اتفاقية معالجة بيانات المؤسسة
إصدارات الوثائق القانونيةالإصدار: 2026-10-29-dpa-1 · تاريخ السريان: 29 أكتوبر 2026
نسخة مجمعة للتيسير من المستندات المنشورة الحالية. يحتفظ كل مستند بإصداره وتاريخ سريانه. وتظل الصفحات القانونية المحددة بالإصدار والأرشيف هي المرجع المعتمد.
في هذه الصفحة
الأطراف والقبول
تُبرم هذه الاتفاقية بين دانيال اشرف عقداوى، مشغل سوتيريا بصفته فرداً في القاهرة، مصر، والمؤسسة المحددة في سجل القبول. العنوان القانوني وللمراسلات: ١ شارع أمين الشمسي باشا، ميدان الحجاز، مصر الجديدة، القاهرة، مصر. تواصل الخصوصية والشؤون القانونية: [email protected]. لا يُدعى تأسيس شركة أو التمتع بصفة تجارية مسجلة. يقبل صاحب حساب مسجل الدخول نيابة عن المؤسسة فقط إذا كان مفوضاً بإلزامها، مع تأكيد التفويض صراحة وتسجيله مع نسخة الوثيقة ولغتها المحددتين. لا يثبت إنشاء مساحة عمل أو شخص مُدار هذا التفويض، ولا يُلزم كل عضو شخصياً، ولا يُعد موافقة على المعالجة. العربية لغة الصياغة الأساسية مع نسخة إنجليزية مكافئة؛ وتسود القواعد القانونية الآمرة على النصين.
الأدوار والنطاق
تحدد المؤسسة أغراض سجلات مجتمعها الواقعة في نطاقها وخيارات المعالجة الأساسية والمشاركين المصرح لهم، وتعمل سوتيريا معالجاً لها لتقديم الخدمة المختارة. وتتحدد صفة كل طرف وفق الأغراض والقرارات الفعلية، ويظل مسؤولاً عن واجباته القانونية الخاصة. تحدد سوتيريا بصورة مستقلة أغراض إدارة حساباتها وأمان الخدمة والدعم وسجلاتها التعاقدية والفوترة والشؤون القانونية، كما يوضح إشعار الخصوصية. لا تحول هذه الاتفاقية تلك الأغراض المستقلة، أو سجلات مؤسسة أخرى الخاصة، أو معلومات حساب الفرد المستقلة، إلى بيانات تتحكم فيها هذه المؤسسة. وإذا كانت المؤسسة تعالج نيابة عن متحكم آخر، فعليها امتلاك تفويض لهذه التعليمات ولتعيين سوتيريا.
جدول المعالجة
الموضوع والغرض: تشغيل وظائف إدارة المجتمع المصرح بها للمؤسسة، ومنها الملفات والعضويات في نطاقها، والفعاليات والحضور، والتكليفات وجولات الاطمئنان، والنقاط والمتجر، والحجوزات والمراسلات والتقارير والدعم. وتشمل العمليات الاستلام والاستيراد والتنظيم والتخزين والاسترجاع والعرض والمطابقة وتطبيق القواعد المضبوطة والتواصل والتصدير والتصحيح والتقييد والحذف، وفق التعليمات وما يسمح به القانون. الأشخاص: الأعضاء والعاملون والخدام والمديرون والمتطوعون والضيوف وأولياء الأمور والأطفال المصرح قانوناً بمعالجة بياناتهم. البيانات: الهوية والتواصل، وقيم الملفات والحقول المخصصة في نطاق المؤسسة، والعضويات والأدوار والعلاقات، وتواريخ الميلاد عند تقديمها، والحضور والأنشطة والتسليمات والدرجات، والرسائل والصور والملفات، والمواقع عند تفعيلها، وإجابات الحجوزات ومراجع وإثباتات الدفع ذات الصلة، وبيانات الوصول والخدمة الوصفية. قد تنشأ معلومات دينية أو معلومات أطفال أو غيرها من البيانات الحساسة؛ ولا يُجيز إدراجها هنا معالجتها. لا تُرفع أرقام البطاقات الكاملة أو رموز أمانها أو مستندات حساسة غير مرتبطة بالغرض. المدة: أثناء تقديم الخدمة وفق التعليمات، ثم فقط لإجراءات الإعادة والحذف والاحتفاظ الواجب والاسترداد المقيد أدناه. وتحدد الوظائف المفعلة والإعدادات المصرح بها وتعليمات الدعم المسجلة المجموعة الفعلية من البيانات ومستلميها؛ ولا يجيز إتاحة باقة أو هذا الجدول كل استخدام ممكن.
التعليمات الموثقة
توجه المؤسسة سوتيريا بهذه الاتفاقية وإعدادات وإجراءات الخدمة المصرح بها، وبالطلبات المكتوبة إلى [email protected] مع تحديد المؤسسة والعملية المطلوبة. تتحقق سوتيريا من التفويض وتحتفظ بسجل مقيد للتعليمات ونتائجها. لا يتجاوز البريد الإلكتروني فحوص الصلاحيات ولا يجيز كشف بيانات شخص أو مؤسسة أخرى. تعالج سوتيريا بيانات المؤسسة فقط وفق تعليمات موثقة ومشروعة، بما فيها تعليمات النقل، إلا إذا أوجب القانون المنطبق خلاف ذلك. وتُبلغ المؤسسة بهذا الموجب القانوني قبل المعالجة ما لم يحظر القانون الإبلاغ. وإذا بدت تعليمات غير مشروعة، توضح سوتيريا الاعتراض سريعاً وتوقف تنفيذ التعليمات المعنية لحين توضيح مشروع، دون استبدال الغرض خفية. وإذا تعذر التنفيذ المشروع، جاز لأي طرف إنهاء المعالجة المعنية مع تطبيق ضمانات الإعادة والحذف أدناه. لا تُباع بيانات المؤسسة ولا تُستخدم لإعلانات غير مرتبطة بالخدمة أو لتدريب نماذج سوتيريا الخاصة.
مسؤوليات المؤسسة والبيانات الحساسة
على المؤسسة إثبات السند المشروع، وتقديم إشعارات دقيقة وفي وقتها، وقصر البيانات على الضروري، والحفاظ على دقتها، ووضع تعليمات احتفاظ مناسبة، ومراجعة الوصول والتصدير والمشاركة العامة. وعليها الحصول على موافقة محددة وتوثيقها حيث تُطلب، بما فيها التحقق من صفة الولي القانوني والموافقة الكتابية الصريحة لمعالجة بيانات الأطفال والبيانات الحساسة حيث ينطبق ذلك، والحصول على التراخيص أو التصاريح ذات الصلة. وعلى سوتيريا استيفاء واجباتها المنطبقة بصورة مستقلة؛ فلا يتنصل أي طرف منها بالعقد. لا تمنح علاقة في الملف أو عضوية أو إجراء إداري الموافقة. ويمكن لمحرر مفوض تسجيل دليل موافقة تم التحقق منه خارج المنصة بصورة منفصلة، مع الولي والغرض وفئات البيانات وتاريخ المنح الفعلي. لا تخضع جميع عمليات إنشاء الملفات المُدارة واستيرادها وتعديلها لمنع شامل مرتبط بالموافقة؛ وقد يكون العمر مجهولاً، ولا يُعد إيقاف دعوة قاصر معلوم تحققاً عاماً من الأعمار. لا يجوز للمؤسسة اعتبار غياب منع برمجي تصريحاً قانونياً. ويجب ألا تبدأ المعالجة الحساسة المحظورة أو غير المصرح بها، وأن تُقيد أو تُوقف عند اكتشافها أثناء ترتيب المعالجة التصحيحية المشروعة.
السرية والوصول المصرح به
تحافظ سوتيريا على سرية بيانات المؤسسة، وتضمن خضوع كل شخص تصرح له بمعالجتها لالتزام بالسرية أو واجب قانوني منطبق، وفهمه للعمل المسموح به، ومنحه الوصول الضروري فقط. ويستمر هذا الواجب بعد انتهاء الوصول أو الخدمة. ويجب تبرير الوصول التشغيلي بمهمة دعم أو أمن أو صيانة مصرح بها، وسحبه عند انتفاء الحاجة؛ ولا يمنح تصفحاً اعتيادياً غير مقيد لسجلات المجتمع. يُقصر الكشف الواجب قانوناً على المطلوب، مع إخطار المؤسسة ما لم يمنعه القانون. وتحمي سوتيريا سرية السجلات المحتفظ بها وملفات التصدير ومواد الحوادث وأدلة التدقيق، لا بيانات التطبيق النشطة وحدها.
تدابير الأمن
تحافظ سوتيريا على تدابير تقنية وتنظيمية تناسب المعالجة ومخاطرها: حسابات موثقة وصلاحيات محددة النطاق؛ وفحوص وصول للملفات الخاصة منفصلة عن الوسائط العامة؛ واتصال HTTPS للخدمة العامة؛ وحماية بيانات اعتماد التشغيل؛ وتقييد الوصول الإداري؛ ونسخ استرداد مشفرة خارج الموقع؛ ومعالجة الحوادث ومراجعة الوصول والتغييرات. وتشمل الفحوص عزل المؤسسات وإلغاء الوصول والتعامل مع التصدير والعمل دون اتصال. وتقيّم سوتيريا التدابير وإمكانات الاسترداد دورياً، وتعالج نقاط الضعف وتوثق التغييرات الجوهرية دون خفض الحماية الواجبة. تدعم الخدمة ضوابط أمان الحساب والمراقبة التشغيلية وأدوات النسخ الاحتياطي والاستعادة. ولا تثبت إتاحتها إعداد كل مستخدم أو نجاح استعادة في تاريخ معين. لا يُدعى تشفير شامل لقواعد البيانات أثناء التخزين أو تشفير من طرف إلى طرف، أو شهادة أمنية، أو انعدام المخاطر، أو مدة استعادة مضمونة. وتتطلب الروابط العامة والتنزيلات المصرح بها وذاكرة الأجهزة ضوابط منفصلة؛ ولا يضمن إلغاء الصلاحية على الخادم محواً فورياً لنسخ الأجهزة غير المتصلة.
حوادث البيانات الشخصية
تُخطر سوتيريا جهة الاتصال الإدارية المتحقق منها للمؤسسة دون تأخير غير مبرر بعد علمها بخرق بيانات شخصية يمس بيانات المؤسسة، دون انتظار اكتمال التحقيق. وتقدم ما عُرف من طبيعته وتوقيته، والبيانات والأشخاص المتأثرين وأعدادهم التقريبية عند توافرها، والآثار المحتملة، والاحتواء والمعالجة وبيانات التواصل، مع تحديثات مرحلية وسجل للقرارات. ولا يبرر نقص المعلومات حجب الإخطار الأولي. تحقق سوتيريا وتحتوي الحادث وتحفظ الأدلة الضرورية وتساعد المؤسسة في التقييم والإخطارات الواجبة قانوناً. ويلتزم كل طرف بمواعيد إخطار الجهة الرقابية والأشخاص المتأثرين المنطبقة عليه؛ فلا يحل إخطار المؤسسة محلها. وينسقان المعلومات دون اشتراط موافقة مسبقة تؤخر إخطاراً واجباً. أبلغ سريعاً عن الحوادث المشتبه بها إلى [email protected] بمراجع آمنة، لا بكلمات مرور أو مرفقات حساسة خام.
طلبات الحقوق والمساعدة في الامتثال
مع مراعاة طبيعة المعالجة والمعلومات المتاحة، تساعد سوتيريا المؤسسة في طلبات الاطلاع والتصحيح والمحو والتقييد والاعتراض ونقل البيانات وسحب الموافقة، وتقييمات الأثر والمخاطر المطلوبة، وواجبات الأمن ومشاورات الجهات الرقابية. وتحيل سريعاً طلبات البيانات الخاضعة لتحكم المؤسسة إلى جهة متحقق منها، وترد مباشرة حيث يقع عليها واجب قانوني خاص أو تكون معالجتها مستقلة. وتشمل المساعدة معلومات المعالجة والأمن والمستلمين والاحتفاظ ذات الصلة، واسترجاع البيانات أو الإجراء المصرح به؛ ولا تقتصر على أداة خدمة ذاتية آلية. الالتزام بالرد على طلبات حقوق البيانات الشخصية المصرية هو ستة أيام عمل من تقديم الطلب. ولا يبدأ الحساب من جديد بسبب التحقق أو الإحالة أو التنسيق الداخلي. وتبلغ سوتيريا المؤسسة سريعاً إذا تعرض موعد طلب أو مساعدة لخطر التأخر، وتعطي الأولوية للمدة القانونية الآمرة. ولا يلزم حساب أو قبول عقد جديد أو دفع مبلغ لمجرد تقديم طلب خصوصية. ويجب الاتفاق مسبقاً على أي استشارة إضافية اختيارية وأجرها، دون تعطيل المساعدة أو الحقوق الواجبة.
المعالجون الفرعيون والمستلمون الآخرون
بقبول هذه الاتفاقية، تمنح المؤسسة تفويضاً كتابياً عاماً للمزودين المذكورين فقط بقدر معالجتهم بياناتها نيابة عن سوتيريا للخدمة المبينة: Hetzner لاستضافة التطبيق وقاعدة البيانات؛ وCloudflare لملفات R2 وDNS؛ وBackblaze B2 للنسخ الاحتياطية المشفرة؛ وAWS SES للبريد التشغيلي؛ وZoho Mail للدعم وصندوق البريد؛ وBetter Stack للمراقبة التشغيلية المقيدة؛ وOpenAI للمحتوى المرسل عمداً إلى وظائف الذكاء الاصطناعي المفعلة. وتتبع فئات البيانات جدول المعالجة؛ والمراقبة مقللة البيانات وليست مضمونة إخفاء الهوية. وتفصح سوتيريا عن الكيان القانوني المتعاقد والوظيفة والبيانات وبلدان المعالجة قبل إسناد البيانات المعنية حيث يُطلب ذلك. يقدم ملحق المعالجين الفرعيين ونقل البيانات دولياً المنشور معلومات إضافية؛ وتظل تفاصيل المواقع أو العقود غير المحسومة غير محسومة، ولا يُعتمد استيفاؤها بمجرد القبول. وتُعد Google Maps وPaymob والبنية التحتية للإشعارات التي يختارها الجهاز أو المتصفح مستلمين إضافيين عند استخدام الوظائف المعنية. وتتوقف صفة المزود على المعالجة المحددة؛ فلا تتحول أغراض الدفع أو منع الاحتيال أو الخرائط أو الأجهزة المحددة بصورة مستقلة إلى معالجة بتعليمات فقط. ويخضع أي جزء يُنفذ بمعالج فرعي لهذه الواجبات. وتظل جهات المؤسسة التي تختارها والمشاركة العامة والتصدير من تعليماتها ومسؤوليتها. قبل معالجة المعالج الفرعي بيانات المؤسسة المعنية، تضمن سوتيريا ترتيباً مكتوباً يفرض واجبات حماية مكافئة منطبقة، تشمل السرية والأمن والمساعدة والإعادة والحذف والمعالجة اللاحقة. وتظل سوتيريا مسؤولة أمام المؤسسة عن التزامات معالجيها الفرعيين والإخفاق في أدائها. ولا يثبت رابط سياسة خصوصية المزود وحده وجود هذا الترتيب.
تغييرات المزودين والاعتراض
عند اقتراح إضافة معالج فرعي أو استبداله، ترسل سوتيريا إخطاراً كتابياً مسبقاً قبل 30 يوماً تقويمياً على الأقل إلى جهة الاتصال الإدارية المتحقق منها للمؤسسة، يحدد المزود والغرض والبيانات والبلدان والضمانات وموعد البدء المخطط. ويجوز للمؤسسة الاعتراض لأسباب معقولة تتعلق بحماية البيانات خلال مدة الإخطار عبر [email protected]؛ ولا يُعد السكوت موافقة لغرض جديد أو تصريح نقل. تناقش سوتيريا بديلاً أو ضمانات، ولا ترسل بيانات المؤسسة المعنية إلى المزود محل الاعتراض ما دام اعتراض مقدم في موعده لم يُحسم. وإذا تعذر بديل عملي مشروع، جاز لأي طرف إنهاء الوظيفة أو الخدمة المعنية قبل التغيير، مع حفظ ضمانات الإعادة والحذف وحقوق الإلغاء والاسترداد المنطبقة. وحتى للتغيير الأمني أو المتعلق باستمرارية الخدمة العاجل، يجب الإخطار المسبق وإتاحة الاعتراض؛ وإذا تعذر استيفاء مدة الإخطار المعتادة، وجب الحصول على تفويض كتابي محدد قبل نقل البيانات المعنية أو إيقاف تلك المعالجة. ولا يُعد تعديل قائمة عامة وحده إخطاراً مباشراً.
المعالجة الدولية
قد تُعالج المعلومات خارج مصر. ويميز إشعار الخصوصية وملحق المزودين بين الإعدادات المؤكدة والمواقع غير المعلومة. أُعد البريد عبر AWS لمنطقة فرانكفورت، ألمانيا؛ ويتوافق نطاق Zoho .com المُعد مع خدمة مركز بياناتها الأمريكي وفق إرشادات المزود، دون إثبات كل موقع معالجة. ولم تُتحقق جميع بلدان الخوادم والملفات والنسخ الاحتياطية والمزودين الآخرين. قبل النقل، على سوتيريا والمؤسسة استيفاء الأسس المشروعة المنطبقة وحماية الوجهة والتصاريح التنظيمية المطلوبة والضمانات القابلة للإنفاذ، كل فيما يخصه. وتقدم سوتيريا معلومات المواقع والضمانات المعنية، ولا تنفذ تعليمات أو تغيير مزود يفتقر للسند المطلوب. ولا تُعد هذه الاتفاقية أو تفويض عام للمزود أو التشفير أو موافقة ولي الأمر وحدها تصريح نقل أو تقرير كفاية حماية أو أداة نقل دولي مبرمة. وإذا انطبق قانون ولاية أخرى، وجب استيفاء متطلباته الإضافية أيضاً؛ ولا يُوعد بامتثال شامل للائحة GDPR أو بإقامة حصرية للبيانات في مصر.
الإعادة والحذف
عند انتهاء خدمة المعالجة، يجوز للمؤسسة طلب إعادة البيانات أو حذفها الآمن عبر جهة اتصالها المفوضة المتحقق منها إلى [email protected]. وتؤكد سوتيريا سريعاً النطاق والهوية والوجهة المصرح بها، وتقدم بيانات المؤسسة بصيغة إلكترونية شائعة الاستخدام مثل CSV أو JSON مع الملفات ذات الصلة حيث ينطبق، وتحذف النسخ النشطة المتبقية بعد الإعادة، ما لم تختَر المؤسسة الحذف بدلاً منها. ويشمل ذلك البيانات ذات الصلة غير المشمولة بتصدير شاشة عادية، دون كشف بيانات الحسابات المستقلة للأفراد أو بيانات مؤسسات أخرى الخاصة. تُكمل سوتيريا الإعادة والحذف من الأنظمة النشطة خلال 30 يوماً تقويمياً من انتهاء الخدمة واستلام الاختيار، أو أقرب إذا أوجب القانون، وتقدم تأكيداً كتابياً يحدد أي احتفاظ مشروع والتعامل مع نسخ الاسترداد. وإذا لم يُقدم اختيار، تطلب سوتيريا التعليمات سريعاً وتقصر البيانات المحتفظ بها على الإغلاق الضروري والحماية والاحتفاظ المشروع؛ فغياب التعليمات ليس إذناً باحتفاظ غير محدد. ويجب شرح أي تمديد عملي استثنائي والاتفاق عليه كتابة قبل الموعد، دون إزاحة الحقوق الآمرة. وتظل مواعيد طلبات الحقوق القانونية منطبقة بصورة مستقلة. لا يجوز الاحتفاظ خارج إجراءات الإغلاق المطلوبة إلا بالبيانات الواجب الاحتفاظ بها قانوناً أو التي تحتفظ بها سوتيريا بصورة مستقلة ومشروعة لأغراضها الضرورية. وتحدد سوتيريا الفئات والأسس والقيود ومعايير الانتهاء أو المراجعة، وتحميها وتحذفها بانتهاء السند. ويتطلب الدليل غير القابل للتعديل حلاً مشروعاً خاضعاً للمراجعة، لا تأكيداً بأن جميع الصفوف مُحيت آلياً. ولا يُعد الإلغاء أو الأرشفة أو التعليق أو حذف عضوية وحده تعليمات حذف كاملة.
نسخ الاسترداد والأجهزة
تنظيف النسخ الاحتياطية ليس فورياً. تستخدم الأرشيفات المحلية المضبوطة عتبة 30 يوماً؛ ويحتفظ اختيار نسخ قاعدة البيانات خارج الموقع بـ14 نسخة يومية و8 أسبوعية و12 شهرية؛ ويستخدم سجل استرداد الملفات المتغيرة والمحذوفة عتبة 365 يوماً. ويتوقف الانتهاء الفعلي على نجاح التنظيف ومجموعات النسخ التي تحتوي البيانات، فلا تُعد مواعيد محو دقيقة مضمونة. تقصر سوتيريا نسخ الاسترداد المحتفظ بها على الاسترداد والأمن والحفظ الواجب قانوناً، وتحتفظ بسجل محمي للحذف والقيود المعتمدة، وتتحقق من التنظيف، وتبلغ بموعد الانتهاء المتوقع ذي الصلة وأي استثناء في رد الإتمام. وإذا أوجب موعد قانوني المحو المبكر، فعليها ترتيب إزالة مبكرة مشروعة بدلاً من الاعتماد على الدورة المعتادة. وقبل إتاحة البيانات المستعادة للاستخدام العادي، يجب إعادة تطبيق الحذف والقيود المعتمدة والتحقق منها. وقد يحتفظ المستلمون المصرح لهم والأجهزة غير المتصلة بنسخ خارج سيطرة الخادم المباشرة؛ وتساعد سوتيريا في التعليمات وضوابط الوصول المناسبة دون إصدار شهادة محو غير صحيحة لكل جهاز.
المعلومات والتدقيق والرقابة
تتيح سوتيريا المعلومات اللازمة لإثبات هذه الالتزامات، بما فيها سجلات المعالجة والتدابير الأمنية والمزودون والمواقع ومعالجة الحوادث وأدلة الإعادة والحذف ذات الصلة. ويجوز للمؤسسة أو مدقق مستقل تعينه إجراء تدقيق متناسب، يشمل التفتيش الضروري، وفق ترتيبات سرية وأمن تحمي العملاء الآخرين وسلامة الخدمة. ويمكن بدء مراجعة مستندية أو عن بُعد حيث تكفي، دون تعطيل تفتيش مبرر أو صلاحيات الجهة الرقابية. يُطلب التدقيق الاعتيادي عبر [email protected] بإخطار مسبق معقول، عادة 15 يوم عمل، يصف النطاق والمدقق. ولا تنتظر الحوادث العاجلة أو المخاوف المسندة بشأن الامتثال أو المواعيد الرقابية الآمرة تلك المدة أو حصة سنوية. وتتعاون سوتيريا وتوضح أي مخاوف أمنية محددة وتقدم وسيلة وصول بديلة عملية وتتابع التصحيح. ولا يجوز للسرية أو الموافقة التقديرية أو الأجر حجب تدقيق واجب قانوناً. ويجب الاتفاق مسبقاً على أي عمل إضافي اختياري أو نفقات. ولا يدعي هذا البند إتمام تدقيق مستقل أو شهادة.
الأولوية والتغييرات والواجبات المستمرة
تسود هذه الاتفاقية على شروط الخدمة العامة المتعارضة بشأن البيانات الشخصية المعالجة بتوجيه المؤسسة؛ وتسود دائماً القواعد الآمرة وحقوق أصحاب البيانات والجهات الرقابية. ولا تُسقط المسؤولية القانونية لأي طرف أو تقيد سبل الانتصاف التي لا يجوز تقييدها. ويطبق القانون المصري دون إزالة حمايات آمرة أخرى منطبقة. تتطلب التغييرات الجوهرية نسخة جديدة وقبولاً صريحاً من ممثل مفوض للمؤسسة، ولا تُطبق خفية على الأدلة القديمة. ويُحتفظ بأي تعديل مكتوب منفصل ومشروع ومتفق عليه مع تعليمات المؤسسة، ولا يجوز أن يخفض الحماية الآمرة. وتستمر واجبات السرية والمساعدة الضرورية وتدقيق المعالجة السابقة ذات الصلة والاحتفاظ المقيد والإعادة والحذف بقدر الحاجة بعد انتهاء الخدمة. وتُرسل الأسئلة والتعليمات والطلبات إلى [email protected]؛ ويجب التحقق من ادعاء التفويض قبل كشف البيانات.