اتفاقيات معالجة البيانات لخدمات مشاركة الملفات

اتفاقية معالجة بيانات صالحة بموجب GDPR لخدمة مشاركة ملفات يجب أن تغطي الموضوعات الثمانية الإلزامية الواردة في المادة 28(3): الموضوع والمدة، وطبيعة المعالجة وغرضها، وأنواع البيانات الشخصية، وفئات أصحاب البيانات، وحقوق المتحكم والتزاماته، وتعليمات المعالج، وقواعد المعالجة الفرعية، وحذف البيانات أو إعادتها عند انتهاء العقد. إغفال أي من هذه الثمانية يجعل العقد غير ممتثل ويُعرّض الطرفين لإجراءات تنفيذية. علاوةً على المادة 28، تُحدّد اتفاقية معالجة بيانات قوية أيضاً تدابير الأمان وجداول زمنية لإخطار الخرق وحقوق التدقيق وضمانات النقل الدولي بموجب المواد 32 و33 والفصل الخامس.

متى تحتاج إلى اتفاقية معالجة بيانات

في كل مرة يعالج فيها طرف ثالث بيانات شخصية نيابةً عنك، تحتاج إلى اتفاقية — حتى لو اقتصرت المعالجة على تخزين عابر لملف .zip مرفوع لمدة سبعة أيام. يشمل ذلك SwissTransfer وWeTransfer وDropbox Transfer وSmash وTresorit وBox وHexaTransfer. العتبة ليست "البيانات الحساسة" — بل "البيانات الشخصية"، التي تشمل رسائل البريد الإلكتروني للعملاء في قوائم المستلمين. إذا استخدمت خدمة نقل لأي ملف تجاري يذكر شخصاً ما، فالاتفاقية إلزامية بموجب المادة 28(3). بدون اتفاقية تعني معالجة بدون أساس تعاقدي صالح، وهو أمر غير مشروع بموجب المادة 5(1)(أ).

الموضوعات الثمانية الإلزامية بموجب المادة 28(3)

المادة 28(3) تُقرأ كقائمة تحقق. (أ) الموضوع والمدة: ما هي المعالجة ولأي مدة. (ب) الطبيعة والغرض: نقل الملفات والتخزين قصير الأمد للتسليم. (ج) أنواع البيانات الشخصية: الأسماء والبريد الإلكتروني ومحتوى الملفات والبيانات التعريفية. (د) فئات أصحاب البيانات: موظفو المتحكم وعملاؤه وأطرافه المقابلة. (هـ) التزامات المتحكم وحقوقه. (و) المعالجة فقط وفق التعليمات الموثقة. (ز) التزامات السرية للموظفين المُفوَّضين. (ح) تدابير الأمان الملائمة للمخاطر وقواعد المعالجة الفرعية والمساعدة في حقوق أصحاب البيانات وإخطار الخرق والمساعدة في تقييم أثر حماية البيانات والحذف عند انتهاء العقد.

بنود المعالجين الفرعيين وإشعار الثلاثين يوماً

المادتان 28(2) و28(4) تُلزمان المعالجين بالإفصاح عن المعالجين الفرعيين ومنح المتحكمين فرصة الاعتراض على التغييرات. الممارسة السوقية: قائمة علنية بالمعالجين الفرعيين الحاليين (Cloudflare للـCDN، وOVH للاستضافة، وSendGrid للبريد الإلكتروني)، وإشعار مسبق بثلاثين يوماً للتغييرات الجوهرية، وحق تعاقدي للمتحكم في الاعتراض لأسباب معقولة. إذا اعترض المتحكم، يجوز للمعالج إيجاد بديل أو السماح بإنهاء الخدمة المتأثرة دون عقوبة. احذر من اتفاقيات تُجيز استبدال المعالجين الفرعيين بلا قيود دون إشعار — تلك غير ممتثلة.

حقوق التدقيق بموجب المادة 28(3)(ح)

للمتحكمين الحق في تدقيق المعالجين. بالنسبة للمتحكمين الصغار، يعني هذا عادةً قبول تقرير SOC 2 Type 2 أو ISO 27001 أو ISAE 3402 للمعالج بدلاً من إرسال مدقق. المتحكمون الأكبر (البنوك والمستشفيات والحكومة) يحتفظون بحقوق التدقيق الميداني. يجب أن تُحدد الاتفاقيات الشكل: الحق في مراجعة الشهادات المنشورة، والحق في طلب معلومات إضافية، و— للمعالجة عالية المخاطر — الحق في تكليف تدقيق مستقل على نفقة المتحكم. رفض جميع حقوق التدقيق غير ممتثل؛ تقييدها بمراجعات سنوية مع إشعار مسبق بثلاثين يوماً معقول.

تدابير الأمان والتوافق مع المادة 32

المادة 32(1) تسرد أربعة تدابير مثالية: التشفير الزائف والتشفير (أ)، وسرية الأنظمة ونزاهتها وتوافرها ومرونتها (ب)، والاستعادة في الوقت المناسب بعد الحوادث (ج)، والاختبار والتقييم المنتظم (د). اتفاقية مشاركة ملفات جيدة تُرفق جدولاً بتدابير الأمان يُدرج التفاصيل: AES-256-GCM عند السكون وTLS 1.3 أثناء النقل ومصادقة متعددة العوامل للوصول الإداري وشهادة ISO 27001 وإدارة الثغرات مع مستويات اتفاقية تصحيح واختبار اختراق سنوي. اللغة المبهمة — "أمان بمستوى الصناعة" — تُخفق في عمليات التدقيق لأنها غير قابلة للقياس.

جداول إخطار الخرق بين المعالج والمتحكم

المادة 33(2) تُلزم المعالجين بإخطار المتحكمين بخرق البيانات الشخصية "دون تأخير لا مبرر له." معظم الاتفاقيات تُحدد 24-48 ساعة. مهمة المعالج الإخطار السريع لا الالتزام بساعة 72 — تلك مهمة المتحكم بموجب المادة 33(1). اتفاقية محكمة الصياغة تُحدد: ما يُعدّ خرقاً (فقدان أو إفصاح غير مصرح به أو وصول غير مصرح به)، وما يتضمنه الإخطار (طبيعة الخرق وفئات أصحاب البيانات والسجلات المتأثرة تقريباً والعواقب المحتملة والتدابير المتخذة)، وكيفية التسليم (جهة اتصال مسمّاة وقناة احتياطية إذا تعطّل البريد الإلكتروني).

ضمانات النقل الدولي في الاتفاقية

إذا خزّن المعالج البيانات أو وصل إليها خارج المنطقة الاقتصادية الأوروبية، تنطبق المادة 44. يجب أن تتضمن الاتفاقية البنود التعاقدية القياسية 2021 (قرار المفوضية 2021/914)، وتُحدد الوحدة المنطبقة (الوحدة 2: المتحكم للمعالج)، وتُدرج تقييم أثر النقل بالإشارة. للمعالجين الفرعيين الأمريكيين، أضف حالة شهادة DPF (إطار خصوصية البيانات) أو وصفاً محدداً للتدابير التكميلية. نقل المملكة المتحدة يحتاج ملحق نقل البيانات الدولي الصادر عن ICO للبنود التعاقدية القياسية 2021، السارية منذ مارس 2022.

الحذف أو الإعادة عند انتهاء العقد

المادة 28(3)(ز) تُلزم المعالج بحذف أو إعادة جميع البيانات الشخصية عند انتهاء الخدمة، ما لم يُلزم قانون الاتحاد الأوروبي أو الدول الأعضاء بالاحتفاظ. وضّح أيهما: معظم خدمات نقل الملفات تتجه نحو الحذف مع فترة سماح قصيرة (7-30 يوماً). إذا أراد المتحكم الإعادة بدلاً من ذلك (تصدير جميع الملفات)، حدد الشكل والجدول الزمني. يجب أن يشمل الحذف النسخ الاحتياطية — أشر إلى دورة تدوير النسخ الاحتياطية (90 يوماً هو المعيار) ووثّق أن البيانات المُستعادة تُعالج أو تُحذف مجدداً بما يتوافق مع طلب المحو.

المتحكم المشترك والسيناريوهات متعددة الأطراف

مشاركة الملفات أحياناً تنطوي على متحكمين مشتركين بموجب المادة 26 — مثلاً منصة توظيف حيث يُقرّر كل من صاحب العمل والمنصة الأغراض والوسائل. الترتيب بموجب المادة 26 يختلف عن اتفاقية معالجة البيانات ويجب توزيع المسؤوليات بشفافية. إذا كنت المنصة وتعرّف نفسك كمعالج لكنك تُمارس سيطرة حقيقية (تدريب نموذجك الذكي على محتوى المستخدمين، وتحقيق الربح من البيانات التعريفية)، قد تُعيد الجهات التنظيمية تصنيفك كمتحكم مشترك. احصل على التصنيف الصحيح من البداية؛ أصدرت كل من CNIL وICO غرامات على التصنيف الخاطئ.

القوالب العملية وأماكن إيجادها

تنشر المفوضية الأوروبية البنود التعاقدية القياسية بين المتحكمين والمعالجين (قرار المفوضية 2021/915). معظم مزودي نقل الملفات المرموقين ينشرون اتفاقية معالجة بيانات موقّعة مسبقاً مبنية على هذه البنود — تنزيل، توقيع مقابل، انتهى. Tresorit وProton Business وBox وMicrosoft وGoogle Workspace وHexaTransfer جميعهم يفعلون ذلك. للتفاوض المخصص، ينشر IAPP وCIPL قوالب اتفاقيات معالجة بيانات. لا تبدأ من الصفر إلا إذا كان لديك مستشار خصوصية متخصص؛ الحالات الحدية (المتحكمون المشتركون وسلاسل المعالجين الفرعيين ولغة تقييم أثر النقل) لها صياغة محددة متوقعة.

اقرأ كل بند أمام قائمة التحقق الثمانية الواردة في المادة 28(3). جرّبها على hexatransfer.com — مجاني، بدون حساب، حتى 10 جيجابايت.