الامتثال لـGDPR

1. التزامنا تجاه GDPR

تأسَّست UnnaData وفي جوهرها الخصوصية. وبصفتنا منصة امتثال لـGDPR مدعومة بالذكاء الاصطناعي، فإننا ندرك أن الثقة هي أثمن أصولنا. ونحن ملتزمون التزامًا كاملًا بالامتثال للائحة العامة لحماية البيانات (EU) 2016/679 ("GDPR") وضمان التعامل مع بيانات عملائنا بأقصى درجات العناية والشفافية.

2. مبادئ GDPR التي نتبعها

تلتزم أنشطة معالجة البيانات لدى UnnaData بالمبادئ الرئيسية السبعة لـGDPR على النحو المحدَّد في المادة 5:

المبدأ	كيف نُطبّقه
المشروعية والإنصاف والشفافية	سياسة خصوصية واضحة، وآليات موافقة صريحة، وممارسات بيانات شفافة
تحديد الغرض	لا تُجمع البيانات إلا لأغراض محددة وصريحة ومشروعة
تقليل البيانات	لا نجمع سوى الحد الأدنى من البيانات اللازمة لتقديم خدماتنا
الدقة	يمكن للمستخدمين تحديث معلوماتهم في أي وقت؛ مراجعات دورية لجودة البيانات
تحديد مدة التخزين	فترات احتفاظ محددة لجميع فئات البيانات؛ سياسات حذف تلقائي
السلامة & السرية	التشفير، وضوابط الوصول، ومراقبة الأمان، والاستجابة للحوادث
المساءلة	سياسات موثَّقة، وعمليات تقييم أثر (DPIA)، وتعيين مسؤول حماية بيانات، وعمليات تدقيق دورية

3. الأساس القانوني للمعالجة

نقوم بمعالجة البيانات الشخصية بموجب الأسس القانونية التالية على النحو المحدَّد في المادة 6(1) من GDPR:

• تنفيذ العقد (المادة 6(1)(b)): المعالجة اللازمة لتقديم خدماتنا وفقًا لما هو متفق عليه في شروط الخدمة الخاصة بنا، بما في ذلك إدارة الحسابات وتخزين المستندات وتحليل الامتثال المدعوم بالذكاء الاصطناعي.
• المصالح المشروعة (المادة 6(1)(f)): مراقبة الأمان، ومنع الاحتيال، وتحسين الخدمة، والتحليلات. ونُجري اختبارات موازنة لضمان ألا تطغى مصالحنا على حقوق أصحاب البيانات.
• الموافقة (المادة 6(1)(a)): الرسائل التسويقية، وملفات تعريف ارتباط التحليلات الاختيارية، وأي معالجة غير أساسية. ويمكن سحب الموافقة في أي وقت.
• الالتزام القانوني (المادة 6(1)(c)): الاحتفاظ بالسجلات الضريبية، والإبلاغ التنظيمي، والاستجابة لطلبات الوصول القانونية للبيانات من الجهات المختصة.

4. حقوق أصحاب البيانات

نحن ندعم بالكامل جميع حقوق أصحاب البيانات بموجب GDPR. ويمكنك ممارسة هذه الحقوق في أي وقت من خلال التواصل مع مسؤول حماية البيانات لدينا:

• الحق في الوصول (المادة 15): طلب نسخة كاملة من جميع البيانات الشخصية التي نحتفظ بها عنك.
• الحق في التصحيح (المادة 16): طلب تصحيح أي بيانات شخصية غير دقيقة أو غير مكتملة.
• الحق في المحو (المادة 17): طلب حذف بياناتك الشخصية، مع مراعاة متطلبات الاحتفاظ القانونية.
• الحق في تقييد المعالجة (المادة 18): طلب الحد من كيفية معالجتنا لبياناتك في ظروف معينة.
• الحق في نقل البيانات (المادة 20): الحصول على بياناتك بصيغة منظَّمة وشائعة الاستخدام وقابلة للقراءة آليًا.
• الحق في الاعتراض (المادة 21): الاعتراض على المعالجة القائمة على المصالح المشروعة أو لأغراض التسويق المباشر.
• الحقوق المتعلقة باتخاذ القرارات الآلية (المادة 22): نحن لا نتخذ قرارات تستند حصريًا إلى معالجة آلية وتُنتج آثارًا قانونية. ويقدّم الذكاء الاصطناعي لدينا توصيات تخضع للمراجعة البشرية.

وقت الاستجابة: نرد على جميع طلبات أصحاب البيانات خلال 30 يومًا. وفي الحالات المعقدة، يجوز لنا تمديد هذه المدة لمدة 60 يومًا إضافية مع إشعارك بذلك.

السلطة الرقابية: يحق لك تقديم شكوى إلى السلطة الرقابية لحماية البيانات في الدولة العضو في الاتحاد الأوروبي التي تعيش أو تعمل فيها، أو التي وقعت فيها المخالفة المزعومة. وقد تأسَّست UnnaData OÜ في إستونيا، حيث تُعد Andmekaitse Inspektsioon (المفتشية الإستونية لحماية البيانات) هي السلطة الرقابية المختصة.

5. التدابير التقنية & التنظيمية

نطبّق تدابير تقنية وتنظيمية شاملة لضمان مستوى أمان يتناسب مع المخاطر (المادة 32 من GDPR):

5.1 التدابير التقنية

• التشفير: AES-256 للبيانات الساكنة، وTLS 1.3 للبيانات أثناء النقل
• المصادقة: بريد إلكتروني/كلمة مرور مع رموز JWT؛ رموز وصول قصيرة الأجل (30 دقيقة) ورموز تجديد أطول أجلًا (7 أيام)
• ضوابط الوصول: التحكم في الوصول القائم على الأدوار (RBAC) بأدوار مسؤول المؤسسة، والمسؤول، والعضو
• أمن الشبكات: عزل VPC، ومجموعات أمان، واتصالات gRPC مشفَّرة
• تسجيل التدقيق: تسجيل شامل لجميع طلبات API وأحداث المصادقة والوصول إلى البيانات
• النسخ الاحتياطي & الاسترجاع: نسخ احتياطية مشفَّرة منتظمة مع إجراءات استرجاع مُختبَرة

5.2 التدابير التنظيمية

• الخصوصية حسب التصميم: اعتبارات حماية البيانات مدمجة في كل ميزة منذ مرحلة التصميم
• الخصوصية حسب الإعداد الافتراضي: تُطبَّق إعدادات الخصوصية الأكثر تقييدًا بشكل افتراضي
• تدريب الموظفين: تدريب دوري على التوعية بـGDPR والأمان لجميع أعضاء الفريق
• سياسات الوصول: مبدأ الحد الأدنى من الامتيازات مُطبَّق على جميع الأنظمة الداخلية
• تقييم المورّدين: تقييم أمني وخصوصي لجميع مورّدي الطرف الثالث
• الاستجابة للحوادث: خطة موثَّقة للاستجابة للحوادث بأدوار وإجراءات محددة

6. معالجة البيانات

6.1 UnnaData بصفتها متحكم البيانات

عند إنشائك حسابًا واستخدامك لمنصتنا، تعمل UnnaData بصفتها متحكم البيانات فيما يتعلق ببيانات حسابك الشخصية (الاسم، والبريد الإلكتروني، وتفاصيل المصادقة، وبيانات الاستخدام).

6.2 UnnaData بصفتها معالج البيانات

عند تحميلك مستندات وبيانات الامتثال إلى منصتنا، تعمل UnnaData بصفتها معالج بيانات نيابةً عنك. وفي هذه الصفة:

• نعالج بياناتك فقط وفقًا لتعليماتك (على النحو المحدَّد في شروط الخدمة واتفاقية معالجة البيانات الخاصتين بنا)
• نطبّق تدابير أمنية تقنية وتنظيمية مناسبة
• لا نُشارك بياناتك مع أطراف ثالثة إلا بالقدر اللازم لتقديم الخدمات وكما هو مُفصَح عنه في سياسة الخصوصية الخاصة بنا
• نساعدك في الاستجابة لطلبات أصحاب البيانات
• نحذف بياناتك أو نُعيدها عند إنهاء اتفاقيتنا

6.3 اتفاقية معالجة البيانات

نقدّم اتفاقية معالجة بيانات (DPA) شاملة ومتوافقة مع المادة 28 من GDPR. ويمكن لعملاء Enterprise طلب اتفاقية معالجة بيانات مخصَّصة. تواصل معنا عبر legal@unnadata.com للحصول على التفاصيل.

7. الجهات المعالجة الفرعية

نحتفظ بقائمة محدَّثة بالجهات المعالجة الفرعية التي تعالج البيانات الشخصية نيابةً عنا:

الجهة المعالجة الفرعية	الغرض	الموقع	الضمانات
Amazon Web Services (AWS)	البنية التحتية السحابية، والاستضافة، والتخزين	الاتحاد الأوروبي (أيرلندا، eu-west-1)	DPA، وSOC 2، وISO 27001
Anthropic	نموذج لغوي للذكاء الاصطناعي (Claude) لتحليل الامتثال	الولايات المتحدة	DPA، وSCCs، وسياسة عدم الاحتفاظ بالبيانات
Stripe	معالجة المدفوعات	الولايات المتحدة / الاتحاد الأوروبي	DPA، وSCCs، وPCI DSS المستوى 1

سنُخطر العملاء بأي تغييرات على قائمة الجهات المعالجة الفرعية لدينا قبل 30 يومًا على الأقل، لإتاحة الفرصة لك للاعتراض.

8. عمليات نقل البيانات الدولية

تُخزَّن بياناتك وتُعالَج بشكل أساسي داخل الاتحاد الأوروبي (AWS eu-west-1، أيرلندا). وعندما يتعيّن نقل البيانات خارج المنطقة الاقتصادية الأوروبية (مثلًا إلى Anthropic لمعالجة الذكاء الاصطناعي)، فإننا نضمن وجود ضمانات مناسبة، منها:

• البنود التعاقدية الموحدة (SCCs): بنود تعاقدية معتمدة من الاتحاد الأوروبي وفقًا لقرار التنفيذ الصادر عن المفوضية الأوروبية (EU) 2021/914
• تقييمات أثر النقل: نُجري تقييمات لقوانين حماية البيانات في الدول المستلمة
• التدابير التكميلية: تدابير تقنية وتنظيمية إضافية تشمل التشفير، وإخفاء الهوية، وضوابط الوصول
• تقليل البيانات: لا يُنقل سوى الحد الأدنى من البيانات اللازمة لمعالجة الذكاء الاصطناعي

9. الإخطار بخرق البيانات

في حال وقوع خرق للبيانات الشخصية، نتبع بروتوكول إخطار صارمًا امتثالًا للمادتين 33 و34 من GDPR:

• الاكتشاف الداخلي: مراقبة أمنية مستمرة وأنظمة تنبيه آلية
• إخطار السلطة الرقابية خلال 72 ساعة: نُخطر السلطة الرقابية المختصة خلال 72 ساعة من علمنا بخرق مؤهَّل للإخطار
• إخطار العملاء: نُخطر العملاء المتأثرين دون تأخير لا مبرر له، بما في ذلك تفاصيل الخرق وآثاره المحتملة والتدابير المتخذة
• إخطار أصحاب البيانات: عندما يُرجَّح أن يُسفر الخرق عن مخاطر عالية على الأفراد، نُخطر أصحاب البيانات المتأثرين مباشرةً
• التوثيق: تُوثَّق جميع حالات الخرق بالوقائع والآثار والإجراءات العلاجية المتخذة

10. مسؤول حماية البيانات

عيّنت UnnaData مسؤول حماية بيانات (DPO) وفقًا للمادة 37 من GDPR. ويتولى مسؤول حماية البيانات لدينا المسؤولية عن:

• مراقبة الامتثال لـGDPR وقوانين حماية البيانات ذات الصلة
• تقديم المشورة بشأن تقييمات أثر حماية البيانات
• العمل كجهة اتصال لأصحاب البيانات والسلطات الرقابية
• تدريب الموظفين على التزامات حماية البيانات

يمكنك التواصل مع مسؤول حماية البيانات لدينا على: dpo@unnadata.com

11. تقييمات أثر حماية البيانات

نُجري تقييمات أثر حماية البيانات (DPIAs) وفقًا لما تقتضيه المادة 35 من GDPR بالنسبة لأنشطة المعالجة التي يُرجَّح أن تُسفر عن مخاطر عالية على أصحاب البيانات. ويشمل ذلك:

• ميزات تحليل المستندات والمحادثة المدعومة بالذكاء الاصطناعي
• المعالجة واسعة النطاق لمستندات الامتثال
• تطوير ميزات جديدة تتضمن بيانات شخصية
• التغييرات في الجهات المعالجة الفرعية أو آليات نقل البيانات

تتم مراجعة تقييمات أثر حماية البيانات وتحديثها بانتظام، ويُستشار مسؤول حماية البيانات لدينا طوال العملية.

12. اتصل بنا

لأي أسئلة حول امتثالنا لـGDPR أو لممارسة حقوقك المتعلقة بحماية البيانات:

• مسؤول حماية البيانات: dpo@unnadata.com
• استفسارات الخصوصية: privacy@unnadata.com
• الفريق القانوني: legal@unnadata.com

لمزيد من التفاصيل حول كيفية تعاملنا مع بياناتك الشخصية، يُرجى مراجعة سياسة الخصوصية وسياسة ملفات تعريف الارتباط الخاصتين بنا.