اتفاقية معالجة البيانات (DPA)
آخر تحديث:
تشكّل هذه الاتفاقية جزءًا من الشروط والأحكام الخاصة بـ QRtimetrack، وتسري تلقائيًا على كل عميل (صاحب العمل)، وفقًا للمادة 28 من اللائحة (الاتحاد الأوروبي) 2016/679 (اللائحة العامة لحماية البيانات GDPR). وإذا احتجت إلى نسخة موقّعة، فراسلنا على contact@qrtimetrack.com. هذا النص ترجمة. وفي حال وجود أي اختلاف بين الترجمة والنسخة الرومانية أو الإنجليزية، تسود النسخة الرومانية أو الإنجليزية.
1. الطرفان والأدوار
العميل (صاحب العمل الذي يستخدم QRtimetrack) هو المتحكم في بيانات موظفيه. وNINE UNIT GROUP S.R.L., CUI 54549440, J2026027060009, București, Sector 1, Intrarea Gheorghe Simionescu nr. 19, ap. B26 هو المعالج، ولا يعالج هذه البيانات إلا لتقديم الخدمة ووفقًا للتعليمات الموثقة من العميل فقط (إعدادات الحساب وهذه الاتفاقية).
2. الموضوع والمدة
سجلات وقت العمل: تسجيلات الحضور (حضور، انصراف، استراحات)، والموقع لحظة التسجيل، وصور السيلفي (إذا طلبها العميل)، وفحوص الحضور، وطلبات الإجازة، والمهام، والمحادثة الداخلية والإعلانات، والتقارير وعمليات التصدير. وتستمر المعالجة ما دام حساب العميل نشطًا، إضافةً إلى فترة الحذف المذكورة أدناه.
3. فئات أصحاب البيانات وفئات البيانات
موظفو العميل والمتعاقدون معه، ومستخدمو لوحة التحكم (المديرون والمسؤولون). البيانات: الاسم، والهاتف/البريد الإلكتروني (اختياري)، والمسمى الوظيفي، وساعات العمل، وموقع GPS عند التسجيل، وعنوان IP في التسجيل من الكمبيوتر، والسيلفي، ونشاط الكمبيوتر (نشط/خامل فقط، إذا كان مفعّلًا)، وطلبات الإجازة، ورسائل المحادثة والإعلانات (مع إشعارات القراءة)، والمهام والصور المرفقة. ولا نعالج بيانات بيومترية: يتم فتح القفل بـ Face ID أو بصمة الهاتف على هاتف الموظف (passkey) ولا نتلقى سوى توقيع تشفيري. ولا نُجري تعرّفًا على الوجه: صور السيلفي مجرد صور مرفقة بتسجيل الحضور، ولا تُعالج تقنيًا لتحديد هوية أي شخص، وتُحذف بعد 30 يومًا.
4. التزاماتنا
نعالج البيانات لتقديم الخدمة فقط؛ ونضمن التزام كل من لديه حق الوصول بالسرية؛ ونطبّق تدابير تقنية وتنظيمية مناسبة؛ ونساعد العميل في الرد على طلبات أصحاب البيانات (الوصول، والتصحيح، والمحو، والتصدير)؛ ونُخطر العميل دون تأخير غير مبرر، وفي غضون 48 ساعة كحد أقصى من علمنا، بأي خرق للبيانات الشخصية؛ ونوفر المعلومات اللازمة لإثبات الامتثال؛ ونُبلغ العميل فورًا إذا كانت إحدى التعليمات تخالف قانون حماية البيانات؛ ونساعد العميل في تقييمات الأثر على حماية البيانات (DPIA) والتشاور المسبق والتزاماته بموجب المواد 32–36 من اللائحة العامة لحماية البيانات. ويصف إخطار الخرق طبيعته، وفئات الأشخاص والسجلات المعنية وعددها التقريبي، والعواقب المحتملة، والتدابير المتخذة (المادة 33(3) من اللائحة). ونحتفظ بسجل لأنشطة المعالجة بصفتنا معالجًا (المادة 30(2) من اللائحة).
5. تدابير الأمان
اتصالات مشفّرة (HTTPS/TLS)؛ وقاعدة بيانات وملفات مستضافة في الاتحاد الأوروبي (فرانكفورت)؛ وفصل لكل شركة تفرضه قواعد قاعدة البيانات؛ وكلمات مرور مخزّنة بصيغة مُجزَّأة فقط؛ ومديرون يقتصر وصولهم على مواقعهم؛ وسجل تدقيق للتصحيحات (من، ومتى، ولماذا)؛ وحذف تلقائي لصور السيلفي بعد 30 يومًا؛ ونسخة احتياطية يومية تُحفظ 14 يومًا.
6. المعالجون الفرعيون
يأذن العميل باستخدام المعالجين الفرعيين التالين: Supabase Inc. (قاعدة البيانات والملفات، منطقة الاتحاد الأوروبي – فرانكفورت، ألمانيا)؛ وOVH SAS (الخادم المخصص للتطبيق، غرافلين، فرنسا – الاتحاد الأوروبي)؛ وResend Inc. (رسائل البريد الخدمية، الولايات المتحدة؛ بنود تعاقدية قياسية)؛ وStripe Payments Europe Ltd. (المدفوعات، أيرلندا؛ بيانات فوترة العميل فقط)؛ وخدمات الإشعارات الفورية للمتصفحات والهواتف (Apple وGoogle وMozilla)، التي تنقل الإشعارات بصيغة مشفّرة (معيار Web Push) ولا تتلقى سوى العنوان التقني للاشتراك. ويُستخدم Google Analytics على الموقع الإلكتروني فقط، وبموافقة الزائر فقط، ولا يتلقى أي بيانات عن الموظفين. ونفرض تعاقديًا على كل معالج فرعي التزامات حماية البيانات نفسها الواردة في هذه الاتفاقية، ونظل مسؤولين أمام العميل عنهم. ونُخطر العميل قبل 30 يومًا على الأقل من إضافة معالج فرعي أو تغييره؛ ويحق للعميل الاعتراض وإغلاق الحساب دون أي تكلفة.
7. عمليات النقل خارج الاتحاد الأوروبي
تُخزَّن قاعدة البيانات والملفات (بما فيها صور السيلفي) داخل الاتحاد الأوروبي، في فرانكفورت. وخادم التطبيق داخل الاتحاد الأوروبي (OVH، غرافلين، فرنسا). أما إرسال البريد الإلكتروني (Resend) ففي الولايات المتحدة: تمر بيانات الاتصال عبره بموجب البنود التعاقدية القياسية للمفوضية الأوروبية (القرار 2021/914)، مع التشفير أثناء النقل، وتقييم لأثر النقل نحتفظ به ونشاركه مع العميل عند الطلب.
8. التزامات العميل
يحدد العميل الأساس القانوني للمعالجة (عادةً الالتزام القانوني بتسجيل وقت العمل والمصلحة المشروعة)، ويُبلغ الموظفين (يعرض التطبيق إشعارًا يؤكد الموظف اطلاعه عليه)، ويضبط المزايا الاختيارية (السيلفي، وفحوص الحضور، ونشاط الكمبيوتر) بما يتناسب مع الغرض، ويتشاور مع ممثلي العاملين حيثما يلزم ذلك.
9. حذف البيانات وإعادتها
يمكن للعميل تصدير البيانات في أي وقت (Excel وCSV وAPI). وعند إغلاق الحساب، يختار العميل إعادة البيانات إليه (تصدير كامل) أو حذفها؛ ويتم الحذف خلال 30 يومًا. وحيثما يفرض القانون الاحتفاظ بسجلات وقت العمل (مثل 4 سنوات في إسبانيا)، يجب على العميل تصدير البيانات وأرشفتها قبل الإغلاق. وتُحذف البيانات، باستثناء ما يُلزمنا القانون بالاحتفاظ به (مثل الفواتير). وتختفي النسخ الاحتياطية خلال 14 يومًا إضافية.
10. التدقيق
بناءً على طلب كتابي من العميل، نقدم معلومات عن تدابيرنا الأمنية. ويجوز إجراء تدقيق ميداني مرة واحدة سنويًا بإشعار مسبق مدته 30 يومًا، وعلى نفقة العميل، ودون المساس بسرية العملاء الآخرين.
11. أحكام ختامية
في حال التعارض بين هذه الاتفاقية والشروط والأحكام، تسود هذه الاتفاقية في المسائل المتعلقة بحماية البيانات. ويُطبَّق القانون الروماني.
سياسة الخصوصية · الشروط والأحكام · سياسة ملفات تعريف الارتباط