اتفاقية معالجة البيانات — EduRegie

نموذج. هذه اتفاقية أساسية مُعدّة باحترافية استنادًا إلى البنية المعتادة لاتفاقية معالجة البيانات بموجب اللائحة العامة لحماية البيانات (المادة 28). يجب مراجعتها من قِبل محامٍ قبل توقيعها فعليًا مع أي مدرسة — وبشكل خاص، يستحق بند المسؤولية (المادة 9) نظرة مخصصة لكل عميل.

بين:

[اسم المدرسة]، ومقرها المسجل في [المكان]، ويُشار إليها فيما يلي بـ"المتحكم بالبيانات"

و

Elhoucine Automation، ومقرها في ألميرا، رقم السجل التجاري (KVK) 70739862، ويُشار إليها فيما يلي بـ"معالج البيانات"

ويُشار إليهما معًا بـ"الطرفين".

1. الموضوع والمدة

1.1 تُعد اتفاقية معالجة البيانات هذه ملحقًا للاتفاقية بين الطرفين لاستخدام EduRegie (ويُشار إليها فيما يلي بـ"الخدمة")، وتنظم معالجة البيانات الشخصية التي يقوم بها معالج البيانات نيابة عن المتحكم بالبيانات.

1.2 تسري هذه الاتفاقية طوال مدة الاتفاقية الأساسية وتنتهي تلقائيًا بانتهائها، دون الإخلال بالالتزامات التي تستمر بطبيعتها (بما في ذلك السرية والتزام الحذف/الإعادة الوارد في المادة 8).

2. موضوع المعالجة وطبيعتها والغرض منها

2.1 يقوم معالج البيانات بمعالجة البيانات الشخصية حصرًا لغرض: تسجيل غياب الموظفين، وتحديد تأثير ذلك على الجدول الزمني، وتقديم المشورة بشأن اختيارات الاستبدال وتسجيلها، وإبلاغ منسقي الجداول ورؤساء الفرق، وإنشاء إحصاءات إدارية — وكل ذلك نيابة عن المتحكم بالبيانات.

2.2 فئات أصحاب البيانات: الموظفون (المعلمون وموظفو الدعم التعليمي)، وبشكل غير مباشر وتشغيلي فقط (لا علاقة أبدًا بسبب الغياب) الطلاب، بقدر ما تُعرض عليهم تغييرات الجدول الزمني.

2.3 فئات البيانات الشخصية: الاسم، وبيانات الاتصال (البريد الإلكتروني الخاص بالعمل، رقم الهاتف)، والوظيفة/الفريق، وحالة الغياب وفترته، وقناة الإبلاغ، وتأثير الجدول الزمني، وإجراءات الاستبدال، وملاحظات التسليم التشغيلية.

2.4 مستبعد صراحةً من المعالجة: التشخيص، وسبب المرض، والشكاوى، والعلاج الطبي أو الأدوية، والمستندات الطبية، أو أي فئة خاصة أخرى من البيانات الشخصية بالمعنى المقصود في المادة 9 من اللائحة العامة لحماية البيانات. يضمن المتحكم بالبيانات عدم إدخال مثل هذه البيانات مطلقًا في حقول النص الحر بالخدمة؛ ولا يوفر معالج البيانات أي إمكانية إدخال لذلك في بوابة المستخدم العادية.

3. التعليمات

3.1 يقوم معالج البيانات بمعالجة البيانات الشخصية حصرًا استنادًا إلى تعليمات مكتوبة (بما في ذلك الإلكترونية) من المتحكم بالبيانات، على النحو المنصوص عليه في الاتفاقية الأساسية، ما لم يُلزم القانون معالج البيانات بالمعالجة.

3.2 يُبلغ معالج البيانات المتحكم بالبيانات دون تأخير إذا رأى أن تعليمة ما تتعارض مع اللائحة العامة لحماية البيانات أو أي تشريع آخر معمول به بشأن الخصوصية.

4. السرية

4.1 يُلزم معالج البيانات كل من لديه إمكانية الوصول إلى البيانات الشخصية تحت سلطته بالحفاظ على السرية، ما لم يكن ذلك الشخص مُلزمًا بالفعل بواجب سرية قانوني.

5. الأمان

5.1 يتخذ معالج البيانات تدابير تقنية وتنظيمية مناسبة لضمان مستوى أمان يتناسب مع المخاطر. راجع ملحق الأمان (beveiligingsbijlage.md) للاطلاع على التدابير الملموسة.

5.2 يقيّم المتحكم بالبيانات ما إذا كانت التدابير الموصوفة في ملحق الأمان توفر مستوى مناسبًا لطبيعة البيانات المعالَجة، ويُخطر معالج البيانات كتابيًا إذا رأى ضرورة اتخاذ تدابير إضافية.

6. الاستعانة بمعالجين فرعيين

6.1 يمنح المتحكم بالبيانات معالج البيانات إذنًا عامًا بالاستعانة بمعالجين فرعيين، شريطة أن يكونوا مدرجين في قائمة المعالجين الفرعيين (subverwerkerslijst.md).

6.2 يُبلغ معالج البيانات المتحكم بالبيانات قبل [30] يومًا على الأقل من الاستعانة بمعالج فرعي جديد أو استبداله، حتى يتمكن المتحكم بالبيانات من الاعتراض لأسباب معقولة تتعلق باللائحة العامة لحماية البيانات.

6.3 يفرض معالج البيانات على كل معالج فرعي نفس الالتزامات المنصوص عليها في هذه الاتفاقية، ويظل مسؤولاً بالكامل تجاه المتحكم بالبيانات عن أفعال المعالج الفرعي وتقصيره.

7. الالتزام بالإبلاغ عن خروقات البيانات

7.1 يُبلغ معالج البيانات المتحكم بالبيانات بأي خرق (مشتبه به) للبيانات الشخصية التي يعالجها دون تأخير لا مبرر له، وفي غضون 48 ساعة على الأكثر من علمه به — حتى يتمكن المتحكم بالبيانات نفسه من الامتثال في الوقت المناسب (خلال 72 ساعة من علمه هو) لالتزام الإبلاغ القانوني لدى السلطة المختصة بحماية البيانات.

7.2 يتضمن الإبلاغ على الأقل: طبيعة خرق البيانات، والفئات (المشتبه بها) وعدد أصحاب البيانات والبيانات المتأثرة، والتدابير المتخذة والمقترحة، وبيانات الاتصال لمزيد من الاستفسارات. راجع أيضًا إجراء الحوادث (incidentprocedure.md).

8. المساعدة والحذف والإعادة

8.1 يقدم معالج البيانات للمتحكم بالبيانات مساعدة معقولة في طلبات أصحاب البيانات (الاطلاع، التصحيح، المحو، التقييد، النقل، الاعتراض)، وفي إجراء تقييم أثر حماية البيانات، وفي التشاور مع السلطة الرقابية.

8.2 عند إنهاء الاتفاقية، يقوم معالج البيانات — وفقًا لاختيار المتحكم بالبيانات — بحذف أو إعادة جميع البيانات الشخصية في غضون [30] يومًا، ما لم يقتضِ التزام قانوني بالاحتفاظ خلاف ذلك. راجع أيضًا سياسة الاحتفاظ بالبيانات (dataretentiebeleid.md).

9. المسؤولية

9.1 تُنظَّم المسؤولية بين الطرفين عن الأضرار الناشئة عن اتفاقية معالجة البيانات هذه وفقًا لبند المسؤولية في الاتفاقية الرئيسية الأساسية.

ملاحظة النموذج: أدرج هنا بند المسؤولية الفعلي من الشروط والأحكام العامة/عقد التجربة، أو صِغ بندًا محددًا بالتشاور مع محامٍ.

10. التدقيق

10.1 يزود معالج البيانات المتحكم بالبيانات، بناءً على الطلب، بالمعلومات اللازمة بشكل معقول لإثبات الامتثال لالتزامات هذه الاتفاقية، ويسمح بإجراء عمليات تدقيق من قِبل المتحكم بالبيانات أو نيابة عنه، بإشعار مسبق معقول وبما لا يزيد عن مرة واحدة في السنة (باستثناء حالة الاشتباه الملموس بخرق للبيانات).

التوقيع