1. نظرة عامة على اللائحة العامة لحماية البيانات
اللائحة العامة لحماية البيانات (GDPR) هي قانون شامل لحماية البيانات دخل حيز التنفيذ في 25 مايو 2018 في جميع أنحاء الاتحاد الأوروبي والمنطقة الاقتصادية الأوروبية. وهي تضع متطلبات صارمة حول كيفية جمع المؤسسات ومعالجة وتخزين وحماية البيانات الشخصية لسكان الاتحاد الأوروبي.
ما هي البيانات الشخصية؟
بموجب اللائحة العامة لحماية البيانات، البيانات الشخصية هي أي معلومات تتعلق بشخص طبيعي محدد أو قابل للتحديد. وهذا يشمل:
- الهوية الأساسية: الاسم، العنوان، عنوان البريد الإلكتروني، رقم الهاتف
- معلومات العمل: معرف الموظف، المسمى الوظيفي، القسم، الراتب
- البيانات التقنية: عناوين IP، معرفات الأجهزة، بصمات المتصفح
- بيانات الموقع: الموقع الجغرافي من الأقفال الذكية
- البيانات البيومترية: بصمات الأصابع المستخدمة لمصادقة القفل الذكي
- البيانات السلوكية: ساعات العمل، أنماط الحضور، سجلات الوقت
المبادئ الأساسية للائحة العامة لحماية البيانات
يلتزم WorkTime One بجميع المبادئ السبعة للائحة العامة لحماية البيانات:
1. المشروعية والإنصاف والشفافية
تتم معالجة البيانات بشكل قانوني وعادل وشفاف مع إشعارات خصوصية واضحة
2. تحديد الغرض
يتم جمع البيانات فقط لأغراض محددة ومشروعة
3. تقليل البيانات
جمع البيانات الضرورية فقط للغرض المعلن
4. الدقة
الحفاظ على دقة البيانات الشخصية وتحديثها
5. تحديد التخزين
الاحتفاظ بالبيانات فقط للمدة اللازمة
6. النزاهة والسرية
حماية البيانات بتدابير أمنية مناسبة
7. المساءلة
إظهار الامتثال من خلال الوثائق والسياسات
2. دورنا بموجب اللائحة العامة لحماية البيانات
مراقب البيانات مقابل معالج البيانات
يعمل WorkTime One بصفات مختلفة حسب السياق:
WorkTime One كمراقب بيانات
بالنسبة لبيانات حساب مؤسستك (اسم الشركة، معلومات الفواتير، المستخدمين الإداريين)، نحن مراقب البيانات. نحدد كيف ولماذا تتم معالجة هذه البيانات.
أمثلة: تسجيل الحساب، الفواتير، دعم العملاء، اتصالات الخدمة
WorkTime One كمعالج بيانات
بالنسبة لبيانات تتبع وقت الموظفين التي تقوم بتحميلها وإدارتها، نحن معالج البيانات. أنت (العميل) مراقب البيانات وتحدد أغراض ووسائل المعالجة.
أمثلة: أسماء الموظفين، ساعات العمل، سجلات الحضور، البيانات البيومترية، بيانات الموقع
مسؤولياتك كمراقب بيانات
عند استخدام WorkTime One لتتبع وقت الموظفين، أنت مراقب البيانات ومسؤول عن:
- الحصول على أساس قانوني لمعالجة بيانات الموظفين (مثل الموافقة، العقد، المصلحة المشروعة)
- تزويد الموظفين بإشعارات خصوصية تشرح جمع البيانات واستخدامها
- الحصول على موافقة صريحة لجمع البيانات البيومترية (بصمات الأصابع)
- الرد على طلبات حقوق أصحاب البيانات من الموظفين
- تنفيذ التدابير التقنية والتنظيمية المناسبة
- الامتثال لقوانين العمل المحلية ولوائح مراقبة الموظفين
- إجراء تقييمات أثر حماية البيانات (DPIAs) عند الاقتضاء
3. الأساس القانوني للمعالجة
تتطلب اللائحة العامة لحماية البيانات أساساً قانونياً لمعالجة البيانات الشخصية. يعتمد WorkTime One على الأسس القانونية التالية:
العقد (المادة 6(1)(ب))
المعالجة اللازمة لتقديم خدماتنا بموجب شروط الخدمة الخاصة بنا. ينطبق هذا على إدارة الحساب والفواتير ووظائف الخدمة الأساسية.
المصلحة المشروعة (المادة 6(1)(و))
المعالجة من أجل الأمان ومنع الاحتيال وتحسين الخدمة. نوازن بين مصالحنا وحقوقك وحرياتك.
الموافقة (المادة 6(1)(أ))
تتطلب الاتصالات التسويقية والميزات الاختيارية موافقتك الصريحة. يمكنك سحب الموافقة في أي وقت.
الالتزام القانوني (المادة 6(1)(ج))
المعالجة المطلوبة بموجب القانون، مثل السجلات الضريبية والامتثال المالي والرد على الطلبات القانونية.
بيانات الفئة الخاصة (البيانات البيومترية)
تعتبر البيانات البيومترية (بصمات الأصابع) "بيانات فئة خاصة" بموجب المادة 9 من اللائحة العامة لحماية البيانات وتتطلب حماية إضافية. المعالجة قانونية بموجب:
- الموافقة الصريحة (المادة 9(2)(أ)): يجب عليك الحصول على موافقة صريحة ومستنيرة من الموظفين لجمع بصمات الأصابع
- سياق التوظيف (المادة 9(2)(ب)): قد تكون المعالجة ضرورية لالتزامات التوظيف بموجب القانون الوطني
- تدابير الأمان: يتم تجزئة البيانات البيومترية وتشفيرها وتخزينها بشكل منفصل عن البيانات الشخصية الأخرى
- الحق في السحب: يمكن للموظفين سحب الموافقة وطلب حذف البيانات البيومترية في أي وقت
4. حقوقك كصاحب بيانات
بموجب اللائحة العامة لحماية البيانات، لديك حقوق شاملة فيما يتعلق ببياناتك الشخصية:
الحق في الوصول (المادة 15)
لديك الحق في الحصول على تأكيد بشأن ما إذا كنا نعالج بياناتك الشخصية والوصول إلى تلك البيانات.
كيفية الممارسة:
- سجل الدخول إلى حسابك وانتقل إلى الإعدادات ← تصدير البيانات
- قم بتصدير بياناتك بتنسيق CSV أو JSON أو Excel
- أرسل بريداً إلكترونياً إلى [email protected] لطلبات الوصول الشاملة للبيانات
- سنرد في غضون 30 يوماً (مجاناً)
الحق في التصحيح (المادة 16)
لديك الحق في تصحيح أو استكمال البيانات الشخصية غير الدقيقة.
كيفية الممارسة:
- قم بتحديث معلومات حسابك مباشرة في الإعدادات
- يمكن للمسؤولين تحديث معلومات الموظفين في قسم إدارة الموظفين
- للتصحيحات التي تتطلب مساعدتنا، اتصل بـ [email protected]
- سنصحح عدم الدقة في غضون 30 يوماً
الحق في المحو / الحق في النسيان (المادة 17)
لديك الحق في طلب حذف بياناتك الشخصية في ظروف معينة.
كيفية الممارسة:
- أغلق حسابك عبر الإعدادات ← الحساب ← حذف الحساب
- يمكن للموظفين طلب الحذف عن طريق الاتصال بصاحب العمل (مراقب البيانات)
- أرسل بريداً إلكترونياً إلى [email protected] لطلبات الحذف
- يتم حذف البيانات في غضون 30 يوماً (باستثناء متطلبات الاحتفاظ القانونية)
- يتم حذف النسخ الاحتياطية في غضون 90 يوماً
ملاحظة: قد نحتفظ ببيانات معينة حيثما يقتضي القانون (مثل السجلات الضريبية لمدة 7 سنوات)
الحق في تقييد المعالجة (المادة 18)
يمكنك طلب تقييد كيفية معالجتنا لبياناتك في حالات معينة.
متى يكون متاحاً:
- أنت تطعن في دقة البيانات (أثناء التحقق)
- المعالجة غير قانونية لكنك لا تريد الحذف
- لم نعد بحاجة إلى البيانات لكنك تحتاجها للمطالبات القانونية
- لقد اعترضت على المعالجة (في انتظار التحقق من الأسس المشروعة)
الحق في نقل البيانات (المادة 20)
لديك الحق في تلقي بياناتك الشخصية بتنسيق منظم وقابل للقراءة آلياً ونقلها إلى مراقب آخر.
التنسيقات المدعومة:
- CSV (قيم مفصولة بفواصل)
- JSON (JavaScript Object Notation)
- Excel (.xlsx)
- النقل المباشر عبر API إلى خدمة أخرى (اتصل بنا للحصول على المساعدة)
الحق في الاعتراض (المادة 21)
لديك الحق في الاعتراض على المعالجة بناءً على المصالح المشروعة أو للتسويق المباشر.
كيفية الممارسة:
- الاعتراض على التسويق: رابط إلغاء الاشتراك في رسائل البريد الإلكتروني أو الإعدادات ← الإشعارات
- الاعتراض على التنميط: اتصل بـ [email protected]
- الاعتراض على معالجة المصلحة المشروعة: سنتوقف ما لم نثبت أسساً مشروعة مقنعة
الحقوق المتعلقة باتخاذ القرار الآلي (المادة 22)
لديك الحق في عدم الخضوع لقرارات تستند فقط إلى المعالجة الآلية التي تؤثر عليك بشكل كبير.
موقف WorkTime One: نحن لا نتخذ قرارات آلية تنتج آثاراً قانونية أو تؤثر عليك بشكل كبير بالمثل. تستند حسابات الرواتب وتقييمات الجزاءات إلى قواعد شفافة تحددها أنت (صاحب العمل) ويمكن مراجعتها وتعديلها يدوياً.
5. تدابير حماية البيانات
نطبق تدابير تقنية وتنظيمية شاملة لضمان الأمان المناسب:
التدابير التقنية
- التشفير: تشفير AES-256 للبيانات الثابتة، TLS 1.3 للبيانات أثناء النقل
- إخفاء الهوية: حيثما أمكن، نخفي هوية البيانات لتقليل مخاطر الخصوصية
- ضوابط الوصول: التحكم في الوصول القائم على الأدوار (RBAC) مع مبدأ الامتياز الأدنى
- المصادقة الثنائية: المصادقة الثنائية الإلزامية متاحة لجميع المستخدمين
- النسخ الاحتياطية التلقائية: نسخ احتياطية مشفرة منتظمة مع التكرار الجغرافي
- كشف التسلل: مراقبة على مدار الساعة طوال أيام الأسبوع للتهديدات الأمنية
- إدارة الثغرات: اختبارات أمنية منتظمة وإدارة التصحيحات
التدابير التنظيمية
- سياسات حماية البيانات: سياسات وإجراءات داخلية شاملة
- تدريب الموظفين: تدريب منتظم على الخصوصية والأمان لجميع الموظفين
- اتفاقيات السرية: جميع الموظفين يوقعون اتفاقيات عدم إفشاء والسرية
- مراجعات الوصول: مراجعات ربع سنوية لأذونات وصول الموظفين
- خطة الاستجابة للحوادث: إجراءات موثقة للاستجابة لخرق البيانات
- تقييمات أثر حماية البيانات: يتم إجراء DPIAs للمعالجة عالية المخاطر
- إدارة البائعين: العناية الواجبة على جميع المعالجات الفرعية
الخصوصية بالتصميم والافتراضية
- اعتبارات الخصوصية متكاملة في تطوير المنتج منذ البداية
- الإعدادات الافتراضية تعطي الأولوية لحماية الخصوصية
- تقليل البيانات مدمج في تصميم النظام
- مراجعات خصوصية منتظمة طوال دورة حياة المنتج
6. عمليات نقل البيانات الدولية
قد ينقل WorkTime One بياناتك الشخصية خارج المنطقة الاقتصادية الأوروبية (EEA). نضمن توفر الضمانات المناسبة:
مواقع تخزين البيانات
- التخزين الأساسي: مراكز بيانات في الاتحاد الأوروبي (ألمانيا، بلجيكا، هولندا) عبر Google Cloud Platform
- النسخ الاحتياطية: متكررة عبر مناطق متعددة في الاتحاد الأوروبي
- خيار للتخزين في الاتحاد الأوروبي فقط: يمكن لعملاء المؤسسات طلب إقامة البيانات في الاتحاد الأوروبي فقط
آليات النقل
البنود التعاقدية القياسية (SCCs)
نستخدم البنود التعاقدية القياسية (SCCs) المعتمدة من الاتحاد الأوروبي لنقل البيانات إلى البلدان التي ليس لديها قرارات كفاية. تدمج SCCs الخاصة بنا المتطلبات من حكم Schrems II.
قرارات الكفاية
حيثما أمكن، ننقل البيانات إلى البلدان التي لديها قرارات كفاية من الاتحاد الأوروبي (مثل المملكة المتحدة، سويسرا، كندا في ظل ظروف معينة).
التدابير التكميلية
نطبق تدابير تقنية تكميلية (التشفير، إخفاء الهوية) لحماية البيانات المنقولة خارج الاتحاد الأوروبي.
المعالجات الفرعية
نستخدم المعالجات الفرعية التالية الذين قد يعالجون البيانات الشخصية للاتحاد الأوروبي:
| المعالج الفرعي |
الغرض |
الموقع |
الضمانات |
| Google Cloud Platform |
الاستضافة، قاعدة البيانات |
الاتحاد الأوروبي (أساسي) |
SCCs، ISO 27001 |
| Firebase (Google) |
المصادقة، قاعدة البيانات |
الاتحاد الأوروبي (أساسي) |
SCCs، ISO 27001 |
| SendGrid |
إرسال البريد الإلكتروني |
الولايات المتحدة الأمريكية |
SCCs، PCI DSS |
| TTLock API |
تكامل القفل الذكي |
الصين |
SCCs، التشفير |
7. اتفاقية معالجة البيانات (DPA)
كما هو مطلوب بموجب المادة 28 من اللائحة العامة لحماية البيانات، نوفر اتفاقية معالجة البيانات لجميع العملاء الذين يستخدمون WorkTime One لمعالجة بيانات الموظفين.
ما هي اتفاقية معالجة البيانات؟
اتفاقية معالجة البيانات (DPA) هي عقد ملزم قانونياً بين مراقب البيانات (أنت) ومعالج البيانات (نحن) ينظم كيفية معالجة البيانات الشخصية. يضمن امتثالنا للائحة العامة لحماية البيانات عند معالجة بياناتك.
تتضمن اتفاقية معالجة البيانات الخاصة بنا
- الموضوع والمدة: تتبع الوقت وإدارة الحضور لمدة اشتراكك
- الطبيعة والغرض: معالجة بيانات تتبع وقت الموظفين لتقديم خدماتنا
- أنواع البيانات الشخصية: الأسماء، معرفات الموظفين، ساعات العمل، البيانات البيومترية، بيانات الموقع
- فئات أصحاب البيانات: موظفوك والمقاولون
- التزاماتك: مسؤولياتك كمراقب بيانات
- التزاماتنا: مسؤولياتنا كمعالج بيانات
- تدابير الأمان: التدابير التقنية والتنظيمية التي نطبقها
- المعالجة الفرعية: قائمة المعالجات الفرعية المصرح بها
- حقوق أصحاب البيانات: مساعدتنا في طلبات أصحاب البيانات
- عمليات التدقيق والتفتيش: حقك في تدقيق امتثالنا
- إشعار خرق البيانات: التزامنا بإخطارك بالانتهاكات
- عمليات النقل الدولية: البنود التعاقدية القياسية وآليات النقل
- الحذف والإرجاع: التعامل مع البيانات عند إنهاء العقد
كيفية الوصول: تم دمج اتفاقية معالجة البيانات القياسية الخاصة بنا في شروط الخدمة الخاصة بنا. يمكن لعملاء المؤسسات طلب اتفاقية معالجة بيانات مخصصة عن طريق الاتصال بـ [email protected]
8. إشعار خرق البيانات
بموجب المواد 33 و 34 من اللائحة العامة لحماية البيانات، لدينا التزامات صارمة فيما يتعلق بإشعار خرق البيانات:
التزاماتنا
- إشعار السلطة الإشرافية: نخطر السلطة الإشرافية ذات الصلة في غضون 72 ساعة من إدراكنا لانتهاك يؤثر على سكان الاتحاد الأوروبي
- إشعار العملاء: نخطر العملاء المتأثرين (مراقبي البيانات) دون تأخير لا مبرر له، عادةً في غضون 24-48 ساعة
- إشعار أصحاب البيانات: إذا كان الانتهاك يشكل خطراً كبيراً على الأفراد، فإننا نساعدك في إخطار الأفراد المتأثرين
- توثيق الانتهاك: نحتفظ بسجلات لجميع الانتهاكات، بما في ذلك الحقائق والآثار والإجراءات العلاجية
ما سنخبرك به
- طبيعة الانتهاك (ما حدث)
- فئات وعدد تقريبي للأفراد والسجلات المتأثرة
- العواقب المحتملة للانتهاك
- التدابير التي اتخذناها أو نقترح اتخاذها لمعالجة الانتهاك
- التدابير للتخفيف من الآثار السلبية المحتملة
- معلومات الاتصال لمزيد من الاستفسارات
التزاماتك كمراقب بيانات
إذا أخطرناك بانتهاك يؤثر على بيانات موظفيك، فقد تحتاج إلى:
- تقييم ما إذا كان الانتهاك يشكل خطراً كبيراً على موظفيك
- إخطار السلطة الإشرافية الوطنية الخاصة بك (إذا لزم الأمر)
- إخطار الموظفين المتأثرين (إذا كان الانتهاك يشكل خطراً كبيراً على حقوقهم وحرياتهم)
- توثيق استجابتك للانتهاك وقراراتك
9. مسؤول حماية البيانات (DPO)
بموجب المادة 37 من اللائحة العامة لحماية البيانات، قمنا بتعيين مسؤول حماية البيانات للإشراف على استراتيجية حماية البيانات الخاصة بنا وضمان الامتثال.
مسؤوليات مسؤول حماية البيانات
- مراقبة الامتثال للائحة العامة لحماية البيانات وقوانين حماية البيانات الأخرى
- تقديم المشورة بشأن تقييمات أثر حماية البيانات (DPIAs)
- التعاون مع السلطات الإشرافية
- العمل كنقطة اتصال لأصحاب البيانات والسلطات الإشرافية
- تدريب الموظفين على التزامات حماية البيانات
- إجراء عمليات التدقيق والتقييمات الداخلية
اتصل بمسؤول حماية البيانات لدينا
يمكنك الاتصال بمسؤول حماية البيانات لدينا مباشرةً لأي أسئلة أو مخاوف تتعلق باللائحة العامة لحماية البيانات:
البريد الإلكتروني: [email protected]
البريد: مسؤول حماية البيانات، WorkTime One, Inc.
وقت الاستجابة: سنرد على استفسارات مسؤول حماية البيانات في غضون 5 أيام عمل
10. حقوق خصوصية الموظفين
تنطبق اعتبارات خاصة عند معالجة بيانات الموظفين من خلال WorkTime One:
التزامات صاحب العمل
مهم: بصفتك صاحب العمل (مراقب البيانات)، لديك التزامات قانونية تجاه موظفيك فيما يتعلق بخصوصيتهم.
- الشفافية: إبلاغ الموظفين بتتبع الوقت والبيانات المجمعة وكيفية استخدامها
- الأساس القانوني: تأكد من أن لديك أساساً قانونياً (عادةً العقد أو المصلحة المشروعة) لتتبع الوقت
- موافقة البيانات البيومترية: احصل على موافقة صريحة قبل جمع بصمات الأصابع أو البيانات البيومترية الأخرى
- تقليل البيانات: تتبع البيانات الضرورية فقط لأغراض العمل المشروعة
- حقوق الموظفين: تسهيل طلبات حقوق أصحاب البيانات للموظفين (الوصول، الحذف، إلخ)
- التشاور مع مجلس العمل: في بعض دول الاتحاد الأوروبي، استشر مجالس العمل قبل تنفيذ مراقبة الموظفين
- القوانين الوطنية: الامتثال لقوانين العمل الوطنية ولوائح مراقبة الموظفين
نموذج إشعار خصوصية الموظف
نوفر نموذج إشعار خصوصية الموظف الذي يمكنك تخصيصه لمؤسستك. يساعدك هذا في الامتثال لمتطلبات الشفافية في اللائحة العامة لحماية البيانات.
11. الشكاوى إلى السلطة الإشرافية
بموجب المادة 77 من اللائحة العامة لحماية البيانات، لديك الحق في تقديم شكوى إلى سلطة إشرافية إذا كنت تعتقد أننا انتهكنا حقوق حماية البيانات الخاصة بك.
كيفية تقديم شكوى
يمكنك تقديم شكوى إلى السلطة الإشرافية في:
- دولة الاتحاد الأوروبي العضو التي تقيم فيها عادةً
- دولة الاتحاد الأوروبي العضو لمكان عملك
- دولة الاتحاد الأوروبي العضو حيث حدث الانتهاك المزعوم
السلطات الإشرافية في الاتحاد الأوروبي
ابحث عن سلطة حماية البيانات المحلية الخاصة بك:
قائمة على مستوى الاتحاد الأوروبي: المجلس الأوروبي لحماية البيانات
أيرلندا (مؤسستنا في الاتحاد الأوروبي): لجنة حماية البيانات (DPC)
البريد الإلكتروني: [email protected]
الموقع: www.dataprotection.ie
اتصل بنا أولاً
نشجعك على الاتصال بنا أولاً إذا كانت لديك مخاوف بشأن معالجة بياناتنا. نحن ملتزمون بحل المشكلات مباشرة وسنعمل معك لمعالجة مخاوفك.
موارد اللائحة العامة لحماية البيانات
تعرف على المزيد حول حقوق حماية البيانات الخاصة بك وامتثالنا