1.الأطراف والصفة
تعد هذه الاتفاقية ملحقاً للعقد المبرم بين المدرسة أو الدار أو الجهة التعليمية وبين مؤسسة درب حلول وارتقاء - منصة درب. تكون الجهة التعليمية جهة التحكم عندما تحدد أغراض ووسائل معالجة البيانات، وتعمل منصة درب كجهة معالجة بالقدر الذي تعالج فيه البيانات نيابة عنها.
2.موضوع المعالجة ومدتها
موضوع المعالجة هو استضافة وتشغيل وإدارة خدمات منصة درب التعليمية والإدارية. وتستمر المعالجة طوال مدة العلاقة التعاقدية وأي مدة لاحقة لازمة لإعادة البيانات أو حذفها وفق التعليمات والالتزامات النظامية.
3.طبيعة وأغراض المعالجة
قد تشمل العمليات الجمع والتنظيم والتخزين والعرض والاسترجاع والتحديث وإعداد التقارير والنسخ الاحتياطي والإرسال المصرح به والحذف. وتقتصر الأغراض على تقديم خدمات المنصة والدعم والأمن والامتثال للتعليمات الموثقة.
4.أصحاب البيانات وفئاتها
قد تشمل أصحاب البيانات الطلاب وطلاب الحلقات والمستفيدين وأولياء الأمور والمعلمين والمحفظين والإداريين وموظفي الجهة التعليمية. وقد تشمل البيانات بيانات التعريف والاتصال والحساب والصلاحيات والسجلات التعليمية والحضور والواجبات والتقييمات والحفظ والتلاوة والمراسلات والملفات وسجلات الاستخدام التقنية. وقد تشمل البيانات، بحسب ما تسجله الجهة التعليمية، فئات حساسة منها الحالات الصحية للطلاب (ضعف البصر أو السمع، والحساسية والربو، والحالات المزمنة أو الجراحية، والحالات السلوكية والنمائية) مع وصف الحالة والإجراء المطلوب عند وقوعها والتوصيات، والحالات الخاصة (الاجتماعية والمادية والمتعلقة بالحضانة)، ومرفقات أعذار الغياب التي قد تتضمن تقارير طبية؛ إضافة إلى سجلات الاستئذان والانصراف وبيانات من يستلم الطالب، وحضور الحصص، والنقاط والمكافآت، والتعاميم، واشتراكات إشعارات المتصفح. وقد يُستخدم رقم الهوية الوطنية أو الإقامة ورقم جوال ولي الأمر معرّفين للدخول إلى المنصة.
5.تعليمات جهة التحكم
تعالج منصة درب البيانات فقط وفق تعليمات الجهة التعليمية الموثقة والعقد، ما لم يوجب النظام خلاف ذلك. وإذا تبين للمنصة أن تعليماً قد يتعارض مع متطلبات حماية البيانات، تتم معالجة الأمر مع الجهة وفق ما يسمح به النظام.
6.السرية والموظفون
تضمن منصة درب قصر الوصول على من تستلزم مهامهم ذلك، وإلزام الأشخاص المخولين بالسرية والتوعية الأمنية، وسحب الصلاحيات عند انتهاء الحاجة.
7.التدابير الأمنية
تطبق منصة درب تدابير مناسبة للمخاطر، ومنها إدارة الهوية والصلاحيات، حماية بيانات الدخول، التشفير المناسب، النسخ الاحتياطي والتعافي، تسجيل الأحداث، تحديث الأنظمة، إدارة الثغرات، الفصل بين الصلاحيات والاستجابة للحوادث. وتشمل هذه التدابير على وجه التحديد: تخصيص قاعدة بيانات مستقلة للجهة التعليمية لا تشترك في أي جدول مع غيرها من الجهات، مع سياسات أمان على مستوى الصف داخلها؛ وتشفير جميع الاتصالات ببروتوكول TLS؛ ونسخاً احتياطية مشفّرة لا يُحفظ مفتاح فكّ تشفيرها على أي خادم وتُختبر قابلية استعادتها آلياً؛ والتحقق الثنائي الإجباري لجميع مشغّلي المنصة وتخزين كلمات مرورهم بصيغة مجزّأة غير قابلة للاسترجاع؛ وصلاحيات قائمة على الأدوار بمبدأ الرفض ما لم يُسمح؛ وسجل تدقيق داخل قاعدة بيانات الجهة التعليمية يقيّد كل تعديل على البيانات الأساسية؛ وصلاحية مستقلة لإدارة الحالات الصحية مع مستويات رؤية تحددها الجهة التعليمية.
8.المعالجون الفرعيون
يجوز لمنصة درب الاستعانة بمعالجين فرعيين عند الحاجة التشغيلية بعد فرض التزامات مناسبة لحماية البيانات عليهم. ويخضع أي نقل أو إتاحة للبيانات خارج المملكة للمتطلبات النظامية ذات الصلة. وتُدرج قائمة المعالجين الفرعيين المعتمدين في تاريخ نفاذ هذه الاتفاقية، ودور كل منهم وموقع معالجته، في القسم 15 منها. وتلتزم منصة درب بإخطار الجهة التعليمية كتابياً قبل 30 يوماً على الأقل من إضافة معالج فرعي جديد أو استبدال معالج قائم، ويكون للجهة التعليمية خلال هذه المدة حق الاعتراض لأسباب معقولة تتعلق بحماية البيانات، ويتشاور الطرفان بحسن نية للوصول إلى حل قبل بدء المعالجة بواسطة المعالج الفرعي الجديد. ويخضع أي معالج فرعي يعمل خارج المملكة لأحكام لائحة نقل البيانات الشخصية إلى خارج المملكة.
9.طلبات أصحاب البيانات
تساعد منصة درب الجهة التعليمية - بالقدر المعقول والمتاح فنياً - في الاستجابة لطلبات أصحاب البيانات. وإذا وصل طلب مباشرة إلى المنصة بشأن بيانات تتحكم بها الجهة التعليمية، تتم إحالته إليها متى كان ذلك مناسباً نظاماً. وتحيل منصة درب أي طلب يصلها بشأن بيانات تتحكم بها الجهة التعليمية دون تأخير، وتوفر لها ما يلزم فنياً بما يمكّنها من الرد على صاحب البيانات خلال 30 يوماً من استلام الطلب وفق نظام حماية البيانات الشخصية ولوائحه. كما تتيح بوابة ولي الأمر في المنصة لولي الأمر الاطلاع المباشر على بيانات أبنائه، وتتيح المنصة لموظفي الجهة التعليمية المخولين تصحيح البيانات وتصديرها من داخلها.
10.الحوادث والإخطار
تخطر منصة درب الجهة التعليمية خلال 48 ساعة من علمها بحادثة تمس بيانات الجهة التعليمية. ويتضمن الإخطار، بالقدر المتاح وقت إرساله ويُستكمل تباعاً: طبيعة الحادثة وظروفها، وفئات السجلات وأصحاب البيانات المتأثرين وعددهم التقريبي، والآثار المحتملة للحادثة، والتدابير التي اتُّخذت أو يُقترح اتخاذها لمعالجتها والتخفيف من آثارها، وبيانات جهة التواصل بشأنها. ويُقصد بهذا التوقيت تمكين الجهة التعليمية بوصفها جهة التحكم من الوفاء بالتزامها بإخطار الهيئة السعودية للبيانات والذكاء الاصطناعي (سدايا) خلال 72 ساعة من علمها بالحادثة وفق نظام حماية البيانات الشخصية ولوائحه، وإخطار أصحاب البيانات متى كان ذلك واجباً. ويتعاون الطرفان في التحقيق والاحتواء وتنفيذ الالتزامات النظامية ذات الصلة، وتوثق منصة درب الحادثة وإجراءات معالجتها.
11.تقييم الأثر والامتثال
تقدم منصة درب المعلومات المعقولة اللازمة لإثبات الالتزام فيما يخص خدماتها، وتتعاون في تقييم أثر معالجة البيانات عندما تكون المعالجة عالية المخاطر ويكون التقييم مطلوباً نظاماً.
12.التدقيق
يجوز للجهة التعليمية طلب معلومات امتثال أو تدقيق معقول يتعلق بالمعالجة، مع مراعاة أمن المنصة وسرية عملائها الآخرين وعدم تعطيل الخدمة، ويمكن الاتفاق على تقارير أو أدلة بديلة عند كفايتها.
13.إعادة البيانات وحذفها
تتيح منصة درب للجهة التعليمية طوال مدة العقد تصدير تقاريرها بصيغة Excel في أي وقت. وعند انتهاء العقد، تسلّم منصة درب الجهة التعليمية بناءً على طلبها نسخة كاملة من بياناتها بصيغة قابلة للاستخدام، ثم تحذف بياناتها كافة، بما فيها سجل التدقيق الخاص بها، من الأنظمة التشغيلية خلال 30 يوماً من انتهاء العقد. وقد تبقى نسخ من البيانات في النسخ الاحتياطية المشفّرة، غير المستخدمة تشغيلياً، مدة لا تتجاوز 12 شهراً ثم تُزال آلياً عند انتهاء دورة احتفاظها. وتقدم منصة درب للجهة التعليمية تأكيداً كتابياً بإتمام الحذف عند طلبها. ولا يخل ذلك بما يوجب النظام الاحتفاظ به، وعندئذ تُبلَّغ الجهة التعليمية بنطاق ما احتُفظ به وسببه.
14.الأولوية والنفاذ
في حال التعارض بين هذه الاتفاقية والعقد الرئيسي بشأن حماية البيانات، تطبق الأحكام الأكثر تخصيصاً لحماية البيانات بما لا يخالف الأنظمة النافذة. ويكون تاريخ نفاذ الاتفاقية هو تاريخ نفاذ العقد أو التاريخ المتفق عليه بين الطرفين.
15.ملحق المعالجين الفرعيين المعتمدين
يبين هذا الملحق المعالجين الفرعيين الذين تستعين بهم منصة درب في تاريخ نفاذ هذه الاتفاقية، ودور كل منهم، وما إذا كانت معالجته تجري داخل المملكة أو خارجها. ويُحدَّث هذا الملحق وفق آلية الإخطار والاعتراض المبينة في القسم 8، وتُنشر نسخته السارية مع هذه الاتفاقية على الموقع darbone.sa.
Oracle Cloud Infrastructure: الدور: استضافة خوادم المنصة وقواعد البيانات والملفات المرفوعة والنسخ الاحتياطية. الموقع: داخل المملكة، منطقة الرياض.
Resend: الدور: إرسال رسائل البريد الإلكتروني التشغيلية، مثل تأكيد الطلبات ودعوات المستخدمين، ويقتصر ما يعالجه على عنوان البريد الإلكتروني للمستلم ومحتوى الرسالة التشغيلية. الموقع: خارج المملكة.
Microsoft 365: الدور: استقبال المراسلات الواردة إلى البريد الإلكتروني info@darbone.sa وحفظها. الموقع: لا تحدد هذه الاتفاقية موقع معالجة بعينه لهذه الخدمة، وتسري عليها أحكام القسم 8 بشأن أي إتاحة للبيانات خارج المملكة.
Cloudflare: الدور: إدارة أسماء النطاقات للموقع والمنصة فقط، ولا يمر عبر Cloudflare أي محتوى من محتوى المنصة ولا تطّلع عليه. الموقع: لا ينطبق، إذ لا تعالج بيانات شخصية من بيانات الجهة التعليمية.
خدمات إشعارات المتصفحات (Google وApple وMozilla): الدور: توصيل الإشعارات الفورية إلى أجهزة المستخدمين الذين اشتركوا فيها من متصفحاتهم، ويكون محتوى الإشعار مشفّراً ولا تطّلع عليه هذه الخدمات. الموقع: خارج المملكة.
Meta (WhatsApp Business): عند تفعيل خدمة واتساب فقط. الدور: إرسال الإشعارات والرسائل التي تحددها الجهة التعليمية إلى أرقام المستلمين الذين اشتركوا في استلامها وفق سياسات Meta. الموقع: خارج المملكة. ولا تُعد Meta معالجاً فرعياً قبل التفعيل، إذ لا ترسل خوادم منصة درب أي بيانات إليها في الوضع الحالي.
بيانات التواصل
الموقع الإلكتروني: darbone.sa
البريد الإلكتروني: info@darbone.sa
خدمة العملاء: 0555784120