حماية البيانات والخصوصية

7.1 نظرة عامة والغرض

يحدد هذا الفصل التزامات حماية البيانات والخصوصية التي تحكم معالجة البيانات الشخصية داخل منصة ProjectVIEW ERP ومن خلالها طوال مدة الاشتراك. وهو يرسخ الأساس التنظيمي، ويوزع مسؤوليات المتحكم والمعالج، ويحدد الضمانات التقنية والتنظيمية المطبقة على البيانات الشخصية، ويبين إجراءات الإخطار بالاختراق وحقوق أصحاب البيانات التي يتعين على الطرفين اتباعها.

يعمل المزود وفق نموذج امتثال مزدوج الولاية القضائية، مع الحفاظ على التوافق المتزامن مع:

• (a) اللائحة العامة لحماية البيانات في الاتحاد الأوروبي (EU) 2016/679 (“GDPR”)، بما في ذلك جميع الآراء والإرشادات المعتمدة من المجلس الأوروبي لحماية البيانات (EDPB)؛ و
• (b) (ii) المرسوم بقانون اتحادي لدولة الإمارات العربية المتحدة رقم 45 لسنة 2021 بشأن حماية البيانات الشخصية (“UAE PDPL”) ولوائحه التنفيذية. وإذا كان العميل يعمل في ولايات قضائية إضافية، فيجوز إبرام ملاحق إضافية لمعالجة البيانات وفقًا لـ 7.14.

وضعت DANAOS Projects Software Solutions LLC هدفًا رئيسيًا يتمثل في تبني مبادئ حماية البيانات وإدماجها في جميع العمليات اليومية، مع ترسيخ عقلية حادة لحماية البيانات في كل أنشطة الأعمال اليومية. وقد حقق المزود باستمرار الامتثال للإطار القانوني القائم المتعلق بحماية البيانات، واتخذ الإجراءات المترتبة على إلغاء التوجيه 95/46/EC، وإنشاء اللائحة العامة لحماية البيانات GDPR (EU) 2016/679، وسنّ قانون UAE PDPL.

يشكل هذا الفصل، إلى جانب اتفاقية معالجة البيانات (“DPA”) الملحقة بهذا الإطار (7.5)، الإطار التعاقدي الملزم المطلوب بموجب المادة 28 من GDPR والمادة 29 من UAE PDPL للمعالجة المشروعة للبيانات الشخصية من قبل معالج بيانات نيابة عن متحكم بيانات.

7.2 النطاق

ينطبق هذا الفصل على جميع البيانات الشخصية التي يعالجها المزود فيما يتعلق بتسليم المنصة والخدمات المرتبطة بها، بما في ذلك على سبيل المثال لا الحصر:

• (a) بيانات موظفي العميل: سجلات الموظفين، وبيانات الرواتب، وسجلات الدوام، والحضور، وسجلات إنتاجية العمالة، ومعلومات الهوية المعالجة ضمن الوحدات PV_07 (HRMS– Payroll) وPV_A (Site Operations & Labour Productivity).
• (b) جهات اتصال العميل والأطراف المقابلة: الأسماء، وعناوين البريد الإلكتروني، وأرقام الهاتف، والمراسلات التجارية الخاصة بالمقاولين من الباطن والموردين والعملاء وغيرهم من الأطراف الثالثة، وتُدار ضمن الوحدات PV_03 وPV_04 وPV_09 وPV_10.
• (c) بيانات اعتماد المستخدم النهائي وسجلات النشاط: بيانات اعتماد حسابات المستخدمين، ووسوم المصادقة، وسجلات الجلسات، وعناوين IP، وبصمات المتصفح، وبيانات سجل التدقيق التي تنشئها وحدة إدارة المستخدمين والأدوار في المنصة (STY).
• (d) بيانات الدعم والاتصال: البيانات الشخصية الواردة في تذاكر الدعم، ورسائل مجموعات WhatsApp Business، وتسجيلات التدريب، والمحتوى المنسوخ نصيًا من الجلسات بالذكاء الاصطناعي، وأي اتصالات أخرى تتم عبر نموذج الدعم متعدد القنوات الخاص بالمزود (4.2).
• (e) بيانات المشروع والبيانات المالية: حيث تتضمن سجلات المشروع أو بيانات المشتريات أو القيود المحاسبية أو سجلات ضبط التكاليف معلومات قابلة لتحديد هوية الأشخاص الطبيعيين، مثل العمال المسمّين أو فواتير الاستشاريين، فإن هذه البيانات تندرج ضمن النطاق.
• (f) التهيئة والبيانات الرئيسية: عناصر البيانات الرئيسية التي تشير إلى أفراد يمكن تحديد هويتهم، بما في ذلك سجلات الموظفين، والهياكل التنظيمية، ومصفوفات الاعتماد، وسلطات التوقيع.

7.3 الإطار التنظيمي

يرتكز برنامج حماية البيانات لدى المزود على الأدوات التنظيمية والمعايير والإرشادات التالية:

النص الكامل للائحة GDPR — EUR-Lex قانون الإمارات لحماية البيانات الشخصية — المرسوم بقانون اتحادي رقم 45 لسنة 2021 البنود التعاقدية القياسية للاتحاد الأوروبي (2021/914) ISO/IEC 27701:2019 — PIMS قانون الاتحاد الأوروبي للذكاء الاصطناعي — اللائحة (الاتحاد الأوروبي) 2024/1689

7.4 الأدوار والمسؤوليات

7.4.1 توزيع الأدوار بين المتحكم والمعالج

بحكم طبيعة عملياته التجارية، يُحدَّد دور المزوّد بموجب قانون حماية البيانات المطبق على النحو الآتي:

• (a) معالج بيانات: يعمل المزوّد بصفته معالج بيانات فيما يتعلق بأي نشاط معالجة للبيانات الشخصية يُنفَّذ نيابةً عن العميل داخل المنصة. ويحدد العميل، بصفته المتحكم بالبيانات، أغراض المعالجة ووسائلها؛ ويعالج المزوّد البيانات الشخصية فقط وفق التعليمات الموثقة الصادرة عن المتحكم (§7.5).
• (b) متحكم بالبيانات (نطاق محدود): يعمل المزوّد بصفته متحكماً مستقلاً بالبيانات فيما يتعلق بأنشطة المعالجة التي تُجرى على البيانات الشخصية لموظفيه هو، مثل موظفي المزوّد المعيّنين لحساب العميل، وبيانات جهات الاتصال التجارية لإدارة العلاقة التجارية، والتحليلات المجهولة/المجمعة التي لا يمكن إعادة تحديد هوية أي شخص طبيعي من خلالها.
• (c) إشراك معالجين فرعيين: لا يجوز للمزوّد إشراك أي معالج فرعي لمعالجة البيانات الشخصية دون الحصول مسبقاً على تفويض كتابي محدد أو عام من المتحكم. وعند منح تفويض عام، يلتزم المزوّد بإخطار المتحكم بأي إضافات أو استبدالات مقصودة للمعالجين الفرعيين، مع إتاحة الفرصة للمتحكم للاعتراض (§7.6).

7.4.2 مسؤول حماية البيانات

عيّن المزوّد مسؤول حماية بيانات (DPO) وفقاً للمواد 37 إلى 39 من اللائحة GDPR والمادة 10 من قانون الإمارات لحماية البيانات الشخصية. ويتولى مسؤول حماية البيانات ما يلي: (i) مراقبة الالتزام بتشريعات حماية البيانات المطبقة؛ (ii) تقديم المشورة بشأن تقييمات أثر حماية البيانات (§7.10)؛ (iii) العمل كنقطة اتصال مع السلطات الرقابية؛ و(iv) التعامل مع استفسارات أصحاب البيانات.

يمكن لأصحاب البيانات وجهات اتصال العميل التواصل مع مسؤول حماية البيانات على: [email protected]

يجوز لموظفي DANAOS التواصل مع مسؤول حماية البيانات لطلب أي توضيح بشأن مبادئ حماية البيانات وطلب الإرشادات اللازمة لتنفيذ معالجة البيانات على النحو الأمثل وتجنب أي مخالفة محتملة للتشريعات.

7.4.3 مصفوفة RACI — حماية البيانات

الشرح: R = مسؤول التنفيذ (ينفذ العمل) │ A = مسؤول الاعتماد والمساءلة (يملك النتيجة) │ C = استشارة │ I = إبلاغ

7.5 اتفاقية معالجة البيانات (DPA)

يجوز للطرفين إبرام اتفاقية معالجة بيانات («DPA») تشكل عقد المادة 28 المطلوب بموجب اللائحة GDPR واتفاقية المعالج المكافئة المطلوبة بموجب المادة 29 من قانون الإمارات لحماية البيانات الشخصية. وتحدد اتفاقية معالجة البيانات، كحد أدنى، ما يلي:

• (a) موضوع المعالجة ومدتها: تغطي اتفاقية معالجة البيانات جميع عمليات معالجة البيانات الشخصية التي ينفذها المزوّد عند تقديم المنصة طوال مدة الاشتراك، إضافة إلى أي فترة احتفاظ بالبيانات أو إعادتها بعد الإنهاء (§7.13).
• (b) طبيعة المعالجة وغرضها: استضافة البيانات الشخصية وتخزينها ونقلها ونسخها احتياطياً ومعالجتها داخل البيئة السيادية الخاصة المخصصة للعميل، وذلك بغرض تمكين عمليات إدارة مشاريع الإنشاءات، والإدارة المالية، وإدارة الموارد البشرية، والمشتريات لدى العميل.
• (c) فئات أصحاب البيانات: موظفو العميل، وموظفو المقاولين من الباطن، وجهات اتصال الموردين، وجهات اتصال العملاء، وعمال المواقع، وأي أشخاص طبيعيين آخرين يُدخِل العميل بياناتهم إلى المنصة.
• (d) أنواع البيانات الشخصية: بيانات التعريف (الأسماء، أرقام الهوية الوطنية، أرقام جوازات السفر)، وبيانات الاتصال (البريد الإلكتروني، الهاتف، العنوان)، وبيانات التوظيف (الدور، الراتب، الحضور، الإجازات)، والبيانات المالية (تفاصيل الحساب البنكي للرواتب)، وبيانات تكليفات المشاريع، وبيانات اعتماد الوصول، وبيانات وصفية لمسار التدقيق.
• (e) التعليمات الموثقة: لا يعالج المزوّد البيانات الشخصية إلا وفق تعليمات موثقة من المتحكم، بما في ذلك ما يتعلق بالنقل إلى دول ثالثة، ما لم يفرض عليه قانون الاتحاد أو قانون الدولة العضو الذي يخضع له المزوّد خلاف ذلك (المادة 28(3)(a) من اللائحة GDPR).
• (f) السرية: جميع موظفي المزوّد المصرح لهم بمعالجة البيانات الشخصية قد التزموا بالسرية أو يخضعون لالتزام قانوني مناسب بالسرية (المادة 28(3)(b) من اللائحة GDPR).
• (g) الحذف أو الإعادة: عند الإنهاء، يلتزم المزوّد، حسب اختيار المتحكم، بحذف جميع البيانات الشخصية أو إعادتها وحذف النسخ الموجودة ما لم يقتضِ قانون الاتحاد أو قانون الدولة العضو الاحتفاظ بها (§7.13).
• (h) حقوق التدقيق: يتيح المزوّد للمتحكم جميع المعلومات اللازمة لإثبات الامتثال، ويتيح ويسهم في عمليات التدقيق، بما في ذلك عمليات التفتيش، التي يجريها المتحكم أو مدقق معيّن من قبله (§7.11).

7.6 إدارة المعالجين الفرعيين

يستعين المزوّد بعدد محدود من المعالجين الفرعيين لتقديم مكوّنات المنصة والخدمات المرتبطة بها. وتنطبق الحوكمة التالية على المعالجين الفرعيين:

• (a) نموذج التفويض: يمنح العميل تفويضاً عاماً لإشراك المعالجين الفرعيين، على أن يلتزم المزوّد بما يلي: (i) الاحتفاظ بسجل محدث للمعالجين الفرعيين؛ (ii) إخطار العميل بأي إضافات أو استبدالات مقصودة قبل بدء المعالج الفرعي الجديد في المعالجة بما لا يقل عن ثلاثين (30) يوماً تقويمياً؛ و(iii) تقديم معلومات كافية تمكّن العميل من ممارسة حقه في الاعتراض.
• (b) حق الاعتراض: إذا اعترض العميل بشكل معقول على معالج فرعي جديد لأسباب مشروعة تتعلق بحماية البيانات، فعلى المزوّد إما: (i) الامتناع عن إشراك المعالج الفرعي وتقديم بديل؛ أو (ii) إذا لم يكن البديل ممكناً، يحق لأي من الطرفين إنهاء الخدمات المتأثرة دون جزاء، مع مراعاة فترة إغلاق تدريجية معقولة.
• (c) الالتزامات المنسحبة: يفرض المزوّد، بموجب العقد، على كل معالج فرعي الالتزامات نفسها المتعلقة بحماية البيانات المنصوص عليها في اتفاقية معالجة البيانات (§7.5)، ولا سيما تقديم ضمانات كافية لتنفيذ التدابير التقنية والتنظيمية الملائمة بما يضمن أن تفي المعالجة بمتطلبات اللائحة GDPR وقانون الإمارات لحماية البيانات الشخصية.
• (d) المسؤولية: يبقى المزوّد مسؤولاً بالكامل تجاه العميل عن أداء التزامات المعالج الفرعي بموجب اتفاقية معالجة البيانات. وإذا أخفق معالج فرعي في الوفاء بالتزاماته المتعلقة بحماية البيانات، يكون المزوّد مسؤولاً عن أفعال المعالج الفرعي وإغفالاته كما لو كانت أفعال المزوّد أو إغفالاته الخاصة.

7.6.1 سجل المعالجين الفرعيين

يبين الجدول التالي المعالجين الفرعيين الذين يشركهم المزوّد حتى تاريخ النفاذ. ويُحافَظ على السجل ويُحدَّث وفقاً لـ §7.6(a).

ملاحظة: توجد بيانات منصة العميل داخل بيئة سيادية خاصة مخصصة؛ ولا تُخلط بيانات أي عميل مع بيانات عملاء آخرين عبر المستأجرين. وتُحدَّد منطقة الاستضافة وفقاً لاتفاقية معالجة البيانات الخاصة بالعميل، وقد تُقيَّد بمنطقة Azure محددة استيفاءً لمتطلبات توطين البيانات بموجب قانون الإمارات لحماية البيانات الشخصية أو أي قانون آخر واجب التطبيق.

7.7 مبادئ حماية البيانات

أي نشاط لمعالجة البيانات الشخصية يباشره المزوّد، سواء بصفته متحكماً بالبيانات أو معالجاً للبيانات، يتسم بالمبادئ التالية، بما يتوافق مع المادة 5 من اللائحة GDPR والمادة 4 من قانون الإمارات لحماية البيانات الشخصية:

7.8 التدابير التقنية والتنظيمية (TOMs)

ينفذ المزوّد ويحافظ على التدابير التقنية والتنظيمية التالية لضمان مستوى أمان مناسب للمخاطر، وفقاً للمادة 32 من اللائحة GDPR والمادة 28 من قانون الإمارات لحماية البيانات الشخصية. وتتوافق هذه التدابير مع أهداف الضبط في ISO/IEC 27001:2022 وISO/IEC 27701:2019. ويُدار نظام إدارة أمن المعلومات (ISMS) لدى المزوّد من قبل إدارة تقنية المعلومات.

7.8.1 التحكم في الوصول والمصادقة

• (a) تعقيد كلمات المرور: يُطبَّق على طبقة التطبيق حد أدنى للطول، ومتطلبات فئات الأحرف، وحظر كلمات المرور الشائعة أو المخترقة.
• (b) انتهاء صلاحية كلمة المرور: سياسة قابلة للتهيئة لتدوير كلمات المرور؛ مدة التدوير الافتراضية 90 يوماً، ويمكن تهيئتها وفقاً لسياسة العميل. وهذا الإعداد الافتراضي للتدوير الدوري هو إعداد ضمن سياسة العميل، ولا يُعرض على أنه متوافق مع إرشادات NIST الخاصة بتدوير كلمات المرور.
• (c) إغلاق الحساب عند فشل المصادقة: يُغلق الحساب بعد عدد قابل للتهيئة من المحاولات الفاشلة المتتالية؛ وتزداد مدة الإغلاق مع تكرار المخالفات.
• (d) سجل تاريخ كلمات المرور: يمنع النظام إعادة استخدام آخر N من كلمات المرور (قابل للتهيئة وفق سياسة العميل).
• (e) المصادقة متعددة العوامل (MFA): تدعم المصادقة بعامل ثانٍ وتوصى بها لجميع الحسابات الإدارية والحساسة. وتشمل أساليب MFA رمز TOTP لمرة واحدة قائم على الوقت، وإشعار الدفع، ومفاتيح FIDO2 المادية.
• (f) تسجيل الدخول الأحادي (SSO): تدعم المنصة التكامل مع مزودي الهوية المؤسسية عبر SAML 2.0 وOpenID Connect، بما يتيح إدارة مركزية لبيانات الاعتماد ويقلل سطح الهجوم المرتبط بتعدد كلمات المرور.
• (g) إدارة الجلسات: آلية قفل تلقائي عند الابتعاد عن لوحة المفاتيح؛ ومدة خمول للجلسة قابلة للتهيئة؛ وإبطال الجلسة عند تغيير كلمة المرور أو تعليق الحساب.
• (h) التحكم في الوصول القائم على الدور (RBAC): تفرض وحدة Users & Roles Management (STY) تحكماً دقيقاً في الوصول قائماً على الدور على مستوى الوحدة والوظيفة والحقل والسجل. ويُطبَّق فصل المهام من خلال اكتشاف الأدوار المتعارضة.
• (i) الوصول المقيد عن بُعد: يقتصر الوصول الإداري عن بُعد إلى بنية المزوّد التحتية على الموظفين المخولين عبر أنفاق VPN مشفرة مع MFA؛ وتُسجل جميع الجلسات البعيدة وتكون قابلة للتدقيق.

7.8.2 التشفير

• (a) البيانات أثناء النقل: تُشفَّر جميع اتصالات العميل بالخادم باستخدام TLS 1.2 أو أعلى. ويُفرض تشفير نقل البيانات من طرف إلى طرف عبر جميع واجهات المنصة وواجهات برمجة التطبيقات ونقاط التكامل.
• (b) البيانات أثناء التخزين: يُطبَّق Transparent Data Encryption (TDE) على جميع قواعد البيانات. وتُشفَّر النسخ الاحتياطية لقواعد البيانات باستخدام تشفير AES-256. وتُدار مفاتيح التشفير عبر خدمة إدارة المفاتيح لدى مزود السحابة، مع إتاحة خيارات المفاتيح التي يديرها العميل (CMK).
• (c) إدارة المفاتيح: تُدوَّر مفاتيح التشفير وفق جدول محدد. وتتبع إجراءات إدارة المفاتيح ضوابط الملحق A.10 من ISO 27001. وتُستخدم وحدات الأمان العتادية (HSMs) لحماية المفاتيح الجذرية حيثما توفرت.

7.8.3 أمن قواعد البيانات

• (a) اتصالات قواعد البيانات: تُضبط الاتصالات بقواعد البيانات وتُراقَب وتُقصر على خدمات طبقة التطبيق المصرح لها والموظفين المعينين لإدارة قواعد البيانات فقط.
• (b) الحسابات الافتراضية: يؤمّن مسؤول قواعد البيانات الحسابات النظامية الافتراضية؛ وتُغيَّر جميع كلمات المرور الافتراضية فور التزويد؛ وتُعطَّل الحسابات الافتراضية غير اللازمة.
• (c) الحد الأدنى من الامتيازات: تُمنح حسابات مستخدمي قواعد البيانات أقل الصلاحيات والأدوار اللازمة لوظيفتها. وتُزال الامتيازات النظامية ما لم تكن مطلوبة وموافقاً عليها صراحةً.
• (d) سجل التدقيق: يلتقط سجل تدقيق قاعدة البيانات جميع عمليات DDL، وأنشطة المستخدمين ذوي الصلاحيات، ومحاولات المصادقة الفاشلة، وعمليات تصدير البيانات. وتُحتفظ السجلات لمدة لا تقل عن اثني عشر (12) شهراً وتكون قابلة لكشف العبث.
• (e) الوصول عن بُعد من قبل DBA: يقتصر إدارة قواعد البيانات عن بُعد على أشخاص مسمّين عبر قنوات مشفرة مع مصادقة متعددة العوامل. وتُسجل جميع جلسات DBA مع سجل تدقيق كامل على مستوى الأوامر.

7.8.4 أمن الشبكات

• (a) الدفاع المحيطي: تحمي جدران الحماية من الجيل التالي، وجدران حماية تطبيقات الويب (WAF)، وخدمات الحماية من هجمات DDoS محيط المنصة. يعزل تجزئة الشبكة البيئة السيادية الخاصة بالعميل عن البنية التحتية الأخرى الخاصة بالمزوّد.
• (b) الكشف عن التسلل والمراقبة: توفر أدوات SIEM السحابية الأصل وأدوات مراقبة الشبكة تنبيهات فورية بشأن أنماط المرور غير الطبيعية، ومحاولات فحص المنافذ، ومؤشرات الحركة الجانبية.
• (c) إدارة الثغرات: تُجرى فحوصات منتظمة للثغرات واختبارات اختراق سنوية. وتُعالج الثغرات الحرجة وعالية الخطورة ضمن الأطر الزمنية المحددة في §3.5 (تصنيف أولوية الحوادث).

7.8.5 التدابير التنظيمية

• (a) اتفاقيات السرية: جميع موظفي المزوّد المخولين بمعالجة البيانات الشخصية قد وقعوا اتفاقيات سرية/عدم إفشاء ويخضعون لالتزام قانوني مناسب بالسرية.
• (b) التدريب والتوعية: يتلقى موظفو المزوّد تدريباً سنوياً على حماية البيانات يغطي اللائحة GDPR، وقانون الإمارات لحماية البيانات الشخصية، والإبلاغ عن الخروقات، والهندسة الاجتماعية، وممارسات الترميز الآمن.
• (c) نظافة المكاتب والسطح الخالي: تُطبق سياسات نظافة المكاتب والسطح الخالي في جميع مرافق المزوّد لمنع الإفصاح غير المقصود عن البيانات الشخصية.
• (d) سياسة استخدام الأصول: تُستخدم جميع الأصول المادية والبرمجية حصرياً لأغراض الأعمال ولتنفيذ المهام المتعلقة بالوصف الوظيفي لكل موظف.

7.9 حقوق أصحاب البيانات

يعترف المزوّد بحقوق أصحاب البيانات كما هي محددة في الفصل الثالث من اللائحة GDPR (المواد 12 إلى 23) وفي المواد 12 إلى 18 من قانون الإمارات لحماية البيانات الشخصية، ويساعد العميل في الوفاء بالتزامه بالرد على طلبات أصحاب البيانات وفقاً للمادة 28(3)(e) من اللائحة GDPR والمادة 29 من قانون الإمارات لحماية البيانات الشخصية. وعلى المزوّد أن:

• (a) يُخطر العميل فوراً عند تلقي طلب من صاحب بيانات يتعلق ببيانات العميل، دون الرد على صاحب البيانات مباشرة ما لم يوجِّهه العميل بذلك.
• (b) يتيح للعميل القدرة التقنية على استخراج البيانات الشخصية أو تصحيحها أو تقييدها أو نقلها أو حذفها عبر وظائف المنصة أو، حيث لا تكون متاحة عبر واجهة المستخدم، من خلال عمليات قاعدة البيانات التي ينفذها المزوّد ضمن المدد الزمنية التي يقتضيها القانون.
• (c) يحتفظ بمسارات تدقيق لجميع إجراءات تلبية طلبات أصحاب البيانات لمدة لا تقل عن أربع وعشرين (24) شهراً.

7.9.1 مصفوفة استيفاء الحقوق

استثناء الحجز القانوني: إذا تعارض المحو أو التقييد مع التزام قانوني (مثل الاحتفاظ بالسجلات المنصوص عليه قانوناً، أو دعوى قضائية معلقة، أو تحقيق تنظيمي)، فعلى المزوّد إبلاغ العميل وصاحب البيانات بالأساس القانوني لاستمرار المعالجة، وتقييد المعالجة إلى الحد الأدنى اللازم للامتثال.

7.10 تقييم أثر حماية البيانات (DPIA)

إذا كان نوع من المعالجة من المحتمل أن يؤدي إلى مخاطر عالية على حقوق وحريات الأشخاص الطبيعيين، فعلى العميل (بصفته المتحكم) إجراء تقييم أثر حماية البيانات وفقاً للمادة 35 من اللائحة GDPR والمادة 23 من قانون الإمارات لحماية البيانات الشخصية. وعلى المزوّد أن:

• (a) يزود العميل بجميع المعلومات اللازمة لإجراء تقييم أثر حماية البيانات، بما في ذلك توثيق تدفقات بيانات المنصة، وسياسات الاحتفاظ، ونموذج التحكم في الوصول، وآليات النقل عبر الحدود.
• (b) يساعد العميل في إجراء تقييم أثر حماية البيانات عند الطلب، بما في ذلك تزويده بنموذج مسبق الإعداد لتقييم الأثر يغطي عمليات المعالجة القياسية التي تنفذها المنصة.
• (c) يُخطر العميل إذا رأى المزوّد أن ميزة جديدة أو تفعيل وحدة أو تكامل أو تغيير في عمليات المعالجة يستدعي إعداد تقييم أثر حماية بيانات جديد أو محدَّث.
• (d) تقييم أثر حماية البيانات الخاص بالذكاء الاصطناعي: عندما تعالج مكونات الذكاء الاصطناعي في المنصة، مثل النسخ المعتمد على الذكاء الاصطناعي، واكتشاف الشذوذ في عمليات AIOps، والتوجيه السياقي داخل التطبيق، بيانات شخصية، يجب إجراء تقييم أثر إضافي خاص بالذكاء الاصطناعي يتناول التحيز الخوارزمي، وشفافية اتخاذ القرار الآلي، وتقليل البيانات إلى الحد الأدنى في مجموعات التدريب، وحقوق أصحاب البيانات بموجب المادة 22 من اللائحة العامة لحماية البيانات GDPR (اتخاذ القرار الفردي الآلي). ويجب أن يراعي هذا التقييم أيضاً الالتزامات بموجب قانون الذكاء الاصطناعي للاتحاد الأوروبي (اللائحة (EU) 2024/1689) وإطار NIST لإدارة مخاطر الذكاء الاصطناعي.

7.11 التدقيق والامتثال

7.11.1 التزامات المزوّد

يتعين على المزوّد ما يلي:

• (d) الاحتفاظ بسجل أنشطة المعالجة (RoPA) وفقاً للمادة 30 من اللائحة العامة لحماية البيانات GDPR، بما يغطي جميع عمليات المعالجة المنفذة نيابةً عن العميل.
• (e) إتاحة جميع المعلومات اللازمة للعميل لإثبات الامتثال للالتزامات المنصوص عليها في المادة 28 من اللائحة العامة لحماية البيانات GDPR والمادة 29 من قانون حماية البيانات الشخصية في دولة الإمارات UAE PDPL.
• (f) السماح بعمليات التدقيق، بما في ذلك عمليات التفتيش، والمساهمة فيها، والتي يجريها العميل أو مدقق يعيّنه العميل، وذلك مع مراعاة ما يلي: (i) إشعار مسبق معقول لا يقل عن ثلاثين (30) يوماً تقويمياً؛ (ii) اقتصار نطاق التدقيق على أنشطة المعالجة المشمولة باتفاقية معالجة البيانات (DPA)؛ (iii) توقيع المدقق اتفاقية عدم إفشاء تكون مقبولة لدى المزوّد؛ و(iv) إجراء عمليات التدقيق خلال ساعات العمل العادية وبطريقة تقلل من التعطيل إلى أدنى حد.
• (g) إبلاغ العميل فوراً إذا كان، في رأي المزوّد، أي توجيه من العميل ينتهك اللائحة العامة لحماية البيانات GDPR أو قانون حماية البيانات الشخصية في دولة الإمارات UAE PDPL أو أي قانون آخر معمول به لحماية البيانات (المادة 28(3)(h) من اللائحة GDPR).

7.11.2 وتيرة ونطاق التدقيق

ينطبق جدول التدقيق التالي:

7.12 الاحتفاظ بالبيانات وإتلافها

لا يجوز الاحتفاظ بالبيانات الشخصية لمدة أطول مما يلزم للأغراض التي جُمعت من أجلها. وينطبق إطار الاحتفاظ التالي:

• (a) المعالجة النشطة: تُعالج البيانات الشخصية فعلياً طوال مدة الاشتراك وأي فترة إنهاء تدريجي بعد الإنهاء متفق عليها بموجب اتفاقية DPA.
• (b) فترات الاحتفاظ: حيثما تفرض القوانين المعمول بها فترات احتفاظ محددة (مثل الاحتفاظ بالسجلات بموجب قوانين العمل، ومتطلبات السلطات الضريبية، وأوامر الحفظ التنظيمية)، يتعين على المزوّد الاحتفاظ بالحد الأدنى اللازم من البيانات للفترة المقررة، مع فصلها بوضوح وتقييد الوصول إليها.
• (c) الإنفاذ الآلي: تدعم المنصة سياسات قابلة للتكوين للاحتفاظ بالبيانات، وتقوم تلقائياً بتمييز السجلات التي تتجاوز فترة الاحتفاظ المحددة وأرشفتها أو حذفها نهائياً. ويحدد العميل قواعد الاحتفاظ، بينما يتولى المزوّد التنفيذ التقني.
• (d) الإتلاف الآمن: عند حذف البيانات الشخصية، يتعين على المزوّد ضمان الإتلاف الآمن من خلال: (i) الإزالة التشفيرية للبيانات المشفرة (بحيث تصبح مفتاح التشفير غير قابل للاسترداد)؛ (ii) الكتابة فوق الوسائط غير المشفرة بعدة مرات؛ و(iii) تقديم شهادات تأكيد الحذف للعميل عند الطلب.
• (e) الاحتفاظ بالنسخ الاحتياطية: تخضع النسخ الاحتياطية التي تحتوي على بيانات شخصية لسياسات الاحتفاظ والإتلاف نفسها. ويتعين على المزوّد ضمان حذف البيانات الشخصية المحذوفة من جميع دورات النسخ الاحتياطي خلال تسعين (90) يوماً تقويمياً من تاريخ أمر الحذف، ما لم تُحدد الاتفاقية DPA مدة أقصر.

NIST SP 800-88 Rev. 1 — إرشادات إتلاف وسائط التخزين

7.13 إعادة البيانات وقابليتها للنقل عند الإنهاء

عند إنهاء الإطار أو انتهائه، تنطبق الأحكام التالية الخاصة بإعادة البيانات وقابليتها للنقل:

• (a) فترة إعادة البيانات: يكون للعميل فترة قدرها ستون (60) يوماً تقويمياً من تاريخ نفاذ الإنهاء لطلب إعادة جميع البيانات الشخصية وبيانات العميل بصيغة منظمة، شائعة الاستخدام، وقابلة للقراءة آلياً (CSV أو JSON أو XML أو SQL dump).
• (b) خيارات الصيغ: يتعين على المزوّد إتاحة تصدير البيانات بما لا يقل عن ثلاث صيغ قابلة للقراءة آلياً. ويشمل التصدير: (i) جميع البيانات المعاملاتية عبر الوحدات المفعلة؛ (ii) سجلات البيانات الرئيسية؛ (iii) مرفقات المستندات؛ (iv) سجلات التدقيق؛ و(v) بيانات تعريف التهيئة الكافية لإعادة إنشاء الإعداد التشغيلي للعميل في نظام بديل.
• (c) الحذف بعد الإعادة: بعد تأكيد أن العميل قد استلم البيانات المصدرة وتحقق منها، أو عند انتهاء فترة إعادة البيانات البالغة ستين (60) يوماً (أيهما أسبق)، يتعين على المزوّد حذف جميع البيانات الشخصية بشكل آمن من جميع الأنظمة، بما في ذلك قواعد بيانات الإنتاج، وبيئات الاختبار المرحلي، والنسخ الاحتياطية، ونُسخ التعافي من الكوارث.
• (d) شهادة الحذف: يتعين على المزوّد إصدار شهادة حذف مكتوبة خلال ثلاثين (30) يوماً تقويمياً من إتمام عملية الإتلاف الآمن، تؤكد أن جميع البيانات الشخصية قد أُتلفت بشكل غير قابل للعكس من جميع الأنظمة والوسائط الخاضعة لسيطرة المزوّد.
• (e) الالتزامات المتبقية: تستمر التزامات حماية البيانات بموجب هذا الفصل بعد الإنهاء فيما يتعلق بأي بيانات شخصية يحتفظ بها المزوّد استناداً إلى التزام قانوني، وذلك إلى أن تُتلف تلك البيانات بشكل آمن.

7.14 عمليات نقل البيانات عبر الحدود

عندما تتضمن معالجة البيانات الشخصية نقل البيانات الشخصية إلى دولة ثالثة أو منظمة دولية، تنطبق الأحكام التالية:

• (a) البيانات ذات المنشأ من المنطقة الاقتصادية الأوروبية: تخضع عمليات نقل البيانات الشخصية المنشأ من المنطقة الاقتصادية الأوروبية إلى دول لا تشملها قرارات الملاءمة بموجب المادة 45 من اللائحة GDPR للبنود التعاقدية القياسية للاتحاد الأوروبي (SCCs) المعتمدة بموجب قرار التنفيذ للمفوضية (EU) 2021/914، مع استكمالها بتقييم أثر النقل (TIA) حيثما تقتضي ذلك توصيات المجلس الأوروبي لحماية البيانات EDPB رقم 01/2020.
• (b) البيانات ذات المنشأ من دولة الإمارات: يجب أن تمتثل عمليات نقل البيانات الشخصية ذات المنشأ من دولة الإمارات إلى دول خارج دولة الإمارات للمادة 22 من قانون حماية البيانات الشخصية في دولة الإمارات UAE PDPL (أحكام النقل عبر الحدود)، بما في ذلك أي متطلبات لتوطين البيانات تفرضها هيئة الإمارات للبيانات أو الجهات التنظيمية القطاعية.
• (c) خيارات توطين البيانات: يتيح نموذج البيئة السيادية الخاصة المخصصة لدى المزوّد للعميل اختيار المنطقة الجغرافية (Azure Region) التي تقيم فيها جميع بيانات العميل وتُعالج فيها. وعندما يطلب العميل بقاء البيانات داخل ولاية قضائية محددة (مثل دولة الإمارات في العقود الحكومية، أو المنطقة الاقتصادية الأوروبية للكيانات الخاضعة لتنظيمات الاتحاد الأوروبي)، يتعين على المزوّد ضمان عدم مغادرة أي بيانات للمنطقة المحددة، بما في ذلك لأغراض النسخ الاحتياطي والتعافي من الكوارث.
• (d) تقييم أثر النقل: قبل بدء أي آلية جديدة لنقل البيانات عبر الحدود، يتعين على المزوّد إجراء تقييم أثر النقل وتوثيقه، مع تقييم: (i) الإطار القانوني في بلد الاستلام؛ (ii) التدابير التكميلية القائمة؛ و(iii) قابلية إنفاذ حقوق صاحب البيانات عملياً في الولاية القضائية المستقبلة.

7.15 إدارة خروقات البيانات الشخصية

7.15.1 اكتشاف الخرق وتصنيفه

أقام المزوّد إجراءات، يشرف عليها قسم تقنية المعلومات، لاكتشاف خروقات البيانات الشخصية وتصنيفها والاستجابة لها. وتوفر أدوات SIEM وAIOps لدى المزوّد اكتشافاً آلياً للشذوذ؛ وتُصعّد جميع التنبيهات المصنفة كخروقات محتملة للبيانات الشخصية فوراً إلى مسؤول حماية البيانات.

تُصنف الخروقات حسب درجة الخطورة:

7.15.2 إجراء الإخطار بالخرق

يتعين على المزوّد إخطار العميل (بصفته المراقب) بأي خرق مؤكد أو مشتبه به للبيانات الشخصية على النحو التالي:

• (a) الإخطار الأولي: خلال الإطارات الزمنية المحددة في §7.15.1، يتعين على المزوّد إخطار مسؤول حماية البيانات/قائد الخصوصية المعين لدى العميل عبر قناة الاتصال الرئيسية (بريد إلكتروني إلى العنوان المعين، يتبعه تأكيد هاتفي في حالات الخروقات الحرجة والعالية الخطورة). ويجب أن يتضمن الإخطار الأولي: (i) طبيعة الخرق؛ (ii) فئات أصحاب البيانات المتأثرين والعدد التقريبي لهم؛ (iii) فئات السجلات المعنية والعدد التقريبي لها؛ (iv) العواقب المحتملة؛ و(v) التدابير المتخذة أو المقترحة للتخفيف من الآثار السلبية.
• (b) التقارير اللاحقة: عندما لا تتوفر التفاصيل الكاملة وقت الإخطار الأولي، يتعين على المزوّد تقديم المعلومات على مراحل دون تأخير غير مبرر فور توفرها (المادة 33(4) من اللائحة GDPR).
• (c) تحليل السبب الجذري: يتعين على المزوّد تسليم تقرير كامل لتحليل السبب الجذري إلى العميل خلال خمسة عشر (15) يوم عمل من احتواء الخرق، بما في ذلك: الجدول الزمني للأحداث، والأنظمة والبيانات المتأثرة، والسبب الجذري، وإجراءات الاحتواء، وتدابير المعالجة، والتوصيات لمنع التكرار.
• (d) التعاون التنظيمي: يتعين على المزوّد مساعدة العميل في: (i) إخطار الجهة الإشرافية المختصة (المادة 33 من اللائحة GDPR، والمادة 28 من قانون UAE PDPL)؛ و(ii) إبلاغ أصحاب البيانات المتأثرين بالخرق حيثما كان ذلك مطلوباً (المادة 34 من اللائحة GDPR). ولا يجوز للمزوّد التواصل مباشرة مع الجهة الإشرافية أو أصحاب البيانات بشأن بيانات العميل دون موافقة خطية مسبقة من العميل، ما لم يكن ذلك مطلوباً بموجب القانون.

7.15.3 تمرين الاستجابة للخرق

يتعين على المزوّد والعميل إجراء تمرين مشترك للاستجابة لخرق البيانات الشخصية مرة واحدة على الأقل سنويًا، مع محاكاة سيناريو خرق ذي خطورة حرجة. ويجب أن يختبر التمرين: (i) الجداول الزمنية من الاكتشاف إلى الإخطار؛ (ii) فعالية قنوات الاتصال؛ (iii) تنفيذ إجراءات الاحتواء؛ و

• (iv) جاهزية الإخطار التنظيمي. ويجب توثيق نتائج كل تمرين ودمجها في تحسينات العمليات.

7.16 حماية البيانات الخاصة بالذكاء الاصطناعي

يخضع استخدام المزوّد لمكونات الذكاء الاصطناعي داخل المنصة، بما في ذلك النسخ المعتمد على الذكاء الاصطناعي وAIOps والتحليلات التنبؤية والتوجيه السياقي داخل التطبيق، لضوابط حماية البيانات التالية، بما يتماشى مع قانون الذكاء الاصطناعي للاتحاد الأوروبي (اللائحة (EU) 2024/1689) وإطار NIST AI RMF:

• (a) عدم التدريب عبر عدة جهات: لا تُستخدم بيانات العميل مطلقاً لتدريب نماذج الذكاء الاصطناعي التي تخدم عملاء آخرين أو لتحسين قدرات الذكاء الاصطناعي العامة لدى المزوّد. وتُدرَّب مخرجات الذكاء الاصطناعي الخاصة بكل عميل (مثل نماذج النسخ والتحليلات التنبؤية) وتُحدد حصرياً ضمن بيانات ذلك العميل داخل بيئته السيادية المخصصة.
• (b) تقليل البيانات في الذكاء الاصطناعي: تعالج مكونات الذكاء الاصطناعي الحد الأدنى من البيانات الشخصية اللازم لتقديم وظيفتها. وحيثما أمكن، تُعرَّض البيانات لإخفاء الهوية أو إخفاء الهوية الجزئي قبل معالجتها بواسطة الذكاء الاصطناعي.
• (c) اتخاذ القرار الآلي: لا تتخذ المنصة قرارات تستند حصراً إلى المعالجة الآلية وتنتج عنها آثار قانونية أو آثار مهمة مماثلة على أصحاب البيانات (المادة 22 من اللائحة GDPR) ما لم: (i) يهيئ العميل تلك المعالجة صراحةً؛ (ii) يضمن العميل أساساً قانونياً (الموافقة، أو ضرورة العقد، أو قانون دولة عضو)؛ و(iii) يتوفر مراجعة بشرية.
• (d) شفافية الذكاء الاصطناعي: يوثق المزوّد الغرض، ومدخلات البيانات، والمنطق، ونطاق المخرجات لكل مكوّن من مكونات الذكاء الاصطناعي في الوثائق الفنية للمنصة. وتتاح هذه الوثائق للعميل لأغراض تقييم أثر حماية البيانات (DPIA) (§7.10) وللتفتيش التنظيمي.
• (e) مراقبة التحيز: عندما تعالج مكونات الذكاء الاصطناعي بيانات شخصية تتضمن فئات خاصة (مثل العِرق أو الجنسية في وحدات HRMS)، يطبق المزوّد فحوصات لرصد التحيز ويبلغ النتائج للعميل كجزء من التقييم الذاتي ربع السنوي (§7.11.2).

7.17 سجل العمليات

يوضح الجدول التالي العمليات التعاقدية والتشغيلية التي يحكمها هذا الفصل. ويُمنح كل إجراء معرفاً فريداً، وشرط تشغيل، ومسؤول معالجة، وجهة اعتماد، ونتيجة متوقعة، وإحالة مرجعية إلى القسم الحاكم.

7.18 مخطط سير العمليات

يوضح الرسم التالي دورة حياة حماية البيانات بدءاً من تنفيذ اتفاقية DPA مروراً بالمراقبة المستمرة للامتثال، والاستجابة للخرق، وإعادة البيانات عند الإنهاء.

① تنفيذ اتفاقية DPA والأساس القانوني ⟶ ② RoPA والخصوصية منذ التصميم ⟶ ③ تنفيذ الضوابط التقنية والتنظيمية

▼

④ تقييم أثر حماية البيانات DPIA (بما في ذلك تقييم أثر الذكاء الاصطناعي) ⟶ ⑤ المعالجة والمراقبة المستمرة ⟶ ⑥ تلبية حقوق أصحاب البيانات

▼

⑦ اكتشاف الخرق والاستجابة له ⟶ ⑧ مراجعة التدقيق والامتثال ⟶ ⑨ إعادة البيانات / إتلافها

حلقة التغذية الراجعة: تغذي المرحلة ⑨ (إعادة البيانات/إتلافها) المرحلة ② (RoPA) لتسجيل أنشطة الإتلاف، والمرحلة ⑧ (التدقيق) للتحقق من الامتثال بعد الإنهاء. وتعمل المراحل ④–⑦ بشكل مستمر طوال مدة الاشتراك مع نقاط مراجعة للتقييم الذاتي ربع السنوي (§7.11.2).