اتفاقية معالجة البيانات (نموذج)
هذا هو نموذج اتفاقية معالجة البيانات (DPA) التي يوقعها GPT Workspace مع عملاء الأعمال. لتلقي النسخة المعبأة مسبقًا، اكتب إلى contact@gpt.space مع الاسم القانوني لشركتك، وعنوانها، وشخص الاتصال، وعدد المقاعد. تُدرج المعالجات المذكورة فيها وتُحدَّث باستمرار في مركز الثقة.
هذا النموذج مقدم لأغراض المعلومات وليس استشارة قانونية. يُرجى مراجعته مع مستشارك القانوني قبل التوقيع. تُعبأ الحقول الموجودة بين قوسين معقوفين قبل التوقيع.
اتفاقية معالجة البيانات
Section titled “اتفاقية معالجة البيانات”تشكل اتفاقية معالجة البيانات هذه (“DPA”) جزءًا من اتفاقية استخدام GPT Workspace (“الخدمة”) بين:
- [CUSTOMER LEGAL NAME]، [CUSTOMER ADDRESS]، [REGISTRATION NUMBER] (“العميل” أو “المتحكم”)، و
- GPTW LLC، 150 Central Park، لوس ألاموس، نيومكسيكو، الولايات المتحدة الأمريكية (“المزود” أو “المعالج”)،
ويُشار إليهما معًا بـ “الأطراف”. ويتم إبرامها في [EFFECTIVE DATE] وتظل سارية طالما يعالج المزود البيانات الشخصية نيابة عن العميل.
1. التعريفات
Section titled “1. التعريفات”يعني “GDPR” اللائحة (الاتحاد الأوروبي) 2016/679، وحيثما ينطبق ذلك، النظام العام لحماية البيانات في المملكة المتحدة كما هو محدد في قانون حماية البيانات لعام 2018. تحمل “البيانات الشخصية”، “المعالجة”، “المتحكم”، “المعالج”، “صاحب البيانات”، “السلطة الإشرافية” و “** خرق البيانات الشخصية**” المعاني الواردة في المادة 4 من النظام العام لحماية البيانات. يعني “المعالج الفرعي” طرفًا ثالثًا تعاقد معه المزود لمعالجة البيانات الشخصية نيابة عن العميل. تعني “بيانات العميل” البيانات الشخصية التي يعالجها المزود للعميل بموجب اتفاقية الخدمة، كما هو موضح في الملحق 1.
2. الأدوار والنطاق
Section titled “2. الأدوار والنطاق”2.1 العميل هو المتحكم والمزود هو المعالج لبيانات العميل. عندما يعمل العميل كمعالج لعملائه الخاصين، يعمل المزود كمعالج فرعي ويضمن العميل أن تعليماته الخاصة معتمدة من قبل المتحكم المختص.
2.2 يُحدد موضوع المعالجة ومدتها وطبيعتها وغرضها، وأنواع البيانات الشخصية وفئات أصحاب البيانات في الملحق 1.
3. المعالجة بناءً على تعليمات موثقة (المادة 28(3)(أ))
Section titled “3. المعالجة بناءً على تعليمات موثقة (المادة 28(3)(أ))”3.1 يعالج المزود بيانات العميل فقط بناءً على التعليمات الموثقة للعميل، بما في ذلك فيما يتعلق بالنقل إلى دولة ثالثة، ما لم يُلزم بذلك بموجب قانون الاتحاد أو دولة عضو يخضع له المزود؛ وفي هذه الحالة يُبلغ المزود العميل بهذا المتطلب القانوني قبل المعالجة، ما لم يحظر القانون ذلك.
3.2 تعليمات العميل هي: اتفاقية الخدمة، واتفاقية معالجة البيانات هذه، والتكوين الذي يضعه العميل والمستخدمون في الخدمة، والطلبات التي يرسلها مستخدمو العميل إلى الخدمة. يُبلغ المزود العميل فورًا إذا رأى، بحسب رأيه، أن تعليمة ما تنتهك النظام العام لحماية البيانات.
4. السرية (المادة 28(3)(ب))
Section titled “4. السرية (المادة 28(3)(ب))”يضمن المزود أن الأشخاص المخولين بمعالجة بيانات العميل قد التزموا بالسرية أو يخضعون لالتزام قانوني مناسب بالسرية، وأن الوصول يقتصر على ما يحتاجه كل شخص لأداء الخدمة.
5. الأمان (المادة 28(3)(ج) والمادة 32)
Section titled “5. الأمان (المادة 28(3)(ج) والمادة 32)”ينفذ المزود التدابير الفنية والتنظيمية المذكورة في الملحق 2 ويُراجعها باستمرار. مع مراعاة أحدث ما توصل إليه العلم، وتكاليف التنفيذ، وطبيعة ونطاق وسياق وأغراض المعالجة، تضمن هذه التدابير مستوى من الأمان يتناسب مع المخاطر.
6. المعالجات الفرعية (المادة 28(2) و 28(4))
Section titled “6. المعالجات الفرعية (المادة 28(2) و 28(4))”6.1 يمنح العميل إذنًا كتابيًا عامًا للمزود للتعاقد مع المعالجات الفرعية المذكورة في الملحق 3.
6.2 يُبلغ المزود العميل بأي إضافة أو استبدال مقصود لمعالج فرعي قبل [30] يومًا على الأقل من تاريخ سريان التغيير، عبر البريد الإلكتروني إلى [CUSTOMER NOTIFICATION E-MAIL] وبتحديث القائمة على https://gpt.space/trust. يجوز للعميل الاعتراض على أسس معقولة تتعلق بحماية البيانات خلال هذه الفترة؛ إذا لم يتمكن الطرفان من حل الاعتراض، يجوز للعميل إنهاء الجزء المتأثر من الخدمة دون أي عقوبة.
6.3 يفرض المزود على كل معالج فرعي، عن طريق عقد، نفس التزامات حماية البيانات المنصوص عليها في اتفاقية معالجة البيانات هذه، وتحديدًا تقديم ضمانات كافية لتنفيذ تدابير فنية وتنظيمية مناسبة. في حال فشل المعالج الفرعي في الوفاء بالتزاماته، يظل المزود مسؤولاً بالكامل أمام العميل عن أداء التزامات ذلك المعالج الفرعي.
7. حقوق أصحاب البيانات (المادة 28(3)(هـ))
Section titled “7. حقوق أصحاب البيانات (المادة 28(3)(هـ))”مع مراعاة طبيعة المعالجة، يقدم المزود المساعدة للعميل من خلال تدابير فنية وتنظيمية مناسبة، قدر الإمكان، للوفاء بالتزام العميل بالرد على طلبات ممارسة حقوق صاحب البيانات بموجب الفصل الثالث من النظام العام لحماية البيانات. يحيل المزود إلى العميل، دون تأخير غير مبرر، أي طلب يتلقاه مباشرة من صاحب بيانات يتعلق ببيانات العميل، ولا يستجيب له إلا بناءً على تعليمات العميل أو حيثما يقتضي القانون ذلك.
8. المساعدة في الامتثال (المادة 28(3)(و))
Section titled “8. المساعدة في الامتثال (المادة 28(3)(و))”يقدم المزود المساعدة للعميل في ضمان الامتثال للالتزامات المنصوص عليها في المواد من 32 إلى 36 من النظام العام لحماية البيانات (الأمان، إشعار الخرق، تقييمات أثر حماية البيانات والتشاور المسبق)، مع مراعاة طبيعة المعالجة والمعلومات المتاحة للمزود.
9. خرق البيانات الشخصية
Section titled “9. خرق البيانات الشخصية”يُبلغ المزود العميل دون تأخير غير مبرر، وفي جميع الأحوال خلال [48] ساعة، بعد أن يصبح على علم بخرق للبيانات الشخصية يؤثر على بيانات العميل، عبر البريد الإلكتروني إلى [CUSTOMER NOTIFICATION E-MAIL]. يصف الإشعار، قدر ما هو معروف وقتها، طبيعة الخرق، وفئات العدد التقريبي لأصحاب البيانات والسجلات المعنية، والعواقب المحتملة، والتدابير المتخذة أو المقترحة، ونقطة اتصال؛ وتُقدم المعلومات غير المتاحة بعد على مراحل دون مزيد من التأخير غير المبرر.
10. الحذف والإرجاع (المادة 28(3)(ز))
Section titled “10. الحذف والإرجاع (المادة 28(3)(ز))”10.1 بناءً على اختيار العميل، يقوم المزود بحذف أو إرجاع جميع بيانات العميل بعد انتهاء تقديم الخدمة، ويحذف النسخ الحالية، ما لم يتطلب قانون الاتحاد أو دولة عضو تخزين البيانات الشخصية.
10.2 بشكل مستقل عن البند 10.1، يمكن للعميل ولكل من مستخدميه حذف حسابهم والبيانات التي يحتفظ بها المزود من الخدمة في أي وقت؛ ويتم الحذف خلال 24 ساعة من الطلب. تُحتفظ بالفواتير وسجلات الدفع للمدة التي يطلبها قانون الضرائب.
11. التدقيقات (المادة 28(3)(ح))
Section titled “11. التدقيقات (المادة 28(3)(ح))”11.1 يضع المزود تحت تصرف العميل جميع المعلومات اللازمة لإثبات الامتثال للالتزامات المنصوص عليها في المادة 28 من النظام العام لحماية البيانات، ويسمح بالتدقيقات، بما في ذلك التفتيش، التي يجريها العميل أو مدقق يفوضه العميل، ويساهم فيها.
11.2 يلبي المزود طلبات التدقيق أولاً من خلال تقديم شهادة ISO 27001 وتقرير التدقيق الخاص به (https://firebasestorage.googleapis.com/v0/b/billing-js.appspot.com/o/audit_report%2FQualtir%20ISO%2027001%20Audit%20Report.pdf?alt=media)، وتقييم CASA Tier III الخاص به، وإجابات مكتوبة على استبيان الأمان. يتم إجراء تفتيش في الموقع أو عن بعد [مرة واحدة سنويًا] كحد أقصى، بناءً على إشعار كتابي مدته [30] يومًا، خلال ساعات العمل، وبموجب اتفاقية سرية، وعلى نفقة العميل، ما لم تطلب سلطة إشرافية غير ذلك أو يحدث خرق للبيانات الشخصية.
12. النقل الدولي
Section titled “12. النقل الدولي”12.1 يقع مقر المزود في الولايات المتحدة وتُستضاف الخدمة على منصة Google Cloud في الولايات المتحدة. في حال نقل بيانات العميل الخاصة بأصحاب البيانات في المنطقة الاقتصادية الأوروبية أو المملكة المتحدة أو سويسرا إلى دولة لا تتوفر على قرار ملاءمة، يعتمد الطرفان على البنود التعاقدية النموذجية التي اعتمدتها المفوضية الأوروبية في القرار (الاتحاد الأوروبي) 2021/914 (الوحدة الثانية، من المتحكم إلى المعالج، أو الوحدة الثالثة، من المعالج إلى المعالج، حسب الاقتضاء)، والتي يتم دمجها بالإحالة، جنبًا إلى جنب مع ملحق نقل البيانات الدولي للمملكة المتحدة فيما يتعلق ببيانات المملكة المتحدة. تشارك المعالجات الفرعية للمزود التي تتلقى بيانات العميل في إطار خصوصية البيانات بين الاتحاد الأوروبي والولايات المتحدة حيثما كان هذا الإطار متاحًا لها؛ وتحكم البنود التعاقدية النموذجية كل نقل يقوم به المزود نفسه.
12.2 بالنسبة للخيارات في البنود التعاقدية النموذجية: ينطبق البند 7 (الإلحاق)؛ ينطبق البند 9 الخيار 2 (الإذن العام) مع فترة الإشعار المذكورة في القسم 6.2؛ لا ينطبق النص الاختياري للبند 11؛ البند 13 والبند 17: قانون [MEMBER STATE، مثلاً أيرلندا]؛ البند 18: محاكم [MEMBER STATE]. الملحق الأول والملحق الثاني للبنود هما الملحق 1 والملحق 2 من اتفاقية معالجة البيانات هذه.
13. المسؤولية والمدة والأسبقية
Section titled “13. المسؤولية والمدة والأسبقية”13.1 تخضع مسؤولية كل طرف بموجب اتفاقية معالجة البيانات هذه لقيود واستثناءات المسؤولية المنصوص عليها في اتفاقية الخدمة، باستثناء الحالات التي لا يمكن فيها تقييدها بموجب قانون حماية البيانات المعمول به.
13.2 تسري اتفاقية معالجة البيانات هذه في تاريخ السريان وتبقى نافذة طالما يعالج المزود بيانات العميل. في حالة وجود تعارض بين اتفاقية معالجة البيانات هذه واتفاقية الخدمة، تسود اتفاقية معالجة البيانات هذه فيما يتعلق بمعالجة البيانات الشخصية.
13.3 تخضع اتفاقية معالجة البيانات هذه للقانون الذي يحكم اتفاقية الخدمة، باستثناء أن البنود التعاقدية النموذجية تخضع للقانون المختار في القسم 12.2.
التوقيعات
Section titled “التوقيعات”| نيابة عن العميل | نيابة عن المزود |
|---|---|
| الاسم: [NAME] | الاسم: [NAME] |
| المسمى الوظيفي: [TITLE] | المسمى الوظيفي: [TITLE] |
| التاريخ: [DATE] | التاريخ: [DATE] |
| التوقيع: | التوقيع: |
الملحق 1: وصف المعالجة
Section titled “الملحق 1: وصف المعالجة”| البند | الوصف |
|---|---|
| الموضوع | تقديم خدمة GPT Workspace: مساعدة الذكاء الاصطناعي داخل Google Docs، وSheets، وSlides، وForms، وGmail، وDrive، وGoogle Chat، وإضافة Chrome وخوادم MCP. |
| المدة | مدة اتفاقية الخدمة، بالإضافة إلى فترات الاحتفاظ في الملحق 2. |
| الطبيعة والغرض | قراءة المحتوى الذي يشير إليه المستخدم في حسابه على Google، وإرساله مع طلب المستخدم إلى مزود نموذج ذكاء اصطناعي، وكتابة الإجابة مرة أخرى في ملف المستخدم أو دردشته. إدارة الحساب، الفواتير والدعم. |
| فئات أصحاب البيانات | موظفو العميل والمقاولون الذين يستخدمون الخدمة؛ الأشخاص الذين تظهر بياناتهم في مستندات العميل وجداول البيانات ورسائل البريد الإلكتروني والملفات التي تتم معالجتها عبر الخدمة. |
| أنواع البيانات الشخصية | بيانات الحساب (الاسم، عنوان البريد الإلكتروني، صورة الملف الشخصي، معرّف حساب Google)؛ بيانات الفواتير (اسم الفوترة، العنوان، رقم ضريبة القيمة المضافة)؛ البيانات الوصفية للاستخدام (عدد الطلبات، التواريخ، عناوين المستندات)؛ محتوى الطلبات وملفات Google والبريد الإلكتروني والمرفقات التي يرسلها المستخدم، والتي قد تحتوي على أي فئة من البيانات الشخصية يضعها العميل هناك. |
| الفئات الخاصة | لا شيء حسب التصميم. لا تتطلب الخدمة بيانات فئة خاصة؛ يقرر العميل ما يرسله المستخدمون. [على العميل تحديد ما إذا كانت الفئات الخاصة متوقعة: NONE / DESCRIBE] |
| التكرار | مستمر، عند كل طلب يقدمه المستخدم. |
| الاحتفاظ | راجع الملحق 2، “الاحتفاظ”. |
الملحق 2: التدابير الفنية والتنظيمية (المادة 32)
Section titled “الملحق 2: التدابير الفنية والتنظيمية (المادة 32)”| المجال | التدبير |
|---|---|
| الشهادات | نظام إدارة أمن المعلومات المعتمد وفقًا لمعيار ISO 27001 (يتوفر تقرير التدقيق). تقييم CASA Tier III (تحالف دفاع التطبيقات) لتكامل Google Workspace. الامتثال لسياسة بيانات مستخدم خدمات Google API، بما في ذلك متطلبات الاستخدام المحدود. |
| الاستضافة | منصة Google Cloud (Firebase)، الولايات المتحدة، مناطق شرق وغرب الولايات المتحدة. تعمل المكونات التي تعالج بيانات العميل داخل الشبكة الخاصة بالمزود خلف موازنات التحميل وجدار حماية تطبيقات الويب. |
| التشفير | استخدام TLS 1.2 أو إصدار أحدث لجميع البيانات أثناء النقل. تشفير AES-256 من جانب الخادم للبيانات الثابتة على Firebase، وإدارة المفاتيح من خلال GCP IAM. تشفير رموز الوصول والتحديث الخاصة بـ Google أثناء فترة الثبات. |
| عدم نسخ ملفات العميل | تتم قراءة ملفات Google ورسائل البريد الإلكتروني وجداول البيانات في الوقت الفعلي باستخدام رمز OAuth الخاص بالمستخدم ولا يتم نسخها إلى مساحة تخزين المزود. الاستثناء الوحيد هو الملف الذي يرفقه المستخدم للبحث في الملفات، والذي يتم تحميله إلى متجه تخزين OpenAI (راجع الملحق 3): يتم إسقاط فهرس البحث بعد يوم واحد من آخر استخدام ويتم حذف النسخة بعد 7 أيام. |
| مزودو النماذج | يستخدمون بموجب شروط واجهة برمجة التطبيقات التي ت prohibit التدريب على الطلبات. لا يقوم المزود أبدًا بتدريب نموذج أو ضبطه بدقة على بيانات العميل. |
| التحكم في الوصول | تقييد الوصول إلى أنظمة الإنتاج للموظفين المخولين بحسابات فردية، ومصادقة متعددة العوامل، وأقل امتياز من خلال GCP IAM. يتم فرض عزل البيانات لكل مستخدم من خلال قواعد أمان Firebase. المصادقة متعددة العوامل إلزامية لكل حساب يمتلك حق الوصول إلى الإنتاج؛ ويتم مراجعة حقوق الوصول أسبوعيًا. |
| المراقبة والاختبار | مركز أوامر أمان GCP لإجراء مسح مستمر للثغرات الأمنية لجميع الأصول داخل النطاق؛ سياسة الإفصاح عن الثغرات للباحثين الخارجيين. |
| الاحتفاظ | بيانات الحساب، سلاسل الدردشة، الإعدادات والبيانات الوصفية للاستخدام: 18 شهرًا بعد آخر نشاط للمستخدم، أو 24 ساعة بعد طلب الحذف. الملفات المرفقة للبحث في الملفات: يتم إسقاط فهرس البحث بعد يوم واحد من آخر استخدام، ويتم حذف النسخة المرفوعة بعد 7 أيام. سجلات طلبات بوابة النماذج: 30 يومًا، للاستخدام في الدعم فقط. الطلبات والإجابات: تتم معالجتها في الوقت الفعلي، ولا يتم تخزينها على المدى الطويل من قبل المزود. الفواتير: المدة التي يطلبها قانون الضرائب. |
| الحذف | حذف الخدمة الذاتية للحساب وجميع البيانات ذات الصلة في الخدمة؛ الحذف عند الطلب خلال 24 ساعة. |
| استمرارية الأعمال | أدوات النسخ الاحتياطي الأصلية وتوافر المناطق المتعددة في Google Cloud؛ نسخ احتياطية كاملة كل 7 أيام. |
| الموظفون | التزامات السرية في اتفاقيات التوظيف والمقاولين؛ التوعية الأمنية للموظفين الذين يمتلكون حق الوصول إلى الإنتاج. |
الملحق 3: المعالجات الفرعية المعتمدة
Section titled “الملحق 3: المعالجات الفرعية المعتمدة”يتم صيانة القائمة الحالية على https://gpt.space/trust وتُعاد كتابتها هنا كما هي في تاريخ السريان.
| المعالج الفرعي | الغرض | الموقع |
|---|---|---|
| Google Cloud Platform / Firebase (Google LLC) | الاستضافة، قاعدة البيانات، التخزين، المصادقة، الأسرار | الولايات المتحدة |
| OpenRouter, Inc. | بوابة تقوم بتوجيه كل طلب نموذج إلى المزود أدناه؛ يتم الاحتفاظ بسجلات الطلبات لمدة 30 يومًا لأغراض الدعم فقط، ولا تُستخدم أبدًا للتدريب | الولايات المتحدة |
| OpenAI | نماذج النصوص والصور؛ تخزين المتجهات للبحث في الملفات | الولايات المتحدة |
| Anthropic | نماذج Claude (مثبتة على نقطة نهاية Anthropic الخاصة) | الولايات المتحدة |
| Google (AI Studio) | نماذج Gemini للنصوص والصور | الولايات المتحدة |
| Perplexity | نماذج البحث في الويب | الولايات المتحدة |
| مضيفات استدلال OpenRouter | مضيفات الاستدلال لنماذج GLM-5.3-flash و gpt-oss-120b مفتوحة الأوزان | عبر OpenRouter |
| Typesafe | نموذج القرار خلف صيغة GPT_CLASSIFY | عبر OpenRouter |
| Google Programmable Search | البحث عن صور الأسهم للشرائح التي تم إنشاؤها (استعلام فقط) | الولايات المتحدة |
| Stripe | المدفوعات، الفواتير، بوابة الفواتير | الولايات المتحدة وأيرلندا، بموجب اتفاقية معالجة بيانات Stripe |
| PostHog (نسخة مستضافة ذاتيًا) | تحليلات المنتج | الاتحاد الأوروبي |
| Sentry | مراقبة الأخطاء | الاتحاد الأوروبي (منطقة بيانات الاتحاد الأوروبي) |