المعالجة بالإنابة (المادة 28 من GDPR)

بمجرد أن تعالجوا عبر KENJTEC بيانات أشخاص آخرين — أعضاء منطقة الدخول لديكم، وإجابات نماذجكم، وطلبات متجركم، ومستلمي فواتيركم — تكونون أنتم المتحكم في ذلك بمفهوم GDPR ونكون نحن المعالج لديكم. تنظّم هذه الاتفاقية ما يجوز لنا فعله في ذلك وما نلتزم به. وهي تسري مكمِّلةً لـالشروط العامة وتصبح بموافقتكم عليها جزءًا من العقد.

وهي لا تخص بيانات حسابكم وفوترتكم أنتم. فعن تلك نكون نحن المتحكم؛ وما يجري بشأنها مذكور في سياسة الخصوصية.

1. الموضوع والمدة والطبيعة والغرض

الموضوع هو تقديم خدمات KENJTEC، بقدر ما تُدخلون فيها بيانات شخصية تخص الغير أو تجعلونها تُجمع. والغرض هو أداء هذه الخدمات لكم وحده — فنحن لا نتبع بها أي أغراض خاصة بنا.

المدة: تسري هذه الاتفاقية ما دام عقدكم بشأن الخدمة المعنية ساريًا، وتنتهي بانتهائه.

طبيعة المعالجة: الجمع والتخزين والعرض والإرسال والتعديل والحذف — بالقدر الذي تنص عليه الوظائف التي تستخدمونها.

2. الأشخاص المعنيون وأنواع البيانات

أنتم من يقرر أي بيانات تنشأ، وذلك بالوظائف التي تستخدمونها. وهي بحسب الوضع اليوم:

• أعضاء منطقة الدخول لديكم: عنوان البريد الإلكتروني، والاسم (اختياري)، والمجموعات التي تمنحونها، والحالة (طلب انضمام/عضو/محظور)، وأوقات الانضمام والدعوة والتأكيد وآخر دخول.
• من يملأون نماذجكم: جميع الحقول التي أنشأتموها بأنفسكم، وكذلك الملفات المرفوعة والتوقيعات.
• المشترون في متجركم: الاسم، وعنوان البريد الإلكتروني، وعنوانا التسليم والفوترة، وحالة الطلب والدفع. أما بيانات الدفع نفسها فلا تصل إلينا أبدًا — إذ تمر مباشرةً عبر حساب الدفع الخاص بكم.
• مستلمو فواتيركم وعروضكم: الاسم، والعنوان، وعنوان البريد الإلكتروني، وبيانات المستند.
• زوار صفحاتكم: عنوان IP والبيانات التقنية، بالقدر اللازم للتسليم.

أي ملف يخصّ أي مكان. مكتبة الوسائط (MediaStudio) مبنية للنشر: فما يوضع فيها يُقدَّم عبر عنوان عام — بسرعة ومع تخزين مؤقت وبصورة مقروءة لمحركات البحث؛ وحمايته الوحيدة اسم ملف لا يمكن تخمينه. وهذا مقصود وليس ثغرة. لذلك فإن المستندات التجارية السرّية مكانها مساحة التخزين في BusinessCloud الواقعة خلف تسجيل دخولكم. وننبّه إلى ذلك داخل الأداة قبل كل عملية رفع.

3. التعليمات

نعالج البيانات حصرًا وفقًا لتعليماتكم الموثقة. ويُعدّ من قبيلها هذه الاتفاقية والشروط العامة والإعدادات التي تجرونها في حسابكم — فكل إعداد هو تعليمة.

وإذا كنا ملزمين بمعالجة ما بموجب قانون الاتحاد أو القانون الألماني، أبلغناكم بذلك مسبقًا، ما لم يمنع القانون ذلك.

وإذا رأينا أن تعليمة ما مخالفة للقانون، أخبرناكم بذلك وجاز لنا تعليق تنفيذها.

4. السرية

جميع الأشخاص الذين لديهم لدينا صلاحية الوصول إلى هذه البيانات ملزمون بالسرية. وتُدار KENJTEC حاليًا دون موظفين؛ فالوصول مقصور على الإدارة وعلى مقدمي خدمات مكلَّفين صراحةً، وهم بدورهم مرتبطون بالتزامات تعاقدية.

5. أمان المعالجة (المادة 32)

نتخذ التدابير التالية. والمذكور هنا هو ما هو مُطبَّق فعلًا — لا ما يبدو معتادًا:

• النقل مشفَّر دائمًا. تمر جميع الطلبات عبر TLS؛ وتُحوَّل الاتصالات غير المشفَّرة.
• كلمات المرور لا تُحفظ أبدًا كنص صريح، بل فقط كقيمة تحقق ناتجة عن إجراء مخصص لذلك (bcrypt).
• الفصل بحسب الحسابات. كل استعلام مرتبط بالحساب الذي تعود إليه البيانات؛ وسجلات الغير تتصرف كأنها غير موجودة.
• تقييد الوصول. تحتاج الحسابات الإدارية إلى عامل تحقق ثانٍ.
• روابط الدخول إلى منطقة الأعضاء صالحة لمدة ساعة واحدة، والجلسات لمدة ثلاثين يومًا؛ ويمكن سحب كليهما في أي وقت.
• حدود كمية لمنع إساءة الاستخدام: 30 عضوًا جديدًا كحد أقصى في الساعة و5000 عضو لكل موقع؛ وعند بلوغ حد الساعة يحوّل النظام الانضمام تلقائيًا إلى موافقة منكم.
• النسخ الاحتياطي وإمكانية الاستعادة. تُنسخ قاعدة البيانات احتياطيًا يوميًا (14 نسخة، مخزَّنة في عدة مناطق داخل الاتحاد الأوروبي)، إضافةً إلى الاستعادة إلى نقطة زمنية خلال سبعة أيام؛ وتعمل قاعدة البيانات مع عقدة ثانية في نطاق آخر.
• الأسرار (المفاتيح وبيانات الوصول) محفوظة في خزنة خاصة، ولا توجد أبدًا في الشيفرة المصدرية.

وبصراحة: البيانات مشفَّرة على وسائط التخزين لدى المزودين، لا على مستوى التطبيق إضافةً إلى ذلك. ومن يصل لدينا إلى قاعدة البيانات بصلاحية يرى العناوين كنص صريح. ولا تُسجَّل حاليًا بصورة منفصلة عمليات اطلاع الإدارة على قوائم الأعضاء.

6. المعالجون من الباطن

أنتم توافقون على الاستعانة بالمعالجين من الباطن التالين. ونبرم معهم عقودًا تفرض عليهم الالتزامات نفسها التي نتحملها تجاهكم، ونبلغكم قبل أي تغيير في وقت يكفي لأن تعترضوا.

• Google Cloud (Google Cloud EMEA Limited، أيرلندا) — التشغيل وقاعدة البيانات في منطقة europe-west1 (بلجيكا)، والنسخ الاحتياطية في عدة مناطق داخل الاتحاد الأوروبي. جميع البيانات المشمولة بهذه الاتفاقية، ما لم يُذكر أدناه خلاف ذلك. ويُضاف إلى ذلك الذكاء الاصطناعي عبر Vertex AI (Gemini) في المنطقة المتعددة للاتحاد الأوروبي: يُنقل ما تسلّمونه للذكاء الاصطناعي — وقد يكون ذلك نصوصًا وصورًا، وعند تحليلها إجابات النماذج.
• Cloudflare (Cloudflare, Inc.، الولايات المتحدة) — تسليم جميع الطلبات وحمايتها (شبكة عالمية) وكذلك تخزين ملفات الوسائط ضمن الولاية القضائية للاتحاد الأوروبي (R2). تعالج عناوين IP للزوار والملفات المخزَّنة.
• Anthropic (Anthropic Ireland, Limited، أيرلندا؛ الشركة الأم Anthropic, PBC، الولايات المتحدة) — وظائف الذكاء الاصطناعي التي لا تمر عبر Google (مثل إنشاء موقع أو نموذج أو متجر)، والبديل عندما لا تُجيب Google. يُنقل ما تسلّمونه للذكاء الاصطناعي؛ وقد يكون ذلك محتويات نماذج وصورًا. هذا النقل يتم إلى الولايات المتحدة؛ وقد يجري حساب الإجابات أيضًا في دول أخرى.
• Mistral AI (Mistral AI SAS، فرنسا) — وظائف الذكاء الاصطناعي عبر النفاذ الأوروبي، والمعالجة داخل الاتحاد الأوروبي. يُنقل ما تسلّمونه للذكاء الاصطناعي؛ وقد يكون ذلك محتويات نماذج وصورًا.
• OpenAI (OpenAI Ireland Limited، أيرلندا) — وظائف الذكاء الاصطناعي. يُنقل ما تسلّمونه للذكاء الاصطناعي؛ وقد يكون ذلك محتويات نماذج وصورًا. هذا النقل يتم إلى الولايات المتحدة.
• Amazon Web Services (Amazon Web Services EMEA SARL، لوكسمبورغ)، منطقة eu-central-1 (فرانكفورت) — الفحص الآلي للصور بحثًا عن محتوى مسيء عند استلامها: في مكتبة الوسائط (وملفات PDF أيضًا، إضافةً إلى كلمات مفتاحية للبحث)، وفي النماذج (بما في ذلك الصور والتوقيعات التي يرفعها زواركم)، وعلى المواقع، وكشعار على الفواتير والعروض. تُنقل نسخة مصغَّرة (1024 بكسل كحد أقصى على الضلع الأطول)، لا الأصل. وفقًا لشروط AWS، يجوز لـ AWS تخزين هذه المدخلات واستخدامها لتحسين خدماتها، ولو في منطقة أخرى، ما لم يُعترَض على ذلك؛ أما بيان ما إذا كان هذا الاعتراض قد أُعِدّ لحسابنا فسيُضاف لاحقًا.
• Mailjet (Mailjet SAS، فرنسا) — إرسال رسائل النظام والإشعارات. تعالج عناوين المستلمين، ومنها عناوين أعضائكم ومشتريكم ومستلمي فواتيركم.
• Stripe — فوترة عقدكم مع KENJTEC. أما المدفوعات في متجركم فتمر عبر حساب Stripe الخاص بكم لا عبرنا.
• Tucows (OpenSRS)، كندا — تسجيل النطاقات. تعالج بيانات المالك التي تدخلونها لنطاق ما. هذا النقل يتم إلى كندا.
• Bunny Fonts (شركة BunnyWay d.o.o.، سلوفينيا) — تقديم الخطوط. يتصل متصفح زواركم لذلك بـ fonts.bunny.net.

عمليات النقل إلى دول ثالثة: إلى Anthropic (الولايات المتحدة) استنادًا إلى البنود التعاقدية القياسية للمفوضية الأوروبية التي تتضمنها اتفاقية المعالجة بالإنابة الخاصة بـ Anthropic؛ وإلى OpenAI (الولايات المتحدة) استنادًا إلى البنود التعاقدية القياسية التي تتضمنها اتفاقية المعالجة بالإنابة الخاصة بـ OpenAI؛ وإلى Tucows (كندا) استنادًا إلى قرار الكفاية الخاص بكندا؛ وبقدر ما تنقل Google وCloudflare وAmazon Web Services بيانات إلى الولايات المتحدة، فاستنادًا إلى EU-US Data Privacy Framework، واحتياطيًا إلى البنود التعاقدية القياسية. يمر جزء من مهام الذكاء الاصطناعي عبر Google داخل الاتحاد الأوروبي؛ أما بقية المهام والبديل فتمر عبر Anthropic (التخزين في الولايات المتحدة) — ولا يمكن حاليًا حصر وظائف الذكاء الاصطناعي في الاتحاد الأوروبي. وهي لا تعمل إلا بناءً على طلبكم: فمن دون نقرة منكم لا يصل أي محتوى إلى أي خدمة ذكاء اصطناعي — لا معالجة في الخلفية ولا عند الرفع. والشيء الوحيد الذي يعمل تلقائيًا عند الرفع هو فحص الصور لدى Amazon Web Services في فرانكفورت.

7. الدعم في حقوق الأشخاص المعنيين

إذا توجّه شخص معني إلينا بدلًا منكم، أحلناه إليكم ولم نجب بأنفسنا.

وللاطلاع والتصحيح والحذف تتوفر لكم وظائف حسابكم: يمكنكم تعديل الأعضاء وحذفهم فرديًا، وتنزيل القائمة كاملةً كجدول، وإخراج إجابات النماذج كجدول وحذفها فرديًا. وإن لم تكفِ هذه الوظائف، دعمناكم بناءً على طلبكم.

ويمكن للأعضاء أن يشطبوا أنفسهم من قائمتكم عبر الرابط الموجود في كل رسالة دخول. ويسري هذا الحذف فورًا.

8. الدعم عند الحوادث وفي تقييم الأثر

إذا علمنا بانتهاك لحماية البيانات الشخصية يمسّ بياناتكم، أبلغناكم دون تأخير وزودناكم بالبيانات التي تحتاجونها لإخطاركم وفقًا للمادة 33 من GDPR. أما الإخطار إلى السلطة الرقابية وعند الاقتضاء إلى الأشخاص المعنيين فهو مهمتكم.

وفي تقييم أثر حماية البيانات وفي التشاور المسبق ندعمكم بالبيانات المتوفرة لدينا.

9. الحذف والإعادة

بعد انتهاء المعالجة نحذف البيانات أو نعيدها إليكم — والخيار لكم.

الإعادة: يمكنكم تنزيل قائمة أعضاء أي موقع كجدول في أي وقت؛ وكذلك إجابات النماذج. أما مستند موقعكم مع صوره فتأخذونه معكم عبر «اصطحاب الصفحة».

الحذف: إذا حذفتم موقعًا، زالت معه قائمة أعضائه. وانتهاء الاشتراك لا يحذف شيئًا. وإذا طلبتم حذف حسابكم، زالت معه مواقعكم بقوائم أعضائها ووسائطكم ومتاجركم وتثبيتات WordPress الخاصة بكم — بعد 30 يومًا على الأقل من انتهاء مدة العقد.

وما دمتم لا تحذفون، نحفظ البيانات دون حد زمني، حتى بعد انتهاء الاشتراك — فلا يوجد حذف تلقائي بعد انقضاء مهلة ما. وتبقى واجبات الحفظ القانونية (وبخاصة مستندات الفوترة) قائمة؛ ونحتفظ بهذه المستندات حتى بعد الإلغاء للمدة التي يفرضها القانون.

وبصراحة: عند حذف حسابكم لا نوجّه حاليًا معالِجينا من الباطن تلقائيًا إلى الحذف. والبيانات التي وصلت إلى Mailjet (إرسال البريد) أو Stripe (الفوترة) تخضع هناك لمهلهم الخاصة. وإن طلبتم الحذف هناك أيضًا، فاكتبوا إلينا — ونحن نباشره.

10. الإثباتات وعمليات التدقيق

نوفّر لكم بناءً على طلبكم البيانات اللازمة لإثبات الالتزام بهذه الواجبات، ونتيح إجراء عمليات تدقيق. وتعلنون عن عمليات التدقيق بمهلة مناسبة؛ ويجب ألا تعطّل التشغيل بصورة غير مناسبة وألا تمسّ بيانات عملاء آخرين.

11. أحكام ختامية

يسري القانون الألماني. وإذا كان أحد الأحكام باطلًا بقيت بقية الأحكام سارية.

ونبلغكم بالتعديلات؛ وإن لم تعترضوا خلال أربعة أسابيع، عُدّت مقبولة. ونشير إلى هذا الأثر إشارةً خاصة في الإخطار.