تاريخ النفاذ: مارس 2026
آخر تحديث: 6 مارس 2026
يُشكِّل ملحق معالجة البيانات هذا ("الملحق") جزءاً من شروط الخدمة المبرمة بين شركة إنتلكس للتجارة ذ.م.م ("إنتلكس" أو "PanelX") والجهة المشتركة ("العميل"). يُحدِّد هذا الملحق الشروط الحاكمة لمعالجة البيانات الشخصية في إطار خدمات التحليلات التي تقدِّمها PanelX، وذلك امتثالاً لنظام حماية البيانات الشخصية (PDPL)، المرسوم الملكي م/19 (2021)، المعدَّل بالمرسوم الملكي م/148 (2023)، واللوائح التنفيذية للنظام (2024).
إنتلكس هي المتحكم في البيانات وفق نظام PDPL. تُحدِّد إنتلكس أغراض معالجة البيانات الشخصية للمشاركين ووسائلها بهدف توليد تحليلات السوق المجمَّعة.
العميل ليس متحكماً مشتركاً. لا يُحدِّد العميل غرض معالجة بيانات المشاركين أو وسائلها. العميل مُصنَّف بوصفه متلقياً للبيانات التحليلية المجهولة الهوية. يتلقى العميل بيانات مجمَّعة ومجهولة الهوية فحسب عبر منصة PanelX. لا يُكشَف عن أيٍّ من بيانات المشاركين الأفراد للعميل قطعياً.
لأن العميل متلقٍّ للبيانات وليس متحكماً مشتركاً، فإنه لا يرث التزامات نظام PDPL تجاه المشاركين. تتحمل إنتلكس المسؤولية الكاملة عن: الحصول على موافقة المشاركين (المادة 10 من نظام PDPL)، والاستجابة لطلبات الوصول لأصحاب البيانات (المواد 4 و5 و6 من نظام PDPL)، وإشعار الاختراق للهيئة السعودية للبيانات والذكاء الاصطناعي والأفراد المتأثرين (المادة 24 من نظام PDPL)، والاحتفاظ بسجلات أنشطة المعالجة (المادة 18 من اللوائح التنفيذية لنظام PDPL).
تُعالَج الجنسية بوصفها بديلاً عن الأصل العرقي وفق المادة 14 من نظام PDPL. تُجمَع الموافقة الصريحة للمشارك مع شرح الغرض بشكل منفصل لهذه الفئة. الغرض: الترجيح الإحصائي لضمان تمثيل اللجنة للتركيبة السكانية في المملكة العربية السعودية.
تعالج إنتلكس بيانات المشاركين الشخصية لأغراض: الترجيح الإحصائي عبر الملاءمة التكرارية النسبية (IPF)، وتحليل السوق وحساب مؤشرات الأداء الرئيسية، وضبط سلاسل عوامل التصحيح، وتوليد رؤى السوق المجمَّعة.
يتلقى العميل فحسب بيانات السوق المجمَّعة: نسب الانتشار وحصص العلامات التجارية ومعدلات الشراء وتواترات الشراء واتجاهات الحجم والتحليلات الديموغرافية. لا تُقدَّم للعميل أي بيانات على مستوى الأفراد. الحد الأدنى للتجميع: لا تُبلَّغ البيانات إلا عندما تحتوي العينة على 30 أسرة ذات أوزان أو أكثر لكل خلية بيانات. هذا هو الحد الأدنى المعياري في الصناعة لحجم الخلية لضمان الموثوقية الإحصائية في أبحاث لجان المستهلكين.
| المعالج الفرعي | الموقع | غرض المعالجة | فئات البيانات |
|---|---|---|---|
| AWS (Amazon Web Services) | البحرين (me-south-1) | البنية التحتية لقواعد البيانات. تعالج البيانات بناءً على تعليمات إنتلكس. لا تُحدِّد الغرض. | جميع البيانات الشخصية للمشاركين (مشفَّرة في وضع الراحة بمعيار AES-256) |
| Vercel | مومباي، الهند (bom1) | استضافة التطبيق. يعالج التصيير من الخادم بيانات الطلبات عبورياً. | حمولات طلبات API للمشاركين (الهاتف لـ OTP، بيانات التسجيل مع GPS). معالجة عبورية، لا حفظ. |
| Anthropic | الولايات المتحدة | تحليل الإيصالات وتحديد المنتجات بمساعدة الذكاء الاصطناعي عبر Claude API. | صور الإيصالات والمنتجات. معالجة عبورية، لا تخزين وفق شروط API للحسابات التجارية. |
| Clerk | الولايات المتحدة | مصادقة مستخدمي لوحة التحكم. | البريد الإلكتروني والاسم ورموز الجلسة لمستخدمي لوحة التحكم. لا معالجة لبيانات المشاركين. |
| Voyage AI | الولايات المتحدة | توليد تضمينات المنتجات لتحديد الهوية. | أوصاف المنتجات فقط. لا معلومات تعريفية شخصية. |
تُخطِر إنتلكس العميل قبل ثلاثين (30) يوماً على الأقل من التعاقد مع أي معالج فرعي جديد أو استبدال معالج فرعي قائم. يتضمن الإشعار هوية المعالج الفرعي الجديد وموقعه وأنشطة المعالجة التي سيؤديها.
يحق للعميل الاعتراض على أي معالج فرعي جديد خلال خمسة عشر (15) يوماً من استلامه الإشعار. إذا لم يُسوَّ الاعتراض على نحو مُرضٍ للعميل خلال ثلاثين (30) يوماً، يحق للعميل إنهاء اتفاقية الاشتراك دون غرامة.
تظل إنتلكس مسؤولة مسؤولية كاملة عن أفعال معالجيها الفرعيين وتقصيرهم فيما يتعلق بالتزامات حماية البيانات. تضمن إنتلكس أن كل معالج فرعي مقيَّد بشروط معالجة البيانات التي لا تقل حمايةً عما نصَّ عليه هذا الملحق.
تُعالَج البيانات الشخصية في الدول التالية:
| الوجهة | المعالج | الأساس القانوني (المادة 29 من PDPL) | الضمان |
|---|---|---|---|
| البحرين | AWS (RDS) | الضرورة التعاقدية (المادة 29(1)(ج)) + الموافقة الصريحة | اتفاقية معالجة البيانات مع SCCs. معاملة محافظة بوصفها نقلاً عابراً للحدود. |
| الهند | Vercel | الضرورة التعاقدية (المادة 29(1)(ج)) + الموافقة الصريحة | اتفاقية معالجة البيانات مع SCCs. معالجة عبورية فحسب. تطبيق تقليص البيانات. |
| الولايات المتحدة | Anthropic | الموافقة الصريحة على معالجة الذكاء الاصطناعي + الضرورة التعاقدية (المادة 29(1)(ج)) | اتفاقية معالجة البيانات مع Anthropic. لا تخزين للبيانات وفق شروط API للحسابات التجارية. |
| الولايات المتحدة | Clerk | الضرورة التعاقدية | اتفاقية معالجة البيانات. بيانات مستخدمي لوحة التحكم فحسب، لا بيانات المشاركين. |
| الولايات المتحدة | Voyage AI | الضرورة التعاقدية | اتفاقية معالجة البيانات. أوصاف المنتجات فحسب، لا معلومات تعريفية شخصية. |
البنود التعاقدية القياسية (SCCs) المتوافقة مع لوائح الهيئة السعودية للبيانات والذكاء الاصطناعي قائمة أو يجري إتمامها مع كل معالج فرعي يعالج بيانات شخصية خارج المملكة العربية السعودية. تم الحصول على الموافقة الصريحة للمشارك على كل وجهة نقل. يحق للعميل طلب نسخ من SCCs المُنفَّذة عند الطلب الكتابي.
حين تنشر الهيئة السعودية للبيانات والذكاء الاصطناعي قائمة الدول الكافية الحماية، ستُحدِّث إنتلكس هذا البند ليعكس أي قرارات كفاية سارية. البحرين، بوصفها عضواً في مجلس التعاون الخليجي وصاحبة قانون حماية بيانات شخصية خاص بها (القانون رقم 30 لسنة 2018)، مرشحة قوية للاعتراف بها دولةً كافية الحماية.
تحتفظ إنتلكس ببرنامج لإدارة نقاط الضعف يتضمن: التحديثات الدورية للتبعيات ومراقبة التنبيهات الأمنية لجميع المكتبات الخارجية وتطبيق تصحيحات أمن منصة Vercel.
تلتزم إنتلكس بتقديم استبيان تقييم ذاتي للأمن بناءً على طلب العميل. تلتزم إنتلكس كذلك بالحصول على شهادة SOC 2 من النوع الأول خلال 24 شهراً من إتمام أول عملية إعداد لعميل تجاري. إلى حين الحصول على شهادة SOC 2، ستُقدِّم إنتلكس بنداً يتيح الحق في التدقيق (انظر البند 7) بوصفه آلية ضمان بديلة.
تُخطِر إنتلكس العميل خلال ثمانية وأربعين (48) ساعة من علمها بأي اختراق للبيانات الشخصية يؤثر أو يُتوقع بصورة معقولة أن يؤثر على البيانات المعالَجة في إطار خدمات التحليلات المقدَّمة للعميل.
يتضمن إشعار الاختراق للعميل ما يلي:
تُخطِر إنتلكس الهيئة السعودية للبيانات والذكاء الاصطناعي خلال اثنتين وسبعين (72) ساعة من علمها بأي اختراق يُشكِّل خطراً على حقوق أصحاب البيانات وحرياتهم وفق ما تقتضيه المادة 24 من نظام PDPL. تُخطِر إنتلكس أصحاب البيانات المتأثرين "دون تأخير لا مبرر له" وفق ما تقتضيه المادة 24 من نظام PDPL.
يسبق إشعار العميل البالغ 48 ساعة إشعارَ الهيئة السعودية البالغ 72 ساعة، مما يُتيح للعميل إعداد استجابته التنظيمية الخاصة واتصالاته. ستتعاون إنتلكس مع العميل في الرد على أي استفسار تنظيمي ناشئ عن الاختراق.
يحق للعميل تدقيق ممارسات حماية البيانات لدى إنتلكس مرة واحدة كل سنة تقويمية، مع إشعار كتابي مسبق مدته ثلاثون (30) يوماً.
تقتصر عمليات التدقيق على ضوابط حماية البيانات وأمن المعلومات ذات الصلة ببيانات العميل. يستثني نطاق التدقيق تحديداً: الخوارزميات والمنهجيات الخاصة ونماذج الترجيح ومواصفات عوامل التصحيح والعمليات التجارية غير المتعلقة بحماية البيانات وبيانات العملاء الآخرين.
ستتعاون إنتلكس في عمليات التدقيق بتوفير الوصول إلى:
يتحمل كل طرف تكاليفه الخاصة المتعلقة بعمليات التدقيق. إذا طلب العميل تدقيقاً أكثر من مرة واحدة في السنة التقويمية، يتحمل العميل تكاليف إنتلكس المعقولة للتدقيق الإضافي.
يحق للعميل الاحتفاظ بالمخرجات التحليلية المجهولة الهوية المُقدَّمة خلال مدة الاشتراك إلى أجل غير محدد. هذه المخرجات بيانات مجمَّعة (وفق التعريف أعلاه) وتقع خارج نطاق تطبيق نظام PDPL.
تحتفظ إنتلكس بالمعلومات التعريفية الشخصية للمشاركين وفق جدول الاحتفاظ المنصوص عليه في سياسة الخصوصية:
عند إنهاء اتفاقية الاشتراك، ستقوم إنتلكس بما يلي:
تلتزم إنتلكس بتعويض العميل والدفاع عنه وحمايته ومسؤوليه ومديريه وموظفيه ووكلائه من وضد أي مطالبات وخسائر وأضرار ومسؤوليات وتكاليف ونفقات (بما فيها أتعاب قانونية معقولة) نشأت عن مطالبات أطراف ثالثة ناتجة عن إخلال إنتلكس بالتزاماتها في حماية البيانات بموجب هذا الملحق أو نظام PDPL أو أي تشريع سعودي آخر لحماية البيانات.
التزامات تعويض إنتلكس بموجب هذا البند 9 تخضع للقيود المقررة في شروط الخدمة، القسم 8. تحديداً:
تكون التزامات تعويض إنتلكس مشروطة بقيام العميل بما يلي: (أ) إخطار إنتلكس كتابياً فوراً بأي مطالبة؛ (ب) منح إنتلكس السيطرة الكاملة على الدفاع والتسوية؛ (ج) تقديم مساعدة معقولة على نفقة إنتلكس.
تضمن إنتلكس أنها تعالج البيانات الشخصية وفق نظام حماية البيانات الشخصية (PDPL)، المرسوم الملكي م/19 (2021)، المعدَّل بالمرسوم الملكي م/148 (2023)، واللوائح التنفيذية للنظام (2024)، وجميع قوانين وأنظمة حماية البيانات السعودية المعمول بها، بما فيها لائحة نقل البيانات الشخصية خارج المملكة (أغسطس 2024).
تضمن إنتلكس أن عمليات أبحاث لجنة المستهلكين لديها تمتثل للكود الدولي لغرفة التجارة الدولية / ESOMAR في بحوث السوق والرأي والبحث الاجتماعي وتحليل البيانات. يشمل ذلك على سبيل المثال لا الحصر: الموافقة المستنيرة والشفافية في جمع البيانات وفصل بيانات البحث عن اتصالات التسويق وحماية سرية المشاركين.
ستراقب إنتلكس التغييرات على نظام PDPL واللوائح ذات الصلة وستُحدِّث ممارسات حماية البيانات لديها وهذا الملحق و سياسة الخصوصية حسب الضرورة لضمان الامتثال. تستوجب التغييرات الجوهرية على هذا الملحق إشعاراً كتابياً مسبقاً بثلاثين (30) يوماً للعميل.
يسري هذا الملحق من تاريخ توقيع اتفاقية الاشتراك بين إنتلكس والعميل. بتوقيع اتفاقية الاشتراك (نموذج الطلب)، يقبل العميل شروط هذا الملحق. لا يلزم توقيع منفصل.
للحصول على نسخة قابلة للتحميل من هذا الملحق أو لطلب توقيعه عبر صك منفصل، تواصل على:
شركة إنتلكس للتجارة ذ.م.م
البريد الإلكتروني: privacy@panelx.ai
يُنشَر ملحق معالجة البيانات هذا باللغتين العربية والإنجليزية. عند أي تعارض بين النسختين، تسود النسخة العربية.