اتفاقية معالجة الطلب

تم إبرام اتفاقية معالجة البيانات ("DPA") بين الطرفين فيما يتعلق بمعالجة البيانات الشخصية بموجب العقد الرئيسي (المشار إليه فيما يلي باسم "العقد الرئيسي"). يتطلب تقديم الخدمات بموجب العقد الرئيسي ("الخدمات") معالجة البيانات. إذا كانت هذه البيانات تتكون من بيانات شخصية أو تحتوي عليها، فإن معالج البيانات يعمل كمعالج بيانات فيما يتعلق بهذه البيانات، بينما يظل المراقب هو المتحكم في هذه البيانات وفقًا للمادة 28 من اللائحة العامة لحماية البيانات (المشار إليها فيما يلي باسم "GDPR").

يتم توفير الخدمات من قبل معالج البيانات بطريقة توفر وحدة التحكم بياناتها الخاصة، وتتحكم في نقلها إلى معالج البيانات، وفي حالة نماذج البرامج كخدمة (SaaS)، تتحكم بشكل مباشر في التعامل مع هذه البيانات التي تم تحميلها إلى الخدمات. يوافق المراقب ويدرك أن معالج البيانات لا يراقب بيانات مراقب البيانات أو تعامل المراقب مع هذه البيانات ما لم يطلب المراقب على وجه التحديد الوصول إلى هذه البيانات من معالج البيانات. لذلك، تقع على عاتق المراقب وحده مسؤولية والتزام لضمان جمع بيانات المراقب ونقلها وفقًا لقوانين حماية البيانات المعمول بها، وعلى وجه الخصوص، أن هناك أساسًا قانونيًا لذلك وأن أصحاب البيانات على علم بشكل صحيح بجمع ومعالجة بياناتهم الشخصية.

بصفته معالج بيانات، لن يقوم معالج البيانات بمعالجة البيانات الشخصية للمراقب إلا وفقًا لأحكام اتفاقية معالجة البيانات (DPA) وتعليمات المراقب الموثقة. إذا كان معالج البيانات مطلوبًا بموجب قانون الاتحاد أو قانون الدول الأعضاء التي يخضع لها لمزيد من معالجة البيانات الشخصية، فيجب على معالج البيانات إبلاغ المراقب بتلك المتطلبات القانونية قبل المعالجة، ما لم يحظر القانون ذو الصلة مثل هذا الإخطار لأسباب تتعلق بالمصلحة العامة المهمة؛ وفي الحالة الأخيرة، يقوم المعالج بإبلاغ وحدة التحكم بإجراء المزيد من المعالجة بمجرد أن يكون ذلك مسموحًا به قانونًا. يجب على معالج البيانات التأكد والتحقق بانتظام من أن معالجة البيانات الشخصية ضمن نطاق مسؤوليته، بما في ذلك أي معالجين فرعيين يشاركون فيه، تتم وفقًا لأحكام ملحق DPA هذا، وقوانين حماية البيانات المعمول بها، وعلى وجه الخصوص اللائحة العامة لحماية البيانات.

تفاصيل المعالجة موضحة في الأحكام التالية وفي العقد الرئيسي. مع الأخذ في الاعتبار التزاماته كمراقب، سيقوم المراقب بإبلاغ المعالج إذا كان من الضروري استكمال الأحكام المنصوص عليها في العقد الرئيسي.

سيقوم المعالج بمعالجة البيانات الشخصية كما هو موضح في العقد الرئيسي.

سيقوم المعالج عمومًا بمعالجة البيانات الشخصية طوال مدة العقد الرئيسي واتفاقية معالجة العقد هذه، ما لم يتم الاتفاق على خلاف ذلك كتابيًا.

يقوم المعالج بمعالجة البيانات الشخصية حصريًا في مقره الخاص أو في مقر معالجيه الفرعيين المعتمدين. يتم تنفيذ جميع عمليات المعالجة عمومًا في الدول الأعضاء في الاتحاد الأوروبي أو في دولة أخرى طرف في اتفاقية المنطقة الاقتصادية الأوروبية.

لا يُسمح بأي معالجة للبيانات الشخصية خارج الاتحاد الأوروبي/المنطقة الاقتصادية الأوروبية إلا بموجب اتفاق مسبق بين الطرفين وفقط إذا كانت متطلبات المادة 44 وما يليها. يتم استيفاء اللائحة العامة لحماية البيانات.

يتفق الطرفان على أن ملحق DPA هذا يحتوي على تعليمات عامة للمراقب فيما يتعلق بمعالجة البيانات الشخصية نيابة عن المعالج.

أي تعليمات محددة من المراقب والتي تحيد عن أحكام اتفاقية معالجة البيانات هذه أو تفرض التزامات جديدة إضافية على المعالج تتطلب موافقة المعالج لتكون فعالة. بالنسبة لهذه التعليمات المحددة، سيطبق الطرفان إجراء التعديل المتفق عليه في العقد الرئيسي، إن أمكن.

تقع على عاتق المراقب مسؤولية التأكد من أن التعليمات التي يقدمها فيما يتعلق بمعالجة البيانات الشخصية نيابة عن المراقب تتوافق مع قوانين حماية البيانات المعمول بها وأن المعالج يمكنه معالجة البيانات الشخصية وفقًا لتلك التعليمات دون خرق قوانين حماية البيانات المعمول بها، ولا سيما اللائحة العامة لحماية البيانات. إذا اعتقد المعالج أن تعليمات من وحدة التحكم تنتهك قوانين حماية البيانات المعمول بها، فسيقوم المعالج بإبلاغ وحدة التحكم وفقًا لذلك. في مثل هذه الحالات، يحق للمعالج رفض تنفيذ التعليمات حتى يؤكدها المتحكم.

يجب تقديم التعليمات المحددة من الشخص المسؤول كتابيًا أو على الأقل في شكل نصي من قبل الأشخاص المخولين للقيام بذلك نيابة عن الشخص المسؤول. يجب تأكيد التعليمات المقدمة شفهيًا على الفور من قبل أحد الأشخاص المخولين وعلى الأقل في شكل نصي حتى تكون فعالة.

موظفو معالج البيانات: (1) إلى الحد الذي يُسمح لهم فيه بمعالجة البيانات الشخصية، أو أنهم ملزمون بالحفاظ على السرية أو يخضعون لواجب قانوني مناسب يتعلق بالسرية؛ (2) معالجة البيانات الشخصية فقط وفقًا لتعليمات معالج البيانات، ما لم يكن هناك التزام بمعالجة خلاف ذلك بموجب قوانين حماية البيانات المعمول بها؛ و(3) سيتم إعلامك بانتظام بالالتزامات بموجب ملحق DPA هذا وقوانين حماية البيانات المعمول بها، ولا سيما اللائحة العامة لحماية البيانات.

لا يجوز لمعالج البيانات عمل نسخ أو نسخ مكررة من البيانات الشخصية التي تتم معالجتها نيابة عن المراقب دون موافقة مسبقة من المراقب. يستثني هذا النسخ الضرورية لضمان المعالجة الصحيحة للبيانات وتوفير الخدمات بشكل مناسب (بما في ذلك النسخ الاحتياطي للبيانات)، بالإضافة إلى النسخ الضرورية للوفاء بالتزامات الاحتفاظ القانونية.

يقوم المعالج بتعيين مسؤول حماية بيانات يتمتع بالمعرفة والموثوقية في حالة وجود المتطلبات القانونية لتعيين مسؤول حماية البيانات. يزود المعالج وحدة التحكم بتفاصيل الاتصال الخاصة بمسؤول حماية البيانات المعين.

قبل البدء في المعالجة، يقوم معالج البيانات بتنفيذ ما يلي www.fitness-nation.com/support/tom.html التدابير الفنية والتنظيمية المذكورة والمحافظة عليها طوال مدة اتفاقية معالجة الطلب هذه. تم تصميم هذه التدابير الفنية والتنظيمية لضمان مستوى من الأمان مناسب للمخاطر من حيث سرية الأنظمة وسلامتها وتوافرها ومرونتها. يجب أن تؤخذ في الاعتبار أحدث التطورات وتكاليف التنفيذ بالإضافة إلى طبيعة ونطاق وسياق وأغراض المعالجة بالإضافة إلى الاحتمالية المتفاوتة وشدة المخاطر على حقوق وحريات الأشخاص الطبيعيين بالمعنى المقصود في المادة 32 الفقرة 1 من اللائحة العامة لحماية البيانات.

بما أن التدابير الفنية والتنظيمية تخضع للتقدم التقني والتطورات التكنولوجية، فإنه يُسمح لمعالج البيانات بتنفيذ تدابير بديلة ومناسبة، بشرط ألا يؤدي ذلك إلى معيار أمني لا يقل عن ذلك المبين أدناه www.fitness-nation.com/support/tom.html المحدد.

لا يجوز لمعالج البيانات إشراك المعالجين الفرعيين لمعالجة البيانات الشخصية نيابة عن المراقب إلا بموافقة مسبقة من المراقب. يمنح الشخص المسؤول بموجب هذا موافقته على استخدام ما يلي www.fitness-nation.com/support/subunternehmen.html المعالجات الفرعية المدرجة.

يفرض معالج البيانات على كل معالج فرعي التزامات حماية البيانات والسرية وأمن البيانات التي تكون على الأقل بنفس صرامة التزامات معالج البيانات تجاه المراقب المالي المنصوص عليها في اتفاقية المعالجة هذه. إذا فشل المعالج الفرعي في الامتثال لهذه الالتزامات المفروضة عليه، فسيكون معالج البيانات مسؤولاً عن هذه الانتهاكات كما لو كانت خطأه.

يجب على المعالج إخطار المراقب كتابيًا بأي مشاركة جديدة للمعالج الفرعي. إذا اعترض المراقب على المهمة خلال ثلاثين (30) يومًا من تلقي هذا الإخطار، مع ذكر سبب معقول، فسوف يسعى الطرفان إلى حل ودي. في مثل هذه الحالة، إذا لم يتم التوصل إلى حل ودي في غضون شهرين (2)، يحق للمراقب إنهاء العقد الرئيسي فيما يتعلق بتلك الخدمات التي يكون إشراك المعالج الفرعي المقترح ضروريًا لها.

يتفق الطرفان على أن مقدمي الخدمات الإضافية فقط ليسوا معالجي بيانات بالمعنى المقصود في قوانين حماية البيانات؛ ويشمل ذلك على وجه الخصوص خدمات النقل التي تقدمها الخدمات البريدية أو خدمات البريد السريع، بالإضافة إلى خدمات نقل النقد وخدمات الاتصالات السلكية واللاسلكية وخدمات الأمن وخدمات التنظيف. وعلى الرغم مما سبق، سيدخل معالج البيانات في اتفاقيات سرية متوافقة مع معايير الصناعة مع هؤلاء المقاولين من الباطن.

تنطبق أحكام هذا القسم 7 أيضًا إذا كان المعالج الفرعي يعمل في دولة ثالثة خارج الاتحاد الأوروبي أو المنطقة الاقتصادية الأوروبية. مع مراعاة موافقة المراقب على استخدام المعالج الفرعي، يأذن المراقب بموجب هذا للمعالج بإبرام عقد نيابة عن المراقب مع معالج فرعي يعالج بيانات المراقب خارج الاتحاد الأوروبي أو المنطقة الاقتصادية الأوروبية، بما في ذلك البنود التعاقدية القياسية للاتحاد الأوروبي لنقل البيانات الشخصية إلى المعالجين في بلدان ثالثة من 5. فبراير 2010، أو، إذا كان ذلك ممكنًا، شروط حماية البيانات القياسية التي اعتمدتها لاحقًا مفوضية الاتحاد الأوروبي أو السلطة الإشرافية ذات الصلة.

بناءً على طلب كتابي من المراقب المالي، سيزود المعالج المراقب بالمساعدة المناسبة في حالة إجراء تحقيق أو طلب من قبل هيئة إشرافية لحماية البيانات، إلى الحد الذي يتعلق فيه هذا التحقيق أو الطلب بالخدمات. يجب على المعالج أن يزود المراقب بالمساعدة المعقولة في الوفاء بجميع الالتزامات المتعلقة بهذا التحقيق أو الطلب. إذا بدأت هيئة إشرافية لحماية البيانات تحقيقًا مباشرةً مع المعالج أو قدمت طلبًا مقابلًا مباشرةً إلى المعالج، فيجب على المعالج، إلى الحد المسموح به، إبلاغ المراقب على الفور والتعاون مع هذا التحقيق أو الطلب.

يجب على المعالج إبلاغ المراقب دون تأخير غير معقول إذا اكتشف خرقًا للبيانات الشخصية فيما يتعلق بمعالجة البيانات الشخصية بموجب اتفاقية معالجة البيانات هذه. إذا أصبح المراقب، نتيجة لهذا الإخطار، خاضعًا لالتزامات الإبلاغ إلى السلطات الإشرافية لحماية البيانات و/أو أصحاب البيانات (لا سيما بموجب المادتين 33 و34 من اللائحة العامة لحماية البيانات)، فيجب على المعالج أن يزود المراقب بالمساعدة المناسبة والضرورية في الوفاء بالتزامات الإبلاغ هذه. إلى الحد الذي لا يكون فيه المعالج مسؤولاً عن خرق البيانات الذي يمكن الإبلاغ عنه، يحق للمعالج فرض رسوم على خدمات الدعم وفقًا لمعدلات المكافآت المتفق عليها في العقد الرئيسي.

يجب على المعالج مساعدة المراقب، مع الأخذ في الاعتبار طبيعة المعالجة والمعلومات المتاحة للمعالج، في أي تقييم لتأثير حماية البيانات قد يحتاج المراقب إلى إجرائه فيما يتعلق بمعالجة البيانات الشخصية، بما في ذلك، عند الاقتضاء، التشاور مع السلطة الإشرافية لحماية البيانات ذات الصلة (المادتان 35 و36 من اللائحة العامة لحماية البيانات). يحق للمعالج تحصيل رسوم مقابل خدمات الدعم وفقًا لمعدلات الأجور المتفق عليها في العقد الرئيسي.

يجب على المعالج إبلاغ المراقب دون تأخير غير معقول إذا اتصل صاحب البيانات بالمعالج مباشرة لتقديم شكوى أو طلب أو ممارسة حقوقه. لا يستجيب المعالج للطلب نفسه ما لم يطلب المراقب صراحةً من المعالج القيام بذلك. يجب على المعالج أن يزود المراقب بالمساعدة المناسبة في الرد على مثل هذه الشكاوى والاستفسارات وطلبات أصحاب البيانات. يحق للمعالج تحصيل رسوم مقابل الدعم المقدم وفقًا لمعدلات الأجور المتفق عليها في العقد الرئيسي.

بناءً على تعليمات معقولة من وحدة التحكم، خلال مدة اتفاقية معالجة البيانات (DPA) أو بعد إنهائها أو عند إنهاء معالجة البيانات الشخصية بموجب الاتفاقية المحددة ذات الصلة، سيقوم المعالج بتدمير أو حذف أو إرجاع البيانات التي تتم معالجتها نيابة عن وحدة التحكم. إذا كانت القوانين المعمول بها تمنع المعالج من تدمير أو حذف أو إعادة البيانات الشخصية التي تتم معالجتها نيابة عن المراقب المالي، فسيتوقف المعالج مع ذلك عن معالجة هذه البيانات بشكل فعال، ولكنه سيستمر في تخزينها فقط للامتثال للمتطلبات القانونية، ولا سيما التزامات الاحتفاظ القانونية، وسيدمرها أو يحذفها أو يعيدها إلى المراقب بمجرد زوال العائق القانوني، وفقًا لتعليمات المراقب الأصلية.

يقوم المعالج بإنشاء دليل على أي تدمير أو حذف للبيانات الشخصية، والذي يتم توفيره لوحدة التحكم عند الطلب.

يحق للمراقب، خلال ساعات العمل العادية (من الاثنين إلى الجمعة من الساعة 9:00 صباحًا حتى 5:00 مساءً)، على نفقته الخاصة، دون تعطيل العمليات ومع الالتزام الصارم بسرية الأسرار التجارية والأسرار التجارية للمعالج، الدخول إلى مقر المعالج حيث تتم معالجة بيانات المراقب، من أجل التحقق من الامتثال لاتفاقية معالجة الطلب هذه. ستقدم وحدة التحكم عمومًا إشعارًا كافيًا (قبل أسبوعين على الأقل) بإجراء هذا التفتيش في الموقع.

وكقاعدة عامة، يحق للشخص المسؤول إجراء تفتيش موقعي واحد في كل سنة تقويمية، كما هو مذكور في الفقرة السابقة. ولا يؤثر هذا على حق المراقب في إجراء المزيد من عمليات التفتيش في الموقع في حالة وقوع حوادث خاصة.

إذا كلف المراقب طرفًا ثالثًا بإجراء المراجعة، فيجب على المراقب إلزام الطرف الثالث كتابيًا بنفس القدر الذي يلتزم به المراقب تجاه المعالج بموجب اتفاقية معالجة البيانات هذه. بالإضافة إلى ذلك، يجب على الشخص المسؤول إلزام الطرف الثالث بالحفاظ على السرية والسرية، ما لم يكن الطرف الثالث خاضعًا لالتزام مهني بالسرية. بناءً على طلب المعالج، يجب على وحدة التحكم تزويد المعالج على الفور باتفاقيات السرية مع الطرف الثالث. ولا يجوز للشخص المسؤول تكليف أحد المنافسين للمعالج بإجراء الاختبار.

بدلاً من التفتيش في الموقع، يمكن أيضًا تقديم دليل على الامتثال لملحق DPA هذا من خلال الامتثال لقواعد السلوك المعتمدة وفقًا للمادة 40 من اللائحة العامة لحماية البيانات، أو الشهادة بموجب آلية اعتماد معتمدة وفقًا للمادة 42 من اللائحة العامة لحماية البيانات، أو من خلال تقديم شهادة أو تقارير أو مقتطفات من تقارير الهيئات المستقلة (على سبيل المثال. مدقق، أو تدقيق داخلي، أو مسؤول حماية البيانات، أو قسم أمن تكنولوجيا المعلومات، أو مدققو حماية البيانات أو مدققو الجودة) أو شهادة مناسبة من خلال تدقيق أمن تكنولوجيا المعلومات أو حماية البيانات - على سبيل المثال. ب. وفقًا لمعيار ISO 27001 - ("تقرير الاختبار")، بشرط أن يمكّن تقرير الاختبار المراقب المالي من أن يكون راضيًا بشكل معقول عن الامتثال لملحق DPA هذا.

إذا لم يكن التفتيش في الموقع ناتجًا عن سوء سلوك من جانب المعالج، وإلى الحد الذي لم يكن فيه سبب التفتيش في الموقع، يحق للمعالج تحميل النفقات المتكبدة أثناء عمليات التفتيش في الموقع وفقًا لمعدلات المكافآت المتفق عليها في العقد الرئيسي.

تخضع هذه الشروط والأحكام العامة لنفس قانون العقد الرئيسي، وسيكون للمحاكم المتفق عليها من قبل الأطراف في العقد الرئيسي السلطة القضائية الحصرية على أي نزاع ينشأ عن أو فيما يتعلق بهذه الشروط والأحكام العامة.

لا تكون التغييرات أو الإضافات على هذه اللوائح الإدارية العامة فعالة إلا إذا تم إجراؤها كتابيًا.

إذا اعتبر أي شرط من هذه الشروط والأحكام غير صالح أو غير قابل للتنفيذ من قبل محكمة ذات اختصاص قضائي، فستظل الأحكام المتبقية سارية المفعول والتأثير الكامل.

تدخل اتفاقية معالجة البيانات (DPA) هذه حيز التنفيذ عند إبرام العقد الرئيسي كجزء لا يتجزأ منه. ويظل ساري المفعول بغض النظر عن نهاية مدة العقد الرئيسي حتى تنتهي صلاحيته تلقائيًا بمجرد حذف جميع البيانات الشخصية بواسطة معالج البيانات و/أو جميع المعالجين الفرعيين المكلفين.