اتفاقية معالجة البيانات

اتفاقية معالجة البيانات (AVV) وفقًا للمادة 28 من اللائحة العامة لحماية البيانات (GDPR)

تاريخ: 20.03.2026

بين

العميل المسجل لدى Biscotti CMP – المشار إليه فيما يلي بـ "المسؤول" أو "العميل" –

و

Campcruisers GmbH Berliner Str. 21 B 14612 Falkensee جمهورية ألمانيا الاتحادية

محكمة التسجيل: محكمة بوتسدام الجزئية رقم التسجيل: HRB 40180 P رقم ضريبة القيمة المضافة: DE368000447 رقم الضريبة: 29/249/36095 يمثلها: دانيال بوش (الرئيس التنفيذي)، فيليب أندريه مارشال (المفوض) البريد الإلكتروني: [email protected] الهاتف: +49 3322 50703301 ساعات العمل: من الاثنين إلى الجمعة، من الساعة 09:00 إلى الساعة 17:00 – يُشار إليهما فيما يلي بـ "معالج الطلبات" أو "المزود" –

– يُشار إلى المسؤول ومعالج الطلبات فيما يلي مجتمعين باسم "الأطراف" –

الديباجة

مرحبًا بكم في Campcruisers GmbH! يسعدنا جدًا أن نرحب بكم كعملاء. نضع الشفافية وأعلى معايير الأمان والتعامل التعاوني على قدم المساواة في مقدمة أولوياتنا. إن حماية بياناتكم وبيانات زوار موقعكم الإلكتروني ليست مجرد التزام قانوني بالنسبة لنا، بل هي وعد جودة أساسي لشركتنا.

يستخدم المسؤول حل "Biscotti CMP" (منصة إدارة الموافقة) القائم على السحابة كخدمة (SaaS) الذي طوره المشغل ويديره ويوزعه. في إطار تقديم خدمات SaaS هذه، التي يتم توفيرها تحت نطاق biscotti-cmp.com وكذلك التطبيق app.biscotti-cmp.com، يقوم معالج البيانات بمعالجة البيانات الشخصية نيابة عن المسؤول ووفقًا لتوجيهاته. يحدد هذا العقد الالتزامات القانونية للطرفين فيما يتعلق بحماية البيانات، والتي تنشأ عن استخدام Biscotti CMP. وينطبق على جميع الأنشطة المرتبطة بالعقد الرئيسي (عقد الاستخدام لخدمات SaaS) والتي قد يتعامل فيها موظفو معالج البيانات أو الأطراف الثالثة التي يكلفهم بها مع معالج البيانات مع البيانات الشخصية للمسؤول.

هذا العقد ضروري للغاية للوفاء بمتطلبات اللائحة (الاتحاد الأوروبي) 2016/679 (اللائحة العامة لحماية البيانات – DSGVO)، ولا سيما المادة 28 من اللائحة العامة لحماية البيانات، وكذلك الأحكام التكميلية لقانون حماية البيانات الاتحادي (BDSG) وقانون حماية البيانات في مجال الاتصالات والخدمات الرقمية (TDDDG).

[!ملاحظة] إبرام العقد في المعاملات التجارية الإلكترونية يتم إبرام هذا العقد في شكل إلكتروني وفقًا للمادة 28 الفقرة 9 من اللائحة العامة لحماية البيانات (DSGVO). ويشكل جزءًا لا يتجزأ من الشروط والأحكام العامة (AGB) لشركة Biscotti CMP عند التسجيل من قبل المسؤول. يتم إبرام العقد من خلال الموافقة الإلكترونية الصريحة أثناء التسجيل (على سبيل المثال، من خلال النقر على زر التأكيد) ولا يتطلب أي توقيع بخط اليد منفصل لكي يكون صالحًا ونافذًا من الناحية القانونية.

§ 1 موضوع المعالجة ومدتها

1.1 موضوع المعالجة يقدم معالج البيانات خدمات للمسؤول في مجال إدارة الموافقة (Consent Management) وأتمتة الامتثال لقوانين حماية البيانات. يتم تحديد موضوع معالجة البيانات الشخصية من خلال العقد الرئيسي المبرم بين الطرفين بشأن استخدام Biscotti CMP. تشمل المعالجة جميع العمليات المتعلقة بالبيانات واللازمة لتوفير وظائف البرنامج المتفق عليها تعاقديًا. ويشمل ذلك على وجه الخصوص، على سبيل المثال لا الحصر:

• توفير وتقديم لافتات الموافقة (لافتات ملفات تعريف الارتباط) على مواقع الويب الخاصة بالمسؤول.
• تسجيل وتخزين وإدارة وتوثيق قرارات الموافقة (الموافقة / الرفض) للمستخدمين النهائيين (زوار الموقع) للجهة المسؤولة وفقًا للمادة 7 الفقرة 1 من اللائحة العامة لحماية البيانات (GDPR) والمادة 25 الفقرة 1 من قانون تكنولوجيا الاتصالات الرقمية (TDDDG).
• إجراء عمليات فحص ملفات تعريف الارتباط المدعومة بالذكاء الاصطناعي على مواقع الويب الخاصة بالمسؤول لتحديد وتصنيف تقنيات التتبع ومقارنتها بقاعدة بيانات مزودي IAB.
• معالجة الإشارات في إطار Google Consent Mode v2، وإطار عمل الشفافية والموافقة التابع لـ IAB (TCF 2.4)، وكذلك التحكم العالمي في الخصوصية (GPC).
• تحديد الاختصاص القضائي لزائر الموقع الإلكتروني استنادًا إلى عنوان IP لعرض أنواع مختلفة من اللافتات المتوافقة مع القانون (مثل اللائحة العامة لحماية البيانات (GDPR) وقانون خصوصية المستهلك في كاليفورنيا (CCPA) وقانون الخصوصية في كاليفورنيا (CPRA)) بشكل ديناميكي.
• إنشاء نصوص قانونية مدعومة بالذكاء الاصطناعي (بيانات النشر، سياسة الخصوصية، سياسة ملفات تعريف الارتباط) عبر مساعد Legal Suite المدمج باستخدام Alibaba Cloud Qwen.
• توفير سجلات التدقيق (Audit-Logs)، وWebhooks للإخطار في الوقت الفعلي، ووظائف اختبار A/B، بالإضافة إلى وظائف تصدير البيانات للوفاء بحقوق الأشخاص المعنيين وفقًا للمادة 15 من اللائحة العامة لحماية البيانات (DSGVO).
• إدارة الحسابات الفرعية للوكالات في إطار تعريفة "Agency"، بما في ذلك إدارة العملاء والعلامة التجارية ذات العلامة البيضاء.

1.2 مدة المعالجة تخضع مدة سريان عقد معالجة البيانات هذا لمدة سريان العقد الرئيسي الأساسي المتعلق باستخدام Biscotti CMP. يدخل العقد حيز التنفيذ مع تسجيل المسؤول وتفعيل الحساب (في حالة الباقات المجانية) أو مع تأكيد الدفع (في حالة الباقات المدفوعة مثل Starter و Growth و Business و Agency). وينتهي العقد تلقائيًا مع انتهاء العقد الرئيسي، بغض النظر عن السبب القانوني (على سبيل المثال، من خلال الإنهاء العادي أو الإنهاء الاستثنائي أو حذف الحساب). تبلغ مدة الإشعار بإنهاء العقد الرئيسي يومًا واحدًا قبل نهاية فترة الفوترة المعنية. لا تتأثر أحكام هذا العقد التي من المفترض أن تسري بطبيعتها بعد الإنهاء (لا سيما الأحكام المتعلقة بحذف البيانات وإعادتها وكذلك مسائل المسؤولية) بالإنهاء.

§ 2 نوع وغرض المعالجة

2.1 نوع المعالجة يشمل نوع المعالجة جمع البيانات وتسجيلها وتنظيمها وترتيبها وتخزينها وتكييفها أو تغييرها وقراءتها واستعلامها واستخدامها والكشف عنها عن طريق الإرسال أو النشر أو أي شكل آخر من أشكال التوفير، والمقارنة أو الربط، والتقييد، وحذف البيانات أو إتلافها. تتم المعالجة بشكل أساسي آليًا في البنية التحتية السحابية لمعالج البيانات (على سبيل المثال، مستضافة على منصة Hetzner Online GmbH، وعادةً ما يكون موقع الخادم في الاتحاد الأوروبي).

2.2 الغرض من المعالجة يتمثل الغرض من المعالجة حصريًا في الوفاء بالالتزامات التعاقدية الناشئة عن العقد الرئيسي. ويشمل ذلك:

• إثبات الموافقة: تخزين بيانات الموافقة للوفاء بمسؤولية المسئول وفقًا للمادة 5 الفقرة 2 بالاقتران مع المادة 7 الفقرة 1 من اللائحة العامة لحماية البيانات (GDPR).
• التوفير التقني: عرض شعار الموافقة وضمان عمل موقع الويب الخاص بالمسؤول مع مراعاة تفضيلات المستخدم.
• تحليل الامتثال: الفحص الآلي لمواقع الويب الخاصة بالمسؤول بحثًا عن المخاطر المتعلقة بحماية البيانات (ماسح ملفات تعريف الارتباط).
• صياغة النصوص القانونية: معالجة بيانات الشركة وبيانات الاتصال الخاصة بالمسؤول من أجل صياغة نصوص قانونية مخصصة باستخدام الذكاء الاصطناعي.
• الفوترة وإدارة الحسابات: إدارة حسابات المستخدمين، وتخصيص حدود الجلسات (على سبيل المثال، 5000 جلسة في الباقة المجانية، و500000 جلسة في الباقة التجارية)، ومعالجة عمليات نقل الجلسات.
• إدارة الوكالة: تمكين إدارة ما يصل إلى 25 حسابًا فرعيًا في الباقة الوكالة، بما في ذلك توفير صفحات الموزعين ووظائف إرسال البريد الإلكتروني.

يُحظر تمامًا معالجة البيانات لأغراض خاصة بمعالج البيانات، ولا سيما لأغراض إعلانية خاصة أو لإنشاء ملفات تعريف للمستخدمين تتجاوز نطاق تقديم الخدمات التعاقدية، ما لم يكن هناك إذن قانوني صريح أو موافقة منفصلة.

§ 3 نوع البيانات الشخصية

في إطار معالجة البيانات، تتم معالجة الفئات التالية من البيانات الشخصية. يحدد المسؤول النطاق الدقيق للبيانات من خلال استخدامه لـ Biscotti CMP وتكوين البرنامج بنفسه:

• بيانات الموافقة: القرارات (الموافقة / الرفض لفئات مختلفة مثل الأساسية، الوظيفية، التحليلية، التسويقية، خدمات الذكاء الاصطناعي)، الطابع الزمني (تاريخ ووقت الموافقة بالضبط)، رقم تعريف فريد (لربط القرار بشكل مستعار بالجهاز النهائي/المتصفح المعني).
• البيانات الفنية: عناوين IP (تُعالج في المقام الأول للتعرف على الولاية القضائية بناءً على الموقع، وعادةً ما يتم إخفاء هويتها/اختصارها على الفور، ما لم يقم المسؤول بتكوين مختلف)، معلومات المتصفح، معلومات الجهاز، سلاسل وكيل المستخدم، بيانات الجلسة.
• بيانات ملفات تعريف الارتباط وأدوات التتبع: نتائج فحص مواقع الويب الخاصة بالمسؤول، بما في ذلك ملفات تعريف الارتباط التي تم العثور عليها، ومحتويات التخزين المحلي، وأدوات التتبع الخاصة بمزودي الخدمات الخارجيين وتصنيفها.
• المحتويات التي تم إنشاؤها بواسطة الذكاء الاصطناعي: البيانات التي يدخلها المسؤول في مساعد Legal Suite لإنشاء نصوص قانونية (بيان الخصوصية، بيانات النشر، الشروط والأحكام). وقد يشمل ذلك بيانات الشركة، وأسماء الممثلين القانونيين، والعناوين، وأنشطة المعالجة المحددة التي تتم معالجتها عبر واجهة برمجة تطبيقات Alibaba Cloud Qwen.
• بيانات الاتصال (صاحب الحساب): الاسم الأول واسم العائلة، وعنوان البريد الإلكتروني، واسم الشركة، والعنوان، ورقم الهاتف، ورقم التعريف الضريبي (USt-IdNr.) للعملاء أو أصحاب الحسابات.
• بيانات الاستخدام: أنشطة لوحة التحكم، وإحصاءات البانرات (عدد المشاهدات، والتفاعلات، ومعدلات القبول)، وتقارير الامتثال، وسجلات التدقيق الخاصة بتغييرات الحساب.
• بيانات الدفع: معلومات الفوترة التي تتم معالجتها عبر مزود خدمة الدفع Stripe (حيث يتم ترميز بيانات بطاقات الائتمان مباشرةً لدى Stripe ولا يتم تخزينها بنص عادي لدى معالج الطلبات).

§ 4 فئات الأشخاص المعنيين

تتعلق المعالجة بالفئات التالية من الأشخاص المعنيين:

• زوار الموقع (المستخدمون النهائيون): الأشخاص الطبيعيون الذين يزورون مواقع الويب الخاصة بالمسؤول عن المعالجة والذين يتم استفسارهم عن قرارات الموافقة الخاصة بهم عبر لافتة Biscotti CMP ومعالجتها وتخزينها.
• العملاء (أصحاب الحسابات): الأشخاص الطبيعيون أو أصحاب الأعمال الفردية أو ممثلو الكيانات القانونية الذين سجلوا حسابًا لدى Biscotti CMP كشركاء تعاقديين لمعالج البيانات.
• أعضاء الفريق والموظفون: الأشخاص الذين تمت دعوتهم من قبل صاحب الحساب (المسؤول) كمستخدمين إضافيين إلى لوحة تحكم Biscotti CMP لإدارة النظام.
• عملاء الوكالات (أصحاب الحسابات الفرعية): العملاء النهائيون للوكالات الذين يستخدمون تعريفة "Agency" والذين تم إنشاء حسابات فرعية لهم.

§ 5 واجبات وحقوق المسؤول

5.1 مشروعية المعالجة يتحمل المسؤول وحده مسؤولية تقييم مشروعية المعالجة المكلفة وكذلك حماية حقوق الأشخاص المعنيين (المادة 4 رقم 7 من اللائحة العامة لحماية البيانات). يضمن المسؤول وجود أساس قانوني فعال (مثل الموافقة وفقًا للمادة 6 الفقرة 1 البند أ من اللائحة العامة لحماية البيانات أو المصلحة المشروعة وفقًا للمادة 6 الفقرة 1 البند و من اللائحة العامة لحماية البيانات) لمعالجة البيانات الشخصية من قبل معالج البيانات. وينطبق هذا بشكل خاص على استخدام Biscotti CMP للحصول على الموافقات وفقًا للمادة 25 الفقرة 1 من قانون TDDDG.

5.2 واجبات الإبلاغ يتحمل المسؤول المسؤولية الكاملة عن إعلام الأشخاص المعنيين (خاصة زوار الموقع الإلكتروني) بمعالجة البيانات بشكل شفاف ودقيق وفي الوقت المناسب وفقًا للمادة 13 والمادة 14 من اللائحة العامة لحماية البيانات (GDPR). ويوفر معالج البيانات للمسؤول المعلومات التقنية اللازمة حول كيفية عمل Biscotti CMP، بالإضافة إلى نصوص نموذجية عبر مساعد Legal Suite. ويقع على عاتق المسؤول إجراء الفحص القانوني وإدراج سياسة الخصوصية.

5.3 استخدام الوكالات والموزعين إذا استخدم المسؤول تعريفة "الوكالة" وأنشأ حسابات فرعية لعملائه، يظل المسؤول هو الشريك التعاقدي الوحيد والمسؤول عن حماية البيانات فيما يتعلق بمعالج البيانات. يضمن المسؤول أن لديه الاتفاقيات التعاقدية اللازمة (بما في ذلك عقود معالجة البيانات الخاصة به) مع عملائه النهائيين. إذا أنشأ المسؤول صفحة موزع أو استخدم خوادم بريد إلكتروني خاصة به تحت نطاقه الخاص، فإنه يتحمل المسؤولية الوحيدة بموجب قانون حماية البيانات وقانون المنافسة عن هذه البنية التحتية. ولا يتحمل معالج البيانات أي مسؤولية عن ذلك.

5.4 الإبلاغ عن الأخطاء يجب على المسؤول إخطار معالج الطلبات على الفور وبشكل كامل إذا اكتشف أخطاء أو مخالفات تتعلق بأحكام قانون حماية البيانات عند فحص نتائج الطلب.

§ 6 حق المسؤول في إصدار التعليمات

6.1 نوع ونطاق التعليمات يقوم معالج البيانات بمعالجة البيانات الشخصية حصريًا بناءً على تعليمات موثقة من المسؤول، ما لم يكن ملزمًا بذلك بموجب قانون الاتحاد أو الدول الأعضاء الذي يخضع له (المادة 28، الفقرة 3، البند أ من اللائحة العامة لحماية البيانات). في مثل هذه الحالة، يُبلغ معالج البيانات المسؤول بهذا المطلب القانوني قبل المعالجة، ما لم يحظر القانون المعني مثل هذا الإبلاغ بسبب مصلحة عامة هامة.

يمثل العقد الرئيسي وكذلك هذه الشروط والأحكام الإضافية (AVV) التعليمات الأولية الموثقة. يعتبر استخدام المسؤول لوظائف Biscotti CMP (مثل تكوين الشعار، وبدء الفحص، وإنشاء النصوص) في لوحة التحكم تعليمات فردية موثقة.

6.2 شكل التعليمات يمكن إصدار التعليمات عادةً عبر واجهة المستخدم للبرنامج (التطبيق). ويجب إصدار أي تعليمات أخرى في شكل نصي (على سبيل المثال عبر البريد الإلكتروني إلى [email protected]). ويجب على المسؤول تأكيد التعليمات الشفوية فوراً في شكل نصي.

6.3 الاعتراضات على التعليمات يُبلغ معالج البيانات المسؤول على الفور إذا رأى أن إحدى التعليمات تنتهك اللائحة العامة لحماية البيانات (GDPR) أو القانون الاتحادي الألماني لحماية البيانات (BDSG) أو غيرها من لوائح حماية البيانات الخاصة بالاتحاد الأوروبي أو الدول الأعضاء. ويحق لمعالج البيانات تعليق تنفيذ التعليمات المعنية إلى أن يتم تأكيدها أو تعديلها من قبل المسؤول. ويجوز لمعالج البيانات رفض التعليمات التي يبدو أنها غير قانونية.

§ 7 التزام السرية

7.1 التزام الموظفين يؤكد معالج البيانات أنه قد ألزم جميع الأشخاص المصرح لهم بمعالجة البيانات الشخصية للمسؤول (الموظفون، والمتعاقدون المستقلون، والهيئات) بالسرية قبل بدء العمل (المادة 28، الفقرة 3، البند ب من اللائحة العامة لحماية البيانات) أو أنهم يخضعون لواجب السرية القانوني المناسب. يشمل هذا الالتزام أيضًا سرية البيانات ويظل ساريًا حتى بعد انتهاء النشاط أو علاقة العمل.

7.2 التدريب والتوعية يضمن معالج البيانات أن يتم تدريب وتوعية الأشخاص المصرح لهم بالمعالجة بانتظام فيما يتعلق بأحكام حماية البيانات (اللائحة العامة لحماية البيانات، قانون حماية البيانات الفيدرالي) وأمن البيانات. ويحرص معالج البيانات، ممثلاً بالإدارة (دانيال بوش، فيليب أندريه مارشال)، على وجود ثقافة مؤسسية متوافقة مع حماية البيانات.

7.3 مسؤول حماية البيانات : قام معالج البيانات، بقدر ما يقتضيه القانون وفقًا للمادة 38 الفقرة 1 من قانون حماية البيانات الاتحادي (BDSG) أو المادة 37 من اللائحة العامة لحماية البيانات (DSGVO) (على سبيل المثال، في حالة وجود ما لا يقل عن 20 شخصًا يعملون بشكل دائم في المعالجة الآلية)، بتعيين مسؤول حماية بيانات مختص وموثوق.

وفي حالة عدم وجود التزام قانوني بالتعيين، يضمن معالج البيانات مع ذلك أن الإدارة تراقب الالتزامات المتعلقة بحماية البيانات وتلتزم بها بالكامل.

المادة 8: التدابير الفنية والتنظيمية (TOMs) وفقًا للمادة 32 من اللائحة العامة لحماية البيانات (DSGVO)

8.1 مبدأ أمن المعالجة يصرح معالج البيانات بشكل ملزم بأنه، مع مراعاة مستوى التكنولوجيا وتكاليف التنفيذ وطبيعة ونطاق والظروف وأغراض المعالجة، فضلاً عن اختلاف احتمالية وقوع المخاطر وخطورتها على حقوق وحريات الأفراد، وقد اتخذ تدابير تقنية وتنظيمية (TOMs) مناسبة لضمان مستوى حماية يتناسب مع المخاطر (المادة 32 من اللائحة العامة لحماية البيانات). وتستند هذه التدابير إلى معايير أمن تكنولوجيا المعلومات المعترف بها (مثل ISO 27001 و SOC 2).

8.2 التدابير المحددة يقوم معالج البيانات بتنفيذ التدابير التالية على وجه الخصوص ويحافظ عليها طوال مدة العقد:

أ) إخفاء الهوية والتشفير (المادة 32، الفقرة 1، البند أ من اللائحة العامة لحماية البيانات)

• التشفير أثناء النقل: تتم جميع عمليات نقل البيانات بين المستخدم النهائي والمسؤول والبنية التحتية لـ Biscotti CMP بالضرورة عبر أحدث بروتوكولات التشفير (TLS 1.2 أو TLS 1.3).
• التشفير في حالة السكون: يتم تشفير جميع قواعد البيانات ووسائط التخزين على منصة Google Cloud (موقع الخادم NL) على مستوى الأقراص الصلبة (AES-256).
• التشويه: لا يتم ربط قرارات الموافقة بالأسماء الحقيقية، بل برقم تعريف تشفير يتم إنشاؤه عشوائيًا. يتم اختصار عناوين IP/إخفاء هويتها بشكل افتراضي بمجرد اكتمال التخصيص القائم على الموقع.

ب) السرية (مراقبة الدخول والوصول)

• التحكم في الدخول: يتم ضمان الأمن المادي للخوادم المستخدمة من قبل مزود خدمات البنية التحتية الخارجي (مثل Google Cloud). تخضع مراكز البيانات لضوابط صارمة للوصول والأمن وفقًا للمعايير المتبعة في القطاع. يتم تأمين المكاتب الخاصة بشركة Campcruisers GmbH من خلال قيود مادية مناسبة على الدخول (مثل الأقفال الأمنية).
• التحكم في الوصول: يتم تأمين الوصول إلى أنظمة تكنولوجيا المعلومات الخاصة بمعالج البيانات من خلال إرشادات صارمة بشأن كلمات المرور، والمصادقة متعددة العوامل (MFA) للوصول الإداري ذي الصلة، وكذلك انتهاء صلاحية الجلسات. يتم استخدام أنظمة مثل Cloudflare Turnstile لحماية محاولات تسجيل الدخول من هجمات الروبوتات.
• التحكم في الوصول: يُطبق مبدأ منح الحد الأدنى من الحقوق (التحكم في الوصول القائم على الأدوار - RBAC). لا يمكن لموظفي معالج البيانات الوصول إلا إلى البيانات الضرورية للغاية لأداء مهامهم. يتم فصل بيانات العملاء الخاصة بالباقات المختلفة عن بعضها البعض بشكل منطقي (القدرة على استيعاب عملاء متعددين).

ج) السلامة (التحكم في النقل والإدخال والفصل)

• التحكم في النقل: لا يتم نقل البيانات على وسائط تخزين مادية. يتم النقل حصريًا عبر شبكات آمنة.
• التحكم في الإدخال: تتمتع Biscotti CMP بسجل تدقيق شامل (سجل التدقيق). يمكن في أي وقت تتبع أي مستخدم (عميل، عضو فريق، وكالة) قام بإجراء أي تغييرات في لوحة التحكم (مثل تغيير نصوص البانرات، تعديل فئات ملفات تعريف الارتباط) وفي أي وقت.
• التحكم في الفصل: تتم معالجة البيانات التي تم جمعها لأغراض مختلفة بشكل منفصل. يتم عزل بيئات الإنتاج والاختبار والتطوير عن بعضها بشكل صارم.

د) التوافر والقدرة على التحمل (المادة 32، الفقرة 1، البنود ب و ج من اللائحة العامة لحماية البيانات)

• التوافر: يتخذ معالج البيانات تدابير مناسبة ومعتادة في القطاع لضمان توافر الأنظمة (الاستضافة على منصة Google Cloud). ومع ذلك، لا يتم ضمان أي توافر صريح بموجب اتفاقية مستوى الخدمة (SLA) ولا توجد تكرار كامل للبنية التحتية.
• القدرة على تحمل الأحمال: تم تصميم بنية النظام بحيث تتم معالجة أحجام الجلسات المتوقعة بشكل موثوق في العادة. ومع ذلك، لا يتم استخدام آليات مخصصة لتوزيع الأحمال أو آليات التوسع التلقائي (Auto-Scaling).
• القدرة على الاستعادة: يتخذ معالج البيانات الاحتياطات المناسبة (مثل النسخ الاحتياطي المنتظم لقواعد البيانات) لتمكين استعادة البيانات في حالة وقوع حادث تقني. ومع ذلك، لا توجد ضمانة لاستعادة البيانات دون فقدان، ولذلك يُطلب من المسؤول استخدام وظائف التصدير المتاحة له على مسؤوليته الخاصة.

هـ) إجراءات المراجعة الدورية (المادة 32، الفقرة 1، البند د من اللائحة العامة لحماية البيانات)

• يقوم معالج البيانات بمراجعة فعالية التدابير الفنية والتنظيمية المتخذة داخليًا بشكل منتظم.
• توجد إجراءات داخلية للاستجابة للحوادث الأمنية (الاستجابة للحوادث) من أجل التعامل مع الحوادث المحتملة في إطار القانوني.
• تخضع التدابير التقنية والتنظيمية لعملية تحسين مستمرة.

8.3 تعديل التدابير التقنية والتنظيمية تخضع التدابير التقنية والتنظيمية للتقدم التقني والتطوير المستمر. يحق لمعالج البيانات تنفيذ تدابير بديلة مناسبة، شريطة ألا يقل مستوى الأمان عن مستوى التدابير المحددة. يجب إخطار المسؤول بالتغييرات الجوهرية كتابةً.

§ 9 معالجي البيانات من الباطن

9.1 تعيين معالجي البيانات من الباطن يمنح المسؤول بموجب هذا معالج البيانات الإذن العام الكتابي (المادة 28 الفقرة 2 من اللائحة العامة لحماية البيانات) لإشراك معالجي بيانات آخرين (معالجي البيانات من الباطن). يضمن معالج البيانات أنه يختار معالجي البيانات من الباطن بعناية ويخضعهم تعاقديًا لنفس التزامات حماية البيانات المنصوص عليها في هذا العقد (المادة 28 الفقرة 4 من اللائحة العامة لحماية البيانات).

9.2 معالجي البيانات من الباطن المعتمدين حاليًا عند إبرام العقد، يعمل معالجي البيانات من الباطن التاليون لتقديم خدمات Biscotti CMP ويعتبرون معتمدين من قبل المسؤول. وقد تأكد معالج البيانات من أن الفرع المعني في الاتحاد الأوروبي يعمل كشريك تعاقدي مع مقدمي الخدمات الأمريكيين، وذلك للحفاظ على مستوى حماية البيانات المعمول به في الاتحاد الأوروبي:

9.3 نقل البيانات إلى دول ثالثة في حالة إجراء معالجة من قبل معالجين من الباطن خارج الاتحاد الأوروبي (EU) أو المنطقة الاقتصادية الأوروبية (EWR) (على سبيل المثال، في حالة إعادة الإرسال)، يضمن معالج البيانات استيفاء الشروط الخاصة المنصوص عليها في المادة 44 وما يليها من اللائحة العامة لحماية البيانات (GDPR). ويتم ذلك عادةً من خلال إبرام البنود التعاقدية القياسية (SCCs) الحالية الصادرة عن المفوضية الأوروبية بالاقتران مع تقييم أثر النقل (Transfer Impact Assessment) وتنفيذ تدابير تقنية إضافية (مثل التشفير).

9.4 تغيير أو إشراك معالجي بيانات من الباطن جدد سيقوم معالج البيانات بإبلاغ المسؤول عن أي تغيير مزمع فيما يتعلق بإشراك أو استبدال معالجي البيانات من الباطن. يتم الإبلاغ في شكل نصي (على سبيل المثال عبر البريد الإلكتروني إلى العنوان المسجل في الحساب) قبل 30 يومًا على الأقل من التغيير المزمع. يحق للمسؤول الاعتراض على التغيير لأسباب مهمة تتعلق بقانون حماية البيانات في غضون 14 يومًا من استلام الإخطار. في حالة عدم وجود اعتراض، يعتبر التغيير معتمدًا. في حالة وجود اعتراض مبرر لا يمكن لمعالج البيانات إزالته من خلال تدابير معقولة، يحق للمسؤول إنهاء العقد الرئيسي بشكل استثنائي في وقت سريان التغيير.

§ 10 الدعم في مجال حقوق الأشخاص المعنيين

10.1 واجب الدعم يدعم معالج البيانات المسؤول، قدر الإمكان، من خلال تدابير تقنية وتنظيمية مناسبة، في الوفاء بواجبه في الرد على طلبات ممارسة حقوق الأشخاص المعنيين المذكورة في الفصل الثالث من اللائحة العامة لحماية البيانات (المواد من 15 إلى 22 من اللائحة العامة لحماية البيانات) (المادة 28، الفقرة 3، البند (هـ) من اللائحة العامة لحماية البيانات).

10.2 التنفيذ التقني في Biscotti CMP تهدف Biscotti CMP إلى دعم المسؤول تقنيًا في أداء واجباته:

• حق الحصول على المعلومات (المادة 15 من اللائحة العامة لحماية البيانات) وحق نقل البيانات (المادة 20 من اللائحة العامة لحماية البيانات): يوفر البرنامج إمكانيات تصدير البيانات (على سبيل المثال بتنسيق CSV)، أو يمكن طلب تصدير معرّفات موافقة محددة من الدعم بما يتوافق مع قوانين حماية البيانات.
• حق الإلغاء (المادة 7 الفقرة 3 من اللائحة العامة لحماية البيانات): توفر شريط الموافقة في Biscotti CMP للمستخدمين النهائيين وظيفة استدعاء الإعدادات التي تم تحديدها وإلغائها في أي وقت.
• الحق في الحذف (المادة 17 من اللائحة العامة لحماية البيانات): يمكن للمسؤول حذف البيانات التي تم جمعها من خلال الوظائف المتوفرة في لوحة التحكم أو طلب حذفها من قسم الدعم مع تقديم دليل على ذلك.

10.3 إحالة الطلبات إذا مارست الشخص المعني حقوقه مباشرةً أمام معالج البيانات، فلن يرد معالج البيانات على الطلب بنفسه، بل سيحيل الشخص المعني على الفور إلى المسؤول، شريطة أن يكون من الممكن تحديد المسؤول بناءً على البيانات المتوفرة. يقوم معالج البيانات بإحالة الطلب على الفور إلى المسؤول.

§ 11 الدعم في تقييم الأثر المتعلق بحماية البيانات وواجبات الإبلاغ

11.1 تقييم أثر حماية البيانات (المادة 35 من اللائحة العامة لحماية البيانات) يدعم معالج البيانات المسؤول، مع مراعاة طبيعة المعالجة والمعلومات المتاحة له، في إجراء تقييم أثر حماية البيانات (DSFA) وفقًا للمادة 35 من اللائحة العامة لحماية البيانات (GDPR)، وكذلك في الاستشارة المسبقة للسلطة الإشرافية إذا لزم الأمر (المادة 36 من اللائحة العامة لحماية البيانات (GDPR)).

11.2 الإبلاغ عن انتهاكات حماية البيانات الشخصية يلتزم معالج البيانات بإبلاغ المسؤول كتابةً عن أي انتهاك لحماية البيانات الشخصية (خرق البيانات) يتعلق بالبيانات المعالجة بموجب العقد، على الفور، وفي موعد أقصاه 48 ساعة بعد علمه بذلك.

§ 12 حذف البيانات وإعادتها

12.1 الحذف بعد انتهاء العقد بعد الانتهاء من تقديم خدمات المعالجة (إنهاء العقد الرئيسي)، يلتزم معالج البيانات، وفقًا لاختيار المسؤول، إما بحذف جميع البيانات الشخصية أو إعادتها، ما لم يكن هناك التزام بحفظ البيانات الشخصية بموجب قانون الاتحاد الأوروبي أو قانون الدول الأعضاء (مثل التزامات الحفظ بموجب القانون التجاري والضريبي وفقًا لقانون التجارة الألماني وقانون الضرائب الألماني).

12.2 الإجراء القياسي لـ Biscotti CMP ما لم يصدر المسؤول تعليمات مخالفة، يسري الإجراء القياسي التالي: لدى المسؤول إمكانية نسخ بياناته احتياطيًا بنفسه قبل انتهاء العقد باستخدام وظيفة التصدير (CSV). بعد سريان الإلغاء وانقضاء فترة الفوترة، يتم تعطيل حساب المسؤول. يتم الاحتفاظ بالبيانات الشخصية المخزنة في الحساب لفترة انتقالية مدتها 30 يومًا (فترة الاحتفاظ) لتمكين الاستعادة في حالة التخفيض غير المقصود. بعد انقضاء هذه الأيام الثلاثين، يتم حذف البيانات بشكل نهائي ومتوافق مع قوانين حماية البيانات من الأنظمة الإنتاجية.

12.3 تأكيد الحذف يؤكد معالج البيانات للمسؤول، بناءً على طلبه الصريح، حذف البيانات وفقًا لقوانين حماية البيانات في شكل نصي.

§ 13 حقوق الرقابة والتدقيق

13.1 الحق في المراجعة يوفر معالج البيانات للمسؤول جميع المعلومات اللازمة لإثبات الامتثال للالتزامات المنصوص عليها في المادة 28 من اللائحة العامة لحماية البيانات (GDPR) وفي هذه الاتفاقية. كما يتيح إجراء عمليات المراجعة – بما في ذلك عمليات التفتيش – التي يجريها المسؤول أو مدقق معين من قبله وملتزم بالسرية، ويساهم في هذه العمليات.

13.2 إجراء عمليات التدقيق من أجل عدم تعريض أمن مراكز البيانات وسرية بيانات العملاء الآخرين (فصل العملاء) للخطر، يتفق الطرفان على الإجراء التالي لإجراء عمليات التدقيق:

• سيمارس المسؤول حقه في الرقابة بشكل أساسي من خلال طلب وتقييم الشهادات ذات الصلة (مثل ISO 27001) أو من خلال استبيانات مفصلة حول أمن تكنولوجيا المعلومات.
• إذا لم تكن هذه المعلومات كافية، يحق للمسؤول إجراء تفتيش ميداني في مقر شركة Campcruisers GmbH (Berliner Str. 21 B, 14612 Falkensee).
• يجب الإعلان عن عمليات التفتيش الميدانية مسبقًا بفترة زمنية مناسبة (عادةً ما لا تقل عن 14 يومًا).

§ 14 المسؤولية والتعويض

14.1 العلاقة الخارجية (تجاه الأشخاص المعنيين) يتحمل المسؤول والمعالج المسؤولية عن تعويض الأضرار تجاه الشخص المعني وفقًا للمادة 82 من اللائحة العامة لحماية البيانات (GDPR). لا يتحمل المعالج المسؤولية عن الضرر الناجم عن المعالجة إلا إذا لم يفِ بواجباته المنصوص عليها في اللائحة العامة لحماية البيانات (GDPR) أو إذا خالف التعليمات الصادرة بشكل قانوني من المسؤول.

14.2 العلاقة الداخلية (بين الأطراف) في العلاقة الداخلية، يعفي الطرفان بعضهما البعض من المسؤولية إذا أثبت أحد الطرفين أنه غير مسؤول بأي شكل من الأشكال عن الظرف الذي تسبب في وقوع الضرر.

14.3 حدود المسؤولية المنصوص عليها في العقد الرئيسي بالإضافة إلى ذلك، تسري أحكام المسؤولية المنصوص عليها في العقد الرئيسي (الشروط والأحكام العامة). تُستبعد المسؤولية عن الإهمال البسيط، ما لم يكن الأمر يتعلق بانتهاك التزامات تعاقدية جوهرية (التزامات أساسية). في هذه الحالة، تقتصر المسؤولية على الضرر المتوقع والمعتاد في هذا النوع من العقود.

§ 15 أحكام ختامية

15.1 الشكل الكتابي والتعديلات يجب أن تكون التعديلات والإضافات على هذا العقد في شكل نصي (مثل البريد الإلكتروني). يحتفظ معالج البيانات بالحق في تعديل هذا العقد لتكييفه مع الأوضاع القانونية المتغيرة أو التطورات التقنية. يتم إخطار المسؤول بالتعديلات عبر البريد الإلكتروني.

15.2 ترتيب الأولوية في حالة تعارض أحكام فردية من عقد معالجة البيانات هذا مع أحكام العقد الرئيسي (الشروط والأحكام العامة)، فإن أحكام عقد معالجة البيانات هذا لها الأسبقية فيما يتعلق بحماية البيانات وأمن البيانات.

15.3 بند الاستثناء : في حالة عدم سريان أو عدم قابلية تنفيذ أحكام فردية من هذا العقد، فإن ذلك لا يؤثر على سريان الأحكام المتبقية. تلتزم الأطراف باستبدال الحكم غير الساري أو غير القابل للتنفيذ بحكم ساري وقابل للتنفيذ.

15.4 القانون الواجب التطبيق والمكان المختص يخضع هذا العقد حصريًا لقانون جمهورية ألمانيا الاتحادية، مع استبعاد اتفاقية الأمم المتحدة بشأن عقود البيع الدولي للبضائع. المكان المختص الحصري لجميع النزاعات الناشئة عن هذا العقد أو المتعلقة به هو، بقدر ما يسمح به القانون، مقر معالج البيانات (فالكينسي). لغة العقد هي الألمانية.