زوليا – المعالجون من الباطن (الملحق 3 لاتفاقية معالجة البيانات)

1.1 ⁦Microsoft⁩ (⁦Microsoft Azure⁩)

الخدمة

بيئة سحابية يُشغَّل فيها تطبيق زوليا (الواجهة، وبيئة تشغيل الذكاء الاصطناعي، والمهام الخلفية، والفحص من الفيروسات): جهاز افتراضي، وقاعدة بيانات ⁦PostgreSQL⁩ مُدارة (⁦Azure Database for PostgreSQL⁩) تتضمن جميع بيانات الأعمال المنظَّمة، وتخزين كائنات للملفات وللأرشيف المحمي من الكتابة (⁦Azure Blob Storage⁩)، ومفاتيح رئيسية في وحدة أمان للأجهزة (⁦Azure Key Vault⁩)، وسجلات تشغيلية خالية من أي محتوى شخصي (⁦Azure Monitor⁩)؛ وتحويل الكلام إلى نص للرسائل الصوتية وتحويل النص إلى كلام للردود المنطوقة (⁦Azure AI Speech⁩)، والتعرّف على النصوص في لقطات الشاشة وبطاقات الأعمال وملفات ⁦PDF⁩، بما في ذلك وثائق الهوية في عمليات فحص ⁦KYC⁩ (⁦Azure AI Document Intelligence⁩)، وكلتاهما في ⁦UAE North⁩، وتُستخدمان حصرًا لإعادة النص أو الكلام إلى الخدمة. تعالج ⁦Azure AI Speech⁩ الصوت للتعرّف الفوري على الكلام والنص لتحويله إلى كلام في ⁦UAE North⁩ داخل ذاكرة الخادم فقط؛ وبحسب ⁦Microsoft⁩ لا يُخزَّن أيٌّ منهما بعد المعالجة (تسجيل الصوت والنصوص المفرَّغة معطّل افتراضيًا، ولا تفعّله ⁦Biturai⁩). وتحتفظ ⁦Azure AI Document Intelligence⁩ بالمستند المُرسَل وبالنتيجة مشفّرَين في ⁦UAE North⁩ مدةً تصل إلى نحو 24 ساعة لتسليم النتيجة، ثم تحذفهما تلقائيًا.

الموقع

⁦UAE North⁩ (دبي). تُحفظ النسخ الاحتياطية في دولة الإمارات؛ ويكون الموقع الثاني في ⁦UAE Central⁩ (أبوظبي) فور إتاحته

البيانات الشخصية للعميل

جميع الأنواع المدرجة في الملحق 1 من اتفاقية معالجة البيانات، بما في ذلك وثائق الهوية (المشفّرة بمفاتيح المستأجر) والنسخ الاحتياطية؛ وبالإضافة إلى ذلك، المقاطع الصوتية للرسائل الصوتية والصور والمستندات، بما فيها وثائق الهوية، أثناء قراءتها من قِبل الخدمتين المذكورتين أعلاه، ونص الردود المنطوقة أثناء تحويله إلى كلام

أساس النقل

لا يوجد نقل: التخزين والمعالجة داخل دولة الإمارات

1.2 ⁦Amazon Web Services⁩ (الجهة المتعاقدة: ⁦Amazon Web Services EMEA SARL⁩، 38 ⁦avenue John F⁩. ⁦Kennedy⁩، ⁦L-1855 Luxembourg⁩؛ والنماذج عبر ⁦AWS Marketplace⁩: ⁦Amazon Web Services⁩, ⁦Inc⁩.، الولايات المتحدة)

الخدمة (أ): ⁦Amazon Bedrock⁩

نماذج ذكاء اصطناعي (⁦Anthropic Claude⁩) لوظائف الذكاء الاصطناعي في الخدمة. ولا يُرسَل إلا المحتوى المعالَج بالأسماء المستعارة. وتعمل النماذج ضمن ⁦Amazon Bedrock⁩ في حسابات تديرها ⁦AWS⁩؛ ولا يملك مطوّر النموذج أي وصول إلى المطالبات أو المخرجات أو السجلات. وتستخدم ⁦Biturai⁩ النماذج بموجب اتفاقيتها مع ⁦AWS⁩ وشروط مطوّر النموذج الخاصة بـ ⁦Amazon Bedrock⁩ (القسم 2). ولا تُستخدم بيانات العميل لتدريب النماذج

الموقع (أ)

مناطق الاتحاد الأوروبي ضمن ملف الاستدلال "⁦EU⁩" لدى ⁦AWS⁩، ويجري الاستدعاء من فرانكفورت: وتبعًا للنموذج، تُعالَج الطلبات في ألمانيا أو أيرلندا أو فرنسا أو إيطاليا أو إسبانيا أو السويد. وتُحظر المناطق الأخرى والملفات العالمية بموجب سياسة الوصول

الخدمة (ب): ⁦Amazon Simple Email Service⁩

رسائل البريد الإلكتروني الخاصة بالنظام: رموز تسجيل الدخول، والإشعارات، ونسخ من تأكيدات المتعاملين؛ واستقبال رسائل الدعم الإلكترونية المرسلة إلى ⁦support@help.zolia.ai⁩ (عبورًا فقط: تُحال مباشرةً إلى الخدمة في دولة الإمارات، ولا تُخزَّن لدى ⁦AWS⁩ بعد تسليمها)

الموقع (ب)

فرانكفورت، ألمانيا

البيانات الشخصية للعميل

(أ) النص المعالَج بالأسماء المستعارة للمهام ولمخرجات الذكاء الاصطناعي؛ (ب) عناوين البريد الإلكتروني والأسماء ومحتوى الرسائل

أساس النقل

المادة (23) البند (1) الفقرة (د) من قانون حماية البيانات الشخصية، مع ضمانات تعاقدية (البند 7.2 من اتفاقية معالجة البيانات)؛ وليس المادة (22) (لعدم نشر أي اعتماد)

1.3 (لم يعد مستخدمًا)

تُعد ⁦Meta Platforms⁩ (⁦WhatsApp Business Platform⁩) مزوّد خدمة للعميل فيما يخص حسابه الخاص على ⁦WhatsApp Business⁩، وهي مدرجة في القسم 2 (البند 6.6 من اتفاقية معالجة البيانات).

1.4 ⁦Vercel Inc⁩. – ليست معالجًا من الباطن، ومدرجة لأغراض الشفافية

تستضيف ⁦Vercel Inc⁩. الموقع الإلكتروني ⁦zolia.ai⁩ فقط. ويُقدَّم تطبيق زوليا من بيئة ⁦Biturai⁩ في دولة الإمارات (القسم 1.1). ولا تمر أي بيانات شخصية للعميل عبر ⁦Vercel⁩.

1.5 البريد الإلكتروني لمراسلات الدعم – ليس معالجًا من الباطن للبيانات الشخصية للعميل

لا يرسل العميل البيانات الشخصية للعميل إلى فريق الدعم لدى ⁦Biturai⁩ – مثل وثائق الهوية أو العقود أو أسماء عملائه – إلا داخل زوليا: عبر الدعم في نظام ⁦CRM⁩ الخاص بالمكتب على ⁦app.zolia.ai⁩ أو في تطبيق زوليا، وهما النظام نفسه (القسم 1.1). ولا يرسل العميل هذه البيانات بالبريد الإلكتروني مطلقًا؛ وعناوين البريد الإلكتروني للدعم لدى ⁦Biturai⁩ مخصصة فقط للأسئلة التي لا تتضمن بيانات شخصية للعميل. ولذلك لا تُعد خدمة البريد الإلكتروني لدى ⁦Biturai⁩ (⁦Google Workspace⁩) وبرنامج البريد الإلكتروني الذي تستخدمه (⁦Spark⁩) معالجين من الباطن للبيانات الشخصية للعميل.

1.6 ⁦Didit⁩ (التحقق من الهوية؛ الجهة المتعاقدة: ⁦Didit Identity⁩, ⁦Inc⁩.، دوفر، ديلاوير، الولايات المتحدة)

الخدمة

(أ) التحقق من الهوية في حالة ⁦KYC⁩ عندما يبدأ العميل عملية فحص: فحص وثيقة الهوية، وفحص الحيوية، ومطابقة الوجه، وفحص الجهاز وعنوان ⁦IP⁩، وفحص مكافحة غسل الأموال (⁦AML⁩). ويُحمِّل الشخص الخاضع للفحص وثيقة الهوية وصورة ذاتية مباشرةً إلى ⁦Didit⁩؛ ولا ترسل ⁦Biturai⁩ إلى ⁦Didit⁩ لهذا الفحص سوى مرجع لحالة ⁦KYC⁩ دون أي بيانات شخصية. (ب) المطابقة مع قوائم الأشخاص السياسيين ممثلي المخاطر عند فحص شخص في حالة ⁦KYC⁩: لا ترسل الخدمة إلى ⁦Didit⁩ سوى اسم ذلك الشخص وتاريخ ميلاده وجنسيته، وتطلب من ⁦Didit⁩ عدم الاحتفاظ بالطلب

الموقع

الاتحاد الأوروبي (⁦Amazon Web Services⁩، أيرلندا)

البيانات الشخصية للعميل

(أ) صور وثيقة الهوية والبيانات المقروءة منها، والصورة الذاتية وقالب الوجه، ونتائج فحص الحيوية ومطابقة الوجه وفحص مكافحة غسل الأموال، وبيانات الجهاز وعنوان ⁦IP⁩ الخاصة بالشخص الخاضع للفحص؛ (ب) اسم الشخص الخاضع للفحص وتاريخ ميلاده وجنسيته ونتيجة المطابقة

الاحتفاظ

تنقل ⁦Biturai⁩ النتيجة والصور إلى خزنة ⁦KYC⁩ المشفّرة الخاصة بالعميل في دولة الإمارات (القسم 1.1) فور انتهاء الفحص، ثم تحذف الفحص لدى ⁦Didit⁩، بما في ذلك قالب الوجه. وتُعاد محاولة عمليات النقل غير الناجحة؛ وتحذف ⁦Didit⁩ البيانات بعد شهر واحد كحد أقصى. (ب) تُحفظ نتيجة المطابقة مع قوائم الأشخاص السياسيين ممثلي المخاطر في حالة ⁦KYC⁩ داخل دولة الإمارات؛ وتطلب ⁦Biturai⁩ من ⁦Didit⁩ عدم الاحتفاظ بالطلب

أساس النقل

المادة (23) البند (1) الفقرة (د) من قانون حماية البيانات الشخصية، مع ضمانات تعاقدية (البند 7.2 من اتفاقية معالجة البيانات)؛ وليس المادة (22) (لعدم نشر أي اعتماد)

⁦Vercel Inc⁩.

استضافة الموقع الإلكتروني ⁦zolia.ai⁩ فقط
سبب عدم اعتباره معالجًا من الباطن: لا تمر أي بيانات شخصية للعميل عبر ⁦Vercel⁩؛ ويُقدَّم تطبيق زوليا من بيئة ⁦Biturai⁩ في دولة الإمارات (القسم 1.1)

⁦Meta Platforms⁩ (⁦WhatsApp Business Platform⁩)

مزوّد خدمة للعميل فيما يخص حسابه الخاص على ⁦WhatsApp Business⁩ (⁦Meta Platforms Ireland Limited⁩، ⁦Merrion Road⁩، دبلن 4، أيرلندا)؛ ويملك العميل الحساب ويدفع لـ ⁦Meta⁩ مباشرةً
سبب عدم اعتباره معالجًا من الباطن: متعاقد معه من قِبل العميل (البند 6.6 من اتفاقية معالجة البيانات)؛ وترسل الخدمة الرسائل وتستقبلها من خلاله بناءً على تعليمات العميل. وتكون بيانات الرسائل في حالة السكون مخزّنة في دولة الإمارات متى كان الرقم يستخدم التخزين المحلي. وتستخدم ⁦Biturai⁩ المنصة أيضًا بصفتها متحكمًا لرقمها الخاص (رموز تسجيل الدخول) ولقياس إعلاناتها الخاصة، دون أي بيانات شخصية للعميل

⁦Cloudflare⁩, ⁦Inc⁩.

تسجيل النطاقات ونظام أسماء النطاقات (⁦DNS⁩)
سبب عدم اعتباره معالجًا من الباطن: نظام ⁦DNS⁩ فقط؛ ولا تُوجَّه حركة بيانات الخدمة عبر ⁦Cloudflare⁩

⁦GitHub⁩

الشيفرة المصدرية للخدمة
سبب عدم اعتباره معالجًا من الباطن: لا توجد بيانات شخصية للعميل

1⁦Password⁩

خزنة ⁦Biturai⁩ لبيانات اعتماد الوصول الخاصة بها
سبب عدم اعتباره معالجًا من الباطن: لا توجد بيانات شخصية للعميل

⁦Tailscale Inc⁩.

وصول مشفّر للمسؤولين إلى خوادم ⁦Biturai⁩
سبب عدم اعتباره معالجًا من الباطن: حركة البيانات مشفّرة من طرف إلى طرف (⁦WireGuard⁩) بين أجهزة ⁦Biturai⁩ وخوادمها؛ وتقتصر ⁦Tailscale⁩ على تنسيق الاتصالات ولا تطّلع إلا على البيانات الوصفية للأجهزة

⁦Anthropic⁩, ⁦PBC⁩

مطوّر نماذج ⁦Claude⁩ التي تستخدمها الخدمة من خلال ⁦Amazon Bedrock⁩ وبائعها؛ وقد قبلت ⁦Biturai⁩ "⁦Anthropic on Bedrock⁩ – ⁦Commercial Terms of Service⁩" من خلال ⁦AWS Marketplace⁩
سبب عدم اعتباره معالجًا من الباطن: تعمل النماذج في حسابات تديرها ⁦AWS⁩ ولا تملك ⁦Anthropic⁩ أي وصول إليها، وبالتالي لا تتلقى ⁦Anthropic⁩ أي مطالبات أو مخرجات أو سجلات. وبموجب شروطها، لا يجوز لـ ⁦Anthropic⁩ تدريب النماذج على محتوى العميل

مزوّدو خدمات العميل

مزوّدون يربطهم العميل بالخدمة: مزوّد خدمة فوترة إلكترونية معتمد وبرنامج محاسبة (على سبيل المثال ⁦Zoho Books⁩ و⁦Wafeq⁩)، ومزوّد خدمات دفع (على سبيل المثال ⁦Stripe⁩)، ومشغّلو اتصالات لفحوصات قوائم عدم الاتصال، ومزوّد البريد الإلكتروني والتقويم لدى العميل (⁦Google Workspace⁩ و⁦Microsoft 365⁩)، ومزوّدو حلول ⁦WhatsApp⁩ للأعمال (على سبيل المثال 360⁦dialog⁩)، والبوابات العقارية وأنظمة ⁦CRM⁩ المرتبطة بها (على سبيل المثال ⁦Property Finder⁩ و⁦Bayut⁩ و⁦PropSpace⁩)
سبب عدم اعتباره معالجًا من الباطن: متعاقد معهم من قِبل العميل؛ ولا تنقل الخدمة البيانات إليهم إلا بناءً على تعليمات العميل (البند 6.6 من اتفاقية معالجة البيانات)

أدوات الفوترة والمحاسبة لدى ⁦Biturai⁩

إصدار فواتير الرسوم الخاصة بـ ⁦Biturai⁩ وتحصيلها: مقدّم خدمات الدفع (⁦Stripe⁩)، والتحقق من المشتريات في ⁦App Store⁩ و⁦Google Play⁩ (⁦Apple⁩ و⁦Google⁩)، والمحاسبة (⁦Wafeq⁩)
سبب عدم اعتباره معالجًا من الباطن: بيانات الاتصال التجاري وبيانات الفوترة الخاصة بالعميل، والتي تكون ⁦Biturai⁩ بشأنها هي المتحكم

خدمات الإشعارات (⁦Apple⁩ و⁦Google⁩ و⁦Mozilla⁩ و⁦Microsoft⁩)

إيصال الإشعارات إلى الأجهزة
سبب عدم اعتباره معالجًا من الباطن: لا يحمل إشعار التطبيق سوى إشارة تنبيه دون محتوى؛ وإشعارات الويب مشفّرة من طرف إلى طرف (⁦RFC 8291⁩)، فلا تستطيع خدمات الإشعارات قراءتها

دبي الرقمية (⁦data.dubai⁩)

مصدر بيانات السوق العامة (البيانات المفتوحة لدائرة الأراضي والأملاك في دبي)
سبب عدم اعتباره معالجًا من الباطن: لا تقوم الخدمة إلا بتنزيل بيانات عامة؛ ولا تُرسَل أي بيانات شخصية للعميل

الجهات التي تنشر قوائم العقوبات الرسمية (مجلس الأمن التابع للأمم المتحدة، والمكتب التنفيذي للرقابة وحظر الانتشار في دولة الإمارات، و⁦OFAC⁩، والاتحاد الأوروبي، والمملكة المتحدة)

تنزيل القوائم المنشورة إلى الخدمة داخل دولة الإمارات
سبب عدم اعتباره معالجًا من الباطن: لا تقوم الخدمة إلا بتنزيل القوائم؛ ولا تُرسَل لهذا الغرض أسماء الأشخاص الخاضعين للفحص

⁦Google⁩ (⁦Search Console⁩) و⁦LinkedIn⁩ و⁦Cloudflare⁩ (⁦Turnstile⁩)

بيانات الموقع الإلكتروني والتسويق الخاصة بـ ⁦Biturai⁩ وحماية نماذج التسجيل لديها
سبب عدم اعتباره معالجًا من الباطن: بيانات الموقع الإلكتروني وجهات الاتصال الخاصة بـ ⁦Biturai⁩ فقط، والتي تكون ⁦Biturai⁩ بشأنها هي المتحكم؛ ولا توجد بيانات شخصية للعميل

⁦Let⁩'⁦s Encrypt⁩ (⁦Internet Security Research Group⁩)

شهادات ⁦TLS⁩ الخاصة بالخدمة والتحقق من إلغائها
سبب عدم اعتباره معالجًا من الباطن: لا توجد بيانات شخصية للعميل

⁦Cisco Talos⁩ (⁦ClamAV⁩)

تحديثات تواقيع برنامج فحص الفيروسات
سبب عدم اعتباره معالجًا من الباطن: لا يُنزَّل سوى التواقيع؛ وتُفحص الملفات داخل دولة الإمارات ولا تُرسَل

⁦Canonical⁩ (⁦Ubuntu⁩) و⁦Docker⁩ و⁦Tailscale⁩ (مصادر الحزم)

التحديثات الأمنية وحزم البرمجيات للخوادم
سبب عدم اعتباره معالجًا من الباطن: لا يُنزَّل سوى الحزم؛ ولا تُرسَل أي بيانات شخصية للعميل

خدمة مراقبة (لم يتم اختيارها بعد)

السجلات والتنبيهات وصفحة الحالة
ملاحظة: تُزال البيانات الشخصية قبل الإرسال

مزوّد خدمة الرسائل النصية القصيرة (لم يتم اختياره بعد)

رموز تُستخدم لمرة واحدة عبر الرسائل النصية القصيرة
ملاحظة: مزوّد مرخّص لديه معرّف مرسل مسجّل

خدمة الطوابع الزمنية الموثوقة (⁦RFC 3161⁩، لم يتم اختيارها بعد)

طوابع زمنية لسجلات تأكيدات المتعاملين
ملاحظة: لا تتلقى سوى قيم التجزئة

⁦UAE PASS⁩

التعريف والتأكيد من قِبل المتعاملين الحاملين لبطاقة الهوية الإماراتية
ملاحظة: تسري شروط الجهة المشغّلة؛ ويُحدَّد الدور قبل التفعيل

⁦Hetzner Online GmbH⁩ (ألمانيا)

الخوادم، وتخزين الملفات، وتخزين النسخ الاحتياطية
تاريخ الانتهاء: 1 أكتوبر 2026؛ لم تُعالَج قط أي بيانات شخصية للعميل عائدة لأي عميل (بيانات اختبارية فقط)
حلّ محله: ⁦Microsoft Azure⁩ (⁦UAE North⁩)

⁦Supabase⁩, ⁦Inc⁩. (الولايات المتحدة؛ المنطقة فرانكفورت)

قاعدة بيانات مُدارة
تاريخ الانتهاء: 1 أكتوبر 2026؛ حُذف المشروع، بيانات اختبارية فقط
حلّ محله: ⁦Azure Database for PostgreSQL⁩ (⁦UAE North⁩)

⁦Amazon Web Services⁩ – ⁦Key Management Service⁩

المفاتيح الرئيسية
تاريخ الانتهاء: جُدولت المفاتيح للحذف في 1 أكتوبر 2026 (الحذف النهائي في 31 أكتوبر 2026)؛ مواد المفاتيح فقط
حلّ محله: ⁦Azure Key Vault⁩ (⁦UAE North⁩)