من هم الأطراف
عندما تستخدم (“العميل”) QRA لإدارة رموز QR لعملائك، فإنك تكون مراقب البيانات وQRA معالج البيانات. لا نعالج بيانات العميل إلا بناءً على تعليماته الموثّقة — وإنشاء مساحة العمل واستخدام لوحة التحكّم يشكّلان التعليمات.
ما الذي نعالجه نيابة عنك
- بيانات مساحة العمل: بريد وأسماء الأعضاء، رموز QR، الوجهات، المجلدات والوسوم، عناصر العلامة التجاريّة، النطاقات المخصّصة.
- بيانات أحداث المسح: الوقت، الدولة، فئة الجهاز، النظام، المتصفّح، IP مجزّأ، المصدر. لا معلومات هويّة شخصيّة عن الزوّار.
- سجلّ التدقيق: من فعل ماذا في مساحة العمل، يُحفظ ١٨٠ يوماً للمساءلة.
المعالجون الفرعيّون
نستعين بالمعالجين الفرعيّين الآتين. سنُشعر العملاء عبر البريد قبل ٣٠ يوماً على الأقلّ من إضافة أو استبدال أي معالج فرعي (اشترك عبر privacy@qra.cc).
- Supabase — قاعدة بيانات Postgres والمصادقة والتخزين. المنطقة: AWS eu-central-1 (فرانكفورت). DPA: supabase.com/legal/dpa.
- Vercel — استضافة الويب وزمن التشغيل اللاخادمي. المنطقة: حافة عالميّة مع شرق الولايات المتّحدة كأساس. DPA: vercel.com/legal/dpa.
- Cloudflare — DNS وعمل إعادة توجيه المسح (نقاط جدّة والبحرين ودبي). DPA: cloudflare.com/cloudflare-customer-dpa.
- Resend — البريد المعاملاتي (الدعوات، التأكيدات، إشعارات الفوترة). المنطقة: AWS us-east-1. DPA: resend.com/legal/dpa.
- Tap Payments — معالجة بطاقات الدفع لمنطقة الخليج والشرق الأوسط (معيار PCI-DSS المستوى الأوّل). لا تستقبل سوى البيانات اللازمة للدفع (لا نرى أرقام البطاقات الكاملة).
النقل الدولي للبيانات
تُحفظ بيانات مساحة العمل في الاتحاد الأوروبي (Supabase فرانكفورت). تصل سجلّات إعادة التوجيه إلى أقرب نقطة Cloudflare — وهي عادةً جدّة أو البحرين أو دبي لعملاء المنطقة. يستند نقل البيانات من الاتحاد الأوروبي إلى المعالجين خارجه إلى البنود التعاقديّة القياسيّة (SCC). تُعالج بيانات العملاء في السعوديّة وفق متطلّبات نقل البيانات في نظام PDPL.
الاحتفاظ والحذف
- البيانات النشطة: تُحفظ ما دامت مساحة عملك نشطة.
- تحليلات المسح: تُحفظ أحداث المسح الخام ١٨ شهراً؛ والتجميعات اليوميّة لخمس سنوات.
- سجلّ التدقيق: ١٨٠ يوماً.
- عند حذف مساحة العمل: تُمحى كل البيانات خلال ٣٠ يوماً (عبر إجراءات الحذف في Supabase). تُستبدَل النسخ الاحتياطيّة خلال ٩٠ يوماً.
التزامات الأمان
- التشفير أثناء النقل (TLS 1.2+) وعند التخزين (AES-256 في Supabase).
- أمان مستوى الصفّ (RLS) على كل جدول متعدّد المستأجرين. تُعزَل بيانات مساحات العمل على مستوى قاعدة البيانات.
- مصادقة ثنائيّة TOTP اختياريّة لأي عضو في مساحة العمل (فعّلها من إعدادات الأمان).
- لا تُرسَل بيانات اعتماد دور الخدمة إلى المتصفّح. تمرّ كلّ عمليّات الكتابة عبر مسارات خادميّة موثّقة.
الإشعار بالاختراق
إن اكتشفنا اختراقاً للبيانات الشخصيّة يطال بياناتك، فسنُشعر مالك مساحة عملك بالبريد خلال ٧٢ ساعة، تماشياً مع المادّة ٣٣ من GDPR ومتطلّبات PDPL السعودي. سيتضمّن الإشعار ما نعرفه وما نفعله وما نوصيك بفعله.
التدقيق وتوقيع الـ DPA
يستطيع عملاء المؤسّسات طلب نسخة موقّعة من الـ DPA (DOCX). راسل legal@qra.cc باسم الشركة القانوني والموقّع، وسنُعيد النسخة الموقّعة خلال ٥ أيّام عمل. لاستبيان أمني، أرفِق SIG/CAIQ أو القالب الداخلي وسنُعبّئه.