اتفاقية معالجة البيانات

هذه الاتفاقية جزء من شروط منصة مدرّج، وتنظّم الطريقة التي تعالج بها Devya البيانات الشخصية نيابةً عن أكاديميتك. يوافق عليها صاحب الأكاديمية مع الشروط عند فتح الأكاديمية، وتسري ما دامت Devya تعالج بيانات الأكاديمية.

1. الأدوار والتعريفات

• الأكاديمية هي المتحكم في البيانات الشخصية لطلابها ومحاضريها وفريقها داخل الأكاديمية، وفق قانون حماية البيانات الشخصية رقم 151 لسنة 2020 ولائحته التنفيذية («القانون»).
• Devya هي المعالج الذي يعالج هذه البيانات لحساب الأكاديمية ووفق تعليماتها.
• الشخص المعني بالبيانات: كل شخص طبيعي تتعلق به البيانات، مثل الطالب أو المحاضر.
• الخرق: أي وصول غير مصرح به إلى البيانات الشخصية أو إفشاء أو تعديل أو فقد أو إتلاف لها.
• لا تشمل هذه الاتفاقية البيانات التي تعالجها Devya بصفتها متحكمًا: بيانات الحسابات على مستوى المنصة، وأمان تسجيل الدخول، وفوترة الأكاديميات، وسجلات أمان المنصة. هذه يحكمها سياسة الخصوصية.

2. موضوع المعالجة ومدتها وطبيعتها والغرض منها

• الموضوع: تقديم منصة مدرّج للأكاديمية.
• المدة: طوال مدة التعاقد، ثم فترة إعادة البيانات وحذفها المذكورة في البند 11.
• الطبيعة: الاستضافة والتخزين والتنظيم والعرض والبث وتحويل صيغ الفيديو ووضع العلامة المائية والنسخ الاحتياطي والحذف، وإرسال رسائل البريد والإشعارات باسم الأكاديمية، وتمرير الطلبات إلى بوابات الدفع التي تربطها الأكاديمية.
• الغرض: تشغيل أكاديميتك: الاشتراكات في المواد، والدروس، والاختبارات، والشهادات، والأسئلة والتقييمات، والطلبات والمدفوعات، ومستحقات المحاضرين، والإشعارات، وتقارير الأداء، وأدوات منع مشاركة الحسابات.

3. الأشخاص المعنيون وفئات البيانات

3.1 الأشخاص المعنيون

• الطلاب، ومنهم من هم دون 18 عامًا بموافقة أولياء أمورهم.
• المحاضرون.
• فريق الأكاديمية: صاحبها والمشرفون.
• من يرسلون نماذج التواصل الخاصة بالأكاديمية.

3.2 فئات البيانات

• الهوية والتواصل: الاسم، والصورة، والبريد الإلكتروني، ورقم الهاتف، وتاريخ الميلاد والمدينة إن وُجدا.
• بيانات الدراسة: الجامعة، والكلية، والفرقة أو المستوى الدراسي.
• بيانات الأجهزة داخل الأكاديمية: اسم الجهاز ونوعه، وقيمة مشفّرة (hash) للمعرّف العشوائي للجهاز، وآخر عنوان IP، وآخر ظهور.
• بيانات التعلّم: الاشتراكات، والتقدم في الدروس، وأيام المشاهدة، والملاحظات، ومحاولات الاختبارات وإجاباتها، والشهادات.
• بيانات المجتمع: أسئلة المواد، والتقييمات، والتدوينات والتعليقات.
• بيانات المبيعات: سلة الشراء، والطلبات، وحالة الدفع ووسيلته (دون أرقام البطاقات الكاملة)، وأكواد الخصم، ونقاط الإحالة.
• بيانات المحاضرين المالية: نسب الأرباح، وكشف الحساب، والمستحقات، وبيانات حساب استلام المستحقات (مشفّرة حين تكون حساسة).
• الملفات المرفوعة: الصور، وملفات المواد.

المنصة غير مصممة لبيانات شديدة الحساسية مثل البيانات الصحية أو الدينية، وعلى الأكاديمية ألا تجمعها عبر المنصة. وتُعامَل بيانات الأطفال بعناية خاصة، والأكاديمية مسؤولة عن الحصول على موافقة ولي الأمر.

4. المعالجة وفق تعليمات موثقة

• نعالج البيانات فقط وفق تعليماتك الموثقة: هذه الاتفاقية، وشروط المنصة، والإعدادات والإجراءات التي تتخذها في لوحة التحكم، والطلبات المكتوبة من صاحب الأكاديمية.
• إذا ألزمنا القانون بمعالجة لم تطلبها، نخبرك بذلك قبلها ما لم يمنعنا القانون.
• إذا رأينا أن تعليمات ما تخالف القانون، نخبرك فورًا ويجوز لنا التوقف عن تنفيذها.
• لا نبيع بيانات أكاديميتك، ولا نستخدمها لأغراضنا الخاصة أو للإعلانات. يجوز لنا إعداد إحصاءات مجمّعة لا تحدد هوية أي شخص لتشغيل المنصة وتحسينها.

5. السرية والعاملون

• لا يصل إلى بيانات أكاديميتك من فريق Devya إلا من يحتاج إليها لأداء عمله، مثل الدعم الفني وتشغيل الأنظمة.
• كل من يصل إليها ملتزم كتابيًا بالسرية، ويعرف واجباته في حماية البيانات.

6. إجراءات الأمان

نطبق إجراءات تقنية وتنظيمية مناسبة لحجم المخاطر، منها:

• تشفير الاتصال (TLS) في كل مكان.
• حفظ كلمات المرور مشفّرة بطريقة لا تُعكس (hashing)، وحفظ رموز الجلسات ورموز التحقق في صورة مشفّرة (hash) فقط.
• تشفير بيانات اعتماد بوابات الدفع وغيرها من الأسرار أثناء التخزين.
• تقديم الملفات الخاصة والفيديو عبر روابط موقّعة قصيرة الصلاحية، بعد التحقق من حق الوصول.
• عزل بيانات كل أكاديمية عن غيرها في كل استعلام.
• صلاحيات مبنية على الأدوار لفريق الأكاديمية.
• سجل تدقيق للإجراءات ذات الصلاحيات العالية.
• الحد من معدل الطلبات لمنع إساءة الاستخدام.
• نسخ احتياطية منتظمة.

نراجع هذه الإجراءات ونطوّرها، ولن نخفض مستوى الحماية العام أثناء التعاقد.

7. المعالجون الفرعيون

• توافق الأكاديمية موافقة عامة على استعانتنا بالمعالجين الفرعيين المذكورين في صفحة المعالجين الفرعيين.
• قبل إضافة معالج فرعي جديد أو استبدال معالج قائم، نخبرك قبلها بـ 30 يومًا على الأقل، عبر البريد الإلكتروني لصاحب الأكاديمية وتحديث الصفحة.
• يمكنك الاعتراض كتابةً خلال هذه المدة لأسباب معقولة تتعلق بحماية البيانات. نعمل معك على حل مناسب، فإن لم نصل إليه يمكنك إنهاء الخدمة المتأثرة واسترداد ما دفعته مقدمًا عن الفترة غير المستخدمة.
• نلزم كل معالج فرعي بالتزامات حماية لا تقل عن هذه الاتفاقية، ونبقى مسؤولين أمامك عن أدائه.

8. نقل البيانات خارج مصر

• لا ننقل البيانات الشخصية خارج جمهورية مصر العربية إلا مع الضمانات والتراخيص أو التصاريح التي يتطلبها القانون.
• أماكن المعالجة لكل معالج فرعي مذكورة في صفحة المعالجين الفرعيين.

9. المساعدة في طلبات أصحاب البيانات

• إذا وصلنا طلب من طالب أو محاضر يخص بيانات أكاديميتك (مثل الاطلاع أو التصحيح أو الحذف)، نحيله إليك خلال 5 أيام عمل، ولا نرد عليه بأنفسنا إلا بإذنك أو إذا ألزمنا القانون.
• نساعدك بالأدوات والمعلومات المتاحة لتلبية هذه الطلبات في المواعيد القانونية، مثل التصدير والتصحيح والحذف.
• نساعدك بالقدر المعقول في تقييمات الأثر على حماية البيانات وفي الرد على استفسارات مركز حماية البيانات الشخصية.

10. الإخطار بالخروقات

• إذا علمنا بخرق يمس بيانات أكاديميتك، نخطرك دون تأخير غير مبرر، وخلال 48 ساعة على الأكثر من علمنا به.
• يتضمن الإخطار ما نعرفه وقتها: طبيعة الخرق، وفئات البيانات والأشخاص المتأثرين وعددهم التقريبي، والعواقب المحتملة، والإجراءات التي اتخذناها أو نقترحها، ومن تتواصل معه. ونرسل التحديثات تباعًا.
• نساعدك في إخطار مركز حماية البيانات الشخصية والأشخاص المتأثرين عندما يلزم ذلك. وإذا ألزمنا القانون بصفتنا معالجًا بإخطار المركز مباشرة، نفعل ذلك خلال 72 ساعة ونخبرك.

11. إعادة البيانات وحذفها

• تستطيع تصدير بيانات أكاديميتك أثناء التعاقد كما توضح شروط المنصة.
• عند انتهاء التعاقد نحتفظ بالبيانات 30 يومًا لتتمكن من تصديرها، ثم نحذفها خلال 90 يومًا، باستثناء ما يلزمنا القانون بالاحتفاظ به. تُمسح النسخ الاحتياطية تلقائيًا مع انتهاء دورتها.
• نؤكد لك الحذف كتابةً إذا طلبت ذلك.

12. التدقيق والمعلومات

• نوفر لك عند الطلب ما يثبت التزامنا بهذه الاتفاقية، مثل وصف إجراءات الأمان وقائمة المعالجين الفرعيين.
• يجوز لك، مرة واحدة في السنة وعلى نفقتك، إجراء تدقيق معقول بنفسك أو عبر مدقق مستقل ملتزم بالسرية، بإخطار مسبق مدته 30 يومًا، في أوقات العمل، ودون تعطيل الخدمة أو الاطلاع على بيانات أكاديميات أخرى.
• يجوز إجراء تدقيق إضافي بعد خرق يمس بياناتك، أو إذا طلبه مركز حماية البيانات الشخصية.

13. المسؤولية

• تخضع مسؤولية كل طرف بموجب هذه الاتفاقية لحدود المسؤولية الواردة في شروط المنصة.
• يتحمل كل طرف مسؤولية مخالفته لالتزاماته القانونية في حماية البيانات بالقدر الذي يقرره القانون.

14. الأولوية والتواصل

• عند تعارض هذه الاتفاقية مع شروط المنصة في مسائل حماية البيانات، تُقدَّم هذه الاتفاقية.
• النص العربي هو المرجع عند أي اختلاف مع الترجمة الإنجليزية.
• للتواصل في كل ما يخص حماية البيانات: privacy@mudarraj.dev. بيانات الشركة في آخر الصفحة.