اتفاقية معالجة بيانات شخصية

نموذج استرشادي وفق قانون حماية البيانات الشخصية المصري رقم 151 لسنة 2020 ولائحته التنفيذية

حُرِّرت هذه الاتفاقية في يوم [التاريخ] بين كل من:

1. [اسم الشركة]، سجل تجاري رقم [رقم السجل]، ومقرها [العنوان]، ويمثلها [اسم الممثل وصفته] — ويُشار إليها فيما بعد بـ«المتحكم».
2. [اسم المورّد]، سجل تجاري رقم [رقم السجل]، ومقرها [العنوان]، ويمثلها [اسم الممثل وصفته] — ويُشار إليها فيما بعد بـ«المعالج».

تمهيد

لمّا كان المتحكم قد تعاقد مع المعالج على [وصف الخدمة] بموجب [العقد الأصلي وتاريخه]، وكان تنفيذ هذه الخدمة يقتضي أن يعالج المعالج بيانات شخصية نيابة عن المتحكم؛ فقد اتفق الطرفان على تنظيم هذه المعالجة وفق البنود الآتية، وتُعد هذه الاتفاقية مكمّلة للعقد الأصلي وجزءًا لا يتجزأ منه.

1. التعريفات

تُفهم المصطلحات الواردة هنا (البيانات الشخصية، البيانات الحساسة، المعالجة، المتحكم، المعالج، صاحب البيانات، المركز) بالمعاني المحددة لها في قانون حماية البيانات الشخصية رقم 151 لسنة 2020 ولائحته التنفيذية. وعند تعارض هذه الاتفاقية مع العقد الأصلي فيما يخص البيانات الشخصية، يسري نصّ هذه الاتفاقية.

2. موضوع المعالجة وتفاصيلها

3. التزامات المعالج

1. أن يعالج البيانات الشخصية وفق تعليمات المتحكم الموثّقة فقط، وألا يستخدمها لأي غرض خاص به، وألا يبيعها أو يفصح عنها لغير من تجيز هذه الاتفاقية الإفصاح لهم.
2. أن يخطر المتحكم كتابةً إذا رأى أن تعليمة من تعليماته تخالف القانون، وأن يتوقف عن تنفيذها حتى يُحسم الأمر.
3. أن يقصر الوصول إلى البيانات على من يحتاجه لأداء عمله من العاملين لديه، وأن يلزمهم بالسرية بالتزام مكتوب يبقى ساريًا بعد انتهاء علاقتهم به.
4. أن يطبّق إجراءات الأمان الفنية والتنظيمية الموضحة في الملحق (1)، وألا يخفّضها طوال سريان الاتفاقية.
5. أن يساعد المتحكم بالقدر المعقول في الاستجابة لطلبات أصحاب البيانات (الاطلاع والتصحيح والحذف والاعتراض وسحب الموافقة)، وفي الوفاء بالتزاماته تجاه المركز.
6. أن يحوّل إلى المتحكم أي طلب يصله مباشرةً من صاحب بيانات دون أن يرد عليه من تلقاء نفسه.
7. أن يخطر المتحكم بأي طلب يصله من جهة رسمية للاطلاع على البيانات، ما لم يمنعه القانون من الإخطار.
8. أن يحتفظ بسجل لأنشطة المعالجة التي يجريها لحساب المتحكم، وأن يتيحه له عند الطلب.
9. أن يحصل على ما يلزم دوره من تراخيص وتصاريح وفق القانون.

4. التزامات المتحكم

1. أن يتأكد من وجود أساس قانوني لجمع البيانات ومعالجتها، بما في ذلك الحصول على موافقات أصحابها متى لزمت.
2. أن تكون تعليماته للمعالج متوافقة مع القانون، وأن يصدرها بشكل موثّق.
3. أن ينشر سياسة خصوصية واضحة، وأن يحصل على التراخيص اللازمة لنشاطه من المركز.
4. أن يخطر المعالج بأي طبيعة خاصة للبيانات (بيانات حساسة أو بيانات أطفال) قبل تسليمها، لاتخاذ ما يلزم من إجراءات إضافية.

5. المعالجون الفرعيون

1. لا يجوز للمعالج الاستعانة بمعالج فرعي إلا بموافقة المتحكم. ويوافق المتحكم على المعالجين الفرعيين المذكورين في الملحق (2).
2. يلتزم المعالج بأن يفرض على كل معالج فرعي التزامات حماية لا تقل عن الواردة هنا، ويبقى مسؤولًا تجاه المتحكم عن أعماله مسؤوليته عن أعماله هو.
3. يخطر المعالج المتحكم بأي معالج فرعي جديد قبل الاستعانة به بـ [15] يومًا على الأقل، وللمتحكم الاعتراض لأسباب معقولة؛ فإن تعذّر الاتفاق جاز له إنهاء الخدمة المتأثرة دون غرامة واسترداد المدفوع عن المدة غير المستهلكة.

6. مكان المعالجة والنقل خارج مصر

1. تُعالَج البيانات وتُخزَّن داخل جمهورية مصر العربية، بما في ذلك النسخ الاحتياطية.
2. لا يجوز نقل البيانات أو إتاحة الاطلاع عليها خارج مصر إلا بموافقة مكتوبة مسبقة من المتحكم، وبعد استيفاء ما يتطلبه القانون من تصاريح وضوابط حماية.
3. يخطر المعالج المتحكم فورًا بأي تغيير في مكان المعالجة.

(لو المعالجة فعلًا خارج مصر، عدّل البند ده ليعكس الواقع، واذكر الدولة والأساس القانوني للنقل والتصريح — ولا تتركه كما هو.)

7. اختراق البيانات

1. يخطر المعالج المتحكم بأي اختراق يمسّ بياناته دون تأخير، وخلال [48] ساعة على الأكثر من علمه به، ليتمكن المتحكم من الوفاء بالتزامه تجاه المركز في المواعيد المقررة.
2. يتضمن الإخطار ما هو متاح من: طبيعة الاختراق، والبيانات والفئات المتأثرة، والآثار المتوقعة، والإجراءات المتخذة لاحتوائه والحد من آثاره.
3. يتعاون المعالج مع المتحكم في التحقيق وفي إخطار المركز وأصحاب البيانات عند اللزوم، ويحتفظ بسجل للحوادث.

8. المراجعة والتدقيق

1. يوفّر المعالج للمتحكم عند الطلب المعلومات اللازمة لإثبات التزامه بهذه الاتفاقية.
2. يجوز للمتحكم إجراء تدقيق [مرة واحدة سنويًا] بإخطار مسبق مدته [30] يومًا، بما لا يمسّ بيانات عملاء آخرين للمعالج ولا أمن منظومته، ويجوز تدقيق إضافي بعد أي اختراق جوهري أو بطلب من المركز.

9. انتهاء العلاقة وحذف البيانات

1. يلتزم المعالج بتمكين المتحكم من استخراج نسخة من بياناته بصيغة قابلة للقراءة قبل انتهاء الخدمة.
2. يحذف المعالج البيانات خلال [30] يومًا من انتهاء العلاقة، ومن النسخ الاحتياطية خلال [60] يومًا، ويقدّم إقرارًا كتابيًا بالحذف عند الطلب.
3. يُستثنى من ذلك ما يُلزم القانون بالاحتفاظ به، وتستمر عليه التزامات الحماية والسرية حتى حذفه.

10. السرية والمسؤولية والقانون الحاكم

1. تُعد البيانات الشخصية معلومات سرية، ويستمر التزام السرية بعد انتهاء العقد الأصلي.
2. يلتزم كل طرف بتعويض الآخر عما يصيبه من ضرر مباشر نتيجة إخلاله بالتزاماته الواردة هنا، وفق ما يتفق عليه الطرفان في العقد الأصلي من حدود للمسؤولية وبما يسمح به القانون.
3. تخضع هذه الاتفاقية للقانون المصري، وتختص محاكم [المدينة] بنظر أي نزاع ينشأ عنها.
4. حُرِّرت من نسختين بيد كل طرف نسخة للعمل بموجبها.

الملحق (1): إجراءات الأمان

الملحق (2): المعالجون الفرعيون المعتمدون

نموذج استرشادي من استضافة مصر — egyhosting.com — لا يُغني عن المراجعة القانونية.