اتفاقية معالجة البيانات لدى ناطق

1. الأطراف والنطاق وترتيب الأولوية

1.1 هذه اتفاقية معالجة البيانات ("الاتفاقية") مبرمة بين NATEQ LLC، وهي شركة ذات مسؤولية محدودة في ولاية وايومنغ ("ناطق")، والعميل المذكور في نموذج الطلب أو الحساب ("العميل").

1.2 تُعد هذه الاتفاقية جزءًا من شروط خدمة ناطق أو أي اتفاق آخر يستخدم العميل منصة ناطق بموجبه ("الاتفاق"). وتسري كلما عالجت ناطق البيانات الشخصية للعميل نيابةً عنه.

1.3 إذا تعارضت هذه الاتفاقية مع الاتفاق، تُقدَّم هذه الاتفاقية في ما يتعلق بحماية البيانات. وإذا تعارضت مع البنود التعاقدية القياسية الصادرة عن سدايا والمرفقة بموجب القسم 6، تُقدَّم البنود التعاقدية القياسية الصادرة عن سدايا.

1.4 لا تشمل هذه الاتفاقية البيانات التي تعالجها ناطق بصفتها جهة تحكم مستقلة (بيانات حساب العميل وفريقه وفواتيره). فتلك البيانات تخضع لسياسة الخصوصية لدى ناطق.

2. التعريفات

• النظام: نظام حماية البيانات الشخصية في المملكة العربية السعودية (الصادر بالمرسوم الملكي رقم م/19 وتاريخ 9/2/1443هـ، والمعدّل بالمرسوم الملكي رقم م/148 وتاريخ 5/9/1444هـ)، ولائحته التنفيذية، ولائحة نقل البيانات الشخصية إلى خارج المملكة، والقواعد والإرشادات الصادرة عن سدايا بموجبها.
• سدايا: الهيئة السعودية للبيانات والذكاء الاصطناعي، وهي الجهة المختصة بموجب النظام.
• قانون حماية البيانات: النظام وأي قانون آخر لحماية البيانات يسري على المعالجة، مثل المرسوم بقانون اتحادي رقم 45 لسنة 2021 في الإمارات العربية المتحدة أو اللائحة العامة لحماية البيانات (GDPR).
• جهة التحكم، وجهة المعالجة، والبيانات الشخصية، والبيانات الحساسة، والمعالجة، وصاحب البيانات: بالمعاني المحددة لها في النظام.
• البيانات الشخصية للعميل: البيانات الشخصية المتعلقة بالمستخدمين النهائيين للعميل وجهات اتصاله وعملائه المحتملين، التي تعالجها ناطق للعميل عبر المنصة (الرسائل والمكالمات والتسجيلات والنصوص المكتوبة ورسائل البريد الإلكتروني وملفات جهات الاتصال وسجلات إدارة علاقات العملاء والحجوزات).
• المعالج الفرعي: طرف ثالث تستعين به ناطق لمعالجة البيانات الشخصية للعميل.
• خرق البيانات الشخصية: حادث أمني يؤدي إلى وصول غير مصرح به إلى البيانات الشخصية للعميل أو إفشائها أو فقدها أو تغييرها أو إتلافها.
• البنود التعاقدية القياسية لسدايا: البنود التعاقدية القياسية لنقل البيانات الشخصية الصادرة عن سدايا (النسخة 1.0، سبتمبر 2024، أو أي نسخة لاحقة).

3. الأدوار والتعليمات

3.1 العميل هو جهة التحكم في البيانات الشخصية للعميل، وناطق هي جهة المعالجة التابعة له.

3.2 لا تعالج ناطق البيانات الشخصية للعميل إلا وفق تعليمات العميل الموثقة. وتمثّل تلك التعليماتِ كلٌّ من الاتفاق وهذه الاتفاقية وإعدادات العميل في المنصة (القنوات ووكلاء الذكاء الاصطناعي ومدد الاحتفاظ والتكاملات) وطلبات العميل المكتوبة.

3.3 تُبلغ ناطق العميل فورًا إذا رأت أن تعليمةً ما تخالف النظام، ويجوز لها تعليق تلك التعليمة إلى أن تُؤكَّد أو تُعدَّل.

3.4 يتحمل العميل مسؤولية ما يلي: وجود أساس نظامي للمعالجة ولجمع البيانات؛ وتقديم الإشعارات التي يفرضها النظام لمستخدميه النهائيين (بما في ذلك أنهم قد يتحدثون مع ذكاء اصطناعي وأن المكالمات قد تُسجَّل)؛ وتقييمه الخاص لمخاطر النقل إلى خارج المملكة؛ وأي تسجيل لدى سدايا يسري عليه.

3.5 البيانات الحساسة. لا يستخدم العميل المنصة لمعالجة البيانات الحساسة (مثل البيانات الصحية) للأفراد في المملكة، لأن النظام لا يتيح لها اليوم أي مسار للنقل إلى استضافة ناطق (الملحق 4). ويجوز للعيادات وغيرها من مقدمي الرعاية الصحية استخدام المنصة للحجوزات والشؤون الإدارية فقط، على أن يُضبط الذكاء الاصطناعي لديهم بحيث لا يسأل عن الأعراض أو التفاصيل الطبية. وأي بيانات حساسة أخرى تتطلب موافقة مكتوبة مسبقة من ناطق.

4. التزامات ناطق

4.1 السرية. لا يصل إلى البيانات الشخصية للعميل إلا الموظفون والمتعاقدون الذين يحتاجون إلى ذلك لتشغيل الخدمة أو دعمها، وهم ملزمون بالسرية. ويُسجَّل وصول فريق الدعم إلى مساحة عمل العميل.

4.2 الأمن. تطبّق ناطق التدابير الواردة في الملحق 2، وتحافظ عليها بهذا المستوى على الأقل طوال مدة الاتفاق.

4.3 تقليل البيانات. لا تعالج ناطق من البيانات الشخصية للعميل إلا ما يلزم لتقديم الخدمة، ولا ترسل إلى كل معالج فرعي إلا ما تحتاجه وظيفته.

4.4 السجلات. تحتفظ ناطق بسجل للمعالجة التي تجريها للعميل (الملحق 1)، وتقدمه إلى العميل أو إلى سدايا عند الطلب.

4.5 المساعدة. مع مراعاة طبيعة المعالجة، تساعد ناطق العميل على الوفاء بالتزاماته بموجب النظام: طلبات أصحاب البيانات (القسم 7)، والإبلاغ عن الخروقات (القسم 8)، وتقييمات الأثر ومخاطر النقل (القسم 6)، واستفسارات سدايا (القسم 11).

5. المعالجون الفرعيون

5.1 يوافق العميل على المعالجين الفرعيين المدرجين في الملحق 3. وتشترط اللائحة التنفيذية للنظام موافقة جهة التحكم المسبقة على المعالجين الفرعيين، ويُعد توقيع هذه الاتفاقية تلك الموافقة بالنسبة للمدرجين.

5.2 تُشعر ناطق العميل قبل 30 يومًا على الأقل بالبريد الإلكتروني وعلى الصفحة nateq.io/subprocessors قبل إضافة معالج فرعي أو استبداله. ويجوز للعميل الاعتراض كتابةً لأسباب معقولة تتعلق بحماية البيانات خلال تلك المدة. وإذا تعذّر على الطرفين حل الاعتراض، جاز للعميل إنهاء الجزء المتأثر من الخدمة واسترداد حصة نسبية من الرسوم المدفوعة مقدمًا عنه.

5.3 تُلزم ناطق كل معالج فرعي بعقد مكتوب يتضمن شروطًا لحماية البيانات تحمي البيانات الشخصية للعميل بمستوى لا يقل عن هذه الاتفاقية، وتظل مسؤولة أمام العميل عن معالجيها الفرعيين.

5.4 التكاملات التي يفعّلها العميل (الملحق 3، الجزء ب) هي خدمات يختار العميل ربطها، مثل نظام إدارة علاقات العملاء أو مكتب المساعدة أو المتجر أو صندوق البريد. ولا تتلقى البيانات إلا بتعليمات العميل وبموجب عقده الخاص مع ذلك المزوّد. وهي ليست معالجين فرعيين لدى ناطق، وحذف البيانات في ناطق لا يحذفها هناك ما لم يفعّل العميل الحذف لذلك التكامل.

6. النقل إلى خارج المملكة

6.1 يقرّ العميل بأن ناطق تخزّن البيانات الشخصية للعميل في AWS في منطقة eu-central-1 (فرانكفورت، ألمانيا)، وبأن بعض المعالجين الفرعيين يعالجونها أثناء النقل في الاتحاد الأوروبي والولايات المتحدة (الملحق 4). ولا تقدم ناطق اليوم استضافة داخل المملكة.

6.2 البنود التعاقدية القياسية لسدايا، من جهة التحكم إلى جهة المعالجة. بالنسبة للبيانات الشخصية للعميل الخاصة بأفراد في المملكة، يُبرم الطرفان البنود التعاقدية القياسية لسدايا (نسخة جهة التحكم إلى جهة المعالجة) ملحقًا بهذه الاتفاقية، على أن يكون العميل مُصدِّرًا وناطق مستوردًا. وتُرفق البنود التعاقدية القياسية لسدايا دون تعديل، لأن سدايا لا تسمح بتعديلها.

6.3 النقل اللاحق. تشترط البنود التعاقدية القياسية لسدايا ألا يتم النقل اللاحق إلى خارج المملكة إلا إلى معالجين فرعيين انضموا إليها. وستطلب ناطق من كل معالج فرعي في الملحق 3 الانضمام، وتبيّن على الصفحة nateq.io/subprocessors من انضم منهم، وشروط حماية البيانات التي يستند إليها كل منهم إلى حين انضمامه. وحيث يتيح القسم 6.5 خيارًا لمعالج فرعي، يجوز للعميل أن يطلب من ناطق استخدامه. وفي غير ذلك، إذا لم يقبل العميل معالجًا فرعيًا على هذا الأساس، جاز له الاعتراض وإنهاء الجزء المتأثر من الخدمة على النحو المبيّن في القسم 5.2.

6.4 حالة الاستثناء وتقييم المخاطر. يستند الطرفان إلى الاستثناء الخاص بعمليات النقل التي تقدم خدمة مباشرة لصاحب البيانات (المادة 4(2)(د) من لائحة النقل)، على النحو المبيّن في الملحق 4. ويجري العميل تقييم المخاطر الذي تشترطه لائحة النقل قبل النقل. وتزوّد ناطق العميل بالمعلومات التي يحتاجها (الملاحق 1 و2 و4) وتجيب عن أسئلة المتابعة المعقولة.

6.5 خيارات مساحة العمل. عند الطلب، توقف ناطق في مساحة عمل العميل توجيه الذكاء الاصطناعي عبر TypeSafe AI (Jev)، ومكالمات الذكاء الاصطناعي الصوتية مع النسخ المباشر للمكالمات (ElevenLabs). وتُبلغ ناطق العميل بالخصائص التي تتوقف عن العمل نتيجة لذلك.

6.6 إذا نشرت سدايا قائمة بالدول ذات المستوى الكافي من الحماية، أو بنودًا تعاقدية قياسية جديدة، أو تعديلات على قواعد النقل، يحدّث الطرفان هذا القسم والملحق 4 بحسن نية.

6.7 شهادة الاعتماد. تتقدم ناطق بطلب للحصول على شهادة اعتماد من سدايا متى نشرت سدايا جهات الاعتماد المرخصة، وتُبلغ العميل عند حصولها عليها.

7. طلبات أصحاب البيانات

7.1 يستطيع العميل التعامل مع معظم الطلبات بنفسه من لوحة التحكم: تصدير كل ما يتعلق بجهة اتصال، ومحو جهة اتصال (مع شهادة محو)، وتحديد مدد الاحتفاظ.

7.2 إذا تواصل صاحب بيانات مع ناطق مباشرة بشأن البيانات الشخصية للعميل، تحيل ناطق الطلب إلى العميل خلال 48 ساعة، ولا تجيب عنه بنفسها ما لم يطلب العميل ذلك أو يفرضه النظام.

7.3 إذا تعذّرت تلبية طلب من لوحة التحكم (مثل تصحيح في حقل من حقول النظام)، تساعد ناطق خلال 10 أيام عمل من طلب العميل المكتوب، ليتمكن العميل من الالتزام بالمهلة النظامية للرد.

7.4 لا يمحو المحو في ناطق النسخ الموجودة في التكاملات التي يفعّلها العميل ما لم يفعّل العميل الحذف لها. وتسرد شهادة المحو أي سجلات تبقى هناك.

8. خرق البيانات الشخصية

8.1 تُبلغ ناطق العميل بأي خرق للبيانات الشخصية يمس البيانات الشخصية للعميل دون تأخير غير مبرر وفي موعد أقصاه 24 ساعة من علمها به. ويتيح ذلك للعميل وقتًا للوفاء بإبلاغه الخاص لسدايا خلال 72 ساعة.

8.2 يُرسل الإشعار إلى البريد الإلكتروني لمالك مساحة العمل، ويتضمن بقدر ما هو معلوم: ما حدث ومتى؛ وفئات أصحاب البيانات والسجلات وعددهم التقريبي؛ والعواقب المحتملة؛ وما فعلته ناطق وما ستفعله؛ وما ينبغي للعميل فعله؛ وجهة للتواصل. وترسل ناطق تحديثات كلما اتضحت الوقائع.

8.3 تساعد ناطق العميل في إشعاراته إلى سدايا وإلى أصحاب البيانات. ويقرر العميل ما إذا كان سيُشعرهم وكيف.

8.4 الإشعار بالخرق ليس إقرارًا بخطأ أو مسؤولية.

9. المعالجة بالذكاء الاصطناعي

9.1 لا تستخدم ناطق البيانات الشخصية للعميل لتدريب نماذج الذكاء الاصطناعي أو ضبطها، سواء نماذجها أو نماذج غيرها.

9.2 لا ترسل ناطق البيانات الشخصية للعميل إلى المعالجين الفرعيين للذكاء الاصطناعي والكلام إلا لتقديم الخدمة للعميل (الردود والتوجيه والملخصات والنسخ النصي والكلام). وتستخدم ناطق هؤلاء المزوّدين بموجب شروط لا تسمح لهم بالتدريب على البيانات، وتُدرج على الصفحة nateq.io/subprocessors أي مزوّد لم يُؤكَّد ذلك لديه بعد.

9.3 تحتفظ ناطق بسجلات طلبات الذكاء الاصطناعي (المُدخلات والردود) لأغراض تصحيح الأخطاء مدة لا تزيد على 14 يومًا، لعيّنة من الطلبات.

9.4 تتيح المنصة للعميل إخبار مستخدميه النهائيين بأنهم يتحدثون مع ذكاء اصطناعي، وبأن المكالمات تُسجَّل، على كل قناة. وهذا الخيار مفعّل افتراضيًا. وإذا أوقفه العميل، فهو المسؤول عن تقديم الإشعار بطريقة أخرى.

9.5 قد تكون ردود الذكاء الاصطناعي خاطئة. ويضبط العميل ما يجوز للذكاء الاصطناعي فعله (المعرفة والإجراءات والتصعيد إلى موظف)، ويظل مسؤولًا عن القرارات التي يتخذها بشأن أصحاب البيانات.

10. الاحتفاظ والحذف والإرجاع

10.1 خلال مدة الاتفاق، يحدد العميل مدة الاحتفاظ بالرسائل والمحادثات وتسجيلات المكالمات ونصوصها المكتوبة. وتُزال البيانات المحذوفة من الأنظمة الحية في الدورة المجدولة التالية.

10.2 عند انتهاء الاتفاق، يجوز للعميل تصدير بياناته خلال 30 يومًا. ثم تحذف ناطق البيانات الشخصية للعميل من الأنظمة الحية خلال 30 يومًا، وتصدر شهادة حذف عند الطلب.

10.3 تُستبدل النسخ الموجودة في النسخ الاحتياطية لقاعدة البيانات والإصدارات السابقة من الملفات خلال 35 يومًا من الحذف. وحتى ذلك الحين تكون مشفرة ومعزولة عن الاستخدام العادي ولا تُستعاد إلا للتعافي من كارثة، وفي هذه الحالة تُحذف البيانات المحذوفة مجددًا.

10.4 لا يجوز لناطق الاحتفاظ بالبيانات مدة أطول إلا حيث يفرض النظام ذلك. وتحتفظ ناطق بالفواتير وسجلات الفوترة، وهي بيانات تتحكم فيها ناطق، لأغراض ضريبية.

11. التدقيق والتعاون مع سدايا

11.1 تجيب ناطق عن استبيانات الأمن والخصوصية المكتوبة المعقولة من العميل مرة واحدة في السنة، وبعد أي خرق للبيانات الشخصية.

11.2 إذا احتاج العميل إلى المزيد، أو اشترطت سدايا ذلك، جاز للعميل تدقيق التزام ناطق بهذه الاتفاقية مرة واحدة في السنة، بإشعار مدته 30 يومًا، خلال ساعات العمل، مع الالتزام بالسرية، وعلى نفقة العميل. ويجوز إجراء التدقيق عن بُعد. ولا يجوز أن يكون المدقق المستقل منافسًا لناطق.

11.3 يتعاون كل طرف مع سدايا في الطلبات المتعلقة بالمعالجة بموجب هذه الاتفاقية. وتُبلغ ناطق العميل بأي طلب من سدايا يتعلق بالبيانات الشخصية للعميل ما لم يمنع النظام ذلك.

11.4 إذا طلبت جهة عامة من ناطق البيانات الشخصية للعميل، تُبلغ ناطق العميل قبل الإفصاح ما لم يمنع النظام ذلك، ولا تفصح إلا عمّا يلزم نظامًا.

12. المسؤولية والمدة والقانون الحاكم

12.1 تخضع مسؤولية كل طرف بموجب هذه الاتفاقية للحدود الواردة في الاتفاق، إلا حيث لا يجيز النظام وضع حد.

12.2 تسري هذه الاتفاقية ما دامت ناطق تعالج البيانات الشخصية للعميل. وتظل الأقسام 8 و10 و11 سارية حتى اكتمال الحذف.

12.3 تخضع هذه الاتفاقية للقانون الذي يحكم الاتفاق. وتخضع البنود التعاقدية القياسية لسدايا لأنظمة المملكة العربية السعودية، كما تشترط هي نفسها.

12.4 يقبل العميل هذه الاتفاقية بقبوله شروط خدمة ناطق. ويجوز للعميل الذي يحتاج إلى نسخة موقّعة أن يوقّع أدناه ويرسلها إلى legal@nateq.io.

	العميل	NATEQ LLC
الاسم		أحمد السيد
المنصب		المؤسس
التوقيع
التاريخ

الملحق 1: تفاصيل المعالجة

البند	التفاصيل
موضوع المعالجة	تقديم منصة ناطق لخدمة العملاء بالذكاء الاصطناعي إلى العميل
المدة	مدة الاتفاق إضافةً إلى مدة الحذف الواردة في القسم 10
الغرض	استقبال محادثات العميل مع مستخدميه النهائيين والرد عليها وتوجيهها وتسجيلها عبر الدردشة وواتساب وماسنجر وإنستغرام والبريد الإلكتروني والمكالمات الصوتية؛ وردود الذكاء الاصطناعي وملخصاته؛ والبحث؛ والتحليلات؛ والتكاملات التي يفعّلها العميل
أصحاب البيانات	المستخدمون النهائيون للعميل، وزوار موقعه، وجهات اتصاله، وعملاؤه المحتملون، والمتصلون، ومراسلوه بالبريد الإلكتروني
فئات البيانات	الاسم، ورقم الهاتف، والبريد الإلكتروني، ومعرّفات القنوات (واتساب وماسنجر وإنستغرام)؛ ومحتوى الرسائل والبريد الإلكتروني ومرفقاتها؛ وصوت المكالمات والرسائل الصوتية ونصوصها المكتوبة؛ والمعلومات التي يستخلصها الذكاء الاصطناعي من المحادثات؛ والحقول المخصصة لجهات الاتصال وملاحظات إدارة علاقات العملاء؛ والحجوزات ومراجع طلبات الدفع؛ وتجزئة عنوان IP للزائر ووكيل المستخدم؛ وسجلات الموافقة
البيانات الحساسة	غير مسموح بها للأفراد في المملكة (القسم 3.5)
موقع التخزين	AWS eu-central-1، فرانكفورت، ألمانيا
الاحتفاظ	يحدده العميل (القسم 10)؛ وإلا فحتى يحذفها العميل أو ينتهي الاتفاق

الملحق 2: التدابير الأمنية

المجال	التدبير
التشفير أثناء التخزين	قاعدة البيانات (AWS RDS) وذاكرة التخزين المؤقت (ElastiCache) مشفرتان بخدمة AWS KMS؛ والملفات (S3) مشفرة بتقنية SSE-S3؛ وأقراص الخوادم مشفرة؛ ونصوص الرسائل مشفرة إضافيًا لكل جهة اتصال بحيث يُتلف المحو المفتاح
التشفير أثناء النقل	TLS على جميع نقاط الوصول العامة واتصالات المزوّدين؛ واتصالات قاعدة البيانات تتحقق من شهادة الخادم؛ وذاكرة التخزين المؤقت تستخدم TLS؛ ومخزن الملفات لا يقبل إلا HTTPS
الشبكة	قاعدة البيانات وذاكرة التخزين المؤقت في شبكات فرعية خاصة؛ ومستودع الملفات يحجب كل وصول عام؛ والملفات تُقدَّم عبر روابط موقّعة قصيرة الأجل
عزل مساحات العمل	طلبات واجهة البرمجة محصورة في مساحة عمل الطرف المتصل، والوصول بين مساحات العمل مشمول باختبارات آلية على نقاط الوصول التي تتعامل مع البيانات الشخصية
التحكم في الوصول	وصول قائم على الأدوار داخل كل مساحة عمل؛ ووصول فريق الدعم مسجَّل
السجلات والمراقبة	سجل وصول يبيّن من فتح المحادثات والمكالمات والنصوص المكتوبة والملفات، ومن صدّر جهات الاتصال؛ وAWS CloudTrail بما في ذلك قراءة الملفات (سنة واحدة)؛ وسجلات شبكة توصيل المحتوى (90 يومًا)؛ وسجلات التطبيق في CloudWatch (90 يومًا) مع إخفاء عناوين البريد الإلكتروني وأرقام الهواتف ونصوص الرسائل؛ وتتبع الأخطاء في Sentry (ألمانيا) مع تصفية البيانات الشخصية
البرمجيات الخبيثة	تُفحص الملفات بأداة ClamAV: المرفقات قبل أن ترسلها ناطق بالبريد الإلكتروني، والملفات الواردة قبل أن يتمكن أحد من فتحها. وتُحجب الملفات المصابة
النسخ الاحتياطية	لقطات آلية لقاعدة البيانات تُحفظ 35 يومًا، مشفرة، في المنطقة نفسها
الحذف	محو جهة الاتصال ومساحة العمل عبر قاعدة البيانات والملفات وفهرس البحث وذاكرة الذكاء الاصطناعي والمتجهات وذاكرة التخزين المؤقت، مع شهادة
الاستجابة للحوادث	دليل مكتوب للتعامل مع الخروقات؛ وإشعار العميل خلال 24 ساعة (القسم 8)

الملحق 3: المعالجون الفرعيون

هذه القائمة سارية في التاريخ المذكور أعلاه. والقائمة المحدّثة، بما فيها مكان معالجة كل مزوّد للبيانات وما إذا كان قد انضم إلى البنود التعاقدية القياسية لسدايا، متاحة على الصفحة nateq.io/subprocessors.

أ. المعالجون الفرعيون (ضمن مسار البيانات دائمًا)

المزوّد	الوظيفة	البيانات	الموقع
Amazon Web Services	الاستضافة وقاعدة البيانات والملفات وذاكرة التخزين المؤقت وشبكة توصيل المحتوى	جميع البيانات الشخصية للعميل	ألمانيا (eu-central-1)
Google (Gemini)	ردود الذكاء الاصطناعي والملخصات والتضمينات ونسخ الرسائل الصوتية وذاكرة الذكاء الاصطناعي	نصوص الرسائل وسجل المحادثات ومعلومات جهات الاتصال ونصوص المكالمات وصوت الرسائل الصوتية	نقطة وصول عالمية، دون تحديد منطقة
TypeSafe AI (Jev)	قرارات توجيه الذكاء الاصطناعي	نص المحادثة وسياق القرار	الولايات المتحدة
ElevenLabs	تحويل الكلام إلى نص والنص إلى كلام في المكالمات	صوت المتصل ونص رد الذكاء الاصطناعي وصوت الرسائل الصوتية	الولايات المتحدة
LiveKit	وسائط المكالمات الفورية	صوت المكالمات المباشر وأرقام الهواتف	الولايات المتحدة
Meta Platforms	التسليم عبر واتساب وماسنجر وإنستغرام	الرسائل والوسائط وأرقام الهواتف والمعرّفات	مراكز بيانات Meta (عالميًا)؛ وتُحفظ الرسائل مدة أقصاها 30 يومًا
Resend	إرسال البريد الإلكتروني واستقباله	محتوى البريد الإلكتروني والعناوين والمرفقات	أيرلندا
Postmark	النطاقات الفرعية للبريد الإلكتروني الخاصة بمساحات العمل للبريد الوارد والردود على الحملات؛ والإرسال الاحتياطي للبريد الإلكتروني	محتوى البريد الإلكتروني والعناوين والمرفقات	الولايات المتحدة
Sentry	تتبع الأخطاء	أحداث الأخطاء مع تصفية البيانات الشخصية	ألمانيا
Cloudflare (Turnstile)	الحماية من الروبوتات على أداة الدردشة والنماذج	عنوان IP للزائر وإشارات المتصفح	شبكة Cloudflare

ب. التكاملات التي يفعّلها العميل (فقط إذا ربطها العميل؛ انظر القسم 5.4): Gmail وGoogle Workspace وMicrosoft 365؛ وHubSpot وSalesforce وPipedrive وZoho CRM؛ وZendesk وFreshdesk؛ وShopify وسلة وزد وFoodics وWooCommerce وكتالوج Meta؛ وأرامكس وDHL وسمسا؛ وSlack وMicrosoft Teams؛ وNotion وAsana وJira وTrello؛ وتقويما Google وMicrosoft؛ وخطافات الويب (Webhooks) الخاصة بالعميل.

الملحق 4: أساس النقل

تستند عمليات النقل إلى ناطق إلى حالة الاستثناء (د) من لائحة النقل، مع البنود التعاقدية القياسية لسدايا (النموذج 2) ضمانةً، وتقييم المخاطر الذي يجريه العميل. ولا يوجد اليوم مسار لنقل البيانات الحساسة من مساحات العمل السعودية، ويجب أن تبقى خارج المنصة.

1. الغرض. تقديم خدمة أو منفعة لصاحب البيانات، وهو غرض مسموح به بموجب المادة 2(2) من لائحة النقل.
2. المستوى الكافي من الحماية. غير متاح: لم تنشر سدايا قائمتها بالدول ذات المستوى الكافي من الحماية، وقرار الكفاية الصادر عن الاتحاد الأوروبي لا يُعتد به.
3. حالة الاستثناء. المادة 4(2)(د): يقدم النقل خدمة مباشرة لصاحب البيانات، في حدود توقعاته ومصالحه. فالمستخدمون النهائيون للعميل يتواصلون معه للحصول على الدعم عبر ناطق.
4. الضمانة. تنص الحالة (د) على شهادة اعتماد يحملها المستلم. ولم تنشر سدايا بعد جهات الاعتماد المرخصة، فلا يمكن الحصول على أي شهادة. وإلى ذلك الحين يوقّع الطرفان البنود التعاقدية القياسية لسدايا، النموذج 2، دون تعديل (القسم 6.2)، وتتقدم ناطق بطلب الشهادة متى أُدرجت الجهات (القسم 6.7).
5. تقييم المخاطر. يجريه العميل قبل النقل (المادة 7). وتقدم الملاحق 1 و2 وهذا الملحق الوقائع التي يحتاجها.
6. البيانات الحساسة. تستثني الحالة (د) البيانات الحساسة، فلا يجوز لمساحات العمل السعودية معالجتها (القسم 3.5).
7. النقل اللاحق. لا يتم إلا إلى المعالجين الفرعيين الذين ينضمون إلى البنود التعاقدية القياسية لسدايا (النموذج 2، القسم 8). وتُعرض حالة كل معالج فرعي على الصفحة nateq.io/subprocessors.

الملحق: البنود التعاقدية القياسية لسدايا (النموذج 2، من جهة التحكم إلى جهة المعالجة)

تسري البنود التعاقدية القياسية لنقل البيانات الشخصية الصادرة عن سدايا، النسخة 1.0 (سبتمبر 2024)، النموذج 2، دون تعديل بين العميل (المُصدِّر) وناطق (المستورد). والنص الرسمي منشور لدى سدايا على الرابط https://sdaia.gov.sa/Documents/StandardContractualClausesForPersonalDataTransferEN.pdf. وترد التفاصيل التي تطلبها ملاحقها في الملحق 1 (وصف النقل) والملحق 2 (التدابير الأمنية) والملحق 3 (المعالجون الفرعيون) من هذه الاتفاقية.