Pernyataan Pematuhan GDPR

RIADVICE SUARL (“RIADVICE” atau “kami”) melindungi data peribadi menurut Peraturan Perlindungan Data Am (EU) 2016/679 (“GDPR”) dan Undang-undang Organik Tunisia No. 2004-63 bertarikh 27 Julai 2004 mengenai perlindungan data peribadi. Pernyataan ini menerangkan cara kami mematuhi GDPR apabila kami memproses data peribadi bagi pihak Pelanggan kami, komitmen kami sebagai pemproses data, dan cara subjek data boleh melaksanakan hak mereka. Pernyataan ini menggunakan definisi dalam Terma Penggunaan kami dan melengkapi Dasar Privasi kami, yang meliputi pemprosesan yang dijalankan oleh RIADVICE sebagai pengawal data.

1. Skop

Pernyataan ini terpakai kepada Perkhidmatan Dihoskan dan kepada Perkhidmatan Profesional yang melibatkan pemprosesan data peribadi oleh RIADVICE bagi pihak seorang Pelanggan. Jika seorang Pelanggan telah menandatangani perjanjian pemprosesan data dengan RIADVICE, perjanjian tersebut diguna pakai mengatasi pernyataan ini. Jika tidak, komitmen dalam Seksyen 4 terpakai sebagai terma pemprosesan yang dikehendaki oleh Perkara 28 GDPR, sebagaimana yang diperuntukkan dalam Seksyen 5 Terma Penggunaan kami.

2. Perkhidmatan kami dan data yang terlibat

RIADVICE menyediakan perkhidmatan pengehosan dan perkhidmatan terurus bagi BigBlueButton dan bagi aplikasi lain yang digunakan oleh organisasi pendidikan, awam dan komersial. BigBlueButton membolehkan kolaborasi masa nyata melalui audio, video, sembang, tinjauan, nota kongsi, papan putih dan perkongsian skrin. Sesi mungkin dirakam, bergantung pada dasar dan tetapan Pelanggan. Tambahan kami menukar rakaman kepada video, menghasilkan papan pemuka dan laporan kehadiran dan penglibatan daripada data sesi, dan mengagihkan mesyuarat merentas beberapa pelayan. Kami juga mengendalikan aplikasi untuk Pelanggan, seperti penyegerakan dan perkongsian fail, kedai dalam talian dan perisian perantara mel. Perlindungan privasi dan keselamatan data ini merupakan teras kerja kami, dan kami menerapkan prinsip GDPR iaitu kesahan, keadilan, ketelusan, had tujuan, pengurangan data, ketepatan, had penyimpanan, integriti, kerahsiaan dan akauntabiliti.

3. Peranan

• Dalam kebanyakan kes, Pelanggan, contohnya institusi pendidikan, penyedia latihan atau syarikat, ialah pengawal data. RIADVICE ialah pemproses datanya.
• Jika Pelanggan sendiri bertindak sebagai pemproses data bagi organisasi lain, contohnya penyedia latihan yang memberikan perkhidmatan kepada kliennya, RIADVICE bertindak sebagai subpemprosesnya.
• RIADVICE ialah pengawal data hanya bagi data yang diprosesnya untuk tujuannya sendiri, seperti pengurusan akaun Pelanggan, pengebilan dan sokongan, sebagaimana yang diterangkan dalam Dasar Privasi.

4. Komitmen kami sebagai pemproses data

Apabila RIADVICE memproses data peribadi bagi pihak seorang Pelanggan, RIADVICE:

• memproses data hanya atas arahan Pelanggan yang didokumenkan, termasuk berkenaan pemindahan antarabangsa, melainkan undang-undang yang tertakluk kepada RIADVICE menghendaki sebaliknya, dan dalam keadaan tersebut RIADVICE memaklumkan Pelanggan sebelum pemprosesan melainkan undang-undang tersebut melarangnya. Terma Penggunaan, Borang Pesanan dan konfigurasi yang dipilih oleh Pelanggan dalam perkhidmatan tersebut merupakan arahannya;
• memaklumkan Pelanggan jika, pada pendapatnya, sesuatu arahan melanggar GDPR atau undang-undang perlindungan data yang lain;
• memastikan bahawa orang yang diberi kuasa untuk memproses data terikat dengan kerahsiaan;
• melaksanakan langkah keselamatan yang diterangkan dalam Seksyen 8, menurut Perkara 32 GDPR;
• melantik subpemproses hanya di bawah syarat dalam Seksyen 10;
• membantu Pelanggan, dengan mengambil kira sifat pemprosesan, dalam menjawab permintaan daripada subjek data;
• membantu Pelanggan dalam memastikan pematuhan obligasinya berkenaan keselamatan, pemberitahuan pelanggaran, penilaian impak perlindungan data dan rundingan terdahulu, dengan mengambil kira maklumat yang tersedia kepada RIADVICE;
• pada akhir perkhidmatan, memadamkan atau memulangkan data peribadi mengikut pilihan Pelanggan, sebagaimana yang diterangkan dalam Seksyen 13, melainkan undang-undang menghendaki data tersebut disimpan;
• menyediakan kepada Pelanggan maklumat yang perlu untuk membuktikan pematuhan Perkara 28 GDPR, dan membenarkan serta menyumbang kepada audit sebagaimana yang diterangkan dalam Seksyen 14.

Bantuan yang melangkaui apa yang disediakan oleh RIADVICE sebagai sebahagian daripada perkhidmatan standard boleh dicaj pada kadar semasanya, melainkan keperluan bagi bantuan tersebut berpunca daripada pelanggaran oleh RIADVICE.

5. Asas undang-undang dan persetujuan

Sebagai pengawal data, Pelanggan menentukan asas undang-undang bagi pemprosesan di bawah Perkara 6 GDPR, contohnya pelaksanaan kontrak, obligasi undang-undang, tugas yang dijalankan demi kepentingan awam, kepentingan sah atau persetujuan, dan, jika perlu, syarat di bawah Perkara 9 GDPR. Jika persetujuan diperlukan, contohnya bagi sesetengah rakaman, Pelanggan mendapatkannya, lazimnya melalui sistem pengurusan pembelajarannya atau platform hadapan yang lain. Pelanggan juga memaklumkan peserta sebelum sesuatu sesi dirakam. BigBlueButton menunjukkan kepada peserta apabila sesuatu sesi sedang dirakam.

6. Kategori data dan subjek data

Bergantung pada perkhidmatan dan cara Pelanggan menggunakannya, subjek data termasuk kakitangan, guru, pelajar, pelatih, peserta, tetamu dan kenalan Pelanggan. Data tersebut mungkin merangkumi:

• data pengenalan, seperti nama, nama pengguna, alamat e-mel dan pengecam pengguna yang dihantar oleh platform Pelanggan;
• data penyertaan, seperti masa menyertai dan meninggalkan sesi, masa bercakap, masa kamera web dan perkongsian skrin, aktiviti sembang, jawapan tinjauan dan reaksi;
• kandungan yang dikongsi semasa sesi, seperti audio, video, mesej sembang, pembentangan, nota, anotasi papan putih dan rakaman;
• fail, dokumen dan mesej yang disimpan dalam aplikasi yang dikendalikan untuk Pelanggan;
• data teknikal, seperti alamat IP, jenis pelayar dan sistem pengendalian, serta log sambungan.

Pelanggan tidak boleh menggunakan perkhidmatan untuk memproses kategori khas data peribadi atau data berkaitan sabitan jenayah melainkan Pelanggan mempunyai asas undang-undang untuk berbuat demikian dan, jika langkah khusus diperlukan, telah memaklumkan RIADVICE terlebih dahulu.

7. Penyimpanan

Tempoh penyimpanan ditentukan oleh Pelanggan sebagai pengawal data. Rakaman dan data mesyuarat dipadamkan secara automatik selepas tempoh penyimpanan yang dikonfigurasikan bagi platform Pelanggan atau yang dinyatakan dalam Borang Pesanan, melainkan Pelanggan meminta sebaliknya atau undang-undang menghendaki data tersebut disimpan. Log teknikal disimpan hanya selama yang diperlukan untuk mengendalikan dan melindungi perkhidmatan.

8. Langkah keselamatan

RIADVICE menerapkan langkah teknikal dan organisasi yang bersesuaian dengan risiko, termasuk:

• penyulitan data dalam transit dan penyulitan data sulit;
• kawalan akses, mekanisme pengesahan dan akses yang terhad kepada kakitangan yang diberi kuasa atas dasar perlu tahu;
• pengasingan persekitaran dan data Pelanggan, jika reka bentuk perkhidmatan memperuntukkannya;
• kemas kini dan tampalan keselamatan yang berkala;
• pemantauan sistem dan perkhidmatan;
• sandaran dan prosedur pemulihan;
• aku janji kerahsiaan dan latihan kakitangan tentang perlindungan data dan GDPR.

9. Pelanggaran data peribadi

RIADVICE memberitahu Pelanggan tanpa kelewatan yang tidak wajar selepas menyedari berlakunya pelanggaran data peribadi yang menjejaskan data Pelanggan. Pemberitahuan tersebut menerangkan, setakat maklumat yang tersedia, sifat pelanggaran, kategori dan anggaran bilangan subjek data dan rekod yang terlibat, kemungkinan akibatnya dan langkah yang diambil atau dicadangkan. RIADVICE kemudiannya memberikan maklumat lanjut apabila maklumat tersebut tersedia dan membantu Pelanggan memenuhi obligasinya sendiri untuk memberitahu pihak berkuasa penyeliaan dan, jika dikehendaki, subjek data.

10. Subpemproses

Pelanggan memberikan kepada RIADVICE kebenaran am untuk melantik subpemproses. RIADVICE mengenakan ke atas setiap subpemproses obligasi perlindungan data yang setara dengan obligasi dalam pernyataan ini, melalui kontrak bertulis, dan kekal bertanggungjawab kepada Pelanggan atas subpemprosesnya. RIADVICE memberikan notis tentang sebarang cadangan penambahan atau penggantian subpemproses, melalui e-mel atau dengan mengemas kini senarai ini, sebelum perubahan tersebut berkuat kuasa jika munasabah mungkin. Seseorang Pelanggan boleh membantah atas alasan perlindungan data yang munasabah. Jika pihak-pihak tidak dapat menyelesaikan bantahan tersebut, Pelanggan boleh menamatkan perkhidmatan yang terjejas.

Subpemproses yang digunakan bagi perkhidmatan yang dihoskan dan perkhidmatan terurus ialah:

Tidak semua subpemproses digunakan bagi setiap perkhidmatan. Borang Pesanan atau konfigurasi platform Pelanggan menyatakan lokasi perkhidmatan Pelanggan dihoskan. Subpemproses yang terlibat dalam sesuatu perkhidmatan tertentu boleh diperoleh atas permintaan.

11. Pemindahan antarabangsa

RIADVICE ditubuhkan di Tunisia, yang tidak diliputi oleh keputusan kecukupan Suruhanjaya Eropah. Data peribadi yang dipindahkan kepada RIADVICE oleh seorang Pelanggan di Kesatuan Eropah atau Kawasan Ekonomi Eropah dilindungi oleh Klausa Kontrak Standard yang diterima pakai oleh Suruhanjaya Eropah dalam Keputusan Pelaksanaan (EU) 2021/914 (modul dua, pengawal data kepada pemproses data, atau modul tiga, pemproses data kepada pemproses data), yang ditambah dengan langkah dalam Seksyen 8. Jika subpemproses memproses data peribadi di luar Kesatuan Eropah atau Kawasan Ekonomi Eropah, RIADVICE bergantung pada keputusan kecukupan atau pada Klausa Kontrak Standard. Pemindahan dari Tunisia dibuat di bawah syarat Undang-undang Organik No. 2004-63, termasuk kebenaran INPDP jika dikehendaki.

12. Permintaan subjek data

Di bawah GDPR, subjek data berhak untuk mengakses, membetulkan dan memadamkan data mereka, menyekat atau membantah pemprosesannya dan berhak atas kemudahalihan data. Pengguna sesuatu perkhidmatan yang dihoskan hendaklah menghubungi organisasi mereka terlebih dahulu, yang merupakan pengawal data. Jika RIADVICE menerima permintaan secara langsung, RIADVICE memajukannya kepada Pelanggan tanpa kelewatan yang tidak wajar dan tidak menjawabnya sendiri melainkan Pelanggan memberikan kebenaran. RIADVICE membantu Pelanggan menjawab, contohnya dengan mengesan, mengeksport atau memadamkan data.

13. Pemulangan dan pemadaman

Pada akhir perkhidmatan, Pelanggan boleh mengeksport datanya sebagaimana yang diperuntukkan dalam Seksyen 25 Terma Penggunaan. RIADVICE kemudiannya memadamkan data peribadi daripada sistem aktifnya, dan daripada sandaran apabila sandaran tersebut ditulis ganti dalam putaran biasanya, melainkan undang-undang menghendaki data tersebut disimpan. Data yang menunggu untuk dipadamkan daripada sandaran tidak diproses selanjutnya, kecuali untuk memulihkan sistem. Atas permintaan, RIADVICE mengesahkan pemadaman tersebut secara bertulis.

14. Audit dan maklumat

RIADVICE menjawab soalan bertulis dan soal selidik keselamatan yang munasabah daripada Pelanggan tentang pemprosesannya. Jika maklumat ini tidak mencukupi untuk membuktikan pematuhan, seseorang Pelanggan boleh menjalankan audit, sendiri atau melalui juruaudit bebas yang terikat dengan kerahsiaan, tidak lebih daripada sekali setahun melainkan pelanggaran data peribadi atau permintaan daripada pihak berkuasa penyeliaan mewajarkannya, dengan notis sekurang-kurangnya tiga puluh (30) hari, dalam waktu pejabat dan tanpa mengganggu perkhidmatan atau menjejaskan keselamatan atau kerahsiaan data pelanggan lain. Setiap pihak menanggung kosnya sendiri, melainkan audit tersebut mendedahkan pelanggaran material oleh RIADVICE.

15. Pihak hubungan perlindungan data

Pihak hubungan perlindungan data RIADVICE menyelia pematuhan dan menjawab soalan serta permintaan tentang data peribadi di privacy@riadvice.tn.

16. Hubungi kami

Untuk maklumat lanjut tentang pematuhan GDPR atau amalan privasi kami, hubungi privacy@riadvice.tn atau contact@riadvice.com, atau tulis kepada RIADVICE SUARL, Appartement B1, Résidence Ramzi, 2074 Mourouj 5, Ben Arous, Tunisia.

Kemas kini terakhir: 9 Oktober 2026