اتفاقية معالجة البيانات

1. النطاق والأطراف

تُعد اتفاقية معالجة البيانات هذه («الاتفاقية») جزءًا لا يتجزأ من شروط الاستخدام، وتسري بين النشاط المشترك في Qungry («العميل»، المسؤول عن البيانات) وAe Telecom («Qungry»، المعالج) من تاريخ قبول شروط الاستخدام.

تنطبق الاتفاقية على البيانات الشخصية التي يعالجها Qungry نيابةً عن العميل عند تقديم الخدمة. وفي حال التعارض بين شروط الاستخدام وهذه الاتفاقية فيما يخص البيانات الشخصية، تسود الاتفاقية.

2. تفاصيل المعالجة

الموضوع والغرض: تقديم برنامج إدارة المطاعم ودعمه وتأمينه (الكاشير والطلبات والتوصيل وقائمة QR وموقع الطلبات والحجوزات والتقارير وتطبيقات الجوال والتكاملات).
المدة: طوال مدة شروط الاستخدام، وبعد انتهائها لمدة الحفظ الواردة في البند 11 من شروط الاستخدام.
أصحاب البيانات: ضيوف العميل وعملاؤه، والموظفون (النُدُل والكاشيرون والسائقون والمديرون)، والموردون وجهات الاتصال التجارية الأخرى.
فئات البيانات: الاسم الكامل، والهاتف، والبريد الإلكتروني، وعنوان التوصيل، ومحتوى الطلبات وملاحظاتها، وسجلات الطلبات والمدفوعات (باستثناء بيانات البطاقات)، ونقاط الولاء واستخدام القسائم، وبيانات الحجوزات، والتقييمات والمراجعات، وبيانات الموظفين (الاسم والدور والرمز السري المجزّأ وسجلات العمل وعمليات الصندوق وتوزيع البقشيش ورسوم الخدمة)، وبيانات موقع السائقين (خط العرض وخط الطول والدقة والوقت؛ آخر موقع فقط أثناء نقل السائق لطلب)، وسجلات الأجهزة والجلسات.
الفئات الخاصة من البيانات: الخدمة غير مصممة لمعالجة الفئات الخاصة من البيانات. وقد تُعد معلومات الحساسية أو النظام الغذائي للضيف المكتوبة في ملاحظات الطلب بيانات صحية؛ ويضمن العميل ألا تُدخل إلا بالقدر اللازم لتحضير الطلب.

3. التزامات Qungry

يلتزم Qungry بما يلي:

معالجة البيانات الشخصية فقط وفق تعليمات موثقة من العميل. وتُعد شروط الاستخدام وهذه الاتفاقية والإعدادات التي يجريها العميل في الخدمة (مثل ربط تكامل) تعليمات. وإذا رأى أن تعليمة ما تخالف قانون حماية البيانات، يبلغ العميل بذلك.
ضمان التزام الأشخاص الذين يصلون إلى البيانات بالسرية، وقصر الوصول على الأشخاص والقدر الذي تتطلبه المهمة. ولا يُدخل إلى حساب مطعم لأغراض الدعم إلا بطلب من العميل أو عند الحاجة لأغراض الأمان أو إصلاح الأخطاء.
تطبيق التدابير الأمنية الفنية والتنظيمية الواردة في الملحق 1.
عدم استخدام البيانات لأغراضه الخاصة أو بيعها أو معالجتها لأغراض إعلانية.
مساعدة العميل بشكل معقول في الرد على طلبات أصحاب البيانات (الوصول والتصحيح والحذف والنقل وغيرها)، وتحويل الطلبات التي تصله مباشرة إلى العميل دون تأخير.
مساعدة العميل في تقييمات أثر حماية البيانات والمشاورات مع السلطات الرقابية، مع مراعاة طبيعة المعالجة والمعلومات المتاحة له.

4. المعالجون الفرعيون

يمنح العميل Qungry إذنًا عامًا بالاستعانة بمقدمي الخدمات المدرجين في صفحة المعالجون الفرعيون.
يحدّث Qungry القائمة ويبلغ العميل عبر البريد الإلكتروني أو في لوحة الإدارة قبل 30 يومًا على الأقل من إضافة معالج فرعي أو استبداله. ويجوز للعميل الاعتراض خلال هذه المدة لأسباب معقولة تتعلق بحماية البيانات. وإذا لم يجد الطرفان حلًا، يجوز للعميل إنهاء الخدمة المتأثرة ويُرد إليه مبلغ الفترة غير المستخدمة.
يبرم Qungry مع المعالجين الفرعيين عقودًا مكتوبة توفر في جوهرها الحماية نفسها التي توفرها التزامات هذه الاتفاقية، ويبقى مسؤولًا أمام العميل عن التزامات المعالجين الفرعيين.
الخدمات التي يربطها العميل: منصات التوصيل (Uber Eats وJust Eat وDeliveroo) ومزودو الدفع وأجهزة البطاقات (Stripe وSumUp) والخدمات المشابهة التي يربطها العميل بحسابه الخاص ليست معالجين فرعيين لـ Qungry. ويحكم العلاقة معها عقد العميل الخاص؛ ولا يرسل Qungry البيانات إلى هذه الخدمات أو يستقبلها منها إلا بناءً على تعليمات العميل.

5. النقل الدولي

تُستضاف البيانات الشخصية في فرنسا، وتُحفظ النسخ الاحتياطية في هولندا. وعند نقل البيانات إلى خارج المنطقة الاقتصادية الأوروبية أو المملكة المتحدة إلى دولة لا يوجد بشأنها قرار كفاية، تعتمد Qungry على ضمانات مناسبة مثل البنود التعاقدية القياسية للمفوضية الأوروبية (2021/914) وUK International Data Transfer Addendum (IDTA / Addendum)، وتتخذ تدابير إضافية عند الحاجة.

يقع فريق الدعم والتطوير في Qungry في تركيا؛ ويُعد وصول الفريق إلى البيانات الموجودة على الخوادم نقلًا بموجب هذا البند ويخضع للضمانات نفسها.

6. خروقات البيانات الشخصية

عندما يعلم Qungry بخرق للبيانات الشخصية يمس بيانات العميل، يبلغ العميل دون تأخير غير مبرر وخلال 48 ساعة كحد أقصى. ويتضمن الإشعار، متى توفرت المعلومات، طبيعة الخرق وفئات البيانات والعدد التقريبي للأشخاص المتأثرين والعواقب المحتملة والتدابير المتخذة أو المقترحة وجهة اتصال. ويتخذ Qungry التدابير اللازمة للحد من آثار الخرق ويساعد العميل في الوفاء بالتزامه بإخطار السلطة والأشخاص المتأثرين.

7. إعادة البيانات وحذفها عند انتهاء الاتفاقية

عند انتهاء شروط الاستخدام، يصدّر Qungry البيانات بصيغة شائعة (مثل CSV / JSON) بناءً على طلب العميل خلال مدة الحفظ، ويحذف البيانات بنهاية تلك المدة. وتُحذف النسخ الموجودة في النسخ الاحتياطية ضمن الدورة المعتادة. والبيانات التي يوجب القانون حفظها تُحفظ فقط لهذا الالتزام وطوال مدته.

8. المعلومات والتدقيق

يقدم Qungry، بناءً على طلب كتابي من العميل، المعلومات التي تثبت الامتثال لهذه الاتفاقية. وإذا لم تكن هذه المعلومات كافية، يجوز للعميل إجراء تدقيق بنفسه أو عبر مدقق مستقل، بشرط إخطار مسبق قبل 30 يومًا على الأقل، وبما لا يزيد على مرة واحدة سنويًا، وخلال ساعات العمل ومع الالتزام بالسرية. ويتحمل العميل تكاليف التدقيق ما لم يثبت إخلال جوهري من Qungry.

9. التزامات العميل

يؤكد العميل أنه يجمع البيانات على أساس قانوني مشروع، وأنه قدّم لأصحاب البيانات (الضيوف والموظفين) المعلومات اللازمة (مثل نشر سياسة خصوصية على موقع طلباته)، وأن تعليماته إلى Qungry متوافقة مع القانون.

إذا استُخدم تطبيق السائق، فمن مسؤولية العميل تحديد الأساس القانوني لتتبع الموقع، وإبلاغ السائقين مسبقًا، والوفاء بالالتزامات الناشئة عن قانون العمل (مثل الحصول على موافقة ممثلي العاملين في الدول التي يشترط فيها ذلك).

10. المسؤولية والمدة

تخضع المسؤولية بموجب هذه الاتفاقية لأحكام المسؤولية في شروط الاستخدام، باستثناء المسؤوليات التي لا يجيز القانون تقييدها. وتبقى الاتفاقية سارية ما دام Qungry يعالج بيانات شخصية نيابةً عن العميل.

الملحق 1 — التدابير الأمنية الفنية والتنظيمية

التشفير: HTTPS/TLS في جميع الاتصالات؛ ومفاتيح API ومفاتيح مزودي الدفع ورموز البطاقات المحفوظة مشفرة في قاعدة البيانات؛ وكلمات المرور والرموز السرية مجزّأة باتجاه واحد.
فصل البيانات: تُحفظ بيانات كل مطعم في قاعدة بيانات منفصلة.
التحكم في الوصول: وصول قائم على الأدوار والصلاحيات؛ وصلاحيات لكل فرع؛ والتعرف على أجهزة الكاشير والنادل عبر مفتاح تسجيل؛ ومدة جلسة محدودة.
بيانات الدفع: لا تُعالج أرقام البطاقات ولا تُخزن على خوادم Qungry أبدًا؛ وتتم المدفوعات عبر الصفحة الآمنة أو الجهاز الخاص بالمزوّد.
الحماية من إساءة الاستخدام: تحديد معدل الطلبات عند تسجيل الدخول وفي النماذج العامة، والحماية من تزوير الطلبات عبر المواقع (CSRF)، والتحقق من التوقيع في إشعارات المنصات.
النسخ الاحتياطي والاستمرارية: نسخ احتياطية تلقائية يومية؛ تُحفظ النسخ مشفّرة لمدة 30 يومًا في مركز بيانات Backblaze في أمستردام (هولندا)؛ وتشغيل الكاشير دون اتصال عند انقطاع الإنترنت.
المراقبة: تسجيل الأخطاء والأحداث الأمنية ومراقبتها؛ وإبعاد البيانات الشخصية عن سجلات الأخطاء قدر الإمكان.
الموظفون: تعهدات بالسرية، ومبدأ الحد الأدنى من الصلاحيات، وإلغاء الوصول عند انتهاء المهمة.
التطوير: تطبيق التحديثات الأمنية بانتظام واختبار التغييرات.