اتفاقية معالجة البيانات

أُبرمت اتفاقية معالجة البيانات هذه («DPA») بين العميل المحدَّد في حساب Vocito.ai («المتحكم»، «العميل»، «أنت») وشركة Vocito.ai B.V.‎ ‎(«المعالج»، «Vocito»، «نحن»)، وتشكّل جزءًا لا يتجزأ من شروط الخدمة ومن الاتفاق المبرم بين الطرفين لتقديم خدمة Vocito.

تعبّر هذه الاتفاقية عن اتفاق الطرفين بشأن معالجة المعالج للبيانات الشخصية نيابةً عن المتحكم، وفقًا لمتطلبات المادة 28 من اللائحة العامة لحماية البيانات (الاتحاد الأوروبي) 2016/679 («GDPR»).

1. التعريفات

ما لم تُعرَّف على نحو آخر في هذه الاتفاقية، يكون للمصطلحات المكتوبة بحرف أول كبير في النسخة الإنجليزية المعاني المحددة لها في لائحة GDPR أو في شروط الخدمة. وتنطبق التعريفات الإضافية الآتية:

• «البيانات الشخصية» تعني أي معلومات تتعلق بشخص طبيعي محدَّد الهوية أو قابل لتحديد هويته يعالجها المعالج نيابةً عن المتحكم عبر الخدمة.
• «المعالجة» تعني أي عملية أو مجموعة عمليات تُجرى على البيانات الشخصية، على النحو المعرَّف في المادة 4(2) من لائحة GDPR.
• «المتحكم» يعني العميل، الذي يحدد أغراض معالجة البيانات الشخصية عبر الخدمة ووسائلها.
• «المعالج» يعني شركة Vocito.ai B.V.‎، التي تعالج البيانات الشخصية نيابةً عن المتحكم.
• «المعالج الفرعي» يعني طرفًا ثالثًا يستعين به المعالج لمعالجة البيانات الشخصية نيابةً عن المعالج.
• «صاحب البيانات» يعني الشخص الطبيعي المحدَّد الهوية أو القابل لتحديد هويته الذي تتعلق به البيانات الشخصية.
• «خرق البيانات الشخصية» يعني خرقًا أمنيًا يؤدي إلى إتلاف البيانات الشخصية أو فقدانها أو تغييرها على نحو عرضي أو غير مشروع، أو إلى الإفصاح عنها أو الوصول إليها دون تصريح.
• «SCCs» تعني البنود التعاقدية القياسية المعتمدة من المفوضية الأوروبية بموجب القرار التنفيذي للمفوضية (الاتحاد الأوروبي) 2021/914.
• «الخدمة» تعني منصة Vocito.ai لموظف الاستقبال الصوتي بالذكاء الاصطناعي وجميع الميزات والخدمات المرتبطة بها.
• «بيانات العميل» تعني جميع البيانات، بما فيها البيانات الشخصية، التي تُعالَج من خلال استخدام العميل للخدمة.

2. النطاق والأدوار

2.1 أدوار الطرفين

يكون العميل هو المتحكم ويكون Vocito هو المعالج فيما يتعلق بالبيانات الشخصية المعالَجة عبر الخدمة. يلتزم المعالج بألا يعالج البيانات الشخصية إلا نيابةً عن المتحكم ووفقًا لتعليماته الموثَّقة.

2.2 نطاق المعالجة

تنطبق هذه الاتفاقية على جميع البيانات الشخصية التي يعالجها المعالج نيابةً عن المتحكم في إطار تقديم الخدمة، على النحو المبيَّن بمزيد من التفصيل في الملحق A.

2.3 العلاقة بشروط الخدمة

تكمّل هذه الاتفاقية شروط الخدمة وتشكّل جزءًا منها. في حال وجود تعارض بين هذه الاتفاقية وشروط الخدمة في مسائل حماية البيانات، تكون الغلبة لهذه الاتفاقية.

3. تفاصيل المعالجة

ترد تفاصيل أنشطة المعالجة في الملحق A وتشمل:

• الموضوع: تقديم منصة Vocito لموظف الاستقبال الصوتي بالذكاء الاصطناعي.
• المدة: طوال مدة الاتفاق المبرم بين المتحكم والمعالج، إضافةً إلى أي مدة احتفاظ بالبيانات واجبة التطبيق.
• الطبيعة والغرض: استقبال المكالمات الهاتفية الواردة والتعامل معها عبر الذكاء الاصطناعي، وتسجيل المكالمات وتفريغها نصيًا، وإرسال رسائل متابعة عبر SMS، وإدارة العملاء المحتملين والحجوزات، وتكامل البريد الإلكتروني، وإدارة بيانات CRM، وتقديم التحليلات.
• أنواع البيانات الشخصية: الأسماء، أرقام الهواتف، عناوين البريد الإلكتروني، التسجيلات الصوتية، نصوص المكالمات، محتوى رسائل SMS، محتوى البريد الإلكتروني، معلومات العملاء المحتملين والحجوزات، وبيانات الاتصال المهنية.
• فئات أصحاب البيانات: المستخدمون النهائيون (المتصلون)، عملاء المتحكم وعملاؤه المحتملون، وموظفو المتحكم وممثلوه.

4. التزامات المعالج

4.1 تعليمات المعالجة

يلتزم المعالج بما يلي:

• معالجة البيانات الشخصية بناءً على تعليمات موثَّقة من المتحكم فقط، بما في ذلك ما يتعلق بعمليات نقل البيانات الشخصية إلى بلد ثالث أو منظمة دولية، ما لم يكن ملزَمًا بالمعالجة بموجب قانون الاتحاد أو قانون الدولة العضو الذي يخضع له المعالج. وفي هذه الحالة، يلتزم المعالج بإبلاغ المتحكم بذلك المتطلب القانوني قبل المعالجة، ما لم يحظر ذلك القانون هذا الإبلاغ.
• إبلاغ المتحكم فورًا إذا رأى المعالج أن تعليمةً ما تخالف لائحة GDPR أو غيرها من أحكام حماية البيانات في الاتحاد أو الدول الأعضاء.

4.2 السرية

يلتزم المعالج بضمان أن جميع الأشخاص المصرَّح لهم بمعالجة البيانات الشخصية قد تعهدوا بالسرية أو يخضعون لالتزام قانوني مناسب بالسرية.

4.3 الأمن

يلتزم المعالج بتنفيذ تدابير تقنية وتنظيمية مناسبة لضمان مستوى أمني يتناسب مع المخاطر، على النحو المبيَّن في الملحق B ووفقًا للمادة 32 من لائحة GDPR.

4.4 المعالجة الفرعية

يلتزم المعالج بالشروط المنصوص عليها في القسم 6 بشأن الاستعانة بمعالجين فرعيين.

4.5 حقوق أصحاب البيانات

يلتزم المعالج بمساعدة المتحكم على الوفاء بالتزاماته بالرد على طلبات أصحاب البيانات، على النحو المنصوص عليه في القسم 9.

4.6 المساعدة في الامتثال

مع الأخذ في الاعتبار طبيعة المعالجة والمعلومات المتاحة للمعالج، يلتزم المعالج بمساعدة المتحكم على ضمان الامتثال للمواد من 32 إلى 36 من لائحة GDPR، بما يشمل الالتزامات المتعلقة بأمن المعالجة، والإخطار بخروقات البيانات الشخصية، وتقييمات أثر حماية البيانات، والتشاور المسبق مع السلطات الإشرافية.

4.7 الحذف أو الإعادة

يلتزم المعالج، بحسب اختيار المتحكم، بحذف جميع البيانات الشخصية أو إعادتها بعد انتهاء تقديم الخدمات، على النحو المنصوص عليه في القسم 13.

4.8 التدقيق والمعلومات

يلتزم المعالج بأن يتيح للمتحكم جميع المعلومات اللازمة لإثبات الامتثال للمادة 28 من لائحة GDPR، وبأن يسمح بعمليات التدقيق ويسهم فيها، على النحو المنصوص عليه في القسم 12.

5. التزامات المتحكم

يلتزم المتحكم بما يلي:

• ضمان وجود أساس قانوني لمعالجة البيانات الشخصية، بما يشمل الحصول على أي موافقات مطلوبة من أصحاب البيانات (مثلًا لتسجيل المكالمات).
• تزويد المعالج بتعليمات معالجة موثَّقة.
• الامتثال لالتزاماته بموجب لائحة GDPR وقوانين حماية البيانات المعمول بها.
• ضمان إبلاغ أصحاب البيانات بمعالجة بياناتهم الشخصية وفقًا للمادتين 13 و 14 من لائحة GDPR، بما يشمل استخدام أنظمة الذكاء الاصطناعي وفقًا لقانون الذكاء الاصطناعي للاتحاد الأوروبي.
• الرد على طلبات أصحاب البيانات، بمساعدة المعالج.
• إخطار المعالج بأي تغييرات في تعليمات المعالجة الصادرة عنه.
• ضمان ألا تنتهك بيانات العميل المقدَّمة إلى المعالج حقوق أي طرف ثالث.

6. المعالجون الفرعيون

6.1 الإذن العام

يمنح المتحكم إذنًا كتابيًا عامًا يجيز للمعالج الاستعانة بمعالجين فرعيين للمساعدة في تقديم الخدمة، مع مراعاة الشروط المنصوص عليها في هذا القسم. وترد القائمة الحالية للمعالجين الفرعيين المأذون لهم في الملحق C.

6.2 الالتزامات المتعلقة بالمعالجين الفرعيين

عند استعانة المعالج بمعالج فرعي:

• يلتزم المعالج بأن يفرض على المعالج الفرعي، بموجب عقد، التزامات حماية البيانات ذاتها المنصوص عليها في هذه الاتفاقية، وعلى وجه الخصوص تقديم ضمانات كافية لتنفيذ تدابير تقنية وتنظيمية مناسبة.
• يبقى المعالج مسؤولًا مسؤولية كاملة أمام المتحكم عن وفاء المعالج الفرعي بالتزاماته.
• يجب أن تتضمن اتفاقية المعالج الفرعي أحكامًا مكافئة للأحكام الواردة في هذه الاتفاقية، بما يشمل ما يتعلق بالسرية والأمن وحقوق التدقيق.

6.3 الإخطار بالتغييرات

يلتزم المعالج بإخطار المتحكم قبل 30 يومًا على الأقل بأي تغييرات مزمعة تتعلق بإضافة معالجين فرعيين أو استبدالهم، بما يتيح للمتحكم فرصة الاعتراض على هذه التغييرات.

6.4 الحق في الاعتراض

إذا كانت لدى المتحكم أسباب معقولة للاعتراض على الاستعانة بمعالج فرعي جديد، يلتزم المتحكم بإخطار المعالج خلال 14 يومًا من تلقّي الإخطار. يناقش الطرفان مخاوف المتحكم بحسن نية. وإذا تعذّر على الطرفين التوصل إلى حل، يجوز للمتحكم إنهاء الخدمات المتأثرة دون غرامة بتقديم إخطار كتابي.

7. التدابير الأمنية

يلتزم المعالج بتنفيذ التدابير الأمنية التقنية والتنظيمية المبيَّنة في الملحق B، وبالحفاظ عليها، وهي تشمل كحد أدنى:

7.1 التشفير

• تشفير البيانات الشخصية أثناء النقل باستخدام TLS 1.2 أو أعلى.
• تشفير البيانات الشخصية أثناء التخزين باستخدام AES-256 أو ما يعادله.
• تشفير تسجيلات المكالمات أثناء التخزين.

7.2 التحكم في الوصول

• التحكم في الوصول على أساس الأدوار (RBAC) وفق مبدأ الحد الأدنى من الصلاحيات.
• المصادقة متعددة العوامل (MFA) للوصول الإداري وللوصول إلى أنظمة الإنتاج.
• حسابات مستخدمين فريدة لجميع العاملين؛ لا بيانات اعتماد مشتركة.
• مراجعات منتظمة لصلاحيات الوصول (كل ربع سنة على الأقل).
• إلغاء تلقائي لصلاحيات الوصول عند مغادرة العاملين.

7.3 أمن البنية التحتية

• الاستضافة على بنية تحتية ذات إعداد مستضاف في الاتحاد الأوروبي ومتوافق مع لائحة GDPR.
• تجزئة الشبكة والحماية بجدار ناري.
• فحص الثغرات الأمنية واختبار الاختراق بانتظام.
• تطبيق التصحيحات الأمنية في الوقت المناسب.
• الحماية من هجمات DDoS.

7.4 المراقبة وتسجيل الأحداث

• تسجيل مركزي لعمليات الوصول إلى البيانات الشخصية.
• المراقبة والتنبيه في الوقت الفعلي بشأن الأحداث الأمنية.
• الاحتفاظ بالسجلات لمدة لا تقل عن 12 شهرًا.

7.5 العاملون

• اتفاقيات سرية مع جميع العاملين الذين يصلون إلى البيانات الشخصية.
• تدريب توعوي في مجال الأمن لجميع العاملين.
• فحوص الخلفية للعاملين الذين لديهم وصول إلى أنظمة الإنتاج (حيثما يسمح القانون بذلك).

7.6 استمرارية الأعمال

• نسخ احتياطية منتظمة لبيانات العميل مع إجراءات استعادة مُختبَرة.
• إجراءات التعافي من الكوارث مع أهداف محددة لزمن التعافي.
• بنية تحتية بتكرار احتياطي للمكونات الحرجة.

7.7 التقييم المستمر

يلتزم المعالج بتقييم التدابير الأمنية وتحديثها بانتظام لضمان بقائها متناسبة مع المخاطر المرتبطة بالمعالجة. ولا يجوز للمعالج أن يخفض المستوى العام للأمن تخفيضًا جوهريًا خلال مدة هذه الاتفاقية.

8. الإخطار بخرق البيانات

8.1 إخطار المتحكم

يلتزم المعالج بإخطار المتحكم بأي خرق للبيانات الشخصية دون تأخير غير مبرَّر، وفي جميع الأحوال خلال 72 ساعة من علمه به. يُرسل الإخطار إلى عنوان البريد الإلكتروني المرتبط بحساب المتحكم، ويتضمن، بقدر ما يتوافر:

• وصفًا لطبيعة خرق البيانات الشخصية، بما يشمل الفئات والأعداد التقريبية لأصحاب البيانات والسجلات المعنية.
• اسم جهة اتصال لدى المعالج وبيانات الاتصال بها.
• وصفًا للعواقب المحتملة للخرق.
• وصفًا للتدابير المتخذة أو المقترح اتخاذها للتصدي للخرق، بما يشمل تدابير التخفيف من آثاره السلبية.

8.2 التزامات المعالج

فور علمه بخرق للبيانات الشخصية، يلتزم المعالج بما يلي:

• اتخاذ خطوات فورية لاحتواء الخرق وتقليل أثره إلى أدنى حد.
• التحقيق في الخرق وتزويد المتحكم بمعلومات محدَّثة فور توافرها.
• التعاون مع المتحكم وتقديم مساعدة معقولة له في وفائه بالتزامات الإخطار بالخرق بموجب المادتين 33 و 34 من لائحة GDPR.
• توثيق الخرق، بما يشمل الوقائع والآثار والإجراءات التصحيحية المتخذة.

8.3 إخطار السلطة الإشرافية من جانب المتحكم

يتحمل المتحكم مسؤولية تحديد ما إذا كان يجب الإبلاغ عن خرق البيانات الشخصية إلى سلطة إشرافية و/أو إلى أصحاب البيانات بموجب المادتين 33 و 34 من لائحة GDPR. يلتزم المعالج بتقديم كل تعاون ومساعدة معقولين إلى المتحكم في اتخاذ هذه القرارات والوفاء بهذه الالتزامات.

9. طلبات أصحاب البيانات

9.1 المساعدة

يلتزم المعالج، مع الأخذ في الاعتبار طبيعة المعالجة، بمساعدة المتحكم بتدابير تقنية وتنظيمية مناسبة، قدر الإمكان، على الوفاء بالتزام المتحكم بالرد على طلبات أصحاب البيانات الذين يمارسون حقوقهم بموجب الفصل الثالث من لائحة GDPR، بما يشمل:

• الحق في الوصول (المادة 15)
• الحق في التصحيح (المادة 16)
• الحق في المحو (المادة 17)
• الحق في تقييد المعالجة (المادة 18)
• الالتزام بالإخطار (المادة 19)
• الحق في قابلية نقل البيانات (المادة 20)
• الحق في الاعتراض (المادة 21)

9.2 الإخطار

إذا تلقّى المعالج طلبًا مباشرةً من أحد أصحاب البيانات، يلتزم المعالج، على وجه السرعة (وفي جميع الأحوال خلال 5 أيام عمل)، بإحالة صاحب البيانات إلى المتحكم وإخطار المتحكم بالطلب. ولا يجوز للمعالج الرد مباشرةً على هذا الطلب إلا إذا أذن له المتحكم بذلك أو اقتضى القانون ذلك.

9.3 تصدير البيانات

يوفّر المعالج عبر لوحة تحكم الخدمة خاصية تتيح للمتحكم تصدير بيانات العميل بصيغ شائعة الاستخدام وقابلة للقراءة آليًا (JSON و CSV). ويجوز للمتحكم استخدام هذه الأدوات لتلبية طلبات قابلية نقل البيانات.

10. تقييم أثر حماية البيانات

يلتزم المعالج بتقديم مساعدة معقولة إلى المتحكم في إجراء تقييمات أثر حماية البيانات («DPIAs») والمشاورات المسبقة مع السلطات الإشرافية بموجب المادتين 35 و 36 من لائحة GDPR، حيثما كان ذلك مطلوبًا فيما يتعلق بمعالجة البيانات الشخصية عبر الخدمة. وتشمل هذه المساعدة تقديم معلومات عن أنشطة المعالجة التي يجريها المعالج، والتدابير التقنية والتنظيمية، والترتيبات الخاصة بالمعالجين الفرعيين.

11. عمليات النقل الدولي

11.1 التخزين الأساسي

يخزّن المعالج بيانات العميل، بما فيها البيانات الشخصية، بصفة أساسية داخل المنطقة الاقتصادية الأوروبية (EEA)، وتحديدًا في بنية Supabase التحتية الواقعة في منطقة أيرلندا (eu-west-1).

11.2 عمليات النقل إلى بلدان ثالثة

يقع بعض المعالجين الفرعيين الذين يستعين بهم المعالج في الولايات المتحدة. وعند نقل البيانات الشخصية إلى بلد خارج منطقة EEA لم يصدر بشأنه قرار ملاءمة من المفوضية الأوروبية، تُطبَّق الضمانات الآتية:

• البنود التعاقدية القياسية (SCCs): أبرم المعالج بنود SCCs (القرار التنفيذي للمفوضية (الاتحاد الأوروبي) 2021/914) مع كل معالج فرعي يقع خارج منطقة EEA، باستخدام بنود الوحدة 3 (من معالج إلى معالج فرعي).
• إطار خصوصية البيانات بين الاتحاد الأوروبي والولايات المتحدة: حيثما ينطبق ذلك، يستند المعالج إلى اعتماد المعالج الفرعي بموجب إطار خصوصية البيانات بين الاتحاد الأوروبي والولايات المتحدة بوصفه ضمانة إضافية.
• التدابير التكميلية: وفقًا للتوصيات 01/2020 الصادرة عن المجلس الأوروبي لحماية البيانات (EDPB)، ينفّذ المعالج تدابير تكميلية تقنية وتنظيمية وتعاقدية، تشمل:
  • تشفير البيانات الشخصية أثناء النقل وأثناء التخزين.
  • تقليل البيانات المنقولة إلى الحد الأدنى (مثل البث في الوقت الفعلي بدلًا من عمليات النقل بالجملة، حيثما أمكن).
  • تعهدات تعاقدية من المعالجين الفرعيين بالطعن في طلبات الوصول الحكومية غير المتناسبة.
  • تقييمات منتظمة لأثر النقل.

11.3 تقييمات أثر النقل

يلتزم المعالج بإجراء تقييمات لأثر النقل لكل عملية نقل دولي وبالاحتفاظ بها، يقيّم فيها الإطار القانوني في البلد المتلقي وفعالية الضمانات المعمول بها. وتُتاح هذه التقييمات للمتحكم عند الطلب.

12. حقوق التدقيق

12.1 المعلومات

يلتزم المعالج بأن يتيح للمتحكم جميع المعلومات اللازمة لإثبات الامتثال للالتزامات المنصوص عليها في المادة 28 من لائحة GDPR وفي هذه الاتفاقية.

12.2 التدقيق

يلتزم المعالج بأن يسمح بعمليات التدقيق، بما فيها عمليات التفتيش، التي يجريها المتحكم أو مدقق يكلّفه المتحكم، وبأن يسهم فيها، مع مراعاة الشروط الآتية:

• يلتزم المتحكم بتقديم إخطار كتابي مسبق بالتدقيق قبل 30 يومًا على الأقل، يحدد فيه نطاق التدقيق ومدته.
• تُجرى عمليات التدقيق خلال ساعات العمل الاعتيادية، ولا يجوز أن تعطّل عمليات المعالج على نحو غير معقول.
• يلتزم المتحكم ومدققوه بمتطلبات المعالج المعقولة المتعلقة بالأمن والسرية.
• يلتزم المدقق بإبرام اتفاقية عدم إفصاح مع المعالج قبل بدء التدقيق.
• يتحمل المتحكم تكاليف أي تدقيق، إلا إذا كشف التدقيق عن إخلال جوهري بهذه الاتفاقية من جانب المعالج.
• تقتصر عمليات التدقيق على تدقيق واحد في كل سنة تقويمية، إلا إذا اشترطت سلطة إشرافية خلاف ذلك أو جرى التدقيق عقب خرق للبيانات الشخصية.

12.3 الشهادات والتقارير

حيثما كان ذلك متاحًا، يجوز للمعالج أن يقدّم شهادات ذات صلة أو تقارير تدقيق (مثل تقارير SOC 2 من النوع الثاني) أو ملخصات لعمليات تدقيق مستقلة أجرتها أطراف ثالثة، لتلبية متطلبات التدقيق لدى المتحكم. ويوافق المتحكم على النظر في هذه المستندات بديلًا عن التدقيق الميداني متى كانت تعالج مخاوف المتحكم على نحو معقول.

13. حذف البيانات وإعادتها

13.1 عند الإنهاء

عند إنهاء الاتفاق المبرم بين المتحكم والمعالج أو انتهاء مدته:

• يجوز للمتحكم أن يطلب إعادة بيانات العميل (بما فيها البيانات الشخصية) بصيغة شائعة الاستخدام وقابلة للقراءة آليًا خلال 30 يومًا من تاريخ الإنهاء.
• بعد انقضاء مدة الـ 30 يومًا (أو فور صدور تعليمات كتابية من المتحكم)، يلتزم المعالج بحذف جميع بيانات العميل والنسخ الموجودة منها، ما لم يقتضِ قانون الاتحاد أو قانون الدولة العضو تخزين البيانات الشخصية.
• يلتزم المعالج بتقديم تأكيد كتابي بالحذف عند الطلب.

13.2 استثناءات الاحتفاظ

لا يجوز للمعالج الاحتفاظ بالبيانات الشخصية بعد الإنهاء إلا إذا:

• اقتضى ذلك القانون المعمول به (مثل التزامات الاحتفاظ الضريبية الهولندية لبيانات الفوترة · 7 سنوات).
• كانت البيانات محفوظة في أنظمة النسخ الاحتياطي وستُحذف وفقًا لجدول التدوير المنتظم للنسخ الاحتياطية لدى المعالج (بما لا يتجاوز 90 يومًا).

وفي كل حالة، يلتزم المعالج بمواصلة حماية هذه البيانات المحتفَظ بها وفقًا لهذه الاتفاقية وبقصر المعالجة على الأغراض التي يقتضيها القانون.

13.3 خلال المدة

خلال مدة الاتفاق، يجوز للمتحكم أن يطلب حذف بيانات محددة من بيانات العميل عبر لوحة تحكم الخدمة أو بطلب كتابي يوجَّه إلى المعالج. يلتزم المعالج بتنفيذ هذه الطلبات خلال 30 يومًا، مع مراعاة الجدوى التقنية والتزامات الاحتفاظ القانونية.

14. المسؤولية

14.1 توزيع المسؤولية

يكون كل طرف مسؤولًا عن الأضرار الناجمة عن معالجة تخالف لائحة GDPR، وفقًا للمادة 82 من لائحة GDPR:

• يكون المتحكم مسؤولًا عن الأضرار الناجمة عن معالجة لا تمتثل للائحة GDPR أو عن تعليمات غير مشروعة.
• يكون المعالج مسؤولًا عن الأضرار الناجمة عن المعالجة إذا لم يمتثل لالتزامات لائحة GDPR الموجَّهة تحديدًا إلى المعالجين، أو إذا تصرّف خارج تعليمات المتحكم المشروعة أو بما يخالفها.

14.2 تحديد المسؤولية

تخضع المسؤولية الإجمالية لأي من الطرفين بموجب هذه الاتفاقية لحدود المسؤولية المنصوص عليها في شروط الخدمة، غير أن هذه الحدود لا تسري على:

• المسؤولية تجاه أصحاب البيانات بموجب المادة 82 من لائحة GDPR.
• الغرامات والعقوبات التي تفرضها السلطات الإشرافية.
• المسؤولية الناشئة عن الإهمال الجسيم أو سوء السلوك المتعمَّد من أحد الطرفين فيما يتعلق بالتزاماته في مجال حماية البيانات.

14.3 التعويض

يلتزم كل طرف بتعويض الطرف الآخر عن أي تكاليف أو مطالبات أو أضرار أو مصروفات يتكبدها نتيجة إخلال الطرف المعوِّض بهذه الاتفاقية أو بالتزاماته بموجب لائحة GDPR، شريطة أن يُخطر الطرف طالب التعويض الطرف الآخر على وجه السرعة وأن يقدّم تعاونًا معقولًا.

15. المدة والإنهاء

15.1 المدة

تبدأ هذه الاتفاقية من تاريخ أول استخدام للخدمة من جانب المتحكم، وتبقى سارية ما دام المعالج يعالج البيانات الشخصية نيابةً عن المتحكم.

15.2 استمرار السريان

تبقى التزامات المعالج بموجب هذه الاتفاقية سارية بعد إنهاء الاتفاق بالقدر اللازم للوفاء بالتزاماته المتعلقة بإعادة البيانات الشخصية أو حذفها وبأي التزامات سرية مستمرة.

16. أحكام عامة

16.1 القانون الحاكم

تخضع هذه الاتفاقية لقوانين هولندا، وتُفسَّر وفقًا لها، دون اعتداد بقواعد تنازع القوانين فيها. وتخضع أي منازعات تنشأ بموجب هذه الاتفاقية للاختصاص الحصري للمحاكم المختصة في أمستردام، هولندا.

16.2 استقلالية الأحكام

إذا تبيّن أن أي حكم من أحكام هذه الاتفاقية باطل أو غير قابل للإنفاذ، تبقى الأحكام الأخرى سارية بكامل قوتها وأثرها. ويُستعاض عن الحكم الباطل بحكم صحيح يعكس القصد الأصلي بأقرب صورة ممكنة.

16.3 التعديلات

يجوز للمعالج تعديل هذه الاتفاقية لتعكس التغييرات في القانون المعمول به أو في ممارسات المعالج لمعالجة البيانات. ويُخطَر المتحكم بالتغييرات الجوهرية قبل 30 يومًا على الأقل. ويُعدّ الاستمرار في استخدام الخدمة بعد هذا الإخطار قبولًا للاتفاقية المعدَّلة.

16.4 الاتفاق الكامل

تشكّل هذه الاتفاقية، مع شروط الخدمة وسياسة الخصوصية وأي نماذج طلب معمول بها، الاتفاق الكامل بين الطرفين بشأن موضوعها.

16.5 التواصل

تُوجَّه الأسئلة المتعلقة بهذه الاتفاقية إلى: privacy@vocito.ai

الملحق A: تفاصيل المعالجة

الملحق B: التدابير التقنية والتنظيمية

الملحق C: قائمة المعالجين الفرعيين