اتفاقية معالجة البيانات
كيف نعالج البيانات التي يُدخلها عملاؤنا إلى الخدمة بصفتنا معالجًا: الأمان، والمعالجون من الباطن، والحذف.
تمت ترجمة هذا النص آليًا بالذكاء الاصطناعي من النص التركي الأصلي؛ والنص التركي هو الملزم.
تُبرم اتفاقية معالجة البيانات هذه ("الاتفاقية") بين العميل الذي يستخدم خدمة norvo IT ("المسؤول عن البيانات") وشركة N2mobil لأنظمة التتبع المساهمة ("المعالج")، بوصفها ملحقًا وجزءًا لا يتجزأ من اتفاقية الخدمة، وذلك وفقًا للفقرة الثانية من المادة 12 من قانون حماية البيانات الشخصية رقم 6698 ("KVKK"). يُعدّ قبول اتفاقية الخدمة قبولًا لهذه الاتفاقية أيضًا. يمكن للعملاء المؤسسيين طلب نسخة موقّعة من خلال العنوان bilgi@n2mobil.com.tr.
1. الموضوع والأدوار
1.1. يُشغّل المسؤول عن البيانات، عبر الخدمة، بيانات العمل المجمّعة من خلال الوكيل المثبّت على أجهزة الحاسوب الخاصة بموظفيه. فيما يتعلق بهذه البيانات، العميل هو المسؤول عن البيانات، وشركة N2mobil لأنظمة التتبع المساهمة هي المعالج.
1.2. يعالج المعالج البيانات الشخصية فقط نيابةً عن المسؤول عن البيانات، وفقًا لتعليماته الموثّقة، ولتقديم الخدمة. تُعتبر الإعدادات التي تُجرى من لوحة الخدمة (ساعات الدوام، الاحتفاظ بعناوين النوافذ، مدة الاحتفاظ، القواعد) تعليماتٍ صادرة عن المسؤول عن البيانات.
1.3. لا يستخدم المعالج هذه البيانات لأغراضه الخاصة، ولا يبيعها، ولا يستخدمها في التسويق، ولا يدمجها ببيانات عميل آخر. يجوز استخدام الأرقام الإجمالية غير المرتبطة بشخص فقط (مثل إجمالي عدد الأجهزة النشطة) لتحسين الخدمة.
2. البيانات المعالجة
| الفئة | المحتوى |
|---|---|
| الأشخاص المعنيون | موظفو المسؤول عن البيانات الذين يستخدمون أجهزة الحاسوب المثبّت عليها الوكيل |
| الهوية | الاسم واللقب (يُدخل في اللوحة أو يُستمد من الدليل)، واسم مستخدم نظام التشغيل، والقسم؛ وإذا ربط المسؤول عن البيانات دليل الموظفين (Microsoft Entra ID أو Google Workspace أو LDAP / Active Directory)، فتُضاف الهوية في الدليل، واسم المستخدم، والاسم واللقب، والقسم، وحالة الحساب (مفعّل/معطّل). لا يُخزَّن البريد الإلكتروني ومعلومات الدليل الأخرى؛ وتُخزَّن معلومات الاتصال بالدليل مشفّرةً وللقراءة فقط |
| الجهاز | اسم الحاسوب، ونظام التشغيل، وإصدار الوكيل، وزمن آخر اتصال؛ وإذا كان مفعّلًا لدى الشركة، جرد العتاد (الطراز، الرقم التسلسلي، المعالج، الذاكرة، الأقراص، البطارية، الحالة الأمنية، آخر تحديث)، وقياسات الاستخدام (امتلاء المعالج والذاكرة والقرص، وسرعة الشبكة وإدخال/إخراج القرص، وأسماء البرامج الخمسة الأكثر استهلاكًا للموارد) بفاصل من 1 إلى 10 دقائق تختاره الشركة، داخل ساعات الدوام أو خارجها إذا فعّلت الشركة ذلك؛ لمدة 30 يومًا؛ وكذلك معلومات الشبكة (عنوان IP وMAC) إذا كانت مفعّلة |
| البرامج المثبّتة | إذا كانت مفعّلة لدى الشركة (إدارة أصول تقنية المعلومات): أسماء البرامج المثبّتة على الحاسوب وإصداراتها وناشريها وتواريخ تثبيتها؛ وزمن أول ظهور وزمن الإزالة (تُحذف البرامج المُزالة عند انتهاء مدة الاحتفاظ) |
| الأصول والعهدة | سجلات الأصول الثابتة التي يُدخلها المسؤول عن البيانات في وحدة أصول تقنية المعلومات، وسجلات تسليم الموظف للأصول وإعادتها (الاسم واللقب والتواريخ وملاحظة حالة التسليم/الإعادة)؛ وسجلات التراخيص (يُخزَّن مفتاح الترخيص مشفّرًا) |
| بيانات العمل | اسم التطبيق الذي في المقدمة، وزمن البدء والانتهاء، والحالة نشط/خامل؛ وعنوان النافذة إذا كان الإعداد مفعّلًا. وتُستخلص من هذه البيانات في وحدة أصول تقنية المعلومات أيضًا معلومة فتح البرنامج المرخّص خلال آخر 90 يومًا (لرصد التراخيص غير المستخدمة) |
| ما لا يُجمع | لقطات الشاشة، وضغطات المفاتيح، وتسجيل الشاشة، والكاميرا والميكروفون، ومحتوى الملفات أو الرسائل، والموقع |
يجمع الوكيل البيانات فقط في أيام وساعات الدوام التي يحددها المسؤول عن البيانات في اللوحة.
3. التزامات المعالج
3.1. السرية. لا يصل إلى البيانات إلا الموظفون الذين يحتاجون إلى ذلك لتشغيل الخدمة، والملتزمون بالسرية. لا تُعرض بيانات عمل موظفي العملاء في شاشات إدارة المنصة.
3.2. الأمان (المادة 12 من قانون KVKK). يطبّق المعالج على الأقل التدابير التالية:
- تشفير TLS في جميع الاتصالات، وتخزين ملخّص مفاتيح هوية الوكيل فقط.
- الفصل المنطقي بين العملاء (يقتصر كل استعلام على بيانات العميل نفسه) واختبارات آلية تتحقق من ذلك.
- التحقق بخطوتين إلزامي لحسابات المديرين، والتحقق بخطوتين اختياري أو إلزامي لحسابات العملاء.
- قفل الحساب عند الإدخال الخاطئ، وتحديد الطلبات، وجدار حماية للتطبيق؛ والسماح بالوصول إلى الخادم من الويب عبر مزوّد أمن الشبكة فقط.
- تسجيل من وصل إلى بيانات الموظفين ومتى (يطّلع عليه المسؤول عن البيانات في لوحته).
- نسخ احتياطي يومي، وتشفير النسخ خارج الخادم، ومحاولات استعادة أسبوعية.
- التطبيق المنتظم لتحديثات الأمان، والمراقبة المستمرة لأحداث الخادم والتطبيق.
3.3. الإخطار بالخرق. عند علم المعالج بخرق للبيانات يؤثر على بيانات المسؤول عن البيانات، يُبلغ المسؤول دون تأخير، وفي موعد أقصاه 24 ساعة. يتضمن الإخطار، بقدر ما هو معلوم، طبيعة الخرق، وعدد البيانات والأشخاص المتأثرين، والتدابير المتخذة والمقترحة. ويوفّر المعالج المعلومات والدعم اللازمين لتمكين المسؤول من الإبلاغ إلى الهيئة خلال 72 ساعة وفقًا للفقرة 5 من المادة 12 من KVKK.
3.4. طلبات الأشخاص المعنيين. يقدّم المعالج الدعم التقني اللازم لتمكين المسؤول عن البيانات من الاستجابة لطلبات المادة 11 من KVKK (استخراج البيانات المتعلقة بالشخص وتصحيحها وحذفها). ويحوّل إلى المسؤول عن البيانات أي طلب يصله مباشرةً.
3.5. التدقيق. يجوز للمسؤول عن البيانات، مرة واحدة في السنة وبإشعار مسبق معقول، طلب المعلومات والمستندات التي تُثبت الامتثال لهذه الاتفاقية.
4. المعالجون من الباطن
4.1. تُخزَّن بيانات الخدمة والنسخ الاحتياطية المشفّرة خارج الخادم في مراكز بيانات N2mobil في تركيا. يمنح المسؤول عن البيانات تفويضًا عامًا باستخدام المعالجين من الباطن التالين:
| المعالج من الباطن | الخدمة | الموقع | البيانات المعالجة |
|---|---|---|---|
| Cloudflare, Inc. | أمن الشبكة، والوكيل العكسي | الولايات المتحدة والعالم | حركة المرور العابرة (لا تُخزَّن بشكل دائم) |
| Twilio Inc. (SendGrid) | إرسال البريد الإلكتروني | الولايات المتحدة | البريد الإلكتروني والاسم لمستخدمي اللوحة؛ وأسماء الموظفين وملخصات أوقات العمل إذا فتح المسؤول عن البيانات رسائل التقارير |
4.2. يُبلغ المعالج المسؤول عن البيانات عبر البريد الإلكتروني قبل 30 يومًا على الأقل من إضافة معالج من الباطن جديد أو استبدال معالج قائم. إذا اعترض المسؤول عن البيانات لسبب مشروع ولم يتم التوافق، جاز له إنهاء الخدمة دون غرامة واسترداد أجر الفترة غير المستخدمة.
4.3. يفرض المعالج على المعالجين من الباطن التزامات لا تقل حماية عن تلك الواردة في هذه الاتفاقية، ويكون مسؤولًا أمام المسؤول عن البيانات عن أفعالهم.
5. النقل إلى الخارج
5.1. تُخزَّن بيانات الخدمة في تركيا. غير أن البيانات المرسلة إلى المعالجين من الباطن الموجودين خارج تركيا وفق الجدول الوارد في الفقرة 4.1 (حركة المرور العابرة، وإرسال البريد الإلكتروني) تُنقل إلى الخارج.
5.2. يتم هذا النقل استنادًا إلى العقد المعياري الذي أعلنته هيئة حماية البيانات الشخصية وفق المادة 9 من KVKK (وقد أُبلغت به الهيئة). يوقّع الطرفان العقد المعياري ذي الصلة بشكل منفصل في الأحوال التي يقتضيها العقد المعياري الذي أعلنته الهيئة، ويُبلغانه إلى الهيئة في المهلة التي يحددها KVKK.
5.3. يلتزم المسؤول عن البيانات بذكر النقل إلى الخارج في نص الإشعار الذي يقدّمه لموظفيه (النموذج يتضمن ذلك).
6. التزامات المسؤول عن البيانات
6.1. إبلاغ موظفيه، قبل تثبيت الوكيل، وفقًا للمادة 10 من KVKK؛ وتحديد الأساس القانوني للمعالجة وتوثيقه.
6.2. استخدام الخدمة فقط على أجهزة تملكها المؤسسة ولأغراض مشروعة (إدارة عمليات العمل، والكفاءة، وأمن المعلومات)؛ وعدم استخدامها للمراقبة السرية أو للتدخل في الحياة الخاصة للموظفين أو للتمييز.
6.3. تحديد إعدادات مثل الاحتفاظ بعناوين النوافذ ومدة الاحتفاظ بما يتوافق مع مبدأ التناسب.
7. الاحتفاظ والإعادة والحذف
7.1. تُحفظ بيانات العمل للمدة التي يحددها المسؤول عن البيانات في اللوحة وتسمح بها الباقة؛ وتُحذف السجلات المنتهية مدتها تلقائيًا كل يوم.
7.2. عند انتهاء الخدمة، يجوز للمسؤول عن البيانات تصدير بياناته من اللوحة (بصيغة CSV) أو من واجهة API طالما أن الوصول مستمر. بعد 90 يومًا من انتهاء الوصول تُحذف جميع بيانات العمل وسجلات الموظفين والأجهزة نهائيًا. ويجوز أن تبقى البيانات المحذوفة في النسخ الاحتياطية المشفّرة لمدة 6 أشهر كحد أقصى، وتُحذف مع النسخ الاحتياطية في نهاية هذه المدة.
7.3. تبقى سجلات الفواتير والعقد محفوظةً لدى المعالج بصفته مسؤولًا عن البيانات للمدة التي ينص عليها التشريع ذو الصلة (10 سنوات)؛ ولا تتضمن هذه السجلات بيانات عمل الموظفين.
8. المدة وأحكام أخرى
8.1. تدخل هذه الاتفاقية حيز التنفيذ مع اتفاقية الخدمة، وتبقى سارية حتى يُكمل المعالج التزامات الحذف الواردة في المادة 7.
8.2. في حال وجود تعارض بين هذه الاتفاقية واتفاقية الخدمة فيما يتعلق بحماية البيانات الشخصية، تُطبّق هذه الاتفاقية.
8.3. تخضع هذه الاتفاقية للقانون التركي، وتختص محاكم أنقرة ودوائر التنفيذ بالنزاعات الناشئة عنها.
سارية اعتبارًا من: 5 نوفمبر 2026