نموذج اتفاقية معالجة البيانات: صيغة جاهزة ومعتمدة من محامٍ سعودي مرخّصData Processing Agreement Template: A Ready Contract Certified by a Licensed Saudi Lawyer

التصنيفCategory: الملكية الفكرية والبياناتIP and data
اللغةLanguage: عربي + إنجليزيArabic + English
الصيغةFormat: DOCX قابل للتحريرEditable DOCX

سجل الاعتمادCERTIFICATION RECORD

أُعدّ هذا النموذج وروجِع من قبل محامٍ سعودي مرخّص، ويُحدَّث مع تغيّر الأنظمة في المملكة.This template was prepared and reviewed by a licensed Saudi lawyer and is kept current as the Kingdom's regulations change.

عند وجود نصين عربي وإنجليزي، يُعتد بالنص العربيWhere an Arabic and an English text exist, the Arabic text prevails

ملحق يضبط علاقة جهة التحكم بجهة المعالجة: التعليمات والمعالجين من الباطن والحوادث والإتلاف، ثنائي اللغة.An addendum governing the controller and processor relationship: instructions, sub-processors, incidents, and deletion, bilingual.

اتفاقية معالجة البيانات هي الملحق الذي يوقّعه الطرفان حين تعالج جهة بيانات شخصية نيابةً عن جهة أخرى: منصة تشغّل نظام موارد بشرية لعميلها، شركة تسويق تدير قوائم عملائه، مزوّد استضافة يحتفظ ببيانات مستخدميه. نظام حماية البيانات الشخصية يقوم على أن جهة التحكم تبقى مسؤولة عن البيانات حتى وهي في يد غيرها، ولهذا لا يكفي العقد التجاري وحده. صيغة صيغتي I-04 تُلحَق بعقدك الأصلي وتضبط ما يجوز لجهة المعالجة فعله وما لا يجوز، وسرية العاملين لديها، والاستعانة بمعالجين من الباطن، والإشعار عند حوادث البيانات، والتدقيق، ومصير البيانات عند انتهاء العلاقة، بلغتين متوازيتين مع اعتماد النص العربي عند الاختلاف.

A data processing agreement is the addendum both sides sign when one party processes personal data on behalf of another: a platform running an HR system for its client, a marketing firm managing its customer lists, a hosting provider holding its users' records. The Personal Data Protection Law rests on the principle that the controller stays responsible for the data even while it sits in someone else's hands, which is why the commercial contract alone is not enough. Sighaty template I-04 attaches to your main contract and fixes what the processor may and may not do, the confidentiality of its staff, the use of sub-processors, notification of data incidents, audit rights, and the fate of the data when the relationship ends, in two parallel languages with the Arabic text prevailing on any difference.

احمِل نموذج اتفاقية معالجة البياناتGet the Data Processing Agreement TemplateI-04I-04

ما هذه الاتفاقية ومتى تحتاجها

What this agreement is and when you need it

السؤال العملي الذي يحدد حاجتك إليها بسيط: هل تصل بيانات شخصية تخص عملاءك أو موظفيك إلى طرف ثالث بسبب خدمة يقدمها لك؟ إن كان الجواب نعم فأنت جهة تحكم وهو جهة معالجة، وتحتاجان هذا الملحق. تطلبه اليوم كثير من الجهات ضمن شروط التعاقد قبل ربط الأنظمة، ووجوده جاهزاً يوفّر أسابيع من التفاوض على صياغة من الصفر.

The practical test is simple: does personal data about your customers or staff reach a third party because of a service it provides to you? If yes, you are the controller and it is the processor, and you both need this addendum. Many organisations now ask for it as a condition of contracting before systems are connected, and having it ready saves weeks of negotiating wording from scratch.

التعاقد مع مزوّد نظام سحابي أو استضافة يحتفظ ببيانات عملائك.
إسناد الرواتب أو الموارد البشرية أو خدمة العملاء إلى مكتب خارجي.
تكليف وكالة تسويق أو تحليلات بمعالجة قوائم العملاء نيابةً عنك.

Contracting a cloud system or hosting provider that holds your customers' data.
Outsourcing payroll, HR, or customer service to an external firm.
Engaging a marketing or analytics agency to process customer lists on your behalf.

ماذا يسألك الملء الذكي وماذا تستلم

What the smart-fill asks and what you receive

يسألك الملء الذكي عن جهة التحكم وجهة المعالجة بالعربية والإنجليزية مع السجل التجاري لكل منهما، وتاريخ العقد الأصلي الذي تُكمله هذه الاتفاقية بالهجري والميلادي معاً. ثم تحدد في الخيارات نمط الإذن بالاستعانة بمعالجين من الباطن: إذن مكتوب مسبق خاص بكل حالة أو إذن مكتوب عام، مع المدة التي يجب الإشعار بالتغييرات خلالها مع بقاء جهة المعالجة مسؤولة عنهم مسؤولية كاملة.

The smart-fill asks for the controller and the processor in Arabic and English with each one's commercial registration, and the date of the main agreement this addendum supplements, in both Hijri and Gregorian. In the options you then set how sub-processors are authorised: specific prior written consent case by case, or general written consent, along with the period for notifying changes while the processor stays fully liable for them.

ويسألك بعد ذلك عن صياغة الإشعار بحوادث البيانات ومهلته، وعن ترتيب التدقيق: تدقيق سنوي أو بعد الحوادث، أو الاكتفاء بشهادات وتقارير معتبرة تقدمها جهة المعالجة، ثم المدة التي تُعيد خلالها البيانات أو تتلفها بحسب اختيار جهة التحكم عند انتهاء العلاقة. تستلم مستند وورد ثنائي اللغة منسّقاً وجاهزاً للتوقيع وقابلاً للتعديل قبل الاعتماد، فترفقه بالعقد الأصلي دون إعادة التفاوض عليه.

It then asks how the data-incident notification is worded and its window, and how audits are arranged: an audit annually or after incidents, or accepting recognised certifications or reports from the processor instead, then the period within which the data is returned or deleted at the controller's choice when the relationship ends. You receive a formatted bilingual Word document, ready to sign and editable before approval, which you attach to the main contract without renegotiating it.

لماذا نموذج معتمد من محامٍ أفضل من التحميل المجاني

Why a lawyer-certified template beats a free download

أغلب ما يُتداول مجاناً في هذا الباب مترجم عن لوائح أوروبية، فيحمل مصطلحات ومراجع لا محل لها هنا، ويترك المنشأة تظن أنها ملتزمة وهي تستند إلى إطار غير الإطار المطبَّق عليها. الصيغة المعتمدة من محامٍ سعودي مرخّص مكتوبة على مفاهيم نظام حماية البيانات الشخصية ولغته، وتُحدَّث مع تطوّر المتطلبات، فتصلح للعرض على عميل يطلب دليلاً على انضباط سلسلة المعالجة لديك بدل وثيقة تُثير أسئلة أكثر مما تجيب.

Most of what circulates free in this area is translated from European rules, so it carries terms and references with no place here and leaves a business believing it is compliant while relying on a framework other than the one that applies to it. A template certified by a licensed Saudi lawyer is written on the concepts and language of the Personal Data Protection Law and updated as requirements evolve, so it stands up when a client asks for evidence that your processing chain is disciplined, instead of raising more questions than it answers.

الأسئلة الشائعةFrequently asked questions

من هي جهة التحكم ومن هي جهة المعالجة؟Who is the controller and who is the processor?

جهة التحكم هي من يقرر لماذا تُعالَج البيانات الشخصية وكيف، وجهة المعالجة هي من ينفّذ المعالجة نيابةً عنها ووفق تعليماتها. المتجر الذي يجمع بيانات عملائه جهة تحكم، ومزوّد المنصة الذي يخزّنها له جهة معالجة. النموذج يفترض هذا التقسيم ويبني عليه التزامات كل طرف.

The controller is the party that decides why and how personal data is processed, and the processor is the party that carries out the processing on its behalf and on its instructions. A store collecting its customers' data is a controller, and the platform provider storing it for the store is a processor. The template assumes this split and builds each party's obligations on it.

هل أحتاج الاتفاقية إن كان مزوّد الخدمة خارج المملكة؟Do I need this agreement if the provider is outside the Kingdom?

مسؤولية جهة التحكم عن بيانات عملائها لا تسقط لأن المعالجة تجري لدى مزوّد خارجي، ولهذا يبقى توثيق العلاقة كتابةً هو الأساس. النموذج ثنائي اللغة، فيصلح للتوقيع مع طرف غير ناطق بالعربية مع بقاء النص العربي هو المعتمد عند الاختلاف، وهو ما يجعله عملياً في التعاقد مع المزوّدين الدوليين.

A controller's responsibility for its customers' data does not fall away because the processing happens at a foreign provider, so documenting the relationship in writing remains the baseline. The template is bilingual, so it can be signed with a non-Arabic-speaking counterparty while the Arabic text stays the governing version on any difference, which is what makes it practical with international providers.

ماذا يحدث للبيانات عند انتهاء التعاقد؟What happens to the data when the contract ends?

تختار جهة التحكم بين إعادة البيانات وإتلافها، وتلتزم جهة المعالجة بتنفيذ الاختيار خلال المدة المحددة في الاتفاقية. هذا البند من أكثر البنود التي تُنسى عند إنهاء العلاقة مع مزوّد، وغيابه يترك نسخاً من بيانات عملائك في أنظمة لم تعد تتعامل معها.

The controller chooses between return and deletion, and the processor must carry out that choice within the period set in the agreement. This is one of the most commonly forgotten clauses when a provider relationship ends, and its absence leaves copies of your customers' data in systems you no longer deal with.