اتفاقية معالجة البيانات وفقًا للمادة 28 من GDPR
النسخة الصادرة في 2 أكتوبر 2026
بين
العميل المعني لخدمة BookinX، الذي يُذكر اسمه أو اسم شركته وعنوانه وبيانات الاتصال به في إطار التسجيل أو إدارة العقد،
ويُشار إليه فيما يلي بـ „صاحب التكليف“ أو „المسؤول عن المعالجة“،
و
Robert F. Craciun
Girardigasse 4/28
1060 Wien
Österreich
الهاتف: +436641664446
البريد الإلكتروني: robert@x-orbit.app
مشغّل خدمة BookinX وكذلك Xorbit
ويُشار إليه فيما يلي بـ „منفّذ التكليف“ أو „معالج البيانات“.
ويُشار إليهما معًا فيما يلي بـ „الطرفين“.
ويُشار إلى اتفاقية معالجة البيانات هذه، بما في ذلك ملاحقها، فيما يلي بـ „الاتفاقية“.
⸻
1. الموضوع ونطاق السريان
1.1. يوفّر منفّذ التكليف لصاحب التكليف خدمة حجز المواعيد BookinX. ويمكن لصاحب التكليف باستخدام BookinX على وجه الخصوص إعداد صفحات حجز، وإدارة المواعيد، وتمكين عملائه النهائيين والمهتمين من حجز المواعيد.
1.2. بقدر ما يعالج منفّذ التكليف في إطار توفير BookinX بيانات شخصية نيابةً عن صاحب التكليف، يتصرف صاحب التكليف بصفته مسؤولًا عن المعالجة وفقًا للمادة 4 البند 7 من GDPR، ومنفّذ التكليف بصفته معالجًا للبيانات وفقًا للمادة 4 البند 8 من GDPR.
1.3. تحدد هذه الاتفاقية بالتفصيل حقوق الطرفين والتزاماتهما المتعلقة بحماية البيانات، وتُعَدّ جزءًا من العقد الرئيسي القائم بين الطرفين بشأن استخدام BookinX.
1.4. لا تسري هذه الاتفاقية إلا على أنشطة المعالجة التي يعالج فيها منفّذ التكليف بيانات شخصية نيابةً عن صاحب التكليف.
1.5. بقدر ما يعالج منفّذ التكليف بيانات شخصية لأغراضه الخاصة وعلى مسؤوليته الخاصة من منظور حماية البيانات، ولا سيما لإدارة العقود أو الفوترة أو أمن تقنية المعلومات أو الوفاء بالتزاماته القانونية الخاصة، فإن أنشطة المعالجة هذه لا تدخل في موضوع هذه الاتفاقية. وتخضع لسياسة الخصوصية الخاصة بـ BookinX وللأحكام القانونية السارية.
1.6.يشغّل منفّذ التكليف على صفحات الحجز، على مسؤوليته الخاصة، إحصاءات استخدام قائمة على الموافقة على خوادمه الخاصة في النمسا. ولا تدخل فيها محتويات الحجوزات.
⸻
2. إبرام العقد إلكترونيًا
2.1. تُبرَم هذه الاتفاقية إلكترونيًا بوصفها جزءًا من العلاقة التعاقدية بشأن استخدام BookinX.
2.2. يوافق صاحب التكليف على هذه الاتفاقية في إطار التسجيل من خلال إقرار إلكتروني صريح.
2.3. تُزوَّد نسخة الاتفاقية السارية وقت إبرام العقد بتاريخ النسخة أو بمعرّف الإصدار، وتُتاح لصاحب التكليف إلكترونيًا.
2.4. يوثّق منفّذ التكليف إبرام الاتفاقية بطريقة مناسبة. ويمكن لهذا الغرض أن يُخزَّن على وجه الخصوص حساب العميل، ونسخة العقد المستخدمة أو معرّف الإصدار، ووقت الموافقة.
2.5. في حال التعارض بين هذه الاتفاقية واتفاقات أخرى بين الطرفين، تكون الأولوية لأحكام هذه الاتفاقية فيما يتعلق بمعالجة البيانات الشخصية بالتكليف، ما لم ينص القانون الآمر على خلاف ذلك.
⸻
3. موضوع المعالجة وطبيعتها والغرض منها
3.1. موضوع المعالجة هو توفير خدمة حجز المواعيد BookinX وتشغيلها التقني لصالح صاحب التكليف.
3.2. تشمل المعالجة، بقدر ما يكون ذلك ضروريًا للخدمة المتفق عليها، على وجه الخصوص:
a. جمع بيانات الحجز وتلقّيها،
b. تخزين الحجوزات وإدارتها،
c. عرض معلومات المواعيد والمشاركين ونقلها،
d. إرسال رسائل البريد الإلكتروني الضرورية تقنيًا فيما يتعلق بالحجوزات،
e. إدارة الموظفين وصلاحياتهم،
f. إدارة توافر المواعيد وعرضه،
g. عند تفعيل تكامل التقويم، الوصول الضروري تقنيًا إلى معلومات التقويم،
h. عند تفعيل وظيفة مؤتمرات الفيديو، التوفير التقني للبيانات اللازمة لذلك أو تمريرها،
i. النسخ الاحتياطي للبيانات واستعادتها،
j. التسجيل المتعلق بالأمن،
k. تصدير البيانات الشخصية وتصحيحها وحذفها.
3.3. تُستمَد تفاصيل موضوع المعالجة والغرض منها وأنواع البيانات وفئات أصحاب البيانات من الملحق 1.
⸻
4. مدة المعالجة
4.1. تتم المعالجة بالتكليف من حيث المبدأ طوال مدة العقد الرئيسي بشأن استخدام BookinX.
4.2. بعد انتهاء العقد الرئيسي لا يعالج منفّذ التكليف البيانات الشخصية إلا بقدر ما يكون ذلك ضروريًا لإعادة البيانات أو تصديرها أو حذفها، أو بناءً على التزامات قانونية آمرة.
4.3. يجوز لصاحب التكليف قبل الحذف النهائي أن يطلب تصدير البيانات الخاضعة لسيطرته بصيغة شائعة قابلة للقراءة آليًا، ولا سيما CSV أو JSON.
4.4. تُحذَف البيانات الشخصية المعالَجة بالتكليف أو تُعاد بناءً على تعليمات صاحب التكليف في موعد أقصاه ستة أشهر بعد انتهاء العقد الرئيسي، ما لم يقتضِ قانون الاتحاد الأوروبي أو القانون النمساوي مواصلة تخزينها.
4.5. بقدر ما تظل البيانات الشخصية بعد حذفها من الأنظمة الإنتاجية موجودة فقط في النسخ الاحتياطية، ويكون حذفها انتقائيًا غير ممكن تقنيًا أو مرتبطًا بجهد غير متناسب، يجوز أن تظل مخزَّنة إلى حين الانقضاء الاعتيادي لمدة الاحتفاظ بالنسخة الاحتياطية المعنية. وخلال هذه الفترة لا يجوز معالجتها لأغراض أخرى، ويجب حمايتها من الوصول الإنتاجي الاعتيادي.
⸻
5. الالتزام بالتعليمات
5.1. لا يعالج منفّذ التكليف البيانات الشخصية إلا بناءً على تعليمات موثقة من صاحب التكليف، ما لم يكن ملزمًا بمعالجة معيّنة بموجب قانون الاتحاد الأوروبي أو القانون النمساوي.
5.2. تُعَدّ تعليمات موثقة على وجه الخصوص:
a. هذه الاتفاقية والعقد الرئيسي،
b. الإعدادات والتهيئات التي يجريها صاحب التكليف داخل BookinX،
c. تفعيل الوظائف والتكاملات الاختيارية من قِبل صاحب التكليف أو المستخدمين المخوَّلين لديه،
d. تعليمات صاحب التكليف بصيغة نصية.
5.3. إذا كان منفّذ التكليف ملزمًا بمعالجة ما بموجب قانون الاتحاد الأوروبي أو القانون النمساوي، فإنه يُبلغ صاحب التكليف بهذا الالتزام القانوني قبل المعالجة، ما لم يحظر القانون المعني هذا الإبلاغ لأسباب جوهرية تتعلق بالمصلحة العامة.
5.4. إذا رأى منفّذ التكليف أن تعليمات صاحب التكليف تخالف GDPR أو غيرها من أحكام حماية البيانات السارية، فإنه يُبلغ صاحب التكليف بذلك دون تأخير.
5.5. يجوز لمنفّذ التكليف تعليق تنفيذ أي تعليمات مخالفة للقانون بشكل واضح إلى حين البت فيها.
⸻
6. التزامات صاحب التكليف
6.1. يكون صاحب التكليف مسؤولًا عن مشروعية معالجة البيانات الشخصية وعن صون حقوق أصحاب البيانات.
6.2. يضمن صاحب التكليف على وجه الخصوص وجود أساس قانوني كافٍ لعمليات المعالجة التي تتم عبر BookinX، وحصول أصحاب البيانات على معلومات حماية البيانات المطلوبة قانونًا.
6.3. لا يصدر صاحب التكليف إلا تعليمات مشروعة.
6.4. يقرر صاحب التكليف على وجه الخصوص غرض معالجة بيانات عملائه النهائيين والمهتمين وموظفيه ووسائلها الجوهرية، وكذلك تفعيل التكاملات الاختيارية.
6.5. يُبلغ صاحب التكليف منفّذ التكليف دون تأخير إذا اكتشف أخطاء أو مخالفات أو انتهاكات محتملة لحماية البيانات فيما يتعلق بالمعالجة بالتكليف.
⸻
7. السرية وسرية البيانات
7.1. يضمن منفّذ التكليف أن الأشخاص المخوَّلين بمعالجة البيانات الشخصية قد التزموا بالسرية أو يخضعون لالتزام قانوني مناسب بكتمان السر.
7.2. لا يجوز معالجة البيانات الشخصية إلا وفقًا للتعليمات الموثقة الصادرة عن صاحب التكليف، وفقط بالقدر اللازم لأداء المهام المعنية.
7.3. يظل الالتزام بالسرية ساريًا حتى بعد انتهاء النشاط المعني.
7.4. يراعي منفّذ التكليف وموظفوه، بقدر ما ينطبق ذلك، سرية البيانات وفقًا لـ § 6 من قانون حماية البيانات النمساوي (DSG).
⸻
8. التدابير التقنية والتنظيمية
8.1. يتخذ منفّذ التكليف، مع مراعاة أحدث ما توصلت إليه التقنية وتكاليف التنفيذ وطبيعة المعالجة ونطاقها وظروفها وأغراضها، وكذلك تفاوت احتمالية وقوع المخاطر وجسامتها، تدابير تقنية وتنظيمية مناسبة وفقًا للمادة 32 من GDPR.
8.2. التدابير التقنية والتنظيمية المتفق عليها موصوفة في الملحق 2.
8.3. يجوز لمنفّذ التكليف خلال مدة العقد تطوير التدابير التقنية والتنظيمية واستبدالها بتدابير معادلة أو أكثر فاعلية، شريطة ألا ينخفض بذلك مستوى الأمان المتفق عليه.
8.4. تُوثَّق التغييرات الجوهرية ذات الصلة بالأمن توثيقًا مناسبًا.
⸻
9. الفصل بين المستأجرين وبين صلاحيات الوصول
9.1. يستخدم منفّذ التكليف آليات تقنية وتنظيمية للفصل بين بيانات أصحاب التكليف المختلفين.
9.2. يُقيَّد الوصول إلى البيانات الشخصية وفقًا لمبدأ الحاجة إلى المعرفة (Need-to-know) ومبدأ الحد الأدنى من الصلاحيات (Least-Privilege).
9.3. تُراقَب الأدوار والصلاحيات من جانب الخادم.
9.4. تراعي عمليات الوصول إلى قاعدة البيانات تخصيص المستأجرين والموارد، وذلك لمنع الوصول غير المصرح به عبر المستأجرين.
⸻
10. الدعم في ممارسة حقوق أصحاب البيانات
10.1. يدعم منفّذ التكليف صاحب التكليف، مع مراعاة طبيعة المعالجة، من خلال تدابير تقنية وتنظيمية مناسبة في الوفاء بالتزاماته تجاه أصحاب البيانات.
10.2. ويتعلق ذلك على وجه الخصوص بالحقوق التالية:
a. الاطلاع،
b. التصحيح،
c. الحذف،
d. تقييد المعالجة،
e. نقل البيانات،
f. الاعتراض، بقدر ما ينطبق ذلك.
10.3. إذا وجّه صاحب بيانات طلبًا مباشرةً إلى منفّذ التكليف، وكان هذا الطلب يتعلق ببيانات شخصية تُعالَج نيابةً عن صاحب تكليف، يحيل منفّذ التكليف الطلب دون تأخير إلى صاحب التكليف المعني، بقدر ما يمكن تحديد صلته به.
10.4. لا يجيب منفّذ التكليف عن مضمون مثل هذا الطلب من تلقاء نفسه، ما لم يكن صاحب التكليف قد وجّهه إلى ذلك أو كان ملزمًا به قانونًا.
⸻
11. التزامات دعم أخرى
11.1. يدعم منفّذ التكليف صاحب التكليف، مع مراعاة طبيعة المعالجة والمعلومات المتاحة له، في الامتثال للالتزامات الواردة في المواد من 32 إلى 36 من GDPR.
11.2. ويشمل الدعم على وجه الخصوص:
a. أمن المعالجة،
b. التحقيق في انتهاكات حماية البيانات الشخصية وتقييمها،
c. الوفاء بالتزامات الإخطار والإبلاغ القانونية،
d. تقييمات الأثر على حماية البيانات وفقًا للمادة 35 من GDPR،
e. المشاورات المسبقة مع السلطة الرقابية المختصة وفقًا للمادة 36 من GDPR.
11.3. يوفّر منفّذ التكليف لصاحب التكليف لهذا الغرض، بقدر مناسب، المعلومات المتوفرة لديه واللازمة للفحص المعني.
⸻
12. انتهاكات حماية البيانات الشخصية
12.1. إذا علم منفّذ التكليف بانتهاك لحماية البيانات الشخصية يمس البيانات المعالَجة نيابةً عن صاحب التكليف، فإنه يُبلغ صاحب التكليف دون تأخير، وفي جميع الأحوال في موعد أقصاه 48 ساعة من العلم به.
12.2. يتضمن الإخطار، بقدر ما تتوفر المعلومات ذات الصلة:
a. وصفًا لطبيعة الانتهاك،
b. فئات البيانات الشخصية وفئات أصحاب البيانات المتأثرين،
c. العدد التقريبي لأصحاب البيانات والسجلات المتأثرة، بقدر الإمكان،
d. العواقب المعروفة أو المحتملة للانتهاك،
e. تدابير المعالجة المتخذة بالفعل أو المقترحة،
f. بيانات الاتصال للحصول على مزيد من المعلومات.
12.3. إذا لم تكن جميع المعلومات متاحة في الوقت نفسه، فإنها تُستكمَل تدريجيًا دون تأخير إضافي غير مبرر.
12.4. يعود القرار بشأن ما إذا كان يلزم إخطار سلطة رقابية وفقًا للمادة 33 من GDPR أو إبلاغ أصحاب البيانات وفقًا للمادة 34 من GDPR إلى صاحب التكليف بصفته المسؤول عن المعالجة.
12.5. يوثّق منفّذ التكليف انتهاكات حماية البيانات التي تخصه بطريقة مناسبة، ويدعم صاحب التكليف في تقصّي الوقائع اللازم.
⸻
13. المعالجون من الباطن
13.1. يمنح صاحب التكليف منفّذ التكليف إذنًا عامًا بالاستعانة بالمعالجين من الباطن المدرجين في الملحق 3.
13.2. يُبلغ منفّذ التكليف صاحب التكليف قبل 30 يومًا على الأقل من الاستعانة المزمعة بمعالج من الباطن جديد أو استبدال معالج من الباطن قائم.
13.3. يمكن أن يتم الإبلاغ على وجه الخصوص عبر البريد الإلكتروني أو عبر حساب عميل BookinX.
13.4. يجوز لصاحب التكليف الاعتراض على أي تغيير خلال مهلة الثلاثين يومًا لأسباب مبررة موضوعيًا تتعلق بحماية البيانات.
13.5. إذا تعذّر على الطرفين حل اعتراض مبرر، وكان المعالج من الباطن المعني ضروريًا لتقديم الخدمة، يجوز إنهاء الخدمة المعنية أو العقد الرئيسي وفقًا لأحكام الإنهاء المتفق عليها.
13.6. يُلزم منفّذ التكليف المعالجين من الباطن تعاقديًا بالتزامات لحماية البيانات تستوفي، فيما يخص أنشطة المعالجة المسندة إليهم، متطلبات المادة 28 الفقرة 4 من GDPR.
13.7. يظل منفّذ التكليف مسؤولًا تجاه صاحب التكليف، بالقدر المنصوص عليه قانونًا، عن وفاء المعالجين من الباطن التابعين له بالتزاماتهم المتعلقة بحماية البيانات.
⸻
14. نقل البيانات إلى دول ثالثة
14.1. تتم معالجة البيانات الشخصية من حيث المبدأ داخل الاتحاد الأوروبي أو المنطقة الاقتصادية الأوروبية، ما لم يُذكر خلاف ذلك في الملحق 3.
14.2. لا يتم نقل البيانات الشخصية إلى دولة ثالثة أو إلى منظمة دولية إلا إذا استُوفيت الشروط الواردة في المادة 44 وما يليها من GDPR.
14.3. عند الاقتضاء، يستند النقل إلى دولة ثالثة على وجه الخصوص إلى قرار ملاءمة صادر عن المفوضية الأوروبية أو إلى ضمانات مناسبة وفقًا للمادة 46 من GDPR.
14.4. بقدر ما تكون البنود التعاقدية القياسية أو تدابير الحماية التكميلية ضرورية للنقل إلى دولة ثالثة، فإنها تُعتمَد قبل بدء النقل المعني.
⸻
15. الإثباتات وحقوق الرقابة
15.1. يوفّر منفّذ التكليف لصاحب التكليف عند الطلب جميع المعلومات اللازمة لإثبات الامتثال للالتزامات الواردة في المادة 28 من GDPR.
15.2. يمكن أن يتم الإثبات على وجه الخصوص من خلال:
a. أوصاف التدابير التقنية والتنظيمية،
b. تقارير الأمن أو التدقيق،
c. عمليات الفحص الداخلية الموثقة،
d. أي إثباتات مناسبة أخرى.
15.3. يحق لصاحب التكليف إجراء عمليات رقابة بنفسه أو من خلال مدقق مستقل ملتزم بالسرية، بقدر ما يكون ذلك ضروريًا للتحقق من الامتثال لهذه الاتفاقية.
15.4. تتم عمليات الفحص في الموقع من حيث المبدأ بعد إشعار مسبق مناسب وخلال ساعات العمل المعتادة.
15.5. لا يلزم الإشعار المسبق إذا كان حادث أمني جسيم أو اشتباه مبرر في انتهاك جسيم لحماية البيانات يجعل إجراء رقابة على وجه السرعة ضروريًا من الناحية الموضوعية.
15.6. تُجرى عمليات الرقابة بطريقة تظل معها الأسرار التجارية ومصالح الأمن والبيانات الشخصية لأصحاب التكليف الآخرين محمية بشكل مناسب.
15.7. يتعاون منفّذ التكليف مع السلطة الرقابية المختصة بحماية البيانات بالقدر المطلوب قانونًا.
⸻
16. الإعادة والحذف
16.1. بعد انتهاء المعالجة بالتكليف، يحذف منفّذ التكليف، بحسب اختيار صاحب التكليف، البيانات الشخصية المعالَجة بالتكليف أو يعيدها إلى صاحب التكليف، ما لم يوجد التزام قانوني بمواصلة تخزينها.
16.2. يجوز لصاحب التكليف قبل الحذف النهائي أن يطلب تصدير البيانات المخزَّنة لصالحه بصيغة CSV و/أو JSON.
16.3. إذا لم يُصدر صاحب التكليف تعليمات مغايرة، يحق لمنفّذ التكليف حذف البيانات وفقًا لأحكام البند 4.
16.4. البيانات التي يجب مواصلة تخزينها بموجب التزامات قانونية بالحفظ تُحجَب عن الأغراض الأخرى، أو تُقصَر معالجتها على القدر المطلوب قانونًا.
⸻
17. المسؤولية
17.1. تسري على مسؤولية الطرفين عن مخالفات GDPR الأحكام القانونية، ولا سيما المادة 82 من GDPR.
17.2. لا تتأثر بذلك أحكام المسؤولية القانونية الآمرة.
17.3. لا تسري قيود المسؤولية الواردة في العقد الرئيسي بقدر ما يكون هذا التقييد غير جائز بموجب GDPR أو غيرها من القوانين الآمرة.
⸻
18. التعديلات على هذه الاتفاقية
18.1. تُبلَّغ التعديلات على هذه الاتفاقية لصاحب التكليف بصيغة نصية أو عبر وسيلة اتصال إلكترونية دائمة أخرى.
18.2. يُعلَن عن التغييرات الجوهرية في حقوق الطرفين والتزاماتهما بمهلة مسبقة مناسبة.
18.3. تخضع التعديلات المتعلقة بالاستعانة بمعالجين من الباطن أو استبدالهم، بصرف النظر عن ذلك، لأحكام البند 13.
18.4. تُزوَّد نسخ هذه الاتفاقية السارية على صاحب التكليف بتاريخ النسخة أو بمعرّف الإصدار، وتُوثَّق بطريقة قابلة للتتبع.
⸻
19. القانون الواجب التطبيق والاختصاص القضائي
19.1. تخضع هذه الاتفاقية للقانون النمساوي، ما لم ينص قانون الاتحاد الأوروبي الآمر أو أي قانون آمر آخر على خلاف ذلك.
19.2. بقدر ما يكون الاتفاق على الاختصاص القضائي جائزًا قانونًا، يُتفَق على اختصاص المحاكم المختصة نوعيًا في Wien, Österreich بالنظر في النزاعات الناشئة عن هذه الاتفاقية أو المتعلقة بها.
19.3. لا يُقيِّد ذلك جهات الاختصاص القضائي القانونية الآمرة ولا حقوق أصحاب البيانات بموجب GDPR.
⸻
20. الأحكام الختامية
20.1. تُعَدّ الملاحق من 1 إلى 3 جزءًا لا يتجزأ من هذه الاتفاقية.
20.2. تنتهي هذه الاتفاقية من حيث المبدأ بانتهاء العقد الرئيسي. وتظل الأحكام المتعلقة بالسرية وحماية البيانات والإعادة والحذف والإثباتات والمسؤولية سارية بعد انتهاء العقد بالقدر اللازم.
20.3. إذا كانت بعض أحكام هذه الاتفاقية أو أصبحت باطلة أو غير قابلة للتنفيذ، فلا تتأثر بذلك سائر الأحكام. وتحل الأحكام القانونية السارية محل الحكم الباطل أو غير القابل للتنفيذ.
⸻
الملحق 1 – موضوع المعالجة وأنواع البيانات وأصحاب البيانات
1. الموضوع
توفير خدمة حجز المواعيد BookinX وتشغيلها.
يمكن لصاحب التكليف إعداد صفحات حجز وتمكين عملائه النهائيين والمهتمين من حجز المواعيد. ويمكن لموظفي صاحب التكليف إدارة الحجوزات، واستخدام وظائف التقويم ومؤتمرات الفيديو إذا كانت مفعّلة.
2. الغرض من المعالجة
تتم المعالجة على وجه الخصوص لأغراض:
- تلقّي حجوزات المواعيد وإدارتها،
- تنسيق أوقات التوافر وعرضها،
- التواصل فيما يتعلق بالمواعيد،
- إدارة الموظفين المشاركين في عملية الحجز،
- المزامنة مع التقويمات المرتبطة،
- التحضير للمواعيد (جدول الأعمال، أهداف المحادثة، المستندات)،
- حجز الغرف من قِبل موظفي صاحب التكليف،
- التوفير التقني لمؤتمرات الفيديو، إذا كان ذلك مفعّلًا،
- تسجيل مؤتمرات الفيديو وتفريغها نصيًا وتلخيصها، إذا بدأ ذلك الشخص المنظِّم،
- عرض الملفات الشخصية العامة للموظفين، إذا تم السماح بذلك،
- استيراد قوائم المستخدمين من قِبل صاحب التكليف،
- مسك سجل التغييرات لمسؤولي النظام لدى صاحب التكليف،
- ضمان أمن الخدمة وتوافرها وقابليتها للاستعادة.
3. فئات أصحاب البيانات
3.1. العملاء النهائيون والمهتمون لدى صاحب التكليف
الأشخاص الذين يحجزون موعدًا عبر صفحة حجز BookinX أو يتفاعلون مع صاحب التكليف فيما يتعلق بحجز موعد.
3.2. موظفو صاحب التكليف
الموظفون أو المتعاونون المستقلون أو غيرهم من المستخدمين المخوَّلين من قِبل صاحب التكليف الذين يعرضون المواعيد عبر BookinX أو يديرونها أو يشاركون فيها.
4. فئات البيانات الشخصية
4.1. العملاء النهائيون والمهتمون
بحسب الإعدادات:
- صيغة المخاطبة،
- اللقب،
- الاسم الأول،
- اسم العائلة،
- عنوان البريد الإلكتروني،
- الشركة،
- الرسالة أو معلومات الحجز التي يدخلها العميل النهائي،
- وقت الموعد،
- المنطقة الزمنية،
- اللغة،
- وقت الموافقة، بقدر ما تُوثَّق موافقة عبر BookinX،
- بيانات التسليم التقنية المتعلقة برسائل البريد الإلكتروني،
- بيانات التحضير للموعد، ولا سيما إضافات جدول الأعمال وهدف المحادثة الخاص،
- مرات فتح صفحة التحضير للموعد،
- عند بدء تسجيل مؤتمر فيديو: الصورة والصوت (لفترة قصيرة)، والتسجيل الصوتي (حتى التفريغ النصي)، والنص المفرّغ، والملخص، وكذلك اسم العرض وأوقات التحدث.
4.2. موظفو صاحب التكليف
بحسب الاستخدام والإعدادات:
- الاسم،
- عنوان البريد الإلكتروني،
- رقم الهاتف،
- الدور والصلاحية،
- صورة الملف الشخصي، اختياريًا،
- نبذة تعريفية قصيرة، اختياريًا،
- فيديو تعريفي، اختياريًا،
- الوظيفة أو المنصب والقسم،
- صيغة المخاطبة واللغة، بما في ذلك من قائمة مستخدمين يستوردها صاحب التكليف،
- بيانات الملف الشخصي العام، اختياريًا: التحية، ونص „Über mich“ (نبذة عني)، والشعار، ووصف الشركة، وفيديو الشركة، ولافتة الملف الشخصي،
- رمز QR وبطاقة الاتصال الرقمية (الاسم، الشركة، رقم الهاتف، عنوان البريد الإلكتروني)، اختياريًا،
- أوقات الانشغال في التقويم عند ربط تقويم (Microsoft 365 أو Google Kalender أو Apple Kalender)،
- المواعيد وفترات الغياب المكتوبة أو المُدرجة عند ربط تقويم،
- حجوزات الغرف (الغرفة، العنوان، البداية، النهاية، الشخص الحاجز)،
- الإدخالات في سجل التغييرات (من غيّر ماذا ومتى، دون المحتوى المعدَّل)،
- عند بدء تسجيل مؤتمر فيديو: الصورة والصوت (لفترة قصيرة)، والتسجيل الصوتي (حتى التفريغ النصي)، والنص المفرّغ، والملخص، وكذلك اسم العرض وأوقات التحدث،
- رموز الوصول المخزَّنة مشفّرة للخدمات المرتبطة.
5. الفئات الخاصة من البيانات الشخصية
لا يهدف BookinX في إطار وظائفه الاعتيادية إلى جمع فئات خاصة من البيانات الشخصية وفقًا للمادة 9 من GDPR. وعند تسجيل مؤتمرات الفيديو لا تُقيَّم الأصوات بغرض التعرّف على الأشخاص؛ ويتم ربط المتحدثين حصرًا عبر اسم العرض في المؤتمر.
بقدر ما يتيح صاحب التكليف نقل مثل هذه البيانات، ولا سيما عبر حقول النص الحر أو غيرها من إمكانيات الإدخال، يكون صاحب التكليف مسؤولًا عن توفر أساس قانوني مناسب وعن الوفاء بالمتطلبات الإضافية المتعلقة بحماية البيانات.
ولا يعالج منفّذ التكليف مثل هذه البيانات إلا وفقًا للتعليمات الموثقة الصادرة عن صاحب التكليف وفي إطار وظائف BookinX المتفق عليها.
6. عمليات المعالجة
بحسب الاستخدام، على وجه الخصوص:
- الجمع،
- التسجيل،
- الترتيب،
- التخزين،
- الاستعلام،
- العرض،
- النقل،
- المزامنة،
- التحديث،
- النسخ الاحتياطي،
- التصدير،
- التقييد،
- الحذف.
7. مكان المعالجة الأساسي
تتم المعالجة الأساسية على خوادم منفّذ التكليف الخاصة في النمسا.
وتُستمَد أماكن المعالجة الأخرى من الملحق 3.
⸻
الملحق 2 – التدابير التقنية والتنظيمية
1. تشفير النقل
- تشفير الاتصالات الخارجية باستخدام TLS.
- منع الوصول غير المشفّر أو إعادة توجيهه، بقدر ما يكون ذلك ممكنًا تقنيًا.
- التواصل المشفّر مع الخدمات الخارجية المرتبطة.
2. أمان كلمات المرور
- عدم تخزين كلمات المرور بنص صريح.
- تجزئة كلمات المرور باستخدام Argon2id.
- اختيار معلمات Argon2id مناسبة ومراجعتها بانتظام.
3. حماية رموز الوصول الخارجية
- التخزين المشفّر لرموز الوصول للخدمات المرتبطة.
- التشفير باستخدام AES-256-GCM.
- الفصل بين مفاتيح التشفير والبيانات المفيدة المشفّرة.
- تدوير المفاتيح.
- قصر الوصول إلى المفاتيح على المكونات الضرورية تقنيًا والأشخاص المخوَّلين.
4. التحكم في الوصول والصلاحيات
- التحكم في الوصول القائم على الأدوار.
- التحقق من الصلاحيات من جانب الخادم.
- الفصل بين المستأجرين على مستوى قاعدة البيانات.
- الفصل بين الموارد والتحقق من تخصيص الموارد لمستأجر ما.
- تطبيق مبدأ الحاجة إلى المعرفة (Need-to-know) ومبدأ الحد الأدنى من الصلاحيات (Least-Privilege).
5. إدارة الجلسات
- جلسات من جانب الخادم.
- أوقات انتهاء محددة.
- إمكانية إبطال الجلسات من جانب الخادم.
- معالجة الجلسات القائمة معالجةً أمنية عند حدوث تغييرات ذات صلة.
6. الحماية من الهجمات الآلية وإساءة الاستخدام
- تحديد معدل الطلبات (Rate-Limits) لنقاط النهاية ذات الصلة بالأمن.
- تقييد الطلبات الآلية، ولا سيما في وظائف المصادقة ووظائف الحجز المتاحة للعموم.
- التحقق من صحة المدخلات ذات الصلة من جانب الخادم.
7. التسجيل
- تسجيل العمليات ذات الصلة بالأمن والإدارة في سجل تدقيق.
- سجل التغييرات لمسؤولي النظام لدى صاحب التكليف: الوقت، والشخص، والإجراء، والعنصر المتأثر، وليس المحتوى المعدَّل مطلقًا؛ ولا يكون مرئيًا إلا لمسؤولي النظام لدى المستأجر نفسه.
- مدة الاحتفاظ بسجل التدقيق: من حيث المبدأ 12 شهرًا.
- تقييد الوصول إلى معلومات التدقيق.
- عدم استخدام سجلات التدقيق للإعلان أو لإنشاء ملفات تعريف إعلانية.
8. النسخ الاحتياطي للبيانات
- نسخ احتياطية يومية مشفّرة.
- نسخة احتياطية إضافية خارج الخادم الأساسي.
- الاحتفاظ بالنسخ الاحتياطية اليومية لمدة 14 يومًا.
- الاحتفاظ بالنسخ الاحتياطية الأسبوعية لمدة 8 أسابيع.
- تقييد الوصول إلى النسخ الاحتياطية.
- اختبارات استعادة منتظمة.
9. التوافر وقابلية الاستعادة
- تدابير لاستعادة البيانات الشخصية بعد الحوادث التقنية أو المادية.
- التحقق من قابلية استعادة النسخ الاحتياطية.
- إجراء اختبارات الاستعادة وتوثيقها.
10. الفحوص الأمنية
- فحوص أمنية قبل الإصدارات.
- فحص التغييرات ذات الصلة بالأمن قبل نقلها إلى بيئة الإنتاج.
- ترتيب أولويات الثغرات الأمنية المكتشفة ومعالجتها على أساس المخاطر.
- المراجعة المنتظمة لفاعلية التدابير الأمنية.
11. تقليل البيانات
- قصر المعالجة على البيانات اللازمة للوظيفة المعنية أو البيانات التي يقدمها صاحب التكليف ضمن الوظائف المقررة.
- لا تُعالَج بيانات الملف الشخصي الاختيارية إلا عند استخدام الوظائف ذات الصلة.
- لا تُفعَّل تكاملات التقويم إلا بعد ربط صريح من قِبل مستخدم مخوَّل.
12. التتبع والإعلان
- لا توجد أدوات تتبع إعلاني ضمن المعالجة بالتكليف.
- عدم استخدام بيانات الحجز أو بيانات الموظفين المعالَجة بالتكليف للإعلانات المخصصة.
13. المراجعة والتطوير
تُراجَع التدابير التقنية والتنظيمية بانتظام، وكذلك بعد التغييرات الجوهرية أو الحوادث الأمنية، وتُطوَّر وفقًا للمخاطر ولأحدث ما توصلت إليه التقنية.
⸻
الملحق 3 – المعالجون من الباطن
يمنح صاحب التكليف إذنه العام للمعالجين من الباطن المدرجين أدناه.
1. netcup GmbH
المزوّد: netcup GmbH
المقر: ألمانيا
الخدمة: الإرسال التقني للبريد الإلكتروني
البيانات المعالَجة: عناوين البريد الإلكتروني، ومعلومات المرسل والمستلم، وكذلك بيانات البريد الإلكتروني والتسليم الضرورية تقنيًا
المعالجة: الاتحاد الأوروبي أو المنطقة الاقتصادية الأوروبية
الاستخدام: جزء من إرسال البريد الإلكتروني في BookinX
⸻
2. Microsoft Ireland Operations Limited
المزوّد: Microsoft Ireland Operations Limited
المقر: أيرلندا
الخدمة: Microsoft Graph وMicrosoft 365 وMicrosoft Teams
البيانات المعالَجة: بحسب الوظيفة المفعّلة، بيانات الموظفين، وأوقات الانشغال في التقويم، والمواعيد، وكذلك بيانات التعريف والمصادقة والاتصال الضرورية تقنيًا
الاستخدام: فقط بقدر ما يربط مستخدم مخوَّل تكامل Microsoft ذا صلة بـ BookinX أو يفعّله.
بقدر ما يتم في إطار تقديم الخدمة نقل بيانات شخصية خارج EWR، فإن ذلك يتم حصرًا مع مراعاة الشروط الواردة في المادة 44 وما يليها من GDPR.
⸻
3. Google Ireland Limited
المزوّد: Google Ireland Limited
المقر: أيرلندا
الخدمة: Google Calendar API
البيانات المعالَجة: بحسب الوظيفة المفعّلة، أوقات الانشغال في التقويم، والمواعيد، وعنوان البريد الإلكتروني لحساب Google، وكذلك بيانات المصادقة والاتصال الضرورية تقنيًا
الاستخدام: فقط بقدر ما يربط مستخدم مخوَّل تقويم Google Kalender الخاص به بـ BookinX.
بقدر ما يتم في إطار تقديم الخدمة نقل بيانات شخصية خارج EWR، فإن ذلك يتم حصرًا مع مراعاة الشروط الواردة في المادة 44 وما يليها من GDPR.
⸻
4. Apple Distribution International Ltd.
المزوّد: Apple Distribution International Ltd.
المقر: أيرلندا
الخدمة: تقويم iCloud (CalDAV)
البيانات المعالَجة: بحسب الوظيفة المفعّلة، أوقات الانشغال في التقويم، والمواعيد، ومعرّف Apple، وكذلك بيانات الاتصال الضرورية تقنيًا
الاستخدام: فقط بقدر ما يربط مستخدم مخوَّل تقويم Apple Kalender الخاص به بـ BookinX.
بقدر ما يتم في إطار تقديم الخدمة نقل بيانات شخصية خارج EWR، فإن ذلك يتم حصرًا مع مراعاة الشروط الواردة في المادة 44 وما يليها من GDPR.
⸻
5. البنية التحتية للنسخ الاحتياطي
البنية التحتية الخاصة بمنفّذ التكليف
الخدمة: نسخة احتياطية خارجية مشفّرة
البيانات المعالَجة: نسخ احتياطي مشفّر للبيانات المخزَّنة لدى BookinX
الاستخدام: النسخ الاحتياطي للبيانات واستعادتها
إذا كانت النسخة الثانية تُشغَّل حصرًا على البنية التحتية الخاصة بمنفّذ التكليف ولم يشارك أي معالج بيانات آخر، يسقط هذا الإدخال.
⸻
البنية التحتية الخاصة بمنفّذ التكليف (ليست معالجين من الباطن)
مؤتمرات الفيديو (Xorbit Meeting): نسخة خاصة من Jitsi Meet تحت meet.x-orbit.app على خوادم منفّذ التكليف في النمسا.
التسجيل والتفريغ النصي (اختياري): التسجيل عبر نسخة Jitsi الخاصة (Jibri)، والتعرّف على الكلام باستخدام Whisper، والتلخيص باستخدام نموذج اللغة Qwen 2.5 عبر Ollama، وكل ذلك على خوادم منفّذ التكليف؛ دون أي نقل إلى أطراف ثالثة ودون تدريب نماذج ببيانات العملاء. يُحذَف ملف الفيديو فور انتهاء التسجيل، والتسجيل الصوتي بعد التفريغ النصي؛ ويُخزَّن النص المفرّغ والملخص مشفّرين، ويُحذَفان بعد 30 يومًا من انتهاء التسجيل أو الموعد.
التحكم في المواعيد والمؤتمرات (MeetinX): مكوّن داخلي في BookinX على الخوادم نفسها في النمسا؛ يُنشئ غرف المؤتمرات وإدخالات التقويم. ويُخزَّن البريد الإلكتروني للمشاركين وروابط المؤتمرات مشفّرة، ويُحذَف البريد الإلكتروني للمشاركين بعد 30 يومًا من انتهاء الموعد.
النسخ الاحتياطي للبيانات: نسخ احتياطي يومي مشفّر (GPG, AES-256) على خادم لدى netcup، وكذلك نسخة ثانية مشفّرة على جهاز تابع لمنفّذ التكليف في النمسا؛ مدة الاحتفاظ 14 يومًا للنسخ اليومية، و8 أسابيع للنسخ الأسبوعية.
⸻
الموافقة الإلكترونية
يمكن في إطار التسجيل استخدام الإقرار التالي:
أوافق على شروط الاستخدام واتفاقية معالجة البيانات (AVV)، وأؤكد أنني مخوَّل بإبرامها نيابةً عن العميل المذكور.
تُتاح شروط الاستخدام وهذه الاتفاقية إلكترونيًا قبل تقديم الإقرار.
يوثّق BookinX نسخة الاتفاقية السارية عند إبرام العقد أو معرّف إصدارها، ووقت الموافقة.