ملحق معالجة البيانات

1. الأدوار

فيما يخص البيانات الشخصية لعملاء العميل وجهات اتصاله («بيانات العميل»)، يكون العميل هو المتحكّم وتكون ZaLink هي المعالج. ولا تكون ZaLink متحكّماً إلا في بيانات حسابها وفوترتها وموقعها الإلكتروني، وهي بيانات تغطيها سياسة الخصوصية الخاصة بها. ويصف الملحق رقم 1 عمليات المعالجة.

2. المعالجة بناءً على تعليمات العميل فقط

لا تعالج ZaLink بيانات العميل إلا لتقديم ZaLink AI على النحو الموضّح في الشروط، ووفقاً لما يضبطه العميل في التطبيق (مثل إعدادات الذكاء الاصطناعي ووضع الرد والحملات والأنظمة المتصلة)، ووفقاً لأي تعليمات مكتوبة أخرى يصدرها العميل. ولا تستخدم ZaLink بيانات العميل لأغراضها الخاصة، ولا تبيعها، ولا تستخدمها لتدريب نماذج الذكاء الاصطناعي. وإذا رأت ZaLink أن تعليمةً ما تخالف القانون، فإنها تُبلغ العميل بذلك.

يجوز لـ ZaLink معالجة بيانات العميل حيثما يُلزمها القانون بذلك؛ وفي هذه الحالة تُبلغ العميل مسبقاً ما لم يحظر القانون ذلك.

3. مسؤوليات العميل

• وجود أساس قانوني للمعالجة، وتزويد عملائه بإشعار خصوصية يغطي استخدام ZaLink ومزوّدي الخدمات لديها (بما في ذلك مراسلات واتساب ومعالجة الذكاء الاصطناعي) والمعالجة خارج دولة الإمارات؛
• الحصول على موافقة مسبقة صريحة (opt-in) على الحملات التسويقية وتوثيقها، والتعامل مع طلبات إلغاء الاشتراك؛
• تقرير مدى ملاءمة ZaLink لأي فئات خاصة من البيانات، مثل البيانات الصحية، والحصول على أي موافقة تنظيمية يتطلبها ذلك (راجع قسم الرعاية الصحية في الشروط)؛
• ضبط إعدادات ZaLink بحيث يتمكّن الأشخاص من التواصل مع أحد الموظفين، ولا يخضعون لقرارات آلية ذات أثر جوهري دون تدخّل بشري.

4. السرية ووصول الموظفين

لا يصل إلى بيانات العميل إلا موظفو ZaLink المصرّح لهم ممن يحتاجون إليها، وذلك فقط لتقديم الدعم أو الحفاظ على أمان الخدمة أو التحقيق في المشكلات أو الامتثال للقانون. ويلتزم هؤلاء الموظفون بموجبات السرية.

5. الأمان

تطبّق ZaLink التدابير الفنية والتنظيمية الواردة في الملحق رقم 2 وتراجعها باستمرار. ويجوز لـ ZaLink تحسين هذه التدابير مع مرور الوقت، لكنها لن تخفض المستوى العام للحماية.

6. المعالجون الفرعيون

يأذن العميل لـ ZaLink بالاستعانة بمعالجين فرعيين من الفئات الموضّحة في الملحق 3 وفي صفحة مقدّمو الخدمات والمعالجون الفرعيون. وتحتفظ ZaLink بجدول محدَّث للمعالجين الفرعيين يذكر اسم كل معالج فرعي وما يقوم به ومكان معالجته للبيانات، وتقدّمه إلى العميل عند الطلب. وتظل ZaLink مسؤولة عن معالجة معالجيها الفرعيين لبيانات العميل، وهي بصدد إبرام شروط مكتوبة لحماية البيانات مع كل منهم توفّر للبيانات حمايةً لا تقل عمّا يتطلبه هذا الملحق. وتُحدّث ZaLink الجدول، وتُبلغ العملاء الذين طلبوا إشعارهم، قبل [عدد الأيام — يُستكمل بعد التأكيد] يوماً على الأقل من بدء أي معالج فرعي جديد في معالجة بيانات العميل. وإذا اعترض العميل اعتراضاً معقولاً لأسباب تتعلق بحماية البيانات، يتباحث الطرفان في الأمر بحسن نية؛ فإن تعذّر عليهما التوصل إلى حل، جاز للعميل إلغاء الخدمة المعنية واسترداد الرسوم المدفوعة مقدماً عن الفترة التالية للإلغاء.

تعالج منصة واتساب رسائل WhatsApp بموجب شروط الأعمال التي يقبلها العميل مباشرةً مع المنصة. أما الأنظمة التي يختار العميل ربطها (مثل نظام نقاط البيع)، فتعمل بموجب اتفاقية العميل الخاصة معها، ولا تُعدّ من المعالجين الفرعيين لـ ZaLink.

7. النقل خارج دولة الإمارات

تُخزَّن بيانات العميل في سنغافورة، ويعالجها المعالجون الفرعيون على بنيتهم التحتية العالمية، على النحو المبيّن في صفحة المعالجون الفرعيون. وتعتمد ZaLink في عمليات النقل هذه على شروط تعاقدية لحماية البيانات مع معالجيها الفرعيين، وهي بصدد إبرامها مع كل منهم. ويُقرّ العميل بهذه المواقع، ويتحمّل مسؤولية إبلاغ عملائه بها.

8. المساعدة في الطلبات المقدَّمة من الأفراد

توفّر ZaLink أدوات داخل التطبيق تتيح للعميل البحث عن البيانات وتصديرها وتصحيحها وحذفها (موضّحة في صفحة طلبات البيانات وحذفها)، وتقدّم المساعدة في كل ما لا تغطيه هذه الأدوات. وإذا تلقّت ZaLink طلباً مباشرةً من أحد عملاء العميل، فإنها تحيله إلى العميل دون تأخير غير مبرّر، ولا ترد عليه بنفسها ما لم يطلب العميل ذلك.

9. الحوادث الأمنية

تُخطر ZaLink العميل دون تأخير غير مبرّر، وفي جميع الأحوال خلال [عدد الساعات — يُستكمل بعد التأكيد] ساعة، من علمها بوقوع حادث أمني يمس بيانات العميل. ويتضمن الإخطار وصفاً لما حدث، والبيانات والأشخاص المرجّح تأثرهم، والعواقب المحتملة، والتدابير المتخذة أو المقترحة، مع موافاة العميل بمزيد من التفاصيل فور توفّرها. وتساعد ZaLink العميل في الوفاء بأي التزام يقع عليه بإخطار السلطات أو الأشخاص المتأثرين.

10. تقييمات الأثر والمعلومات

تقدّم ZaLink المعلومات اللازمة بصورة معقولة لتمكين العميل من إجراء تقييم أثر حماية البيانات، وإثبات الامتثال لهذا الملحق، والرد على أي سلطة مختصة. وتحتفظ ZaLink بسجل لعمليات المعالجة التي تجريها لصالح عملائها. ويُتفق مسبقاً على أي تدقيق يتجاوز تقديم المعلومات المكتوبة، على أن يكون بإشعار معقول وعلى نفقة العميل، ودون المساس ببيانات العملاء الآخرين.

11. عند انتهاء الخدمة

بعد انتهاء الاشتراك، يجوز للعميل طلب نسخة من بيانات العميل بصيغة شائعة قابلة للقراءة آلياً، وطلب حذفها. وعند تأكيد طلب الحذف، تحذف ZaLink بيانات مساحة عمل العميل على النحو الموضّح في صفحة طلبات البيانات وحذفها، إلا حيث يُلزم القانون بالاحتفاظ بها. وتُزال النسخ الموجودة في النسخ الاحتياطية وسجلات النظام عند انتهاء صلاحيتها. [المدة التي تُحذف بعدها بيانات مساحات العمل المنتهية دون طلب، إن وُجدت — يُستكمل بعد التأكيد].

12. المسؤولية وترتيب الأولوية

يسري تحديد المسؤولية الوارد في الشروط على هذا الملحق. وفي حال تعارض هذا الملحق مع الشروط فيما يتعلق بحماية البيانات، تكون الأولوية لهذا الملحق.

13. الملحق رقم 1: وصف المعالجة

14. الملحق رقم 2: التدابير الأمنية

• تحمل سجلات كل مساحة عمل معرّفاً خاصاً بها، وتُفعَّل قواعد الوصول إلى قاعدة البيانات على مستوى الصفوف (row-level security) على كل جداول التطبيق، بحيث لا يصل المستخدمون إلا إلى بيانات مساحة عملهم. كما تُرشِّح وظائف الخادم البيانات حسب مساحة العمل.
• وصول قائم على الأدوار داخل كل مساحة عمل (المسؤولون، ومنهم المالك، وموظفو الدعم).
• يجب على مالك مساحة العمل الجديدة تأكيد عنوان بريده الإلكتروني برمز يُستخدم لمرة واحدة قبل إنشاء مساحة العمل. ويتولى مزوّد خدمة المصادقة معالجة كلمات المرور وتخزينها بصيغة مُجزّأة (hashed).
• تُحفظ الملفات المخزّنة في مساحة تخزين خاصة. ولا تُتاح وسائط العملاء إلا عبر روابط تنتهي صلاحيتها بعد ساعة واحدة، ولا تُتاح ملفات قاعدة المعرفة إلا لأعضاء مساحة العمل الذين سجّلوا الدخول.
• اتصالات مشفّرة (HTTPS/TLS) بالتطبيق وواجهات البرمجة. ويشفّر مزوّد البنية التحتية السحابية البيانات المخزّنة.
• لا تُقبل إشعارات webhook الواردة من WhatsApp إلا إذا كانت تحمل توقيعاً صالحاً من منصة واتساب.
• تُخزَّن بيانات اعتماد أنظمة نقاط البيع المتصلة في خزنة أسرار مخصّصة.
• يُفحص محتوى قاعدة المعرفة المسترجَع بحثاً عن عبارات معروفة تهدف إلى التلاعب بالذكاء الاصطناعي؛ وعند رصد تطابق، يُحال الرد إلى مراجعة الموظفين بدلاً من إرساله تلقائياً.
• يُحتفظ لمدة 90 يوماً بسجل للإجراءات عالية المخاطر (مثل التغييرات على الاشتراكات واتصالات WhatsApp ووضع رد الذكاء الاصطناعي والمعرفة وعضوية الفريق).
• يُمحى المُخرَج التقني الكامل للذكاء الاصطناعي لكل رسالة بعد 14 يوماً.
• يقتصر الوصول إلى جميع مساحات العمل على عدد محدود من مسؤولي ZaLink المصرّح لهم.
• تُستضاف قاعدة البيانات ومساحة تخزين الملفات لدى مزوّد البنية التحتية السحابية الذي نتعامل معه في سنغافورة.

15. الملحق 3: المعالجون الفرعيون

تستعين ZaLink بمعالجين فرعيين من الفئات التالية: مزوّدو خدمات البنية التحتية السحابية والاستضافة (البنية التحتية التي تعمل عليها منصة ZaLink: قاعدة البيانات وتخزين الملفات وتسجيل الدخول ووظائف الخادم، وتُستضاف في سنغافورة)؛ ومزوّدو خدمات معالجة الذكاء الاصطناعي (معالجة الذكاء الاصطناعي التي تستخدمها ZaLink AI)؛ ومزوّدو خدمات الاتصالات والمراسلة (مراسلات واتساب)؛ ومزوّدو خدمات معالجة المدفوعات (بعد تفعيل الدفع الإلكتروني)؛ ومزوّدو خدمات الأمن والبريد الإلكتروني والتشغيل.

يُقدَّم جدول المعالجين الفرعيين (اسم كل معالج فرعي ووظيفته ومكان معالجته للبيانات) إلى العميل بناءً على طلب مبرَّر، أو وفق ما يقتضيه القانون المعمول به أو العقد، عبر support@zalink.ai.

16. التواصل

للاستفسارات المتعلقة بهذا الملحق: support@zalink.ai.