محتوى الوثيقة
اتفاقية معالجة البيانات (Data Processing Agreement - DPA)
المقدمة
تُبرم اتفاقية معالجة البيانات ("الاتفاقية") بين منصة تاجرات ("مراقب البيانات") والطرف الذي يقدم خدمات تستلزم معالجة البيانات الشخصية نيابة عن المنصة ("معالج البيانات).
وتشكل هذه الاتفاقية جزءاً مكملاً لأي عقد أو اتفاقية خدمات مبرمة بين الطرفين، وتهدف إلى تنظيم عمليات معالجة البيانات الشخصية بما يضمن الامتثال للقوانين المعمول بها في دولة قطر، وعلى الأخص قانون حماية خصوصية البيانات الشخصية رقم (13) لسنة 2016، وأي تشريعات أو تعليمات تنظيمية ذات صلة.
المادة (1): التعاريف
لأغراض هذه الاتفاقية يقصد بالمصطلحات الآتية المعاني المبينة قرين كل منها، ما لم يقتض السياق خلاف ذلك:
المنصة: منصة تاجرات الإلكترونية.
مراقب البيانات: الطرف الذي يحدد أغراض ووسائل معالجة البيانات الشخصية.
معالج البيانات: أي شخص أو جهة تعالج البيانات الشخصية نيابة عن مراقب البيانات.
البيانات الشخصية: أي معلومات تتعلق بشخص طبيعي محدد أو قابل للتحديد بصورة مباشرة أو غير مباشرة.
المعالجة: أي عملية تُجرى على البيانات الشخصية، سواء آلياً أو يدوياً، بما في ذلك الجمع، أو التسجيل، أو التنظيم، أو التخزين، أو التعديل، أو الاستخدام، أو النقل، أو الإفصاح، أو الحذف، أو الإتلاف.
خرق البيانات: أي حادث يؤدي إلى الوصول غير المصرح به إلى البيانات الشخصية أو فقدها أو إفشائها أو تعديلها أو إتلافها.
المادة (2) موضوع الاتفاقية
تنظم هذه الاتفاقية معالجة البيانات الشخصية التي يقوم بها معالج البيانات عند تقديم الخدمات المتفق عليها للمنصة، وتحدد مسؤوليات كل طرف والتزاماته فيما يتعلق بحماية البيانات الشخصية وأمنها.
المادة (3) نطاق المعالجة
يجوز لمعالج البيانات معالجة البيانات الشخصية فقط بالقدر اللازم لتنفيذ الخدمات المتفق عليها، ووفقاً للتعليمات الكتابية الصادرة من المنصة.
ولا يجوز استخدام البيانات لأي غرض آخر إلا إذا كان ذلك مطلوباً بموجب القانون أو بعد الحصول على موافقة كتابية مسبقة من المنصة.
المادة (4) أنواع البيانات
قد تشمل البيانات محل المعالجة - بحسب طبيعة الخدمة - ما يلي:
بيانات التعريف الشخصية.
بيانات الاتصال.
بيانات الحسابات الإلكترونية.
بيانات الطلبات والمشتريات.
بيانات الشحن والتوصيل.
بيانات المدفوعات بالقدر الذي تسمح به الأنظمة المعمول بها.
السجلات الفنية وسجلات الاستخدام.
أي بيانات أخرى تكون ضرورية لتقديم الخدمة.
ولا يجوز لمعالج البيانات جمع بيانات إضافية دون مبرر مشروع أو موافقة المنصة.
المادة (5) فئات أصحاب البيانات
قد تشمل البيانات الشخصية التي تتم معالجتها البيانات الخاصة بالفئات الآتية:
العملاء.
التاجرات.
الموظفون.
مقدمو الخدمات.
زوار الموقع الإلكتروني أو التطبيق.
أي مستخدم آخر لخدمات المنصة.
المادة (6) التزامات مراقب البيانات
تلتزم المنصة بما يلي:
إصدار تعليمات واضحة لمعالجة البيانات.
ضمان وجود أساس قانوني لمعالجة البيانات الشخصية.
تزويد معالج البيانات بالمعلومات اللازمة لتنفيذ الخدمات.
مراقبة امتثال معالج البيانات لهذه الاتفاقية عند الاقتضاء.
التعاون مع معالج البيانات في معالجة طلبات أصحاب البيانات والجهات المختصة.
المادة (7) التزامات معالج البيانات
يلتزم معالج البيانات بما يلي:
معالجة البيانات وفقاً لتعليمات المنصة فقط.
عدم الإفصاح عن البيانات لأي طرف غير مصرح له.
المحافظة على سرية البيانات طوال مدة الاتفاقية وبعد انتهائها.
اتخاذ التدابير الفنية والتنظيمية المناسبة لحماية البيانات.
قصر الوصول إلى البيانات على الأشخاص الذين تستلزم طبيعة عملهم ذلك.
تدريب موظفيه على متطلبات حماية البيانات.
الاحتفاظ بسجلات مناسبة لعمليات المعالجة عند الاقتضاء.
المادة (8) أمن المعلومات
يلتزم معالج البيانات بتطبيق التدابير الفنية والتنظيمية المناسبة لحماية البيانات الشخصية من الفقد، أو التلف، أو الوصول، أو الاستخدام، أو الإفصاح غير المصرح به، بما يتناسب مع طبيعة البيانات ومستوى المخاطر.
وتشمل هذه التدابير - بحسب طبيعة الخدمة - ما يلي:
تشفير البيانات أثناء النقل والتخزين متى كان ذلك مناسباً.
إدارة صلاحيات الوصول وفق مبدأ الحد الأدنى من الصلاحيات.
استخدام وسائل مصادقة آمنة للحسابات والأنظمة.
الاحتفاظ بسجلات الوصول والتغييرات الجوهرية.
إجراء نسخ احتياطية بصورة دورية.
تحديث الأنظمة الأمنية بصورة منتظمة.
حماية البنية التحتية من البرمجيات الضارة والهجمات الإلكترونية.
ولا يُلزم معالج البيانات باتباع وسيلة تقنية محددة متى أثبت تطبيق مستوى حماية مماثلاً أو أعلى.
المادة (9) السرية
يلتزم معالج البيانات بالحفاظ على سرية جميع البيانات والمعلومات التي يحصل عليها أثناء تنفيذ الخدمات، وألا يستخدمها إلا للأغراض المحددة في هذه الاتفاقية.
كما يلتزم بضمان خضوع موظفيه ومستشاريه والمتعاقدين معه لالتزامات مناسبة بالمحافظة على السرية.
ويستمر الالتزام بالسرية حتى بعد انتهاء العلاقة التعاقدية.
المادة (10) الاستعانة بمعالجين فرعيين
لا يجوز لمعالج البيانات الاستعانة بأي معالج بيانات فرعي لتنفيذ أي جزء من الخدمات إلا بعد الحصول على موافقة عامة أو خاصة من المنصة، وفقاً لما ينص عليه العقد الرئيسي.
وفي جميع الأحوال يبقى معالج البيانات مسؤولاً أمام المنصة عن أعمال المعالجين الفرعيين كما لو كانت صادرة عنه.
المادة (11) نقل البيانات
لا يجوز نقل البيانات الشخصية أو إتاحتها خارج الدولة أو إلى جهة أخرى إذا كان ذلك يخالف القوانين المعمول بها أو التعليمات الصادرة عن المنصة.
وعند الحاجة إلى نقل البيانات عبر الحدود، يلتزم الطرفان باتخاذ الضمانات القانونية والفنية المناسبة وفقاً للتشريعات النافذة.
المادة (12) خروقات البيانات
إذا علم معالج البيانات بوقوع خرق أمني يؤثر أو قد يؤثر في البيانات الشخصية، فيلتزم بما يلي:
إخطار المنصة دون تأخير غير مبرر.
تزويد المنصة بالمعلومات المتاحة عن طبيعة الحادث.
اتخاذ الإجراءات اللازمة لاحتواء الحادث والحد من آثاره.
التعاون مع المنصة في التحقيق ومعالجة الحادث.
تنفيذ التدابير التصحيحية لمنع تكراره.
ولا يجوز لمعالج البيانات إخطار أصحاب البيانات أو الجهات المختصة مباشرة إلا إذا كان ذلك واجباً بموجب القانون أو بعد موافقة المنصة.
المادة (13) حقوق أصحاب البيانات
يلتزم معالج البيانات، في حدود الخدمات المقدمة، بالتعاون مع المنصة لتمكينها من الاستجابة لطلبات أصحاب البيانات المتعلقة بحقوقهم، بما في ذلك:
طلبات الوصول إلى البيانات.
تصحيح البيانات.
تحديث البيانات.
حذف البيانات متى كان ذلك جائزاً.
تقييد المعالجة عند الاقتضاء.
المادة (14) التدقيق والامتثال
يجوز للمنصة، بعد إخطار معالج البيانات بمدة معقولة، التحقق من التزامه بأحكام هذه الاتفاقية، وذلك من خلال:
طلب المعلومات اللازمة.
مراجعة الشهادات أو التقارير المستقلة ذات الصلة.
إجراء عمليات تدقيق معقولة لا تؤثر بصورة غير مبررة على سير أعمال معالج البيانات.
ويلتزم معالج البيانات بالتعاون في حدود ما هو معقول ومتناسب مع طبيعة الخدمات.
المادة (15) الاحتفاظ بالبيانات
لا يجوز لمعالج البيانات الاحتفاظ بالبيانات الشخصية لمدة تتجاوز المدة اللازمة لتنفيذ الخدمات أو المدة التي يفرضها القانون.
وعند انتهاء الغرض من المعالجة يجب حذف البيانات أو إعادتها إلى المنصة وفقاً لتعليماتها، ما لم يوجب القانون الاحتفاظ بها.
المادة (16) إنهاء الاتفاقية
تنتهي هذه الاتفاقية بانتهاء العقد الرئيسي أو بانتهاء جميع عمليات معالجة البيانات، أيهما أبعد، ما لم يتفق الطرفان كتابةً على خلاف ذلك.
ولا يعفي انتهاء الاتفاقية أي طرف من الالتزامات التي بطبيعتها تستمر بعد الانتهاء، وعلى الأخص الالتزامات المتعلقة بالسرية وحماية البيانات.
المادة (17) المسؤولية
يتحمل كل طرف المسؤولية عن الأضرار الناشئة عن مخالفته لهذه الاتفاقية أو للقوانين واجبة التطبيق، وذلك في حدود مسؤوليته عن الفعل أو الإهمال الذي أدى إلى الضرر، ما لم ينص العقد الرئيسي على خلاف ذلك.
المادة (18) الإخطارات
تكون جميع الإخطارات المتعلقة بهذه الاتفاقية مكتوبة، وترسل عبر الوسائل الإلكترونية أو العناوين المعتمدة بين الطرفين، وتعد منتجة لآثارها من تاريخ استلامها أو من التاريخ الذي يعتبر فيه الإخطار مستلماً وفقاً للعقد الرئيسي.
المادة (19) تعديل الاتفاقية
يجوز تعديل هذه الاتفاقية باتفاق الطرفين أو كلما اقتضت التعديلات التشريعية أو التنظيمية أو التقنية ذلك، ويصبح أي تعديل نافذاً من التاريخ المحدد فيه.
المادة (20) الأحكام الختامية
تعد هذه الاتفاقية جزءاً لا يتجزأ من العقد الرئيسي بين الطرفين وتقرأ وتفسر معه.
في حال التعارض بين هذه الاتفاقية والعقد الرئيسي فيما يتعلق بحماية البيانات، تسري الأحكام الأكثر حماية للبيانات الشخصية، ما لم يوجب القانون خلاف ذلك.
إذا تقرر بطلان أي حكم من أحكام هذه الاتفاقية، فلا يؤثر ذلك في صحة باقي الأحكام.
تخضع هذه الاتفاقية لقوانين دولة قطر، وتختص المحاكم القطرية أو جهة تسوية المنازعات المتفق عليها بالفصل في أي نزاع ينشأ بشأنها، ما لم يتفق الطرفان على خلاف ذلك.