١. الأطراف والأدوار
- أنت (المتحكّم — Controller): المؤسسة المسجّلة على المنصة. تحدّد ما البيانات التي تُجمَع، من أي شخص، ولأي غرض.
- خَيَّاطي (المعالج — Processor): نعالج البيانات فقط بناءً على تعليماتك المُستفادة من استخدامك للمنصة، ولا نتجاوزها.
- الأطراف المتأثّرة: عملاء مؤسستك، موظفوها، موردوها — أي شخص طبيعي تُحفظ بياناته في حسابك على المنصة.
٢. نطاق المعالجة
طبيعة وغرض المعالجة
تشغيل خدمة ERP للخياطة والتفصيل: تخزين بيانات العملاء والمقاسات، إدارة الطلبات وخط الإنتاج، إصدار الفواتير، إرسال الإشعارات.
مدة المعالجة
طوال فترة الاشتراك + ٣٠ يوماً للسماح بتصدير البيانات بعد الإلغاء.
أنواع البيانات الشخصية
- بيانات تعريف: اسم، هاتف، بريد، عنوان.
- بيانات مقاسات الجسم (تُعتبر بيانات حساسة وفقاً لبعض الأنظمة).
- تواريخ ومحتوى الطلبات.
- بيانات مالية (مبالغ الفواتير، طرق الدفع — لا نخزّن أرقام بطاقات).
فئات الأشخاص المعنيين
- العملاء النهائيون لمؤسستك.
- الموظفون والعمال.
- الموردون.
٣. التزامات خَيَّاطي كمعالج
- نعالج البيانات فقط بناءً على تعليماتك الموثَّقة (المُستفادة من تكوينك للمنصة).
- نُلزم كل موظف لدينا له حق وصول بسرّية تامة (NDA) قبل بدء العمل.
- نطبّق الإجراءات الأمنية المنصوص عليها في قسم الأمن في سياسة الخصوصية.
- نساعدك في الاستجابة لطلبات الأشخاص المعنيين (طلب نسخة، حذف، تصحيح، نقل) بالأدوات المتاحة في المنصة وعبر الدعم الفني.
- نُشعرك خلال ٤٨ ساعة من اكتشاف أي خرق يطال بياناتك، مع تفاصيل الخرق وحجم التأثير والإجراءات المتخذة.
- عند انتهاء الخدمة، نحذف أو نُعيد البيانات حسب اختيارك خلال ٣٠ يوماً.
٤. المعالجون الفرعيون (Sub-processors)
نستخدم المعالجين الفرعيين التاليين لتقديم الخدمة. كل واحد منهم يخضع لاتفاقية معالجة بيانات تضمن مستوى حماية مماثل.
- Vercel — استضافة الواجهة الأمامية. منطقة: فرانكفورت (fra1).
- Supabase — قاعدة البيانات (PostgreSQL)، المصادقة، التخزين السحابي. منطقة: فرانكفورت أو سنغافورة (حسب إعداد المشروع).
- Resend — إرسال البريد الإلكتروني المعاملاتي.
- Twilio / 360dialog — إرسال رسائل واتساب وSMS (يُفعَّل لكل مؤسسة على حدة عند الطلب).
- هيئة زاتكا — إرسال XML الفواتير المُصدَرة فقط، وفقاً للمتطلبات النظامية.
- Cloudflare — حماية من هجمات DDoS، CDN، DNS.
نُشعرك قبل ٣٠ يوماً من إضافة أو تغيير أي معالج فرعي رئيسي. يحق لك الاعتراض المبرَّر، وفي حال عدم الوصول لحل بديل، يحق لك إنهاء العقد.
٥. النقل خارج المملكة
بعض المعالجين الفرعيين خارج المملكة العربية السعودية. النقل يتم وفقاً لـPDPL مع ضمانات الحماية الكافية. للمؤسسات التي تشترط بقاء البيانات داخل السعودية، نوفّر خيار Saudi-only residency مقابل رسوم إضافية (يتطلب باقة Enterprise).
٦. المراجعة (Audit)
يحق لك (أو لمدقّق مستقل ترشّحه) مراجعة التزامنا بهذه الاتفاقية مرة واحدة سنوياً، بإشعار مسبق ٣٠ يوماً وعلى نفقة المؤسسة الطالبة. نوفّر أيضاً تقارير المراجعات الأمنية (مثل SOC 2) عند توفّرها بدلاً من المراجعة الميدانية.
٧. المسؤولية
حدود المسؤولية المنصوص عليها في شروط الاستخدام تنطبق على هذه الاتفاقية أيضاً. لا تُعد هذه الاتفاقية تنازلاً عن أي حقوق نظامية لا يجوز التنازل عنها.
٨. الإنهاء وعودة البيانات
- عند إنهاء الاشتراك، نوفّر مدة ٣٠ يوماً لتصدير كامل بياناتك بصيغة مفتوحة (JSON / CSV / SQL).
- بعد ٣٠ يوماً، نحذف البيانات نهائياً من قواعد البيانات النشطة.
- النسخ الاحتياطية يتم حذفها عند انتهاء دورتها (٣٠ يوماً إضافية كحد أقصى).
- البيانات المُلزَمة بالاحتفاظ نظامياً (مثل الفواتير لزاتكا) تُحفظ المدة المنصوصة قانوناً (١٠ سنوات).
٩. القبول
إنشاؤك حساباً على المنصة واستخدامك المتواصل لها يُعدّان قبولاً لهذه الاتفاقية. للمؤسسات التي تحتاج توقيعاً ورقياً أو إلكترونياً منفصلاً، تواصل مع legal@khayyatipro.com.