معيار الخصوصية لشركة يوني دايركت ليمتد

1. التفسير

- التعاريف:

اتخاذ القرار الآلي (ADM): عندما يتم اتخاذ قرار يستند فقط إلى المعالجة الآلية (بما في ذلك التنميط) الذي ينتج عنه آثار قانونية أو يؤثر بشكل كبير على الفرد. يحظر القانون العام لحماية البيانات (GDPR) اتخاذ القرار الآلي (ما لم يتم استيفاء شروط معينة) ولكن ليس المعالجة الآلية.
المعالجة الآلية: أي شكل من أشكال المعالجة الآلية للبيانات الشخصية التي تتكون من استخدام البيانات الشخصية لتقييم جوانب شخصية معينة تتعلق بفرد ما، ولا سيما لتحليل أو التنبؤ بالجوانب المتعلقة بأداء هذا الفرد في العمل أو الوضع الاقتصادي أو الصحة أو التفضيلات الشخصية أو الاهتمامات أو الموثوقية أو السلوك أو الموقع أو التحركات. التنميط هو مثال على المعالجة الآلية.
اسم الشركة: Uni Direct Limited
موظفو الشركة: جميع الموظفين والعمال [المتعاقدين وعمال الوكالات والاستشاريين و] المديرين والأعضاء وغيرهم.
الموافقة: الموافقة التي يجب أن تكون معطاة بحرية ومحددة ومستنيرة وأن تكون إشارة لا لبس فيها لرغبات صاحب البيانات التي يشير من خلالها إلى موافقته على معالجة البيانات الشخصية المتعلقة به، وذلك من خلال بيان أو من خلال إجراء إيجابي واضح.
مراقب البيانات: الشخص أو المؤسسة التي تحدد متى ولماذا وكيف تتم معالجة البيانات الشخصية. وهي مسؤولة عن وضع الممارسات والسياسات بما يتماشى مع اللائحة العامة لحماية البيانات. نحن مراقب البيانات لجميع البيانات الشخصية المتعلقة بموظفي الشركة والبيانات الشخصية المستخدمة في أعمالنا لأغراضنا التجارية الخاصة.
صاحب البيانات: شخص حي أو محدد أو يمكن تحديد هويته ونحتفظ ببياناته الشخصية. قد يكون أصحاب البيانات مواطنين أو مقيمين في أي بلد وقد يكون لهم حقوق قانونية فيما يتعلق ببياناتهم الشخصية.
تقييم أثر خصوصية البيانات (DPIA): الأدوات والتقييمات المستخدمة لتحديد وتقليل مخاطر نشاط معالجة البيانات. يمكن إجراء تقييم أثر خصوصية البيانات (DPIA) كجزء من الخصوصية حسب التصميم، وينبغي إجراؤه لجميع برامج التغييرات الرئيسية في النظام أو الأعمال التي تنطوي على معالجة البيانات الشخصية.
مسؤول حماية البيانات (DPO): الشخص المطلوب تعيينه في ظروف محددة بموجب اللائحة العامة لحماية البيانات. عندما لا يتم تعيين مسؤول حماية البيانات الإلزامي، فإن هذا المصطلح يعني مدير حماية البيانات أو أي تعيين طوعي آخر لمسؤول حماية البيانات أو يشير إلى فريق خصوصية بيانات الشركة المسؤول عن الامتثال لحماية البيانات.
المنطقة الاقتصادية الأوروبية: الدول الـ 28 في الاتحاد الأوروبي، وأيسلندا وليختنشتاين والنرويج.
الموافقة الصريحة: الموافقة التي تتطلب بيانًا واضحًا ومحددًا للغاية (أي ليس مجرد فعل).
اللائحة العامة لحماية البيانات (GDPR): اللائحة العامة لحماية البيانات ((الاتحاد الأوروبي)) 2016/679). تخضع البيانات الشخصية للضمانات القانونية المحددة في اللائحة العامة لحماية البيانات (GDPR).
البيانات الشخصية: أي معلومات تحدد هوية صاحب البيانات أو المعلومات المتعلقة بصاحب البيانات التي يمكننا تحديدها (بشكل مباشر أو غير مباشر) من تلك البيانات وحدها أو بالاقتران مع معرفات أخرى نمتلكها أو يمكننا الوصول إليها بشكل معقول. تتضمن البيانات الشخصية البيانات الشخصية الحساسة والبيانات الشخصية ذات الأسماء المستعارة، ولكنها تستثني البيانات مجهولة المصدر أو البيانات التي حُذفت هوية الفرد بشكل دائم. يمكن أن تكون البيانات الشخصية واقعية (على سبيل المثال، الاسم أو عنوان البريد الإلكتروني أو الموقع أو تاريخ الميلاد) أو رأيًا حول تصرفات هذا الشخص أو سلوكه.
خرق البيانات الشخصية: أي فعل أو إغفال يُعرِّض أمن البيانات الشخصية أو سريتها أو سلامتها أو توافرها أو الضمانات المادية أو الفنية أو الإدارية أو التنظيمية التي نضعها نحن أو مقدمو الخدمات الخارجيون لحمايتها. يُعد فقدان البيانات الشخصية أو الوصول غير المصرح به أو الإفصاح عنها أو الحصول عليها خرقًا للبيانات الشخصية.
الخصوصية حسب التصميم: تنفيذ التدابير التقنية والتنظيمية المناسبة بطريقة فعالة لضمان الامتثال للائحة العامة لحماية البيانات.
إشعارات الخصوصية (يشار إليها أيضًا باسم إشعارات المعالجة العادلة) أو سياسات الخصوصية: إشعارات منفصلة تحدد المعلومات التي قد يتم تقديمها إلى أصحاب البيانات عندما تجمع الشركة معلومات عنهم. قد تتخذ هذه الإشعارات شكل بيانات خصوصية عامة تنطبق على مجموعة محددة من الأفراد (على سبيل المثال، إشعارات خصوصية الموظفين أو سياسة خصوصية الموقع الإلكتروني) أو قد تكون بيانات خصوصية قائمة بذاتها لمرة واحدة تغطي المعالجة المتعلقة بغرض محدد.
المعالجة أو المعالجة: أي نشاط ينطوي على استخدام البيانات الشخصية. ويشمل الحصول على البيانات أو تسجيلها أو الاحتفاظ بها، أو تنفيذ أي عملية أو مجموعة من العمليات على البيانات بما في ذلك تنظيمها أو تعديلها أو استرجاعها أو استخدامها أو الإفصاح عنها أو محوها أو إتلافها. تشمل المعالجة أيضًا نقل البيانات الشخصية أو تحويلها إلى أطراف ثالثة.
التسميات المستعارة أو الأسماء المستعارة: استبدال المعلومات التي تحدد هوية الفرد بشكل مباشر أو غير مباشر بواحد أو أكثر من المعرفات المصطنعة أو الأسماء المستعارة بحيث لا يمكن تحديد هوية الشخص الذي تتعلق به البيانات دون استخدام معلومات إضافية من المفترض أن يتم الاحتفاظ بها بشكل منفصل وآمن.
السياسات ذات الصلة: سياسات الشركة أو إجراءات التشغيل أو العمليات ذات الصلة بمعيار الخصوصية هذا والمصممة لحماية البيانات الشخصية، والتي قد تكون موجودة من وقت لآخر ومتاحة عند الطلب.
البيانات الشخصية الحساسة: المعلومات التي تكشف عن الأصل العرقي أو الإثني أو الآراء السياسية أو المعتقدات الدينية أو ما شابهها أو العضوية النقابية أو الحالات الصحية البدنية أو العقلية أو الحياة الجنسية أو التوجه الجنسي أو البيانات البيومترية أو الجينية والبيانات الشخصية المتعلقة بالجرائم الجنائية والإدانات.

2. مقدمة

يحدد معيار الخصوصية هذا كيفية تعامل شركة Uni Direct Limited (“نحن”، “لنا”، “لنا”، “الشركة”) مع البيانات الشخصية لعملائنا وموردينا وموظفينا وعمالنا والأطراف الثالثة الأخرى.

ينطبق معيار الخصوصية هذا على جميع البيانات الشخصية التي نعالجها بغض النظر عن الوسائط التي يتم تخزين تلك البيانات عليها أو ما إذا كانت تتعلق بالموظفين السابقين أو الحاليين أو العمال أو العملاء أو العملاء أو الموردين أو المساهمين أو مستخدمي الموقع الإلكتروني أو أي شخص آخر معني بالبيانات.

يسري معيار الخصوصية هذا على جميع موظفي الشركة (“أنت”، “أنت”). يجب عليك قراءة معيار الخصوصية هذا وفهمه والامتثال له عند معالجة البيانات الشخصية نيابةً عنا وحضور التدريب على متطلباته. يحدد معيار الخصوصية هذا ما نتوقعه منك لكي تمتثل الشركة للقانون المعمول به. إن امتثالك لمعيار الخصوصية هذا إلزامي. تتوفر السياسات ذات الصلة لمساعدتك في تفسير معيار الخصوصية هذا والتصرف وفقًا له. يجب عليك أيضًا الامتثال لجميع هذه السياسات ذات الصلة. قد يؤدي أي خرق لمعيار الخصوصية هذا إلى اتخاذ إجراءات تأديبية.

معيار الخصوصية هذا (مع السياسات ذات الصلة) هو مستند داخلي ولا يمكن مشاركته مع أطراف ثالثة أو عملاء أو جهات تنظيمية دون إذن مسبق من مدير العمليات.

3. النطاق

نحن ندرك أن المعالجة الصحيحة والقانونية للبيانات الشخصية ستحافظ على الثقة في المؤسسة وستوفر عمليات تجارية ناجحة. تُعد حماية سرية البيانات الشخصية وسلامتها مسؤولية حاسمة نأخذها على محمل الجد في جميع الأوقات. تتعرض الشركة لغرامات محتملة تصل إلى 20 مليون يورو (18 مليون جنيه إسترليني تقريبًا) أو 4% من إجمالي المبيعات السنوية العالمية، أيهما أعلى، وذلك حسب الخرق الذي يحدث، لعدم الامتثال لأحكام اللائحة العامة لحماية البيانات.

يتحمل جميع المديرين والمديرين مسؤولية ضمان امتثال جميع موظفي الشركة لمعيار الخصوصية هذا ويتعين عليهم تنفيذ الممارسات والعمليات والضوابط والتدريبات المناسبة لضمان هذا الامتثال.

يتولى مسؤول حماية الخصوصية مسؤولية الإشراف على معيار الخصوصية هذا، وحسب الاقتضاء، تطوير السياسات ذات الصلة.

يُرجى الاتصال بمسؤول حماية البيانات إذا كانت لديك أي أسئلة حول تطبيق معيار الخصوصية هذا أو اللائحة العامة لحماية البيانات أو إذا كانت لديك أي مخاوف من عدم اتباع معيار الخصوصية هذا أو عدم اتباعه. على وجه الخصوص، يجب عليك دائمًا الاتصال بمسؤول حماية البيانات في الحالات التالية:

إذا لم تكن متأكدًا من الأساس القانوني الذي تعتمد عليه لمعالجة البيانات الشخصية (بما في ذلك المصالح المشروعة التي تستخدمها الشركة) (انظر القسم 5.1 أدناه);
إذا كنت بحاجة إلى الاعتماد على الموافقة و/أو تحتاج إلى الحصول على موافقة صريحة (انظر القسم 5.2 أدناه);
إذا كنت بحاجة إلى صياغة إشعارات الخصوصية أو إشعارات المعالجة العادلة (انظر القسم 5.3 أدناه);
إذا كنت غير متأكد من فترة الاحتفاظ بالبيانات الشخصية التي تتم معالجتها (انظر القسم 9 أدناه);
إذا لم تكن متأكدًا من التدابير الأمنية أو غيرها من التدابير التي تحتاج إلى تنفيذها لحماية البيانات الشخصية (انظر القسم 10.1 أدناه);
إذا كان هناك خرق للبيانات الشخصية(القسم 10.2 أدناه);
إذا لم تكن متأكدًا من أساس نقل البيانات الشخصية خارج المنطقة الاقتصادية الأوروبية (انظر القسم 11 أدناه);
إذا كنت بحاجة إلى أي مساعدة في التعامل مع أي حقوق يحتج بها صاحب البيانات (انظر القسم 12);
كلما كنت منخرطًا في نشاط معالجة جديد أو تغيير كبير جديد أو تغيير في نشاط المعالجة الذي من المحتمل أن يتطلب إجراء تقييم الأثر البيئي (انظر القسم 13.4 أدناه) أو تخطط لاستخدام البيانات الشخصية لأغراض أخرى غير تلك التي جُمعت من أجلها;
إذا كنت تخطط للقيام بأي أنشطة تنطوي على المعالجة الآلية بما في ذلك التنميط أو اتخاذ القرار الآلي (انظر القسم 13.5 أدناه);
إذا كنت بحاجة إلى المساعدة في الامتثال للقانون المعمول به عند تنفيذ أنشطة التسويق المباشر (انظر القسم 13.6 أدناه)؛ أو
إذا كنت بحاجة إلى المساعدة في أي عقود أو مجالات أخرى فيما يتعلق بمشاركة البيانات الشخصية مع أطراف ثالثة (بما في ذلك بائعينا) (انظر القسم 13.7 أدناه).

4. مبادئ حماية البيانات الشخصية

نحن نلتزم بالمبادئ المتعلقة بمعالجة البيانات الشخصية المنصوص عليها في اللائحة العامة لحماية البيانات (GDPR) التي تتطلب أن تكون البيانات الشخصية:

تمت معالجتها بشكل قانوني وعادل وشفاف (المشروعية والإنصاف والشفافية).
يتم جمعها فقط لأغراض محددة وصريحة ومشروعة (تحديد الغرض).
ملائمة وذات صلة ومقتصرة على ما هو ضروري فيما يتعلق بالأغراض التي تتم معالجتها من أجلها (التقليل من البيانات).
دقيقة ومحدثة عند الضرورة (الدقة).
عدم الاحتفاظ بالبيانات في شكل يسمح بتحديد هوية أصحاب البيانات لفترة أطول مما هو ضروري للأغراض التي تتم معالجة البيانات من أجلها (حدود التخزين).
تتم معالجتها بطريقة تضمن أمنها باستخدام التدابير التقنية والتنظيمية المناسبة للحماية من المعالجة غير المصرح بها أو غير القانونية ومن الفقدان أو التدمير أو التلف العرضي (الأمن والسلامة والسرية).
عدم النقل إلى بلد آخر دون وجود ضمانات مناسبة (تقييد النقل).
إتاحة البيانات لأصحاب البيانات وأصحاب البيانات المسموح لهم بممارسة حقوق معينة فيما يتعلق ببياناتهم الشخصية (حقوق أصحاب البيانات وطلباتهم).

نحن مسؤولون ويجب أن نكون قادرين على إثبات الامتثال لمبادئ حماية البيانات المذكورة أعلاه (المساءلة).

5. المشروعية والإنصاف والشفافية

- الشرعية والإنصاف

يجب معالجة البيانات الشخصية بطريقة قانونية وعادلة وشفافة فيما يتعلق بصاحب البيانات.

يجوز لك فقط جمع البيانات الشخصية ومعالجتها ومشاركتها بشكل عادل وقانوني ولأغراض محددة. تُقيِّد اللائحة العامة لحماية البيانات إجراءاتنا فيما يتعلق بالبيانات الشخصية لأغراض قانونية محددة. لا تهدف هذه القيود إلى منع المعالجة، ولكنها تضمن معالجتنا للبيانات الشخصية بشكل عادل ودون التأثير سلبًا على صاحب البيانات.

يسمح النظام الأوروبي العام لحماية البيانات بمعالجة البيانات لأغراض محددة، وبعضها موضح أدناه:

أعطى صاحب البيانات موافقته أو موافقتها;
المعالجة ضرورية لتنفيذ عقد مع صاحب البيانات;
للوفاء بالتزاماتنا بالامتثال القانوني
لحماية المصالح الحيوية لصاحب البيانات؛ أو
لمتابعة مصالحنا المشروعة للأغراض التي لا يتم تجاوزها لأن المعالجة تضر بمصالح أصحاب البيانات أو حقوقهم وحرياتهم الأساسية. يجب تحديد الأغراض التي نعالج من أجلها البيانات الشخصية للمصالح المشروعة في إشعارات الخصوصية أو إشعارات المعالجة العادلة المعمول بها.

يجب عليك تحديد وتوثيق الأساس القانوني الذي يتم الاعتماد عليه لكل نشاط معالجة.

الموافقة

يجب على مراقب البيانات معالجة البيانات الشخصية فقط على أساس واحد أو أكثر من الأسس القانونية المنصوص عليها في اللائحة العامة لحماية البيانات، والتي تشمل الموافقة.

يوافق صاحب البيانات على معالجة بياناته الشخصية إذا أشار إلى موافقته بوضوح إما ببيان أو بإجراء إيجابي على المعالجة. تتطلب الموافقة إجراءً إيجابيًا لذا من غير المرجح أن يكون الصمت أو وضع علامة على المربعات أو عدم النشاط كافٍ. إذا تم إعطاء الموافقة في مستند يتعامل مع أمور أخرى، فيجب الاحتفاظ بالموافقة منفصلة عن تلك الأمور الأخرى.

يجب أن يكون أصحاب البيانات قادرين بسهولة على سحب موافقتهم على المعالجة في أي وقت، ويجب احترام الانسحاب على الفور. قد تحتاج الموافقة إلى تحديثها إذا كنت تنوي معالجة البيانات الشخصية لغرض مختلف وغير متوافق لم يتم الإفصاح عنه عندما وافق صاحب البيانات في البداية.

ما لم نتمكن من الاعتماد على أساس قانوني آخر للمعالجة، عادةً ما تكون الموافقة الصريحة مطلوبة لمعالجة البيانات الشخصية الحساسة، ولاتخاذ القرارات آليًا ولنقل البيانات عبر الحدود. وعادةً ما نعتمد على أساس قانوني آخر (ولا نطلب موافقة صريحة) لمعالجة معظم أنواع البيانات الحساسة. عندما تكون الموافقة الصريحة مطلوبة، يجب عليك إصدار إشعار المعالجة العادلة لصاحب البيانات للحصول على موافقة صريحة.

ستحتاج إلى إثبات الموافقة التي تم الحصول عليها والاحتفاظ بسجلات لجميع الموافقات حتى تتمكن الشركة من إثبات الامتثال لمتطلبات الموافقة.

الشفافية (إخطار أصحاب البيانات)

تتطلب اللائحة العامة لحماية البيانات من مراقبي البيانات تقديم معلومات مفصلة ومحددة إلى أصحاب البيانات اعتمادًا على ما إذا كانت المعلومات قد جُمعت مباشرةً من أصحاب البيانات أو من مكان آخر. يجب تقديم هذه المعلومات من خلال إشعارات الخصوصية المناسبة أو إشعارات المعالجة العادلة التي يجب أن تكون موجزة وشفافة وواضحة ويمكن الوصول إليها بسهولة وبلغة واضحة وبسيطة بحيث يمكن لصاحب البيانات فهمها بسهولة.

كلما قمنا بجمع البيانات الشخصية مباشرةً من أصحاب البيانات، بما في ذلك لأغراض الموارد البشرية أو التوظيف، يجب علينا تزويد صاحب البيانات بجميع المعلومات المطلوبة بموجب اللائحة العامة لحماية البيانات بما في ذلك هوية مراقب البيانات والمسؤول عن حماية البيانات، وكيفية استخدامنا لتلك البيانات الشخصية ومعالجتها والإفصاح عنها وحمايتها والاحتفاظ بها من خلال إشعار المعالجة العادلة الذي يجب تقديمه عندما يقدم صاحب البيانات البيانات البيانات الشخصية لأول مرة.

عندما يتم جمع البيانات الشخصية بشكل غير مباشر (على سبيل المثال، من طرف ثالث أو من مصدر متاح للجمهور)، يجب عليك تزويد صاحب البيانات بجميع المعلومات المطلوبة بموجب اللائحة العامة لحماية البيانات في أقرب وقت ممكن بعد جمع/استلام البيانات. يجب عليك أيضًا التحقق من أن البيانات الشخصية قد تم جمعها من قِبل الطرف الثالث وفقًا للائحة العامة لحماية البيانات وعلى أساس يتوافق مع معالجتنا المقترحة لتلك البيانات الشخصية.

6. تحديد الغرض

يجب جمع البيانات الشخصية لأغراض محددة وصريحة ومشروعة فقط. يجب ألا تتم معالجتها بأي طريقة تتعارض مع تلك الأغراض.

لا يمكنك استخدام البيانات الشخصية لأغراض جديدة أو مختلفة أو غير متوافقة عن تلك التي تم الإفصاح عنها عند الحصول عليها لأول مرة ما لم تكن قد أبلغت صاحب البيانات بالأغراض الجديدة ووافق عليها عند الضرورة.

7. تقليل البيانات إلى الحد الأدنى

يجب أن تكون البيانات الشخصية ملائمة وذات صلة ومقتصرة على ما هو ضروري فيما يتعلق بالأغراض التي تتم معالجتها من أجلها.

لا يجوز لك معالجة البيانات الشخصية إلا عندما يتطلب أداء واجبات وظيفتك ذلك. لا يمكنك معالجة البيانات الشخصية لأي سبب لا علاقة له بواجباتك الوظيفية.

يجوز لك جمع البيانات الشخصية التي تحتاجها فقط لمهام وظيفتك: لا تجمع بيانات زائدة عن الحاجة. تأكد من أن أي بيانات شخصية يتم جمعها كافية وذات صلة بالأغراض المقصودة.

يجب عليك التأكد من أنه عندما لا تعود هناك حاجة إلى البيانات الشخصية لأغراض محددة، يتم حذفها أو إخفاء هويتها وفقًا لإرشادات الشركة للاحتفاظ بالبيانات.

8. الدقة

يجب أن تكون البيانات الشخصية دقيقة ومحدثة عند الضرورة. يجب تصحيحها أو حذفها دون تأخير عندما تكون غير دقيقة.

يجب عليك التأكد من أن البيانات الشخصية التي نستخدمها ونحتفظ بها دقيقة وكاملة ومحدثة وذات صلة بالغرض الذي جمعناها من أجله. يجب عليك التحقق من دقة أي بيانات شخصية عند جمعها وعلى فترات منتظمة بعد ذلك. يجب عليك اتخاذ جميع الخطوات المعقولة لإتلاف أو تعديل البيانات الشخصية غير الدقيقة أو القديمة.

9. حدود التخزين

يجب ألا يتم الاحتفاظ بالبيانات الشخصية في شكل يمكن التعرف عليه لفترة أطول مما هو ضروري للأغراض التي تتم معالجة البيانات من أجلها.

يجب عليك عدم الاحتفاظ بالبيانات الشخصية في شكل يسمح بتحديد هوية صاحب البيانات لفترة أطول من اللازم للغرض أو الأغراض التجارية المشروعة التي جمعناها في الأصل من أجلها، بما في ذلك لغرض تلبية أي متطلبات قانونية أو محاسبية أو إعداد التقارير.

ستحافظ الشركة على سياسات وإجراءات الاحتفاظ بالبيانات الشخصية لضمان حذف البيانات الشخصية بعد فترة زمنية معقولة للأغراض التي تم الاحتفاظ بها من أجلها، ما لم يشترط القانون الاحتفاظ بهذه البيانات لفترة زمنية دنيا.

ستتخذ جميع الخطوات المعقولة لإتلاف أو مسح جميع البيانات الشخصية التي لم نعد بحاجة إليها من أنظمتنا وفقًا لجميع جداول وسياسات الشركة المعمول بها للاحتفاظ بالسجلات. ويشمل ذلك مطالبة الأطراف الثالثة بحذف هذه البيانات عند الاقتضاء.

ستضمن إبلاغ أصحاب البيانات بالفترة التي يتم تخزين البيانات فيها وكيفية تحديد تلك الفترة في أي إشعار خصوصية أو إشعار معالجة عادلة معمول به.

10. الأمن والسلامة والسرية

- حماية البيانات الشخصية

يجب تأمين البيانات الشخصية من خلال التدابير التقنية والتنظيمية المناسبة ضد المعالجة غير المصرح بها أو غير القانونية، وضد الفقدان أو التدمير أو التلف العرضي.

سنطور وننفذ ونحافظ على الضمانات المناسبة لحجمنا ونطاقنا وأعمالنا، ومواردنا المتاحة، ومقدار البيانات الشخصية التي نمتلكها أو نحتفظ بها نيابةً عن الآخرين والمخاطر المحددة (بما في ذلك استخدام التشفير وتسمية الأسماء المستعارة عند الاقتضاء). سنقوم بتقييم واختبار فعالية تلك الضمانات بانتظام لضمان أمن معالجتنا للبيانات الشخصية. أنت مسؤول عن حماية البيانات الشخصية التي نحتفظ بها. يجب عليك تنفيذ تدابير أمنية معقولة ومناسبة ضد المعالجة غير القانونية أو غير المصرح بها للبيانات الشخصية وضد الفقدان العرضي للبيانات الشخصية أو تلفها. يجب عليك توخي الحذر بشكل خاص في حماية البيانات الشخصية الحساسة من الفقدان والوصول غير المصرح به أو الاستخدام أو الإفصاح غير المصرح به.

يجب عليك اتباع جميع الإجراءات والتقنيات التي نضعها للحفاظ على أمن جميع البيانات الشخصية من نقطة جمعها إلى نقطة إتلافها. لا يجوز لك نقل البيانات الشخصية إلا إلى مقدمي الخدمات الخارجيين الذين يوافقون على الامتثال للسياسات والإجراءات المطلوبة والذين يوافقون على وضع التدابير الملائمة، حسب الطلب.

يجب أن تحافظ على أمن البيانات من خلال حماية سرية البيانات الشخصية وسلامتها وتوافرها، والمحددة على النحو التالي:

تعني السرية أنه لا يمكن الوصول إلى البيانات الشخصية إلا للأشخاص الذين يحتاجون إلى معرفتها والمصرح لهم باستخدامها.
تعني النزاهة أن تكون البيانات الشخصية دقيقة ومناسبة للغرض الذي تتم معالجتها من أجله.
الإتاحة تعني أن المستخدمين المصرح لهم قادرون على الوصول إلى البيانات الشخصية عندما يحتاجون إليها لأغراض مصرح بها.

يجب عليك الامتثال لجميع الجوانب المعمول بها في سياسة أمن المعلومات وسياسة الامتثال للائحة العامة لحماية البيانات المعمول بها من وقت لآخر، والامتثال وعدم محاولة التحايل على الضمانات الإدارية والمادية والتقنية التي ننفذها ونحافظ عليها وفقًا للائحة العامة لحماية البيانات والمعايير ذات الصلة لحماية البيانات الشخصية.

الإبلاغ عن خرق للبيانات الشخصية

يتطلب النظام الأوروبي العام لحماية البيانات (GDPR) من المتحكمين في البيانات إبلاغ الجهة التنظيمية المعنية بأي خرق للبيانات الشخصية، وفي بعض الحالات، إبلاغ صاحب البيانات.

لقد وضعنا إجراءات للتعامل مع أي خرق مشتبه به للبيانات الشخصية وسنقوم بإخطار أصحاب البيانات أو أي جهة تنظيمية سارية حيثما يُطلب منا قانونًا القيام بذلك.

إذا علمت أو اشتبهت في حدوث خرق للبيانات الشخصية، فلا تحاول التحقيق في الأمر بنفسك. اتصل على الفور بالشخص أو الفريق المعين كنقطة اتصال رئيسية لخرق البيانات الشخصية واتبع خطة الاستجابة للاختراق الأمني. يجب عليك الحفاظ على جميع الأدلة المتعلقة بالخرق المحتمل للبيانات الشخصية.

11.حد النقل

تقيد اللائحة العامة لحماية البيانات عمليات نقل البيانات إلى بلدان خارج المنطقة الاقتصادية الأوروبية من أجل ضمان عدم تقويض مستوى حماية البيانات الممنوحة للأفراد بموجب اللائحة العامة لحماية البيانات. أنت تقوم بنقل البيانات الشخصية التي تنشأ في بلد ما عبر الحدود عندما تقوم بنقل تلك البيانات أو إرسالها أو عرضها أو الوصول إليها في بلد آخر أو إليها.

لا يجوز لك نقل البيانات الشخصية خارج المنطقة الاقتصادية الأوروبية إلا في حالة انطباق أحد الشروط التالية:

أصدرت المفوضية الأوروبية قرارًا يؤكد أن البلد الذي ننقل إليه البيانات الشخصية يضمن مستوى كافٍ من الحماية لحقوق أصحاب البيانات وحرياتهم;
وجود ضمانات مناسبة مثل القواعد المؤسسية الملزمة (BCR)، أو البنود التعاقدية القياسية المعتمدة من المفوضية الأوروبية، أو مدونة قواعد السلوك المعتمدة أو آلية التصديق، والتي يمكن الحصول على نسخة منها من إدارة حماية البيانات;
قدم صاحب البيانات موافقة صريحة على النقل المقترح بعد إبلاغه بأي مخاطر محتملة؛ أو
يكون النقل ضروريًا لأحد الأسباب الأخرى المنصوص عليها في اللائحة العامة لحماية البيانات بما في ذلك تنفيذ عقد بيننا وبين صاحب البيانات، أو لأسباب تتعلق بالمصلحة العامة، أو لإقامة الدعاوى القانونية أو ممارستها أو الدفاع عنها أو لحماية المصالح الحيوية لصاحب البيانات عندما يكون صاحب البيانات غير قادر جسديًا أو قانونيًا على إعطاء الموافقة، وفي بعض الحالات المحدودة، لمصلحتنا المشروعة.

يجب عليك الامتثال لإرشادات الشركة بشأن عمليات نقل البيانات عبر الحدود.

12. حقوق صاحب البيانات وطلباته

يتمتع أصحاب البيانات بحقوق عندما يتعلق الأمر بكيفية تعاملنا مع بياناتهم الشخصية. وتشمل هذه الحقوق:

سحب الموافقة على المعالجة في أي وقت;
تلقي معلومات معينة حول أنشطة المعالجة الخاصة بمراقب البيانات;
طلب الوصول إلى بياناتهم الشخصية التي نحتفظ بها;
منع استخدامنا لبياناتهم الشخصية لأغراض التسويق المباشر;
أن تطلب منا محو البيانات الشخصية إذا لم تعد ضرورية فيما يتعلق بالأغراض التي جُمعت أو عولجت من أجلها أو لتصحيح البيانات غير الدقيقة أو لاستكمال البيانات غير المكتملة;
تقييد المعالجة في ظروف محددة;
الاعتراض على المعالجة التي تم تبريرها على أساس مصالحنا المشروعة أو للمصلحة العامة;
طلب نسخة من الاتفاقية التي يتم بموجبها نقل البيانات الشخصية خارج المنطقة الاقتصادية الأوروبية;
الاعتراض على القرارات التي تستند فقط إلى المعالجة الآلية، بما في ذلك التنميط (ADM);
منع المعالجة التي من المحتمل أن تتسبب في ضرر أو ضيق لصاحب البيانات أو أي شخص آخر;
يتم إخطارهم بخرق البيانات الشخصية الذي من المحتمل أن يؤدي إلى مخاطر كبيرة على حقوقهم وحرياتهم;
تقديم شكوى إلى السلطة الإشرافية؛ و
في ظروف محدودة، تلقي أو طلب نقل بياناتهم الشخصية إلى طرف ثالث بصيغة منظمة وشائعة الاستخدام وقابلة للقراءة الآلية.

يجب أن تتحقق من هوية الفرد الذي يطلب بيانات بموجب أي من الحقوق المذكورة أعلاه (لا تسمح للغير بإقناعك بالكشف عن البيانات الشخصية دون الحصول على تفويض مناسب).

يجب عليك على الفور إرسال أي طلب من صاحب البيانات تتلقاه إلى مشرفك والامتثال لعملية الاستجابة لصاحب البيانات الخاصة بالشركة.

13. المساءلة

- يجب على مراقب البيانات تنفيذ التدابير التقنية والتنظيمية المناسبة بطريقة فعالة، لضمان الامتثال لمبادئ حماية البيانات. يكون مراقب البيانات مسؤولاً عن الامتثال لمبادئ حماية البيانات، ويجب أن يكون قادرًا على إثبات ذلك.

يجب أن يكون لدى الشركة الموارد والضوابط الكافية لضمان وتوثيق الامتثال للائحة العامة لحماية البيانات بما في ذلك:

تعيين مسؤول حماية بيانات مؤهل بشكل مناسب (عند الضرورة) ومسؤول تنفيذي مسؤول عن خصوصية البيانات;
تنفيذ الخصوصية حسب التصميم عند معالجة البيانات الشخصية واستكمال تقييمات تقييم الأثر البيئي حيثما تمثل المعالجة خطرًا كبيرًا على حقوق وحريات أصحاب البيانات;
دمج حماية البيانات في المستندات الداخلية بما في ذلك معيار الخصوصية هذا أو السياسات ذات الصلة أو إشعارات الخصوصية أو إشعارات المعالجة العادلة;
تدريب موظفي الشركة بانتظام على اللائحة العامة لحماية البيانات، ومعيار الخصوصية هذا والسياسات ذات الصلة ومسائل حماية البيانات بما في ذلك، على سبيل المثال، حقوق صاحب البيانات، والموافقة، والأساس القانوني، وتقييم الأثر البيئي DPIA، وخرق البيانات الشخصية. يجب على الشركة الاحتفاظ بسجل لحضور التدريب من قبل موظفي الشركة؛ و
الاختبار المنتظم لتدابير الخصوصية المنفذة وإجراء مراجعات وتدقيقات دورية لتقييم الامتثال، بما في ذلك استخدام نتائج الاختبار لإثبات جهود تحسين الامتثال.

حفظ السجلات

يتطلب منا القانون العام لحماية البيانات (GDPR) الاحتفاظ بسجلات كاملة ودقيقة لجميع أنشطة معالجة البيانات لدينا.

يجب أن تحتفظ بسجلات مؤسسية دقيقة تعكس معالجتنا بما في ذلك سجلات موافقات أصحاب البيانات وإجراءات الحصول على الموافقات.

يجب أن تتضمن هذه السجلات، كحد أدنى، اسم وتفاصيل الاتصال بمراقب البيانات والمسؤول عن حماية البيانات، ووصفًا واضحًا لأنواع البيانات الشخصية، وأنواع البيانات الخاضعة وأنشطة المعالجة، وأغراض المعالجة، ومستلمي البيانات الشخصية من الأطراف الثالثة، ومواقع تخزين البيانات الشخصية، وعمليات نقل البيانات الشخصية، وفترة الاحتفاظ بالبيانات الشخصية، ووصفًا للتدابير الأمنية المعمول بها. من أجل إنشاء مثل هذه السجلات، يجب إنشاء خرائط البيانات التي يجب أن تتضمن التفاصيل الموضحة أعلاه مع تدفقات البيانات المناسبة.

التدريب والتدقيق

نحن مطالبون بضمان خضوع جميع موظفي الشركة للتدريب الكافي لتمكينهم من الامتثال لقوانين خصوصية البيانات. كما يجب علينا أيضًا اختبار أنظمتنا وعملياتنا بانتظام لتقييم الامتثال.

يجب عليك الخضوع لجميع التدريبات الإلزامية المتعلقة بخصوصية البيانات والتأكد من خضوع فريقك لتدريب إلزامي مماثل.

يجب عليك مراجعة جميع الأنظمة والعمليات الخاضعة لسيطرتك بانتظام لضمان امتثالها لمعيار الخصوصية هذا والتحقق من وجود ضوابط وموارد حوكمة كافية لضمان الاستخدام السليم للبيانات الشخصية وحمايتها.

الخصوصية حسب التصميم وتقييم أثر حماية البيانات (DPIA)

نحن ملزمون بتنفيذ تدابير الخصوصية حسب التصميم عند معالجة البيانات الشخصية من خلال تنفيذ التدابير التقنية والتنظيمية المناسبة (مثل التسمية الزائفة) بطريقة فعالة، لضمان الامتثال لمبادئ خصوصية البيانات.

يجب عليك تقييم تدابير الخصوصية حسب التصميم التي يمكن تنفيذها على جميع البرامج/الأنظمة/العمليات التي تعالج البيانات الشخصية من خلال مراعاة ما يلي

حالة الفن
تكلفة التنفيذ;
طبيعة ونطاق وسياق وأغراض المعالجة؛ و
المخاطر متفاوتة الاحتمالية والشدة على حقوق وحريات أصحاب البيانات التي تشكلها المعالجة.

يجب على مراقبي البيانات أيضًا إجراء تقييمات DPIAs فيما يتعلق بالمعالجة عالية المخاطر.

يجب عليك إجراء تقييم الأثر البيئي (ومناقشة النتائج التي توصلت إليها مع مسؤول حماية البيانات الشخصية) عند تنفيذ برامج تغيير النظام أو الأعمال الرئيسية التي تنطوي على معالجة البيانات الشخصية بما في ذلك:

استخدام التقنيات الجديدة (البرامج أو الأنظمة أو العمليات)، أو تغيير التقنيات (البرامج أو الأنظمة أو العمليات);
المعالجة الآلية بما في ذلك التنميط و ADM;
معالجة البيانات الحساسة على نطاق واسع؛ و
المراقبة المنهجية واسعة النطاق والمنهجية لمنطقة متاحة للجمهور.

يجب أن يشتمل تقييم الأثر البيئي DPIA على ما يلي:

وصف للمعالجة وأغراضها والمصالح المشروعة لمراقب البيانات إذا كان ذلك مناسبًا;
تقييم لضرورة المعالجة وتناسبها مع الغرض منها;
تقييم المخاطر التي يتعرض لها الأفراد؛ و
تدابير تخفيف المخاطر المعمول بها وإثبات الامتثال.

المعالجة الآلية (بما في ذلك التنميط) واتخاذ القرارات الآلية

بشكل عام، يُحظر ADM بشكل عام عندما يكون لقرار ما تأثير قانوني أو ما شابه ذلك من تأثير كبير على الفرد إلا إذا:

أ وافق صاحب البيانات صراحةً على ذلك;
المعالجة مصرح بها بموجب القانون؛ أو
المعالجة ضرورية لتنفيذ أو إبرام عقد.

إذا كانت هناك أنواع معينة من البيانات الحساسة التي تتم معالجتها، فلن يُسمح عندئذٍ بالسبب (ب) أو (ج) ولكن يمكن معالجة هذه البيانات الحساسة حيثما كان ذلك ضروريًا (ما لم يكن من الممكن استخدام وسائل أقل تطفلاً) لتحقيق مصلحة عامة جوهرية مثل منع الاحتيال.

إذا كان القرار سيعتمد فقط على المعالجة الآلية (بما في ذلك التنميط)، فيجب إبلاغ أصحاب البيانات عند التواصل معهم لأول مرة بحقهم في الاعتراض. يجب لفت انتباههم صراحةً إلى هذا الحق وتقديمه بشكل واضح ومنفصل عن المعلومات الأخرى. علاوة على ذلك، يجب وضع تدابير مناسبة لحماية حقوق صاحب البيانات وحرياته ومصالحه المشروعة.

يجب علينا أيضًا إبلاغ الشخص المعني بالبيانات بالمنطق الذي ينطوي عليه اتخاذ القرار أو التنميط، والأهمية والعواقب المتوخاة ومنح الشخص المعني بالبيانات الحق في طلب التدخل البشري أو التعبير عن وجهة نظره أو الطعن في القرار.

يجب إجراء تقييم تقييم الأثر البيئي قبل إجراء أي معالجة آلية (بما في ذلك التنميط) أو أنشطة إدارة البيانات الشخصية.

التسويق المباشر

نحن نخضع لقواعد وقوانين خصوصية معينة عند التسويق لعملائنا.

على سبيل المثال، يلزم الحصول على موافقة مسبقة من صاحب البيانات للتسويق الإلكتروني المباشر (على سبيل المثال، عن طريق البريد الإلكتروني أو الرسائل النصية أو المكالمات الآلية). يسمح الاستثناء المحدود للعملاء الحاليين المعروف باسم “التقيد الناعم” للمؤسسات بإرسال رسائل نصية أو رسائل بريد إلكتروني تسويقية إذا كانت قد حصلت على تفاصيل الاتصال في سياق عملية بيع لذلك الشخص، وكانت تسوق منتجات أو خدمات مماثلة، وأعطت الشخص فرصة لإلغاء الاشتراك في التسويق عند جمع التفاصيل لأول مرة وفي كل رسالة لاحقة.

يجب تقديم الحق في الاعتراض على التسويق المباشر بشكل صريح إلى صاحب البيانات بطريقة واضحة بحيث يمكن تمييزه بوضوح عن المعلومات الأخرى.

يجب احترام اعتراض صاحب البيانات على التسويق المباشر على الفور. إذا اختار العميل الاعتراض في أي وقت، يجب إلغاء بيانات العميل في أقرب وقت ممكن. يتضمن الإلغاء الاحتفاظ بمعلومات كافية فقط لضمان احترام تفضيلات التسويق في المستقبل.

مشاركة البيانات الشخصية

بشكل عام، لا يُسمح لنا بمشاركة البيانات الشخصية مع أطراف ثالثة ما لم يتم وضع بعض الضمانات والترتيبات التعاقدية.

لا يجوز لك مشاركة البيانات الشخصية التي نحتفظ بها مع موظف أو وكيل أو ممثل آخر في مجموعتنا (والتي تشمل شركاتنا التابعة وشركتنا القابضة النهائية مع شركاتها التابعة) إلا إذا كان المستلم بحاجة إلى معرفة المعلومات المتعلقة بالوظيفة وكان النقل يتوافق مع أي قيود سارية على النقل عبر الحدود.

لا يجوز لك مشاركة البيانات الشخصية التي نحتفظ بها مع أطراف ثالثة، مثل مقدمي الخدمات لدينا، إلا إذا:

لديهم حاجة لمعرفة المعلومات لأغراض تقديم الخدمات المتعاقد عليها;
تتوافق مشاركة البيانات الشخصية مع إشعار الخصوصية المقدم إلى صاحب البيانات، وإذا لزم الأمر، تم الحصول على موافقة صاحب البيانات;
وافق الطرف الثالث على الامتثال لمعايير وسياسات وإجراءات أمن البيانات المطلوبة ووضع تدابير أمنية مناسبة;
امتثال النقل لأي قيود سارية على النقل عبر الحدود؛ و
تم الحصول على عقد مكتوب مُنفَّذ بالكامل يحتوي على بنود الطرف الثالث المعتمدة في اللائحة العامة لحماية البيانات.

التغييرات على معيار الخصوصية هذا

نحن نحتفظ بالحق في تغيير معيار الخصوصية هذا في أي وقت دون إخطارك، لذا يُرجى مراجعة الموقع بانتظام للحصول على أحدث نسخة من معيار الخصوصية هذا.

لا يلغي معيار الخصوصية هذا أي قوانين ولوائح وطنية سارية لخصوصية البيانات في البلدان التي تعمل فيها الشركة.