ملحق معالجة البيانات

1. الأطراف والنطاق

تُبرَم اتفاقية معالجة البيانات هذه («الاتفاقية») بين العميل (أنت) وAllStak (المعالج)، وتُطبَّق على البيانات الشخصية التي تعالجها AllStak نيابةً عنك ضمن تقديم خدمة المراقبة.

2. الأدوار

• العميل هو المتحكِّم في البيانات الشخصية المتضمَّنة في القياس الذي يرسله إلى AllStak.
• AllStak هي المعالج لهذا القياس، وتعمل وفق تعليمات موثَّقة من العميل (الشروط، هذه الاتفاقية، وإعدادات لوحة التحكّم).
• أما بالنسبة لأصحاب الحسابات لدى العميل، فـ AllStak تعمل كمتحكِّم مستقل — تُغطّيهم سياسة الخصوصية.

3. تفاصيل المعالجة

• الموضوع: إدخال وتخزين واستعلام وتنبيه وعرض أحداث القياس التي تُنتجها تطبيقات العميل.
• المدّة: طوال وجود حساب فعّال للعميل، إضافةً لنوافذ الاحتفاظ في سياسة الخصوصية.
• الطبيعة والغرض: تقديم خدمة المراقبة والملاحظة.
• فئات البيانات: تقارير الأخطاء، أسطر السجلّ، مسارات التتبّع، المقاييس، عيّنات الطلبات، عناوين IP للمستخدم النهائي، بيانات المتصفّح/الجهاز. تُسقَط أنماط الأسرار المُصنَّفة عند الإدخال.
• فئات أصحاب البيانات: المستخدمون النهائيون لدى العميل، موظفوه، متعاقدوه، وأي شخص طبيعي تعالج تطبيقات العميل بياناته وتُرسلها إلى AllStak.

4. المعالجون الفرعيون

تُشرِك AllStak معالجين فرعيّين فقط لتنفيذ معالجات نيابةً عنها. القائمة الحالية مُنشورة وتُحدَّث على هذه الصفحة. ترسل AllStak إشعاراً للعميل قبل 14 يوماً على الأقل من إضافة أي معالج فرعي جديد (عبر بريد جهة الفوترة وتحديث منشور). يحقّ للعميل الاعتراض لأسباب معقولة تتعلّق بحماية البيانات، وفي حال تعذّر الاتفاق على حل، يحقّ للعميل إنهاء الجزء المتأثّر من الخدمة.

المعالجون الفرعيون الحاليون

• الاستضافة / البنية التحتية — استضافة الإنتاج في المملكة العربية السعودية (لعملاء المنطقة العربية) وألمانيا (لعملاء الاتحاد الأوروبي والمملكة المتحدة). أسماء المزوّدين والمنطقة بدقّة تُكشف عند الطلب.
• إرسال البريد — البريد المعاملاتي للمصادقة والإشعارات.
• المدفوعات — الفوترة وإصدار الفواتير.

5. التدابير الأمنية

• تشفير أثناء النقل (TLS) وعند التخزين لقواعد البيانات والتخزين الكائني.
• عزل المستأجرين: كل طلب مُفوَّض يمرّ عبر organization_members؛ يُحجب الوصول العابر على طبقة المتحكّمات.
• المصادقة عبر JWT يعتمد على الكوكيز مع تدوير توكن التحديث؛ الجلسات مقيَّدة بالمؤسسة النشطة.
• رؤوس استجابة HTTP مُقيَّدة (CSP، Referrer-Policy، Permissions-Policy).
• قيم الأسرار في مخزن بيانات اعتماد المنصّة مُشفَّرة ولا تُعاد بصيغة نصّية بعد الحفظ.
• مُنقّي القياس عند الإدخال يُزيل الأسرار المحتملة (كلمات السر، OTP، MFA، مفاتيح API، توكنات Bearer، الكوكيز، أرقام البطاقات، IBAN، الأرقام الوطنية، CVV) من حمولات الأحداث.
• سجلّات تدقيق للإجراءات الحسّاسة (تسجيل الدخول، تغيير الأدوار، تدوير المفاتيح).
• فحص دوري لثغرات الاعتماديات؛ تُتابَع تصحيحات الأمن.

6. طلبات أصحاب البيانات

بحسب طبيعة المعالجة، تساعد AllStak العميل في الاستجابة لطلبات أصحاب البيانات (الوصول، التصحيح، الحذف، التقييد، الاعتراض، النقل). يقدر العميل ينفّذ الطلبات الشائعة ذاتياً من لوحة التحكّم (تصدير، حذف). الطلبات التي تتلقّاها AllStak مباشرة من مستخدمين نهائيين تُحال إلى العميل، ما لم تتعلّق بأصحاب حسابات العميل أنفسهم.

7. الإشعار بانتهاك البيانات

وفقاً لفئات البيانات، تُشعِر AllStak العميل دون تأخير لا مبرّر له، وعلى أيّ حال خلال 72 ساعة من علمها بأي انتهاك للبيانات الشخصية يطال قياس العميل، مع المعلومات المتوفّرة في حينه وتحديثات منتظمة مع تقدّم التحقيق.

8. النقل الدولي

تُعالَج بيانات قياس الإنتاج على بنية تحتية داخل المنطقة المُسنَدة للعميل — إمّا المملكة العربية السعودية (لعملاء المنطقة العربية) أو ألمانيا (لعملاء الاتحاد الأوروبي والمملكة المتحدة). البيانات لا تنتقل بين المنطقتين في إطار التشغيل الاعتيادي. عند معالجة معالج فرعي لبيانات شخصية خارج المنطقة المُسنَدة (مثل إرسال البريد)، تعتمد AllStak على آلية نقل مشروعة سارية في تلك الولاية — للاتحاد الأوروبي والمملكة المتحدة تُعتمد البنود التعاقدية القياسية الأوروبية مع تدابير تكميلية عند الحاجة.

9. التدقيق

تُقدّم AllStak، بناءً على طلب كتابي معقول من العميل وبما لا يتجاوز مرّة واحدة كل 12 شهراً (ما لم يُلزِم القانون خلاف ذلك)، ملخّصاً مكتوباً لضوابطها الأمنية الحالية، وتُجيب على الأسئلة المعقولة اللازمة لإثبات الالتزام بهذه الاتفاقية.

10. الإرجاع أو الحذف عند الإنهاء

عند إنهاء الشروط، تحذف AllStak أو تُرجع بيانات العميل الشخصية حسب اختيار العميل، مع مراعاة التزامات الاحتفاظ المنصوص عليها في سياسة الخصوصية.

11. المسؤولية

تخضع المسؤولية بموجب هذه الاتفاقية لأحكام تحديد المسؤولية الواردة في شروط الخدمة.

12. الشروط الحاكمة

إذا تعارضت هذه الاتفاقية مع الشروط، تُقدَّم الاتفاقية فيما يخصّ معالجة البيانات الشخصية. خلاف ذلك تحكم الشروط. المصطلحات غير المعرَّفة هنا لها المعنى الوارد في سياسة الخصوصية أو القانون الساري (PDPL، GDPR، CCPA).