اتفاقية معالجة البيانات الشخصية

هذه الاتفاقية جزء لا يتجزأ من الشروط والأحكام، وتنظم معالجة البيانات الشخصية التي يدخلها العميل في موقعه على خدمة سهل. وهي مبرمة بين العميل بصفته جهة التحكم، و[الاسم النظامي للشركة]، المسجلة بالسجل التجاري رقم [رقم السجل التجاري]، وعنوانها الوطني [العنوان الوطني]، بصفتها جهة المعالجة.

وضعت هذه الاتفاقية وفق نظام حماية البيانات الشخصية الصادر بالمرسوم الملكي رقم م/19 وتاريخ 9/2/1443هـ وتعديلاته، ولائحته التنفيذية. ويقبلها العميل بقبوله الشروط إلكترونيا عند التسجيل، ويكون لهذا القبول أثر التوقيع.

1. التعريفات

يقصد بالكلمات والعبارات الآتية، أينما وردت في هذه الاتفاقية، المعاني المبينة أمام كل منها:

1. النظام: نظام حماية البيانات الشخصية ولائحته التنفيذية ولائحة نقل البيانات الشخصية إلى خارج المملكة، وما يصدر بموجبها من قواعد وتعليمات.
2. الهيئة: الهيئة السعودية للبيانات والذكاء الاصطناعي (سدايا).
3. العميل: المنشأة المشتركة في خدمة سهل وفق الشروط، وهي جهة التحكم في بيانات العميل الشخصية.
4. سهل: [الاسم النظامي للشركة]، وهي جهة المعالجة لبيانات العميل الشخصية.
5. الشروط: الشروط والأحكام المنشورة في صفحة الشروط والأحكام وما يرتبط بها من طلبات اشتراك.
6. الخدمة: خدمة سهل السحابية لإدارة الموارد البشرية، بما فيها موقع العميل وتطبيق الجوال.
7. موقع العميل: الموقع المستقل وقاعدة البيانات المستقلة المخصصان للعميل على الخدمة.
8. بيانات العميل الشخصية: البيانات الشخصية التي يدخلها العميل أو مستخدموه في موقع العميل، أو تنشئها الخدمة فيه أثناء استخدامه.
9. المستخدمون: من يمكنهم العميل من الدخول إلى موقعه، ومنهم موظفو الموارد البشرية والمديرون والموظفون.
10. المعالج من الباطن: أي جهة يستعين بها سهل وتتلقى بيانات العميل الشخصية لتقديم الخدمة.
11. حادثة التسرب: أي حادثة تؤدي إلى الإفصاح عن بيانات العميل الشخصية أو الوصول إليها أو إتلافها أو فقدها أو تعديلها دون إذن مشروع.

وتكون لعبارات جهة التحكم وجهة المعالجة وصاحب البيانات الشخصية والمعالجة والبيانات الحساسة المعاني الواردة في النظام.

2. نطاق الاتفاقية ومدتها

تسري هذه الاتفاقية على كل معالجة يجريها سهل لبيانات العميل الشخصية، بما في ذلك مدة التجربة المجانية.

وتبدأ من تاريخ قبول العميل الشروط، وتبقى سارية ما دام سهل يعالج بيانات العميل الشخصية. ويشمل ذلك مدة الاحتفاظ بالبيانات بعد انتهاء الاشتراك أو إيقافه إلى حين حذفها وفق البند 14. وتبقى الالتزامات التي تقتضي طبيعتها الاستمرار، ومنها السرية، سارية بعد ذلك.

ولا تسري هذه الاتفاقية على البيانات التي يعالجها سهل بصفته جهة تحكم، مثل بيانات التسجيل والفوترة ومسؤولي التواصل لدى العميل. فهذه تحكمها سياسة الخصوصية.

3. دور كل طرف

العميل هو جهة التحكم في بيانات العميل الشخصية. فهو الذي يحدد أغراض معالجتها ووسائلها، ويقرر ما يدخله منها في موقعه، ومن يطلع عليها، وإلى متى يحتفظ بها.

وسهل جهة معالجة تعالج هذه البيانات نيابة عن العميل ولحسابه فقط. ولا يحدد سهل أغراض معالجتها، ولا يستخدمها لأغراضه الخاصة، ولا يبيعها، ولا يدمجها ببيانات عميل آخر.

ويحسب سهل يوميا عدد الموظفين النشطين في موقع العميل لإصدار الفاتورة وفق الشروط. وهذا العدد رقم إجمالي لا يتضمن بيانات شخصية.

4. طبيعة المعالجة والغرض منها

الغرض من المعالجة هو تقديم الخدمة إلى العميل وفق الشروط ووفق الإعدادات التي يختارها في موقعه.

وتشمل طبيعة المعالجة ما يلي:

1. الاستضافة والحفظ والتنظيم والعرض.
2. احتساب الإجازات والرواتب ومستحقات نهاية الخدمة والتأمينات الاجتماعية والاستقطاعات وفق إعدادات العميل.
3. توجيه الطلبات إلى أصحاب الصلاحية للموافقة عليها، وحفظ سجل كل طلب.
4. إرسال رموز الدخول والإشعارات إلى المستخدمين.
5. إصدار الخطابات والتقارير والكشوف.
6. التصدير والنسخ الاحتياطي والحذف.
7. تقديم الدعم الفني الذي يطلبه العميل.

وتجري المعالجة آليا عبر الخدمة في الغالب. ولا يباشرها موظفو سهل يدويا إلا لتقديم دعم يطلبه العميل، أو للحفاظ على تشغيل الخدمة وأمنها.

5. فئات أصحاب البيانات وفئات البيانات الشخصية

تشمل فئات أصحاب البيانات الشخصية ما يلي:

1. موظفو العميل وموظفوه السابقون.
2. المرشحون للعمل لدى العميل.
3. أفراد أسر الموظفين المسجلون بصفتهم تابعين، ومنهم الأطفال.
4. مستخدمو موقع العميل.

وتشمل فئات البيانات الشخصية ما يلي:

1. بيانات الهوية: الاسم، والرقم الوظيفي، وأرقام الهوية الوطنية والإقامة وجواز السفر وتواريخ انتهائها، والجنسية، والجنس، وتاريخ الميلاد.
2. بيانات التواصل: رقم الجوال، والبريد الإلكتروني، والعنوان.
3. بيانات العمل: الوظيفة، والإدارة، والفرع، والمدير، والعقد وتواريخه، وتقييمات الأداء، والتدريب، والخطابات، والجزاءات، والكشوف، ونهاية الخدمة.
4. البيانات المالية: الراتب والبدلات، ورقم الحساب البنكي الدولي، وبيانات التأمينات الاجتماعية، والسلف، والمصروفات.
5. بيانات الإجازات والحضور: أرصدة الإجازات وطلباتها، وأوقات تسجيل الحضور.
6. بيانات الموقع الجغرافي: موقع الموظف لحظة تسجيل الحضور، والمؤشرات المستخدمة لكشف الموقع المزيف، وذلك فقط إذا فعل العميل خاصية الموقع.
7. المستندات وملفاتها: الهوية والإقامة وجواز السفر والعقود والشهادات.
8. بيانات العهد والمركبات والسكن.
9. بيانات التأمين: المشمولون بالتأمين والتابعون، ومنها أسماء أفراد الأسرة وتواريخ ميلادهم.
10. التوقيعات: صورة التوقيع التي يرسمها الشخص أو يرفعها.
11. بيانات التوظيف: السيرة الذاتية، وبيانات التواصل، وملاحظات المقابلات، والتقييمات، وعروض العمل.

ومن هذه البيانات بيانات حساسة وفق النظام، وهي البيانات الصحية الواردة في التقارير الطبية المرفقة بطلبات الإجازة المرضية.

وتستلزم بعض البيانات عناية خاصة لارتفاع أثر الإفصاح عنها، وإن لم تكن حساسة بحسب تعريف النظام. ومنها أرقام الهوية والإقامة وجواز السفر، والموقع الجغرافي، وبيانات أفراد الأسرة ولا سيما الأطفال، والبيانات المالية.

ويقرر العميل وحده أي هذه البيانات يدخلها في موقعه، وهل يفعل خاصية الموقع الجغرافي.

6. المعالجة وفق تعليمات العميل

لا يعالج سهل بيانات العميل الشخصية إلا وفق تعليمات العميل الموثقة. وتعد من التعليمات الموثقة ما يلي:

1. الشروط وهذه الاتفاقية.
2. الإعدادات التي يختارها العميل في موقعه، ومنها الصلاحيات والخصائص المفعلة ومدد الاحتفاظ.
3. استخدام العميل ومستخدميه للخدمة، ومنه إدخال البيانات واستيرادها وتصديرها وحذفها وتقديم الطلبات والموافقة عليها.
4. التعليمات المكتوبة التي يرسلها إلى سهل من له صلاحية ذلك لدى العميل، متى اتفقت مع خصائص الخدمة.

وإذا رأى سهل أن تعليمات العميل تخالف النظام أبلغه بذلك، وجاز له الامتناع عن تنفيذها إلى أن يعدلها العميل بما يتفق مع النظام.

وإذا ألزم نظام أو حكم قضائي سهلا بمعالجة لم يطلبها العميل، أبلغ سهل العميل بذلك قبل المعالجة، ما لم يمنعه النظام من الإبلاغ.

ولا يلتزم سهل بتنفيذ تعليمات تتطلب تطوير خصائص غير موجودة في الخدمة، إلا باتفاق مكتوب بين الطرفين.

7. سرية العاملين

يقصر سهل الوصول إلى بيانات العميل الشخصية على من يحتاج إليه من موظفيه، وبالقدر اللازم لأداء عمله.

ويلتزم موظفو سهل الذين يمكنهم الوصول إلى هذه البيانات بالسرية. ولا يدخلون موقع العميل إلا لتقديم دعم يطلبه العميل، أو للحفاظ على تشغيل الخدمة وأمنها.

ولا يفتح شاشات نظام Frappe الأساسية إلا حساب مدير النظام المدمج. أما سائر المستخدمين فيعملون داخل واجهة سهل.

8. التدابير الأمنية

يطبق سهل تدابير تنظيمية وتقنية مناسبة لحماية بيانات العميل الشخصية، تتناسب مع طبيعتها ومع المخاطر المرتبطة بمعالجتها. ومن أهمها ما يلي:

1. موقع مستقل وقاعدة بيانات مستقلة لكل عميل.
2. تشفير الاتصال ببروتوكول HTTPS في كل الخدمة.
3. حفظ كلمات المرور في صورة مجزأة لا يمكن قراءتها.
4. حفظ المفاتيح السرية لخدمات العميل مشفرة، وعدم عرضها مرة أخرى.
5. صلاحيات لموظفي الموارد البشرية لكل قسم، بين عدم الوصول والعرض والإدارة، مع إمكان قصرها على فروع أو إدارات محددة.
6. دخول الموظفين برمز يستخدم مرة واحدة، ومفتاح مستقل لكل هاتف يمكن لصاحبه أو للموارد البشرية إلغاؤه.
7. سجل لكل طلب يبين من أرسله ومن وافق عليه ومتى، وتدوين التعديلات التي تتم عبر الذكاء الاصطناعي في سجل الشخص.
8. نسخ احتياطية يومية تلقائية تحفظ خارج الخادم الرئيسي وداخل المملكة، ونسخة احتياطية قبل كل تحديث.

ويجوز لسهل تطوير هذه التدابير وتحديثها، على ألا ينخفض مستوى الحماية العام. ولمزيد من التفاصيل راجع صفحة الأمان.

9. المعالجون من الباطن

يوافق العميل على أن يستعين سهل بالجهات المبينة في الجدول الآتي. وهي الجهات التي قد تتلقى بيانات العميل الشخصية:

والجهات الثلاث الأخيرة لا يستعين بها سهل من تلقاء نفسه. فالعميل هو الذي يقرر تفعيلها بمفتاحه أو حسابه، ويحكم معالجتها عقده الخاص معها. ولا يرسل سهل إليها إلا ما تتطلبه الخاصية التي فعلها العميل.

ويلتزم سهل بأن يفرض على المعالجين من الباطن الذين يستعين بهم التزامات لحماية البيانات لا تقل عن الحماية التي يتطلبها النظام. ويبقى سهل مسؤولا أمام العميل عن التزاماته وفق هذه الاتفاقية.

ويبلغ سهل العميل بالبريد الإلكتروني قبل 30 يوما على الأقل من إضافة أي معالج من الباطن يتلقى بيانات العميل الشخصية. ويجوز للعميل أن يعترض كتابة خلال هذه المدة لأسباب معقولة تتعلق بحماية البيانات. وعندئذ يتشاور الطرفان بحسن نية للوصول إلى حل. فإذا لم يتوصلا إليه جاز للعميل إنهاء الاشتراك قبل أن يبدأ المعالج الجديد معالجة بياناته، وتسري على المبالغ المدفوعة أحكام الشروط.

10. نقل البيانات إلى خارج المملكة

تستضاف بيانات العميل الشخصية على خوادم في جدة بالمملكة العربية السعودية، ضمن منطقة Oracle Cloud في جدة، وتحفظ نسخها الاحتياطية داخل المملكة. ويلتزم سهل بحفظ بيانات العميل في المملكة العربية السعودية.

ولا تنقل بيانات العميل الشخصية إلى خارج المملكة إلا في الحالتين الآتيتين:

1. إشعارات الهواتف: يرسل عنوان الإشعار ونصه القصير عبر خدمة Google Firebase Cloud Messaging لتوصيله إلى هاتف المستخدم. ويقتصر النقل على ذلك وعلى ما يلزم تقنيا لتوصيله، ويتخذ سهل فيه ما تتطلبه لائحة نقل البيانات الشخصية إلى خارج المملكة.
2. الخدمات التي يفعلها العميل بمفاتيحه الخاصة: إذا فعل العميل خدمة Google Gemini، أو ربط نظاما محاسبيا تقع خوادمه خارج المملكة، فإن قرار هذا النقل يعود إلى العميل. ويكون العميل مسؤولا عن تقييم مشروعيته وعن عقده مع تلك الجهة.

ولا ينقل سهل بيانات العميل الشخصية إلى خارج المملكة في غير هاتين الحالتين.

11. المساعدة في طلبات أصحاب البيانات

إذا وصل إلى سهل طلب من صاحب البيانات الشخصية بشأن بيانات العميل الشخصية، أحاله سهل إلى العميل دون تأخير غير مبرر. ولا يرد سهل على مضمون الطلب بنفسه، ويكتفي بتوجيه مقدمه إلى العميل، ما لم يطلب العميل غير ذلك كتابة.

ويساعد سهل العميل على الرد على هذه الطلبات بما توفره الخدمة من أدوات، ومنها ما يلي:

1. تصدير بيانات الشخص ومستنداته.
2. تصحيح البيانات وتحديثها.
3. حذف بيانات المرشحين وفق مدة الاحتفاظ التي يحددها العميل.

ويقدم سهل مساعدة إضافية معقولة عند طلب العميل إذا لم تكف هذه الأدوات. ويبقى العميل مسؤولا عن الرد على الطلبات خلال المدد التي يحددها النظام.

12. حوادث تسرب البيانات

إذا علم سهل بحادثة تسرب تمس بيانات العميل الشخصية، أبلغ العميل دون تأخير غير مبرر، وخلال 48 ساعة من علمه بها. ويرسل الإبلاغ إلى البريد الإلكتروني المسجل في حساب العميل.

ويتضمن الإبلاغ ما يتوفر لدى سهل من المعلومات الآتية:

1. وصف الحادثة وطبيعتها، ووقت وقوعها ووقت اكتشافها.
2. فئات أصحاب البيانات المتأثرين وعددهم التقريبي.
3. فئات البيانات المتأثرة وعدد السجلات التقريبي.
4. الآثار المحتملة للحادثة.
5. الإجراءات التي اتخذها سهل أو يقترحها لمعالجة الحادثة والحد من آثارها.
6. اسم من يمكن التواصل معه لدى سهل للحصول على مزيد من المعلومات.

وإذا لم تتوفر كل هذه المعلومات عند الإبلاغ الأول قدمها سهل على مراحل فور توفرها.

والغرض من هذه المدة تمكين العميل من إبلاغ الهيئة خلال 72 ساعة كما تحدده اللائحة التنفيذية، وإبلاغ أصحاب البيانات المتأثرين متى وجب ذلك. ويتولى العميل بصفته جهة التحكم هذين الإبلاغين. ولا يبلغ سهل الهيئة أو أصحاب البيانات نيابة عن العميل إلا بطلب مكتوب منه أو إذا ألزمه النظام بذلك.

ويتخذ سهل الإجراءات المعقولة لاحتواء الحادثة والتحقق من أسبابها، ويتعاون مع العميل في ذلك. ولا يعد إبلاغ سهل عن الحادثة إقرارا منه بالمسؤولية عنها.

13. المساعدة في تقييم الأثر وفي استفسارات الهيئة

يقدم سهل إلى العميل المعلومات المعقولة التي يحتاج إليها لإعداد تقييم أثر حماية البيانات الشخصية متى أوجبه النظام. ومن ذلك وصف المعالجة والتدابير الأمنية والمعالجين من الباطن.

ويتعاون سهل مع العميل بصورة معقولة في الرد على استفسارات الهيئة المتعلقة ببيانات العميل الشخصية. وإذا تواصلت الهيئة مع سهل مباشرة بشأن هذه البيانات أبلغ سهل العميل بذلك، ما لم يمنعه النظام من الإبلاغ.

14. إعادة البيانات وإتلافها عند انتهاء الخدمة

يستطيع العميل تصدير بياناته في أي وقت يكون فيه موقعه نشطا أو للقراءة فقط. ويشمل التصدير الموظفين والطلبات والرواتب والتقارير بصيغة Excel، والمستندات. وينصح سهل العميل بتصدير بياناته قبل انتهاء اشتراكه.

وبعد إنهاء الاشتراك أو إيقافه يحتفظ سهل ببيانات العميل الشخصية مدة لا تقل عن 90 يوما. وإذا كان الإيقاف لتأخر الدفع أعيد فتح الموقع فور السداد. وبعد انقضاء هذه المدة يجوز لسهل حذف البيانات، بعد إشعار العميل بالبريد الإلكتروني.

أما النسخ الاحتياطية فتزول وفق الجدول الدوري لمزود الاستضافة. وتبقى إلى حين زوالها محمية بالتدابير ذاتها، ولا تستخدم لأي غرض آخر.

ولا يسري ما تقدم على ما يوجب النظام على سهل الاحتفاظ به، ويستمر سهل في حمايته وفق هذه الاتفاقية. ويؤكد سهل للعميل إتمام الحذف عند طلبه.

15. المعلومات والتدقيق

يقدم سهل إلى العميل عند طلبه المعلومات المعقولة اللازمة لإثبات التزامه بهذه الاتفاقية. ومن ذلك هذه الاتفاقية، وصفحة الأمان، والإجابة عن استبيانات الأمن المعقولة.

ويجوز للعميل، على نفقته، أن يجري تدقيقا على التزام سهل بهذه الاتفاقية، أو أن يكلف به مدققا مستقلا ملتزما بالسرية. ويخضع التدقيق للضوابط الآتية:

1. أن يسبقه إشعار مكتوب معقول إلى سهل.
2. ألا يتجاوز مرة واحدة في السنة، إلا إذا جاء بعد حادثة تسرب تمس بيانات العميل، أو طلبته الهيئة.
3. أن يجري في أوقات العمل، ودون إخلال بتشغيل الخدمة.
4. ألا يشمل بيانات أي عميل آخر.
5. أن يعتمد في مراكز البيانات ومزود الاستضافة على ما يتيحه المعالجون من الباطن من معلومات وتقارير.
6. أن تعامل نتائجه بسرية.

16. التزامات العميل

يلتزم العميل بصفته جهة التحكم بما يلي:

1. أن يكون لديه أساس نظامي لجمع بيانات العميل الشخصية ومعالجتها، ولا سيما البيانات الحساسة وبيانات الموقع الجغرافي وبيانات أفراد الأسرة.
2. أن يبلغ موظفيه ومرشحيه، ومن يلزم من أفراد أسرهم، بمعالجة بياناتهم وأغراضها، وباستعانته بسهل جهة معالجة، وبتفعيل خاصية الموقع الجغرافي أو الذكاء الاصطناعي إن فعلهما.
3. أن يتحقق من دقة البيانات التي يدخلها واكتمالها وتحديثها.
4. ألا يدخل من البيانات إلا ما يلزم لأغراضه.
5. أن يحدد مدد الاحتفاظ المناسبة، ومنها مدة الاحتفاظ ببيانات المرشحين.
6. أن يحدد صلاحيات مستخدميه، ويحافظ على أمان حساباتهم، ويلغي مفاتيح هواتف من تنتهي علاقتهم به. وهو مسؤول عما يفعله مستخدموه.
7. أن يتولى العلاقة مع الجهات التي يفعلها بمفاتيحه الخاصة، ويتحمل مسؤولية قراره بإرسال البيانات إليها.
8. أن يرد على طلبات أصحاب البيانات، ويبلغ الهيئة وأصحاب البيانات عند حوادث التسرب، متى وجب ذلك.
9. أن يتجنب إرسال بيانات موظفيه الشخصية في رسائل الدعم بالبريد الإلكتروني أو واتساب، ويكتفي بوصف المشكلة، ما لم يكن إرسالها لازما.
10. أن يفي بسائر التزامات جهة التحكم في النظام، ومنها التسجيل لدى الهيئة وتعيين مسؤول حماية البيانات الشخصية متى وجب ذلك.

17. المسؤولية

تخضع مسؤولية كل طرف بموجب هذه الاتفاقية لأحكام المسؤولية الواردة في الشروط والأحكام. ويكون الحد الأعلى لهذه المسؤولية حدا واحدا للشروط وهذه الاتفاقية معا، لا حدا مستقلا لكل منهما.

ووفق الشروط لا تتجاوز مسؤولية سهل الإجمالية ما دفعه العميل خلال 12 شهرا قبل الواقعة. ولا يسأل سهل عن الخسائر غير المباشرة، ومنها فوات الربح وفقد البيانات فيما يجاوز استعادة آخر نسخة احتياطية. ولا تسري هذه الحدود في حالات الخطأ العمدي أو الإهمال الجسيم، أو حيث لا يجيز النظام تحديد المسؤولية.

18. أسبقية الاتفاقية

تعد هذه الاتفاقية جزءا من الشروط. وإذا تعارض حكم فيها مع حكم في الشروط في مسألة تتعلق بحماية البيانات الشخصية قدم حكم هذه الاتفاقية. وفي غير ذلك تسري الشروط.

وإذا تعارض أي حكم في هذه الاتفاقية أو في الشروط مع حكم آمر في النظام قدم حكم النظام.

19. تعديل الاتفاقية

يجوز لسهل تعديل هذه الاتفاقية بإشعار العميل بالبريد الإلكتروني قبل 30 يوما على الأقل من سريان التعديل، كما تنص الشروط. ويعد استمرار العميل في استخدام الخدمة بعد تاريخ السريان قبولا للتعديل. ويجوز للعميل الذي لا يقبل التعديل إلغاء اشتراكه.

ويخضع تحديث قائمة المعالجين من الباطن لأحكام البند 9.

20. النظام الواجب التطبيق واللغة

تخضع هذه الاتفاقية لأنظمة المملكة العربية السعودية وتفسر وفقا لها. ويسعى الطرفان إلى تسوية أي نزاع ينشأ عنها وديا خلال 30 يوما. فإذا تعذرت التسوية كان الاختصاص للمحاكم المختصة في مدينة الرياض.

وتحرر هذه الاتفاقية باللغتين العربية والإنجليزية، ويقدم النص العربي عند الاختلاف.

وترسل الإشعارات إلى العميل على البريد الإلكتروني المسجل في حسابه، وإلى سهل على البريد الإلكتروني [البريد الإلكتروني].