شروط الامتثال
والأطر
نعمل وفق إطار امتثال صارم يشمل حماية البيانات واللوائح القطاعية والمعايير الدولية. إليك التزامنا تجاهك وما نحتاجه منك في المقابل.
النطاق والغرض
تشكّل شروط الامتثال هذه («شروط الامتثال») جزءًا لا يتجزأ من الاتفاقية بين Exponent Solutions Pvt. Ltd. («Exponent») وعملائها. وهي تحدد التزامات الامتثال التنظيمي والأطر والمسؤوليات التي تحكم تقديم خدمات Exponent.
تنطبق هذه الشروط على جميع ارتباطات الخدمة التي تشمل معالجة البيانات والبنية التحتية السحابية وتطوير البرمجيات وتطبيق الذكاء الاصطناعي/تعلم الآلة والخدمات المُدارة. ويقر الطرفان بأن الامتثال التزام مستمر وليس حدث اعتماد لمرة واحدة.
الغرض من هذه الشروط
أطر الامتثال
يقوم برنامج الامتثال لدى Exponent على أطر معترف بها دوليًا، ويُتحقق منه بشكل مستقل عبر عمليات تدقيق خارجية. تشمل شهاداتنا وأوضاع الامتثال السارية ما يلي:
SOC 2 Type II
معايير خدمات الثقة من AICPA
تدقيق سنوي يغطي معايير خدمات الثقة للأمان والتوفر وسلامة المعالجة والسرية والخصوصية. التقارير متاحة للعملاء بموجب اتفاقية عدم إفصاح.
ISO 27001:2022
إدارة أمن المعلومات
شهادة ISMS كاملة تغطي سياسات أمن المعلومات وإدارة المخاطر وإدارة الأصول والتحكم في الوصول وعمليات إدارة الحوادث.
PCI DSS المستوى 1
معيار صناعة بطاقات الدفع
أعلى مستوى من امتثال PCI DSS للخدمات التي تتضمن معالجة بيانات بطاقات الدفع أو تخزينها أو نقلها نيابةً عن عملاء الخدمات المالية.
الجاهزية لـ HIPAA
قانون نقل التأمين الصحي والمساءلة
بنية تحتية وعمليات جاهزة لـ HIPAA لعملاء الرعاية الصحية. اتفاقية شريك الأعمال (BAA) متاحة لجميع الارتباطات التي تشمل معلومات صحية محمية.
GDPR & PDPA
حماية البيانات في الاتحاد الأوروبي والهند
امتثال كامل للائحة GDPR لأصحاب البيانات في الاتحاد الأوروبي، وامتثال لقانون حماية البيانات الشخصية الرقمية (PDPA) لعام 2023 لأصحاب البيانات في الهند. اتفاقية DPA متاحة عند الطلب.
ISO 9001:2015
نظام إدارة الجودة
شهادة إدارة الجودة التي تضمن اتساق عمليات تقديم الخدمة وقياس رضا العملاء وممارسات التحسين المستمر.
قوانين خصوصية البيانات
تعالج Exponent البيانات الشخصية بصفتها معالجًا للبيانات نيابةً عن عملائها. وتُضفى الصفة الرسمية على التزاماتنا بموجب قوانين حماية البيانات المعمول بها من خلال اتفاقيات معالجة البيانات (DPA) المتاحة للتوقيع إلى جانب اتفاقية الخدمة.
اللائحة العامة لحماية البيانات (GDPR)
نعمل بصفتنا معالجًا للبيانات بموجب المادة 28 من GDPR. وتُبرم البنود التعاقدية القياسية (SCCs) لجميع عمليات نقل البيانات الدولية. وتُلبّى طلبات حقوق أصحاب البيانات خلال 30 يومًا. واتفاقية DPA إلزامية لجميع ارتباطات العملاء في الاتحاد الأوروبي.
قانون حماية البيانات الشخصية الرقمية لعام 2023 (DPDPA)
تلتزم Exponent بجميع الالتزامات المفروضة على أمناء البيانات ومعالجيها بموجب DPDPA. ونحتفظ بسجلات أنشطة المعالجة وننفذ التدابير التقنية والتنظيمية المناسبة حسب المطلوب.
CCPA / قوانين الخصوصية في الولايات
بالنسبة للعملاء الذين لديهم بيانات لمقيمين في كاليفورنيا، نلتزم بمتطلبات CCPA/CPRA بصفتنا مزود خدمة. لا نبيع المعلومات الشخصية، ونقدم الشروط التعاقدية المطلوبة التي تقيّد استخدامنا للبيانات الشخصية.
ضمانات نقل البيانات عبر الحدود
تخضع جميع عمليات نقل البيانات الدولية لآليات نقل مناسبة تشمل البنود التعاقدية القياسية أو القواعد المؤسسية الملزمة أو قرارات الكفاية. ويُبلَّغ العملاء بخيارات مكان تخزين البيانات قبل بدء الخدمة.
المسؤوليات المشتركة
يتطلب الامتثال ضمن نموذج الخدمات المشتركة تحديدًا واضحًا للمسؤوليات. تحدد المصفوفة التالية الطرف المسؤول بشكل رئيسي عن كل نشاط امتثال:
| نشاط الامتثال | Exponent | العميل | مشترك |
|---|---|---|---|
| ضوابط أمن البنية التحتية | رئيسي | — | — |
| تصنيف البيانات قبل استيعابها | — | رئيسي | — |
| التقارير التنظيمية إلى السلطات | — | رئيسي | — |
| إدارة وصول المستخدمين النهائيين | — | رئيسي | — |
| تلبية حقوق أصحاب البيانات | دور داعم | رئيسي | — |
| الإخطار بالخرق (إلى الجهات التنظيمية) | دور داعم | رئيسي | — |
| الإخطار بالخرق (إلى Exponent) | — | رئيسي | — |
| إدارة مخاطر الموردين | — | — | مشترك |
| تدريب الموظفين على الامتثال | — | — | مشترك |
| تيسير التدقيق وتقديم الأدلة | — | — | مشترك |
| أمن المنصة والتطبيقات | رئيسي | — | — |
| أمن أجهزة العميل | — | رئيسي | — |
مهم: العميل بصفته مسؤولًا عن البيانات
اللوائح القطاعية
بالنسبة للعملاء في القطاعات الخاضعة للتنظيم، تحافظ Exponent على أوضاع امتثال إضافية تتوافق مع متطلبات كل قطاع، وتُفعَّل وفقًا لطبيعة الارتباط:
🏭 أوضاع امتثال خاصة بكل قطاع
الخدمات المالية
إطار تقنية المعلومات من RBI، وإرشادات SEBI، ودعم ضوابط بازل 3، ومعايير تكامل AML/KYC، وPCI DSS لمعالجة المدفوعات.
الرعاية الصحية
اتفاقية BAA متاحة وفق HIPAA/HITECH، وقابلية التشغيل البيني عبر HL7 FHIR R4، ومعايير أمن البيانات السريرية، ودعم أطر الصحة الرقمية لدى NABH.
الحكومة والقطاع العام
الامتثال لسياسة الحوسبة السحابية لدى MEITY، ومعايير أمن NIC، والتوافق مع مشتريات GeM، ودعم متطلبات إطار GovStack.
التجزئة والتجارة الإلكترونية
الامتثال لقانون حماية المستهلك لعام 2019، والالتزام بقواعد التجارة الإلكترونية، وPCI DSS لمعالجة المدفوعات، ودعم توطين البيانات.
التصنيع
الامتثال للأمن السيبراني لتقنيات التشغيل، والإلمام بمعايير IEC 62443، والتعامل مع بيانات سلامة المنتجات، ووثائق امتثال سلسلة التوريد.
الاتصالات والتقنية
الإلمام بلوائح TRAI، والامتثال لقانون تقنية المعلومات لعام 2000، والامتثال لمتطلبات CERT-In بما في ذلك الإبلاغ عن الحوادث خلال 6 ساعات وفق التعليمات.
تقارير الامتثال
توفر Exponent للعملاء الوثائق والأدلة اللازمة لدعم برامج الامتثال الخاصة بهم وعمليات التدقيق التنظيمي ومتطلبات العناية الواجبة.
- ✓تقارير SOC 2 Type II متاحة بموجب اتفاقية عدم إفصاح عند تقديم طلب كتابي
- ✓شهادة ISO 27001 متاحة للتنزيل من بوابة الامتثال
- ✓خطاب ملخص امتثال سنوي يُقدَّم لعملاء المؤسسات كل يناير
- ✓ملخص تنفيذي لاختبار الاختراق متاح للعملاء عند الطلب
- ✓قائمة المعالجين الفرعيين محدّثة مع إشعار مسبق قبل 30 يومًا بأي تغيير
- ✓دعم تقييم أثر حماية البيانات (DPIA) متاح لأنشطة المعالجة عالية المخاطر
- ✓تقديم تقارير الحوادث إلى CERT-In خلال 6 ساعات للحوادث المعنية وفق اللوائح الهندية
الوصول إلى بوابة الامتثال
بروتوكول الخروقات والمخالفات
في حال وقوع مخالفة امتثال — سواء كانت خرقًا للبيانات أو عدم مطابقة تنظيمية أو انتهاكًا للسياسات — يجب على الطرفين اتباع بروتوكول الإخطار والمعالجة أدناه.
التزامات Exponent عند اكتشاف مخالفة امتثال:
- ✓إخطار العميل خلال 72 ساعة من العلم بأي خرق للبيانات الشخصية يؤثر على بيانات العميل
- ✓تقديم تقييم أولي للحادث يتضمن النطاق وفئات البيانات المتأثرة والعدد التقريبي للأفراد
- ✓تقديم التعاون والمساعدة المعقولين للعميل في إخطاراته التنظيمية الخاصة
- ✓تنفيذ تدابير الاحتواء وتوثيق خطوات المعالجة المتخذة
- ✓تسليم تقرير كامل لما بعد الحادث خلال 15 يوم عمل من إغلاقه
التزامات العميل عند اكتشاف مشكلة امتثال:
- ✓إخطار Exponent خلال 24 ساعة من اكتشاف أي خرق محتمل أو مشكلة امتثال تتعلق بأنظمة Exponent
- ✓التعاون الكامل مع تحقيق Exponent وعدم اتخاذ إجراءات معالجة أحادية في البيئات التي تديرها Exponent
- ✓الاستعانة بمستشار قانوني مستقل لقرارات الإخطار التنظيمي — لا تستطيع Exponent تقديم استشارات قانونية
الإبلاغ الإلزامي إلى CERT-In
امتثال المعالجين الفرعيين
يخضع جميع المعالجين الفرعيين الذين تستعين بهم Exponent لمعالجة بيانات العميل لالتزامات الامتثال نفسها المفروضة على Exponent بموجب هذه الشروط. وتحافظ Exponent على برنامج رسمي لإدارة المعالجين الفرعيين يتضمن:
- ✓تقييم امتثال قبل التعاقد لجميع المعالجين الفرعيين الجدد الذين يتعاملون مع بيانات العميل
- ✓إعادة تقييم امتثال سنوية لجميع المعالجين الفرعيين النشطين
- ✓اتفاقيات معالجة بيانات مع جميع المعالجين الفرعيين تتضمن حماية مماثلة لتلك الواردة في اتفاقيات DPA مع العملاء
- ✓حق تعاقدي في تدقيق المعالجين الفرعيين حيثما تقتضي اللوائح المعمول بها
- ✓إشعار العملاء قبل 30 يومًا من الاستعانة بمعالجين فرعيين جدد يمكنهم الوصول إلى بياناتهم
التغييرات التنظيمية
المشهد التنظيمي في تطور مستمر. تحافظ Exponent على عملية لإدارة التغييرات التنظيمية لرصد القوانين والمعايير والإرشادات الجديدة والمحدّثة التي تؤثر على خدماتنا وتقييمها والاستجابة لها.
عند حدوث تغيير تنظيمي جوهري يؤثر على التزامات العميل أو على تقديم Exponent لخدماتها، ستُخطر Exponent العملاء المتأثرين خلال 30 يومًا من سريان التغيير (أو في أقرب وقت ممكن عمليًا إذا كان للتغيير أثر فوري). وستقدم Exponent إرشادات معقولة بشأن الأثر على خدماتك، لكنها لا تستطيع تقديم استشارات قانونية — لذا يُرجى استشارة مستشارك القانوني بشأن أي تغييرات تنظيمية تؤثر على أعمالك.
جهة اتصال الامتثال
لجميع الاستفسارات المتعلقة بالامتثال، أو طلبات وثائق التدقيق، أو توقيع اتفاقية DPA، أو الأسئلة التنظيمية المتعلقة بخدمات Exponent، يُرجى استخدام جهات الاتصال التالية:
فريق الامتثال
لتقارير التدقيق واتفاقيات DPA والشهادات
compliance@exponentsolutions.ai الرد خلال 5 أيام عمل
الفريق القانوني
لشروط العقود والتفاوض على DPA
legal@exponentsolutions.ai الرد خلال 5 أيام عمل
مسؤول حماية البيانات
لحقوق أصحاب البيانات واستفسارات GDPR
dpo@exponentsolutions.ai الرد خلال 5 أيام عمل
خط الطوارئ للحوادث
للخروقات أو الحوادث الجارية
security@exponentsolutions.ai +91 01234 4333534 (24/7)
مسؤول حماية البيانات المسجّل لدينا لأغراض GDPR: compliance@exponentsolutions.ai. العنوان المسجّل: A-33, Raheja Vedaanta, Sector 108, Gurugram, Haryana 122017, India.
هل تحتاج إلى وثائق الامتثال؟
اطلب تقارير SOC 2 وشهادات ISO ونماذج DPA وإجابات استبيانات الامتثال — وسيرد فريقنا خلال 5 أيام عمل.