1. الطرفان والأدوار
1.1. اتفاقية معالجة البيانات هذه («الاتفاقية») ملحق بـاتفاقية البيع والاشتراك المبرمة بين شركة Sora Yazılım Teknolojileri ((سيتم تحديده)؛ Atatürk Mah. Ertuğrul Gazi Sk. Metropol İstanbul C1 Blok No: 2B İç Kapı No: 376, Ataşehir/İstanbul) («Sora Yazılım») والمنشأة التي تسجّل في Sora İK («العميل»)، وهي جزء لا يتجزأ منها.
1.2. بموجب KVKK (قانون حماية البيانات الشخصية التركي رقم 6698؛ «القانون»)، وفيما يخص البيانات الشخصية التي يحمّلها العميل على Sora İK أو ينشئها فيه («البيانات الشخصية للعميل»):
- العميل هو مسؤول البيانات (veri sorumlusu): وهو، وفقًا للبند (ı) من الفقرة الأولى من المادة 3 من القانون، الطرف الذي يحدد أغراض معالجة البيانات الشخصية ووسائلها، والمسؤول عن إنشاء نظام تسجيل البيانات وإدارته.
- Sora Yazılım هي معالج البيانات (veri işleyen): وهي، وفقًا للبند (ğ) من الفقرة الأولى من المادة 3 من القانون، الطرف الذي يعالج البيانات الشخصية نيابةً عن مسؤول البيانات استنادًا إلى الصلاحية التي يمنحها إياه.
1.3. لا تدخل في نطاق هذه الاتفاقية البيانات الخاصة بعلاقة Sora Yazılım مع عملائها (مثل بيانات الحساب والاتصال والفوترة الخاصة بمفوَّضي العميل)؛ فـ Sora Yazılım هي مسؤول البيانات بشأن هذه البيانات، ويُطبَّق عليها إشعار KVKK.
1.4. للمصطلحات غير المعرَّفة في هذه الاتفاقية المعاني الواردة في اتفاقية البيع والاشتراك وفي القانون.
2. موضوع المعالجة وطبيعتها وغرضها ومدتها
| العنصر | الوصف |
|---|---|
| الموضوع | تقديم برنامج Sora İK لإدارة الموارد البشرية إلى العميل في إطار اتفاقية البيع والاشتراك |
| الطبيعة | تسجيل البيانات الشخصية للعميل، وتخزينها، وعرضها، وتنظيمها، واستخدامها في الحسابات والتقارير، ونقلها أو تصديرها بطلب من العميل، ونسخها احتياطيًا، وحذفها |
| الغرض | حصريًا: استخدام العميل للخدمة، وتشغيل الخدمة تقنيًا، وضمان أمنها، وتقديم الدعم للعميل |
| المدة | مدة اتفاقية البيع والاشتراك، مضافًا إليها مدة الحذف الواردة في البند 11 حتى نهايتها |
3. فئات البيانات الشخصية ومجموعات أصحاب البيانات
تختلف البيانات المعالجة بحسب الوحدات التي يستخدمها العميل والمعلومات التي يُدخلها في الخدمة. والبيانات التي قد تُعالج تبعًا لاستخدام العميل هي:
| مجموعة أصحاب البيانات | فئات البيانات الشخصية |
|---|---|
| موظفو العميل وموظفوه السابقون (بمن فيهم المتدربون) | الهوية، والاتصال، والملف الوظيفي (المنصب، والوحدة، وتاريخا التعيين وإنهاء الخدمة، والعقد والمستندات)، والبيانات المالية (الأجر، والرواتب، وبيانات الحساب المصرفي)، والإجازات والحضور (كشف الحضور، وسجلات الدخول والخروج)، والأداء والتدريب، والخبرة المهنية، والتسجيلات المرئية (الصورة الشخصية)، وأمن المعاملات (سجلات الجلسات والعمليات) |
| المرشحون للتوظيف لدى العميل | الهوية، والاتصال، والسيرة الذاتية والخبرة المهنية، وتقييمات الطلبات والمقابلات |
| مستخدمو الخدمة لدى العميل (المديرون، وموظفو الموارد البشرية) | الهوية، والاتصال، ودور المستخدم وصلاحياته، وأمن المعاملات (سجلات الجلسات والتدقيق) |
| أقارب الموظفين (في حال إبلاغ العميل بهم) | الهوية والاتصال (مثل الشخص الذي يُتصل به في حالات الطوارئ) |
البيانات الشخصية ذات الطبيعة الخاصة: تبعًا لاستخدام العميل، قد تُعالج بيانات صحية (مثل الإجازات المستندة إلى تقارير طبية، وحالة الإعاقة)، وبيانات العضوية في جمعية أو وقف أو نقابة (مثل الاستقطاعات من الرواتب)، وبيانات تتعلق بالإدانات الجنائية وتدابير الأمن (مثل صحيفة السوابق العدلية). ويتحمل العميل مسؤولية استناد هذه البيانات إلى شرط معالجة مطابق للمادة 6 من القانون. ويُبلغ العميل Sora Yazılım كتابيًا قبل تحميل أي بيانات شخصية ذات طبيعة خاصة غير مذكورة في هذا الجدول على الخدمة.
4. المعالجة بالتعليمات والتزامات العميل
4.1. تعالج Sora Yazılım البيانات الشخصية للعميل بناءً على تعليمات العميل الموثَّقة فقط. ويدخل في هذا الإطار: اتفاقية البيع والاشتراك، وهذه الاتفاقية، والإعدادات التي يجريها العميل في الخدمة، وعمليات المستخدمين في الخدمة، وتعليمات العميل الكتابية.
4.2. لا تستخدم Sora Yazılım البيانات الشخصية للعميل لأغراضها الخاصة، ولا تبيعها، ولا تعالجها لأغراض الإعلان أو التنميط، ولا تنقلها إلى أطراف ثالثة خارج تعليمات العميل. وإذا نشأ التزام قانوني بالنقل إلى الجهات المختصة، فإنها تُبلغ العميل مسبقًا بالقدر الذي تسمح به التشريعات.
4.3. إذا رأت Sora Yazılım أن تعليماتٍ ما مخالفة للقانون أو لغيره من التشريعات، فإنها تُبلغ العميل دون تأخير، ويجوز لها تعليق المعالجة المعنية إلى أن تتضح التعليمات.
4.4. يتحمل العميل مسؤولية تحميل البيانات الشخصية للعميل على الخدمة بصورة مشروعة، والإفصاح لأصحاب البيانات، والحصول على الموافقة الصريحة في الحالات التي تقتضي ذلك، وصحة البيانات، وتحديد صلاحيات المستخدمين.
5. التزام السرية
5.1. وفقًا للفقرة الرابعة من المادة 12 من القانون، لا تُفصح Sora Yazılım لغيرها عن البيانات الشخصية للعميل التي تطّلع عليها خلافًا لأحكام القانون، ولا تستخدمها لغير غرض المعالجة. ويستمر هذا الالتزام بعد انتهاء الاتفاقية.
5.2. تضمن Sora Yazılım ألا يصل إلى البيانات الشخصية للعميل إلا موظفوها الذين يقتضي عملهم ذلك، وأن يكون هؤلاء الموظفون خاضعين لالتزام مكتوب بالسرية. ولا يتم الوصول إلى حساب العميل لأغراض الدعم إلا بالقدر اللازم بناءً على طلب العميل أو لضمان أمن الخدمة.
6. المعالجون من الباطن
6.1. يمنح العميل Sora Yazılım إذنًا عامًا بالاستعانة بالمعالجين من الباطن (alt işleyen) التالين. وتُنشر القائمة نفسها أيضًا في صفحة الأمان وحماية البيانات.
| المعالج من الباطن | الخدمة | الموقع |
|---|---|---|
| (سيتم تحديده) | استضافة الخوادم وقواعد البيانات والنسخ الاحتياطية | (سيتم تحديده) |
| (سيتم تحديده) | إرسال رسائل البريد الإلكتروني الخاصة بالإشعارات | (سيتم تحديده) |
| Cloudflare, Inc. | إدارة اسم النطاق (DNS) وتوزيع ملفات الوسائط (media.sora-ik.com) | خارج تركيا (شبكة Cloudflare العالمية) |
| Cloudflare R2 (Cloudflare, Inc.) | تخزين ملفات مستندات الموظفين والنسخ الاحتياطية لقاعدة البيانات | أوروبا (أوروبا الشرقية، تلميح الموقع EEUR؛ ولا يُستخدم خيار الاختصاص القضائي للاتحاد الأوروبي) |
| Cloudflare Turnstile (Cloudflare, Inc.) | التحقق من برامج الروبوت في النماذج | خارج تركيا |
6.2. تُبرم Sora Yazılım مع المعالجين من الباطن عقودًا تتضمن التزامات لحماية البيانات لا تقل حمايةً عن الالتزامات الواردة في هذه الاتفاقية، وتكون مسؤولة أمام العميل عن وفاء المعالجين من الباطن بهذه الالتزامات.
6.3. تُرسل Sora Yazılım إلى العميل إشعارًا عبر البريد الإلكتروني قبل 30 يومًا على الأقل من إضافة معالج جديد من الباطن أو تغيير أحدهم، وتحدّث القائمة. ويجوز للعميل الاعتراض مع بيان الأسباب خلال 30 يومًا من الإشعار. وإذا لم يتوصل الطرفان إلى حل معقول، جاز للعميل فسخ اتفاقية البيع والاشتراك قبل نفاذ التغيير؛ وفي هذه الحالة تُرد قيمة المدة المتبقية من فترة الاشتراك.
7. التدابير الفنية والإدارية
7.1. تطبّق Sora Yazılım في إطار الخدمة، وفي إطار الفقرة الأولى من المادة 12 من القانون، التدابير التالية على الأقل بهدف منع المعالجة غير المشروعة للبيانات الشخصية والوصول غير المشروع إليها وضمان حفظها:
| التدبير | التطبيق |
|---|---|
| التشفير أثناء النقل | تُشفَّر حركة الخدمة باستخدام TLS، وتُنشأ الاتصالات عبر HTTPS |
| أمان كلمات المرور | تُحفظ كلمات المرور بصورة غير قابلة للعكس باستخدام خوارزمية argon2id |
| تفويض الوصول | يُقيَّد الوصول إلى الخدمة على أساس الأدوار والصلاحيات، ويحدد العميل أدوار المستخدمين بنفسه |
| سجل التدقيق | تُدوَّن عمليات الإدارة في سجل التدقيق |
| منع إساءة الاستخدام | يُطبَّق تقييد عدد الطلبات في عمليات الدخول والحساب، ويُستخدم التحقق من برامج الروبوت في النماذج |
| تقليل البيانات في سجلات النظام | تُخفى عناوين البريد الإلكتروني جزئيًا في سجلات النظام، ولا تُسجَّل سلاسل الاستعلام |
| النسخ الاحتياطي | تُؤخذ النسخ الاحتياطية (سيتم تحديده) |
| الموظفون | يُقيَّد الوصول بمقتضيات العمل، ويخضع الموظفون الذين يصلون إلى البيانات لالتزام بالسرية |
7.2. وفقًا للفقرة الثانية من المادة 12 من القانون، إذا عالج شخص آخر البيانات الشخصية نيابةً عن مسؤول البيانات، كان مسؤول البيانات مسؤولًا بالتضامن مع ذلك الشخص عن اتخاذ هذه التدابير. ويلتزم العميل كذلك، داخل منظمته، بضمان أمن حسابات المستخدمين، ومنح الصلاحيات وفقًا لمبدأ الضرورة، وإغلاق وصول الموظفين الذين تنتهي خدمتهم.
7.3. يتعاون الطرفان لاتخاذ التدابير الكافية التي يحددها مجلس حماية البيانات الشخصية التركي (Kişisel Verileri Koruma Kurulu) وفقًا للفقرة الرابعة من المادة 6 من القانون بشأن البيانات الشخصية ذات الطبيعة الخاصة.
8. الإخطار بخرق البيانات الشخصية
8.1. عندما تكتشف Sora Yazılım أن الغير قد حصل على البيانات الشخصية للعميل بطرق غير مشروعة، فإنها تُبلغ العميل دون تأخير. ويتفق هذا الالتزام مع المبدأ الوارد في قرار مجلس حماية البيانات الشخصية رقم 2019/10 المؤرخ 24.01.2019، الذي يوجب على معالج البيانات إخطار مسؤول البيانات بالخرق دون أي تأخير.
8.2. يتضمن الإخطار، بالقدر المعروف في حينه: طبيعة الخرق، وفئات البيانات المتأثرة، والعدد التقريبي لأصحاب البيانات والسجلات المعنية، وعواقبه المحتملة، والتدابير المتخذة والمقترحة، وجهة الاتصال لدى Sora Yazılım. وإذا تعذّر تقديم المعلومات كلها في وقت واحد، فإنها تُقدَّم على مراحل دون التسبب في تأخير.
8.3. وفقًا للفقرة الخامسة من المادة 12 من القانون، يقع على العميل، بصفته مسؤول البيانات، التزام إخطار أصحاب البيانات ومجلس حماية البيانات الشخصية بالخرق. وتقدّم Sora Yazılım المعلومات اللازمة لتمكين العميل من القيام بهذه الإخطارات، وتتعاون معه للحد من آثار الخرق. ولا تقوم Sora Yazılım من تلقاء نفسها بإخطار أصحاب البيانات أو المجلس نيابةً عن العميل، ما لم يكن ذلك إلزاميًا قانونًا.
9. المساعدة في طلبات أصحاب البيانات
9.1. يبتّ العميل، بصفته مسؤول البيانات، في طلبات أصحاب البيانات المتعلقة بحقوقهم الواردة في المادة 11 من القانون وفقًا للمادة 13 من القانون.
9.2. تحيل Sora Yazılım إلى العميل دون تأخير الطلبات المتعلقة بالبيانات الشخصية للعميل التي تصلها مباشرةً، ولا ترد على الطلب بنفسها دون تعليمات من العميل.
9.3. تتيح الخدمة عرض البيانات وتصحيحها وتصديرها وحذفها لتمكين العميل من الرد على الطلبات. وفي الحالات التي لا تكفي فيها الأدوات التي تقدمها الخدمة، تقدّم Sora Yazılım دعمًا فنيًا بقدر معقول.
10. التدقيق
10.1. وفقًا للفقرة الثالثة من المادة 12 من القانون، ولتمكين مسؤول البيانات من الوفاء بالتزامه بإجراء التدقيق أو تكليف من يجريه، تقدّم Sora Yazılım، بناءً على طلب كتابي من العميل وخلال مدة معقولة، المعلومات والوثائق التي تثبت التزامها بهذه الاتفاقية.
10.2. إذا لم تكن المعلومات والوثائق كافية، يجوز للعميل إجراء تدقيق بنفسه أو عبر مدقق مستقل خاضع لالتزام بالسرية. ويُبلَّغ عن التدقيق كتابيًا قبل 30 يومًا على الأقل، ويُجرى خلال ساعات العمل وبما لا يعطّل سير الخدمة، ويقتصر على مرة واحدة في السنة ما لم يقع خرق أو يرد طلب من سلطة مختصة، وتقع تكلفته على العميل. ولا يتيح التدقيق الوصول إلى بيانات العملاء الآخرين أو إلى الأسرار التجارية لـ Sora Yazılım.
11. الحذف والإعادة عند انتهاء الاتفاقية
11.1. يجوز للعميل، خلال 30 يومًا من انتهاء اتفاقية البيع والاشتراك، تصدير البيانات الشخصية للعميل بصيغة CSV، أو طلب تصديرها.
11.2. عند انقضاء هذه المدة، تُحذف البيانات الشخصية للعميل من الأنظمة الحية. وتُحذف النسخ الموجودة في النسخ الاحتياطية ضمن دورة النسخ الاحتياطي عند انقضاء (سيتم تحديده)؛ ولا تُحفظ النسخ الاحتياطية خلال هذه المدة إلا لغرض التعافي من الكوارث، ولا تُعالج لأي غرض آخر.
11.3. إذا طلب العميل ذلك، يُؤكَّد إجراء الحذف كتابيًا. ولا تُحفظ البيانات التي يُلزم القانون بحفظها إلا للمدة والغرض اللذين يقتضيهما هذا الالتزام.
11.4. يتحمل العميل مسؤولية تصدير البيانات الخاضعة لالتزامات الحفظ القانونية الخاصة به، مثل ملفات الموظفين الشخصية، خلال المدة المحددة.
12. النقل إلى خارج تركيا
12.1. تُحفظ البيانات الشخصية للعميل في خوادم موجودة في (سيتم تحديده).
12.2. لما كانت ملفات مستندات الموظفين والنسخ الاحتياطية لقاعدة البيانات تُحفظ في Cloudflare R2 على خوادم خارج تركيا (في أوروبا)، فإن البيانات الشخصية للعميل تُعالج خارج تركيا. ويُعد هذا النقل، وكذلك النقل إلى المعالجين الآخرين من الباطن الموجودين خارج تركيا والمذكورين في البند 6، نقلًا إلى الخارج في إطار المادة 9 من القانون.
12.3. يجري النقل إلى الخارج وفقًا للشروط المنصوص عليها في المادة 9 من القانون. وفي حال استخدام العقد النموذجي بوصفه ضمانة ملائمة، يُبلَّغ العقد إلى هيئة حماية البيانات الشخصية التركية (Kişisel Verileri Koruma Kurumu) خلال خمسة أيام عمل من تاريخ توقيعه، وفقًا للفقرة الخامسة من المادة 9 من القانون. الأساس على مستوى كل معالج من الباطن:.
12.4. بموافقة العميل على هذه الاتفاقية، فإنه يُصدر تعليماته إلى Sora Yazılım بإجراء النقل إلى المعالجين من الباطن المذكورين في البند 6. ويتحمل العميل مسؤولية ضمان توافر شرط المعالجة الذي يستند إليه النقل، والإفصاح لأصحاب البيانات بشأنه.
13. المسؤولية والأولوية
13.1. تخضع مسؤولية الطرفين الناشئة عن هذه الاتفاقية لأحكام المسؤولية الواردة في اتفاقية البيع والاشتراك، وتبقى المسؤوليات الآمرة الناشئة عن القانون محفوظة.
13.2. تكون لهذه الاتفاقية الأولوية على اتفاقية البيع والاشتراك في المسائل المتعلقة بحماية البيانات الشخصية.
14. النفاذ والتعديلات
14.1. يُوافَق على هذه الاتفاقية إلكترونيًا في نموذج التسجيل مع اتفاقية البيع والاشتراك، وتدخل حيز النفاذ في تاريخ نفاذ اتفاقية البيع والاشتراك. وتظل الاتفاقية سارية حتى اكتمال عمليات الحذف الواردة في البند 11.
14.2. تخضع التعديلات على هذه الاتفاقية للبند 16 من اتفاقية البيع والاشتراك المتعلق بالتعديلات. وتبقى التعديلات الإلزامية الناشئة عن تغيّر التشريعات محفوظة.
14.3. إصدار الاتفاقية: 1.2.
هذا النص ترجمة للنص الأصلي باللغة التركية، وفي حال وجود أي اختلاف يُعتمد النص التركي.