ملحق معالجة البيانات

Realytics Corp Limited

آخر تحديث: 5 أغسطس 2026 | تاريخ السريان: 5 أغسطس 2026

يعكس ملحق معالجة البيانات هذا ومرفقاته (المشار إليه بعبارة "ملحق معالجة البيانات" ("DPA")) الاتفاق المبرم بين Realytics والعميل (على النحو المعرَّف أدناه)، ويُشار إليهما معًا بعبارة "الطرفين" ("Parties")، فيما يتعلق بمعالجة البيانات الشخصية للعميل بموجب شروط الخدمة أو اتفاقية الاشتراك أو نموذج الطلب أو أي اتفاق مكتوب أو إلكتروني آخر مبرم بين الطرفين ويحيل إلى ملحق معالجة البيانات هذا ("الاتفاقية" ("Agreement")).

يُدمج ملحق معالجة البيانات هذا في الاتفاقية ويشكل جزءًا لا يتجزأ منها دون الحاجة إلى أي توقيع إضافي من أي من الطرفين. وتتوفر نسخة قابلة للتوقيع عند الطلب عبر للعملاء الذين تقتضي إجراءاتهم الداخلية ذلك.

في حال وجود أي تعارض بين ملحق معالجة البيانات هذا والاتفاقية، تسود أحكام ملحق معالجة البيانات هذا. وفي حال وجود أي تعارض بين ملحق معالجة البيانات هذا والبنود التعاقدية النموذجية المشار إليها في القسم 9، تسود البنود التعاقدية النموذجية.

1. التعريفات

المصطلحات المعرَّفة التي لم تُعرَّف في هذا الملحق يكون لها المعنى المسند إليها في الاتفاقية.

"الشركة التابعة" ("Affiliate") تعني أي كيان يملك الكيان المعني أو يسيطر عليه، أو يكون مملوكًا له أو خاضعًا لسيطرته، أو يكون تحت ملكية أو سيطرة مشتركة معه، حيث تعني "السيطرة" القدرة على توجيه إدارة كيان ما أو شؤونه، وتعني "الملكية" الملكية النفعية لخمسين بالمئة (50%) أو أكثر من الأوراق المالية ذات حق التصويت أو ما يعادلها من حصص التصويت.

"قانون حماية البيانات المعمول به" ("Applicable Data Protection Law") يعني جميع التشريعات المتعلقة بحماية البيانات والخصوصية والسارية على المعالجة بموجب ملحق معالجة البيانات هذا، بما في ذلك قوانين حماية البيانات الأوروبية، وقانون خصوصية المستهلك في كاليفورنيا، وقانون حماية بيانات المستهلك في فرجينيا، وقانون الخصوصية في كولورادو، وقانون خصوصية البيانات في كونيتيكت، وقانون خصوصية المستهلك في يوتا، وغيرها من قوانين الخصوصية السارية في ولايات الولايات المتحدة.

"قانون خصوصية المستهلك في كاليفورنيا" ("CCPA") يعني قانون خصوصية المستهلك في كاليفورنيا بصيغته المعدَّلة بقانون حقوق الخصوصية في كاليفورنيا، إلى جانب لوائحه التنفيذية.

"المتحكم" ("Controller") يعني الكيان الذي يحدد أغراض معالجة البيانات الشخصية ووسائلها، بما في ذلك "المنشأة التجارية" ("business") بالمعنى المحدد لهذا المصطلح بموجب قانون حماية البيانات المعمول به.

"العميل" ("Customer") يعني الكيان الذي يبرم الاتفاقية مع Realytics للوصول إلى الخدمات أو استخدامها.

"البيانات الشخصية للعميل" ("Customer Personal Data") تعني البيانات الشخصية الموصوفة في المرفق الأول التي يقدمها العميل أو مستخدموه المصرح لهم إلى الخدمات أو يرفعونها إليها أو يتيحون الوصول إليها من خلالها، أو التي تعالجها Realytics نيابةً عن العميل بموجب الاتفاقية، ويكون العميل بشأنها إما المتحكم أو معالجًا يتصرف نيابةً عن متحكم من الغير.

"صاحب البيانات" ("Data Subject") و"يعالج" ("Process") و"مُعالَج" ("Processed") و"المعالجة" ("Processing") يكون لكل منها المعنى المحدد بموجب قانون حماية البيانات المعمول به.

"بيانات مستوى المنشأة" ("Establishment-Level Data") تعني البيانات التي تتعلق بنشاط تجاري أو علامة تجارية أو متجر أو فرع أو منفذ بيع أو مكان أو أي موقع تجاري آخر أو شخص اعتباري، والتي لا تستخدمها Realytics لتحديد هوية أي شخص طبيعي أو تمييزه أو بناء ملف تعريفي عنه.

"قوانين حماية البيانات الأوروبية" ("European Data Protection Laws") تعني اللائحة العامة لحماية البيانات، وقانون حماية البيانات لعام 2018 في المملكة المتحدة إلى جانب اللائحة العامة لحماية البيانات في المملكة المتحدة (UK GDPR)، والقانون الاتحادي السويسري لحماية البيانات، بصيغة كل منها المعدَّلة أو المستبدلة.

"اللائحة العامة لحماية البيانات" ("GDPR") تعني اللائحة (الاتحاد الأوروبي) 2016/679، واللائحة ذاتها بصيغتها المدمجة في قانون المملكة المتحدة.

"البيانات الشخصية" ("Personal Data") تعني البيانات الشخصية أو المعلومات الشخصية بالمعنى المحدد بموجب قانون حماية البيانات المعمول به.

"خرق البيانات الشخصية" ("Personal Data Breach") يعني خرقًا أمنيًا يؤدي، عن طريق الخطأ أو بصورة غير مشروعة، إلى إتلاف البيانات الشخصية المنقولة أو المخزَّنة أو المعالَجة بطريقة أخرى، أو فقدانها أو تغييرها أو الإفصاح عنها أو الوصول إليها دون تصريح.

"المعالج" ("Processor") يعني الكيان الذي يعالج البيانات الشخصية نيابةً عن متحكم، بما في ذلك "مقدم الخدمة" ("service provider") بالمعنى المحدد لهذا المصطلح بموجب قانون حماية البيانات المعمول به.

"Realytics" تعني Realytics Corp Limited، وهي شركة مسجلة في قبرص تحت الرقم HE424817، ويقع مقرها المسجل في 25 Martiou, 27, D. Michael Tower, office 105A, Nicosia, Cyprus، أو الكيان Reality Analytics, Inc. حيثما أُبرمت الاتفاقية معه.

"الجهة التنظيمية" ("Regulator") تعني السلطة الإشرافية أو سلطة الإنفاذ صاحبة الولاية القضائية على المعالجة.

"الخدمات" ("Services") تعني الخدمات التي تقدمها Realytics إلى العميل بموجب الاتفاقية.

"البنود التعاقدية النموذجية" ("Standard Contractual Clauses") أو "SCCs" تعني البنود التعاقدية النموذجية المعتمدة بموجب قرار المفوضية التنفيذي (الاتحاد الأوروبي) 2021/914 الصادر في 4 يونيو 2021.

"المعالج الفرعي" ("Sub-Processor") يعني أي معالج تستعين به Realytics، بما في ذلك أي شركة تابعة لشركة Realytics، لمعالجة البيانات الشخصية للعميل.

2. الأدوار والنطاق

2.1 دور المعالج. فيما يتعلق بالبيانات الشخصية للعميل، يكون العميل هو المتحكم وتكون Realytics هي المعالج. وحيثما يتصرف العميل بصفته معالجًا نيابةً عن متحكم من الغير، تتصرف Realytics بصفتها معالجًا فرعيًا للعميل، ويكون العميل مسؤولًا عن ضمان أن تكون تعليماته إلى Realytics مصرحًا بها من المتحكم المعني. وتعالج Realytics البيانات الشخصية للعميل وفقًا لما هو منصوص عليه في ملحق معالجة البيانات هذا وبما يتوافق مع تعليمات العميل فحسب.

2.2 دور المتحكم. تتصرف Realytics بصفتها متحكمًا، لا معالجًا، فيما يتعلق ببيانات تسجيل الحساب، وتفاصيل المستخدمين المصرح لهم، ومعلومات الفوترة والدفع، ومراسلات الدعم، وبيانات استخدام الخدمات وبيانات القياس عن بُعد، وهي بيانات تعالجها Realytics لأغراض تقديم الخدمات وتأمينها ودعمها وصيانتها وتحسينها، وإدارة العلاقة مع العملاء، ومنع الاحتيال، واستمرارية الأعمال، ومباشرة الوظائف الأساسية للأعمال مثل المحاسبة والفوترة والامتثال القانوني. وتُوصف معالجة Realytics لتلك البيانات بصفتها متحكمًا في سياسة الخصوصية لدى Realytics، ولا يحكمها ملحق معالجة البيانات هذا.

2.3 بيانات Realytics الخاصة. مجموعات البيانات التي تجمعها Realytics أو ترخصها أو تشتقها بصورة مستقلة عن العميل — بما في ذلك البيانات التي يتم الحصول عليها من خلال الزحف إلى صفحات الويب المتاحة للعموم، ومجموعات البيانات المرخصة من الغير، وبيانات مستوى المنشأة — ليست بيانات شخصية للعميل ولا يحكمها ملحق معالجة البيانات هذا، بصرف النظر عما إذا كانت تُعرض على العميل من خلال الخدمات.

2.4 الشركات التابعة للعميل. حيثما اشترت الشركات التابعة للعميل اشتراكات في الخدمات مباشرةً بموجب الاتفاقية، يسري ملحق معالجة البيانات هذا على تلك الاشتراكات، وتُعتبر كل شركة تابعة من هذا القبيل هي المتحكم فيما يخصها من البيانات الشخصية للعميل. ويكون العميل مسؤولًا عن تنسيق جميع المراسلات مع Realytics بموجب ملحق معالجة البيانات هذا نيابةً عن نفسه وعن شركاته التابعة، ويحق له إجراء تلك المراسلات وتلقيها نيابةً عنها.

2.5 المدة. تعالج Realytics البيانات الشخصية للعميل طوال مدة الاتفاقية، وبعد ذلك بالقدر الذي يسمح به القسم 8 فحسب.

3. التزامات العميل

3.1 يعالج العميل البيانات الشخصية للعميل ويصدر التعليمات إلى Realytics وفقًا لقانون حماية البيانات المعمول به. ويتحمل العميل وحده المسؤولية عن دقة البيانات الشخصية للعميل وجودتها ومشروعيتها، وعن الوسائل التي حصل بها على تلك البيانات.

3.2 يضمن العميل أن لديه جميع الحقوق اللازمة وأساسًا قانونيًا صحيحًا لتقديم البيانات الشخصية للعميل إلى Realytics لأغراض المعالجة المنصوص عليها في الاتفاقية. وحيثما يقتضي قانون حماية البيانات المعمول به ذلك، يكون العميل مسؤولًا عن الحصول على أي موافقات لازمة من أصحاب البيانات وعن الاحتفاظ بسجل لها. وفي حال سحب موافقة ما، يكون العميل مسؤولًا عن إخطار Realytics، وتظل Realytics مسؤولة عن تنفيذ أي تعليمات ناتجة عن ذلك بما يتسق مع ملحق معالجة البيانات هذا.

3.3 البيانات المحظورة. لن يقدم العميل إلى الخدمات، ولن يسمح لمستخدميه المصرح لهم بتقديم:

(a) الفئات الخاصة من البيانات الشخصية بالمعنى الوارد في المادة 9 من اللائحة العامة لحماية البيانات، وهي البيانات التي تكشف عن الأصل العرقي أو الإثني، أو الآراء السياسية، أو المعتقدات الدينية أو الفلسفية، أو العضوية في نقابة عمالية، والبيانات الجينية، والبيانات البيومترية المعالَجة لأغراض تحديد الهوية، والبيانات المتعلقة بالصحة، أو البيانات المتعلقة بالحياة الجنسية لشخص طبيعي أو ميوله الجنسية؛

(b) البيانات الشخصية المتعلقة بالإدانات الجنائية أو الجرائم؛

(c) البيانات الشخصية للأطفال دون سن السادسة عشرة (16)؛ أو

(d) أرقام بطاقات الدفع، أو أرقام الحسابات المالية، أو أرقام الهوية الحكومية، أو بيانات الموقع الجغرافي الدقيق لشخص طبيعي محدد الهوية.

الخدمات ليست مصممة لمعالجة البيانات الموصوفة في هذا القسم 3.3، ولا تتحمل Realytics أي التزام أو مسؤولية فيما يتعلق بتلك البيانات إذا قُدمت بالمخالفة لهذا القسم.

3.4 التعويض. يدافع العميل عن Realytics وشركاتها التابعة ويعوّضها ويبرئ ذمتها من أي مطالبة أو طلب أو إجراء قانوني أو غرامة أو خسارة أو نفقة (بما في ذلك الأتعاب القانونية المعقولة) تنشأ عن أو تتعلق بما يلي: (a) البيانات الشخصية للعميل التي لم يكن لدى العميل أساس قانوني أو الحقوق اللازمة لتقديمها إلى Realytics، أو (b) إخلال العميل بالقسم 3.3، أو (c) أي تعليمات من العميل تؤدي إلى إخلال Realytics بقانون حماية البيانات المعمول به، شريطة أن تكون Realytics قد أخطرت العميل بموجب القسم 4.1(c) حيثما كان بمقدورها ذلك.

4. التزامات Realytics بصفتها معالجًا

4.1 بالقدر الذي تعالج به Realytics البيانات الشخصية للعميل نيابةً عن العميل، تلتزم Realytics بما يلي:

(a) معالجة البيانات الشخصية للعميل بناءً على تعليمات موثقة من العميل فحسب، وهي تشمل الاتفاقية وملحق معالجة البيانات هذا وتهيئة العميل للخدمات واستخدامه لها وأي تعليمات كتابية معقولة أخرى تتسق مع ملحق معالجة البيانات هذا، بما في ذلك ما يتعلق بعمليات النقل إلى دول ثالثة، إلا حيثما يكون ذلك مطلوبًا للامتثال لقانون تخضع له Realytics؛

(b) إبلاغ العميل بالمتطلب القانوني قبل المعالجة حيثما يقتضي قانون ما إجراء معالجة على نحو مغاير لتعليمات العميل، ما لم يحظر القانون هذا الإفصاح؛

(c) إبلاغ العميل على الفور إذا رأت Realytics أن تعليمات صادرة عن العميل تنتهك قانون حماية البيانات المعمول به؛

(d) ضمان التزام الموظفين المصرح لهم بمعالجة البيانات الشخصية للعميل بواجب السرية، وقصر حق الوصول على الموظفين الذين يحتاجون إليه لتقديم الخدمات أو دعمها أو تأمينها؛ و

(e) الاحتفاظ بسياسة مكتوبة لأمن المعلومات تغطي معالجة البيانات الشخصية للعميل.

4.2 القيود المفروضة على مقدم الخدمة والمعالج. لن تقوم Realytics بما يلي:

(a) الاحتفاظ بالبيانات الشخصية للعميل أو استخدامها أو الإفصاح عنها لغير ما هو ضروري لتقديم الخدمات وتنفيذ الاتفاقية، أو لغير ما يسمح به قانون حماية البيانات المعمول به؛

(b) الاحتفاظ بالبيانات الشخصية للعميل أو استخدامها أو الإفصاح عنها خارج نطاق علاقة العمل المباشرة بين Realytics والعميل؛

(c) "بيع" البيانات الشخصية للعميل أو "مشاركتها"، بالمعنى المحدد لهذين المصطلحين بموجب قانون حماية البيانات المعمول به؛ أو

(d) الجمع بين البيانات الشخصية للعميل وبيانات شخصية واردة من أي شخص آخر أو نيابةً عنه، أو مجمَّعة من تفاعلات Realytics الخاصة مع الأفراد، إلا بما يسمح به القسم 5 أو بما هو ضروري لتقديم الخدمات.

يقر الطرفان بأن إفصاح العميل عن البيانات الشخصية للعميل إلى Realytics لا يشكل جزءًا من أي مقابل نقدي أو أي مقابل آخر ذي قيمة يُتبادل بين الطرفين. وتوفر Realytics للبيانات الشخصية للعميل المستوى ذاته من حماية الخصوصية المطلوب من العميل بموجب قانون حماية البيانات المعمول به، وتخطر العميل إذا قررت أنها لم تعد قادرة على الوفاء بالتزاماتها بموجب قانون حماية البيانات المعمول به.

5. التحليل على مستوى المنشأة وتحسين الخدمة

5.1 الغرض. تعمل الخدمات عن طريق ردّ النشاط التجاري إلى مستوى المنشأة أو العلامة التجارية أو الموقع المادي. ولا تسعى Realytics إلى تحديد هوية أشخاص طبيعيين أفراد أو تمييزهم أو تكوين ملفات تعريفية عنهم أو اتخاذ قرارات بشأنهم، ولا تحاول إعادة تحديد هوية أشخاص طبيعيين ضمن أي مجموعة بيانات تحتفظ بها.

5.2 الاستخدام المسموح به. يجوز أن تستخدم Realytics بيانات مستوى المنشأة والبيانات المجمَّعة أو الإحصائية المشتقة من تشغيل الخدمات، بما في ذلك البيانات المشتقة من البيانات الشخصية للعميل، من أجل تقديم الخدمات وتأمينها وصيانتها وتحليلها وتحسينها، بما في ذلك تطوير النماذج التحليلية ونماذج التعلم الآلي التي تشكل جزءًا من الخدمات وتدريبها واختبارها وتقييمها.

5.3 الحدود. لن تستخدم Realytics البيانات بموجب القسم 5.2 إلا حيثما تكون قد جُمِّعت أو اختُزلت إلى بيانات مستوى المنشأة بحيث لم تعد تحدد هوية أي شخص طبيعي ولا يمكن استخدامها بصورة معقولة لتحديد هويته، ولم تعد تحدد هوية العميل. ولن تفصح Realytics عن البيانات الشخصية للعميل ذاتها، أو عن أي مخرجات تحدد هوية العميل، لأي عميل آخر.

5.4 البيانات على مستوى الأفراد. لا تحتفظ Realytics بسجلات على مستوى الأفراد للأشخاص الطبيعيين ولا تسعى إليها في مجموعات البيانات التي تقوم عليها الخدمات.

5.5 الاعتراض. حيثما يمارس صاحب بيانات حقه في الاعتراض بموجب المادة 21 من اللائحة العامة لحماية البيانات فيما يتعلق بمعالجة تجري بموجب هذا القسم، تنفذ Realytics ذلك الاعتراض وفقًا لقانون حماية البيانات المعمول به.

6. الأمن

6.1 مع مراعاة أحدث ما وصلت إليه التقنية وتكاليف التنفيذ وطبيعة المعالجة ونطاقها وسياقها وأغراضها، فضلًا عن المخاطر التي يتعرض لها أصحاب البيانات، تنفذ Realytics تدابير تقنية وتنظيمية مناسبة وتحافظ عليها لحماية البيانات الشخصية للعميل من خرق البيانات الشخصية. وهذه التدابير موصوفة في المرفق الثاني.

6.2 يجوز أن تحدّث Realytics التدابير الواردة في المرفق الثاني من وقت لآخر، شريطة ألا تؤدي هذه التحديثات إلى تدهور جوهري في الأمن العام للخدمات.

6.3 بناءً على طلب كتابي من العميل، ورهنًا بأحكام السرية الواردة في الاتفاقية، تقدم Realytics المعلومات اللازمة بصورة معقولة لإثبات الامتثال لهذا القسم 6، وقد تشمل استبيانات أمنية مستوفاة، وحيثما توفرت، ملخصات لتقارير تدقيق أو شهادات صادرة عن جهات خارجية، والتي يجوز حجب أجزاء منها لأسباب أمنية أو لأسباب تتعلق بالسرية.

6.4 التدقيق. حيثما يقتضي قانون حماية البيانات المعمول به ذلك، وحيثما لا تكون المعلومات المقدمة بموجب القسم 6.3 كافية، يجوز للعميل أن يطلب إجراء تدقيق على معالجة Realytics للبيانات الشخصية للعميل. ولا يجوز إجراء هذا التدقيق أكثر من مرة واحدة في أي فترة اثني عشر (12) شهرًا، ويستلزم إشعارًا كتابيًا مسبقًا بمدة لا تقل عن ثلاثين (30) يومًا، ويخضع لاتفاق الطرفين مسبقًا على نطاقه وتوقيته ومدته. ويتحمل العميل تكاليفه الخاصة ويعوّض Realytics عن تكاليفها المعقولة مقابل الوقت المستغرق في دعم التدقيق. وتُعد نتائج التدقيق معلومات سرية تخص Realytics. ويخطر العميل Realytics على الفور بأي حالة عدم امتثال يتم تحديدها، وتبذل Realytics جهودًا معقولة تجاريًا لمعالجة أي حالة عدم امتثال مؤكدة. ولا يحد أي مما ورد في هذا القسم من أي تدقيق أو تفتيش تقتضيه جهة تنظيمية.

7. المعالجون الفرعيون

7.1 التفويض. يمنح العميل Realytics تفويضًا كتابيًا عامًا للاستعانة بالشركات التابعة لشركة Realytics وبمعالجين فرعيين من الغير لمعالجة البيانات الشخصية للعميل فيما يتصل بالخدمات. ويشكل ذلك التفويض الكتابي المسبق من العميل لأغراض البند 9 من البنود التعاقدية النموذجية. وتتوفر القائمة الحالية للمعالجين الفرعيين على realytics.com/legal/subprocessors وهي مستنسخة في المرفق الثالث.

7.2 الإشعار والاعتراض. تقدم Realytics إشعارًا بأي معالج فرعي جديد عن طريق تحديث القائمة قبل خمسة عشر (15) يومًا على الأقل من منح ذلك المعالج الفرعي حق الوصول إلى البيانات الشخصية للعميل، وتوفر آلية يمكن للعميل من خلالها الاشتراك في إشعارات التحديثات. ويجوز للعميل الاعتراض لأسباب معقولة تتعلق بحماية البيانات خلال أربعة عشر (14) يومًا من الإشعار. وإذا لم يرد العميل خلال تلك المدة، يُعد المعالج الفرعي مقبولًا.

7.3 التسوية. إذا اعترض العميل، يناقش الطرفان الاعتراض بحسن نية. وإذا لم يتم التوصل إلى تسوية خلال ثلاثين (30) يومًا، يجوز للعميل إنهاء الجزء المتأثر من الخدمات بإشعار كتابي، وتردّ Realytics أي رسوم مدفوعة مقدمًا تغطي الفترة اللاحقة للإنهاء على أساس تناسبي.

7.4 تمرير الالتزامات والمسؤولية. تفرض Realytics على كل معالج فرعي التزامات بحماية البيانات توفر للبيانات الشخصية للعميل مستوى حماية لا يقل عن المستوى المنصوص عليه في ملحق معالجة البيانات هذا. وحيثما يخفق معالج فرعي في الوفاء بتلك الالتزامات، تظل Realytics مسؤولة تجاه العميل عن أداء ذلك المعالج الفرعي لالتزاماته.

8. الحذف والإرجاع

8.1 عند انتهاء الاتفاقية أو إنهائها، أو بناءً على طلب كتابي من العميل، أو عند تحقق الغرض من المعالجة، تحذف Realytics البيانات الشخصية للعميل خلال ثلاثين (30) يومًا، إلا بالقدر الذي يقتضي فيه القانون الاحتفاظ بها.

8.2 تُحذف البيانات الشخصية للعميل الواردة في النسخ الاحتياطية الاعتيادية وفقًا لدورة النسخ الاحتياطي المعتادة لدى Realytics، وعلى أي حال خلال تسعين (90) يومًا من الإنهاء.

8.3 يجوز للعميل تصدير البيانات الشخصية للعميل باستخدام خاصية التصدير في الخدمات في أي وقت خلال مدة الاتفاقية دون رسوم إضافية. وحيثما يطلب العميل استخراجًا مخصصًا يتطلب جهدًا هندسيًا، يجوز أن تتقاضى Realytics تكاليفها المعقولة.

8.4 تحافظ Realytics على سرية أي بيانات شخصية للعميل يُحتفظ بها بموجب القسم 8.1، ولا تعالجها إلا بالقدر الضروري للامتثال للقانون الذي تخضع له.

8.5 البيانات المجمَّعة وبيانات مستوى المنشأة التي أُنشئت بصورة مشروعة بموجب القسم 5 قبل الإنهاء، والتي لا تحدد هوية العميل أو أي شخص طبيعي، لا تخضع للحذف بموجب هذا القسم.

9. عمليات النقل الدولي

9.1 البنود التعاقدية النموذجية. حيثما تُنقل بيانات شخصية للعميل ناشئة في المنطقة الاقتصادية الأوروبية أو المملكة المتحدة أو سويسرا إلى دولة لم يصدر بشأنها قرار كفاية، يوافق الطرفان على الالتزام بـالوحدة الثانية (من المتحكم إلى المعالج) من البنود التعاقدية النموذجية، وهي مدمجة في ملحق معالجة البيانات هذا بالإحالة. وحيثما يتصرف العميل بصفته معالجًا نيابةً عن متحكم من الغير، تسري بدلًا من ذلك الوحدة الثالثة (من المعالج إلى المعالج). ويمتثل العميل لالتزامات مُصدِّر البيانات وتمتثل Realytics لالتزامات مستورد البيانات.

9.2 الاختيارات. لأغراض البنود التعاقدية النموذجية:

(a) يسري بند الانضمام الاختياري الوارد في البند 7 حيثما يخطر أي من الطرفين الطرف الآخر كتابةً بأنه مطلوب؛

(b) في البند 9، يسري الخيار 2 (التفويض الكتابي العام)، مع مدة الإشعار المنصوص عليها في القسم 7.2؛

(c) في البند 11، لا تسري الصيغة الاختيارية المتعلقة بالتسوية المستقلة للمنازعات؛

(d) في البند 17، يسري الخيار 1 وتخضع البنود لقانون جمهورية قبرص؛

(e) في البند 18(b)، تُسوّى المنازعات أمام محاكم جمهورية قبرص؛

(f) يُستكمل المرفق الأول من البنود التعاقدية النموذجية بالمعلومات الواردة في المرفق الأول من ملحق معالجة البيانات هذا، ويُستكمل المرفق الثاني منها بالمعلومات الواردة في المرفق الثاني من ملحق معالجة البيانات هذا؛ و

(g) يشكل الدخول في ملحق معالجة البيانات هذا توقيع كل طرف على البنود التعاقدية النموذجية ومرفقاتها.

9.3 المملكة المتحدة. بالنسبة لعمليات النقل الخاضعة للائحة العامة لحماية البيانات في المملكة المتحدة، يوافق الطرفان على ملحق النقل الدولي للبيانات في المملكة المتحدة (الإصدار B1.0) الصادر عن مفوض المعلومات، وهو مدمج بالإحالة. ويُستكمل الجدول 1 ببيانات الطرفين الواردة في المرفق الأول؛ ويحدد الجدول 2 المُصدِّر بصفته متحكمًا والمستورد بصفته معالجًا؛ ويُستكمل الجدولان 3 و4 بالمعلومات الواردة في المرفقين الأول والثاني على التوالي.

9.4 سويسرا. بالنسبة لعمليات النقل الخاضعة للقانون الاتحادي السويسري لحماية البيانات، يكون المفوض الاتحادي لحماية البيانات والمعلومات هو السلطة الإشرافية المختصة، وتُقرأ الإشارات إلى اللائحة العامة لحماية البيانات على أنها إشارات إلى القانون السويسري، ويجوز لأصحاب البيانات في سويسرا إنفاذ حقوقهم في سويسرا.

9.5 عمليات النقل اللاحقة. يجوز أن تنقل Realytics البيانات الشخصية للعميل إلى Reality Analytics, Inc. وإلى المعالجين الفرعيين المدرجين في المرفق الثالث، على أن يخضع ذلك في كل حالة لضمانات مناسبة بموجب قانون حماية البيانات المعمول به.

9.6 تغيير الآلية. إذا عُدِّلت البنود التعاقدية النموذجية أو ملحق المملكة المتحدة أو استُبدلت، أو قضت محكمة أو جهة تنظيمية مختصة ببطلانها أو بعدم كفايتها، يوافق الطرفان على أن تسري تلقائيًا البنود البديلة أو المحدَّثة المعمول بها، أو أي آلية نقل بديلة صحيحة بموجب قانون حماية البيانات المعمول به، اعتبارًا من تاريخ سريانها، وعلى أنه يجوز أن تطبق Realytics ضمانات إضافية عند الاقتضاء دون تعديل ملحق معالجة البيانات هذا.

10. حقوق أصحاب البيانات والمساعدة

10.1 حيثما تتلقى Realytics طلبًا من صاحب بيانات لممارسة حقوق الوصول أو التصحيح أو المحو أو التقييد أو قابلية النقل أو الاعتراض فيما يتعلق بالبيانات الشخصية للعميل، تُبلغ Realytics صاحب البيانات على الفور، بالقدر الذي يسمح به القانون، بضرورة توجيه الطلب إلى العميل، وتخطر العميل بالطلب.

10.2 مع مراعاة طبيعة المعالجة، تساعد Realytics العميل بتدابير تقنية وتنظيمية مناسبة، وبقدر ما هو ممكن بصورة معقولة، في الوفاء بالتزام العميل بالرد على تلك الطلبات. وحيثما لا يستطيع العميل معالجة طلب من خلال خصائص الخدمات، تبذل Realytics جهودًا معقولة تجاريًا لتقديم المساعدة.

10.3 بناءً على طلب العميل، ومع مراعاة طبيعة المعالجة والمعلومات المتاحة لدى Realytics، تقدم Realytics مساعدة معقولة للعميل في إجراء تقييم لأثر حماية البيانات يتعلق باستخدام العميل للخدمات، وفي أي تشاور مسبق مع جهة تنظيمية بموجب المادة 36 من اللائحة العامة لحماية البيانات، وذلك في كل حالة بالقدر الذي لا يتوفر فيه للعميل وصول إلى المعلومات ذات الصلة بطريقة أخرى.

11. خرق البيانات الشخصية

11.1 تخطر Realytics العميل بأي خرق للبيانات الشخصية يؤثر على البيانات الشخصية للعميل دون تأخير لا مبرر له، وعلى أي حال خلال اثنتين وسبعين (72) ساعة من علمها به، باستخدام بيانات الاتصال التي قدمها العميل لهذا الغرض. ويكون العميل مسؤولًا عن إبقاء تلك البيانات محدَّثة.

11.2 يتضمن الإخطار، بالقدر المعروف حينئذ، طبيعة الخرق وفئات البيانات الشخصية للعميل المتأثرة وحجمها التقريبي والعواقب المحتملة والتدابير المتخذة أو المقترحة. وحيثما لا تكون المعلومات متاحة وقت الإخطار، تقدمها Realytics على مراحل كلما توفرت.

11.3 تتخذ Realytics خطوات معقولة تجاريًا لاحتواء الخرق ومعالجته بالقدر الذي تكون فيه المعالجة ضمن نطاق سيطرتها، وتقدم للعميل مساعدة معقولة لتمكينه من إخطار الجهات التنظيمية وأصحاب البيانات المتأثرين حيثما كان مطالبًا بذلك.

11.4 يتحمل العميل وحده المسؤولية عن الامتثال لالتزامات الإخطار بالخروقات السارية عليه وعن أي التزامات إخطار تجاه الغير.

11.5 لا يسري هذا القسم على أي خرق للبيانات الشخصية يتسبب فيه العميل أو مستخدموه المصرح لهم أو منتجات أو خدمات لا تقدمها Realytics.

11.6 لا يُعد إخطار Realytics بخرق البيانات الشخصية إقرارًا بالخطأ أو بالمسؤولية.

12. أحكام عامة

12.1 المسؤولية. تخضع مسؤولية كل طرف ومسؤولية شركاته التابعة، الناشئة عن ملحق معالجة البيانات هذا أو المتعلقة به، سواء كانت تعاقدية أو تقصيرية أو قائمة على أي أساس آخر للمسؤولية، لحدود المسؤولية واستثناءاتها المنصوص عليها في الاتفاقية. وأي إشارة في الاتفاقية إلى مسؤولية طرف ما تعني إجمالي مسؤولية ذلك الطرف وجميع شركاته التابعة بموجب الاتفاقية وجميع ملاحق معالجة البيانات مجتمعة. ولا يحد أي مما ورد في ملحق معالجة البيانات هذا من أي مسؤولية لا يجوز الحد منها بموجب قانون حماية البيانات المعمول به، بما في ذلك حقوق أصحاب البيانات بموجب المادتين 79 و82 من اللائحة العامة لحماية البيانات.

12.2 القانون الحاكم. يخضع ملحق معالجة البيانات هذا للقانون الساري على الاتفاقية. وحيثما لا تحدد الاتفاقية قانونًا حاكمًا، يخضع ملحق معالجة البيانات هذا لقانون جمهورية قبرص، وتختص محاكم قبرص دون غيرها، مع مراعاة القسمين 9.2(e) و9.3.

12.3 ترتيب الأولوية. يَجُبّ ملحق معالجة البيانات هذا أي شرط متعارض في الاتفاقية فيما يتعلق بمعالجة البيانات الشخصية للعميل. وباستثناء ما عُدِّل بموجب ملحق معالجة البيانات هذا، تظل الاتفاقية سارية بكامل قوتها.

12.4 التعديلات على ملحق معالجة البيانات هذا. يجوز أن تحدّث Realytics ملحق معالجة البيانات هذا ليعكس التغييرات في قانون حماية البيانات المعمول به أو في الخدمات أو في معالجيها الفرعيين، شريطة ألا يقلل أي تحديث بصورة جوهرية من الحماية الممنوحة للبيانات الشخصية للعميل. وتقدم Realytics إشعارًا بالتغييرات الجوهرية قبل ثلاثين (30) يومًا على الأقل عن طريق نشر ملحق معالجة البيانات المحدَّث، وعبر البريد الإلكتروني حيثما اشترك العميل في الإشعارات.

12.5 قابلية الفصل. إذا قُضي ببطلان أي حكم من أحكام ملحق معالجة البيانات هذا أو بعدم قابليته للتنفيذ، تظل بقية الأحكام سارية.

12.6 عدم قيام شراكة. لا ينشئ أي مما ورد في ملحق معالجة البيانات هذا شراكة أو مشروعًا مشتركًا أو وكالة بين الطرفين.

12.7 المدة. يسري ملحق معالجة البيانات هذا اعتبارًا من تاريخ سريان الاتفاقية وينتهي تلقائيًا بانتهاء الاتفاقية أو إنهائها، باستثناء الأحكام التي تظل سارية بحكم طبيعتها، بما في ذلك الأقسام 8 و9 و12.1.

12.8 التواصل. يمكن إرسال الاستفسارات المتعلقة بملحق معالجة البيانات هذا إلى . ويمكن إرسال المسائل الأمنية إلى .

المرفق الأول — وصف المعالجة

A. قائمة الأطراف

مُصدِّر البيانات (المتحكم): العميل، على النحو المحدد في الاتفاقية. الأنشطة ذات الصلة بالنقل: تلقي الخدمات بموجب الاتفاقية. التوقيع والتاريخ: يشكل الدخول في ملحق معالجة البيانات هذا توقيع العميل على هذا المرفق.

مستورد البيانات (المعالج): كيان Realytics المحدد في الاتفاقية، وهو إما Realytics Corp Limited، رقم التسجيل HE424817، 25 Martiou, 27, D. Michael Tower, office 105A, Nicosia, Cyprus، أو Reality Analytics, Inc.، 1000 N. West Street, Suite 1200, Wilmington, Delaware 19801, United States. جهة الاتصال: . الأنشطة ذات الصلة بالنقل: تقديم الخدمات إلى العميل بموجب الاتفاقية. التوقيع والتاريخ: يشكل الدخول في ملحق معالجة البيانات هذا توقيع Realytics على هذا المرفق.

B. وصف عملية النقل

C. السلطة الإشرافية المختصة

مكتب مفوض حماية البيانات الشخصية في جمهورية قبرص.

المرفق الثاني — التدابير التقنية والتنظيمية

تحافظ Realytics على تدابير تقنية وتنظيمية مصممة لحماية البيانات الشخصية للعميل من خرق البيانات الشخصية، مع مراعاة طبيعة المعالجة ونطاقها وسياقها وأغراضها والمخاطر التي يتعرض لها أصحاب البيانات. ولا تنشر Realytics تفاصيل بنية أنظمتها أو تفاصيل تنفيذ تدابيرها الأمنية حيثما يؤدي ذلك إلى خلق مخاطر أمنية.

A. التحكم في الوصول

تقصر Realytics حق الوصول إلى البيانات الشخصية للعميل على الموظفين الذين يحتاجون إليه لتقديم الخدمات أو دعمها أو صيانتها أو تأمينها. ويُمنح حق الوصول على أساس الدور الوظيفي، ويستلزم المصادقة، ويُلغى عندما تنتفي الحاجة إليه. ويلتزم الموظفون الذين لديهم حق الوصول إلى البيانات الشخصية للعميل بواجبات السرية.

B. أمن النقل

تحمي Realytics البيانات الشخصية للعميل المنقولة عبر الشبكات العامة باستخدام التشفير أثناء النقل حيثما كان ذلك مناسبًا من الناحية التقنية.

C. الفصل والتقليل إلى الحد الأدنى

تستخدم Realytics ضوابط منطقية مصممة للفصل بين بيئات العملاء وبياناتهم داخل الخدمات. وتقصر Realytics معالجة البيانات الشخصية للعميل على ما هو ضروري للأغراض الموصوفة في الاتفاقية وفي ملحق معالجة البيانات هذا، وتستخدم التجميع أو إزالة الهوية أو بيانات مستوى المنشأة حيثما يسمح الغرض بذلك.

D. النسخ الاحتياطي والقدرة على التعافي

تحافظ Realytics على تدابير للنسخ الاحتياطي والاستعادة مصممة لدعم توافر الخدمات والبيانات الشخصية للعميل واستعادتها بعد وقوع حادث، رهنًا بمستوى الخدمة وبالاتفاقية.

E. إدارة الحوادث

تحافظ Realytics على إجراءات لتحديد الحوادث الأمنية التي تؤثر على الخدمات والتحقيق فيها واحتوائها ومعالجتها.

F. إدارة المعالجين الفرعيين

تتعاقد Realytics مع المعالجين الفرعيين بشروط تفرض التزامات بحماية البيانات توفر مستوى حماية لا يقل عن المستوى المنصوص عليه في ملحق معالجة البيانات هذا، وتحافظ على قائمة المعالجين الفرعيين المنشورة الموصوفة في القسم 7.

المرفق الثالث — المعالجون الفرعيون

ملاحظات. تقدم Hetzner Online GmbH خوادم مخصصة فعلية ومرافق مراكز بيانات. ولا تمنح Realytics شركة Hetzner حق الوصول إلى البيانات الشخصية للعميل، ولا تعالج Hetzner البيانات الشخصية للعميل نيابةً عن Realytics؛ وهي مدرجة توخيًا للشفافية بصفتها مزودًا للبنية التحتية للاستضافة.

وتستخدم Realytics منصات Meta Platforms وTikTok وLinkedIn وGoogle Ads لأنشطتها التسويقية والإعلانية الخاصة، وتتصرف Realytics فيها بصفتها متحكمًا. وهذه المنصات لا تعالج البيانات الشخصية للعميل وبالتالي فهي ليست معالجين فرعيين بموجب ملحق معالجة البيانات هذا. ودورها موصوف في سياسة الخصوصية لدى Realytics.

ولا تسمح Realytics للمعالجين الفرعيين المدرجين أعلاه الذين يقدمون خدمات استدلال نماذج الذكاء الاصطناعي باستخدام البيانات الشخصية للعميل لتدريب نماذجهم الخاصة، وتتعاقد معهم بشروط تستبعد هذا الاستخدام.