حماية البيانات وقانون حماية البيانات الشخصية في دولة الإمارات

أساسنا القانوني للمعالجة

لا نعالج البيانات الشخصية إلا حيثما يمنحنا القانون أساساً صحيحاً للقيام بذلك. وبموجب قانون حماية البيانات الشخصية، نعتمد على الموافقة، وتنفيذ عقد، والامتثال لالتزام قانوني، وحماية المصالح الحيوية، ومصالحنا المشروعة حيثما لا تتغلب هذه المصالح على حقوق الشخص. نطابق كل نشاط معالجة بأساس واحد، ونسجّل ذلك الاختيار، ونراجعه إذا تغيّر النشاط. وحيثما نعتمد على الموافقة نجعلها محددة ومستنيرة وحرة، ونجعل سحبها بالسهولة نفسها التي تمّت بها الموافقة الأصلية. وحيثما نعتمد على المصلحة المشروعة نجري ونوثّق تقييم موازنة. أما بالنسبة إلى أصحاب البيانات في الاتحاد الأوروبي والمنطقة الاقتصادية الأوروبية فنعتمد على الأسس المكافئة في اللائحة العامة لحماية البيانات (GDPR).

المتحكم والمعالِج: أي دور نتولاه

يفرّق قانون حماية البيانات بين المتحكم، الذي يقرر لماذا وكيف تُعالَج البيانات، والمعالِج، الذي يتصرف بناءً على تعليمات المتحكم. ويعتمد دورنا على النشاط.

بالنسبة إلى موقعنا الإلكتروني وأنشطتنا التسويقية وعمليات التوظيف لدينا، تُعدّ كوربشور الإمارات المتحكم. فنحن نقرر ما البيانات التي نجمعها ولماذا وكم مدة الاحتفاظ بها، ونتحمل واجبات المتحكم تجاه تلك البيانات.

أما بالنسبة إلى أعمال الاستعانة بمصادر خارجية التي ننفذها نيابةً عن عميل، فنحن عادةً المعالِج. والعميل هو المتحكم، وهو الذي يقرر الغرض، ونحن نعالج البيانات الشخصية لعملاء العميل أو موظفيه بناءً على تعليمات العميل الموثقة فقط. وفي هذا الدور نساعد العميل على الوفاء بالتزاماته، ونحافظ على أمن البيانات، ولا نستخدمها لأغراضنا الخاصة، ونعيدها أو نحذفها عند انتهاء التكليف. وحيثما يجعلنا التكليف متحكماً مشتركاً مع عميل، نتفق على ذلك كتابةً ونحدد من يقوم بماذا.

اتفاقية المعالجة التي يمكن للعملاء طلبها

عندما نتصرف بوصفنا معالِجاً، تحكم العلاقة اتفاقية مكتوبة لمعالجة البيانات. ويمكن لأي عميل طلبها، ونتوقع وجودها قبل أن نعالج البيانات الشخصية نيابةً عن عميل. تحدد الاتفاقية موضوع المعالجة ومدتها وطبيعتها وغرضها وأنواع البيانات وفئات أصحاب البيانات والتزامات كل طرف. وتلزمنا بأن نعالج بناءً على تعليمات العميل فقط، وأن نفرض السرية على موظفينا، وأن نطبّق أمناً مناسباً، وألا نستعين بمعالِج من الباطن إلا بتفويض من العميل وبموجب شروط مكافئة، وأن نساعد العميل على الاستجابة لطلبات أصحاب البيانات، وأن نساعد في الإخطار بالخروقات وتقييمات الأثر، وأن نحذف البيانات أو نعيدها في النهاية. ويمكن للعملاء الخاضعين لمتطلبات مركز دبي المالي العالمي أو سوق أبوظبي العالمي أو اللائحة العامة لحماية البيانات (GDPR) أو المصرف المركزي أن يطلبوا منا إدراج تلك الالتزامات المحددة في الاتفاقية، وسنستوعب الإضافات المعقولة. ولطلب اتفاقية معالجة، تواصلوا معنا على legal@corpshore.ae.

توقعات المصرف المركزي بشأن الاستعانة بمصادر خارجية

عندما نخدم مصرفاً أو شركة تأمين أو مؤسسة مالية أخرى خاضعة لتنظيم المصرف المركزي لدولة الإمارات العربية المتحدة، ندرك أن الجهة التنظيمية تُحمّل المؤسسة مسؤولية استعانتها بمصادر خارجية. ونحن نساعد عملاءنا الخاضعين للتنظيم على الوفاء بتلك المسؤولية. نتفق على شروط خدمة واضحة، ونُبقي بيانات العملاء ضمن الضوابط التي يطلبها العميل، وندعم حق العميل في التدقيق وحق الجهة التنظيمية في الوصول، وندير الاستعانة بمصادر خارجية من الباطن بشفافية، ونخطط لاستمرارية الأعمال بحيث لا يعرّض أي اضطراب من جانبنا التزامات العميل للخطر. وحيثما يحتاج العميل إلى بقاء البيانات في موقع محدد، نستوعب ذلك المتطلب كجزء من تصميم التكليف.

حقوق الفرد ومكتب البيانات في دولة الإمارات

يمنح قانون حماية البيانات الشخصية كل فرد حقوقاً على بياناته الشخصية. وتشمل هذه الحقوق الحق في الإحاطة بالمعالجة، والحق في الوصول إلى بياناته، والحق في تصحيح البيانات غير الدقيقة، والحق في المحو حيثما لا يوجد سبب صحيح للاحتفاظ بالبيانات، والحق في تقييد المعالجة أثناء معالجة أي مخاوف، والحق في نقل البيانات التي قدّمها، والحق في الاعتراض على المعالجة القائمة على المصلحة المشروعة وعلى التسويق المباشر، والحق في عدم الخضوع لقرار آلي بحت ذي أثر جسيم. ونحن نحترم هذه الحقوق بالنسبة إلى البيانات التي نتحكم فيها، أما البيانات التي نعالجها نيابةً عن عميل فنحيل الطلب إلى العميل ونساعده على الاستجابة.

لممارسة حق أو لإثارة مخاوف، تواصلوا معنا على legal@corpshore.ae. نتحقق من الهوية عند الحاجة ونستجيب خلال المدة التي يحددها القانون، والتي نتعامل معها على أنها شهر واحد من تاريخ الطلب الصحيح. وإذا لم تكونوا راضين، فلكم الحق في تقديم شكوى إلى مكتب البيانات في دولة الإمارات، وهو الجهة الاتحادية المسؤولة عن قانون حماية البيانات الشخصية. وحيثما تتعلق بياناتكم بنشاط في مركز دبي المالي العالمي أو سوق أبوظبي العالمي، فقد يكون لكم بدلاً من ذلك حق اللجوء إلى مفوّض حماية البيانات في مركز دبي المالي العالمي أو مكتب حماية البيانات في سوق أبوظبي العالمي، وحيثما تنطبق اللائحة العامة لحماية البيانات (GDPR) فقد تقدّمون شكوى إلى الجهة الرقابية في بلدكم.

عمليات النقل عبر الحدود والضمانات

يمثّل تدفق البيانات عبر الحدود جزءاً من كيفية تقديمنا لخدمة عالمية. ويجيز قانون حماية البيانات الشخصية نقل البيانات الشخصية خارج دولة الإمارات حيثما توفر الدولة المستقبِلة مستوى حماية كافياً، أو حيثما يوجد ضمان مناسب. وتشمل ضماناتنا الشروط التعاقدية النموذجية مع معالِجينا، والالتزامات الداخلية المُلزِمة عبر مجموعة كوربشور، وبالنسبة إلى نقل محدد لا تغطيه أي آلية أخرى، الموافقة الصريحة والمستنيرة للفرد. وبالنسبة إلى البيانات المحمية باللائحة العامة لحماية البيانات (GDPR) نعتمد على قرار كفاية حيثما وُجد، وإلا فعلى الشروط التعاقدية النموذجية مع أي تدابير تكميلية يحتاجها النقل. وبالنسبة إلى بيانات مركز دبي المالي العالمي وسوق أبوظبي العالمي نطبّق قواعد النقل الواردة في قانون حماية البيانات في مركز دبي المالي العالمي لسنة 2020 ولائحة حماية البيانات في سوق أبوظبي العالمي لسنة 2021. ونسجّل الآلية المنطبقة على كل عملية نقل، وسنُخبر أي عميل أو فرد بالآلية المنطبقة عند الطلب.

الأمن والتعامل مع الخروقات

نطبّق تدابير تقنية وتنظيمية تتناسب مع مخاطر المعالجة. وتشمل هذه التدابير التشفير أثناء النقل وفي حالة السكون، والوصول المحدود بحسب الدور والمحمي بمصادقة قوية، وضوابط الشبكة والتطبيقات، والتسجيل والمراقبة، وسرية الموظفين وتدريبهم، والمراجعة الدورية لضوابطنا ولمزوّدينا. ونُلزم معالِجينا بمعايير أمن معترف بها وبواجبات أمن تعاقدية.

إذا وقع خرق للبيانات الشخصية، فإننا نتصرف وفق خطة محددة. نحتوي الحادث ونقيّمه ونسجّله، وحيثما يُرجّح أن يُنشئ الخرق خطراً على الأفراد نُخطر مكتب البيانات في دولة الإمارات وفق ما يقتضيه القانون. وحيثما يُرجّح أن يُنشئ الخرق خطراً مرتفعاً على الأفراد المتأثرين، نُبلغهم دون تأخير غير مبرر ونخبرهم بكيفية حماية أنفسهم. وعندما نتصرف بوصفنا معالِجاً، نُخطر العميل المتأثر فوراً لكي يتمكن من الوفاء بواجبات الإخطار الخاصة به، ونساعد ذلك العميل طوال العملية.

المبادئ التي نطبّقها على كل نشاط

أياً كان الإطار المنطبق، تسري المبادئ الأساسية ذاتها على كيفية تعاملنا مع البيانات الشخصية. ونطبّقها على معالجتنا الخاصة ونضمّنها في الخدمات التي ندير تشغيلها للعملاء.

• المشروعية والإنصاف والشفافية. نعالج البيانات على أساس صحيح، ولا نستخدمها بطرق لا يتوقعها الشخص، ونخبر الناس بوضوح بما نقوم به.
• تحديد الغرض. نجمع البيانات لغرض محدد ولا نعيد استخدامها لغرض غير متوافق معه.
• تقليل البيانات إلى الحد الأدنى. لا نجمع إلا ما يحتاجه الغرض، ولا أكثر.
• الدقة. نُبقي البيانات دقيقة ومحدّثة، ونصحح أو نحذف البيانات الخاطئة.
• تقييد التخزين. لا نحتفظ بالبيانات إلا للمدة التي يقتضيها الغرض أو القانون، ثم نحذفها أو نجعلها مجهولة الهوية.
• السلامة والسرية. نحمي البيانات بتدابير أمن ملائمة للمخاطر.
• المساءلة. يمكننا أن نُظهر كيفية وفائنا بكل مبدأ من هذه المبادئ، ونُلزم مزوّدينا بها أيضاً.

المعالِجون من الباطن وسلسلة التوريد لدينا

نستعين بمجموعة صغيرة من مزوّدي الخدمة الموثوقين لتشغيل منصّاتنا وموقعنا الإلكتروني، ويتصرف بعضهم بوصفهم معالِجين من الباطن عندما ننفذ تكليف عميل. ومزوّدونا الرئيسيون هم Zoho لعمليات العملاء والتوظيف والبريد الإلكتروني، وVercel لاستضافة الموقع وتسليمه، وCloudflare للحماية من الروبوتات في نماذجنا، وCalendly لحجز الاجتماعات. ونتعاقد مع كل منهم بموجب اتفاقية مكتوبة تقتضي واجبات مكافئة لحماية البيانات والأمن، وتقصرهم على المعالجة بناءً على تعليماتنا. وعندما نتصرف بوصفنا معالِجاً لعميل، لا نضيف معالِجاً من الباطن إلا بتفويض من ذلك العميل، وننقل إليه الواجبات ذاتها، ونظل مسؤولين أمام العميل عن أداء المعالِج من الباطن. ويمكننا تقديم قائمة حالية بالمعالِجين من الباطن المشاركين في تكليف معيّن عند الطلب، ونُخبر العميل قبل أي تغيير يؤثر في بياناته.

تقييمات الأثر والخصوصية منذ التصميم

قبل أن نبدأ نشاط معالجة يُرجّح أن يحمل خطراً أعلى على الأفراد، نقيّم ذلك الخطر ونسجّل كيفية إدارتنا له. ونبني حماية البيانات في أي خدمة جديدة أو أداة جديدة منذ مرحلة التصميم، ونجعل الإعدادات الأكثر حمايةً هي الافتراضية بحيث لا يضطر الشخص إلى اتخاذ أي إجراء لحماية بياناته. وعندما نساعد عميلاً على تصميم خدمة، نأتي بالانضباط ذاته بحيث يُدعم تقييم الأثر وضوابط العميل بدلاً من أن يُقوّضها ما نقوم به.

المساءلة والحوكمة

نتعامل مع المساءلة بوصفها واجباً مستمراً لا ممارسة تُجرى مرة واحدة. نحتفظ بسجل لأنشطة معالجتنا، ونقيّم أثر المعالجة الأعلى خطراً قبل أن نبدأها، ونطبّق حماية البيانات منذ التصميم وبشكل افتراضي عندما نبني خدمة أو نختار أداة، ونُلزم موظفينا ومزوّدينا بالتزامات مكتوبة لحماية البيانات. ونراجع هذا الإطار مع تطوّر خدماتنا وقاعدة عملائنا والقانون.

مسؤول حماية البيانات لدينا

عيّنت كوربشور الإمارات مسؤولاً لحماية البيانات للإشراف على امتثالنا، وإسداء المشورة لفِرقنا، والعمل كنقطة اتصال للأفراد ولمكتب البيانات في دولة الإمارات، ومراقبة كيفية تعاملنا مع البيانات الشخصية. ومسؤول حماية البيانات لدينا هو legal@corpshore.ae، ويمكنكم الوصول إلى المكتب على legal@corpshore.ae. اسم الكيان المسجّل والرخصة التجارية والعنوان المسجّل لكوربشور الإمارات هي Corpshore Emirates، والقانون الحاكم والمحكمة المختصة لأي مسألة رسمية هي قوانين دولة الإمارات العربية المتحدة. وقد أُعدّ هذا البيان لمراجعته من قِبل مستشارنا القانوني في دولة الإمارات وسيدخل حيّز النفاذ بمجرد اكتمال تلك المراجعة.