اتفاقية معالجة المعطيات ذات الطابع الشخصي (DPA) — مطابقة للجنة CNDP والقانون 09-08 و RGPD - EnvoiSMS.ma
اتفاقية رسمية لمعالجة المعطيات ذات الطابع الشخصي (DPA) تؤطر العلاقة بين العميل (المسؤول عن المعالجة) و EnvoiSMS.ma (المعالج من الباطن)، متطابقة تماماً مع مداولات اللجنة الوطنية CNDP (القانون المغربي رقم 09-08) واللائحة الأوروبية RGPD (المادة 28). وثيقة تعاقدية رسمية تتضمن الكتاب الأبيض للضمانات التقنية للبنية التحتية وإطار التوقيع لفرق المشتريات.
Notification Incidents :Sous 48h à 72h maxNotification documentée au Client
المادة 1 — الموضوع والأدوار والإطار القانوني (CNDP القانون 09-08 و RGPD المادة 28)
تؤطر اتفاقية معالجة المعطيات ذات الطابع الشخصي هذه («DPA») العمليات والأنشطة التقنية التي تنجزها شركة ALLNOACROBÁTICO - CONSULTORIA DE ANÁLISE DADOS, UNIPESSOAL LDA (الناشرة والمشغلة لمنصة EnvoiSMS.ma، المعرّف الضريبي 517551624) لحساب عملائها عبر منصة المراسلة البرمجية (الرسائل النصية القصيرة المعاملاتية، الحملات الجماعية، رموز التحقق OTP، وإشعارات واتساب للأعمال). وفي مجموع هذه العمليات، يتصرف العميل بصفته "المسؤول عن المعالجة" (Data Controller) وتتصرف EnvoiSMS.ma حصرياً بصفتها "معالجاً تقنياً من الباطن" (Data Processor)، وفق مقتضيات القانون المغربي رقم 09-08 والمادة 28 من اللائحة العامة الأوروبية لحماية المعطيات (RGPD).
تشكل هذه الاتفاقية الإطار التعاقدي الرسمي الملزم المنظم لمعالجة المعطيات. والوثيقة الرسمية المخصصة لتعبئة وتوقيع العميل قابلة للتنزيل بصيغة PDF.
المادة 2 — الوصف التعاقدي لأنشطة معالجة المعطيات
تُحدد الخصائص والضوابط التقنية للمعالجة المفوضة في الجدول التعاقدي التالي:
الزبناء النهائيون، والمشتركون، والعملاء المحتملون الذين منحوا موافقتهم الصريحة، ومستخدمو التطبيقات جهات الاتصال المشروعة للعميل.
مدة الحفظ النشط
من 30 إلى 90 يوماً متجددة لسجلات التوجيه وDLR لغايات المطابقة المحاسبية والتدقيق القانوني، تليها عملية حذف تلقائي أو تجهيل دائم لا رجعة فيه.
مصير المعطيات عند انتهاء العقد
الحذف النهائي أو التصدير الشامل داخل أجل 30 يوماً من إغلاق الحساب، باستثناء وثائق الفوترة الخاضعة للمقتضيات القانونية المحاسبية المغربية.
المادة 3 — التزامات وضمانات المسؤول عن المعالجة (العميل)
•
مشروعية الجمع والموافقة الصريحة (Opt-in) : يضمن العميل توفره المسبق على الموافقة الحرة والصريحة والمستنيرة لجميع المستلمين لأي رسائل تجارية أو تسويقية، طبقاً للقانون 09-08 ومداولات اللجنة الوطنية CNDP. بالنسبة للرسائل المعاملاتية (OTP والتنبيهات)، يضمن توفر أساس تعاقدي أو مشروع.
•
الإجراءات المسبقة لدى CNDP وعمليات النقل : يقر العميل بقيامه بكافة الإجراءات التصريحية المسبقة أو طلبات الإذن الإلزامية لدى اللجنة الوطنية لمراقبة حماية المعطيات ذات الطابع الشخصي (CNDP)، بما في ذلك المعالجات الخاصة بالتسويق المباشر ونقل المعطيات إلى الخارج.
•
إعلام الأشخاص المعنيين : يلتزم العميل بإعلام المستلمين بوضوح بوجود المعالجة وغاياتها وكيفية ممارسة حقوقهم في الولوج والتصحيح والتعرض.
•
حظر الرسائل غير المرغوب فيها والمواقيت القانونية : يُحظر إرسال أي رسائل تطفلية (Spam) أو تصيدية (Phishing/Smishing) أو خارج الأوقات القانونية المسموح بها في المغرب (حظر قاطع أيام الآحاد والأعياد الدينية والوطنية وخلال الفترات الليلية).
•
حفظ أمن مفاتيح API وأنظمة العميل : يلتزم العميل التزاماً صارماً بتأمين مفاتيح الربط البرمجي (API Keys) ومعرّفات الولوج الخاصة به، وعدم تضمينها في نصوص برمجية مكشوفة أو في الواجهات العامة، وحماية خوادمه ونقاط استقبال خطافات الويب (Webhooks) وقواعد بياناته. ويبقى أي تسريب أو حادث أمني ناجم عن جانب العميل أو خوادمه أو مفاتيحه تحت مسؤوليته الحصرية.
•
التعويض والحماية القانونية الكاملة (Hold Harmless) : يلتزم العميل التزاماً صريحاً بالدفاع عن EnvoiSMS.ma ومسؤوليها ومعالجيها من الباطن وتعويضهم وحمايتهم من أي دعاوى أو مطالبات أو غرامات إدارية (خاصة عقوبات CNDP أو ANRT) أو أتعاب محاماة ومصاريف قضائية ناتجة عن خرق العميل لمقتضيات حماية المعطيات، أو عدم الحصول على الرضا المسبق، أو المحتويات غير المشروعة، أو أي تسريب للمعطيات ناتج عن مفاتيح API أو معرّفات أو أنظمة العميل.
المادة 4 — التزامات المعالج التقني من الباطن (EnvoiSMS.ma)
•
المعالجة بناءً على تعليمات موثقة : لا تعالج EnvoiSMS.ma المعطيات الشخصية إلا بناءً على تعليمات كتابية موثقة من العميل مجسدة في طلبات الواجهة البرمجية API أو لوحة التحكم.
•
حظر الاستغلال التجاري : تلتزم EnvoiSMS.ma بعدم بيع أو تأجير أو تفويت أو تحديد ملامح (Profiling) أو استغلال المعطيات وجهات الاتصال لحسابها الخاص.
•
كتمان وسرية المستخدمين : يخضع جميع الموظفين والتقنيين المخول لهم الولوج إلى الأنظمة لالتزام قانوني وتعاقدي صارم بالسرية المهنية.
•
الإخطار بالخروقات خلال 72 ساعة : إخطار العميل كتابياً في أجل أقصاه 72 ساعة من تأكد وقوع أي خرق أمني يمس معطياته، دون أن يشكل هذا الإشعار اعترافاً بالمسؤولية أو الخطأ.
•
المساعدة التقنية والخدمة الذاتية : توفر المنصة أدوات ذاتية للتصدير (JSON/CSV) وحذف جهات الاتصال. وأي مساعدة استثنائية خارج الإطار القياسي تخضع لمقايسة مسبقة.
•
طلبات السلطات العمومية : تعالج EnvoiSMS.ma أي طلب من سلطة عمومية بخصوص معطيات العميل وفقاً للقسم 7 من سياسة الخصوصية (https://envoisms.ma/ar/legal/privacy/) — التحقق القانوني، والطعن في الطلبات غير المؤسسة، وتقليص المعطيات إلى الحد الأدنى، وإشعار العميل ما لم يحظر القانون ذلك لأسباب تتعلق بالمصلحة العامة (المادة 28، الفقرة 3، البند أ من اللائحة العامة لحماية البيانات GDPR).
المادة 5 — التدابير التقنية والتنظيمية للأمن (TOMs)
تعتمد EnvoiSMS.ma بنية تحتية سحابية موزعة طرفياً (Cloudflare Edge-Native Serverless) تضمن الدفاع المتعدد الطبقات مع التدابير الأمنية الخمسة (5) الأساسية التالية:
1. التشفير أثناء النقل (TLS 1.3 الصارم و HSTS) : فرض بروتوكول TLS 1.3 الصارم عبر جميع نقاط الواجهة البرمجية (https://api.envoisms.ma) وبوابات الويب. تفعيل ترويسة HSTS العالمية (Strict-Transport-Security: max-age=31536000; includeSubDomains; preload) مع خوارزميات حديثة تضمن السرية التامة المستمرة (PFS).
2. التشفير عند الحفظ والتخزين (AES-256) : تشفير شامل لجميع قواعد البيانات الموزعة D1 (SQLite Edge)، ومستودعات التخزين R2، ومخازن المفاتيح-القيم (KV) وفق معيار التشفير المتقدم AES-256 bit.
3. انعدام تخزين رموز OTP بشكل نصي واضح (حذف تلقائي من ذاكرة KV بعد 5 دقائق) : لا تُسجل أبداً رموز التحقق لمرة واحدة (OTP) بشكل نصي في قواعد البيانات أو السجلات. تُخزن حصرياً بصيغة مجزأة (Hash) في الذاكرة الموزعة المؤقتة (OTP_CODES) مع برمجة حذف تلقائي غير قابل للاسترجاع بعد 300 ثانية (5 دقائق) دقيقة، وتُلغى صلاحية الرمز فور استخدامه الناجح أو بعد 3 محاولات خاطئة.
4. التوقيع المشفر لخطافات الويب بمفتاح سري (HMAC-SHA256) : كل إشعار بالحدث أو تقرير توصيل (DLR) صادر إلى أنظمة العميل يكون موقعاً رقمياً في الترويسة X-EnvoiSMS-Signature (أو X-SMSMaroc-Signature) عبر خوارزمية HMAC-SHA256 بمفتاح سري فريد، مما يتيح التحقق القطعي من صحة وسلامة البيانات.
5. التدبير الآلي لطلبات إلغاء الاشتراك «STOP» وفق معايير CNDP : محرك آلي لحظر الإرسال في الوقت الفعلي. التعرف الفوري على كلمة «STOP» (ومثيلاتها ARRET و UNSUBSCRIBE) في الرسائل الواردة، وإدراج الرقم فوراً في جدول الحظر الشامل ومنع إرسال أي رسائل لاحقة قبل حقنها بالشبكة دون خصم من رصيد العميل، التزاماً بالمادة 9 من القانون 09-08 وتوجيهات CNDP.
تمثل هذه الضمانات التقنية الملحق التقني التعاقدي المعتمد في تدقيقات الأمن السيبراني واستمارات فرق المشتريات.
المادة 6 — المعالجون الفرعيون وعمليات النقل الدولي للمعطيات
•
يرخص العميل بصورة عامة بالاستعانة بالمعالجين الفرعيين المعتمدين في القائمة المرجعية: https://envoisms.ma/ar/legal/subprocessors/.
•
توجيه الاتصالات : مشغلو اتصالات ومجمّعو رسائل مرخصون، يُختارون حسب الوجهة (في المغرب: التوجيه نحو اتصالات المغرب وأورنج وإنوي).
•
نماذج الذكاء الاصطناعي لمساعدات واتساب : Cloudflare, Inc. (Workers AI) وGoogle LLC (نموذج Gemini، عبر بوابة الذكاء الاصطناعي الخاصة بنا).
•
البنية التحتية السحابية الطرفية : Cloudflare, Inc. (الشبكة الموزعة عالمياً، قواعد بيانات D1، جدار الحماية WAF، والحماية من هجمات الحرمان من الخدمة DDoS).
•
تخضع عمليات النقل خارج المغرب والاتحاد الأوروبي للبنود التعاقدية القياسية (SCC) المتوافقة مع أذونات النقل الصادرة عن CNDP.
المادة 7 — تحديد المسؤولية واستثناء مخاطر شبكات الاتصال
إطار المسؤولية
•
مخاطر شبكات المشغلين ووضع الوسيط التقني المجرّد : تعمل EnvoiSMS.ma كناقل تقني آلي. والتسليم النهائي يخضع لشبكات مشغلي الاتصالات (اتصالات المغرب، أورنج، إنوي) وتغطية الأجهزة. ولا يُضمن تسليم الرسائل بنسبة 100%. وحالات الحظر الناتجة عن فلاتر المشغلين لا تشكل خطأً من EnvoiSMS.ma.
•
السقف المالي للمسؤولية : في حال ثبوت مسؤولية قضائية حصرية على EnvoiSMS.ma، يُحدد السقف الإجمالي للتعويض في المبالغ الصافية المؤداة فعلياً من العميل خلال الأشهر الثلاثة (3) السابقة للحادث. وتُستثنى تماماً الأضرار غير المباشرة وفوات الكسب.
المادة 8 — عمليات التدقيق واستمارات المشتريات (Procurement)
تضع EnvoiSMS.ma رهن إشارة فرق العميل شهادات المطابقة وإجابات استمارات الأمان في غضون ثلاثين (30) يوم عمل (privacy@envoisms.ma). وتقتصر عمليات التدقيق الميداني على تدقيق واحد (1) في السنة بإشعار مسبق 30 يوم عمل، وتنفذ من قِبل مدقق مستقل تحت سرية تامة وعلى نفقة العميل الخالصة، مع حظر الولوج للكود المصدري ومعطيات العملاء الآخرين.
المادة 9 — مصير المعطيات عند انتهاء العقد
عند إنهاء الحساب، تقوم EnvoiSMS.ma، بناء على اختيار كتابي للعميل، بحذف المعطيات نهائياً أو إرجاعها خلال 30 يوماً، مع مراعاة الالتزامات القانونية المحاسبية والضريبية المتعلقة بالأرشفة.
المادة 10 — جهات الاتصال الرسمية ومسؤول حماية المعطيات (DPO)
•
مسؤول حماية المعطيات (DPO) : privacy@envoisms.ma
•
الدعم التقني والعمليات : support@envoisms.ma / +212 776 272 164
•
تحميل الاتفاقية الرسمية PDF : https://envoisms.ma/documents/dpa-envoisms-cndp-rgpd.pdf
•
الجهة الناشرة : ALLNOACROBÁTICO LDA (المعرّف الضريبي 517551624)، لشبونة، البرتغال.
إطار التوقيع والاعتماد التعاقدي (المشتريات والشؤون القانونية)
حُرر للإدلاء به عند الاقتضاء، ويعد ملزماً بالقبول الإلكتروني أو التوقيع على الوثيقة الرسمية.