اتفاقية معالجة البيانات

تُنشر هذه الوثيقة بلغات متعددة. في حال وجود أي تعارض بين النسخ اللغوية، تكون النسخة البولندية هي الملزمة.

الإصدار 2.2 · آخر تحديث: 29 أكتوبر 2026

اتفاقية معالجة البيانات الشخصية نيابة عن متحكم بموجب المادة 28 من اللائحة العامة لحماية البيانات (GDPR)

بين عميل formexposed بصفته المتحكم في البيانات («العميل») وLW IT Solutions Company Lukas Wójcik، al. Tadeusza Kościuszki 80/82, lok. 301, 90-437 Łódź، بولندا، NIP (رقم التعريف الضريبي البولندي) 7252266190، بصفتنا معالج بيانات («نحن»).

ملاحظات تمهيدية: موضوع الاتفاقية

يفحص formexposed نماذج اتصال المواقع للتحقق من حمايتها من الرسائل المزعجة والإساءة، ويراقبها ويبلغ عن التغييرات. نكون نحن المتحكم لمعظم البيانات الناشئة أثناء ذلك: حساب العميل والفوترة وأمان الخدمة والسجلات والفحوص دون حساب. تصف سياسة الخصوصية هذه المعالجة؛ ولا تسري عليها هذه الاتفاقية.

لكن بعض الوظائف تُدخل إلى الخدمة بيانات شخصية لأطراف ثالثة، والعميل هو من يقرر بشأنها: نسخ استفسارات حقيقية من زوار موقعه، وعناوين متلقي تنبيهاته، وبيانات دخول حساب اختبار، وشيفرة يقدمها لنا للعمل عليها. لا نعالجها إلا نيابة عنه. تسري عليها هذه الاتفاقية. يبين الملحق 1 في نهايتها الوظائف بالتفصيل.

تتبع الاتفاقية المادة 28(3) من GDPR، وتسترشد في بنيتها ومحتواها بالبنود التعاقدية القياسية للمفوضية الأوروبية بين المتحكمين والمعالجين (القرار التنفيذي (EU) 2021/915). لا تتبناها حرفيا بل تصف الخدمة الفعلية. حيث نفصل التزاما بموجب المادة 28 من GDPR، لا يجوز النزول بمستوى الحماية عن اللائحة.

§ 1 الموضوع والنطاق والأدوار

(1) موضوع الاتفاقية معالجتنا البيانات الشخصية نيابة عن العميل أثناء تقديم الخدمة بموجب شروط الخدمة. يحدد الملحق 1 لكل وظيفة موضوع المعالجة وطبيعتها وغرضها وأنواع البيانات الشخصية وفئات أصحاب البيانات.

(2) لا تشمل الاتفاقية المعالجة التي نكون نحن متحكمها، خصوصا حساب العميل وأعضاء مساحة العمل والدخول وأمان الحساب والفوترة والدعم والسجلات ونسخ هذه البيانات الخاصة بنا الاحتياطية والفحص المجاني دون حساب وفحوص نطاقات الحساب التي لم يقدم العميل إثبات التحكم بها بعد وفحص العملاء المحتملين والدراسة والشارة وما تنقله إضافة WordPress وامتداد TYPO3: الأرقام اليومية وجرد الإضافات، ولإضافة WordPress متصلة نطاقات روابط الرسائل المحظورة لحماية السرب (مفعلة افتراضيا). وبحكم بناء الامتدادات، لا تتضمن تلك البيانات غير ذلك محتوى أو أسماء أو عناوين أو عناوين IP للزوار. وبالمقابل، تعد النسخ الاحتياطية بقدر احتوائها بيانات العميل، والوصول لبياناته للتشغيل واستكشاف الأخطاء والأمان، جزءا من المعالجة نيابة عنه؛ ويسري عليها § 7(3) و§ 15(5).

(3) العميل متحكم بمعنى المادة 4(7) من GDPR في بيانات الملحق 1. إذا كان هو نفسه معالج بيانات لطرف ثالث، مثل وكالة لعملائها، نكون معالجا فرعيا لتلك البيانات. يضمن العميل حينها توافق الاتفاقية مع التزامات عقده، ولا يمرر تعليمات الطرف الثالث إلينا إلا من خلاله.

(4) الإبرام: تُبرم الاتفاقية عند التسجيل مع شروط الخدمة مع كل عميل، حتى إذا لم يستخدم وظائف الملحق 1. تُبرم إلكترونيا؛ بما يستوفي المادة 28(9) من GDPR. نخزن لهذا الغرض النسخة المعروضة ومجموعها الاختباري ووقت القبول وعنوان IP ومعرف المتصفح.

§ 2 التعريفات

لمصطلحات «البيانات الشخصية» و«المعالجة» و«المتحكم» و«المعالج» و«خرق البيانات الشخصية» معنى المادة 4 من GDPR. وإضافة إلى ذلك:

• بيانات العميل هي البيانات الشخصية التي نعالجها نيابة عنه بموجب الملحق 1.
• المعالج الفرعي معالج آخر نستعين به ويعالج بيانات العميل أثناء ذلك (المادة 28(2) و(4) من GDPR).
• مساحة العمل المجال في الخدمة الذي يدير فيه العميل نطاقاته وإعداداته وأعضاءه. تُسند جميع بيانات العميل إلى مساحة عمل.
• الشكل النصي أي إقرار مقروء على وسيط دائم، خصوصا بريد إلكتروني.
• الأيام أيام تقويمية. إذا صادفت نهاية مهلة سبتا أو أحدا أو عطلة رسمية في بولندا، تنتهي بيوم العمل التالي.

§ 3 المدة

(1) تسري الاتفاقية ما دمنا نعالج بيانات العميل. تبدأ عند التسجيل ولا تنتهي لمجرد انتهاء باقة مدفوعة: يستمر الحساب بعد الإلغاء مجانا، ومعه بيانات العميل عند الاقتضاء. تنتهي عند حذف الحساب وعدم احتفاظنا بأي بيانات للعميل، باستثناء النسخ الاحتياطية حتى انتهاء صلاحيتها (§ 15).

(2) تستمر بعد الإنهاء الالتزامات التي تقتضي طبيعتها ذلك، خصوصا السرية والحذف والإثبات والمسؤولية.

(3) يُستبعد الإنهاء العادي لهذه الاتفاقية وحدها، لأنه دونها لا يمكن معالجة بيانات العميل ما دام الحساب موجودا. إذا أراد إنهاءها يحذف حسابه (§ 15(3)). لا تتأثر حقوق الإنهاء بموجب § 9(3) و§ 16 وشروط الخدمة.

§ 4 التعليمات

(1) نعالج بيانات العميل فقط بناءً على تعليمات موثقة من العميل، بما في ذلك ما يتعلق بنقلها إلى بلد ثالث أو إلى منظمة دولية. ولا يسري ذلك عندما يلزمنا قانون الاتحاد أو قانون الدولة العضو الذي نخضع له بإجراء المعالجة. وفي هذه الحالة نبلغ العميل بهذا الالتزام القانوني قبل المعالجة، ما لم يحظر ذلك القانون تقديم هذه المعلومات لأسباب مهمة تتعلق بالمصلحة العامة (المادة 28(3)، الجملة الثانية، النقطة (a) من اللائحة العامة لحماية البيانات (GDPR)).

(2) ترد تعليمات العميل بصورة شاملة في هذه الاتفاقية وفي شروط الخدمة وفي الإعدادات التي يجريها العميل في الخدمة. أمثلة: إعداد فحص التسليم هو تعليمات بقبول نسخ رسائل البريد الإلكتروني للنماذج وتقييمها؛ وإنشاء وجهة للتنبيهات هو تعليمات بإرسال الإشعارات إليها؛ وحفظ حساب اختبار هو تعليمات بتسجيل الدخول باستخدامه لإجراء الفحص خلف تسجيل الدخول. وقد صممت الخدمة بحيث تنفذ فقط ما تنص عليه هذه الإعدادات.

(3) يقدم العميل تعليمات إضافية بالشكل النصي إلى contact@lukaswojcik.com أو عبر نافذة الدعم. ويحق لمالك مساحة العمل ومسؤوليها تقديم التعليمات؛ أما التعليمات بواسطة إعدادات الخدمة فيقدمها كل من تسمح له صلاحيات دوره بإجراء الإعداد المعني. ويؤكد العميل التعليمات الشفهية بالشكل النصي دون تأخير غير مبرر؛ وحتى ذلك الحين يجوز لنا الانتظار قبل تنفيذها، إلا إذا تعلقت التعليمات بمحو البيانات أو تقييدها. ونتعامل مع التعليمات التي تتجاوز نطاق الخدمات المتفق عليه بوصفها طلبا لتغيير الخدمات؛ ويجوز لنا رفضها أو إخضاعها لمقابل نحدده مسبقا بالشكل النصي. ولا نرفض لهذا السبب تعليمات تتعلق بالتزام بموجب اللائحة العامة لحماية البيانات (GDPR)، مثل المحو.

(4) إذا رأينا أن تعليمات ما تخالف القانون، نبلغ العميل فورا (المادة 28(3)، الفقرة الفرعية الثانية، من اللائحة العامة لحماية البيانات (GDPR)). ويجوز لنا تعليق تنفيذها إلى أن يؤكد العميل التعليمات أو يعدلها. ولا ننفذ التعليمات التي يتضح عدم مشروعيتها. ولسنا ملزمين بإجراء مراجعة قانونية شاملة لكل تعليمات؛ وتظل مسؤولية مشروعيتها على عاتق العميل.

§ 5 تقييد الغرض وما لا نفعله ببيانات العميل

(1) نعالج بيانات العميل فقط للأغراض الواردة في الملحق 1 وبالقدر الذي تتطلبه الوظيفة المعنية فقط.

(2) لا نستخدم بيانات العميل لأغراضنا الخاصة. وعلى وجه الخصوص، لا نحللها لأغراض إعلانية، ولا نبيعها، ولا ندمجها مع بيانات عملاء آخرين لإنشاء ملفات تعريف، ولا نستخدمها لتدريب النماذج اللغوية. ويعمل النموذج اللغوي الذي يساعد في وظائف محددة على خادمنا الخاص؛ ولا يرسل أي شيء إلى خدمة ذكاء اصطناعي خارجية.

(3) يسمح لنا العميل باستخلاص أرقام مجمعة من بيانات العميل لا يمكن إسنادها بعد ذلك إلى أي شخص أو عميل أو نطاق، مثلا بشأن عمليات التسليم أو الأخطاء أو نتائج الفحص. ويعد التجميع معالجة بموجب هذه الاتفاقية؛ أما الأرقام الناتجة فلا تعود بيانات شخصية ولا بيانات عميل. ولا نحاول إعادة التعرف على الأشخاص من خلالها.

§ 6 التزامات العميل

(1) يتحمل العميل مسؤولية مشروعية المعالجة التي يطلب منا تنفيذها. ويشمل ذلك وجود أساس قانوني لها وإبلاغ أصحاب البيانات بموجب المادتين 13 و14 من اللائحة العامة لحماية البيانات (GDPR).

(2) إذا استخدم العميل فحص التسليم، فإنه يبلغ زوار موقعه في سياسة الخصوصية لديه بأن نسخة من رسالة البريد الإلكتروني للنموذج ترسل إلينا. وتعرض الخدمة نصا مقترحا لذلك في صفحة النطاق؛ وتتوفر نصوص إضافية في نص سياسة الخصوصية لموقعكم. ولا يحل الاقتراح محل تقييم العميل نفسه.

(3) لإجراء الفحص خلف تسجيل الدخول، ينشئ العميل حساب اختبار مخصصا لا يتمتع إلا بالصلاحيات اللازمة لقراءة الصفحات المحددة ولا يعرض أي بيانات حقيقية للعملاء أو المرضى أو الأعضاء أو الموظفين. ولا يحفظ بيانات تسجيل الدخول الخاصة بشخص حقيقي أو بيانات تسجيل دخول غير مخول باستخدامها. وترد قواعد الاستخدام أيضا في الاستخدام المقبول وإساءة الاستخدام.

(4) لا يتيح العميل معالجة فئات خاصة من البيانات الشخصية (المادة 9 من اللائحة العامة لحماية البيانات (GDPR)) أو البيانات المتعلقة بالإدانات الجنائية (المادة 10 من اللائحة العامة لحماية البيانات (GDPR)) عبر الخدمة، بقدر ما يمكنه تجنب ذلك. وعند استخدام «Fix it for me»، لا يلصق شفرة تحتوي على بيانات شخصية حقيقية، ولا ينشئ بوابات للعملاء إلا للأشخاص الذين طلبوا التقرير.

(5) بوابات العملاء: بالنسبة إلى التقرير الشهري للمشتركين، يكون العميل، وهو عادة وكالة، هو المتحكم في البيانات. وتحصل الخدمة على تأكيد كل مشترك عبر رابط تأكيد (اشتراك بتأكيد مزدوج)، وتتيح إلغاء الاشتراك في كل رسالة بريد إلكتروني. ويتعين على العميل تقييم ما إذا كانت الموافقة تشمل محتوى التقرير.

(6) إذا اكتشف العميل أخطاء أو مخالفات في المعالجة، فإنه يبلغنا دون تأخير غير مبرر.

(7) إذا ضمن العميل الشارة، فلا يعد ذلك معالجة نيابة عنه؛ وتصف سياسة الخصوصية لدينا المعالجة ذات الصلة. ويذكر العميل ذلك في سياسة الخصوصية لديه.

§ 7 السرية

(1) لا نمنح الوصول إلى بيانات العميل إلا للأشخاص الذين يحتاجون إليه لأداء مهامهم والذين التزموا بالسرية أو يخضعون لالتزام قانوني مناسب بالسرية (المادة 28(3)، الجملة الثانية، النقطة (b) من اللائحة العامة لحماية البيانات (GDPR)). ويستمر الالتزام بعد انتهاء عملهم.

(2) يدير المالك الخدمة بنفسه حاليا. وإذا انضم أشخاص آخرون، فإنهم يلزمون بالسرية ويتلقون تعليمات بشأن التعامل مع البيانات الشخصية قبل حصولهم على الوصول لأول مرة.

(3) لا نطلع على مساحة العمل إلا بالقدر اللازم للتشغيل أو استكشاف الأخطاء وإصلاحها أو الدعم أو منع إساءة الاستخدام. وتقتصر وظيفة الدعم «العرض كعميل» على ساعة واحدة، وتحظر تغيير كلمة المرور والعنوان والعامل الثاني والاشتراك والتصدير والحذف، ويجري تسجيلها؛ ويرى العميل هذا الوصول في تصدير بياناته.

§ 8 أمن المعالجة

(1) نتخذ التدابير التقنية والتنظيمية بموجب المادة 32 من اللائحة العامة لحماية البيانات (GDPR) التي تضمن مستوى أمن مناسبا للمخاطر. وترد أوصافها في صفحة التدابير التقنية والتنظيمية. وتلك الصفحة تشكل جزءا من هذه الاتفاقية (الملحق 2) بالصيغة المنشورة فيها في الوقت المعني. وقد أتيح للعميل الاطلاع على الوصف قبل إبرام الاتفاقية. ويقيم العميل على مسؤوليته الخاصة ما إذا كانت التدابير توفر مستوى أمن مناسبا للمعالجة التي يعهد بها إلينا (المادة 28(1) من اللائحة العامة لحماية البيانات (GDPR))، ولا سيما قبل تفعيل وظيفة من الملحق 1.

(2) تصف الصفحة التدابير التي نفذت فعلا فقط. وكل ما هو مخطط له ولم ينفذ بعد يوسم فيها صراحة بأنه «مخطط له»، ولا يعد جزءا من التدابير التي نلتزم بها إلى أن ينفذ.

(3) يجوز لنا تكييف التدابير مع التقدم التقني وتطور الخدمة، ما دام مستوى الحماية الإجمالي لا ينخفض. وننشر كل تغيير مع رقم إصدار وتاريخ جديدين في الصفحة وفي النظرة العامة تغييرات وثائق العقد. وإذا أزال تغيير تدبيرا سبق وصفه دون بديل أو أضعفه، فإننا نبلغ العميل أيضا بالشكل النصي قبل 30 يوما على الأقل؛ وعندئذ يجوز للعميل الاعتراض كما في حالة معالج بيانات فرعي جديد (§ 9(3)). وإذا وجب استبدال تدبير على وجه السرعة لمواجهة تهديد، جاز ذلك دون إشعار مسبق بشرط ألا يؤدي إلى انخفاض مستوى الحماية؛ ويقدم الإشعار بعد ذلك دون تأخير غير مبرر.

§ 9 معالجو البيانات الفرعيون

(1) يمنحنا العميل تفويضا كتابيا عاما للاستعانة بمعالجي بيانات فرعيين (المادة 28(2) من اللائحة العامة لحماية البيانات (GDPR)). وترد قائمة بمعالجي البيانات الفرعيين الذين نستعين بهم حاليا، مع مقارهم المسجلة والغرض والبيانات ومكان المعالجة والأساس لأي نقل إلى بلد ثالث، في صفحة معالجي البيانات الفرعيين. وتلك القائمة تشكل جزءا من هذه الاتفاقية (الملحق 3) بالصيغة المنشورة فيها. ويعد التفويض ممنوحا لمعالجي البيانات الفرعيين المذكورين فيها.

(2) نبلغ العميل بأي إضافة أو استبدال مزمع لمعالج بيانات فرعي قبل 30 يوما على الأقل، برسالة بريد إلكتروني إلى عنوان صاحب الحساب. ويحدد الإشعار معالج البيانات الفرعي ومقره المسجل والوظيفة المعنية والبيانات ومكان المعالجة والأساس لأي نقل. وفي الوقت نفسه، يعرض التغيير المعلن في صفحة معالجي البيانات الفرعيين وفي النظرة العامة للتغييرات.

(3) يجوز للعميل الاعتراض بالشكل النصي خلال تلك المدة البالغة 30 يوما إذا كان لديه سبب موضوعي يتعلق بحماية البيانات؛ ويبين السبب في الاعتراض. ثم نبحث عن حل بالاشتراك مع العميل، مثلا بمواصلة تشغيل الوظيفة المعنية للعميل دون معالج البيانات الفرعي الجديد أو بإيقاف تلك الوظيفة. وإلى أن يوجد حل، لا نستخدم معالج البيانات الفرعي الجديد لمعالجة بيانات هذا العميل؛ وإذا تعذر ذلك تقنيا، تعلق الوظيفة المعنية للعميل. وإذا لم يوجد حل، جاز للعميل إنهاء عقد الخدمة أو الخدمة المتأثرة اعتبارا من تاريخ التغيير؛ وإذا لم نبلغه بتعذر الحل إلا بعد ذلك التاريخ، جاز له الإنهاء بأثر فوري خلال 14 يوما من ذلك الإشعار. ونعيد المبلغ النسبي عن أي فترة مدفوعة مسبقا لم يعد بإمكانه استخدامها نتيجة لذلك. ولا يتأثر حقنا في الإنهاء العادي بموجب شروط الخدمة.

(4) نفرض تعاقديا على كل معالج بيانات فرعي التزامات حماية البيانات نفسها التي تفرضها هذه الاتفاقية علينا، ولا سيما ضمانات كافية لتنفيذ تدابير تقنية وتنظيمية مناسبة (المادة 28(4)، الجملة الأولى، من اللائحة العامة لحماية البيانات (GDPR)). ونختار كل معالج بيانات فرعي بعناية ونتحقق من وجود هذه الضمانات قبل الاستعانة به، ومجددا إذا غير شروطه تغييرا جوهريا، وفيما عدا ذلك عند المراجعة السنوية لتدابيرنا. وإذا لم يقدم معالج البيانات الفرعي أدلة إلا في صورة شهادة أو تقرير تدقيق أو شروطه المنشورة، فإننا نستند في تحققنا إلى هذه الأدلة إذا كانت حديثة وذات دلالة. ونرسل إلى العميل عند الطلب نسخة من العقد مع معالج البيانات الفرعي أو من شروط حماية البيانات لديه؛ ويجوز لنا أولا حجب الأسرار التجارية والمعلومات السرية الأخرى، مثل الأسعار.

(5) إذا أخل معالج بيانات فرعي بالتزاماته بشأن حماية البيانات، نظل مسؤولين تجاه العميل عن أداء التزاماته كما لو كان سلوكنا نحن (المادة 28(4)، الجملة الثانية، من اللائحة العامة لحماية البيانات (GDPR)). ولا ينقل اختيارنا لمعالج بيانات فرعي أي مسؤولية إلى العميل. وإذا أخل معالج بيانات فرعي بالتزاماته التعاقدية وكان ذلك يتعلق ببيانات العميل، فإننا نبلغ العميل دون تأخير غير مبرر. وإذا اختفينا فعليا أو انتهى وجودنا القانوني أو أصبحنا معسرين دون أن يتولى خلف قانوني التزاماتنا، فينبغي أن يتمكن العميل من مطالبة معالج البيانات الفرعي بمحو بيانات العميل أو إعادتها؛ ونتفق على ذلك مع كل معالج بيانات فرعي بالقدر الذي يسمح به (راجع البند 7.7(e) من البنود التعاقدية القياسية 2021/915).

(6) لا يعد معالجي بيانات فرعيين المستلمون الذين ترسل إليهم البيانات فقط لأن العميل نفسه يعدهم وجهة في الخدمة: خدمات المحادثة (مثل Slack وDiscord وMicrosoft Teams وGoogle Chat) وعناوين webhook للتنبيهات. ويعد إعداد الوجهة تعليمات بإرسال الإشعار إليها؛ وتكون العلاقة التعاقدية مع هؤلاء المزودين وأي أساس مطلوب للنقل إلى بلد ثالث من مسؤولية العميل. ولا تتأثر التزاماتنا بموجب هذه الاتفاقية حتى نقطة تسليم الإشعار. ويعد Telegram أيضا وجهة يختارها العميل، لكنه يعمل بطريقة مختلفة: نرسل الرسالة عبر الروبوت الخاص بنا إلى المحادثة التي ربطها المستلم بنفسه بالروبوت، ويعالجها Telegram خارج المنطقة الاقتصادية الأوروبية. وباختيار Telegram، يوجه إلينا العميل صراحة تعليمات بنقل الإشعارات إليه (المادة 28(3)، الجملة الثانية، النقطة (a) من اللائحة العامة لحماية البيانات (GDPR))؛ وإذا وجب تصنيف Telegram في هذا الصدد معالج بيانات فرعيا لنا، فيعد اختيار هذه الوجهة في الوقت نفسه تفويضا محددا بموجب المادة 28(2) من اللائحة العامة لحماية البيانات (GDPR) لهذا الغرض. ولم يحسم بعد بصورة نهائية الأساس الذي يجري عليه هذا النقل بموجب الفصل V من اللائحة العامة لحماية البيانات (GDPR)؛ ومن يرغب في تجنب نقل دون أساس محسوم يختار وجهة أخرى. كذلك، لا يعد مقدمو الخدمات الذين يقتصر دورهم على نقل البيانات، مثل مزود خدمة الإنترنت لدينا، معالجي بيانات فرعيين.

(7) نشغل الخوادم وقاعدة البيانات والقدرة الحاسوبية، بما فيها الخاصة بالنموذج اللغوي، بأنفسنا في بولندا. ولا يشارك أي مزود استضافة أو خدمات سحابية.

§ 10 عمليات النقل إلى بلدان ثالثة

(1) تقع خوادمنا التي نعالج عليها بيانات العميل في بولندا؛ وعندما يعالج معالج بيانات فرعي بيانات العميل، يبين الملحق 3 الموقع. ولا يجري النقل إلى بلد خارج المنطقة الاقتصادية الأوروبية إلا إذا استوفيت شروط المواد 44 إلى 49 من اللائحة العامة لحماية البيانات (GDPR)، وفقط بناء على تعليمات العميل بموجب § 4 أو إلى معالج بيانات فرعي مفوض بموجب § 9.

(2) يرد أساس كل معالج بيانات فرعي (قرار كفاية، مثل القرار الخاص بإطار خصوصية البيانات بين الاتحاد الأوروبي والولايات المتحدة في حالة المستلمين المعتمدين، أو البنود التعاقدية القياسية بموجب المادة 46(2)(c) من اللائحة العامة لحماية البيانات (GDPR)) في قائمة معالجي البيانات الفرعيين. وإذا ورد في القائمة «يلزم التحقق» لمستلم، فلا ترسل إليه بيانات العميل إلى أن يوثق الأساس. وإذا استعنا بمعالج بيانات فرعي خارج المنطقة الاقتصادية الأوروبية دون انطباق قرار كفاية، نتفق معه على البنود التعاقدية القياسية بموجب القرار التنفيذي (EU) 2021/914 (الوحدة 3: من معالج إلى معالج)، ونقيم مسبقا ما إذا كان قانون بلد الوجهة وممارساته يسمحان بالامتثال لها، ونتخذ أي تدابير تكميلية لازمة ونسجل النتيجة. ويتلقى العميل ملخصا لهذا التقييم عند الطلب.

(3) بالنسبة إلى النقل إلى وجهات يختارها العميل نفسه (§ 9(6))، يكون العميل مسؤولا عن الأساس.

§ 11 المساعدة في حقوق أصحاب البيانات

(1) مع مراعاة طبيعة المعالجة، نساعد العميل بتدابير تقنية وتنظيمية مناسبة، بالقدر الممكن، في الرد على طلبات أصحاب البيانات بموجب الفصل III من اللائحة العامة لحماية البيانات (GDPR) (المادة 28(3)، الجملة الثانية، النقطة (e) من اللائحة العامة لحماية البيانات (GDPR)).

(2) يستطيع العميل تنفيذ جانب كبير من ذلك بنفسه في الخدمة: تغيير وجهات التنبيهات وحسابات تسجيل الدخول للاختبار وعلامته التجارية أو حذفها؛ وتغيير مسارات النماذج أو إيقافها؛ وإلغاء بوابات العملاء (يبقى مشتركوها محفوظين حتى حذف مساحة العمل)؛ وإزالة نطاق مع بياناته؛ وتنزيل تصدير للبيانات. وإذا لم يكف ذلك، نساعد بناء على طلب بالشكل النصي.

(3) إذا تواصل معنا صاحب بيانات بطلب يتعلق ببيانات العميل، فلا نجيب بأنفسنا عن موضوعه، بل نحيله إلى العميل دون تأخير غير مبرر، وفي موعد لا يتجاوز سبعة أيام من استلامه، بالقدر الذي يمكننا فيه تحديد العميل، ونبلغ الشخص بأننا فعلنا ذلك. وإذا تعذر علينا تحديد العميل، نبلغ الشخص بالمعلومات التي نحتاجها للعثور عليه.

(4) نوضح أحد القيود بصراحة: لا نخزن في قاعدة البيانات نسخ رسائل البريد الإلكتروني للنماذج من فحص التسليم، وتحذف الرسالة من صندوق البريد بعد المعالجة الناجحة، أو بعد تأخير عند حدوث خطأ في الجلب أو الحذف. ولذلك، لا يمكننا عادة بشأن زائر محدد إلا القول إننا لم نعد نحتفظ بأي محتوى.

(5) إذا علمنا بأن بيانات العميل غير دقيقة أو قديمة، نبلغ العميل دون تأخير غير مبرر. ويمكن للعميل بعد ذلك تصحيحها أو محوها أو تقييدها بنفسه في الخدمة أو بتوجيه تعليمات إلينا.

§ 12 المساعدة في الأمن وتقييم الأثر والتشاور

(1) مع مراعاة طبيعة المعالجة والمعلومات المتاحة لنا، نساعد العميل في الامتثال لالتزاماته بموجب المواد 32 إلى 36 من اللائحة العامة لحماية البيانات (GDPR): أمن المعالجة، والإخطار بالخروقات وإبلاغها، وتقييم أثر حماية البيانات، والتشاور المسبق مع السلطة الرقابية (المادة 28(3)، الجملة الثانية، النقطة (f) من اللائحة العامة لحماية البيانات (GDPR)).

(2) ولهذا الغرض نقدم، على وجه الخصوص، وصف التدابير وقائمة معالجي البيانات الفرعيين، وعند الطلب معلومات إضافية عن تدفقات البيانات ومدد الاحتفاظ. وننشر تقييمنا الخاص لمخاطر الخدمة في تقييم أثر حماية البيانات؛ ويجوز للعميل استخدامه لتقييمه الخاص.

(3) بالنسبة إلى المساعدة بموجب §§ 11 و12 التي لا يستطيع العميل تقديمها لنفسه باستخدام وظائف الخدمة أو الوثائق المنشورة، والتي تتطلب جهدا يتجاوز أربع ساعات في السنة التقويمية، ولا تنشأ عن إخلال منا بهذه الاتفاقية أو باللائحة العامة لحماية البيانات (GDPR)، يجوز لنا تقاضي مقابل عن الوقت الزائد بسعر للساعة نحدده مسبقا بالشكل النصي. وتظل إحالة الطلبات والإخطار بالخروقات مجانية دائما. ولا نجعل المساعدة الواجبة قانونا مشروطة بالدفع أو بالاتفاق على مقابل.

§ 13 خروقات البيانات الشخصية

(1) إذا علمنا بخـرق للبيانات الشخصية يؤثر في بيانات العميل، نبلغ العميل دون تأخير غير مبرر، وفي غضون 48 ساعة إن أمكن، برسالة بريد إلكتروني إلى عنوان صاحب الحساب (المادة 33(2) من اللائحة العامة لحماية البيانات (GDPR)). ولا يقصد بذلك تقصير مهلة 72 ساعة التي يتعين على العميل مراعاتها تجاه السلطة الرقابية. ونعد على علم بالخـرق بمجرد أن نثبت بدرجة معقولة من اليقين أن حادثا أمنيا يؤثر في بيانات العميل؛ ونحقق في أي اشتباه دون تأخير غير مبرر. وينطبق الأمر نفسه على خرق لدى معالج بيانات فرعي بمجرد أن يبلغنا به.

(2) يتضمن الإخطار، بالقدر المعلوم، المعلومات الواردة في المادة 33(3) من اللائحة العامة لحماية البيانات (GDPR): طبيعة الخرق، بما في ذلك وقت وقوعه أو فترته، ومع فئات أصحاب البيانات والسجلات المعنية وأعدادها التقريبية حيثما أمكن، وجهة اتصال للحصول على مزيد من المعلومات، والعواقب المحتملة، والتدابير المتخذة أو المقترحة. ونقدم ما لم يتسن التأكد منه عند الإخطار الأول دون تأخير إضافي غير مبرر.

(3) نتخذ فورا التدابير اللازمة لمعالجة الخرق وتخفيف عواقبه، ونتفق مع العميل على الخطوات اللاحقة. ونوثق كل خرق مع وقائعه وآثاره والإجراءات التصحيحية المتخذة، ونتيح الوثائق للعميل عند الطلب.

(4) يتولى العميل إخطار السلطة الرقابية أو إبلاغ أصحاب البيانات. ولا نقوم بذلك إلا بناء على تعليماته.

(5) نتلقى بلاغات الثغرات الأمنية التي يعثر عليها أطراف ثالثة في الخدمة في الأمن.

(6) لا يشكل الإخطار وتعاوننا بموجب هذا البند إقرارا بإخلال بواجب أو بمسؤولية. وإذا أثر خرق أيضا في بيانات نكون نحن المتحكم في بياناتها، فإننا نفي بالتزاماتنا بموجب المادتين 33 و34 من اللائحة العامة لحماية البيانات (GDPR) بشأن تلك البيانات؛ وعند ذلك لا نكشف بيانات العميل إلا بالقدر اللازم لذلك الغرض.

§ 14 الإثبات والتدقيق

(1) نتيح للعميل جميع المعلومات اللازمة لإثبات الامتثال للالتزامات بموجب المادة 28 من اللائحة العامة لحماية البيانات (GDPR)، ونسمح بعمليات التدقيق، بما فيها التفتيش، التي يجريها العميل أو مدقق يكلفه، ونساهم فيها (المادة 28(3)، الجملة الثانية، النقطة (h) من اللائحة العامة لحماية البيانات (GDPR)).

(2) نثبت الامتثال أساسا من خلال الوثائق: وصف التدابير وقائمة معالجي البيانات الفرعيين وسجل أنشطة المعالجة الذي يغطي المعالجة نيابة عن العملاء (المادة 30(2) من اللائحة العامة لحماية البيانات (GDPR))، والإجابات الكتابية عن الاستبيانات، وعند الطلب مقتطفات من السجلات أو من نتائج اختبار الاستعادة. ونجيب عن الاستبيانات خلال 30 يوما من استلامها، وعند وجود سبب بموجب الفقرة 4، بالسرعة التي يتطلبها ذلك السبب. ولا توجد حاليا تقارير تدقيق خارجية أو شهادات اعتماد؛ ونوضح ذلك كي لا يفترض أحد وجودها.

(3) إذا لم تكن الوثائق كافية، جاز للعميل طلب تدقيق، بما في ذلك في الموقع. ويعلن العميل عن التدقيق الروتيني مسبقا بالشكل النصي قبل 30 يوما على الأقل، مبينا موضوعه ومدته المتوقعة والمدقق؛ ويجرى خلال ساعات العمل المعتادة في بولندا ويحدد موعده بحيث لا يعطل التشغيل دون داع. ولا تجرى عمليات التدقيق الروتينية في الموقع أكثر من مرة واحدة في السنة التقويمية؛ ولا تتأثر الفقرة 4.

(4) لا مهلة انتظار ثابتة عند وجود سبب عاجل. في حالة خرق للبيانات الشخصية، أو وجود مؤشرات ملموسة على إخلال بهذه الاتفاقية أو باللائحة العامة لحماية البيانات (GDPR)، أو طلب سلطة رقابية إجراء تدقيق، لا تسري مهلة الإشعار البالغة 30 يوما ولا قيد التدقيق الواحد في السنة. ويجرى التدقيق عندئذ بالسرعة التي يتطلبها السبب والتي تسمح بها الإمكانات التنظيمية.

(5) يجوز للعميل تكليف مدقق ملزم بالسرية لا يقدم خدمة مماثلة لخدمة formexposed ولا يعمل لدى مزود كهذا. ويجوز لنا اشتراط ألا يأخذ المدققون معهم أو يسجلوا أسرار عملاء آخرين أو بيانات تسجيل الدخول أو التفاصيل الأمنية. ويتعامل العميل ومدققه بسرية مع ما يطلعان عليه بشأن عملياتنا أثناء التدقيق، ولا يستخدمانه إلا للتحقق من الامتثال لهذه الاتفاقية وللائحة العامة لحماية البيانات؛ ويجوز لهما كشفه للسلطة الرقابية المختصة وللمستشارين الملزمين بالسرية وبالقدر الذي يقتضيه القانون. ويجب ألا تؤدي هذه الترتيبات إلى إبطال حقوق التدقيق القانونية.

(6) يتحمل كل طرف تكاليفه الخاصة للتدقيق. وإذا تجاوز إجمالي جهدنا لعمليات التدقيق والاستبيانات الخاصة بعميل ثماني ساعات في السنة التقويمية، جاز لنا تقاضي مقابل عن الوقت الزائد بسعر للساعة نحدده مسبقا بالشكل النصي، إلا إذا كشف التدقيق إخلالا من جانبنا أو أجري لسبب بموجب الفقرة 4 نكون مسؤولين عنه. ولا نجعل التدقيق نفسه مشروطا بالدفع.

(7) لا تتأثر صلاحيات السلطات الرقابية. والسلطة الرقابية المختصة بنا هي رئيس مكتب حماية البيانات الشخصية (Prezes Urzędu Ochrony Danych Osobowych, UODO)، ul. Moniuszki 1A, 00-014 Warszawa. ويتيح كلا الطرفين للسلطة الرقابية المختصة عند الطلب المعلومات الواردة في هذا البند، بما فيها نتائج عمليات التدقيق.

§ 15 الحذف والإعادة

(1) أثناء مدة الاتفاقية، تسري مدد الاحتفاظ الواردة في الملحق 1. وتنفذ بواسطة عملية ليلية تجري الحذف وفقا للإعدادات نفسها التي تظهر أيضا في النصوص.

(2) الاختيار بين الإعادة والحذف. بعد انتهاء المعالجة، يقرر العميل ما إذا كنا نعيد بيانات العميل أو نحذفها (المادة 28(3)، الجملة الثانية، النقطة (g) من اللائحة العامة لحماية البيانات (GDPR)). وتتم الإعادة عن طريق تصدير البيانات، الذي يستطيع العميل تنزيله بنفسه في الإعدادات كملف قابل للقراءة آليا، أو بواسطتنا بناء على طلب بالشكل النصي خلال 30 يوما، وفي هذه الحالة تشمل أيضا بيانات العميل غير المدرجة في التصدير بالقدر الذي يمكن إعادتها فيه (الفقرة 4). ويجري الحذف بإزالة نطاق، مما يحذف بياناته، أو بحذف الحساب، وهو ما ينفذه العميل بنفسه. وإذا أراد العميل الإعادة والحذف معا، فإنه ينزل التصدير أولا ثم يحذف.

(3) إذا لم يحدد العميل اختياره وحذف حسابه، فيعد ذلك اختيارا للحذف. وعند حذف الحساب، تحذف فورا من النظام الفعلي مساحات العمل التي يكون العميل مالكها الوحيد مع جميع بيانات العميل. وإذا كان لمساحة العمل أعضاء آخرون، فإنها تنتقل إلى العضو الأقدم انضماما إليها، مع أولوية المسؤولين على القراء، ولا تحذف؛ ويصبح ذلك العضو بذلك هو العميل لتلك المساحة. ومن لا يرغب في ذلك يزيل الأعضاء الآخرين أو النطاقات قبل الحذف. وإذا انتهى عقد الحساب بطريقة أخرى، مثلا بإنهائنا له بموجب شروط الخدمة، فإننا نوجه العميل إلى التصدير مع إشعار الإنهاء، ويمكنه تنزيله حتى انتهاء العقد. ونحذف الحساب مع بيانات العميل في موعد لا يتجاوز 30 يوما بعد انتهاء العقد؛ ويجري ذلك حاليا يدويا.

(4) نبين مسبقا ما لا يمكن إعادته: بيانات تسجيل الدخول للفحص خلف تسجيل الدخول ليست جزءا من التصدير لأن خادم الويب لا يستطيع فك تشفيرها (الملحق 1، البند 5)؛ ونسخ فحص التسليم لا تعود موجودة بعد المعالجة؛ وشفرة «Fix it for me» لا تخزن أصلا.

(5) النسخ الاحتياطية. تنسخ قاعدة البيانات احتياطيا كل ليلة. وتحذف كل نسخة احتياطية بعد 14 يوما. وتبقى بيانات العميل المحذوفة من النظام الفعلي في النسخ الاحتياطية الأقدم حتى ذلك الحين؛ ولا تحذف السجلات الفردية انتقائيا من داخل نسخة احتياطية، لأن النسخة الاحتياطية يجب أن تكون صورة غير معدلة للحالة في لحظة زمنية معينة. وحتى انتهاء مدتها، تحمى النسخ الاحتياطية مثل قاعدة البيانات نفسها ولا تستخدم إلا للاستعادة واختبار الاستعادة؛ ولا يجرى البحث فيها أو تحليلها. وإذا اضطررنا إلى استعادة نسخة احتياطية، نعيد تنفيذ طلبات الحذف المقدمة بعد تاريخها، بالقدر الذي نعلم به، قبل إعادة تشغيل الخدمة. ولذلك يختفي السجل من النسخ الاحتياطية أيضا في موعد لا يتجاوز 14 يوما من حذفه من النظام الفعلي.

(6) وفقا للوضع الحالي، لا يوجد علينا التزام بالاحتفاظ ببيانات العميل. وإذا نشأ التزام قانوني بالاحتفاظ بموجب قانون الاتحاد أو القانون البولندي، فإننا نقيد البيانات المعنية بدلا من حذفها، ولا نستخدمها إلا لذلك الغرض، ونحذفها عند انتهاء الالتزام.

(7) نؤكد الحذف بالشكل النصي عند الطلب خلال 30 يوما، مع بيان ما لا يزال موجودا بموجب الفقرتين 5 و6 وإلى متى.

§ 16 الإخلال والتعليق والإنهاء

(1) إذا تعذر علينا الامتثال لالتزام بموجب هذه الاتفاقية لأي سبب، فإننا نبلغ العميل دون تأخير غير مبرر.

(2) إذا أخللنا بهذه الاتفاقية أو باللائحة العامة لحماية البيانات (GDPR)، جاز للعميل مطالبتنا بتعليق معالجة بيانات العميل المعنية إلى حين معالجة الإخلال. وإذا استمر الإخلال أو كان جسيما، جاز للعميل إنهاء عقد الخدمة لسبب مشروع، ولا سيما إذا لم نعالج الإخلال خلال شهر من إخطارنا به أو لم نمتثل لقرار محكمة أو سلطة رقابية بشأنه. ونعيد بصورة نسبية أي رسوم مدفوعة مقدما عن الفترة التالية لانتهاء العقد.

(3) إذا أصر العميل على تعليمات نراها غير مشروعة بموجب § 4(4)، جاز لنا إنهاء عقد الخدمة المتأثرة، بشرط أن نكون قد أبلغنا العميل بذلك مسبقا ولم يغير التعليمات خلال شهر.

(4) بعد الإنهاء، يسري § 15.

§ 17 المسؤولية

(1) بالنسبة إلى الضرر الذي يلحق بصاحب بيانات، تسري المادة 82 من اللائحة العامة لحماية البيانات (GDPR). ولا تقيد هذه المسؤولية بأي تحديد تعاقدي للمسؤولية، بما فيه الوارد في شروط الخدمة.

(2) إذا دفع طرف تعويضا لصاحب بيانات بموجب المادة 82 من اللائحة العامة لحماية البيانات (GDPR)، جاز له مطالبة الطرف الآخر برد الجزء الموافق لنصيبه من المسؤولية عن الضرر (المادة 82(4) و(5) من اللائحة العامة لحماية البيانات (GDPR)). ولا يقيد هذا الرجوع أيضا بحدود المسؤولية الواردة في شروط الخدمة.

(3) بالنسبة إلى جميع المطالبات الأخرى بين العميل وبيننا بموجب هذه الاتفاقية، مثلا تعويض الضرر الخاص بأحد الطرفين أو تكاليفه، تسري قواعد المسؤولية الواردة في شروط الخدمة، بالقدر الذي يسمح به القانون. ونتحمل مسؤولية معالجي البيانات الفرعيين بموجب § 9(5) كما لو كان سلوكهم سلوكنا. ويتحمل الطرف نفسه الغرامة التي تفرضها عليه سلطة رقابية بسبب مخالفته الخاصة.

(4) إذا أقام صاحب بيانات أو سلطة رقابية مطالبة ضد أحد الطرفين، يبلغ ذلك الطرف الطرف الآخر دون تأخير غير مبرر، ويتعاون الطرفان في توضيح المسألة. ولا يقر أي طرف بمطالبة يعتزم الرجوع بشأنها على الطرف الآخر دون موافقته؛ ولا يجوز رفض الموافقة دون سبب موضوعي.

§ 18 جهة الاتصال ومسؤول حماية البيانات

(1) يوجه العميل أسئلة حماية البيانات المتعلقة بهذه الاتفاقية والتعليمات والإخطارات إلى contact@lukaswojcik.com أو عبر نافذة الدعم وصفحة الاتصال. وترسل إخطاراتنا بموجب هذه الاتفاقية إلى عنوان البريد الإلكتروني لصاحب الحساب؛ ويحافظ العميل على تحديثه.

(2) لم نعين مسؤولا لحماية البيانات، لأن شروط المادة 37(1) من اللائحة العامة لحماية البيانات (GDPR) غير متحققة وفقا لتقييمنا. وإذا تغير ذلك، فسنعلن التعيين في هذه الاتفاقية.

§ 19 أحكام ختامية

(1) الأولوية. إذا تعارض حكم من شروط الخدمة أو اتفاقية أخرى مع هذه الاتفاقية، تكون لهذه الاتفاقية الأولوية في جميع المسائل المتعلقة بمعالجة بيانات العميل؛ ولا تسري الشروط والأحكام الخاصة بالعميل. وتتطلب التعديلات والإضافات إلى هذه الاتفاقية في حالة فردية الشكل النصي، ويجب أن تشير إليها صراحة؛ وتصبح جزءا من هذه الاتفاقية وتعلو عليها في نطاق أحكامها. وإذا تعارضت هذه الاتفاقية مع أحكام إلزامية من اللائحة العامة لحماية البيانات (GDPR)، تكون الأولوية لتلك الأحكام.

(2) التعديلات. لا نعدل هذه الاتفاقية إلا لأحد الأسباب الموضوعية التالية: تغيير في القانون أو في تفسيره من المحاكم والسلطات، بما في ذلك من خلال بنود تعاقدية قياسية جديدة للمفوضية الأوروبية؛ أو تغيير في الخدمة أو وظائفها أو أساسها التقني؛ أو تغيير طرف ثالث ضروري لتقديم الخدمة؛ أو منع إساءة الاستخدام أو المخاطر الأمنية؛ أو تصحيح الأخطاء وأوجه الغموض. ونعلن التعديلات، مع بيان الصياغة المعدلة والسبب والتاريخ المخطط، قبل 30 يوما على الأقل برسالة بريد إلكتروني إلى عنوان صاحب الحساب وفي النظرة العامة للتغييرات. ودون هذه المهلة، لا نعدل إلا ما يكون حصرا لصالح العميل أو ذا طبيعة لغوية بحتة أو يصحح أخطاء واضحة، أو ما يقتضيه قانون أو محكمة أو سلطة في مهلة أقصر، أو ما يلزم لدرء خطر أمني وشيك؛ وفي هذه الحالات أيضا نبلغ بالتعديل في أسرع وقت ممكن ونبين السبب. ولا يعد السكوت موافقة. وعندما يتطلب التعديل موافقة العميل، نحصل عليها صراحة؛ ودونها يستمر سريان الصيغة السابقة وتبقى حقوق الإنهاء القانونية والتعاقدية. ويجوز للعميل الاعتراض بالشكل النصي على تعديل معلن حتى دخوله حيز النفاذ؛ وتخضع العواقب لأحكام شروط الخدمة المتعلقة بالاعتراض على التعديل. وتخضع تعديلات الملحقين 2 و3 لأحكام § 8(3) و§ 9(2) و(3). وتسجل جميع الإصدارات في النظرة العامة تغييرات وثائق العقد.

(3) القانون الواجب التطبيق والاختصاص القضائي. يسري القانون المحدد في شروط الخدمة؛ ولا تتأثر الأحكام الإلزامية للائحة العامة لحماية البيانات. ويخضع مكان الاختصاص القضائي لشروط الخدمة.

(4) اللغة. تتوفر الاتفاقية بجميع اللغات الرسمية للاتحاد الأوروبي. وعند وجود اختلافات، تكون الأولوية للنسخة البولندية.

(5) إذا كان أحد الأحكام غير صالح، يظل باقي الاتفاقية صالحا. ويحل محل الحكم غير الصالح الحكم القانوني الأقرب إلى غرضه؛ وفي حالة الشك، حكم يستوفي متطلبات المادة 28(3) من اللائحة العامة لحماية البيانات (GDPR).

الملحق 1 – المعالجة نيابة عن العميل

يصف هذا الملحق لكل وظيفة موضوع المعالجة وطبيعتها وغرضها وأنواع البيانات الشخصية وفئات أصحاب البيانات والحذف (المادة 28(3)، الجملة الأولى، من اللائحة العامة لحماية البيانات (GDPR)). وما لم يذكر خلاف ذلك، تكون طبيعة المعالجة: الجمع والتخزين والاسترجاع والمطابقة والنقل إلى الوجهات التي يحددها العميل والمحو. ومكان المعالجة هو خوادمنا الخاصة في بولندا؛ ويذكر إشراك معالج بيانات فرعي حيثما ينطبق. والمدد بين الأقواس المعقوفة هي إعدادات تعمل وفقا لها عملية الحذف الليلية فعليا. ومدة المعالجة هي مدة هذه الاتفاقية (§ 3)؛ وخلالها تسري مدد الحذف المحددة لكل وظيفة. وتجري المعالجة بصورة مستمرة ما دام العميل يستخدم الوظيفة. ولا تكون الفئات الخاصة من البيانات الشخصية موضوعا للمعالجة؛ وإذا دخلت الخدمة رغم ذلك عبر رسائل البريد الإلكتروني للنماذج، يسري § 6(4).

1. فحص التسليم

الغرض: التحقق من وصول رسائل البريد الإلكتروني من نموذج العميل ومن أصالتها (SPF وDKIM وDMARC).

كيفية العمل: الوظيفة اختيارية. ويدخل العميل عنوان صندوق بريد للمراقبة كنسخة مخفية (Bcc) في نموذجه. ونتيجة لذلك ترسل إلينا نسخة من كل رسالة بريد إلكتروني للنموذج، ولا تقتصر على نسخ إرسالياتنا الاختبارية، بل تشمل أيضا الاستفسارات الحقيقية من زواره. وتقرأ عملية جلب آلية، عبر IMAP، الترويسات وما لا يزيد على أول 8 كيلوبايت من النص، وتسند الرسالة إلى النطاق وإلى إرسالية اختبار عند الاقتضاء، وتفحص سمات الأصالة. وبعد المعالجة الناجحة تحذف الرسالة من صندوق البريد. وفي حالة خطأ في الجلب أو الحذف، قد تبقى في صندوق البريد حتى العملية الناجحة التالية.

البيانات: محتوى رسائل البريد الإلكتروني للنماذج وترويساتها مع كل ما يدخله الزوار، مثل الاسم وعنوان البريد الإلكتروني ورقم الهاتف والرسالة، وكذلك عناوين المرسل والمستلم والمعلومات التقنية عن خوادم البريد المشاركة.

أصحاب البيانات: زوار موقع العميل الذين يرسلون النموذج؛ ومستلمو رسائل البريد الإلكتروني للنماذج لدى العميل.

المحفوظ والحذف: لا يخزن في قاعدة البيانات إلا الوقت والإسناد إلى النطاق ومعرف الإرسالية الاختبارية عند الاقتضاء ونتائج فحص الأصالة. ويحتفظ بالوقت والإسناد لمدة 180 يوما؛ ويحتفظ بأحدث نتيجة لفحص الأصالة مع النطاق حتى تستبدلها الرسالة التالية أو يحذف النطاق. وتتضمن نتيجة فحص الأصالة عنوان IP لخادم البريد الذي سلم الرسالة ونطاق عنوان المرسل؛ ولا يذكر التنبيه هذا النطاق إلا إذا لم يكن تابعا للموقع. ولا يخزن محتوى رسائل الزوار ولا عناوين المرسلين الكاملة في قاعدة البيانات. وتحذف الرسالة نفسها من صندوق البريد بعد المعالجة الناجحة، أو بعد تأخير عند حدوث خطأ في الجلب أو الحذف.

الجهات المشاركة: مزود خدمة البريد (Namecheap, Inc. (Private Email), Phoenix, Arizona, USA) لصندوق البريد؛ وتصل إليه النسخ مباشرة عبر سجلات MX لنطاقنا، دون إعادة توجيه، راجعوا معالجي البيانات الفرعيين.

القيد: لا تؤكد المطابقة إلا وصول النسخة المعنية إلى صندوق بريد المراقبة، ولا تؤكد استلامها لدى المستلم الفعلي أو تسجيلها في نظام CRM. ولا تتوفر الوظيفة دون صندوق بريد للمراقبة. وينبغي ألا تحتوي النسخ على أي فئات خاصة من البيانات الشخصية (§ 6(4)).

2. بوابة العملاء والتقرير الشهري للمشتركين

الغرض: إرسال تقرير شهري عن نماذج موقع نيابة عن العميل، عادة من وكالة إلى عملائها، وتوفير بوابة بهذه التقارير.

البيانات: عنوان البريد الإلكتروني واللغة ووقت الاشتراك وعنوان IP الخاص به ووقت التأكيد (اشتراك بتأكيد مزدوج) وإلغاء الاشتراك؛ ومحتوى التقرير (النطاق ونتائج الفحص والأرقام).

أصحاب البيانات: عملاء العميل وجهات الاتصال لديه الذين يشتركون في التقرير.

الحذف: الاشتراكات غير المؤكدة بعد 30 يوما. وبعد إلغاء الاشتراك، يحتفظ بسجل الاشتراك والتأكيد والإلغاء لمدة ثلاث سنوات ليتمكن العميل من إثبات الموافقة. ويحذف كل شيء في موعد أقصاه عند حذف مساحة العمل؛ ولا يؤدي إلغاء البوابة وحده إلى حذف مشتركيها.

الجهات المشاركة: مزود خدمة البريد (Namecheap, Inc. (Private Email), Phoenix, Arizona, USA) للإرسال.

3. التنبيهات والتقارير والحوادث

الغرض: تسليم التنبيهات والملخصات والتقارير إلى الوجهات التي يعدها العميل، وإدارة الحوادث.

البيانات: عناوين البريد الإلكتروني وعناوين webhooks وقنوات المحادثة ومعرف محادثة Telegram بعد أن يربطها المستلم؛ ومحتوى الإشعارات (النطاق والحدث والوقت ورابط إلى الخدمة، وفي تنبيهات الفحص رابط التقرير الذي يتيح الوصول إلى النتائج ولقطات الشاشة دون تسجيل الدخول؛ ويتلقى Telegram فقط رابط صفحة النطاق في الحساب الذي يتطلب تسجيل الدخول بدلا من رابط التقرير)؛ وسجل الإرسال؛ ومحاولات تسليم التصعيد لكل حادث ووجهة (العدد والأوقات والنتيجة والخطأ)؛ واسم الشخص الذي يقر بالحادث أو عنوان بريده الإلكتروني، والشخص المسؤول مع تاريخ الاستحقاق.

أصحاب البيانات: موظفو العميل ومقدمو الخدمات له الذين يتلقون التنبيهات أو يتعاملون مع الحوادث.

الحذف: الوجهات إلى أن يزيلها العميل أو يحذف النطاق؛ وسجل الإرسال بعد 90 يوما؛ والإشعارات المجمعة بعد 30 يوما من إرسالها؛ والحوادث ما دامت دون حل ولمدة 180 يوما بعد حلها، مع محاولات تسليم التصعيد الخاصة بها.

الجهات المشاركة: مزود خدمة البريد (Namecheap, Inc. (Private Email), Phoenix, Arizona, USA) للبريد الإلكتروني؛ وبالنسبة إلى خدمات المحادثة وwebhooks، المزودون الذين يختارهم العميل (§ 9(6)).

4. فحص مواقع العميل: الأشخاص الذين يظهرون عرضا

الغرض: فحص نماذج نطاقات العميل وحمايتها ومراقبتها، بعد أن يقدم إثبات التحكم فيها. وما دام الإثبات غير متوفر لنطاق، فإننا نفحصه بصورة سلبية فقط ونكون نحن المتحكم في البيانات لهذه الفحوص؛ ويرد وصف ذلك في سياسة الخصوصية.

البيانات: يقرأ الفحص صفحات النطاق العامة: عناوين الصفحات وبنية النماذج (أسماء الحقول وأنواعها وتسمياتها وسمات الإلزام والظهور دون القيم؛ ويقرأ الماسح بدايات الحقول المخفية المعبأة مسبقا وسمات البيانات أثناء الفحص فقط ولا يخزنها)، والنصوص البرمجية المضمنة وتدابير الحماية. ويلتقط صورا للمنطقة المرئية من الصفحة الرئيسية والنماذج، وكذلك لصفحة الاستجابة عند إرسال الاختبارات النشطة؛ ولا يجرى حجب محتواها. وقد تتضمن هي ومحتوى الصفحات المقروء بيانات شخصية ينشرها العميل بنفسه، مثل أسماء جهات الاتصال وبيانات الاتصال بها أو صور أو مراجعات. ولا نخزن عناوين مستلمي النماذج إلا كنطاق. وتنشئ الخدمة لكل فحص تقريرا تحت رابط عشوائي يتيح الوصول إلى النتائج ولقطات الشاشة دون تسجيل الدخول حتى يحذف الفحص؛ ويظهر الرابط في الحساب وفي التنبيهات (البند 3). وكل من يمرر الرابط يمرر التقرير.

أصحاب البيانات: الأشخاص الذين تظهر بياناتهم على موقع العميل.

الحذف: نتائج الفحص بما فيها لقطات الشاشة لمدة لا تتجاوز 13 شهرا؛ ويحتفظ بأحدث فحص ما دام النطاق موجودا في الحساب. وعند إزالة النطاق، تحذف بياناته، بما فيها الفحوص والنتائج ولقطات الشاشة.

ملاحظة: يساعد نموذج لغوي على خادمنا الخاص في تصنيف النماذج التي لا تستطيع القواعد وحدها التعرف على غرضها. ولا ترسل مطلقا النماذج المصنفة بهذه الطريقة، ولا تحتسب ضمن الدرجة أو الحكم. ولا تحتوي الإرساليات الاختبارية النشطة (بحد أقصى خمس إرساليات لكل فحص) إلا على نصوص اختبار موسومة، دون بيانات شخصية.

خطة العمل في التقارير المؤهلة. بالنسبة لفحوص النطاقات التي ثبتت السيطرة عليها والمبينة في البند 4، يجوز لنموذجنا اللغوي المحلي أيضا توليد خطة عمل قصيرة مرتبة حسب الأولوية من اسم المضيف وعناوين صفحات النماذج وأنواعها ومعلومات نظام إدارة المحتوى (CMS) ومستوى المخاطر والدرجة القائمين حيثما توفرا وأي إضافة جرى التعرف عليها ونتائج مختارة لفحوص فاشلة أو غير واضحة. وقد تتضمن هذه الحقول بيانات شخصية عرضا. ولا يتضمن الموجه لقطات شاشة أو قيم حقول مدخلة أو الشفرة المصدرية الكاملة للصفحة. وتدعم الخطة فحص حماية النماذج نفسه، ولا تغير الموقع ولا تحدد درجته أو حكمه. ويحتفظ بالطلبات والردود المؤقتة في قائمة انتظار المهام الداخلية حتى استلامها أو التنظيف المجدول للقيود التي يزيد عمرها على ساعة واحدة؛ وهذا ليس ضمانا غير مشروط للحذف أثناء الانقطاع. وتخزن الخطة المستلمة مع الفحص بموجب قواعد الاحتفاظ والحذف نفسها. ويظل التمييز بين الأدوار للفحوص السلبية لنطاقات لم تثبت السيطرة عليها في البند 4 ساريا.

5. بيانات تسجيل الدخول لحساب اختبار للفحص خلف تسجيل الدخول

الغرض: قراءة النماذج في ما يصل إلى خمس صفحات خلف تسجيل دخول يحدده العميل. للنطاقات المتحقق منها فقط، ومن مالكي مساحة العمل ومسؤوليها فقط، وفي الخطط المدفوعة فقط. ولا يستخدم حساب الاختبار إلا في الفحص الكامل، دون فحوص المتصفح (البند 6).

البيانات: عنوان تسجيل الدخول واسم المستخدم وكلمة المرور لحساب الاختبار ومعلومات عن حقول تسجيل الدخول؛ وكل ما يظهر لهذا الحساب على الصفحات المقروءة بالقدر الذي يتعلق ببنية النماذج.

أصحاب البيانات: الشخص المسجل حساب الاختبار باسمه، إذا كان مسندا إلى شخص؛ والأشخاص الذين تظهر بياناتهم في حساب الاختبار.

الحماية: يشفر اسم المستخدم وكلمة المرور على خادم الويب بالمفتاح العام لخادم الفحص ويربطان بالنطاق. ولا يستطيع فك تشفيرهما إلا خادم الفحص أثناء الفحص؛ ولا يحتوي خادم الويب وقاعدة البيانات والنسخ الاحتياطية إلا على نص مشفر. ولا تعرض بيانات تسجيل الدخول مطلقا ولا تسجل في السجلات ولا تخرج عبر الواجهة؛ وتعرض واجهة المستخدم الحرف الأول من اسم المستخدم وطوله فقط. ولا يرسل أي شيء خلف تسجيل الدخول، ولا يجرى اختبار نشط ولا تلتقط لقطات شاشة؛ ولا تزار صفحات تسجيل الخروج أو الحذف أو الإلغاء.

الحذف: إلى أن يزيل العميل بيانات تسجيل الدخول أو يحذف النطاق؛ وتؤدي الإزالة إلى الكتابة فوق النص المشفر ومسح المهام المعلقة. وتمسح النسخة المرفقة بمهمة الفحص الفردية بعد التنفيذ، وأي بقايا في موعد أقصاه ساعة واحدة.

6. مسارات النماذج وفحوص المتصفح

الغرض: إجراء فحوص متكررة للتحقق من عمل النماذج المعدة في متصفح حقيقي حتى النقطة السابقة للإرسال.

البيانات: عناوين النماذج والمحددات والنقرات السابقة وخطوات الفحص واختيار المتصفح والشخص المسؤول وتاريخ الاستحقاق؛ والنتائج مع الحالة وفئات الأخطاء التقنية ورسائل الأخطاء المنقحة والأزمنة ولقطة شاشة للنموذج تغطى فيها حقول الإدخال. وتنشأ الصلة بالأشخاص أساسا من الشخص المسؤول ومن المحتوى الذي يكتبه العميل بنفسه في الخطوات أو التسميات.

أصحاب البيانات: موظفو العميل الذين تسند إليهم النماذج.

الحذف: الإعدادات إلى أن يحذف النطاق؛ ويستطيع العميل تغييرها أو إيقافها كل على حدة، لكنه لا يستطيع حاليا إزالتها كل على حدة. والنتائج بعد 13 شهرا.

القيد: لا ترسل فحوص المتصفح أي شيء. وتتيح الخدمة مسبارا ثانيا مستقلا، لكنه غير معد حاليا؛ ودونه لا يوجد تأكيد من موقع ثان. وإذا أعد لدى طرف ثالث، يسري § 9.

7. «Fix it for me»

الغرض: إدراج مكون حماية في شفرة نموذج يلصقها العميل.

البيانات: الشفرة الملصقة، إذا كانت تحتوي على بيانات شخصية، مثلا في التعليقات أو القيم النموذجية أو العناوين المكتوبة مباشرة في الشفرة.

أصحاب البيانات: الأشخاص الذين تظهر بياناتهم في الشفرة.

المعالجة والحذف: يدرج نموذج لغوي على خادمنا الخاص المكون. ولا تعالج الشفرة إلا طوال مدة الطلب ولا تخزن. وتعمل الخدمة دون بيانات تسجيل دخول لأنظمة العميل، ولا تثبت أي شيء على خوادمه.

8. العلامة التجارية الخاصة (بعلامة العميل التجارية)

الغرض: عرض علامة العميل التجارية على التقارير وفي بوابة العملاء.

البيانات: اسم الشركة وموقعها وبيانات الاتصال وشعارها، وعند الاقتضاء اسم جهة الاتصال وبيانات الاتصال بها.

أصحاب البيانات: جهات الاتصال لدى العميل.

الحذف: إلى أن يغير العميل البيانات أو يحذفها، وفي موعد أقصاه عند حذف مساحة العمل.

9. أرقام تكميلية دون صلة بالأشخاص

لا تحتوي الأرقام الاختيارية لأخطاء النماذج والحقول في إضافة WordPress على مدخلات أو أسماء حقول أو معرفات زوار، ويحتفظ بها لمدة 13 شهرا. ويحتفظ مسجل مسارات النماذج بالخطوات في متصفح العميل لمدة لا تتجاوز 15 دقيقة؛ وتبقى العدادات اليومية المحلية على موقعه لمدة لا تتجاوز 14 يوما. ونوردها هنا لاكتمال الصورة؛ وبحكم طريقة تصميمها لا تعد بيانات عميل.

10. حماية النماذج (formconfirmed)

لا يسري هذا الرقم إلا إذا فعّل العميل حماية النماذج (البند 5.7 من شروط الخدمة).

الغرض: تقييم الإرساليات عبر النماذج على مواقع العميل للتعرف على الإرساليات الآلية.

طريقة العمل: عند فتح صفحة تحتوي على نموذج محمي، يجلب برنامج نصي في متصفح الزائر مهمة موقعة من خادمنا ويحلها (إثبات عمل حسابي). وعند الإرسال يعرض خادم العميل النتيجة على واجهة التحقق لدينا. ونتحقق من توقيع رمز التحقق وعمره واستخدامه مرة واحدة ونطاقه، ومن إشارات أخرى مثل مدة ملء النموذج وحقل مصيدة غير مرئي والطلبات المتكررة من العنوان المختصر نفسه. وإذا فعّل العميل فحص المحتوى، يقيّم نموذج لغوي نص الرسالة الذي يرسله خادم العميل معها. ويُعاد درجة مع إجراء موصى به وأسباب؛ ويقرر العميل ما يحدث للإرسالية. ولا توجد ملفات تعريف ارتباط ولا تخزين في المتصفح ولا بصمة للجهاز.

البيانات: عنوان IP للزائر عند جلب المهمة وعند التحقق، وعنوان الصفحة ونطاقها، والأوقات ومدة ملء النموذج، وما إذا كان حقل المصيدة قد مُلئ، ومعرّف المتصفح في سجل خادم الويب؛ ونص الرسالة فقط عند تفعيل فحص المحتوى.

أصحاب البيانات: زوار مواقع العميل الذين يفتحون صفحة تحتوي على نموذج محمي أو يرسلون مثل هذا النموذج.

التخزين والحذف: لا يُخزن عنوان IP إلا مختصرا (IPv4 دون البايت الأخير، وIPv6 أول 48 بت) وكقيمة تجزئة بمفتاح يتغير يوميا، لمدة ساعة واحدة؛ ورموز التحقق المستخدمة لمدة إحدى عشرة دقيقة على الأكثر؛ ونتائج الفحص دون عنوان IP ودون نص (الإجراء والدرجة والأسباب والنطاق وفئة فحص المحتوى) لمدة 30 يوما؛ والأرقام اليومية دون ارتباط بالأشخاص لمدة 400 يوم؛ وسجل خادم الويب لمدة 14 يوما. ولا يُعالج نص الرسالة إلا في الذاكرة العاملة، ولا يُخزن ولا يُسجل ولا يُستخدم للتدريب.

المكان: على خوادمنا الخاصة في بولندا، والنموذج اللغوي على أجهزتنا الخاصة؛ ولا يوجد معالجو بيانات فرعيون إضافيون.

الملحق 2 – التدابير التقنية والتنظيمية

ترد التدابير في صفحة التدابير التقنية والتنظيمية. وتشكل جزءا من هذه الاتفاقية بالصيغة المنشورة في الوقت المعني؛ وتخضع التغييرات لأحكام § 8(3).

الملحق 3 – معالجو البيانات الفرعيون

ترد قائمة معالجي البيانات الفرعيين المفوضين في صفحة معالجي البيانات الفرعيين. وتشكل جزءا من هذه الاتفاقية بالصيغة المنشورة في الوقت المعني؛ وتخضع التغييرات لأحكام § 9(2) و(3).

أمور مفتوحة قبل الإطلاق: مزود خدمة البريد المزمع هو Namecheap, Inc. (Private Email), Phoenix, Arizona, USA. ولم توثق بعد اتفاقية معالجة البيانات المنطبقة على هذا الاستخدام وأماكن المعالجة الفعلية والأساس المناسب للنقل. ولا تؤكد هذه الصيغة إبرام اتفاقية أو الحصول على اعتماد بموجب إطار خصوصية البيانات.

الإصدار

الإصدار 2.2 بتاريخ 29 أكتوبر 2026، يحل محل الإصدار 2.1. التغيير: رقم جديد 10 في الملحق 1 بشأن حماية النماذج formconfirmed؛ ولا يسري إلا إذا فعّلها العميل. ولا يتغير أي حكم آخر.

الإصدار 2.1 بتاريخ 22 أكتوبر 2026، يحل محل الإصدار 2.0. التغيير: عند وجود اختلافات، أصبحت الأولوية للنسخة البولندية بدلا من الألمانية؛ وتتوفر الاتفاقية بجميع اللغات الرسمية للاتحاد الأوروبي (بند اللغة). ولا يتغير أي حكم آخر.

الإصدار 2.0 بتاريخ 11 أكتوبر 2026، يحل محل صيغة 9 أكتوبر 2026. التغيير: بنية تتبع المادة 28(3) من اللائحة العامة لحماية البيانات (GDPR) مع الإشارة إلى البنود التعاقدية القياسية 2021/915؛ واستكمال الملحق 1 لكل وظيفة، بما يشمل الآن بيانات تسجيل الدخول للفحص خلف تسجيل الدخول ومسارات النماذج وقيود فحص التسليم؛ وأصبحت التدابير التقنية والتنظيمية وقائمة معالجي البيانات الفرعيين صفحتين منفصلتين وتشكلان جزءا من الاتفاقية بوصفهما الملحقين 2 و3؛ والاختيار بين الإعادة والحذف، ونسخ احتياطية بمدة انتهاء وإعادة تنفيذ طلبات الحذف، وعدم وجود مهلة انتظار ثابتة لعمليات التدقيق العاجلة، والمسؤولية عن معالجي البيانات الفرعيين كما عن سلوكنا الخاص.