اتفاقية معالجة البيانات

1. الأطراف والنطاق

1.1 تُبرم اتفاقية معالجة البيانات هذه ("الاتفاقية") بين شركة إياد الهوارى للبرمجيات وحلول الذكاء الاصطناعي (ش.ذ.م.م)، سجل تجاري رقم 307454 ("المعالج" أو "نحن")، والمركز أو المدرس الخاص الذي يقبل الشروط والأحكام الخاصة بنا ("العميل" أو "أنت").

1.2 تسري الاتفاقية على جميع البيانات الشخصية التي نعالجها لحساب العميل من خلال الخدمة ("البيانات الشخصية للعميل"). وهي جزء من الشروط والأحكام، وتظل سارية طوال مدة معالجتنا للبيانات الشخصية للعميل.

2. التعريفات

• قانون حماية البيانات: القانون رقم 151 لسنة 2020 بشأن حماية البيانات الشخصية ولائحته التنفيذية.
• مركز حماية البيانات: مركز حماية البيانات الشخصية المنشأ بموجب قانون حماية البيانات.
• الشخص المعني بالبيانات: كل شخص تُعد بياناته من البيانات الشخصية للعميل، كالطالب أو ولي الأمر أو الموظف.
• المعالج من الباطن: أي طرف ثالث نستعين به في معالجة البيانات الشخصية للعميل.
• خرق البيانات الشخصية: أي إخلال أمني يؤدي إلى فقدان البيانات الشخصية للعميل أو إتلافها أو تعديلها أو الإفصاح عنها أو الوصول إليها، بطريق الخطأ أو بصورة غير مشروعة.

ويكون لباقي المصطلحات المعنى الوارد في الشروط والأحكام أو في قانون حماية البيانات.

3. الأدوار

3.1 العميل هو المتحكم في البيانات الشخصية للعميل، ونحن المعالج.

3.2 لا نعالج البيانات الشخصية للعميل إلا وفقًا لتعليماته الموثقة. وتُعد الشروط والأحكام وهذه الاتفاقية وإعدادات العميل وإجراءاته داخل الخدمة هي تلك التعليمات. وسنخطر العميل إذا رأينا أن أي تعليمات تخالف قانون حماية البيانات، ويجوز لنا الامتناع عن تنفيذها.

3.3 يبين الملحق 1 تفاصيل المعالجة.

4. التزامات العميل

يلتزم العميل بما يلي:

• توفير أساس قانوني للبيانات التي يُدخلها والرسائل التي يرسلها، وإبلاغ الأشخاص المعنيين بالبيانات بالمعلومات التي يوجبها قانون حماية البيانات؛
• الحصول على موافقة ولي الأمر قبل إدخال أي بيانات عن طفل، وتسجيل هذه الموافقة في الخدمة؛
• عدم تعليم الطالب بأنه بالغ إلا إذا كان قد بلغ 18 عامًا أو أكثر؛
• عدم جعل طفل هو من يسدد مصروفاته إلا بموافقة ولي أمره؛
• عدم إدخال إلا البيانات التي تحتاجها الخدمة، وعدم إدخال أي بيانات صحية أو أرقام قومية للطلاب أو أولياء الأمور أو بيانات دينية أو سياسية؛
• التحكم في صلاحيات اطلاع الموظفين على البيانات، وإلغاء صلاحية أي موظف يترك العمل؛
• الرد على طلبات الأشخاص المعنيين بالبيانات المتعلقة بالبيانات الشخصية للعميل، بمساعدتنا وفقًا للبند 9؛
• الحصول على أي ترخيص أو تصريح يوجبه قانون حماية البيانات عليه بصفته متحكمًا.

5. التزاماتنا

نلتزم بما يلي:

• عدم معالجة البيانات الشخصية للعميل إلا لتقديم الخدمة وتأمينها ودعمها، وعدم معالجتها لأغراضنا الخاصة إلا في الحدود التي يسمح بها البند 11؛
• التأكد من التزام كل شخص يمكنه الوصول إلى البيانات الشخصية للعميل بالسرية؛
• تطبيق تدابير الأمان الواردة في الملحق 3 ومراجعتها بصفة مستمرة؛
• الاحتفاظ بسجلات المعالجة التي يوجبها قانون حماية البيانات؛
• مساعدة العميل في تقييمات الأثر على حماية البيانات وطلبات مركز حماية البيانات والتراخيص، في حدود المعلومات المتاحة لدينا؛
• الحصول على التراخيص والتصاريح التي يوجبها قانون حماية البيانات علينا بصفتنا معالجًا.

6. بيانات الأطفال

تُعامل البيانات الشخصية للعميل المتعلقة بالأطفال بوصفها بيانات شخصية حساسة. وبالإضافة إلى ما ورد في الملحق 3، نلتزم بما يلي:

• إخفاء أسماء الأطفال وأرقامهم في الأسئلة المكتوبة قبل إرسالها إلى مزود للذكاء الاصطناعي؛
• عدم تحميل أدوات قياس الإعلانات أبدًا داخل الخدمة أو على الصفحات التي يفتحها أولياء الأمور أو الطلاب؛
• استبدال أسماء الأطفال وأولياء الأمور وأرقام هواتفهم بقيم مصطنعة في النسخ الاحتياطية الأسبوعية؛
• عدم استخدام بيانات الأطفال أبدًا لأغراض التسويق أو الإعلان أو التنميط، وعدم بيعها أبدًا.

7. المعالجون من الباطن

7.1 يأذن العميل لنا بالاستعانة بمعالجين من الباطن من الفئات الواردة في الملحق 2. ونزود العميل بالقائمة الحالية لأسمائهم عند الطلب.

7.2 يجوز لنا إضافة أو استبدال أي معالج من الباطن في أي وقت، ونحدّث القائمة التي نقدمها عند الطلب. وإذا اعترض العميل، فإن سبيله الوحيد هو التوقف عن استخدام الجزء المتأثر من الخدمة أو إلغاء اشتراكه وفقًا للشروط والأحكام.

7.3 نفرض على كل معالج من الباطن التزامات لحماية البيانات لا تقل عن تلك الواردة في هذه الاتفاقية، ونظل مسئولين أمام العميل عن أدائه.

8. النقل خارج مصر

تُخزن البيانات الشخصية للعميل وتُعالج في المواقع الواردة في الملحق 2. ولا ننقلها خارج مصر إلا في الحدود التي يسمح بها قانون حماية البيانات، بما في ذلك بموجب أي ترخيص أو تصريح يطلبه مركز حماية البيانات، وإلى معالجين من الباطن ملزمين تعاقديًا بحمايتها فقط.

9. طلبات الأشخاص المعنيين بالبيانات

9.1 إذا تلقينا طلبًا من شخص معني بالبيانات يتعلق بالبيانات الشخصية للعميل، نحيله إلى العميل خلال 5 أيام عمل ولا نرد عليه بأنفسنا، ما لم يكن العميل قد أغلق أو تعذر التواصل معه، أو أوجب القانون علينا الرد.

9.2 تتيح الخدمة للعميل الاطلاع على البيانات الشخصية للعميل وتصحيحها وتصديرها وحذفها. وإذا تعذر على العميل تنفيذ ما يتطلبه الطلب باستخدام هذه الأدوات، نقدم المساعدة خلال مدة معقولة. ويجوز لنا تقاضي مقابل عن المساعدة التي تتجاوز ما توفره هذه الأدوات.

10. خرق البيانات الشخصية

10.1 نخطر العميل بأي خرق للبيانات الشخصية دون تأخير غير مبرر بعد التأكد منه، وفي وقت يتيح للعميل الوفاء بالتزاماته القانونية.

10.2 يتضمن الإخطار، بقدر ما هو معلوم لنا وقتها: ما حدث، وفئات الأشخاص المعنيين بالبيانات والسجلات المتأثرة وعددها التقريبي، والعواقب المحتملة، وما اتخذناه وما سنتخذه من إجراءات. ونضيف المعلومات فور توافرها.

10.3 نتعاون مع العميل لضمان إخطار مركز حماية البيانات خلال 72 ساعة، وإخطار الأشخاص المعنيين بالبيانات وفقًا لما يوجبه قانون حماية البيانات، ونقوم بأي إخطار يوجبه القانون علينا بصفتنا معالجًا.

11. مزايا الذكاء الاصطناعي وتحسين الخدمة ومنع الاحتيال

11.1 قبل إرسال أي سؤال أو تعليمات مكتوبة إلى مزود للذكاء الاصطناعي، نستبدل أسماء الطلاب وأرقامهم برموز، ونحذف كل ما يشبه رقم هاتف. أما الصور وملفات PDF والرسائل الصوتية التي يرسلها العميل إلى المساعد فتصل إلى مزود الذكاء الاصطناعي كما هي، وتبين الخدمة ذلك قبل إرسالها.

11.2 يجوز لنا استخدام نسخ من المحادثات الكتابية للعميل مع المساعد الذكي، بعد حذف الأسماء وأرقام الهواتف، لتحسين المساعد. ويمكن للعميل إيقاف ذلك من إعدادات الذكاء الاصطناعي. ويحتفظ مزود الذكاء الاصطناعي الصوتي لدينا بتسجيلات المكالمات الصوتية مع طارق، وتُستخدم لتدريب طارق وتحسينه.

11.3 يجوز لنا استخدام البيانات المجردة من كل التفاصيل الشخصية، والتي لا تحدد هوية أي شخص أو أي عميل، لتشغيل الخدمة وتحسينها ولتطوير نماذج الذكاء الاصطناعي الخاصة بنا وتدريبها.

11.4 منع الاحتيال. يجوز لنا مقارنة أرقام الهواتف المسجلة على الخدمة، بما في ذلك أرقام هواتف أولياء الأمور وأرقام هواتف أصحاب الحسابات والموظفين، وبيانات InstaPay المحفوظة على الحسابات، بين العملاء، وذلك لغرض واحد فقط هو منع الاحتيال وإساءة استخدام الفترات التجريبية المجانية والإحالات وفواتير المنصة غير المسددة. ولا نستخدم النتيجة إلا لرفض فترة تجريبية أو إنهائها، أو لرفض حساب آخر أو إيقافه حتى سداد مبلغ مستحق، أو لوضع إحالة قيد المراجعة. ولا نكشف أبدًا لأي عميل أيًا من البيانات الشخصية للعميل الخاصة بعميل آخر.

12. التدقيق

نقدم للعميل الإجابات والمستندات المكتوبة اللازمة بصورة معقولة لإثبات الالتزام بهذه الاتفاقية. ولا يجري أي تدقيق آخر إلا إذا أوجبه مركز حماية البيانات أو القانون، وعلى نفقة العميل، وبحد أقصى مرة واحدة سنويًا، وبإخطار كتابي مسبق مدته 30 يومًا، بواسطة مدقق مستقل ملتزم بالسرية، ودون الاطلاع على بيانات العملاء الآخرين أو على التفاصيل التي قد تضعف أماننا.

13. إعادة البيانات وحذفها

13.1 يمكن للعميل خلال مدة الاشتراك تصدير البيانات الشخصية للعميل وحذفها باستخدام الخدمة. وخلال الفترة التجريبية المجانية، يمكن للعميل الاطلاع عليها وتصحيحها وحذفها، ولا يُتاح تنزيلها في ملف إلا بعد سداد أول فاتورة منصة. وإذا استلزم طلبٌ مقدم من أحد الأشخاص المعنيين بالبيانات تصديرها خلال الفترة التجريبية، نوفره عند الطلب.

13.2 عند انتهاء الاشتراك، يُحتفظ بالبيانات الشخصية للعميل لمدة ستة أشهر من آخر نشاط على الحساب، ويجوز للعميل خلال هذه المدة أن يطلب منا إعادة فتح الحساب لتصدير بياناته. وبعد انقضائها نحذف البيانات الشخصية للعميل، أو نجعلها مجهلة بحيث لا تحدد هوية أي شخص، فيما عدا السجلات التي يلزمنا القانون بالاحتفاظ بها. وتُحذف النسخ الاحتياطية بانتهاء دورتها، خلال 12 شهرًا.

14. المسئولية

تخضع مسئولية كل طرف بموجب هذه الاتفاقية للحدود الواردة في الشروط والأحكام، إلا حيث لا يجيز القانون المصري تحديدها. ويتحمل العميل المسئولية عن أي غرامة أو مطالبة أو تكلفة تنشأ عن إخلاله بقانون حماية البيانات أو بهذه الاتفاقية، ويلتزم بتعويضنا عنها.

15. أولوية التطبيق

فيما يتعلق بمعالجة البيانات الشخصية، تسود هذه الاتفاقية على الشروط والأحكام. وفي حال الاختلاف بين النصين العربي والإنجليزي، يسود النص العربي.

الملحق 1: تفاصيل المعالجة

• الموضوع والمدة: تقديم الخدمة طوال مدة اشتراك العميل ومدة إعادة البيانات وحذفها الواردة في البند 13.
• الطبيعة والغرض: استضافة السجلات وتخزينها وتنظيمها وعرضها وتحليلها؛ وإرسال الرسائل النصية التي يختار العميل إرسالها؛ ومقارنة صور الإيصالات بالفواتير؛ والإجابة عن الأسئلة من خلال المساعد الذكي؛ وتسجيل الشاشات لاكتشاف المشكلات وإصلاحها؛ وإعداد التقارير وملفات التصدير؛ وإعداد النسخ الاحتياطية؛ وتأمين الخدمة؛ ومقارنة أرقام الهواتف وبيانات InstaPay بين الحسابات لمنع الاحتيال، على النحو المبين في البند 11.4.
• الأشخاص المعنيون بالبيانات: الطلاب (وأغلبهم أطفال)، وأولياء الأمور والأوصياء، وموظفو العميل، والمدرسون العاملون مع العميل.
• البيانات الشخصية: الأسماء؛ وأرقام الهواتف؛ وأرقام الطلاب؛ والصفوف الدراسية والمواد؛ والمجموعات والمواعيد؛ والحضور؛ والمصروفات والفواتير والأرصدة وحالة السداد؛ وصور الإيصالات، التي قد يظهر بها اسم المُحوِّل وبياناته البنكية؛ وسجلات الموافقة، بما في ذلك اسم الولي وصلته بالطالب؛ وتفضيلات الرسائل؛ وأسماء الموظفين وأدوارهم وصلاحياتهم؛ وسجلات الإجراءات داخل الحساب؛ ومحادثات المساعد الذكي وتسجيلات المكالمات الصوتية معه.
• البيانات الحساسة: جميع البيانات المتعلقة بالأطفال.

الملحق 2: فئات المعالجين من الباطن

الملحق 3: تدابير الأمان

• تشفير جميع الاتصالات، وتشفير البيانات المخزنة من قبل مزودي الاستضافة.
• تخزين الأرقام السرية والرموز المؤقتة ورموز روابط أولياء الأمور بصيغة مُعمّاة فقط، وانتهاء صلاحية رموز الدخول بعد 10 دقائق ورموز طلبات البيانات بعد 30 دقيقة، مع عدد محدود من المحاولات لكل منهما.
• فصل بيانات كل عميل داخل التطبيق، وتحديد صلاحيات الموظفين من قبل العميل.
• حدود استخدام على الدخول والرموز والنماذج العامة، وفحص البرامج الآلية على النماذج العامة.
• إخفاء الأسماء وأرقام الهواتف في النصوص المكتوبة قبل المعالجة بالذكاء الاصطناعي.
• حذف البيانات الشخصية من تقارير الأخطاء قبل خروجها من أنظمتنا.
• روابط لأولياء الأمور تنتهي صلاحيتها، وتُلغى فورًا عند الحذف.
• استبدال أسماء الأطفال وأولياء الأمور وأرقام هواتفهم في النسخ الاحتياطية الأسبوعية.
• نسخ احتياطي ليلي للملفات المخزنة، وحذف تلقائي للسجلات وسجلات الذكاء الاصطناعي وفق جداول زمنية ثابتة.
• قصر الاطلاع على بيانات البرنامجين الحساسة، كالأرقام القومية، على الموظفين المفوضين.
• المراقبة والتنبيهات عند فشل المهام أو وقوع أخطاء أو نشاط غير معتاد.
• التزامات بالسرية على كل من يملك صلاحية الوصول.