اتفاقية معالجة البيانات (DPA)

في إطار القانون التركي رقم 6698 لحماية البيانات الشخصية وتشريعاته الثانوية · الإصدار 1.0 · آخر تحديث: 12 يونيو 2026

المادة 1 — الأطراف

تُبرم اتفاقية معالجة البيانات هذه («الاتفاقية» أو «DPA») بين الطرفين التاليين:

يُشار إلى المسؤول عن البيانات ومعالج البيانات معًا بـ«الطرفين» ومنفردين بـ«الطرف».

المادة 2 — التعريفات

تُستخدم المصطلحات المكتوبة بحرف أول كبير، ما لم يُذكر خلاف ذلك، بمعانيها الواردة في القانون رقم 6698 (المادة 3) وتشريعاته الثانوية. وأهمها: القانون/KVKK (القانون رقم 6698)؛ الهيئة/المجلس (هيئة/مجلس حماية البيانات الشخصية التركي)؛ البيانات الشخصية، البيانات الشخصية ذات الطبيعة الخاصة، المعالجة، المسؤول عن البيانات، معالج البيانات، المعالج الفرعي (الملحق 2)؛ صاحب البيانات (الممثلون الأشخاص الطبيعيون للمنشآت التي يُتواصل معها عبر المنصة، وأصحاب المنشآت من التجار/الحرفيين الأشخاص الطبيعيين)؛ العقد القياسي (النصوص النموذجية المعتمدة بقرار المجلس بتاريخ 04.06.2024)؛ الرسالة الإلكترونية التجارية/İYS (القانون رقم 6563)؛ تعليمات المعالجة (تُعد إجراءات الحملات والاستهداف والإدراج والإرسال التي ينشئها العميل في المنصة تعليمات موثقة).

المادة 3 — الموضوع والنطاق

موضوع هذه الاتفاقية هو تنظيم الحقوق والالتزامات المتعلقة بإجراء أنشطة معالجة البيانات الشخصية المنفذة باسم العميل عبر منصة LeaderMix وفقًا لقانون KVKK، وذلك في إطار علاقة شروط الاستخدام/الاشتراك بين الطرفين («العقد الرئيسي»). هذه الاتفاقية ملحق لا يتجزأ من العقد الرئيسي؛ وفي حال التعارض بشأن حماية البيانات الشخصية تُطبق هذه الاتفاقية. وتشمل الاتفاقية أنشطة المعالجة وفئات البيانات ومجموعات أصحاب البيانات الواردة في الملحق 1.

المادة 4 — أدوار الطرفين ومسوغاتها

4.1. بحكم الطبيعة الجوهرية لنشاط المعالجة، العميل هو «المسؤول عن البيانات» وLeaderMix هو «معالج البيانات». يحدد العميل غرض المعالجة ووسائلها الجوهرية (الاستهداف، الإدراج، بأي نص/متى يتم التواصل، بدء/إيقاف الحملات) (KVKK المادة 3/1-ı)؛ وينفذ LeaderMix هذه القرارات باسم العميل وفق تعليماته في المنصة (المادة 3/1-ğ) ولا يستخدم البيانات لغرض مستقل خاص به. ولأن الرسائل المرسلة تروج لسلع/خدمات العميل، فإن صفة «مقدم الخدمة» وفق القانون 6563 تعود للعميل أيضًا.

4.2. لا يكون LeaderMix مسؤولًا مستقلًا عن البيانات إلا في الأنشطة التالية (خارج نطاق هذه الاتفاقية): إنشاء/تشغيل/تأمين المنصة؛ إدارة الحسابات والفوترة والاحتفاظ القانوني؛ تطوير المنتج والإحصاء باستخدام بيانات مجهّلة/مجمّعة فقط.

4.3. عزل البيانات وحظر التجميع (متحقق منه معماريًا). تُحفظ سجلات العملاء المحتملين لكل عميل معزولةً ومرتبطةً بهوية المستخدم؛ ويُجرى فحص تكرار التسجيل فقط داخل مجموعة بيانات العميل المعني؛ وعند فحص المنشأة نفسها من عملاء مختلفين تُنشأ سجلات منفصلة؛ ولا يُجعل عميل محتمل لعميلٍ ما مرئيًا للآخرين أو يُعاد استخدامه؛ ويُرشَّح الوصول بهوية المستخدم. يتعهد LeaderMix بعدم تجميع البيانات الشخصية التي يجمعها في قاعدة مشتركة لعدة عملاء وبعدم إعادة استخدامها. وإذا تغيرت هذه البنية واستُخدمت البيانات لغرض مشترك بين العملاء، يصبح LeaderMix مسؤولًا مشتركًا/مستقلًا عن ذلك النشاط ويخطر العميل مسبقًا بهذا التغيير.

المادة 5 — طبيعة المعالجة وغرضها ومدتها؛ فئات البيانات

يتلخص نشاط المعالجة في جمع بيانات تواصل المنشآت/الممثلين من مصادر متاحة للعموم (خرائط Google/Places، مواقع المنشآت، الأدلة الإلكترونية، LinkedIn) والتحقق منها وإجراء تحليل للمنشأة وإنتاج نصوص الرسائل بالذكاء الاصطناعي والترويج عبر البريد الإلكتروني وتتبع الردود؛ والتفاصيل في الملحق 1. يتعهد LeaderMix بعدم المعالجة خارج الملحق 1؛ وبعدم جمع/معالجة البيانات ذات الطبيعة الخاصة وفق المادة 6 من KVKK، وإذا اكتُشفت عرضًا فسيتلفها دون تأخير ويبلغ العميل.

المادة 6 — أسس مشروعية المعالجة (KVKK المادتان 5–6 والقانون 6563/İYS)

6.1. يضمن العميل توافر شرط واحد على الأقل من شروط المادة 5 من KVKK للبيانات المعالَجة. والأساس القانوني الرئيسي هو المصلحة المشروعة للعميل (المادة 5/2-f) شريطة عدم الإضرار بالحقوق والحريات الأساسية لأصحاب البيانات؛ ويوثق العميل اختبار الموازنة. وكون البيانات متاحة للعموم لا يكفي وحده (حد المادة 5/2-d). ولا تُستخدم الموافقة الصريحة أساسًا للجمع.

6.2. لا تتضمن المعالجة بيانات ذات طبيعة خاصة (المادة 6)؛ ويتحمل الطرفان مسؤولية مشتركة عن الحفاظ على هذا الوضع.

6.3. واجب الإعلام (المادة 10) يقع على العميل. ولتيسيره تتضمن كل رسالة بريد صادرة: (1) باسم من يُجرى الإرسال، (2) مصدر البيانات/غرضها/أساسها القانوني، (3) قناة تقديم طلبات المادة 11 من KVKK، (4) رابط إلغاء الاشتراك (opt-out)؛ ويُدرج LeaderMix هذه العناصر تقنيًا، بينما يتحمل العميل مسؤولية مشروعية المحتوى.

6.4. الرسائل الإلكترونية التجارية (6563/İYS): إذا كان المتلقي تاجرًا/حرفيًا فلا تلزم موافقة مسبقة، لكن يُوفَّر حق إلغاء الاشتراك وتُطبق إخطارات الرفض؛ ويقع على العميل بصفته مقدم الخدمة تسجيل المتلقين في İYS وفحص الرفض وإثبات صفة التاجر/الحرفي. وإذا لم يكن المتلقي تاجرًا/حرفيًا فالقاعدة هي الموافقة المسبقة (opt-in). يقع على العميل تسجيل İYS وإدارة الموافقات/الرفض وإدخال إخطار الرفض في İYS خلال ثلاثة أيام عمل؛ ويوفر LeaderMix بنية إلغاء الاشتراك.

المادة 7 — التزامات معالج البيانات

• المعالجة وفق التعليمات فقط؛ ويبلغ العميل دون تأخير بأي تعليمات يراها مخالفة للقانون.
• السرية؛ يلزم كل من له وصول بتعهد سرية كتابي (دون حد زمني حتى بعد انتهاء العلاقة).
• أمان البيانات (المادة 12) — يطبق التدابير التقنية والإدارية الواردة في الملحق 3 ويبقيها محدثة.
• في استخدام المعالجين الفرعيين يلتزم بالمادة 10؛ ويفرض عليهم التزامات معادلة على الأقل.
• دعم طلبات أصحاب البيانات (المادة 12)؛ ويحيل دون تأخير إلى العميل أي طلب يصل إليه مباشرة.
• الإخطار باختراق البيانات — يبلغ العميل خلال 24 ساعة كحد أقصى من علمه (المادة 13).
• الإتلاف/الإعادة عند انتهاء العلاقة — وفق نظام المادة 14؛ ولا يرد أي وعد عام بالإتلاف يتعارض مع المادة 14.
• يحتفظ بسجلات لأغراض المساءلة؛ ويخطر العميل مسبقًا بالتغييرات الجوهرية في الخوادم/المواقع (الملحق 2/الملحق 3).

المادة 8 — التزامات المسؤول عن البيانات

• يضمن توافر أحد شروط المادتين 5/6 من KVKK لكل بيان (المادة 6).
• يفي بواجب الإعلام وفق المادة 10 تجاه أصحاب البيانات؛ ويتحمل مسؤولية محتوى النص.
• يفي بالتزامات 6563/İYS (تسجيل مقدم الخدمة، الموافقة/الرفض، إثبات صفة التاجر-الحرفي، النقل إلى İYS).
• يتعهد بمشروعية التعليمات التي يعطيها لـ LeaderMix.
• يفي بالتزام VERBİS إن كان خاضعًا له؛ ويبت كقاعدة خلال 30 يومًا في طلبات المادة 11 التي تصله.

المادة 9 — التدابير الأمنية التقنية والإدارية

يتخذ LeaderMix، وفق المادة 12 من KVKK ودليل الهيئة، تدابير متناسبة مع طبيعة البيانات ومخاطرها (القائمة الدنيا في الملحق 3). وتُراجع التدابير دوريًا في ضوء التطور التقني وتقييم المخاطر. ويتحمل العميل مسؤولية أمان حسابات وصوله والقوائم التي ينشئها.

المادة 10 — المعالجون الفرعيون

يمنح العميل موافقة عامة على استخدام المعالجين الفرعيين الواردين في الملحق 2. ويخطر LeaderMix بأي معالج فرعي جديد/متغير قبل 15 يومًا على الأقل؛ ويجوز للعميل الاعتراض لأسباب معقولة تتعلق بحماية البيانات، وإذا لم تُحل المسألة جاز له الفسخ فيما يخص الخدمة المعنية. ويفرض LeaderMix على كل معالج فرعي التزامات معادلة على الأقل ويبقى مسؤولًا تجاه العميل عن أفعالهم. وتُطبق المادة 11 على المعالجين الفرعيين في الخارج.

المادة 11 — النقل إلى الخارج (KVKK المادة 9)

11.1. يخضع النقل للمادة 9 من KVKK المعدلة بالقانون رقم 7499 والنافذة منذ 01.06.2024، وللائحة المؤرخة 10.07.2024 (الجريدة الرسمية 32598).

11.2. نظام متدرج: (أ) قرار الكفاية؛ (ب) الضمانات المناسبة (العقد القياسي، القواعد الملزمة للشركات، التعهد + إذن المجلس)؛ (ج) الحالات العارضة — للنقل غير المتكرر فقط، ولا تنطبق على عمليات النقل المنهجية لدى LeaderMix.

11.3. لما كان جميع المعالجين الفرعيين في الملحق 2 خارج البلاد وكان النقل مستمرًا، فالآلية الأساسية هي العقد القياسي. ينشئ LeaderMix آلية المادة 9 السارية مع كل معالج فرعي خارجي، ويبلغ الهيئة بالعقد القياسي خلال 5 أيام عمل من توقيعه، ويقدم سجل الإبلاغ عند الطلب.

11.4. حتى تاريخ هذه الاتفاقية لم يصدر المجلس قرار كفاية لأي دولة؛ ويستند النقل إلى الضمانات المناسبة. يحتفظ LeaderMix بجرد للنقل؛ ويستخدمه العميل لالتزامه التوثيقي الخاص. ويُوقف أي نقل يتعذر إنشاء ضمان صالح له.

المادة 12 — حقوق أصحاب البيانات (KVKK المادة 11) والدعم

يتمتع أصحاب البيانات بحقوق المادة 11 (المعرفة، المعلومات، الغرض، الأطراف الثالثة، التصحيح، الحذف/الإتلاف وفق المادة 7، الإبلاغ، الاعتراض على التحليل الآلي، التعويض). والبت في الطلبات التزام على العميل؛ ويدعم LeaderMix ذلك بإجراء العمليات التقنية اللازمة (الوصول/التصحيح/الحذف/الإيقاف) خلال مدة معقولة وبحد أقصى 7 أيام؛ ولا يرد في الموضوع على الطلب الذي يصله مباشرة بل يحيله دون تأخير إلى العميل. ويقع على العميل ضمان ألا يُنتج تحليل الذكاء الاصطناعي قرارًا آليًا حصريًا في غير صالح صاحب البيانات.

المادة 13 — الإخطار باختراق البيانات (KVKK المادة 12)

يبلغ LeaderMix العميل خلال 24 ساعة كحد أقصى من علمه بالاختراق، عن طبيعة الاختراق وفئات الأشخاص/البيانات المتأثرة والنتائج المحتملة والتدابير المتخذة. وتهدف هذه المدة إلى تمكين العميل من إخطار المجلس (خلال 72 ساعة المعقولة وفق القرار رقم 2019/10). ويحدّ LeaderMix من الآثار ويقدم دعمًا كاملًا للتحقيق؛ ولا يخطر العموم/الأطراف الثالثة إلا بتعليمات كتابية من العميل.

المادة 14 — الاحتفاظ والإتلاف

14.1. تخضع البيانات لمبدأي المادة 4 من KVKK (الاحتفاظ المقيد بالغرض/المتناسب) والمادة 7 (الحذف/الإتلاف/التجهيل عند زوال الغرض).

14.3. سجل إلغاء الاشتراك (opt-out): عند طلب إلغاء الاشتراك تُخرج البيانات المعنية من المعالجة النشطة؛ ويجوز الاحتفاظ بالحد الأدنى من البيانات اللازم لإثبات الرفض لهذا الغرض فقط وبما لا يتجاوز المدة القانونية.

14.4. القاعدة عند انتهاء العلاقة / إغلاق الحساب — الإتلاف: عند انتهاء العقد الرئيسي أو إغلاق/حذف الحساب: (أ) يجهّل LeaderMix الحساب وسجل المستخدم ويغلق الوصول؛ (ب) تُتلف سجلات العملاء المحتملين الخاصة بالعميل وبيانات الأطراف الثالثة المرتبطة بها أو تُجهَّل بشكل غير قابل للعكس لزوال غرض المعالجة (وتُعاد إذا طلب العميل صراحة)؛ ولا يُحتفظ بها إلى أجل غير مسمى بذريعة «احتمال الحاجة»؛ (ج) حتى لو عُولج الشخص نفسه لاحقًا من عميل آخر، لا تُربط/تُستعاد العملاء المحتملون السابقون للحساب المغلق إلى الحساب الجديد؛ وتدخل السجلات اليتيمة في نطاق الإتلاف/التجهيل؛ (د) يُقدَّم محضر بالمعالجة عند الطلب.

14.5. استثناء الاحتفاظ الوحيد — سجلات رسائل القانون 6563: الاستثناء الوحيد من قاعدة الإتلاف هو سجلات الموافقة/الرفض والإرسال المتعلقة بالرسائل الإلكترونية التجارية وفق القانون رقم 6563 ولائحته. تُحفظ فقط السجلات التي يلزم التشريع بحفظها (لا تدخل قاعدة بيانات العملاء المحتملين الخام بكاملها — بل تُتلف)؛ ومدة الحفظ مقيدة بالمدة القانونية (3 سنوات من تاريخ التسجيل) وتُتلف تلقائيًا عند نهايتها؛ والوصول مقيد ولا يجوز استخدامها للمعالجة النشطة/التسويق؛ والالتزام يعود للعميل بصفته مقدم الخدمة، وLeaderMix يحفظها باسمه فقط.

14.6. حظر إعادة الاستخدام: لا يجوز تقديم أي بيانات محفوظة وفق 14.5 لعميل آخر، ولا استخدامها في حملة جديدة، ولا معالجتها لتطوير المنتج/لأغراض مستقلة، ولا استعادة العملاء المحتملين السابقين عند إعادة الاشتراك. وإلا أصبح LeaderMix مسؤولًا مستقلًا عن ذلك النشاط وملزمًا بتوفير أساس صالح وفق المادة 5 + الإعلام.

14.7. عند اختيار التجهيل يُضمن أن يكون غير قابل للعكس وألا يتيح تحديد الهوية حتى عند مطابقته ببيانات أخرى.

المادة 15 — المسؤولية والتعويض

يتحمل كل طرف الأضرار الناشئة عن إخلاله بالتزاماته بنسبة خطئه. وإذا ثبت أن الغرامة الإدارية/التعويض نشأ حصريًا عن إخلال الطرف الآخر، فللطرف الدافع حق الرجوع على الآخر. ولا يسأل LeaderMix إلا عن الإخلال بالالتزامات المفروضة على معالج البيانات أو الخروج عن التعليمات المشروعة؛ ويتحمل العميل مسؤولية التعليمات المخالفة للقانون ونواقص الأساس القانوني/الإعلام/İYS. ويخضع حد المسؤولية الأقصى لحدود العقد الرئيسي؛ ويُستثنى من هذا الحد العمد والإهمال الجسيم والأحكام الآمرة في KVKK.

المادة 16 — حق التدقيق

للعميل حق إجراء تدقيق أو التكليف به للتحقق من الامتثال مرة واحدة في السنة كحد أقصى وبإخطار كتابي مسبق لا يقل عن 15 يومًا (باستثناء عمليات تدقيق إضافية معقولة بعد اختراق بيانات). ويجوز لـ LeaderMix الوفاء بهذا الالتزام بتقارير تدابير محدثة وبشهادات/تقارير تدقيق مستقلة إن وُجدت. وتُجرى عمليات التدقيق في أوقات معقولة وبما لا يعطل أنشطة LeaderMix ولا ينتهك سرية عملائه الآخرين؛ والمعلومات المكتسبة سرية.

المادة 17 — المدة والفسخ والقانون الواجب التطبيق والمحكمة المختصة

تسري هذه الاتفاقية طوال مدة العقد الرئيسي وتنتهي بانتهائه؛ وتبقى الأحكام التي يلزم بطبيعتها سريانها بعد الانتهاء (السرية، الإتلاف/الإعادة، المسؤولية) نافذة. وإذا لم يُصحَّح إخلال جوهري خلال 30 يومًا رغم الإنذار الكتابي، جاز للطرف الآخر الفسخ لسبب مشروع. تخضع الاتفاقية للقانون التركي؛ وتختص محاكم إسطنبول (الأناضول) ودوائر التنفيذ بالنزاعات. والعناوين في المادة 1/سجل الحساب هي عناوين التبليغ؛ وما لم يُخطر بتغييرها خلال 7 أيام يبقى التبليغ على العنوان القديم صحيحًا. وتشكل الاتفاقية وملاحقها كامل التفاهم؛ وبطلان حكم منها لا يؤثر على باقي الأحكام.

الملحق 1 — جدول تفاصيل المعالجة

الملحق 2 — قائمة المعالجين الفرعيين ونظام النقل إلى الخارج

لجميع عمليات النقل إلى الخارج يُنشأ نوع العقد القياسي المناسب حسب اتجاه النقل ويُبلغ للهيئة خلال 5 أيام عمل من التوقيع.

الملحق 3 — التدابير الأمنية التقنية والإدارية

الإدارية: جرد البيانات الشخصية/سجل المعالجة؛ اتفاقيات سرية الموظفين والتدريب؛ مصفوفة صلاحيات الوصول (الحد الأدنى من الصلاحيات)؛ اتفاقيات حماية البيانات مع المعالجين الفرعيين؛ خطة الاستجابة لاختراق البيانات؛ سياسة الاحتفاظ والإتلاف والإتلاف الدوري؛ تحليل المخاطر.

التقنية: التشفير أثناء النقل وفي حالة السكون (TLS/HTTPS؛ تشفير الحقول الحساسة)؛ التحقق متعدد العوامل وسياسة كلمات مرور قوية؛ WAF ‏(Cloudflare) وتقييد المعدل والحماية من البوتات/الثغرات؛ سجلات الوصول/الجلسات والمراقبة/التنبيه؛ نسخ احتياطي منتظم مشفر ومقيد الوصول؛ إدارة التصحيحات واختبارات الأمان؛ حجب الوصول إلى الملفات/المجلدات الحساسة؛ الحفظ الآمن لمفاتيح API وتدويرها؛ إخفاء PII في أدوات الأخطاء/المراقبة (Sentry) ‏(before_send + send_default_pii=False).

القبول الإلكتروني

بوضع علامة على خانة القبول المعنية أثناء التسجيل في LeaderMix، يقر العميل بأنه قرأ اتفاقية معالجة البيانات هذه كاملةً وفهمها وقبلها. ويسجل LeaderMix تاريخ القبول وإصدار الاتفاقية وعنوان IP لأغراض الإثبات. ويمكن توفير نسخة قابلة للتوقيع للعملاء من الشركات الذين يطلبون نسخة موقعة (بخط اليد/إلكترونيًا) على حدة.