الإصدار 2026-11. وهي جزء من شروط وأحكام استخدام AIR-Core ويُوافَق عليها معها. ويمكن للعملاء الذين يحتاجون إلى نسخة موقّعة طلبها عبر info@air-institute.com (يفتح برنامج البريد لديك).
الطرفان
- المسؤول عن المعالجة («العميل»): الشخص الطبيعي أو الاعتباري المالك للمؤسسة في AIR-Core، والمحدد في حسابه.
- المعالج («AIR Institute»): INSTITUTO INTERNACIONAL DE INVESTIGACIÓN EN INTELIGENCIA ARTIFICIAL Y CIENCIAS DE LA COMPUTACIÓN، الرقم الضريبي G37571627، Av. Santiago Madrigal, 39, 37003 Salamanca. مسؤول حماية البيانات: contacto@delegado-lopd.es (يفتح برنامج البريد لديك).
1. الغرض
يعالج AIR Institute نيابةً عن العميل البيانات الشخصية التي يُدخلها العميل أو مستخدموه إلى AIR-Core («البيانات الشخصية للعميل»)، لغرض وحيد هو تقديم الخدمة الموصوفة في الشروط. ويصف الملحق الأول المعالجة.
2. المدة
تسري هذه الاتفاقية طوال مدة العقد، ثم إلى أن تُحذف البيانات أو تُعاد وفق المادة 12.
3. التعليمات
3.1. يعالج AIR Institute البيانات وفق تعليمات العميل الموثّقة فقط. وتُعدّ تعليمات:
- الشروط وهذه الاتفاقية؛
- الإعدادات والإجراءات التي ينفذها العميل ومستخدموه في AIR-Core: رفع البيانات أو ربطها، وتدريب النماذج، ومشاركة لوحات المعلومات، وضبط التنبيهات وwebhooks، واستدعاء ميزات الذكاء الاصطناعي، وضبط BYOK، والإذن لتطبيقات MCP الخارجية؛
- أي تعليمات مكتوبة أخرى يقبلها الطرفان.
3.2. إذا رأى AIR Institute أن تعليمات ما تخالف اللائحة العامة لحماية البيانات أو قاعدة أخرى، فسيُبلغ العميل فورًا ويجوز له تعليق تنفيذها.
3.3. إذا ألزم قانونُ الاتحاد الأوروبي أو إحدى الدول الأعضاء AIR Institute بمعالجة مختلفة، فسيُبلغ العميل مسبقًا ما لم يحظر القانون ذلك.
4. السرية ووصول الموظفين
4.1. يخضع الأشخاص الذين يأذن لهم AIR Institute بمعالجة البيانات لواجب السرية بموجب عقد أو قانون، ويتلقون تدريبًا على حماية البيانات والأمان.
4.2. لا يصل الموظفون إلى مضمون البيانات الشخصية للعميل إلا في الحالات التالية:
- (a) عندما يكون الوصول ضروريًا للتشغيل الآلي للخدمة؛
- (b) لمعالجة طلب دعم بإذن صريح من العميل، محدود النطاق والمدة؛
- (c) لأسباب أمنية؛
- (d) بموجب التزام قانوني.
يُسجَّل الوصول في الحالات من (b) إلى (d).
5. الأمان
يطبّق AIR Institute التدابير الواردة في الملحق الثاني، المتناسبة مع المخاطر (المادة 32 من اللائحة)، ويجوز له تحديثها ما دام لا يخفض مستوى الحماية. والعميل مسؤول عما يتوقف عليه:
- ضبط صلاحيات مستخدميه؛
- تفعيل تشفير المصادر عند الاقتضاء؛
- حماية بيانات اعتماده ورموزه؛
- تحديد ما ينشره في لوحات المعلومات والروابط العامة.
6. مساعدة العميل
مع مراعاة طبيعة المعالجة، سيساعد AIR Institute العميل على الوفاء بما يلي:
- (a) حقوق أصحاب البيانات. يتيح AIR-Core الاطلاع على البيانات وتصحيحها وتصديرها وحذفها. وإذا تواصل صاحب بيانات مع AIR Institute، فسيُحال طلبه إلى العميل خلال 5 أيام عمل كحدّ أقصى، ولن يُرَدّ عليه مباشرةً إلا بتعليمات؛
- (b) الأمان، والإخطار بالخروقات، وتقييمات الأثر (DPIA)، والمشاورات المسبقة، مع تقديم ما يتوفر لديه من معلومات.
يجوز فرض رسوم، بعد عرض سعر مسبق، على المساعدة التي تتجاوز الحد المعقول أو التي ترجع إلى أسباب منسوبة إلى العميل.
7. المعالجون الفرعيون
7.1. يمنح العميل إذنًا عامًا لـ AIR Institute لاستخدام المعالجين الفرعيين الواردين في الملحق الثالث.
7.2. سيُبلغ AIR Institute المسؤولين بالبريد الإلكتروني، قبل 30 يومًا على الأقل، بإضافة معالجين فرعيين أو استبدالهم. وستكون القائمة السارية على [الرابط]. ويجوز للعميل الاعتراض لأسباب معقولة تتعلق بحماية البيانات خلال تلك المدة. وإذا لم يوجد بديل عملي، يجوز للعميل فسخ العقد دون غرامة مع استرداد الجزء غير المستفاد منه.
7.3. يفرض AIR Institute تعاقديًا على كل معالج فرعي التزامات لحماية البيانات تعادل التزامات هذه الاتفاقية، ويتحمل المسؤولية أمام العميل عن وفائه بها.
8. خدمات يختارها العميل (ليست معالجين فرعيين)
الجهات المتلقية التالية ليست معالجين فرعيين لدى AIR Institute. وتُرسَل إليها البيانات بتعليمات صريحة من العميل أو مستخدميه:
- (a) مزوّدو الذكاء الاصطناعي من أطراف ثالثة في وضع BYOK (OpenAI أو Anthropic أو Groq أو Google Gemini أو نقاط وصول متوافقة أخرى).
- (b) تطبيقات MCP الخارجية التي يأذن لها المستخدم (مثل Claude أو ChatGPT).
- (c) وجهات webhooks، والمصادر والاتصالات الخارجية، ومتلقو التنبيهات بالبريد الإلكتروني التي يضبطها العميل.
- (d) أدوات التحليلات التي يضبطها العميل في لوحات المعلومات العامة.
العميل هو من يقرر استخدام هذه الجهات. ولذلك يقع على عاتقه:
- إقامة العلاقة القانونية اللازمة معها (مثل اتفاقية معالجة خاصة به)؛
- تقييم مشروعية الإرسال؛
- توفير ضمانة للنقل إذا كانت خارج المنطقة الاقتصادية الأوروبية (المادة 44 وما يليها من اللائحة).
لا يرسل AIR Institute إلا ما يلزم لكل طلب، ولا يتحمل مسؤولية المعالجة التي تجريها تلك الأطراف.
9. النقل الدولي
9.1. تُستضاف البيانات الشخصية للعميل وتُعالَج في الاتحاد الأوروبي:
- AWS eu-central-1 (فرانكفورت)؛
- Amazon Bedrock بملف استدلال خاص بالاتحاد الأوروبي، لا يستخدم إلا مناطق الاتحاد الأوروبي.
9.2. لن ينقل AIR Institute البيانات إلى خارج المنطقة الاقتصادية الأوروبية إلا بإحدى الضمانات التالية:
- (a) قرار كفاية، بما في ذلك إطار خصوصية البيانات بين الاتحاد الأوروبي والولايات المتحدة للجهات المعتمدة؛
- (b) البنود التعاقدية النموذجية للمفوضية (القرار (EU) 2021/914)، مع التدابير التكميلية اللازمة.
وينطبق ذلك أيضًا على أي وصول عن بُعد محتمل من المعالج الفرعي لأغراض الدعم. أما عمليات النقل الواردة في المادة 8 فتخضع لما ورد فيها.
9.3. إذا طلبت سلطة في دولة ثالثة بيانات، فسيتصرف AIR Institute وفق البند 5 من سياسة الخصوصية وسيُبلغ العميل ما لم يحظر القانون ذلك.
10. خروقات الأمان
10.1. سيُخطر AIR Institute العميل بأي خرق أمني يؤثر في البيانات الشخصية للعميل دون تأخير غير مبرر، وفي جميع الأحوال خلال 48 ساعة كحدّ أقصى من علمه به. ويُرسَل الإخطار إلى البريد الإلكتروني لمسؤولي المؤسسة ومالكها، ويتضمن بقدر ما هو معروف:
- طبيعة الخرق؛
- فئات أصحاب البيانات والسجلات المتأثرة وعددها التقريبي؛
- بيانات الاتصال بمسؤول حماية البيانات؛
- العواقب المحتملة؛
- التدابير المتخذة أو المقترحة.
إذا لم تتوفر جميع المعلومات، فستُقدَّم على مراحل.
10.2. يقع على العميل، بصفته المسؤول عن المعالجة، إخطار السلطة الرقابية وأصحاب البيانات عند الاقتضاء (المادتان 33 و34 من اللائحة). ولن يفعل AIR Institute ذلك نيابةً عن العميل إلا بتعليمات صريحة.
11. المعلومات والتدقيق
11.1. سيضع AIR Institute تحت تصرف العميل المعلومات اللازمة لإثبات الامتثال لهذه الاتفاقية: وصف التدابير، وشهادات المعالجين الفرعيين (مثل ISO 27001 أو SOC 2 لدى AWS)، والإجابة عن الاستبيانات المعقولة.
11.2. إذا لم تكفِ هذه المعلومات، يجوز للعميل إجراء تدقيق بنفسه أو عبر مدقق مستقل ملتزم بالسرية، وفق الشروط التالية:
- إشعار مسبق قبل 30 يومًا؛
- مرة واحدة سنويًا كحدّ أقصى، إلا بعد خرق أو بطلب من سلطة؛
- خلال ساعات العمل ودون المساس بأمان العملاء الآخرين؛
- على نفقته، ما لم يُكتشف إخلال جوهري.
11.3. تُدقَّق منشآت المعالجين الفرعيين من خلال تقاريرهم وشهاداتهم.
12. انتهاء المعالجة: الإعادة والحذف
12.1. عند انتهاء العقد تُطبَّق المادة 18 من الشروط (لائحة البيانات):
- فترة انتقالية تصل إلى 30 يومًا؛
- 30 يومًا على الأقل لاسترجاع البيانات بصيغ مفتوحة؛
- بعد ذلك، حذف جميع البيانات الشخصية للعميل وإصدار شهادة بالحذف بناءً على طلب العميل.
12.2. تُحذف النسخ الاحتياطية ضمن دورة تدويرها المعتادة، خلال [35] يومًا كحدّ أقصى. وحتى ذلك الحين تظل مشفّرة ومعزولة ولا تُستخدم.
12.3. لن يُحتفظ محجوبةً إلا بالبيانات التي يُلزم قانون الاتحاد أو الدول الأعضاء بالاحتفاظ بها، طوال المدة القانونية.
12.4. تُطبَّق المادة 16 من الشروط على الحسابات المجانية غير النشطة.
13. التزامات أخرى على المعالج
AIR Institute:
- (a) يحتفظ بسجل لأنشطة المعالجة بصفته معالجًا (المادة 30.2 من اللائحة)؛
- (b) عيّن مسؤولًا لحماية البيانات؛
- (c) لا يستخدم البيانات الشخصية للعميل لأغراضه الخاصة، بما في ذلك تدريب نماذج الذكاء الاصطناعي. ولا يُعدّ إلا إحصاءات مجمّعة ومجهولة الهوية عن استخدام الخدمة، دون مضمون البيانات؛
- (d) لا يبيع البيانات ولا يتنازل عنها.
14. التزامات العميل
العميل:
- (a) يضمن مشروعية المعالجة وأنه أبلغ أصحاب البيانات، وحصل على موافقتهم عند الاقتضاء؛
- (b) لا يُدخل فئات خاصة من البيانات أو بيانات جنائية دون أساس قانوني ودون تفعيل التدابير المناسبة (تشفير المصادر، وصلاحيات مقيّدة، وعدم استخدام لوحات معلومات عامة)؛
- (c) يُجري تقييم الأثر عند الاقتضاء؛
- (d) يشرف على المعالجة، ويتحمل مسؤولية تعليماته والخدمات الواردة في المادة 8.
15. المسؤولية
يتحمل كل طرف مسؤولية إخلالاته وفق المادة 82 من اللائحة. وفيما بين الطرفين يُطبَّق نظام المادة 21 من الشروط.
16. الأولوية
في مسائل حماية البيانات، تتقدم هذه الاتفاقية على أي حكم آخر في الشروط.
الملحق الأول. وصف المعالجة
| العنصر | الوصف |
|---|---|
| الطبيعة | الاستضافة، والتخزين، والهيكلة، والتحويل، والاستعلام، والتحليل الإحصائي، وتدريب نماذج التعلم الآلي وتطبيقها، وشرح النماذج، والعرض المرئي، والإرسال إلى متلقين يضبطهم العميل (التنبيهات، وwebhooks، ولوحات المعلومات العامة)، وإرسال السياق اللازم إلى النماذج اللغوية عند استدعاء ميزات الذكاء الاصطناعي، والنسخ الاحتياطي، والحذف |
| الغرض | تقديم AIR-Core إلى العميل وفق الشروط |
| فئات أصحاب البيانات | ما يحدده العميل: مثل عملائه وموظفيه ومرضاه ومستخدميه والمواطنين ومورّديه وجهات الاتصال. وكذلك مستخدمو العميل فيما يتعلق بالمحتوى الذي ينشئونه |
| فئات البيانات | ما يحدده العميل: بيانات تعريفية، وبيانات اتصال، وبيانات اقتصادية، وبيانات استخدام أو مستشعرات، وبيانات موقع وغيرها. ولا تُدرج الفئات الخاصة إلا إذا كان لدى العميل أساس قانوني (المادة 14.b) |
| التكرار | مستمرة طوال مدة العقد |
| الموقع | الاتحاد الأوروبي (AWS eu-central-1، فرانكفورت؛ Amazon Bedrock بملف استدلال خاص بالاتحاد الأوروبي) |
| الاحتفاظ | وفق ما يقرره العميل. وعند الانتهاء تُطبَّق المادة 12 |
الملحق الثاني. التدابير التقنية والتنظيمية
| المجال | التدبير |
|---|---|
| الموقع والبنية التحتية | AWS eu-central-1 (فرانكفورت). مراكز بيانات معتمدة (ISO 27001، SOC 2) من AWS. خوادم في شبكة خاصة؛ ولا تُكشف إلا موازنات الحمل (HTTPS) |
| التشفير أثناء النقل | TLS 1.2 أو أعلى في الموقع وواجهة API وخادم MCP. HSTS. وwebhooks الصادرة موقّعة بـ HMAC-SHA256 ومحمية من إعادة الإرسال. |
| التشفير أثناء التخزين | بيانات اعتماد الاتصالات الخارجية، ومفاتيح تشفير المصادر، وأسرار webhooks مختومة بـ AES-256-GCM بمفتاح رئيسي محفوظ خارج قاعدة البيانات. تشفير اختياري لكل مصدر بمفتاح خاص. مفاتيح BYOK مشفّرة. وS3 مع تشفير من جهة الخادم. |
| سلامة النماذج | نماذج موقّعة (HMAC). وصادرات موقّعة بـ RSA-PSS-SHA256؛ ويُرفض أي تلاعب عند التحميل أو الاستيراد |
| التحكم في وصول العملاء | مؤسسات ومساحات عمل وأدوار بصلاحيات دقيقة. التحقق بخطوتين. رموز OAuth 2.1 مع PKCE، مرتبطة بالمورد والمؤسسة، مع التدوير وكشف إعادة الاستخدام. والرموز والأكواد محفوظة بصيغة مجزّأة |
| التحكم الداخلي في الوصول | أقل قدر من الصلاحيات. الوصول إلى S3 عبر دور مثيل مقصور على حاويات المنصة. الأسرار في مجلدات مقيّدة. وصول إداري مقيّد |
| بيانات اعتماد المستخدمين | كلمات مرور مجزّأة مع ملح. |
| أمان التطبيق | سياسة أمان محتوى (CSP) صارمة، وحماية من CSRF، وملفات تعريف ارتباط HttpOnly وSecure، وحدود للمعدل، وreCAPTCHA عند التسجيل والدخول، وحظر وجهات الشبكات الخاصة والبيانات الوصفية في المصادر الخارجية، وخادم MCP بلا أدوات حذف مع تأكيد بشري للتغييرات التي يقترحها المساعد |
| الذكاء الاصطناعي | Bedrock بملف استدلال خاص بالاتحاد الأوروبي، دون احتفاظ أو تدريب من جانب المزوّد. حدود إنفاق لكل مستخدم وحدود إجمالية. سجل نشاط الذكاء الاصطناعي مع إخفاء بيانات الاعتماد |
| التوافر والنسخ الاحتياطية | قواعد بيانات مُدارة بنسخ احتياطية تلقائية ولقطات قبل كل تغيير. إدارة إصدارات S3 في حاويات البيانات والنماذج. وإجراء موثّق للتغيير والتراجع |
| التسجيل والمراقبة | سجلات تطبيق مع التدوير. سجل نشاط المستخدمين والذكاء الاصطناعي. فحوص السلامة |
| تنظيمية | مسؤول حماية بيانات معيّن. تدريب الموظفين. سرية تعاقدية. إجراء لإدارة الخروقات (الكشف، والتقييم، وإبلاغ العميل خلال 48 ساعة). مراجعة سنوية للتدابير والمعالجين الفرعيين |
| الحذف | حذف منطقي فوري عند الحذف. وتدوير النسخ الاحتياطية خلال [35] يومًا كحدّ أقصى |
الملحق الثالث. المعالجون الفرعيون المأذون لهم
| المعالج الفرعي | الخدمة | البيانات | الموقع | الضمانة |
|---|---|---|---|---|
| Amazon Web Services EMEA SARL (لوكسمبورغ) | الاستضافة (EC2، وAurora، وDocumentDB، وElastiCache، وS3، وموازنات الحمل، وGlobal Accelerator)، والنسخ الاحتياطية، وAmazon Bedrock (نماذج Claude من Anthropic، بملف استدلال خاص بالاتحاد الأوروبي) | جميع البيانات الشخصية للعميل | الاتحاد الأوروبي (فرانكفورت؛ واستدلال Bedrock في مناطق الاتحاد الأوروبي) | البيانات في الاتحاد الأوروبي. اتفاقية معالجة البيانات لدى AWS مع البنود التعاقدية النموذجية. وAmazon.com, Inc. معتمدة ضمن DPF |
| Amazon Web Services EMEA SARL (Luxemburgo), servicio Amazon SES | Envío de los emails del servicio y de las alertas por email que configura el Cliente (pueden contener valores de sus datos) | Contenido de los emails y direcciones de los destinatarios | UE (Fráncfort, eu-central-1) | البيانات في الاتحاد الأوروبي. اتفاقية معالجة البيانات لدى AWS مع البنود التعاقدية النموذجية. وAmazon.com, Inc. معتمدة ضمن DPF |
| [يُرجى التحقق: Cloudflare, Inc.، فقط إذا كان يعمل وكيلًا] | الوكيل (proxy) وشبكة توصيل المحتوى والحماية من هجمات DDoS | حركة البيانات أثناء النقل | عالمي | DPF وSCC |
| [يُرجى التحقق: AIR Institute، بنية GPU تحتية خاصة] | نماذج لغوية خاصة، إن استُخدمت | طلبات الذكاء الاصطناعي | [موقع داخل الاتحاد الأوروبي] | ليس معالجًا فرعيًا (بل هو المعالج نفسه)؛ ذُكر للشفافية |
ليست معالجين فرعيين لبيانات العميل:
- Stripe: تعالج بيانات الفوترة الخاصة بالعميل فقط، بصفتها مسؤولًا عن المعالجة أو معالجًا لصالح AIR Institute لهذا الغرض.
- Google reCAPTCHA، وGoogle أو GitHub كوسيلة دخول: تعالج بيانات الحساب، لا المحتوى.
- Mapbox: تتلقى طلبات مربعات الخرائط من المتصفح، لا بيانات العميل.
- الخدمات الواردة في المادة 8.