ملحق معالجة البيانات (DPA)

1. التعريفات

تحمل مصطلحات "البيانات الشخصية"، "المعالجة"، "صاحب البيانات"، "المتحكم"، و"المعالج" المعاني الواردة في نظام حماية البيانات الشخصية السعودي (PDPL)، وعند الاقتضاء اللائحة العامة لحماية البيانات الأوروبية/البريطانية (GDPR).

2. الموضوع والمدة

يعالج المعالج البيانات الشخصية فقط لتقديم منصة LiveGRC للمتحكم، طوال مدة الاشتراك وأي فترة احتفاظ مطلوبة قانوناً.

3. طبيعة المعالجة وغرضها

• استضافة سجلات الحوكمة والمخاطر والالتزام للمتحكم (المخاطر، الضوابط، السياسات، الأدلة، الحوادث، المراجعات).
• توفير المصادقة، الوصول القائم على الأدوار، وسجلات المراجعة الداخلية.
• تقديم تحليل ذكي على الأوامر المرسلة من مستخدمي المتحكم.
• تقديم الدعم الفني وفق تعليمات المتحكم فقط.

4. فئات البيانات الشخصية وأصحابها

أصحاب البيانات: موظفو المتحكم ومقاولوه، وحيث يرفع المتحكم بيانات عملائه الخاصة.

الفئات: المعرفات (الاسم، البريد)، البيانات المهنية (الدور، الإدارة)، بيانات المصادقة، وأي بيانات شخصية يتضمنها المتحكم طوعاً في أدلته وسجلاته.

5. التزامات المعالج

• معالجة البيانات وفقاً لتعليمات المتحكم الموثقة (اتفاقية الخدمة + الإعدادات).
• إلزام كل من يحق له الوصول بالسرية.
• تطبيق التدابير التقنية والتنظيمية المناسبة (البند 8).
• مساعدة المتحكم في الاستجابة لطلبات أصحاب البيانات وتقييم الأثر (DPIA).
• إخطار المتحكم دون تأخير — وبحد أقصى 72 ساعة من العلم الفعلي — بأي خرق للبيانات الشخصية.
• حذف أو إعادة البيانات الشخصية عند انتهاء الخدمة، مع مراعاة متطلبات الاحتفاظ القانونية.

6. المعالجون الفرعيون

يمنح المتحكم إذناً عاماً للمعالج بإشراك معالجين فرعيين. وتشمل الفئات الحالية: الاستضافة السحابية وقاعدة البيانات، واستضافة التطبيق وشبكة الحافة، وخدمة تسجيل الدخول، وخدمات الدفع وتاجر السجل، ومزوّد نموذج الذكاء الاصطناعي المستخدم في المساعد، وخدمة البريد المؤسسي (Zoho Mail) التي تستضيف صناديق البريد الوظيفية للدعم والأمن والخصوصية. وتُوصف فئات المعالجين الفرعيين الحالية في إشعار الخصوصية (قسم «مشاركة البيانات»): الاستضافة السحابية وقاعدة البيانات، واستضافة التطبيق وشبكة الحافة، وخدمة تسجيل الدخول، وخدمات الدفع وتاجر السجل، ومزوّد نموذج الذكاء الاصطناعي المستخدم في المساعد. وتُنشر قائمة المعالجين الفرعيين الحالية في بيئة الإنتاج، مع الغرض وموقع المعالجة المتحقق منه، على livegrc.sa/trust-center/subprocessors؛ كما يمكن للمتحكم طلب القائمة الحالية كتابةً في أي وقت.

يفرض المعالج التزامات حماية بيانات لا تقل صرامة عن هذا الملحق على كل معالج فرعي، ويظل مسؤولاً عن تصرفاتهم، ويُخطر المتحكم بأي تغيير جوهري ويتيح فترة معقولة للاعتراض.

7. الاستضافة والنقل الدولي

تُخزَّن البيانات الشخصية في AWS eu-central-1 (فرانكفورت، ألمانيا)، وتعمل طبقة التطبيق وشبكة الحافة من مناطق الاتحاد الأوروبي والولايات المتحدة. ولا يستضيف المعالج داخل المملكة العربية السعودية، ولا يقدّم أي التزام بإقامة البيانات داخل المملكة بموجب هذا الملحق.

ولأن البيانات تُعالَج خارج المملكة، يعمل المعالج على استكمال آلية النقل المناسبة بموجب نظام حماية البيانات الشخصية ولائحة نقل البيانات الشخصية خارج المملكة، بما يشمل تقييم أثر النقل والضمانات التعاقدية اللازمة. ولا يُقرّ المعالج بأن هذه الآلية قد اكتملت أو اعتُمدت حتى تاريخه. وتظل تدابير الأمن الواردة في القسم 8 والالتزامات المفروضة على المعالجين الفرعيين سارية، ويلتزم المعالج بإخطار المتحكم عند اكتمال الآلية أو تغيّرها جوهرياً.

8. تدابير الأمن

• TLS 1.2+ أثناء النقل، وتشفير البيانات عند التخزين.
• عزل المستأجرين عبر Row-Level Security.
• التحكم بالوصول القائم على الأدوار ومبدأ الحد الأدنى من الصلاحيات.
• سجل مراجعة داخلية تلقائي لكل تغيير على الجداول الحساسة.
• مستودع أدلة خاص غير عام مع روابط موقّعة عند الوصول.
• نسخ احتياطي منتظم، إدارة أسرار، ومراجعات وصول دورية.

9. المراجعة الداخلية

مرة واحدة سنوياً وعلى نفقة المتحكم، يمكن للمتحكم طلب معلومات معقولة (أو شهادات أطراف ثالثة عند توفرها) تُثبت الامتثال لهذا الملحق، مع مراعاة السرية.

10. الإعادة والحذف

عند إنهاء الخدمة، يحذف المعالج البيانات الشخصية خلال 90 يوماً، مع مراعاة متطلبات الاحتفاظ القانونية (حتى 7 سنوات للسجلات المحاسبية/الضريبية). تُدوَّر النسخ الاحتياطية وفق دورات المعالج المعتادة.

11. المسؤولية

تخضع المسؤولية بموجب هذا الملحق لحدود المسؤولية الواردة في اتفاقية الخدمة، وبالقدر الذي تسمح به الأنظمة السارية.

12. القانون الحاكم

يخضع هذا الملحق لأنظمة المملكة العربية السعودية.

13. الاستجابة لخرق البيانات الشخصية

يُقصد بـ«خرق البيانات الشخصية» أي إخلال أمني يؤدي إلى إتلاف أو فقد أو تغيير أو إفصاح أو وصول غير مصرح به للبيانات الشخصية التي يعالجها المعالج، عرضاً أو بصورة غير مشروعة.

يلتزم المعالج بإشعار المتحكم دون تأخير غير مبرر وخلال مدة لا تتجاوز 72 ساعة من علمه الفعلي بخرق البيانات الشخصية. ويتضمن الإشعار — بحسب المعلوم آنذاك — طبيعة الخرق ونطاقه المرجح، وفئات البيانات الشخصية والعدد التقريبي لأصحاب البيانات المتأثرين متى أمكن تحديدهم، والآثار المحتملة، وتدابير الاحتواء والمعالجة المتخذة أو المقترحة، وجهة الاتصال لمزيد من المعلومات. وإذا تعذر تقديم المعلومات دفعة واحدة تُقدَّم على مراحل دون تأخير إضافي غير مبرر.

ويوثّق المعالج كل خرق وإجراءات معالجته، ويتعاون بشكل معقول مع التزامات المتحكم في الإبلاغ النظامي (بما في ذلك الإبلاغ إلى الهيئة السعودية للبيانات والذكاء الاصطناعي وإلى أصحاب البيانات عند الاقتضاء)، ويتخذ التدابير المعقولة للحد من الأثر ومنع التكرار. ويبقى الإبلاغ للجهة الرقابية أو لأصحاب البيانات من مسؤولية المتحكم بصفته متحكماً. ولا يصدر المعالج بياناً علنياً يُعرّف بالمتحكم بشأن الخرق دون موافقته المسبقة، ما لم يوجب النظام ذلك.

14. سرية العاملين

يضمن المعالج أن جميع العاملين والمتعاقدين والمعالجين الفرعيين المصرح لهم بمعالجة البيانات الشخصية يخضعون لالتزامات سرية ملزمة تستمر بعد انتهاء ارتباطهم، وأن الوصول يُمنح على أساس الحاجة إلى المعرفة والحد الأدنى من الامتيازات، ويُلغى فور انتفاء الحاجة إليه. ويقتصر الوصول إلى بيانات الإنتاج على المصرح لهم ويُسجَّل.

15. حقوق أصحاب البيانات ومساعدة المتحكم

مع مراعاة طبيعة المعالجة، يساعد المعالج المتحكم بالتدابير التقنية والتنظيمية المناسبة في الوفاء بالتزاماته تجاه طلبات أصحاب البيانات (الوصول والتصحيح والحذف وقابلية النقل والاعتراض والتقييد)، وفي إجراء تقييمات أثر حماية البيانات والاستشارات المسبقة. وإذا تلقى المعالج طلباً مباشراً من صاحب بيانات يخص بيانات المتحكم، فلا يرد عليه موضوعياً بل يحيله إلى المتحكم دون تأخير غير مبرر. وتتيح المنصة أدوات ذاتية تمكّن المتحكم من تنفيذ معظم الطلبات بنفسه، وقد تُحتسب تكلفة معقولة للمساعدة التي تتجاوز هذه الأدوات عند كون الجهد كبيراً.

16. المعالجة بالذكاء الاصطناعي

عند استخدام المتحكم لمساعد الذكاء الاصطناعي (Copilot) والميزات المرتبطة به، تُرسل البيانات الشخصية الواردة في السياق المُقدَّم إلى مزود نموذج الذكاء الاصطناعي المحدد في سجل المعالجين الفرعيين، وذلك فقط لإنتاج المخرج المطلوب بناءً على تعليمات المتحكم. ويُنقَّح السياق قبل الإرسال وفق قواعد التنقيح لدى المعالج، ويُسجَّل استخدام الذكاء الاصطناعي، وتبقى المخرجات استشارية فقط: فالذكاء الاصطناعي لا يعتمد ولا يمنح درجات ولا يتخذ قرارات حوكمة، ويلزم مراجعة بشرية قبل الاعتماد عليها. ولا يستخدم المعالج البيانات الشخصية للمتحكم لتدريب نماذجه أو نماذج الغير.