اتفاقية معالجة البيانات

تكون للمصطلحات المكتوبة بأحرف استهلالية كبيرة وغير المعرّفة هنا المعاني المحددة لها في الشروط. وفي اتفاقية معالجة البيانات هذه:

قانون حماية البيانات

اللائحة العامة لحماية البيانات وقوانين الدول الأعضاء في الاتحاد الأوروبي والمنطقة الاقتصادية الأوروبية التي تنفذها أو تكملها، والتوجيه 2002/58/EC (توجيه الخصوصية والاتصالات الإلكترونية) بصيغته المنفذة في القانون الوطني، وكذلك، حيثما كانت تسري على المعالجة، اللائحة العامة لحماية البيانات في المملكة المتحدة مع قانون حماية البيانات في المملكة المتحدة لعام 2018، والقانون الاتحادي السويسري بشأن حماية البيانات («FADP»).

مصطلحات اللائحة العامة لحماية البيانات

تكون لمصطلحات «المتحكم» و«المعالج» و«صاحب البيانات» و«البيانات الشخصية» و«خرق البيانات الشخصية» و«المعالجة» و«الفئات الخاصة من البيانات الشخصية» و«السلطة الإشرافية» المعاني المحددة لها في اللائحة العامة لحماية البيانات.

البيانات الشخصية للعميل

البيانات الشخصية التي نعالجها نيابةً عن العميل عند تقديم الخدمة، على النحو الموضح في الملحق I. ولا تشمل البيانات الشخصية التي نعالجها بصفتنا متحكمًا (راجع القسم 1).

الخدمة

البريد الإلكتروني المستضاف من ExitoMail وExito Vault وExito Transfer والنطاقات المخصّصة وميزات إدارة المؤسسة، على النحو المقدّم إلى العميل بموجب الشروط.

المستخدمون

الأشخاص الذين يسمح لهم العميل باستخدام الخدمة ضمن حسابه، بمن فيهم المالك وأعضاء مؤسسة العميل.

المعالج الفرعي

أي طرف ثالث نتعاقد معه لمعالجة البيانات الشخصية للعميل. ولا يُعد موظفونا أو المتعاقدون الأفراد الذين يعملون تحت سلطتنا المباشرة معالجين فرعيين.

حادث أمني

خرق أمني يؤدي إلى إتلاف البيانات الشخصية للعميل المنقولة أو المخزنة أو المعالَجة بأي طريقة أخرى من جانبنا أو من جانب معالجينا الفرعيين، أو فقدانها أو تغييرها أو الكشف عنها أو الوصول إليها بصورة عرضية أو غير مشروعة. وبعبارة أخرى، خرق للبيانات الشخصية (المادة 4(12) من اللائحة العامة لحماية البيانات) يؤثر في البيانات الشخصية للعميل.

البنود التعاقدية القياسية

البنود التعاقدية القياسية لنقل البيانات الشخصية إلى بلدان ثالثة، المرفقة بقرار المفوضية التنفيذي (الاتحاد الأوروبي) 2021/914 المؤرخ 4 يونيو 2021، والمستكملة على النحو المبين في القسم 8.

Transfer المقيّد

الكشف عن البيانات الشخصية للعميل، عن طريق نقلها أو إتاحتها (بما في ذلك الوصول عن بُعد)، لمتلقٍ في بلد خارج المنطقة الاقتصادية الأوروبية لا يشمله قرار كفاية صادر بموجب المادة 45 من اللائحة العامة لحماية البيانات (أو، بالنسبة إلى بيانات المملكة المتحدة أو سويسرا، بموجب قواعد الكفاية المعادلة في المملكة المتحدة أو سويسرا).

يوم عمل

من الاثنين إلى الجمعة، باستثناء العطلات الرسمية الاتحادية في الولايات المتحدة.

ترتيب الأولوية

في حال تعارض الوثائق، تسري وفق ترتيب الأولوية الآتي:

1. البنود التعاقدية القياسية، حيثما تسري؛
2. اتفاقية معالجة البيانات هذه؛
3. الشروط؛
4. أي سياسة أو وثيقة أخرى تشكل جزءًا من اتفاقنا مع العميل.

لا ينتقص أي حكم في اتفاقية معالجة البيانات هذه من الحقوق الممنوحة للعميل أو لأصحاب البيانات بموجب قانون حماية البيانات. وتفيد عبارات مثل «بما في ذلك» و«على سبيل المثال» بإيراد أمثلة ولا تحد من عمومية العبارات السابقة لها.

موضوع المعالجة

معالجة البيانات الشخصية للعميل اللازمة لتقديم الخدمة إلى العميل: استضافة صناديق البريد على exitomail.com وعلى نطاقات العميل الخاصة، وإرسال البريد واستلامه، وتخزين الملفات ومشاركتها في Exito Vault، وإرسال الملفات عبر رابط باستخدام Exito Transfer، وإدارة مؤسسة العميل، وتقديم الدعم.

المدة

طوال مدة تقديمنا الخدمة إلى العميل بموجب الشروط، وبعد ذلك إلى أن تُحذف البيانات الشخصية للعميل على النحو الموضح في القسم 12.

طبيعة المعالجة والغرض منها

تتألف المعالجة من استضافة البيانات الشخصية للعميل وتخزينها ونقلها واستلامها وتسليمها، وتصفيتها للكشف عن الرسائل غير المرغوب فيها والبرمجيات الضارة، وفهرستها لأغراض البحث، وإنشاء نسخ احتياطية منها واستعادتها وحذفها، إلى جانب أعمال الدعم والإدارة ذات الصلة. ولا نجري هذه المعالجة إلا لتقديم الخدمة وصيانتها وتأمينها ودعمها وفقًا لتعليمات العميل (القسم 5).

أصحاب البيانات وأنواع البيانات الشخصية

باختصار (يرد الوصف الكامل في الملحق I):

• أصحاب البيانات. مستخدمو العميل؛ والأشخاص الذين يتراسلون معهم؛ والأشخاص الذين يتلقون روابط Exito Transfer أو يحمّلون ملفات عبر روابط «طلب الملفات»؛ والأشخاص الذين يخزّن المستخدمون بياناتهم ضمن جهات الاتصال؛ وأي شخص يُذكر في البريد أو الملفات أو عمليات النقل.
• البيانات الشخصية. محتوى البريد وبياناته الوصفية، وجهات الاتصال، وملفات Exito Vault، وملفات Exito Transfer وعناوين البريد الإلكتروني للمستلمين، وبيانات الحساب والمصادقة، والسجلات بما فيها عناوين IP، وإعدادات النطاقات المخصّصة وDNS.

يتحمل العميل مسؤولية استخدامه للخدمة، ولا سيما ما يأتي:

• الأساس القانوني والشفافية. وجود أساس قانوني للمعالجة (المادة 6 من اللائحة العامة لحماية البيانات، والمادة 9 حيثما كانت ذات صلة)، وتزويد مستخدميه وغيرهم من أصحاب البيانات بالمعلومات المطلوبة بموجب المادتين 13 و14 من اللائحة العامة لحماية البيانات.
• التعليمات المشروعة. التأكد من امتثال تعليماته لقانون حماية البيانات وسياسة الاستخدام المقبول الخاصة بنا.
• المستخدمون والإعدادات. إدارة مستخدميه (المالك والأعضاء الذين يدعوهم)، وصناديق بريدهم وعناوينهم، وإعدادات المشاركة وانتهاء صلاحية الروابط، وتحديد البيانات التي تُوضع في الخدمة ومدة الاحتفاظ بها. وينبغي للعميل التأكد من حماية المستخدمين لبيانات اعتمادهم وتفعيل التحقق بخطوتين.
• الملاءمة. تقييم مدى ملاءمة الخدمة للبيانات التي يختار العميل معالجتها باستخدامها، مع مراعاة التدابير الواردة في الملحق II وعدم تشفير الخدمة من طرف إلى طرف، ولا سيما الفئات الخاصة من البيانات الشخصية (المادة 9 من اللائحة العامة لحماية البيانات) والبيانات المتعلقة بالإدانات الجنائية والجرائم (المادة 10 من اللائحة العامة لحماية البيانات).
• أنظمته الخاصة. تأمين أجهزته وشبكاته وبرامج البريد الخاصة به، وأي نسخ من البيانات يصدّرها من الخدمة.

المعالجة بناءً على تعليمات موثقة فقط

لا نعالج البيانات الشخصية للعميل إلا بناءً على تعليمات موثقة منه، بما في ذلك ما يتعلق بعمليات النقل إلى بلدان ثالثة، ما لم يقتضِ قانون الاتحاد الأوروبي أو قانون دولة عضو نخضع له خلاف ذلك. وفي هذه الحالة، نبلغ العميل بذلك المقتضى القانوني قبل المعالجة، ما لم يحظر ذلك القانون هذا الإبلاغ لأسباب مهمة تتعلق بالمصلحة العامة (المادة 28(3)(a) من اللائحة العامة لحماية البيانات). وبصفتنا شركة أمريكية، نخضع أيضًا للقانون الأمريكي؛ وتُعالَج طلبات السلطات العامة المقدمة بموجبه على النحو الموضح في القسم 14 والبندين 14 و15 من البنود التعاقدية القياسية.

تشمل تعليمات العميل الموثقة ما يأتي:

• اتفاقية معالجة البيانات هذه والشروط؛
• استخدام العميل ومستخدميه للخدمة وتهيئتهم لها (مثل إرسال رسالة أو مشاركة ملف أو تحديد تاريخ لانتهاء صلاحية رابط أو إضافة نطاق أو حذف مستخدم أو بياناته)؛ و
• أي تعليمات كتابية أخرى يقدمها العميل إلينا، وتتوافق مع الشروط ونؤكدها كتابيًا. وتتطلب التعليمات التي تتجاوز وظائف الخدمة موافقتنا الكتابية المسبقة.

التعليمات التي تنتهك القانون

نبلغ العميل فورًا إذا رأينا أن إحدى التعليمات تنتهك اللائحة العامة لحماية البيانات أو غيرها من أحكام حماية البيانات في الاتحاد الأوروبي أو في دولة عضو. ويجوز لنا تعليق تنفيذ تلك التعليمات إلى أن يؤكدها العميل أو يغيّرها. ولسنا ملزمين بإجراء مراجعة قانونية كاملة لتعليمات العميل.

سرية الموظفين

لا نتيح الوصول إلى البيانات الشخصية للعميل إلا للموظفين الذين يحتاجون إليه لتقديم الخدمة أو تأمينها أو دعمها، وبالقدر الذي يحتاجون إليه فقط. ويلتزم كل من لديه حق الوصول بالتزامات سرية مكتوبة، أو يخضع لالتزام قانوني مناسب بالسرية، وتستمر هذه الالتزامات بعد انتهاء عمله معنا. كما يتلقى تدريبًا على الأمن وحماية البيانات.

لا يقرأ موظفونا محتوى البريد أو الملفات أو عمليات النقل إلا عند الضرورة: لتقديم دعم طلبه العميل أو أحد المستخدمين، أو للتحقيق في مشكلة أمنية أو إساءة استخدام أو تظلّم، أو للامتثال للقانون. ويقتصر هذا الوصول على ما تتطلبه المهمة، ويُسجَّل في حالة الدعم أو إساءة الاستخدام ذات الصلة. وتعمل عمليات التصفية والإنفاذ الآلية استنادًا إلى المؤشرات ونتائج الفحص من دون أن يقرأ الموظفون المحتوى.

الأمن

ننفّذ التدابير التقنية والتنظيمية الموضحة في القسم 6 والملحق II ونحافظ عليها، وفقًا لما تقتضيه المادة 32 من اللائحة العامة لحماية البيانات.

لا بيع ولا إعلانات ولا أغراض أخرى

نحن لا نبيع البيانات الشخصية للعميل أو نؤجرها أو نشاركها مع أي جهة لأغراض الإعلان أو التسويق، ولا نعرض إعلانات، ولا نحلل المحتوى لإنشاء ملفات تعريفية للمستخدمين. ولا نستخدم البيانات الشخصية للعميل لأغراضنا الخاصة، باستثناء ما يأتي:

1. إعداد مقاييس تشغيلية إحصائية ومجمّعة لا تحدد هوية العميل أو مستخدميه أو أي شخص آخر (مثل إجمالي مساحة التخزين المستخدمة وحجم الرسائل ومعدلات الأخطاء)، ونستخدمها لتشغيل الخدمة وتخطيط السعة وتحسين الموثوقية؛
2. الحفاظ على أمن الخدمة ومستخدميها ومنع إساءة الاستخدام، بالقدر اللازم (مثل تصفية الرسائل غير المرغوب فيها والبرمجيات الضارة، وإنفاذ حدود الإرسال، والتحقيق في بلاغات إساءة الاستخدام)؛ و
3. الامتثال للقانون.

إذا جعلتنا المعالجة بموجب البند (b) أو (c) متحكمًا، فتسري عليها سياسة الخصوصية الخاصة بنا.

سجلات أنشطة المعالجة

نحتفظ بسجل لجميع فئات أنشطة المعالجة التي نجريها نيابةً عن عملائنا، وفقًا لما تقتضيه المادة 30(2) من اللائحة العامة لحماية البيانات، ونتيحه لسلطة إشرافية عند الطلب.

التعاون مع السلطات الإشرافية

نتعاون مع السلطات الإشرافية في أداء مهامها (المادة 31 من اللائحة العامة لحماية البيانات). وما لم يحظر القانون ذلك، نبلغ العميل دون تأخير لا مبرر له بأي استفسار أو طلب من سلطة إشرافية يتعلق بالبيانات الشخصية للعميل.

جهة الاتصال المعنية بحماية البيانات

تُوجَّه الأسئلة المتعلقة باتفاقية معالجة البيانات هذه إلى فريق الخصوصية لدينا على privacy@exitomail.com. لم نعيّن مسؤولًا لحماية البيانات؛ ويتولى فريق الخصوصية جميع المسائل المتعلقة بحماية البيانات.

مع مراعاة أحدث ما توصلت إليه التقنية وتكاليف التنفيذ وطبيعة المعالجة ونطاقها وسياقها وأغراضها، وكذلك المخاطر التي تهدد حقوق أصحاب البيانات وحرياتهم، ننفّذ تدابير تقنية وتنظيمية مناسبة لضمان مستوى من الأمن يتناسب مع المخاطر (المادة 32 من اللائحة العامة لحماية البيانات). وترد هذه التدابير في الملحق II، كما تُشرح بلغة مبسطة في صفحة الأمن الخاصة بنا.

صُمم برنامجنا الأمني على غرار ISO/IEC 27001:2022 وISO/IEC 27701. ولسنا حاصلين على شهادة اعتماد بموجب أي من المعيارين، ولا يجوز تفسير أي حكم في اتفاقية معالجة البيانات هذه على أنه ادعاء بحصولنا على شهادة اعتماد.

تتطور الممارسات الأمنية، ولذلك يجوز لنا تحديث هذه التدابير بمرور الوقت. ولن نجري تغييرات تخفض بصورة جوهرية المستوى العام لحماية البيانات الشخصية للعميل.

الإذن العام

يمنحنا العميل إذنًا كتابيًا عامًا بالاستعانة بمعالجين فرعيين (المادة 28(2) من اللائحة العامة لحماية البيانات). وترد قائمة معالجينا الفرعيين الحاليين في الملحق III وفي صفحة المعالجون الفرعيون الخاصة بنا. ويأذن العميل بالاستعانة بهم جميعًا، بمن فيهم المعالجون المصنّفون على أنهم مخطط لهم أو مشروطون، الذين لا يتلقون البيانات إلا بعد إطلاق الميزة ذات الصلة أو تفعيلها.

الإشعار بالتغييرات

نبلغ العميل قبل 30 يومًا على الأقل من بدء معالج فرعي جديد أو بديل في معالجة البيانات الشخصية للعميل، وذلك بإرسال بريد إلكتروني إلى مالك حساب العميل وتحديث صفحة المعالجون الفرعيون. ويمكن لأي شخص أيضًا الاشتراك في هذه التحديثات بمراسلة privacy@exitomail.com مع كتابة «Subprocessor updates» في سطر الموضوع.

حق الاعتراض

يجوز للعميل الاعتراض على معالج فرعي جديد أو بديل خلال فترة الثلاثين يومًا المذكورة، وذلك كتابيًا عبر privacy@exitomail.com ولأسباب معقولة تتعلق بحماية البيانات. وعندئذ نناقش أسباب الاعتراض مع العميل بحسن نية ونسعى إلى معالجتها، مثلًا من خلال توضيح الضمانات المطبقة أو إتاحة طريقة لاستخدام الخدمة من دون أن يعالج ذلك المعالج الفرعي بيانات العميل.

إذا تعذّر علينا معالجة الاعتراض خلال مدة معقولة، جاز للعميل إنهاء الجزء المتأثر من الخدمة بإشعار كتابي (أو إنهاء الخدمة بأكملها إذا تعذّر بصورة معقولة استخدام الجزء المتأثر بمفرده)، ونردّ أي رسوم دفعها العميل مقدمًا عن الفترة اللاحقة للإنهاء، على أساس تناسبي. وهذا هو سبيل الانتصاف المتاح للعميل بشأن الاعتراض الذي لم تتم معالجته، من دون الإخلال بحقوقه بموجب قانون حماية البيانات والبنود التعاقدية القياسية.

الاستبدالات العاجلة

إذا اضطررنا إلى استبدال معالج فرعي بصورة عاجلة لأسباب خارجة عن سيطرتنا (مثل التوقف المفاجئ لأحد مزودي الخدمة أو وجود خطر أمني)، جاز لنا إجراء الاستبدال بإشعار أقصر، بالقدر الذي تسمح به البنود التعاقدية القياسية وقانون حماية البيانات. ونبلغ العميل في أقرب وقت ممكن، ويسري حق الاعتراض المذكور أعلاه اعتبارًا من ذلك الإشعار.

مسؤوليتنا عن المعالجين الفرعيين

• التزامات مكافئة. نتعاقد مع كل معالج فرعي بموجب عقد كتابي يفرض التزامات لحماية البيانات لا تقل حمايةً عن الالتزامات الواردة في اتفاقية معالجة البيانات هذه، ولا سيما تقديم ضمانات كافية لتنفيذ تدابير تقنية وتنظيمية مناسبة (المادة 28(4) من اللائحة العامة لحماية البيانات).
• العناية الواجبة. نقيّم ممارسات الأمن وحماية البيانات لدى كل معالج فرعي قبل التعاقد معه، ونراجعها دوريًا.
• المسؤولية. نظل مسؤولين مسؤولية كاملة أمام العميل عن وفاء كل معالج فرعي بالتزاماته.
• النسخ. نزوّد العميل، عند الطلب، بنسخة من شروط حماية البيانات التي اتفقنا عليها مع معالج فرعي. ويجوز لنا أولًا حجب المعلومات التجارية أو التفاصيل السرية.

بقاء البيانات داخل الاتحاد الأوروبي

نخزّن البيانات الشخصية للعميل في الاتحاد الأوروبي:

يقع مقر بعض معالجينا الفرعيين في الولايات المتحدة (راجع الملحق III)، ولذلك لا يمكن استبعاد الوصول إلى البيانات من خارج المنطقة الاقتصادية الأوروبية (لأغراض الصيانة أو الدعم مثلًا). بالإضافة إلى ذلك:

• يُقدَّم موقعنا الإلكتروني وتطبيق الويب على exitomail.com (بما في ذلك شاشات بريد الويب وExito Vault وExito Transfer المستخدمة في المتصفح) عبر شبكة Cloudflare العالمية. وتنهي Cloudflare الاتصال المشفّر عند نقاطها الطرفية، ولذلك قد تمر حركة البيانات، بما فيها البريد والملفات المفتوحة في تطبيق الويب، عبر مراكز بيانات خارج المنطقة الاقتصادية الأوروبية أثناء نقلها.
• يتصل تسليم البريد وتطبيقات البريد (SMTP وIMAP وJMAP على mail.exitomail.com) مباشرةً بخادمنا ولا تمر مطلقًا عبر Cloudflare.
• يحمّل المتصفح ملفات Exito Vault وExito Transfer إلى مساحة تخزين الكائنات وينزّلها منها مباشرةً (Wasabi وCloudflare R2) باستخدام روابط موقّعة قصيرة الأجل، ولذلك يرى هذان المزودان أيضًا عناوين IP للأشخاص الذين يحمّلون الملفات أو ينزّلونها.

عندما يرسل المستخدمون بريدًا أو عمليات نقل إلى مستلمين خارج المنطقة الاقتصادية الأوروبية، يتم هذا الكشف بناءً على تعليمات العميل وفي إطار الخدمة التي اختار العميل استخدامها.

البنود التعاقدية القياسية بين العميل وبيننا

نحن منشأة في الولايات المتحدة، ولا يشملنا قرار كفاية (إذ لسنا معتمدين بموجب إطار خصوصية البيانات بين الاتحاد الأوروبي والولايات المتحدة). ولذلك، عندما يخضع العميل للائحة العامة لحماية البيانات، تُعد إتاحة البيانات الشخصية للعميل لنا عملية Transfer مقيّدة، حتى وإن كانت البيانات مخزّنة في الاتحاد الأوروبي (إرشادات المجلس الأوروبي لحماية البيانات 05/2021، المثال 11). وتُدمج البنود التعاقدية القياسية في اتفاقية معالجة البيانات هذه بالإحالة وتسري عليها. ويكون العميل «مصدّر البيانات» ونكون نحن «مستورد البيانات»، وتُستكمل على النحو الآتي:

عمليات النقل اللاحقة إلى المعالجين الفرعيين

عندما يعالج أحد معالجينا الفرعيين البيانات الشخصية للعميل بطريقة تشكل عملية نقل مقيّدة («Restricted Transfer»)، نضمن خضوع النقل لآلية سارية بموجب الفصل الخامس من اللائحة العامة لحماية البيانات والبند 8.8 من البنود التعاقدية القياسية: إما البنود التعاقدية القياسية (الوحدة 3، من المعالج إلى المعالج)، وإما، عندما يكون المتلقي معتمدًا بموجب إطار خصوصية البيانات بين الاتحاد الأوروبي والولايات المتحدة، قرار الكفاية الذي اعتمدته المفوضية في 10 يوليو 2023 (القرار التنفيذي (الاتحاد الأوروبي) 2023/1795). شركة Cloudflare, Inc. معتمدة؛ أما Wasabi Technologies LLC فليست معتمدة، ولذلك تسري عليها البنود التعاقدية القياسية. وترد الآلية المستخدمة لكل معالج فرعي في الملحق III.

القانون الأمريكي وتقييم أثر نقل البيانات

بصفتنا مزودًا أمريكيًا لخدمات الاتصالات الإلكترونية والحوسبة عن بُعد، قد يلزمنا القانون الأمريكي بالكشف عن البيانات التي تكون في حيازتنا أو عهدتنا أو تحت سيطرتنا، بصرف النظر عن مكان تخزينها (مثلًا بموجب 18 U.S.C. § 2713). ونقيّم، وفقًا لما يقتضيه البند 14 من البنود التعاقدية القياسية، الكيفية التي قد تؤثر بها القوانين والممارسات الأمريكية في قدرتنا على الوفاء بالتزاماتنا، مع مراعاة الضمانات التي قيّمتها المفوضية في قرار الكفاية الصادر في 10 يوليو 2023، ونطبق التدابير التكميلية الواردة في الملحق II والقسم 14. ويتاح للعميل ملخص عند الطلب.

بيانات المملكة المتحدة وسويسرا

• المملكة المتحدة. بالنسبة إلى عمليات النقل المقيّدة الخاضعة للائحة العامة لحماية البيانات في المملكة المتحدة، يسري International Data Transfer Addendum to the EU Commission Standard Contractual Clauses، الذي أصدره مفوض المعلومات في المملكة المتحدة (الإصدار B1.0، الساري منذ 21 مارس 2022)، وتُستكمل الجداول من 1 إلى 3 بالمعلومات الواردة في اتفاقية معالجة البيانات هذه وملاحقها. وفيما يتعلق بالجدول 4، يجوز لكل من مستورد البيانات ومُصدّر البيانات إنهاء الملحق على النحو المبين في القسم 19 منه. ويخضع الملحق لقانون إنجلترا وويلز، وتُحال المنازعات إلى محاكم إنجلترا وويلز.
• سويسرا. بالنسبة إلى عمليات النقل المقيّدة الخاضعة للقانون الاتحادي السويسري بشأن حماية البيانات، تسري البنود التعاقدية القياسية مع التعديلات الآتية: تُقرأ الإشارات إلى اللائحة العامة لحماية البيانات باعتبارها إشارات إلى القانون الاتحادي السويسري بشأن حماية البيانات؛ ويكون المفوض الاتحادي السويسري لحماية البيانات والمعلومات هو السلطة الإشرافية المختصة؛ ولا يحول مصطلح «الدولة العضو» دون إقامة أصحاب البيانات في سويسرا دعاوى في مكان إقامتهم المعتادة (البند 18(c)).

مع مراعاة طبيعة المعالجة، نساعد العميل، من خلال تدابير تقنية وتنظيمية مناسبة وبقدر ما يكون ذلك ممكنًا، على الاستجابة لطلبات أصحاب البيانات لممارسة حقوقهم المنصوص عليها في الفصل الثالث من اللائحة العامة لحماية البيانات (الوصول والتصحيح والمحو والتقييد وقابلية نقل البيانات والاعتراض) (المادة 28(3)(e) من اللائحة العامة لحماية البيانات).

أدوات الخدمة الذاتية

يمكن التعامل مع معظم الطلبات مباشرةً في الخدمة:

• الوصول وقابلية نقل البيانات. يمكن للمستخدمين تنزيل بريدهم باستخدام أي برنامج بريد قياسي عبر IMAP، وتنزيل ملفاتهم من Exito Vault. ويمكن أيضًا تصدير بيانات المؤسسة بمساعدتنا عند الطلب.
• التصحيح. يمكن للمستخدمين تصحيح تفاصيل ملفاتهم الشخصية الخاصة بهم.
• المحو. يمكن للمستخدمين حذف الرسائل والملفات وعمليات النقل، ويمكن للمالك حذف صندوق بريد أحد الأعضاء مع بياناته، بعد 30 يومًا يمكن خلالها استعادته. وتُزال العناصر المحذوفة على النحو الموضح في القسم 12 والملحق I.

الطلبات التي نتلقاها مباشرةً

إذا أرسل إلينا صاحب بيانات طلبًا يتعلق بالبيانات الشخصية للعميل، فلن نرد عليه بأنفسنا، باستثناء إبلاغ الشخص بأننا أحلنا الطلب أو توجيهه إلى العميل. ونُحيل الطلب إلى العميل دون تأخير لا مبرر له، شريطة أن نتمكن من تحديد العميل من الطلب.

مساعدة إضافية

عندما لا تكون الأدوات كافية، نقدم مساعدة إضافية معقولة عند الطلب. وإذا تطلب الطلب جهدًا كبيرًا من جانبنا، جاز لنا تقاضي تكاليف معقولة نتفق عليها مسبقًا مع العميل.

مع مراعاة طبيعة المعالجة والمعلومات المتاحة لنا، نساعد العميل على الوفاء بالتزاماته بموجب المواد من 32 إلى 36 من اللائحة العامة لحماية البيانات، بما في ذلك تقييمات الأثر المتعلقة بحماية البيانات (المادة 35) والمشاورات المسبقة مع السلطات الإشرافية (المادة 36).

نفعل ذلك أساسًا بإتاحة الوثائق، وهي اتفاقية معالجة البيانات هذه وملاحقها، وصفحة الأمن، وصفحة المعالجون الفرعيون، والمعلومات المتعلقة بعمليات النقل الدولية، وبالإجابة عن أسئلة العميل المعقولة بشأن المعالجة.

الإشعار

نُشعر العميل بأي حادث أمني دون تأخير لا مبرر له بعد علمنا به، وفي جميع الأحوال خلال 72 ساعة من علمنا به. ونرسل الإشعار إلى عنوان البريد الإلكتروني لمالك حساب العميل وإلى أي جهة اتصال أخرى يحددها العميل لنا كتابيًا لهذا الغرض.

محتويات الإشعار

يصف الإشعار، بالقدر الذي تكون فيه المعلومات متاحة، ما يأتي (المادة 33(3) من اللائحة العامة لحماية البيانات):

• طبيعة الحادث الأمني، بما في ذلك، حيثما أمكن، فئات أصحاب البيانات وسجلات البيانات الشخصية المعنية وعددهم التقريبي؛
• اسم جهة الاتصال التي يمكن للعميل الحصول منها على مزيد من المعلومات وبيانات الاتصال بها؛
• العواقب المحتملة للحادث الأمني؛ و
• التدابير التي اتخذناها أو نقترح اتخاذها لمعالجته، بما في ذلك التدابير الرامية إلى التخفيف من آثاره السلبية المحتملة.

إذا تعذّر علينا تقديم هذه المعلومات كلها دفعة واحدة، فنقدمها على مراحل، من دون مزيد من التأخير غير المبرر، مع تقدم تحقيقنا.

استجابتنا

نتخذ على الفور خطوات معقولة لاحتواء الحادث الأمني والتحقيق فيه، والتخفيف من آثاره ومنع تكراره. ونوثّق الوقائع والآثار والإجراءات التصحيحية المتخذة، ونقدم إلى العميل مساعدة معقولة للوفاء بالتزاماته.

مسؤوليات العميل

يظل العميل، بصفته متحكمًا، مسؤولًا عن تقرير ما إذا كان يلزم إخطار السلطات الإشرافية وأصحاب البيانات المتأثرين، وعن إخطارهم (المادتان 33 و34 من اللائحة العامة لحماية البيانات). ولا نخطر أطرافًا ثالثة نيابةً عن العميل بحادث أمني يؤثر في البيانات الشخصية للعميل، إلا إذا طلب منا العميل ذلك أو اقتضاه القانون.

عدم الإقرار بالخطأ

لا يُعد الإخطار بحادث أمني أو الاستجابة له إقرارًا من جانبنا بأي خطأ أو مسؤولية.

ما لا يُعد حادثًا أمنيًا

لا تتطلب محاولات أو أنشطة غير ناجحة لا تمس أمن البيانات الشخصية للعميل إخطارًا، مثل طلبات اختبار الاتصال، أو فحص المنافذ، أو محاولات تسجيل الدخول الفاشلة، أو هجمات حجب الخدمة التي لا تؤدي إلى وصول غير مصرّح به أو فقدان البيانات.

التصدير في أي وقت

يمكن للعميل تصدير البيانات الشخصية للعميل في أي وقت خلال استخدامه للخدمة:

• البريد الإلكتروني. عبر IMAP، باستخدام أي برنامج بريد قياسي؛
• Exito Vault. بتنزيل الملفات والمجلدات؛
• بيانات المؤسسة. بمساعدتنا عند الطلب.

ينبغي للعميل تصدير البيانات التي يريد الاحتفاظ بها قبل انتهاء الخدمة. وإذا احتاج العميل إلى مساعدة في ذلك، فنقدم مساعدة معقولة بناءً على طلب يُقدَّم قبل انتهاء الخدمة.

الحذف بعد انتهاء الخدمة

عندما تنتهي الخدمة بالنسبة إلى العميل (أو عندما يطلب منا العميل حذف حسابه)، نحذف البيانات الشخصية للعميل من أنظمتنا النشطة وأنظمة معالجينا الفرعيين في غضون 30 يومًا.

تُحذف النسخ الموجودة في النسخ الاحتياطية لقواعد بياناتنا بالتناوب مع استبعاد تلك النسخ الاحتياطية، في غضون 30 يومًا. وحتى ذلك الحين، تظل النسخ الاحتياطية مشفّرة ومحمية بالتدابير الواردة في الملحق II، ولا تُستخدم إلا للتعافي من الكوارث. وإذا اضطررنا في أي وقت إلى استعادة نسخة احتياطية، نحذف مرة أخرى أي بيانات سبق حذفها.

تأكيد الحذف

نؤكد للعميل الحذف كتابيًا عند الطلب (شهادة حذف).

الاحتفاظ الذي يقتضيه القانون

لا نحتفظ بالبيانات الشخصية للعميل بعد انتهاء الخدمة إلا إذا اقتضى قانون الاتحاد الأوروبي أو قانون دولة عضو تخزينها (المادة 28(3)(g) من اللائحة العامة لحماية البيانات)، أو إذا كانت خاضعة لأمر حفظ قانوني موضح في سياسة الاستخدام المقبول الخاصة بنا، مثل المواد التي يجب علينا حفظها بعد إبلاغ NCMEC بها. وفي هذه الحالة، نحافظ على سريتها، ولا نعالجها إلا للغرض المعني، ونحذفها عند انتهاء ذلك الالتزام.

المعلومات التي نتيحها

نتيح للعميل جميع المعلومات اللازمة لإثبات الامتثال للمادة 28 من اللائحة العامة لحماية البيانات ولهذه الاتفاقية (المادة 28(3)(h) من اللائحة العامة لحماية البيانات)، بما في ذلك:

• اتفاقية معالجة البيانات هذه والتدابير التقنية والتنظيمية الواردة في الملحق II؛
• نظرة عامة على الأمن لدينا، وسياسات الأمن وحماية البيانات ذات الصلة، عند الطلب ورهنًا بالسرية؛
• قائمة معالجينا الفرعيين ونسخة من شروط حماية البيانات الخاصة بهم (راجع القسم 7)؛
• ملخص شهادات الاعتماد أو تقارير التدقيق الصادرة عن أطراف ثالثة التي ينشرها معالجونا الفرعيون أو يتيحونها لنا، حيثما كانت متاحة؛ و
• إجابات كتابية عن أسئلة العميل المعقولة، بما في ذلك استبيان أمني واحد سنويًا.

عمليات التدقيق والتفتيش

إذا لم تكن تلك المعلومات كافية لإثبات الامتثال، نسمح بعمليات التدقيق، بما فيها عمليات التفتيش، ونسهم فيها، سواء أجراها العميل أو مدقق مستقل يعيّنه العميل، وفقًا للشروط الآتية:

• المدقق. يخضع المدقق لالتزامات سرية مكتوبة، ولا يكون منافسًا لنا.
• الإشعار ومعدل التكرار. يقدم العميل إلينا إشعارًا كتابيًا قبل 30 يومًا على الأقل، يتضمن نطاقًا مقترحًا، ولا تُجرى عمليات التدقيق أكثر من مرة واحدة خلال أي فترة مدتها 12 شهرًا.
• إجراء التدقيق. تُجرى عمليات التدقيق عن بُعد أو في الموقع، خلال أيام العمل لدينا وساعات العمل المعتادة، وبطريقة لا تعطل الخدمة ولا تتيح الوصول إلى بيانات العملاء الآخرين. ويُجرى تدقيق المرافق التي يشغّلها معالجونا الفرعيون من خلال التقارير والمعلومات التي يتيحها أولئك المعالجون الفرعيون.
• التكلفة. يتحمل العميل تكاليفه وتكاليف المدقق. وإذا كان التدقيق سيتطلب وقتًا كبيرًا من جانبنا، جاز لنا أن نطلب من العميل تغطية تكاليفنا المعقولة التي نتفق عليها معه مسبقًا.
• النتائج. يشارك العميل تقرير التدقيق معنا، ويتعامل معه على أنه سري، ولا يستخدمه إلا للتحقق من الامتثال لاتفاقية معالجة البيانات هذه. ونعالج أي نتائج جوهرية خلال مدة معقولة.

لا تسري القيود المتعلقة بالإشعار وعدد مرات التدقيق إذا طلبت سلطة إشرافية إجراء التدقيق، أو بعد وقوع حادث أمني يؤثر في البيانات الشخصية للعميل. وتُجرى عمليات التدقيق بموجب البنود التعاقدية القياسية بالطريقة نفسها، بالقدر الذي يتوافق مع تلك البنود.

إذا تلقينا طلبًا ملزمًا قانونًا من سلطة عامة، بما في ذلك سلطة لإنفاذ القانون أو الأمن القومي، للكشف عن البيانات الشخصية للعميل أو الوصول إليها، فإننا:

1. نحاول توجيه السلطة إلى طلب البيانات مباشرةً من العميل؛
2. نخطر العميل على الفور ونقدم إليه نسخة من الطلب حيثما أمكن، ما لم يحظر القانون ذلك؛ وإذا كان القانون يحظره، نبذل جهودًا معقولة للحصول على إعفاء من ذلك الحظر حتى نتمكن من إبلاغ العميل في أقرب وقت ممكن؛
3. نراجع مشروعية الطلب ونعترض عليه إذا خلصنا، بعد تقييم دقيق، إلى وجود أسباب معقولة لاعتباره غير مشروع أو واسع النطاق على نحو مفرط أو غير متوافق مع قانون بلد المقصد أو قانون الاتحاد الأوروبي، ونستنفد سبل الطعن المتاحة؛
4. لا نكشف عند الرد إلا عن الحد الأدنى من البيانات المسموح به، استنادًا إلى تفسير معقول للطلب؛ و
5. نوثّق الطلب وتقييمنا وردنا عليه.

لم ننشئ، ولن ننشئ طواعيةً، أبوابًا خلفية في الخدمة، ولا نتيح لأي سلطة عامة وصولًا مباشرًا أو جماعيًا إلى البيانات الشخصية للعميل. ولأننا شركة أمريكية، تسري هذه الالتزامات بصفة خاصة على الطلبات المقدمة بموجب القانون الأمريكي. وحيثما تسري البنود التعاقدية القياسية، ينظم البند 15 هذه الطلبات أيضًا. وتُعالَج الأوامر الصادرة بموجب المادتين 9 و10 من قانون الخدمات الرقمية على النحو الموضح في سياسة الإشعار واتخاذ الإجراء الخاصة بنا.

تخضع مسؤولية كل طرف الناشئة عن اتفاقية معالجة البيانات هذه أو المرتبطة بها لحدود المسؤولية والاستثناءات منها الواردة في الشروط، كما لو كانت اتفاقية معالجة البيانات هذه جزءًا منها.

لا يحدّ أي حكم في اتفاقية معالجة البيانات هذه أو الشروط أيًا مما يأتي أو يستبعده:

• أي مسؤولية تجاه أصحاب البيانات بموجب المادة 82 من اللائحة العامة لحماية البيانات، أو حقوقهم بصفتهم مستفيدين من الأطراف الثالثة بموجب البنود التعاقدية القياسية؛
• مسؤولية أي من الطرفين بموجب البنود التعاقدية القياسية، بالقدر الذي لا تسمح فيه تلك البنود بتقييدها؛ أو
• أي مسؤولية لا يجوز تقييدها أو استبعادها بموجب القانون الواجب التطبيق.

تدخل اتفاقية معالجة البيانات هذه حيز النفاذ عندما يقبل العميل الشروط (أو، بالنسبة إلى عميل حالي، عندما يعالج البيانات الشخصية للعميل لأول مرة من خلال الخدمة)، وتظل سارية ما دمنا نعالج البيانات الشخصية للعميل. وتظل نافذة بعد إنهاء الشروط إلى أن تُحذف جميع البيانات الشخصية للعميل على النحو الموضح في القسم 12.

إذا لم يعد بإمكاننا الامتثال لاتفاقية معالجة البيانات هذه، نبلغ العميل على الفور. ويجوز للعميل عندئذ تعليق المعالجة المتأثرة، وإذا لم نعد إلى الامتثال خلال مدة معقولة، جاز له إنهاء الجزء المتأثر من الخدمة، مع رد أي رسوم مدفوعة مقدمًا عن الفترة اللاحقة للإنهاء على أساس تناسبي.

القانون الحاكم والاختصاص القضائي

إذا كان العميل خاضعًا للائحة العامة لحماية البيانات، تخضع اتفاقية معالجة البيانات هذه للقانون نفسه الذي تخضع له البنود التعاقدية القياسية بموجب البند 17 (راجع القسم 8)، بحيث تكون عقدًا خاضعًا لقانون دولة عضو وفق ما تقتضيه المادة 28(3) من اللائحة العامة لحماية البيانات، وتُحال المنازعات الناشئة عنها إلى المحاكم المختارة بموجب البند 18. وإذا كانت اللائحة العامة لحماية البيانات في المملكة المتحدة هي وحدها السارية، فتخضع الاتفاقية لقانون إنجلترا وويلز. وفي جميع الحالات الأخرى، تخضع الاتفاقية لـقوانين ولاية فلوريدا، الولايات المتحدة، وتختص محاكم الولاية والمحاكم الفيدرالية الواقعة في مقاطعة ميامي-ديد، فلوريدا بنظر المنازعات، على النحو المبين في الشروط.

التغييرات على اتفاقية معالجة البيانات هذه

يجوز لنا تحديث اتفاقية معالجة البيانات هذه من أجل:

• مراعاة التغييرات في قانون حماية البيانات أو إرشادات السلطات أو المحاكم أو البنود التعاقدية القياسية الجديدة؛
• مراعاة التغييرات في الخدمة التي لا تقلل حماية البيانات الشخصية للعميل؛ أو
• توضيح صياغتها.

نعلن عن التغييرات الجوهرية قبل 30 يومًا على الأقل من دخولها حيز النفاذ، وذلك عبر بريد إلكتروني إلى مالك حساب العميل وعلى هذه الصفحة. ولا تقلل التغييرات مطلقًا المستوى العام لحماية البيانات الشخصية للعميل. وتتوفر الإصدارات السابقة عند الطلب.

الإشعارات

يرسل العميل الإشعارات بموجب اتفاقية معالجة البيانات هذه إلى privacy@exitomail.com. ونرسل نحن الإشعارات إلى عنوان البريد الإلكتروني لمالك حساب العميل.

قابلية الفصل

إذا تبيّن أن أي حكم من أحكام اتفاقية معالجة البيانات هذه باطل أو غير قابل للإنفاذ، تظل بقية أحكامها نافذة، ويُستبدل بذلك الحكم حكم صحيح يحقق مقصده الأصلي إلى أقصى حد ممكن.

A. قائمة الأطراف

مصدّر البيانات (المتحكم، أو المعالج نيابةً عن المتحكم التابع له)

الاسم والعنوان

العميل، وفقًا لاسم المؤسسة وبيانات الاتصال والفوترة المقدمة عند التسجيل أو في الإعدادات.

جهة الاتصال

مالك حساب العميل، أو جهة اتصال أخرى يحددها العميل لنا كتابيًا.

الأنشطة

استخدام الخدمة (ExitoMail وExito Vault وExito Transfer والنطاقات المخصّصة) لأغراضه التجارية.

الدور

متحكم (الوحدة 2 من البنود التعاقدية القياسية) أو معالج (الوحدة 3 من البنود التعاقدية القياسية).

التوقيع والتاريخ

قبول الشروط، بما فيها اتفاقية معالجة البيانات هذه، في تاريخ القبول.

مستورد البيانات (المعالج)

الاسم والعنوان

EXITO Media LLC، وهي شركة ذات مسؤولية محدودة مؤسسة في وايومنغ (مكتب وزير خارجية ولاية وايومنغ، معرّف الإيداع 2022-001141268)، وعنوان مقر أعمالها هو ⁦111 NE 1st St, 8th Floor, #88287, Miami, FL 33132, United States⁩

جهة الاتصال

privacy@exitomail.com

مسؤول حماية البيانات

لم يُعيّن مسؤول لحماية البيانات. ويتولى فريق الخصوصية المسائل المتعلقة بحماية البيانات.

الممثل في الاتحاد الأوروبي (المادة 27 من اللائحة العامة لحماية البيانات)

Data Protection Representative Limited (trading as DataRep)، 77 Camden Street Lower, Dublin, D02 XE80, Ireland. بريد إلكتروني: datarequest@datarep.com (اكتب “EXITO Media LLC” في سطر الموضوع). النموذج الإلكتروني: datarep.com/data-request (يُفتح في علامة تبويب جديدة). ولديه أيضًا عنوان في كل دولة أخرى من دول الاتحاد الأوروبي والمنطقة الاقتصادية الأوروبية: اطّلع على جميع العناوين.

الأنشطة

تقديم الخدمة إلى العميل بموجب الشروط.

الدور

معالج (الوحدة 2 من البنود التعاقدية القياسية) أو معالج فرعي (الوحدة 3 من البنود التعاقدية القياسية).

التوقيع والتاريخ

على النحو المتبع لمصدّر البيانات.

B. وصف المعالجة

فئات أصحاب البيانات

• المستخدمون. المالك وأعضاء مؤسسة العميل، وأي شخص آخر يمنحه العميل حسابًا.
• المراسلون. الأشخاص الذين يرسلون بريدًا إلى المستخدمين أو يتلقون بريدًا منهم.
• جهات الاتصال. الأشخاص الذين يخزّن المستخدمون بياناتهم ضمن جهات الاتصال أو الرسائل أو الملفات.
• متلقو Transfer والملفات المشتركة. الأشخاص الذين يتلقون روابط Exito Transfer أو روابط مشاركة Exito Vault من المستخدمين، والأشخاص الذين يحمّلون ملفات إلى المستخدمين عبر روابط «طلب الملفات».
• الأشخاص المذكورون في المحتوى. أي شخص يرد اسمه أو وصفه في البريد أو الملفات أو عمليات النقل.

فئات البيانات الشخصية

• البريد. نصوص الرسائل ومرفقاتها، وأسطر الموضوع، وعناوين المرسلين والمستلمين، والرؤوس (بما فيها عناوين IP لخوادم الإرسال)، والتواريخ، والمجلدات، والعلامات، وفهارس البحث.
• جهات الاتصال. الأسماء وعناوين البريد الإلكتروني وغيرها من البيانات التي يخزّنها المستخدمون.
• Exito Vault. الملفات والمجلدات وأسماؤها وأحجامها وأنواعها، وروابط المشاركة وإعداداتها.
• Exito Transfer. الملفات وأسماؤها وأحجامها، وعناوين البريد الإلكتروني للمستلمين، والرسائل الموجّهة إليهم، وإعدادات الروابط، وأحداث التنزيل (إيصالات التنزيل).
• بيانات الحساب. الأسماء وعناوين البريد الإلكتروني والأسماء المستعارة، والبريد الإلكتروني المخصّص للاسترداد، والأدوار والعضوية في المؤسسة، والإعدادات، وبيانات المصادقة (تجزئات كلمات المرور وأسرار المصادقة الثنائية).
• السجلات. عناوين IP، ومعلومات المتصفح وبرنامج العميل، والطوابع الزمنية، وأحداث تسجيل الدخول، وسجلات الطلبات وتسليم البريد، وسجل تدقيق الإجراءات الإدارية.
• بيانات النطاقات. أسماء النطاقات المخصّصة، وسجلات DNS وحالة التحقق، ومفاتيح DKIM، وأي بيانات اعتماد لمزوّد DNS يختار العميل تقديمها للإعداد التلقائي.

البيانات الحساسة

لا نطلب فئات خاصة من البيانات الشخصية ولا نعتزم معالجتها. ومع ذلك، يجوز للعميل ومستخدميه تضمين هذه البيانات في البريد أو الملفات أو عمليات النقل. وتحمي التدابير نفسها (الملحق II) جميع المحتويات، وهي: تقييد وصول الموظفين، واستخدام TLS أثناء النقل، والتشفير عند التخزين في مساحة تخزين الكائنات، وعدم تحليل المحتوى إلا لأغراض التصفية الآلية للرسائل غير المرغوب فيها والبرمجيات الضارة والفهرسة لأغراض البحث.

وتيرة النقل

مستمر طوال مدة استخدام العميل للخدمة.

طبيعة المعالجة

استضافة البريد وتخزينه ونقله واستلامه وتسليمه، وتصفيته للكشف عن الرسائل غير المرغوب فيها والبرمجيات الضارة، وفهرسته لأغراض البحث، وإنشاء النسخ الاحتياطية واستعادتها وحذفها، وتقديم الدعم والإدارة ذوي الصلة.

الغرض من المعالجة

تقديم الخدمة إلى العميل وصيانتها وتأمينها ودعمها، وفقًا لتعليمات العميل.

الاحتفاظ

على النحو المبين في الجدول أدناه.

عمليات النقل إلى المعالجين الفرعيين

إلى المعالجين الفرعيين الواردين في الملحق III، للموضوع والطبيعة والمدة المبينة فيه وفي هذا الملحق.

C. السلطة الإشرافية المختصة

السلطة الإشرافية المحددة بموجب البند 13 من البنود التعاقدية القياسية، على النحو المبين في القسم 8. ولأنه ليست لدينا منشأة في الاتحاد الأوروبي، فليست لدينا سلطة إشرافية رئيسية خاصة بنا.

هذه هي التدابير التقنية والتنظيمية التي ننفّذها بموجب المادة 32 من اللائحة العامة لحماية البيانات والبند 8.6 من البنود التعاقدية القياسية. وقد صُمم برنامجنا الأمني على غرار ISO/IEC 27001:2022 وISO/IEC 27701؛ لكنه غير حاصل على شهادة اعتماد. وتوضح المراجع ضوابط الملحق A من ISO/IEC 27001:2022 التي يدعمها كل تدبير. ونراجع هذه التدابير مرة واحدة سنويًا على الأقل، وكذلك بعد التغييرات أو الحوادث المهمة.

A.5 الضوابط التنظيمية

A.6 ضوابط الأفراد

A.7 الضوابط المادية

A.8 الضوابط التقنية

تدابير مساعدة العميل

• أدوات للخدمة الذاتية تتيح الوصول إلى البيانات وتصديرها وتصحيحها وحذفها (القسم 9).
• الإخطار بالخرق دون تأخير لا مبرر له وفي غضون 72 ساعة من العلم به (القسم 11).
• الوثائق اللازمة لتقييمات الأثر وعمليات التدقيق (القسم 10 والقسم 13).

تدابير المعالجين الفرعيين

يجب على كل معالج فرعي تنفيذ تدابير توفر، للمعالجة التي يجريها، مستوى حماية لا يقل عن المستوى المبين في هذا الملحق، على النحو المحدد في اتفاقنا الكتابي معه (القسم 7).

يأذن العميل بالاستعانة بالمعالجين الفرعيين الآتيين. وتُنشر القائمة نفسها، مع أي تغييرات مُعلن عنها، في صفحة المعالجون الفرعيون الخاصة بنا. وتخضع التغييرات للإجراء الوارد في القسم 7.