اتفاقية معالجة البيانات

1. الطرفان والأدوار

المنشأة المشتركة «جهة التحكم» في البيانات الشخصية التي تُدخلها أو يُدخلها موظفوها وأجهزتها: بيانات العملاء والموردين وجهات اتصالهم، والموظفين والمستخدمين، والمستندات التي تحمل ذلك. و[اسم الكيان] مقدّم دايركت إي ار بي «جهة المعالجة» لها. أما بيانات صاحب الاشتراك وفوترته فنحن جهة التحكم فيها، ويحكمها إشعار الخصوصية.

2. الغرض والفئات والمدّة

• الغرض: تشغيل المحاسبة ونقاط البيع والمخزون والمشتريات والمطاعم والفوترة الإلكترونية للمنشأة، وحفظ سجلّاتها، ونسخها احتياطيًّا، ودعمها — ولا غرض سواه.
• فئات أصحاب البيانات: عملاء المنشأة ومورّدوها وجهات اتصالهم، وموظفوها ومستخدموها.
• فئات البيانات: الاسم، والجوال، والبريد، والرقم الضريبي، والعنوان الوطني، ورقم الهوية أو الإقامة أو السجل حين تُدخله المنشأة، ورصيد الحساب وحدّه الائتماني، وما يُكتب على المستندات، وسجلّ أفعال الموظفين.
• مدّة المعالجة: مدّة الاشتراك، ثم ما يقوله البند 8.

3. المعالجة بتعليمات المنشأة

نعالج البيانات بتعليمات المنشأة الموثّقة — وهي ما تفعله في المنتج وإعداداته — ولا نستعملها لغرض لنا. إن رأينا أن تعليمةً تخالف نظامًا معمولًا به في المملكة أشعرنا المنشأة بذلك كتابةً ودون تأخير (اللائحة، المادة 17 الفقرة 2).

4. السرّية والأمن

• عزل المنشآت مفروض في قاعدة البيانات، ويُختبر على كل نقطة في الواجهة البرمجية.
• الحقول الحسّاسة مشفّرة، وقاعدة الصندوق مشفّرة على الجهاز، ومفتاح توقيع الفاتورة لا يغادر جهازه.
• لا يقرأ فريق الدعم بيانات المنشأة إلا بجلسة قراءة يوافق عليها مالكها لكل مرة، لا تتجاوز ساعة، يراها ويُنهيها متى شاء.
• كل كتابة في سجلّ تدقيق لا يُعدَّل ولا يُحذف، وكل فعل لفريق التشغيل مسجّل بسببه.
• من يصل إلى البيانات من فريقنا ملزَمٌ بالسرّية.

5. التسرّب

نُشعر المنشأة بأي تسرّب أو تلف أو وصول غير مشروع لبياناتها دون تأخر غير مبرّر، وفي غضون 24 ساعة من علمنا — كي تُشعر هي الهيئة السعودية للبيانات والذكاء الاصطناعي خلال 72 ساعة (اللائحة، المادة 24) — بما نعرفه: الوقت، وكيف وقع، والفئات والأعداد، والأثر، وما فعلناه. (مدّة الـ 24 ساعة افتراض مكتوب في ADR-0063 كي تبقى للمنشأة مهلة داخل الـ 72.)

6. طلبات أصحاب البيانات

نعين المنشأة على إجابة طلبات عملائها وموظفيها خلال الثلاثين يومًا التي توجبها اللائحة (المادة 3): المنتج يعطيها نسخة موقَّعة من بيانات الشخص، وإخفاء هويته في كل ما ليس مستندًا ضريبيًّا، وتصحيح بياناته بتدقيق يحفظ القيمتين. وطلبٌ يصلنا مباشرةً من عميل للمنشأة نُحيله إليها.

7. المعالجون الفرعيون والنقل

نستعين بمعالجين فرعيين بقدر الحاجة: مزوّدون تقنيون لتشغيل الخدمة [يُسمَّون عند التعاقد]، ومزوّد البريد، ومزوّد الرسائل النصية وWhatsApp حين تفعّله المنشأة. نُشعر المنشأة قبل إضافة معالج فرعي أو استبداله، ولها الاعتراض خلال ثلاثين يومًا (اللائحة، المادة 17 الفقرة 5)، ونُلزمه بما لا يقلّ عن هذه الاتفاقية. وأيّ معالجة للبيانات خارج المملكة — لدى معالج فرعي أو لتشغيل الخدمة — لا تكون إلا تحت البنود التعاقدية القياسية وبعد تقويم المخاطر (المادة 29 من النظام، ولائحة نقل البيانات الشخصية، المادتان 4 و7)، والمعالجون الفرعيون يُسمَّون للمنشأة عند التعاقد.

لا نخضع — بحسب علمنا عند التعاقد — لنظامٍ في دولة أخرى يُلزمنا بالإفصاح عن بيانات المنشأة؛ وإن طلبتها جهةٌ مختصة في المملكة إفصاحًا وجوبيًّا بنظامٍ أفصحنا دون انتظار موافقة وأشعرنا المنشأة ما لم يُمنع ذلك (اللائحة، المادة 17 الفقرة 1(هـ) و(و)).

8. نهاية الاشتراك

1. عند الإلغاء تُبنى حزمة موقَّعة بكل جداول المنشأة وملفّاتها، برابط تنزيل يعيش ثلاثين يومًا ويُجدَّد من شاشة الاشتراك.
2. بعد 90 يومًا من الإلغاء تُخفى هوية الموظفين والعملاء والموردين، وتُسحب الأجهزة، وتُحذف الملفات غير الضريبية.
3. المستندات الضريبية وما يثبتها (الفواتير وXML الموقَّع وردود الهيئة والقيود وسجلّ التدقيق ومستندات الصندوق) لا تُمحى: نحفظها نيابةً عن المنشأة 11 سنة بعد سنتها المالية ثم تُتلف، لأن نظام الدفاتر التجارية (المادة 8) ولائحة ضريبة القيمة المضافة (المادة 66) يوجبان حفظها؛ والمادة 18 من النظام تُبقيها حتى نهاية مدّتها.
4. ما يُتلف في الأصل يخرج من النسخ الاحتياطية خلال نحو ثمانية أسابيع.

9. التحقق والتدقيق

للمنشأة أن تتحقق دوريًّا من التزامنا (اللائحة، المادة 17 الفقرة 3): بما نُتيحه من سجلّ جلسات الدعم وما قُرئ فيها، ووصف الضوابط في صفحة الأمن، وأجوبة مكتوبة على أسئلتها، أو بطرف مستقل تعيّنه بإشعار معقول ودون كشف بيانات منشأة أخرى.

10. النظام الحاكم

تحكم هذه الاتفاقية أنظمة المملكة العربية السعودية، والنصّ العربي هو المعتمد. تتواصل المنشأة معنا في شؤونها على [بريد الخصوصية]@directerp.net.