المسرد · التشريعات والبيانات
ما هي اتفاقية معالجة البيانات (DPA)؟
اتفاقية معالجة البيانات (DPA) هي عقد يُبرم بين الشركة التي تعالج البيانات الشخصية نيابةً عن غيرها والشركة المسؤولة عنها، ويكتب لأي غرض وأين وبأي تدابير تجري المعالجة. وتُطرح عند شراء برنامج سحابي أو خدمة رواتب أو استضافة. وتجعل مسؤولية الأمان المشتركة في KVKK مكتوبة.
آخر تحديث: · الكاتب: Şevket Erer, شريك مؤسس، متخصص في الذكاء الاصطناعي
لماذا تُطلب هذه الاتفاقية؟
حين تأتمن شركة مزوّد CRM سحابيًا على سجلات عملائها، أو مزوّد خدمة على بيانات الرواتب، أو شركة استضافة على بريدها الإلكتروني، تبدأ معالجتها في نظام شخص آخر. وبحسب KVKK (قانون حماية البيانات الشخصية التركي)، إذا عالج طرفٌ آخر البياناتِ نيابةً عن المسؤول عنها، كان المسؤول مسؤولًا معه عن تدابير الأمان. والاتفاقية تجعل هذه المسؤولية المشتركة مكتوبة.
العقد هو النص الذي يُرجع إليه حين تنشأ مشكلة. فيكون مكتوبًا مسبقًا من يُبلغ من ومتى عند وقوع خرق، وهل تُعاد أم تُحذف عند انتهاء العقد، وهل يجوز الاستعانة بمقاول من الباطن.
ماذا تتضمن هذه الاتفاقية؟
تحدد الاتفاقية أي البيانات الشخصية تُعالج، ولأي غرض، ولأي مدة، وأن المعالج لا يتصرف إلا بتعليمات المسؤول. وتتضمن الاتفاقية أيضًا التدابير مثل التحكم في الوصول والتشفير والنسخ الاحتياطي وسجل الوصول، ومهلة الإبلاغ عن الخرق وطريقته، والبلد الذي تُحفظ فيه البيانات، وإعادة البيانات أو حذفها عند انتهاء الاتفاقية.
- الموضوع والغرض
أي البيانات الشخصية تُعالج، ولأي غرض، وإلى متى.
- التعليمات
أن يتصرف المعالج بتعليمات المسؤول فقط.
- تدابير الأمان
التدابير الفنية والإدارية مثل التحكم في الوصول والتشفير والنسخ الاحتياطي وسجل الوصول.
- الإبلاغ عن الخرق
خلال أي مدة وبأي طريقة يُبلَّغ المسؤول حين يُكتشف خرق.
- المكان والنقل
في أي بلد تُحفظ البيانات؛ وأساس النقل إن نُقلت إلى الخارج.
- الانتهاء
إعادة البيانات أو حذفها عند انتهاء العقد، وكيف يُوثَّق ذلك.
مثال
تقرر عيادة خاصة نقل مواعيد المرضى إلى برنامج سحابي. وأثناء الشراء تطلب من شركة البرمجيات اتفاقية معالجة بيانات، وتنظر خصوصًا في البلد الذي تُحفظ فيه البيانات، وهل النسخ الاحتياطية مشفَّرة، وكيف ستُسلَّم عند انتهاء العقد. ولأن الإجابات مكتوبة في الاتفاقية تستطيع العيادة أن تُظهر بأي مستند تفي بالتزاماتها.
ما المفاهيم الخاطئة الشائعة عن KVKK؟
عند شراء برمجيات سحابية يتردد اعتقادان عن KVKK: أن البيانات يجب أن تبقى دائمًا في تركيا، وأن توقيع العقد ينقل المسؤولية كلها إلى المورّد. يعرض كل بند الاعتقاد الشائع وما ينص عليه KVKK ورابط mevzuat.gov.tr؛ وللقواعد الخاصة بقطاعكم اسألوا مستشاركم.
الخطأ: يُلزم KVKK بحفظ البيانات في تركيا في جميع الأحوال.
الصحيح: يُخضع KVKK النقل إلى الخارج لشروط: يجوز النقل إذا توافر أحد شروط المعالجة وصدر قرار كفاية بشأن البلد المنقول إليه؛ وإذا لم يوجد قرار يُشترط أحد الضمانات المناسبة المذكورة في القانون (KVKK، المادة 9). وقد توجد في بعض القطاعات الخاضعة لتنظيم خاص قاعدة إضافية للحفظ داخل البلاد. KVKK، المادة 9
الخطأ: بمجرد توقيع الاتفاقية تنتقل مسؤولية الأمن كلها إلى شركة البرمجيات.
الصحيح: حتى إن تولّى شخص آخر المعالجة، يبقى المسؤول مسؤولًا بالتضامن معه عن اتخاذ تدابير الأمن (KVKK، المادة 12/2). والاتفاقية تكتب هذه المسؤولية المشتركة ولا تُسقطها. KVKK، المادة 12
هذه الصفحة معلومات عامة وليست رأيًا قانونيًا؛ وقد رُوجعت التشريعات آخر مرة في 25 سبتمبر 2026. النص الرسمي: قانون حماية البيانات الشخصية (mevzuat.gov.tr), هيئة حماية البيانات الشخصية التركية (kvkk.gov.tr)
كيف يبدو في Corex360؟
يعمل Corex360 بطريقتين: في مساحة خاصة بشركتكم على Corex360 Cloud أو على خادمكم الخاص؛ ويُكتب الاختيار في العقد. يُسجَّل كل دخول وجهاز ووصول. وتُعالج البيانات الشخصية في إطار KVKK (قانون حماية البيانات الشخصية التركي).
مصطلحات يُخلط بينها كثيرًا
| المسؤول عن البيانات | المسؤول عن البيانات هو الطرف الذي يقرر لماذا تجري المعالجة وكيف؛ وغالبًا يكون الشركة التي تشتري البرنامج. والاتفاقية تكتب تعليماته. |
|---|---|
| معالج البيانات | معالج البيانات هو الطرف الذي يتولى المعالجة نيابةً عن المسؤول وبتعليماته؛ وشركة البرمجيات السحابية مثال نموذجي. ومعظم الالتزامات في الاتفاقية تقع عليه. |
مصطلحات ذات صلة: معالج البيانات, المسؤول عن البيانات, VERBİS (سجل المسؤولين عن البيانات)
الأسئلة الشائعة
هل يجعل KVKK هذه الاتفاقية إلزامية؟
لا يشترط KVKK عقدًا مستقلًا بهذا الاسم. لكن لأن المسؤول عن البيانات مسؤول مع من يتولى المعالجة نيابةً عنه عن تدابير الأمان، فإن تحديد هذه التدابير في عقد مكتوب طريق شائع في التطبيق. أما في الاتحاد الأوروبي فتشترط GDPR هذا العقد صراحة.
هل شركة البرمجيات السحابية هي المسؤول عن البيانات في هذه الاتفاقية؟
في الغالب لا. فلأنها تعالج بيانات عميلها نيابةً عنه فهي معالِجة. أما ما تعالجه لأغراضها الخاصة، مثل بيانات فوترة عملائها، فتكون مسؤولة عنه.
ماذا يحدث للبيانات حين تنتهي الاتفاقية؟
بحسب ما يرد في العقد، تُعاد البيانات إلى المسؤول عنها، أو تُحذف، أو يُفعل الأمران معًا. وينبغي أن يرد في العقد أيضًا كيف يُوثَّق الحذف.
أسئلة ذات صلة
- هل تُدخَل بيانات الأشخاص أنفسهم في VERBİS؟
- لا. يُخطَر السجل بالأغراض وفئات الأشخاص وفئات البيانات وفئات المتلقين والنقل إلى الخارج وتدابير الأمن وأقصى مدة للحفظ (KVKK، المادة 16/3). ولا يُكتب في السجل اسم أي عميل أو رقم هاتفه.
هل كانت هذه الصفحة مفيدة لكم؟