ملحق معالجة البيانات (DPA)

الأطراف وتاريخ السريان

يشكل ملحق معالجة البيانات هذا (DPA) جزءًا من الاتفاقية التي تنظم استخدام العميل للخدمات (الاتفاقية) عند توقيعه أو إدراجه صراحةً فيها.

• العميل هو الشخص أو المؤسسة المحددة في الاتفاقية أو نموذج الطلب أو خانة التوقيع.
• Phaseo هو Daniel Butler، الذي يعمل بالاسم التجاري Phaseo، وعنوان الخدمة هو [يُدرج العنوان وأي بيانات ضريبية أو بيانات تسجيل مطلوبة].

تاريخ السريان هو تاريخ آخر توقيع على DPA هذا أو إدراجه بصورة صحيحة في الاتفاقية.

إذا تعارض DPA هذا مع الاتفاقية بشأن معالجة البيانات الشخصية للعميل، تسود أحكام DPA هذا. وتظل بقية الاتفاقية دون تغيير.

1. التعريفات

• قانون حماية البيانات المعمول به يعني قانون الخصوصية وحماية البيانات المنطبق على المعالجة بموجب DPA هذا. ويشمل UK GDPR وData Protection Act 2018 وData (Use and Access) Act 2025 بقدر تعديله لقانون حماية البيانات البريطاني وEU GDPR والتشريعات الوطنية المنطبقة التي تنفذها أو تكملها.
• بيانات العميل تعني البيانات التي يقدمها العميل أو من ينوب عنه إلى الخدمات، أو التي يوجه العميل Phaseo لمعالجتها عبر الخدمات.
• البيانات الشخصية للعميل تعني البيانات الشخصية الواردة في بيانات العميل والتي تعالجها Phaseo نيابةً عن العميل.
• موفر الذكاء الاصطناعي يعني جهة خارجية تتلقى طلبًا لتشغيل نموذج ذكاء اصطناعي أو خدمة مرتبطة به.
• الخدمات تعني خدمات Phaseo المشمولة بالاتفاقية.
• المعالج الفرعي يعني معالجًا آخر تستعين به Phaseo لمعالجة البيانات الشخصية للعميل لأغراض الخدمات.
• المتحكم والمعالج وصاحب البيانات وخرق البيانات الشخصية والمعالجة لها المعاني المحددة لها في قانون حماية البيانات المعمول به.

2. النطاق والأدوار والتعليمات

1. العميل هو المتحكم في البيانات الشخصية للعميل، وPhaseo هي المعالج. وإذا كان العميل نفسه معالجًا، تكون Phaseo معالجًا فرعيًا للعميل، ويؤكد العميل أن المتحكم المعني قد أذن بتعليماته.
2. لا تعالج Phaseo البيانات الشخصية للعميل إلا وفق تعليماته الموثقة. وتشمل التعليمات الموثقة الاتفاقية وDPA هذا وطلبات API الخاصة بالعميل والنماذج والموفرين المختارين وقواعد التوجيه وإعدادات المنتج وطلبات الدعم المكتوبة. وتشمل هذه التعليمات عمليات النقل اللازمة لتقديم الخدمات.
3. إذا ألزم قانون المملكة المتحدة أو الاتحاد الأوروبي Phaseo بمعالجة البيانات الشخصية للعميل دون تعليمات العميل، فستُخطر Phaseo العميل قبل المعالجة ما لم يمنع القانون ذلك.
4. تُخطر Phaseo العميل إذا اعتقدت أن إحدى التعليمات تخالف قانون حماية البيانات المعمول به. ويجوز لها تعليق المعالجة المتأثرة إلى أن يحل الطرفان المسألة.
5. يوضح الملحق 1 موضوع المعالجة ومدتها وطبيعتها وغرضها وأنواع البيانات الشخصية وفئات أصحاب البيانات والحقوق والواجبات ذات الصلة بالطرفين.
6. تعمل Phaseo بصفتها متحكمًا مستقلًا عندما تحدد أغراضها ووسائلها الخاصة للمعالجة، بما في ذلك إدارة الحسابات والفوترة ومنع الاحتيال والامتثال القانوني وأمن الخدمات. وتنطبق سياسة الخصوصية على تلك المعالجة. ولا تعتبر Phaseo محتوى البوابة بيانات لمتحكم مستقل لمجرد مروره عبر الخدمات.

3. مسؤوليات العميل

1. يلتزم العميل بقانون حماية البيانات المعمول به، ويقدم جميع الإشعارات المطلوبة، ويملك أساسًا قانونيًا صحيحًا لتعليماته وللبيانات الشخصية للعميل.
2. لا يقدم العميل بيانات الفئات الخاصة أو بيانات الجرائم أو بيانات بطاقة الدفع الكاملة أو غيرها من البيانات شديدة الحساسية إلا إذا أجازت الاتفاقية ذلك صراحةً وبعد تقييم الإعدادات المختارة وموفري الذكاء الاصطناعي.
3. يتحمل العميل مسؤولية القيود المفروضة على موفري الذكاء الاصطناعي وإعدادات الاحتفاظ والتسجيل وبيانات الاعتماد والوجهات التي يحددها العميل.
4. يحد العميل من الوصول إلى الخدمات ويحمي بيانات اعتماده ويخطر Phaseo فورًا إذا اشتبه في وصول غير مصرح به أو معالجة غير مشروعة.

4. السرية والأمان

1. تقصر Phaseo الوصول إلى البيانات الشخصية للعميل على الأشخاص الذين يحتاجون إليها لتقديم الخدمات أو تأمينها أو دعمها، أو للامتثال للقانون.
2. يلتزم كل شخص تأذن له Phaseo بمعالجة البيانات الشخصية للعميل بواجب تعاقدي للسرية أو بواجب قانوني مناسب.
3. تحافظ Phaseo على التدابير التقنية والتنظيمية الواردة في الملحق 2. ويجب أن توفر مستوى أمان يتناسب مع المخاطر مع مراعاة العوامل المذكورة في المادة 32 من UK GDPR وEU GDPR.
4. يجوز لـPhaseo تغيير تدابير فردية مع تطور الخدمات، لكنها لن تخفض بصورة جوهرية مستوى الحماية الإجمالي للبيانات الشخصية للعميل خلال مدة الاتفاقية.

5. المعالِجون الفرعيون وموفرو الذكاء الاصطناعي

1. يمنح العميل Phaseo تفويضًا كتابيًا عامًا لاستخدام المعالِجين الفرعيين الواردين في سجل المعالِجين الفرعيين.
2. تخطر Phaseo العميل قبل 30 يومًا على الأقل من بدء معالج فرعي جديد معالجة البيانات الشخصية للعميل. يُرسل الإشعار إلى بريد الحساب ويُسجل في القائمة. وإذا تعذر الإخطار المسبق بسبب حاجة أمنية أو حاجة ملحة لاستمرارية الخدمة، تخطر Phaseo العميل في أقرب وقت ممكن.
3. يجوز للعميل تقديم اعتراض كتابي خلال فترة الإشعار لأسباب معقولة تتعلق بحماية البيانات. ويحاول الطرفان حل الاعتراض بحسن نية. وإذا تعذر ذلك، يجوز لـPhaseo تجنب المعالج الفرعي أو اقتراح تغيير معقول للخدمة أو السماح للعميل بإيقاف استخدام الجزء المتأثر من الخدمات بموجب الاتفاقية.
4. تلزم Phaseo كل معالج فرعي بشروط مكتوبة توفر للبيانات الشخصية للعميل حماية لا تقل عن الشروط المنطبقة في DPA هذا. وتظل Phaseo مسؤولة عن أداء المعالج الفرعي بالقدر الذي يوجبه قانون حماية البيانات المعمول به.
5. يكون موفر الذكاء الاصطناعي المستخدم عبر مسار تديره Phaseo معالجًا فرعيًا عندما يعالج البيانات الشخصية للعميل نيابةً عن Phaseo. وإذا قدم العميل بيانات اعتماد خاصة به أو أبرم اتفاقية مباشرة مع موفر الذكاء الاصطناعي، يكون الموفر عادةً جهة مستلمة يوجه إليها العميل البيانات ما لم ينص السجل على غير ذلك. ويتحدد الدور القانوني للموفر بحسب المعالجة الفعلية والقانون المعمول به، لا بحسب التسمية في DPA هذا.
6. يوجه العميل Phaseo إلى الإفصاح عن بيانات العميل لموفري الذكاء الاصطناعي المسموح بهم في إعدادات التوجيه. ويجوز للعميل استخدام القيود المتاحة عندما تكون هوية الموفر أو موقعه أو مدة الاحتفاظ أو سياسة التدريب مهمة.

6. المساعدة والواجبات التنظيمية

1. مع مراعاة طبيعة المعالجة، تستخدم Phaseo تدابير تقنية وتنظيمية مناسبة لمساعدة العميل على الرد على طلبات أصحاب البيانات بموجب قانون حماية البيانات المعمول به.
2. إذا تلقت Phaseo مباشرةً طلبًا من صاحب بيانات بشأن البيانات الشخصية للعميل، تحيله إلى العميل. ولا ترد نيابةً عنه ما لم يوجهها العميل أو يوجب القانون ذلك.
3. مع مراعاة طبيعة المعالجة والمعلومات المتاحة لـPhaseo، تساعد Phaseo العميل في الوفاء بالتزاماته المتعلقة بالأمان وإشعارات خرق البيانات الشخصية وتقييمات الأثر والتشاور المسبق مع سلطة إشرافية.
4. تحتفظ Phaseo بالسجلات وتتعاون مع السلطات الإشرافية عندما يوجب قانون حماية البيانات المعمول به ذلك.
5. إذا طلب العميل مساعدة كبيرة تتجاوز ميزات المنتج القياسية، يجوز لـPhaseo فرض تكاليف معقولة ومتفق عليها ما لم يكن العمل لازمًا بسبب إخلال Phaseo بـDPA هذا.

7. خرق البيانات الشخصية

1. تُخطر Phaseo العميل دون تأخير غير مبرر بعد علمها بخرق بيانات شخصية يؤثر في البيانات الشخصية للعميل.
2. بقدر ما يكون معلومًا وقت الإخطار، يصف الإخطار طبيعة الخرق وفئات أصحاب البيانات والسجلات المتأثرة وعددها التقريبي والعواقب المحتملة والتدابير المتخذة أو المقترحة وجهة الاتصال. ويجوز لـPhaseo تقديم المعلومات على مراحل.
3. تتخذ Phaseo خطوات مناسبة لاحتواء الخرق والتحقيق فيه والحد من آثاره ومعالجته، وتقدم المعلومات والمساعدة اللازمة بصورة معقولة لأي إخطار يوجبه القانون.
4. لا يُعد إخطار Phaseo إقرارًا بالخطأ أو المسؤولية. ويظل العميل مسؤولًا عن تقرير ما إذا كان عليه إخطار سلطة إشرافية أو أصحاب البيانات المتأثرين.

8. عمليات النقل الدولية

1. لا تجري Phaseo نقلًا مقيّدًا للبيانات الشخصية للعميل إلا بناءً على تعليمات العميل الموثقة وامتثالًا لقانون حماية البيانات المعمول به.
2. يجوز للطرفين الاعتماد على قرار أو لائحة ملاءمة منطبقة. وعند عدم توفر ذلك، يبرمان البنود التعاقدية القياسية لعام 2021 للمفوضية الأوروبية للنقل الدولي أو اتفاقية نقل البيانات الدولية للمملكة المتحدة أو ملحق المملكة المتحدة لتلك البنود الأوروبية أو ضمانًا صالحًا آخر.
3. إذا استلزم ضمان النقل تقييمًا للمخاطر أو اختبار حماية البيانات في المملكة المتحدة، تقدم Phaseo المعلومات المتاحة بصورة معقولة وتنفذ التدابير التكميلية المتفق عليها.
4. إذا لم تعد آلية النقل توفر أساسًا قانونيًا، يعتمد الطرفان آلية قانونية أخرى أو يوقفان المعالجة المتأثرة.
5. قبل التوقيع، يحدد الملحق 4 المصدّر والمستورِد ووحدة SCC والقانون الحاكم والسلطة الإشرافية والبنود الاختيارية وآلية المملكة المتحدة ومواقع المعالجة لكل نقل لا يشمله قرار ملاءمة.

9. إعادة البيانات وحذفها

1. يجوز للعميل استرجاع بيانات العميل المدعومة أو حذفها باستخدام عناصر التحكم المتاحة في المنتج خلال مدة الاتفاقية.
2. عند انتهاء الخدمات، تعيد Phaseo البيانات الشخصية للعميل أو تحذفها وتحذف نسخها الحالية وفق اختيار العميل، ما لم يوجب القانون الاحتفاظ بها. ويبلغ العميل Phaseo باختياره قبل الإنهاء أو خلال 30 يومًا بعده. وإذا لم يختر، تحذف Phaseo البيانات.
3. تكمل Phaseo حذف البيانات الشخصية للعميل من الأنظمة النشطة دون تأخير غير مبرر وفي موعد لا يتجاوز 30 يومًا من التعليمات أو تاريخ الإنهاء. يزيل سير الخدمة الذاتية حساب Auth وسجلات قاعدة البيانات النشطة وملفات عملاء Stripe المرتبطة، ويجدول حذفًا قابلًا لإعادة المحاولة لكائنات R2 الخاصة وإدخالات Gateway KV. ولا تحتفظ سجلات الإكمال بمعرّف مستخدم أو مساحة عمل.
4. تظل النسخ الاحتياطية محمية ومعزولة عن الاستخدام العادي حتى حذفها ضمن دورة النسخ. ويحتوي مشروع Supabase الإنتاجي على نقاط استعادة يومية لمدة سبعة أيام، كما أن الاستعادة إلى نقطة زمنية محددة معطلة. تعيد Phaseo التحقق من هذه المدة قبل التوقيع وبعد تغيير خطة النسخ الاحتياطي.
5. لا يؤدي حذف Phaseo إلى إزالة البيانات التي يحتفظ بها متحكم مستقل أو جهة مستلمة يوجه إليها العميل البيانات. وعلى العميل توجيه تلك الجهات بصورة منفصلة.

10. المعلومات وعمليات التدقيق

1. توفر Phaseo المعلومات اللازمة بصورة معقولة لإثبات الامتثال لـDPA هذا والمادة 28، مع مراعاة واجبات السرية والأمان.
2. يراجع العميل عادةً مواد الثقة الحالية لدى Phaseo وردودها المكتوبة قبل طلب التفتيش. ولا يحد ذلك من تدقيق يوجبه القانون أو سلطة إشرافية.
3. يجوز للعميل تدقيق Phaseo مرة خلال كل 12 شهرًا وبعد خرق بيانات شخصية أو دليل موثوق على عدم امتثال جوهري. ويجب تقديم إشعار قبل 30 يومًا على الأقل ما لم تكن المسألة عاجلة أو تطلب سلطة إشرافية مهلة أقصر.
4. يجري التدقيق العميل أو مدقق مستقل مؤهل ملتزم بالسرية. ويجب ألا يتيح الوصول إلى بيانات عملاء آخرين أو الشيفرة المصدرية أو أنظمة لا تتعلق بالمعالجة. وتتعاون Phaseo ويجوز لها تقديم أدلة مكافئة إذا أنشأ الوصول المباشر خطرًا أمنيًا.
5. يتحمل العميل تكاليف تدقيقه والتكاليف المعقولة لـPhaseo ما لم يكشف التدقيق عن إخلال جوهري من Phaseo بـDPA هذا.
6. لا تملك Phaseo حاليًا تقرير SOC 2 أو شهادة ISO 27001 أو تقرير اختبار اختراق مستقل.

11. المدة والمسؤولية والشروط العامة

1. يظل DPA هذا ساريًا ما دامت Phaseo تعالج البيانات الشخصية للعميل بموجب الاتفاقية.
2. لا يعفي أي حكم في DPA هذا أي طرف من الواجبات أو المسؤولية التي يفرضها عليه مباشرةً قانون حماية البيانات المعمول به.
3. تسري حدود المسؤولية والاستثناءات في الاتفاقية على DPA هذا بالقدر الذي يسمح به القانون.
4. تسري أحكام القانون الحاكم وتسوية النزاعات في الاتفاقية ما لم يقتضِ قانون حماية البيانات المعمول به أو آلية نقل مدرجة خلاف ذلك.

الملحق 1: تفاصيل المعالجة

الملحق 2: التدابير التقنية والتنظيمية

• استخدام HTTPS لتقديم الخدمة العامة والاتصالات من Phaseo إلى موفري الذكاء الاصطناعي.
• تشفير بيانات اعتماد موفري العميل باستخدام AES-256-GCM قبل تخزينها. كما تُخزن أسرار webhook والإشعارات المدعومة بصورة مشفرة.
• اشتقاق أحادي الاتجاه قائم على مفتاح أو كلمة مرور لأسرار API والإدارة وOAuth.
• أدوار مساحات العمل وسياسات الوصول إلى قاعدة البيانات وأذونات API وOAuth المحددة وشاشات الموافقة وعناصر التحكم في الإلغاء.
• حدود للمعدل على مسارات المصادقة الحساسة والوقت الفعلي، مع تحقق منظم عند حدود الطلبات والإعدادات.
• يُستبعد محتوى Gateway الخام من قاعدة الطلبات الأساسية والتحليلات، باستثناء مسارات ذاكرة الاستجابات والتسجيل ومساهمة البيانات وموفر الذكاء الاصطناعي والوجهة التي يحددها العميل والمبينة في وثيقة الأمان.
• سجلات البنية التحتية المُدارة وبيانات الطلب الوصفية ومؤشرات صحة الموفر وصفحة عامة لحالة الحوادث.
• التحكم في الإصدارات وملفات قفل التبعيات والفحص الآلي للشفرة وفحص الأنواع والاختبارات المحددة والإبلاغ الخاص عن الثغرات.

هذه التدابير مُعلنة ذاتيًا. ولا تدعي Phaseo وجود برنامج أمان خضع لتدقيق مستقل أو برنامج تعافٍ من الكوارث تم اختباره أو شهادة رسمية.

الملحق 3: المعالِجون الفرعيون

يشكل سجل المعالِجين الفرعيين المؤرخ الملحق 3 عند تنفيذ DPA هذا. وينظم القسم 5 الإضافات والاستبدالات.

أكملت Phaseo تصنيفًا أوليًا لموفري الذكاء الاصطناعي النشطين الذين تديرهم. وقبل التنفيذ، يجب استكمال فحوص عقود المعالجة وإعدادات الحساب والنقل والاحتفاظ المحددة في السجل، وإزالة أي موفر مُدار غير معتمد للبيانات الشخصية للعميل أو تقييده. وتُدرج منفصلةً الجهات التي يستخدمها العميل ببيانات اعتماده أو اتفاقيته الخاصة.

الملحق 4: شروط النقل المقيّد

أكمل هذا الملحق قبل التنفيذ إذا نُقلت البيانات الشخصية للعميل دون قرار أو لائحة ملاءمة منطبقة. وحدد آلية النقل والمصدّر والمستورِد والبلدان وفئات البيانات وأصحابها والتكرار والغرض والاحتفاظ والسلطة الإشرافية المختصة والقانون الحاكم وبنود SCC الاختيارية وأي تدابير تكميلية.

أساس إعداد المسودة

تتبع هذه المسودة قائمة التحقق الحالية لعقود المعالجة المنشورة من مكتب مفوض المعلومات البريطاني والمواد الصادرة عن المفوضية الأوروبية بشأن المادة 28 والنقل الدولي. وتشير ICO إلى أنها تراجع أجزاءً من إرشادات عقود المعالجة بعد قانون Data (Use and Access) لعام 2025. وينبغي لمستشار قانوني مؤهل مراجعة النسخة النهائية وفق القانون والإرشادات السارية حينها.

• ICO: الشروط الإلزامية لعقد المتحكم والمعالج
• ICO: النقل الدولي
• المفوضية الأوروبية: البنود القياسية بين المتحكم والمعالج

قسم التوقيع