الملحق المتعلق بمعالجة البيانات

هذا الملحق جزء لا يتجزأ من العقد وتم الاتفاق عليه بين كل من: 

1. (i) العميل (« مُصدّر البيانات ») ؛ و
2. (ii) IQUALIF (« مُستورد البيانات »),

ويُشار إلى كل منهما باسم « طرف » وإلى كلاهما معًا باسم « الأطراف ».

مقدمة

بالنظر إلى أن مُستورد البيانات يقدم خدمات برمجيات احترافية وخدمات تكنولوجيا معلومات وما في حكمها (مثل متصفحات بميزات بحث متقدمة) ;

وبالنظر إلى أنه بموجب العقد، وافق مُستورد البيانات على تزويد مُصدّر البيانات بالخدمات المبيّنة في العقد (« الخدمات ») ;

وبالنظر إلى أنه أثناء تقديم الخدمات، يتلقى أو يحصل مُستورد البيانات على وصول إلى معلومات مُصدّر البيانات أو معلومات أشخاص آخرين تربطهم علاقة (محتملة) بمُصدّر البيانات، وقد تُؤهل هذه المعلومات كبيانات شخصية وفقًا لمعنى اللائحة (الاتحاد الأوروبي) 2016/679 للبرلمان الأوروبي والمجلس بتاريخ 27 نيسان/أبريل 2016 بشأن حماية الأشخاص الطبيعيين فيما يتعلق بمعالجة البيانات الشخصية وحركة هذه البيانات (« RGPD ») وقوانين حماية البيانات الأخرى السارية ;

وبالنظر إلى أن هذا الملحق يشتمل على الأحكام العامة المطبقة على جمع ومعالجة واستخدام هذه البيانات الشخصية من قبل مُستورد البيانات بوصفه متعامل معالجة بيانات مفوض من قبل مُصدّر البيانات، وذلك لضمان امتثال الأطراف لقوانين حماية البيانات السارية.

ولذلك، ومن أجل تمكين الأطراف من مواصلة علاقتهما بشكل متوافق مع القانون، أقرت الأطراف هذا الملحق على النحو التالي :

الجزء 1

1. هيكل الوثيقة والتعريفات

1.1 الهيكل

يتألف هذا الملحق من أجزاء مختلفة، على النحو التالي :

الجزء 1 :	يحتوي على الأحكام العامة، على سبيل المثال ما يتعلق بالتعريفات المستخدمة في هذا الملحق، الامتثال للقوانين المحلية، مدة السريان وإنهاء العقد ;
الجزء 2 :	يحتوي على نصّ Clauses النموذجي غير المعدل ;
الملحق 1.1 وما يليه من الجزء 2 :	يحتوي على تفاصيل حول عمليات المعالجة المقدمة من قبل مُستورد البيانات إلى مُصدّر البيانات بصفتها أنشطة لمعالجة البيانات من الباطن المصرح بها (تشمل موضوع المعالجة، طبيعة وغاية المعالجة، نوع البيانات الشخصية وفئات أصحاب البيانات) بموجب هذا الملحق ;
الملحق 2 من الجزء 2 :	يحتوي على وصف للتدابير الفنية والتنظيمية الأمنية الخاصة بمُستورد البيانات، والتي تُطبق بشكل متسق على كافة أنشطة المعالجة الموصوفة في الملحق 1.1 وما يليه من الجزء 2 ;
الجزء 3 :	يحتوي على تواقيع الأطراف التي تعلن قبولها بالالتزام بهذا الملحق ويحدد كل مُستورد بيانات.

1.2 المصطلحات والتعريفات

لأغراض هذا الملحق، تنطبق المصطلحات والتعريفات المستخدمة في اللائحة العامة لحماية البيانات (RGPD) (وأيضًا في نص Clauses النموذجية في الجزء 2، حيث أن المصطلحات المعرفة لا تُكتب بأحرف كبيرة). بالإضافة إلى ذلك، 

« État membre"	تشير إلى دولة عضو في الاتحاد الأوروبي أو في المنطقة الاقتصادية الأوروبية ;
« Catégories spéciales de données (personnelles) »	تشير إلى البيانات الشخصية التي تكشف عن الأصل العرقي أو الإثني، الآراء السياسية، المعتقدات الدينية أو الفلسفية، أو الانتماء إلى نقابة، والبيانات الجينية، والبيانات البيومترية إذا عولجت بهدف تحديد هوية شخص طبيعي بشكل فريد، والبيانات المتعلقة بالصحة أو البيانات المتعلقة بالحياة الجنسية أو التوجه الجنسي لشخص ما ;
« Clauses types »	تشير إلى البنود التعاقدية النموذجية لنقل البيانات الشخصية من معالِجي بيانات مقيمين في دول ثالثة، وفقًا لقرار المفوضية 2010/87/UE المؤرخ 5 شباط/فبراير 2010، الذي تم تعديلُه بقرار تنفيذ المفوضية (UE) 2016/2297 بتاريخ 16 كانون الأول/ديسمبر 2016 ;
« Sous-traitant »	يشير إلى أي متعامل معالجة، سواء داخل أو خارج الاتحاد/المنطقة الاقتصادية الأوروبية، يقبل استلام بيانات شخصية من مُستورد البيانات أو من أي متعامل معالجة آخر تابع لمُستورد البيانات، لأغراض حصرية تتمثل في تنفيذ أنشطة نيابة عن مُصدّر البيانات بعد النقل ووفقًا لتعليمات مُصدّر البيانات، وبشروط هذا الملحق والعقد مع مُستورد البيانات.

2. التزامات مُصدّر البيانات

2.1 يتحمل مُصدّر البيانات واجب التأكد من الامتثال لكافة الالتزامات المطبقة بموجب RGPD وأي قوانين حماية بيانات سارية أخرى تنطبق على مُصدّر البيانات، وكذلك إثبات هذا الامتثال كما يتطلبه المادة 5 (2) من RGPD. يضمن مُصدّر البيانات لمُستورد البيانات أنه قد حصل مسبقًا على موافقة الأشخاص المعنيين وفقًا للمادة 6 (أ) من RGPD وأنه وفّى بواجبه في إعلام الأشخاص المعنيين وفقًا للمادتين 13 و14 من RGPD.

2.2 يلتزم مُصدّر البيانات بتزويد مُستورد البيانات بسجلات أنشطة المعالجة المعنية وفقًا للمادة 30 (1) من RGPD المتعلقة بالخدمات بموجب هذا الملحق، بالقدر اللازم لتمكين مُستورد البيانات من الامتثال للالتزام وفقًا للمادة 30 (2) من RGPD. 

2.3 يتوجب على مُصدّر البيانات تعيين مسؤول أو ممثل لحماية البيانات، بالقدر الذي تتطلبه قوانين حماية البيانات المطبقة. ويجب على مُصدّر البيانات تزويد مُستورد البيانات بتفاصيل الاتصال الخاصة بهذا المسؤول أو الممثل، إن وُجد. 

2.4. يؤكد مُصدّر البيانات، قبل بدء المعالجة وبقبول هذا الملحق، أن التدابير الفنية والتنظيمية الأمنية لمُستورد البيانات، كما هو محدد في الملحق 2 من الجزء 2، مناسبة وكافية لحماية حقوق موضوع البيانات ويؤكد أن مُستورد البيانات يقدم ضمانات كافية في هذا الصدد.

3. الامتثال للقانون المحلي

لتلبية متطلبات تنفيذ دور متعامل المعالجة وفقًا للمادة 28 من RGPD، تُطبق التعديلات التالية:

3.1 التعليمات

1. (i) يصدر مُصدّر البيانات لمُستورد البيانات تعليمات بمعالجة البيانات الشخصية فقط نيابة عن مُصدّر البيانات. تُقدَّم تعليمات مُصدّر البيانات في هذا الملحق وفي العقد. ويتحمل مُصدّر البيانات مسؤولية التأكد من أن جميع التعليمات الموجهة إلى مُستورد البيانات تتوافق مع قوانين حماية البيانات المطبقة. ويتعين على مُستورد البيانات معالجة البيانات الشخصية فقط وفقًا للتعليمات المقدمة من مُصدّر البيانات، ما لم يُطلب خلاف ذلك بموجب القانون الأوروبي أو قانون دولة عضو (وفي هذه الحالة تنطبق الفقرة 3.2 (iv) (c) من الجزء 1).
2. (ii) أي تعليمات أخرى تتجاوز التعليمات الواردة في هذا الملحق أو في العقد يجب أن تندرج ضمن موضوع هذا الملحق والعقد. إذا أدت تنفيذ هذه التعليمات الإضافية إلى تكبد مُستورد البيانات تكاليف، ينبّه الأخير مُصدّر البيانات بهذه التكاليف ويزوّده بتفسير قبل تنفيذ التعليمات. ولا يبدأ مُستورد البيانات بتنفيذ التعليمات الإضافية إلا بعد تأكيد مُصدّر البيانات قبوله دفع هذه الرسوم. ويجب أن تُقدّم التعليمات الإضافية عادة كتابة، إلا إذا استدعت الضرورة أو ظروف خاصة أخرى شكلاً آخر (مثلًا شفهيًا أو إلكترونيًا). ويجب أن تُؤكّد أي تعليمات غير المكتوبة كتابةً من قبل مُصدّر البيانات دون تأخير.

1. 1. ما لم يكن مُصدّر البيانات غير قادر على إجراء التصحيح أو المسح أو تقييد معالجة البيانات الشخصية بنفسه، يمكن أن تتعلق التعليمات أيضًا بالتصحيح أو المسح و/أو تقييد البيانات الشخصية كما هو مبين في الفقرة 3.3 من الجزء 1. 
2. 2. يجب على مُستورد البيانات إبلاغ مُصدّر البيانات فورًا إذا رأى أن إحدى التعليمات تنتهك RGPD أو أحكام حماية البيانات الأخرى المطبقة في الاتحاد الأوروبي أو في دولة عضو (« تعليمات محل نزاع »). وإذا رأى مُستورد البيانات أن التعليمات تنتهك RGPD أو أحكام حماية البيانات الأخرى المطبقة، فلا يُلزَم باتباع تلك التعليمات المحلا للنزاع. إذا أكّد مُصدّر البيانات التعليمات المحلا للنزاع بعد استلام معلومات من مُستورد البيانات وتحمّل مسؤوليته تجاه تلك التعليمات، فسيقوم مُستورد البيانات بتنفيذها، ما لم تتعلق هذه التعليمات بـ (i) تنفيذ التدابير الفنية والتنظيمية، أو (ii) حقوق موضوعيّات البيانات، أو (iii) تعيين متعاقدين من الباطن. في الحالات (i) إلى (iii)، يمكن لمُستورد البيانات الرجوع إلى سلطة إشراف مختصة لطلب تقييم قانوني للتعليمات المتنازع عليها. وإذا قررت السلطة الإشرافية مشروعية التعليمات المتنازع عليها، فيجب على مُستورد البيانات تطبيقها. وتظل الفقرة 3.1 (ii) من الجزء 1 سارية المفعول.

3.2 التزامات مُستورد البيانات

1. (i) يلتزم مُستورد البيانات بضمان أن الأشخاص المصرح لهم من قِبَله بمعالجة البيانات الشخصية نيابة عن مُصدّر البيانات، وخاصة موظفي مُستورد البيانات وكذلك موظفي أي متعاقد من الباطن، قد تعهدوا بالحفاظ على السرية أو يخضعون لالتزام سري قانوني مناسب، وأن هؤلاء الأشخاص الذين يصلون إلى البيانات الشخصية يعالجونها وفقًا لتعليمات مُصدّر البيانات.
2. (ii) يتعين على مُستورد البيانات تنفيذ التدابير الفنية والتنظيمية الأمنية المبينة في الملحق 2 من الجزء 2 قبل معالجة البيانات الشخصية نيابة عن مُصدّر البيانات. ويمكن لمُستورد البيانات تعديل التدابير الفنية والتنظيمية من وقت لآخر، شريطة ألا تكون الحماية أقل مما هو محدد في الملحق 2 من الجزء 2.
3. (iii) يتعين على مُستورد البيانات تزويد مُصدّر البيانات، عند طلبه، بمعلومات لإثبات التزام مُستورد البيانات بالتزاماته بموجب هذا الملحق. ويتفق الطرفان على أن هذا الالتزام بالمعلومات يُوفَّى عن طريق تقديم تقرير تدقيق للعميل (يغطي مبادئ الأمن، توفر النظام والسرية) (« تقرير التدقيق »). وإذا كانت هناك أنشطة تدقيق إضافية مطلوبة قانونيًا، يمكن لمُصدّر البيانات طلب إجراء تفتيشات يقوم بها مُصدّر البيانات أو مدقق آخر مفوَّض من قبله، شريطة أن يوقّع هذا المدقق اتفاقية سرية مع مُستورد البيانات وفق ما يرضي الأخير (« تدقيق »). ويخضع هذا التدقيق للشروط التالية: (i) الموافقة الخطية المسبقة الرسمية من مُستورد البيانات؛ و(ii) يتحمل مُصدّر البيانات جميع التكاليف الناشئة عن أو المتعلقة بالتدقيق الميداني لمُصدّر البيانات ولمُستورد البيانات. ويجب على مُصدّر البيانات إعداد تقرير تدقيق يلخّص نتائج وملاحظات التدقيق الميداني (« تقرير التدقيق الميداني »). وتُعد تقارير التدقيق الميداني، وكذلك تقارير التدقيق، معلومات سرية لمُستورد البيانات ولا يجوز الإفصاح عنها لأطراف ثالثة إلا إذا كانت قوانين حماية البيانات المطبقة تتطلب ذلك أو بموافقة مُستورد البيانات. 
4. (iv) يتعين على مُستورد البيانات إخطار مُصدّر البيانات دون تأخير غير مبرر بما يلي :
   1. a. أي طلب ملزم قانونيًا للإفصاح عن البيانات الشخصية من سلطة إنفاذ القانون، ما لم يكن هناك حظر آخر، مثل حظر بموجب قانون جنائي لحماية سرية تحقيق إنفاذ القانون ;
   2. b. أي شکوى أو طلب تم استلامه مباشرة من شخصٍ معني (مثلًا بشأن الوصول أو التصحيح أو الحذف أو تقييد المعالجة أو قابلية نقل البيانات أو الاعتراض على المعالجة أو اتخاذ قرار آلي) دون الرد على هذا الطلب، ما لم يكن مُستورد البيانات مخوّلًا بالرد ;
   3. c. إذا كان مُستورد البيانات ملزمًا وفقًا لقانون الاتحاد الأوروبي أو قانون دولة عضو تتبع له أو يتبعها متعاقد من الباطن، بمعالجة البيانات الشخصية بما يتجاوز تعليمات مُصدّر البيانات، فعليه أن يخطر مُصدّر البيانات قبل الشروع في تلك المعالجة المتجاوزة، ما لم يمنع قانون الاتحاد الأوروبي أو قانون دولة العضو هذا الإخطار لأسباب مهمة تتعلق بالمصلحة العامة، وفي هذه الحالة يجب أن يوضح الإخطار لمُصدّر البيانات المتطلب القانوني وفقًا لذلك؛ أو
   4. d. إذا علم مُستورد البيانات بحدوث خرق لخصوصية البيانات الشخصية يُعزى إليه هو أو متعاقده من الباطن فقط، والذي سيؤثر على البيانات الشخصية لمُصدّر البيانات المغطاة بهذا العقد، فعندئذٍ سيساعد مُستورد البيانات مُصدّر البيانات في واجبه، بموجب قانون حماية البيانات الساري، في إعلام الأشخاص المعنيين والسلطات الرقابية عند الاقتضاء، من خلال تقديم المعلومات المتوفرة لديه، وفقًا للمادة 33 (3) من RGPD. 
   5. (v) بموجب طلب مُصدّر البيانات، سيُطلب من مُستورد البيانات مساعدته في إجراء تقييم أثر حماية البيانات الذي قد يكون مطلوبًا بموجب المادة 35 من RGPD وفي إجراء مشاورات سابقة قد تكون مطلوبة بموجب المادة 36 من RGPD فيما يتعلق بالخدمات المقدمة من مُستورد البيانات لمُصدّر البيانات بموجب هذا الملحق، من خلال توفير المعلومات الضرورية والمتاحة لمُصدّر البيانات. ولا يلتزم مُستورد البيانات بتوفير هذه المساعدة إلا بقدر عدم تمكن مُصدّر البيانات من قيامه بهذا الالتزام بوسائل أخرى. وسيخطر مُستورد البيانات مُصدّر البيانات بتكلفة هذه المساعدة. وبمجرد أن يؤكّد مُصدّر البيانات قدرته على تغطية هذه التكلفة، سيقدّم له مُستورد البيانات هذه المساعدة.
   6. (vi) عند انتهاء تقديم الخدمات، يمكن لمُصدّر البيانات طلب إعادة البيانات الشخصية المعالجة من قبل مُستورد البيانات بموجب هذا الملحق خلال مهلة شهر واحد بعد انتهاء الخدمات. ما لم تَجِب تشريعات دولة العضو أو الاتحاد الأوروبي على مُستورد البيانات ضرورة الاحتفاظ أو التخزين لتلك البيانات الشخصية، سيقوم مُستورد البيانات بحذف جميع تلك البيانات الشخصية أو غير الشخصية بعد مهلة الشهر، سواء تم إرجاعها أم لا إلى مُصدّر البيانات بناءً على طلبه.

3.3 حقوق الأشخاص المعنيين

1. 1. (i) يتحمل مُصدّر البيانات المسؤولية الأولى عن معالجة الطلبات المقدمة من الأشخاص المعنيين والرد عليها. ولا يُلزَم مُستورد البيانات بالرد مباشرة على الأشخاص المعنيين. 
   2. (ii) إذا احتاج مُصدّر البيانات إلى مساعدة مُستورد البيانات لمعالجة طلبات الأشخاص المعنيين والرد عليها، فسيصدر تعليمات إضافية وفقًا للفقرة 3.1 (ii) من الجزء 1. وسيساعد مُستورد البيانات مُصدّر البيانات عبر التدابير التقنية والتنظيمية المناسبة والمُمكنة التالية للاستجابة لطلبات ممارسة حقوق الأشخاص المعنيين المبيّنة في الباب الثالث من RGPD : 
   3. a. فيما يتعلق بطلبات المعلومات، سيزوّد مُستورد البيانات مُصدّر البيانات بالمعلومات المطلوبة بموجب المادتين 13 و14 من RGPD التي تكون متاحة لديه فقط إذا لم يتمكن مُصدّر البيانات من العثور عليها بنفسه.
   4. b. فيما يتعلق بطلبات الوصول (المادة 15 من RGPD)، سيزوّد مُستورد البيانات مُصدّر البيانات بالمعلومات التي يتعين تقديمها للشخص المعني بشأن طلب الوصول، فقط إذا لم يتمكن مُصدّر البيانات من العثور عليها بنفسه.
   5. c. فيما يتعلق بطلبات التصحيح (المادة 16 من RGPD)، وطلبات المحو (المادة 17 من RGPD)، وتقييد معالجة الطلبات (المادة 18 من RGPD)، أو طلبات القابلية للنقل (المادة 20 من RGPD)، وفقط إذا لم يستطع مُصدّر البيانات بنفسه تصحيح أو، حسب الاقتضاء، محو أو تقييد أو نقل البيانات الشخصية إلى طرف ثالث آخر، فسيتيح مُستورد البيانات لمُصدّر البيانات إمكانية تصحيح أو، حسب الحال، محو أو تقييد أو نقل البيانات الشخصية المعنية إلى الطرف الثالث الآخر، أو إذا لم يكن ذلك ممكنًا، فسيقدّم المساعدة اللازمة لتصحيح أو، حسب الحال، محو أو تقييد أو نقل البيانات الشخصية المعنية إلى الطرف الثالث الآخر.
   6. d. فيما يتعلق بالإخطار المتعلق بالتصحيح أو المحو أو تقييد المعالجة (المادة 19 من RGPD)، سيساعد مُستورد البيانات مُصدّر البيانات عن طريق إخطار جميع المستلمين من متعهّدي الباطن الذين تعاقد معهم مُستورد البيانات إذا طلب مُصدّر البيانات ذلك وإذا لم يستطع مُصدّر البيانات التعامل مع ذلك بنفسه. 
   7. e. فيما يتعلق بحق الاعتراض الذي يمارسه شخص معني (المادتان 21 و22 من RGPD)، سيقرّر مُصدّر البيانات ما إذا كان الاعتراض مشروعًا وكيفية التعامل معه.
   8. (iii) تقتصر التزامات مساعدة مُستورد البيانات على البيانات الشخصية المعالجة ضمن بنيته التحتية (مثل قواعد البيانات والأنظمة والتطبيقات المملوكة أو المقدمة من قِبل مُستورد البيانات).  
   9. (iv) يجب على مُصدّر البيانات تحديد ما إذا كان للشخص المعني الحق في ممارسة حقوق الأشخاص المعنيين الواردة في الفقرة 3.1 من هذا الجزء 1 ويجب أن يبيّن لمُستورد البيانات إلى أي مدى تكون المساعدة المحددة في الفقرتين 3.3 (ii) و(iii) من الجزء 1 ضرورية.
   10. (v) إذا طلب مُصدّر البيانات، من أجل الرد على حقوق الأشخاص المعنيين، تدابير تقنية وتنظيمية إضافية أو معدّلة تتجاوز المساعدة المقدمة من قِبل مُستورد البيانات وفق الفقرتين 3.3 (ii) و(iii) من الجزء 1، فعلى الأخير أن يخطر مُصدّر البيانات بتكاليف تنفيذ هذه التدابير التقنية والتنظيمية الإضافية أو المعدّلة.  بمجرد أن يؤكّد مُصدّر البيانات قدرته على تغطية هذه التكاليف، سيقوم مُستورد البيانات بتنفيذ هذه التدابير التقنية والتنظيمية الإضافية أو المعدّلة لمساعدة مُصدّر البيانات على الاستجابة لطلبات الأشخاص المعنيين.
   11. (vi) دون المساس بنطاق الفقرة 3.3 (v) من الجزء 1، سيكون مُصدّر البيانات ملزمًا بتعويض مُستورد البيانات عن نفقاته المعقولة الناشئة عن طلبات الأشخاص المعنيين.

3.4 الاستعانة بمصادر خارجية للمعالجة (التعاقد من الباطن)

1. 1. (i) يُجيز مُصدّر البيانات لمُستورد البيانات الاستعانة بمتعاقدين من الباطن لتقديم الخدمات بموجب هذا الملحق. سيختار مُستورد البيانات هؤلاء المتعاقدين بعناية. ويوافق مُصدّر البيانات على المتعاقدين المدرجين في الملحق 1.1 في نهاية الجزء 2.
   2. (ii) ينقل مُستورد البيانات التزاماته بموجب هذا الملحق إلى متعاقدي الباطن بما ينسجم مع نطاق الخدمات المتعاقد عليها. 
   3. (iii) يجوز لمُستورد البيانات إنهاء خدمة أو استبدال أو تعيين متعاقدين آخرين مناسبين وموثوقين حسب تقديره. إذا طلب مُصدّر البيانات ذلك كتابةً، يلتزم مُستورد البيانات باتباع الإجراء المبين أدناه :

1. 1. a. سيخطر مُستورد البيانات مُصدّر البيانات مسبقًا بأي تغييرات تطرأ على قائمة متعاقدي الباطن المشار إليها وفقًا للفقرة 3.4 (i) من الجزء 1. إذا لم يبدِ مُصدّر البيانات اعتراضًا وفقًا للفقرة 3.4. (b) من الجزء 1 خلال ثلاثين يومًا من استلام إخطار مُستورد البيانات، فستُعتبر المتعاقدات الإضافية مقبولة.
   2. b. إذا كان لدى مُصدّر البيانات سبب مشروع للاعتراض على متعاقد بارد إضافي، فسيُخطر مُستورد البيانات كتابيًا بذلك خلال ثلاثين يومًا من استلام إخطار مُستورد البيانات وبأي حال قبل بدء تشغيل الخدمة المقدمة من قِبَل المُستورد. إذا اعترض مُصدّر البيانات على استخدام متعاقد بارد إضافي، يحق لمُستورد البيانات إزالة الاعتراض بإحدى الخيارات التالية (يختارها وفقًا لتقديره): (A) يقوم مُستورد البيانات بإلغاء خططه لاستخدام متعاقد بارد إضافي فيما يتعلق ببيانات مُصدّر البيانات؛ (B) يتخذ مُستورد البيانات التدابير التصحيحية المطلوبة من قِبل مُصدّر البيانات في اعتراضه (مما يزيل الاعتراض) ويستخدم المتعاقد الإضافي بالنسبة لبيانات مُصدّر البيانات؛ (C) يمكن لمُستورد البيانات التوقف عن تقديم أو يقبل مُصدّر البيانات بعدم استخدام (مؤقتًا أو دائمًا) جانب معين من الخدمة الذي يتطلب استخدام المتعاقد الإضافي بالنسبة لبيانات مُصدّر البيانات.

1. 1. (iv) إذا كان المتعاقد من الباطن مقيمًا خارج الاتحاد/المنطقة الاقتصادية الأوروبية في دولة لم تُعتبر أنها توفر مستوى كافٍ من حماية البيانات بموجب قرار من المفوضية الأوروبية، سيتخذ مُستورد البيانات الإجراءات اللازمة للامتثال لمستوى حماية كافٍ بموجب RGPD (وقد تشمل هذه الإجراءات، من بين أمور أخرى وحسب الحالة - استخدام عقود معالجة البيانات المبنيّة على بنود النموذج الأوروبي، أو النقل إلى متعاقدين من الباطن المسجَّلين ذاتيًا وفقًا لـ EU-US Privacy Shield، أو برنامج مشابه).

3.5 المدة

مدة هذا الملحق هي نفسها مدة العقد المعني. ما لم ينص هذا الملحق على خلاف ذلك، ستكون الحقوق والالتزامات المتعلقة بالإنهاء مماثلة لتلك الواردة في العقد.

4. حدود المسؤولية

4.1 تتحمل كل طرف مسؤولية التزاماته الناشئة عن هذا الملحق وعن تشريعات حماية البيانات المطبقة.

4.2 أي مسؤولية تنشأ بموجب أو في سياق خرق الالتزامات الناشئة عن هذا الملحق أو تشريعات حماية البيانات المطبقة تخضع للأحكام المتعلقة بالمسؤولية المبينة في العقد، أو المطبقة على هذا العقد، وستُحكم بموجبها، ما لم ينص هذا الملحق على خلاف ذلك. وإذا كانت المسؤولية تخضع للأحكام المتعلقة بالمسؤولية المنصوص عليها في العقد أو المطبقة عليه، فإن المسؤولية الناشئة في سياق هذا الملحق ستُعتبر مسؤولية ناشئة في سياق العقد لأغراض حساب حدود المسؤولية أو تحديد تطبيق قيود المسؤولية الأخرى.

5. أحكام عامة

5.1 في حال وجود تعارض أو اختلاف بين الجزئين 1 و2 من هذا الملحق، تسود أحكام الجزء 2. وبشكل أدق، حتى في هذه الحالة، تظل أحكام الجزء 1 التي تتجاوز الجزء 2 ببساطة (أي الشروط الإضافية على البنود النموذجية) سارية ما لم تتعارض معها.

5.2 في حال وجود تعارض بين أحكام هذا الملحق وأحكام عقود أخرى تربط الأطراف، تسود أحكام هذا الملحق فيما يتعلق بالتزامات الأطراف المتعلقة بحماية البيانات. وفي حال الشك فيما إذا كانت بنود عقود أخرى تغطي التزامات الأطراف المتعلقة بحماية البيانات، يكون لهذا الملحق الأسبقية.

5.3 إذا تبين أن أحد أحكام هذا الملحق باطل أو غير قابل للتطبيق، يظل باقي هذا الملحق ساريًا تمامًا. وسيُعدّل الحكم الباطل أو غير القابل للتطبيق، حسب الحاجة، لضمان صلاحيته وقابليته للتنفيذ مع الحفاظ قدر الإمكان على نية الأطراف، أو — إذا تعذّر ذلك — فسَيُفَسَّر كما لو أن الجزء الباطل أو غير القابل للتطبيق لم يكن جزءًا من العقد أبدًا.  وينطبق ما سبق أيضًا إذا اكتُشف خلل أو نقصان في هذا الملحق.

5.5 حسب الضرورة، يحق للأطراف طلب تعديل الجزء 1، الفقرة 3 (الامتثال للتشريع المحلي)  أو أجزاء أخرى من الملحق لتلبية التفسيرات أو التوجيهات أو الأوامر الصادرة عن السلطات المختصة في الاتحاد أو دول الأعضاء، أو الأحكام الوطنية المتعلقة بالتنفيذ، أو أي تطورات قانونية أخرى بخصوص RGPD أو شروط التفويض لأي كيانات مشاركة في معالجة البيانات بشكل عام، وخاصة فيما يتعلق باستخدام Clauses النموذجية في إطار RGPD. ولا يجوز تعديل أو استبدال نصوص Clauses النموذجية ما لم توافق المفوضية الأوروبية صراحة (مثلًا من خلال بنود جديدة مناسبة ومعايير حماية بيانات).

5.6 أي إشارة في هذا الملحق إلى «Clauses» يجب أن تُفهم على أنها تشير إلى كافة أحكام هذا الملحق، ما لم ينص على خلاف ذلك. 

5.7 اختيار القانون في الجزء 2، الفقرة 9، يتعلق بكامل العقد.

6. البيانات الشخصية المنقولة والمعالجة بين الأطراف لأغراضها الخاصة (نقل من مسؤول معالجة إلى مسؤول معالجة)

6.1 تدرك الأطراف تمامًا أن بعض البيانات الشخصية سيتم نقلها من مُصدّر البيانات إلى مُستورده والعكس، وأن هذه البيانات قد تُعالَج من قبل كل طرف لأغراضه الخاصة. وبخصوص هذه البيانات الشخصية، فإن أحكام هذا الملحق الأخرى لا تنطبق (باستثناء هذه الفقرة 6).

6.2 قد يقوم مُصدّر البيانات بنقل بيانات شخصية تتعلق بموظفي مُستورد البيانات إلى هذا الأخير، بما في ذلك معلومات عن حوادث أمنية، أو أي مستندات أو ملفات أخرى أنشأها أو أعدّها مُصدّر البيانات فيما يتعلق بالخدمات المقدمة من قِبل موظفي مُستورد البيانات. يجوز لمُستورد البيانات معالجة هذه البيانات الشخصية لأغراضه الخاصة، بما في ذلك في سياق علاقاته المهنية مع موظفي مُصدّر البيانات، ولأغراض مراقبة الجودة والتدريب أو لأهداف تجارية.

6.3. يجوز لمُستورد البيانات نقل بيانات شخصية إلى مُصدّر البيانات، بما في ذلك الاسم ومعلومات الاتصال المتعلقة بموظفي مُستورد البيانات. ويمكن لمُصدّر البيانات معالجة هذا النوع من البيانات الشخصية لأغراضه الخاصة.

6.4 يتعين على الطرفين الامتثال لأي قوانين سارية لحماية البيانات، بما في ذلك RGPD، عند جمع ومعالجة واستخدام هذه البيانات الشخصية المستلمة من الطرف الآخر بموجب هذه الفقرة 1 من الجزء 1. وعلى وجه الخصوص، يجب على كل طرف اتخاذ تدابير أمنية مناسبة توفر مستوى حماية مماثل للتدابير الأمنية المنصوص عليها في الملحق 2 من الجزء 2. ويجب أن يكون الوصول إلى هذه البيانات الشخصية مقتصرًا على مبدأ الحاجة إلى المعرفة فقط.

6.5 يلتزم الطرفان بحذف هذه البيانات الشخصية في أقرب وقت ممكن بمجرد تحقيق الأغراض المقصودة.

الجزء 2

 قرار المفوضية 

بتاريخ 5 شباط/فبراير 2010

بشأن البنود التعاقدية النموذجية لنقل البيانات الشخصية إلى متعاقدين من الباطن مقيمين في دول ثالثة بموجب توجيه 95/46/EC للبرلمان الأوروبي والمجلس

البند الأول 

التعريفات 

لأغراض البنود: 

a) «البيانات الشخصية»، «فئات خاصة من البيانات»، «المعالجة/المعالجة»، «مسؤول المعالجة»، «متعاقد من الباطن»، «الشخص المعني» و«السلطة المشرفة» لها نفس المعنى كما في توجيه 95/46/EC الصادر عن البرلمان الأوروبي والمجلس بتاريخ 24 تشرين الأول/أكتوبر 1995 بشأن حماية الأشخاص الطبيعيين فيما يتعلق بمعالجة البيانات الشخصية وحركة هذه البيانات (1 ); 

b) «مُصدّر البيانات» هو مسؤول المعالجة الذي ينقل البيانات الشخصية؛ 

c) «مُستورد البيانات» هو متعاقد من الباطن الذي يقبل استلام بيانات شخصية من مُصدّر البيانات ليتم معالجتها نيابة عنه بعد النقل وفقًا لتعليماته وبشروط هذه البنود، والذي لا يخضع لآلية بلد ثالث يضمن مستوى حماية كافٍ بموجب المادة 25، الفقرة 1، من توجيه 95/46/EC; d) «المتعاقد اللاحق من الباطن» هو المتعاقد الذي يتعاقد معه مُستورد البيانات أو أي متعاقد لاحق آخر له، الذي يقبل استلام بيانات شخصية من مُستورد البيانات أو أي متعاقد لاحق آخر له بغرض أن تتم أنشطة المعالجة حصريًا نيابة عن مُصدّر البيانات بعد النقل وفقًا لتعليماته، وبشروط هذه البنود وبموجب عقد باطني مكتوب; 

e) «قانون حماية البيانات المعمول به» هو التشريع الذي يحمي حريات وحقوق الأشخاص الأساسية، بما في ذلك الحق في الخصوصية فيما يتعلق بمعالجة البيانات الشخصية، والمطبق على مسؤول المعالجة في دولة العضو حيث يكون مُصدّر البيانات مقيمًا; 

f) «التدابير الفنية والتنظيمية المتعلقة بالأمن» هي التدابير المخصصة لحماية البيانات الشخصية من التدمير العرضي أو غير القانوني، الفقدان العرضي، التحريف، الكشف أو الوصول غير المصرح به، وخصوصًا عندما تنطوي المعالجة على نقل البيانات عبر الشبكة، ومن أي شكل آخر غير قانوني من أشكال المعالجة. 

البند 2 

تفاصيل النقل 

تفاصيل النقل، وعلى الخصوص، عند الاقتضاء، الفئات الخاصة من البيانات الشخصية، مفصّلة في الملحق 1 الذي يعتبر جزءًا لا يتجزأ من هذه البنود. 

البند 3 

بند المستفيد الثالث 

1. يحق للشخص المعني إنفاذ هذا البند ضد مُصدّر البيانات، وكذلك البند 4، النقاط b) إلى i)، البند 5، النقاط a) إلى e) وg) إلى j)، البند 6، الفقرتان 1 و2، البند 7، البند 8، الفقرة 2، والأبواب 9 إلى 12 بصفتها مستفيدًا طرفًا ثالثًا. 

2. يحق للشخص المعني إنفاذ هذا البند ضد مُستورد البيانات، وكذلك البند 5، النقاط a) إلى e) وg)، البند 6، البند 7، البند 8، الفقرة 2، والأبواب 9 إلى 12 في الحالات التي يكون فيها مُصدّر البيانات قد اختفى ماديًا أو توقف عن الوجود قانونيًا، ما لم يكن قد نُقلت كافة التزاماته القانونية بموجب عقد أو بحكم القانون إلى الكيان الذي يخلفه، والذي تنتقل إليه بالتالي حقوق والتزامات مُصدّر البيانات ويمكن للشخص المعني آنذاك إنفاذ هذه البنود ضده. 

3. يحق للشخص المعني إنفاذ هذا البند ضد المتعاقد اللاحق من الباطن، وكذلك البند 5، النقاط a) إلى e) وg)، البند 6، البند 7، البند 8، الفقرة 2، والأبواب 9 إلى 12، ولكن فقط في الحالات التي اختفى فيها ماديًا مُصدّر البيانات ومُستورد البيانات، أو توقفا عن الوجود قانونيًا أو أصبحا معسرين، ما لم تكن قد نُقلت كافة التزامات مُصدّر البيانات بموجب عقد أو بحكم القانون إلى الخلف القانوني الذي تنتقل إليه بالتالي حقوق والتزامات مُصدّر البيانات ويمكن للشخص المعني آنذاك إنفاذ هذه البنود ضده. وتُقَصَر مسؤولية المتعاقد اللاحق من الباطن على أنشطته الخاصة في المعالجة وفقًا لهذه البنود. 4. لا تعترض الأطراف على أن يتم تمثيل الشخص المعني من قِبل جمعية أو هيئة أخرى إذا رغب في ذلك وكان القانون الوطني يسمح بذلك. 

البند 4 

التزامات مُصدّر البيانات 

يوافق مُصدّر البيانات ويضمن ما يلي: 

a) تمت المعالجة، بما في ذلك النقل الفعلي للبيانات الشخصية، وستستمر بالقيام بذلك وفقًا للأحكام المعنية من قانون حماية البيانات المطبق (وإن اقتضى الأمر، تم إبلاغ السلطات المختصة في دولة العضو التي يوجد فيها مُصدّر البيانات) ولا تنتهك الأحكام المعنية لتلك الدولة; 

b) لقد كلّف، وسيستمر في تكليف مُستورد البيانات طوال مدة خدمات معالجة البيانات بنقلها لمعالجة البيانات الشخصية المنقولة نيابة عن مُصدّر البيانات وبما يتوافق مع قانون حماية البيانات المطبق وهذه البنود; 

c) سيوفر مُستورد البيانات ضمانات كافية فيما يتعلق بالتدابير الفنية والتنظيمية المتعلقة بالأمن المحددة في الملحق 2 من هذا العقد; 

d) بعد تقييم متطلبات قانون حماية البيانات المطبق، تكون التدابير الأمنية مناسبة لحماية البيانات الشخصية من التدمير العرضي أو غير القانوني أو الفقدان العرضي أو التحريف أو الكشف أو الوصول غير المصرح به، وخصوصًا عندما تنطوي المعالجة على نقل البيانات عبر الشبكة، ومن أي شكل آخر غير قانوني من أشكال المعالجة، وتوفّر مستوى أمنيًا مناسبًا للمخاطر المرتبطة بالمعالجة وطبيعة البيانات المراد حمايتها، مع مراعاة المستوى التكنولوجي وتكلفة التنفيذ; 

e) سيحرص على الامتثال للتدابير الأمنية; 

f) إذا كان النقل يشمل فئات خاصة من البيانات، فقد أُبلغ أو سيُبلغ الشخص المعني قبل النقل أو في أقرب وقت ممكن بعده أن بياناته قد تُنقل إلى دولة ثالثة لا توفر مستوى حماية كافٍ بموجب توجيه 95/46/CE; 

g) سينقل أي إخطار يتلقاه من مُستورد البيانات أو من أي متعاقد لاحق من الباطن وفقًا للبند 5، النقطة b)، والبند 8، الفقرة 3)، إلى السلطة المشرفة لحماية البيانات إذا قرر متابعة النقل أو رفع تعليقها; 

h) سيجعل نص هذه البنود متاحًا للأشخاص المعنيين، إذا طلبوا ذلك، باستثناء الملحق 2، ووصف موجز للتدابير الأمنية، وكذلك نسخة من أي عقد باطن لاحق تم إبرامه بموجب هذه البنود، ما لم تكن البنود أو العقد تحتويان على معلومات تجارية، وفي هذه الحالة يجوز له حذف هذه المعلومات; 

i) في حالة الاستعانة بمتعاقد لاحق من الباطن، تُجرى المعالجة وفقًا للبند 11 من قِبل متعاقد لاحق من الباطن يوفر على الأقل نفس مستوى حماية البيانات الشخصية وحقوق الشخص المعني كما يلتزم به مُستورد البيانات وفقًا لهذه البنود؛ و 

j) سيضمن الامتثال للبند 4، النقاط a) إلى i). 

البند 5 

التزامات مُستورد البيانات  

يوافق مُستورد البيانات ويضمن ما يلي: 

a) سيعالج البيانات الشخصية حصريًا نيابة عن مُصدّر البيانات ووفقًا لتعليماته وهذه البنود؛ وإذا تعذّر عليه الامتثال لأي سبب كان، يوافق على إبلاغ مُصدّر البيانات في أقرب وقت ممكن، وفي هذه الحالة يحق للمُصدّر تعليق نقل البيانات و/أو إنهاء العقد; 

b) ليس لديه سبب للاعتقاد بأن التشريع المطبق عليه يمنعه من تنفيذ تعليمات مُصدّر البيانات والالتزامات الملقاة على عاتقه بموجب العقد، وإذا خضع هذا التشريع لتغيير يمكن أن يكون له آثار سلبية مهمة على الضمانات والالتزامات التي توفرها هذه البنود، فسيخطر مُصدّر البيانات دون تأخير بعد علمه بذلك، وفي هذه الحالة يحق للمُصدّر تعليق نقل البيانات و/أو إنهاء العقد; c) طبق التدابير الفنية والتنظيمية المتعلقة بالأمن المحددة في الملحق 2 قبل معالجة البيانات الشخصية المنقولة;

d) سيخطر مُصدّر البيانات دون تأخير بـ: 

i) أي طلب ملزم للكشف عن البيانات الشخصية صادر من سلطة إنفاذ القانون، ما لم ينص على خلاف ذلك، مثل حظر جنائي للحفاظ على سرية تحقيق شرطي؛ 

ii) أي وصول عرضي أو غير مصرح به؛ و 

iii) أي طلب تلقاه مباشرة من الأشخاص المعنيين دون الرد على هذا الطلب، ما لم يكن مخولًا بالرد عليه؛ 

e) سيعالج بسرعة وكفاءة جميع طلبات الاستعلام الواردة من مُصدّر البيانات فيما يتعلق بمعالجته للبيانات الشخصية المشمولة بالنقل وسيتقيد برأي السلطة المشرفة بشأن معالجة البيانات المنقولة؛ 

f) بناءً على طلب مُصدّر البيانات، سيخضع وسائل معالجة البيانات الخاصة به لفحص لأنشطة المعالجة المشمولة بهذه البنود الذي سيُجرى من قِبل مُصدّر البيانات أو هيأة رقابية مكوّنة من أعضاء مستقلين ذوي مؤهلات مهنية مناسبة يخضعون لالتزام سري ويختارهم مُصدّر البيانات، إذا اقتضى الأمر وبموافقة السلطة المشرفة؛ 

g) سيقدّم للشخص المعني، إذا طلب، نسخة من هذه البنود، أو أي عقد باطن لاحق موجود، ما لم تحتوي البنود أو العقد على معلومات تجارية، وفي هذه الحالة يجوز له حذف تلك المعلومات، باستثناء الملحق 2 الذي يُستبدل بوصف موجز للتدابير الأمنية، عندما لا يستطيع الشخص المعني الحصول على نسخة من مُصدّر البيانات؛ 

h) في حالة الاستعانة بمتعاقد لاحق من الباطن، سيحرص على إعلام مُصدّر البيانات والحصول على موافقته الخطية المسبقة؛ 

i) ستكون خدمات المعالجة المقدمة من قِبل المتعاقد اللاحق من الباطن متوافقة مع البند 11؛ 

j) سيرسل في أقرب وقت نسخة من أي اتفاق باطني لاحق يبرمه بموجب هذه البنود إلى مُصدّر البيانات. 

البند 6 

المسؤولية 

1. يتفق الطرفان على أن أي شخص متضرر نتيجة إخلال بأحد الالتزامات المنصوص عليها في البند 3 أو البند 11 من قِبل أحد الأطراف أو من قِبل متعاقد لاحق من الباطن له الحق في الحصول على تعويض من مُصدّر البيانات عن الضرر الذي لحِق به. 

2. إذا تعذر على الشخص المتضرر رفع دعوى التعويض المشار إليها في الفقرة 1 ضد مُصدّر البيانات بسبب إخلال مُستورد البيانات أو متعاقده اللاحق من الباطن بالتزام من التزامات البند 3 أو البند 11، لأن مُصدّر البيانات قد اختفى ماديًا أو توقف عن الوجود قانونيًا أو أصبح معسرًا، يوافق مُستورد البيانات على أن الشخص المعني يمكنه تقديم شكوى ضده كما لو كان هو مُصدّر البيانات، ما لم تكن قد نُقلت كل التزامات مُصدّر البيانات القانونية بموجب عقد أو بحكم القانون إلى الكيان الذي خلفه، والذي يمكن عندها للشخص المعني أن يمارس حقوقه ضده. ولا يجوز لمُستورد البيانات التذرع بإخلال متعاقد لاحق من الباطن ليفلت من مسؤولياته الخاصة. 

3. إذا تعذر على الشخص المعني رفع الدعوى الواردة في الفقرتين 1 و2 ضد مُصدّر البيانات أو مُستورد البيانات بسبب إخلال المتعاقد اللاحق من الباطن بالتزام من التزامات البند 3 أو البند 11، لأن مُصدّر البيانات ومُستورد البيانات قد اختفيا ماديًا أو توقفا عن الوجود قانونيًا أو أصبحا معسرين، يوافق المتعاقد اللاحق من الباطن على أن الشخص المعني يمكنه تقديم شكوى ضده بخصوص أنشطة معالجته الخاصة وفقًا لهذه البنود كما لو كان هو مُصدّر البيانات أو مُستورد البيانات، ما لم تكن قد نُقلت كل التزامات مُصدّر البيانات أو مُستورد البيانات إلى خلف قانوني بموجب عقد أو بحكم القانون، والذي يمكن عندها للشخص المعني المطالبة بحقوقه ضده. ويجب أن تقتصر مسؤولية المتعاقد اللاحق من الباطن على أنشطته الخاصة في المعالجة وفقًا لهذه البنود. 

البند 7 

التحكيم والاختصاص القضائي 

1. يوافق مُستورد البيانات على أنه إذا استند الشخص المعني إلى حق المستفيد من الطرف الثالث بموجب هذه البنود و/أو طالب بالتعويض عن الضرر الذي لحق به، فسيقبل قرار الشخص المعني بشأن: 

a) إحالة النزاع إلى وساطة من شخص مستقل أو، عند الاقتضاء، إلى السلطة المشرفة؛ 

b) رفع النزاع أمام محاكم دولة العضو التي يكون مُصدّر البيانات مقيمًا فيها. 

2. يتفق الطرفان على أن اختيار الشخص المعني لن يؤثر على حقوقه الإجرائية أو الموضوعية في الحصول على تعويض بموجب أحكام قانونية وطنية أو دولية أخرى. 

البند 8 

التعاون مع السلطات المشرفة 

1. يوافق مُصدّر البيانات على إيداع نسخة من هذا العقد لدى السلطة المشرفة إذا طلبت ذلك أو إذا كان ذلك منصوصًا عليه في قانون حماية البيانات المطبق. 

2. يتفق الطرفان على أن للسلطة المشرفة الحق في إجراء فحوصات لدى مُستورد البيانات وأي متعاقد لاحق من الباطن بنفس القدر وتحت نفس الشروط كما لو أُجريت هذه الفحوصات لدى مُصدّر البيانات وفقًا لقانون حماية البيانات المطبق. 

3. يخطر مُستورد البيانات مُصدّر البيانات في أقرب وقت ممكن بوجود تشريع يفرض عليه أو على أي متعاقد لاحق من الباطن يمنع إجراء فحوصات لديه أو لدى أي متعاقد لاحق من الباطن وفقًا للفقرة 2. وفي هذه الحالة، يحق لمُصدّر البيانات اتخاذ التدابير المنصوص عليها في البند 5، النقطة b). 

البند 9 

القانون المنطبق 

تحكم هذه البنود قوانين دولة العضو التي يقع فيها مُصدّر البيانات., 

البند 10 

تعديل العقد 

تلتزم الأطراف بعدم تعديل هذه البنود. وتبقى الأطراف حرة في إدراج بنود تجارية أخرى تراها ضرورية، بشرط ألا تتعارض مع هذه البنود. 

البند 11 

التعاقد من الباطن اللاحق 

1. لا يقوم مُستورد البيانات باستعانة بأية أنشطة معالجة يقوم بها نيابة عن مُصدّر البيانات وفقًا لهذه البنود دون الحصول على موافقة كتابية مسبقة من مُصدّر البيانات. ولا يسند مُستورد البيانات التزاماتُه بموجب هذه البنود، بموافقة مُصدّر البيانات، إلا بموجب عقد كتابي يُبرمه مع المتعاقد اللاحق من الباطن، يُلزم الأخير بنفس الالتزامات التي تقع على مُستورد البيانات بموجب هذه البنود). وفي حالة إخلال المتعاقد اللاحق من الباطن بالالتزامات المتعلقة بحماية البيانات التي تترتب عليه بموجب ذلك العقد الكتابي، يظل مُستورد البيانات مسؤولًا بالكامل عن الوفاء بهذه الالتزامات تجاه مُصدّر البيانات. 

2. ينص العقد الكتابي المسبق بين مُستورد البيانات والمتعاقد اللاحق من الباطن أيضًا على بند المستفيد الطرف الثالث كما هو وارد في البند 3 للحالات التي يُمنع فيها الشخص المعني من رفع دعوى التعويض المشار إليها في البند 6، الفقرة 1، ضد مُصدّر البيانات أو مُستورد البيانات لأنهما قد اختفيا ماديًا أو توقفا عن الوجود قانونيًا أو أصبحا معسرين، ولم تُنقل كافة التزامات مُصدّر البيانات أو مُستورد البيانات القانونية بموجب عقد أو بحكم القانون إلى كيان آخر خلفهما. وتقتصر مسؤولية المتعاقد اللاحق من الباطن على أنشطته الخاصة في المعالجة وفقًا لهذه البنود. 

3. تخضع الأحكام المتعلقة بجوانب التعاقد من الباطن اللاحق المتعلقة بحماية البيانات في العقد المشار إليه في الفقرة 1 لقانون دولة العضو التي يقع فيها مُصدّر البيانات. 

4. يحتفظ مُصدّر البيانات بقائمة الاتفاقات المبرمة مع المتعاقدين اللاحقين من الباطن بموجب هذه البنود والتي أُخطر بها مُستورد البيانات وفقًا للبند 5، النقطة j)، وسيتم تحديث هذه القائمة على الأقل مرة واحدة سنويًا. وتُتاح هذه القائمة لسلطة حماية البيانات الخاصة بمُصدّر البيانات. 

البند 12 

الالتزام بعد إنهاء خدمات معالجة البيانات الشخصية 

1. يتفق الطرفان على أنه عند انتهاء خدمات المعالجة، سيعيد مُستورد البيانات والمتعاقد اللاحق من الباطن إلى مُصدّر البيانات، وبناءً على رغبته، كافة البيانات الشخصية المنقولة وكذلك النسخ، أو سيُدمران هذه البيانات ويقدّمان دليلًا على ذلك إلى مُصدّر البيانات، ما لم تمنع التشريعات المطبقة على مُستورد البيانات من إعادة أو إتلاف كُلًّا أو جزءًا من البيانات الشخصية المنقولة. وفي هذه الحالة، يضمن مُستورد البيانات أنه سيحافظ على سرية البيانات الشخصية المنقولة وأنه لن يعالج هذه البيانات نشطيًا بعد ذلك. 

2. يضمن مُستورد البيانات والمتعاقد اللاحق من الباطن أنهما، إذا طلب مُصدّر البيانات و/أو السلطة المشرفة، سيخضعان وسائل المعالجة الخاصة بهما لفحص التدابير المشار إليها في الفقرة 1. 

الملحق 1.1 من الجزء 2

تفاصيل النقل

مُصدّر البيانات

مُصدّر البيانات هو العميل المحدد في العقد.

مُستورد البيانات

مُستورد البيانات هو IQUALIF والمكلف بمعالجة البيانات، مقدمًا الخدمات لمُصدّر البيانات.

أصحاب البيانات

البيانات الشخصية المنقولة تتعلق بالفئات التالية من الأشخاص المعنيين :

☒ المشتركون في الهاتف المدرجون في الدليل العام

☐ أخرى، على سبيل المثال :

فئات البيانات

البيانات الشخصية المنقولة تتعلق بالفئات التالية من البيانات :

فئات البيانات الشخصية للأشخاص المعنيين لدى مُصدّر البيانات، على وجه الخصوص،

☒ الاسم الكامل

☒ العنوان البريدي

☒ بيانات الاتصال (البريد الإلكتروني، الهاتف، عنوان IP، الخ.)

☒ تفاصيل حول أنشطة التسويق المتعلقة بالمشترك الهاتفي

☒ أخرى، على سبيل المثال : نوع المسكن، متوسط الدخل والأعمار حسب المدينة بعد إخفاء الهوية

فئات خاصة من البيانات (إن وجدت)

البيانات الشخصية المنقولة تتعلق بالفئات الخاصة التالية من البيانات :

☒ لا يُتوقع نقل فئات خاصة من البيانات

☐ العرق أو الأصل الإثني

☐ المعتقدات الدينية أو الفلسفية

☐ الانتماء النقابي

☐ الآراء السياسية

☐ معلومات جينية 

☐ معلومات بيومترية

☐ معلومات عن التوجه الجنسي أو الحياة الجنسية

☐ بيانات تتعلق بالصحة

أنشطة المعالجة

سيخضع البيانات الشخصية المنقولة للأنشطة الأساسية التالية للمعالجة :

• • • موضوع المعالجة

المعالجة التي تُنفَّذ نيابة عن مُصدّر البيانات تتركز حول الموضوعات التالية، على وجه الخصوص :

☒ دعم المنتجات أو الخدمات التي يقدمها مُصدّر البيانات

☒ عرض منتج أو خدمة قد يطلبها الشخص المتصل به

☒ طلبات مأخوذة من الأشخاص المتصلين ومعالجتها لاحقًا

☒ استبيانات ودراسات وتحليلات

☒ التسويق الهاتفي

☐ أخرى، على سبيل المثال :

• • • طبيعة وغاية المعالجة

يعالج مُستورد البيانات البيانات الشخصية للأشخاص المعنيين نيابة عن مُصدّر البيانات من أجل تقديم الخدمات التالية، وعلى وجه الخصوص :

☒ المبيعات والتسويق

☒ أخرى، على سبيل المثال : تحديث قواعد بيانات البلديات والأحزاب السياسية

• • • تقديم الخدمات والاستعانة بمزودي خدمات

تقوم IQUALIF بدمج ومركزة وتقديم الخدمات بشكل أساسي لمُصدّر البيانات. يمكن أن تشمل الخدمات المقدمة من قبل مُزوّد الخدمة المذكور، من بين أمور أخرى وبحسب الحالة، الخدمات المساندة التالية: (i) توفير تطبيقات وأدوات وأنظمة وبنية تحتية لتكنولوجيا المعلومات المتعلقة بمراكز معالجة البيانات المستخدمة، وذلك من أجل تقديم ودعم الخدمات، بما في ذلك معالجة البيانات الشخصية للأشخاص المعنيين كما هو موضح أعلاه، عبر مثل هذه التطبيقات والأدوات والأنظمة؛ (ii) تقديم الدعم الفني، والصيانة وخدمات أخرى تتعلق بهذه التطبيقات والأدوات والأنظمة والبنية التحتية لتكنولوجيا المعلومات، بما في ذلك إمكانية الوصول إلى البيانات الشخصية المخزنة في هذه التطبيقات والأدوات والأنظمة؛ و(iii) تقديم خدمات حماية البيانات، والمراقبة الأمنية وخدمات الاستجابة للحوادث، بما في ذلك إمكانية الوصول إلى البيانات الشخصية أثناء تقديم هذا النوع من خدمات الحماية. يجوز لـ IQUALIF الاستعانة بمتعاقدين من الباطن كما هو مبين أدناه لتقديم الخدمات، لا سيما الخدمات المساندة.

• • • مزودو خدمات طرف ثالث خارجيون ككيانات مشاركة في معالجة البيانات

تستعين IQUALIF بمزوّدي خدمات طرف ثالث وغير تابعين لها لدعم تقديم الخدمات لمُصدّر البيانات. يوافق مُصدّر البيانات على هذا النوع من مزودي الخدمات الطرفية الخارجيين ككيانات مشاركة في معالجة البيانات

إذا كانت إحدى الكيانات المشاركة في المعالجة تقع خارج الاتحاد/المنطقة الاقتصادية الأوروبية، في بلد يُعتبر أنه لا يوفر مستوى حماية كافٍ للبيانات وفقًا لقرار من المفوضية الأوروبية، سيتخذ مُستورد البيانات التدابير اللازمة للحصول على مستوى حماية مناسب للبيانات وفقًا لـ RGPD، وكذلك وفقًا للقسم 3.4 (iv) من الجزء 1.

الملحق 2، الجزء 2

التدابير التقنية والتنظيمية للحماية

يتخذ مُستورد البيانات التدابير الفنية والتنظيمية التالية للحماية، والتي يؤكدها، عند الاقتضاء، مُصدّر البيانات، لضمان مستوى مناسب من الأمن لحماية حقوق وحريات الأشخاص، وبما يتناسب مع المخاطر. عند تقييم مستوى الحماية المعني، أخذ مُصدّر البيانات بعين الاعتبار على وجه الخصوص المخاطر المرتبطة بالمعالجة، مثل التدمير العرضي أو غير القانوني أو التغيير أو الكشف غير المسموح به أو الوصول إلى البيانات الشخصية المنقولة أو المخزنة أو معالجتها بأي شكل آخر كان. وللتوضيح: هذه التدابير التقنية والتنظيمية لا تغطي التطبيقات أو الأدوات أو الأنظمة و/أو البنى التحتية لتكنولوجيا المعلومات المقدمة من قِبل مُصدّر البيانات.

1 التدابير العامة الفنية والتنظيمية للحماية

1.1 استراتيجيات عامة لحماية المعلومات والبيانات

يجب اتخاذ التدابير التالية لمتابعة الاستراتيجيات العامة لحماية البيانات والمعلومات :

a) اتخاذ تدابير لتقييم التدابير المتخذة فيما يتعلق بالحماية التقنية والتنظيمية ;

b) تقديم تدريبات لرفع وعي الموظفين ;

c) امتلاك وصف للأنظمة المعنية ومنح الوصول للموظفين ;

d) إرساء عملية توثيق رسمية في كل مرة يتم فيها تنفيذ أو تعديل أنظمة ;

e) توثيق الهيكل التنظيمي والعمليات والمسؤوليات والتقييمات ذات الصلة ;

1.2 تنظيم حماية المعلومات

يجب اتخاذ التدابير التالية لتنسيق أنشطة حماية البيانات والمعلومات :

a) تحديد المسؤوليات المتعلقة بحماية المعلومات والبيانات (على سبيل المثال، من خلال سياسة إدارة حماية البيانات) ;

b) التأكد من توفر الكفاءات اللازمة فيما يتعلق بحماية المعلومات والبيانات ;

c) تعهد جميع الموظفين بالمحافظة على سرية البيانات الشخصية، وإبلاغهم بالعواقب المحتملة في حال خرق هذا التعهد.

1.3 مراقبة الوصول إلى مناطق المعالجة

يجب اتخاذ التدابير التالية لمنع الأشخاص غير المصرح لهم من الوصول إلى أنظمة معالجة البيانات (بما في ذلك البرامج والأجهزة) عند معاملة أو تخزين أو نقل البيانات الشخصية :

a) تحديد مناطق آمنة ;

b) حماية وتقييد الوصول إلى أنظمة معالجة البيانات ;

c) تحديد صلاحيات وصول للموظفين والأطراف الثالثة، بما في ذلك الوثائق ذات الصلة ;

d) تسجيل كل حالات الوصول إلى مراكز معالجة البيانات التي تستضيف البيانات الشخصية.

1.4 مراقبة الوصول إلى أنظمة معالجة البيانات

يجب اتخاذ التدابير التالية لمنع أي وصول غير مصرح به إلى أنظمة معالجة البيانات:

a) سياسات وإجراءات مصادقة المستخدمين ;

b) استخدام كلمات مرور على جميع أنظمة الحاسوب ;

c) يتطلب الوصول عن بُعد إلى الشبكة مصادقة متعددة العوامل، ويُمنح للموظفين المعنيين وفقًا لمسؤولياتهم وبموجب تفويض ;

d) يعتمد الوصول إلى وظائف محددة على أدوار وظيفية و/أو سمات معینة مُعيّنة لكل حساب مستخدم ;

e) مراجعة دورية لحقوق الوصول المتعلقة بالبيانات الشخصية ;

f) الحفاظ على سجلات لتغييرات حقوق الوصول.

1.4 مراقبة الوصول إلى مناطق استخدام محددة لأنظمة معالجة البيانات

يجب اتخاذ التدابير التالية حتى يقتصر وصول الأشخاص المصرح لهم باستخدام نظام معالجة البيانات على البيانات ضمن نطاق مسؤولياتهم وصلاحيات وصولهم، ولكي لا تُقرأ أو تُنسخ أو تُعدّل أو تُحذف البيانات الشخصية دون تفويض:

a) سياسات وتعليمات وتدريب للموظفين بشأن التزامات كل منهم بخصوص السرية وحقوق الوصول إلى البيانات الشخصية ونطاق معالجة البيانات الشخصية;

b) تدابير تأديبية تجاه الأشخاص الذين يصلون إلى البيانات الشخصية دون إذن ;

c) لن يُمنح الوصول إلى البيانات الشخصية إلا للأشخاص المصرح لهم وعلى أساس حاجة الاطّلاع ;

d) الحفاظ على قائمة بمسؤولي النظام، واتخاذ التدابير اللازمة لمراقبة مسؤولي النظام ;

e) عدم نسخ أو تكرار البيانات الشخصية على جميع أنظمة التخزين بحيث لا يمكن للأشخاص غير المصرح لهم حذف المعلومات من مصدرها ;

f) حذف مُسيطر عليه وموثق أو تدمير للبيانات ;

g) تخزين آمن لجميع البيانات الشخصية التي يجب الاحتفاظ بها لأسباب قانونية أو تنظيمية (مثال، التزامات الاحتفاظ بالبيانات)، وفقط طالما يتطلب القانون ذلك.

1.6 مراقبة عمليات النقل

يجب اتخاذ التدابير التالية لمنع قراءة أو نسخ أو تعديل أو حذف البيانات الشخصية من قِبل أطراف ثالثة غير مصرح لها أثناء النقل أو نقل أجهزة تخزين البيانات (اعتمادًا على المعالجة المنجزة للبيانات الشخصية) :

a) استخدام جدران حماية ;

b) تجنب تخزين البيانات الشخصية على أجهزة تخزين متنقلة بغرض النقل، أو تشفير الأجهزة c) استخدامها على الحواسيب المحمولة وغيرها من الأجهزة المحمولة فقط بعد تفعيل الحماية بالتشفير ;

d) تسجيل عمليات نقل البيانات الشخصية.

1.7 مراقبة الإدخال

يجب اتخاذ التدابير التالية لضمان إمكانية التحقق وتحديد ما إذا كان قد تم إدخال بيانات شخصية في أنظمة معالجة البيانات أو حذفها، ومن قام بذلك :

a) سياسة تفويض للقراءة والتعديل والحذف للبيانات المخزنة ;

b) تدابير حماية فيما يتعلق بقراءة وتعديل وحذف البيانات المخزنة.

1.8 مراقبة العمل

في حالة تفويض معالجة البيانات الشخصية، يجب اتخاذ التدابير التالية لضمان أن تُعالَج هذه البيانات وفقًا لتعليمات المُتحكّم:

a) اختيار كيانات أو كيانات فرعية مشاركة في المعالجة بعناية (مزودو خدمات يعالجون بيانات شخصية نيابة عن المُتحكّم);

b) تعليمات بشأن نطاق أي معالجة للبيانات الشخصية للموظفين والكيانات أو الكيانات الفرعية المشاركة في المعالجة ;

c) حقوق التدقيق المتفق عليها مع الكيانات أو الكيانات الفرعية المشاركة في المعالجة

d) وجود اتفاقيات مع الكيانات أو الكيانات الفرعية المشاركة في المعالجة.

1,9 فصل المعالجة لأغراض أخرى

يجب اتخاذ التدابير التالية لضمان أن البيانات التي تم جمعها لأغراض أخرى يمكن معالجتها بشكل منفصل :

a) فصل الوصول إلى البيانات الشخصية وفقًا لحقوق المستخدمين السارية ;

b) تصميم الواجهات، المعالجات الدفعات والتقارير لأهداف ووظائف أخرى، بحيث يمكن معالجة البيانات المجمعة لأغراض أخرى بشكل منفصل.

1.10 التشخيص المجهول (Pseudonymisation)

يجب اتخاذ التدابير التالية فيما يتعلق بتشخيص الهوية (pseudonymisation) للبيانات الشخصية :

a) إذا أمر مُصدّر البيانات بمعالجة محددة أو إذا اعتُبرت مناسبة من قبل مُستورد البيانات، ووفقا لقوانين حماية البيانات السارية فيما يتعلق بأنشطة معالجة معينة، فستُعالَج البيانات الشخصية بحيث لا يمكن نسبتها بعد إلى شخص محدد دون استخدام معلومات إضافية. وسيُحتفظ بهذه المعلومات الإضافية بشكل منفصل ;

b) استخدام تقنيات التشخيص المجهول، بما في ذلك العشوائية بقائمة توزيع؛ إنشاء قيم على شكل هاش.

1,11 التشفير

يجب اتخاذ التدابير التالية لتشفير البيانات الشخصية في التطبيقات والنقل التي تدعم التشفير : a) استخدام تقنيات التشفير ;

b) إرساء إدارة التشفير لدعم التقنيات المسموح باستخدامها ;

c) دعم استخدام التشفير من خلال إجراءات وبروتوكولات لتوليد ومراجعة وإبطال وتدمير وتوزيع وتصديق وتخزين وإدخال واستخدام وأرشفة المفاتيح التشفيرية كحماية ضد التغيير والكشف غير المصرح بهما.

1.12 سلامة أنظمة معالجة البيانات والخدمات

يجب اتخاذ التدابير التالية لضمان سلامة أنظمة معالجة البيانات والخدمات :

a) حماية أنظمة معالجة البيانات من التلاعب أو التدمير باستخدام وسائل مناسبة (مثل برامج مضادة للفيروسات، برامج منع فقدان البيانات وبرامج مكافحة البرمجيات الخبيثة، تصحيحات البرامج، جدران حماية وحماية مُدارة لأجهزة سطح المكتب) ;

b) منع تثبيت أي خدمات أو برامج قد تضر بأنظمة معالجة البيانات أو الخدمات أو تؤدي إلى تلاعب بالبيانات الشخصية ;

c) استخدام نظام كشف ومنع التسلل في الشبكة ضمن بنية الشبكة نفسها.

1,14 توفر أنظمة معالجة البيانات والخدمات، وإمكانية استعادة الوصول إلى البيانات الشخصية واستخدامها في حالة خلل مادي أو تقني

يجب اتخاذ التدابير التالية لضمان توفر أنظمة معالجة البيانات وكذلك لإمكانية استعادة توافر البيانات الشخصية والوصول إليها بسرعة في حال وقوع خلل مادي أو تقني (بما في ذلك التأكد من حماية البيانات الشخصية من أي تدمير أو فقدان عرضي):

a) وجود وسائل رقابية للاحتفاظ بنسخ احتياطية واستعادة البيانات المفقودة أو المحذوفة ;

b) التكرار البنيوي واختبارات التشغيل ;

c) حماية مادية للموارد الحاسوبية ;

d) استخدام أدوات لمراقبة حالة وتوفر الشبكة الداخلية ;

e) تقارير عن الحوادث وسياسات استجابة تنظم إجراءات إدارة الحوادث، وإعادة التأكيد على الالتزام بهذه السياسات في إطار التدريب المنتظم ;

f) نسخ احتياطية (أحيانًا خارج الموقع) لاستعادة النظام وتمكينه من استئناف وظائفه ;

g) خطط لاستمرارية الأعمال / استعادة الكوارث.

1.12 مقاومة أنظمة معالجة البيانات والخدمات

يجب اتخاذ التدابير التالية لضمان مقاومة أنظمة معالجة البيانات والخدمات :

a) تنسيق الأنظمة وتكوينها بتناغم، من خلال إعدادات أمان معتمدة ;

b) تكرار الشبكة ;

c) حماية بالحجز للأنظمة الحرجة.

1,16 إجراء لاختبار وتقييم والحكم دوريًا على فعالية التدابير التقنية والتنظيمية لضمان أمن المعالجة

إجراء لاختبار وتقييم والحكم دوريًا على فعالية التدابير التقنية والتنظيمية الهادفة إلى حماية معالجة البيانات

a) اتخاذ التدابير اللازمة لتقييم المخاطر واستراتيجيات التخفيف ;

b) عقد اجتماعات تحليل الخدمة لقسم تكنولوجيا المعلومات لمناقشة القضايا الحالية ;

c) تحديث خطط استمرارية الأعمال / استعادة الكوارث بانتظام.

الجزء 3

تواقيع الأطراف وقائمة مُستوردي البيانات

عند ملء أمر الشراء عبر الإنترنت والتحقق منه، وعن طريق وضع علامة في خانة قبول الشروط العامة للاستخدام، يتكوّن العقد الحاكم للعلاقة بين العميل وIQUALIF. 

سيُعتبر إرسال الدفعة إلى IQUALIF كافياً لإتمام العقد.