تنظم هذه الاتفاقية العلاقة القانونية بين رَبْع (rabacrm.com) بصفتها المُعالِج للبيانات، والمستأجر (الشركة المشتركة في الخدمة) بصفته المُتحكِّم بالبيانات، فيما يخص معالجة البيانات الشخصية لعملائه النهائيين، وذلك وفقاً لـ نظام حماية البيانات الشخصية السعودي (PDPL) الصادر بالمرسوم الملكي م/19 وتاريخ 1443/02/09هـ ولوائحه التنفيذية الصادرة عن الهيئة السعودية للبيانات والذكاء الاصطناعي (سدايا).
المتحكم Data Controller
المستأجر (الشركة)
يحدد أغراض ووسائل معالجة بيانات عملائه النهائيين.
المعالج Data Processor
رَبْع (rabacrm.com)
يُعالج البيانات نيابة عن المتحكم وفق تعليماته فقط.
📋 جدول المحتويات
- 1. تعريفات
- 2. نطاق المعالجة
- 3. التزامات المعالج (رَبْع)
- 4. التزامات المتحكم (المستأجر)
- 5. حقوق أصحاب البيانات
- 6. الإجراءات الأمنية
- 7. خرق البيانات
- 8. المعالجة الفرعية
- 9. النقل خارج المملكة
- 10. التدقيق والامتثال
- 11. الاحتفاظ والحذف
- 12. المسؤولية والتعويض
- 13. مدة الاتفاقية
- 14. النظام والاختصاص
- التوقيعات
1. التعريفات
- "البيانات الشخصية": كل معلومة، أياً كان مصدرها أو شكلها، تُؤدي إلى التعرف على الشخص ذي الصلة تحديداً أو تجعل التعرف عليه ممكناً بصورة مباشرة أو غير مباشرة (الاسم، رقم الجوال، الإيميل، الصور، الموقع، إلخ).
- "المعالجة": أي عملية تتم على البيانات الشخصية بأي وسيلة (جمع، تسجيل، حفظ، فهرسة، تنظيم، تخزين، تعديل، استرجاع، استخدام، مشاركة، إفصاح، نقل، نشر، حذف، إتلاف).
- "المتحكم" (Controller): الجهة التي تحدد الغرض من معالجة البيانات الشخصية ووسائلها. في هذه الاتفاقية هو المستأجر.
- "المعالج" (Processor): الجهة التي تعالج البيانات الشخصية نيابة عن المتحكم. في هذه الاتفاقية هو رَبْع.
- "صاحب البيانات": الشخص الذي تتعلق به البيانات الشخصية (العميل النهائي للمستأجر).
- "خرق البيانات": أي إفصاح غير مشروع أو غير مصرح به أو فقدان للبيانات الشخصية.
- "PDPL": نظام حماية البيانات الشخصية السعودي.
- "سدايا": الهيئة السعودية للبيانات والذكاء الاصطناعي — الجهة المختصة.
2. نطاق المعالجة
2.1 طبيعة وغرض المعالجة
يُعالج رَبْع البيانات الشخصية لعملاء المستأجر النهائيين بهدف:
- تقديم خدمات منصة CRM لإدارة العملاء، المشاريع، الوحدات السكنية، الحجوزات، والفواتير.
- تخزين وحفظ البيانات في قواعد بيانات آمنة داخل المملكة العربية السعودية.
- تنفيذ العمليات الفنية التشغيلية (نسخ احتياطية، تحديثات أمنية، صيانة).
- إرسال الإشعارات والإيميلات والرسائل التي يطلبها المستأجر.
- توليد التقارير والتحليلات المطلوبة من المستأجر.
2.2 أنواع البيانات المُعالَجة
| الفئة | أمثلة | المصدر |
|---|---|---|
| بيانات تعريفية | الاسم، رقم الجوال، الإيميل، رقم الهوية | المستأجر يدخلها |
| بيانات تواصل | العنوان، رقم العمل، تفضيلات التواصل | المستأجر يدخلها |
| بيانات مالية | قيم العقود، الفواتير، المدفوعات | المستأجر يدخلها |
| بيانات سلوكية | سجل المكالمات، الزيارات، الرسائل | تُولَّد تلقائياً |
| بيانات تقنية | IP، نوع المتصفح، logs النظام | تُولَّد تلقائياً |
2.3 فئات أصحاب البيانات
- عملاء المستأجر النهائيون: المشترين، المستأجرين، المالكين، المهتمين بالعقارات.
- موظفي المستأجر: المسؤولين، المندوبين، الفنيين الذين يستخدمون النظام.
- الشركاء التجاريون للمستأجر: المطورين، المقاولين، الموردين.
3. التزامات المعالج (رَبْع)
يلتزم رَبْع بما يلي:
- المعالجة وفق التعليمات: معالجة البيانات الشخصية فقط بناءً على تعليمات المتحكم الموثقة، ووفق الأغراض المتفق عليها فقط.
- سرية الموظفين: ضمان توقيع جميع موظفيه الذين يصلون للبيانات على اتفاقيات سرية ملزمة.
- الأمن السيبراني: تطبيق التدابير التقنية والتنظيمية المناسبة لحماية البيانات (تشفير AES-256، MFA، Audit Logs، Lockout، إلخ).
- عدم النقل خارج المملكة: الاحتفاظ بكافة البيانات على خوادم داخل المملكة العربية السعودية ما لم يوافق المتحكم كتابياً مع استيفاء شروط PDPL.
- التعاون مع الجهة المختصة: التعاون مع سدايا في أي تحقيق أو تدقيق رسمي.
- دعم حقوق أصحاب البيانات: توفير الأدوات والإجراءات لمساعدة المتحكم في الرد على طلبات أصحاب البيانات (الوصول، التصحيح، الحذف، النقل).
- الإبلاغ عن الخروقات: إبلاغ المتحكم فوراً (خلال 24 ساعة كحد أقصى) عند اكتشاف أي خرق للبيانات، مع تفاصيل الخرق وآثاره والإجراءات المتخذة.
- الإعادة أو الحذف: إعادة أو حذف كافة البيانات الشخصية للمتحكم عند انتهاء العلاقة التعاقدية (وفق المدة المحددة في الشروط).
4. التزامات المتحكم (المستأجر)
- المشروعية: ضمان وجود أساس قانوني لمعالجة البيانات (الموافقة، تنفيذ عقد، التزام نظامي، إلخ).
- الموافقة: الحصول على موافقة أصحاب البيانات وفق متطلبات PDPL، وحفظ سجل الموافقات.
- التعليمات الواضحة: إعطاء تعليمات مكتوبة لـ رَبْع بشأن أي معالجة خارج النطاق المتفق عليه.
- إخطار أصحاب البيانات: توفير سياسة خصوصية واضحة لعملائه تشرح كيفية معالجة البيانات.
- دقة البيانات: ضمان دقة وحداثة البيانات التي يُدخلها للنظام.
- أمن حسابات الموظفين: إدارة صلاحيات موظفيه بشكل سليم، تفعيل 2FA لأدوار الإدارة، تدريبهم على الأمن.
- الإبلاغ عن طلبات أصحاب البيانات: إبلاغ رَبْع فوراً عند تلقي طلب من صاحب بيانات يحتاج تدخل تقني.
5. حقوق أصحاب البيانات (وفق PDPL)
يضمن المتحكم - بدعم تقني من المعالج - الحقوق التالية لأصحاب البيانات:
- حق الإخطار: معرفة كيف تُعالَج بياناتهم.
- حق الوصول: طلب نسخة من بياناتهم الشخصية.
- حق التصحيح: تعديل البيانات غير الدقيقة.
- حق الإتلاف (النسيان): طلب حذف البيانات.
- حق نقل البيانات: الحصول على بياناتهم بصيغة قابلة للنقل (CSV/JSON).
- حق الاعتراض: الاعتراض على معالجة معينة (مثل التسويق).
- حق سحب الموافقة: في أي وقت دون التأثير على المعالجة السابقة.
⏱ موعد الرد: تلتزم الأطراف بالرد على طلبات أصحاب البيانات خلال 30 يوماً كحد أقصى وفق متطلبات PDPL.
6. الإجراءات الأمنية التقنية والتنظيمية
يطبق رَبْع الإجراءات التالية كحد أدنى:
| الفئة | الإجراء |
|---|---|
| التشفير | AES-256 للبيانات المخزنة + TLS 1.3 للبيانات في النقل |
| المصادقة | كلمات مرور قوية + 2FA (TOTP) لكل المستخدمين |
| التحكم في الوصول | Role-Based Access Control (RBAC) + مبدأ أقل الصلاحيات |
| سجلات التدقيق | Audit Logs لكل العمليات الحساسة + احتفاظ سنة كاملة |
| النسخ الاحتياطية | يومية مشفرة على Cloudflare R2 + احتفاظ 30 يوم |
| مراقبة التسلل | WAF + Rate Limiting + Failed Login Lockout |
| عزل المستأجرين | قاعدة بيانات منفصلة لكل مستأجر (Multi-tenant isolation) |
| إخفاء PII | إخفاء البيانات الحساسة في السجلات (Logs Masking) |
| أمان البنية التحتية | خوادم داخل المملكة + HSTS + CSP + X-Frame-Options |
| اختبار الاختراق | اختبارات دورية + تقييمات أمنية سنوية |
7. خرق البيانات (Data Breach)
7.1 الإجراءات عند الخرق
- الاكتشاف الفوري عبر أنظمة المراقبة الآلية.
- تفعيل خطة الاستجابة للحوادث خلال 60 دقيقة.
- إبلاغ المتحكم خلال 24 ساعة كحد أقصى.
- إبلاغ سدايا خلال 72 ساعة إذا كان الخرق يشكل خطراً على حقوق أصحاب البيانات (وفق المادة 28 من PDPL).
- إخطار أصحاب البيانات المتأثرين دون تأخير غير مبرر.
- توثيق كامل للحادث وإجراءات الاحتواء والتصحيح.
7.2 معلومات الإخطار
يحتوي الإخطار على:
- طبيعة الخرق وفئات البيانات المتأثرة وعدد الأشخاص.
- الآثار المحتملة على أصحاب البيانات.
- الإجراءات المتخذة للاحتواء وتقليل الآثار.
- التوصيات لأصحاب البيانات (تغيير كلمة المرور، إلخ).
- بيانات التواصل مع مسؤول حماية البيانات (DPO).
8. المعالجة الفرعية (Sub-processors)
يستخدم رَبْع المعالجين الفرعيين التاليين:
| المعالج الفرعي | الخدمة | الموقع |
|---|---|---|
| Hostinger | VPS Hosting | المملكة العربية السعودية |
| Cloudflare | CDN + R2 Storage + WAF | عالمي (مع التشفير) |
| Resend | إرسال الإيميلات | عالمي |
| Moyasar | معالجة المدفوعات | المملكة العربية السعودية |
| Meta (WhatsApp Business) | رسائل واتساب | عالمي |
يلتزم رَبْع بإخطار المتحكم قبل 30 يوماً عند إضافة أو تغيير أي معالج فرعي، ويحق للمتحكم الاعتراض.
9. النقل خارج المملكة
الأصل أن البيانات تُحفظ داخل المملكة العربية السعودية. أي نقل خارج المملكة يستلزم:
- الحصول على موافقة كتابية صريحة من المتحكم.
- وجود ضمانات كافية لحماية البيانات (Standard Contractual Clauses أو ما يعادلها).
- الالتزام بأحكام الفصل الرابع من PDPL وضوابط سدايا.
- الإخطار المسبق وتقديم تقييم تأثير حماية البيانات (DPIA) عند الحاجة.
10. التدقيق والامتثال
- يحق للمتحكم - مرة واحدة سنوياً وبإشعار مسبق 30 يوماً - إجراء تدقيق لمدى التزام رَبْع بهذه الاتفاقية، إما بنفسه أو عبر طرف ثالث محايد.
- يلتزم رَبْع بتقديم تقارير امتثال سنوية وشهادات الأمن التي يحصل عليها (ISO 27001، SOC 2، إلخ).
- يحق للمتحكم طلب معلومات إضافية لإثبات الامتثال لـ PDPL.
- أي تدقيق إضافي خارج المعتاد يتحمل المتحكم تكاليفه ما لم يكن نتيجة خرق من رَبْع.
11. الاحتفاظ والحذف
- أثناء سريان الخدمة: البيانات تُحفظ طالما أن الاشتراك نشط.
- بعد إلغاء الاشتراك: فترة سماح 30 يوماً لاستعادة البيانات.
- بعد فترة السماح: حذف نهائي للبيانات من قواعد البيانات الأساسية + النسخ الاحتياطية خلال 90 يوماً.
- الحذف الفوري: عند طلب صاحب البيانات حقه في الإتلاف، يتم الحذف خلال 30 يوماً (ما لم يوجد سبب نظامي للاحتفاظ).
- السجلات النظامية: سجلات التدقيق والمعاملات تُحفظ وفق المتطلبات القانونية (الفواتير 10 سنوات للزكاة، إلخ).
12. المسؤولية والتعويض
- يتحمل كل طرف المسؤولية عن الأضرار الناتجة عن إخلاله بالتزاماته في هذه الاتفاقية.
- المعالج (رَبْع): مسؤول عن الأضرار الناجمة عن إخلاله بالالتزامات التقنية والأمنية المحددة في القسم 6.
- المتحكم (المستأجر): مسؤول عن الأضرار الناجمة عن غياب الأساس القانوني للمعالجة أو غياب الموافقات.
- حد المسؤولية: الحد الأقصى لمسؤولية رَبْع المالية تجاه المتحكم لا يتجاوز قيمة الاشتراك المدفوع خلال 12 شهراً السابقة، إلا في حالات الإهمال الجسيم أو السوء النية.
- الإعفاء: يعوّض كل طرف الآخر عن أي مطالبات قانونية تنتج عن إخلاله بالتزاماته.
13. مدة الاتفاقية والإنهاء
- تسري هذه الاتفاقية من تاريخ توقيع المستأجر على شروط الاستخدام، وتستمر طوال مدة الاشتراك.
- تنتهي تلقائياً بإنهاء أو إلغاء الاشتراك الأساسي.
- التزامات السرية والأمن والتعاون مع التدقيق تستمر بعد الإنهاء حتى استكمال الحذف.
- يحق لأي طرف إنهاء الاتفاقية فوراً في حالة الإخلال الجوهري الذي لم يُصحَّح خلال 30 يوماً من الإخطار.
14. النظام والاختصاص
- تخضع هذه الاتفاقية لأنظمة المملكة العربية السعودية، خاصة:
- نظام حماية البيانات الشخصية (PDPL).
- لوائح سدايا التنفيذية.
- نظام مكافحة الجرائم المعلوماتية.
- أي نزاع يحل ودياً أولاً خلال 30 يوماً، فإن تعذر يُحال إلى:
- سدايا في مسائل حماية البيانات.
- المحاكم السعودية المختصة في الرياض لباقي المسائل.
🖋️ التوقيعات
حُرِّرَت هذه الاتفاقية من نسختين أصليتين، تَسلَّم كل طرف نسخة للعمل بموجبها.
عن رَبْع (المعالج)
الاسم:
الممثل القانوني
الصفة:
المدير التنفيذي / مسؤول حماية البيانات
التاريخ:
التوقيع + الختم:
عن المستأجر (المتحكم)
اسم الشركة:
السجل التجاري:
الممثل + الصفة:
التوقيع + الختم:
📧 مسؤول حماية البيانات (DPO)
للاستفسارات والتواصل بخصوص حماية البيانات: [email protected]
للشكاوى لدى الجهة المختصة: sdaia.gov.sa