اتفاقية معالجة البيانات (DPA)

٢. الأدوار: جهة التحكم وجهة المعالجة

يقر الطرفان ويتفقان على توزيع الأدوار النظامية التالية فيما يخص البيانات المعالجة عبر المنصة:

• العميل (جهة التحكم): هو المتحكم الحصري في البيانات، ويحدد وحده أغراض معالجة البيانات الشخصية والتشغيلية ووسائلها المشروعة، ومسؤول عن امتلاك المسوغات النظامية لجمعها.
• أوبتروس (جهة المعالجة): تعمل بصفتها جهة معالجة للبيانات، وتقتصر معالجتها على تنفيذ تعليمات العميل الموثقة ولأغراض تقديم خدمات المنصة وصيانتها.

٣. نطاق وطبيعة وفئات البيانات المعالجة

تقتصر معالجة البيانات على البيانات الضرورية لتقديم خدمات إدارة الأصول، وتشمل عادةً بيانات حسابات المستخدمين المصرح لهم (الاسم، البريد الإلكتروني، الدور الوظيفي، معرفات الوصول)، وسجلات تدقيق أوامر العمل الميدانية، وتوقيعات الفنيين الرقمية، وبيانات القياس الفنية للأصول والمعدات.

لا تسعى أوبتروس ولا تطلب معالجة أي فئات خاصة من البيانات الشخصية الحساسة غير ذات الصلة بالعمليات الصناعية والصيانة.

٤. التعليمات الموثقة والامتثال للأنظمة

تلتزم أوبتروس بمعالجة البيانات الشخصية فقط بناءً على التعليمات الخطية والموثقة الصادرة عن العميل، بما في ذلك ما يتعلق بنقل البيانات، ما لم يكن هناك التزام قانوني أو تنظيمي ملزم بموجب الأنظمة السارية في المملكة العربية السعودية.

٥. سرية الموظفين والتدابير الفنية والتنظيمية (TOMs)

تلتزم أوبتروس بضمان خضوع جميع الموظفين والمقاولين المصرح لهم بالوصول إلى البيانات لاتفاقيات سرية مشددة وفحوصات أمنية دورية.

وتطبق أوبتروس تدابير فنية وتنظيمية متقدمة لحماية البيانات من التلف العرضي أو غير المشروع أو الفقدان أو التسريب، بما يشمل:

• تشفير البيانات أثناء النقل باستخدام بروتوكولات TLS 1.3 وتشفير البيانات المخزنة باستخدام معيار AES-256.
• إدارة الوصول المعتمدة على الأدوار (RBAC) ومصادقة متعددة العوامل (MFA) لكافة البيئات الإنتاجية.
• عزل شبكي مشدد وخيارات تشغيل سيادي معزول محلياً (Air-Gapped) دون اتصال بالإنترنت للأصول فائقة الحرجية.

٦. معالجو البيانات الفرعيون والبنية الإقليمية

لا تعين أوبتروس أي معالج فرعي للبيانات دون الحصول على موافقة عامة أو خاصة مسبقة من العميل. وتوفر أوبتروس خيارات استضافة ومعالجة حصرية للبيانات داخل مراكز بيانات معتمدة داخل المملكة العربية السعودية التزاماً بالضوابط الوطنية للأمن السيبراني وحماية البيانات.

٧. الاستجابة للحوادث الأمنية وإشعار الانتهاكات

في حال ثبوت حدوث أي اختراق أمني أو انتهاك للبيانات الشخصية يؤثر على بيانات العميل، تلتزم أوبتروس بإشعار العميل كتابياً فوراً ودون تأخير غير مبرر خلال مدد زمنية تتفق مع المتطلبات النظامية لنظام حماية البيانات الشخصية السعودي، مع تزويد العميل بكافة المعلومات الفنية المتاحة وتدابير الاحتواء الفورية.

٨. مساعدة العميل وحقوق أصحاب البيانات

نظراً لطبيعة المعالجة، توفر أوبتروس للعميل الأدوات التقنية والإجرائية اللازمة لتمكينه من الاستجابة لطلبات أصحاب البيانات لممارسة حقوقهم النظامية، مثل حق الوصول إلى البيانات، وتصحيحها، وتحديثها، وإتلافها.

٩. حذف واسترجاع البيانات عند انتهاء الخدمة

عند انتهاء أو فسخ اتفاقية الخدمة التجارية، تلتزم أوبتروس، بناءً على اختيار العميل الخطي، بحذف كافة البيانات الشخصية والتشغيلية التابعة له نهائياً وبشكل آمن أو إعادتها بصيغ قياسية منظمة، ما لم تقتض الأنظمة الوطنية السارية الاحتفاظ بأجزاء منها لفترة محددة.

١٠. التدقيق والتحقق ونقل البيانات عبر الحدود

تتيح أوبتروس للعميل الاطلاع على تقارير التدقيق المستقلة وشهادات الامتثال الفنية للتأكد من الالتزام ببنود هذه الاتفاقية.

ولا يتم إجراء أي نقل للبيانات الشخصية خارج أراضي المملكة العربية السعودية إلا وفق الشروط والضوابط والمعايير والضمانات الصارمة المنصوص عليها في نظام حماية البيانات الشخصية (PDPL) واللوائح التنظيمية الصادرة عن الهيئة السعودية للبيانات والذكاء الاصطناعي (سدايا).