سياسة حماية البيانات ("السياسة")

الغرض من السياسة هو:

• i. الامتثال للقانون.
• ii. اتباع الممارسات الجيدة.
• iii. حماية العملاء والموظفين والأفراد الآخرين.
• iv. حماية الشركة.

2. لا تُجمع جميع البيانات الشخصية (وفقاً لتعريف هذا المصطلح في اللائحة العامة لحماية البيانات ("GDPR")) التي تجمعها WORKPLACED وتحتفظ بها وتعالجها، ولا يُحتفظ بها ولا تُنقل ولا تُعالج، إلا وفقاً للائحة العامة لحماية البيانات ولسياسة WORKPLACED. ولذلك، تنطبق هذه السياسة على كل خادم وقاعدة بيانات ونظام تكنولوجيا معلومات يتعامل مع هذه البيانات، بما في ذلك أي جهاز يُستخدم بانتظام للبريد الإلكتروني أو الوصول إلى الويب أو غير ذلك من المهام المتعلقة بالعمل. ويخضع لهذه السياسة أيضاً كل مستخدم يتفاعل مع خدمات تكنولوجيا المعلومات في الشركة. ولا تخضع لهذه السياسة المعلومات المصنفة على أنها عامة. ويجوز لإدارة WORKPLACED استثناء بيانات أخرى من السياسة بناءً على احتياجات عمل محددة، مثل كون حماية البيانات مكلفة أو معقدة أكثر من اللازم.

3. يكون قسم تكنولوجيا المعلومات في WORKPLACED ("قسم تكنولوجيا المعلومات") مسؤولاً عن:

• i. إطلاع مجلس إدارة WORKPLACED على مسؤوليات حماية البيانات.
• ii. مراجعة سياسة حماية البيانات والسياسات ذات الصلة.
• iii. تقديم المشورة للموظفين الآخرين بشأن مسائل حماية البيانات الشائكة.
• iv. ضمان إجراء التعريف والتدريب في مجال حماية البيانات.
• v. التعامل مع طلبات أصحاب البيانات للوصول.
• vi. الموافقة على عمليات الكشف غير المعتادة أو المثيرة للجدل عن البيانات الشخصية.
• vii. الموافقة على العقود مع معالجي البيانات.

4. ينبغي أن يُطلب من جميع الموظفين والمتطوعين قراءة أي سياسات وإجراءات تتعلق بالبيانات الشخصية التي قد يتعاملون معها في سياق عملهم وفهمها وقبولها. (من الآن فصاعداً، حيثما تُستخدم كلمة "الموظفون"، فإنها تشمل الموظفين بأجر والمتطوعين على حد سواء.)

5. يضمن قسم تكنولوجيا المعلومات وجود ضوابط لأمن البيانات تشمل، كحد أدنى وعلى سبيل المثال لا الحصر، الفصل المنطقي للبيانات، والوصول المقيد (مثل الوصول القائم على الأدوار) ومراقبته، واستخدام تقنيات تشفير البيانات الشخصية المتاحة تجارياً والمعتمدة في القطاع.

6. يجب تشفير جميع رسائل البريد الإلكتروني التي تحتوي على بيانات شخصية.

7. توفر WORKPLACED لجميع الموظفين والأطراف الثالثة المتعاقد معها إمكانية الوصول إلى المعلومات التي يحتاجون إليها للاضطلاع بمسؤولياتهم بأكبر قدر ممكن من الفعالية والكفاءة. ولذلك:

• a. يُحدد كل مستخدم بمعرّف مستخدم فريد بحيث يمكن مساءلة الأفراد عن أفعالهم.
• b. لا يُسمح باستخدام الهويات المشتركة إلا حيثما تكون مناسبة، مثل حسابات التدريب أو حسابات الخدمة.
• c. يقرأ كل مستخدم سياسة أمن البيانات هذه ويوقع على بيان يفيد بأنه يفهم شروط الوصول.
• d. يجوز استخدام سجلات وصول المستخدمين لتقديم أدلة في التحقيقات في الحوادث الأمنية.
• e. يُمنح الوصول بناءً على مبدأ الحد الأدنى من الامتيازات، والذي يعني منح كل مستخدم وتطبيق وخدمة أقل قدر من الامتيازات اللازمة لإنجاز مهامه.

• a. يُمنح جميع الموظفين والمتعاقدين إمكانية الوصول إلى الشبكة وفقاً لإجراءات التحكم في الوصول الخاصة بالعمل ومبدأ الحد الأدنى من الامتيازات.
• b. تتم مصادقة جميع الموظفين والمتعاقدين الذين لديهم وصول عن بُعد إلى شبكات WORKPLACED باستخدام آلية مصادقة الشبكة الافتراضية الخاصة (VPN) فقط.
• c. يُنفذ الفصل بين الشبكات وفقاً لما توصي به أبحاث أمن الشبكات لدى WORKPLACED. ويقوم مسؤولو الشبكة بتجميع خدمات المعلومات والمستخدمين ونظم المعلومات حسب الاقتضاء لتحقيق الفصل المطلوب.
• d. تُنفذ ضوابط توجيه الشبكة لدعم سياسة التحكم في الوصول.

• a. يجب على جميع المستخدمين قفل شاشاتهم كلما غادروا مكاتبهم للحد من خطر الوصول غير المصرح به.
• b. يجب على جميع المستخدمين إبقاء مكان عملهم خالياً من أي معلومات حساسة أو سرية عند مغادرتهم.
• c. يجب على جميع المستخدمين الحفاظ على سرية كلمات المرور الخاصة بهم وعدم مشاركتها.

• a. يُمنح جميع موظفي WORKPLACED والمتعاقدين معها إمكانية الوصول إلى البيانات والتطبيقات اللازمة لمسؤوليات وظائفهم.
• b. لا يصل جميع موظفي WORKPLACED والمتعاقدين معها إلى البيانات والأنظمة الحساسة إلا إذا كانت هناك حاجة عمل لذلك وحصلوا على موافقة الإدارة العليا.
• c. تُعزل الأنظمة الحساسة مادياً أو منطقياً لقصر الوصول على الموظفين المصرح لهم فقط.

• a. يقتصر الوصول إلى البيانات المصنفة على أنها 'سرية' أو 'مقيدة' على الأشخاص المصرح لهم الذين تتطلب مسؤوليات وظائفهم ذلك، على النحو الذي تحدده السياسة أو الإدارة العليا في WORKPLACED.
• b. تقع مسؤولية تنفيذ قيود الوصول على عاتق قسم تكنولوجيا المعلومات.

12. لا يجوز نقل البيانات الشخصية إلى جهاز يملكه موظف شخصياً، ولا يجوز نقل البيانات الشخصية إلى أجهزة تعود ملكيتها إلى وكلاء أو متعاقدين أو أطراف أخرى تعمل نيابةً عن WORKPLACED إلا إذا وافق الطرف المعني على الامتثال الكامل لنص هذه السياسة وروحها ولنص AVG وروحه (وقد يشمل ذلك أن يثبت لـ WORKPLACED أن جميع التدابير التقنية والتنظيمية المناسبة قد اتُّخذت).

13. يوفر قسم تكنولوجيا المعلومات إجراءات وضوابط تشغيلية لضمان الإزالة الآمنة لأي جزء من أنظمة تكنولوجيا المعلومات أو أي وسيط لجعل أي معلومات أو بيانات في أنظمة تكنولوجيا المعلومات غير قابلة للقراءة أو الاسترداد قبل إزالتها نهائياً أو إخراجها من حيازة WORKPLACED.

14. حيثما يتعين حذف البيانات الشخصية أو إزالتها على نحو آخر لأي سبب (بما في ذلك حيثما أُنشئت نسخ لم تعد هناك حاجة إليها)، يجب حذفها بشكل آمن. وينبغي تمزيق النسخ الورقية وحذف النسخ الإلكترونية حذفاً 'نهائياً'.

15. يضمن قسم تكنولوجيا المعلومات وجود تدابير تقنية وتنظيمية مناسبة لديه للحماية من المعالجة غير المصرح بها أو غير المشروعة للبيانات الشخصية ومن الفقدان أو الإتلاف العرضي للبيانات الشخصية أو الإضرار بها. وذلك بما يتناسب مع الضرر الذي قد ينجم عن المعالجة غير المصرح بها أو غير المشروعة أو الفقدان أو الإتلاف أو الضرر العرضي للبيانات المراد حمايتها وطبيعة البيانات المراد حمايتها، مع مراعاة حالة التطور التكنولوجي وتكلفة تنفيذ التدابير (وقد تشمل هذه التدابير استخدام الأسماء المستعارة وترميز البيانات الشخصية عند الاقتضاء، وضمان سرية الأنظمة والخدمات وسلامتها وتوافرها ومرونتها، وضمان توافر البيانات الشخصية وإمكانية الوصول إليها، واستعادة توافر هذه البيانات وإمكانية الوصول إليها في الوقت المناسب بعد وقوع حادث، والمراجعة والتقييم المنتظمين لفعالية التدابير التقنية والتنظيمية التي تتخذها المفوضية).

16. يجب تخزين جميع النسخ الإلكترونية من البيانات الشخصية بشكل آمن باستخدام كلمات المرور وتشفير البيانات.

17. لا يصل إلى البيانات الشخصية التي تحتفظ بها WORKPLACED إلا المستخدمون الذين يحتاجون إلى الوصول إلى البيانات الشخصية واستخدامها من أجل أداء المهام الموكلة إليهم على النحو الصحيح.

18. يخضع جميع المستخدمين الذين يعالجون البيانات الشخصية لصالح WORKPLACED ونيابةً عنها لأحكام سياسة حماية البيانات الخاصة بـ WORKPLACED ويجب عليهم الامتثال لها.