اتفاق معالجة البيانات — مسودة

تاريخ المسودة: 5 أكتوبر 2026 المتحكم: [اسم التاجر القانوني]، وعنوانه [العنوان] («التاجر»). المعالج: [اسم كيان سهران القانوني] («المعالج»). يعد هذا الاتفاق ملحقاً لشروط استخدام سهران («الاتفاق الرئيسي»).

قائمة المحتويات

1. التعريفات وموضوع الاتفاق
2. التعليمات والغرض والمدة
3. فئات البيانات وأصحابها
4. التزامات التاجر
5. التزامات المعالج
6. السرية والتدابير الأمنية
7. المعالجون الفرعيون
8. الموقع والنقل عبر الحدود
9. طلبات أصحاب البيانات
10. الحوادث والإخطار
11. الاحتفاظ والإعادة والحذف
12. التدقيق وإثبات الامتثال
13. الرسوم والمسؤولية
14. الإنهاء وأحكام عامة
15. الملاحق والبيانات الناقصة

النص العربي

1. التعريفات وموضوع الاتفاق

1.1 تحمل «البيانات الشخصية» و«المعالجة» و«المتحكم» و«المعالج» و«المعالج الفرعي» و«صاحب البيانات» المعاني الواردة في نظام حماية البيانات الشخصية ولائحته.

1.2 بيانات الخدمة هي بيانات المتجر والطلبات والمنتجات والمخزون والمحادثات والوسائط وأرقام واتساب ومعرّفات الرسائل وسجلات التسليم والحوادث والتقارير التي يرسلها التاجر أو العميل أو منصة متصلة إلى سهران. تعليمات التاجر هي هذا الاتفاق وأمر الشراء وإعدادات المتجر والتعليمات المكتوبة اللاحقة المتسقة معها.

1.3 يعين التاجر سهران معالجاً لمعالجة بيانات الخدمة لتشغيل دعم ما بعد البيع للمتجر، بما في ذلك الرد، والبحث في الطلب، والتسليم المصرح، والتحقق، والتصعيد، والأمن، وقياس الخدمة.

2. التعليمات والغرض والمدة

2.1 لا يعالج المعالج بيانات الخدمة إلا وفق تعليمات التاجر الموثقة وللغرض المبين في الملحق (أ). إذا رأى المعالج أن التعليمات تخالف النظام، يخطر التاجر ويعلق الجزء المخالف إلى أن يتلقى توجيهاً مشروعاً، ما لم يوجب القانون المعالجة.

2.2 تبدأ المعالجة عند التفعيل وتستمر طوال مدة الاتفاق الرئيسي، ثم خلال مهلة الإعادة أو الحذف. لا يجوز للمعالج بيع البيانات أو استخدامها لغرض مستقل أو لتدريب نموذج مشترك بين التجار.

2.3 يجوز للمعالج إعداد إحصاءات مجمعة لا تحدد شخصاً لتحسين الاعتمادية، بشرط تقليل البيانات وإزالة إمكان إعادة التعرف، وبالقدر المسموح في الملحق (أ).

3. فئات البيانات وأصحابها

3.1 تشمل فئات أصحاب البيانات عملاء المتجر، ومستخدميه وموظفيه، وجهات الاتصال في الموردين. وتشمل الفئات رقم الهاتف، ومعرّف الحساب والرسالة، وبيانات الطلب والمنتج، ونصوص المحادثة والمرفقات، وسجل الموافقة والتصعيد، وسجلات التسليم والاستبدال، وبيانات العضوية.

3.2 لا يطلب المعالج كلمات مرور العملاء أو رموز التحقق منهم. يرحل رمز التحقق مرة واحدة ثم يتخلص منه أو يعلمه مستهلكاً، ويحجبه من سجل المحادثة، ويضع له حقل تاريخ الانتهاء مدة صلاحية افتراضية ساعة. لا يضع التاجر بيانات شديدة الحساسية في قاعدة المعرفة إلا إذا حدد الغرض والأساس والضوابط في الملحق.

4. التزامات التاجر

4.1 يحدد التاجر الغرض والأساس النظامي، ويقدم التعليمات الصحيحة، ويشعر أصحاب البيانات، ويحصل على الموافقات اللازمة، ويحدد مدد الاحتفاظ، ويقصر البيانات على اللازم.

4.2 يتحقق التاجر من صلاحية المنتجات وقواعد التسليم، ومن حقه في ربط واتساب وسلة والموردين، ويضمن أن التعليمات لا تطلب تسليم قيمة لغير صاحبها أو تجاوز ضوابط الملكية.

4.3 يرد التاجر على صاحب البيانات والجهة المختصة، ويقيم مخاطر النقل عبر الحدود بالتعاون مع المعالج، ويعين جهة اتصال للحوادث والطلبات، ويبلغ المعالج عن تغيير جوهري في الغرض أو الفئات.

5. التزامات المعالج

5.1 يقتصر المعالج على التعليمات، ويضمن التزام العاملين المخولين بالسرية، ويطبق عزل المتاجر والتحقق من العضوية وتحديد المعدل، ويحتفظ بسجل عمليات مناسب.

5.2 يتخذ المعالج تدابير فنية وتنظيمية مناسبة للمخاطر، ويعين مسؤولاً للتنسيق، ويبلغ التاجر دون تأخير غير مبرر بأي طلب رسمي أو حادث يؤثر في بيانات الخدمة، ما لم يمنع القانون الإبلاغ.

5.3 يساعد المعالج، بالقدر المعقول، في تقييم الأثر، والرد على طلبات أصحاب البيانات، والتصحيح والتصدير والحذف، والتحقيق، وإخطار الجهات. لا يقدم المعالج رأياً نظامياً نيابة عن التاجر.

6. السرية والتدابير الأمنية

6.1 تشمل التدابير: تشفير الأسرار عند التخزين، وإدارة مفاتيح منفصلة، وصلاحيات أقل امتياز، وعضوية متحققة عند كل استدعاء، وسجلات منقحة، ونسخاً احتياطية واستعادة مختبرة، وتحديداً لمعدل الطلبات، ومراجعة للوصول، وخطة للاستجابة للحوادث.

6.2 توجد بيانات الخدمة في Google Cloud في المنطقة europe-west1. لا يضمن أي تدبير أمناً مطلقاً؛ ويظل كل طرف مسؤولاً عن أجهزته وحساباته وإعداداته.

6.3 يلتزم كل طرف بسرية البيانات والمعلومات غير العامة. يستمر الالتزام بعد انتهاء الاتفاق ما لم يوجب القانون الإفصاح.

7. المعالجون الفرعيون

7.1 يجوز للمعالج استخدام Google Cloud في europe-west1، وميتا وواتساب، وسلة، ومزود النموذج اللغوي الأساسي Anthropic (الولايات المتحدة) لتشغيل وكيل العملاء وقراءة لقطات الشاشة (ولاحقاً مساعد المتجر)، وFireworks AI (الولايات المتحدة) مزوداً احتياطياً للنموذج اللغوي يُستخدم تلقائياً عند تعذّر المزود الأساسي، ومزود معالجة الصوت (ElevenLabs، وOpenAI احتياطياً) لتفريغ الرسائل الصوتية والردود الصوتية الاختيارية، والمورد الذي يختاره التاجر، بالقدر اللازم للخدمة. قد تتضمن البيانات المرسلة إلى مزود النموذج اللغوي نص المحادثة ونتائج الأدوات بما فيها أكواد البطاقات وبيانات دخول الحسابات ورموز التحقق (OTP/2FA) ولقطات الشاشة. ترد القائمة والأغراض والمواقع في الملحق (ج).

7.2 يفرض المعالج على كل معالج فرعي التزامات حماية لا تقل جوهرياً عن هذا الاتفاق، ويبقى مسؤولاً أمام التاجر عن أدائه. يخطر التاجر بأي إضافة أو استبدال جوهري قبل بدء المعالجة ويمنحه مدة اعتراض معقولة؛ ويحدد المحامي أثر الاعتراض وبديله.

8. الموقع والنقل عبر الحدود

8.1 يقر الطرفان بأن وجود ميتا أو سلة أو مزود النموذج أو مزود معالجة الصوت أو المورد خارج المملكة قد ينشئ نقلاً عبر الحدود. لا يبدأ نقل جديد قبل توثيق الغرض والفئات والدولة ومخاطر النقل والضمانات.

8.2 تشمل الضمانات، بحسب الحالة، عقد المعالجة، وتحديد الغرض، وتقليل البيانات، والتشفير، وضبط الوصول، وحذف البيانات، والتزامات الإخطار، وأي شروط أو موافقات تطلبها الجهة المختصة. [يملأ المحامي نموذج تقييم المخاطر وشروط النقل النهائية.]

9. طلبات أصحاب البيانات

9.1 يحيل المعالج الطلب إلى التاجر ما لم يلزمه النظام بالرد مباشرة. يساعد التاجر في التحقق من الهوية والبحث والوصول والتصحيح والحذف والتصدير وتقييد المعالجة والاعتراض وسحب الموافقة حيث ينطبق.

9.2 لا يسلم المعالج بيانات إلى طالب غير موثق. يحدد التاجر المدة النظامية والقناة في الملحق (أ)، ويتحمل أي قرار بشأن مشروعية الطلب أو الاستثناء.

10. الحوادث والإخطار

10.1 عند اكتشاف حادث، يتخذ المعالج إجراءات الاحتواء المعقولة، ويحفظ الأدلة، ويبلغ التاجر دون تأخير غير مبرر بما توافر من وقت الحادث وطبيعته والفئات المتأثرة والآثار والإجراءات التصحيحية، ويحدث البلاغ.

10.2 إذا كان الحادث واجب الإبلاغ، يتعاون الطرفان لإخطار الهيئة السعودية للبيانات والذكاء الاصطناعي خلال مدة لا تتجاوز 72 ساعة من العلم الواجب بالإخطار، ولإبلاغ أصحاب البيانات عند وجوبه. [يعتمد المحامي بدء المدة، والجهة، والمحتوى، والاستثناءات.]

10.3 لا يعلن أي طرف عن الحادث أو ينسب المسؤولية للطرف الآخر دون تنسيق، إلا إذا ألزمه النظام أو الجهة المختصة.

11. الاحتفاظ والإعادة والحذف

11.1 يحتفظ المعالج ببيانات الخدمة للمدد المبينة في الملحق (ب). مدة صندوق رموز التحقق قصيرة، والافتراضي ساعة مع حذف تلقائي، ولا يظهر الرمز الصريح في المحادثة.

11.2 عند انتهاء الخدمة، يختار التاجر خلال [30] يوماً إعادة البيانات في صيغة معقولة أو حذفها. يحذف المعالج النسخ النشطة ويدرج النسخ الاحتياطية في دورة الحذف المعتادة، ما لم يلزم الاحتفاظ بها نظاماً أو لإثبات حق.

11.3 يقدم المعالج إقرار حذف عند طلب التاجر. لا يمتد الحذف إلى بيانات مجمعة مجهلة لا يمكن ربطها بشخص أو متجر.

12. التدقيق وإثبات الامتثال

12.1 يقدم المعالج معلومات معقولة عن التدابير والامتثال، ويتيح تقريراً أو تدقيقاً مكتبيّاً مرة سنوية على نفقة التاجر، مع إشعار مسبق وحماية الأسرار وعدم تعطيل الخدمة. يجوز تدقيق إضافي بعد حادث جوهري.

12.2 لا يكشف التدقيق بيانات عميل آخر أو أسراراً تجارية، وتظل نتائج التدقيق سرية. يعالج الطرفان أي قصور بخطة وموعد معقولين.

13. الرسوم والمسؤولية

13.1 يدفع التاجر مباشرة رسوم ميتا وحساب واتساب للأعمال ورسوم سلة أو الموردين. لا تنشئ هذه الرسوم التزاماً على المعالج بدفعها أو ضمان تصنيف الرسائل.

13.2 [يملأ المحامي] حدود المسؤولية، والتعويض، والاستثناءات الإلزامية، وتوزيع الخسارة في الحوادث أو خرق التعليمات، بما لا يستبعد مسؤولية لا يجوز استبعادها نظاماً.

14. الإنهاء وأحكام عامة

14.1 ينتهي هذا الاتفاق بانتهاء الاتفاق الرئيسي أو بإشعار [30] يوماً أو فوراً عند خرق جوهري غير مصحح. تبقى السرية، والحذف، والتدقيق، والمسؤولية، والقانون نافذة بقدر طبيعتها.

14.2 إذا تعارض هذا الاتفاق مع الاتفاق الرئيسي، يسود هذا الاتفاق في مسائل حماية البيانات. لا يجوز تعديله إلا كتابة. إذا بطل بند، بقيت بقية البنود نافذة.

15. الملاحق والبيانات الناقصة

• الملحق (أ): تعليمات المعالجة، الأغراض، الفئات، القنوات، وطلبات أصحاب البيانات.
• الملحق (ب): مدد الاحتفاظ: المحادثات [ ]، الحوادث [ ]، المقاييس [ ]، صندوق التحقق ساعة افتراضياً.
• الملحق (ج): قائمة المعالجين الفرعيين ومواقعهم وأغراضهم.
• الملحق (د): نموذج إشعار حادث وخطة اتصال.
• الملحق (هـ): تقييم مخاطر النقل عبر الحدود.
• الملحق (و): أسماء الكيانات، العناوين، القانون، الاختصاص، وسقف المسؤولية — [يملأ المحامي].

الملحق (ج): المعالجون الفرعيون (مسودة — تُستكمل قبل التشغيل)

[قبل التشغيل] تأكيد شروط Anthropic التجارية واتفاق معالجة البيانات ومدة احتفاظ واجهة البرمجة (وهل يلزم الاحتفاظ الصفري للمحادثات التي تحمل رموز تحقق أو بيانات دخول)، وتأكيد شروط Fireworks AI. إذا كان أي تاجر قد وقّع هذا الاتفاق قبل التحويل، يُخطر وفق البند 7.2 قبل بدء المعالجة.