اتفاقية معالجة البيانات (DPA)

تؤطّر اتفاقية معالجة البيانات هذه (المشار إليها فيما يلي بـ«الاتفاقية» أو «DPA») معالجاتِ البيانات الشخصية التي تنجزها KAWLET EURL، ناشرة خدمة TITU، لحساب شريك مهني، في الحالات ووفق الكيفيات المبيَّنة في الملحق 1.

وقد أُبرمت تطبيقاً لـالمادة 28 من اللائحة (الاتحاد الأوروبي) 2016/679 (المشار إليها فيما يلي بـ«RGPD») وتشكّل كلاً لا يتجزأ مع عقد الخدمات أو اتفاقية الإدراج أو اتفاقية التكامل المبرمة بين الطرفين (المشار إليها فيما يلي بـ«العقد الرئيسي»).

1.1. الطرفان

• يقصد بـ«المعالِج بالنيابة» شركة KAWLET EURL، société à responsabilité limitée à associé unique، الكائن مقرها الاجتماعي بـ 15 Square Rameau, 59000 Lille (France)، والمسجَّلة بالسجل التجاري لـ Lille Métropole تحت رقم 993 159 250، ناشرة خدمة TITU.
• ويقصد بـ«الشريك» الشخص الاعتباري المهني الموقّع على العقد الرئيسي، المتصرف بصفة مسؤول عن المعالجة: مشغّل منشأة رياضية، أو نادٍ، أو جمعية، أو اتحاد، أو رابطة، أو مقاطعة، أو شريك تكامل تقني.

1.2. التعاريف

يكون لمصطلحات «البيانات الشخصية» و«المعالجة» و«المسؤول عن المعالجة» و«المعالِج بالنيابة» و«الشخص المعني» و«خرق البيانات الشخصية» و«السلطة الرقابية» المعنى الذي تعطيه لها المادة 4 من RGPD.

ويقصد بـ«البيانات المُعهَد بها» البيانات الشخصية التي ينقلها الشريك وحدها إلى المعالِج بالنيابة، أو التي يتيح له الولوج إليها، لأغراض تنفيذ العقد الرئيسي.

1.3. ما لا تغطيه هذه الاتفاقية

لا تسري هذه الاتفاقية على المعالجات التي تتصرف فيها KAWLET بصفة مسؤول عن المعالجة، وهي المبيَّنة في الفقرة 2.2 والخاضعة لسياسة الخصوصية الخاصة بخدمة TITU، بما يستبعد هذه الاتفاقية.

كما أنها لا تسري كذلك على المستخدمين الأفراد لخدمة TITU. فلا اللاعب، ولا عضو المجموعة، ولا مشرف المجموعة طرف في هذه الاتفاقية، ولا يوقّعها، ولا يُنتظر منه أن يوقّعها.

لا يستمد تكييف صفة أي طرف من تسميته التعاقدية ولا من إرادة الطرفين، بل من التحديد الفعلي لغايات المعالجة ووسائلها (المادة 4.7 من RGPD). ويتفق الطرفان صراحةً على التوزيع التالي.

2.1. المعالجات المشمولة بهذه الاتفاقية

بالنسبة للمعالجات المبيَّنة في الملحق 1 وحدها، المنجَزة بناءً على تعليمة موثَّقة من الشريك ولمصلحته:

• يكون الشريك هو المسؤول عن المعالجة؛
• وتكون KAWLET هي المعالِج بالنيابة.

2.2. المعالجات المستبعدة: KAWLET مسؤولة عن المعالجة

بخصوص مجموع واجهة المستخدم في خدمة TITU، تتصرف KAWLET بصفة مسؤول عن المعالجة لا بصفة معالِج بالنيابة. ويشمل ذلك على وجه الخصوص:

• إنشاء حساب لاعب وتدبيره، والمصادقة برمز لمرة واحدة يصل برسالة قصيرة، والملف الشخصي ولغة الحساب؛
• حياة المجموعة: الجلسات المتكررة، والحضور، وقائمة الانتظار، والبدلاء، والضيوف، والنتائج، والترتيبات، والأصوات؛
• الإشعارات الموجَّهة إلى اللاعبين؛
• قياس استعمال المنتج؛
• المقارَبة الاختيارية بين حساب لاعب والنتائج العامة للمسابقات، عندما يطلبها اللاعب ويؤكدها.

ومن المتفق عليه صراحةً أن:

1. موافقة الشخص المعني لا يترتب عنها أي نقل للمسؤولية. فاللاعب الذي يصرّح بناديه ثم يؤكد تطابقاً مقترحاً يقدّم أساساً قانونياً للمعالجة بمفهوم المادة 6.1.a من RGPD. وهو يظل الشخص المعني ولا يصير بأي وجه مسؤولاً عن المعالجة.
2. KAWLET وحدها هي من يحدّد غايات هذه المعالجات ووسائلها: أي المصادر العامة التي يُطَّلع عليها وفي أي لحظة، وتجهيل هوية الأشخاص غير المعنيين، ومدد الإتاحة، وعدّادات الحد من التجاوزات، ومسطرة الطعن والسحب.
3. مشرف المجموعة أو المسؤول عن إدارتها ليس مسؤولاً عن معالجة بيانات أعضاء مجموعته. فأدوار الإدارة التي تتيحها الخدمة (admin، co-admin) هي وظائف تطبيقية لحوكمة مجموعة هواة. ولا يترتب عنها أي تكييف بمفهوم RGPD، ولا أي التزام بمقتضى المادة 28، ولا أي مسؤولية شخصية للمشرف بعنوان المعالجة.

2.3. المعالجات التي يكون فيها كل طرف مسؤولاً مستقلاً

عندما يتابع كل من الشريك وKAWLET غاياته الخاصة على بيانات متمايزة — مثلاً الشريك لعلاقته بزبنائه، وKAWLET لاستغلال دليلها — يتصرف كل طرف بصفة مسؤول مستقل عن المعالجة ويتحمل وحده التزاماته. ولا تسري هذه الاتفاقية على هذه المعالجات.

إن خصائص المعالجات التي تنجزها KAWLET لحساب الشريك — الموضوع، والطبيعة، والغاية، والمدة، وأصناف البيانات وأصناف الأشخاص المعنيين — مبيَّنة في الملحق 1 من هذه الاتفاقية، طبقاً للمادة 28.3 من RGPD.

والملحق 1 حصري. وكل معالجة غير مبيَّنة في الملحق 1 تُعتبر خارج نطاق هذه الاتفاقية ولا يمكن تنفيذها إلا بعد تعديل مكتوب لهذا الملحق، موقَّع من الطرفين معاً.

ويقرّ الطرفان بأنه، في عدد من حالات الاستعمال المبيَّنة في الملحق 1، لا يُنقل أي بيان شخصي إلى KAWLET: فإدراج منشأة أو عرض حجز أو نادٍ يقوم على بيانات تنظيمية (التسمية، العنوان، الأوقات، الأسعار، الطاقات) لا تتعلق بشخص طبيعي محدَّد الهوية أو قابل لتحديدها. وفي هذه الحالات، تبقى هذه الاتفاقية بلا موضوع بالنسبة للخدمة المعنية، دون أن يكون على الطرفين فسخها.

بصفته مسؤولاً عن المعالجة، يلتزم الشريك بما يلي:

• المشروعية. ألا ينقل إلى KAWLET إلا بيانات جُمعت وعُولجت بشكل مشروع، على أساس قانوني صحيح بمفهوم المادة 6 من RGPD، وأن يكون له الحق في أن يعهد بها إلى معالِج بالنيابة للغايات المبيَّنة في الملحق 1.
• إخبار الأشخاص المعنيين. أن يضمن إخبار الأشخاص المعنيين بمقتضى المادتين 13 و14 من RGPD، بما في ذلك بشأن اللجوء إلى KAWLET بصفة معالِج بالنيابة، وأن يأخذ موافقتهم عند الاقتضاء.
• تعليمات موثَّقة. أن يصوغ تعليماته كتابةً، بما في ذلك بالوسائل الإلكترونية. ويشكّل العقد الرئيسي وهذه الاتفاقية، بما فيها الملحق 1، التعليماتِ الأولية للشريك. ويجب أن تُوجَّه كل تعليمة لاحقة إلى جهة الاتصال المذكورة في المادة 8.
• التقليل إلى الحد الأدنى. ألا ينقل إلا البيانات الضرورية بشكل صارم للخدمة. ويمتنع الشريك على وجه الخصوص عن أن ينقل إلى KAWLET، بأي قناة كانت، بيانات من الأصناف الخاصة المنصوص عليها في المادة 9 من RGPD (ولا سيما البيانات الصحية، والآراء، والانتماء النقابي، والبيانات البيومترية)، وبيانات متعلقة بـإدانات جنائية (المادة 10)، وكذلك بيانات اتصال المرخَّص لهم أو المسيّرين أو الحكّام أو القاصرين، وهي بيانات لا حاجة لخدمة TITU بها ولا بنية لديها تستقبلها.
• الصحة. أن يحرص على صحة البيانات المُعهَد بها وتحديثها، وأن يخطر KAWLET دون تأخير بكل تصحيح أو اعتراض أو حذف يجب تطبيقه.
• حقوق الأشخاص. أن يرد بنفسه على طلبات ممارسة حقوق الأشخاص المعنيين، بمساعدة KAWLET المنصوص عليها في المادة 5.5.
• أمن بيئته الخاصة. أن يضمن سرية بيانات الولوج المسلَّمة إلى مستخدَميه وأن يخطر دون تأخير بكل اختراق مشتبه فيه.
• التوثيق. أن يمسك سجله الخاص لأنشطة المعالجة، وأن ينجز عند الاقتضاء تقييم الأثر على حماية البيانات المنصوص عليه في المادة 35 من RGPD.

ويكفل الشريك KAWLET ضد كل مطالبة أو دعوى أو جزاء ناتج عن عدم احترام الالتزامات الملقاة على عاتقه بمقتضى هذه المادة.

طبقاً للمادة 28.3 من RGPD، تلتزم KAWLET بما يلي.

5.1. المعالجة بناءً على تعليمة موثَّقة

لا تعالج KAWLET البيانات المُعهَد بها إلا بناءً على تعليمة موثَّقة من الشريك، بما في ذلك في مجال النقل نحو بلد ثالث، ما لم يكن ثمة التزام قانوني تخضع له KAWLET. وفي هذه الحالة الأخيرة، تُخبر KAWLET الشريك بهذا الالتزام القانوني قبل المعالجة، إلا إذا كان القانون الواجب التطبيق يحظر مثل هذا الإخبار لأسباب مهمة تتعلق بالمصلحة العامة.

وتُخبر KAWLET الشريك فوراً إذا كانت ترى أن تعليمة تلقّتها تشكّل خرقاً لـ RGPD أو لأي حكم آخر واجب التطبيق في مجال حماية البيانات. ويمكنها في هذه الحالة أن توقف تنفيذ التعليمة محل النزاع إلى حين تأكيدها أو تعديلها كتابةً من الشريك.

وتمتنع KAWLET عن استعمال البيانات المُعهَد بها لغاياتها الخاصة، ولا سيما لأغراض التسويق، أو إثراء دليلها، أو تكوين إحصاءات قابلة للتسويق، أو تدريب نماذج التعلّم الآلي.

5.2. السرية

تضمن KAWLET أن تبقى البيانات المُعهَد بها سرية بشكل صارم. وبهذه الصفة:

• يقتصر الولوج إلى البيانات على الأشخاص الذين يحتاجونه لتنفيذ الخدمة، وفق مبدأ الامتياز الأدنى؛
• الأشخاص المأذون لهم بمعالجة البيانات خاضعون لالتزام تعاقدي أو قانوني بالسرية، بما في ذلك بعد انتهاء مهمتهم؛
• لا تبلّغ KAWLET أي بيان إلى الغير، باستثناء المعالِجين الفرعيين المذكورين في الملحق 2 وباستثناء طلب من سلطة مختصة؛
• في حال طلب قضائي أو إداري يتعلق بالبيانات المُعهَد بها، تُخبر KAWLET الشريك في أقرب الآجال، ما لم يكن ثمة حظر قانوني.

5.3. أمن المعالجات

تنفّذ KAWLET التدابير التقنية والتنظيمية الملائمة بمفهوم المادة 32 من RGPD، المبيَّنة في الملحق 3. وهذه التدابير مذكورة كما هي منفَّذة فعلياً في تاريخ هذه الاتفاقية؛ ولا تدّعي KAWLET أي شهادة في مجال الأمن أو المطابقة.

ويمكن لـ KAWLET أن تطوّر هذه التدابير لمراعاة أحدث ما وصلت إليه التقنية، شريطة ألا تخفض المستوى الإجمالي للأمن. ويُحدَّث الملحق 3 عندئذ.

5.4. اللجوء إلى معالِجين فرعيين

يمنح الشريك المعالِجَ بالنيابة إذناً كتابياً عاماً باللجوء إلى معالِجين فرعيين، وفق شروط المادتين 28.2 و28.4 من RGPD.

وترد في الملحق 2 قائمة المعالِجين الفرعيين السارية في تاريخ هذه الاتفاقية. وقد وُضعت هذه القائمة بوصفها جرداً شاملاً لخدمات الغير التي تناديها خدمة TITU فعلياً، بما فيها تلك التي لا تعالج أي بيان شخصي، حتى يتوفر الشريك على رؤية كاملة للتدفقات.

وتلتزم KAWLET بما يلي:

• إخبار الشريك بكل إضافة أو استبدال لمعالِج فرعي بإشعار مسبق معقول، وعلى كل حال قبل أن يعالج المعالِج الفرعي الجديد بيانات مُعهَداً بها؛
• منح الشريك أجل ثلاثين (30) يوماً لتقديم اعتراض معلَّل. وفي حال اعتراض لا يتمكن الطرفان من رفعه، يمكن للشريك أن يفسخ الخدمة المعنية دون تعويض؛
• أن تفرض تعاقدياً على كل معالِج فرعي التزاماتٍ في حماية البيانات مكافئة جوهرياً لالتزامات هذه الاتفاقية؛
• أن تبقى مسؤولة مسؤولية تامة أمام الشريك عن تنفيذ معالِجيها الفرعيين لالتزاماتهم.

5.5. مساعدة الشريك

مراعاةً لطبيعة المعالجة وللمعلومات المتاحة لديها، تساعد KAWLET الشريك على النحو التالي:

• حقوق الأشخاص المعنيين. بتنفيذ التدابير التقنية والتنظيمية الملائمة لتمكين الشريك من الاستجابة لطلبات الاطلاع والتصحيح والمحو والتقييد والاعتراض وقابلية النقل. وكل طلب تتلقاه KAWLET مباشرةً يُحال على الشريك دون تأخير ولا تعالجه KAWLET، ما لم توجد تعليمة مخالفة.
• الأمن والخروق وتقييمات الأثر. بتقديم المعلومات اللازمة لاحترام الشريك للالتزامات المنصوص عليها في المواد 32 إلى 36 من RGPD، بما في ذلك تقييم الأثر والاستشارة المسبقة للسلطة الرقابية.

5.6. خرق البيانات الشخصية

تخطر KAWLET الشريك بكل خرق للبيانات الشخصية يمسّ البيانات المُعهَد بها في أقرب الآجال بعد علمها به، طبقاً لـالمادة 33.2 من RGPD، حتى تمكّن الشريك من الوفاء، عند الاقتضاء، بالتزامه بالإخطار لدى السلطة الرقابية في غضون 72 ساعة المنصوص عليه في المادة 33.1.

ويتضمن الإخطار، في حدود المعلومات المتاحة لحظة إصداره: طبيعة الخرق، وأصناف الأشخاص والتسجيلات المعنية وعددها التقريبي، والنتائج المحتملة، والتدابير المتخذة أو المقترحة، ونقطة اتصال. أما المعلومات الناقصة فتُبلَّغ تباعاً، دون تأخير إضافي غير مبرَّر.

ولا يجعل أي حكم من أحكام هذه المادة KAWLET مديناً بالإخطار لدى السلطة الرقابية أو للأشخاص المعنيين، فذلك يقع على عاتق الشريك بصفته المسؤول عن المعالجة.

5.7. التوثيق والتدقيق

تضع KAWLET رهن إشارة الشريك جميع المعلومات اللازمة لإثبات احترام التزامات المادة 28 من RGPD.

وتتيح KAWLET إنجاز عمليات تدقيق، بما فيها المعاينات، من طرف الشريك أو مدقِّق يفوّضه، شريطة:

• أن يُخطَر بالتدقيق كتابةً بإشعار مسبق لا يقل عن ثلاثين (30) يوماً، إلا في حالة استعجال مبرَّر بحادث أمني ثابت؛
• أن يجري خلال ساعات العمل، دون تشويش غير متناسب على النشاط؛
• ألا يمسّ سرية بيانات زبناء أو مستخدمين آخرين لـ KAWLET، ولا السر التجاري؛
• أن يكون المدقِّق خاضعاً لالتزام بالسرية؛
• ألا تتجاوز وتيرته مرة واحدة في السنة المدنية، خارج حالة حادث أمني ثابت أو طلب من سلطة رقابية.

ويمكن لـ KAWLET أن تفي بهذا الالتزام بتقديم الوثائق ذات الصلة، بما فيها، عند وجودها، تقارير التدقيق أو شهادات معالِجيها الفرعيين.

5.8. سجل المعالجات

تمسك KAWLET، طبقاً لـالمادة 30.2 من RGPD، سجلاً لأصناف أنشطة المعالجة المنجَزة لحساب الشريك، وتضعه رهن الإشارة بناءً على طلب السلطة الرقابية.

5.9. النقل خارج الاتحاد الأوروبي

تستضيف KAWLET البيانات المُعهَد بها داخل الاتحاد الأوروبي. أما عمليات النقل نحو بلد ثالث الناتجة عن اللجوء إلى المعالِجين الفرعيين المذكورين في الملحق 2 فهي مؤطَّرة بالضمانات الملائمة المذكورة في ذلك الملحق، ولا سيما البنود التعاقدية النموذجية التي اعتمدتها المفوضية الأوروبية.

ولا تقوم KAWLET بأي نقل آخر خارج الاتحاد الأوروبي دون تعليمة موثَّقة من الشريك.

6.1. الإرجاع

في أي وقت خلال مدة العقد الرئيسي، وخلال ثلاثين (30) يوماً ابتداءً من انتهائه، يمكن للشريك أن يطلب إرجاع البيانات المُعهَد بها. وتقدّمها KAWLET في صيغة منظَّمة وشائعة الاستعمال ومقروءة آلياً.

6.2. الحذف

عند انصرام أجل الثلاثين (30) يوماً هذا، أو فوراً بناءً على تعليمة مكتوبة من الشريك، تحذف KAWLET البيانات المُعهَد بها وكذلك النسخ الموجودة، ما لم يوجد التزام قانوني بالحفظ. وتشهد KAWLET كتابةً بهذا الحذف بناءً على طلب الشريك.

6.3. ما لا يُحذف

لا يشمل الحذفُ المنصوص عليه في 6.2 ما يلي:

• البيانات التي تعالجها KAWLET بصفة مسؤول عن المعالجة بمقتضى الفقرة 2.2، وهي تتبع دورة حياتها الخاصة؛
• الوقائع التنظيمية غير الشخصية (تسمية منشأة أو نادٍ، العنوان، خصائص ملعب، الرزنامة الرياضية) المستمدة من مصادر عامة أو من الإدراج، وهي لا تشكّل بيانات شخصية وتظل خاضعة للعقد الرئيسي لا لهذه الاتفاقية؛
• السجلات التقنية والنسخ الاحتياطية، وهي تُحذف وفق دورة تعاقبها الخاصة.

يتحمل كل طرف المسؤولية الملقاة على عاتقه بمقتضى المادتين 82 و83 من RGPD، بسبب الالتزامات الخاصة به.

ولا تُسأل KAWLET عن الضرر الناجم عن معالجة إلا إذا لم تحترم التزامات RGPD المفروضة على المعالِجين بالنيابة تحديداً، أو إذا تصرفت خارج التعليمات المشروعة للشريك أو خلافاً لها (المادة 82.2 من RGPD).

وتسري على هذه الاتفاقية سقوفُ المسؤولية واستثناءاتها المنصوص عليها في العقد الرئيسي، في حدود ما ينص عليه التنظيم الواجب التطبيق.

يُوجَّه كل سؤال أو تعليمة أو إخطار أو طلب يتعلق بهذه الاتفاقية إلى:

KAWLET EURL 15 Square Rameau 59000 Lille — France RCS Lille Métropole 993 159 250

جهة الاتصال في مجال حماية البيانات: yo@titu.app

8.1. عدم تعيين مسؤول عن حماية البيانات

لم تعيّن KAWLET مسؤولاً عن حماية البيانات (DPO) بمفهوم المادة 37 من RGPD، لكونها لا تستوفي إلى اليوم الشروط التي تجعل هذا التعيين إجبارياً. وجهة الاتصال المذكورة أعلاه هي النقطة الوحيدة للدخول بخصوص المواضيع المشمولة بهذه الاتفاقية؛ وهي لا تتمتع بالمركز ولا بضمانات الاستقلال المرتبطة بوظيفة المسؤول عن حماية البيانات.

وتُعاد دراسة هذه الوضعية عند كل تطور مهم في النشاط. وإذا وقع تعيين مسؤول، فسيكون موضوع تحديث لهذه المادة.

8.2. السلطة الرقابية

السلطة الرقابية المختصة بالنسبة لـ KAWLET هي اللجنة الوطنية الفرنسية للمعلوماتية والحريات (CNIL)، 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07, France.

9.1. تراتبية الوثائق

تشكّل هذه الاتفاقية جزءاً لا يتجزأ من العقد الرئيسي. وفي حال التعارض بين حكم من أحكام العقد الرئيسي وحكم من أحكام هذه الاتفاقية يتعلق بمعالجة البيانات الشخصية، تسود هذه الاتفاقية. أما في سائر المسائل، فيسود العقد الرئيسي.

وفي حال التعارض بين هذه الاتفاقية وبنود تعاقدية نموذجية اعتمدتها المفوضية الأوروبية ووقّعها الطرفان، تسود هذه الأخيرة.

9.2. المدة

تدخل هذه الاتفاقية حيز النفاذ في تاريخ سريان العقد الرئيسي وتظل سارية ما دامت KAWLET تعالج بيانات مُعهَداً بها لحساب الشريك. وتبقى بعد انتهائها أحكامُ المواد 5.2 (السرية) و6 (مصير البيانات) و7 (المسؤولية).

9.3. التعديل

يمكن لـ KAWLET أن تعدّل هذه الاتفاقية لمراعاة تطور في التنظيم، أو قرار من سلطة رقابية، أو تطور تقني في الخدمة. ويُخطَر الشريك بكل تعديل جوهري بإشعار مسبق معقول. وفي غياب اعتراض مكتوب ومعلَّل خلال ثلاثين (30) يوماً، يُعتبر التعديل مقبولاً.

ويمكن تحديث الملحقين 2 و3 وفق الكيفيات المنصوص عليها على التوالي في المادتين 5.4 و5.3، دون أن يشكّل هذا التحديث تعديلاً جوهرياً للاتفاقية.

9.4. البطلان الجزئي

إذا صُرّح ببطلان حكم من أحكام هذه الاتفاقية أو بعدم قابليته للتطبيق، بقيت سائر الأحكام سارية. ويسعى الطرفان إلى استبدال الحكم المُبطَل بحكم صحيح ذي أثر اقتصادي وقانوني مكافئ.

9.5. القانون الواجب التطبيق والاختصاص القضائي

تخضع هذه الاتفاقية لـالقانون الفرنسي. وفي غياب حل ودي، يعود كل نزاع يتعلق بصحتها أو تفسيرها أو تنفيذها إلى الاختصاص الحصري لـمحاكم دائرة Lille، مع مراعاة قواعد الاختصاص الآمرة الواجبة التطبيق.

يصف هذا الملحق، طبقاً للمادة 28.3 من RGPD، المعالجات التي تنجزها KAWLET لحساب الشريك. وهو حصري.

A1.1. وضع دليل المنشآت والأندية رهن الإشارة

ويُدعى الشريك إلى نقل بيانات اتصال وظيفية («الاستقبال»، «الكتابة») بدل الاسمية. وعندما لا يُنقل أي بيان شخصي، تبقى هذه الاتفاقية بلا موضوع بالنسبة لهذه الخدمة.

A1.2. إدراج عرض حجز خاص بمشغّل

والحجز نفسه لا تنجزه KAWLET. فاللاعب الذي ينقر يُعاد توجيهه نحو خدمة الشريك، حيث يصير زبوناً له. والبيانات المجموعة ابتداءً من إعادة التوجيه هذه تعود إلى مسؤولية الشريك وحده، بصفته مسؤولاً مستقلاً عن المعالجة، وتخرج من نطاق هذه الاتفاقية.

A1.3. الإبلاغ المجمَّع عن النقرات نحو عرض

عندما ينشّط لاعب رابط عرضٍ خاص بالشريك، تزيد KAWLET عدّاداً يومياً مجمَّعاً.

ويتضمن هذا العدّاد — جدول venue_offer_click_daily — حصرياً الحقول التالية:

وهو لا يتضمن عنوان IP، ولا ملف تعريف ارتباط أو معرّف جهاز، ولا حساباً، ولا معرّف لاعب، ولا ترويسة طلب أو حمولته. وهذا الغياب بنيوي: فالجدول لا يتضمن أي عمود يمكن أن يستقبل هذه العناصر، ودالة الزيادة لا تتلقى إلا معرّف العرض والواجهة.

ويترتب عن ذلك ثلاث نتائج يقرّ بها الطرفان صراحةً:

1. هذا العدّاد لا يشكّل معالجة لبيانات شخصية. فلا شخص طبيعي محدَّد الهوية ولا قابل لتحديدها انطلاقاً من هذه الحقول الستة.
2. وهذا العدّاد لا يشكّل قياساً فردياً للجمهور. فهو لا يتيح عدّ زوّار متفرّدين، ولا إعادة تركيب مسار، ولا التمييز بين عشر نقرات من شخص واحد ونقرة واحدة من عشرة أشخاص. ولا يجوز تقديمه، لا من KAWLET ولا من الشريك، على أنه قياس للجمهور، أو بيان فوترة بالأداء، أو آلية لكشف الغش أو التجاوز.
3. ويُبلَّغ إلى الشريك على سبيل الاستئناس، بوصفه إشارة منتج خاماً، دون ضمان الصحة ولا الشمول ولا التطابق مع التحويلات التي يعاينها الشريك في نظامه الخاص.

A1.4. التكامل التقني لشريك

ولا يمكن إدخال أي تكامل إلى الإنتاج دون أن تكون أصناف البيانات وأصناف الأشخاص المعنيين قد عُدِّدت كتابةً. وتسري بالكامل الاستثناءات الواردة في المادة 4 (الأصناف الخاصة، الإدانات، بيانات اتصال المسيّرين أو الحكّام أو القاصرين).

A1.5. المعالجات المستبعدة من الملحق 1

تفادياً لأي لبس، لا تدخل في نطاق هذه الاتفاقية وتعالجها KAWLET بصفة مسؤول عن المعالجة:

• مجموع بيانات الحساب والمجموعة والمباريات الخاصة باللاعبين؛
• الإشعارات الموجَّهة إلى اللاعبين؛
• جمعُ الوقائع التنظيمية المستمدة من مصادر عامة أو من الاتحادات (تسمية النادي، العنوان، الملعب، الدرجة، الرزنامة، الترتيب) والتحققُ منها وإعادةُ نشرها، وهي لا تتضمن أي بيان شخصي؛
• المقارَبة الاختيارية، عند الطلب وبناءً على تأكيد اللاعب، بين حسابه والنتائج العامة للمسابقات.

وُضعت هذه القائمة بوصفها جرداً شاملاً لخدمات الغير التي تناديها خدمة TITU فعلياً في تاريخ هذه الاتفاقية، بما فيها تلك التي لا يُنقل إليها أي بيان شخصي. وهي مجموعة أوسع من المعالِجين الفرعيين بمفهوم المادة 28.4 من RGPD.

A2.1. المزوّدون الذين قد يعالجون بيانات شخصية

A2.2. المزوّدون الذين لا يعالجون أي بيان شخصي

هذه الخدمات مذكورة من باب الشفافية: فهي تُنادى من الخدمة أو من سلاسل معالجتها للبيانات العامة، دون أن يُنقل إليها أي بيان حساب أو لاعب أو شخص معني.

A2.3. الوضع الفعلي للجوء إلى Google Gemini

تتضمن خدمة TITU استعمالين متمايزين لنموذج لغوي، كلاهما محصور في وقائع وأوصاف تتعلق بالملاعب. وفي الحالتين معاً:

• لا يدخل أي بيان لاعب أو حساب أو مجموعة أو شخص معني في أي طلب موجَّه إلى النموذج؛ فالمحتوى المقدَّم يأتي حصرياً من بطاقات المنشآت ومن مصادر عامة؛
• ولا تُفعَّل أي أداة تصفح أو بحث خارجي أو ولوج إلى قاعدة أماكن تجارية؛
• ولا يُنشَر أي مخرَج من النموذج تلقائياً.

الاستعمال 1 — استخراج الوقائع التقنية. هذا التدفق معطَّل مبدئياً ولم يُنفَّذ قط في الإنتاج. ويفترض إطلاقه اجتماع عدة شروط مستقلة في آن واحد: مؤشر صريح في سطر الأوامر، وتفعيل في بيان مرقَّم بالإصدار، ومتغيّر بيئة مخصص، وهدف تنفيذ مطابق، والبصمة التشفيرية الدقيقة للخطة، وقاعدة بيانات محلية. فمجرد وجود مفتاح واجهة لا يكفي لإطلاق أي شيء. والنطاق محصور في ثلاث حالات تحقق قبل الإطلاق.

الاستعمال 2 — مسودات الوصف. يمكن لتدفق متمايز أن ينتج مسودات وصف للملاعب. وهذه المسودات موسومة بأنها غير قابلة للنشر وغير مراجَعة، ولا تُنشر أبداً دون مراجعة بشرية محدَّدة الهوية، ولا تغذّي لا الدليل العام ولا الصفحات القابلة للفهرسة. ولا يشتغل هذا التدفق إلا إذا ضُبط مفتاح واجهة في بيئة التكامل المستمر.

ويعكس هذا الوصف الحالة الفعلية للخدمة في تاريخ هذه الاتفاقية ولا يستبق أي نشر مستقبلي.

A2.4. الخدمات المضبوطة لكن غير النشطة

من باب الشفافية، ترد الخدمات التالية بوصفها إحالات تقنية داخل الخدمة دون أن تُنادى إلى اليوم: Google Maps / Places (لا وجود لأي نداء في الشفرة؛ ولا يمكن أن يُحفظ مستقبلاً سوى معرّف مكان مبهم، في جدول منفصل، دون استعادة أي محتوى)، وMapbox وOpenCage (خدمتا ترميز جغرافي احتياطيتان، غير مفعَّلتين). ولا تتلقى أي من هذه الخدمات أي بيان في تاريخ هذه الاتفاقية. وسيكون تفعيلها موضوع تحديث لهذا الملحق وفق المادة 5.4.

التدابير الواردة أدناه موصوفة كما هي منفَّذة فعلياً في تاريخ هذه الاتفاقية. ولا تدّعي KAWLET أي شهادة في مجال الأمن أو المطابقة (ولا سيما لا ISO/IEC 27001، ولا SOC 2، ولا HDS، ولا PCI-DSS) ولا تحتج بأي منها بمقتضى هذه الاتفاقية.

A3.1. التحكم في الولوج إلى البيانات

• العزل على مستوى السطر. الأمن على مستوى السطور (row level security) في PostgreSQL مفعَّل على مجموع الجداول التطبيقية، بما فيها التقسيمات. ولا يمكن لطلب أن يُرجع إلا السطور التي تجيزها السياسة المرتبطة بالجدول لطالبها.
• صلاحيات ممنوحة صراحةً. الدور المجهول لا يتوفر على أي صلاحية على الجداول. والدور المُصادَق عليه لا يتوفر إلا على الأفعال الضرورية بشكل صارم، ممنوحةً جدولاً جدولاً. وبذلك يُرفض الولوج على مستوى الصلاحيات قبل تقييم سياسات الأمن أصلاً.
• دور الخدمة. دور تقني موثوق، مقصور على معالجات الخادم، غير خاضع لسياسات الأمن على مستوى السطور — وهذه خاصية لازمة لاستعماله. ولا تُنشر بيانات ولوجه أبداً في تطبيق عميل، ولا سيما في التطبيق الإلكتروني العام.

A3.2. سلامة المعالجات

• منطق العمل يقيم على الخادم. تُنفَّذ العمليات الحساسة في مساطر معاملاتية على مستوى قاعدة البيانات، بصلاحيات محدَّدة، تقفل السطر المعني قبل أن تقرر. فالعميل ينادي عملية؛ وهو لا يحدّد نتيجتها.
• القرارات غير مفوَّضة إلى العميل. القيم الحرجة — ولا سيما الرتبة في قائمة انتظار — تسندها قاعدة البيانات. ولا تتيح أي توقيعة نداء لعميل أن يفرضها.
• الانتقالات الزمنية يطلقها الخادم، بمهمة مبرمَجة في قاعدة البيانات، لا التطبيق. وتغيير ساعة جهاز لا أثر له.

A3.3. عزل بيانات المصادر الخارجية

• الجداول المكوِّنة لـالمخزون الداخلي لبيانات الاتحادات موضوعة تحت الأمن على مستوى السطور دون أي سياسة، وهي موضوع سحب صريح للصلاحيات بالنسبة للدورين المجهول والمُصادَق عليه. ولا يقرأها أي مسار عام ولا أي مسطرة متاحة دون مصادقة.
• ولا يُعرَض سوى إسقاط عام متمايز، محصور في وقائع تنظيمية وخالٍ من أي عمود يمكن أن يستقبل شخصاً.
• وغياب البيانات الشخصية في هذه الجداول خاصية بنيوية في المخطَّط، لا تعليمة استعمال.

A3.4. تخزين الملفات

• حاوية تخزين صور الملفات الشخصية خاصة؛ وتُعاد هذه الحالة بشكل عديم الأثر التراكمي عند كل ترحيل.
• ولا يُولَّد أي عنوان عام دائم. ويتم الولوج بـعنوان URL موقَّع قصير الأمد، محصور في مالك الملف أو في زميل من المجموعة نفسها.
• ويطلق حذفُ حساب تطهيرَ الملف بمهمة مبرمَجة مخصصة، مع إعادة المحاولة في حال الإخفاق.

A3.5. تدبير الأسرار

• الأسرار التي تستعملها قاعدة البيانات (عناوين ورموز نداء دوال الخادم، ومفتاح تشفير رموز مقارَبة الهوية) محفوظة في الخزنة المدمَجة لدى مزوّد قاعدة البيانات، وتُقرأ لحظة الاستعمال.
• ولا يرد أي سر من أسرار الإنتاج في مستودع الشفرة ولا في سجله التاريخي.

A3.6. التشفير

• أثناء النقل. تتم التبادلات بين التطبيقات وقاعدة البيانات وخدمات الغير بـHTTPS/TLS. ولا يوجد أي نداء غير مشفَّر على مسار يعالج بيانات شخصية. وتتولى منصات الاستضافة إنهاء TLS.
• على المستوى التطبيقي. رموز مقارَبة الهوية مشفَّرة في قاعدة البيانات (pgcrypto) بمفتاح محفوظ في الخزنة، وتنتهي صلاحيتها في عشر دقائق.
• وهي ساكنة. يتولى المعالِج الفرعي المستضيف تشفير البيانات التطبيقية وهي ساكنة، طبقاً لالتزاماته التعاقدية الخاصة. ولا تقدّمه KAWLET على أنه تدبير تنفّذه هي بنفسها.

A3.7. التقليل إلى الحد الأدنى وغياب أدوات التتبّع

• يقوم قياس الاستعمال على لائحة مغلقة من الأحداث المسمّاة، دون التقاط تلقائي ولا تسجيل للجلسات؛ والمكتبات التي تتيح هذه الوظائف غير مثبَّتة.
• وإعادة التوجيه نحو عرض شريك لا تودع ولا تقرأ أي ملف تعريف ارتباط ولا تحفظ عنوان IP، ولا معرّف جهاز، ولا معرّف حساب (انظر الملحق 1، A1.3).
• والبيانات المنقولة لتركيب إشعار محصورة في ما هو ضروري بشكل صارم لعرضه.

A3.8. المحو ودورة حياة البيانات

• المحو عند الطلب. تُنفَّذ مسطرة لمحو الحساب. ويطلقها المستخدم بنفسه، ولا تتضمن أي معطى يشير إلى شخص من الغير، وتقتضي تأكيداً صريحاً، وتحرّر الأماكن المشغولة في الجلسات القادمة قبل إغلاق الحساب، وتغلق الولوج إلى الحساب قبل محاولة التطهير (بحيث يبقى الحساب غير قابل للولوج حتى لو أخفق التطهير)، وتحذف البيانات المرتبطة.
• التحقق بالمسح الشامل. يبحث اختبار آلي عن بصمات الحساب المحذوف في كل عمود نصي ومهيكل من مخطَّطات التطبيق والمصادقة والتخزين، بدل البحث في لائحة جداول محدَّدة سلفاً.
• مدد وظيفية. تُطبَّق عدة مدد تقنية بحكم البناء: انتهاء صلاحية رموز المقارَبة (عشر دقائق)، ونافذة التراجع عن اعتذار، وأجل منع تكرار الاستدعاءات، وانتهاء صلاحية الأماكن المحفوظة والعروض، وانتهاء صلاحية أوقات الحجز.
• نطاق هذا الالتزام. لا تدّعي KAWLET وجود سياسة تطهير دوري تلقائي للسجلات التطبيقية ولسجلات المباريات: فمحو البيانات الشخصية يطلقه الشخص المعني أو المسؤول عن المعالجة، ويُتحقَّق منه. أما بيانات المباريات المتبقية فتُجهَّل هويتها.

A3.9. التنظيم

• الولوج إلى بيئات الإنتاج محصور في الأشخاص الذين يحتاجونه.
• الفصل بين بيئات التطوير والاختبار والإنتاج؛ وبيانات التطوير هي بيانات تجريبية.
• تتبّع تعديلات المخطَّط بترحيلات مرقَّمة بالإصدار ومراجَعة.
• اختبارات آلية تتناول على وجه الخصوص العزل، وتبادلية الولوج إلى الأصوات، ومحو الحساب، والطابع الخاص لتخزين الملفات.