اتفاقية معالجة البيانات | Data Processing Agreement

1. الأطراف والنطاق

هذه الاتفاقية بين:

• العميل ("المتحكم")، صاحب الحساب الذي يحدد أغراض المعالجة ووسائلها.
• شركة EgyHosting for Information Technology Services، سجل تجاري رقم 208919 ("المعالج")، التي تعالج البيانات نيابة عن العميل.

وتُفهم المصطلحات (البيانات الشخصية، المعالجة، المتحكم، المعالج، المركز) بالمعاني الواردة في قانون حماية البيانات الشخصية رقم 151 لسنة 2020 ولائحته التنفيذية. وعند التعارض بين هذه الاتفاقية وشروط الخدمة فيما يخص البيانات الشخصية، تسري هذه الاتفاقية.

2. تفاصيل المعالجة

3. التزامات المعالج (استضافة مصر)

• معالجة البيانات فقط وفق تعليمات العميل. وتُعد شروط الخدمة وإعدادات العميل لخدماته وطلباته عبر تذاكر الدعم تعليمات موثقة.
• عدم استخدام البيانات لأي غرض خاص بها، وعدم بيعها أو الاطلاع على محتواها إلا بالقدر اللازم للدعم أو الأمان أو بطلب العميل.
• إبلاغ العميل إذا رأت أن أياً من تعليماته يخالف القانون.
• التزام موظفيها المصرح لهم بالوصول بالسرية، وقصر الوصول على من يحتاجه لأداء عمله.
• تطبيق إجراءات الأمان الموضحة في الملحق 1.
• مساعدة العميل بالقدر المعقول في الرد على طلبات أصحاب البيانات، وفي الوفاء بالتزاماته تجاه المركز.
• تحويل أي طلب يصلها مباشرة من أحد أصحاب البيانات إلى العميل دون الرد عليه بنفسها.
• إخطار العميل بأي طلب من جهة رسمية للاطلاع على بياناته، ما لم يمنع القانون ذلك.
• تعيين مسؤول لحماية البيانات، والاحتفاظ بسجل لأنشطة المعالجة، والحصول على التراخيص اللازمة لدورها كمعالج.

4. التزامات المتحكم (العميل)

• التأكد من وجود أساس قانوني لجمع البيانات ومعالجتها، بما في ذلك الحصول على موافقات أصحابها عند اللزوم.
• نشر سياسة خصوصية واضحة لموقعه أو تطبيقه، والحصول على التراخيص اللازمة له من المركز.
• اختيار مستوى الخدمة والإعدادات الأمنية المناسبة لحساسية بياناته، خاصة البيانات الحساسة مثل الصحية والمالية وبيانات الأطفال.
• تأمين ما يخضع لسيطرته: كلمات المرور، وتحديث التطبيقات والإضافات، وصلاحيات المستخدمين على حسابه.
• أن تكون تعليماته للمعالج متوافقة مع القانون.

5. المعالجون الفرعيون

• يوافق العميل على استعانة استضافة مصر بالمعالجين الفرعيين المذكورين في الملحق 2.
• تلتزم استضافة مصر بفرض التزامات حماية مماثلة على كل معالج فرعي، وتبقى مسؤولة أمام العميل عن أدائه.
• تُخطر استضافة مصر العميل بأي معالج فرعي جديد قبل الاستعانة به بـ 15 يوماً. ويحق للعميل الاعتراض بأسباب معقولة، فإذا لم يُتفق على حل، جاز للعميل إنهاء الخدمة المتأثرة واسترداد المبلغ المدفوع عن الفترة المتبقية.

6. مكان المعالجة والنقل خارج مصر

• تُعالج بيانات الخدمات المستضافة في مصر ونسخها الاحتياطية داخل مصر، ولا تُنقل خارجها دون موافقة العميل المكتوبة.
• إذا اختار العميل خدمة في مركز بيانات خارج مصر، تُعالج بيانات هذه الخدمة في بلد المركز المختار.
• يحصل كل طرف على التراخيص والتصاريح التي يتطلبها دوره في النقل وفق القانون.

7. اختراق البيانات

• تُبلغ استضافة مصر العميل بأي اختراق يمس بياناته دون تأخير، وخلال 48 ساعة على الأكثر من تأكدها منه، ليتمكن من الوفاء بالتزاماته تجاه المركز.
• يتضمن الإبلاغ ما يتوفر من: طبيعة الاختراق، والبيانات والخدمات المتأثرة، والآثار المحتملة، والإجراءات المتخذة لاحتوائه.
• تتعاون استضافة مصر مع العميل في التحقيق، وفي إبلاغ المركز وأصحاب البيانات عند اللزوم.
• لا تُعد استضافة مصر مسؤولة عن الاختراقات الناتجة عن ثغرات في تطبيقات العميل أو كلمات مروره أو إعداداته، لكنها تبلغه بها إذا اكتشفتها.

8. المراجعة والتدقيق

• توفر استضافة مصر للعميل عند الطلب المعلومات اللازمة لإثبات التزامها بهذه الاتفاقية، بما في ذلك شهادات مراكز البيانات.
• يجوز للعميل إجراء تدقيق مرة واحدة في السنة، بإخطار مسبق مدته 30 يوماً، وعلى نفقته، وبما لا يمس بيانات عملاء آخرين أو أمن المنظومة. ويجوز إجراء تدقيق إضافي بعد أي اختراق جوهري أو بطلب المركز.

9. انتهاء الخدمة وحذف البيانات

• يستطيع العميل تصدير بياناته قبل انتهاء الخدمة، وتساعده استضافة مصر في ذلك عند الطلب.
• بعد انتهاء الخدمة تُحذف البيانات المستضافة خلال 30 يوماً، ومن النسخ الاحتياطية خلال 60 يوماً. وتسري في حالة الإنهاء بسبب عدم السداد المدد الواردة في شروط الخدمة.
• يجوز لاستضافة مصر الاحتفاظ بما يلزمها القانون بالاحتفاظ به فقط، مع استمرار حمايته.

10. المسؤولية والقانون الحاكم

تسري على هذه الاتفاقية حدود المسؤولية الواردة في شروط الخدمة بالقدر الذي يسمح به القانون. وتخضع للقانون المصري، وتختص محاكم القاهرة بأي نزاع ينشأ عنها.

الملحق 1: إجراءات الأمان

الملحق 2: المعالجون الفرعيون

تُحدّث هذه القائمة وفق البند 5، وتبقى النسخة المنشورة على الموقع هي المعتمدة.