اتفاقية معالجة البيانات

تاريخ المراجعة: 17 أكتوبر 2026

تاريخ السريان: التاريخ المحدد في إشعار النشر، بعد انقضاء مدة الإشعار المسبق المعمول بها.

المشغّل: 360 Agency Middle East FZ LLC، المدينة الإبداعية، الفجيرة، الإمارات العربية المتحدة

التواصل: admin@stafffinder.io | الموقع الإلكتروني: www.stafffinder.io

تنظّم هذه الاتفاقية فقط معالجة البيانات الشخصية التي تجريها Staff Finder فعلياً بناءً على تعليمات موثقة من صاحب العمل. وهي تكمّل شروط وأحكام أصحاب العمل. ولا تنقل إلى أصحاب العمل السيطرة على قاعدة بيانات المرشحين الخاصة بـ Staff Finder أو على إجراءات التحقق التي تجريها.

1. مقدمة

تُعد اتفاقية معالجة البيانات هذه (DPA) جزءاً من شروط وأحكام أصحاب العمل، وتسري حيثما يشترط قانون حماية البيانات المعمول به وجود ترتيب بين جهة تحكم وجهة معالجة بشأن خدمة محددة مقدمة لصاحب العمل. وتكون الأولوية للمتطلبات الإلزامية في المرسوم بقانون اتحادي إماراتي رقم 45 لسنة 2021 وأي قانون آخر معمول به لحماية البيانات. ولا يُعد أي نشاط أو خدمة نشاط معالجة لحساب الغير لمجرد استخدام صاحب العمل للمنصة.

2. أدوار الأطراف

بالنسبة للمعالجة التي تُجرى حصراً بناءً على تعليمات موثقة من صاحب العمل، تعمل شركة 360 Agency Middle East FZ LLC بصفة جهة معالجة ويعمل صاحب العمل بصفة جهة تحكم. ويحدد النشاط الفعلي الأدوار.

وتعمل Staff Finder بصفة جهة تحكم مستقلة فيما يتعلق بقاعدة بيانات المرشحين لديها، وتسجيل المرشحين، والتحقق، والتقييمات المهنية، والمطابقة، والعرض والظهور، وأمن المنصة، والمدفوعات، والإدارة التجارية. ويعمل أصحاب العمل بصفة جهات تحكم مستقلة فيما يتعلق بقراراتهم الخاصة بالتوظيف وتعاملاتهم مع المرشحين واستخدامهم اللاحق للبيانات المُفصح عنها. وتخرج أنشطة جهات التحكم المستقلة هذه عن نطاق التزامات جهة المعالجة الواردة في هذه الاتفاقية، وتخضع للقانون المعمول به وسياسة الخصوصية وشروط وأحكام أصحاب العمل.

3. نطاق المعالجة

حيثما تُقدَّم المعالجة بناءً على تعليمات صاحب العمل حصراً، فقد تشمل استضافة سجلات التوظيف التي يتحكم بها صاحب العمل وتسهيل الاتصالات أو سير العمل داخل حساب صاحب العمل. وموضوع المعالجة هو الخدمة المتفق عليها لصاحب العمل؛ ومدتها هي مدة الخدمة وفترة الحذف المنصوص عليها في المادة 10. وقد تشمل العمليات الجمع والتخزين والتنظيم والنقل والتحكم في الوصول والحذف لأغراض تلك الخدمة. وتخرج عن نطاق المعالجة هذا قاعدة بيانات المرشحين التي تحددها Staff Finder باستقلالية، والتحقق، والمطابقة، والأمن، ومعالجة المدفوعات.

4. أنواع البيانات التي تُعالج

ضمن خدمة المعالجة، قد تشمل البيانات أسماء المرشحين وممثلي أصحاب العمل وبيانات التواصل الخاصة بهم، والمراسلات المتعلقة بالتوظيف، وسجلات المقابلات أو الطلبات، والمعلومات التي يقدمها صاحب العمل واللازمة لسير العمل المتفق عليه. وأصحاب البيانات هم المرشحون المعنيون، والمرجعون عند الاقتضاء، وممثلو أصحاب العمل. ويجب على صاحب العمل ألا يصدر تعليمات بمعالجة بيانات حساسة غير ضرورية أو معايير توظيف غير قانونية. وتتطلب خدمات المعالجة الإضافية عالية المخاطر أو المختلفة جوهرياً نطاقاً موثقاً محدّثاً قبل المعالجة.

5. التزامات جهة المعالجة

يجب على جهة المعالجة:

(a) معالجة البيانات الشخصية فقط بناءً على تعليمات موثقة من جهة التحكم، بما في ذلك ما يتعلق بعمليات النقل، ما لم يقتضِ القانون المعمول به خلاف ذلك، وفي هذه الحالة تُبلغ جهة المعالجة جهة التحكم قبل المعالجة ما لم يحظر القانون ذلك؛

(b) عدم معالجة البيانات الشخصية لأي غرض غير الأغراض المحددة في هذه الاتفاقية وشروط وأحكام أصحاب العمل، وعدم بيع البيانات الشخصية أو تأجيرها أو استخدامها بأي صورة أخرى لأغراضها التجارية الخاصة بما يتجاوز تشغيل المنصة؛

(c) ضمان خضوع جميع العاملين المصرح لهم بمعالجة البيانات الشخصية لالتزامات سرية ملزمة؛

(d) مساعدة جهة التحكم، بالقدر المعقول الممكن ومع مراعاة طبيعة المعالجة، في الاستجابة لطلبات ممارسة حقوق أصحاب البيانات (الاطلاع والتصحيح والمحو والتقييد ونقل البيانات) بموجب القانون المعمول به؛

(e) مساعدة جهة التحكم في ضمان الامتثال لالتزامات الأمن ومتطلبات الإبلاغ عن الانتهاكات وتقييمات الأثر على حماية البيانات والتزامات التشاور المسبق بموجب القانون المعمول به؛

(f) الاحتفاظ بسجلات لأنشطة المعالجة المنفذة نيابة عن جهة التحكم وفقاً لما تقتضيه المادة 8(7) من PDPL؛

(g) إتاحة جميع المعلومات اللازمة لإثبات الامتثال لهذه الاتفاقية لجهة التحكم، والسماح بعمليات التدقيق والتفتيش التي تجريها جهة التحكم أو من ينوب عنها والمساهمة فيها، بناءً على إشعار كتابي مسبق معقول لا تقل مدته عن 10 أيام عمل.

6. التدابير الأمنية

تطبّق جهة المعالجة تدابير تقنية وتنظيمية مناسبة لحماية البيانات الشخصية من الوصول غير المصرح به أو الفقدان أو التلف أو التعديل أو إساءة الاستخدام. وتشمل هذه التدابير ضوابط الوصول، والتشفير أثناء النقل وفي حالة السكون، والمراجعات الأمنية الدورية، والبنية التحتية الآمنة التي توفرها خدمات استضافة سحابية معتمدة. وتُراجع التدابير وتُحدَّث دورياً بما يتماشى مع المخاطر المتغيرة.

7. الإخطار بانتهاك البيانات الشخصية

عند علم جهة المعالجة بوقوع انتهاك للبيانات الشخصية يمس البيانات المعالجة بموجب هذه الاتفاقية، يجب عليها إخطار جهة التحكم دون تأخير غير مبرر، وفي جميع الأحوال خلال 72 ساعة من علمها، أو في وقت أقرب إذا اقتضى القانون المعمول به ذلك. ويتضمن الإخطار، بالقدر المتاح: طبيعة الانتهاك؛ وفئات أصحاب البيانات والسجلات المتأثرة وعددهم التقريبي؛ والعواقب المحتملة؛ والتدابير المتخذة أو المقترحة لمعالجة الانتهاك.

ويجب على جهة المعالجة التعاون مع جهة التحكم في أي إخطارات مطلوبة إلى الجهات التنظيمية أو أصحاب البيانات المتأثرين.

8. جهات المعالجة الفرعية

يمنح صاحب العمل تفويضاً كتابياً عاماً باستخدام جهات معالجة فرعية لخدمة المعالجة المتفق عليها، مع مراعاة هذه المادة وجدول الخدمة المعمول به. ويجب تحديد جهات المعالجة الفرعية ذات الصلة الحالية ومهامها ومواقعها وترتيبات النقل الخاصة بها وإتاحتها قبل بدء نشاط المعالجة المعني. وتفرض جهة المعالجة التزامات مكافئة مناسبة وتبقى مسؤولة عن أداء جهة المعالجة الفرعية وفقاً لما يقتضيه القانون ومع مراعاة المادة 12. ولا يُعد المزوّد المستخدم فقط في عمليات Staff Finder بصفتها جهة تحكم مستقلة جهة معالجة فرعية لصاحب العمل بصورة تلقائية.

وتُخطر جهة المعالجة جهة التحكم بأي تغييرات مزمعة في قائمة جهات المعالجة الفرعية (إضافات أو استبدالات) عن طريق تحديث الجدول (أ) وتوجيه إشعار عبر المنصة أو البريد الإلكتروني. ويجوز لجهة التحكم الاعتراض على أي جهة معالجة فرعية جديدة خلال 14 يوماً من الإخطار لأسباب معقولة تتعلق بحماية البيانات، بمراسلة admin@stafffinder.io. وإذا تعذر على الطرفين تسوية الاعتراض، يجوز لجهة التحكم إنهاء الخدمات المتأثرة دون غرامة.

9. عمليات النقل الدولية

لا تنقل جهة المعالجة البيانات بموجب هذه الاتفاقية إلا بناءً على تعليمات موثقة، بما في ذلك إعدادات الخدمة المتفق عليها، أو وفقاً لما يقتضيه القانون. وقبل أي نقل عبر الحدود، تضع جهة المعالجة آلية أو استثناءً يجيزه فعلاً كل قانون معمول به، وأي ضمانات تكميلية لازمة. ولا يُفترض أن عقد المزوّد أو إطار الخصوصية الأجنبي يشكّل آلية نقل معتمدة بموجب القانون الإماراتي. وحيثما تسري قواعد النقل في GDPR، يجب أيضاً استيفاء متطلبات الفصل الخامس من GDPR ذات الصلة.

تتوفر تفاصيل آليات النقل المطبقة على كل جهة معالجة فرعية عند الطلب عن طريق التواصل مع admin@stafffinder.io.

10. الاحتفاظ بالبيانات وما بعد الإنهاء

عند إنهاء خدمة المعالجة، أو عند صدور تعليمات موثقة صحيحة، تقوم جهة المعالجة، بحسب اختيار جهة التحكم، بحذف البيانات التي عولجت حصراً نيابةً عنها أو إعادتها خلال 30 يوماً، ما لم يقتضِ القانون الاحتفاظ بها أو تسرِ مدة أقصر. ولا يتيح ذلك لصاحب العمل المطالبة بحذف قاعدة بيانات المرشحين بأكملها التي تتحكم بها Staff Finder باستقلالية أو إعادتها. ويجري التعامل مع حذف حساب المرشح وفقاً لسياسة الخصوصية، بما في ذلك الإزالة الفورية من ظهوره لأصحاب العمل والحذف خلال 48 ساعة مع مراعاة استثناءات قانونية محدودة. وتُقيَّد السجلات المحتفظ بها بغرضها المشروع.

11. حقوق أصحاب البيانات

يجوز للمستخدمين طلب الاطلاع على بياناتهم الشخصية أو تصحيحها أو تقييدها أو حذفها وفقاً لـ PDPL وقوانين حماية البيانات المعمول بها الأخرى. وينبغي توجيه هذه الطلبات إلى admin@stafffinder.io. وستساعد جهة المعالجة جهة التحكم في الرد على الطلبات ضمن المهل التي يقتضيها القانون المعمول به.

12. المسؤولية والتبعة القانونية

يتحمل كل طرف المسؤولية عن امتثاله لهذه الاتفاقية ولقانون حماية البيانات المعمول به. ولا تنشأ أي مسؤولية إلا عند ثبوت المتطلبات القانونية المعمول بها لقيام تلك المسؤولية. ولا تنشئ هذه الاتفاقية استحقاقاً تلقائياً للتعويض.

وبأقصى حد يسمح به القانون المعمول به، لا تقوم جهة المعالجة بتعويض جهة التحكم أو الدفاع عنها أو إبراء ذمتها من الغرامات والجزاءات ومطالبات الغير وأتعاب المحاماة والتسويات أو الخسائر الأخرى. ولا يجوز لجهة التحكم إلزام جهة المعالجة بتسوية أو إقرار أو التزام بالدفع دون موافقة كتابية مسبقة من جهة المعالجة. ولا يمنع ذلك محكمة أو سلطة مختصة من فرض المسؤولية حيثما يقتضي القانون المعمول به ذلك.

وبأقصى حد يسمح به القانون المعمول به، لا تتحمل جهة المعالجة المسؤولية عن الخسائر الناتجة عن تعليمات جهة التحكم غير القانونية، أو إساءة استخدامها للبيانات الشخصية أو إفصاحها عنها دون إذن، أو قرارات التوظيف، أو إخفاقها في الوفاء بالتزاماتها القانونية الخاصة. وتظل إفادات المرشحين وحالة الملف الشخصي والتقييمات ونتائج التوظيف خاضعة للاستثناءات الواردة في المادة 9 من شروط وأحكام أصحاب العمل. ولا تعفي تلك الاستثناءات جهة المعالجة من مسؤولية إخلالها بأي التزام إلزامي لحماية البيانات.

وبأقصى حد يسمح به القانون المعمول به، تستبعد جهة المعالجة مسؤوليتها تجاه جهة التحكم عن الخسائر غير المباشرة أو التبعية، وعن فوات الأرباح أو الإيرادات أو الفرص التجارية أو الوفورات المتوقعة الناشئة عن هذه الاتفاقية. ولا يستبعد هذا البند التعويض الذي يقتضي القانون المعمول به أن يكون قابلاً للاسترداد.

ولا يوجد في هذه الاتفاقية ما يستبعد أو يحد من أي مسؤولية أو التزام لا يجوز قانوناً استبعاده أو الحد منه، بما في ذلك المسؤولية عن الاحتيال أو التدليس الاحتيالي أو الخطأ الجسيم أو الإهمال الجسيم حيثما يُحظر استبعادها، أو الوفاة أو الإصابة الشخصية الناتجة عن الإهمال. ولا يوجد فيها ما يقيّد حقوق أصحاب البيانات الإلزامية أو صلاحيات الجهة التنظيمية المختصة. وتبقى المسؤولية عن جهات المعالجة الفرعية بموجب المادة 8 خاضعة لهذه المادة 12 وللقانون الإلزامي المعمول به.

ولا تحدد هذه الاتفاقية سقفاً مالياً للمسؤولية ولا تشير إلى سقف مالي وارد في شروط وأحكام أصحاب العمل. وغياب السقف المالي لا يُعد وعداً بتعويض جهة التحكم ولا يوسّع المسؤولية بما يتجاوز ما ينشأ بموجب هذه الاتفاقية والقانون المعمول به.

13. المدة

تبقى هذه الاتفاقية سارية طوال مدة استخدام صاحب العمل للمنصة وسريان شروط وأحكام أصحاب العمل المرتبطة بها. وتستمر في السريان بعد إنهاء هذه الاتفاقية البنود المتعلقة بالسرية والتعامل مع البيانات بعد الإنهاء والمسؤولية والقانون الواجب التطبيق.

14. القانون الواجب التطبيق

تخضع هذه الاتفاقية لقوانين دولة الإمارات العربية المتحدة، مع اختصاص محاكم الفجيرة.

الجدول (أ) — جهات المعالجة الفرعية

يحدد هذا الجدول فئات المزوّدين ذات الصلة بالمنصة. ويجب أن تحدد القائمة الفعلية لأي خدمة معالجة لصاحب عمل الكيان القانوني والمهمة والموقع وآلية النقل قبل بدء ذلك النشاط. ولا تمثّل الأمثلة المسماة أدناه إقراراً بأن كل مزوّد يعالج بيانات كل صاحب عمل.

خدمات الاستضافة وقواعد البيانات: AWS وSupabase حيثما استُخدمتا لخدمة المعالجة ذات الصلة. وتُقدَّم الكيانات الفعلية للخدمة ومواقع المعالجة وآليات النقل في القائمة الخاصة بالخدمة.

خدمات الذكاء الاصطناعي: OpenAI أو Anthropic أو أي مزوّد آخر محدد، وذلك فقط حيثما فُعّلت لخدمة المعالجة بتعليمات وإشعار وتفويض وضمانات مناسبة. ويجب تحديد المزوّد الفعلي قبل تفعيله.

خدمات الدفع: Stripe أو أي مزوّد دفع آخر محدد. وتُعد المعالجة لأغراض الفوترة الخاصة بـ Staff Finder أو للأغراض القانونية المستقلة للمزوّد نشاطاً لجهة تحكم وليس نشاط معالجة لحساب صاحب العمل.

وتخرج التحليلات والإعلانات لأغراض خدمة Staff Finder الخاصة عن نطاق جدول المعالجة هذا الخاص بأصحاب العمل، وتُعالج في سياستي الخصوصية وملفات تعريف الارتباط مع أي موافقة مطلوبة.

الرسائل والاتصالات: يجب تحديد مزوّدي البريد الإلكتروني والإشعارات والمكالمات الفعليين الذين يعالجون السجلات المُعالَجة بتعليمات صاحب العمل في قائمة الخدمة ذات الصلة قبل بدء ذلك الاستخدام.

يجب الاحتفاظ بقائمة حالية لجهات المعالجة الفرعية خاصة بكل خدمة، وإتاحتها عبر المنصة أو عند الطلب على admin@stafffinder.io، واتباع إجراء الإشعار بالتغيير والاعتراض المنصوص عليه في المادة 8. ولا يجوز بدء نشاط معالجة لصاحب عمل يتطلب جدولاً رسمياً قبل وضع ذلك الجدول والضمانات اللازمة.