اتفاقية معالجة البيانات: العقد الذي يفرضه النظام مع كل مزود يلمس بيانات عملائك
دليل عملي للمنشأة الصغيرة والمتوسطة التي تسلّم بيانات عملائها أو موظفيها لمزود خارجي: من المتحكم ومن المعالج، وما الذي تنص عليه الاتفاقية، ومتى توقعها.
عندما تسلّم منشأتك بيانات عملائها أو موظفيها إلى جهة خارجية، كنظام رواتب أو منصة موارد بشرية، أو مزود استضافة سحابية، أو وكالة تسويق، أو شريك توصيل أو مركز اتصال، فأنت لا تنقل ملفاً فحسب، بل تنقل معه جزءاً من التزامك النظامي. ونظام حماية البيانات الشخصية الصادر بالمرسوم الملكي رقم م/١٩ وتعديلاته يُبقي المسؤولية الأساسية على منشأتك، حتى لو كانت المعالجة الفعلية تجري على خوادم غيرك وبأيدي موظفين لا تعرفهم.
لهذا لا تكفي سياسة الخصوصية المنشورة على موقعك. فالسياسة تخاطب أصحاب البيانات وتشرح لهم ما تفعله ببياناتهم، أما اتفاقية معالجة البيانات فتخاطب مزودك وتحدد له بدقة ما يجوز أن يفعله بتلك البيانات وما لا يجوز. واللائحة التنفيذية للنظام تشترط أن تتعاقد المنشأة مع جهة المعالجة باتفاق يتضمن عناصر محددة، فالاتفاقية هنا متطلب نظامي لا ورقة إضافية.
يشرح هذا الدليل بلغة مبسطة من هي جهة التحكم ومن هي جهة المعالجة، وما الذي تنص عليه الاتفاقية قسماً قسماً، ومتى توقعها وكيف تلحقها بعقد خدمات قائم دون إعادة التفاوض عليه من البداية. والقالب I-04 من صيغتي جاهز للتعبئة بالعربية والإنجليزية، ومعتمد من محامٍ سعودي مرخّص ومحدّث مع الأنظمة.
احصل على قالب اتفاقية معالجة البياناتI-04لماذا تحتاج اتفاقية معالجة بجانب سياسة الخصوصية
أغلب المنشآت الصغيرة والمتوسطة تعتمد اليوم على مزودين خارجيين في أعمال يومية لا تتوقف، وكل واحد من هؤلاء يرى بيانات شخصية تخص عملاءك أو موظفيك. وسياسة الخصوصية تَعِد أصحاب البيانات بأن بياناتهم محمية، لكن هذا الوعد لا قيمة له إن لم يكن مزودك ملزماً به كتابياً. فالاتفاقية هي الأداة التي تنقل وعدك العلني إلى التزام تعاقدي على من يعالج البيانات نيابة عنك.
- نظام الرواتب أو منصة الموارد البشرية: أسماء الموظفين وهوياتهم ورواتبهم وحساباتهم البنكية وسجلات إجازاتهم.
- مزود الاستضافة السحابية: قاعدة بيانات العملاء والطلبات والنسخ الاحتياطية كاملة.
- وكالة التسويق: قوائم البريد الإلكتروني وأرقام الجوال وسجل التفاعل مع الحملات.
- شريك التوصيل: اسم العميل وعنوانه ورقم جواله وتفاصيل الطلب.
- مركز الاتصال: تسجيلات المكالمات وبيانات الشكاوى والحسابات.
في كل حالة من هذه الحالات يبقى العميل أو الموظف يرى منشأتك أنت، لا المزود. فإن تسربت بياناته أو استُخدمت في غير غرضها، كانت منشأتك أول من يُسأل أمامه وأمام الجهة المختصة، وهي الهيئة السعودية للبيانات والذكاء الاصطناعي (سدايا). والاتفاقية الموقعة هي ما يثبت أنك اخترت مزودك بعناية وألزمته بما يلزمك به النظام.
متحكم ومعالج: من أنت ومن مزودك في نظر النظام
يميّز النظام بين طرفين. جهة التحكم هي الجهة التي تحدد الغرض من معالجة البيانات الشخصية وطريقتها، وهي في الغالب منشأتك لأنك أنت من جمع البيانات وقرر لماذا تُستخدم. وجهة المعالجة هي الجهة التي تعالج البيانات الشخصية لمصلحة جهة التحكم ونيابة عنها، أي مزودك الذي ينفذ ما تطلبه منه ولا يقرر لنفسه.
- من قرر جمع البيانات ولأي غرض؟ هذه جهة التحكم.
- من يخزن البيانات أو يرسل الرسائل أو يحسب الرواتب وفق تعليماتك؟ هذه جهة المعالجة.
- هل يستخدم المزود البيانات لأغراضه الخاصة، كبناء قاعدة عملاء لنفسه؟ هنا لم يعد مجرد معالج، وتحتاج إلى ترتيب مختلف.
ولهذا التمييز أثر عملي مهم. فاللائحة التنفيذية تجعل جهة المعالجة التي تخالف تعليمات جهة التحكم أو الاتفاق المبرم معها في حكم جهة التحكم، ومسؤولة عن مخالفة أحكام النظام. أي أن الاتفاقية الواضحة لا تحميك وحدك، بل ترسم لمزودك حدوداً إن تجاوزها تحمّل تبعة ذلك. أما إذا كانت العلاقة تبادلاً للبيانات بين منشأتين تقرر كل منهما أغراضها، فالأنسب غالباً اتفاقية مشاركة البيانات I-05 لا اتفاقية المعالجة.
البنود الإلزامية في اتفاقية المعالجة: الأغراض والتعليمات والأمن
تشترط اللائحة التنفيذية أن يتضمن الاتفاق مع جهة المعالجة حداً أدنى من العناصر، منها غرض المعالجة، وفئات البيانات الشخصية، والمدة الزمنية للمعالجة، والتزام المعالج بإشعارك عند التسرب، وتحديد جهات المعالجة الفرعية. والاتفاقية الجيدة تبني على هذا الحد الأدنى وتنظمه في أقسام واضحة. هذه هي الأقسام الأولى التي تحدد ماذا يعالج المزود ولماذا وكيف.
- الغرض ونطاق المعالجة: الخدمة المحددة التي يعالج المزود البيانات من أجلها، ومنعه من أي استخدام آخر.
- فئات البيانات وأصحابها: أي بيانات تُسلَّم، كالأسماء والعناوين والرواتب، وعن من، كالعملاء أو الموظفين أو المتقدمين للوظائف.
- المدة الزمنية للمعالجة: متى تبدأ ومتى تنتهي، وربطها بمدة عقد الخدمة الأصلي.
- واجبات المعالج والتعليمات: أن يعالج وفق تعليماتك الموثقة فقط، وأن يشعرك كتابياً ودون تأخير إن رأى أن تعليمة منها تخالف النظام، كما تقتضي اللائحة.
- السرية: إلزام كل من يطّلع على البيانات من موظفي المزود بالسرية، وقصر الاطلاع على من يحتاجه لأداء الخدمة.
- التدابير الأمنية: الضوابط التقنية والتنظيمية التي يلتزم بها المزود لحماية البيانات، كالتشفير وضبط الصلاحيات والنسخ الاحتياطي.
تلتزم جهة المعالجة بمعالجة البيانات الشخصية وفق التعليمات الموثقة لجهة التحكم وللغرض المحدد في هذه الاتفاقية فقط، ولا يجوز لها استخدامها لأي غرض آخر. وإذا رأت أن أي تعليمة تخالف الأنظمة المعمول بها في المملكة، أشعرت جهة التحكم بذلك كتابياً ودون تأخير.
The Processor shall process the personal data only on the Controller's documented instructions and solely for the purpose set out in this Agreement, and may not use it for any other purpose. If the Processor considers that any instruction breaches the laws in force in the Kingdom, it shall notify the Controller in writing without delay.
بند توضيحي مختصر للفهم فقط. النص الكامل المعتمد بجميع أقسامه موجود في القالب I-04.
البنود التشغيلية: المعالجون الفرعيون والتسريب والتدقيق والحذف
الأقسام التالية تنظم ما يحدث أثناء العلاقة وعند نهايتها، وهي التي تُختبر فعلاً عند وقوع مشكلة. ومزودك نفسه قد يستعين بمزودين آخرين، فشركة الرواتب قد تستضيف بياناتها لدى مزود سحابي، ووكالة التسويق قد تستخدم منصة رسائل خارجية.
- المعالجون الفرعيون: تحديدهم في الاتفاقية، وعدم التعاقد مع أي معالج فرعي جديد إلا بموافقتك المسبقة بعد إشعارك ومنحك فرصة للاعتراض، مع إلزامه بحماية لا تقل عن الحماية المتفق عليها.
- إشعار جهة التحكم بالتسريب: التزام المزود بإشعارك بأي تسرب للبيانات الشخصية دون تأخر غير مبرر، مع ما يتوفر لديه من تفاصيل تساعدك على الوفاء بالتزاماتك تجاه الجهة المختصة وأصحاب البيانات.
- المساعدة في طلبات أصحاب البيانات: تمكينك من الرد على طلبات الوصول والتصحيح والإتلاف التي تصلك، وإحالة أي طلب يصل إلى المزود مباشرة إليك. وحزمة الرد على طلبات أصحاب البيانات I-06 تساعدك في الجزء الخاص بك من هذه العملية.
- التدقيق: حقك في التحقق دورياً من التزام المزود، وهو واجب تفرضه اللائحة على جهة التحكم، مع جواز تكليف جهة مستقلة بذلك.
- الإرجاع أو الإتلاف عند النهاية: إعادة البيانات إليك أو إتلافها بما في ذلك النسخ الاحتياطية، بحسب اختيارك، مع إقرار مكتوب بذلك.
- المدة والمسؤولية: سريان الاتفاقية ما دامت المعالجة قائمة، وبقاء التزامات السرية بعد انتهائها، وتوزيع المسؤولية والتعويض بين الطرفين عند الإخلال.
تلتزم جهة المعالجة بإشعار جهة التحكم بأي تسرب للبيانات الشخصية دون تأخر غير مبرر من علمها به، وتزوّدها بطبيعة التسرب والبيانات المتأثرة والإجراءات المتخذة لاحتوائه، وتتعاون معها في كل ما يلزم لمعالجته.
The Processor shall notify the Controller of any personal data leak without undue delay after becoming aware of it, and shall provide the nature of the leak, the data affected and the steps taken to contain it, and shall cooperate with the Controller in everything needed to address it.
بند توضيحي مختصر. الصياغة الكاملة المعتمدة لإجراءات التسريب موجودة في القالب I-04.
مزودون خارج السعودية: ماذا يعني نقل البيانات خارج المملكة
كثير من الأنظمة السحابية ومنصات الرواتب والتسويق تخزن البيانات أو تعالجها خارج المملكة. واللائحة التنفيذية تشترط أن يبيّن الاتفاق مع جهة المعالجة ما إذا كانت خاضعة لأنظمة دول أخرى، وأثر ذلك على التزامها. ويخضع نقل البيانات الشخصية إلى خارج المملكة لأحكام خاصة تنظمها لائحة نقل البيانات الشخصية خارج المملكة، وقد نشرت سدايا بنوداً تعاقدية قياسية تُستخدم ضمانةً عند النقل إلى دولة أو منظمة لا يتوفر فيها مستوى ملائم من الحماية.
- اسأل مزودك كتابياً: أين تُخزَّن البيانات، وأين يقع المعالجون الفرعيون، ومن أي دولة يُدار الدعم الفني.
- اذكر مواقع المعالجة في الاتفاقية، واشترط إشعارك قبل نقلها إلى دولة جديدة.
- قبل أي نقل خارجي، راجع مع محاميك الأساس النظامي للنقل والضمانة المناسبة له، لأن شروط النقل تفصيلية وقابلة للتحديث.
متى توقع الاتفاقية وكيف تلحقها بعقد خدمات قائم
التوقيت الصحيح هو قبل أن يستلم المزود أي بيانات، أي عند توقيع عقد الخدمة أو قبل تفعيل الحساب على المنصة. وإن كانت العلاقة قائمة منذ مدة دون اتفاقية، فلا تنتظر التجديد، بل أبرم الاتفاقية ملحقاً بالعقد الحالي. ولا حاجة لإعادة التفاوض على السعر أو نطاق الخدمة، فالملحق ينظم البيانات وحدها.
- اجمع قائمة بكل مزود يلمس بيانات عملائك أو موظفيك، وحدد لكل منهم البيانات التي يراها.
- حدد لكل مزود هل هو جهة معالجة تعمل وفق تعليماتك، أم جهة تحكم مستقلة تحتاج معها اتفاقية مشاركة بيانات.
- اطلب من المزود اتفاقيته إن وُجدت، وقارنها بالعناصر الإلزامية، أو قدّم له اتفاقيتك المعدّة من القالب I-04.
- أبرم الاتفاقية ملحقاً بعقد الخدمة، مع نص صريح على أنها جزء لا يتجزأ منه، وعلى أن أحكامها تسود في كل ما يتعلق بالبيانات الشخصية عند التعارض.
- احفظ النسخة الموقعة في سجل منظم، وراجعها عند تغيّر الخدمة أو المعالجين الفرعيين أو مواقع المعالجة.
الاتفاقية حلقة في سلسلة وثائق متكاملة. فسياسة الخصوصية D-03 تخبر عملاءك بأنك تستعين بمزودين، وإشعار ملفات الارتباط D-04 يغطي أدوات التتبع على موقعك، وإشعار خصوصية بيانات الموظفين E-17 يخبر فريقك بأن بياناتهم تمر عبر نظام الرواتب، واتفاقية المعالجة I-04 تلزم المزود بما وعدت به في كل ذلك. والقوالب نماذج معتمدة ونقطة انطلاق قوية، لكنها لا تغني عن استشارة محاميك في حالة بعينها، والنص العربي هو المعتمد عند الاختلاف.
الأسئلة الشائعة
هل تكفي شروط الخدمة التي وافقت عليها عند الاشتراك في المنصة؟
ليس دائماً. بعض المنصات الكبرى تضمّن شروطها ملحقاً لمعالجة البيانات، لكنه مكتوب لحمايتها هي وقد لا يغطي كل العناصر التي تشترطها اللائحة التنفيذية. راجع ما وافقت عليه وقارنه بالعناصر الإلزامية، فإن وجدت نقصاً فاطلب ملحقاً مكمّلاً.
مزودي شركة صغيرة أو مستقل، هل أحتاج اتفاقية معه أيضاً؟
نعم. العبرة بأن المزود يعالج بيانات شخصية نيابة عنك، لا بحجمه. والمستقل الذي يدير حملاتك التسويقية أو يصمم متجرك ويطّلع على بيانات العملاء جهة معالجة كأي شركة كبيرة.
ما الفرق بين اتفاقية معالجة البيانات واتفاقية مشاركة البيانات؟
اتفاقية المعالجة I-04 تُبرم مع مزود ينفذ تعليماتك ولا يقرر أغراض المعالجة. أما اتفاقية المشاركة I-05 فتُبرم حين تتبادل منشأتان البيانات وتقرر كل منهما أغراضها، كشريكين في حملة مشتركة.
إذا تسربت البيانات من المزود، هل تنتقل المسؤولية إليه بالكامل؟
لا تنتقل بالكامل. تبقى منشأتك جهة التحكم المسؤولة أمام أصحاب البيانات والجهة المختصة، لكن الاتفاقية تحدد التزامات المزود وتمنحك أساساً للرجوع عليه. والمزود الذي خالف تعليماتك أو الاتفاقية يُعامل في حكم جهة التحكم ويتحمل مسؤولية مخالفته.
هل أحتاج اتفاقية مع مزود يخزن بيانات الموظفين فقط؟
نعم. بيانات الموظفين بيانات شخصية يحميها النظام كبيانات العملاء، ونظام الرواتب ومنصة الموارد البشرية من أوضح أمثلة جهات المعالجة. وأرفق بها إشعار خصوصية بيانات الموظفين E-17 حتى يعلم فريقك بذلك.
أُعدّ هذا الدليل وروجِع من قبل محامٍ مرخص في المملكة. المحتوى معلومات عامة استرشادية وليس استشارة قانونية، ويُنصح بمراجعة محامٍ مرخص لحالتك الخاصة. عند وجود نصين عربي وإنجليزي، يُعتد بالنص العربي.