تشكّل اتفاقية معالجة البيانات هذه («اتفاقية معالجة البيانات») جزءًا لا يتجزأ من الاتفاقية المبرمة بين KobiTech B.V. والعميل بشأن استخدام KobiChat. وهي تنظّم معالجة البيانات الشخصية التي يعهد العميل بمعالجتها نيابةً عنه عبر KobiChat، وفقًا للمادة 28 من اللائحة العامة لحماية البيانات. وفي حال وجود أي تعارض مع الشروط والأحكام العامة، تكون الأولوية لاتفاقية معالجة البيانات هذه فيما يتعلق بحماية البيانات.
المعالج: KobiTech B.V.، Klompenmakerstraat 24, 4871 EM Etten-Leur، غرفة التجارة (KvK) 42005593 («نحن»).
المسؤول عن المعالجة: العميل الذي يشترك في KobiChat ويربط حساب WhatsApp Business («العميل»).
1. الأدوار وموضوع المعالجة
1.1 العميل هو المسؤول عن معالجة البيانات الشخصية التي يعالجها عبر KobiChat (ولا سيما محادثات WhatsApp الخاصة بعملائه وبيانات الاتصال بهم ورسائلهم). وKobiTech هي المعالج لتلك البيانات، وتعالجها حصرًا نيابةً عن العميل.
1.2 أما بيانات الحساب والفوترة والاستخدام الخاصة بالعميل نفسه، فإن KobiTech هي نفسها المسؤول عن معالجتها؛ وتسري سياسة الخصوصية الخاصة بنا على هذه البيانات.
2. التعليمات
2.1 نعالج البيانات الشخصية حصرًا بناءً على تعليمات العميل الموثّقة، بما في ذلك الاستخدام العادي للخدمة كما هو موصوف في الاتفاقية والوثائق، ما لم يُلزمنا التزام قانوني بخلاف ذلك (وفي هذه الحالة نُخطر العميل مسبقًا، ما لم يحظر القانون ذلك).
2.2 نُبلغ العميل إذا رأينا أن تعليمةً ما تنتهك اللائحة العامة لحماية البيانات أو غيرها من قواعد حماية البيانات.
3. الطبيعة والغرض والمدة
3.1 الطبيعة والغرض: توفير صندوق الوارد المشترك لتواصل الأعمال عبر WhatsApp (إرسال الرسائل واستقبالها، وإدارة جهات الاتصال والمحادثات، وكذلك - متى فعّلها العميل - الفرز المسبق بالذكاء الاصطناعي، والرسائل الجماعية، وتكاملات التقويم ونظام إدارة العملاء). وترد تفاصيل المعالجة في الملحق A.
3.2 المدة: تسري اتفاقية معالجة البيانات هذه ما دمنا نعالج بيانات شخصية لصالح العميل، أي طوال مدة الاتفاقية.
4. السرية
يلتزم الأشخاص الذين يطّلعون على البيانات الشخصية نيابةً عنا بواجب السرية. ولا يتاح لمديري منصة KobiTech الوصول إلى محتوى محادثات العملاء في سياق الإدارة الاعتيادية.
5. الأمان
نتخذ تدابير تقنية وتنظيمية مناسبة وفقًا للمادة 32 من اللائحة العامة لحماية البيانات لتأمين البيانات الشخصية. وترد هذه التدابير في الملحق B. ونقيّمها ونحدّثها بشكل دوري.
6. المعالجون الفرعيون
6.1 يمنح العميل تفويضًا عامًا بالاستعانة بمعالجين فرعيين. وترد القائمة الحالية في الملحق C ونوردها أيضًا في سياسة الخصوصية.
6.2 نفرض على كل معالج فرعي التزامات لا تقل عن الالتزامات الواردة في اتفاقية معالجة البيانات هذه. وفي حال وجود تغيير مزمع (معالج فرعي جديد أو بديل)، نُبلغ العميل مسبقًا؛ ويجوز للعميل الاعتراض مع بيان الأسباب خلال 14 يومًا، وبعد ذلك يسعى الطرفان إلى إيجاد حل من خلال تشاور معقول.
7. مساعدة العميل
7.1 حقوق أصحاب البيانات: نقدّم للعميل مساعدة معقولة في التعامل مع الطلبات المقدمة من أصحاب البيانات (الوصول، والتصحيح، والمحو، وتقييد المعالجة، ونقل البيانات، والاعتراض). وإذا تلقينا مثل هذا الطلب مباشرةً، نُحيل صاحب البيانات إلى العميل.
7.2 تقييم الأثر (DPIA) والتشاور: نقدّم مساعدة معقولة في إجراء تقييم الأثر على حماية البيانات (DPIA) وفي التشاور المسبق مع السلطة الرقابية، بقدر ما يتعلق ذلك بالمعالجة التي نقوم بها.
8. خروقات البيانات
نُبلغ العميل دون تأخير غير مبرر - وحيثما أمكن خلال 48 ساعة - بعد علمنا بأي خرق للبيانات الشخصية يمس بيانات العميل، مع تقديم المعلومات المشار إليها في المادة 33 من اللائحة العامة لحماية البيانات بقدر ما تكون معروفة لنا. ويظل العميل مسؤولًا عن أي إخطار للسلطة الرقابية و/أو لأصحاب البيانات.
9. الإعادة والحذف
بعد انتهاء الاتفاقية، نقوم، وفقًا لاختيار العميل، بحذف البيانات الشخصية أو إعادتها (تصديرها)، ونمحو النسخ الموجودة خلال مدة معقولة، ما لم تستلزم التزامات الاحتفاظ القانونية (مثل التزام الاحتفاظ الضريبي ببيانات الفوترة) الاحتفاظ بها لمدة أطول. وبالإضافة إلى ذلك، يمكن للعميل في أي وقت أن يصدّر المحادثات وجهات الاتصال بنفسه، أو أن يطلب حذفها.
10. عمليات التدقيق
نضع في متناول العميل المعلومات اللازمة لإثبات الامتثال للمادة 28 من اللائحة العامة لحماية البيانات، ونتيح إجراء عمليات التدقيق. وتُجرى عمليات التدقيق مرة واحدة في السنة كحد أقصى، بعد إشعار مسبق معقول، وخلال ساعات العمل ودون تعطيل غير ضروري لسير العمل؛ ويتحمّل العميل تكاليفه الخاصة بعمليات التدقيق هذه.
11. عمليات النقل خارج المنطقة الاقتصادية الأوروبية
تتم المعالجة داخل المنطقة الاقتصادية الأوروبية، إلا إذا كان معالج فرعي (انظر الملحق C) يعالج البيانات خارج المنطقة الاقتصادية الأوروبية. وفي هذه الحالة، نستند في النقل إلى آلية مناسبة، مثل البنود التعاقدية القياسية للاتحاد الأوروبي (SCC) أو إطار خصوصية البيانات بين الاتحاد الأوروبي والولايات المتحدة.
الملحق A - تفاصيل المعالجة
| موضوع المعالجة | توفير صندوق الوارد المشترك من KobiChat لتواصل الأعمال عبر WhatsApp. |
|---|---|
| طبيعة المعالجة | جمع الرسائل وبيانات الاتصال وتخزينها والاطلاع عليها وإرسالها واستقبالها وتنظيمها، وكذلك - عند الطلب - محوها. |
| الغرض | التواصل مع العملاء عبر WhatsApp، والفرز المسبق للعملاء المحتملين (بالذكاء الاصطناعي، اختياري)، والرسائل الجماعية، وتكامل التقويم ونظام إدارة العملاء (اختياري). |
| فئات أصحاب البيانات | عملاء العميل (النهائيون) وجهات الاتصال الذين يتواصلون مع العميل عبر WhatsApp؛ وموظفو العميل. |
| أنواع البيانات الشخصية | الاسم، ورقم الهاتف، ومحتوى الرسائل، وأي وسائط/مرفقات، والسمات والملاحظات التي يسجلها العميل، وعنوان البريد الإلكتروني (إن قُدِّم). |
| الفئات الخاصة | غير مقصودة. ويجب على العميل منع معالجة الفئات الخاصة من البيانات الشخصية دون داعٍ عبر WhatsApp. |
| المدة | طوال مدة الاتفاقية؛ وبعد ذلك وفقًا للبند 9. |
الملحق B - تدابير الأمان
- اتصالات مشفّرة (TLS/HTTPS) لكل حركة البيانات.
- تخزين كلمات المرور على هيئة تجزئة قوية (bcrypt)؛ ومصادقة ثنائية العامل اختيارية (TOTP).
- فصل منطقي بين بيئات العملاء (عزل متعدد المستأجرين على كل مسار للبيانات).
- خطافات ويب (webhooks) موقّعة/موثّقة (HMAC) لحركة WhatsApp الواردة.
- وصول قائم على الأدوار داخل البيئة (المالك/المسؤول/عضو الفريق/قراءة فقط).
- استضافة داخل الاتحاد الأوروبي (Microsoft Azure، غرب أوروبا)؛ ونسخ احتياطية يومية.
- وصول محدود وقابل للتتبع؛ وإدارة المنصة دون وصول إلى محتوى المحادثات أثناء الإدارة الاعتيادية.
- إجراءات لاكتشاف خروقات البيانات ومعالجتها والإبلاغ عنها.
الملحق C - المعالجون الفرعيون
| المعالج الفرعي | الدعم | الموقع |
|---|---|---|
| Meta Platforms Ireland Ltd. | منصة WhatsApp Business | الاتحاد الأوروبي/الولايات المتحدة (SCC/DPF) |
| Microsoft Azure | الاستضافة وقاعدة البيانات | الاتحاد الأوروبي (غرب أوروبا) |
| Mollie B.V. | معالجة المدفوعات | الاتحاد الأوروبي (هولندا) |
| Apple Inc. | الإشعارات الفورية (APNs) | الولايات المتحدة (DPF) |
| Anthropic / OpenAI (اختياري) | ردود الذكاء الاصطناعي (بمفتاح العميل الخاص به) | الولايات المتحدة (SCC/DPF) |
| Google Ireland Ltd. (اختياري) | تكامل التقويم | الاتحاد الأوروبي/الولايات المتحدة (DPF) |
| Teamleader NV (اختياري) | ربط نظام إدارة العملاء | الاتحاد الأوروبي (بلجيكا) |
| مزوّد البريد الإلكتروني (SMTP) | رسائل البريد الإلكتروني للنظام/التذكير | الاتحاد الأوروبي |