شروط معالجة البيانات

آخر تحديث: 18 أكتوبر 2026 · الإصدار: dpa-2026-10-16

مسودة — تُستكمل بيانات تسجيل الشركة الواردة بين [الأقواس] فور صدور سجلها التجاري.

تسري هذه الشروط عندما يعالج مقاول بيانات شخصية نيابة عن شركة عميلة، وتستوفي متطلبات الاتفاق بين جهة التحكم وجهة المعالجة الواردة في المادة الثامنة من نظام حماية البيانات الشخصية والمادة السابعة عشرة من لائحته التنفيذية. وهي جزء من شروط الخدمة (muqawil.app/ar/terms)، وتُقدَّم على شروط الخدمة في مسائل حماية البيانات.

1. الأدوار

العميل هو جهة التحكم في البيانات الشخصية التي يُدخلها هو أو مستخدموه في نظامه على مقاول ("بيانات العميل")، ومقاول هو جهة المعالجة: لا يعالج بيانات العميل إلا لتقديم الخدمة ووفق تعليمات العميل الموثقة. ولو عالج مقاول بيانات العميل لأغراضه الخاصة خلافًا لهذه الشروط لعُدّ جهة تحكم في تلك المعالجة وفق اللائحة التنفيذية، ولن يفعل مقاول ذلك.

2. تفاصيل المعالجة

3. التعليمات

• لا يعالج مقاول بيانات العميل إلا وفق تعليماته الموثقة، وتُعد هذه الشروط وشروط الخدمة والإعدادات التي يختارها العميل وتصرفات مستخدميه في الخدمة هي تلك التعليمات، ويجب أن تكون أي تعليمات أخرى مكتوبة ومتفقًا عليها.
• لا يستخدم مقاول بيانات العميل لأغراضه الخاصة، ولا يبيعها، ولا يستخدمها للإعلان أو لتدريب نماذج الذكاء الاصطناعي.
• إن رأى مقاول أن تعليمات ما تخالف نظام حماية البيانات الشخصية أبلغ العميل، وإن أوجب نظام على مقاول معالجة بيانات العميل بطريقة أخرى أبلغ العميل أولًا ما لم يحظر ذلك النظام.

4. السرية ووصول الموظفين

يلتزم كل من يستطيع الوصول إلى بيانات العميل لدى مقاول بالسرية، ويقتصر وصول الموظفين على ما يلزم لتشغيل الخدمة. وللاطلاع داخل نظام العميل يحتاج فريق الدعم إلى رمز دعم مؤقت يمنحه العميل، ويكون الاطلاع للقراءة فقط، وينتهي تلقائيًا خلال ساعتين كحد أقصى، ويمكن للعميل إنهاؤه في أي وقت، ويُسجَّل.

5. التدابير الأمنية

يطبق مقاول تدابير فنية وتنظيمية تتناسب مع المخاطر، مسترشدًا بضوابط الهيئة الوطنية للأمن السيبراني فيما تنطبق عليه، وفق ما توجبه المادة الثالثة والعشرون من اللائحة التنفيذية، ومنها:

• عزل العملاء: تُفصل بيانات كل عميل في قاعدة البيانات بسياسات أمان على مستوى الصفوف، ويُتحقق من العزل باختبارات آلية بعد كل تغيير في قاعدة البيانات.
• تشفير جميع البيانات أثناء النقل (HTTPS/TLS)، وتشفيرها أثناء التخزين لدى مزودي الاستضافة.
• التحكم في الوصول: صلاحيات حسب الدور يحددها مدير حساب العميل، واعتماد القيود المالية بمبدأ المُدخل والمُراجع، وقفل الدخول بعد تكرار المحاولات الخاطئة، وتجزئة كلمات المرور والرموز السرية تجزئة أحادية الاتجاه، والتحقق بخطوتين للوحة إدارة مقاول.
• سجلات تدقيق لمن أنشأ السجلات أو عدّلها أو حذفها، مع حماية السجلات المالية من الحذف النهائي.
• نسخ احتياطية يومية يحتفظ بها مزود قاعدة البيانات حتى 7 أيام.
• حماية من البرامج الآلية وحدود لعدد الطلبات في النماذج العامة، ومراقبة الخدمة.
• منح الموظفين أقل قدر لازم من الصلاحيات، وحفظ البيانات السرية خارج الشيفرة البرمجية.

6. المعالجون الفرعيون

يمنح العميل موافقته الكتابية المسبقة على المعالجين الفرعيين أدناه، ويُلزم مقاول كلًا منهم بشروط لحماية البيانات لا تقل حماية عن هذه الشروط، ويتحقق من التزامهم، ويظل مسؤولًا أمام العميل عنهم.

يُبلغ مقاول العميل بأي معالج فرعي جديد أو بديل قبل 30 يومًا على الأقل من بدء عمله، بالبريد أو داخل التطبيق، ويحدّث هذه القائمة. وللعميل الاعتراض خلال تلك المدة لأسباب معقولة تتعلق بحماية البيانات، فإن تعذرت معالجة الاعتراض فله إنهاء الجزء المتأثر من الخدمة قبل التغيير واسترداد المدة المدفوعة غير المستخدمة. وإن لم يعترض العميل عُدّ المعالج الفرعي الجديد موافقًا عليه.

هيئة الزكاة والضريبة والجمارك ليست معالجًا فرعيًا؛ فعندما يُصدر العميل فواتير إلكترونية يرسلها مقاول إلى منصة الهيئة نيابة عنه لأن النظام السعودي يوجب ذلك.

7. النقل خارج المملكة

تُحفظ بيانات العميل في فرانكفورت بألمانيا، ويعمل بعض المعالجين الفرعيين خارج المملكة، وباختيار العميل للخدمة يوجّه مقاول بإجراء هذا النقل. ولا يجريه مقاول إلا وفق المادة التاسعة والعشرين من نظام حماية البيانات الشخصية ولائحة نقل البيانات الشخصية خارج المملكة:

• مقتصرًا على البيانات اللازمة لغرض الخدمة؛
• وبالضمانات المنصوص عليها في المادة الرابعة من اللائحة متى اشترطتها. وإذا أوجبت اللائحة البنود التعاقدية القياسية الصادرة عن سدايا بين العميل ومقاول، فإن الطرفين يتفقان على إدراج نموذج (من جهة التحكم إلى جهة المعالجة) في هذه الشروط بالإحالة دون تعديل، على أن يكون البندان 2 و5 من هذه الشروط ملحقيه، ويُقدَّم على هذه الشروط عند التعارض. ويضع مقاول الضمانة المناسبة مع معالجيه الفرعيين؛
• وبعد تقييم مخاطر النقل الذي تشترطه المادة السابعة من اللائحة، ويحدّثه مقاول ويزود العميل بملخصه عند الطلب ليستكمل العميل تقييمه الخاص؛
• ومشفرًا أثناء النقل والتخزين؛
• ولا تُنقل قوالب البيانات الحيوية مطلقًا، لأن مقاول لا يتلقاها.

وإذا أصبح النظام السعودي يوجب التخزين داخل المملكة، أو فقدت إحدى الضمانات صلاحيتها، يُبلغ مقاول العميل فورًا ويتفقان على الخطوات اللازمة، ومنها نقل التخزين إلى داخل المملكة. أما التزامات العميل بشأن حفظ السجلات الضريبية داخل المملكة فمبينة في البند 8 من شروط الخدمة.

8. الأنظمة الأجنبية وطلبات الجهات المختصة

لأن بعض المعالجين الفرعيين خارج المملكة، فقد تجيز أنظمة دولهم للسلطات العامة فيها طلب البيانات منهم. وقد اختار مقاول مزودين ينشرون كيفية تعاملهم مع تلك الطلبات ويلتزمون بعدم الإفصاح إلا بما يوجبه النظام حصرًا. وإذا تلقى مقاول طلبًا من أي جهة للحصول على بيانات العميل، أحال الجهة إلى العميل متى أمكن، وأبلغ العميل فورًا ما لم يحظر النظام ذلك، ولم يُفصح إلا عن الحد الأدنى الواجب نظامًا، واعترض على الطلبات التي تبدو مخالفة للنظام.

9. تسرب البيانات الشخصية

إذا علم مقاول بتسرب يمس بيانات العميل أبلغ العميل دون تأخير غير مبرر وفي موعد لا يتجاوز 48 ساعة من علمه، ليتمكن العميل من الوفاء بالتزامه بإشعار سدايا خلال 72 ساعة. ويتضمن الإشعار وصف ما حدث، وفئات الأشخاص والسجلات المتأثرة وعددها التقريبي، والعواقب المحتملة، والإجراءات المتخذة والمقترحة للحد من الضرر، وجهة للتواصل. وما لم يتوفر من معلومات يرسله مقاول فور توفره، ويساعد العميل في إشعار سدايا والأشخاص المتأثرين، ويحتفظ بسجل للتسرب وللإجراءات التصحيحية.

10. مساعدة العميل

• طلبات أصحاب البيانات: توفر الخدمة للعميل أدوات للبحث عن البيانات وتصديرها وتصحيحها وحذفها. وإن وجّه شخص إلى مقاول طلبًا بشأن بيانات العميل أحاله مقاول إلى العميل خلال 5 أيام عمل، ولم يرد عليه منفردًا ما لم يطلب العميل ذلك.
• يساعد مقاول العميل بما لديه من معلومات في تقييمات الأثر (مثل البيانات الصحية والمراقبة المستمرة للحضور وتوثيق الموقع)، وتقييمات مخاطر النقل، واستفسارات سدايا أو الجهات المختصة الأخرى.
• لدى مقاول جهة اتصال للخصوصية يمكن مراسلتها على privacy@muqawil.app.
• قد تُحتسب رسوم معقولة متفق عليها للمساعدة التي تتطلب جهدًا غير معتاد.

11. البيانات الحساسة والبيانات الحيوية والموقع الجغرافي

• أجهزة الحضور بالبصمة: تبقى قوالب البصمة أو الوجه في الجهاز، ولا يتلقى مقاول إلا سجل الحضور (رقم الموظف والوقت والجهاز). والعميل مسؤول عن الأساس النظامي، والموافقة الصريحة متى لزمت، وتقييم الأثر، وتوفير وسيلة بديلة لتسجيل حضور العمال الذين لا يوافقون.
• الموقع الجغرافي: لا تلتقط التطبيقات الموقع إلا لحظة تسجيل الحضور أو رفع تقرير الموقع، وأثناء استخدام التطبيق فقط وبإذن المستخدم، ولا يوجد تتبع في الخلفية.
• لا تظهر البيانات الصحية ووثائق الهوية إلا للمستخدمين الذين يمنحهم العميل الصلاحية.

12. الإعادة والحذف عند الانتهاء

عند انتهاء الاشتراك يُتاح للعميل اطلاع للقراءة فقط مدة 30 يومًا لتصدير بياناته، ويساعده مقاول في تصدير كامل عند الطلب. ثم يحذف مقاول بيانات العميل من أنظمته التشغيلية خلال 90 يومًا، ويُكتب فوق النسخ الاحتياطية ضمن دورتها المعتادة (حتى 7 أيام). ولا يحتفظ مقاول ببيانات العميل بعد ذلك إلا حيث يوجب النظام السعودي على مقاول نفسه الاحتفاظ بها، مع استمرار حمايتها، ويؤكد الحذف كتابيًا عند الطلب. والعميل مسؤول عن حفظ سجلاته (مثل الفواتير الضريبية والدفاتر) للمدد التي يوجبها النظام قبل الحذف.

13. السجلات والمعلومات والتدقيق

يحتفظ مقاول بسجل مكتوب لأنشطة المعالجة وفق المادة الثالثة والثلاثين من اللائحة التنفيذية طوال مدة المعالجة و5 سنوات بعد انتهائها، ويزود العميل بالمعلومات اللازمة لإثبات الالتزام بهذه الشروط. وللعميل تدقيق الالتزام مرة في السنة على نفقته، بإشعار لا يقل عن 30 يومًا، في أوقات العمل، وبالتزام السرية، وبما لا يعرّض بيانات العملاء الآخرين للخطر، ويُكتفى أولًا بالإجابات والمستندات والتقارير المكتوبة متى كانت كافية. ولسدايا الحصول على المعلومات ذاتها عند الطلب.

14. التزامات العميل

• وجود أساس نظامي لجميع بيانات العميل، وتزويد موظفيه وعماله وأصحاب البيانات الآخرين بالمعلومات التي يوجبها النظام، ومنها أن بياناتهم محفوظة خارج المملكة.
• في البيانات الحساسة والمراقبة (البيانات الحيوية والصحية والموقع والحضور المستمر): جمع اللازم فقط، والحصول على الموافقة الصريحة متى لزمت، وإجراء تقييم الأثر متى أوجبه النظام.
• عدم الاحتفاظ بنسخ من الوثائق الرسمية للهوية إلا إذا أوجب ذلك نظام أو طلبته جهة مختصة.
• إعطاء تعليمات نظامية فقط، وضبط المستخدمين والصلاحيات، وإلغاء حسابات من يغادرون، والمحافظة على بيانات الدخول.
• الرد على طلبات أصحاب البيانات لديه باستخدام أدوات الخدمة.

15. المسؤولية والمدة والتعديلات

تسري هذه الشروط ما دام مقاول يعالج بيانات العميل. وتسري حدود المسؤولية الواردة في شروط الخدمة على هذه الشروط، إلا فيما لا يجيزه النظام السعودي. ولمقاول تحديث هذه الشروط لمواكبة تغير الأنظمة أو الخدمة، مع الإشعار وفق شروط الخدمة. وعند أي اختلاف بين النصين العربي والإنجليزي يُعتمد النص العربي.

16. التواصل

privacy@muqawil.app (الخصوصية ومسؤول حماية البيانات) · [LEGAL ENTITY NAME]، السجل التجاري رقم [CR NUMBER]، [REGISTERED ADDRESS]