ملحق معالجة البيانات (DPA) — MultiLipi

1) Definitions

Capitalized terms not defined here have the meaning in the Agreement. "قوانين حماية البيانات " تعني جميع القوانين واللوائح المعمول بها على معالجة البيانات الشخصية بموجب الاتفاقية، بما في ذلك اللائحة العامة لحماية البيانات (الاتحاد الأوروبي) 2016/679 واللائحة العامة لحماية البيانات في المملكة المتحدة، وأي قوانين تنفيذية محلية. " البيانات الشخصية ", " وحده تحكم ", " المعالج ", " صاحب البيانات ", " تجهيز "، و " Supervisory Authority" لها المعاني في اللائحة العامة لحماية البيانات.

"Sensitive Data" means information requiring extra protection or subject to special rules (for example: special‑category data under GDPR Article 9 such as health/biometric/genetic data; personal data of children under 16; government‑issued identifiers; financial account or payment data; precise geolocation; or credentials/passwords/API keys/secrets). The Services are not designed to process Sensitive Data.

2) النطاق والأدوار

1. العميل هو أ وحده تحكم ، و MultiLipi هو المعالج فيما يتعلق بالبيانات الشخصية الموضحة في المرفق الأول .
2. عندما يعمل العميل كمعالج لجهة تحكم خارجية، تعمل MultiLipi كعميل المعالج الفرعي . Customer warrants it has the Controller's authorization to appoint MultiLipi.
3. ستقوم MultiLipi بمعالجة البيانات الشخصية فقط: (أ) لتقديم الخدمات؛ (ب) كما هو موثق من قبل العميل في الاتفاقية واتفاقية حماية البيانات هذه؛ و (ج) كما يقتضي القانون.

3) تعليمات العملاء

1. يوجه العميل MultiLipi إلى معالجة البيانات الشخصية لتوفير الخدمات وتحسينها (بطرق تحافظ على الخصوصية)، بما في ذلك الترجمة والتوجيه حسب اللغة ومسرد المصطلحات / TM وترجمة الوسائط والتحليلات وميزات تحسين محركات البحث التي تم تمكينها من قبل العميل.
2. Customer will not submit or cause the Services to Process Sensitive Data. If Customer nevertheless submits Sensitive Data, Customer is solely responsible for obtaining all necessary consents and safeguards; MultiLipi has no obligation to monitor for Sensitive Data.
3. MultiLipi will notify Customer if it cannot follow instructions due to a legal requirement, unless prohibited.
4. MultiLipi will not sell Personal Data, nor use it to build or train generalized AI models without Customer's explicit opt‑in.

4) Confidentiality

MultiLipi ensures persons authorized to Process Personal Data are bound by confidentiality obligations and receive appropriate data protection training.

5) Security Measures

تنفذ MultiLipi وتحافظ على التدابير الفنية والتنظيمية المناسبة (" تومز ") لحماية البيانات الشخصية كما هو موضح في المرفق الثاني ، مع الأخذ في الاعتبار أحدث ما توصلت إليه التكنولوجيا وتكاليف التنفيذ وطبيعة ونطاق وسياق وأغراض المعالجة، بالإضافة إلى المخاطر التي تهدد حقوق وحريات الأشخاص الطبيعيين.

6) المعالجات الفرعية

1. يقدم العميل تفويضا عاما لشركة MultiLipi لإشراك المعالجين الفرعيين لتقديم الخدمات. يتم سرد المعالجات الفرعية الحالية في /قانوني/المعالجات الفرعية .
2. ستفرض MultiLipi التزامات حماية البيانات على المعالجات الفرعية المكافئة ل DPA هذه وتظل مسؤولة عن أدائها.
3. If Unsatisfied with the Subprocessors, Customer must contact MultiLipi and provide an opportunity to object on reasonable grounds related to data protection. If unresolved in good faith, Customer may suspend or terminate the affected Services (pro‑rata refund of prepaid fees).

7) المساعدة وتقييمات حماية البيانات والاستشارات المسبقة

Taking into account the nature of Processing and information available to MultiLipi, we will assist Customer in ensuring compliance with obligations under Articles 32–36 GDPR (security, breach notifications, DPIAs and prior consultations), including by providing relevant documentation about our TOMs and subprocessors.

8) إخطار خرق البيانات الشخصية

1. ستقوم MultiLipi بإخطار العميل without undue delayبعد علمك بخرق البيانات الشخصية الذي يؤثر على بيانات العميل. سيتضمن الإخطار المعلومات المتاحة بشكل معقول لشركة MultiLipi في ذلك الوقت، بما في ذلك: طبيعة الخرق، والفئات والعدد التقريبي لأصحاب البيانات والسجلات، والعواقب المحتملة، والتدابير المتخذة أو المقترحة لمعالجة الخرق.
2. MultiLipi will promptly take steps to mitigate adverse effects and cooperate with Customer's reasonable requests to meet any breach notification obligations.

9) طلبات موضوع البيانات

To the extent legally permitted, MultiLipi will promptly notify Customer if we receive a request from a Data Subject exercising rights under Data Protection Laws relating to Customer Data. MultiLipi will not respond except on Customer's documented instructions and will provide reasonable assistance for Customer to respond to such requests.

10) إرجاع وحذف البيانات

1. On Customer's documented request, MultiLipi will delete or return all Personal Data (and delete existing copies) within a commercially reasonable period, unless retention is required by law.
2. Backups are overwritten on scheduled cycles; deletion from backups will occur in the ordinary course.

11) عمليات نقل البيانات الدولية (SCCs / ملحق المملكة المتحدة)

1. تحويلات المنطقة الاقتصادية الأوروبية. Where Processing involves a transfer of Personal Data subject to GDPR to a third country without an adequacy decision, the parties agree that the البنود التعاقدية القياسية المعتمدة من قبل المفوضية الأوروبية في القرار (EU) 2021/914 (" SCCs ") بالإشارة وتشكل جزءا من اتفاق دارفور للسلام هذا كما هو موضح أدناه:
   • الوحدة 2 (من وحدة التحكم إلى المعالج) و/أو الوحدة 3 (من المعالج إلى المعالج الفرعي)، حسب الاقتضاء.
   • البند 7 (بند الإرساء): ينطبق .
   • البند 11 (الإنصاف): لا طبق.
   • البند 17 (القانون الحاكم): قوانين أيرلندا .
   • البند 18 (المنتدى والاختصاص القضائي): محاكم أيرلندا .
   • وتستكمل الملحقين من الأول إلى الثالث من المراكز الدائمة للتداول بالمعلومات الواردة في المرفق الأول , المرفق الثاني و المرفق الثالث من هذا DPA.
2. تحويلات المملكة المتحدة. بالنسبة لعمليات النقل الخاضعة للائحة العامة لحماية البيانات في المملكة المتحدة، يوافق الطرفان على الملحق ب الملحق ب لنقل البيانات الدولية (IDTA) الخاص ب ICO إلى SCCs في الاتحاد الأوروبي، المدمج بالإشارة. في حالة وجود تعارض ، يسود ملحق المملكة المتحدة لتحويلات المملكة المتحدة.
3. التحويلات السويسرية. For transfers subject to the Swiss FADP, references to the GDPR in the SCCs shall be read as references to the FADP; references to EU Member States become Switzerland; and the competent authority is the FDPIC.

13) Liability & Indemnity

Liability under this DPA is subject to the limitations and exclusions of liability in the Agreement, except to the extent prohibited by applicable law. Each party shall be liable for its own acts and omissions under Data Protection Laws.

14) متفرقات

1. في حالة وجود تعارض بين اتفاقية حماية البيانات هذه والاتفاقية، تتحكم اتفاقية حماية البيانات هذه في مدى التعارض فيما يتعلق بحماية البيانات.
2. إذا تم اعتبار أي حكم من أحكام DPA هذا غير صالح ، يظل الباقي ساري المفعول.
3. قد تقوم MultiLipi بتحديث اتفاقية حماية البيانات هذه لتعكس التغييرات في القانون أو خدماتنا.

المرفق الأول - وصف التجهيز

ألف - الأطراف

ب. تفاصيل المعالجة

C. Competent Supervisory Authority

For the SCCs, the competent authority is determined in accordance with Clause 13 of the SCCs (e.g., the authority of the Member State of Customer's main EU establishment or Data Subjects).

المرفق الثاني - التدابير التقنية والتنظيمية

1. Information Security Program. Written policies covering access control, data handling, incident response, change management, vendor risk, and secure development.
2. التحكم في الوصول. الوصول المستند إلى الأدوار، وأقل امتياز ومصادقة قوية، ومصادقة متعددة العوامل للمسؤولين، وإدارة الجلسة، ومراجعات الوصول المنتظمة، والإلغاء الفوري عند تغيير/إنهاء الدور.
3. التشفير. TLS for data in transit; encryption of stored secrets and keys; key rotation and limited access to key material.
4. Network & Application Security.الشبكات المجزأة; جدار الحماية / WAF ؛ حماية DDoS (عبر CDN/edge عند الاقتضاء)؛ تصلب خطوط الأساس SDLC آمن بما في ذلك مراجعة التعليمات البرمجية ومسح التبعية.
5. Logging & Monitoring. Centralized logging of security-relevant events; alerting on anomalies; time synchronization; tamper-resistant log storage.
6. Vulnerability & Patch Management. Regular vulnerability scanning; timely remediation; third‑party testing as appropriate.
7. Business Continuity & Disaster Recovery. Redundant infrastructure for critical components; tested backups; documented RTO/RPO targets.
8. فصل البيانات. الفصل المنطقي بين بيئات العملاء وبياناتهم.
9. Personnel Security & Training. Background checks as permitted by law; onboarding/annual security and privacy training; confidentiality undertakings.
10. الاستجابة للحوادث. Documented plan with defined roles, triage, containment, eradication, recovery, lessons learned, and customer notification workflows.
11. إدارة البائعين والمعالجات الفرعية. Risk-based assessment, contractual security/privacy obligations, continuous monitoring.
12. Physical Security. Data centers operated by vetted providers with industry-standard controls (badging, CCTV, visitor logs).
13. تقليل البيانات. Collect only what is necessary; retention limits; anonymization/pseudonymization where suitable.
14. ضوابط العملاء. Admin tools for access management; audit trails in the dashboard (where available); API key management; MFA support.

المرفق الثالث - المعالجات الفرعية

يتم الاحتفاظ بالقائمة الحالية للمعالجات الفرعية المعتمدة في https://multilipi.com/legal/subprocessors. لكل معالج فرعي ، سيكشف MultiLipi على: الاسم والغرض وموقع (مواقع) المعالجة وآلية النقل (على سبيل المثال ، SCCs).

التواقيع

زبون	MultiLipi Technologies Private Limited
اسم:___________________________ Title: ___________________________ تاريخ:___________________________ توقيع:______________________	الاسم: كونال سينغ شيخاوات Title: Co-Founder @MultiLipi التاريخ: 10/09/2025 توقيع:

من خلال التوقيع، يتفق الطرفان على أن اتفاقية المنافسة الدائمة للاتحاد الأوروبي (القرار (الاتحاد الأوروبي) 2021/914) و، عند الاقتضاء، ملحق نقل البيانات الدولي في المملكة المتحدة، يتم دمجها بالإشارة وإكمالها على النحو المنصوص عليه في اتفاقية حماية البيانات هذه.