اتفاقية معالجة البيانات (DPA)
تاريخ السريان: 22 أغسطس 2026
تشكل اتفاقية معالجة البيانات هذه جزءًا من شروط الخدمة الخاصة بنا وتنطبق كلما قامت Galactic Matrix - Portugal بمعالجة البيانات الشخصية نيابة عن مؤسسة تعليمية. لقد تمت صياغتها لتلبية متطلبات المادة 28 من اللائحة العامة لحماية البيانات (GDPR).
1. النطاق والتطبيق
تنطبق اتفاقية معالجة البيانات هذه ("DPA") على معالجة البيانات الشخصية للطلاب والمستخدمين بواسطة Galactic Matrix - Portugal ("المعالج") نيابة عن المؤسسات التعليمية والمعلمين ("العميل") عند استخدام منصة ZunoTales. لا تنطبق على حسابات العائلات المستهلكة، حيث نعمل كمتحكم وتحكم سياسة الخصوصية الخاصة بنا.
2. الأدوار والمسؤوليات
يعمل العميل بصفته المتحكم في البيانات، وتعمل Galactic Matrix - Portugal بصفتها معالج البيانات. العميل مسؤول عن الحصول على أي موافقة أبوية ضرورية كما تتطلب القوانين المعمول بها (مثل COPPA، FERPA، GDPR)، وعن دقة البيانات التي يقدمها، وعن ضمان وجود أساس قانوني لمعالجة البيانات التي يوجهها.
3. موضوع المعالجة، المدة، الطبيعة والغرض
موضوع المعالجة هو توفير منصة ZunoTales التعليمية القائمة على القصص. طبيعة وغرض المعالجة هو إنشاء وتخزين ورواية وترجمة وعرض قصص وأنشطة تعليمية مخصصة للطلاب، وتوفير أدوات التدريس وإدارة الحساب للعميل. تستمر المعالجة طوال مدة اشتراك العميل وتنتهي كما هو موضح في القسم 14.
4. فئات البيانات وأصحاب البيانات
أصحاب البيانات هم طلاب العميل ومعلموه ومديروه. البيانات المعالجة بموجب هذا الاتفاق تشمل:
- الأسماء الأولى للطلاب، أعمارهم أو فئاتهم العمرية، وتفضيلات الملف الشخصي مثل الاهتمامات ومستوى القراءة.
- أسماء المعلمين والمربين والمديرين وتفاصيل الاتصال بهم.
- محتوى القصة الذي ينشئه المستخدم، والمطالبات، وأي نصوص محادثة اختيارية موجهة بالذكاء الاصطناعي.
- تحليلات استخدام الفصول الدراسية، والنشاط التعليمي، وأداء الاختبارات.
- صور الطلاب الاختيارية، حيث يختار العميل تمكينها وتحميلها لأغراض التوضيح.
الخدمات ليست مخصصة لمعالجة الفئات الخاصة من البيانات الشخصية بموجب المادة 9 من اللائحة العامة لحماية البيانات (GDPR). يجب على العميل ألا يوجه أو يسمح بإدخال هذه البيانات، أو المعرفات الوطنية للطلاب، أو عناوين المنازل، أو السجلات الصحية، في الخدمات.
5. المعالجة بناءً على تعليمات موثقة
يقوم المعالج بمعالجة البيانات الشخصية فقط بناءً على التعليمات الموثقة من العميل، بما في ذلك ما يتعلق بالتحويلات الدولية، ما لم يُطلب منه خلاف ذلك بموجب القانون المعمول به — وفي هذه الحالة سيبلغ المعالج العميل بهذا المتطلب القانوني قبل المعالجة، ما لم يحظر القانون ذلك. تشكل هذه الاتفاقية، وشروط الخدمة، واستخدام العميل وتكوينه للخدمات، تعليمات العميل الموثقة الكاملة. يبلغ المعالج العميل فورًا إذا رأى أن تعليمات ما تنتهك قانون حماية البيانات المعمول به.
6. سرية الموظفين
يضمن المعالج أن جميع الموظفين المصرح لهم بمعالجة البيانات الشخصية ملزمون بالتزام مناسب بالسرية، ويتلقون تدريبًا على حماية البيانات يتناسب مع دورهم، ويتم منحهم الوصول فقط على أساس موثق لأقل الامتيازات.
7. الإجراءات الأمنية
تطبق Galactic Matrix - Portugal تدابير تقنية وتنظيمية مناسبة بموجب المادة 32 من اللائحة العامة لحماية البيانات (GDPR)، بما في ذلك تشفير البيانات الشخصية أثناء النقل وفي حالة السكون، وضوابط المصادقة والوصول الآمنة، والوصول الإداري بأقل الامتيازات، وضوابط أمان الشبكة والتطبيقات بما في ذلك سياسة أمان محتوى صارمة، وتسجيل الوصول الإداري، والمراجعة المنتظمة لهذه التدابير كلما تغيرت أنظمتنا أو أنشطة المعالجة بشكل جوهري.
8. عدم استخدام بيانات العميل لتدريب الذكاء الاصطناعي
لا يقوم المعالج بتدريب نماذج الذكاء الاصطناعي. يستخدم المعالج نماذج أساسية من جهات خارجية لإنشاء نصوص القصص والرسوم التوضيحية والسرد، ويطلب تعاقديًا عدم استخدام البيانات الشخصية للطلاب ومحتوى العميل المقدم لتلك النماذج لتدريبها أو تحسينها. لا تُستخدم بيانات العميل لتطوير أو قياس أداء أو تحسين أي نموذج، ولا تُكشف لأي مزود للذكاء الاصطناعي لهذا الغرض.
9. المعالجون الفرعيون
يمنح العميل المعالج تفويضًا عامًا لإشراك معالجين فرعيين. يفرض المعالج على كل معالج فرعي التزامات حماية البيانات لا تقل حماية عن تلك الواردة في هذه الاتفاقية، ويظل مسؤولاً بالكامل أمام العميل عن أدائهم. المعالجون الفرعيون المشاركون حاليًا هم:
- Google Cloud Platform / Firebase — استضافة التطبيقات، قاعدة البيانات، المصادقة، وتخزين الملفات.
- Google Cloud AI (Gemini و Cloud Text-to-Speech) — إنشاء نصوص القصص والرسوم التوضيحية والسرد الصوتي.
- Stripe — معالجة المدفوعات للاشتراكات بالبطاقات. لا تتلقى Stripe بيانات الطلاب.
- Resend — تسليم رسائل البريد الإلكتروني للمعاملات مثل الدعوات وإشعارات الحساب. لا تتلقى Resend بيانات الطلاب.
سيقدم المعالج إشعارًا للعميل قبل 30 يومًا على الأقل من إضافة أو استبدال معالج فرعي يعالج البيانات الشخصية للطلاب. يجوز للعميل الاعتراض لأسباب معقولة تتعلق بحماية البيانات خلال تلك الفترة؛ إذا لم يتمكن الطرفان من حل الاعتراض، يجوز للعميل إنهاء الخدمات المتأثرة دون عقوبة واسترداد رسوم مدفوعة مسبقًا بنسبة متناسبة.
10. عمليات نقل البيانات الدولية
تُخزن البيانات الشخصية على البنية التحتية التي تديرها Google Cloud. عند نقل البيانات الشخصية خارج المنطقة الاقتصادية الأوروبية أو المملكة المتحدة، يضمن المعالج وجود آلية نقل مناسبة بموجب الفصل الخامس من اللائحة العامة لحماية البيانات (GDPR) — وهي قرار كفاية حيثما ينطبق، أو خلاف ذلك البنود التعاقدية القياسية للمفوضية الأوروبية (وملحق نقل البيانات الدولية للمملكة المتحدة لعمليات النقل في المملكة المتحدة)، جنبًا إلى جنب مع التدابير التقنية التكميلية بما في ذلك التشفير أثناء النقل وفي حالة السكون. تفاصيل آليات النقل المعتمدة متاحة من مسؤول حماية البيانات عند الطلب.
11. المساعدة في حقوق أصحاب البيانات
مع الأخذ في الاعتبار طبيعة المعالجة، سيساعد المعالج العميل من خلال تدابير تقنية وتنظيمية مناسبة، قدر الإمكان، في الوفاء بالتزام العميل بالاستجابة لطلبات ممارسة حقوق أصحاب البيانات بموجب الفصل الثالث من اللائحة العامة لحماية البيانات (GDPR). يمكن للعميل تلبية معظم الطلبات مباشرة: يمكن للمعلمين ومالكي الحسابات الوصول إلى ملفات تعريف الطلاب وقصصهم المرتبطة بها وتصحيحها وتصديرها وحذفها من لوحة التحكم. إذا تلقى المعالج طلبًا مباشرة من صاحب بيانات يتعلق ببيانات العميل، فلن يستجيب بشكل جوهري وسيحيل الطلب إلى العميل دون تأخير لا مبرر له.
12. تقييمات تأثير حماية البيانات
يقدم المعالج مساعدة معقولة للعميل في تقييمات تأثير حماية البيانات وأي استشارة مسبقة مع سلطة إشرافية بموجب المادتين 35 و 36 من اللائحة العامة لحماية البيانات (GDPR)، مع الأخذ في الاعتبار طبيعة المعالجة والمعلومات المتاحة للمعالج.
13. إشعار خرق البيانات الشخصية
في حال حدوث خرق للبيانات الشخصية يؤثر على بيانات العميل الشخصية، ستقوم Galactic Matrix - Portugal بإخطار العميل دون تأخير لا مبرر له، وفي جميع الأحوال خلال 72 ساعة من علمها بذلك. سيصف الإخطار طبيعة الخرق، وفئات وعدد تقريبي لأصحاب البيانات والسجلات المتأثرة، والعواقب المحتملة، والتدابير المتخذة أو المقترحة لمعالجته، ونقطة اتصال لمزيد من المعلومات. إذا لم تكن جميع هذه المعلومات متاحة في وقت واحد، فسيتم توفيرها على مراحل دون تأخير لا مبرر له. لن يقوم المعالج بإخطار أصحاب البيانات المتأثرين مباشرة ما لم يوجهه العميل بذلك أو كان مطلوبًا قانونًا.
14. إعادة وحذف البيانات
عند إنهاء أو انتهاء صلاحية الخدمات، يمكن للعميل تصدير بياناته من لوحة التحكم. بناءً على اختيار العميل، سيقوم المعالج بحذف أو إعادة جميع البيانات الشخصية المعالجة نيابة عن العميل وحذف النسخ الموجودة، ما لم يتطلب القانون المعمول به استمرار التخزين. ما لم يطلب العميل خلاف ذلك، يتم حذف البيانات المرتبطة بحساب مؤسسة مغلق في غضوي 90 يومًا من الإنهاء. يؤدي حذف ملف تعريف الطالب إلى حذف قصص هذا الطالب والبيانات المرتبطة به. يتم مسح النسخ الاحتياطية في دورة النسخ الاحتياطية العادية لدينا.
15. الاحتفاظ بالبيانات
يتم الاحتفاظ بالبيانات الشخصية طالما أن حساب العميل نشط وبعد ذلك كما هو موضح في القسم 14. يتم حذف نصوص محادثات الذكاء الاصطناعي الموجهة تلقائيًا بعد 12 شهرًا، وعلى الفور إذا تم حذف ملف تعريف الطالب ذي الصلة أو الحساب.
16. عمليات التدقيق والمعلومات
يُتيح المُعالِج للعميل جميع المعلومات الضرورية لإثبات الامتثال للمادة 28 من اللائحة العامة لحماية البيانات (GDPR)، ويسمح بإجراء عمليات التدقيق، بما في ذلك عمليات التفتيش، التي يجريها العميل أو مدقق حسابات يعينه، ويساهم فيها. تُجرى عمليات التدقيق بناءً على إشعار كتابي مسبق ومعقول، وبحد أقصى مرة واحدة كل اثني عشر شهرًا، باستثناء ما يلي خرق للبيانات الشخصية أو عندما تقتضي ذلك سلطة إشرافية، وخلال ساعات العمل، مع مراعاة التزامات السرية، وبطريقة لا تُعطل عمليات المُعالِج أو أمن بيانات العملاء الآخرين. يجوز للمُعالِج تلبية طلب التدقيق من خلال توفير وثائق الأمان الخاصة به والرد على استبيان أمان معقول.
17. قانون حقوق الأسرة والخصوصية التعليمية (FERPA) — تعيين مسؤول المدرسة
بالنسبة للعملاء الخاضعين لقانون حقوق الأسرة والخصوصية التعليمية الأمريكي (FERPA)، يعمل المُعالِج بصفته "مسؤول مدرسة" ولديه "مصلحة تعليمية مشروعة" في سجلات تعليم الطلاب، تحت السيطرة المباشرة للعميل فيما يتعلق باستخدامها وصيانتها. يستخدم المُعالِج السجلات التعليمية فقط لتقديم الخدمات للعميل، ولا يُعيد الكشف عنها إلا بما يسمح به قانون FERPA أو بتعليمات من العميل، ولا يستخدمها للإعلان أو لبناء ملفات تعريف غير تعليمية للطلاب.
18. المسؤولية وترتيب الأسبقية
في حال وجود تعارض بين اتفاقية معالجة البيانات هذه وشروط الخدمة، تسود اتفاقية معالجة البيانات هذه فيما يتعلق بمعالجة البيانات الشخصية للعميل. حيثما يكون العميل قد أبرم اتفاقية معالجة بيانات كتابية منفصلة مع Galactic Matrix - البرتغال، تسود تلك الاتفاقية. تخضع مسؤولية كل طرف بموجب اتفاقية معالجة البيانات هذه لقيود المسؤولية المنصوص عليها في شروط الخدمة، إلا في الحالات التي لا يمكن فيها تطبيق تلك القيود قانونًا.
19. معلومات الاتصال
للاستفسارات المتعلقة بمعالجة البيانات، أو لطلب نسخة من آليات النقل المعتمدة، أو لممارسة أي حق بموجب اتفاقية معالجة البيانات هذه، يرجى الاتصال بمسؤول حماية البيانات لدينا على dpo@zunotales.com.
20. اللغة
قد تتوفر اتفاقية معالجة البيانات هذه بلغات أخرى غير الإنجليزية لراحتك. في حال وجود أي تعارض بين النسخة الإنجليزية والترجمة، تسود النسخة الإنجليزية.