اتفاقية معالجة البيانات لشركة برمجيات (مثال): الأحكام الرئيسية

يُبيّن مثالٌ لاتفاقية معالجة بيانات لشركة برمجيات الأحكام الأساسية التي لا غنى عنها لمزود خدمات البرمجيات كخدمة (SaaS): الالتزام باتباع التعليمات، والأمن (المادة 32 من اللائحة العامة لحماية البيانات)، والمعالجات الفرعية وموقع البيانات، والالتزام بالإخطار في حال حدوث خرق للبيانات، والتدقيق، وإعادة البيانات أو حذفها عند انتهاء الخدمة. فيما يلي، نستعرض هذه الأحكام الأساسية من منظور المعالج، مع توضيح الجوانب الرئيسية لكل عنصر. ملاحظة: هذا المثال هو نقطة انطلاق، وليس حلاً جاهزاً، فالمهم هو تكييفه مع تقنياتك ومعالجاتك الفرعية.

الإجابة المختصرة

• الأدوار والتعليمات: العميل هو المسؤول؛ أنت تقوم بالمعالجة فقط بناءً على التعليمات.
• نظرة عامة على المعالجة: الطبيعة والغرض والبيانات وأصحاب البيانات في ملحق.
• الأمن (المادة 32): تدابير ملموسة.
• المعالجات الفرعية وموقع البيانات: القائمة وإجراءات التعديل ومبدأ الاتحاد الأوروبي/المنطقة الاقتصادية الأوروبية.
• الالتزام بالإبلاغ والتدقيق: المواعيد النهائية وحقوق الرقابة.
• الإرجاع والتخلص: الإجراء المتبع في نهاية الخدمة.

يبدأ المثال بالأدوار

يبدأ كل مثال عملي بتقسيم الأدوار. العميل هو المتحكم بالبيانات ويحدد الغرض والوسائل؛ وأنت، بصفتك مورد البرمجيات، تعالج البيانات الشخصية حصراً بناءً على تعليماته. هذه الطبيعة المعتمدة على التعليمات هي جوهر المادة 28 من اللائحة العامة لحماية البيانات (GDPR). لذلك، ينص النموذج الجيد على أنك تعالج البيانات فقط وفقاً لما تم الاتفاق عليه، وأن عمليات المعالجة "مشمولة" في خدمتك القياسية - وإلا، يمكن لأي عميل أن يفرض تعليمات منفصلة لا يستطيع برنامجك التعامل معها.

البندان 1 و2: نظرة عامة على المعالجة والأمان

نظرة عامة على المعالجة (ملحق). تنص المادة 28، الفقرة 3، على ضرورة تقديم وصف للموضوع، والمدة، والطبيعة، والغرض، بالإضافة إلى فئات البيانات وأصحابها. بالنسبة للبرامج، يُرجى تضمين ذلك في ملحق قد يختلف قليلاً باختلاف العميل. يجب توضيح ما إذا كانت هناك فئات خاصة من البيانات الشخصية.

الأمن (المادة 32). هنا، يتوقع العملاء وضوحًا ودقة. ومن الأمثلة القوية على ذلك التشفير أثناء التخزين وأثناء النقل، والتحكم في الوصول باستخدام المصادقة الثنائية، والبيئات المنفصلة، ​​والتسجيل، والنسخ الاحتياطية، وعملية استعادة مُختبرة. تجنب عبارة "التدابير المناسبة" دون مضمون - ففي حالة اختراق البيانات أو التدقيق، ما يُقال ويُنفذ فعليًا هو الفيصل.

البند 3: المعالجات الفرعية وموقع البيانات

بالنسبة لشركات البرمجيات، يُعد هذا البند غالبًا أهم بند. فأنت تستخدم خدمات الاستضافة السحابية، والبريد الإلكتروني، والنسخ الاحتياطي، والمراقبة - وكلها خدمات فرعية. ومن الأمثلة الجيدة على ذلك:

• قائمة بالمعالجات الفرعية التي يوافق عليها العميل (موافقة عامة).
• إجراء التغيير : تقوم بالإبلاغ مسبقاً عن المعالجات الفرعية الجديدة، مع فترة اعتراض.
• الالتزام بفرض نفس متطلبات اللائحة العامة لحماية البيانات (GDPR) على المعالجين الفرعيين التي تنطبق عليك
• موقع البيانات: يفضل أن تتم المعالجة داخل الاتحاد الأوروبي/المنطقة الاقتصادية الأوروبية، وبالنسبة للنقل إلى الخارج، يجب أن يكون هناك أساس قانوني مثل البنود التعاقدية القياسية للمفوضية الأوروبية.

البندان 4 و5: الالتزام بالإبلاغ والتدقيق

الالتزام بالإبلاغ عن اختراق البيانات. بصفتك جهة معالجة بيانات، يجب عليك إبلاغ العميل فورًا في حال حدوث اختراق للبيانات، لكي يتمكن العميل من تقييم ما إذا كان إبلاغ هيئة حماية البيانات الهولندية ضروريًا. يوضح مثال عملي الإطار الزمني (على سبيل المثال، خلال 48 ساعة من اكتشاف الاختراق) والمعلومات التي يجب عليك تقديمها.

التدقيق. للعميل الحق في التفتيش. بصفتك موردًا لديك العديد من العملاء، اجعل هذا الأمر قابلاً للإدارة: قدّم تقرير تدقيق أو شهادة، واربط عمليات التدقيق الميداني بشروط معقولة (الإخطار، والتكرار، والتكاليف). مثال جيد على ذلك هو تحقيق التوازن بين حق العميل في التفتيش وعمليات المورد التجارية.

البند 6: الإرجاع والتخلص

في نهاية الخدمة، يجب عليك إعادة البيانات أو حذفها، حسب اختيار العميل (المادة 28، الفقرة 3، البند الفرعي ز). ويوضح مثال مفيد ما يلي:

• صيغة تصدير يستلم العميل من خلالها بياناته.
• فترة إزالة بعد انتهاء الصلاحية.
• نطاق الالتزامات القانونية بالاحتفاظ التي تمنع الحذف مؤقتًا.

بالنسبة لشركة برمجيات، فإن هذا الأمر ذو أهمية عملية أيضاً: فأنت تريد أن تعرف متى يُسمح لك بحذف بيانات العملاء من أنظمتك ونسخك الاحتياطية.

البند 7: المسؤولية

قم بمواءمة بند المسؤولية مع الشروط والأحكام العامة. بصفتك معالج بيانات، يجب عليك تحديد مسؤوليتك ضمن حدود القانون؛ بينما يرغب العملاء في المرونة. إن استخدام نموذج يتضمن مسؤولية غير محدودة بينما تنص الشروط والأحكام على حد أقصى للمسؤولية يُخلّف ثغرة في حمايتك. لذا، قم بمواءمة كلا المستندين.

مثال عملي

استخدم أحد موردي برامج إدارة المشاريع نموذجًا تم تنزيله من الإنترنت دون ملحق خاص بالمعالجات الفرعية. وعندما استفسر أحد العملاء عن مكان تخزين البيانات، تبيّن أن الاتفاقية لم تتطرق إلى هذا الأمر، على الرغم من أن الاستضافة كانت تتم جزئيًا خارج المنطقة الاقتصادية الأوروبية. وبإضافة قائمة محدّثة بالمعالجات الفرعية، وموقع البيانات، وأساس قانوني لنقلها إلى النموذج، أصبحت الاتفاقية كاملة، ما طمأن العميل.

توصية صادقة

يُعدّ المثال نقطة انطلاق ممتازة، وبالنسبة لخدمة SaaS قياسية تتضمن بيانات شخصية عادية ومعالجات فرعية شائعة في الاتحاد الأوروبي، يمكنك إدارتها بكفاءة تامة بنفسك، شريطة أن تُكمل الملاحق (المعالجة، والأمان، والمعالجات الفرعية) بصدق فيما يتعلق بإعداداتك الفعلية. لستَ بحاجة بالضرورة إلى محامٍ في هذه الحالة. مع ذلك، لا تنسخ مثالًا بشكل أعمى إذا كنت تُعالج فئات خاصة من البيانات، أو تستخدم معالجات فرعية خارج المنطقة الاقتصادية الأوروبية، أو إذا كانت المسؤولية معقدة: في مثل هذه الحالات، يُنصح بالتحقق، لأنك، بصفتك المعالج، تتحمل المخاطر.

هل ترغب في الاطلاع على المزيد؟ اطلع على اتفاقية معالجة البيانات لشركة برمجيات، واقرأ كيفية صياغة مثل هذه الاتفاقية ، أو اطلب صياغة اتفاقية مخصصة.

الأسئلة الشائعة