اتفاقية معالجة البيانات

بين الروضة و4V3D OÜ، بشأن خدمة المجموعات في Minute Mission. الإصدار 1.0، 23 سبتمبر 2026.

هذه هي الترجمة العربية للاتفاقية. وهي منشورة أيضًا بالإنجليزية وبالإستونية، وهذان النصان هما النصان المُلزِمان، ويوقّع العملاء في إستونيا النص الإستوني. وإذا اختلفت هذه الترجمة عن النص الإنجليزي، فالنص الإنجليزي هو المعتمد.

كيف توافقون على هذه الاتفاقية

طريقتان، ولهما الأثر نفسه.

• عند إتمام الطلب. ضعوا علامة في المربع الذي يفيد بقبولكم هذه الاتفاقية، الإصدار 1.0. يُسجَّل رقم الإصدار وتاريخه في حسابكم، وتصلكم نسخة من النص الذي قبلتموه بالبريد الإلكتروني، ويبقى النص متاحًا في حسابكم.
• على الورق، إن كانت مؤسستكم تحتاج إلى توقيع. اطلبوا ذلك منا على info@4v3d.ee فنرسل إليكم النص نفسه في صورة مستند يتضمن جدولًا لبياناتكم. وقّعوه إلكترونيًا (توقيع مؤهَّل وفق eIDAS، أو DocuSign، أو Adobe Sign، أو المنظومة الوطنية لديكم) وأعيدوه إلينا. وتوقّع 4V3D OÜ الملف نفسه وتعيده إليكم. وتسري الاتفاقية من تاريخ آخر التوقيعين.

المعالج: 4V3D OÜ، رقم التسجيل 17515961، Asula tn 5-26, Kesklinna linnaosa, 11312 Tallinn، إستونيا. الممثل: Oskar Viil، عضو مجلس الإدارة. للتواصل: info@4v3d.ee.

1. ما الذي تغطيه هذه الاتفاقية

تستخدم الروضة (المتحكم في البيانات) تطبيق Minute Mission، وهو تطبيق ويب تشغّله 4V3D OÜ (المعالج)، تحتفظ فيه المعلمة بلوحة لمهام المجموعة ومكافآتها. ولتحقيق ذلك، تعالج 4V3D OÜ البيانات الشخصية الموصوفة في الملحق الثاني نيابةً عن الروضة وبناءً على تعليماتها.

وتتضمن هذه الاتفاقية كل ما تشترط Article 28(3) من GDPR، وكذلك UK GDPR، الاتفاق عليه كتابةً بين متحكم ومعالج. وهي تسري سواء أكانت الروضة قائمة في المنطقة الاقتصادية الأوروبية أو في المملكة المتحدة أم لا.

2. أي قانون ينطبق عليكم

• روضة في المنطقة الاقتصادية الأوروبية. ينطبق GDPR. وينطبق البند 3 أيضًا.
• روضة في المملكة المتحدة. ينطبق UK GDPR ويسري Data Protection Act 2018. وتُقرأ الإشارات إلى GDPR أدناه على أنها إشارات إلى UK GDPR، وتُقرأ الإشارة إلى الجهة الرقابية على أنها إشارة إلى مفوّض المعلومات (Information Commissioner)، ولا ينطبق البند 3.
• روضة في أي مكان آخر. ينطبق عليكم قانون حماية البيانات في بلدكم، وتسري هذه الشروط على 4V3D OÜ بوصفها التزامًا تعاقديًا. و4V3D OÜ قائمة في الاتحاد الأوروبي، ولذلك فهي ملزمة بـ GDPR في هذه المعالجة على أي حال. ولا ينتقص أي شيء هنا من حق يمنحكم إياه قانون بلدكم.

3. البنود التعاقدية النموذجية الصادرة عن المفوضية الأوروبية

حين تكون الروضة قائمة في المنطقة الاقتصادية الأوروبية، يطبّق الطرفان البنود التعاقدية النموذجية بين المتحكمين في البيانات والمعالجين، الواردة في ملحق قرار المفوضية التنفيذي Decision (EU) 2021/915، بصيغتها الإنجليزية الرسمية. وتشكّل تلك البنود جزءًا من هذه الاتفاقية، والملاحق أدناه هي ملاحقها. ولا ينطبق Clause 5 (الانضمام). وفي Clause 7.7 ينطبق الخيار 2: تفويض كتابي عام بالمعالجين الفرعيين، مع إشعار مدته 30 يومًا بأي تغيير. وإذا تعارضت البنود مع هذه الاتفاقية، فالبنود هي الغالبة.

4. ما يتعهد به كل طرف

تتعهد 4V3D OÜ بما يلي:

• ألا تعالج البيانات الشخصية إلا لتقديم الخدمة، وألا تعالجها إلا بناءً على تعليمات الروضة الموثَّقة، بما في ذلك ما يتعلق بنقل البيانات إلى بلد ثالث. وهذه الاتفاقية واستخدام الروضة للخدمة هما تلك التعليمات. وإذا ألزم قانونُ الاتحاد الأوروبي أو قانونُ إحدى دوله الأعضاء 4V3D OÜ بمعالجة البيانات على نحو آخر، فستُخبر الروضة قبل ذلك ما لم يمنعها ذلك القانون من الإخبار.
• ألا تستخدم البيانات لأغراضها الخاصة أبدًا، وألا تبيعها أبدًا، وألا تستخدمها في تدريب أي نظام أبدًا، وألا تطلع عليها أحدًا خارج المعالجين الفرعيين المذكورين في الملحق الرابع.
• أن تتأكد من أن كل من له حق الوصول ملزَم بالسرية.
• أن تحافظ على التدابير الأمنية الواردة في الملحق الثالث وألا تُضعفها.
• ألا تستعين إلا بالمعالجين الفرعيين المذكورين في الملحق الرابع. ويجوز لـ 4V3D OÜ أن تضيف معالجًا فرعيًا أو تستبدله، على أن تُخطر جهة الاتصال لدى الروضة كتابةً قبل 30 يومًا. وللروضة أن تعترض خلال تلك الثلاثين يومًا؛ وإذا تعذّر حل الاعتراض، جاز للروضة إنهاء الخدمة واسترداد قيمة الجزء غير المستخدم من الشهر.
• أن تساعد الروضة في الرد على طلب من أحد أولياء الأمور أو من أحد العاملين. فالمعلمات والمديرة يستطعن أصلًا الاطلاع على هذه البيانات وتصحيحها وتصديرها وحذفها داخل الخدمة بأنفسهن. وإذا وصل الطلب إلى 4V3D OÜ بدلًا من ذلك، فإنه يُحال إلى جهة الاتصال لدى الروضة خلال خمسة أيام عمل ولا يُرد عليه مباشرة.
• أن تساعد الروضة في التزاماتها بموجب Articles 32 to 36 (الأمن، والإبلاغ عن الانتهاكات، وتقييمات الأثر، والتشاور المسبق)، مع مراعاة ما تعلمه 4V3D OÜ فعليًا.
• أن تبلّغ جهة الاتصال لدى الروضة بأي انتهاك للبيانات الشخصية خلال 24 ساعة من علمها به، بما هو معروف وقتها، ثم بما يستجد فور ثبوته.
• عند انتهاء الخدمة، أن تحذف البيانات خلال 30 يومًا، أو أن تعيدها أولًا إن طلبت الروضة ذلك. وتختفي البيانات من النسخ الاحتياطية المشفّرة خلال 90 يومًا. وتؤكد 4V3D OÜ كتابةً متى زالت البيانات.
• أن تتيح المعلومات اللازمة لإثبات الوفاء بهذه الالتزامات، وأن تسمح بإجراء تدقيق. وعمليًا يعني ذلك ردودًا كتابية ووثائق عند الطلب. ويمكن ترتيب تدقيق ميداني أو تدقيق عبر طرف ثالث بإشعار مدته 30 يومًا، على نفقة الروضة، بما لا يزيد على مرة واحدة في السنة ما لم يقع انتهاك.
• أن تبلّغ الروضة فورًا إذا بدا أن تعليمًا ما يخالف قانون حماية البيانات.

وتتعهد الروضة بما يلي:

• أن تتأكد من وجود أساس قانوني لهذه المعالجة ومن أن أولياء الأمور قد أُبلغوا. فـ 4V3D OÜ لا ترى أولياء الأمور ولا يمكنها القيام بذلك نيابةً عنكم.
• أن تحصر البيانات المدخلة في الخدمة في ما يصفه الملحق الثاني. وعلى وجه الخصوص، لا تكتبوا في أي حقل نص حر اسم عائلة طفل، أو معلومات صحية، أو تقييمًا لطفل، أو أي شيء عن ظروف أسرة.
• أن تحافظ على صحة بيانات حسابها، وأن تبلّغ 4V3D OÜ عند تغيّر جهة الاتصال.
• أن تدير حسابات العاملين لديها بنفسها: فتُلغي حساب دخول المعلمة عند تركها العمل.

5. أمران لا يُعدّان معالجة نيابةً عنكم

نقولهما هنا بوضوح حتى لا يضطر أحد إلى التخمين لاحقًا.

• حسابات العاملين. اسم المعلمة أو المديرة وبريدها الإلكتروني وكلمة مرورها أمور لازمة لتشغيل الخدمة أصلًا، و4V3D OÜ هي من يقرر كيفية تشغيلها. ولهذا الغرض الضيق تكون 4V3D OÜ هي المتحكم في البيانات لا المعالج، وتنطبق سياسة الخصوصية الخاصة بها. أما كل ما يتعلق بالأطفال فهو معالجة نيابةً عن الروضة وتغطيه هذه الاتفاقية.
• الدفع مقابل الخدمة. إذا دفعت الروضة بالبطاقة، تتولى Stripe Payments Europe Ltd تنفيذ الدفع. وتتلقى Stripe اسم الروضة في الفاتورة وعنوانها ورقمها الضريبي وبريدها الإلكتروني وبيانات بطاقتها، ولا تتلقى أي بيانات عن أي طفل. و4V3D OÜ هي المتحكم في بيانات الفوترة هذه. ولذلك فإن Stripe ليست معالجًا فرعيًا بموجب هذه الاتفاقية وليست مدرجة في الملحق الرابع.

6. المدة والقانون والمسؤولية

تسري هذه الاتفاقية ما دامت 4V3D OÜ تعالج بيانات الروضة، وتبقى سارية بعد انتهاء الخدمة إلى أن تُحذف البيانات.

وينطبق القانون الإستوني، وتختص محاكم مقاطعة هاريو بالنظر في النزاعات، ما لم تكن الروضة جهة عامة تُلزمها قواعدها الخاصة بقانونها الوطني ومحاكمها الوطنية، وعندئذ يتفق الطرفان على ذلك قبل التوقيع.

والمسؤولية على النحو المبيّن في شروط استخدام Minute Mission، وهذه الاتفاقية مكمّلة لها وليست بديلًا عنها.

الملحق الأول. الطرفان

المتحكم في البيانات: الروضة، محدَّدة بالبيانات التي تدخلها عند إتمام الطلب أو تملؤها في النسخة الموقَّعة. الدور: المتحكم في بيانات الأطفال المحفوظة على لوحة المجموعة.

المعالج: 4V3D OÜ، رقم التسجيل 17515961، Asula tn 5-26, Kesklinna linnaosa, 11312 Tallinn، إستونيا. للتواصل: Oskar Viil، عضو مجلس الإدارة، info@4v3d.ee. ولم يُعيَّن مسؤول لحماية البيانات، لأن GDPR لا يوجب ذلك هنا.

ولكل طرف أن يغيّر جهة الاتصال لديه بإخطار الطرف الآخر كتابةً.

الملحق الثاني. وصف المعالجة

الملحق الثالث. التدابير الأمنية

• البيانات داخل الاتحاد الأوروبي. يعمل التطبيق ونسخه الاحتياطية في مركز بيانات Hetzner Online GmbH في هلسنكي بفنلندا (الحاصل على شهادة ISO/IEC 27001). ويُرسَل بريد الخدمة عبر Scaleway SAS في فرنسا. ولا يوجد أي نقل إلى بلد ثالث.
• كل ما يُنقل مشفَّر (HTTPS، مع Content Security Policy مفعّلة). ولا تُخزَّن كلمات المرور أبدًا، بل بصمتها التشفيرية فقط، وتُخزَّن رموز الجلسات على هيئة بصمة كذلك، فنسخة من قاعدة البيانات ليست مجموعة مفاتيح صالحة.
• كل مجموعة حساب مستقل. فالمعلمة ترى أطفال مجموعتها فقط. وللمديرة حساب دخول واحد لمجموعاتها هي، ولا وصول لها إلى مجموعات غيرها.
• لا يمكن رفع صور فوتوغرافية إلى حساب مجموعة، والإشعارات الفورية مغلقة، وصور الأطفال مقصورة على مجموعة من الرسوم.
• نسخ احتياطية يومية مشفّرة، تُحفظ 14 يومًا على الخادم و90 يومًا خارجه. وهي مشفّرة بمفتاح عام لا يملكه الخادم نفسه، فلا يستطيع الخادم قراءة نسخه الاحتياطية. وقد جُرّبت الاستعادة من نسخة احتياطية.
• الوصول إلى الخادم مقصور على عضو مجلس إدارة 4V3D OÜ. فلا يوجد موظف ولا متعاقد ولا وكيل دعم لديه حق الوصول.
• لا تحليلات ولا أدوات إعلانية ولا تتبّع من أي نوع. والتقرير الدوري الوحيد هو عدّ يومي للتسجيلات الجديدة والحسابات النشطة والأخطاء، ولا يحتوي على أي أسماء.
• تحديد لعدد المحاولات عند تسجيل الدخول وإنشاء الحساب، وحدّ 30 يومًا لمدى الرجوع في تعليم مهمة بأنها منجزة، حتى لا يعيد خطأ أو إساءة استخدام كتابة أشهر من السجل.
• مراجعة أمنية مكتوبة للشيفرة المصدرية كاملةً، أُجريت مرتين بواسطة نموذج خارجي، آخرها في 20 سبتمبر 2026، وأُغلقت نتائجها.

الملحق الرابع. المعالجون الفرعيون

وكلاهما داخل الاتحاد الأوروبي. ولا يوجد معالج فرعي خارج الاتحاد الأوروبي، ولا نقل دولي يستدعي التقييم.