۱ چه کسی به این DPA نیاز دارد
اگر شما (مشتری) داده‌های شخصی کاربران نهایی خود را روی سرورها یا خدمات ابری ایران‌کلاد ذخیره یا پردازش می‌کنید — مثلاً وب‌سایت e-commerce، اپلیکیشن SaaS، CRM داخلی — این توافق‌نامه چارچوب پردازش آن داده‌ها را تعریف می‌کند. مشتریان فردی که فقط دادهٔ خودشان را پردازش می‌کنند نیازی به امضای DPA ندارند.
۲ نقش‌ها
- کنترل‌کنندهٔ داده (Data Controller): شما، مشتری ایران‌کلاد. شما تعیین می‌کنید چه داده‌هایی جمع‌آوری می‌شوند، چرا و چگونه استفاده می‌شوند.
- پردازشگر داده (Data Processor): ایران‌کلاد. ما داده‌ها را به‌نمایندگی از شما و طبق دستور شما ذخیره و پردازش می‌کنیم — به آن‌ها برای اهداف خودمان دسترسی ندارم مگر برای ارائهٔ خدمات.
- پردازشگرهای فرعی (Sub-processors): در محدودیت‌های فهرست‌شده در بخش ۰۶.
- فاعل داده (Data Subject): کاربر نهایی شما که دادهٔ شخصی‌اش پردازش می‌شود.
۳ انواع دادهٔ پردازشی
ایران‌کلاد به محتوای داده‌های داخل سرورهای شما دسترسی ندارد مگر در موارد محدود (پشتیبانی فنی به‌درخواست شما، تحقیق امنیتی، الزام قانونی). متادیتای مدیریتی که برای ارائهٔ خدمات لازم است:
- مشخصات منابع (نام سرور، اندازه، وضعیت، آدرس IP)
- متریک‌های مصرف (CPU، RAM، ترافیک، فضای ذخیره‌سازی)
- لاگ‌های امنیتی پلتفرم (ورود به پنل، تغییرات پیکربندی)
- اطلاعات صورت‌حساب پلتفرم
۴ اقدامات امنیتی فنی و سازمانی
- رمزنگاری در حین انتقال (TLS 1.3) برای همهٔ ارتباطات.
- رمزنگاری در حال استراحت برای داده‌های حساس (شبا، کد ملی) با کلید مدیریت‌شدهٔ پلتفرم.
- گزینهٔ Customer-Managed-Keys (CMK) برای مشتریان سازمانی (با هزینهٔ اضافی).
- ایزولاسیون شبکه‌ای بین سرورهای مشتریان مختلف.
- کنترل دسترسی فیزیکی به دیتاسنتر (کارت + ویدئو + گزارش ورود).
- کنترل دسترسی پرسنل بر اساس اصل least-privilege + احراز هویت دو-عاملی پلتفرم.
- لاگ تمام دسترسی‌های پرسنل ایران‌کلاد به سیستم‌های مدیریتی.
- پشتیبان‌گیری منظم و آزمون بازیابی ماهانه.
- پایش امنیتی پیوسته با تشخیص ناهنجاری (SIEM).
- بازبینی منظم رمزها و کلیدها (rotation).
۵ اطلاع‌رسانی نقض امنیتی
اگر متوجه نقض امنیتی شویم که داده‌های شما را تحت تأثیر قرار داده:
- اطلاع‌رسانی به شما طی ۷۲ ساعت از زمان تأیید رخداد.
- گزارش شامل: ماهیت نقض، دسته‌بندی و حدود دادهٔ متأثر، اقدامات انجام‌شده، اقدامات پیشنهادی برای شما.
- همکاری در ارزیابی اثر بر فاعل‌های داده و در صورت لزوم اطلاع‌رسانی به آن‌ها.
- گزارش نهایی postmortem طی ۳۰ روز با اقدامات اصلاحی برای جلوگیری از تکرار.
۶ پردازشگرهای فرعی
برای ارائهٔ خدمات از پردازشگرهای فرعی محدود استفاده می‌کنیم. فهرست فعلی:
| پردازشگر فرعی | هدف | دادهٔ منتقل‌شده |
|---|---|---|
| زیبال | درگاه پرداخت + احراز هویت بانکی | شماره شبا، کد ملی، تاریخ تولد (هنگام KYC) |
| sms.ir | ارسال پیامک تأیید و اطلاع‌رسانی | شماره موبایل، متن پیام |
| IRNIC | ثبت و مدیریت دامنه‌های .ir و .ایران | نام، آدرس، شماره تماس صاحب دامنه (طبق سیاست IRNIC) |
پیش از افزودن پردازشگر فرعی جدید، حداقل ۳۰ روز قبل به مشتریان سازمانی اطلاع‌رسانی می‌شود — حق اعتراض و فسخ بدون جریمه برای آن دوره فراهم است.
۷ حقوق فاعل داده
شما (به‌عنوان کنترل‌کننده) مسئول پاسخ به درخواست‌های فاعل داده هستید. ما به‌عنوان پردازشگر به شما کمک می‌کنیم:
- دسترسی + اصلاح: ابزارهای مدیریت داده در پنل ایران‌کلاد.
- حذف: ابزار حذف کامل سرور یا داده + گواهی پاک‌سازی امن.
- قابلیت انتقال: امکان دانلود کامل داده‌ها در فرمت‌های استاندارد.
- محدودیت پردازش: ابزار تعلیق سرویس بدون حذف داده.
۸ انتقال بین‌المللی
داده‌های شما در ایران ذخیره و پردازش می‌شوند. ما داده‌ها را به خارج از ایران منتقل نمی‌کنیم مگر در موارد محدود و با اعلام قبلی (مثلاً اگر بخواهید سرور خارجی-Reseller بخرید، در آن صورت داده‌ها به سرور انتخابی شما در Hetzner/DigitalOcean/etc. منتقل می‌شوند — این تصمیم با شماست).
۹ خاتمه و بازگشت داده‌ها
پس از خاتمهٔ قرارداد:
- ۳۰ روز فرصت برای بازیابی داده‌ها (دانلود پشتیبان، انتقال به سرور دیگر).
- پس از این مدت، حذف امن طبق NIST 800-88 (یا معادل آن).
- گواهی حذف به‌درخواست در دسترس است.
- سوابق قانونی صورت‌حساب (۷ سال) همچنان نگه‌داری می‌شود طبق الزام قانونی.
۱۰ حسابرسی
مشتریان سازمانی می‌توانند یک‌بار در سال (یا هنگام رخداد امنیتی مهم) درخواست حسابرسی پایبندی به این DPA کنند. حسابرسی به‌صورت بازبینی مستندات + گزارش‌ها + در صورت لزوم بازدید هماهنگ‌شده از زیرساخت انجام می‌شود. ایران‌کلاد می‌تواند بخواهد NDA امضا شود.
۱۱ درخواست امضای DPA
برای دریافت نسخهٔ امضاپذیر این توافق‌نامه (PDF + DocuSign-Equivalent) با تیم Sales تماس بگیرید: sales@iranclaud.ir. این سند بخشی از قرارداد سازمانی شماست.