انتقل إلى المحتوى
ImmigraFlow
قانوني

عقد معالجة البيانات

المادة 28 من اللائحة العامة لحماية البيانات والمادة 33 من LOPDGDD. آخر تحديث: 30 سبتمبر 2026

ترجمة مقدَّمة لأغراض التيسير

تُقدَّم هذه النسخة العربية من عقد معالجة البيانات لأغراض التيسير فحسب. وفي حال وجود أي تعارض أو اختلاف بين هذه الترجمة والنسخة الإسبانية، تسود النسخة الإسبانية. والنسخة الإسبانية متاحة على الرابط immigraflow.io/es/encargo-tratamiento.

ينظّم هذا العقد معالجة البيانات الشخصية التي يقوم بها مقدّم الخدمة لحساب المكتب عند تقديم خدمة ImmigraFlow. وهو جزء من الشروط والأحكام (القسم 11)، وللعبارات المكتوبة بحرف استهلالي كبير (المنصة، المستخدم، عميل المكتب، بيانات المكتب) المعنى الذي تمنحه لها الشروط.

1. الأطراف وشكل العقد

  • المتحكم: المكتب الذي يتعاقد على المنصة، ويُحدَّد ببيانات مؤسسته وبيانات الفوترة الواردة في حسابه (ويُشار إليه فيما يلي بـ«المكتب»).
  • المعالج: Antonio Samuel Martín Polo، الذي يعمل بالاسم التجاري Autonomio وتحت العلامة ImmigraFlow. رقم التعريف الضريبي الإسباني (NIF): 50555557Q. العنوان: Calle de las Laderas 16B, 28490 Becerril de la Sierra, Madrid, España. البريد الإلكتروني: hello@immigraflow.io (ويُشار إليه فيما يلي بـ«مقدّم الخدمة»).

يُبرَم العقد بوسائل إلكترونية: يقبله المكتب بقبوله الشروط عند التسجيل أو التعاقد، ويظل ملزَمًا به طوال سريان الشروط. ويستوفي هذا الشكل الإلكتروني شرط الكتابة المنصوص عليه في المادة 28(9) من اللائحة (الاتحاد الأوروبي) 2016/679 (اللائحة العامة لحماية البيانات).

2. موضوع المعالجة

يعالج مقدّم الخدمة لحساب المكتب البيانات الشخصية التي يُدخلها المكتب أو مستخدموه أو عملاء المكتب في المنصة، وذلك لغرض وحيد هو تقديم الخدمة الموصوفة في الشروط. ولا يشمل هذا العقد بيانات حساب المكتب ومستخدميه التي يعالجها مقدّم الخدمة بصفته متحكِّمًا (فوترة الاشتراك، والاتصالات التجارية، والدعم، والتحليلات)، والتي تخضع لـسياسة الخصوصية.

3. المدة

تستمر مدة هذه المعالجة طوال مدة العقد الخاضع للشروط، وبعد انتهائه، طوال المدة التي يحتفظ فيها مقدّم الخدمة بالبيانات وفقًا للبند 15. وتظل التزامات السرية والأمان قائمة ما دام مقدّم الخدمة يحتفظ بأي بيانات تخص المكتب.

4. طبيعة المعالجة والغرض منها

الغرض: إدارة ملفات شؤون الأجانب الخاصة بالمكتب وعلاقته بعملائه عبر المنصة.

عمليات المعالجة، بحسب الوظائف التي يستخدمها المكتب:

  • تسجيل البيانات والمستندات واستضافتها وحفظها وتنظيمها والاطلاع عليها ونسخها احتياطيًا.
  • القراءة الآلية للمستندات بالذكاء الاصطناعي، وتلخيص الملفات، والاطلاع على التشريعات، وإعداد مسودات المستندات، وترجمة الرسائل.
  • تسجيل الأسئلة التي يطرحها المستخدمون وعملاء المكتب على مساعدي الذكاء الاصطناعي (مساعد الاستفسارات في بوابة العميل، والبحث القانوني الخاص بالمكتب، والدعم الفني)، وتُحفظ بعد الإزالة الآلية للبيانات التعريفية (الأسماء التي يتم رصدها وأرقام المستندات والبريد الإلكتروني وأرقام الهاتف وأرقام الحسابات المصرفية الدولية IBAN) لمدة أقصاها 180 يومًا، وذلك لحساب المكتب وبغرض تحسين الإجابات. لا يطّلع كل مكتب إلا على أسئلته الخاصة؛ ويجوز لمقدّم الخدمة تحليل مجموع أسئلة جميع المكاتب، لكن فقط على هذا النص بعد تنقيته، وفقط لتحسين الخدمة. لا تُستخدم هذه الأسئلة أبدًا لتدريب نماذج تابعة لجهات خارجية: فمزوّدو خدمات الذكاء الاصطناعي مُهيَّأون دون الاحتفاظ بالبيانات.
  • التواصل مع عملاء المكتب عبر بوابة العميل، وعبر البريد الإلكتروني، وعبر واتساب إذا فعّله المكتب.
  • إنشاء النماذج والمستندات، والتوقيع الإلكتروني على المستندات، وتعبئة نماذج المواقع الإلكترونية الحكومية باستخدام إضافة Mercurio.
  • إصدار الفواتير وتحصيل المدفوعات، وعند تفعيل المكتب لذلك، إرسال سجلات الفوترة إلى مصلحة الضرائب الإسبانية (VeriFactu).
  • نسخ المستندات وإرسال المواعيد النهائية إلى الخدمات التي يربطها المكتب (البند 10.3).
  • محو البيانات وتقييدها وفقًا لهذا العقد.

5. أنواع البيانات الشخصية

يقرر المكتب ما يُدخله من بيانات. ونظرًا لطبيعة المنصة، يمكن معالجة ما يلي:

  • بيانات التعريف والاتصال: الاسم الكامل، ورقم بطاقة الإقامة للأجانب (NIE)، ورقم التعريف الضريبي (NIF)، ورقم جواز السفر، وتاريخ ومكان الميلاد، والجنسية، والجنس، والحالة الاجتماعية، وأسماء الوالدين، والعنوان، والهاتف، والبريد الإلكتروني.
  • وثائق الهوية والسفر: نسخ من جوازات السفر، وبطاقات هوية الأجانب، والتأشيرات، وسائر الوثائق الرسمية.
  • الوضع الإداري والهجري: نوع التصريح، وتواريخ الدخول والإقامة، وشهادة القيد السكاني (empadronamiento)، والملفات، وطلبات استكمال المستندات، وقرارات الإدارة.
  • بيانات الأسرة: بيانات الأزواج والأبناء (بمن فيهم القُصّر) وسائر أفراد الأسرة، والمستندات المثبتة لصلة القرابة.
  • البيانات المهنية والأكاديمية: عقود العمل وعروضه، والسجل المهني، وبيانات الشركة المُشغِّلة وعمّالها، والشهادات الدراسية وسجلات القيد.
  • البيانات الاقتصادية: إثباتات الملاءة المالية، وكشوف الرواتب، وكشوف الحسابات المصرفية، وفواتير المكتب وتحصيلاته من عملائه. ولا تُعالَج بيانات البطاقات المصرفية (البند 10).
  • الاتصالات والتوقيعات: الرسائل المتبادلة بين المكتب وعملائه وأدلة التوقيع الإلكتروني على المستندات.
  • بيانات الإدانات والمخالفات الجنائية (المادة 10 من اللائحة العامة لحماية البيانات): شهادات السجل الجنائي التي تتطلبها إجراءات عديدة.
  • الفئات الخاصة من البيانات (المادة 9 من اللائحة العامة لحماية البيانات): البيانات الصحية الواردة في الشهادات الطبية والتأمينات الصحية التي تتطلبها بعض الإجراءات، وما يرد في المستندات التي يختار المكتب رفعها، كما في ملفات الحماية الدولية مثلًا (الآراء السياسية، والمعتقدات الدينية، والأصل العرقي، والميل الجنسي، أو الحالة الصحية).
  • بيانات مستخدمي المكتب: الاسم، والبريد الإلكتروني، والدور، والنشاط على المنصة، والشهادات الإلكترونية التي يرفعها المكتب للتوقيع على المستندات أو تقديمها.

6. فئات أصحاب البيانات

  • عملاء المكتب وممثلوهم.
  • أفراد أسر عملاء المكتب، بمن فيهم القُصّر.
  • الشركات العميلة للمكتب وجهات الاتصال فيها وعمّالها.
  • الأشخاص الذين يملؤون نماذج استقطاب العملاء الخاصة بالمكتب.
  • الموقِّعون على المستندات وسائر الأشخاص الواردة أسماؤهم في المستندات (أصحاب العمل، والمؤجِّرون، والضامنون).
  • مستخدمو المكتب (الشركاء، والمحامون، والموظفون، والمتعاونون).

7. التزامات المكتب

يقع على عاتق المكتب، بصفته المتحكم في البيانات، ما يلي:

  • تحديد البيانات التي تُعالَج وتوافر أساس قانوني لمعالجتها، بما في ذلك شروط المادتين 9 و10 من اللائحة العامة لحماية البيانات بشأن البيانات الصحية وبيانات السجل الجنائي.
  • إعلام أصحاب البيانات (المادتان 13 و14 من اللائحة العامة لحماية البيانات)، بما في ذلك استخدام وظائف الذكاء الاصطناعي، وقناة واتساب، والخدمات التي يربطها.
  • إصدار التعليمات إلى مقدّم الخدمة. وتتمثل تعليماته في هذه الشروط، وهذا العقد، والإعدادات التي يضبطها المكتب على المنصة (الوظائف المفعَّلة، والتكاملات، وصلاحيات الوصول الممنوحة لمستخدميه وعملائه). ويجب أن تُعطى أي تعليمات أخرى كتابةً.
  • إدارة صلاحيات وصول مستخدميه وعملائه وحفظ بيانات اعتمادهم.
  • إجراء تقييم الأثر المتعلق بحماية البيانات والتشاور المسبق عند الاقتضاء (المادتان 35 و36 من اللائحة العامة لحماية البيانات).
  • الاستجابة لحقوق أصحاب البيانات، بمساعدة مقدّم الخدمة (البند 12).

8. التزامات مقدّم الخدمة

يلتزم مقدّم الخدمة بما يلي:

  • معالجة البيانات فقط وفق التعليمات الموثَّقة الصادرة عن المكتب، بما في ذلك ما يتعلق بعمليات النقل الدولي للبيانات، ما لم يُلزمه بخلاف ذلك قانون الاتحاد الأوروبي أو القانون الإسباني؛ وفي هذه الحالة يُعلم المكتب قبل معالجة البيانات، ما لم يحظر ذلك القانون هذا الإعلام. وإذا رأى أن تعليمة ما تخالف تشريعات حماية البيانات، فسيبلغ المكتب بذلك فورًا.
  • عدم معالجة البيانات لأغراضه الخاصة، وعدم استخدامها لتدريب نماذج الذكاء الاصطناعي، وعدم إفشائها لأطراف ثالثة، إلا للمعالجين الفرعيين الواردين في البند 10 أو بموجب التزام قانوني.
  • ضمان أن الأشخاص المخوَّلين بمعالجة البيانات قد التزموا كتابةً باحترام سريتها أو أنهم يخضعون لالتزام قانوني بالسرية. ويقتصر الوصول إلى بيانات المكتب على ما هو ضروري لتقديم الخدمة، أو حل الحوادث، أو الاستجابة لطلب من المكتب.
  • تطبيق تدابير الأمان المنصوص عليها في البند 9.
  • الالتزام بشروط البند 10 عند الاستعانة بمعالجين فرعيين.
  • مساعدة المكتب في الاستجابة لحقوق أصحاب البيانات (البند 12) وفي الامتثال للمواد من 32 إلى 36 من اللائحة العامة لحماية البيانات (البنود 9 و13 و14).
  • محو البيانات أو إعادتها عند إنهاء الخدمة وفقًا للبند 15.
  • إتاحة المعلومات اللازمة للمكتب لإثبات الامتثال لهذا العقد والسماح بإجراء عمليات التدقيق (البند 16).
  • الاحتفاظ بسجل فئات أنشطة المعالجة التي تُجرى لحساب المكتب (المادة 30(2) من اللائحة العامة لحماية البيانات).

9. تدابير الأمان

يطبّق مقدّم الخدمة تدابير تقنية وتنظيمية تتناسب مع المخاطر، مع مراعاة أن المنصة تعالج وثائق هوية، وبيانات قُصّر، وبيانات صحية، وبيانات السجل الجنائي. والتدابير المعمول بها حاليًا هي:

  • التشفير أثناء النقل: جميع الاتصالات مع المنصة مشفَّرة عبر بروتوكول TLS (بروتوكول HTTPS إلزامي، مع تفعيل HSTS).
  • التشفير أثناء التخزين: قاعدة البيانات والملفات مشفَّرة أثناء التخزين لدى مزوّد الاستضافة. وإضافة إلى ذلك، تُشفِّر المنصة بمعيار AES-256-GCM الشهادات الإلكترونية، وكلمات مرور صناديق البريد الإلكتروني المتصلة، ومفاتيح أجهزة الدفع الخاصة بالمكتب.
  • الفصل بين المكاتب: يشكّل كل مكتب مؤسسة منفصلة، وتمنع سياسات الأمان على مستوى الصفوف في قاعدة البيانات (RLS)، المفعَّلة في جميع الجداول، وصول مكتب إلى بيانات مكتب آخر.
  • التحكم في الوصول حسب الأدوار: داخل المكتب، يصل كل مستخدم إلى البيانات وفق دوره، وفي الخطط التي تتضمن ذلك، يقتصر وصوله على الملفات المسندة إليه فقط. ولا يصل كل عميل من عملاء المكتب إلا إلى ما يشاركه معه المكتب.
  • المستندات الخاصة: تُحفظ الملفات في تخزين غير عام، ولا تُقدَّم إلا عبر روابط موقَّعة قصيرة المدة.
  • الموقع: تُستضاف قاعدة البيانات والملفات داخل الاتحاد الأوروبي (باريس). وتُقدَّم بعض الخدمات من خارجه (البندان 10 و11).
  • النسخ الاحتياطي: نسخ احتياطية يومية لقاعدة البيانات لدى مزوّد الاستضافة، تُحفظ لمدة 7 يومًا، ونسخة احتياطية إضافية لقاعدة البيانات والملفات على جهاز تابع لمقدّم الخدمة في إسبانيا، تُحفظ فيها كل نسخة احتياطية لقاعدة البيانات لمدة 30 يومًا. وتُزال من تلك النسخة الملفاتُ التي لم تعد موجودة في التخزين الرئيسي بعد 30 يومًا.
  • تسجيل الأخطاء دون بيانات تعريفية: تُسجَّل الأخطاء التقنية بعد إزالة الحقول التعريفية مسبقًا، وتُخفي تسجيلات الجلسات المرفقة بأي خطأ النص وتحجب الصور.
  • سجل عمليات المحو: تُسجَّل كل عملية محو لبيانات شخص لإمكان إثبات أنها نُفِّذت.
  • وصول مقدّم الخدمة: تقتصر إدارة المنصة على الشخص المسؤول عنها لدى مقدّم الخدمة.

يراجع مقدّم الخدمة هذه التدابير ويجوز له تحديثها، دون خفض مستوى الحماية الذي توفّره.

10. المعالجون الفرعيون

10.1. الإذن العام

يمنح المكتب مقدّم الخدمة إذنًا عامًا مكتوبًا للاستعانة بالمعالجين الفرعيين الواردين في القائمة التالية. ويفرض مقدّم الخدمة تعاقديًا على كل منهم نفس التزامات حماية البيانات التي يتحمّلها بموجب هذا العقد، ويكون مسؤولًا أمام المكتب عن التزامهم بها.

قبل إضافة معالج فرعي جديد أو استبداله، سيُخطر مقدّم الخدمة مديري المكتب بالبريد الإلكتروني ويحدّث هذه الصفحة قبل ذلك بمدة لا تقل عن 30 يومًا. ويجوز للمكتب الاعتراض خلال هذه المدة لأسباب معقولة تتعلق بحماية البيانات. وإذا تعذّر التوصل إلى حل، جاز للمكتب إنهاء العقد قبل نفاذ التغيير، وسيرد له مقدّم الخدمة الجزء المدفوع مسبقًا عن المدة التي لن يستفيد منها.

10.2. قائمة المعالجين الفرعيين

المعالج الفرعيالخدمة والبياناتالموقعضمانات النقل
Supabase
Supabase, Inc.		قاعدة البيانات، ومصادقة المستخدمين، وتخزين المستندات. جميع بيانات المكتب.الاتحاد الأوروبي: باريس، فرنسا (منطقة eu-west-3). الشركة مؤسَّسة في الولايات المتحدة.البيانات مستضافة داخل الاتحاد الأوروبي. أما ما قد يحتاجه المزوّد من وصول من خارج المنطقة الاقتصادية الأوروبية، فيخضع لـالبنود التعاقدية النموذجية الصادرة عن المفوضية الأوروبية (القرار التنفيذي (الاتحاد الأوروبي) 2021/914).
Vercel
Vercel Inc.		استضافة التطبيق وتشغيله، وشبكة توصيل المحتوى، وقياس الزيارات والأداء دون استخدام ملفات تعريف الارتباط. البيانات المتنقلة في كل طلب موجَّه إلى المنصة أثناء معالجته، والسجلات التقنية للتشغيل.الاتحاد الأوروبي: تعمل وظائف الخادم في باريس (منطقة cdg1)، إلى جانب قاعدة البيانات. وشبكة توصيل المحتوى عالمية. شركة Vercel Inc. كيان مؤسَّس في الولايات المتحدة.البنود التعاقدية النموذجية الصادرة عن المفوضية الأوروبية (القرار التنفيذي (الاتحاد الأوروبي) 2021/914).
OpenRouter
OpenRouter, Inc.		بوابة توجّه كل طلب متعلق بالذكاء الاصطناعي إلى مزوّد النموذج. المحتوى المُرسَل إلى كل وظيفة ذكاء اصطناعي: نصوص المستندات وصورها، وبيانات الملف، والرسائل قيد الترجمة، والأسئلة الموجَّهة إلى المساعد.الولايات المتحدة.البنود التعاقدية النموذجية الصادرة عن المفوضية الأوروبية (القرار التنفيذي (الاتحاد الأوروبي) 2021/914).
Proveedores de modelos de IA a través de OpenRouter
Google (Gemini), Anthropic (Claude, servido por Anthropic o Amazon Bedrock), OpenAI (embeddings) y Mistral AI (OCR y traducción de mensajes)		تشغيل نماذج الذكاء الاصطناعي: Google (Gemini) لقراءة المستندات ومهام النصوص؛ وAnthropic (Claude) كبديل؛ وOpenAI لتحويل أسئلة الاستشارة التنظيمية إلى متجهات؛ وMistral AI لترجمة الرسائل بين المكتب وعملائه وللتعرف على نص ملفات PDF الممسوحة ضوئيًا عند فشل القراءة الأولى؛ وAnthropic (Claude) كبديل لقراءة الصور وملفات PDF. البيانات ذاتها التي يستقبلها OpenRouter في كل طلب.الولايات المتحدة أو الاتحاد الأوروبي، بحسب المزوّد الذي يخصصه OpenRouter لكل طلب.يشترط كل طلب أن يوجّهه OpenRouter حصرًا إلى مزوّدين لا يحتفظون بالبيانات ولا يستخدمونها لتدريب النماذج. إضافة إلى ذلك، تسري شروط عقد OpenRouter مع كل مزوّد.
Resend
Resend, Inc.		إرسال رسائل البريد الإلكتروني الخاصة بالمنصة (الإشعارات، والدعوات، والتذكيرات) واستقبال الردود على تلك الرسائل. عنوان كل رسالة واسمها ومحتواها.الاتحاد الأوروبي: أيرلندا (منطقة eu-west-1). الشركة مؤسَّسة في الولايات المتحدة.الإرسال من داخل الاتحاد الأوروبي. أما الوصول من خارج المنطقة الاقتصادية الأوروبية، فيخضع لـالبنود التعاقدية النموذجية الصادرة عن المفوضية الأوروبية (القرار التنفيذي (الاتحاد الأوروبي) 2021/914).
Stripe
Stripe Payments Europe, Limited		تحصيل اشتراك المكتب، وعند استخدام المكتب لخدمة Stripe Connect لتحصيل مدفوعات عملائه، معالجة تلك المدفوعات. الاسم، والبريد الإلكتروني، والمبلغ، وبيان كل عملية دفع. تجمع Stripe بيانات البطاقة مباشرة ولا يطّلع عليها مقدّم الخدمة.أيرلندا، مع معالجة في الولايات المتحدة عبر شركة Stripe, Inc.البنود التعاقدية النموذجية الصادرة عن المفوضية الأوروبية (القرار التنفيذي (الاتحاد الأوروبي) 2021/914) وإطار خصوصية البيانات بين الاتحاد الأوروبي والولايات المتحدة.
Sentry
Functional Software, Inc.		تسجيل الأخطاء التقنية للتطبيق، وعند وقوع خطأ في المتصفح، تسجيل الجلسة مع إخفاء كامل النص وحجب الصور. بيانات الخطأ التقنية (المسار، والمتصفح، وتتبّع التنفيذ). تُزال الحقول التعريفية (جواز السفر، وبطاقة الإقامة NIE، وتاريخ الميلاد، والعنوان، والهاتف، والبريد الإلكتروني) قبل الإرسال، لكن قد تتضمن رسالة الخطأ بيانات أخرى من الملف.الاتحاد الأوروبي: ألمانيا (منطقة بيانات الاتحاد الأوروبي). الشركة مؤسَّسة في الولايات المتحدة.البيانات مستضافة داخل الاتحاد الأوروبي. أما الوصول من خارج المنطقة الاقتصادية الأوروبية، فيخضع لـالبنود التعاقدية النموذجية الصادرة عن المفوضية الأوروبية (القرار التنفيذي (الاتحاد الأوروبي) 2021/914).
PostHog
PostHog, Inc.		تحليل استخدام المنصة، فقط إذا وافق الشخص على ملفات تعريف الارتباط الخاصة بالتحليلات. لا يُحمَّل في الصفحات التي يستخدمها عملاء المكتب. المعرّف الداخلي للمستخدم والمؤسسة، والصفحات التي تمت زيارتها والتفاعلات، والتي قد تشمل النص الظاهر للعناصر المنقور عليها.الاتحاد الأوروبي: فرانكفورت، ألمانيا. الشركة مؤسَّسة في الولايات المتحدة.البيانات مستضافة داخل الاتحاد الأوروبي. أما الوصول من خارج المنطقة الاقتصادية الأوروبية، فيخضع لـالبنود التعاقدية النموذجية الصادرة عن المفوضية الأوروبية (القرار التنفيذي (الاتحاد الأوروبي) 2021/914).
DigitalOcean
DigitalOcean, LLC		الخادم الذي يعمل عليه تكامل قناة واتساب. لا يتدخل إلا إذا فعّل المكتب هذه القناة. رقم الهاتف، والرسائل، والمرفقات، وبيانات وصفية لمحادثات الرقم المرتبط.الاتحاد الأوروبي: فرانكفورت، ألمانيا. الشركة مؤسَّسة في الولايات المتحدة.البيانات مستضافة داخل الاتحاد الأوروبي. أما الوصول من خارج المنطقة الاقتصادية الأوروبية، فيخضع لـالبنود التعاقدية النموذجية الصادرة عن المفوضية الأوروبية (القرار التنفيذي (الاتحاد الأوروبي) 2021/914).

10.3. الخدمات التي يربطها المكتب أو يتعاقد عليها مباشرة

لا تُعدّ هذه الخدمات معالجين فرعيين تابعين لمقدّم الخدمة، لأن المكتب يتعاقد معها أو يربطها بحسابه الخاص، وتخضع معالجتها لعقد المكتب مع كل منها. ولا ترسل المنصة إليها بيانات أو تستقبل منها بيانات إلا عندما يفعّل المكتب عملية الربط:

  • Google (خدمات Google Drive، وGoogle Calendar، وتسجيل الدخول عبر Google)، باستخدام حساب Google الخاص بالمكتب.
  • Microsoft OneDrive، باستخدام حساب Microsoft 365 الخاص بالمكتب، عندما يختار المكتب حفظ مستندات ملفاته فيه.
  • Dropbox (Dropbox, Inc.)، باستخدام حساب Dropbox الخاص بالمكتب، عندما يختار المكتب حفظ مستندات ملفاته فيه. يتلقى نسخة من مستندات المكتب ومجلد الملف، وتحفظ المنصة بيانات الاتصال مشفَّرة. ولا يُفعَّل إلا إذا ربطه المكتب.
  • Microsoft 365 أو مزوّد بريد إلكتروني آخر، عندما يربط المكتب صندوق بريده لتصل رسائل عملائه إلى الملف.
  • WhatsApp (Meta): تستخدم القناة الواردة في القسم 9 من الشروط رقم وحساب واتساب الخاصين بالمكتب، وتمر الرسائل عبر خوادم واتساب وفقًا للشروط التي يرتبط بها المكتب مع واتساب.
  • Stripe Connect وأجهزة الدفع المصرفية (Redsys)، باستخدام حساب التحصيل الخاص بالمكتب.
  • مصلحة الضرائب الإسبانية، التي تستلم سجلات الفوترة التي يرسلها المكتب (VeriFactu) بموجب التزام قانوني يخص المكتب.

11. النقل الدولي للبيانات

لا ينقل مقدّم الخدمة البيانات خارج المنطقة الاقتصادية الأوروبية إلا إلى المعالجين الفرعيين المذكورين في البند 10.2، وفق الشروط المبيَّنة فيه: إما استنادًا إلى قرار كفاية صادر عن المفوضية الأوروبية، مثل إطار خصوصية البيانات بين الاتحاد الأوروبي والولايات المتحدة، أو بموجب الضمانات المنصوص عليها في المادة 46 من اللائحة العامة لحماية البيانات، مثل البنود التعاقدية النموذجية. ويأذن المكتب بهذا النقل بقبوله هذا العقد.

12. حقوق أصحاب البيانات

  • يمارس عملاء المكتب وسائر أصحاب البيانات حقوقهم أمام المكتب. وإذا تلقّى مقدّم الخدمة طلبًا مباشرةً، فسيُحيله إلى المكتب دون تأخير ولن يرد عليه بنفسه، ما لم يصدر تعليمات بذلك من المكتب.
  • يمكن للمكتب من خلال المنصة الاطلاع على بيانات عملائه وتصحيحها وتنزيلها وحذف المستندات، التي تُمحى نهائيًا بعد 30 يومًا.
  • حذف بطاقة عميل أو ملف من لوحة التحكم يؤدي إلى أرشفته وإزالته من العرض، دون محوه نهائيًا. ولمحو بيانات شخص محوًا نهائيًا، يطلب المكتب ذلك عبر hello@immigraflow.io، وينفّذه مقدّم الخدمة في أجل أقصاه 30 يومًا مع الاحتفاظ بسجل بذلك.
  • سيقدّم مقدّم الخدمة أي مساعدة إضافية يحتاجها المكتب لتلبية أي حق آخر ضمن الأجل المحدد.

13. خروقات أمن البيانات الشخصية

سيُخطر مقدّم الخدمة المكتب، دون تأخير لا مبرر له وفي غضون مدة أقصاها 48 ساعة من علمه بها على أي حال، بأي خرق لأمن البيانات يمس بيانات المكتب. ويُرسَل الإخطار بالبريد الإلكتروني إلى مديري المكتب ويتضمن، بقدر ما هو معلوم، المعلومات المنصوص عليها في المادة 33(3) من اللائحة العامة لحماية البيانات: طبيعة الخرق، وفئات أصحاب البيانات والسجلات المتأثرة وعددها التقريبي، والعواقب المحتملة، والتدابير المتخذة أو المقترحة، ونقطة اتصال. وإذا تعذّر تقديم جميع المعلومات دفعة واحدة، فستُقدَّم بشكل تدريجي.

يقع على عاتق المكتب إخطار الوكالة الإسبانية لحماية البيانات بالخرق، وإخطار أصحاب البيانات عند الاقتضاء. وسيقدّم له مقدّم الخدمة المساعدة اللازمة للقيام بذلك.

14. تقييمات الأثر والتشاور المسبق

سيوفّر مقدّم الخدمة للمكتب المعلومات المتعلقة بالمنصة وتدابيرها الأمنية التي يحتاجها لإجراء تقييم الأثر المتعلق بحماية البيانات، وعند الاقتضاء، التشاور المسبق مع سلطة الرقابة.

15. مصير البيانات عند إنهاء الخدمة

  • القراءة فقط: عند انتهاء الاشتراك، ينتقل حساب المكتب إلى وضع القراءة فقط. ويمكن للمكتب ومستخدميه الاستمرار في تسجيل الدخول وتنزيل مستندات كل ملف وتصدير الفواتير. وتحتفظ المنصة ببيانات الحساب الموجود في وضع القراءة فقط على تلك الحال، بنفس تدابير الأمان، لمدة 12 شهرًا من تاريخ انتهاء الاشتراك. وإذا أعاد المكتب تفعيله قبل ذلك، فلا يُحذف شيء.
  • الإعادة: قبل المحو، يمكن للمكتب تنزيل بياناته من المنصة، وإذا طلب ذلك، سيمنحه مقدّم الخدمة أيضًا نسخة من بيانات مؤسسته بصيغة مُهيكلة وشائعة الاستخدام.
  • المحو: بعد مرور تلك الأشهر الـ12، تمحو المنصة تلقائيًا بيانات مؤسسة المكتب، باستثناء ما يظل مقيَّدًا وفقًا للنقطة التالية. وقبل ذلك، يُخطر مقدّم الخدمة صاحب حساب المكتب ومسؤوليه بالبريد الإلكتروني قبل 30 يومًا على الأقل، مع بيان تاريخ المحو، ولا ينفّذه دون هذا الإخطار. ويمكن للمكتب أن يطلب المحو قبل ذلك، في أي وقت، بالكتابة إلى hello@immigraflow.io. وينفّذ مقدّم الخدمة ذلك في أجل أقصاه 30 يومًا، بما يشمل النسخة الخارجية للملفات، ويؤكد ذلك كتابةً. وتختفي النسخ الاحتياطية اليومية لدى مزوّد الاستضافة عند اكتمال دورتها البالغة 7 يومًا، وتختفي نسخ قاعدة البيانات في النسخة الاحتياطية الخارجية عند اكتمال دورتها البالغة 30 يومًا.
  • ما يظل مقيَّدًا: ما لم يُحدد المكتب خلاف ذلك، تظل الفواتير التي أصدرها المكتب من المنصة وسجلات فوترة VeriFactu الخاصة به، التي يُلزَم المكتب بحفظها بموجب التشريعات الضريبية والتجارية، مقيَّدة لمدة 6 أعوام من تاريخ إصدارها، ثم تُمحى بعد ذلك. وأثناء تقييدها، لا تُتاح إلا للمكتب، وللقضاة والمحاكم، والنيابة العامة، والإدارات العامة المختصة (المادة 32 من LOPDGDD). وينطبق الأمر نفسه على أي بيانات أخرى يتعيَّن على مقدّم الخدمة الاحتفاظ بها بموجب التزام قانوني خاص به، خلال المدة التي يحددها ذلك الالتزام.

وترد هذه القواعد نفسها في القسم 6 من الشروط.

16. المعلومات والتدقيق

سيتيح مقدّم الخدمة للمكتب جميع المعلومات اللازمة لإثبات الامتثال لهذا العقد وللمادة 28 من اللائحة العامة لحماية البيانات. ويجوز للمكتب، أو لمدقق مستقل يعيّنه ويلتزم بالسرية، إجراء عمليات تدقيق وتفتيش. وما لم يقع خرق أمني أو تطلب ذلك سلطة رقابة، تُطلَب هذه العمليات قبل موعدها بما لا يقل عن 30 يومًا، وبحد أقصى مرة واحدة في السنة، وتُجرى تفضيليًا عبر مراجعة مستندية عن بُعد دون المساس بأمن بيانات المكاتب الأخرى، ويتحمّل المكتب تكلفتها.

17. المسؤولية

يتحمّل كل طرف مسؤولية مخالفاته الخاصة لتشريعات حماية البيانات وفقًا للمادة 82 من اللائحة العامة لحماية البيانات. وإذا عالج مقدّم الخدمة البيانات لأغراضه الخاصة أو بالمخالفة لتعليمات المكتب، اعتُبر متحكمًا في تلك المعالجة (المادة 28(10) من اللائحة العامة لحماية البيانات). وتسري في العلاقة بين الطرفين حدود المسؤولية الواردة في القسم 10 من الشروط، بالقدر الذي يسمح به القانون.

18. الأسبقية والقانون الواجب التطبيق والاختصاص القضائي

في المسائل المتعلقة بحماية البيانات، يسود هذا العقد على أي حكم آخر من أحكام الشروط. ويخضع هذا العقد للائحة العامة لحماية البيانات، وللقانون الأساسي الإسباني 3/2018، الصادر في 5 ديسمبر، بشأن حماية البيانات الشخصية وضمان الحقوق الرقمية (LOPDGDD)، وللتشريع الإسباني. وفي حال أي نزاع، يخضع الطرفان لمحاكم مدريد (إسبانيا).

لأي استفسار بشأن هذا العقد، أو بشأن خرق لأمن البيانات، أو بشأن ممارسة الحقوق: hello@immigraflow.io.

العودة إلى الأعلى