اتفاقية معالجة البيانات

مقدمة

تشكل اتفاقية معالجة البيانات هذه ("DPA") جزءاً من شروط الخدمة بين diffray, Inc. ("المعالج" أو "نحن" أو "لنا") والعميل ("المتحكم" أو "أنت") لتقديم خدمات مراجعة الكود بالذكاء الاصطناعي ("الخدمة").

تنطبق هذه الـ DPA عندما وفقط بالقدر الذي نعالج فيه البيانات الشخصية نيابة عنك في سياق تقديم الخدمة، وتكون هذه البيانات الشخصية خاضعة لقوانين حماية البيانات.

1. التعريفات

• "البيانات الشخصية" تعني أي معلومات تتعلق بشخص طبيعي محدد أو قابل للتحديد نعالجها نيابة عنك.
• "قوانين حماية البيانات" تعني جميع القوانين المعمول بها المتعلقة بحماية البيانات والخصوصية، بما في ذلك GDPR (الاتحاد الأوروبي)، UK GDPR، CCPA (كاليفورنيا)، LGPD (البرازيل)، واللوائح الأخرى المعمول بها.
• "المعالج الفرعي" يعني أي طرف ثالث نشركه لمعالجة البيانات الشخصية نيابة عنك.
• "صاحب البيانات" يعني الفرد الذي تتعلق به البيانات الشخصية.
• "حادث أمني" يعني أي خرق غير مصرح به أو غير قانوني للأمان يؤدي إلى التدمير أو الفقد أو التغيير أو الإفصاح غير المصرح به أو الوصول إلى البيانات الشخصية عن طريق الخطأ أو بشكل غير قانوني.

2. نطاق المعالجة

2.1 موضوع المعالجة

معالجة البيانات الشخصية فيما يتعلق بخدمات مراجعة الكود بالذكاء الاصطناعي لمستودعات GitHub.

2.2 الطبيعة والغرض

• تقديم خدمات مراجعة وتحليل الكود
• معالجة طلبات السحب وبيانات المستودع
• مصادقة المستخدم وإدارة الحساب
• تحليلات الخدمة والتحسين

2.3 فئات أصحاب البيانات

• موظفوك ومقاولوك
• المستخدمون النهائيون الذين يتفاعلون مع مستودعات الكود
• المساهمون في المستودعات التي تفوضها للمراجعة

2.4 أنواع البيانات الشخصية

• أسماء مستخدمي GitHub وعناوين البريد الإلكتروني
• معلومات الملف الشخصي (الأسماء، الصور الرمزية)
• البيانات الوصفية للمستودع ومعلومات الالتزام
• عناوين IP وبيانات الاستخدام

2.5 المدة

تستمر المعالجة طوال مدة اتفاقية الخدمة، بالإضافة إلى أي فترة احتفاظ يتطلبها القانون أو كما هو محدد في سياسة الخصوصية الخاصة بنا.

3. التزامات المعالج

سوف:

• نعالج البيانات الشخصية فقط وفقاً لتعليماتك الموثقة، ما لم يتطلب القانون خلاف ذلك
• نضمن أن الأشخاص المخولين لمعالجة البيانات الشخصية ملزمون بالتزامات السرية
• ننفذ تدابير أمنية تقنية وتنظيمية مناسبة
• لا نشرك معالجين فرعيين بدون إذنك المسبق (عام أو محدد)
• نساعدك في الاستجابة لطلبات أصحاب البيانات
• نساعدك في ضمان الامتثال لالتزامات الأمان والإخطار بالخرق وتقييم التأثير
• نحذف أو نعيد جميع البيانات الشخصية عند الإنهاء، ما لم يتطلب القانون الاحتفاظ
• نوفر المعلومات اللازمة لإثبات الامتثال ونسمح بعمليات التدقيق

4. التزامات المتحكم

سوف:

• تضمن أن لديك أساساً قانونياً لمعالجة البيانات الشخصية
• تقدم تعليمات واضحة لمعالجة البيانات الشخصية
• تضمن إبلاغ أصحاب البيانات بالمعالجة
• تكون مسؤولاً عن دقة البيانات الشخصية المقدمة لنا
• تمتثل لقوانين حماية البيانات المعمول بها

5. المعالجون الفرعيون

تفوضنا بإشراك المعالجين الفرعيين التاليين:

سنخطرك بأي تغييرات مقصودة على المعالجين الفرعيين، مما يمنحك الفرصة للاعتراض. جميع المعالجين الفرعيين ملزمون باتفاقيات معالجة بيانات بحماية معادلة.

6. تدابير الأمان

ننفذ ونحافظ على تدابير تقنية وتنظيمية مناسبة بما في ذلك:

• التشفير: TLS 1.2+ للبيانات أثناء النقل؛ AES-256 للبيانات أثناء التخزين
• التحكم في الوصول: وصول مبني على الأدوار، مصادقة متعددة العوامل، مبدأ أقل الصلاحيات
• البنية التحتية: AWS مع شهادة SOC 2 Type II، VPCs معزولة، مجموعات أمان
• المراقبة: تسجيل 24/7، اكتشاف التسلل، تنبيه آلي
• أمان الكود: بيئات معالجة مؤقتة تُدمر بعد كل مراجعة
• الموظفون: فحص الخلفية، تدريب أمني، اتفاقيات سرية
• الاستجابة للحوادث: إجراءات موثقة، اختبار منتظم، مسارات تصعيد محددة

7. حقوق أصحاب البيانات

سنساعدك في الاستجابة لطلبات أصحاب البيانات الذين يمارسون حقوقهم بموجب قوانين حماية البيانات، بما في ذلك:

• الحق في الوصول
• الحق في التصحيح
• الحق في المحو
• الحق في تقييد المعالجة
• الحق في نقل البيانات
• الحق في الاعتراض

إذا تلقينا طلباً مباشرة من صاحب البيانات، سنخطرك فوراً ما لم يحظر القانون ذلك.

8. الإخطار بالحوادث الأمنية

عند علمنا بحادث أمني يؤثر على بياناتك الشخصية، سوف:

• نخطرك دون تأخير غير مبرر (خلال 72 ساعة حيثما أمكن)
• نقدم معلومات عن طبيعة الحادث، فئات البيانات المتأثرة، العدد التقريبي لأصحاب البيانات، العواقب المحتملة، والتدابير المتخذة
• نتعاون مع تحقيقك وجهود التخفيف
• نوثق الحادث وخطوات الإصلاح

9. حذف البيانات وإعادتها

عند إنهاء الخدمة أو بناءً على طلبك:

• سنحذف أو نعيد جميع البيانات الشخصية خلال 30 يوماً
• سنقدم تأكيداً مكتوباً بالحذف عند الطلب
• الاحتفاظ بعد هذه الفترة فقط حيث يتطلب القانون المعمول به

ملاحظة: الكود المصدري لا يُخزن بشكل دائم أبداً. كل مراجعة تعمل في بيئة مؤقتة تُدمر بالكامل بعد الاكتمال.

10. عمليات التدقيق

بناءً على إشعار معقول وخاضعاً لالتزامات السرية:

• سنوفر المعلومات اللازمة لإثبات الامتثال لهذه الـ DPA
• سنسمح ونساهم في عمليات التدقيق التي تجريها أنت أو مدقق مستقل
• يُجرى التدقيق خلال ساعات العمل العادية، لا أكثر من مرة سنوياً
• تتحمل تكاليف أي تدقيق ما لم يكشف عن عدم امتثال جوهري

نحافظ أيضاً على شهادات وتقارير تدقيق من طرف ثالث (متوفرة عند الطلب بموجب NDA).

11. التحويلات الدولية

لتحويلات البيانات الشخصية خارج المنطقة الاقتصادية الأوروبية أو المملكة المتحدة أو سويسرا:

• نعتمد على البنود التعاقدية القياسية للاتحاد الأوروبي (SCCs) كما وافقت عليها المفوضية الأوروبية
• لتحويلات المملكة المتحدة، نستخدم اتفاقية نقل البيانات الدولية للمملكة المتحدة أو الملحق البريطاني لـ SCCs
• ننفذ تدابير تكميلية حيث تتطلب الإرشادات المعمول بها

SCCs مدمجة بالإشارة ومتوفرة عند الطلب.

12. المسؤولية

المسؤولية بموجب هذه الـ DPA تخضع للقيود المنصوص عليها في شروط الخدمة. كل طرف يكون مسؤولاً عن الأضرار الناجمة عن المعالجة التي تنتهك قوانين حماية البيانات أو هذه الـ DPA.

13. المدة والإنهاء

تظل هذه الـ DPA سارية طوال مدة معالجتنا للبيانات الشخصية نيابة عنك. عند إنهاء الخدمة، تبقى الالتزامات المتعلقة بحذف البيانات والسرية وحقوق التدقيق سارية.

14. القانون الحاكم

تُحكم هذه الـ DPA بالقوانين المحددة في شروط الخدمة (ولاية ديلاوير، الولايات المتحدة)، إلا حيث تتطلب قوانين حماية البيانات خلاف ذلك.

15. الاتصال

لأسئلة حول هذه الـ DPA أو لطلب نسخة موقعة: