ملحق معالجة البيانات (DPA) — MultiLipi

1) التعريفات

المصطلحات المكتوبة بحروف كبيرة غير معرفة هنا لها المعنى في الاتفاقية. " قوانين حماية البيانات "تعني جميع القوانين واللوائح المطبقة على معالجة البيانات الشخصية بموجب الاتفاقية، بما في ذلك لائحة حماية البيانات (GDPR) 2016/679 ولائحة حماية البيانات البريطانية (GDPR)، وأي قوانين تنفيذية محلية." البيانات الشخصية ", " وحده تحكم ", " المعالج ", " موضوع البيانات ", " تجهيز ", و " السلطة الإشرافية " لها المعاني في اللائحة العامة لحماية البيانات (GDPR).

"البيانات الحساسة" تعني المعلومات التي تتطلب حماية إضافية أو تخضع لقواعد خاصة (على سبيل المثال: بيانات الفئة الخاصة بموجب المادة 9 من قانون حماية البيانات مثل بيانات الصحة/القياسات الحيوية/الجينية؛ البيانات الشخصية للأطفال دون سن 16؛ المعرفات الصادرة من الحكومة؛ بيانات الحساب أو المدفوعات المالية؛ تحديد الموقع الجغرافي الدقيق؛ أو بيانات الاعتماد/كلمات المرور/مفاتيح واجهة برمجة التطبيقات (APIs/الأسرار). الخدمات ليست مصممة لمعالجة البيانات الحساسة.

2) النطاق والأدوار

1. العميل هو وحده تحكم ، و MultiLipi هو المعالج بالنسبة للبيانات الشخصية الموصوفة في الملحق الأول .
2. حيث يعمل العميل كمعالج لوحدة تحكم طرف ثالث، يعمل MultiLipi كمعالج للعميل المعالج الفرعي . يذكر العميل أن لديه تفويض المراقب لتعيين مولتيبي.
3. ستقوم MultiLipi بمعالجة البيانات الشخصية فقط: (أ) تقديم الخدمات؛ (ب) كما وثق العميل في الاتفاقية واتفاقية التقديم هذه؛ و(ج) كما يقتضي القانون.

3) تعليمات العميل

1. يوجه العميل MultiLipi لمعالجة البيانات الشخصية لتوفير وتحسين الخدمات (بطرق تحفظ الخصوصية)، بما في ذلك الترجمة، والتوجيه حسب اللغة، وقاموس المعلومات/إدارة المعلومات، وترجمة الوسائط، والتحليلات، وميزات تحسين محركات البحث التي يحققها العميل.
2. العميل لن يقدم أو يتسبب في معالجة الخدمات البيانات الحساسة . إذا قدم العميل بيانات حساسة على أي حال، يكون العميل مسؤولا وحده عن الحصول على جميع الموافقات والضمانات اللازمة؛ لا تلتزم MultiLipi بمراقبة البيانات الحساسة.
3. ستقوم MultiLipi بإبلاغ العميل إذا لم تستطع اتباع التعليمات بسبب متطلبات قانونية، ما لم يكن ذلك ممنوعا.
4. لن تبيع MultiLipi البيانات الشخصية، ولا تستخدمها لبناء أو تدريب نماذج الذكاء الاصطناعي العامة دون موافقة صريحة من العميل.

4) السرية

يضمن MultiLipi أن الأشخاص المصرح لهم بمعالجة البيانات الشخصية ملزمون بالتزامات السرية ويتلقون تدريبا مناسبا على حماية البيانات.

5) تدابير الأمان

ينفذ MultiLipi ويحافظ على التدابير الفنية والتنظيمية المناسبة (" تومز ") لحماية البيانات الشخصية كما هو موضح في الملحق الثاني ، مع الأخذ في الاعتبار حالة التكنولوجيا وتكاليف التنفيذ وطبيعة ونطاق وسياق وأغراض المعالجة، بالإضافة إلى المخاطر التي تواجه حقوق وحريات الأشخاص الطبيعيين.

6) المعالجات الفرعية

1. يقدم العميل تفويضا عاما لمالتيليبي لاستشراك المعالجات الفرعية لتقديم الخدمات. يتم سرد المعالجات الفرعية الحالية في /المعالجات الفرعية /القانونية .
2. ستفرض MultiLipi التزامات حماية البيانات على المعالجات الفرعية تعادل هذا ال DPA وتظل مسؤولة عن أدائها.
3. إذا لم يكن العميل راضيا عن المعالجات الفرعية، يجب عليه التواصل مع MultiLipi وتوفير فرصة للاعتراض على أساس معقول يتعلق بحماية البيانات. إذا لم يتم حل الأمر بحسن نية، يمكن للعميل تعليق أو إنهاء الخدمات المتأثرة (استرداد نسبي للرسوم المدفوعة مسبقا).

7) المساعدة، واتفاقيات التأمين الخاصة (DPIAs) والمشاورات السابقة

مع الأخذ في الاعتبار طبيعة المعالجة والمعلومات المتاحة ل MultiLipi، سنساعد العميل في ضمان الامتثال للالتزامات بموجب المواد 32–36 من GDPR (الأمن، إشعارات الاختراقات، تقاضى بيانات البيانات والاستشارات السابقة)، بما في ذلك توفير الوثائق ذات الصلة حول وحدات المعالجة والمعالجات الفرعية لدينا.

8) إشعار اختراق البيانات الشخصية

1. ستقوم MultiLipi بإبلاغ العميل دون تأخير غير مبرر بعد أن علمت بوجود اختراق بيانات شخصية يؤثر على بيانات العملاء. سيتضمن الإشعار معلومات متاحة بشكل معقول لمالتيليبي في ذلك الوقت، بما في ذلك: طبيعة الخرق، الفئات والعدد التقريبي لموضوعات البيانات والسجلات، العواقب المحتملة، والتدابير المتخذة أو المقترحة لمعالجة الخرق.
2. ستتخذ MultiLipi خطوات سريعة للتخفيف من الآثار السلبية وتتعاون مع طلبات العملاء المعقولة للوفاء بأي التزامات بإشعار الخرق.

9) طلبات موضوع البيانات

وبقدر ما يسمح قانونيا، ستقوم MultiLipi بإبلاغ العميل فورا إذا تلقينا طلبا من موضوع بيانات يمارس حقوقه بموجب قوانين حماية البيانات المتعلقة ببيانات العملاء. لن ترد MultiLipi إلا بناء على تعليمات العميل الموثقة وستوفر مساعدة معقولة للعملاء للرد على مثل هذه الطلبات.

10) إرجاع وحذف البيانات

1. بناء على طلب العميل الموثق، ستقوم MultiLipi بحذف أو إعادة جميع البيانات الشخصية (وحذف النسخ الموجودة) خلال فترة معقولة تجاريا، ما لم يكن الاحتفاظ مطلوبا بموجب القانون.
2. يتم الكتابة فوق النسخ الاحتياطية في الدورات المجدولة؛ سيتم حذف النسخ الاحتياطي في المسار العادي.

11) نقل البيانات الدولية (ملحق SCCs/المملكة المتحدة)

1. تحويلات EEA. عندما تتضمن المعالجة نقل البيانات الشخصية الخاضعة للائحة حماية البيانات إلى دولة ثالثة دون قرار بالكفاية، يتفق الأطراف على أن البنود التعاقدية القياسية المعتمد من قبل المفوضية الأوروبية في القرار (EU) 2021/914 (" SCCs ") يتم دمجها بالمرجعية وتشكل جزءا من هذا التوافق الموضح أدناه:
   • الوحدة 2 (من وحدة التحكم إلى المعالج) و/أو الوحدة 3 (من المعالج إلى المعالج الفرعي)، حسب الاقتضاء.
   • البند 7 (بند الإرساء): ينطبق .
   • البند 11 (التعويض): لا طبق.
   • البند 17 (القانون الحاكم): قوانين أيرلندا .
   • البند 18 (المنتدى والاختصاص): محاكم أيرلندا .
   • تكتمل الملحقات الأولى والثالثة لمراكز التنسيق الجنوبي من خلال المعلومات في الملحق الأول , الملحق الثاني و الملحق الثالث من هذا ال DPA.
2. التحويلات إلى المملكة المتحدة. بالنسبة للتحويلات الخاضعة للGDPR في المملكة المتحدة، يتفق الأطراف على الملحق B الخاص ب لنقل البيانات الدولية (IDTA) الصادر في المنظمة لمنظمات الاتحاد الأوروبي SCC، والذي تم دمجه بالمرجع. في حالة النزاع، يسود الملحق البريطاني للتحويلات البريطانية.
3. سويس ترانسفورز. بالنسبة للتحويلات الخاضعة لنموذج ال FADP السويسري، يجب قراءة الإشارات إلى اللائحة العامة لحماية البيانات في SCCs كإشارات إلى FADP؛ الإشارات إلى دول الاتحاد الأوروبي تصبح سويسرا؛ والسلطة المختصة هي FDPIC.

13) المسؤولية والتعويض

تخضع المسؤولية بموجب هذا الاتفاق للقيود والاستثناءات للمسؤولية في الاتفاقية، باستثناء الحد الذي يحظره القانون المعمول به. يتحمل كل طرف مسؤولية أفعاله وإغهائه بموجب قوانين حماية البيانات.

14) متفرقات

1. في حالة وجود تعارض بين هذا الاتفاق الدفاعي والاتفاقية، تتحكم هذه الاتفاقية بقدر النزاع المتعلق بحماية البيانات.
2. إذا تم اعتبار أي بند من أحكام هذا الاتفاق غير صالح، يبقى الباقي ساريا.
3. قد تقوم MultiLipi بتحديث هذا النموذج التعريفي لتعكس التغييرات في القانون أو خدماتنا.

الملحق الأول — وصف المعالجة

ج. الأطراف

ب. تفاصيل المعالجة

ج. السلطة الإشرافية المختصة

بالنسبة لمراكز SCC، يتم تحديد السلطة المختصة وفقا للبند 13 من SCCs (مثل سلطة المؤسسة الرئيسية للعميل في الاتحاد الأوروبي أو مواضيع البيانات).

الملحق الثاني — الإجراءات الفنية والتنظيمية (TOMs)

1. برنامج أمن المعلومات. سياسات مكتوبة تغطي التحكم في الوصول، والتعامل مع البيانات، والاستجابة للحوادث، وإدارة التغيير، ومخاطر الموردين، والتطوير الآمن.
2. التحكم في الوصول. الوصول القائم على الدور، أقل امتياز، مصادقة قوية، التحقق متعدد العوامل للمسؤولين، إدارة الجلسات، مراجعات وصول منتظمة، إلغاء فوري عند تغيير أو إنهاء الدور.
3. التشفير. TLS للبيانات أثناء النقل؛ تشفير الأسرار والمفاتيح المخزنة؛ تدوير المفاتيح والوصول المحدود إلى المواد الأساسية.
4. أمن الشبكات والتطبيقات. الشبكات المقسمة؛ جدار حماية / WAF؛ حماية DDoS (عبر CDN/edge عند الاقتضاء)؛ تصلب خطوط الأساس؛ SDLC آمن بما في ذلك مراجعة الشيفرة ومسح التبعيات.
5. تسجيل ومراقبة. تسجيل مركزي للأحداث ذات الصلة بالأمن؛ تنبيه عن الشذوذات؛ تزامن الزمن؛ تخزين جذوع الأشجار المقاوم للعبث.
6. الثغرات وإدارة التصحيحات. مسح الثغرات المنتظم؛ المعالجة في الوقت المناسب؛ اختبار طرف ثالث حسب الحاجة.
7. استمرارية الأعمال والتعافي من الكوارث. البنية التحتية الزائدة للمكونات الحيوية؛ النسخ الاحتياطية المختبرة؛ أهداف RTO/RPO موثقة.
8. فصل البيانات. الفصل المنطقي بين بيئات العملاء والبيانات.
9. أمن الأفراد والتدريب. فحوصات خلفية كما يسمح بها القانون؛ التدريب السنوي على الأمن والخصوصية؛ تعهدات السرية.
10. استجابة للحوادث. خطة موثقة مع أدوار محددة، وفرز، واحتواء، والقضاء عليه، والتعافي، والدروس المستفادة، وسير عمل إشعارات العملاء.
11. إدارة البائع والمعالجات الفرعية. تقييم قائم على المخاطر، التزامات تعاقدية بالأمن/الخصوصية، المراقبة المستمرة.
12. الأمن المادي. تدار مراكز البيانات من قبل مزودين معتمدين مع ضوابط قياسية في الصناعة (الشعارات، كاميرات المراقبة، سجلات الزوار).
13. تقليل البيانات. اجمع فقط ما هو ضروري؛ حدود الاحتفاظ؛ إخفاء الهوية/الاسم المستعار حيثما كان ذلك مناسبا.
14. ضوابط العملاء. أدوات الإدارة لإدارة الوصول؛ تتبع التدقيق في لوحة القيادة (حيثما توفرت); إدارة مفاتيح API؛ دعم الماجستير في المصادقة.

الملحق الثالث — المعالجات الفرعية

يتم الحفاظ على القائمة الحالية للمعالجات الفرعية المعتمدة في https://multilipi.com/legal/subprocessors. لكل معالج فرعي، سيكشف MultiLipi على: الاسم، الغرض، موقع المعالجة، وآلية النقل (مثل SCCs).

التواقيع

زبون	شركة مولتي ليبي تكنولوجيز الخاصة المحدودة
اسم:___________________________ عنوان:___________________________ تاريخ:___________________________ توقيع:______________________	الاسم: كونال سينغ شيخاوات العنوان: المؤسس المشارك @MultiLipi التاريخ: 10/09/2025 توقيع:

من خلال توقيعها، يتفق الأطراف على أن لجنة نقل البيانات الدولية للاتحاد الأوروبي (قرار (EU) 2021/914) وعند الاقتضاء، ملحق نقل البيانات الدولي في المملكة المتحدة، يتم دمجها بالمرجعية وتكتمل كما هو منصوص عليه في اتفاقية DPA.