سياسة حماية البيانات لمنصة أعمالك

تسري المتطلبات على العاملين والمستخدمين المخولين والموردين الذين يعالجون بيانات المنصة في حدود أدوارهم، وعلى الموقع والتطبيقات والواجهات البرمجية والتكاملات والمستندات والمخرجات والسجلات والنسخ الاحتياطية المرتبطة بها.

تلتزم الشركة بنظام حماية البيانات الشخصية ولائحته التنفيذية ولائحة نقل البيانات الشخصية إلى خارج المملكة. وتحدد نطاق الضوابط السيبرانية الواجبة عليها بحسب نشاطها وتصنيفها والجهة الرقابية، بما يشمل ضوابط الهيئة الوطنية للأمن السيبراني ذات الصلة: الضوابط الأساسية ECC، وضوابط البيانات DCC، وضوابط الحوسبة السحابية CCC، وضوابط القطاع الخاص غير ذي البنى التحتية الحساسة NCNICC حيث تنطبق.

تراعى كذلك تعليمات البنك المركزي السعودي الواجبة التطبيق على النشاط والخدمة الخاضعين لإشرافه، بما فيها متطلبات الأمن السيبراني والإسناد والمصرفية المفتوحة وحماية بيانات العملاء بحسب نطاق الترخيص أو الموافقة. ولا تستخدم هذه السياسة لإثبات وجود ترخيص أو اعتماد لم يصدر.

تتولى الإدارة اعتماد السياسة وتوفير الموارد ومتابعة المخاطر. ويحدد مسؤول لكل أصل أو مجموعة بيانات يقرر التصنيف وحدود الاستخدام والاحتفاظ، مع توزيع واضح للمسؤوليات بين حماية البيانات والأمن السيبراني والتقنية والامتثال والعمليات.

يحدد أو يعين مسؤول حماية البيانات الشخصية عند تحقق الحالات المقررة نظامًا، وتتاح له صلاحيات وموارد كافية مع معالجة تعارض المصالح. وتتولى وظيفة الأمن السيبراني متابعة الضوابط والحوادث والمخاطر ضمن متطلبات الاستقلال التنظيمي المنطبقة.

تقيّم الشركة التزامها بالتسجيل في السجل الوطني لجهات التحكم وتحدث بياناته عند وجوب التسجيل. وتوثق الموافقات والاستثناءات والإجراءات التصحيحية، ولا يعتمد استثناء داخلي يجيز مخالفة حكم نظامي إلزامي.

تحصر الشركة البيانات ومصادرها وأماكن تخزينها وتدفقها والمستلمين والمعالجين الفرعيين، بما في ذلك الخدمات الخارجية والوصول عن بعد. ويحدد التصنيف بحسب أثر الإفصاح أو التعديل أو الفقد أو عدم الإتاحة والمتطلبات النظامية والتعاقدية.

تحدد لكل فئة متطلبات الوصول والتشفير والمشاركة والحفظ والإتلاف. ولا تعد البيانات منشورة أو عامة لمجرد وجودها على الإنترنت إذا كانت إتاحتها مخالفة للنظام. وتراعى فئات البيانات الحساسة والائتمانية الشخصية على نحو مستقل عن التصنيف التجاري الداخلي.

تطبق حماية المعلومات المالية والتجارية حتى عندما لا تتضمن بيانات شخصية، مع فصل واضح بين حقوق المنشأة في ملفاتها وحقوق الأفراد الواردة بياناتهم فيها.

يحدد الغرض والمسوغ قبل بدء المعالجة، وتقدم الإشعارات اللازمة وتوثق الموافقات عند الحاجة. ولا تجمع معلومات احتياطًا لاستخدام مستقبلي غير محدد، ولا يغيّر الغرض دون استيفاء متطلبات النظام.

تراجع نماذج الإدخال والملفات والواجهات البرمجية لضمان الاقتصار على البيانات اللازمة. وتمنع أسرار الدخول البنكي ورموز التحقق من الدخول في ملفات الدعم والسجلات، وتقيّد معالجة نسخ وثائق الهوية الرسمية بالحالات المسموح بها نظامًا.

توضع آلية لتصحيح البيانات وإيقاف المعالجة المؤثرة إذا تبين عدم دقتها أو اكتمالها واحتمال إضرارها بصاحبها، مع إخطار الجهات التي أفصح لها عن البيانات المصححة وفق الالتزامات المنطبقة.

تدمج متطلبات الخصوصية والأمن منذ تصميم الخدمة وإضافة الخصائص واختيار الموردين. وتضبط الإعدادات الافتراضية على الحد الأدنى من البيانات والصلاحيات والمشاركة، وتراجع التغييرات قبل نشرها.

يجرى تقويم أثر مكتوب قبل المعالجات التي تستوجبه، ومنها معالجة البيانات الحساسة أو جمع وربط مجموعات بيانات من مصادر مختلفة، والحالات المتعلقة بالتقنيات الناشئة أو المراقبة أو القرارات الآلية وفق شروط اللائحة. ويوثق الغرض والمسوغ والمخاطر والضمانات والقرار، ويحدّث التقويم عند تغير المخاطر أو نطاق المعالجة.

تقيّم المصلحة المشروعة قبل الاعتماد عليها، ويمنع استخدامها خارج شروطها أو لتجاوز متطلبات الموافقة الصريحة. وتستوفى متطلبات تقويم نقل البيانات الدولي بصورة مستقلة حيث يلزم ذلك.

تمنح صلاحيات الوصول للأشخاص والحسابات الخدمية بحسب الحاجة وأقل امتياز لازم، مع فصل المهام الحساسة ومراجعة الوصول دوريًا وإلغائه عند انتهاء العلاقة أو تغير الدور. وتخضع الصلاحيات المميزة والوصول عن بعد لوسائل تحقق قوية ومتعددة العوامل وفق الضوابط المنطبقة.

يلزم عزل بيانات كل منشأة وكياناتها ومستخدميها في قواعد البيانات والتخزين والواجهات والتقارير. ويجب التحقق من الصلاحيات على الخادم لكل طلب، بما يشمل روابط تنزيل الملفات وتصدير التقارير، ولا يعتمد على إخفاء عناصر الواجهة وحده.

يقيد وصول موظفي الدعم أو الموردين إلى البيانات بسبب عمل موثق ولمدة محدودة، ويسجل عند السماح به. وتحمى مفاتيح الربط والأسرار في بيئات مناسبة، وتدوّر وتلغى بحسب المخاطر ودورة الاستخدام، ويحظر تضمينها في الشيفرة العامة أو الروابط المكشوفة.

تخضع مشاركة بيانات بوابة جسر للتحقق من هوية الشريك وصفته وصلاحية تمثيله، وتقييد الوصول بالعملاء الذين فعّلوا الربط معه وبفئات البيانات المعلن عنها. وتسجل الموافقة ونطاقها وتاريخها وإلغاؤها، ويلغى الوصول المستقبلي عند إنهاء الربط، وتختبر هذه الحدود بما يمنع استخدام رمز إحالة لاستخراج بيانات عميل آخر.

تستخدم وسائل تشفير وبروتوكولات آمنة مناسبة لحماية البيانات أثناء النقل، وتحمي البيانات المخزنة والنسخ الاحتياطية وفق التصنيف والضوابط المنطبقة. وتدار مفاتيح التشفير بصورة منفصلة وآمنة مع ضبط الوصول والاستعادة والتدوير والإلغاء.

تحظر الروابط العامة غير المقيدة للملفات المالية أو الشخصية، ويقيد التنزيل بالصلاحيات والنطاق والمدة المناسبة. وتراجع ملفات التصدير قبل مشاركتها، ويحد من تسرب البيانات عبر البريد أو أدوات التعاون أو الوسائط أو بيئات الاختبار.

تستخدم بيانات اصطناعية أو مجهولة الهوية في التطوير والاختبار متى أمكن. وإذا تعذر ذلك، لا تستخدم البيانات الحقيقية إلا بضرورة موثقة وضمانات وصلاحيات ومسوغ مناسب، وبمستوى الحماية اللازم لها.

تطبق متطلبات التطوير الآمن ومراجعة الشيفرة وإدارة الثغرات والتحديثات وحماية الأجهزة والشبكات والإعدادات. وتجرى الاختبارات الأمنية واختبارات الاختراق بحسب المخاطر وتواتر الضوابط المنطبقة، وتتابع المعالجة حتى التحقق من إغلاق الثغرة.

تحمى مسارات رفع الملفات ومعالجتها من المحتوى الخبيث والتلاعب، وتقيّد أنواع الملفات وحجمها ونطاق استخدامها. وتحمى الواجهات البرمجية من إساءة الاستخدام وإعادة استخدام الرموز غير الصالحة والوصول غير المصرح، وتختبر حدود العزل بين المنشآت.

تفصل بيئات التطوير والاختبار والإنتاج، وتخضع التغييرات للمراجعة والاعتماد والتراجع الآمن، مع خطط لمعالجة الإصدارات أو الموردين غير المدعومين.

تسجل الأحداث اللازمة لتتبع الدخول والتغييرات الحساسة والتنزيل والتصدير والصلاحيات والتكاملات والحوادث، مع حماية سلامة السجلات وتوقيتاتها ومنع تعديلها غير المصرح وتقييد الاطلاع عليها.

لا تتضمن السجلات كلمات المرور أو الرموز السرية أو نسخًا غير لازمة من المستندات والمعاملات. وتحدد مدة حفظها بحسب المخاطر والمتطلبات النظامية، وترصد المؤشرات غير المعتادة وتراجع التنبيهات دون مراقبة تتجاوز الغرض المشروع.

تقيّم الشركة مزودي الخدمة قبل التعاقد وبصورة دورية من حيث الضمانات الأمنية والخصوصية ومواقع المعالجة والقدرة على الاستجابة وإعادة البيانات وإتلافها. وتبرم اتفاقات تحدد الغرض والفئات والمدة والتعليمات والسرية والأمن والإبلاغ عن الحوادث وطلبات الحقوق والمراجعة.

عندما تكون الشركة جهة معالجة، لا تعين معالجًا فرعيًا إلا بعد موافقة جهة التحكم المسبقة والإشعار قبل التعاقد وتمكينها من الاعتراض خلال المدة المتفق عليها. وتبقى مسؤوليات الشركة تجاه العميل قائمة ضمن النظام والعقد، وتلزم الأطراف الفرعية بالضمانات اللازمة.

يشمل تقييم الخدمات السحابية المسؤوليات المشتركة ومواقع البيانات والنسخ الاحتياطية والدعم ومفاتيح التشفير وخطة الخروج ونقل الخدمة. ولا يعتمد موقع قاعدة البيانات وحده لإثبات بقاء جميع عمليات المعالجة داخل المملكة.

يخضع كل نقل أو إفصاح أو وصول من خارج المملكة لمراجعة قانونية وتقنية تحدد الغرض وفئات البيانات والدول والمستلمين والمعالجين اللاحقين وشروط المادة التاسعة والعشرين ولائحة النقل. وتعتمد الضمانات المناسبة والمسار النظامي الصحيح وتقويم المخاطر متى وجب، وتراقب استمرارية صلاحية تلك الضمانات.

يراعى أي التزام أشد بشأن الاستضافة المحلية أو موافقات الإسناد أو البيانات المالية والمصرفية. وتوقف المعالجة أو تعدل إذا تعذر استيفاء الشروط الواجبة، ولا تعد الموافقة العامة أو عقد المورد العام بديلًا عن استيفائها.

تقيد مدخلات الذكاء الاصطناعي بالبيانات اللازمة للغرض، وتخفى المعرفات غير المطلوبة متى أمكن. ويقيّم مزود النموذج من حيث الاحتفاظ بالمحتوى ومواقع المعالجة والاستخدام في التدريب وإتاحة البيانات للبشر والأطراف الفرعية.

لا تستخدم البيانات الشخصية أو الملفات السرية للعملاء لتدريب نماذج عامة بموجب الاشتراك الاعتيادي. وتراجع المخرجات التي قد تؤثر في قرارات مالية، مع بيان حدودها وموثوقية البيانات، وتتاح آلية للتصحيح ومعالجة الاعتراضات ذات الصلة.

تؤخذ الموافقة الصريحة في حالات المعالجة الآلية أو البيانات الحساسة التي يوجبها النظام، وتطبق متطلبات البيانات الائتمانية عند تحقق وصفها النظامي. ولا تصدر المنصة قرارًا تمويليًا ملزمًا لمجرد توليد مؤشر أو تقرير.

تعتمد الشركة جدول احتفاظ يحدد لكل فئة الغرض ومدة الحفظ أو معيار احتسابها وبداية المدة وسبب الاستثناء وطريقة الإتلاف ومسؤول التنفيذ، ويشمل البيانات التشغيلية والمرفقات والتقارير والسجلات والنسخ لدى الموردين.

توضع نسخ احتياطية محمية وخطط استعادة واستمرارية تتناسب مع أهمية الخدمة، وتختبر الاستعادة بصورة دورية. وتحدد أهداف التعافي والتوقف المقبولة داخليًا أو في اتفاق مستوى الخدمة بحسب المخاطر، دون نشر وعد زمني غير مثبت.

عند انتهاء الغرض أو تحقق طلب الإتلاف، تنفذ إزالة آمنة من الأنظمة والموردين ضمن الضوابط المعتمدة. وتقيّد أي نسخ باقية لالتزام نظامي أو دورة نسخ احتياطي وتمنع إعادة استخدامها لغرض آخر. وتوثق عمليات الإتلاف أو إخفاء الهوية، ويتحقق من تعذر إعادة التعرف قبل اعتبار البيانات مجهولة الهوية؛ فالترميز وحده لا يخرجها من نطاق البيانات الشخصية.

توضع إجراءات لاكتشاف الحوادث وتصنيفها واحتوائها وحفظ الأدلة والتحقيق فيها واستعادة الخدمة ومعالجة السبب ومنع التكرار. ويبلغ العاملون والموردون فور اكتشاف المؤشرات عبر قنوات التصعيد الداخلية المحددة.

إذا كانت الشركة جهة تحكم وكان من شأن تسرب البيانات الإضرار بالبيانات الشخصية أو أصحابها أو التعارض مع حقوقهم أو مصالحهم، تشعر الجهة المختصة خلال مدة لا تتجاوز اثنتين وسبعين ساعة من وقت علمها، وفق متطلبات الإشعار. ويشمل البلاغ المعلومات المتاحة عن الواقعة والفئات والأعداد والمخاطر والإجراءات ووسيلة التواصل، وتستكمل المعلومات الناقصة في أقرب وقت مع بيان أسباب التأخر.

يبلغ أصحاب البيانات المتأثرون دون تأخير غير مبرر متى تحقق موجب إشعارهم، بلغة واضحة تتضمن أثر الحادثة والإجراءات والإرشادات المناسبة. وإذا عملت الشركة جهة معالجة، تبلغ جهة التحكم دون تأخير غير مبرر وتقدم المعلومات اللازمة لتمكينها من الوفاء بالتزاماتها؛ ولا تنتظر انتهاء مهلة الإبلاغ الرقابية لإشعار العميل.

تراعى بالتوازي التزامات الإبلاغ للهيئة الوطنية للأمن السيبراني والبنك المركزي السعودي أو غيرهما متى انطبقت، وفق القنوات والمواعيد المقررة لكل جهة. ولا يغني بلاغ جهة عن بقية البلاغات الواجبة.

تتاح قناة مباشرة لطلبات أصحاب البيانات، ويضبط التحقق من الهوية والاستجابة والتصحيح والإتلاف والإحالة إلى جهة التحكم حيث يلزم. وتطبق مدة الثلاثين يومًا للطلبات وضوابط التمديد النظامية المبينة في سياسة الخصوصية، مع توثيق الإجراءات والردود.

تحتفظ الشركة بسجلات أنشطة المعالجة التي تتولاها بوصفها جهة تحكم، وتحدّث أغراضها وفئات البيانات والمستلمين والنقل الدولي والاحتفاظ والحماية، وتتيحها للجهة المختصة عند طلبها. وتحفظ هذه السجلات طوال النشاط وخمس سنوات بعد انتهائه وفق اللائحة؛ ولا تعني هذه المدة جواز الاحتفاظ بجميع بيانات العملاء للمدة نفسها.

تساعد الشركة جهات التحكم المتعاقدة معها في متطلبات الحقوق وتقويم الأثر والحوادث والمراجعات ضمن نطاق الخدمة واتفاق المعالجة.

يخضع العاملون للتوعية والتدريب المناسبين لأدوارهم، مع التزامات سرية وضوابط عند التعيين وتغير المهام وانتهاء العلاقة. ويشمل التدريب التعامل مع الملفات المالية والتصيد والإبلاغ عن الحوادث ومنع المشاركة غير المصرح بها.

تراجع السياسة وضوابطها دوريًا وعند تغير الخدمة أو المخاطر أو الأنظمة أو وقوع حادثة مهمة. وتوثق نتائج الاختبارات والمراجعات وخطط المعالجة ومواعيدها ومسؤوليها، ويتحقق من فاعلية الإغلاق. ولا يعوض نشر السياسة عن تنفيذ الضوابط أو تقديم أدلة الالتزام للجهات المختصة.

للاستفسارات أو طلبات حماية البيانات: complaint@xsquare.sa. وللإبلاغ عن اشتباه بتسرب أو وصول غير مشروع: dpo@xsquare.sa. ويمكن استخدام نموذج التواصل العام https://efm.seentarbi.sa/contact دون إرفاق أسرار أو ملفات مالية كاملة في البلاغ الأولي.

يرجى ذكر وصف مختصر للواقعة ووقت ملاحظتها ووسيلة آمنة للتواصل، دون إجراء اختبارات اختراق أو الاطلاع على بيانات الغير دون تصريح. ولا يحد هذا المسار من حق صاحب البيانات في تقديم شكوى إلى سدايا أو من أي التزام نظامي آخر.