اتفاقية معالجة البيانات (نموذج)
هذا هو نموذج اتفاقية معالجة البيانات (DPA) التي يوقّعها GPT Workspace مع العملاء التجاريين. لاستلامه مُعبّأ مسبقًا، اكتب إلى contact@gpt.space مع ذكر الاسم القانوني لشركتك وعنوانها وشخص الاتصال وعدد المقاعد. تُدرج معالجات البيانات المذكورة فيه وتُحدّث باستمرار في مركز الثقة.
هذا النموذج مُقدَّم للأغراض المعلوماتية وليس استشارة قانونية. يُرجى مراجعته بواسطة مستشارك القانوني قبل التوقيع. تُعبَّأ الحقول الموجودة بين الأقواس المعقوفة قبل التوقيع.
اتفاقية معالجة البيانات
Section titled “اتفاقية معالجة البيانات”تشكّل هذه الاتفاقية لمعالجة البيانات (“DPA”) جزءًا من اتفاقية استخدام GPT Workspace (“الخدمة”) بين:
- [CUSTOMER LEGAL NAME]، [CUSTOMER ADDRESS]، [REGISTRATION NUMBER] (“العميل” أو “المتحكم”)، و
- GPTW LLC، 150 Central Park، لوس ألاموس، نيو مكسيكو، الولايات المتحدة (“المزوّد” أو “المعالج”)،
المُشار إليهما معًا بـ “الطرفان”. ويُبرَم في [EFFECTIVE DATE] ويظل ساريًا طوال الفترة التي يعالج فيها المزوّد البيانات الشخصية نيابةً عن العميل.
1. التعريفات
Section titled “1. التعريفات”تعني “GDPR” اللائحة (الاتحاد الأوروبي) 2016/679، وعند الاقتضاء، اللائحة العامة لحماية البيانات في المملكة المتحدة كما هي مُعرَّفة في قانون حماية البيانات لعام 2018. تحمل مصطلحات “البيانات الشخصية”، و”المعالجة“، و”المتحكم“، و”المعالج“، و”صاحب البيانات“، و”السلطة الإشرافية“، و”اختراق البيانات الشخصية” المعاني المُحدَّدة في المادة 4 من اللائحة العامة لحماية البيانات. ويعني “معالج البيانات من الباطن” طرفًا ثالثًا يتعاقد معه المزوّد لمعالجة البيانات الشخصية نيابةً عن العميل. وتعني “بيانات العميل” البيانات الشخصية التي يعالجها المزوّد للعميل بموجب اتفاقية الخدمة، كما هو موضّح في الملحق 1.
2. الأدوار والنطاق
Section titled “2. الأدوار والنطاق”2.1 العميل هو المتحكم والمزوّد هو المعالج لبيانات العميل. حيثما يعمل العميل بصفته معالجًا لعملائه الخاصين، يعمل المزوّد بصفته معالجًا من الباطن، ويضمن العميل أن تعليماته الخاصة مُعتمدة من قِبَل المتحكم المختص.
2.2 يُحدَّد موضوع المعالجة ومدتها وطبيعتها وغرضها، وأنواع البيانات الشخصية وفئات أصحاب البيانات، في الملحق 1.
3. المعالجة بناءً على تعليمات مُوثَّقة (المادة 28(3)(a))
Section titled “3. المعالجة بناءً على تعليمات مُوثَّقة (المادة 28(3)(a))”3.1 يعالج المزوّد بيانات العميل فقط بناءً على التعليمات المُوثَّقة للعميل، بما في ذلك فيما يتعلق بالنقل إلى دولة ثالثة، ما لم يُلزم بذلك بموجب قانون الاتحاد أو دولة عضو يخضع له المزوّد؛ وفي هذه الحالة يُبلغ المزوّد العميل بذلك الالتزام القانوني قبل المعالجة، ما لم يمنع القانون ذلك.
3.2 تعليمات العميل هي: اتفاقية الخدمة، وهذه الاتفاقية، والإعدادات التي يضعها العميل ومستخدموه في الخدمة، والطلبات التي يرسلها مستخدمو العميل إلى الخدمة. يُبلغ المزوّد العميل فورًا إذا رأى، في رأيه، أن تعليمة ما تُخالف اللائحة العامة لحماية البيانات.
4. السرية (المادة 28(3)(b))
Section titled “4. السرية (المادة 28(3)(b))”يضمن المزوّد أن الأشخاص المُخوَّلين بمعالجة بيانات العميل قد التزموا بالسرية أو يخضعون لالتزام قانوني مناسب بالسرية، وأن الوصول مقتصر على ما يحتاجه كل شخص لأداء الخدمة.
5. الأمان (المادة 28(3)(c) والمادة 32)
Section titled “5. الأمان (المادة 28(3)(c) والمادة 32)”يطبّق المزوّد التدابير التقنية والتنظيمية المُدرَجة في الملحق 2 ويُراجعها باستمرار. مع مراعاة أحدث ما توصل إليه العلم، وتكاليف التنفيذ، وطبيعة المعالجة ونطاقها وسياقها وأغراضها، تضمن هذه التدابير مستوى أمان مناسبًا للمخاطر.
6. معالجي البيانات من الباطن (المادة 28(2) و28(4))
Section titled “6. معالجي البيانات من الباطن (المادة 28(2) و28(4))”6.1 يمنح العميل إذنًا كتابيًا عامًا للمزوّد للتعاقد مع معالجي البيانات من الباطن المُدرَجين في الملحق 3.
6.2 يُبلغ المزوّد العميل بأي إضافة أو استبدال مُزمَع لمعالج بيانات من الباطن قبل [30] يومًا على الأقل من تاريخ سريان التغيير، عبر البريد الإلكتروني إلى [CUSTOMER NOTIFICATION E-MAIL] وعن طريق تحديث القائمة على https://gpt.space/trust. يجوز للعميل الاعتراض لأسباب معقولة تتعلق بحماية البيانات خلال تلك الفترة؛ إذا لم يتمكن الطرفان من حل الاعتراض، يجوز للعميل إنهاء الجزء المتأثر من الخدمة دون أي غرامة.
6.3 يفرض المزوّد على كل معالج بيانات من الباطن، بموجب عقد، نفس التزامات حماية البيانات المنصوص عليها في هذه الاتفاقية، خاصةً تقديم ضمانات كافية لتطبيق تدابير تقنية وتنظيمية مناسبة. حيثما يفشل معالج البيانات من الباطن في الوفاء بالتزاماته، يظل المزوّد مسؤولًا بالكامل أمام العميل عن أداء التزامات معالج البيانات من الباطن.
7. حقوق صاحب البيانات (المادة 28(3)(e))
Section titled “7. حقوق صاحب البيانات (المادة 28(3)(e))”مع مراعاة طبيعة المعالجة، يُساعد المزوّد العميل من خلال تدابير تقنية وتنظيمية مناسبة، قدر الإمكان، في الوفاء بالتزام العميل بالرد على طلبات ممارسة حقوق صاحب البيانات المنصوص عليها في الفصل الثالث من اللائحة العامة لحماية البيانات. يحوّل المزوّد إلى العميل، دون تأخير غير مبرر، أي طلب يُستقبَل مباشرة من صاحب بيانات يتعلق ببيانات العميل، ولا يرد عليه إلا بناءً على تعليمات العميل أو حيثما يقتضي القانون ذلك.
8. المساعدة في الامتثال (المادة 28(3)(f))
Section titled “8. المساعدة في الامتثال (المادة 28(3)(f))”يُساعد المزوّد العميل في ضمان الامتثال لالتزامات المواد من 32 إلى 36 من اللائحة العامة لحماية البيانات (الأمان، وإبلاغ الاختراقات، وتقييمات أثر حماية البيانات، والاستشارة المسبقة)، مع مراعاة طبيعة المعالجة والمعلومات المتاحة للمزوّد.
9. اختراق البيانات الشخصية
Section titled “9. اختراق البيانات الشخصية”يُبلّغ المزوّد العميل دون تأخير غير مبرر، وفي جميع الأحوال خلال [48] ساعة، بعد علمه بحدوث اختراق للبيانات الشخصية يؤثر على بيانات العميل، عبر البريد الإلكتروني إلى [CUSTOMER NOTIFICATION E-MAIL]. تصف الإشارة، قدر ما هو معروف وقتها، طبيعة الاختراق، وفئات وأعداد تقريبية لأصحاب البيانات والسجلات المتأثرة، والعواقب المحتملة، والتدابير المُتَّخذة أو المقترحة، ونقطة اتصال؛ تُقدَّم المعلومات غير المتاحة بعد ذلك على مراحل دون تأخير إضافي غير مبرر.
10. الحذف والإرجاع (المادة 28(3)(g))
Section titled “10. الحذف والإرجاع (المادة 28(3)(g))”10.1 بناءً على اختيار العميل، يحذف المزوّد أو يُرجع جميع بيانات العميل بعد انتهاء تقديم الخدمة، ويحذف النسخ الحالية، ما لم يتطلب قانون الاتحاد أو دولة عضو تخزين البيانات الشخصية.
10.2 بشكل مستقل عن البند 10.1، يمكن للعميل ولكل من مستخدميه حذف حسابهم والبيانات التي يحتفظ بها المزوّد من الخدمة في أي وقت؛ ويُنفَّذ الحذف خلال 24 ساعة من الطلب. تُحتفظ بالفواتير وسجلات الدفع للمدة التي يقتضيها القانون الضريبي.
11. التدقيق (المادة 28(3)(h))
Section titled “11. التدقيق (المادة 28(3)(h))”11.1 يُتاح المزوّد للعميل جميع المعلومات اللازمة لإثبات الامتثال لالتزامات المادة 28 من اللائحة العامة لحماية البيانات، ويسمح بالتدقيق، بما في ذلك التفتيش، الذي يجريه العميل أو مُدقّق مُفوَّض من قِبَل العميل، ويساهم فيه.
11.2 يلبّي المزوّد طلبات التدقيق أولاً عبر تقديم شهادة وتقرير تدقيق ISO 27001 الخاصين به (https://firebasestorage.googleapis.com/v0/b/billing-js.appspot.com/o/audit_report%2FQualtir%20ISO%2027001%20Audit%20Report.pdf?alt=media)، وتقييم CASA Tier III الخاص به، وإجابات مكتوبة على استبيان أمان. يُجرى التفتيش الميداني أو عن بُعد مرّة واحدة كحد أقصى [سنويًا]، بإشعار كتابي [30] يومًا، خلال ساعات العمل، بموجب اتفاقية سرية، وعلى نفقة العميل، ما لم تُطلب السلطة الإشرافية خلاف ذلك أو يكون قد حدث اختراق للبيانات الشخصية.
12. النقل الدولي
Section titled “12. النقل الدولي”12.1 المزوّد مقرّه في الولايات المتحدة وتُستضاف الخدمة على Google Cloud Platform في الولايات المتحدة. حيثما تُنقَل بيانات العميل لأصحاب بيانات في المنطقة الاقتصادية الأوروبية أو المملكة المتحدة أو سويسرا إلى دولة ليس لديها قرار ملاءمة، يعتمد الطرفان على البنود التعاقدية النموذجية التي تبنّتها المفوضية الأوروبية في القرار (الاتحاد الأوروبي) 2021/914 (الوحدة الثانية، من المتحكم إلى المعالج، أو الوحدة الثالثة، من المعالج إلى المعالج، حسب الاقتضاء)، والتي تُدمَج بالإحالة، إلى جانب ملحق نقل البيانات الدولي للمملكة المتحدة حيثما تتعلق البيانات بالمملكة المتحدة. يشارك معالجو البيانات من الباطن للمزوّد الذين يتلقّون بيانات العميل في إطار خصوصية البيانات بين الاتحاد الأوروبي والولايات المتحدة حيثما يكون ذلك الإطار متاحًا لهم؛ وتحكم البنود التعاقدية النموذجية كل عملية نقل يقوم بها المزوّد نفسه.
12.2 بالنسبة للخيارات في البنود التعاقدية النموذجية: تنطبق البند 7 (الإلحاق)؛ البند 9 الخيار 2 (الإذن العام) مع فترة الإشعار المذكورة في القسم 6.2؛ لا ينطبق النص الاختياري في البند 11؛ البند 13 والبند 17: قانون [MEMBER STATE، مثل أيرلندا]؛ البند 18: محاكم [MEMBER STATE]. الملحق الأول والملحق الثاني من البنود هما الملحقان 1 و2 من هذه الاتفاقية.
13. المسؤولية والمدة والأولوية
Section titled “13. المسؤولية والمدة والأولوية”13.1 تخضع مسؤولية كل طرف بموجب هذه الاتفاقية لقيود واستثناءات المسؤولية المنصوص عليها في اتفاقية الخدمة، باستثناء الحالات التي لا يمكن فيها تحديد القيود بموجب قانون حماية البيانات المعمول به.
13.2 تسري هذه الاتفاقية اعتبارًا من تاريخ السريان وتبقى سارية طوال الفترة التي يعالج فيها المزوّد بيانات العميل. في حالة التعارض بين هذه الاتفاقية واتفاقية الخدمة، تسود هذه الاتفاقية فيما يتعلق بمعالجة البيانات الشخصية.
13.13 تخضع هذه الاتفاقية للقانون الذي يحكم اتفاقية الخدمة، باستثناء أن البنود التعاقدية النموذجية تخضع للقانون المختار في القسم 12.2.
التوقيعات
Section titled “التوقيعات”| نيابةً عن العميل | نيابةً عن المزوّد |
|---|---|
| الاسم: [NAME] | الاسم: [NAME] |
| المسمى الوظيفي: [TITLE] | المسمى الوظيفي: [TITLE] |
| التاريخ: [DATE] | التاريخ: [DATE] |
| التوقيع: | التوقيع: |
الملحق 1: وصف المعالجة
Section titled “الملحق 1: وصف المعالجة”| البند | الوصف |
|---|---|
| الموضوع | تقديم خدمة GPT Workspace: مساعدة بالذكاء الاصطناعي داخل Google Docs و Sheets و Slides و Forms و Gmail و Drive و Google Chat وإضافة Chrome وخوادم MCP. |
| المدة | مدة اتفاقية الخدمة، بالإضافة إلى فترات الاحتفاظ المنصوص عليها في الملحق 2. |
| الطبيعة والغرض | قراءة المحتوى الذي يشير إليه المستخدم في حساب Google الخاص به، وإرساله مع طلب المستخدم إلى مُزوّد نموذج ذكاء اصطناعي، وكتابة الإجابة مرة أخرى في ملف المستخدم أو محادثته. إدارة الحسابات، والفوترة، والدعم. |
| فئات أصحاب البيانات | موظفو العميل ومقاولوه الذين يستخدمون الخدمة؛ الأشخاص الذين تظهر بياناتهم في مستندات العميل وجداول البيانات والبريد الإلكتروني والملفات المُعالَجة عبر الخدمة. |
| أنواع البيانات الشخصية | بيانات الحساب (الاسم، البريد الإلكتروني، صورة الملف الشخصي، مُعرِّف حساب Google)؛ بيانات الفوترة (اسم الفوترة، العنوان، رقم ضريبة القيمة المضافة)؛ بيانات الاستخدام التعريفية (عدد الطلبات، التواريخ، عناوين المستندات)؛ محتوى الطلبات وملفات Google والبريد الإلكتروني والمرفقات التي يُرسلها المستخدم، والتي قد تحتوي على أي فئة من البيانات الشخصية يضعها العميل هناك. |
| الفئات الخاصة | لا يوجد أي منها بحكم التصميم. لا تتطلب الخدمة بيانات من فئات خاصة؛ العميل هو من يقرر ما يُرسله مستخدموه. [على العميل الإشارة إلى ما إذا كانت الفئات الخاصة متوقعة: NONE / DESCRIBE] |
| التكرار | مستمر، عند كل طلب يقدّمه المستخدم. |
| الاحتفاظ | راجع الملحق 2، “الاحتفاظ”. |
الملحق 2: التدابير التقنية والتنظيمية (المادة 32)
Section titled “الملحق 2: التدابير التقنية والتنظيمية (المادة 32)”| المجال | التدبير |
|---|---|
| الشهادات | نظام إدارة أمان المعلومات مُعتمَد وفق ISO 27001 (يتوفر تقرير التدقيق). تقييم CASA Tier III (تحالف دفاع التطبيقات) لتكامل Google Workspace. الامتثال لسياسة بيانات مستخدم خدمات Google API، بما في ذلك متطلبات الاستخدام المحدود. |
| الاستضافة | Google Cloud Platform (Firebase)، الولايات المتحدة، مناطق شرق وغرب الولايات المتحدة. تعمل المكوّنات التي تعالج بيانات العميل داخل الشبكة الخاصة بالمزوّد خلف موازنات الحمل وجدار حماية لتطبيقات الويب. |
| التشفير | TLS 1.2 أو أعلى لجميع البيانات أثناء النقل. تشفير AES-256 من جانب الخادم للبيانات أثناء التوقف على Firebase، وإدارة المفاتيح عبر GCP IAM. تُشفَّر رموز الوصول والتحديث الخاصة بـ Google أثناء التوقف. |
| عدم نسخ ملفات العميل | تُقرأ ملفات Google والبريد الإلكتروني وجداول البيانات في الوقت الفعلي باستخدام رمز OAuth الخاص بالمستخدم ولا تُنسخ إلى تخزين المزوّد. الاستثناء الوحيد هو الملف الذي يُرفقه المستخدم للبحث في الملفات، والذي يُرفَع إلى مخزن متجهات OpenAI (راجع الملحق 3): يُحذَف فهرس البحث بعد يوم واحد من آخر استخدام وتُحذف النسخة بعد 7 أيام. |
| مُزوّدو النماذج | يُستخدَمون بموجب شروط API تمنع التدريب على الطلبات. لا يقوم المزوّد أبدًا بتدريب نموذج أو ضبطه على بيانات العميل. |
| التحكم في الوصول | تقييد الوصول إلى أنظمة الإنتاج على الموظفين المُخوَّلين ذوي الحسابات الفردية، والمصادقة متعددة العوامل، وأقل امتياز عبر GCP IAM. عزل البيانات لكل مستخدم يُطبَّق من خلال قواعد أمان Firebase. المصادقة متعددة العوامل إلزامية لكل حساب له وصول إلى الإنتاج؛ وتُراجَع حقوق الوصول أسبوعيًا. |
| المراقبة والاختبار | مركز أوامر أمان GCP لمسح الثغرات المستمر لجميع الأصول في النطاق؛ سياسة الإفصاح عن الثغرات للباحثين الخارجيين. |
| الاحتفاظ | بيانات الحساب، ومحادثات الدردشة، والإعدادات، وبيانات الاستخدام التعريفية: 18 شهرًا بعد آخر نشاط للمستخدم، أو 24 ساعة بعد طلب الحذف. الملفات المُرفقة للبحث في الملفات: يُحذَف فهرس البحث بعد يوم واحد من آخر استخدام، وتُحذَف النسخة المُرفوعة بعد 7 أيام. سجلات طلبات بوابة النماذج: 30 يومًا، للاستخدام في الدعم فقط. الطلبات والإجابات: تُعالَج في الوقت الفعلي، ولا تُخزَّن على المدى الطويل من قِبَل المزوّد. الفواتير: المدة التي يقتضيها القانون الضريبي. |
| الحذف | حذف ذاتي للحساب وجميع البيانات ذات الصلة في الخدمة؛ الحذف عند الطلب خلال 24 ساعة. |
| استمرارية الأعمال | أدوات النسخ الاحتياطي الأصلية لـ Google Cloud وتوفّر المناطق المتعددة؛ نسخ احتياطية كاملة كل 7 أيام. |
| الموظفون | التزامات السرية في اتفاقيات الموظفين والمقاولين؛ التوعية الأمنية للموظفين الذين لديهم وصول إلى الإنتاج. |
الملحق 3: معالجو البيانات من الباطن المُخوَّلون
Section titled “الملحق 3: معالجو البيانات من الباطن المُخوَّلون”تُدار القائمة الحالية على https://gpt.space/trust وتُنسخ هنا كما هي في تاريخ السريان.
| معالج البيانات من الباطن | الغرض | الموقع |
|---|---|---|
| Google Cloud Platform / Firebase (Google LLC) | الاستضافة، قاعدة البيانات، التخزين، المصادقة، الأسرار | الولايات المتحدة |
| OpenRouter, Inc. | بوابة تُوجِّه كل طلب نموذج إلى المُزوّد أدناه؛ تُحتفظ سجلات الطلبات لمدة 30 يومًا للدعم فقط، ولا تُستخدَم أبدًا للتدريب | الولايات المتحدة |
| OpenAI | نماذج النص والصور؛ مخزن متجهات للبحث في الملفات | الولايات المتحدة |
| Anthropic | نماذج Claude (مُثبَّتة على نقطة نهاية Anthropic الخاصة) | الولايات المتحدة |
| Google (AI Studio) | نماذج Gemini للنص والصور | الولايات المتحدة |
| Perplexity | نماذج البحث على الويب | الولايات المتحدة |
| مضيفات استنتاج OpenRouter | مضيفات استنتاج لنموذجي GLM-5.3-flash و gpt-oss-120b مفتوحي الأوزان | عبر OpenRouter |
| Typesafe | نموذج قرار خلف صيغة GPT_CLASSIFY | عبر OpenRouter |
| Google Programmable Search | البحث عن صور الأسهم للشرائح المُنشأة (الاستعلام فقط) | الولايات المتحدة |
| Stripe | المدفوعات، الفواتير، بوابة الفوترة | الولايات المتحدة وأيرلندا، بموجب اتفاقية DPA الخاصة بـ Stripe |
| PostHog (نسخة مُستضافة ذاتيًا) | تحليلات المنتج | الاتحاد الأوروبي |
| Sentry | مراقبة الأخطاء | الاتحاد الأوروبي (منطقة بيانات الاتحاد الأوروبي) |