Schedule 2: Data Processing Addendum (DPA)

This Data Processing Addendum forms part of the Agreement and applies where Customer, acting as Controller, appoints ACRDP, acting as Processor, to Process Customer Personal Data in providing the Services. All capitalised terms used in this Schedule have the meanings given in Clause 1 (Definitions) of the Customer Agreement.

يشكل ملحق معالجة البيانات هذا جزءاً من الاتفاقية، ويسري حيثما يعيّن العميل، بصفته جهة تحكم، شركة إيه سي آر دي بي، بصفتها جهة معالجة، لمعالجة البيانات الشخصية للعميل في سياق تقديم الخدمات. ويكون لجميع المصطلحات المعرّفة المستخدمة في هذا الجدول المعاني المحددة لها في البند 1 (التعريفات) من اتفاقية العميل.

This Schedule governs the terms under which ACRDP, acting as Processor, Processes Customer Personal Data on behalf of Customer, acting as Controller, in connection with the Services and the applicable Order Form.

يحكم هذا الجدول الشروط التي تعالج بموجبها شركة إيه سي آر دي بي، بصفتها جهة معالجة، البيانات الشخصية للعميل نيابة عن العميل، بصفته جهة تحكم، فيما يتصل بالخدمات ونموذج الطلب المعني.

Customer shall ensure that it has a lawful basis for the Processing and disclosure of Customer Personal Data to ACRDP, has provided all required privacy notices and has obtained any required consents or established another lawful basis before making Customer Personal Data available through the Services.

يلتزم على العميل التأكد من توافر أساس نظامي لديه لمعالجة البيانات الشخصية والإفصاح عنها إلى شركة إيه سي آر دي بي، وبأنه قدّم جميع إخطارات الخصوصية اللازمة وحصل على أي موافقات لازمة أو أستند إلى أساساً نظامياً آخر قبل إتاحة البيانات الشخصية للعميل من خلال الخدمات.

Unless expressly agreed in an Order Form, Customer shall not provide or make available any sensitive data, credit data or special categories of Personal Data through the Services.

ما لم يُتفق على ذلك صراحة في نموذج طلب، لا يجوز للعميل تقديم أو إتاحة أي بيانات حساسة أو بيانات ائتمانية أو فئات خاصة من البيانات الشخصية من خلال الخدمات.

Customer is responsible for any integration, connector, plug-in, application, data source or other component that Customer enables, selects, configures or uses with the Services, including ensuring that its use and related disclosures of Personal Data are lawful and authorised.

يكون العميل مسؤولاً عن أي عملية تكامل أو موصل أو إضافة برمجية أو تطبيق أو مصدر بيانات أو أي مكون آخر يفعّله العميل أو يختاره أو يهيئه أو يستخدمه مع الخدمات، بما في ذلك التأكد من أن يكون استخدامه لها وما يتصل بها من إفصاحات عن البيانات الشخصية مشروعاً ومصرحاً به.

ACRDP shall only Process Customer Personal Data on behalf of Customer and in accordance with Customer’s documented instructions, this Schedule and the applicable Order Form. If ACRDP cannot comply with an instruction or this Schedule, including because the instruction would breach the Data Protection Laws or a law applicable to ACRDP or a Subprocessor, ACRDP shall inform Customer promptly.

تلتزم شركة إيه سي آر دي بي بألا تعالج البيانات الشخصية للعميل إلا نيابة عن العميل ووفقاً لتعليمات العميل الموثقة وهذا الجدول ونموذج الطلب المعني. وإذا تعذر على شركة إيه سي آر دي بي الامتثال لتعليمات ما أو لهذا الجدول، بما في ذلك بسبب أن من شأن التعليمات أن تخالف أنظمة حماية البيانات أو نظاماً سارياً على شركة إيه سي آر دي بي أو على جهة معالجة فرعية، تلتزم شركة إيه سي آر دي بي بإبلاغ العميل على وجه السرعة.

Before Processing Customer Personal Data, ACRDP shall implement and maintain appropriate technical and organisational measures to ensure a level of security appropriate to the risk, taking into account the state of the art, implementation costs and the nature, scope, context and purposes of the Processing, as described in Annex 2.

قبل معالجة البيانات الشخصية للعميل، تلتزم شركة إيه سي آر دي بي بتطبيق تدابير فنية وتنظيمية مناسبة والمحافظة عليها، للتأكد من توفير مستوى من الأمن يتناسب مع المخاطر، مع مراعاة أحدث التقنيات المتاحة وتكاليف التطبيق وطبيعة المعالجة ونطاقها وسياقها وأغراضها، وفقاً لما هو موضح في المرفق 2.

ACRDP shall ensure that persons authorised to Process Customer Personal Data are subject to confidentiality obligations and receive appropriate training or instructions regarding the confidential nature and secure handling of such Personal Data.

تلتزم شركة إيه سي آر دي بي بالتأكد من خضوع الأشخاص المصرح لهم بمعالجة البيانات الشخصية للعميل لالتزامات بالسرية، وتلقيهم التدريب أو التعليمات المناسبة فيما يتعلق بالطبيعة السرية لتلك البيانات الشخصية والتعامل الآمن معها.

ACRDP shall promptly notify and follow Customer’s reasonable instructions in relation to any legally binding request for disclosure of Customer Personal Data by a regulatory body, government agency or law enforcement authority, unless prohibited by law. ACRDP shall not require the prior consent of a Data Subject where disclosure is required by a binding request from a Saudi Arabian public authority.

تلتزم شركة إيه سي آر دي بي بالإخطار على وجه السرعة وباتباع التعليمات المعقولة للعميل فيما يتعلق بأي طلب ملزم نظاماً للإفصاح عن البيانات الشخصية للعميل صادر عن جهة رقابية أو جهاز حكومي أو جهة إنفاذ نظام، ما لم يكن ذلك محظوراً بموجب النظام. ولا تشترط شركة إيه سي آر دي بي الحصول على موافقة مسبقة من صاحب البيانات الشخصية متى كان الإفصاح مطلوباً بموجب طلب ملزم صادر عن جهة عامة سعودية.

If ACRDP directly receives a request from a Data Subject relating to Customer Personal Data, ACRDP shall notify Customer without undue delay, provide the details and relevant information reasonably requested by Customer, and provide reasonable assistance to enable Customer to respond. Assistance beyond what the Data Protection Laws require shall be provided at Customer’s cost.

إذا تلقت شركة إيه سي آر دي بي مباشرة طلباً من صاحب البيانات الشخصية مما يتعلق بالبيانات الشخصية للعميل، تلتزم شركة إيه سي آر دي بي بإخطار العميل دون تأخير غير مبرر، وبتقديم التفاصيل والمعلومات ذات الصلة التي يطلبها العميل على نحو معقول، وبتقديم المساعدة المعقولة لتمكين العميل من الرد. وتُقدَّم المساعدة التي تتجاوز ما تتطلبه أنظمة حماية البيانات على نفقة العميل.

Where Customer is required to carry out a data protection impact assessment, consult the Regulator or respond to an assessment, inquiry, notice or investigation, ACRDP shall provide reasonable cooperation requested by Customer. Assistance beyond what the Data Protection Laws require shall be provided at Customer’s cost.

حيثما يتعين على العميل إجراء تقييم أثر حماية البيانات، أو التشاور مع الجهة الرقابية، أو الرد على تقييم أو استفسار أو إخطار أو تحقيق، تلتزم شركة إيه سي آر دي بي بتقديم التعاون المعقول الذي يطلبه العميل. وتُقدَّم المساعدة التي تتجاوز ما تتطلبه أنظمة حماية البيانات على نفقة العميل.

ACRDP shall promptly carry out a reasonable request from Customer to amend, correct, transfer, restrict or delete Customer Personal Data where necessary for Customer to comply with its Controller responsibilities, subject to the DPA, Clause 23 of the Agreement and any applicable legal retention requirement.

تلتزم شركة إيه سي آر دي بي بأن تنفذ على وجه السرعة أي طلب معقول من العميل لتعديل البيانات الشخصية للعميل أو تصحيحها أو نقلها أو تقييدها أو حذفها متى كان ذلك ضرورياً لامتثال العميل لمسؤولياته بصفته جهة تحكم، مع مراعاة ملحق معالجة البيانات والبند 23 من الاتفاقية وأي متطلب نظامي سارٍ بالاحتفاظ بالبيانات.

If there is, or ACRDP reasonably believes there is, a Personal Data Breach affecting Customer Personal Data, ACRDP shall notify Customer in writing without undue delay after becoming aware of it. The notice shall include the details then known to ACRDP regarding the nature of the Personal Data Breach, the affected data and Data Subjects, likely consequences and measures taken or proposed to address it.

في حال وقوع حادثة تسرب البيانات الشخصية تؤثر على البيانات الشخصية للعميل، أو إذا اعتقدت شركة إيه سي آر دي بي على نحو معقول بوقوعها، تلتزم شركة إيه سي آر دي بي بإخطار العميل كتابةً دون تأخير غير مبرر بعد علمها بها. وتلتزم شركة إيه سي آر دي بي بأن يتضمن الإخطار التفاصيل المعلومة لديها آنذاك بشأن طبيعة حادثة تسرب البيانات الشخصية، والبيانات وأصحاب البيانات الشخصية المتأثرين، والعواقب المرجحة، والتدابير المتخذة أو المقترحة لمعالجتها.

Customer gives general authorisation for ACRDP to appoint and use the Subprocessors listed in Annex 3 for the purposes described there. ACRDP may add or replace a Subprocessor on at least ten (10) Business Days’ prior written notice to Customer.

يمنح العميل شركة إيه سي آر دي بي إذناً عاماً بتعيين جهات المعالجة الفرعية المدرجة في المرفق 3 واستخدامها للأغراض الموضحة فيه. ويجوز لشركة إيه سي آر دي بي إضافة جهة معالجة فرعية أو استبدالها بموجب إخطار كتابي مسبق إلى العميل لا تقل مدته عن عشرة (10) أيام عمل.

Customer may object to an addition or replacement only on reasonable and good-faith data-protection grounds, meaning a reasonable belief that the change would cause a breach of the Data Protection Laws or this Schedule. If Customer objects within the notice period and the Parties cannot resolve the objection, either Party may terminate the affected Order Form on written notice, after which Clause 23 (Posttermination Obligations) of the Agreement shall apply.

لا يجوز للعميل الاعتراض على أي إضافة أو استبدال إلا لأسباب معقولة تتعلق بحماية البيانات ومبنية على حسن النية، ويُقصد بذلك وجود اعتقاد معقول بأن من شأن التغيير أن يؤدي إلى مخالفة أنظمة حماية البيانات أو هذا الجدول. وإذا اعترض العميل خلال مدة الإخطار وتعذر على الطرفين حل الاعتراض، يجوز لأي من الطرفين إنهاء نموذج الطلب المتأثر بموجب إخطار كتابي، ويسري بعد ذلك البند 23 (الالتزامات اللاحقة للإنهاء) من الاتفاقية.

ACRDP shall ensure that each Subprocessor is bound by written obligations relating to Customer Personal Data that are no less onerous than the obligations applicable to ACRDP under this Schedule, to the extent relevant to the Subprocessor’s Processing.

تلتزم شركة إيه سي آر دي بي بالتأكد من التزام كل جهة معالجة فرعية بالتزامات مكتوبة تتعلق بالبيانات الشخصية للعميل لا تقل صرامة عن الالتزامات السارية على شركة إيه سي آر دي بي بموجب هذا الجدول، وذلك بالقدر ذي الصلة بالمعالجة التي تجريها جهة المعالجة الفرعية.

ACRDP shall remain responsible for the performance of its Subprocessors to the extent required by the Data Protection Laws and this Schedule.

تظل شركة إيه سي آر دي بي مسؤولة عن أداء جهات المعالجة الفرعية لديها بالقدر الذي تقتضيه أنظمة حماية البيانات وهذا الجدول.

Customer consents to ACRDP and its Subprocessors Processing Personal Data in Third Countries, including the locations identified in Annex 3 (Authorised Subprocessors).

يوافق العميل على قيام شركة إيه سي آر دي بي وجهات المعالجة الفرعية لديها بمعالجة البيانات الشخصية في دول ثالثة، بما في ذلك المواقع المحددة في المرفق 3 (جهات المعالجة الفرعية المعتمدة).

For transfers from the Kingdom to a Third Country where ACRDP is data importer, the KSA Controller to Processor Clauses are hereby incorporated into and form part of this Agreement, with Customer as data exporter (controller) and ACRDP as data importer (processor), and: (i) Appendix 1: party details are set out in the signatory section of this Agreement; signatures on execution apply as the dated signatures; (ii) Appendix 2: the processing details are set out in Annex 1 (Processing Details); and (iii) Appendix 3: the technical and organisational security measures in Annex 2 (Technical and Organisational Measures) and the data importer’s relevant information security documentation shall apply.

فيما يخص عمليات النقل من المملكة إلى دولة ثالثة التي تكون فيها شركة إيه سي آر دي بي هي مستورد البيانات، تُدرج بنود المملكة من جهة تحكم إلى جهة معالجة بموجب هذا البند في هذه الاتفاقية وتشكل جزءاً منها، ويكون العميل هو مصدِّر البيانات (جهة التحكم) وشركة إيه سي آر دي بي هي مستورد البيانات (جهة المعالجة)، وكذلك: (i) الملحق 1: ترد بيانات الأطراف في قسم التوقيع من هذه الاتفاقية؛ وتسري التوقيعات عند التوقيع بوصفها التوقيعات المؤرخة؛ و(ii) الملحق 2: ترد تفاصيل المعالجة في المرفق 1 (تفاصيل المعالجة)؛ و(iii) الملحق 3: تسري التدابير الأمنية الفنية والتنظيمية الواردة في المرفق 2 (التدابير الفنية والتنظيمية) ومستندات أمن المعلومات ذات الصلة الخاصة بمستورد البيانات.

The Parties shall negotiate in good faith modifications to this DPA if changes in the Data Protection Laws, Regulator guidance or a transfer mechanism require changes for ACRDP to continue Processing Customer Personal Data as contemplated by this DPA.

يلتزم الطرفان بالتفاوض بحسن نية بشأن تعديلات على ملحق معالجة البيانات هذا إذا اقتضت التغييرات في أنظمة حماية البيانات أو إرشادات الجهة الرقابية أو آلية النقل إجراء تغييرات كي تتمكن شركة إيه سي آر دي بي من الاستمرار في معالجة البيانات الشخصية للعميل على النحو المتوخى في ملحق معالجة البيانات هذا.

Categories of Data Subjects:

فئات أصحاب البيانات الشخصية:

Customer personnel and users, approvers, suppliers and vendor contacts, customers and debtors and their contacts, and employees as reflected in finance records.

أفراد العميل ومستخدموه، والمعتمِدون، والموردون وجهات الاتصال لدى البائعين، والعملاء والمدينون وجهات الاتصال لديهم، والموظفون حسبما يرد في السجلات المالية.

Categories of Personal Data:

فئات البيانات الشخصية:

Identity and contact details; financial, bank, invoice and payment data; transaction and ledger data; tax identifiers; expense data; user account and audit-trail data; prompts and outputs.

بيانات الهوية والاتصال؛ والبيانات المالية والمصرفية وبيانات الفواتير والمدفوعات؛ وبيانات المعاملات ودفتر الحسابات؛ والمعرّفات الضريبية؛ وبيانات المصروفات؛ وبيانات حسابات المستخدمين وبيانات سجل التدقيق؛ والأوامر النصية والمخرجات.

Sensitive Data:

البيانات الحساسة:

None intended, unless expressly agreed in an Order Form.

لا يُعتزم معالجة أي منها، ما لم يُتفق على ذلك صراحة في نموذج طلب.

Frequency:

التكرار:

Continuous during the term of the applicable Order Form and the Assistance Period where required for export or transition.

بصفة مستمرة خلال مدة نموذج الطلب المعني وفترة المساعدة حيثما كان ذلك مطلوباً للتصدير أو الانتقال.

Nature of Processing:

طبيعة المعالجة:

Storage, analysis, matching, reconciliation, drafting and AI inference, together with viewing, retrieval, sharing, modification and other operations necessary to provide the Services.

التخزين والتحليل والمطابقة والتسوية والصياغة والاستدلال بالذكاء الاصطناعي، إضافة إلى الاطلاع والاسترجاع والمشاركة والتعديل وغيرها من العمليات اللازمة لتقديم الخدمات.

Purpose:

الغرض:

To provide the Services in accordance with the Customer Agreement and applicable Order Form.

تقديم الخدمات وفقاً لاتفاقية العميل ونموذج الطلب المعني.

Retention:

الاحتفاظ:

For the term of the applicable Order Form plus the Assistance Period, subject to Clause 23 of the Agreement, this Schedule and any legally required retention.

طوال مدة نموذج الطلب المعني مضافاً إليها فترة المساعدة، مع مراعاة البند 23 من الاتفاقية وهذا الجدول وأي احتفاظ يقتضيه النظام.

ACRDP maintains an information security programme comprising administrative, technical and physical measures appropriate to the risks represented by the nature, sensitivity, purpose and Processing of Customer Personal Data, including security governance, policies, risk management, incident response, disaster recovery and business continuity measures.

تحتفظ شركة إيه سي آر دي بي ببرنامج لأمن المعلومات يتكون من تدابير إدارية وفنية ومادية مناسبة للمخاطر التي تنطوي عليها طبيعة البيانات الشخصية للعميل وحساسيتها والغرض منها ومعالجتها، بما في ذلك تدابير حوكمة الأمن، والسياسات، وإدارة المخاطر، والاستجابة للحوادث، والتعافي من الكوارث، واستمرارية الأعمال.

Measures include logical tenant segregation, least-privilege access controls, authentication, access review, encryption of Customer Personal Data in transit and at rest, and protections against loss, misuse, unauthorised access and unauthorised Processing.

تشمل التدابير الفصل المنطقي بين المستأجرين، وضوابط الوصول بأقل الصلاحيات، والتحقق من الهوية، ومراجعة صلاحيات الوصول، وتشفير البيانات الشخصية للعميل أثناء النقل وأثناء التخزين، والحماية من الفقد وإساءة الاستخدام والوصول غير المصرح به والمعالجة غير المصرح بها.

ACRDP maintains access logging and monitoring appropriate to the Services and uses incident detection, response, investigation and remediation procedures for security events and Personal Data Breaches.

تحافظ شركة إيه سي آر دي بي على تسجيل عمليات الوصول ومراقبتها على نحو مناسب للخدمات، وتطبق إجراءات لاكتشاف الحوادث والاستجابة لها والتحقيق فيها ومعالجتها فيما يخص الأحداث الأمنية وحوادث تسرب البيانات الشخصية.

The measures may be updated from time to time to reflect changes in technology, security practices and the Services, provided that updates do not materially reduce the protection given to Customer Personal Data unless required by law.

يجوز تحديث التدابير من وقت لآخر لتعكس التغييرات في التقنية والممارسات الأمنية والخدمات، شريطة ألا تنتقص التحديثات بشكل جوهري من الحماية الممنوحة للبيانات الشخصية للعميل ما لم يقتضِ النظام ذلك.