ملحق معالجة البيانات

1. النطاق والأدوار

يسري هذا الملحق حيثما تستخدم أنت («المتحكم») Mosra، الذي يقدّمه فريق Mosra («المعالج» أو «نحن»)، لمعالجة البيانات الشخصية لمتعلميك أو موظفيك. ويُعدّ هذا الملحق جزءًا من شروط الخدمة.

تحدد أنت أغراض المعالجة ووسائلها. ونحن نعالج البيانات نيابةً عنك ولا نستخدمها لأغراضنا الخاصة.

أما بيانات حساب المسؤول الإداري نفسه (البريد الإلكتروني، والاسم، والفوترة)، فنظل نحن المتحكم فيها، وتسري عليها سياسة الخصوصية.

2. تعليمات المعالجة

لا نعالج البيانات الشخصية إلا بناءً على: (أ) التعليمات المعبَّر عنها من خلال استخدامك لميزات الخدمة، و(ب) التعليمات المكتوبة التي ترسلها إلينا، و(ج) متطلبات القانون.

إذا رأينا أن تعليمات ما تخالف قانون حماية البيانات، فسنُبلغك بذلك، ويجوز لنا إيقاف ذلك الجزء من المعالجة مؤقتًا.

إذا اقتضى القانون معالجةً تتجاوز تعليماتك، فسنُبلغك بذلك مسبقًا ما لم يحظر القانون ذلك.

3. السرية

لا يحصل على صلاحية الوصول إلا الأشخاص الذين يحتاجون إليها لتشغيل الخدمة، وهم ملزمون بالتزامات السرية.

لا نفصح عن بياناتك لأطراف ثالثة غير المعالجين الفرعيين المذكورين في القسم 5، إلا حيثما يقتضي القانون ذلك.

4. التدابير الأمنية

نطبّق تدابير تقنية وتنظيمية مناسبة، تشمل على الأقل ما يلي:

• تشفير جميع حركة البيانات أثناء النقل (HTTPS/TLS).
• كلمات مرور مُجزّأة (hashed)، لا تُخزَّن مطلقًا بصيغة مقروءة.
• التحكم في الوصول القائم على الأدوار وفق مبدأ الحد الأدنى من الصلاحيات.
• تسجيل عمليات الوصول إلى أنظمة الإنتاج.
• نسخ احتياطية منتظمة مع اختبار الاستعادة.
• تحديد معدل الطلبات ومراقبة إساءة الاستخدام.
• الفصل بين بيانات الجهات العميلة.

يسرد المرفق (ب) هذه التدابير بمزيد من التفصيل، ونقدّم وصفًا محدّثًا لها عند الطلب.

5. المعالجون الفرعيون

تأذن لنا باستخدام المعالجين الفرعيين المدرجين في صفحة المعالجين الفرعيين. وتُعدّ تلك القائمة جزءًا من هذا الملحق.

نتعاقد مع كل معالج فرعي بشروط لحماية البيانات لا تقل حمايةً عن هذا الملحق، ونظل مسؤولين عن أدائه مسؤوليتنا عن أدائنا نحن.

نقدّم إشعارًا مسبقًا لا تقل مدته عن 30 يومًا قبل إضافة أي معالج فرعي جديد. وإذا اعترضت على ذلك لأسباب معقولة، فسنبحث عن بديل؛ وحيثما يتعذر إيجاد بديل عملي، يجوز لك إنهاء الجزء المتأثر من الخدمة واسترداد الرسوم المدفوعة مسبقًا غير المستخدمة.

6. المساعدة في طلبات أصحاب البيانات

توفر لك الخدمة أدوات للوصول إلى بيانات متعلميك وتصحيحها وتصديرها وحذفها بنفسك.

وحيثما لا تكفي تلك الأدوات، نقدّم المساعدة خلال مدة معقولة لتتمكن من الوفاء بالمهل القانونية (الإقرار بالاستلام خلال يومَي عمل؛ والوصول والتصحيح خلال 10 أيام؛ وسحب الموافقة خلال 15 يومًا؛ والحذف خلال 20 يومًا).

إذا تواصل معنا أحد المتعلمين مباشرةً، فإننا نحيل الطلب إليك بدلًا من التصرف بشأنه، ما لم توجّهنا بخلاف ذلك.

7. حوادث البيانات

نُخطرك دون تأخير غير مبرر بعد علمنا بأي حادث يمس بياناتك الشخصية، وفي جميع الأحوال في وقت مبكر بما يكفي لتتمكن من الوفاء بالتزامك الخاص بالإخطار خلال 72 ساعة.

يتضمن الإخطار طبيعة الحادث، وفئات البيانات والعدد التقريبي لأصحاب البيانات المتأثرين، والعواقب المحتملة، والتدابير المتخذة أو المزمع اتخاذها.

نتعاون معك تعاونًا معقولًا لتتمكن من إخطار السلطة المختصة والأفراد المتأثرين.

8. التدقيق وإثبات الامتثال

نقدّم المعلومات التي تحتاج إليها على نحو معقول لإثبات الامتثال، بما في ذلك وصف لتدابيرنا الأمنية وإجابات عن استبيانات تقييم الموردين.

يجوز لك إجراء التدقيق مرة واحدة في السنة كحد أقصى، بإشعار مسبق لا تقل مدته عن 30 يومًا، وخلال ساعات العمل، ودون تعطيل الخدمة ودون الوصول إلى بيانات العملاء الآخرين. وتتحمل أنت التكلفة ما لم يُكتشف إخلال جوهري.

9. عمليات النقل الدولية

يعالج بعض المعالجين الفرعيين البيانات خارج فيتنام. ونُجري تقييم الأثر الخاص بنقل البيانات عبر الحدود الذي يقتضيه القانون الفيتنامي، ونطبّق البنود التعاقدية القياسية حيثما يسري قانون الاتحاد الأوروبي أو المملكة المتحدة.

إذا كانت جهتك تشترط بقاء البيانات داخل البلد، فإن النشر المستضاف ذاتيًا هو الخيار المناسب، ويسري هذا الملحق حينئذٍ بنطاق أضيق تبعًا لذلك.

10. الإعادة والحذف

عند انتهاء العقد، تكون لديك مهلة 30 يومًا لتصدير بياناتك باستخدام الأدوات المدمجة أو لتطلب منا تسليمها إليك.

بعد ذلك نحذفها من أنظمة الإنتاج. وتُزال النسخ الموجودة في النسخ الاحتياطية وفق دورة تدوير النسخ الاحتياطية، في موعد أقصاه 30 يومًا من تاريخ النسخة الاحتياطية.

لا نحتفظ إلا بما يُلزمنا القانون بالاحتفاظ به، مثل السجلات المحاسبية، وفي حدود ذلك فقط.

المرفق (أ) — وصف المعالجة

المرفق (ب) — التدابير التقنية والتنظيمية

• التشفير أثناء النقل: جميع حركة البيانات عبر TLS.
• المصادقة: كلمات مرور مُجزّأة (hashed)، ودعم تسجيل الدخول عبر Google، وجلسات محدودة المدة.
• التفويض: أدوار محددة النطاق بحسب الجهة والفصل الدراسي والمورد.
• السجلات: تُسجَّل عمليات الوصول الإداري والعمليات الحساسة.
• النسخ الاحتياطي: منتظم، ومُختبَر من حيث الاستعادة، ولا يُحتفظ به لأكثر من 30 يومًا.
• منع إساءة الاستخدام: حدود لمعدل الطلبات لكل مسار، وحصة منفصلة لميزات الذكاء الاصطناعي.
• إدارة التغييرات: اختبارات آلية قبل الإصدار.
• إجراءات الحوادث: الاكتشاف، والتقييم، والإخطار خلال 72 ساعة.

هل تحتاج إلى نسخة موقّعة من ملحق معالجة البيانات (DPA) أو إلى تعبئة الاستبيان الأمني الخاص بجهتك؟ راسِلنا على privacy@mosra.app. الموقع: هانوي، فيتنام.