ملحق معالجة البيانات (DPA)

يعمل العميل بصفته جهة التحكم في البيانات (data controller) ويحدد أغراض معالجة البيانات الشخصية ووسائلها. وتعمل كال داك بصفتها جهة معالجة البيانات (data processor) ولا تعالج البيانات الشخصية إلا بناءً على تعليمات العميل الموثّقة، ما لم يقتضِ النظام خلاف ذلك. وحين تستعين كال داك بطرف آخر لمعالجة البيانات، يعمل ذلك الطرف بصفته جهة معالجة فرعية.

موضوع المعالجة هو تقديم منصة المراسلات كال داك. وتستمر المعالجة طوال مدة الاتفاقية الأساسية وأي مدة لاحقة لازمة لإعادة البيانات أو حذفها، أو وفق ما يقتضيه النظام. ويجب تحديد المدد بدقة قبل التوقيع.

تعالج كال داك البيانات الشخصية لاستضافة الخدمة وتشغيلها ودعمها — بما في ذلك تخزين جهات الاتصال، وتوجيه محادثات واتساب وإدارتها، وتشغيل الأتمتة والرسائل الجماعية، وتوفير التحليلات — وذلك كله نيابةً عن العميل ووفق تعليماته.

تشمل البيانات الشخصية المعالَجة بموجب هذا الملحق عادةً ما يلي:

• فئات البيانات: معرّفات جهات الاتصال (الأسماء وأرقام الهواتف)، ومحتوى الرسائل وبياناتها الوصفية، والوسوم، ومرحلة دورة الحياة وحالة الموافقة، والحقول المخصّصة، والملاحظات.
• أصحاب البيانات: جهات اتصال العميل وعملاؤه المحتملون وعملاؤه، ومستخدمو العميل المخوَّلون.

يتحمل العميل مسؤولية التأكد من امتلاكه أساسًا نظاميًا لتقديم هذه البيانات، ومن أنها لا تتضمن بيانات ذات طبيعة حساسة (special-category data) ما لم يُتفق على ذلك صراحةً.

• ألا تعالج البيانات الشخصية إلا بناءً على تعليمات العميل الموثّقة.
• ضمان التزام الموظفين المخوَّلين بمعالجة البيانات بالسرية.
• تطبيق تدابير أمنية تقنية وتنظيمية مناسبة والمحافظة عليها.
• مساعدة العميل، بالقدر المعقول، في طلبات أصحاب البيانات وفي التزامات الامتثال.
• إتاحة المعلومات اللازمة لإثبات الامتثال لهذا الملحق.

يفوّض العميل كال داك بالاستعانة بجهات معالجة فرعية (مثل مزوّدي الاستضافة وقواعد البيانات والبريد الإلكتروني والمدفوعات والذكاء الاصطناعي) لتقديم الخدمة. وتفرض كال داك على كل جهة معالجة فرعية التزامات لحماية البيانات مماثلة في جوهرها للالتزامات الواردة في هذا الملحق، وتظل مسؤولة عن أدائها. وينبغي الاحتفاظ بقائمة محدّثة بجهات المعالجة الفرعية والإشعار بأي تغييرات وفق الآلية المتفق عليها. راجع سياسة الخصوصية للاطلاع على القائمة المبدئية لجهات المعالجة الفرعية.

تطبّق كال داك تدابير تقنية وتنظيمية مناسبة لمستوى المخاطر، تشمل عزل البيانات حسب المنشأة، والتحكم في الوصول حسب الأدوار، وتجزئة بيانات الدخول (hashing)، والتحقق من صحة المدخلات، وتسجيل عمليات التدقيق، والتحقق من توقيع الـ webhooks. راجع نظرة عامة على الأمان للاطلاع على التفاصيل الحالية. ويجب تأكيد القائمة النهائية المُلزِمة للتدابير (الملحق) قبل التوقيع، بما في ذلك عناصر التجهيز للإنتاج مثل التشفير أثناء التخزين لبيانات الاعتماد الحساسة.

إذا تواصل صاحب بيانات مع كال داك مباشرةً بشأن بيانات العميل، فستقوم كال داك، حيثما يُسمح بذلك، بإحالته إلى العميل. وتقدّم كال داك مساعدة معقولة — تشمل ميزات المنتج ذات الصلة بالاطلاع والتصحيح والتصدير والحذف — لمساعدة العميل على الرد على طلبات أصحاب البيانات.

تُشعِر كال داك العميل دون تأخير غير مبرر بعد علمها بحادثة اختراق للبيانات الشخصية (personal data breach) تمسّ بيانات العميل، وتزوّده بالمعلومات المتاحة بشكل معقول لمساعدته على الوفاء بالتزاماته الخاصة بالإشعار. ويجب تحديد المهل الزمنية وقنوات التواصل قبل التوقيع.

عند إنهاء الاتفاقية أو انتهاء مدتها، تقوم كال داك، بحسب اختيار العميل، بإعادة البيانات الشخصية للعميل أو حذفها، مع مراعاة متطلبات الاحتفاظ النظامية. ويدعم المنتج تصدير البيانات وحذفها للمساعدة في هذه العملية.

تتيح كال داك المعلومات اللازمة لإثبات الامتثال لهذا الملحق، وتسمح بعمليات التدقيق وتسهم فيها، بما في ذلك عمليات التفتيش التي يجريها العميل أو مدقق يفوّضه، وذلك مع مراعاة الإشعار المسبق المعقول والسرية وحدود النطاق المتفق عليها.

حين تُنقل البيانات الشخصية خارج المملكة العربية السعودية أو خارج منطقة العميل، يضع الطرفان آلية نقل مناسبة يجيزها نظام حماية البيانات الشخصية (PDPL) والأنظمة الأخرى المعمول بها. ويجب تأكيد الآلية المحددة مع المستشار القانوني قبل التوقيع.