1. الأطراف

تُبرم اتفاقية معالجة البيانات هذه ("الاتفاقية") بين:

Controller: المتحكم: العميل ("أنت" أو "العميل") الذي قبل شروط خدمة Tender Analyzer ويستخدم الخدمة لمعالجة وثائق المناقصات
Processor: المعالج: Tender Analyzer ("نحن" أو "لنا" أو "المعالج")، الكيان الذي يدير https://www.tender-analyzer.com و https://app.tender-analyzer.com

تُكمّل هذه الاتفاقية شروط الخدمة وتشكّل جزءاً منها. في حالة وجود تعارض بين هذه الاتفاقية وشروط الخدمة، تسود هذه الاتفاقية فيما يتعلق بمسائل معالجة البيانات.

2. التعريفات

البيانات الشخصية: أي معلومات تتعلق بشخص طبيعي محدد الهوية أو قابل للتحديد، كما هو معرّف في المادة 4(1) من GDPR
المعالجة: أي عملية تُجرى على البيانات الشخصية، بما في ذلك الجمع والتسجيل والتنظيم والهيكلة والتخزين والتعديل والاسترجاع والاطلاع والاستخدام والإفصاح والمحو والتدمير
صاحب البيانات: شخص طبيعي محدد الهوية أو قابل للتحديد تتم معالجة بياناته الشخصية
المعالج الفرعي: أي طرف ثالث يستعين به المعالج لمعالجة البيانات الشخصية نيابة عن المتحكم
السلطة الإشرافية: سلطة عامة مستقلة أنشأتها دولة عضو في الاتحاد الأوروبي وفقاً للمادة 51 من GDPR

3. نطاق المعالجة

3.1 الغرض

يعالج المعالج البيانات الشخصية فقط لتقديم خدمة Tender Analyzer، والتي تشمل:

تحليل وثائق ملفات المناقصات المرفوعة (PDF، Excel، DOCX، CAD)
استخراج المواصفات الفنية والبيانات المهيكلة من الوثائق
التخزين المؤقت للوثائق طوال مدة المعالجة
إنشاء وتخزين نتائج الاستخراج

3.2 أنواع البيانات الشخصية

قد تتضمن البيانات الشخصية المعالجة أسماء وتفاصيل اتصال ومعلومات تجارية واردة في وثائق المناقصات المرفوعة. لا يقوم المعالج بجمع أو استخراج البيانات الشخصية من الوثائق عمداً؛ أي بيانات شخصية موجودة هي عرضية لاستخراج المواصفات الفنية.

3.3 أصحاب البيانات

قد يشمل أصحاب البيانات موظفي المتحكم وعملائه وشركائه وأي أفراد مذكورين في وثائق المناقصات المرفوعة.

4. المعالجون الفرعيون

يأذن المتحكم للمعالج بالاستعانة بالمعالجين الفرعيين التاليين. يُخطر المعالج المتحكم بأي تغييرات مقصودة على هذه القائمة قبل 30 يوماً على الأقل.

المعالج الفرعي	الغرض	الموقع
Hetzner Online GmbH	الاستضافة السحابية والبنية التحتية	ألمانيا (الاتحاد الأوروبي)
OpenRouter / Together AI	استدلال النماذج اللغوية الكبيرة لتحليل الوثائق (API فقط، لا احتفاظ بالبيانات)	الولايات المتحدة
مزود SMTP	تسليم البريد الإلكتروني التشغيلي (التحقق، الإشعارات)	الاتحاد الأوروبي / الولايات المتحدة

يعالج مزودو استدلال النماذج اللغوية الكبيرة محتوى الوثائق عبر مكالمات API فقط. لا يخزنون أو يحتفظون أو يستخدمون البيانات المقدمة لتدريب النماذج. جميع مكالمات API مُشفّرة أثناء النقل عبر TLS.

5. الاحتفاظ بالبيانات

يحتفظ المعالج بالبيانات الشخصية فقط طالما كان ذلك ضرورياً لتقديم الخدمة:

الوثائق المرفوعة: تُحذف بعد 90 يوماً من اكتمال التحليل
بيانات الحساب: تُحتفظ حتى يحذف المتحكم حسابه
سجلات الاستخدام: تُحتفظ لمدة 12 شهراً لمراقبة الأمن وتحسين الخدمة
نتائج الاستخراج: تُحتفظ حتى يحذفها المتحكم أو عند إغلاق الحساب

عند إنهاء اتفاقية الخدمة، يقوم المعالج بحذف أو إعادة جميع البيانات الشخصية خلال 30 يوماً، ما لم يكن الاحتفاظ مطلوباً بموجب القانون المعمول به.

6. التدابير الأمنية

ينفّذ المعالج تدابير تقنية وتنظيمية مناسبة لضمان مستوى أمان يتناسب مع المخاطر، بما في ذلك:

التشفير أثناء النقل: جميع البيانات المنقولة باستخدام TLS 1.3
التشفير أثناء التخزين: تشفير AES-256 للوثائق والبيانات المخزنة
التحكم في الوصول: سياسات أمان على مستوى الصفوف (RLS) في قاعدة البيانات تضمن عزلاً صارماً للمستأجرين
المصادقة: تحكم في الوصول مبني على JWT مع رموز قصيرة الأجل
تحديد المعدل: حماية ضد إساءة الاستخدام وهجمات حجب الخدمة عبر جميع نقاط النهاية
عزل البنية التحتية: بيئة خادم مخصصة مع خدمات معزولة في حاويات
نسخ احتياطي مؤتمت: نسخ احتياطي مُشفّر يومي لقاعدة البيانات

7. حقوق أصحاب البيانات

يساعد المعالج المتحكم في الوفاء بالتزاماته للاستجابة لطلبات أصحاب البيانات بموجب الفصل الثالث من GDPR، بما في ذلك:

حق الوصول (المادة 15) — الحصول على نسخة من البيانات الشخصية المعالجة
حق التصحيح (المادة 16) — تصحيح البيانات الشخصية غير الدقيقة
حق المحو (المادة 17) — طلب حذف البيانات الشخصية
حق التقييد (المادة 18) — تقييد معالجة البيانات الشخصية
حق نقل البيانات (المادة 20) — تلقي البيانات الشخصية بصيغة مهيكلة وقابلة للقراءة الآلية
حق الاعتراض (المادة 21) — الاعتراض على معالجة البيانات الشخصية

يستجيب المعالج لطلبات أصحاب البيانات المُحالة من المتحكم دون تأخير غير مبرر وخلال 30 يوماً على الأكثر.

8. الإخطار بالاختراق

في حالة حدوث اختراق للبيانات الشخصية، يقوم المعالج بما يلي:

إخطار المتحكم دون تأخير غير مبرر وفي موعد لا يتجاوز 72 ساعة بعد علمه بالاختراق، وفقاً للمادة 33 من GDPR
تزويد المتحكم بمعلومات كافية لتمكينه من الوفاء بالتزامه بالإبلاغ عن الاختراق للسلطة الإشرافية المختصة
التعاون مع المتحكم واتخاذ خطوات معقولة للمساعدة في التحقيق والتخفيف ومعالجة الاختراق
توثيق جميع الاختراقات، بما في ذلك الوقائع المتعلقة بالاختراق وآثاره والإجراءات التصحيحية المتخذة

9. النقل الدولي

يخزن المعالج جميع البيانات الأساسية داخل الاتحاد الأوروبي (Hetzner، ألمانيا).

حيثما يُنقل محتوى الوثائق إلى مزودي استدلال النماذج اللغوية الكبيرة خارج الاتحاد الأوروبي (OpenRouter، Together AI)، يتم هذا النقل عبر مكالمات API مُشفّرة. يعالج هؤلاء المزودون البيانات في الوقت الفعلي ولا يحتفظون بالمحتوى المقدم. يضمن المعالج وجود ضمانات مناسبة، بما في ذلك الشروط التعاقدية النموذجية (SCCs) حيثما اقتضى الفصل الخامس من GDPR.

يُقرّ المتحكم بأن محتوى الوثائق يُنقل إلى مزودي النماذج اللغوية الكبيرة لغرض وحيد هو الاستخراج المدعوم بالذكاء الاصطناعي، وأنه لا تُضمّن أي بيانات شخصية عمداً في هذه عمليات النقل.

10. حقوق التدقيق

يجوز للمتحكم، أو مدقق مستقل من طرف ثالث يعيّنه المتحكم، تدقيق امتثال المعالج لهذه الاتفاقية، وفقاً للشروط التالية:

يقدم المتحكم إشعاراً خطياً قبل 30 يوماً على الأقل من أي تدقيق
تُجرى عمليات التدقيق خلال ساعات العمل العادية ولا تعطل عمليات المعالج بشكل غير معقول
يتحمل المتحكم تكاليف أي تدقيق، ما لم يكشف التدقيق عن خرق جوهري من قبل المعالج
يُوفّر المعالج جميع المعلومات اللازمة لإثبات الامتثال للالتزامات المنصوص عليها في هذه الاتفاقية

11. القانون الحاكم

تخضع هذه الاتفاقية وتُفسّر وفقاً لقوانين الاتحاد الأوروبي والقوانين المعمول بها في الدولة العضو التي يقع فيها المتحكم. تخضع أي نزاعات ناشئة بموجب هذه الاتفاقية للاختصاص الحصري للمحاكم المختصة في تلك الدولة العضو.

12. الاتصال

للأسئلة المتعلقة باتفاقية معالجة البيانات هذه أو لممارسة أي حقوق بموجب هذه الاتفاقية، تواصل معنا على:

Legal: [email protected]
Privacy: [email protected]
Website: https://www.tender-analyzer.com