ملحق معالجة البيانات في tijariq

بين:

• المنشأة التي تستخدم tijariq ("المنشأة"، وهي المتحكم في البيانات)؛
• وشركة سايبرستريم للحلول والتجارة ش.ش.و (Cyberstream Solutions and Trading SPC)، السجل التجاري رقم 1664225، السوق، السيب الجديدة، ولاية السيب، محافظة مسقط، ص.ب 635، ر.ب 112، سلطنة عُمان ("سايبرستريم"، وهي المعالج).

هذا الملحق جزء من شروط الاشتراك في tijariq، وتقبله المنشأة بقبولها لتلك الشروط.

يلتزم كل طرف بقانون حماية البيانات الشخصية في سلطنة عُمان الصادر بالمرسوم السلطاني رقم 6/2022 ولائحته التنفيذية بالقدر الذي يسري عليه.

1. نطاق الملحق

1.1يغطي هذا الملحق البيانات الشخصية التي تُدخلها المنشأة أو مستخدموها أو عملاؤها في tijariq، متى كانت المنشأة هي من يحدد غرض استخدامها وطريقته. ومن أمثلتها بيانات عملاء المنشأة ومرضاها وضيوفها والعملاء المحتملين وجهات اتصال واتساب والموظفين والموردين.

1.2لا يغطي هذا الملحق البيانات الشخصية التي تستخدمها سايبرستريم لأغراضها الخاصة بصفتها متحكمًا، مثل بيانات حسابات مستخدمي المنشأة وسجلات الفوترة ورسائل الدعم؛ فهذه تغطيها سياسة الخصوصية في tijariq.

1.3يبيّن الملحق (1) البيانات وأصحابها والغرض منها، لكل وحدة.

2. الأدوار

2.1المنشأة هي المتحكم، وسايبرستريم هي المعالج وتعالج البيانات نيابة عن المنشأة.

2.2المنشأة مسؤولة عن:

• وجود أساس قانوني وأي موافقة لازمة للبيانات ولكل رسالة ترسلها؛
• أي تصريح يفرضه القانون، مثل التصريح بمعالجة البيانات الحساسة كالبيانات الصحية؛
• تزويد عملائها وموظفيها بمعلومات الخصوصية التي يفرضها القانون؛
• دقة البيانات التي تُدخلها؛
• التعليمات التي تعطيها عبر إعداداتها.

3. المعالجة وفق التعليمات فقط

3.1لا تعالج سايبرستريم البيانات إلا لتقديم tijariq للمنشأة ووفق تعليماتها الموثقة. وتُعد شروط الاشتراك وهذا الملحق وإعدادات المنشأة وإجراءاتها في tijariq هي تلك التعليمات.

3.2لا تبيع سايبرستريم البيانات، ولا تستخدمها في تسويقها الخاص، ولا تستخدم بيانات منشأة لخدمة منشأة أخرى.

3.3إذا ألزم القانونُ سايبرستريم بمعالجة البيانات على نحو آخر، تُبلغ المنشأة أولًا، ما لم يمنع القانون ذلك.

3.4إذا رأت سايبرستريم أن تعليمةً ما تخالف القانون، تُبلغ المنشأة ويجوز لها الامتناع عن تنفيذها.

4. سرية من يصل إلى البيانات

لا يصل إلى البيانات إلا موظفو سايبرستريم ومتعاقدوها الذين يحتاجون إليها لتقديم tijariq أو دعمه أو حمايته. وتُلزم سايبرستريم كلًّا منهم بالحفاظ على سرية البيانات.

5. الأمن

5.1تطبق سايبرستريم تدابير تقنية وتنظيمية تتناسب مع المخاطر، ويبيّن الملحق (2) أهمها.

5.2يجوز لسايبرستريم تحديث هذه التدابير دون خفض المستوى العام للحماية.

6. المعالجون الفرعيون

6.1تمنح المنشأة سايبرستريم تفويضًا عامًا بالاستعانة بالمعالجين الفرعيين الواردين في قائمة المعالجين الفرعيين.

6.2تُلزم سايبرستريم كل معالج فرعي بعقد مكتوب يتضمن التزامات لحماية البيانات لا تقل في جوهرها عن هذا الملحق، في حدود ما تسمح به الشروط القياسية لكل مزوّد. وتبقى سايبرستريم مسؤولة أمام المنشأة عن معالجيها الفرعيين.

6.3تُشعر سايبرستريم المنشأة قبل 30 يومًا على الأقل من إضافة معالج فرعي أو استبداله، بتحديث القائمة ومراسلة مالكي الحسابات بالبريد الإلكتروني. ويجوز الاستبدال العاجل (مثلًا بعد تعطل مزوّد) في وقت أقصر، مع الإشعار في أقرب وقت ممكن.

6.4يجوز للمنشأة الاعتراض لأسباب معقولة تتعلق بحماية البيانات خلال مدة الإشعار. وإذا تعذّرت تسوية الاعتراض، يجوز للمنشأة التوقف عن استخدام الوحدة المعنية وإلغاؤها واسترداد قيمة أي فترة مدفوعة مسبقًا لا تستطيع استخدامها.

7. مكان حفظ البيانات ونقلها

7.1تُحفظ قاعدة بيانات tijariq الرئيسية وملفاته في فرانكفورت بألمانيا (Supabase)، ويعمل التطبيق في فرانكفورت (Vercel، منطقة fra1).

7.2تجري بعض المعالجة في أماكن أخرى: يُرسل البريد الإلكتروني ويُستقبل عبر أيرلندا (Resend)، وشبكتا Cloudflare وMeta عالميتان، وتستخدم بعض مزايا الذكاء الاصطناعي مزوّدين في الولايات المتحدة، وقد يعالج بعض المزوّدين البيانات في الاتحاد الأوروبي أو الولايات المتحدة، ويصل مساعد iq إلى نموذج الذكاء الاصطناعي الخاص به عبر OpenRouter، الذي يمرّر كل طلب إلى الشركة التي تستضيف النموذج، ويعمل iq Pro على خوادم في الإمارات العربية المتحدة. وتبيّن قائمة المعالجين الفرعيين موقع كل منها.

7.3في كل نقل للبيانات خارج عُمان، تعتمد سايبرستريم على شروط تعاقدية مع المزوّد، وتشفير البيانات أثناء النقل، وقصر البيانات على ما تحتاجه الميزة.

7.4تستوفي سايبرستريم أي شرط يضعه القانون لعمليات النقل هذه، بما في ذلك أي تصريح أو إخطار تطلبه الجهة المختصة. وتقدّم سايبرستريم للمنشأة عند الطلب التفاصيل التي تحتاجها لإبلاغ عملائها وموظفيها بمكان وجود بياناتهم.

8. المساعدة في طلبات أصحاب البيانات

8.1يوفر tijariq للمنشأة أدوات للرد على طلبات عملائها وموظفيها، ومنها حاليًا:

• Clients: تصدير بيانات العميل ومحوها؛
• Connect: حذف جهة الاتصال مع جميع المحادثات والرسائل والملفات والملاحظات؛
• Team: محو بيانات موظف؛
• POS: تصدير بيانات POS الخاصة بالمنشأة.

8.2تبقى أدوات Clients متاحة للمالك حتى بعد انقطاع اشتراك Clients (التصدير للمالك أو المدير، والمحو للمالك). وإذا لم تتوفر في وحدة ما أداة للطلب، أو انقطع اشتراكها أو أُوقف، تنفّذ سايبرستريم الطلب بناءً على تعليمات مكتوبة من المنشأة، دون مقابل.

8.3إذا أرسل شخص إلى سايبرستريم طلبًا يتعلق ببيانات تتحكم فيها المنشأة، تحيله سايبرستريم إلى المنشأة دون تأخير غير مبرر، ولا ترد عليه مباشرة إلا إذا طلبت المنشأة ذلك أو فرضه القانون.

8.4إذا لم تكفِ الأدوات، تساعد سايبرستريم المنشأة في وقت يتيح لها الرد خلال 30 يومًا، أو في وقت أقرب إذا فرض القانون ذلك.

9. خروقات البيانات الشخصية

9.1تُبلغ سايبرستريم المنشأة دون تأخير غير مبرر، وخلال 72 ساعة من تأكّدها منه، بأي خرق يمس بيانات المنشأة.

9.2يتضمن الإبلاغ، بقدر ما هو معروف: ما حدث، وأنواع الأشخاص والسجلات المتأثرة وعددها التقريبي، والآثار المحتملة، وما اتخذته سايبرستريم وما ستتخذه من إجراءات، وجهة اتصال. وترسل سايبرستريم مزيدًا من المعلومات كلما توفرت.

9.3تساعد سايبرستريم المنشأة في الوفاء بأي التزام عليها بإخطار الجهة المختصة والأشخاص المتأثرين، ومن ذلك تزويدها بالمعلومات الواردة في البند 9.2.

9.4لا يُعد إبلاغ المنشأة بالخرق اعترافًا بالمسؤولية.

10. المساعدة في التقييمات وأمام الجهة المختصة

تقدم سايبرستريم للمنشأة المعلومات والمساعدة المعقولة في أي تقييم للأثر أو استشارة مسبقة أو طلب من الجهة المختصة يتعلق بالمعالجة.

11. الحذف أو الإعادة عند الانتهاء

11.1عند انتهاء خطط المنشأة، يمكنها تصدير بياناتها خلال 90 يومًا.

11.2بعد هذه الأيام الـ 90 تحذف سايبرستريم البيانات خلال 30 يومًا إضافية، ما لم يُلزمها القانون بالاحتفاظ ببعضها. وتُستبدل النسخ الاحتياطية وفق دورتها المعتادة، ولا يُحتفظ بها أكثر من 30 يومًا.

11.3يجوز للمنشأة أن تطلب من سايبرستريم حذف البيانات قبل ذلك.

11.4تؤكد سايبرستريم كتابيًا حذف البيانات عند الطلب.

12. التدقيق والمعلومات

12.1بناءً على طلب كتابي، مرة في السنة، تجيب سايبرستريم عن استبيان معقول بشأن الأمن والخصوصية، وتقدم للمنشأة المعلومات اللازمة لإثبات الالتزام بهذا الملحق.

12.2إذا لم يكفِ ذلك، أو طلبته الجهة المختصة، يجوز للمنشأة تدقيق التزام سايبرستريم بإشعار مسبق لا يقل عن 30 يومًا، خلال ساعات العمل، دون الوصول إلى بيانات منشآت أخرى، وبالتزام السرية، وعلى نفقة المنشأة. ولا يشمل التدقيق مقار المعالجين الفرعيين، ويُعتمد بدلًا من ذلك على تقاريرهم أو شهاداتهم.

13. المسؤولية والأولوية واللغة

13.1تخضع مسؤولية كل طرف بموجب هذا الملحق للحدود الواردة في شروط الاشتراك، إلا حيث لا يجيز القانون تحديدها.

13.2فيما يخص البيانات الشخصية، يُقدَّم هذا الملحق على شروط الاشتراك.

13.3يسري هذا الملحق ما دامت سايبرستريم تعالج بيانات المنشأة.

13.4حُرر هذا الملحق باللغة الإنجليزية، والنسخة العربية ترجمة مقدَّمة للتيسير. وعند الاختلاف يُعتمد النص الإنجليزي.

الملحق (1): تفاصيل المعالجة

طبيعة المعالجة: الحفظ والتنظيم والعرض والبحث والإرسال والتحليل (بما في ذلك استخدام الذكاء الاصطناعي لإعداد مسودات الإجابات) والتصدير والحذف، بالقدر اللازم لتشغيل كل وحدة.

المدة: طوال استخدام المنشأة لـ tijariq، مضافًا إليها مدد التصدير والحذف الواردة في البند 11.

البيانات الحساسة: قد تختار المنشأة حفظ بيانات صحية (مثل العيادات في Bookings أو Clients) أو وثائق هوية (مستندات المنشأة). وتكون المنشأة مسؤولة عن الأساس القانوني وأي تصريح وأي موافقة تلزم لذلك (البند 2.2).

الملحق (2): أهم التدابير الأمنية

1. تُفصل بيانات كل منشأة بأمان على مستوى الصفوف في قاعدة البيانات، وهو مفعّل لكل جدول خارج مخططات النظام الخاصة بمزوّد قاعدة البيانات.
2. تُشفّر البيانات أثناء النقل (HTTPS مع HSTS) وأثناء التخزين لدى مزوّد قاعدة البيانات.
3. تُحفظ رموز الوصول للخدمات المرتبطة (مثل واتساب) ومفاتيح مزوّدي الدفع مشفرة في خزنة، ولا يقرؤها إلا الكود العامل على الخادم.
4. تستخدم الروابط المرسلة إلى العملاء (عروض الأسعار، رفع المستندات) رموزًا عشوائية طويلة، ولا يُحفظ إلا تجزئة الرمز، وتنتهي صلاحية الروابط ويمكن إلغاؤها.
5. يُتحقق من توقيع الرسائل الآلية الواردة من Meta ومزوّدي الدفع قبل استخدامها.
6. تمر حركة الوصول إلى التطبيقات عبر حماية شبكة Cloudflare أو حماية الشبكة الخاصة بمزوّد الاستضافة.
7. تُقلَّل السجلات إلى الحد الأدنى، ولا نسجّل عمدًا رسائل العملاء أو المبيعات أو محتوى الفواتير.
8. يُمنع إرسال الرسائل التي تبادر بها المنشأة إلى من ألغى اشتراكه في رسائل واتساب التسويقية، وبعد حذف جهة الاتصال لا يُحفظ إلا رمز مُشفّر باتجاه واحد للرقم حتى يبقى إلغاء الاشتراك ساريًا.
9. تقتصر صلاحية الوصول إلى بيئة التشغيل على من يحتاجها.
10. نراجع الأمن بانتظام، وكانت آخر مراجعة شاملة في أكتوبر 2026.

الملحق (3): المعالجون الفرعيون

انظر قائمة المعالجين الفرعيين في tijariq (وثيقة مستقلة)، وهي جزء من هذا الملحق.