اتفاقية معالجة البيانات (DPA) — الملحق 1 لشروط الاستخدام

الإصدار 1.0 — 3 نوفمبر 2026. تُبرم هذه الاتفاقية (umowa powierzenia przetwarzania danych osobowych، المادة 28 من اللائحة العامة لحماية البيانات GDPR) بين الشركة صاحبة حساب PolyMatch («العميل») و[الاسم الشخصي واللقب]، [عنوان المقر المسجَّل]، بولندا، NIP [NIP] («PolyMatch»). وتُقبل مع شروط الاستخدام من قِبل شخص مخوَّل بإلزام العميل؛ ويمكن تنزيل نسخة مؤرَّخة باسم العميل من «شركتي».

1. الموضوع والنطاق

1.1 تنظّم هذه الاتفاقية معالجة PolyMatch، لحساب العميل، للبيانات الشخصية للغير الواردة في المحتوى الذي يرفعه العميل أو يُدخله على المنصة («بيانات العميل»): بيانات الاتصال الخاصة بمقاوليه من الباطن أو زبائنه أو شركائه، والأشخاص المذكورين في مستنداته أو رسائله أو مشاريعه أو عروضه.

1.2 لا يُعدّ ما يلي من بيانات العميل، وتعالجه PolyMatch بصفتها متحكّمًا مستقلًا في البيانات، وفقًا لسياسة الخصوصية: حسابات مستخدمي العميل، وبيانات تعريف الشركة وإدراجها، والبيانات التقنية للدرجات، والمشاريع في بُعدها التقني، والعملاء المحتملون، والتطابقات، والترتيبات، والفوترة، وسجلات الأمان والنشاط، والموافقات. ويُعدّ كلٌّ من العميل وPolyMatch متحكّمًا مستقلًا في البيانات المتبادلة بين الشركات بعد الفتح.

1.3 وصف المعالجة: الطبيعة — الاستضافة، والتخزين، والعرض على العميل ومستخدميه، والنقل إلى الشركات التي يتواصل معها العميل عبر المنصة، والترجمة الآلية للرسائل، والنسخ الاحتياطي؛ الغرض — تقديم الخدمات الموصوفة في الشروط؛ المدة — مدة العقد؛ فئات أصحاب البيانات — جهات الاتصال المهنية لدى المقاولين من الباطن للعميل وزبائنه وشركائه، والأشخاص الذين يذكرهم مستخدموه؛ فئات البيانات — الهوية المهنية، والوظيفة، وبيانات الاتصال المهنية، ومحتوى الرسائل والمستندات؛ ولا يُتوقع وجود أي فئات خاصة من البيانات (المادة 9 من اللائحة العامة لحماية البيانات)، ويتعهد العميل بعدم رفع أي منها.

2. تعليمات العميل

2.1 لا تعالج PolyMatch بيانات العميل إلا بناءً على تعليمات موثَّقة من العميل. والتعليمات هي: شروط الاستخدام، وهذه الاتفاقية، والإجراءات التي يقوم بها العميل ومستخدموه في المنصة (الرفع، والمشاركة، والإرسال، والحذف).

2.2 إذا رأت PolyMatch أن تعليمات ما تخالف اللائحة العامة لحماية البيانات أو أحكامًا أخرى لحماية البيانات، فإنها تُبلغ العميل بذلك دون تأخير. ويجوز لـ PolyMatch معالجة بيانات العميل دون تعليمات متى اقتضى ذلك قانون الاتحاد أو قانون دولة عضو؛ وعندئذ تُبلغ العميل، ما لم يحظر القانون ذلك.

3. التزامات العميل

يضمن العميل أن لديه أساسًا قانونيًا لبيانات العميل، وأنه أبلغ أصحاب البيانات، وأن تعليماته مشروعة، وأنه يقتصر في بيانات العميل على ما هو ضروري. ويتولى وحده الرد على طلبات أصحاب البيانات والسلطات المتعلقة ببيانات العميل، بمساعدة PolyMatch وفقًا للمادة 6.

4. التزامات PolyMatch

4.1 السرية: يلتزم الأشخاص المخوَّلون بمعالجة بيانات العميل بالسرية بموجب عقد أو بموجب القانون؛ ويقتصر الوصول على ما هو ضروري للتشغيل والدعم.

4.2 الأمان: تطبّق PolyMatch التدابير التقنية والتنظيمية الواردة في الملحق (أ) وتكيّفها مع تطور المخاطر، دون خفض مستواها العام.

4.3 السجلات والتعاون: تمسك PolyMatch سجل فئات أنشطة المعالجة المنفَّذة لحساب العميل، وتتعاون، عند الطلب، مع السلطة الرقابية.

5. المعالجون من الباطن

5.1 يمنح العميل إذنًا عامًا لاستخدام المعالجين من الباطن المدرَجين في الملحق (ب)، الذي يستنسخ القائمة المنشورة في سياسة الخصوصية.

5.2 تُبلغ PolyMatch العميل بالبريد الإلكتروني بأي إضافة أو استبدال قبل ثلاثين يومًا على الأقل من سريانه. ويجوز للعميل الاعتراض كتابيًا، لأسباب مشروعة تتعلق بحماية البيانات، خلال تلك المهلة؛ وفي حال عدم التوصل إلى اتفاق، يجوز للعميل إنهاء العقد قبل سريان التغيير، دون غرامة.

5.3 تفرض PolyMatch على كل معالج من الباطن، بموجب عقد، التزامات بحماية البيانات معادلة لالتزاماتها، وتظل مسؤولة تجاه العميل عن تنفيذها.

6. المساعدة وحقوق أصحاب البيانات

6.1 مع مراعاة طبيعة المعالجة، تساعد PolyMatch العميل في الرد على طلبات أصحاب البيانات الذين يمارسون حقوقهم (الوصول، والتصحيح، والمحو، والتقييد، وقابلية النقل، والاعتراض). ويملك العميل، داخل المنصة، وسائل الاطلاع على بيانات العميل وتصحيحها وحذفها؛ وتتدخل PolyMatch بناءً على طلب كتابي فيما لا تتيحه المنصة، في غضون عشرة أيام عمل.

6.2 إذا تواصل صاحب بيانات مباشرةً مع PolyMatch بشأن بيانات العميل، تُحيل PolyMatch الطلب إلى العميل دون الرد عليه في الموضوع، ما لم يكن ذلك مطلوبًا قانونًا.

6.3 تساعد PolyMatch العميل، في حدود المعلومات المتاحة لها، في الامتثال لالتزاماته المتعلقة بالأمان والإخطار بالانتهاكات وتقييم الأثر (المواد من 32 إلى 36 من اللائحة العامة لحماية البيانات).

7. انتهاكات البيانات

تُخطر PolyMatch العميل بأي انتهاك للبيانات الشخصية يمسّ بيانات العميل دون تأخير غير مبرر، وفي موعد أقصاه ثمانٍ وأربعون ساعة من علمها به، بالبريد الإلكتروني الموجَّه إلى مسؤولي العميل. ويصف الإخطار طبيعة الانتهاك، وفئات أصحاب البيانات والسجلات المعنية وعددها التقريبي، والعواقب المحتملة، والتدابير المتخذة أو المقترحة، ونقطة الاتصال؛ وتُقدَّم المعلومات غير المتاحة بعدُ بمجرد توفرها.

8. عمليات النقل خارج الاتحاد الأوروبي

تُستضاف بيانات العميل في الاتحاد الأوروبي. ويستند أي نقل إلى بلد ثالث من قِبل معالج من الباطن إلى قرار كفاية أو إلى البنود التعاقدية النموذجية للمفوضية الأوروبية، مع تدابير تكميلية مناسبة؛ ويبيّن الملحق (ب) الضمانة المطبَّقة على كل معالج من الباطن.

9. التدقيق

9.1 تضع PolyMatch في متناول العميل المعلومات اللازمة لإثبات الامتثال لهذه الاتفاقية: وصف تدابير الأمان، وقائمة المعالجين من الباطن، والإجابات عن استبيان كتابي مرة واحدة في السنة.

9.2 يمكن إجراء تدقيق في الموقع، أو تدقيق من قِبل طرف ثالث مستقل، مرة واحدة في السنة، أو بعد انتهاك للبيانات، أو بناءً على طلب سلطة، بإشعار كتابي مسبق مدته ثلاثون يومًا، خلال ساعات العمل، دون تعطيل العمليات أو إتاحة الوصول إلى بيانات عملاء آخرين، وعلى نفقة العميل. وتكون النتائج سرية.

10. انتهاء المعالجة

10.1 عند انتهاء العقد، تحذف PolyMatch بيانات العميل في غضون ثلاثين يومًا، ما لم ينطبق التزام قانوني بالاحتفاظ، وفي هذه الحالة تُحفظ البيانات معزولة إلى حين انقضاء ذلك الالتزام. ويُصدّر العميل بياناته بنفسه قبل انتهاء العقد من خلال وظائف المنصة.

10.2 تظل بيانات العميل التي سبق نقلها، بناءً على تعليمات العميل، إلى شركة أخرى من خلال الفتح أو العرض أو مشاركة المستندات، لدى تلك الشركة، التي تُعدّ المتحكّم فيها. ويتعلق استمرار إدراج الدرجات بعد انتهاء العقد (المادة 12.5 من الشروط) بالبيانات التقنية وبيانات الشركة، وهي ليست من بيانات العميل.

11. المسؤولية والمدة

11.1 تخضع مسؤولية كل طرف بموجب هذه الاتفاقية للقيود الواردة في المادة 13 من شروط الاستخدام، إلا إذا نصّت الأحكام الآمرة للائحة العامة لحماية البيانات على خلاف ذلك.

11.2 تسري هذه الاتفاقية طوال مدة العقد وإلى حين حذف بيانات العميل. وتخضع للقانون البولندي؛ وفي حال التعارض مع الشروط بشأن مسألة تتعلق بالبيانات الشخصية، تسود هذه الاتفاقية.

الملحق (أ) — التدابير التقنية والتنظيمية

• استضافة البيانات والملفات في الاتحاد الأوروبي (أيرلندا)، لدى مقدّم خدمة حاصل على شهادتَي ISO 27001 وSOC 2.
• تشفير الاتصالات (TLS 1.2 أو أعلى) والبيانات المخزَّنة.
• فصل البيانات لكل شركة ولكل دور، مطبَّق على مستوى قاعدة البيانات (التحكم في الوصول على مستوى الصفوف)؛ ولا وصول مباشر من المتصفح إلى الجداول الحساسة؛ والوظائف الحساسة لا يمكن تنفيذها إلا من قِبل الخادم.
• المصادقة بكلمة مرور مُجزّأة، والحماية من كلمات المرور المخترَقة، وانتهاء الجلسة بعد 7 أيام من عدم النشاط، والتحقق من الحماية من الروبوتات عند التسجيل وتسجيل الدخول وإعادة تعيين كلمة المرور، وتحديد معدل الطلبات.
• الوصول إلى الملفات عبر روابط موقَّعة محدودة المدة؛ وسجل للمستندات المشتركة بين الشركات.
• حفظ الأسرار التقنية في خزنة مخصَّصة، وليس في الشيفرة أبدًا؛ ووصول مديري النظام بأسماء محددة ومع تسجيله.
• نسخ احتياطية مشفَّرة، ونسخة من الملفات لدى مقدّم خدمة ثانٍ؛ وإجراء للاستعادة.
• تسجيل الإجراءات والأخطاء؛ وتنبيه عند تعذّر إرسال مراسلة تعاقدية.
• التطوير مع اختبارات آلية ومراجعة وضوابط أمنية قبل كل إصدار؛ وتدقيق أمني قبل الإطلاق وبعد كل تغيير رئيسي.
• المعالجون من الباطن ملزمون باتفاقية لمعالجة البيانات؛ والتحقق من شهاداتهم وضمانات النقل الخاصة بهم.
• إجراء إدارة الانتهاكات: الكشف، والاحتواء، والتحليل، والإخطار (المادة 7)، والتدابير التصحيحية.

الملحق (ب) — المعالجون من الباطن

القائمة متاحة للعملاء في «شركتي» (المستندات التعاقدية). ويتبع أي تغيير الإجراء المنصوص عليه في المادة 5.