اتفاقية معالجة البيانات الشخصية (DPA)
بين مقدم خدمة سايت برو (فرد) والشركة العميلة · نسخة 2026-10-24
أطراف الاتفاقية
الطرف الأول (المعالج / المزود):
| البند |
البيان |
| الاسم الكامل |
محمد الحسن مصطفى، فرد يتعاقد بصفته الشخصية تحت اسم Site Pro |
| الموقع |
coreprojectpro.com |
| التواصل في حماية البيانات |
privacy@coreprojectpro.com |
الطرف الثاني (المتحكم / الشركة العميلة):
| البند |
البيان |
| اسم الشركة |
............................................ |
| السجل التجاري / الرقم الضريبي |
............................................ |
| الدولة والمدينة |
............................................ |
| العنوان |
............................................ |
| الممثل النظامي (الاسم والصفة) |
............................................ |
| البريد الإلكتروني والجوال |
............................................ |
| مسؤول حماية البيانات لدى الشركة |
............................................ |
| تاريخ بدء استخدام الخدمة |
............................................ |
| عدد المستخدمين / المشاريع |
............................................ |
1. الغرض
تنظم هذه الاتفاقية معالجة المزود للبيانات الشخصية نيابة عن الشركة العميلة عند تقديم خدمة سايت برو، وتعد جزءًا من شروط الاستخدام وأي اتفاق مكتوب بين الطرفين. وتطبق عليها أحكام قانون حماية البيانات الشخصية المصري رقم 151 لسنة 2020 ولائحته، ونظام حماية البيانات الشخصية في المملكة العربية السعودية ولوائحه عند انطباقه، واللائحة الأوروبية العامة لحماية البيانات (GDPR) عند انطباقها.
2. الأدوار
- الشركة العميلة هي المتحكم في البيانات التي تدخلها هي وفريقها في مشاريعها، وهي المسؤولة عن وجود سند نظامي لجمعها وإبلاغ أصحابها.
- المزود معالج يعالج البيانات فقط وفق تعليمات الشركة الموثقة (وتعد إعدادات الخدمة وصلاحياتها تعليمات موثقة)، ولا يستخدمها لأي غرض آخر، ولا يبيعها، ولا يستخدمها للإعلانات أو لتدريب نماذج الذكاء الاصطناعي.
3. تفاصيل المعالجة
تفاصيل البيانات والأشخاص المعنيين والأغراض في الملحق (أ).
4. التزامات المزود
- معالجة البيانات وفق تعليمات الشركة، وإبلاغها إذا رأى أن تعليمة ما تخالف النظام.
- إلزام كل من يطلع على البيانات من موظفيه بالسرية.
- تطبيق إجراءات الحماية الفنية والتنظيمية في الملحق (د).
- مساعدة الشركة في الرد على طلبات أصحاب البيانات (الاطلاع، التصحيح، الحذف، النسخة) وفي تقييمات الأثر عند الحاجة، بما توفره الخدمة من أدوات أو بطلب مكتوب.
- عدم نقل البيانات خارج الدول المذكورة في الملحق (ج) إلا بضمانات نظامية مناسبة.
5. المعالجون الفرعيون
- توافق الشركة على المعالجين الفرعيين في الملحق (ج).
- يبلغ المزود الشركة قبل إضافة أو تغيير أي معالج فرعي بـ 30 يومًا على الأقل، ويحق للشركة الاعتراض لسبب معقول. إذا تعذر الحل يحق للشركة إنهاء استخدام الخدمة واسترداد أي مبلغ دفعته مقدمًا عن المدة المتبقية.
- يلتزم المزود بأن يفرض على كل معالج فرعي التزامات حماية لا تقل عن هذه الاتفاقية، ويظل مسؤولًا أمام الشركة عن أدائه.
6. التشفير وأمن البيانات
- كل الاتصالات مشفرة أثناء النقل (TLS 1.2 أو أحدث).
- قاعدة البيانات والملفات لدى Supabase مشفرة على الأقراص (AES-256)، والنسخ الاحتياطية مشفرة كذلك.
- المكالمات والاجتماعات عبر LiveKit مشفرة أثناء النقل (DTLS-SRTP)، ولا يتم تسجيلها أو حفظ الصوت أو الصورة.
- التفاصيل في الملحق (د).
7. خرق البيانات
يبلغ المزود الشركة دون تأخير غير مبرر، وخلال 48 ساعة على الأكثر من علمه بأي خرق يمس بياناتها، بما يلزم من معلومات (طبيعة الخرق، البيانات والأشخاص المتأثرون، الأثر المحتمل، الإجراءات المتخذة)، حتى تتمكن الشركة من إبلاغ الجهة المختصة خلال المهلة النظامية (72 ساعة في النظام السعودي). ويتخذ المزود فورًا ما يلزم لاحتواء الخرق.
8. مدة الاحتفاظ والحذف
- مدد الاحتفاظ في الملحق (ب).
- عند انتهاء استخدام الشركة للخدمة تتاح البيانات لها للتصدير 60 يومًا، ثم يحذفها المزود نهائيًا خلال 30 يومًا، إلا ما يلزمه النظام بالاحتفاظ به، ويقدم للشركة عند طلبها ما يفيد الحذف.
- الشركة مسؤولة عن الاحتفاظ بنسخ من سجلاتها التي تلزمها الأنظمة بحفظها مددًا أطول (مثل السجلات المحاسبية).
9. التدقيق
يقدم المزود للشركة عند طلبها مكتوبًا المعلومات اللازمة لإثبات التزامه بهذه الاتفاقية، مرة واحدة في السنة أو عند وقوع خرق، مع الحفاظ على سرية معلومات المزود وعملائه الآخرين.
10. المسؤولية والمدة
- تسري هذه الاتفاقية طوال مدة استخدام الخدمة وحتى حذف كل البيانات.
- تخضع المسؤولية للحدود الواردة في شروط الاستخدام وأي اتفاق مكتوب بين الطرفين، ما لم يمنع النظام ذلك.
- في حال تعارض هذه الاتفاقية مع شروط الاستخدام في ما يخص البيانات الشخصية تقدم هذه الاتفاقية.
- النظام الواجب التطبيق والمحكمة المختصة: كما في أي اتفاق مكتوب بين الطرفين، وإلا قوانين جمهورية مصر العربية، ومحاكم القاهرة.
- إذا أسس المزود شركة أو منشأة لتقديم الخدمة، تنتقل إليها هذه الاتفاقية بحقوقها والتزاماتها بعد إخطار الشركة كتابة، ويحق للشركة الاعتراض خلال 30 يومًا وإنهاء استخدام الخدمة إن لم تقبل.
الملحق (أ): تفاصيل المعالجة
| البند |
البيان |
| طبيعة المعالجة |
تخزين ومزامنة وعرض ومشاركة سجلات إدارة المواقع الإنشائية، وإرسال الإشعارات، وتشغيل المكالمات |
| الأشخاص المعنيون |
موظفو الشركة ومستخدموها، مقاولو الباطن والاستشاريون والمالك المدعوون، العمال، المصابون في الحوادث، الأشخاص الظاهرون في الصور |
| فئات البيانات |
الاسم، البريد، الجوال، المسمى الوظيفي، الصور والفيديو، الموقع الجغرافي للصور والحضور، التسجيلات الصوتية، الحضور واليوميات وأجور العمال، بيانات الحوادث، السجلات المالية للمشروع، رموز أجهزة الإشعارات، سجلات الدخول |
| بيانات حساسة |
بيانات صحية عن الإصابات في أداة الحوادث فقط، ومتاحة لمن لديه صلاحيتها |
| مدة المعالجة |
مدة استخدام الخدمة وفترات الاحتفاظ في الملحق (ب) |
الملحق (ب): مدد الاحتفاظ
| البيانات |
مدة الاحتفاظ |
| بيانات المشاريع والملفات |
طوال مدة الاستخدام، ثم 60 يومًا للتصدير، ثم حذف خلال 30 يومًا |
| العناصر المحذوفة داخل التطبيق |
حذف نهائي من الخادم بعد 90 يومًا |
| حساب مستخدم محذوف |
حذف فوري، وخروج من النسخ الاحتياطية خلال 7 أيام |
| حذف الشركة بالكامل من مدير الحساب |
حذف فوري لكل المشاريع والملفات، وخروج من النسخ الاحتياطية خلال 7 أيام |
| النسخ الاحتياطية |
7 أيام |
| سجلات الخادم والدوال |
حتى 7 أيام |
| رموز أجهزة الإشعارات |
حتى تسجيل الخروج أو توقف الجهاز |
| الدعوات غير المقبولة |
تُحذف مع الحذف النهائي للعناصر المحذوفة |
| المكالمات |
لا يتم التسجيل؛ يُحفظ فقط سجل المكالمة في المحادثة |
الملحق (ج): المعالجون الفرعيون
| المزود |
الخدمة |
مكان المعالجة |
البيانات |
الحماية |
| Supabase Inc. |
قاعدة البيانات وتسجيل الدخول وتخزين الملفات والدوال |
فرانكفورت، ألمانيا (AWS eu-central-1) |
كل بيانات الخدمة |
تشفير AES-256 على الأقراص، TLS أثناء النقل، صلاحيات على مستوى الصف |
| LiveKit Inc. |
المكالمات والاجتماعات الصوتية والمرئية |
فرانكفورت، ألمانيا (الاتحاد الأوروبي) |
الصوت والصورة أثناء المكالمة فقط، اسم المشارك |
DTLS-SRTP، دون تسجيل أو حفظ |
| Google LLC (Firebase Cloud Messaging) |
الإشعارات ورنين المكالمات |
الولايات المتحدة ودول أخرى |
رمز الجهاز ونص الإشعار |
TLS |
| Resend, Inc. |
رسائل الدعوة واستعادة كلمة المرور |
أيرلندا، الاتحاد الأوروبي (AWS eu-west-1) |
البريد والاسم ورابط الدعوة |
TLS، توقيع DKIM |
| Cloudflare Inc. و Google LLC (Gmail) |
استلام رسائل الدعم والخصوصية |
عالمي / الولايات المتحدة |
محتوى الرسالة التي يرسلها العميل |
TLS |
| OpenStreetMap Foundation |
الخرائط وتحويل الإحداثيات إلى عنوان |
المملكة المتحدة / الاتحاد الأوروبي |
إحداثيات تقريبية وعنوان IP |
HTTPS (قد يُستبدل بمزود خرائط تجاري) |
| GitHub Inc. / Cloudflare Inc. |
استضافة ملفات نسخة الويب |
عالمي |
عنوان IP للزائر فقط، لا تُحفظ بيانات المشاريع |
HTTPS |
| خادم تحويل ملفات DWG |
تحويل DWG إلى DXF |
[يحدد عند التشغيل] |
ملف الرسم أثناء التحويل فقط |
HTTPS، دون احتفاظ بعد التحويل |
| Apple / Google (خدمة نظام الجهاز) |
تحويل الكلام إلى نص عند استخدام الإملاء |
حسب المزود |
الصوت أثناء الإملاء |
حسب سياسة نظام الجهاز |
| Anthropic PBC |
المساعد الذكي |
الولايات المتحدة |
غير مفعّل حاليًا، ولا تُرسل له أي بيانات |
— |
الملحق (د): إجراءات الحماية الفنية والتنظيمية
- تشفير كل الاتصالات (HTTPS/TLS) وتشفير قاعدة البيانات والملفات والنسخ الاحتياطية على الأقراص (AES-256).
- قواعد صلاحيات على مستوى الصف لكل جدول، وصلاحيات لكل أداة بأربعة مستويات (بدون، عرض، تحرير، إدارة) يحددها مدير المشاريع.
- مخزن ملفات خاص لا يفتح إلا برابط مؤقت لمن له صلاحية.
- الحسابات بالدعوة فقط، وكلمات المرور ومفاتيح الربط (API) محفوظة كبصمة مشفرة لا يمكن استرجاعها.
- المفاتيح السرية للخوادم محفوظة في خزنة الخادم ولا توجد داخل التطبيق.
- سجل نشاط لا يقبل التعديل، يسجل اسم المستخدم ووقت الإجراء من حسابه، مع قفل المستخلصات وأوامر التغيير والتصاريح بعد اعتمادها.
- حذف المستخلص أو إعادة فتحه بعد اعتماده يتم بطلب من مدير المشاريع وموافقة المالك.
- حذف نهائي للعناصر المحذوفة بعد 90 يومًا، وحذف فوري للحساب أو الشركة عند طلب ذلك من داخل التطبيق.
- عدم تسجيل المكالمات.
- نسخ احتياطية يومية مشفرة، واختبار التحديثات قبل نشرها.
التوقيعات
|
الطرف الأول (مقدم الخدمة) |
الطرف الثاني (الشركة العميلة) |
| الاسم |
|
|
| الصفة |
|
|
| التوقيع |
|
|
| التاريخ |
|
|
Data Processing Agreement (DPA)
Between the Site Pro operator (an individual) and the Customer company · Version 2026-10-24
Parties
Party one (Processor / Provider):
| Item |
Details |
| Full legal name |
Mohamed Elhassan Mostafa, an individual contracting in a personal capacity under the name Site Pro |
| Website |
coreprojectpro.com |
| Data protection contact |
privacy@coreprojectpro.com |
Party two (Controller / Customer):
| Item |
Details |
| Company name |
............................................ |
| Commercial registration / tax no. |
............................................ |
| Country and city |
............................................ |
| Address |
............................................ |
| Authorised representative (name and title) |
............................................ |
| Email and mobile |
............................................ |
| Customer's data protection contact |
............................................ |
| Service start date |
............................................ |
| Number of users / projects |
............................................ |
1. Purpose
This agreement governs the Provider's processing of personal data on behalf of the Customer when providing the Site Pro service. It forms part of the Terms of Use and any written agreement between the parties. It is subject to Egypt's Personal Data Protection Law No. 151 of 2020 and its executive regulations, the Saudi Personal Data Protection Law and its regulations where it applies, and the EU General Data Protection Regulation (GDPR) where it applies.
2. Roles
- The Customer is the controller of the data it and its team enter in its projects, and is responsible for having a lawful basis to collect it and for informing the people concerned.
- The Provider is a processor. It processes the data only on the Customer's documented instructions (the Service's settings and permissions count as documented instructions), uses it for no other purpose, does not sell it, and does not use it for advertising or to train AI models.
3. Processing details
The data, data subjects and purposes are set out in Annex A.
4. Provider obligations
- Process data on the Customer's instructions, and tell the Customer if an instruction appears to break the law.
- Bind every member of its staff who can access the data to confidentiality.
- Apply the technical and organisational measures in Annex D.
- Help the Customer answer data subject requests (access, correction, deletion, copy) and with impact assessments where needed, through the Service's tools or on written request.
- Not transfer data outside the countries listed in Annex C without appropriate legal safeguards.
5. Sub-processors
- The Customer approves the sub-processors in Annex C.
- The Provider tells the Customer at least 30 days before adding or changing a sub-processor, and the Customer may object on reasonable grounds. If no solution is found, the Customer may stop using the Service and get back any amount it paid in advance for the remaining period.
- The Provider imposes on every sub-processor data protection obligations no weaker than this agreement and stays liable to the Customer for their performance.
6. Encryption and security
- All traffic is encrypted in transit (TLS 1.2 or later).
- The database and files at Supabase are encrypted at rest (AES-256), and so are backups.
- Calls and meetings through LiveKit are encrypted in transit (DTLS-SRTP) and are never recorded; no audio or video is stored.
- Details are in Annex D.
7. Personal data breaches
The Provider notifies the Customer without undue delay and at the latest within 48 hours of becoming aware of a breach affecting its data, with the information needed (nature of the breach, data and people affected, likely impact, measures taken), so the Customer can notify the authority within the legal deadline (72 hours under the Saudi law). The Provider immediately takes the steps needed to contain the breach.
8. Retention and deletion
- Retention periods are in Annex B.
- When the Customer stops using the Service, the data stays available to the Customer for export for 60 days. The Provider then deletes it permanently within 30 days, except what the law requires it to keep, and confirms the deletion on request.
- The Customer is responsible for keeping copies of records the law requires it to keep for longer (such as accounting records).
9. Audit
On written request, once a year or after a breach, the Provider gives the Customer the information needed to show compliance with this agreement, while protecting the confidentiality of the Provider and its other customers.
10. Liability and term
- This agreement runs for as long as the Service is used and until all data is deleted.
- Liability is subject to the limits in the Terms of Use and any written agreement between the parties, unless the law prevents it.
- Where this agreement and the Terms of Use conflict on personal data, this agreement prevails.
- Governing law and courts: as in any written agreement between the parties, otherwise the laws of the Arab Republic of Egypt and the courts of Cairo.
- If the Provider sets up a company or business to provide the Service, this agreement and its rights and obligations pass to it after written notice to the Customer. The Customer may object within 30 days and stop using the Service if it does not accept.
Annex A: Processing details
| Item |
Details |
| Nature of processing |
Storing, syncing, displaying and sharing construction site management records, sending notifications, running calls |
| Data subjects |
The Customer's staff and users; invited subcontractors, consultants and owners; workers; people injured in incidents; people visible in photos |
| Data categories |
Name, email, mobile, job title, photos and video, location of photos and attendance, voice notes, attendance, daily reports and worker rates, incident data, project financial records, push device tokens, sign-in logs |
| Sensitive data |
Health data on injuries in the incidents tool only, visible to users with access to it |
| Duration |
The period of use and the retention periods in Annex B |
Annex B: Retention periods
| Data |
Retention |
| Project data and files |
For the period of use, then 60 days for export, then deleted within 30 days |
| Items deleted inside the app |
Permanently removed from the server after 90 days |
| A deleted user account |
Deleted at once; drops out of backups within 7 days |
| Whole company deleted by the account admin |
All projects and files deleted at once; drop out of backups within 7 days |
| Backups |
7 days |
| Server and function logs |
Up to 7 days |
| Push device tokens |
Until sign-out or until the device stops accepting them |
| Unaccepted invitations |
Removed with the permanent purge of deleted items |
| Calls |
Not recorded; only the call entry in the conversation is kept |
Annex C: Sub-processors
| Provider |
Service |
Location |
Data |
Protection |
| Supabase Inc. |
Database, sign-in, file storage and functions |
Frankfurt, Germany (AWS eu-central-1) |
All Service data |
AES-256 at rest, TLS in transit, row-level access rules |
| LiveKit Inc. |
Voice and video calls and meetings |
Frankfurt, Germany (EU) |
Audio and video during the call only, participant name |
DTLS-SRTP, no recording or storage |
| Google LLC (Firebase Cloud Messaging) |
Notifications and call ringing |
USA and other countries |
Device token and notification text |
TLS |
| Resend, Inc. |
Invitation and password reset emails |
Ireland, EU (AWS eu-west-1) |
Email, name and invitation link |
TLS, DKIM signing |
| Cloudflare Inc. and Google LLC (Gmail) |
Receiving support and privacy messages |
Global / USA |
Content of messages the customer sends |
TLS |
| OpenStreetMap Foundation |
Map tiles and coordinates to address |
UK / EU |
Approximate coordinates and IP address |
HTTPS (may be replaced by a commercial map provider) |
| GitHub Inc. / Cloudflare Inc. |
Hosting the web app's files |
Global |
Visitor IP address only; no project data stored |
HTTPS |
| DWG conversion server |
Converting DWG to DXF |
[set when deployed] |
The drawing file during conversion only |
HTTPS, nothing kept after conversion |
| Apple / Google (device OS service) |
Speech-to-text when dictation is used |
Per provider |
Audio during dictation |
Per the device OS policy |
| Anthropic PBC |
AI assistant |
USA |
Not active; no data is sent |
— |
Annex D: Technical and organisational measures
- Encryption of all traffic (HTTPS/TLS) and of the database, files and backups at rest (AES-256).
- Row-level access rules on every table, and per-tool permissions at four levels (none, view, edit, manage) set by the projects manager.
- Private file storage, opened only through short-lived links for users with access.
- Invitation-only accounts; passwords and API keys stored as one-way hashes.
- Server secrets kept in the server vault and never inside the app.
- An activity log that cannot be edited and records the user's name and the time from their account; payment certificates, change orders and permits are locked after approval.
- Deleting or reopening an approved payment certificate needs a request from the projects manager and the owner's approval.
- Permanent purge of deleted items after 90 days, and immediate deletion of an account or company when requested inside the app.
- Calls are never recorded.
- Daily encrypted backups, and testing of updates before release.
Signatures
|
Party one (Provider) |
Party two (Customer) |
| Name |
|
|
| Title |
|
|
| Signature |
|
|
| Date |
|
|