قائمة المعالجين من الباطن

إن Animiyo منصة SaaS متعددة المستأجرين لإدارة الحيوانات الأليفة: تطبيق ويب مبني بـ Next.js ومستضاف على Google Cloud Run، وتطبيق iOS أصلي، يتشاركان الواجهة الخلفية نفسها القائمة على Firebase، ضمن مشروع Google Cloud المسمى petdiary-10327. ولا يعمل أي من هذه المكوّنات على أجهزة يملكها من يطوّر الخدمة، لذا فإن كل جزء من البيانات التي تعالجها المنصة يمرّ عبر مزوّد خارجي. ونشر قائمة هؤلاء المزوّدين هو أكثر الطرق مباشرةً لتمكين أي شخص من التحقق من المكان الذي تنتهي إليه بياناته.

تؤدي Animiyo دورين متمايزين. فهي المتحكِّم فيما يخص حسابات مالكي الحيوانات، أي الأشخاص الذين يسجّلون ويستخدمون التطبيق لأنفسهم. وهي بدلًا من ذلك المعالِج فيما يخص البيانات التي يعالجها المستأجرون، أي العيادات البيطرية والمتاجر، عن عملائهم. وتنطبق هذه القائمة في الحالتين، مع اختلاف في الوصف القانوني: ففي الحالة الأولى يكون المزوّدون معالجين معيَّنين من قِبل Animiyo، وفي الثانية يكونون معالجين من الباطن مصرَّحًا بهم بموجب الفقرتين 2 و4 من المادة 28 من اللائحة (EU) 2016/679.

يستخدم هذه الصفحة نوعان من القرّاء. صاحب البيانات، أي الشخص الذي تُعالَج بياناته، يستخدمها للتحقق من أن الإشعار الموجود على /privacy يقول الحقيقة، ولممارسة الحقوق الموصوفة على /diritti-privacy. والمستأجر المتحكِّم يستخدمها للوفاء بالتزام الإعلام المنصوص عليه في الاتفاقية على /dpa، ولتحديث سجلّه الخاص بأنشطة المعالجة، ولاتخاذ قرار بقبول مزوّد أو الاعتراض عليه. ومن ثمّ فإن النشر يفي بالتزام الشفافية تجاه أصحاب البيانات والتزام الإعلام تجاه المستأجرين المتحكِّمين معًا.

الجداول أدناه هي جوهر هذه الوثيقة: أما الفقرات فلا توجد إلا لشرحها. وإذا تغيّر صف، تغيّر معه تاريخ التحديث في أعلى الصفحة، وظهر بند في سجلّ التغييرات في النهاية.

لا يُفعَّل مزوّد إلا بعد اجتيازه مجموعة ثابتة من الفحوص، تُطبَّق دائمًا بالترتيب نفسه. وليس هذا تقييمًا تقديريًا: بل هي متطلبات دنيا، والمزوّد الذي يخفق فيها لا يدخل المنصة، مهما كانت الخدمة مريحة أو رخيصة.

• ضمانات كافية بموجب الفقرة 1 من المادة 28: اتفاقية معالجة بيانات موقَّعة، وتدابير أمنية موثَّقة، وشفافية بشأن مكان الاحتفاظ بالبيانات.
• حظر مطلق للبنود التي تتيح للمزوّد معالجة البيانات لأغراضه الخاصة، بما في ذلك تدريب نماذج الذكاء الاصطناعي، دون موافقة منفصلة قابلة للإلغاء.
• الإخطار بالخرق خلال أربع وعشرين ساعة، ويُقبَل حتى ثماني وأربعين ساعة.
• الالتزام بحذف البيانات خلال ثلاثين يومًا من انتهاء العلاقة، مع تأكيد كتابي بأن الحذف قد تمّ.
• نشر المزوّد لقائمته الخاصة بالمعالجين من الباطن الآخرين.
• التقليل إلى أدنى حد: للوظيفة نفسها نختار المزوّد الذي يتلقى أقل قدر لازم من البيانات.

هناك شرط واحد وحده غير قابل للتفاوض. لا يجوز لأي مزوّد معالجة بيانات المستخدمين لأغراضه الخاصة، وعلى وجه الخصوص لتدريب نماذج الذكاء الاصطناعي، دون موافقة منفصلة ومستنيرة وقابلة للإلغاء. وفي كل نقطة أخرى يمكن موازنة بند أقل مواتاة بتدابير تقنية أو تنظيمية؛ أما في هذه النقطة فلا يمكن ذلك، لأن البيانات التي دخلت نموذجًا لم يعد يمكن استرجاعها أو حذفها بأي طريقة قابلة للتحقق. وإذا أدخل مزوّد مثل هذا البند في شروطه، تُستبدَل الخدمة عبر الإجراء الموصوف أدناه.

هذا هو الجدول الرئيسي للوثيقة. فهو يبيّن لكل مزوّد الخدمة، وفئات البيانات المُستلَمة، ومكان إجراء المعالجة، والصفة القانونية. وتُقرأ الصفة معالِج لأن المزوّد يعالج البيانات بالنيابة عن Animiyo وبناءً على تعليماتها؛ أما تجاه المستأجرين المتحكِّمين فيكون المزوّد نفسه معالِجًا من الباطن مصرَّحًا به.

تظهر مجموعة Google ثماني مرات بدلًا من مرة واحدة. وليس هذا تكرارًا بلا معنى: فكل صف خدمة منفصلة، لها إعداداتها الخاصة، وموقعها الخاص، وفئة بياناتها الخاصة. فـ Firebase Authentication يعرف عنوان البريد الإلكتروني لكنه لا يعرف محتويات السجل الصحي؛ وCloud Storage for Firebase يحتفظ بالصور لكنه لا يعرف شيئًا عن المواعيد؛ وGoogle Analytics 4 لا يرى إلا الموقع العلني ولا يرى قط المنطقة التي يتطلب الدخول إليها تسجيلًا. وسرد الخدمات على حدة يجعل من الممكن فهم أي بيانات ستكون معنيّة في حادث يمسّ واحدة منها فقط، واستبدال واحدة دون المساس بالأخريات.

تشير عبارة بنية تحتية عالمية إلى الخدمات التي لا تتيح اختيار منطقة معالجة: فالمزوّد يقدّمها من شبكة موزَّعة، وقد تُعالَج البيانات في أكثر من موقع. وينطبق هذا على الإشعارات الفورية، وعلى فحوص منع الاحتيال، وعلى قياس الموقع العلني، أي على الخدمات التي تعالج مُعرِّفات تقنية لا محتوى الحسابات. وفي هذه الحالات يكون أساس النقل هو نفسه الموصوف في قسم موقع البيانات.

تظهر Stripe Payments Europe Limited في القائمة رغم أنها لا تتلقى أي بيانات. فالتكامل موجود في الشيفرة لكن البوابة معطَّلة بواسطة علامة إعداد، ولذا لا تغادر أي معلومات دفع المنصة. ويبقى الصف في الجدول من أجل الشفافية: فيوم يُفعَّل ذلك الإعداد لن يكون مفاجأة خفية، وسيتبع التفعيل على أي حال مدة الإخطار المحددة لتغييرات المعالجين من الباطن.

تقرأ بعض ميزات المنصة معلومات من قواعد بيانات علنية: نشرة دواء، أو القيمة الغذائية لطعام، أو وصف سلالة، أو سعر صرف، أو بلاطة خريطة. وهذه استدعاءات لا تقرأ إلا البيانات، وتنطلق من متصفح المستخدم، ولا تحمل مُعرِّف الحساب ولا أي محتوى من اليوميات. غير أنها تنقل عنوان IP الخاص بالمتصفح والتفاصيل التقنية للطلب، ولهذا يجب الإفصاح عنها.

هذه الخدمات ليست معالجين، لأنها لا تعالج البيانات بالنيابة عن Animiyo ولا تتلقى منها أي تعليمات بشأن كيفية استخدام المعلومات التي تحصل عليها. وفيما يخص بيانات الاتصال التي تجمعها فهي متحكِّمون مستقلون: فهي تحدد الأغراض والوسائل بنفسها، وتطبّق إشعاراتها الخاصة، وتجيب مباشرةً عن خياراتها الخاصة. وليس هذا الفارق شكليًا. فالمعالِج لا يعالج البيانات إلا كما قيل له ويحذفها عند الطلب؛ أما المتحكِّم المستقل فيجيب بصفته الخاصة، ويجب توجيه الطلبات المتعلقة ببيانات الاتصال تلك إليه.

تقع الموارد الرئيسية للمنصة في منطقة us-central1، في الولايات المتحدة. وهذا يعني أن بيانات الحسابات، والمحتوى المرفوع، وسجلات النظام تُعالَج خارج المنطقة الاقتصادية الأوروبية، وأن النقل يجب أن يستند إلى أساس قانوني صالح وإلى تدابير تقنية ملائمة.

الضمانات المصاحبة للنقل إلى الولايات المتحدة هي التالية.

• Google Ireland Limited بوصفها الطرف المتعاقد، بموجب شروط معالجة البيانات الخاصة بـ Google Cloud.
• البنود التعاقدية النموذجية التي اعتمدتها المفوضية الأوروبية بالقرار التنفيذي 2021/914.
• شهادة Google LLC بموجب إطار خصوصية البيانات بين الاتحاد الأوروبي والولايات المتحدة.
• تشفير البيانات أثناء النقل بواسطة TLS، وأثناء الاحتفاظ بها بواسطة AES بطول 256 بت.
• تقييم أثر النقل الموثَّق من قِبل المالك.
• سياسة Google بشأن التعامل مع طلبات السلطات العامة.

يُنظَر في نقل الموارد إلى منطقة أوروبية، في نطاق europe-west. وليس هذا قرارًا نهائيًا، لأنه يعني إعادة بناء جزء من البنية التحتية وقبول فترة يتوقف فيها توافر الخدمة. وإذا حدث، فسيُعلَن عنه على هذه الصفحة بمدة الإخطار نفسها المحددة لإضافة معالِج من الباطن أو استبداله، حتى يتمكن المستأجرون المتحكِّمون من تحديث وثائقهم الخاصة قبل أن يصبح التغيير ساري المفعول.

تجاه المستأجرين المتحكِّمين، يستند استخدام المزوّدين المدرجين إلى تصريح عام بموجب الفقرة 4 من المادة 28 من اللائحة (EU) 2016/679. والتصريح العام ليس شيكًا على بياض: فمن يمنحه يحتفظ بحق معرفة ما يتغيّر مقدَّمًا وبحق الاعتراض. ويصف الإجراء أدناه كيف يُمارَس هذا الحق عمليًا.

1. 1

   نشر الإخطار

   قبل ثلاثين يومًا على الأقل من إضافة معالِج من الباطن أو استبداله، يُنشَر التغيير على هذه الصفحة، مع بيان المزوّد، والخدمة، والبيانات المعنيّة، وتاريخ التفعيل المخطَّط له.

2. 2

   رسالة إلى المستأجر

   بالتزامن مع النشر، يُرسَل الإخطار إلى عنوان البريد الإلكتروني الذي أدخله المستأجر في ملفه الشخصي. والحفاظ على تحديث هذا العنوان ومتابعته من مسؤولية المستأجر.

3. 3

   اعتراض مسبَّب

   يجوز للمستأجر الاعتراض خلال خمسة عشر يومًا من الإخطار، مع بيان أسباب الاعتراض. وتُرسَل الاعتراضات من صفحة /contatti، ويجب أن تكون مسبَّبة، أي أن تشرح أي خطر أو أي قيد يجعل المزوّد المقترَح غير مقبول.

4. 4

   البحث عن تدبير بديل

   قبل تاريخ التفعيل نقيّم ما إذا كان يمكن حلّ الاعتراض بتدابير بديلة: إعداد مختلف، أو منطقة مختلفة، أو تقليل البيانات المُرسَلة، أو مزوّد مختلف لتلك الوظيفة.

5. 5

   الإنهاء دون غرامة

   إذا تعذّر حلّ الاعتراض، جاز للمستأجر المتحكِّم إنهاء الجزء من الخدمة المتأثر بالتغيير دون غرامة، بالطريقة المنصوص عليها في الاتفاقية المنشورة على /dpa.

هناك استثناء وحيد من مدة الإخطار البالغة ثلاثين يومًا. فإذا وجب استبدال مزوّد لأسباب أمنية، مثلًا بعد ثغرة خطيرة أو التوقف المفاجئ لخدمة، جاز أن يتم الاستبدال بإخطار مختصَر. وفي هذه الحالة تكون الرسالة إلى المستأجرين فورية ويبقى حق الاعتراض سليمًا، لكنه يُمارَس بعد التغيير لا قبله. فالانتظار ثلاثين يومًا في مواجهة خطر قائم من شأنه أن يضرّ تحديدًا بالأشخاص الذين وُضِع الإجراء لحمايتهم.

تغطي هذه القائمة المزوّدين الذين اختارتهم Animiyo لتشغيل المنصة. ولا تغطي المزوّدين الذين يختارهم المستأجر. فعندما تربط عيادة بيطرية أو متجر أدواته الخاصة، أو تصدّر بيانات من المنصة، أو تمرّرها إلى مزوّديها الخاصين، لا يظهر هؤلاء المزوّدون هنا ويبقون من مسؤولية المستأجر: فعلى المستأجر تعيينهم بوصفهم معالجين وإعلام أصحاب بياناته.

يهمّ هذا التمييز قبل كل شيء الأشخاص الذين تركوا بياناتهم لدى عيادة أو متجر. فإذا كان الطلب يتعلق بمزوّد اختاره المستأجر بنفسه، وجب توجيهه إلى المستأجر، لأن المستأجر هو المتحكِّم في تلك المعالجة والمستأجر وحده يعرف أي أدوات ربطها. وتبقى هذه الصفحة مع ذلك نقطة البداية لفهم أي المزوّدين مشترك بين الجميع وأيهم ليس كذلك.

تقول قائمة المعالجين من الباطن الكثير من خلال ما تحذفه. ففئات المزوّدين أدناه غائبة عن المنصة، وغيابها خيار تصميمي، لا وضع مؤقت ينتظر الميزانية.

• لا شبكة إعلانات، ولا وسيط بيانات، ولا مزوّد تنميط تجاري.
• لا مزوّد لنماذج الذكاء الاصطناعي يتلقى بيانات المستخدمين.
• لا خدمة دعم عملاء خارجية لها وصول إلى البيانات.
• لا نظام بريد تسويقي يُغذَّى بقاعدة المستخدمين.
• لا بيع أو نقل للبيانات إلى أطراف ثالثة.

يقابل كل بند من هذه البنود مزوّدًا لا يظهر في الجدول الرئيسي ولن يظهر دون الإخطار الموصوف أعلاه. وإذا أصبحت إحدى هذه الفئات ضرورية يومًا ما، فستتبع الإضافة إجراء الإخطار والاعتراض نفسه المحدد لسائر المزوّدين، وللأغراض التي تتطلب موافقة ستُجمَع تلك الموافقة على نحو منفصل وقابل للإلغاء.

يُنشَر كل تغيير على هذه القائمة على هذه الصفحة نفسها، وهي المصدر الموثوق. ويُخطَر المستأجرون المتحكِّمون إضافةً إلى ذلك على عنوان البريد الإلكتروني المُدخَل في ملفهم الشخصي، لأن الإخطار بالنسبة إليهم له آثار تعاقدية لا مجرد آثار إعلامية.

أبسط طريقة لمعرفة ما إذا كان شيء قد تغيّر هي التحقق من تاريخ التحديث في أعلى الصفحة ومقارنته بسجلّ التغييرات في النهاية. وللأسئلة حول القائمة، أو لطلب الوثائق التعاقدية المتعلقة بمزوّد، أو لإبداء اعتراض، استخدم صفحة /contatti، وهي القناة الوحيدة لجميع المراسلات المتعلقة بهذه الوثيقة.

تُضاف المراجعات اللاحقة إلى هذا الجدول وتُتتبَّع في تاريخ التحكم في الإصدارات الخاص بالشيفرة، الذي يحفظ النص الدقيق لكل نسخة مع تاريخ التغيير. ويمكن لكل من يحتاج إلى إعادة بناء أي قائمة كانت سارية في لحظة معيّنة أن يسأل عبر صفحة /contatti.