سياسة حماية البيانات الشخصية
المقدمة والهدف
تؤكد شركة بنية التزامها التام بحماية privacy بيانات personal عملائها، والتقيد بجميع الالتزامات الواجبة بموجب نظام حماية البيانات الشخصية السعودي الصادر بالمرسوم الملكي م/19 لعام 2021 وتعديلاته . تهدف هذه السياسة إلى توضيح الضوابط والمعايير التي نتبعها في معالجة البيانات الشخصية، بما يضمن الامتثال لمبدأ الشفافية والخصوصية المنصوص عليه في المادة الرابعة من النظام، ويمكّن أصحاب البيانات من ممارسة حقوقهم المكفولة. تعتبر هذه الوثيقة بمثابة البيان الرسمي لجهود الشركة في حماية البيانات، وتُكمل ما ورد في سياسة الخصوصية لدينا من تفاصيل حول جمع البيانات واستخدامها. في حال وجود أي تعارض بين هذه السياسة وأي سياسة أخرى للشركة ذات صلة بالبيانات الشخصية، تُغلَّب الأحكام التي توفر حماية وحقوقًا أكبر لصاحب البيانات.
نطاق التطبيق والمسؤوليات
تنطبق هذه السياسة على جميع الأنشطة والخدمات التي تتضمن معالجة لبيانات شخصية تقوم بها شركة بنية داخل المملكة العربية السعودية. كما أنها تسري على جميع موظفي الشركة ومقدمي الخدمات المتعاقدين معنا الذين قد يكون لديهم وصول إلى البيانات الشخصية أثناء أداء مهامهم. لقد عيّنت الشركة مسؤولًا عن حماية البيانات الشخصية (عند الاقتضاء) أو جهة داخلية مختصة بضمان الامتثال لمتطلبات النظام ، ويُمكن التواصل معه عند الحاجة عبر معلومات الاتصال المذكورة أدناه. تقع على عاتق إدارة الشركة مسؤولية إشاعة ثقافة احترام خصوصية البيانات وتوفير التدريب اللازم للموظفين، بالإضافة إلى تخصيص الموارد الضرورية لضمان تنفيذ هذه السياسة بفعالية.
المبادئ العامة لمعالجة البيانات
نلتزم في بنية بمجموعة من المبادئ الأساسية لحماية البيانات التي ينص عليها النظام السعودي وتوجيهاته التنفيذية ، والتي تشمل ما يلي:
- مشروعية المعالجة وعدالتها وشفافيتها: تتم معالجة البيانات الشخصية بأساليب قانونية ونزيهة، وبشكل شفاف تجاه صاحب البيانات. نحن نوضح أسباب الجمع والمعالجة لأصحاب البيانات بشكل مبسّط ومفهوم، ونتجنب أي ممارسات خادعة أو مضللة في جمع المعلومات أو استخدامها.
- تحديد الغرض والتقليل من البيانات: نجمع البيانات الشخصية لأغراض محددة ومشروعة تم إبلاغ أصحاب البيانات بها مسبقًا، ونتجنب استخدامها لاحقًا بأي طريقة تتنافى مع تلك الأغراض المعلنة . كما نحرص على الحد من جمع البيانات على أقل قدر ممكن مما هو ملائم وضروري لتحقيق الغرض المقصود ؛ فلن نطلب سوى المعلومات التي نحتاجها بالفعل، ولن نحتفظ ببيانات غير ذات صلة.
- دقة البيانات وحداثتها: نحافظ على دقة البيانات الشخصية التي بحوزتنا ونحدّثها عند اللزوم. نحن نعتمد على أصحاب البيانات في تزويدنا بأي تغييرات أو تصحيحات على بياناتهم، وعند تلقي أي طلب تصحيح سنبادر للاستجابة سريعًا (انظر قسم الحقوق أدناه).
- تقييد التخزين: نحتفظ بالبيانات الشخصية للمدة اللازمة فقط وللغرض المحدد الذي جُمعت من أجله، ونلتزم بسياسات واضحة بشأن فترات الاحتفاظ لكل فئة من البيانات. بعد انتهاء الحاجة أو المدة النظامية، نقوم بحذف البيانات أو إخفاء هويتها بشكل آمن.
- السلامة والسرية: نتخذ تدابير تقنية وإدارية مناسبة لضمان أمن وسرية البيانات الشخصية وحمايتها من الوصول غير المصرح به أو الفقدان أو التلف . ويشمل ذلك استخدام تقنيات التشفير وإجراءات التحكم في الوصول وتدريب الموظفين، كما تم تفصيله في سياسة الخصوصية لدينا.
- المساءلة: نعتبر أنفسنا مساءلين أمام أصحاب البيانات والجهة الرقابية (سدايا) في كل ما يتعلق بحماية البيانات. لذا نقوم بتوثيق إجراءات الامتثال لدينا، ونحافظ على سجلات عمليات المعالجة الرئيسية ، ونراجع بانتظام فعالية الضوابط المطبقة. في حال وجود أي خرق أو حادث متعلق بالبيانات، فإننا نلتزم بالإبلاغ عنه واتخاذ الإجراءات التصحيحية كما سيأتي بيانه.
حقوق أصحاب البيانات الشخصية
نحترم جميع الحقوق الممنوحة لأصحاب البيانات بموجب النظام السعودي، وقد جرى تفصيل معظم هذه الحقوق في سياسة الخصوصية أعلاه تحت قسم “حقوقك”. نؤكد هنا على أهم تلك الحقوق وكيفية تعاملنا معها ضمن إطار التزامنا القانوني:
- حق الاطلاع: يمكنك طلب الحصول على تأكيد حول ما إذا كنا نعالج بيانات شخصية تخصك، والحصول على نسخة من تلك البيانات مع معلومات عن أغراض المعالجة والجهات التي تشارك معها . سنزودك بالاستجابة في حدود 30 يومًا من استلام طلبك ما لم تكن هناك ظروف تستوجب تمديد المدة (وسيتم إخطارك عندها) .
- حق التصحيح: يحق لك أن تطلب منا تصحيح أي بيانات شخصية غير صحيحة أو غير مكتملة تتعلق بك . سنتحقق من صحة المعلومات الجديدة وننجز التصحيح دون تأخير لا مبرر له.
- حق المحو (“الحق في النسيان”): في بعض الحالات، يمكن لك طلب حذف بياناتك الشخصية من سجلاتنا، مثل: عندما تنتفي الحاجة منها أو تتم معالجتها بشكل غير مشروع أو سحبت موافقتك التي كانت المعالجة تعتمد عليها . سننظر في كل طلب بعناية وننفذ الحذف إذا انطبقت الشروط ولم يكن هناك مانع نظامي.
- حق تقييد المعالجة: تستطيع طلب وقف مؤقت لمعالجة بياناتك في ظروف معينة – مثلاً أثناء قيامنا بالتحقق من دقة البيانات بعد اعتراضك على صحتها. سنقوم بتقييد المعالجة في هذه الحالة إلى مجرد التخزين والقيام بما هو ضروري للحفاظ على البيانات إلى حين حل المسألة.
- حق الاعتراض: يحق لك الاعتراض على بعض أنواع المعالجة (مثل التسويق المباشر، أو المعالجة القائمة على المصلحة المشروعة) وسيتم وقف المعالجة المعترَض عليها ما لم تكن لدينا أسباب قانونية مشروعة تفوق حقك أو كانت المعالجة ضرورية لإجراء المطالبات القانونية أو الدفاع عنها.
- حق نقل البيانات: عندما ينطبق (أي في المعالجة الآلية بناءً على موافقتك أو تنفيذ العقد)، يمكنك طلب الحصول على بياناتك الشخصية التي قدمتها لنا بصيغة منظمة وشائعة الاستخدام ويمكن قراءتها آليًا، ونقلها مباشرة إلى جهة أخرى من اختيارك إن كان ذلك تقنيًا ممكنًا.
- حق الشكوى: كما ذكرنا، يمكنك دائمًا تصعيد الأمر إلى الجهة الرقابية المختصة (الهيئة السعودية للبيانات والذكاء الاصطناعي – سدايا) عبر قنواتها الرسمية لتقديم شكوى . نود التأكيد أننا سنتعامل بجدية مطلقة مع أي شكوى تردنا مباشرة، وستكون مساعينا لحلها سريعًا جزءًا من إجراءاتنا الوقائية كي لا يحتاج الأمر للوصول إلى الجهات الخارجية.
- حق التعويض: يحق لك السعي للحصول على تعويض عادل أمام الجهات القضائية عن أي ضرر تتكبده نتيجة مخالفة الشركة لأحكام نظام حماية البيانات الشخصية. إن سياستنا الصارمة بالامتثال تهدف أساسًا إلى الحيلولة دون وقوع أي مخالفة من هذا النوع، ولكننا ملتزمون بتحمل المسؤولية القانونية وفق ما يقرره القضاء حال ثبوت تقصير أو إهمال من طرفنا أدى إلى ضرر.
آليات وإجراءات ممارسة هذه الحقوق موضحة في سياسة الخصوصية أعلاه (قسم “ممارسة الحقوق”). نعيد التشديد على أن تواصلك معنا هو الخطوة الأولى والأنجع، وسنعمل قدر المستطاع على تيسير حصولك على حقوقك سريعًا وبشكل مرضٍ.
معالجة البيانات الحساسة
يُعرّف النظام بعض البيانات بأنها “بيانات شخصية حساسة” لما تنطوي عليه من خصوصية شديدة (مثل البيانات الصحية، والبيانات المالية التفصيلية، والآراء المعتقدية، والبيانات البيومترية والوراثية). نحن لا نتعمد جمع بيانات حساسة عن عملائنا إلا إذا كانت هناك حاجة ماسة وواضحة لذلك وبما يتوافق مع النظام (مثلاً: قد نجمع بعض المعلومات الصحية للموظفين لأغراض التأمين الطبي وليس من عملائنا، أو معلومات البصمة الحيوية لدخول مكاتبنا). في حال اضطررنا لمعالجة بيانات حساسة، فإننا:
- سنحصل على موافقة صريحة ومكتوبة منك لمعالجة هذه البيانات الحساسة (إلا في الحالات التي يجيز فيها النظام المعالجة بدون موافقة، مثل حماية حياة شخص أو صحتهم) .
- سنحدد بدقة الغرض من معالجة البيانات الحساسة ونلتزم بأن لا نستخدمها لأي غرض آخر. كما أننا لن نعالج البيانات الحساسة لأغراض تسويقية أو ترويجية إطلاقًا .
- نتخذ إجراءات أمنية إضافية لحماية البيانات الحساسة نظرًا لطبيعتها (مثل تشفيرها بشكل قوي في حالة التخزين أو النقل، وتقييد الوصول إليها لموظفين محددين بحاجة للاطلاع).
- نراعي أي ضوابط خاصة قد تصدرها اللوائح التنفيذية بشأن التعامل مع كل نوع من البيانات الحساسة. على سبيل المثال، البيانات الصحية تخضع لإجراءات خصوصية إضافية بحكم أنظمة وزارة الصحة أيضًا، ونحن ملتزمون بأي متطلبات أشد لحماية سرية المعلومات الصحية.
تقييم تأثير ومعالجة البيانات
وفقًا لمتطلبات نظام حماية البيانات الشخصية ولوائحه، نحرص على تطبيق منهجية تقويم تأثير عمليات المعالجة على الخصوصية (Privacy Impact Assessment) عندما نستحدث تقنيات أو خدمات جديدة تنطوي على معالجة بيانات شخصية على نطاق واسع أو بطريقة قد تكون عالية المخاطر على حقوق أصحاب البيانات . يساعدنا هذا التقييم الاستباقي على تحديد أي مخاطر محتملة على خصوصية الأفراد ومعالجتها قبل البدء الفعلي في المعالجة.
تتضمن خطواتنا في هذا الجانب:
- حصر وتوصيف عمليات المعالجة الجديدة أو المتغيرة (على سبيل المثال: إطلاق منصة جديدة للعملاء تتضمن ملفات شخصية وتفاعلات فيما بينهم).
- تحليل مدى الحاجة وملاءمة المعالجة وأسسها النظامية.
- تحديد المخاطر المحتملة على حقوق الخصوصية (مثل احتمال الوصول غير المصرح به، أو جمع بيانات أكثر من اللازم، أو استخدامات لم يتوقعها العميل).
- اقتراح وتنفيذ تدابير لتخفيف تلك المخاطر (مثل: تطبيق آليات إخفاء هوية للبيانات عند مشاركة نتائج تحليل، أو تعزيز التشفير، أو عدم الاحتفاظ بالبيانات لفترة أطول من اللازم).
- توثيق نتائج التقييم وإجراءات المعالجة.
علاوة على ذلك، نقوم بإعداد سجل لعمليات المعالجة التي نجريها يتضمن المعلومات الرئيسة لكل عملية (نوع البيانات، الغرض، الأطراف المشاركة، وسائل الحماية، إلخ) ، بما يساعدنا على مراقبة الالتزام وضمان الشفافية عند الحاجة.
أمن المعلومات وحوادث البيانات
لقد تمت مناقشة التدابير الأمنية العامة في سياسة الخصوصية. نوضح هنا باختصار التزامنا فيما يخص حوادث أمن البيانات (Data Breaches):
- رغم تطبيقنا لجميع الاحتياطات اللازمة، فإنه لا يمكن استبعاد احتمال حدوث خرق أمني أو حادث يؤدي إلى كشف أو فقدان عرضي للبيانات. لدينا خطة استجابة للطوارئ تتوافق مع متطلبات النظام .
- في حال اكتشاف أي حادثة تسرب أو اختراق غير مشروع للبيانات الشخصية، سنقوم فورًا بتفعيل إجراءات الاحتواء والمعالجة، والتي تشمل: تحديد نطاق الحادث وأسبابه، وقف أي وصول غير مصرح به إن كان مستمرًا، إصلاح الثغرة الأمنية التي تسببت بالحادث لمنع تكراره.
- سنقوم بإبلاغ الهيئة السعودية للبيانات والذكاء الاصطناعي (سدايا) بالحادث خلال مدة أقصاها (72) ساعة من وقت علمنا به ، إذا كان من شأن الحادث الإضرار ببيانات أصحاب البيانات أو انتهاك حقوقهم أو حرياتهم. يتضمن الإبلاغ وصفًا للحادث وطبيعة البيانات المتأثرة وعدد الأشخاص التقريبي وشرح للإجراءات التصحيحية المتخذة والمزمعة.
- كذلك، إذا قيّمنا أن الحادث قد يترتب عليه ضرر جسيم على أصحاب البيانات (مثلاً: قد يؤدي إلى احتيال مالي أو سرقة هوية)، فسنقوم بإشعار الأفراد المتأثرين على وجه السرعة بوسيلة تواصل فعالة (كالبريد الإلكتروني أو الرسائل النصية أو الاتصال المباشر إذا لزم الأمر). سيتضمن الإشعار معلومات موجزة عما حدث، وتوصيات للشخص المتضرر لحماية نفسه (مثل تغيير كلمات المرور، مراقبة الحسابات المالية، إلخ)، بالإضافة إلى ما نفعله نحن لمعالجة الموقف.
- نوثق جميع حوادث أمن البيانات – إن وقعت – والإجراءات المتخذة، وذلك لنتمكن من مراجعتها واستخلاص الدروس وتعزيز منظومتنا الأمنية. كما سنعمل على تنفيذ أي تعليمات أو توجيهات إضافية تصدر عن الجهة الرقابية بخصوص الحادث.
مشاركة البيانات مع الغير
ضمن التزامنا النظامي، لا نسمح لأي طرف ثالث بمعالجة البيانات الشخصية نيابة عنا إلا بموجب اتفاقية مكتوبة تفرض عليهم الالتزامات ذاتها التي نلتزم بها تجاه حماية البيانات . أي جهة تقدم خدمات معالجة مساندة لنا (مثل مزودي خدمات تقنية أو سحابية) يتم التأكد من امتثالها لمعايير الأمن والخصوصية الملائمة، ويتم إدراج بنود في عقودنا معهم تلزمهم بما يلي:
- معالجة البيانات فقط للأغراض المحددة وفي نطاق تعليماتنا المكتوبة.
- الحفاظ على سرية البيانات واتخاذ تدابير الحماية اللازمة.
- عدم مشاركة البيانات مع أي أطراف فرعية دون موافقتنا المسبقة، وفي حال الموافقة يجب أن يلتزم المتعاقد الفرعي بذات الالتزامات.
- التعاون معنا في تلبية مطالب أصحاب البيانات (مثل طلبات التصحيح أو الحذف) بتمرير تلك الطلبات إليهم إن كانت تخص عملياتهم.
- إشعارنا فورًا عند علمهم بوقوع خرق أمني أو حادث يتعلق بالبيانات التي يعالجونها لنا ، والتعاون في تحقيقات الحادث والإجراءات العلاجية.
- حذف أو إعادة جميع البيانات الشخصية التي تخص عملاءنا إلينا عند انتهاء العقد بيننا، إلا إذا كان هناك التزام قانوني يخالف ذلك.
إن اختيارنا لمقدمي الخدمات يخضع لتقييم دقيق، ولن نفوض بمعالجة البيانات إلا لمن يثبت قدرة والتزام في المحافظة على خصوصية البيانات.
النقل الدولي للبيانات الشخصية
تم التفصيل في سياسة الخصوصية حول الشروط التي يتم بموجبها نقل البيانات خارج المملكة (انظر قسم “نقل البيانات عبر الحدود”). في سياق التزامنا بحماية البيانات، نؤكد أننا لن ننقل البيانات الشخصية خارج حدود المملكة العربية السعودية ما لم يكن ذلك متوافقًا تمامًا مع اشتراطات النظام ولائحته التنفيذية. وهذا يشمل:
- الحصول على موافقة الجهة الرقابية (سدايا) إن كان ذلك مطلوبًا قبل إجراء عمليات نقل جماعي منتظمة.
- ضمان أن الدولة أو الجهة المستلمة للبيانات تتمتع بمستوى حماية مناسب أو قامت بتوقيع اتفاقيات تضمن حماية كافية.
- في حال عدم توفر مستوى حماية مماثل، سنعتمد على الأدوات التعاقدية (مثل الاتفاقيات الثنائية أو الشروط التعاقدية النموذجية المعتمدة) أو الضمانات الأخرى المسموحة بموجب النظام المعدل لعام 2024 .
- حفظ سجل بعمليات النقل الدولية التي نجريها – إن وجدت – لعرضه على الجهة المختصة عند الطلب، مشتملًا على تفاصيل البيانات المنقولة والبلدان المستقبلة والغرض والضمانات المتخذة.
الامتثال والتنفيذ
تدرك شركة بنية أن الالتزام بحماية البيانات هو عملية مستمرة وليست مجرد وثيقة. ولضمان فعالية هذه السياسة، نتخذ الخطوات التالية:
- التدريب والتوعية: نجري دورات توعية وتدريب منتظمة للموظفين حول متطلبات نظام حماية البيانات الشخصية وأفضل ممارسات الخصوصية. يتم التركيز بشكل خاص على الموظفين الذين يتعاملون مباشرة مع بيانات العملاء (مثل فرق الدعم وخدمة العملاء والتسويق) لضمان معرفتهم لما يجوز وما لا يجوز في التعامل مع البيانات.
- التقييم الداخلي: نقوم بعمليات تدقيق داخلية دورية لمراجعة مدى الالتزام بإجراءات وسياسات حماية البيانات. يتضمن ذلك مراجعة أذونات الوصول، واختبار فعالية التدابير الأمنية، والتحقق من الالتزام بجداول الاحتفاظ والحذف. أي قصور يتم اكتشافه نصححه فورًا مع اتخاذ إجراءات لمنع تكراره.
- الالتزام القانوني والتنظيمي: نتابع عن كثب أي تحديثات أو إرشادات تصدرها الجهة الإشرافية (سدايا) أو جهات حكومية أخرى ذات صلة، بما فيها اللوائح التنفيذية والقواعد التفصيلية. على سبيل المثال، نلتزم بـ “ضوابط تحديد الحد الأدنى للبيانات الشخصية” و”ضوابط إتلاف أو إخفاء الهوية” وأي إرشادات أخرى صدرت لتوضيح تطبيق النظام .
- تعيين مسؤول حماية بيانات: في حال انطباق شروط معينة (مثل حجم بيانات كبير تتم معالجته أو معالجة لبيانات حساسة بشكل منتظم)، سنقوم رسميًا بتعيين مسؤول حماية بيانات شخصية ضمن هيكل الشركة وفق ما تقضي به قواعد تعيين مسؤول حماية البيانات الشخصية الصادرة عن سدايا . سيكون من مهامه مراقبة الالتزام الداخلي وتلقي الشكاوى وتوعية العاملين والعمل كنقطة اتصال مع الجهة الرقابية.
- التسجيل والبوابة الوطنية: امتثالًا لما قد تقره اللوائح، سنقوم بالتسجيل في البوابة الإلكترونية الوطنية لمراقبة الامتثال إذا كان ذلك إلزاميًا وفق “قواعد التسجيل لدى السجل الوطني للجهات الخاضعة”. أي تعليمات حول التسجيل وتحديث المعلومات سنلتزم بها ضمن المهل المحددة.
التعديلات على هذه السياسة
قد تحتاج هذه السياسة إلى تحديث من حين لآخر لمواكبة أي تغيرات قانونية أو تنظيمية أو تقنية. وعند إجراء أي تعديل جوهري سنقوم بنشر النسخة المحدثة على موقعنا بوضوح، مع بيان تاريخ التحديث. في بعض الحالات (مثل تغير طريقة جوهرية في معالجة البيانات) قد نسعى لإشعارك بشكل مباشر بالتعديل. إن استمرارك في استخدام خدماتنا بعد سريان التعديلات يعني موافقتك على السياسة بصيغتها الجديدة. وإذا كان لديك اعتراض أو تساؤل حول أي تغيير، يمكنك دائمًا التواصل معنا. نحن نقدر شفافية التعامل، وهذه السياسة وجدت لخدمتك ولتعزيز الثقة المتبادلة.
معلومات الاتصال والاستفسارات
لأي استفسارات أو طلبات متعلقة بهذه سياسة حماية البيانات الشخصية أو لمزيد من المعلومات حول نهجنا في خصوصية البيانات، يرجى التواصل مع قسم حماية البيانات في شركتنا عبر:
- البريد الإلكتروني: privacy@Bonyahsolutions.com
- العنوان البريدي: شركة بنية – قسم حماية البيانات، ص.ب 12345، الرياض 11411، المملكة العربية السعودية
- أو عبر الاتصال الهاتفي بخدمة العملاء وطلب تحويل المكالمة إلى المختص بحماية البيانات.
سنكون سعداء بالإجابة عن أسئلتك وتوضيح أي جوانب غير مفهومة في هذه السياسة. خصوصيتك بالنسبة لنا ليست مجرد التزام قانوني فحسب، بل هي أولوية أساسية نسعى من خلالها لبناء علاقة طويلة الأمد قائمة على الثقة والاحترام. شكراً لقراءتك هذه السياسة ولاتخاذك الوقت لفهم حقوقك والتزاماتنا تجاه بياناتك الشخصية. نحن في بنية سنبقى دائمًا ملتزمين بتقديم خدمات تقنية آمنة وموثوقة تحترم خصوصيتك وتحقق تطلعاتك.