مصادر البيانات
يجب جمع البيانات الشخصية مباشرةً من صاحب البيانات إلا إذا انطبق أحد الأمور التالية:
- تستلزم طبيعة غرض العمل جمع البيانات الشخصية من أشخاص أو هيئات أخرى.
- يجب أن يتم جمع البيانات في ظل ظروف طارئة من أجل حماية المصالح الحيوية لصاحب البيانات أو لمنع حدوث خسارة أو إصابة خطيرة لشخص آخر.
في حالة جمع البيانات الشخصية من شخص آخر غير صاحب البيانات، يجب إبلاغ صاحب البيانات بجمع البيانات ما لم ينطبق أحد الأمور التالية
- تلقى صاحب البيانات المعلومات المطلوبة بوسائل أخرى.
- يجب أن تظل المعلومات سرية بسبب الالتزام بالسرية المهنية.
- ينص القانون الوطني صراحةً على جمع البيانات الشخصية أو معالجتها أو نقلها.
عندما يتقرر أن هناك حاجة لإخطار صاحب البيانات، يجب أن يتم الإخطار على الفور، ولكن في موعد لا يتجاوز شهرًا تقويميًا واحدًا من أول جمع أو تسجيل للبيانات الشخصية، في وقت أول اتصال إذا تم استخدامها للتواصل مع صاحب البيانات، في وقت الكشف عنها إذا تم الكشف عنها لمستلم آخر.
إشعار موضوع البيانات
ستقوم شركة مالفيرن الدولية، عندما يقتضي القانون المعمول به أو العقد، أو عندما ترى أنه من المناسب بشكل معقول القيام بذلك، بتزويد أصحاب البيانات بمعلومات عن الغرض من معالجة بياناتهم الشخصية.
عندما يُطلب من صاحب البيانات إعطاء الموافقة على معالجة بياناته الشخصية، وعندما يتم جمع أي بيانات شخصية من صاحب البيانات، سيتم إجراء جميع عمليات الإفصاح المناسبة، بطريقة تلفت الانتباه إليها، ما لم ينطبق أحد الأمور التالية
- موضوع البيانات لديه المعلومات بالفعل.
- ينطبق الإعفاء القانوني على متطلبات الإفصاح و/أو الموافقة.
- يمكن تقديم الإفصاح إلكترونيًا أو كتابيًا.
إشعارات الخصوصية للموظفين
ستزود شركة مالفرن الدولية موظفي الشركة بإشعار خصوصية يتعلق بجمع ومعالجة بياناتهم الشخصية.
ستقوم شركة Malvern International أيضًا بتضمين إشعار خصوصية عبر الإنترنت للأطراف الثالثة المحتملة بخلاف موظفي الشركة و‘إشعار ملفات تعريف الارتباط’ عبر الإنترنت يفي بمتطلبات القانون المعمول به.
التنميط واتخاذ القرار الآلي
لا تشارك مالفيرن إنترناشيونال حاليًا في التنميط واتخاذ القرارات الآلية. إذا أصبح من الضروري الانخراط في التنميط واتخاذ القرارات الآلية، فسيكون ذلك فقط لإبرام أو تنفيذ عقد مع صاحب البيانات أو عندما يكون ذلك مصرحًا به بموجب القانون. في مثل هذه الحالات، ستُتاح الفرصة لصاحب البيانات للقيام بما يلي:
- التعبير عن وجهة نظرهم
- الحصول على شرح للقرار الآلي
- مراجعة المنطق الذي يستخدمه النظام الآلي
- استكمال النظام الآلي ببيانات إضافية
- قم بإجراء مراجعة بشرية للقرار الآلي
- الاعتراض على القرار الآلي
- الاعتراض على اتخاذ القرار الآلي الذي يتم تنفيذه.
إن التنميط وصنع القرار الآلي مقيّد بشدة في قانون حماية البيانات، ويجب أن يتم إجراؤه فقط بعد الانتهاء من تقييم أثر حماية التاريخ. لا يُسمح للموظفين بالقيام بأنشطة تنطوي على التنميط الآلي أو اتخاذ القرارات دون طلب المشورة والدعم من مسؤول حماية البيانات أولاً.
التسويق الرقمي
لن ترسل شركة مالفيرن إنترناشيونال مواد ترويجية أو تسويقية مباشرة إلى أي جهة اتصال من خلال القنوات الرقمية مثل الهواتف المحمولة والبريد الإلكتروني والإنترنت إلا إذا كانت هذه المواد تتوافق مع قانون حماية البيانات. يجب على أي شخص مرتبط بمالفيرن إنترناشيونال يرغب في تنفيذ حملة تسويق رقمية دون الحصول على موافقة مسبقة من صاحب البيانات أن يحصل أولاً على موافقة مسؤول حماية البيانات.
عندما تتم الموافقة على معالجة البيانات الشخصية لأغراض التسويق الرقمي، يجب إبلاغ صاحب البيانات في نقطة الاتصال الأولى بأن له الحق في الاعتراض، في أي مرحلة، على معالجة بياناته لهذه الأغراض. إذا تقدم صاحب البيانات باعتراض، يجب أن تتوقف معالجة بياناته الشخصية المتعلقة بالتسويق الرقمي على الفور، ويجب الاحتفاظ بتفاصيله في قائمة المنع مع تسجيل قراره بالانسحاب، بدلاً من حذفها بالكامل.
تجدر الإشارة إلى أنه عندما يتم تنفيذ التسويق الرقمي في سياق ‘من شركة إلى شركة’، لا يوجد شرط قانوني للحصول على إشارة بالموافقة على إجراء التسويق الرقمي للأفراد شريطة أن يتم منحهم الفرصة لإلغاء الاشتراك.
الاحتفاظ بالبيانات
لضمان المعالجة العادلة، لن تحتفظ شركة Malvern International بالبيانات الشخصية لفترة أطول من اللازم فيما يتعلق بالأغراض التي جُمعت من أجلها في الأصل، أو التي تمت معالجتها من أجلها.
ترد المدة الزمنية التي تحتاج فيها شركة Malvern International إلى الاحتفاظ بالبيانات الشخصية في الملحق 1. يأخذ هذا في الاعتبار المتطلبات القانونية والتعاقدية والتجارية التي تؤثر على فترات الاحتفاظ بالبيانات الشخصية. يجب حذف جميع البيانات الشخصية أو إتلافها في أقرب وقت ممكن عندما يتم التأكد من أنه لم تعد هناك حاجة للاحتفاظ بها ما لم يكن هناك غرض مشروع لعدم القيام بذلك. يجب توثيق أي قرار بعدم إتلاف البيانات الشخصية أو حذفها بما يتماشى مع إرشادات الاحتفاظ الواردة في الملحق 1 كتابةً والموافقة عليه من قبل الرئيس التنفيذي.
حماية البيانات
ستتخذ مالفيرن إنترناشيونال تدابير مادية وتقنية وتنظيمية لضمان أمن البيانات الشخصية. ويشمل ذلك منع الفقدان أو التلف، أو التغيير أو الوصول أو المعالجة غير المصرح به، والمخاطر الأخرى التي قد تتعرض لها بحكم العمل البشري أو البيئة المادية أو الطبيعية.
يتم توفير الحد الأدنى من مجموعة التدابير الأمنية التي يجب أن تتبناها شركة مالفيرن إنترناشيونال على النحو التالي:
- منع الأشخاص غير المصرح لهم من الوصول إلى أنظمة معالجة البيانات التي تتم فيها معالجة البيانات الشخصية.
- منع الأشخاص الذين يحق لهم استخدام نظام معالجة البيانات من الوصول إلى البيانات الشخصية بما يتجاوز الاحتياجات والتراخيص.
- التأكد من أن البيانات الشخصية في سياق النقل الإلكتروني أثناء النقل لا يمكن قراءتها أو نسخها أو تعديلها أو إزالتها دون تصريح.
- التأكد من وجود سجلات الوصول لتحديد ما إذا كانت البيانات الشخصية قد تم إدخالها أو تعديلها أو إزالتها من نظام معالجة البيانات ومن قام بذلك.
- التأكد من أنه في الحالة التي تتم فيها المعالجة بواسطة معالج البيانات، لا يمكن معالجة البيانات إلا وفقًا لتعليمات مراقب البيانات.
- ضمان حماية البيانات الشخصية من التدمير أو الفقدان غير المرغوب فيه.
- التأكد من أن البيانات الشخصية التي يتم جمعها لأغراض مختلفة يمكن معالجتها ومعالجتها بشكل منفصل.
- ضمان عدم الاحتفاظ بالبيانات الشخصية لفترة أطول من اللازم.
- التأكد من تدريب موظفي الشركة المناسبين على متطلبات الامتثال الرئيسية بموجب تشريعات حماية البيانات وكيفية ضمان الحفاظ على أمن البيانات الشخصية وفقًا لهذه السياسة.
مسؤوليات موظفي الشركة
يتحمل كل من يعمل لصالح شركة مالفيرن إنترناشيونال أو بالنيابة عنها بعض المسؤولية عن ضمان جمع البيانات وتخزينها والتعامل معها بشكل مناسب، بما يتماشى مع هذه السياسة والسياسات المرتبطة بها.
الرئيس التنفيذي وشريك أعمال الموارد البشرية مسؤولان عن مراجعة هذه السياسة وإطلاع مجلس الإدارة على مسؤوليات حماية البيانات في مالفيرن إنترناشيونال وأي مخاطر تتعلق بمعالجة البيانات. يجب توجيه أي أسئلة تتعلق بهذه السياسة أو حماية البيانات إلى هذا الشخص.
يجب على موظفي الشركة:
- الوصول إلى البيانات الشخصية فقط إذا كانوا بحاجة إليها من أجل العمل الذي يقومون به لصالح مالفيرن إنترناشيونال وفقط إذا كان مصرحًا لهم بذلك. يجب عليهم استخدام البيانات فقط للغرض القانوني المحدد الذي تم الحصول عليها من أجله.
- عدم مشاركة البيانات الشخصية بشكل غير رسمي.
- الحفاظ على أمان البيانات الشخصية وعدم مشاركتها مع أشخاص غير مصرح لهم.
- مراجعة البيانات الشخصية التي يتعاملون معها بانتظام، وتحديثها عند الاقتضاء أو عند الطلب. ويشمل ذلك إخبارنا إذا تغيرت بيانات الاتصال الخاصة بهم.
- عدم عمل نسخ غير ضرورية من البيانات الشخصية ويجب الاحتفاظ بأي نسخ والتخلص منها بشكل آمن.
- استخدام كلمات مرور قوية وعدم مشاركة كلمات المرور الخاصة بك مع أي شخص آخر.
- أن يغلقوا شاشات حواسيبهم عندما لا يكونون على مكاتبهم.
- عدم أخذ البيانات الشخصية خارج مقر الشركة دون إذن من مديرك المباشر أو شريك أعمال الموارد البشرية.
- اطلب المساعدة من شريك أعمال الموارد البشرية إذا لم تكن متأكدًا من حماية البيانات أو إذا لاحظت أي مجالات لحماية البيانات أو الأمن يمكننا تحسينها.
يجب تشفير البيانات الشخصية قبل نقلها إلكترونياً إلى جهات الاتصال الخارجية المصرح لها. تحدث إلى قسم تكنولوجيا المعلومات للحصول على مزيد من المعلومات حول كيفية القيام بذلك.
النظر في إخفاء هوية البيانات أو استخدام مفاتيح/رموز منفصلة بحيث لا يمكن تحديد هوية صاحب البيانات.
يجب عدم حفظ البيانات الشخصية على أجهزة الكمبيوتر الشخصية أو الأجهزة الأخرى التي لا تنتمي إلى شركة مالفيرن إنترناشيونال.
يجب ألا تُنقل البيانات الشخصية خارج المنطقة الاقتصادية الأوروبية إلا وفقًا للقانون وبتصريح من الرئيس التنفيذي.
يجب إغلاق أدراج المكاتب وخزائن الملفات. لا تترك الأوراق التي تحتوي على بيانات شخصية ملقاة.
يجب تمزيق البيانات الشخصية والتخلص منها بشكل آمن عندما لا تكون هناك حاجة إليها.
إنفاذ السياسات
قد يؤدي أي خرق متعمد أو إهمال لهذه السياسة من قبل موظفي الشركة إلى اتخاذ إجراءات تأديبية ضد هؤلاء الموظفين وفقًا لإجراءاتنا التأديبية.
يُعتبر إخفاء أو إتلاف البيانات الشخصية التي تُعد جزءًا من طلب الوصول إلى الموضوع (انظر أدناه) جريمة جنائية. قد يرقى هذا السلوك أيضًا إلى سوء سلوك جسيم بموجب إجراءاتنا التأديبية، مما قد يؤدي إلى الفصل من العمل.
تجدر الإشارة إلى أنه على الرغم من أن هذه السياسة تقدم أمثلة على ذلك، إلا أنها ليست قائمة شاملة بأي حال من الأحوال، وقد يتم إخطارك بقواعد محددة أخرى من وقت لآخر.
حقوق صاحب البيانات وطلبات صاحب البيانات
يتمتع أصحاب البيانات (بما في ذلك موظفي الشركة) بعدد من الحقوق فيما يتعلق ببياناتهم الشخصية التي تعالجها شركة مالفيرن إنترناشيونال. وسيتم تفصيل هذه الحقوق في إشعار الخصوصية المتعلق بموضوع البيانات. سيتم إصدار إشعار خصوصية لموظفي الشركة. ستكون الأطراف الثالثة قادرة على الوصول إلى إشعارات الخصوصية عبر الإنترنت أو يمكنها طلب نسخة مباشرة.
ستقوم شركة Malvern International بإنشاء نظام لتمكين وتسهيل ممارسة حقوق أصحاب البيانات المتعلقة بما يلي:
- الوصول إلى المعلومات
- الاعتراض على المعالجة
- الاعتراض على اتخاذ القرار الآلي والتنميط الآلي
- تقييد المعالجة
- إمكانية نقل البيانات
- تصحيح البيانات
- محو البيانات
إذا قدم أحد الأفراد طلبًا يتعلق بأي من الحقوق المذكورة أعلاه، ستنظر مالفيرن إنترناشيونال في كل طلب وفقًا لجميع قوانين ولوائح حماية البيانات المعمول بها. إذا تلقى أحد الموظفين طلبًا، فلا يُسمح له بإدارة الطلب بنفسه ويجب عليه إخطار مسؤول حماية البيانات في أقرب وقت ممكن.
يجوز لأصحاب البيانات تقديم طلب يتعلق بحقوقهم طالما أنه مكتوب. ومع ذلك، يُشجَّع أصحاب البيانات على طلب واستخدام نموذج طلب صاحب البيانات (متاح من قسم الموارد البشرية) وتقديمه إلى قسم الموارد البشرية. سيضمن هذا استلام الطلب من قبل الأفراد المناسبين داخل مالفيرن إنترناشيونال ويمكن معالجته على الفور.
سيُطلب من أصحاب البيانات التحقق من هويتهم عند تقديم طلبهم. قد يؤدي عدم القيام بذلك إلى عدم استكمال طلباتهم.
يحق لأصحاب البيانات الحصول على المعلومات التالية حول بياناتهم الشخصية:
- أغراض جمع بياناتهم الشخصية ومعالجتها واستخدامها وتخزينها.
- مصدر (مصادر) البيانات الشخصية، إذا لم يتم الحصول عليها من صاحب البيانات.
- فئات البيانات الشخصية المخزنة لصاحب البيانات.
- المستلمين أو فئات المستلمين الذين تم إرسال البيانات الشخصية إليهم أو قد يتم إرسالها إليهم، إلى جانب موقع هؤلاء المستلمين.
- الفترة المتوخاة لتخزين البيانات الشخصية أو الأساس المنطقي لتحديد فترة التخزين.
- استخدام أي عملية آلية لاتخاذ القرارات، بما في ذلك التنميط.
- حق صاحب البيانات في الاعتراض على معالجة بياناته الشخصية في تقديم شكوى إلى سلطة حماية البيانات، أو طلب تصحيح أو محو بياناته الشخصية، أو طلب تقييد معالجة بياناته الشخصية.
يجب توجيه جميع الطلبات التي يتم تلقيها للوصول إلى البيانات الشخصية أو تصحيحها إلى إدارة الموارد البشرية التي ستقوم بتسجيل كل طلب عند استلامه. سيتم تقديم رد على كل طلب في غضون 30 يومًا من استلام الطلب المكتوب من صاحب البيانات. يجب أن يؤكد التحقق المناسب أن مقدم الطلب هو صاحب البيانات أو ممثله القانوني المفوض. يحق لأصحاب البيانات أن يطلبوا من شركة مالفرن الدولية تصحيح أو استكمال البيانات الشخصية الخاطئة أو المضللة أو القديمة أو غير المكتملة.
إذا لم تستطع شركة Malvern International الرد على الطلب في غضون 30 يومًا، فإنها ستلتزم بتقديم ما يلي خلال الوقت المحدد
- إقرار باستلام الطلب.
- أي معلومات موجودة حتى الآن.
- تفاصيل أي معلومات أو تعديلات مطلوبة لن يتم تقديمها لصاحب البيانات، وسبب (أسباب) الرفض وأي إجراءات متاحة للطعن في القرار.
- تاريخ تقديري لتقديم أي ردود متبقية (في موعد أقصاه 3 أشهر من تاريخ تقديم الطلب الأولي).
- تقدير لأية تكاليف يجب أن يدفعها صاحب البيانات (على سبيل المثال عندما يكون الطلب مفرطًا في طبيعته).
- اسم ومعلومات الاتصال بالشخص الذي يجب أن يتصل به صاحب البيانات للمتابعة.
وتجدر الإشارة إلى أنه قد تنشأ حالات قد يؤدي فيها تقديم المعلومات التي يطلبها صاحب البيانات إلى الكشف عن بيانات شخصية عن شخص آخر. في مثل هذه الحالات، يجب تنقيح المعلومات أو حجبها حسب الضرورة أو المناسبة لحماية حقوق ذلك الشخص.
طلبات جهات إنفاذ القانون والإفصاحات
في ظروف معينة، يُسمح بمشاركة البيانات الشخصية دون علم أو موافقة صاحب البيانات. هذه هي الحالة التي يكون فيها الكشف عن البيانات الشخصية ضروريًا لأي من الأغراض التالية:
- منع الجريمة أو الكشف عنها.
- القبض على الجناة أو مقاضاتهم.
- تقييم أو تحصيل ضريبة أو واجب.
- بأمر من المحكمة أو بموجب أي حكم من أحكام القانون.
إذا قامت شركة Malvern International بمعالجة البيانات الشخصية لأحد هذه الأغراض، فيجوز لها تطبيق استثناء من قواعد المعالجة الموضحة في هذه السياسة ولكن فقط إلى الحد الذي قد يؤدي فيه عدم القيام بذلك إلى الإضرار بالحالة المعنية.
التدريب على حماية البيانات
سيتم توضيح مسؤولياتهم بموجب هذه السياسة لجميع موظفي مالفيرن إنترناشيونال الذين لديهم إمكانية الوصول إلى البيانات الشخصية كجزء من التدريب التعريفي للموظفين. ستوفر شركة مالفيرن إنترناشيونال تدريبًا منتظمًا على حماية البيانات والتوجيهات الإجرائية لموظفيها، وإكمال هذا التدريب إلزامي.
الانتقالات بين مواقع مالفيرن الدولية
لكي تتمكن شركة مالفيرن إنترناشيونال من تنفيذ عملياتها بفعالية عبر مواقعها المختلفة، قد تكون هناك حالات يكون فيها من الضروري نقل البيانات الشخصية من موقع إلى آخر، للسماح بالوصول إلى البيانات الشخصية من موقع خارجي. في حالة حدوث ذلك، يظل الموقع الذي يرسل البيانات الشخصية مسؤولاً عن ضمان حماية تلك البيانات الشخصية وكذلك الامتثال لعمليات نقل البيانات خارج المنطقة الاقتصادية الأوروبية. يجب على جميع الموظفين التأكد من نقل البيانات باستخدام الوسائل الرسمية والمصرح بها. لا يُسمح للموظفين بمشاركة البيانات بشكل غير رسمي باستخدام منصات شخصية مثل واتساب أو غيرها من خدمات المراسلة الفورية,
التحويلات إلى أطراف ثالثة
لن تنقل مالفيرن إنترناشيونال البيانات الشخصية إلى أطراف ثالثة أو تسمح بالوصول إليها إلا عندما تتأكد من أن المعلومات ستتم معالجتها بشكل شرعي ومحمي بشكل مناسب من قبل المتلقي. عندما تتم المعالجة من قبل طرف ثالث، ستحدد شركة Malvern International أولًا ما إذا كان الطرف الثالث، بموجب القانون المعمول به، يعتبر مراقبًا للبيانات أو معالجًا للبيانات الشخصية التي يتم نقلها.
عندما يُعتبر الطرف الثالث مراقبًا للبيانات، يتم إبرام اتفاقية مناسبة مع المراقب لتوضيح مسؤوليات كل طرف فيما يتعلق بالبيانات الشخصية المنقولة.
عندما يُعتبر الطرف الثالث معالجًا للبيانات، ستسعى مالفيرن إنترناشيونال إلى إبرام اتفاقية معالجة مناسبة مع معالج البيانات. يجب أن تتطلب الاتفاقية من معالج البيانات حماية البيانات الشخصية من الإفصاح عنها ومعالجة البيانات الشخصية فقط بما يتوافق مع تعليمات مالفيرن إنترناشيونال. بالإضافة إلى ذلك، يجب أن تشترط الاتفاقية على معالج البيانات تنفيذ التدابير التقنية والتنظيمية المناسبة لحماية البيانات الشخصية بالإضافة إلى إجراءات تقديم الإخطار بانتهاكات البيانات الشخصية.
عندما تقوم شركة Malvern International بالاستعانة بمصادر خارجية لتقديم الخدمات لطرف ثالث، فإنها ستحدد ما إذا كان الطرف الثالث سيقوم بمعالجة البيانات الشخصية نيابةً عنها وما إذا كانت الاستعانة بمصادر خارجية ستستلزم أي عمليات نقل للبيانات الشخصية إلى بلد ثالث. وفي كلتا الحالتين، سوف تتأكد من تضمين أحكام كافية في اتفاقية الاستعانة بمصادر خارجية لمثل هذه المعالجة وعمليات النقل إلى بلد ثالث.
معالجة الشكاوى
يجب توجيه أصحاب البيانات الذين لديهم شكوى بشأن معالجة بياناتهم الشخصية إلى صندوق بريد حماية البيانات gdpr@malvernplc.com
الإبلاغ عن الخروقات
يجب على أي فرد يشتبه في حدوث خرق للبيانات الشخصية بسبب سرقة البيانات الشخصية أو كشفها أن يخطر مسؤول حماية البيانات على الفور مع تقديم وصف لما حدث. يمكن إرسال الإخطار بالحادثة عبر البريد الإلكتروني على gdpr@malvernplc.com
سيحقق مسؤول حماية البيانات في جميع الحوادث المُبلغ عنها للتأكد مما إذا كان قد حدث خرق للبيانات الشخصية أم لا. إذا تم التأكد من حدوث خرق للبيانات الشخصية، سيتبع مسؤول حماية البيانات الإجراء المصرح به ذي الصلة بناءً على أهمية وكمية البيانات الشخصية المعنية. بالنسبة للانتهاكات الخطيرة للبيانات الشخصية، ستبدأ شركة مالفيرن إنترناشيونال في تشكيل فريق استجابة لحالات الطوارئ وترأسه لتنسيق وإدارة الاستجابة لخرق البيانات الشخصية.
