# Data Processing Agreement

{/* تم إنشاء هذا من api-calc/src/legal/dpa-v1.md بواسطة scripts/generate-dpa-page.mjs. لا تقم بالتعديل هنا: الاتفاقية، هذه الصفحة وملف PDF القابل للتنزيل هم نفس النص بناؤه، وتعديل في مكان واحد هو ما يجعلهم يتوقفون عن كونه. */}

# اتفاقية معالجة البيانات، الإصدار 1

_ساري اعتبارًا من 2026-09-20. AstroWay API، api.astroway.info._

## 1. من نحن وما يغطيه هذا

هذه الاتفاقية بين **أنت، العميل**، الذي يعمل كمتحكم في البيانات، و**ماكسيم بورخان، رائد أعمال فردي (ФОП)، أوكرانيا**، الذي يشغل `api.astroway.info` كمعالج بياناتك وفقًا للمادة 28 من GDPR.

يسري ذلك طالما حسابك موجود وتُرسل طلبات إلى الـ API، وهو يحكم فقط البيانات التي تُرسلها عبر الـ API. تفاصيل حسابك الخاصة مسألة منفصلة، حيث نكون نحن المتحكم وسياسة [الخصوصية](/privacy) الخاصة بنا هي السارية.

## 2. ما نقوم بمعالجته، ولماذا

**موضوع وهدف المعالجة.** تُرسل بيانات الميلاد إلى الـ API: تاريخ، وقت ساعة، منطقة زمنية أو إزاحة، وإحداثيات. نحن نحسب نتيجة فلكية ونُعيدها. هذا هو الهدف بالكامل، واستدعاء الـ API هو توجيهك.

**فئات أصحاب البيانات.** المستخدمون النهائيون لديك، أو أي شخص تُرسل لحظة ميلاده.

**أنواع البيانات.** تاريخ ووقت الميلاد، الإحداثيات، والحقول الاختيارية `name` و `city`. **`name` و `city` لا تُخزن أبدًا**: تُحتفظ بهما في الذاكرة طوال مدة الطلب ولا تُكتب في أي مكان.

**المدة.** طوال عمر حسابك، وفقًا للقسم 9.

**ما نسجله عن الاستدعاء بدلاً من الشخص.** نقطة النهاية، الطريقة، الحالة، زمن الاستجابة، عدد البايتات، ملخص غير قابل للعكس مع ملح لعنوان IP للمتصل وأول 16 بت من ذلك العنوان، الـ User-Agent، الأصل، وبلد، مدينة ومزود شبكة تقريبية. نحتفظ بذلك لمدة 30 يومًا.

## 3. ما نلتزم به

- نعالج بياناتك **فقط وفقًا لتعليماتك الموثقة**، وهي استدعاءات الـ API التي تقوم بها وأي تعليمات مكتوبة ترسلها لنا، ما لم يتطلب قانون الاتحاد الأوروبي أو دولة عضو خلاف ذلك، وفي هذه الحالة نخبرك قبل المعالجة ما لم يمنع ذلك القانون.
- **إذا بدت التعليمات غير قانونية بالنسبة لنا، نقول ذلك فورًا** بدلاً من تنفيذها بصمت.
- الخدمة تُدار من قبل شخص واحد، وهو **ملزم بالسرية** وهو الوحيد الذي يمتلك وصولًا إداريًا.
- نحتفظ بـ **إجراءات الأمان في القسم 5**.
- نساعدك في الرد على طلب صاحب البيانات، ونساعدك في التزاماتك وفقًا للمواد 32 إلى 36، **بقدر ما يكون ذلك ممكنًا مع مراعاة ما نحتفظ به**. هذا الشرط هو من نص القانون، وهنا هو واضح: لا نخزن أي اسم، ولا بريد إلكتروني، ولا معرف لمستخدميك النهائيين، لذا عادةً لا نستطيع العثور على صفوف شخص واحد من جانبنا. يمكنك، عبر سجلاتك الخاصة، و`DELETE /v1/me/account` يمسح كل ما نحتفظ به لحسابك.
- لا نستخدم بياناتك لأغراضنا الخاصة، ولا نبيعها، ولا نستخدمها لتدريب نماذج.

## 4. المتعهدون الفرعيون

| المعالج الفرعي | الدور | الموقع |
|---|---|---|
| Hetzner Online GmbH | الحوسبة، قاعدة البيانات وتخزين الملفات | نورمبرغ، ألمانيا |
| Cloudflare, Inc. | شبكة توصيل المحتوى (CDN)، نظام أسماء النطاقات (DNS) وحماية DDoS، مع قواعد تخزين مؤقت للمنطقة الأوروبية | شركة أمريكية، نقاط حافة في الاتحاد الأوروبي تخدم حركة المرور الأوروبية |

نفرض عليهم نفس التزامات حماية البيانات التي نتحملها هنا، و**نظل مسؤولين بالكامل تجاهك** عن ما يقومون به.

أنت تمنح تفويضًا عامًا لهذين الاثنين. سنخبرك عبر البريد الإلكتروني قبل إضافة أو استبدال أحدهما، ويمكنك الاعتراض على أسس حماية البيانات المعقولة؛ إذا لم نتمكن من حل الاعتراض، يمكنك إيقاف استخدام الخدمة وسنرد الجزء غير المستخدم من الفترة التي دفعت مقابلها.

**موردو الدفع والبريد الإلكتروني لدينا غير مدرجين عمدًا في هذا الجدول**، لأنهم لا يرون أبدًا البيانات المشمولة بهذه الاتفاقية. Brevo يرسل لك رسائل معاملاتية، وMonobank يتلقى مدفوعات بطاقات، مع إضافة LiqPay في أكتوبر 2026. كلاهما يتعلق بحسابك وليس بمستخدميك النهائيين، لذا تم ذكرهما في سياسة الخصوصية بدلاً من ذلك.

## 5. الأمان

- النقل يتم عبر TLS فقط، ويتم إعادة توجيه HTTP العادي.
- كلمات المرور تُشفّر باستخدام bcrypt ومفاتيح الـ API تُخزن مشفرة.
- عناوين IP تُخزن فقط كقيمة SHA-256 مع ملح، تُحسب عند كتابة السطر. الملح موجود في بيئة الخادم، ولا يكون أبدًا في الشيفرة.
- حسابات قاعدة البيانات مفصولة لكل مستهلك، كل واحدة بأقل صلاحية ممكنة، وقاعدة البيانات تستمع على الـ loopback فقط.
- النسخ الاحتياطية مُشفّرة بـ AES-256 قبل خروجها من الجهاز.
- الوصول الإداري يتم عبر مفتاح SSH، شخص واحد، ولا توجد بيانات اعتماد مشتركة.

**ما لا نمتلكه**، لأن الادعاء به سيكون أسوأ من قوله: لا نملك تقرير SOC 2 ولا شهادة ISO 27001 خاصة بنا. Hetzner يحمل شهادة ISO/IEC 27001 لمركز البيانات الذي تستضيف فيه خوادمنا.

## 6. التحويلات، بوضوح

يتم معالجة بياناتك على خوادم في **نورمبرغ، ألمانيا**، ولا نقوم بتكرارها خارج المنطقة الاقتصادية الأوروبية.

مع ذلك، نحن مقيمون في **أوكرانيا**، التي لا تملك قرار كفاية وفقًا للمادة 45. وفقًا لإرشادات EDPB 05/2021، هذا وحده يجعلها نقلًا إلى دولة ثالثة، وكذلك الوصول الإداري من أوكرانيا إلى تلك الخوادم الألمانية، لأن الوصول عن بُعد يُحسب حتى لو لم يُنسخ شيء. لذا لا نقول لك أنه لا يوجد نقل عبر الحدود؛ هناك نقل، وهذا ما يغطيه.

نحن نوقع على **بنود تعاقدية قياسية لقرار التنفيذ (EU) 2021/914، الوحدة الثانية (من المتحكم إلى المعالج)**، والتي تُدمج في هذه الاتفاقية بالإشارة وتتفوق عليها إذا تعارض الطرفان. الأقسام 2، 5 و4 من هذه الاتفاقية تعمل كملاحق I، II وIII على التوالي. نسخة موقعة تحمل أسماء الطرفين متاحة عند الطلب على `legal@astroway.info`.

ما يُنقل عمليًا هو وصول إداري موثّق إلى الأنظمة في ألمانيا، وليس تصدير قاعدة بيانات.

## 7. إظهار التزامنا

نقدم لك المعلومات التي تحتاجها لإثبات الالتزام بالمادة 28 من خلال هذه الاتفاقية ووصف الأمان أعلاه، وسنُكمل **استبيان أمان مكتوب معقول واحد في أي فترة مدتها اثنا عشر شهرًا** دون أي تكلفة.

إذا لم يكن ذلك كافيًا، يمكنك تدقيق الالتزام بهذه الاتفاقية مرة واحدة في أي فترة مدتها اثنا عشر شهرًا، بإشعار كتابي قبل ثلاثين يومًا، **عن بُعد**، خلال ساعات العمل، يغطي فقط المعالجة التي نقوم بها لك ولا يشمل بيانات أي عميل آخر. تتحمل تكلفة التدقيق وأي مدقق تعينه. هذه القيود لا تنطبق عندما تتطلب هيئة إشرافية فحصًا.

## 8. إذا حدث خرق

نُخطرُك **بدون تأخير غير مبرر** بمجرد علمنا بحدوث خرق لبيانات شخصية تؤثر على البيانات التي نعالجها لك، عبر البريد الإلكتروني إلى عنوان حسابك. قد تكون الإشعار الأول غير مكتمل، وسنُتابع عندما نعرف المزيد.

ليس لدينا أي تفاصيل اتصال لمستخدميك النهائيين، لذا فإن إبلاغهم وفقًا للمادة 34 يبقى مسؤوليتك.

## 9. إنهائه

عند انتهاء حسابك، أخبرنا إذا كنت تريد استرجاع البيانات التي نحتفظ بها لك أو حذفها، وسنقوم بذلك. إذا لم تخبرنا، سنحذفها.

الاستثناء الوحيد هو ما يقتضيه القانون الضريبي من حفظ: سجلات الدفع، لمدة 1095 يومًا وفقًا للفقرة §44.3 من قانون الضرائب الأوكراني. ثلاث سنوات، وليس السبع التي خمنها مسودة سابقة من هذا النص. المادة 17(3)(b) من GDPR تُبقي السجلات المحفوظة للالتزام القانوني خارج حق الحذف، وهذا هو السبب في أن طلب الحذف لا يصل إليها.

## 10. قبول هذه الاتفاقية

أنت تقبلها في لوحة التحكم الخاصة بك، وسجل القبول يذكر حسابك، الإصدار واللحظة. المادة 28(9) تتطلب أن يكون العقد مكتوبًا، "بما في ذلك بصيغة إلكترونية"، لذا فإن ذلك السجل هو العقد ولا يوجد ما ننتظره. ملف PDF الذي يمكنك تنزيله يحمل نفس السجل. نسخة ورقية موقعة من الطرفين متاحة عند الطلب.

إذا غيرنا هذا النص جوهريًا، سيصبح نسخة جديدة وسنطلب منك قبول تلك النسخة؛ النسخة التي قبلتها تظل هي التي وافقت عليها.