سياسة الخصوصية وحماية البيانات

1التعريفات

يكون للكلمات والعبارات الآتية، أينما وردت في هذه السياسة، المعاني المبيّنة أمام كل منها، وما لم يرد تعريفه هنا فيكون له المعنى الوارد في نظام حماية البيانات الشخصية ولائحته التنفيذية:

النظام

نظام حماية البيانات الشخصية الصادر بالمرسوم الملكي رقم (م/19) وتاريخ 9/2/1443هـ وتعديلاته.

اللوائح

اللائحة التنفيذية للنظام، ولائحة نقل البيانات الشخصية إلى خارج المملكة، وما يصدر من قواعد وإرشادات ذات صلة.

الجهة المختصة

الهيئة السعودية للبيانات والذكاء الاصطناعي (سدايا)، أو أي جهة تُحدَّد نظاماً للإشراف على تطبيق النظام.

أَولى أو نحن

أَولى (شركة قيد التأسيس)، بصفتها جهة التحكم في البيانات الشخصية المعالَجة عبر الموقع.

الموقع

موقع أَولى للأعمال على النطاق oulafintech.com وصفحاته ونماذجه، بما فيها البوابة التجريبية.

المنشأة

أي شركة أو جهة يتواصل ممثلها معنا عبر الموقع.

أنتم أو الممثل

الشخص الطبيعي الذي يستخدم الموقع أو يقدّم بياناته بصفته ممثلاً عن منشأة أو مهتماً بحلولها.

البيانات الشخصية

كل بيان يؤدي إلى معرفة الفرد على وجه التحديد أو يجعل التعرف عليه ممكناً بصفة مباشرة أو غير مباشرة.

المعالجة

أي عملية تُجرى على البيانات الشخصية، كالجمع والتسجيل والحفظ والاستخدام والإفصاح والنقل والإتلاف.

جهة المعالجة

أي جهة تعالج البيانات الشخصية لمصلحتنا ونيابةً عنا وبناءً على تعليماتنا.

البيانات المجمّعة

بيانات إحصائية لا تحدد هوية أي فرد ولا يمكن ربطها به بوسائل معقولة.

2جهة التحكم ونطاق السياسة

1. 2.1
   جهة التحكم المسؤولة عن معالجة البيانات الشخصية عبر الموقع هي أَولى (شركة قيد التأسيس). وستُحدَّث هذه السياسة ببيانات السجل التجاري والعنوان الوطني المسجّل وقنوات التواصل الرسمية فور استكمال التأسيس.
2. 2.2
   تسري هذه السياسة على البيانات الشخصية لممثلي المنشآت وزوار الموقع. ولا تسري على بيانات الأفراد في تطبيق أَولى للأفراد، التي تحكمها سياسة خصوصية مستقلة تُعرض عليهم قبل الاستخدام، ولا على موقع joinoula.com الذي له سياسته الخاصة.
3. 2.3
   أَولى مشروع في مرحلة ما قبل الإطلاق، ولا تقدّم حالياً أي خدمة مالية، ولا نطلب عبر الموقع أي بيانات عن موظفي المنشأة.
4. 2.4
   تُحفظ بيانات نماذج طلب العرض التعريفي وخطاب الاهتمام في قاعدة بيانات آمنة لدى مزوّد الاستضافة (Cloudflare)، وتُعالج على النحو المبيّن في هذه السياسة.

3البيانات التي نجمعها

1. 3.1
   طلب العرض التعريفي:

   1. (أ)الاسم الكامل، والمسمى الوظيفي، واسم المنشأة، وبريد العمل، ورقم الجوال إن قُدِّم.
   2. (ب)حجم المنشأة التقريبي وقطاعها ومجالات الاهتمام، والموعد والطريقة المفضّلان، ووصف التحدي إن قُدِّم.
2. 3.2
   خطاب الاهتمام:

   1. (أ)اسم المنشأة وقطاعها وحجمها التقريبي، واسم المفوَّض بالتوقيع ومسمّاه الوظيفي وبريد عمله، ومجالات الاهتمام.
   2. (ب)شعار المنشأة إن رُفع، والنسخة الموقّعة من الخطاب إن رُفعت، وقد تتضمن توقيع المفوَّض وختم المنشأة.
   3. (ج)نتيجة التحقق الآلي من تطابق نطاق بريد العمل مع نطاق المنشأة، دون جمع بيانات إضافية لهذا الغرض.
3. 3.3
   البوابة التجريبية: بيانات توضيحية لمنشأة افتراضية تُحفظ في متصفحكم فقط. ويُرجى عدم إدخال أي بيانات شخصية حقيقية لموظفيكم أو معلومات سرية فيها.
4. 3.4
   البيانات التقنية: بيانات تقنية محدودة لازمة لتشغيل الموقع وحمايته، كعنوان IP ونوع المتصفح وسجلات الأمان لدى مزوّد الاستضافة. وأي قياس لاستخدام الموقع يكون بصيغة مجمّعة دون معرّفات شخصية ودون ملفات تعريف ارتباط إعلانية.
5. 3.5
   ما لا نجمعه: لا نجمع عبر الموقع بيانات موظفي المنشأة، ولا أرقام الهويات، ولا البيانات المصرفية، ولا أي بيانات حساسة.

4أغراض المعالجة وأسسها النظامية

1. 4.1
   عند الاعتماد على المصلحة المشروعة نوازن بينها وبين حقوقكم ومصالحكم ونوثّق هذا التقييم، ولا نعتمد عليها في معالجة أي بيانات حساسة.
2. 4.2
   لا نستخدم البيانات الشخصية لغرض لا يتفق مع الغرض الذي جُمعت من أجله إلا بموافقتكم أو في الحالات التي يجيزها النظام، ولا نتخذ بشأنكم قرارات آلية بالكامل ذات أثر نظامي.

5الموافقة وسحبها

1. 5.1
   نطلب الموافقة بصورة صريحة وواضحة ومحددة الغرض، كخانة الموافقة على التواصل في نموذج الطلب، ولا نجعلها شرطاً لخدمة لا تتطلبها.
2. 5.2
   يحق لكم سحب موافقتكم في أي وقت عبر صفحة التواصل، أو عبر رابط إلغاء الاشتراك في الرسائل، أو بحذف بيانات الموقع من متصفحكم في النسخة التجريبية.
3. 5.3
   لا يؤثر سحب الموافقة في مشروعية المعالجة التي تمت قبله.

6تقليل البيانات ودقتها

1. 6.1
   نقصر الجمع على الحد الأدنى اللازم لتحقيق كل غرض، والحقول غير الضرورية اختيارية ومُعلَّمة بذلك.
2. 6.2
   نتخذ الخطوات المعقولة للتحقق من دقة البيانات واكتمالها وحداثتها، ونمكّنكم من تصحيحها.
3. 6.3
   نطلب منكم عدم تضمين النماذج أو المرفقات أي بيانات شخصية عن موظفيكم أو أي معلومات سرية.

7مدد الاحتفاظ والإتلاف

1. 7.1
   عند انقضاء مدة الاحتفاظ أو انتفاء الغرض نتلف البيانات بطريقة آمنة أو نجعلها غير معرِّفة على نحو لا يمكن معه التعرّف على أصحابها، ما لم يوجب نظام الاحتفاظ بها مدة أطول أو تلزم لدعوى قضائية قائمة، فتُحفظ حينئذٍ بالقدر اللازم فقط.

8الاستضافة والنقل خارج المملكة

1. 8.1
   نعتزم استضافة البيانات الشخصية ومعالجتها داخل المملكة العربية السعودية، لدى مزوّدي خدمات سحابية يعملون وفق الإطار التنظيمي للحوسبة السحابية الصادر عن هيئة الاتصالات والفضاء والتقنية، وسنُفصح في هذه السياسة عن موقع الاستضافة عند تفعيل المعالجة الفعلية.
2. 8.2
   لا تُنقل البيانات الشخصية إلى خارج المملكة، ولا يُتاح الوصول إليها من خارجها، إلا في الحالات التي يجيزها النظام ولائحة نقل البيانات الشخصية إلى خارج المملكة، وبعد التحقق مما يلي:

   1. (أ)ألّا يترتب على النقل مساس بالأمن الوطني أو بالمصالح الحيوية للمملكة.
   2. (ب)توافر مستوى مناسب من الحماية لدى الجهة المستقبِلة لا يقل عن المستوى المقرر في النظام، أو اتخاذ ضمانات مناسبة تعتمدها الجهة المختصة، كالبنود التعاقدية المعيارية أو القواعد المؤسسية الملزمة.
   3. (ج)قصر النقل على الحد الأدنى من البيانات اللازمة لتحقيق الغرض.
   4. (د)إجراء تقييم لمخاطر النقل في الحالات التي تتطلبه اللائحة.
3. 8.3
   إذا اقتضى تشغيل الموقع مستقبلاً نقل أي بيانات إلى خارج المملكة، فسنُحدّث هذه السياسة لبيان الدولة أو الدول المستقبِلة والغرض والضمانات المطبّقة قبل البدء في النقل.

9الإفصاح والمعالجون

1. 9.1
   لا نبيع البيانات الشخصية ولا نؤجّرها ولا نقايض بها، ولا نتيح البيانات الخام لأي جهة.
2. 9.2
   نستعين بجهات معالجة ضمن الفئات العامة الآتية، بموجب عقود مكتوبة تلزمها بالمعالجة وفق تعليماتنا فقط، وبالسرية، وبتدابير أمنية مناسبة، وبإبلاغنا بأي حادثة، وبإتلاف البيانات أو إعادتها عند انتهاء التعاقد:

   1. (أ)خدمات الاستضافة السحابية وقواعد البيانات وتخزين الملفات.
   2. (ب)خدمات البريد الإلكتروني وإدارة المراسلات وجدولة المواعيد.
   3. (ج)خدمات الحماية من الهجمات والبرمجيات الآلية.
   4. (د)أدوات القياس المجمّع لاستخدام الموقع.
3. 9.3
   لا نُفصح عن اسم المنشأة أو شعارها أو عن خطاب الاهتمام لأي طرف ثالث، بما في ذلك المستثمرون المحتملون، ولا نستخدمها في أي مادة تسويقية أو تعريفية، إلا بموافقة المنشأة المسبقة. ويجوز لنا الإشارة إلى عدد الخطابات المستلمة بصيغة مجمّعة لا تكشف هوية أي منشأة.
4. 9.4
   قد نُفصح عن البيانات بالقدر اللازم تنفيذاً لالتزام نظامي أو حكم قضائي أو طلب من جهة رسمية مختصة.
5. 9.5
   في حال إعادة هيكلة أو اندماج أو استحواذ، بما في ذلك انتقال المشروع إلى الشركة عند استكمال تأسيسها، تنتقل البيانات وفق أحكام النظام مع استمرار الحماية المقررة في هذه السياسة.

10ملفات تعريف الارتباط والتخزين المحلي

1. 10.1
   لا يستخدم الموقع حالياً ملفات تعريف ارتباط إعلانية أو أدوات تتبّع لجهات خارجية.
2. 10.2
   نستخدم التخزين المحلي في متصفحكم لأغراض ضرورية لتشغيل الموقع: حفظ تفضيل المظهر (فاتح أو داكن)، وحفظ بيانات النماذج في النسخة التجريبية، وحالة البوابة التجريبية.
3. 10.3
   يمكنكم حذف هذه البيانات في أي وقت من إعدادات المتصفح عبر خيار مسح بيانات الموقع.
4. 10.4
   إذا استخدمنا مستقبلاً ملفات تعريف ارتباط أو تقنيات غير ضرورية لتشغيل الموقع، فسنطلب موافقتكم المسبقة عبر أداة موافقة واضحة قبل تفعيلها.

11حقوقكم وكيفية ممارستها

1. 11.1
   يكفل لك نظام حماية البيانات الشخصية ولائحته التنفيذية الحقوق الآتية:

   1. (أ)الحق في العلم: إحاطتك بالأساس النظامي لجمع بياناتك والغرض منه، وهو ما تحققه هذه السياسة.
   2. (ب)الحق في الوصول: الاطلاع على بياناتك الشخصية المتوافرة لدينا.
   3. (ج)الحق في طلب نسخة: الحصول على نسخة من بياناتك بصيغة واضحة ومقروءة.
   4. (د)الحق في التصحيح: طلب تصحيح بياناتك أو إكمالها أو تحديثها.
   5. (هـ)الحق في الإتلاف: طلب إتلاف بياناتك متى انتفت الحاجة إليها، دون إخلال بالحالات التي يوجب فيها النظام الاحتفاظ بها.
   6. (و)الحق في سحب الموافقة: الرجوع عن موافقتك على المعالجة في أي وقت، وكذلك الاعتراض على تلقّي الرسائل التسويقية.
2. 11.2
   لممارسة أيٍّ من هذه الحقوق، أرسل طلبك عبر صفحة التواصل مع ذكر عبارة «طلب يخص بياناتي الشخصية» والحق الذي ترغب في ممارسته. وقد نطلب منك ما يلزم بصورة متناسبة للتحقق من هويتك، كالتأكيد من البريد الإلكتروني المسجّل لدينا، حمايةً لبياناتك من الوصول غير المشروع.
3. 11.3
   نستجيب للطلب خلال مدة لا تتجاوز ثلاثين (30) يوماً من تاريخ استلامه مستوفياً، ويجوز تمديد هذه المدة في الحالات التي تجيزها اللائحة التنفيذية، مع إشعارك بالتمديد وأسبابه.
4. 11.4
   تُقدَّم هذه الحقوق دون مقابل. ويجوز لنا رفض الطلب أو تقييده في الحالات التي يجيزها النظام، كأن يكون الطلب متكرراً بصورة غير معقولة أو يمس حقوق الغير، مع إبلاغك بأسباب ذلك كتابةً.
5. 11.5
   يحق لك تقديم شكوى إلى الجهة المختصة، الهيئة السعودية للبيانات والذكاء الاصطناعي (سدايا)، عبر قنواتها الرسمية ووفق الإجراءات التي تحددها، إذا رأيت أن معالجة بياناتك تخالف أحكام النظام. ونرحّب بتواصلك معنا أولاً لمعالجة ملاحظتك.

12أمن البيانات والإبلاغ عن الحوادث

1. 12.1
   نطبّق، بحسب مرحلة تشغيل الموقع، تدابير تنظيمية وتقنية وإدارية مناسبة لطبيعة البيانات ومخاطر معالجتها، مسترشدين بالضوابط الصادرة عن الهيئة الوطنية للأمن السيبراني، ومنها:

   1. (أ)تشفير الاتصال بالموقع (HTTPS/TLS) وتشفير البيانات المخزّنة لدى مزوّدي الاستضافة.
   2. (ب)تقييد الوصول الداخلي على أساس الحاجة الفعلية وأقل صلاحية ممكنة، والمصادقة متعددة العوامل للحسابات الإدارية.
   3. (ج)سجلات تدقيق لعمليات الوصول، ونسخ احتياطي، وفصل بيئات التطوير عن بيئة التشغيل.
   4. (د)إلزام الموظفين والمعالجين بالسرية، ومراجعة أمنية قبل الإطلاق وبعد أي تغيير جوهري.
2. 12.2
   لا يوجد نظام إلكتروني يمكن ضمان أمانه بصورة مطلقة، ولذلك لا نقدّم ضماناً بانعدام المخاطر، وإنما نلتزم ببذل العناية اللازمة للوقاية منها ومعالجة أي حادثة فور اكتشافها.
3. 12.3
   عند وقوع حادثة تسرّب أو تلف أو وصول غير مشروع إلى البيانات الشخصية، نُشعر الجهة المختصة خلال اثنتين وسبعين (72) ساعة من علمنا بها متى كان من شأنها الإضرار بالبيانات أو بأصحابها أو التعارض مع حقوقهم، ونُشعر أصحاب البيانات المتأثرين دون تأخير غير مبرر إذا كان من شأنها إلحاق ضرر بهم، مع بيان طبيعة الحادثة والإجراءات المتخذة والتوصيات اللازمة لحمايتهم.
4. 12.4
   لن نطلب منك عبر الموقع أو البريد أو الهاتف كلمة مرور مصرفية أو رمز تحقق صادراً من بنكك أو بيانات بطاقتك. وأي طلب من هذا النوع منسوب إلى أَولى لا يصدر عنا، فيُرجى عدم الاستجابة له وإبلاغنا به.

13بيانات الموظفين في حلول أَولى

توضّح هذه الالتزامات كيفية معالجة بيانات الموظفين عند تفعيل حلول أَولى في المنشآت بعد الإطلاق، وتُفصَّل في اتفاقية مكتوبة مع كل منشأة:

1. 13.1
   لا تحصل المنشأة إلا على مؤشرات مجمّعة وغير معرِّفة، وتُحجب آلياً أي مجموعة يقل عدد أفرادها عن عشرة (10) أشخاص.
2. 13.2
   لا تطّلع المنشأة على الدرجة السلوكية لأي موظف، ولا على تفاصيل إنفاقه أو حساباته أو معاملاته. ويقتصر ما يصلها على المستوى الفردي على نتيجة أهلية لخدمة طلبها الموظف بنفسه، وبموافقته الصريحة.
3. 13.3
   لا تُقدَّم نتائج المؤشر السلوكي أو شهادة الدخل الموثّق لأي جهة تمويلية أو غيرها إلا بموافقة صريحة ومسبقة من صاحبها لكل جهة وغرض، وتقتصر على النتيجة دون الكشوف أو المعاملات الخام.
4. 13.4
   تُعد البيانات الائتمانية من البيانات الحساسة وفق النظام، ولا تُعالج إلا بالضوابط المقررة لها.
5. 13.5
   لن نبيع البيانات الخام لأي جهة، ولن نتيح المعاملات المصرفية الخام لأي طرف ثالث.
6. 13.6
   تلتزم المنشأة بعدم محاولة التعرّف على الأفراد من المؤشرات المجمّعة، وبعدم ربط مشاركة الموظف أو امتناعه بأي أثر وظيفي، وبأن تكون مشاركة الموظفين اختيارية.
7. 13.7
   تُبرم قبل أي تجربة اتفاقية مكتوبة تحدد أدوار الطرفين ومسؤولياتهما في حماية البيانات، والحد الأدنى من البيانات اللازمة للتكامل، ومتطلبات الأمن والسرية.

14القُصّر

1. 14.1
   الموقع موجّه إلى ممثلي المنشآت من البالغين، وغير موجّه إلى من هم دون الثامنة عشرة (18)، ولا نجمع بياناتهم عن علم.
2. 14.2
   إذا تبيّن لنا جمع بيانات قاصر دون موافقة وليّه، فسنتلفها دون تأخير.

15زوار الاتحاد الأوروبي

1. 15.1
   الموقع موجّه أساساً إلى المقيمين في المملكة العربية السعودية. ومع ذلك، نطبّق على زوارنا من الاتحاد الأوروبي والمنطقة الاقتصادية الأوروبية والمملكة المتحدة، بالقدر الذي تسري فيه عليهم اللائحة العامة لحماية البيانات (GDPR)، مبادئها الأساسية: المشروعية والعدالة والشفافية، وتحديد الغرض، وتقليل البيانات، والدقة، وتقييد مدة التخزين، والنزاهة والسرية، والمساءلة.
2. 15.2
   تقابل الأسس النظامية الواردة في هذه السياسة الأسس المقررة في المادة (6) من تلك اللائحة: الموافقة، وتنفيذ العقد أو اتخاذ خطوات قبل التعاقد بناءً على طلبك، والالتزام النظامي، والمصلحة المشروعة.
3. 15.3
   يحق لك، إضافةً إلى الحقوق المبيّنة أعلاه، طلب تقييد المعالجة، والاعتراض على المعالجة القائمة على المصلحة المشروعة، وطلب نقل بياناتك بصيغة منظّمة شائعة الاستخدام، وتقديم شكوى إلى سلطة حماية البيانات في دولة إقامتك.
4. 15.4
   أي نقل لبياناتك من تلك الدول إلى المملكة يتم بالضمانات المناسبة التي تتطلبها اللائحة الأوروبية متى كانت سارية.

16تعديل السياسة

1. 16.1
   قد نعدّل هذه السياسة لمواكبة تطور الخدمات أو الأنظمة، ونُحدّث تاريخ آخر تحديث ورقم الإصدار في كل مرة.
2. 16.2
   نُخطر من تتوافر لدينا بيانات التواصل معهم بأي تعديل جوهري قبل سريانه بمدة معقولة، ونطلب موافقتهم مجدداً متى كان التعديل يتطلب ذلك نظاماً.
3. 16.3
   يمكنكم طلب الإصدارات السابقة من هذه السياسة عبر صفحة التواصل.

17النظام الواجب التطبيق واللغة

1. 17.1
   تخضع هذه السياسة لأنظمة المملكة العربية السعودية، وفي مقدمتها نظام حماية البيانات الشخصية ولوائحه، ويختص بنظر أي نزاع بشأنها المحاكم المختصة في مدينة الرياض، دون إخلال بحق تقديم الشكوى إلى الجهة المختصة، وبالحقوق الآمرة التي تقررها أنظمة دولة إقامة صاحب البيانات متى كانت سارية.
2. 17.2
   حُرّرت هذه السياسة باللغة العربية، وهي المرجع عند الاختلاف مع أي ترجمة.

18التواصل

1. 18.1
   لأي استفسار أو طلب يتعلق بالبيانات الشخصية، تواصلوا معنا عبر نموذج التواصل أو صفحة تواصل معنا، مع ذكر عبارة «طلب يخص بياناتي الشخصية».
2. 18.2
   سنعلن قنوات التواصل الرسمية المخصصة لحماية البيانات، وبيانات مسؤول حماية البيانات الشخصية متى لزم تعيينه، في هذه الصفحة فور اعتمادها.