ملحق معالجة البيانات

آخر تحديث: 2026-09-18

يكمّل ملحق معالجة البيانات هذا («الملحق» أو «DPA») شروط الخدمة في papershot المبرمة بينك (بصفتك «العميل» أو «المتحكم») وبين Wellbayt LLC-FZ، وهي شركة ذات مسؤولية محدودة في منطقة حرة مسجلة في دبي، الإمارات العربية المتحدة («papershot» أو «المعالج»). ويسري عندما يستخدم العميل papershot وتخضع معالجة البيانات الشخصية للائحة العامة لحماية البيانات (GDPR) الصادرة عن الاتحاد الأوروبي (اللائحة (EU) 2016/679، «EU GDPR»)، أو اللائحة العامة لحماية البيانات في المملكة المتحدة («UK GDPR»)، أو القانون الفيدرالي السويسري لحماية البيانات («FADP»)، أو المرسوم بقانون اتحادي رقم 45 لسنة 2021 في شأن حماية البيانات الشخصية في الإمارات العربية المتحدة («UAE PDPL»)، أو أي قانون آخر واجب التطبيق لحماية البيانات («قوانين حماية البيانات»).

1. الأدوار والنطاق

العميل هو المتحكم في البيانات الشخصية للعميل (أي الجهة التي تقرر سبب معالجتها وكيفيتها)، وpapershot هو المعالج (أي الجهة التي تعالجها بناءً على تعليمات العميل). ويعمل المعالجون الفرعيون الذين يستعين بهم papershot كمعالجين فرعيين للعميل من خلال papershot.

2. الموضوع والمدة والطبيعة والغرض

• الموضوع: معالجة البيانات الشخصية للعميل لتقديم papershot كما هو موصوف في شروط الخدمة.
• المدة: مدة سريان شروط الخدمة، إضافةً إلى أي احتفاظ يقتضيه القانون.
• الطبيعة والغرض: تخزين الصور والفيديوهات والرسائل الصوتية المضافة إلى لحظة وفحصها وتقديمها، مع تفاصيل اللحظة والطلبات؛ وكشفها للمشاركين في اللحظة وفق الجدول الذي يحدده المضيف؛ وإرسال الإشعارات الفورية والأنشطة المباشرة (Live Activities) ورسائل البريد الإلكتروني للمعاملات؛ واستلام المدفوعات والتحقق منها؛ ومعالجة البلاغات وعمليات الحظر؛ وتشغيل الخدمة وتأمينها وتحسينها؛ وحذف الوسائط عند انتهاء صلاحية اللحظة.

3. أنواع البيانات الشخصية وأصحاب البيانات

• الأنواع: معرّفات تسجيل الدخول عبر Apple أو Google، والأسماء وعناوين البريد الإلكتروني؛ وأسماء العرض وصور الملف الشخصي؛ ومعرّفات التثبيت الموقَّعة للضيوف بلا حساب؛ والصور والفيديوهات والرسائل الصوتية بعد تطبيق مظهر الفيلم، وأبعادها ووقت التقاطها (مع اختزال بيانات EXIF إلى قائمة مسموح بها عند الرفع)؛ وتفاصيل اللحظة وطلبات الفيديو والرسائل الصوتية واقتراحات Guest Lens؛ والمفضّلة؛ والبلاغات وعمليات الحظر؛ وإيصالات الشراء ومعرّفات المنتجات؛ ورموز الإشعارات الفورية والأنشطة المباشرة؛ ومنصة الجهاز ووقت آخر ظهور؛ وسجلات الموافقة (النوع، والمنح أو الإلغاء، والوقت، وعنوان IP)؛ وعناوين IP؛ والمعرّفات المستعارة في بيانات الأعطال والتحليلات.
• أصحاب البيانات: المضيفون (من يصنعون اللحظات)، والضيوف (من ينضمون إلى اللحظات، بحساب أو بدونه)، والأشخاص الذين يظهرون في الوسائط، وعند الاقتضاء موظفو العميل ومتعاقدوه.

4. التزامات المعالج

• معالجة البيانات الشخصية للعميل بناءً على تعليمات موثّقة من العميل فقط، بما في ذلك ما يخص عمليات النقل، ما لم يقتضِ القانون خلاف ذلك.
• ضمان التزام الأشخاص المخوّلين بمعالجة البيانات الشخصية للعميل بالسرية.
• وضع تدابير تقنية وتنظيمية مناسبة، كما هو موصوف في الملحق الثاني أدناه.
• مساعدة العميل على الرد على طلبات أصحاب البيانات، وإجراء تقييمات الأثر على حماية البيانات والاستشارات المسبقة، وإخطار السلطات الرقابية وأصحاب البيانات.
• حذف البيانات الشخصية للعميل أو إعادتها عند انتهاء الخدمات، حسب اختيار العميل، إلا حيث يقتضي القانون الاحتفاظ بها.
• إتاحة المعلومات اللازمة لإثبات الامتثال لهذا الملحق، والسماح بعمليات التدقيق والمساهمة فيها، بإشعار معقول وبتكلفة معقولة، بما لا يزيد على مرة واحدة في السنة ما لم تطلب جهة تنظيمية أكثر من ذلك.

5. المعالجون الفرعيون

يخوّل العميل papershot الاستعانة بالمعالجين الفرعيين المدرجين في الملحق الثالث أدناه وفي /subprocessors. ويخطر papershot العميل قبل 30 يومًا على الأقل من إضافة أو استبدال معالج فرعي يعالج البيانات الشخصية للعميل. ويجوز للعميل الاعتراض لأسباب معقولة تتعلق بحماية البيانات. وإذا تعذّر على الطرفين الاتفاق، يجوز للعميل إنهاء الخدمات المتأثرة مع استرداد نسبي للرسوم المدفوعة مقدمًا.

6. عمليات النقل الدولية

عندما تُنقل البيانات الشخصية للعميل الخاصة بأصحاب بيانات في المنطقة الاقتصادية الأوروبية (EEA) إلى خارج المنطقة الاقتصادية الأوروبية، تُدرج بالإحالة الشروط التعاقدية القياسية للمفوضية الأوروبية (الوحدة الثانية، من المتحكم إلى المعالج؛ أو الوحدة الثالثة، من المعالج إلى المعالج؛ يونيو 2021). وتُستكمل الشروط على النحو التالي: يسري البند 7 (بند الانضمام)؛ ويسري الخيار 2 من البند 9(a) (التفويض الكتابي العام)؛ ولا يسري خيار الاشتراك في البند 11؛ ويسري الخيار 1 من البند 17 (قوانين دولة عضو في الاتحاد الأوروبي، أيرلندا)؛ ويسري البند 18(b) (محاكم أيرلندا). وتُستكمل الملاحق ببيانات تعريف العميل وpapershot، والأوصاف الواردة في القسمين 2 و3 من هذا الملحق، والملحقين الثاني والثالث أدناه.

بالنسبة إلى عمليات النقل من المملكة المتحدة، يُدرج الملحق الدولي لنقل البيانات في المملكة المتحدة (الإصدار A1.0)، مع استكمال الجداول 1 و2 و3 وفقًا لذلك وترك الجدول 4 دون تحديد.

بالنسبة إلى عمليات النقل من سويسرا، تُقرأ الشروط التعاقدية القياسية مع استبدال الإشارات إلى قانون الاتحاد الأوروبي بالقانون السويسري أو استكمالها به حيثما يقتضي القانون الفيدرالي السويسري لحماية البيانات (FADP) ذلك.

بالنسبة إلى عمليات النقل من الإمارات العربية المتحدة، يتبع papershot المادتين 22 و23 من UAE PDPL وإرشادات مكتب الإمارات للبيانات (UAE Data Office) بشأن النقل عبر الحدود.

7. الأمان (الملحق الثاني)

• تشفير TLS أثناء النقل، بما في ذلك فرض TLS للاتصال بقاعدة البيانات؛ وتشفير AES-256 بمفاتيح تديرها KMS أثناء التخزين.
• تُرفع الوسائط مباشرةً من الجهاز إلى التخزين عبر عناوين URL موقَّعة قصيرة الأجل، وتُوصَّل عبر CloudFront.
• تحكم في الوصول قائم على الأدوار مع مصادقة متعددة العوامل (MFA) على كل وصول إداري.
• تجزئة الشبكة، وصلاحيات IAM بمبدأ الحد الأدنى من الامتيازات، وتسجيل تدقيق لكل إجراء يقوم به مختبِر أو مسؤول.
• كشف التسلل، والفحص الآلي للثغرات، وإدارة التصحيحات.
• اختبار اختراق سنوي من طرف ثالث؛ ومراجعة داخلية ربع سنوية.
• الإفصاح عن الثغرات عبر security.txt.
• تُخزَّن رموز المصادقة على الهاتف في Apple Keychain وAndroid EncryptedSharedPreferences.
• نسخ احتياطية مشفّرة؛ والاحتفاظ بالنسخ الاحتياطية 35 يومًا؛ وإجراءات استعادة مختبَرة.

8. الاستجابة للحوادث

يخطر papershot العميل بأي خرق للبيانات الشخصية (بالمعنى الوارد في المادة 4(12) من اللائحة العامة لحماية البيانات) يمس البيانات الشخصية للعميل دون تأخير لا مبرر له، وفي كل الأحوال خلال 72 ساعة من العلم به. ويتضمن الإخطار المعلومات المذكورة في المادة 33(3) من اللائحة العامة لحماية البيانات بقدر ما تكون معروفة في ذلك الوقت.

9. طلبات أصحاب البيانات

يحيل papershot إلى العميل أي طلب يتلقاه من صاحب بيانات بشأن البيانات الشخصية للعميل، دون الرد عليه مباشرةً ما لم يأذن العميل بذلك. ويساعد papershot العميل على الرد خلال المهل الزمنية التي تقتضيها قوانين حماية البيانات.

10. السجلات

يحتفظ papershot بالسجلات التي تقتضيها المادة 30(2) من اللائحة العامة لحماية البيانات.

11. المدة والإنهاء

يسري هذا الملحق من تاريخ سريان شروط الخدمة ويظل ساريًا ما دام papershot يعالج البيانات الشخصية للعميل لصالح العميل. وتبقى الأقسام 6 (عمليات النقل) و7 (الأمان) و8 (الاستجابة للحوادث) و12 (القانون الحاكم) سارية بعد الإنهاء بالقدر اللازم لتحقيق غرضها.

12. القانون الحاكم

يخضع هذا الملحق للقوانين الاتحادية لدولة الإمارات العربية المتحدة كما تُطبَّق في إمارة دبي، باستثناء أن الشروط التعاقدية القياسية للاتحاد الأوروبي وملحق المملكة المتحدة يخضعان للقوانين المنصوص عليها فيهما. وتسري الأحكام الإلزامية للقانون المحلي حيثما يُشترط ذلك.

13. القبول

إذا كنت بحاجة إلى نسخة موقَّعة من هذا الملحق، فراسل papershot@wellbayt.com واكتب «Legal: DPA» في سطر الموضوع. ونوقّع بالمقابل خلال 10 أيام عمل. ويُعدّ استخدام الخدمة بعد الإخطار بهذا الملحق قبولًا له.

الملحق الثالث: المعالجون الفرعيون

تُحفظ القائمة الحالية، مع المناطق وفئات البيانات، في /subprocessors. وبتاريخ 2026-09-18:

• Amazon Web Services (S3 وCloudFront وRDS وKMS وRekognition وSES): التخزين، والتوصيل، وقاعدة البيانات، وإدارة المفاتيح، والفحص الآلي للصور المصغّرة وإطارات الغلاف، والبريد الإلكتروني للمعاملات. أيرلندا (eu-west-1).
• Apple: عمليات الشراء داخل التطبيق وApp Store Server Notifications، وخدمة Apple Push Notification، وتسجيل الدخول باستخدام Apple.
• Google: Firebase Cloud Messaging، وGoogle Play Billing، وتسجيل الدخول باستخدام Google، وFirebase Analytics (Google Analytics 4). الولايات المتحدة والاتحاد الأوروبي.
• Sentry: مراقبة الأعطال والأداء، بمعرّف مستخدم مستعار فقط. الولايات المتحدة أو الاتحاد الأوروبي.
• Stripe: المدفوعات عبر الويب. الولايات المتحدة والاتحاد الأوروبي.