اتفاقية معالجة البيانات

العميل هو المؤسسة التي تملك مساحة العمل، وهو المتحكم في البيانات الشخصية التي يضعها في nerix.ai (ويكون معالجاً لها عندما يتصرف لصالح عملائه). أما Respiresoft LLC، 32 N Gould St، Sheridan، WY 82801، الولايات المتحدة، فهي المعالج.

يغطي هذا الاتفاق البيانات الشخصية الموجودة في مساحة عمل العميل: المستندات، والمحادثات، وSheets، وسجلات العمل، والاجتماعات والتسجيلات، وتضمينات المكتبة، وأسماء الأعضاء وعناوين بريدهم الإلكتروني، وسجل التدقيق. ولا يغطي البيانات الشخصية التي تحدد nerix أغراضها بنفسها، مثل حساب تسجيل الدخول الخاص بشخص أو سجلات الفوترة. ويُوصف ذلك في سياسة الخصوصية.

إذا تعارض هذا الاتفاق والشروط بشأن البيانات الشخصية، تسود أحكام هذا الاتفاق.

تعالج nerix البيانات الشخصية فقط بناءً على تعليمات العميل الموثقة. وتُعد الشروط وهذا الاتفاق والإعدادات التي يختارها العميل في المنتج (مثل منطقة الذكاء الاصطناعي، والمزودين، وفترات الاحتفاظ، وإخفاء الأسماء عن الذكاء الاصطناعي) وما يطلبه أعضاؤها من المنتج تعليمات. ويشمل ذلك النقل إلى دولة ثالثة: فلا يحدث إلا بالقدر الذي تسمح به هذه التعليمات وقائمة المعالجين الفرعيين.

تخبر nerix العميل فوراً إذا اعتقدت أن تعليمة ما تخالف قانون حماية البيانات. وإذا كان القانون يلزم nerix بالمعالجة على نحو آخر، فإنها تخبر العميل أولاً ما لم يحظر القانون ذلك.

كل من يعمل في nerix ويستطيع الوصول إلى البيانات الشخصية للعميل ملتزم بواجب سرية كتابي، ولا يحصل على الوصول إلا عندما يقتضي العمل ذلك، ويُسجل كل اطلاع من الموظفين على محادثة عميل في سجل تدقيق العميل نفسه.

تتخذ nerix التدابير المنصوص عليها في المادة 32 من GDPR. ويسرد الملحق 2 التدابير القائمة اليوم. ويجوز أن تغيّرها nerix إذا لم ينخفض مستوى الحماية.

يمنح العميل إذناً كتابياً عاماً للمعالجين الفرعيين المذكورين في الملحق 1. وتُلزم nerix كلاً منهم بواجبات حماية البيانات نفسها بموجب عقد، وتظل مسؤولة مسؤولية كاملة أمام العميل عنهم.

تخبر nerix مالك كل مساحة عمل قبل 30 يوماً على الأقل من إضافة معالج فرعي أو استبداله، داخل المنتج وبالبريد الإلكتروني، وتحدّث القائمة العامة على nerix.ai/legal/subprocessors. ويجوز للعميل الاعتراض لأسباب معقولة تتعلق بحماية البيانات خلال تلك المدة البالغة 30 يوماً. ثم تحاول nerix تقديم الخدمة دون ذلك المعالج الفرعي، مثلاً بالإبقاء على مساحة العمل لدى مزودين في الاتحاد الأوروبي فقط. وإذا لم يكن ذلك ممكناً، جاز للعميل إنهاء العقد واسترداد الرسوم المدفوعة مقدماً عن المدة غير المستخدمة.

يختار العميل منطقة الذكاء الاصطناعي والمزودين لمساحة عمله. وأي مزود يفعّله العميل بنفسه في الإعدادات هو خيار العميل نفسه وليس تغييراً من nerix.

تُخزن بيانات العميل في الاتحاد الأوروبي (فرنسا، مع الملفات المشفّرة والنسخ الاحتياطية في هولندا). ويقع مقر nerix في الولايات المتحدة. وحيثما تُنقل البيانات الشخصية إلى دولة لا يوجد بشأنها قرار كفاية أو يُجري الوصول إليها منها، يتفق الطرفان على البنود التعاقدية القياسية للمفوضية الأوروبية (القرار (EU) 2021/914) على النحو التالي. وتنطبق الوحدة الثانية (من المتحكم إلى المعالج) عندما يكون العميل متحكماً، وتنطبق الوحدة الثالثة (من المعالج إلى المعالج) عندما يكون العميل نفسه معالجاً. وهي جزء من هذا الاتفاق بالإحالة.

• البند 7 (بند الانضمام): مشمول.
• البند 9(أ): الخيار 2، الإذن العام، مع الإشعار البالغ 30 يوماً في القسم 6.
• البند 11(أ): لا تنطبق هيئة حل النزاعات المستقلة الاختيارية.
• البند 17: قانون جمهورية أيرلندا. البند 18(ب): محاكم أيرلندا.
• الأطراف في الملحق I.A موجودون في القسم 1؛ والملحق I.B هو القسم 2؛ والسلطة الإشرافية المختصة هي سلطة منشأة العميل (أو، إذا لم توجد، مفوضية حماية البيانات الأيرلندية). والملحق II هو الملحق 2 أدناه. والملحق III هو الملحق 1 أدناه.

بالنسبة إلى البيانات الشخصية الخاضعة لـ UK GDPR، يتفق الطرفان أيضاً على الملحق الخاص بنقل البيانات الدولي إلى البنود التعاقدية القياسية للاتحاد الأوروبي الصادر عن مفوض المعلومات في المملكة المتحدة (الإصدار B1.0، الساري في 21 مارس 2022). وتُعبأ جداوله من هذا القسم والملاحق، ويجوز لأي من الطرفين إنهاؤه وفقاً للقسم 19 منه.

بالنسبة إلى البيانات الشخصية الخاضعة لقانون حماية البيانات السويسري، تُطبق البنود التعاقدية القياسية مع هذه التغييرات: المفوض السويسري الاتحادي لحماية البيانات والمعلومات هو السلطة المختصة؛ وتشمل الإشارات إلى GDPR القانون السويسري؛ ومكان الاختصاص لدعاوى الأشخاص في سويسرا هو سويسرا؛ ولا يمنع «الدولة العضو» شخصاً في سويسرا من رفع الدعوى في محل إقامته المعتاد.

إذا كانت nerix معتمدة بموجب إطار حماية البيانات بين الاتحاد الأوروبي والولايات المتحدة لأغراض النقل، فإن ذلك الاعتماد هو الضمانة الرئيسية، وتُطبق البنود التعاقدية القياسية كخيار احتياطي إذا توقف سريان الإطار. ويُعالج طلب الوصول الحكومي وفقاً لما تقوله البنود التعاقدية القياسية: تعترض nerix على الطلبات غير القانونية، وتشارك الحد الأدنى الممكن، وتخبر العميل ما لم يحظر القانون ذلك.

إذا سأل شخص nerix عن بيانات تحتفظ بها للعميل، فلا تجيب nerix في الموضوع، وتحيل الطلب إلى العميل دون تأخير غير مبرر (خلال خمسة أيام عمل). وتوفر nerix للعميل أدوات للمساعدة: تصدير مساحة عمل وبيانات حساب شخص نفسه، والحذف، والتصحيح، وسجل التدقيق. وإلى جانب ذلك، تساعد nerix بجهد معقول ودون مقابل عندما تكون المهمة صغيرة.

تُبلغ nerix مالك كل مساحة عمل متأثرة دون تأخير لا مبرر له، وفي موعد أقصاه 24 ساعة من علمها بحادثة انتهاك بيانات شخصية تمس بيانات العميل، وذلك داخل المنتج وبالبريد الإلكتروني. ويوضح الإشعار ما هو معروف: ما الذي حدث، وأي البيانات وأعداد الأشخاص التقريبية، والآثار المحتملة، وما قامت به nerix، وما تنصح العميل به. وتُضاف الوقائع الإضافية فور اكتشافها. وتحتفظ nerix بسجل للانتهاكات وتزوّد العميل بما يحتاجه لإشعاره الخاص إلى السلطة المختصة (المادة 33) وإلى الأشخاص (المادة 34).

تساعد nerix العميل في الأمن، والإخطار بالانتهاكات، وتقييمات أثر حماية البيانات، والتشاور المسبق، مع مراعاة ما يمكنها الاطلاع عليه. وتقدم nerix ملخصاً لتقييم أثر حماية البيانات الخاص بميزات الذكاء الاصطناعي عند الطلب.

يمكن للعميل تصدير مساحة العمل بالكامل في أي وقت، مجاناً، من الإعدادات (المستندات بملفاتها الأصلية، والمحادثات، وSheets، والسجلات، وسجل التدقيق)، ويمكنه حذف البيانات ومساحة العمل نفسها. وعند انتهاء العقد، تحتفظ nerix بمساحة العمل لمدة استرجاع لا تقل عن 30 يوماً ليتمكن العميل من تصديرها، ثم تحذف البيانات الشخصية، بما في ذلك النسخ الاحتياطية، خلال 30 يوماً إضافية، ما لم يفرض القانون على nerix الاحتفاظ بها. وتؤكد nerix الحذف عند الطلب.

تزوّد nerix العميل بالمعلومات اللازمة لإثبات استيفاء المادة 28، وتتيح للعميل أو لمدقق تعيّنه الاطلاع عليها، بإشعار مدته 30 يوماً، خلال ساعات العمل، وفي ظل السرية، وبما لا يزيد على مرة واحدة في السنة ما لم يتطلب انتهاك أو سلطة مختصة أكثر من ذلك، وعلى نفقة العميل. ويجوز لـ nerix أن تستوفي ذلك أولاً بالتقارير المستقلة السارية وإجاباتها عن استبيان الأمن الخاص بالعميل.

تخضع المسؤولية بموجب هذه الاتفاقية للشروط، باستثناء أنه لا شيء يحد من مسؤولية لا يجوز الحد منها قانوناً، وتسود الشروط التعاقدية القياسية (SCCs)، حيث تنطبق، على كل ما عداها. ويحكم هذه الاتفاقية قانون جمهورية أيرلندا فيما يتعلق بالشروط التعاقدية القياسية، وتحكمها الشروط فيما عدا ذلك.

يقبل العميل هذه الاتفاقية في المنتج: يؤكد ذلك مالك مساحة العمل، وتسجل nerix التاريخ والإصدار ومن قام بالقبول. ويُعرض الإصدار الجديد على المالك مع بيان ما تغير، ويصبح ساريًا بعد قبوله؛ ويبقى الإصدار المقبول ظاهراً في الإعدادات. ويمكن لعملاء المؤسسات طلب نسخة تتضمن سطوراً للتوقيع. للأسئلة: info@nerix.ai.

القائمة العامة على nerix.ai/legal/subprocessors هي القائمة الحالية. اعتباراً من تاريخ هذا الإصدار:

هذه التدابير قائمة في المنتج اليوم.

• فصل العملاء: يحمل كل سجل مساحة العمل الخاصة به، ويجب أن يسمي كل استعلام في الشيفرة مساحة العمل وإلا فشل؛ وتُخزّن الملفات لكل مساحة عمل على حدة.
• التشفير: تستخدم الاتصالات TLS. وتُشفّر مفاتيح المزودين وبيانات الاعتماد المخزنة للعملاء بتشفير مغلف، ويُحفظ المفتاح الرئيسي خارج قاعدة البيانات في ملف لا تستطيع قراءته إلا الخدمة.
• الوصول: تسجيل الدخول بكلمة مرور أو مفاتيح مرور أو Google أو GitHub؛ تسجيل دخول بخطوتين؛ أدوار للمالك والمسؤول والعضو والمشاهد؛ يمكن سرد الجلسات وإنهاؤها؛ ويمكن إلغاء مفاتيح API فوراً.
• وصول الموظفين: هوية منفصلة للموظفين بتسجيل دخول خاص بها وخطوة ثانية؛ لا يرى الموظفون محادثة عميل إلا بسبب مسجل، ويُكتب كل اطلاع في سجل التدقيق الخاص بالعميل؛ ويُعرض الانتحال للعميل في سجل التدقيق.
• سجل التدقيق: سجل للإضافة فقط يبين من فعل ماذا في مساحة العمل، مع إمكانية التصدير؛ ويُحفظ لمدة الاحتفاظ التي يحددها المالك.
• سلامة الذكاء الاصطناعي: يمكن استبدال أسماء الأشخاص والعملاء والتفاصيل الشخصية مثل عناوين البريد الإلكتروني وأرقام الهواتف والحسابات برموز قبل وصول النص إلى نموذج، ثم إعادتها في الإجابة؛ ويمكن للمالكين قفل هذا الإعداد؛ ولا يُسمح لمزود النموذج أبداً بالتدريب على بيانات العملاء؛ ويمكن قصر منطقة الذكاء الاصطناعي على EU فقط أو على النماذج الموجودة على خوادمنا.
• الاحتفاظ والحذف: يمكن للمالك تحديد مدة الاحتفاظ بالمستندات والمحادثات، ثم تحذفها الخدمة؛ ويؤدي الحذف إلى إزالة الملفات من القرص، وليس الصفوف فقط؛ ويُنفّذ حذف مساحة العمل بعد فترة سماح مدتها 30 يوماً.
• النسخ الاحتياطية: تُحفظ في EU؛ وتغادر البيانات المحذوفة النسخ الاحتياطية خلال 30 يوماً.
• المرونة: عمليات منفصلة للويب والعمل في الخلفية ومركز الذكاء الاصطناعي، وفحوصات صحة وإعادة تشغيل دون إسقاط المهام؛ وتُختبر التغييرات قبل الإصدار.
• عملية الانتهاك: دليل تشغيل مكتوب، وسجل، وإشعار للمالكين المتأثرين خلال 24 ساعة، وإشعار أمني في المنتج.
• الأشخاص: واجب سرية، ووصول فقط عندما يتطلبه العمل.