اتفاقية معالجة البيانات (DPA)
إطار تعاقدي لمعالجة البيانات بين العميل وCyberAgest
1. الغرض والأدوار المعالجية (Scope & Processing Roles)
تشكّل اتفاقية معالجة البيانات هذه ('DPA') جزءاً لا يتجزأ من شروط الخدمة المبرمة بين العميل ('متحكم البيانات') وبين CyberAgest ('معالج البيانات'). تنظم هذه الاتفاقية كيفية معالجة وتأمين البيانات الفنية والتشغيلية المتعلقة بالثغرات والأهداف وفقاً للمادة 28 من اللائحة العامة لحماية البيانات (GDPR).
2. حماية وتشفير البيانات (Data Handling & Confidentiality)
تتعامل CyberAgest مع نتائج الفحص ومعلومات الأهداف بوصفها بيانات سرية. تُطبق ضوابط النقل والتخزين بحسب التكوين التشغيلي، وتُنشر الأدلة الفنية القابلة للتحقق منفصلةً عن هذه الاتفاقية.
3. معالجو البيانات الفرعيون المعتمدون (Authorized Sub-processors)
يوافق العميل صراحة على الاستعانة بمعالجي البيانات الفرعيين المعتمدين لتشغيل البنية التحتية والاستضافة التحتية:
Hetzner
Hosting and server infrastructure
Cloudflare
Edge protection and Turnstile verification
Microsoft Clarity
Product analytics when enabled
Zoho Mail
Transactional email delivery
Paddle
Subscription billing
Authorized scan egress
Dedicated, disclosed scanning addresses when used
4. الإخطار بالحوادث الأمنية خلال 72 ساعة (72-Hour Incident Notification)
في حالة تأكيد حدوث أي خرق أمني يمس تتبع أو بيانات العميل، تتعهد CyberAgest بإخطار مسؤول حماية البيانات في مؤسسة العميل كتابياً خلال فترة لا تتجاوز 72 ساعة من التأكيد، مع تقديم تقرير فني شامل حول تداعيات الحادث والخطوات المتخذة للتأمين.
الملحق (أ): أنشطة وطبيعة معالجة البيانات (Annex A — Processing Details)
1. موضوع ومدة المعالجة:
تستمر المعالجة طوال فترة تقديم خدمات التقييم الأمني وإعادة الفحص المستمر بموجب الحساب النشط.
2. طبيعة والغرض من المعالجة:
استطلاعات النطاقات والافتراضات، اكتشاف الثغرات البرمجية، وتحليل أمان التكوينات السحابية بناءً على طلب العميل.
3. فئات البيانات المعالجة:
عناوين IP، اسم النطاق، سجلات خادم Nginx/HTTP، تقارير نتائج الثغرات، ومعلومات حسابات المشرفين.
الملحق (ب): التدابير الفنية والتنظيمية للأمان (Annex B — Technical Measures)
أمان التشفير والنقل:
- تشفير النقل والتخزين وفق التكوين التشغيلي المعتمد.
- تُنشر درجات TLS والترويسات فقط مع دليل فحص مؤرخ.
التحكم في الوصول وعزل البيئات:
- عزل منطقي على مستوى الصفوف (PostgreSQL RLS) بين مساحات العمل.
- فرض المصادقة الثنائية (MFA/Passkeys) للمشرفين.
المرونة والاستجابة:
- نسخ احتياطي يومي مشفّر.
- مراقبة مستمرة للأنظمة وحماية DDoS.
التدقيق والاختبار الدوري:
- سجلات تدقيق غير قابلة للتعديل لجميع العمليات.
- اختبار اختراق مستقل مخطّط له في الربع الرابع 2026.
مسؤول حماية البيانات (Data Protection Officer)
للحصول على نسخة موقعة من اتفاقية DPA للمؤسسات أو مراجعة معايير الامتثال:
[email protected]