# قرارداد پردازش داده (DPA)
نسخه ۱.۰ — پیوست قرارداد خدمت Doify
## ۱. طرفین و دامنه
شرکت استفاده‌کننده «کنترل‌کننده» و ارائه‌دهنده Doify «پردازشگر» است. موضوع پردازش، میزبانی و انجام عملیات لازم برای مدیریت کار، فرایند، منابع انسانی، مکاتبات، اعلان و گزارش در مدت اشتراک و دوره نگهداری پس از آن است.
## ۲. دستور مستند
پردازشگر فقط طبق قرارداد، تنظیمات مدیران مجاز و دستور مستند کنترل‌کننده عمل می‌کند؛ مگر قانون الزام دیگری ایجاد کند. فعال‌سازی یک Connector یا قابلیت هوش مصنوعی، دستور مشخص برای پردازش داده لازم توسط همان سرویس محسوب می‌شود.
## ۳. محرمانگی و امنیت
اشخاص دارای دسترسی متعهد به محرمانگی‌اند. پردازشگر کنترل دسترسی، ثبت ممیزی، رمزگذاری انتقال، حفاظت Secretها، جداسازی شرکت‌ها، پشتیبان، مدیریت آسیب‌پذیری و بازیابی را متناسب با ریسک اجرا می‌کند. کنترل‌کننده مسئول مدیریت اعضا، نقش‌ها، دستگاه‌ها و صحت طبقه‌بندی داده خود است.
## ۴. زیرپردازشگر
استفاده از میزبان، ایمیل، پیامک، پرداخت، ذخیره‌سازی یا سایر زیرپردازشگران با اطلاع عمومی یا قراردادی انجام می‌شود. کنترل‌کننده می‌تواند در مهلت مقرر به تغییر مؤثر اعتراض موجه کند. پردازشگر تعهدات حفاظتی متناسب را به زیرپردازشگر منتقل می‌کند.
## ۵. حقوق اشخاص و همکاری
پردازشگر با توجه به ماهیت خدمت، برای پاسخ به درخواست دسترسی، اصلاح، خروجی، محدودسازی و حذف همکاری می‌کند. درخواست مستقیم شخص به کنترل‌کننده ارجاع می‌شود مگر قانون پاسخ مستقیم را لازم کند.
## ۶. رخداد امنیتی
پردازشگر پس از احراز رخداد مؤثر بر داده سازمانی، بدون تأخیر ناموجه کنترل‌کننده را از ماهیت رخداد، دسته داده، پیامد احتمالی و اقدامات مهار مطلع می‌کند. زمان قطعی اعلان، کانال اضطراری و مسئولان تماس باید در سفارش یا SLA مشتری تعیین شوند.
## ۷. بازگشت و حذف
کنترل‌کننده می‌تواند خروجی مستقل شرکت را دریافت کند. پس از خاتمه و پایان دوره نگهداری، داده عملیاتی حذف یا ناشناس می‌شود؛ مگر نگهداری قانونی سوابق مالی، ممیزی یا دفاع از ادعا لازم باشد. حذف پشتیبان‌ها مطابق چرخه چرخش انجام می‌شود.
## ۸. ممیزی و انتقال
پردازشگر اطلاعات لازم برای اثبات رعایت تعهدات را فراهم می‌کند و ممیزی معقول و بدون اخلال را طبق توافق می‌پذیرد. انتقال برون‌مرزی فقط با سازوکار معتبر و اطلاعات کافی درباره مقصد انجام می‌شود.
## ۹. تقدم و تکمیل
در تعارض مربوط به پردازش داده، این DPA بر شرایط عمومی مقدم است. نام حقوقی طرفین، داده‌های تماس، قلمرو قانونی، فهرست زیرپردازشگران و اقدامات امنیتی اختصاصی باید پیش از امضای قرارداد مشتری تکمیل شوند.
نسخه ۱.۰ — پیوست قرارداد خدمت Doify
## ۱. طرفین و دامنه
شرکت استفاده‌کننده «کنترل‌کننده» و ارائه‌دهنده Doify «پردازشگر» است. موضوع پردازش، میزبانی و انجام عملیات لازم برای مدیریت کار، فرایند، منابع انسانی، مکاتبات، اعلان و گزارش در مدت اشتراک و دوره نگهداری پس از آن است.
## ۲. دستور مستند
پردازشگر فقط طبق قرارداد، تنظیمات مدیران مجاز و دستور مستند کنترل‌کننده عمل می‌کند؛ مگر قانون الزام دیگری ایجاد کند. فعال‌سازی یک Connector یا قابلیت هوش مصنوعی، دستور مشخص برای پردازش داده لازم توسط همان سرویس محسوب می‌شود.
## ۳. محرمانگی و امنیت
اشخاص دارای دسترسی متعهد به محرمانگی‌اند. پردازشگر کنترل دسترسی، ثبت ممیزی، رمزگذاری انتقال، حفاظت Secretها، جداسازی شرکت‌ها، پشتیبان، مدیریت آسیب‌پذیری و بازیابی را متناسب با ریسک اجرا می‌کند. کنترل‌کننده مسئول مدیریت اعضا، نقش‌ها، دستگاه‌ها و صحت طبقه‌بندی داده خود است.
## ۴. زیرپردازشگر
استفاده از میزبان، ایمیل، پیامک، پرداخت، ذخیره‌سازی یا سایر زیرپردازشگران با اطلاع عمومی یا قراردادی انجام می‌شود. کنترل‌کننده می‌تواند در مهلت مقرر به تغییر مؤثر اعتراض موجه کند. پردازشگر تعهدات حفاظتی متناسب را به زیرپردازشگر منتقل می‌کند.
## ۵. حقوق اشخاص و همکاری
پردازشگر با توجه به ماهیت خدمت، برای پاسخ به درخواست دسترسی، اصلاح، خروجی، محدودسازی و حذف همکاری می‌کند. درخواست مستقیم شخص به کنترل‌کننده ارجاع می‌شود مگر قانون پاسخ مستقیم را لازم کند.
## ۶. رخداد امنیتی
پردازشگر پس از احراز رخداد مؤثر بر داده سازمانی، بدون تأخیر ناموجه کنترل‌کننده را از ماهیت رخداد، دسته داده، پیامد احتمالی و اقدامات مهار مطلع می‌کند. زمان قطعی اعلان، کانال اضطراری و مسئولان تماس باید در سفارش یا SLA مشتری تعیین شوند.
## ۷. بازگشت و حذف
کنترل‌کننده می‌تواند خروجی مستقل شرکت را دریافت کند. پس از خاتمه و پایان دوره نگهداری، داده عملیاتی حذف یا ناشناس می‌شود؛ مگر نگهداری قانونی سوابق مالی، ممیزی یا دفاع از ادعا لازم باشد. حذف پشتیبان‌ها مطابق چرخه چرخش انجام می‌شود.
## ۸. ممیزی و انتقال
پردازشگر اطلاعات لازم برای اثبات رعایت تعهدات را فراهم می‌کند و ممیزی معقول و بدون اخلال را طبق توافق می‌پذیرد. انتقال برون‌مرزی فقط با سازوکار معتبر و اطلاعات کافی درباره مقصد انجام می‌شود.
## ۹. تقدم و تکمیل
در تعارض مربوط به پردازش داده، این DPA بر شرایط عمومی مقدم است. نام حقوقی طرفین، داده‌های تماس، قلمرو قانونی، فهرست زیرپردازشگران و اقدامات امنیتی اختصاصی باید پیش از امضای قرارداد مشتری تکمیل شوند.