بيان الامتثال لـ GDPR

تحمي RIADVICE SUARL («RIADVICE» أو «نحن» أو ضمائر المتكلم) البيانات الشخصية وفقًا للائحة العامة لحماية البيانات (الاتحاد الأوروبي) 2016/679 («GDPR») والقانون الأساسي التونسي عدد 63 لسنة 2004 المؤرخ في 27 جويلية 2004 المتعلق بحماية المعطيات الشخصية. ويشرح هذا البيان كيفية امتثالنا للائحة العامة لحماية البيانات عندما نعالج بيانات شخصية نيابة عن عملائنا، والالتزامات التي نتعهد بها بصفتنا معالجًا، وكيف يمكن للأشخاص المعنيين بالبيانات ممارسة حقوقهم. ويستخدم التعريفات الواردة في شروط الاستخدام الخاصة بنا، ويكمّل سياسة الخصوصية الخاصة بنا، التي تتناول المعالجة التي تكون فيها RIADVICE مسؤولًا عن المعالجة.

1. النطاق

ينطبق هذا البيان على الخدمات المستضافة وعلى الخدمات المهنية التي تعالج فيها RIADVICE بيانات شخصية نيابة عن عميل. وإذا وقّع العميل اتفاقية لمعالجة البيانات مع RIADVICE، تسود تلك الاتفاقية على هذا البيان. وإذا لم يوقّعها، تسري الالتزامات الواردة في البند 4 بوصفها شروط المعالجة التي تشترطها المادة 28 من اللائحة العامة لحماية البيانات، وفقًا لما ينص عليه البند 5 من شروط الاستخدام الخاصة بنا.

2. خدماتنا والبيانات التي تنطوي عليها

تقدم RIADVICE خدمات الاستضافة والخدمات المُدارة لـ BigBlueButton ولتطبيقات أخرى تستخدمها مؤسسات تعليمية وعامة وتجارية. ويتيح BigBlueButton التعاون الآني عبر الصوت والفيديو والدردشة والاستطلاعات والملاحظات المشتركة والسبورات البيضاء ومشاركة الشاشة. وقد تُسجَّل الجلسات، بحسب سياسات العميل وإعداداته. وتحوّل إضافاتنا التسجيلات إلى فيديو، وتُنتج لوحات معلومات وتقارير عن الحضور والتفاعل انطلاقًا من بيانات الجلسات، وتوزّع الاجتماعات على عدة خوادم. كما نشغّل تطبيقات لعملائنا، مثل مزامنة الملفات ومشاركتها، والمتاجر الإلكترونية، والبرمجيات الوسيطة للمراسلات البريدية. وتمثل حماية خصوصية هذه البيانات وأمنها جوهر عملنا، ونطبق مبادئ اللائحة العامة لحماية البيانات المتمثلة في المشروعية والإنصاف والشفافية وتحديد الغرض وتقليل البيانات إلى الحد الأدنى والدقة وتحديد مدة التخزين والسلامة والسرية والمساءلة.

3. الأدوار

• في معظم الحالات، يكون العميل، كمؤسسة تعليمية أو جهة تدريب أو شركة، هو المسؤول عن المعالجة، وتكون RIADVICE معالجًا لحسابه.
• حيثما يتصرف العميل نفسه بصفته معالجًا لحساب مؤسسة أخرى، كجهة تدريب تخدم أحد عملائها، تتصرف RIADVICE بصفتها معالجًا فرعيًا لحسابه.
• لا تكون RIADVICE مسؤولًا عن المعالجة إلا بالنسبة إلى البيانات التي تعالجها لأغراضها الخاصة، مثل إدارة حسابات العملاء والفوترة والدعم، كما تصف سياسة الخصوصية.

4. التزاماتنا بصفتنا معالجًا

عندما تعالج RIADVICE بيانات شخصية نيابة عن عميل، فإنها:

• لا تعالج البيانات إلا بناءً على تعليمات موثقة من العميل، بما في ذلك ما يتعلق بالنقل الدولي، ما لم يقتضِ القانون الذي تخضع له RIADVICE خلاف ذلك، وفي هذه الحالة تُعلم العميل قبل المعالجة ما لم يحظر ذلك القانونُ هذا الإعلام. وتشكل شروط الاستخدام ونموذج الطلب والإعدادات التي يختارها العميل في الخدمة تعليماته؛
• تُعلم العميل إذا رأت أن تعليمة ما تخالف اللائحة العامة لحماية البيانات أو غيرها من قوانين حماية البيانات؛
• تضمن التزام الأشخاص المخوَّلين بمعالجة البيانات بالسرية؛
• تطبق التدابير الأمنية الموصوفة في البند 8، وفقًا للمادة 32 من اللائحة العامة لحماية البيانات؛
• لا تستعين بمعالجين فرعيين إلا وفق الشروط الواردة في البند 10؛
• تساعد العميل، مع مراعاة طبيعة المعالجة، في الرد على طلبات الأشخاص المعنيين بالبيانات؛
• تساعد العميل على ضمان الامتثال لالتزاماته المتعلقة بالأمن والإخطار بالانتهاكات وتقييمات الأثر على حماية البيانات والاستشارة المسبقة، مع مراعاة المعلومات المتاحة لـ RIADVICE؛
• تحذف البيانات الشخصية أو تعيدها، وفق اختيار العميل، عند انتهاء الخدمات، على النحو الموصوف في البند 13، ما لم يقتضِ القانون الاحتفاظ بها؛
• تضع تحت تصرف العميل المعلومات اللازمة لإثبات الامتثال للمادة 28 من اللائحة العامة لحماية البيانات، وتتيح عمليات التدقيق وتسهم فيها على النحو الموصوف في البند 14.

يجوز فوترة المساعدة التي تتجاوز ما تقدمه RIADVICE في إطار الخدمة القياسية وفق أسعارها السارية، ما لم تكن الحاجة إليها ناتجة عن إخلال من جانب RIADVICE.

5. الأساس القانوني والموافقة

يحدد العميل، بصفته المسؤول عن المعالجة، الأساس القانوني للمعالجة بموجب المادة 6 من اللائحة العامة لحماية البيانات، كتنفيذ عقد أو التزام قانوني أو مهمة تُنفَّذ للمصلحة العامة أو المصالح المشروعة أو الموافقة، ويحدد عند الاقتضاء شرطًا من الشروط الواردة في المادة 9 من اللائحة العامة لحماية البيانات. وحيثما تكون الموافقة مطلوبة، كما في بعض التسجيلات، يحصل عليها العميل، عادةً عبر نظام إدارة التعلم الخاص به أو منصة واجهة أمامية أخرى. ويُعلم العميل المشاركين أيضًا قبل تسجيل أي جلسة. ويُظهر BigBlueButton للمشاركين متى تكون الجلسة قيد التسجيل.

6. فئات البيانات والأشخاص المعنيين بالبيانات

بحسب الخدمة وطريقة استخدام العميل لها، يشمل الأشخاص المعنيون بالبيانات موظفي العميل ومدرّسيه وطلابه ومتدربيه والمشاركين وضيوفه وجهات الاتصال لديه. وقد تشمل البيانات:

• بيانات التعريف، مثل الأسماء وأسماء المستخدمين وعناوين البريد الإلكتروني ومعرّفات المستخدمين التي تمررها منصة العميل؛
• بيانات المشاركة، مثل أوقات الانضمام والمغادرة، ومدة التحدث، ومدة تشغيل كاميرا الويب ومشاركة الشاشة، ونشاط الدردشة، والإجابات عن الاستطلاعات، والتفاعلات؛
• المحتوى المشارَك أثناء الجلسات، مثل الصوت والفيديو ورسائل الدردشة والعروض التقديمية والملاحظات والتعليقات التوضيحية على السبورة البيضاء والتسجيلات؛
• الملفات والمستندات والرسائل المخزنة في التطبيقات التي تُشغَّل لحساب العميل؛
• البيانات التقنية، مثل عناوين IP وأنواع المتصفحات وأنظمة التشغيل وسجلات الاتصال.

لا يجوز للعميل استخدام الخدمات لمعالجة فئات خاصة من البيانات الشخصية أو بيانات متعلقة بالإدانات الجنائية، ما لم يكن لديه أساس قانوني لذلك، وكان، حيثما تلزم تدابير خاصة، قد أبلغ RIADVICE مسبقًا.

7. الاحتفاظ بالبيانات

يحدد العميل، بصفته المسؤول عن المعالجة، مدد الاحتفاظ. وتُحذف التسجيلات وبيانات الاجتماعات تلقائيًا بعد انقضاء مدد الاحتفاظ المضبوطة لمنصة العميل أو المحددة في نموذج الطلب، ما لم يطلب العميل خلاف ذلك أو يقتضِ القانون الاحتفاظ بها. ولا يُحتفظ بالسجلات التقنية إلا طوال المدة اللازمة لتشغيل الخدمة وتأمينها.

8. التدابير الأمنية

تطبق RIADVICE تدابير تقنية وتنظيمية ملائمة للمخاطر، تشمل:

• تشفير البيانات أثناء نقلها وتشفير البيانات السرية؛
• ضوابط الوصول، وآليات المصادقة، وقصر الوصول على الموظفين المخوَّلين وفق مبدأ الحاجة إلى المعرفة؛
• الفصل بين بيئات العملاء وبياناتهم، حيثما يتيح تصميم الخدمة ذلك؛
• التحديثات المنتظمة والتصحيحات الأمنية؛
• مراقبة الأنظمة والخدمات؛
• النسخ الاحتياطية وإجراءات الاستعادة؛
• تعهدات السرية وتدريب الموظفين على حماية البيانات وعلى اللائحة العامة لحماية البيانات.

9. انتهاكات البيانات الشخصية

تُخطر RIADVICE العميل دون تأخير لا مبرر له بعد علمها بأي انتهاك للبيانات الشخصية يمس بيانات العميل. ويصف الإخطار، في حدود المعلومات المتاحة، طبيعة الانتهاك، وفئات الأشخاص المعنيين بالبيانات والسجلات المعنية وعددها التقريبي، والعواقب المحتملة، والتدابير المتخذة أو المقترحة. ثم تقدم RIADVICE معلومات إضافية فور توافرها، وتساعد العميل على الوفاء بالتزامه بإخطار سلطة الرقابة، وإخطار الأشخاص المعنيين بالبيانات عند الاقتضاء.

10. المعالجون الفرعيون

يمنح العميل RIADVICE إذنًا عامًا بالاستعانة بمعالجين فرعيين. وتفرض RIADVICE على كل معالج فرعي، بموجب عقد مكتوب، التزامات بحماية البيانات مكافئة لتلك الواردة في هذا البيان، وتظل مسؤولة تجاه العميل عن معالجيها الفرعيين. وتوجّه RIADVICE إشعارًا بأي إضافة أو استبدال مزمع لمعالج فرعي، عبر البريد الإلكتروني أو بتحديث هذه القائمة، قبل سريان التغيير حيثما كان ذلك ممكنًا بصورة معقولة. ويجوز للعميل الاعتراض لأسباب معقولة تتعلق بحماية البيانات. وإذا تعذر على الطرفين تسوية الاعتراض، جاز للعميل إنهاء الخدمة المعنية.

المعالجون الفرعيون المستعان بهم في الخدمات المستضافة والمُدارة هم:

لا يُستعان بكل معالج فرعي في كل خدمة. ويحدد نموذج الطلب أو إعدادات منصة العميل مكان استضافة خدمة العميل. وتُتاح عند الطلب قائمة المعالجين الفرعيين المعنيين بخدمة محددة.

11. النقل الدولي للبيانات

تتخذ RIADVICE مقرها في تونس، وهي دولة لا يشملها قرار كفاية صادر عن المفوضية الأوروبية. وتكون البيانات الشخصية التي ينقلها إلى RIADVICE عميل في الاتحاد الأوروبي أو المنطقة الاقتصادية الأوروبية مشمولةً بحماية البنود التعاقدية النموذجية التي اعتمدتها المفوضية الأوروبية في القرار التنفيذي (الاتحاد الأوروبي) 2021/914 (الوحدة الثانية، من المسؤول عن المعالجة إلى المعالج، أو الوحدة الثالثة، من المعالج إلى المعالج)، مستكمَلةً بالتدابير الواردة في البند 8. وحيثما يعالج معالج فرعي بيانات شخصية خارج الاتحاد الأوروبي أو المنطقة الاقتصادية الأوروبية، تستند RIADVICE إلى قرار كفاية أو إلى البنود التعاقدية النموذجية. ويجري النقل من تونس وفق الشروط المنصوص عليها في القانون الأساسي عدد 63 لسنة 2004، بما في ذلك الحصول على ترخيص الهيئة الوطنية لحماية المعطيات الشخصية (INPDP) حيثما يكون مطلوبًا.

12. طلبات الأشخاص المعنيين بالبيانات

بموجب اللائحة العامة لحماية البيانات، يحق للأشخاص المعنيين بالبيانات الاطلاع على بياناتهم وتصحيحها ومحوها، وتقييد معالجتها أو الاعتراض عليها، والحق في نقل البيانات. وينبغي لمستخدمي أي خدمة مستضافة التواصل أولًا مع مؤسستهم، فهي المسؤول عن المعالجة. وإذا تلقت RIADVICE طلبًا مباشرة، فإنها تحيله إلى العميل دون تأخير لا مبرر له، ولا ترد عليه بنفسها ما لم يأذن لها العميل بذلك. وتساعد RIADVICE العميل على الرد، كتحديد موقع البيانات أو تصديرها أو حذفها.

13. الإعادة والحذف

عند انتهاء الخدمات، يجوز للعميل تصدير بياناته وفقًا لما ينص عليه البند 25 من شروط الاستخدام. ثم تحذف RIADVICE البيانات الشخصية من أنظمتها النشطة، ومن النسخ الاحتياطية مع الكتابة فوقها ضمن دورتها المعتادة، ما لم يقتضِ القانون الاحتفاظ بها. ولا تخضع البيانات التي تنتظر حذفها من النسخ الاحتياطية لأي معالجة إضافية، إلا لاستعادة نظام ما. وتؤكد RIADVICE الحذف كتابيًا عند الطلب.

14. التدقيق والمعلومات

تجيب RIADVICE عن الأسئلة المكتوبة المعقولة واستبيانات الأمن التي يوجهها إليها العملاء بشأن المعالجة التي تجريها. وإذا لم تكن هذه المعلومات كافية لإثبات الامتثال، يجوز للعميل إجراء تدقيق، بنفسه أو عبر مدقق مستقل ملتزم بالسرية، بما لا يتجاوز مرة واحدة في السنة ما لم يبرر ذلك وقوع انتهاك للبيانات الشخصية أو طلب من سلطة رقابة، مع إشعار مسبق لا تقل مدته عن ثلاثين (30) يومًا، وخلال ساعات العمل، ودون تعطيل الخدمات أو المساس بأمن بيانات العملاء الآخرين أو سريتها. ويتحمل كل طرف تكاليفه الخاصة، ما لم يكشف التدقيق عن إخلال جوهري من جانب RIADVICE.

15. جهة الاتصال المعنية بحماية البيانات

تشرف جهة الاتصال المعنية بحماية البيانات لدى RIADVICE على الامتثال، وتجيب عن الأسئلة والطلبات المتعلقة بالبيانات الشخصية على العنوان privacy@riadvice.tn.

16. الاتصال

لمزيد من المعلومات حول امتثالنا للائحة العامة لحماية البيانات أو ممارساتنا في مجال الخصوصية، تواصلوا مع privacy@riadvice.tn أو contact@riadvice.com، أو راسلوا RIADVICE SUARL, Appartement B1, Résidence Ramzi, 2074 Mourouj 5, Ben Arous, Tunisia.

آخر تحديث: 9 أكتوبر 2026