اتفاقية معالجة البيانات

1.الغرض من هذه الاتفاقية وكيفية سريانها

1.1  يستخدم العميل خدمات Quiz Maker للاختبارات والاستبيانات والتقييمات والدورات عبر الإنترنت («الخدمات») بموجب شروط الخدمة لدى Quiz Maker («الشروط»). وعندما يفتح أشخاص اختبارات العميل أو يجيبون عنها، يعالج Quiz Maker بياناتهم الشخصية نيابةً عن العميل.

1.2  تحدد اتفاقية معالجة البيانات هذه («اتفاقية معالجة البيانات» أو DPA) شروط تلك المعالجة وفقًا لما تشترطه المادة 28 من GDPR (اللائحة العامة لحماية البيانات في الاتحاد الأوروبي)، وتوفر أساسًا قانونيًا لنقل تلك البيانات الشخصية خارج المنطقة الاقتصادية الأوروبية.

1.3  تُبرم اتفاقية معالجة البيانات هذه بين My Plaza Pty Ltd (ABN 58 110 054 245)، التي تعمل باسم Quiz Maker («Quiz Maker»)، والعميل صاحب حساب Quiz Maker («العميل»). وهي تشكّل جزءًا من الشروط وتسري تلقائيًا، دون توقيع، كلما عالج Quiz Maker البيانات الشخصية للعميل الخاضعة لقوانين حماية البيانات. ويقبلها العميل بقبوله الشروط.

1.4  يجوز للعميل الذي يحتاج إلى نسخة موقّعة أن يطلبها عبر نموذج التواصل لدى Quiz Maker. وتتضمن النسخة الموقّعة الشروط نفسها الواردة في اتفاقية معالجة البيانات هذه.

1.5  في حال وجود أي تعارض، يسري الترتيب التالي: أولًا البنود التعاقدية القياسية (حيثما تنطبق)، ثم اتفاقية معالجة البيانات هذه، ثم الشروط. وفي جميع الجوانب الأخرى، تظل الشروط سارية.

2.التعريفات

يكون للمصطلحات المستخدمة في اتفاقية معالجة البيانات هذه وغير المعرّفة فيها (مثل جهة التحكم وجهة المعالجة وصاحب البيانات الشخصية والبيانات الشخصية والمعالجة والسلطة الرقابية) المعنى الوارد في GDPR. وإضافةً إلى ذلك:

3.الأدوار والنطاق

3.1  العميل هو جهة التحكم في البيانات الشخصية للعميل، وQuiz Maker هو جهة المعالجة لديه.

3.2  Quiz Maker هو جهة التحكم في معلومات حساب العميل نفسه وتسجيل دخوله وفوترته، التي يتعامل معها بموجب سياسة الخصوصية والأمان لديه. ولا تُعد تلك المعلومات من البيانات الشخصية للعميل، ولا تسري عليها اتفاقية معالجة البيانات هذه.

3.3  يكون العميل مسؤولًا عن وجود أساس قانوني لجمع البيانات الشخصية للعميل عبر اختباراته، وعن الإشعارات التي يقدّمها لأصحاب البيانات الشخصية والموافقات التي يحصل عليها منهم (بما في ذلك أي موافقة مطلوبة لملفات تعريف الارتباط أو التقنيات المماثلة في اختباراته وفي المواقع الإلكترونية التي يضمّنها فيها)، وعن عدم جمع البيانات الحساسة أو غيرها من البيانات التي تحظرها الشروط، ما لم يوافق Quiz Maker على ذلك كتابيًا.

4.المعالجة وفق تعليمات العميل

4.1  يلتزم Quiz Maker بألا يعالج البيانات الشخصية للعميل إلا وفق تعليمات العميل الموثّقة، بما في ذلك ما يتعلق بالنقل إلى دولة ثالثة. وتتمثل تعليمات العميل في اتفاقية معالجة البيانات هذه والشروط واستخدام العميل للخدمات وإعداده لها (مثل نشر اختبار، واختيار ما يطرحه من أسئلة، وتفعيل رسائل النتائج بالبريد الإلكتروني أو ميزات الذكاء الاصطناعي، وتصدير الردود أو حذفها).

4.2  لا يجوز لـ Quiz Maker معالجة البيانات الشخصية للعميل على نحو آخر إلا حيث يشترط ذلك قانون الاتحاد أو قانون دولة عضو يخضع له. وفي هذه الحالة، يُعلم العميل بذلك الاشتراط القانوني قبل المعالجة، ما لم يحظر القانون ذلك لأسباب مهمة تتعلق بالمصلحة العامة.

4.3  يُعلم Quiz Maker العميل فورًا إذا رأى أن تعليمة ما تخالف قوانين حماية البيانات.

4.4  لا يبيع Quiz Maker البيانات الشخصية للعميل، ولا يستخدمها للإعلانات أو لتدريب نماذج الذكاء الاصطناعي، ولا يستخدمها بأي طريقة أخرى لأغراضه الخاصة، إلا لإنشاء إحصاءات مجمّعة لا تحدد هوية العميل أو أي صاحب بيانات شخصية، كما هو موضّح في الشروط.

5.السرية

5.1  يضمن Quiz Maker أن يكون كل من يأذن له بمعالجة البيانات الشخصية للعميل ملتزمًا بواجب سرية مناسب، وأن يقتصر الوصول على الموظفين الذين يحتاجون إليه لتقديم الخدمات وتأمينها ودعمها.

6.الأمان

6.1  يطبّق Quiz Maker التدابير التقنية والتنظيمية الموضّحة في الملحق الثاني ويحافظ عليها لحماية البيانات الشخصية للعميل، وفقًا لما تشترطه المادة 32 من GDPR.

6.2  يجوز لـ Quiz Maker تحديث تلك التدابير مع تغيّر التقنيات والتهديدات، بشرط ألا ينخفض المستوى العام للحماية انخفاضًا جوهريًا.

7.جهات المعالجة الفرعية

7.1  يمنح العميل Quiz Maker تفويضًا كتابيًا عامًا بالاستعانة بجهات معالجة فرعية. وتُعد جهات المعالجة الفرعية المذكورة في الملحق الثالث معتمدة.

7.2  ينشر Quiz Maker القائمة الحالية لجهات المعالجة الفرعية بوصفها الملحق الثالث لاتفاقية معالجة البيانات هذه على quiz-maker.com/Data-Processing-Agreement، ويحدّثها قبل 30 يومًا على الأقل من إضافة جهة معالجة فرعية أو استبدالها. ويرسل Quiz Maker ذلك الإشعار أيضًا بالبريد الإلكتروني إلى أي عميل طلبه عبر نموذج التواصل.

7.3  يجوز للعميل الاعتراض على جهة معالجة فرعية جديدة لأسباب معقولة تتعلق بحماية البيانات خلال مدة الـ 30 يومًا تلك، ويناقش الطرفان الاعتراض بحسن نية. وإذا تعذّر حله، يجوز للعميل إنهاء الخدمات المتأثرة، ويرد Quiz Maker أي رسوم مدفوعة مسبقًا عن الفترة غير المستخدمة.

7.4  يستعين Quiz Maker بكل جهة معالجة فرعية بموجب عقد مكتوب يفرض التزامات لحماية البيانات لا تقل حماية عن تلك الواردة في اتفاقية معالجة البيانات هذه، ويظل مسؤولًا مسؤولية كاملة أمام العميل عن وفاء كل جهة معالجة فرعية بتلك الالتزامات.

8.طلبات أصحاب البيانات الشخصية

8.1  إذا تلقى Quiz Maker طلبًا من صاحب بيانات شخصية بشأن البيانات الشخصية للعميل، فإنه يحيل الطلب إلى العميل دون تأخير غير مبرر، ولا يرد عليه إلا لتوجيه صاحب البيانات الشخصية إلى العميل، ما لم يأذن العميل بخلاف ذلك.

8.2  تتيح الخدمات للعميل عرض البيانات الشخصية للعميل وتصديرها وتصحيحها وحذفها بنفسه. وحيثما لا يستطيع العميل القيام بذلك عبر الخدمات، يقدّم Quiz Maker مساعدة معقولة، مع مراعاة طبيعة المعالجة، ليتمكن العميل من الرد على طلبات ممارسة حقوق أصحاب البيانات الشخصية.

9.تسرب البيانات الشخصية

9.1  يُخطر Quiz Maker العميل دون تأخير غير مبرر بعد علمه بأي تسرب للبيانات الشخصية، وخلال 48 ساعة حيثما أمكن ذلك.

9.2  يصف الإخطار، بقدر ما هو معروف حينها، طبيعة التسرب وفئات أصحاب البيانات الشخصية والسجلات المعنية وعددها التقريبي وعواقبه المحتملة والتدابير المتخذة أو المقترحة. وحيثما لا يكون كل ذلك معروفًا دفعة واحدة، يقدّمه Quiz Maker على مراحل فور توفره.

9.3  يتخذ Quiz Maker خطوات معقولة لاحتواء التسرب ومعالجته، ويقدّم للعميل المعلومات التي يحتاج إليها بصورة معقولة للوفاء بالتزاماته الخاصة بإخطار السلطات الرقابية وأصحاب البيانات الشخصية. ولا يُعد الإخطار بالتسرب إقرارًا بالخطأ أو بالمسؤولية.

10.المساعدة في الامتثال

10.1  مع مراعاة طبيعة المعالجة والمعلومات المتاحة له، يقدّم Quiz Maker للعميل مساعدة معقولة في الوفاء بالتزاماته بموجب المواد من 32 إلى 36 من GDPR، بما في ذلك تقييمات الأثر على حماية البيانات والتشاور المسبق مع السلطة الرقابية.

11.حذف البيانات وإعادتها

11.1  يجوز للعميل، طوال استخدامه للخدمات، تصدير البيانات الشخصية للعميل أو حذفها في أي وقت.

11.2  عند انتهاء الخدمات، تكون للعميل مدة 30 يومًا على الأقل لتصدير بياناته. وبعد تلك المدة، يحذف Quiz Maker البيانات الشخصية للعميل، ما لم يشترط قانون الاتحاد أو قانون دولة عضو الاحتفاظ بها.

11.3  يُكتب فوق النسخ المحفوظة في النسخ الاحتياطية المشفّرة وفق دورة النسخ الاحتياطي المعتادة، وتظل محمية بموجب اتفاقية معالجة البيانات هذه حتى ذلك الحين. وعند الطلب، يؤكد Quiz Maker كتابيًا أن الحذف قد تم.

12.المعلومات والتدقيق

12.1  يتيح Quiz Maker للعميل المعلومات اللازمة لإثبات الامتثال للمادة 28 من GDPR، بما في ذلك معلومات مكتوبة عن تدابيره الأمنية وإجابات عن استبيانات الأمان المعقولة.

12.2  يتم التدقيق بتقديم Quiz Maker لتلك المعلومات والإجابة عن أسئلة المتابعة المكتوبة المعقولة التي يطرحها العميل بشأنها.

12.3  لا يجوز إجراء تفتيش على مقار Quiz Maker أو أنظمته إلا حيث تشترط ذلك سلطة رقابية مختصة، أو في أعقاب تسرب للبيانات الشخصية يمس البيانات الشخصية للعميل. ويجب أن يتولاه مدقق مستقل ملتزم بالسرية ولا يُعد منافسًا لـ Quiz Maker، بموجب إشعار كتابي قبل 30 يومًا على الأقل (أو أي مهلة أقصر تشترطها السلطة)، خلال ساعات العمل المعتادة، وعلى نفقة العميل، وأن يقتصر على معالجة البيانات الشخصية للعميل. ولا يشمل الوصول إلى بيانات عملاء آخرين أو إلى معلومات من شأنها المساس بأمن الخدمات.

12.4  يحدد هذا البند كيفية ممارسة حقوق العميل بموجب البند 8.9 من البنود التعاقدية القياسية، ولا يقيّد صلاحيات أي سلطة رقابية.

13.نقل البيانات خارج الحدود

13.1  يُقرّ العميل بأن Quiz Maker مؤسس في أستراليا، وبأن البيانات الشخصية للعميل مستضافة على خوادم في الولايات المتحدة، وبأنها تمر عبر شبكة Cloudflare العالمية، وبأن جهات المعالجة الفرعية المذكورة في الملحق الثالث تعالجها في المواقع المذكورة فيه.

13.2  بقدر ما يُعد نقل العميل للبيانات الشخصية للعميل إلى Quiz Maker نقلًا إلى دولة ثالثة بموجب الفصل الخامس من GDPR، تُدمج البنود التعاقدية القياسية في اتفاقية معالجة البيانات هذه بالإحالة، بحيث يكون العميل مُصدِّر البيانات وQuiz Maker مستورد البيانات، مع الخيارات التالية:

1. يسري البند 7 (بند الانضمام).
2. البند 9(أ): يسري الخيار 2 (التفويض الكتابي العام)، وتكون المدة 30 يومًا، ويُقدَّم الإشعار على النحو الموضّح في البند 7.2 من اتفاقية معالجة البيانات هذه.
3. البند 11(أ): لا تسري الصياغة الاختيارية.
4. البند 13: السلطة الرقابية المختصة هي السلطة المحددة في الملحق الأول، القسم (ج).
5. البند 17: يسري الخيار 1، ويكون القانون الواجب التطبيق هو قانون أيرلندا.
6. البند 18(ب): تفصل محاكم أيرلندا في النزاعات.
7. تُستكمل الملاحق الأول والثاني والثالث من البنود التعاقدية القياسية بالملاحق الأول والثاني والثالث من اتفاقية معالجة البيانات هذه.

13.3  حيثما ينقل Quiz Maker البيانات الشخصية للعميل إلى جهة معالجة فرعية في دولة ثالثة، فإنه يضمن أن يكون النقل مشمولًا بضمانة مناسبة بموجب الفصل الخامس من GDPR، مثل البنود التعاقدية القياسية أو قرار الكفاية (بما في ذلك EU-U.S. Data Privacy Framework (إطار خصوصية البيانات بين الاتحاد الأوروبي والولايات المتحدة) حيثما تكون جهة المعالجة الفرعية معتمدة بموجبه).

13.4  يقدّم Quiz Maker معلومات معقولة لمساعدة العميل على تقييم النقل بموجب البند 14 من البنود التعاقدية القياسية، ويتعامل مع أي طلب من سلطة عامة للحصول على البيانات الشخصية للعميل على النحو المحدد في البند 15 من البنود التعاقدية القياسية.

13.5  حيثما تنطبق UK GDPR، يسري International Data Transfer Addendum (ملحق النقل الدولي للبيانات) الملحق بالبنود التعاقدية القياسية للمفوضية الأوروبية والصادر عن UK Information Commissioner (مفوض المعلومات في المملكة المتحدة) (الإصدار B1.0)، على أن تُستكمل جداوله من 1 إلى 3 بالتفاصيل الواردة في اتفاقية معالجة البيانات هذه وملاحقها، ويجوز لأي من الطرفين إنهاؤه على النحو الذي يسمح به جدوله 4. وحيثما ينطبق Swiss Federal Act on Data Protection، تسري البنود التعاقدية القياسية على أن يكون Swiss Federal Data Protection and Information Commissioner (المفوض الاتحادي السويسري لحماية البيانات والمعلومات) هو السلطة الرقابية المختصة، وتُقرأ الإشارات إلى GDPR على أنها إشارات إلى ذلك القانون.

14.المسؤولية

14.1  تخضع المسؤولية الإجمالية لكل طرف تجاه الآخر، الناشئة عن اتفاقية معالجة البيانات هذه والبنود التعاقدية القياسية أو المتعلقة بهما، مجتمعةً مع جميع المطالبات بموجب الشروط، لقيود المسؤولية واستثناءاتها الواردة في الشروط، بما في ذلك استبعاد الخسائر غير المباشرة والتبعية والحد الأقصى العام للمسؤولية، في الحدود التي يسمح بها القانون.

14.2  لا يوجد في اتفاقية معالجة البيانات هذه ما يحدّ من مسؤولية أي من الطرفين تجاه أصحاب البيانات الشخصية بموجب البنود التعاقدية القياسية، أو من أي مسؤولية لا يجوز تحديدها أو استبعادها بموجب القانون.

15.المدة والتغييرات وأحكام عامة

15.1  تسري اتفاقية معالجة البيانات هذه اعتبارًا من 25 أغسطس 2026، أو من تاريخ قبول العميل للشروط إذا كان لاحقًا، وتظل سارية ما دام Quiz Maker يعالج البيانات الشخصية للعميل. وتبقى البنود التي ينبغي بطبيعتها أن تستمر بعد الإنهاء سارية.

15.2  تخضع اتفاقية معالجة البيانات هذه للقانون الذي تخضع له الشروط، باستثناء أن البنود التعاقدية القياسية تخضع للقانون المختار في البند 13.2. ولا يوجد في اتفاقية معالجة البيانات هذه ما ينتقص من حقوق أصحاب البيانات الشخصية بموجب البنود التعاقدية القياسية.

15.3  يجوز لـ Quiz Maker تحديث اتفاقية معالجة البيانات هذه بالطريقة التي تسمح بها الشروط لتحديث الشروط. ولا يقلّص أي تحديث الحماية التي توفرها اتفاقية معالجة البيانات هذه للبيانات الشخصية للعميل تقليصًا جوهريًا، ما لم يقتضِ ذلك تغيير في قوانين حماية البيانات أو بنود تعاقدية قياسية جديدة تعتمدها المفوضية الأوروبية.

15.4  إذا كان أي حكم من أحكام اتفاقية معالجة البيانات هذه باطلًا أو غير قابل للتنفيذ، تظل بقية أحكامها سارية.

15.5  حيثما يوقّع الطرفان نسخة من اتفاقية معالجة البيانات هذه، يجوز توقيعها إلكترونيًا وعلى نسخ متعددة، تُعد كل منها أصلًا.

الملحق الأول: وصف المعالجة

أ. قائمة الأطراف

ب. وصف النقل

ج. السلطة الرقابية المختصة

حيثما يكون العميل مؤسسًا في الاتحاد الأوروبي، السلطة الرقابية للدولة العضو التي يُؤسَّس فيها (أو السلطة الرقابية الرئيسية له، حيثما تكون له أكثر من منشأة). وحيثما لا يكون العميل مؤسسًا في الاتحاد الأوروبي لكن GDPR تنطبق عليه، السلطة الرقابية للدولة العضو التي يُؤسَّس فيها ممثله بموجب المادة 27 من GDPR، أو، حيثما لا يُلزم بتعيين ممثل، السلطة الرقابية للدولة العضو التي يوجد فيها المشاركون المعنيون.

الملحق الثاني: التدابير التقنية والتنظيمية

الملحق الثالث: جهات المعالجة الفرعية المعتمدة

تعالج Stripe, Inc. معلومات الفوترة الخاصة بالعميل نفسه، التي يُعد Quiz Maker جهة التحكم فيها. ولا تتلقى البيانات الشخصية للعميل، ولا تُعد جهة معالجة فرعية بموجب اتفاقية معالجة البيانات هذه.