ملحق معالجة البيانات (DPA)

1. التعريفات

تحمل مصطلحات "البيانات الشخصية"، "المعالجة"، "صاحب البيانات"، "المتحكم"، و"المعالج" المعاني الواردة في نظام حماية البيانات الشخصية السعودي (PDPL)، وعند الاقتضاء اللائحة العامة لحماية البيانات الأوروبية/البريطانية (GDPR).

2. الموضوع والمدة

يعالج المعالج البيانات الشخصية فقط لتقديم منصة LiveGRC للمتحكم، طوال مدة الاشتراك وأي فترة احتفاظ مطلوبة قانوناً.

3. طبيعة المعالجة وغرضها

• استضافة سجلات الحوكمة والمخاطر والالتزام للمتحكم (المخاطر، الضوابط، السياسات، الأدلة، الحوادث، المراجعات).
• توفير المصادقة، الوصول القائم على الأدوار، وسجلات المراجعة الداخلية.
• تقديم تحليل ذكي على الأوامر المرسلة من مستخدمي المتحكم.
• تقديم الدعم الفني وفق تعليمات المتحكم فقط.

4. فئات البيانات الشخصية وأصحابها

أصحاب البيانات: موظفو المتحكم ومقاولوه، وحيث يرفع المتحكم بيانات عملائه الخاصة.

الفئات: المعرفات (الاسم، البريد)، البيانات المهنية (الدور، الإدارة)، بيانات المصادقة، وأي بيانات شخصية يتضمنها المتحكم طوعاً في أدلته وسجلاته.

5. التزامات المعالج

• معالجة البيانات وفقاً لتعليمات المتحكم الموثقة (اتفاقية الخدمة + الإعدادات).
• إلزام كل من يحق له الوصول بالسرية.
• تطبيق التدابير التقنية والتنظيمية المناسبة (البند 8).
• مساعدة المتحكم في الاستجابة لطلبات أصحاب البيانات وتقييم الأثر (DPIA).
• إخطار المتحكم دون تأخير — وبحد أقصى 72 ساعة من العلم الفعلي — بأي خرق للبيانات الشخصية.
• حذف أو إعادة البيانات الشخصية عند انتهاء الخدمة، مع مراعاة متطلبات الاحتفاظ القانونية.

6. المعالجون الفرعيون

يمنح المتحكم إذناً عاماً للمعالج بإشراك معالجين فرعيين. وتشمل الفئات الحالية: الاستضافة السحابية وقاعدة البيانات، واستضافة التطبيق وشبكة الحافة، وخدمة تسجيل الدخول، وخدمات الدفع وتاجر السجل، ومزوّد نموذج الذكاء الاصطناعي المستخدم في المساعد، وخدمة البريد المؤسسي (Zoho Mail) التي تستضيف صناديق البريد الوظيفية للدعم والأمن والخصوصية. وتُوصف فئات المعالجين الفرعيين الحالية في إشعار الخصوصية (قسم «مشاركة البيانات»): الاستضافة السحابية وقاعدة البيانات، واستضافة التطبيق وشبكة الحافة، وخدمة تسجيل الدخول، وخدمات الدفع وتاجر السجل، ومزوّد نموذج الذكاء الاصطناعي المستخدم في المساعد. وتُنشر قائمة المعالجين الفرعيين الحالية في بيئة الإنتاج، مع الغرض وموقع المعالجة المتحقق منه، على saudigrc.app/trust-center/subprocessors؛ كما يمكن للمتحكم طلب القائمة الحالية كتابةً في أي وقت.

يفرض المعالج التزامات حماية بيانات لا تقل صرامة عن هذا الملحق على كل معالج فرعي، ويظل مسؤولاً عن تصرفاتهم، ويُخطر المتحكم بأي تغيير جوهري ويتيح فترة معقولة للاعتراض.

7. الاستضافة والنقل الدولي

تُخزَّن البيانات الشخصية في AWS eu-central-1 (فرانكفورت، ألمانيا)، وتعمل طبقة التطبيق وشبكة الحافة من مناطق الاتحاد الأوروبي والولايات المتحدة. ولا يستضيف المعالج داخل المملكة العربية السعودية، ولا يقدّم أي التزام بإقامة البيانات داخل المملكة بموجب هذا الملحق.

ولأن البيانات تُعالَج خارج المملكة، يعمل المعالج على استكمال آلية النقل المناسبة بموجب نظام حماية البيانات الشخصية ولائحة نقل البيانات الشخصية خارج المملكة، بما يشمل تقييم أثر النقل والضمانات التعاقدية اللازمة. ولا يُقرّ المعالج بأن هذه الآلية قد اكتملت أو اعتُمدت حتى تاريخه. وتظل تدابير الأمن الواردة في القسم 8 والالتزامات المفروضة على المعالجين الفرعيين سارية، ويلتزم المعالج بإخطار المتحكم عند اكتمال الآلية أو تغيّرها جوهرياً.

8. تدابير الأمن

• TLS 1.2+ أثناء النقل، وتشفير البيانات عند التخزين.
• عزل المستأجرين عبر Row-Level Security.
• التحكم بالوصول القائم على الأدوار ومبدأ الحد الأدنى من الصلاحيات.
• سجل مراجعة داخلية تلقائي لكل تغيير على الجداول الحساسة.
• مستودع أدلة خاص غير عام مع روابط موقّعة عند الوصول.
• نسخ احتياطي منتظم، إدارة أسرار، ومراجعات وصول دورية.

9. المراجعة الداخلية

مرة واحدة سنوياً وعلى نفقة المتحكم، يمكن للمتحكم طلب معلومات معقولة (أو شهادات أطراف ثالثة عند توفرها) تُثبت الامتثال لهذا الملحق، مع مراعاة السرية.

10. الإعادة والحذف

عند إنهاء الخدمة، يحذف المعالج البيانات الشخصية خلال 90 يوماً، مع مراعاة متطلبات الاحتفاظ القانونية (حتى 7 سنوات للسجلات المحاسبية/الضريبية). تُدوَّر النسخ الاحتياطية وفق دورات المعالج المعتادة.

11. المسؤولية

تخضع المسؤولية بموجب هذا الملحق لحدود المسؤولية الواردة في اتفاقية الخدمة، وبالقدر الذي تسمح به الأنظمة السارية.

12. القانون الحاكم

يخضع هذا الملحق لأنظمة المملكة العربية السعودية.