ملحق معالجة البيانات

يُبرَم ملحق معالجة البيانات هذا («DPA») بين Expand-IT Inc.، التي تُشغّل منصة «The Clinic» («المعالج») والعميل المُحدَّد في نموذج الطلب المعمول به أو في التسجيل عبر الإنترنت («المتحكّم»). ويُشكّل جزءاً من شروط الخدمة أو اتفاقية الاشتراك الرئيسية («الاتفاقية») بين الطرفين، ويحكم معالجة البيانات الشخصية فيما يتعلق بالخدمات.

المصطلحات التي تبدأ بحروف كبيرة وغير المُعرَّفة هنا تحمل المعاني الواردة في الاتفاقية أو في قانون حماية البيانات المعمول به. ولأغراض هذا الملحق:

• قانون حماية البيانات يعني قانون حماية المعلومات الشخصية والوثائق الإلكترونية الكندي (PIPEDA) وتشريعات خصوصية المعلومات الصحية الإقليمية المعمول بها، بما في ذلك قانون حماية المعلومات الصحية الشخصية لمقاطعة أونتاريو لعام 2004 (PHIPA)؛ وعند انطباقها على متحكّم معيّن، اللائحة العامة لحماية البيانات في الاتحاد الأوروبي (اللائحة 2016/679)، واللائحة العامة لحماية البيانات في المملكة المتحدة (UK GDPR)، وغيرها من القوانين المعمول بها التي تحكم معالجة البيانات الشخصية.
• البيانات الشخصية تعني البيانات المتعلقة بشخص طبيعي مُحدَّد الهوية أو يمكن تحديدها، التي يعالجها المعالج نيابةً عن المتحكّم بموجب الاتفاقية.
• المعالج من الباطن يعني أي طرف ثالث يُكلّفه المعالج بمعالجة البيانات الشخصية أثناء تقديم الخدمات.

موضوع المعالجة هو تقديم الخدمات على النحو الموصوف في الاتفاقية. ومدة المعالجة هي مدة الاتفاقية، مضافاً إليها أي مدة تكون لازمة بشكل معقول لإعادة البيانات الشخصية أو حذفها. وطبيعة المعالجة وغرضها هي تقديم الخدمات. وأنواع البيانات الشخصية التي تُعالَج هي بيانات الحساب والتواصل الخاصة بموظفي المتحكّم، ومعرّفات المرضى والسجلات السريرية وبيانات المواعيد وبيانات الفوترة والمطالبات المُدخَلة إلى الخدمات من قِبَل المتحكّم أو نيابةً عنه. وفئات أصحاب البيانات هي موظفو المتحكّم ومرضى المتحكّم.

يلتزم المعالج بما يلي:

• معالجة البيانات الشخصية فقط بناءً على تعليمات موثّقة من المتحكّم، بما في ذلك التعليمات الصادرة عبر استخدام الخدمات، وحسبما يستلزمه القانون؛
• ضمان أن الموظفين المُخوَّلين بمعالجة البيانات الشخصية مُلزَمون بالتزامات السرية؛
• تنفيذ التدابير التقنية والتنظيمية الموصوفة في قسم تدابير الأمان من هذا الملحق والحفاظ عليها؛
• مساعدة المتحكّم في الاستجابة لطلبات أصحاب البيانات والوفاء بالتزاماته بموجب المواد 32 إلى 36 من GDPR والأحكام المعادلة في قوانين حماية البيانات الأخرى؛
• إتاحة المعلومات اللازمة لإثبات الامتثال لهذا الملحق.

يُقدّم المتحكّم تفويضاً عاماً للمعالج للاستعانة بمعالجين من الباطن، رهناً بما يلي: (1) يحتفظ المعالج بقائمة محدّثة بالمعالجين من الباطن متاحة على the-clinic.net/security/subprocessors؛ (2) يُقدّم المعالج إشعاراً مدته ثلاثون (30) يوماً على الأقل بأي إضافة أو استبدال مزمع لمعالِج من الباطن؛ (3) يكون كل معالِج من الباطن مُلزَماً بشروط خطية لا تقلّ حماية عن هذا الملحق؛ (4) يجوز للمتحكّم الاعتراض على معالِج جديد من الباطن لأسباب معقولة تتعلق بحماية البيانات، وفي هذه الحالة يعمل الطرفان بحسن نية على تسوية الاعتراض.

تُستضاف البيانات الشخصية داخل الاتحاد الأوروبي. ولا يقدّم المعالج حالياً إقامة بيانات لكل منطقة، ومن ثمّ تُعالَج البيانات الشخصية الخاصة بعيادات في كندا خارج كندا، مع الخضوع لمتطلبات المساءلة والحماية المكافئة بموجب قانون PIPEDA. وتذكر قائمة المعالجين من الباطن على /security/subprocessors كل مزوّد والمنطقة التي يعمل فيها. وعند نقل البيانات الشخصية من المنطقة الاقتصادية الأوروبية أو المملكة المتحدة أو سويسرا إلى دولة لا يوجد بشأنها قرار كفاية، تُدرَج البنود التعاقدية القياسية للاتحاد الأوروبي (قرار المفوضية 2021/914) بالإحالة، مع تطبيق الوحدة الثانية (من المتحكّم إلى المعالج) أو الوحدة الثالثة (من المعالج إلى المعالج) حسب الاقتضاء، ويسري ملحق نقل البيانات الدولي للمملكة المتحدة على عمليات النقل التي منشؤها المملكة المتحدة.

يحافظ المعالج على برنامج لأمن المعلومات رُبطت ضوابطه بمعايير الملحق A من ISO/IEC 27001 وبمعايير الخدمات الموثوقة لـ SOC 2. والمعالج غير حاصل على شهادة بموجب أيٍّ من هذين الإطارين، ولا يدّعي خلاف ذلك. وتشمل الضوابط:

• تشفير البيانات الشخصية أثناء النقل (TLS 1.2+) والتخزين (AES-256)؛
• عزل منطقي لكل مستأجر يُفرَض في طبقة التطبيق وبشكل مستقل عبر أمان الصفوف في قاعدة البيانات؛
• مفاتيح تشفير بيانات لكل عيادة، مغلَّفة عند التخزين؛
• تسجيل تدقيق للإضافة فقط يُفرَض بقيد في قاعدة البيانات ويغطي الوصول إلى البيانات الشخصية؛
• ضوابط وصول مستندة إلى الأدوار داخل الخدمات، مع مصادقة ثنائية العوامل يجوز لمسؤولي المتحكّم اشتراطها؛
• دورة حياة آمنة لتطوير البرمجيات تشمل مراجعة الكود، والفحص الآلي للتبعيات والأسرار، والتحليل الساكن، واختبارات آلية لعزل المستأجرين مع كل تغيير؛
• إجراءات موثّقة للاستجابة للحوادث والنسخ الاحتياطي والاستعادة.

مع مراعاة طبيعة المعالجة، يساعد المعالج المتحكّم بتدابير تقنية وتنظيمية مناسبة في الوفاء بالتزام المتحكّم بالاستجابة لطلبات ممارسة حقوق أصحاب البيانات بموجب قانون حماية البيانات. وإذا تلقّى المعالج طلباً مباشرةً من صاحب البيانات، فإنه يُحيل الطلب إلى المتحكّم دون تأخير غير مبرَّر، ولا يردّ موضوعياً ما لم يُوجَّه إلى ذلك.

يُخطر المعالج المتحكّم دون تأخير غير مبرَّر، وفي جميع الأحوال خلال اثنتين وسبعين (72) ساعة، بعد علمه بأي اختراق للبيانات الشخصية يؤثر على البيانات الشخصية للمتحكّم. ويتضمّن الإخطار، بالقدر المعروف، وصفاً لطبيعة الاختراق، والفئات المتأثرة والأعداد التقريبية لأصحاب البيانات والسجلات، والعواقب المحتملة، والتدابير المتّخذة أو المقترحة لمعالجة الاختراق والتخفيف من آثاره.

يُتيح المعالج للمتحكّم، عند الطلب، وصفاً خطياً لبرنامج أمن المعلومات لديه، ويردّ على استبيان أمني معقول مرة واحدة كحد أقصى خلال أي فترة اثني عشر (12) شهراً. وعندما يحصل المعالج على تقرير تدقيق أو شهادة اعتماد من طرف ثالث، فإنه يُتيح للمتحكّم التقرير القائم آنذاك على الشروط نفسها. يجوز للمتحكّم طلب تدقيق إضافي مرة واحدة كحد أقصى خلال أي فترة اثني عشر (12) شهراً (ما لم تتطلبه جهة تنظيمية)، بإشعار مدته ثلاثون (30) يوماً، خلال ساعات العمل، مع الالتزام بالتزامات سرية معقولة ودون تعطيل عمليات المعالج. ويتحمّل المتحكّم تكاليف التدقيق، إلا في الحالات التي يكشف فيها التدقيق عن عدم امتثال جوهري.

عند إنهاء الاتفاقية، يقوم المعالج، بناءً على اختيار المتحكّم، بإعادة جميع البيانات الشخصية أو حذفها، ويحذف النسخ القائمة خلال تسعين (90) يوماً، إلا حيثما يستلزم القانون المعمول به الاحتفاظ بها. وتُمحى النسخ الاحتياطية التي تحتوي على بيانات شخصية مع انقضاء دورة الاحتفاظ بالنسخ الاحتياطية، وهي دورة قد تمتد إلى ما بعد فترة التسعين (90) يوماً. وحيثما تنطبق اتفاقية الشراكة التجارية (BAA)، تُعاد المعلومات الصحية المحمية (PHI) أو تُتلف خلال ستين (60) يوماً وفقاً لما هو منصوص عليه فيها.

تخضع مسؤولية كل طرف بموجب هذا الملحق لحدود المسؤولية المنصوص عليها في الاتفاقية. ويتفق الطرفان على أن أي إشارة إلى مسؤولية طرف في هذا الملحق تعني المسؤولية الإجمالية لجميع الكيانات التابعة لمجموعة ذلك الطرف.

في حال وجود تعارض بين هذا الملحق والاتفاقية، يكون لهذا الملحق الأسبقية فيما يخصّ معالجة البيانات الشخصية. وفي حال وجود تعارض بين هذا الملحق والبنود التعاقدية القياسية، تكون الأسبقية للبنود التعاقدية القياسية.

تُرسَل إشعارات حماية البيانات والطلبات بموجب هذا الملحق إلى dpo@the-clinic.net.