اتفاقية معالجة البيانات

عندما تستخدم الخدمات لمعالجة بيانات ذات طابع شخصي، تكون أنت المسؤول عن المعالجة، وتكون IRON ID Group، [LEGAL ENTITY NAME]، المعالِج.

وتكمّل هذه الاتفاقية الشروط والأحكام. وعند التعارض في شأن معالجة البيانات ذات الطابع الشخصي، تسود هذه الاتفاقية.

تدوم المعالجة ما دام العقد الأصلي قائمًا، مضافًا إليها مهلة التصدير البالغة ثلاثين يومًا عند الإنهاء.

وتبقى التزامات السرّية والأمن قائمة بعد انتهاء العقد ما دامت IRON ID تحوز بيانات لحسابك.

لا تعالج IRON ID البيانات إلا بتعليمات موثّقة من المسؤول عن المعالجة. ويُعدّ استعمال الخدمات التعليمةَ الأولى؛ وتُصاغ كل تعليمة إضافية كتابةً.

وإذا بدت لنا تعليمة مخالفة للقانون الواجب التطبيق، أعلمناك بذلك دون تأخير، وجاز لنا تعليق تنفيذها إلى حين التوضيح.

تتناول المعالجة الفئات الآتية، وتحدّدها طريقة استعمالك للخدمات:

• الأشخاص المعنيون: أعضاء مؤسستك، والمتعاونون الخارجيون المدعوّون، والمراسلون، و— بالنسبة لحزمة KYC — الأشخاص الذين تطلب التحقّق منهم.
• بيانات التعريف: الاسم، وعنوان البريد، والمنصب، والانتماء إلى فريق.
• بيانات المصادقة: كلمات المرور المُجزّأة، وعوامل المصادقة المتعدّدة، والجلسات، والأجهزة.
• المحتوى المودَع: المستندات وبياناتها الوصفية كما ترفعها.
• بيانات التحقّق (حزمة KYC): وثائق الهوية، والبيانات المستخرَجة، ونتائج الفحوص، وقرارات المراجعين.
• بيانات السجلّات: الإجراءات المُنفَّذة، والأوقات، والسياق التقني.

يخضع المخوَّلون بمعالجة البيانات لالتزام سرّية تعاقدي، ولا يطّلعون إلا على البيانات التي تقتضيها مهمّتهم.

والوصول التقني إلى بيئات الإنتاج محدود واسمي ومقيَّد في سجلّ التدقيق.

التدابير الآتية قائمة وموصوفة بالتفصيل في صفحة الأمن:

• تشفير عند التخزين بـ AES-256-GCM، بمفتاح بيانات مستقلّ لكل نسخة، مغلَّف بخدمة إدارة مفاتيح لا ترى المحتوى أبدًا.
• تشفير الاتصالات أثناء النقل.
• عزل بين المؤسسات يفرضه أمن مستوى الصفوف في قاعدة البيانات، إضافةً إلى مرشّح التطبيق.
• سجلّ تدقيق بالإضافة فقط، محميّ بصلاحيات SQL وبمُشغِّل في قاعدة البيانات، مسلسل بشجرة Merkle بنقاط تحقّق مختومة.
• مصادقة متعدّدة العوامل، وإدارة للجلسات والأجهزة، ومفاتيح API محدودة النطاق وقابلة للإبطال.
• فصل استعمالات المفاتيح: ستة استعمالات، وستة مفاتيح مستقلّة غير قابلة للتصدير، مع إبقاء جذر سلطة الشهادات دون اتصال.
• جدار حماية تطبيقات، وحماية من هجمات الحرمان، وتحديد لمعدّل الطلبات عند الحافة.

تأذن لـ IRON ID باللجوء إلى المعالِجين الفرعيين المذكورين في سياسة الخصوصية: Scaleway للاستضافة والتخزين وإدارة المفاتيح؛ وCloudflare عند الحافة؛ وResend للرسائل المعاملاتية.

ويُخطَر بأي إضافة أو استبدال قبل ثلاثين يومًا من السريان. ويجوز لك الاعتراض لسبب معقول يتعلّق بحماية البيانات؛ وعند تعذّر الحلّ، جاز لك الإنهاء دون غرامة.

وتفرض IRON ID على كل معالِج فرعي التزامات حماية لا تقلّ عن التزامات هذه الاتفاقية، وتظلّ مسؤولة عن تنفيذها.

تساعدك IRON ID، في حدود الممكن تقنيًا، على الردّ على طلبات الأشخاص المعنيين. وتتيح المنصّة مباشرةً الاطّلاع والتصحيح والتصدير والمحو.

ونساعدك كذلك في دراسات الأثر والاستشارات المسبقة، بتزويدك بما لدينا من معلومات عن البنية وتدابير الأمن.

تُخطرك IRON ID بأي خرق للبيانات ذات الطابع الشخصي دون تأخير غير مبرَّر بعد علمها به، وفي كل الأحوال ضمن مهلة تتيح لك احترام المهلة التي يفرضها عليك قانونك الواجب التطبيق، بحسب نموذج النشر المعتمَد.

ويصف الإخطار طبيعة الخرق، وفئات البيانات والأشخاص المعنيين وحجمها التقريبي، والعواقب المحتملة، والتدابير المتَّخذة أو المقترحة.

تُستضاف البيانات في فرنسا، في المنطقة fr-par، خارج نطاق قانون Cloud Act. ولا يجري أي نقل إلى بلد آخر خارج المعالِجين الفرعيين المذكورين والضمانات التعاقدية التي تحكمهم.

وعند الاتفاق على نشر سيادي، يحدّد عرضُ السعر المقابل منطقةَ البيانات والمعالِجين الفرعيين المطبَّقين.

عند انتهاء العقد، لديك ثلاثون يومًا لتصدير كامل البيانات بصيغة مفتوحة وموثّقة. وبعد هذه المهلة تحذف IRON ID البيانات وفق مدد الاحتفاظ الواردة في سياسة الخصوصية.

وتبقى بيانات الدليل — البصمات والأختام الزمنية وقيود التدقيق — وفق الشروط الموصوفة في البند 5 من سياسة الخصوصية، وإلا لتوقّفت الأدلة الصادرة عن كونها قابلة للتحقّق.

تضع IRON ID تحت تصرّفك المعلومات اللازمة لإثبات احترام هذه الاتفاقية، وتخضع لعمليات تدقيق، بما فيها المعاينات، يجريها أنت أو مدقّق مفوَّض ملزَم بالسرّية.

وباستثناء وقوع حادث أو طلب سلطة مختصة، تجري عمليات التدقيق مرة واحدة سنويًا على الأكثر، بإشعار مدته ثلاثون يومًا، خلال ساعات العمل، ودون المساس بأمن بيانات العملاء الآخرين.

سيُذكر هنا الكيان المتعاقد والقانون الذي يحكم هذه الاتفاقية، مع ما يقابلهما في الشروط والأحكام، قبل الإتاحة التجارية للخدمات. [TO BE COMPLETED BY LEGAL COUNSEL]