلك الطلبات المقدمة عبر مساعد الذكاء الاصطناعي الخاص بالعميل والموافقات الممنوحة فيه، تعليمات العميل الموثقة. ولا تُطبَّق التغييرات على حسابات الإعلانات المربوطة إلا بعد أن يطّلع العميل على معاينة ويوافق على التغيير. وتبلغ Opus Growth العميل دون تأخير إذا رأت أن إحدى التعليمات تخالف GDPR أو قانونًا آخر لحماية البيانات.

4. السرية#

تضمن Opus Growth أن كل شخص تأذن له بمعالجة البيانات الشخصية ملتزم بواجب سرية مناسب، وأنه لا يصل إلى البيانات إلا بالقدر اللازم لتقديم الخدمة وتأمينها ودعمها.

5. الأمان#

تطبق Opus Growth التدابير التقنية والتنظيمية الموضحة في الملحق II. ويجوز لها تحديثها، بشرط ألا ينخفض المستوى العام للأمان.

6. المعالِجون الفرعيون#

• يمنح العميل إذنًا عامًا لـ Opus Growth بالتعاقد مع المعالِجين الفرعيين المدرجين في الملحق III.
• تحدّث Opus Growth الملحق III في هذه الصفحة وتبلغ العملاء عبر البريد الإلكتروني قبل 30 يومًا على الأقل من إضافة معالِج فرعي أو استبداله. ويجوز للعميل الاعتراض لأسباب معقولة تتعلق بحماية البيانات خلال هذه المدة. وإذا تعذر على الطرفين حل الاعتراض، يجوز للعميل إنهاء الجزء المتأثر من الخدمة واسترداد الرسوم المدفوعة مقدمًا عن المدة المتبقية بالتناسب.
• تفرض Opus Growth على كل معالِج فرعي التزامات لحماية البيانات لا تقل حماية عن الالتزامات الواردة في اتفاقية DPA هذه، وتظل مسؤولة أمام العميل عن أداء معالِجيها الفرعيين.

7. المساعدة#

• مع مراعاة طبيعة المعالجة، تساعد Opus Growth العميل بتدابير تقنية وتنظيمية مناسبة في الرد على طلبات أصحاب البيانات الذين يمارسون حقوقهم بموجب الفصل III من GDPR. وإذا تلقت Opus Growth طلبًا كهذا مباشرة، فإنها تحيله إلى العميل دون تأخير غير مبرر ولا ترد بنفسها ما لم تتلقَّ تعليمات بذلك.
• تساعد Opus Growth العميل، مع مراعاة المعلومات المتاحة لديها، في الوفاء بالتزاماته بموجب المواد 32 إلى 36 من GDPR، بما في ذلك تقييمات الأثر على حماية البيانات والاستشارات المسبقة.

8. خروقات البيانات الشخصية#

تبلغ Opus Growth العميل دون تأخير غير مبرر، وفي جميع الأحوال خلال 48 ساعة، بعد علمها بوقوع خرق للبيانات الشخصية يمس البيانات الشخصية للعميل. ويصف الإخطار، بقدر ما هو معلوم حينها، طبيعة الخرق وفئات أصحاب البيانات والسجلات المعنية وعددهم التقريبي والعواقب المحتملة والتدابير المتخذة أو المقترحة. وتقدم Opus Growth مزيدًا من المعلومات فور توفرها، وتتخذ خطوات معقولة لاحتواء الخرق ومعالجته.

9. الحذف والإعادة#

عند انتهاء الخدمة، أو قبل ذلك بناءً على طلب العميل، تحذف Opus Growth البيانات الشخصية للعميل خلال 30 يومًا، ما لم يقتضِ القانون الاحتفاظ بها. ويؤدي فصل أي منصة إلى حذف رمز الوصول المخزن لتلك المنصة فورًا. وتخرج البيانات المحذوفة من النسخ الاحتياطية المشفرة لدى Opus Growth أثناء تدويرها، خلال 12 شهرًا كحد أقصى، ولا تُستعاد منها إلا لغرض استرداد الخدمة. وقبل الحذف، يمكن للعميل تصدير البيانات المتاحة في الخدمة عبر مساعد الذكاء الاصطناعي أو لوحة التحكم.

10. المعلومات والتدقيق#

تتيح Opus Growth للعميل المعلومات اللازمة لإثبات الامتثال للمادة 28 من GDPR ولاتفاقية DPA هذه. ويوافق العميل على أن يطلب هذه المعلومات كتابةً أولًا، مثلًا عبر استبيان أمني، وتجيب عنه Opus Growth خلال مدة معقولة. وإذا لم تكن المعلومات كافية، يجوز للعميل، أو لمدقق مستقل ملتزم بالسرية، إجراء تدقيق مرة واحدة كل 12 شهرًا، أو بعد خرق للبيانات الشخصية، بإشعار مسبق لا تقل مدته عن 30 يومًا، وخلال ساعات العمل، وبطريقة لا تعطل الخدمة ولا تعرّض أمان بيانات العملاء الآخرين أو سريتها للخطر، وعلى نفقة العميل.

11. عمليات النقل الدولية#

• تستضيف Opus Growth البيانات الشخصية للعميل في الاتحاد الأوروبي، في ألمانيا وفنلندا (الملحق III).
• تتخذ Opus Growth من Türkiye مقرًا لها، لذا قد يشكل الوصول إلى البيانات الشخصية من Türkiye نقلًا إلى دولة ثالثة. وبالقدر الذي ينطبق فيه GDPR على هذا النقل، يبرم الطرفان SCCs، التي تُدمج في اتفاقية DPA هذه بالإحالة: الوحدة الثانية (من متحكم إلى معالِج)، أو الوحدة الثالثة (من معالِج إلى معالِج) حين يعمل العميل معالِجًا، على أن يكون العميل مصدِّر البيانات وOpus Growth مستورِدها.
• فيما يخص SCCs: يسري البند 7 (بند الانضمام)؛ وبموجب البند 9(أ) يسري الخيار 2 (الإذن الكتابي العام) مع مدة الإشعار البالغة 30 يومًا الواردة في القسم 6؛ ولا تسري الصيغة الاختيارية في البند 11؛ وبموجب البند 13، تكون سلطة الإشراف المختصة هي المحددة وفق الملحق I.ج؛ وبموجب البند 17، تخضع SCCs لقانون الدولة العضو في الاتحاد الأوروبي التي يقيم فيها العميل، شريطة أن يسمح ذلك القانون بحقوق المستفيدين من الغير، وإلا فلقانون أيرلندا؛ وبموجب البند 18، تُحل النزاعات أمام محاكم الدولة العضو نفسها. وتكمل الملاحق I وII وIII من اتفاقية DPA هذه الملاحق I وII وIII من SCCs.
• لا تنقل Opus Growth البيانات الشخصية إلى معالِج فرعي خارج المنطقة الاقتصادية الأوروبية إلا عند انطباق قرار كفاية أو آلية نقل أخرى بموجب الفصل V من GDPR.

12. المسؤولية والمدة والأسبقية#

• تخضع مسؤولية كل طرف بموجب اتفاقية DPA هذه لحدود المسؤولية الواردة في الاتفاقية، إلا حيث لا يسمح GDPR أو SCCs بهذه الحدود.
• تسري اتفاقية DPA هذه ما دامت Opus Growth تعالج البيانات الشخصية نيابةً عن العميل.
• في حال التعارض، تسود SCCs على اتفاقية DPA هذه، وتسود اتفاقية DPA هذه على الاتفاقية.

الملحق I: وصف المعالجة#

أ. الأطراف. مصدِّر البيانات: العميل، بصفته متحكمًا (أو معالِجًا، انظر القسم 2)، الذي يستخدم الخدمة لإدارة إعلاناته الرقمية وتحليلاته أو إعلانات عملائه وتحليلاتهم. مستورِد البيانات: Opus Growth، كما هو محدد أعلاه، بصفتها معالِجًا (أو معالِجًا فرعيًا)، التي تقدم الخدمة.

ب. وصف المعالجة.

• أصحاب البيانات: موظفو العميل الذين يستخدمون الخدمة؛ والأشخاص الذين توجد بياناتهم في حسابات الإعلانات والتحليلات التي يربطها العميل، مثل من أرسلوا نموذج عملاء محتملين ومن وردوا في قوائم عملاء رُفعت لاستهداف الجمهور أو قياس التحويلات؛ وزوار مواقع العميل حين يثبّت العميل وسم حماية النقرات من Opus Growth أو يستضيف موقعًا على Opus Growth.
• البيانات الشخصية: الأسماء وعناوين البريد الإلكتروني وأرقام الهاتف في نماذج العملاء المحتملين وقوائم العملاء، وغالبًا على شكل تجزئات أحادية الاتجاه؛ والمعرّفات عبر الإنترنت مثل معرّفات النقرات وعناوين IP ومعلومات المتصفح؛ وبيانات التحويل والتفاعل؛ وبيانات الاتصال والنماذج في المواقع التي يستضيفها العميل على Opus Growth؛ وأسماء مستخدمي العميل وعناوين بريدهم الإلكتروني.
• الفئات الخاصة من البيانات: لا يُقصد معالجة أي منها. ويجب ألا يستخدم العميل الخدمة لمعالجة فئات خاصة من البيانات الشخصية.
• التكرار: مستمر، ما دام العميل يستخدم الخدمة.
• طبيعة المعالجة: قراءة البيانات من المنصات المربوطة عندما يطلب العميل أو مساعد الذكاء الاصطناعي الخاص به ذلك؛ وتنظيمها وتلخيصها؛ وإرسالها إلى مساعد الذكاء الاصطناعي والتقارير التي يختارها العميل؛ وإجراء التغييرات في المنصات المربوطة بعد موافقة العميل عليها؛ وتخزين البيانات المحدودة الموضحة أدناه؛ واستضافة المواقع حيث يستخدم العميل AI Server.
• الغرض: تقديم الخدمة بموجب الاتفاقية.
• الاحتفاظ: تُقرأ بيانات الإعلانات والقياس من المنصة عند الطلب ولا يُحتفظ بنسخة كاملة منها. وتحتفظ Opus Growth بما تحتاجه الميزة فقط، مثل أحدث ملخصات التقارير وروابط التقارير التي يشاركها العميل والبيانات المخزنة مؤقتًا لـ Data Studio لمدة تصل إلى 30 دقيقة، وتحذفها مع الحساب. وتُحفظ سجلات حماية النقرات لمدة 90 يومًا. وتُحفظ رموز الوصول إلى أن تُفصل المنصة أو يُحذف الحساب. ويتضمن القسم 4 من سياسة الخصوصية القائمة الكاملة.
• المعالِجون الفرعيون: كما هو مدرج في الملحق III، لنفس الطبيعة والغرض والمدة.

ج. سلطة الإشراف المختصة. سلطة الإشراف في الدولة العضو بالاتحاد الأوروبي التي يقيم فيها العميل، أو سلطة الإشراف في الدولة العضو التي يقيم فيها ممثله بموجب المادة 27(1) من GDPR إذا لم يكن العميل مقيمًا في الاتحاد الأوروبي.

الملحق II: التدابير التقنية والتنظيمية#

• التشفير أثناء النقل: يستخدم كل وصول إلى الخدمة وAPI والموصل بروتوكول HTTPS مع TLS.
• التشفير أثناء التخزين: تُخزن رموز الوصول والتحديث ومفاتيح API الخاصة بالمنصات المربوطة مشفرة بتشفير متماثل موثَّق (Fernet)، مع دعم تدوير المفاتيح. وتُشفَّر النسخ الاحتياطية قبل مغادرتها الخادم.
• تقليل البيانات: تُقرأ بيانات الإعلانات عند الطلب ولا تُنسخ بالكامل؛ ولا تُخزَّن سوى الملخصات التي تحتاجها الميزة.
• الاستضافة: خوادم في مراكز بيانات Hetzner في ألمانيا، مع قاعدة بيانات احتياطية للقراءة فقط تُنسخ باستمرار ونسخ احتياطية مشفرة في فنلندا.
• التحكم في الوصول: لا يتم الوصول الإداري إلى الخوادم إلا بمفاتيح SSH من أجهزة مصرح بها، خلف جدران حماية؛ ونسخ قاعدة البيانات عبر شبكة خاصة؛ وأقل الصلاحيات للموظفين.
• مصادقة المستخدمين: تسجيل الدخول عبر Google، أو بكلمة مرور مع رمز لمرة واحدة يُرسل بالبريد الإلكتروني؛ والرموز لمرة واحدة صالحة لمدة 15 دقيقة ويمكن استخدامها مرة واحدة؛ ويمكن للمستخدمين مراجعة تطبيقات الذكاء الاصطناعي المربوطة وإلغاء ربطها من لوحة التحكم.
• ضبط التغييرات في حسابات العملاء: يُعرض كل تغيير على حساب إعلانات مربوط كمعاينة ولا يُطبَّق إلا بعد موافقة صريحة؛ وتُقيَّد تغييرات الميزانية لكل تغيير ولكل 24 ساعة؛ وتُسجَّل جميع الإجراءات في سجل نشاط يمكن للعميل مراجعته.
• عزل المواقع المستضافة: يعمل كل AI Server في حاوية معزولة خاصة به مع حدود للموارد ووصول شبكي صادر مقيّد ونظام أساسي للقراءة فقط.
• التوافر والمرونة: عمليات نشر دون توقف مع فحوصات سلامة، وقاعدة بيانات احتياطية جاهزة، ونسخ احتياطية منتظمة ومراقَبة مع اختبار الاستعادة.
• المراقبة والاستجابة للحوادث: تُسجَّل سلامة الخدمة والأخطاء مع إخفاء المحتوى الشخصي، وتُعالج خروقات البيانات الشخصية كما هو موضح في القسم 8.
• الحذف: حذف الحساب خلال 30 يومًا، وحذف الرموز فورًا عند الفصل، وتدوير النسخ الاحتياطية خلال 12 شهرًا.

الملحق III: المعالِجون الفرعيون#

• Hetzner Online GmbH (ألمانيا): الخوادم وقاعدة البيانات واستضافة المواقع وقاعدة البيانات الاحتياطية والنسخ الاحتياطية. الموقع: Falkenstein، ألمانيا وHelsinki، فنلندا. آلية النقل: غير مطلوبة، فالمعالجة داخل الاتحاد الأوروبي.
• Cloudflare, Inc. (الولايات المتحدة): توصيل الشبكة وإنهاء TLS والحماية من الهجمات للموقع ولوحة التحكم والموصل (البيانات أثناء النقل). الموقع: شبكة Cloudflare العالمية؛ يُعالج كل طلب في مركز البيانات الأقرب إلى الزائر. آلية النقل: EU-US Data Privacy Framework وSCCs.
• Google LLC / Google Ireland Limited: بريد Google Workspace الإلكتروني لرسائل الخدمة مثل روابط التقارير والإشعارات. الموقع: الاتحاد الأوروبي والولايات المتحدة. آلية النقل: EU-US Data Privacy Framework وSCCs.