اتفاقية معالجة البيانات
تُبرم اتفاقية معالجة البيانات هذه (DPA) عملاً بالمادة 28 من اللائحة العامة لحماية البيانات (GDPR) وتشكل جزءاً من شروط الخدمة. وهي تنظّم معالجة ClientFlow للبيانات الشخصية نيابةً عن عملائنا.
الإصدار 2.2 | آخر تحديث: 5 أكتوبر 2026
1. الأطراف
مراقب البيانات
أنت، العميل (الجهة التي تحدد أغراض المعالجة ووسائلها)
معالج البيانات
ClientFlow (يعالج البيانات الشخصية نيابة عنك)
1.1 نطاق المعالجة
ينطبق هذا DPA على معالجة البيانات الشخصية حيث:
- يقوم ClientFlow بمعالجة البيانات الشخصية نيابة عن المتحكم كجزء من تقديم الخدمة
- تتعلق المعالجة بإدارة علاقات عملاء المتحكم
- موضوعات البيانات هم عملاء المتحكم وجهات الاتصال التجارية
- ClientFlow برنامج لإدارة الأعمال وليس نظام سجلات طبية أو نظامًا سريريًا. وحيثما يسجّل المتحكم بيانات صحية أو غيرها من فئات البيانات الخاصة عن عملائه، فإنه هو من يحدد الأساس القانوني ويحصل على أي موافقة صريحة مطلوبة، ولا يعالج ClientFlow تلك البيانات إلا وفق تعليمات المتحكم الموثقة
أنشطة المعالجة
- تخزين وتنظيم معلومات الاتصال بالعملاء
- تسجيل وتتبع معاملات الدفع
- إرسال الاتصالات المصرح بها (التذكيرات، الإشعارات)
- إنشاء التحليلات والتقارير بناءً على البيانات المجمعة
2. فئات البيانات
| الفئة | أمثلة | الغرض |
|---|---|---|
| بيانات الحساب | البريد الإلكتروني، الاسم، صورة الملف الشخصي | الوصول إلى الخدمة |
| بيانات العملاء | أسماء العملاء، الهواتف، البريد الإلكتروني | وظائف CRM |
| سجلات الدفع | المبالغ، التواريخ، الحالات | تتبع الدفع |
| بيانات الاستخدام | أوقات تسجيل الدخول، استخدام الميزات | الأمان، التحسين |
3. التزامات المعالج
سنقوم بـ:
- معالجة البيانات فقط وفقاً لتعليماتك الموثقة
- التأكد من أن الموظفين ملتزمون بالسرية
- تنفيذ تدابير أمنية مناسبة
- المساعدة في طلبات موضوع البيانات
- إخطارك بانتهاكات البيانات خلال 72 ساعة
- حذف البيانات عند الإنهاء (بعد فترة الاحتفاظ)
4. التدابير الأمنية
تقني
- TLS (أثناء النقل)
- AES-256-GCM أثناء التخزين (ملاحظات الجلسات، وسجلات النتائج، وبيانات اعتماد التكاملات، ورموز الدفع، وأسرار المصادقة الثنائية)
- مصادقة OAuth 2.0
- التحكم في الوصول المستند إلى الدور
- مراقبة وتنبيه آليان
تنظيمي
- ممارسات مكتوبة للأمن ومعالجة البيانات
- إجراء للاستجابة للحوادث
- مراجعات للموردين والمعالجين الفرعيين
- التزامات السرية لكل من لديه حق الوصول إلى البيانات
- إدارة التغيير لأنظمة الإنتاج
5. المعالجات الفرعية
نستخدم المعالجات الفرعية المصرح بها التالية:
| المزود | الخدمة | الموقع | آلية النقل |
|---|---|---|---|
| Hetzner Cloud | البنية التحتية السحابية والاستضافة | Germany | تتم المعالجة داخل الاتحاد الأوروبي/المنطقة الاقتصادية الأوروبية |
| Vercel | استضافة الواجهة الأمامية وتسليمها | Frankfurt, Germany (FRA1) | الشروط التعاقدية القياسية + إطار خصوصية البيانات بين الاتحاد الأوروبي والولايات المتحدة |
| Cloudflare | تسليم المحتوى وتخزين الملفات | Global edge network (EU primary storage) | الشروط التعاقدية القياسية + إطار خصوصية البيانات بين الاتحاد الأوروبي والولايات المتحدة |
| iyzico | معالجة المدفوعات | Istanbul, Turkey | الشروط التعاقدية القياسية (غير سارية بعد) |
| Resend | تسليم رسائل البريد الإلكتروني المعاملاتية | United States | الشروط التعاقدية القياسية |
| Sentry | مراقبة الأخطاء والتشخيص | United States | الشروط التعاقدية القياسية |
| Google (OAuth, Analytics) | تسجيل الدخول والمصادقة | United States | الشروط التعاقدية القياسية + إطار خصوصية البيانات بين الاتحاد الأوروبي والولايات المتحدة |
| Firebase Cloud Messaging | الإشعارات الفورية | United States | الشروط التعاقدية القياسية + إطار خصوصية البيانات بين الاتحاد الأوروبي والولايات المتحدة |
| Expo (push relay, OTA updates) | الإشعارات الفورية | United States | الشروط التعاقدية القياسية |
| WhatsApp Business API | المراسلة عبر WhatsApp | Ireland (contracting) + global (Meta infrastructure) | الشروط التعاقدية القياسية |
| Apple (Sign in with Apple) | تسجيل الدخول والمصادقة | United States | الشروط التعاقدية القياسية |
| Anthropic (Claude) | معالجة المساعد الذكي وروبوت المحادثة | United States | الشروط التعاقدية القياسية + إطار خصوصية البيانات بين الاتحاد الأوروبي والولايات المتحدة |
| OpenAI | معالجة المساعد الذكي وروبوت المحادثة | United States | الشروط التعاقدية القياسية + إطار خصوصية البيانات بين الاتحاد الأوروبي والولايات المتحدة |
| Groq | معالجة المساعد الذكي وروبوت المحادثة | United States | الشروط التعاقدية القياسية (غير سارية بعد) |
| Meta (Facebook Login) | تسجيل الدخول والمصادقة | Ireland (EEA controller) + global (Meta infrastructure) | الشروط التعاقدية القياسية (غير سارية بعد) |
| Google (reCAPTCHA) | الحماية من الروبوتات وإساءة الاستخدام | United States | الشروط التعاقدية القياسية (غير سارية بعد) |
| Google (Gmail, customer-connected) | تسليم رسائل البريد الإلكتروني المعاملاتية | United States | الشروط التعاقدية القياسية (غير سارية بعد) |
| Google (Calendar sync, customer-connected) | مزامنة التقويم | United States | الشروط التعاقدية القياسية (غير سارية بعد) |
| Microsoft (Outlook mail, customer-connected) | تسليم رسائل البريد الإلكتروني المعاملاتية | United States | الشروط التعاقدية القياسية (غير سارية بعد) |
| Apple (iCloud Mail, customer-connected) | تسليم رسائل البريد الإلكتروني المعاملاتية | United States | الشروط التعاقدية القياسية (غير سارية بعد) |
| Apple (iCloud Calendar, customer-connected) | مزامنة التقويم | United States | الشروط التعاقدية القياسية (غير سارية بعد) |
| Yahoo (Yahoo Mail, customer-connected) | تسليم رسائل البريد الإلكتروني المعاملاتية | United States | الشروط التعاقدية القياسية (غير سارية بعد) |
| OpenStreetMap (map tiles, address search) | عرض الخرائط والبحث عن العناوين | United Kingdom and Netherlands (tile requests: global CDN) | الشروط التعاقدية القياسية (غير سارية بعد) |
| CARTO (dark-theme map tiles) | عرض الخرائط والبحث عن العناوين | United States | الشروط التعاقدية القياسية (غير سارية بعد) |
تغييرات المعالجات الفرعية
سنخطرك بأي تغييرات مزمعة على المعالجات الفرعية:
- إشعار مسبق لا يقل عن 14 يومًا قبل إضافة معالجات فرعية أو استبدالها
- يصلك الإشعار عبر البريد الإلكتروني على عنوان البريد المسجّل لحسابك
- يمكنك الاعتراض على التغييرات خلال 14 يومًا بالتواصل معنا
- إذا تعذر حل اعتراضك، يمكنك إنهاء الخدمات المتأثرة
7. حقوق التدقيق
للمتحكم الحق في التحقق من الامتثال لهذا DPA:
- طلب الوثائق والشهادات ذات الصلة
- إجراء عمليات تدقيق بإشعار كتابي مسبق لا يقل عن 30 يومًا
- تُجرى عمليات التدقيق خلال ساعات العمل العادية
- يجب على المدقق التوقيع على اتفاقية سرية
نطاق التدقيق
- تدابير الأمان والضمانات التقنية
- امتثال المعالجات الفرعية
- إجراءات التعامل مع البيانات
- قدرات الاستجابة للحوادث
يتحمل المتحكم تكاليف التدقيق ما لم يكشف التدقيق عن عدم امتثال جوهري.
6. الاحتفاظ بالبيانات والحذف
نحتفظ بالبيانات الشخصية فقط طوال المدة اللازمة للأغراض الموضحة، أو طوال المدة التي يقتضيها قانون الضرائب والقانون التجاري المعمول بهما.
| الجدول الزمني | الإجراء |
|---|---|
| عند طلب حذف الحساب | تُمحى بيانات العملاء نهائيًا مع حسابك: في غضون يوم من انقضاء مهلة السماح البالغة 30 يومًا التي تلي طلب حذف مُقدَّمًا على موقعنا الإلكتروني (يمكنك إلغاؤه حتى انتهاء المهلة)، أو خلال 3 أيام عند حذف الحساب في تطبيق iOS. أما الفواتير والإيصالات وعروض الأسعار التي تصدرها لعملائك فهي سجلاتك أنت، وتُحذف مع حسابك وفق الجدول الزمني نفسه. |
| بعد محو الحساب | يُحتفظ بسجلات ClientFlow المحاسبية الخاصة باشتراكك (فواتيرنا الصادرة إليك) بصيغة مجهولة الهوية (بلا بيانات شخصية) طوال المدة التي يقتضيها قانون الضرائب والقانون التجاري على الأقل. |
| عند الإنهاء | عند حذف حسابك، تُمحى البيانات الشخصية خلال 31 يومًا (وخلال 3 أيام في تطبيق iOS)، باستثناء السجلات التي يلزمنا الاحتفاظ بها (مثل سجلات التدقيق وسجلات الفوترة مجهولة الهوية)؛ وتُدوَّر النسخ الاحتياطية المشفرة خلال 90 يومًا. ولا يؤدي إلغاء الاشتراك إلى حذف البيانات |
7. أحكام CCPA
بموجب CCPA، نعمل كـ "مزود خدمة" و:
- نعالج البيانات فقط لأغراض تجارية محددة
- لا نبيع المعلومات الشخصية
- نساعد في طلبات حقوق المستهلك
- نطبق تدابير أمنية معقولة
8. إجراء الإخطار بانتهاك البيانات
في حال حدوث انتهاك للبيانات الشخصية، نلتزم بما يلي:
جدول الإخطار
- إخطارك في غضون 72 ساعة من علمنا بوقوع الانتهاك
- تقديم تقييم أولي لنطاق الانتهاك وأثره
- تسليم إخطار كتابي مفصّل في غضون 5 أيام عمل
محتوى الإخطار
- طبيعة الانتهاك، بما في ذلك فئات أصحاب البيانات المتأثرين وعددهم التقريبي
- تفاصيل الاتصال الخاصة بالخصوصية للأسئلة اللاحقة
- وصف العواقب المحتملة للانتهاك
- الإجراءات المتَّخذة أو المقترحة لمعالجة الانتهاك
- الإجراءات للتخفيف من الآثار السلبية المحتملة
سنتعاون معك تعاونًا كاملًا في تحقيقك وفي أي استفسارات رقابية، وسنساعد في إخطار السلطات الإشرافية والأفراد المتضررين بالانتهاك وفق ما يقتضيه القانون المعمول به.
9. عمليات النقل الدولية للبيانات
عندما تُنقل البيانات الشخصية خارج المنطقة الاقتصادية الأوروبية، نعتمد على الضمانة الموضحة لكل جهة مستلمة في صفحة المعالجين الفرعيين لدينا، والتي توضح أيضًا الحالات التي لم تدخل فيها الضمانة حيز النفاذ بعد:
آليات النقل
قرارات الكفاءة
للدول المعترف بها من قبل المفوضية الأوروبية
إطار خصوصية البيانات
للمعالجات الفرعية في الولايات المتحدة المعتمدة بموجب إطار خصوصية البيانات
البنود التعاقدية القياسية
البنود المعتمدة من المفوضية الأوروبية (إصدار 2021) لعمليات النقل الأخرى
نجري تقييمات لأثر النقل عند اللزوم، ونطبّق تدابير تكميلية (تقنية وتنظيمية وتعاقدية) عند الضرورة لضمان مستوى حماية مكافئ في جوهره.
يمكنك طلب نسخة من ضمانات النقل عن طريق الاتصال بنا.
10. المسؤولية والتعويض
مسؤولية المعالج
سيكون ClientFlow مسؤولاً عن الأضرار الناجمة عن المعالجة التي لا تتوافق مع ملحق DPA هذا أو عندما نتصرف خارج نطاق التعليمات القانونية الصادرة عن المتحكم أو تتعارض معها.
مسؤولية المتحكم
سيكون المراقب مسؤولاً عن الأضرار الناجمة عن المعالجة التي تنتهك قانون حماية البيانات المعمول به أو لا تمتثل لالتزامات المراقب بموجب ملحق DPA هذا.
قيود المسؤولية
- لا يتحمل أي من الطرفين المسؤولية عن الأضرار غير المباشرة أو العرضية أو التبعية
- يقتصر إجمالي المسؤولية بموجب هذا DPA على الرسوم المدفوعة خلال الأشهر الـ 12 السابقة للمطالبة
- لا تسري هذه القيود على خرق السرية أو سوء السلوك المتعمد أو الإهمال الجسيم
يوافق كل طرف على تعويض الطرف الآخر عن مطالبات الغير الناشئة عن إخلال الطرف المُعوِّض بهذا DPA أو بقوانين حماية البيانات المعمول بها.
11. الإنهاء وإرجاع البيانات
مدة DPA
ويظل ملحق DPA هذا ساريًا طوال مدة اتفاقية الخدمة وطالما نقوم بمعالجة البيانات الشخصية نيابةً عنك.
عند الإنهاء
- وفق اختيارك، سنُعيد بياناتك الشخصية أو نحذفها خلال 31 يومًا، باستثناء السجلات التي يلزمنا الاحتفاظ بها (مثل سجلات التدقيق وسجلات الفوترة مجهولة الهوية)
- يمكنك طلب تصدير بياناتك بصيغة شائعة الاستخدام وقابلة للقراءة آليًا
- سنُصدر شهادة بالحذف عند الطلب
- قد يتم الاحتفاظ بالبيانات عند الاقتضاء وفقًا للقانون المعمول به
تظل الأقسام المتعلقة بالسرية والمسؤولية وحقوق حماية البيانات سارية بعد إنهاء هذا DPA.