اتفاقية معالجة البيانات
آخر تحديث: 1 مايو 2026
تُعد اتفاقية معالجة البيانات هذه («الاتفاقية») جزءاً من شروط الخدمة المبرمة بين MA OCEAN GROUP LTD، وهي شركة مسجلة في إنجلترا وويلز (رقم الشركة 17120150)، 128 City Road, London, EC1V 2NX, United Kingdom («المعالج»)، والمؤسسة العميلة («المسؤول عن البيانات») التي تستخدم خدمة Holiday Ocean 360 («الخدمة»).
1. الأدوار
يحدد المسؤول عن البيانات أغراض ووسائل معالجة البيانات الشخصية المتعلقة بقواه العاملة التي تُرفع إلى الخدمة. ولا يعالج المعالج هذه البيانات إلا وفق التعليمات الموثقة من المسؤول عن البيانات، وبما يتوافق مع هذه الاتفاقية والشروط وقانون حماية البيانات المعمول به (UK GDPR وGDPR وقانون حماية البيانات لعام 2018، ويُشار إليها مجتمعة بـ«قوانين حماية البيانات»).
2. الموضوع والمدة والطبيعة والغرض
- الموضوع: تقديم منصة Holiday Ocean 360 لإدارة الإجازات.
- المدة: مدة اتفاقية الاشتراك الأساسية مضافاً إليها فترة الحذف المحددة أدناه.
- الطبيعة والغرض: الاستضافة والتخزين والنقل والفهرسة وإنشاء الإشعارات والتقارير، وغير ذلك من الوظائف اللازمة لتشغيل الخدمة.
- فئات أصحاب البيانات: موظفو المسؤول عن البيانات ومتعاقدوه ومديروه ومسؤولو الموارد البشرية لديه، وأي أفراد آخرين من القوى العاملة يختار إضافتهم.
- فئات البيانات الشخصية: الاسم وبريد العمل والمسمى الوظيفي والقسم والمدير وموقع العمل واستحقاقات الإجازات وأرصدتها وطلباتها (بما فيها التواريخ والسبب إن وُجد) وبيانات الحضور والورديات ومدخلات الاستقطاعات وسجلات التدقيق والأحداث والتعليقات الاختيارية والمستندات الداعمة المرفوعة اختيارياً (مثل الشهادات المرضية) حين يختار المسؤول عن البيانات تفعيل هذه الوظيفة.
- الفئات الخاصة من البيانات: قد تشمل بيانات صحية (الإجازات المرضية والشهادات الطبية) وبيانات مرتبطة بالدين (مثل تقاويم العطل الدينية) حين يختار المسؤول عن البيانات رفعها، ويتحمل المسؤول عن البيانات مسؤولية الأساس القانوني وفق المادة 9 من UK GDPR.
3. التزامات المعالج
يلتزم المعالج بما يلي:
- عدم معالجة البيانات الشخصية إلا وفق التعليمات الموثقة من المسؤول عن البيانات، بما فيها ما تعكسه الشروط وإعدادات المنصة؛
- ضمان التزام كل الأفراد المخولين بمعالجة البيانات الشخصية بالسرية؛
- تطبيق تدابير تقنية وتنظيمية مناسبة (الملحق 1)؛
- مساعدة المسؤول عن البيانات، مع مراعاة طبيعة المعالجة، في الوفاء بالتزاماته بالرد على طلبات ممارسة أصحاب البيانات لحقوقهم؛
- مساعدة المسؤول عن البيانات في تقييمات أثر حماية البيانات والمشاورات مع السلطات الرقابية؛
- حذف كل البيانات الشخصية أو إعادتها، حسب اختيار المسؤول عن البيانات، خلال 30 يوماً من الإنهاء، إلا حيث يقتضي القانون حفظها؛
- إتاحة المعلومات اللازمة لإثبات الالتزام للمسؤول عن البيانات، والسماح بالتدقيق كما هو مبين أدناه.
4. التدابير الأمنية (الملحق 1)
- تشفير TLS 1.2 أو أحدث أثناء النقل، وتشفير AES-256 أثناء التخزين؛
- ضوابط وصول حسب الأدوار مع افتراض أقل الصلاحيات؛
- مصادقة متعددة العوامل لكل وصول من الفريق والمسؤولين؛
- تسجيل تدقيق شامل يُضاف إليه فقط مع عزل لكل مؤسسة؛
- عزل الشبكة والحماية من هجمات حجب الخدمة وجدار حماية تطبيقات الويب عبر Cloudflare؛
- فحص آلي للمكتبات البرمجية وإدارة للتحديثات؛
- نسخ احتياطية منتظمة مع إجراءات استعادة مختبرة؛
- استجابة موثقة للحوادث مع إبلاغ خلال 72 ساعة؛
- تحقق من خلفية أفراد الفريق الذين يصلون إلى بيانات بيئة التشغيل.
5. المعالجون الفرعيون
يفوّض المسؤول عن البيانات المعالج بالاستعانة بالمعالجين الفرعيين التالين:
- Amazon Web Services, Inc.: البنية التحتية السحابية (US East — N. Virginia)
- Railway Corp.: تنسيق الاستضافة
- Cloudflare, Inc.: شبكة توصيل المحتوى ونظام أسماء النطاقات والحماية من حجب الخدمة وجدار حماية التطبيقات
- Clerk, Inc.: الهوية والتحقق
- Stripe Payments Europe Ltd / Stripe Inc.: فوترة الاشتراكات
- Resend Inc.: توصيل رسائل البريد المعاملاتية
يقدم المعالج للمسؤول عن البيانات إشعاراً مسبقاً قبل 30 يوماً على الأقل من أي تغيير في هذه القائمة، ويجوز للمسؤول عن البيانات الاعتراض لأسباب معقولة تتعلق بحماية البيانات، وإن تعذر حل الاعتراض جاز لأي طرف إنهاء مكون الخدمة المتأثر مع استرداد نسبي للرسوم.
6. النقل الدولي
تستضيف الخدمة البيانات الشخصية على AWS في الولايات المتحدة، وحين تنشأ البيانات الشخصية في المملكة المتحدة أو المنطقة الاقتصادية الأوروبية:
- في النقل من المملكة المتحدة، يدمج الطرفان بالإحالة ملحق نقل البيانات الدولي في المملكة المتحدة (الصادر عن ICO) والبنود التعاقدية القياسية للاتحاد الأوروبي (الوحدة 2: من المسؤول إلى المعالج)؛
- في النقل من المنطقة الاقتصادية الأوروبية، يدمج الطرفان البنود التعاقدية القياسية للاتحاد الأوروبي (الوحدة 2)؛
- يطبق المعالج تدابير تقنية تكميلية (التشفير وإدارة المفاتيح وتقليل البيانات) تتناسب مع إرشادات EDPB الحالية.
7. حقوق أصحاب البيانات
توفر الخدمة أدوات خدمة ذاتية للتصدير والحذف. وحين يتعذر على المسؤول عن البيانات تلبية طلب صاحب بيانات عبر هذه الأدوات، يمكنه إرسال الطلب إلى support@maocean360.com، وسيرد المعالج دون تأخير لا مبرر له ودون تكلفة إضافية (متى كان حجم الطلبات معقولاً).
8. خرق البيانات الشخصية
يُبلغ المعالج المسؤول عن البيانات دون تأخير لا مبرر له، وفي كل الأحوال خلال 72 ساعة من علمه بخرق للبيانات الشخصية يمس بيانات المسؤول عن البيانات، مع تقديم معلومات كافية تمكّن المسؤول عن البيانات من الوفاء بالتزامات الإبلاغ الخاصة به.
9. التدقيق
بإشعار كتابي معقول (لا يتجاوز مرة واحدة كل 12 شهراً، إلا حيث يقتضي القانون ذلك أو بعد حادث أمني)، يجوز للمسؤول عن البيانات تدقيق التزام المعالج بهذه الاتفاقية. ويجوز للمعالج الوفاء بهذا الالتزام بتقديم تقارير تدقيق أو شهادات (مثل SOC 2 أو ISO 27001 عند الحصول عليها) أو استبيانات أمنية مكتملة. ويجب أن يُجرى التدقيق بموجب السرية وعلى نفقة المسؤول عن البيانات، إلا إذا كشف عن عدم التزام جوهري.
10. المسؤولية
تخضع المسؤولية بموجب هذه الاتفاقية للحدود المبينة في الشروط.
11. المدة والإنهاء
تستمر هذه الاتفاقية طوال مدة الاشتراك الأساسي، وعند الإنهاء يحذف المعالج بيانات المسؤول عن البيانات أو يجهّلها خلال 30 يوماً، إلا حيث يقتضي القانون الاحتفاظ بها.
12. القانون الحاكم
تخضع هذه الاتفاقية لقوانين إنجلترا وويلز، دون الإخلال بالأحكام الإلزامية لقوانين حماية البيانات.
13. القبول
قبول شروط الخدمة يُعد قبولاً لهذه الاتفاقية نيابة عن المسؤول عن البيانات، ويمكن تقديم نسخة موقعة منفصلة عند الطلب عبر support@maocean360.com.