عقد معالجة البيانات

• المسؤول عن المعالجة: النشاط التجاري صاحب الحساب في Stampaz، بالبيانات القانونية التي يُدخلها في الإعدادات.
• معالج البيانات: Miranda Network, S.L.، الرقم الضريبي B-75866194، وعنوانها Carretera TF-643, 21, piso 01, puerta 1 B, 38600 Granadilla de Abona, Santa Cruz de Tenerife (España)، للتواصل support@mirandanetwork.es.

لا يعالج المعالج البيانات إلا لتقديم خدمة بطاقات الولاء: تسجيل العملاء، وإدارة الأختام والنقاط والجوائز، وإصدار البطاقات وتحديثها في Apple Wallet وGoogle Wallet، وإرسال الإشعارات التي يقررها المسؤول، والإحصاءات، والاستجابة لحقوق العملاء.

العمليات: الجمع، والتسجيل، والحفظ، والاطلاع، والتعديل، والإفصاح لـ Apple وGoogle لإصدار البطاقة، والتصدير، والحذف.

تستمر المعالجة ما دام للنشاط التجاري حساب في Stampaz.

• أصحاب البيانات: عملاء المسؤول الذين يسجّلون في برنامج الولاء الخاص به، وأعضاء فريقه الذين يستخدمون الماسح.
• البيانات: الاسم؛ والبريد الإلكتروني والهاتف وتاريخ الميلاد إذا طلبها المسؤول؛ وسجل الزيارات والأختام والنقاط والجوائز؛ والتفضيل بشأن العروض؛ وإثبات الموافقة (التاريخ والوقت وإصدار النص)؛ والمعرّفات التقنية للبطاقة.
• لا تُعالج فئات خاصة من البيانات ولا بيانات الموقع: فهاتف العميل هو من يقرر تنبيه القرب.

يُصدر المسؤول تعليماته عبر إعدادات لوحته: البيانات التي يطلبها، والإشعارات التي يرسلها، ومدة الاحتفاظ بالعملاء غير النشطين (بين 6 و60 شهرًا)، والمعلومات القانونية المعروضة على العميل. وعند التسجيل، يرى العميل طبقة أولى من المعلومات تتضمن بيانات المسؤول، ويحفظ Stampaz إثبات موافقته.

إذا رأى المعالج أن تعليمةً ما تخالف الأنظمة، فسيُبلغ المسؤول بذلك.

• معالجة البيانات فقط وفق التعليمات الموثقة للمسؤول، وعدم استخدامها لأغراضه الخاصة.
• ضمان سرية الأشخاص المخوّلين بمعالجة البيانات.
• تطبيق تدابير الأمان الواردة في المادة 32 من GDPR: التشفير أثناء النقل، وعزل البيانات لكل نشاط تجاري، والتحكم في الوصول، والنسخ الاحتياطية، وسجل الوصول.
• مساعدة المسؤول على الاستجابة لحقوق أصحاب البيانات. يمكن للعملاء تصحيح بياناتهم وتنزيلها، وإيقاف تلقي العروض، وحذف كل شيء من بطاقتهم؛ وتُحال الطلبات التي تصل إلى المعالج إلى المسؤول دون تأخير.
• إبلاغ المسؤول بانتهاكات الأمان دون تأخير غير مبرر، وفي جميع الأحوال خلال 48 ساعة كحد أقصى من علمه بها، مع المعلومات المتاحة.
• مساعدة المسؤول، عند الاقتضاء، في تقييمات الأثر والمشاورات مع السلطة الرقابية.
• إتاحة المعلومات اللازمة للمسؤول لإثبات الامتثال، والسماح بعمليات تدقيق معقولة، بإشعار مسبق قبل 30 يومًا وعلى نفقة المسؤول.
• الاحتفاظ بسجل أنشطة المعالجة بصفته معالجًا.

يأذن المسؤول إذنًا عامًا للمعالجين الفرعيين التاليين:

• Supabase: قاعدة البيانات، والمصادقة، والتخزين (استضافة في الاتحاد الأوروبي).
• Vercel: استضافة التطبيق، الذي يعمل في منطقتها بفرانكفورت (الاتحاد الأوروبي).
• Apple وGoogle: إصدار البطاقات وتحديثها في Wallet الخاصة بهما (محتوى البطاقة فقط: الاسم، والأختام أو النقاط، والرمز).

سنُبلغ قبل 15 يومًا على الأقل بأي تغيير في المعالجين الفرعيين ليتمكن المسؤول من الاعتراض؛ وإذا اعترض ولم يوجد بديل، يمكنه الإلغاء. ويخضع كل معالج فرعي لالتزامات مماثلة. وتتم عمليات النقل خارج المنطقة الاقتصادية الأوروبية وفق ضمانات الفصل الخامس من GDPR (قرارات الكفاية، مثل إطار خصوصية البيانات بين الاتحاد الأوروبي والولايات المتحدة، أو البنود التعاقدية القياسية).

• إدخال بياناته القانونية في الإعدادات، وإبلاغ عملائه، والاستناد إلى أساس قانوني صحيح.
• إرسال العروض فقط لمن وافق عليها ودون الإفراط في الإشعارات.
• الحرص على أن يلتزم موظفوه بـ GDPR وأن يحافظوا على أمان الوصول إلى الماسح.

عند انتهاء الاشتراك، يحذف المعالج تلقائيًا كل البيانات بعد 30 يومًا. وخلال هذه المدة، يمكن للمسؤول تصديرها (JSON). وإذا حذف المسؤول حسابه، يكون الحذف فوريًا. ولا يُحتفظ مقيّدةً إلا بالبيانات التي يُلزم القانون بالاحتفاظ بها.