سياسة الخصوصية وحماية البيانات الشخصية

أولًا: المقدمة

يولي مركز تطوير العلياء للتدريب الصحي أهمية كبيرة لحماية خصوصية المستفيدين والمحافظة على سرية بياناتهم الشخصية وأمنها، انطلاقًا من التزامه بتوفير بيئة تدريب إلكتروني موثوقة وآمنة.

تهدف هذه السياسة إلى توضيح كيفية جمع البيانات الشخصية واستخدامها ومعالجتها وحفظها والإفصاح عنها وإتلافها، بالإضافة إلى بيان حقوق المستفيدين والآليات المتاحة لممارستها.

يسترشد المركز في معالجة البيانات الشخصية بأحكام نظام حماية البيانات الشخصية في المملكة العربية السعودية ولوائحه التنفيذية، وبالأنظمة والضوابط الأخرى ذات العلاقة.

وتنطبق هذه السياسة على البيانات الشخصية التي يعالجها المركز من خلال موقعه الإلكتروني ومنصته التدريبية والخدمات المرتبطة بها.

ثانيًا: نطاق تطبيق السياسة

تشمل هذه السياسة الفئات التالية:

1. المتدربون المسجلون في البرامج والدورات التدريبية.
2. المدربون ومقدمو المحتوى التعليمي.
3. الزوار الذين يتصفحون الموقع الإلكتروني.
4. الأشخاص الذين يتواصلون مع المركز للاستفسار أو طلب الدعم.
5. المتقدمون للتسجيل في البرامج أو التعاون التدريبي.
6. المستفيدون من الخدمات الإلكترونية الأخرى التي يقدمها المركز.

وتسري هذه السياسة على عمليات معالجة البيانات الشخصية التي يجريها المركز بنفسه أو من خلال مقدمي الخدمات المعتمدين لديه، في الحدود التي تنطبق عليها هذه السياسة.

ثالثًا: أنواع البيانات الشخصية التي قد يتم جمعها

يجمع المركز البيانات اللازمة لتقديم خدماته وتحقيق الأغراض المشروعة المرتبطة بالتدريب وإدارة الحسابات.

1. بيانات التسجيل والحساب

• الاسم الكامل.
• عنوان البريد الإلكتروني.
• رقم الهاتف المحمول.
• اسم المستخدم.
• بيانات الحساب والصلاحيات.
• المعلومات المهنية أو التعليمية التي يقدمها المستفيد.
• بيانات التحقق من الحساب عند تفعيل وسائل التحقق الإضافية.

تُستخدم كلمات المرور لأغراض المصادقة على الحسابات، وينبغي حمايتها باستخدام وسائل تخزين آمنة وعدم حفظها كنصوص مكشوفة.

2. البيانات التدريبية والتعليمية

• البرامج والدورات المسجل بها المستفيد.
• سجلات الالتحاق بالدورات.
• حالة إكمال الدروس والوحدات.
• نتائج الاختبارات والتقييمات.
• الواجبات والأنشطة التدريبية.
• سجلات الحضور والمشاركة.
• شهادات إتمام الدورات وبيانات إصدارها.
• ملاحظات المدربين والتغذية الراجعة.

3. البيانات التقنية

• عنوان بروتوكول الإنترنت (IP).
• نوع المتصفح والجهاز ونظام التشغيل.
• أوقات الدخول والجلسات.
• سجلات الأخطاء الفنية.
• سجلات الاستخدام والأنشطة المتاحة تقنيًا.
• ملفات تعريف الارتباط اللازمة لعمل الموقع.

ولا يعني ذكر هذه البيانات أن جميعها تُجمع بالضرورة أو أن المركز يستخدم أدوات مراقبة متقدمة.

4. بيانات التواصل والدعم الفني

• الاسم ووسيلة التواصل.
• تفاصيل الطلب أو الاستفسار.
• المراسلات المرتبطة بالدعم.
• الصور أو الملفات المرسلة لتوضيح المشكلات.

5. بيانات المدربين

• المؤهلات العلمية والتخصص المهني.
• الخبرات العملية والتدريبية.
• السيرة الذاتية.
• الشهادات والمستندات المهنية المطلوبة.
• بيانات البرامج التي يقدمها المدرب.

6. بيانات الطلبات والمدفوعات

في حال التسجيل في دورات مدفوعة، قد تُعالج البيانات اللازمة لتنفيذ الطلب وإدارة الفواتير والسداد بحسب آلية الدفع المستخدمة.

وعند الاستعانة ببوابة دفع خارجية، تخضع معالجة بيانات الدفع لدى مزود الخدمة أيضًا للسياسات والإجراءات المطبقة لديه.

ولا يفترض المركز في هذه السياسة أنه يحتفظ بأرقام البطاقات البنكية الكاملة أو رموز التحقق الخاصة بها.

رابعًا: أغراض جمع البيانات الشخصية ومعالجتها

تُستخدم البيانات الشخصية للأغراض التالية، بحسب طبيعة الخدمة:

1. إنشاء حسابات المستخدمين وإدارتها.
2. التحقق من صلاحية الدخول إلى المنصة.
3. تسجيل المستفيدين في البرامج التدريبية.
4. توفير المحتوى والخدمات التعليمية.
5. تنظيم الدروس والأنشطة والاختبارات.
6. متابعة التقدم التعليمي ومخرجات التدريب.
7. إصدار شهادات إتمام البرامج وفق متطلباتها.
8. إدارة عمليات الدفع والفوترة عند الاقتضاء.
9. تقديم الدعم الفني والتعليمي والإداري.
10. إرسال الإشعارات المرتبطة بالدورات والحسابات.
11. حماية المنصة والحد من الوصول غير المصرح به.
12. تعزيز النزاهة الأكاديمية ومراجعة المخالفات المحتملة.
13. قياس رضا المستفيدين وتقييم جودة الخدمات.
14. تحسين أداء المنصة وتجربة المستخدم.
15. الوفاء بالالتزامات النظامية والتنظيمية.

خامسًا: المسوغات النظامية لمعالجة البيانات

تتم معالجة البيانات الشخصية استنادًا إلى المسوغات النظامية المنطبقة بحسب طبيعة المعالجة، وقد تشمل:

• موافقة صاحب البيانات عندما تكون الموافقة هي المسوغ المناسب.
• تنفيذ الالتزامات التعاقدية أو الإجراءات اللازمة المرتبطة بالخدمات المطلوبة، وفق الأحكام النظامية.
• الوفاء بالتزامات يفرضها نظام أو لائحة ذات علاقة.
• تحقيق مصلحة مشروعة لجهة التحكم في الحدود التي يجيزها النظام.
• أي مسوغ نظامي آخر يسمح به نظام حماية البيانات الشخصية.

ويحدد المركز المسوغ المناسب لكل غرض من أغراض المعالجة وفق متطلبات النظام.

سادسًا: كيفية جمع البيانات

قد تُجمع البيانات الشخصية من خلال:

• نماذج إنشاء الحساب والتسجيل.
• طلبات الالتحاق بالدورات.
• نماذج تسجيل المدربين.
• أنشطة التعلم والاختبارات الإلكترونية.
• نماذج التواصل والدعم الفني.
• استبيانات قياس رضا المستفيدين.
• المراسلات التي يجريها المستفيد مع المركز.
• سجلات التشغيل والأمان التي تنشئها الأنظمة التقنية.
• مقدمي الخدمات أو الجهات المخولة عندما يكون الحصول على البيانات منها مشروعًا وضروريًا.

ويحرص المركز على أن تكون البيانات المطلوبة مناسبة ومحدودة بقدر الحاجة لتحقيق الأغراض المحددة.

سابعًا: البيانات الإلزامية والاختيارية

قد تكون بعض البيانات ضرورية لإنشاء الحساب أو التسجيل في دورة أو إصدار شهادة أو تقديم خدمة معينة، مثل الاسم وبيانات الاتصال اللازمة للتسجيل.

أما البيانات غير الضرورية، فيوضح للمستفيد طابعها الاختياري متى كانت متاحة في النماذج.

وقد يؤدي عدم تقديم البيانات الإلزامية إلى تعذر إتمام التسجيل أو تقديم الخدمة المطلوبة.

ثامنًا: مشاركة البيانات الشخصية والإفصاح عنها

لا تُفصح البيانات الشخصية لأطراف أخرى إلا عند وجود حاجة مشروعة ومسوغ نظامي مناسب.

وقد تشمل الجهات التي يلزم التعامل معها:

• مقدمي خدمات استضافة الموقع والبنية التقنية.
• مزودي أنظمة إدارة التعلم والخدمات التعليمية.
• مقدمي خدمات البريد الإلكتروني والإشعارات.
• بوابات الدفع الإلكتروني عند استخدامها.
• مقدمي الدعم والصيانة التقنية المخولين.
• الجهات الرسمية أو التنظيمية المختصة عند وجود متطلب نظامي.

ويُراعى عند التعامل مع مقدمي الخدمات تحديد المسؤوليات المتعلقة بحماية البيانات وقصر استخدامها على الأغراض المصرح بها.

تاسعًا: نقل البيانات خارج المملكة العربية السعودية

قد تستلزم بعض الخدمات التقنية معالجة البيانات من خلال مزودي خدمات يستخدمون بنية تحتية أو خوادم خارج المملكة.

وفي حال وجود نقل أو إفصاح عن بيانات شخصية إلى خارج المملكة، يلتزم المركز بمراجعة المتطلبات النظامية واتخاذ الضمانات المطلوبة.

ويجب الإفصاح عن النطاق الجغرافي الفعلي للمعالجة أو النقل عند انطباق ذلك، وفق ما تتطلبه الأنظمة.

عاشرًا: ملفات تعريف الارتباط (Cookies)

قد يستخدم الموقع ملفات تعريف الارتباط والتقنيات المشابهة للأغراض التالية:

• تمكين تسجيل الدخول واستمرار الجلسات.
• حفظ بعض تفضيلات المستخدم.
• دعم وظائف المنصة الأساسية.
• تعزيز الأمان والحماية.
• قياس الأداء وتحسين تجربة الاستخدام عند تفعيل أدوات التحليل.

وتختلف أنواع ملفات تعريف الارتباط بحسب الإضافات والخدمات المفعلة فعليًا في الموقع.

وفي الحالات التي تتطلب موافقة المستفيد على ملفات تعريف الارتباط غير الضرورية، تُطبق آلية مناسبة للحصول على الموافقة وإدارة التفضيلات وفق المتطلبات النظامية.

الحادي عشر: حماية البيانات وأمن المعلومات

يحرص المركز على تطبيق التدابير التنظيمية والتقنية المناسبة لحماية البيانات الشخصية من الوصول غير المصرح به أو الفقد أو الإتلاف أو التعديل أو الإفصاح غير المشروع.

وتشمل التدابير التي ينبغي أن تتضمنها منظومة حماية البيانات بحسب طبيعة الأنظمة والمخاطر:

• استخدام وسائل اتصال آمنة.
• إدارة صلاحيات الوصول وفق المهام الوظيفية.
• حماية بيانات الحسابات ووسائل المصادقة.
• تحديث الأنظمة والإضافات المستخدمة.
• إدارة النسخ الاحتياطية بصورة آمنة.
• مراقبة الأخطاء والحوادث الأمنية ضمن النطاق المتاح.
• تقييد الوصول إلى سجلات المتدربين ونتائجهم.
• مراجعة التدابير الأمنية وتطويرها عند الحاجة.

ولا يمكن ضمان الحماية المطلقة لأي نظام تقني، إلا أن المركز يسعى إلى اتخاذ التدابير المناسبة للحد من المخاطر والمحافظة على سرية المعلومات.

الثاني عشر: مدة الاحتفاظ بالبيانات وإتلافها

يحتفظ المركز بالبيانات الشخصية للمدة اللازمة لتحقيق الأغراض التي جُمعت من أجلها، أو للمدة المطلوبة للوفاء بالتزام نظامي أو معالجة مطالبة قائمة.

وقد تختلف مدد الاحتفاظ بحسب نوع البيانات، مثل:

• بيانات الحسابات.
• سجلات الالتحاق بالدورات.
• نتائج الاختبارات.
• شهادات الإتمام.
• المعاملات المالية.
• طلبات الدعم الفني.
• سجلات التشغيل والأمان.

وعند انتهاء الغرض من المعالجة وانتفاء المسوغات النظامية للاحتفاظ بالبيانات، تُتخذ الإجراءات المناسبة لإتلافها أو إزالة ما يجعل نسبتها إلى صاحبها ممكنة.

وتحدد المدد التفصيلية في جدول الاحتفاظ بالبيانات المعتمد لدى المركز.

الثالث عشر: حقوق أصحاب البيانات الشخصية

يتمتع المستفيد بالحقوق المقررة بموجب نظام حماية البيانات الشخصية، وفق شروط النظام واستثناءاته، ومن أبرزها:

1. الحق في العلم

معرفة المسوغ النظامي لمعالجة بياناته الشخصية والأغراض التي تُجمع وتُستخدم من أجلها.

2. الحق في الوصول إلى البيانات

طلب الوصول إلى بياناته الشخصية التي يعالجها المركز، وفق الضوابط النظامية.

3. الحق في الحصول على نسخة من البيانات

طلب الحصول على بياناته الشخصية بصيغة مقروءة وواضحة، وفق الشروط المنصوص عليها نظامًا.

4. الحق في طلب التصحيح

طلب تصحيح بياناته غير الدقيقة أو استكمال البيانات الناقصة أو تحديث المعلومات غير المحدثة.

5. الحق في طلب الإتلاف

طلب إتلاف بياناته الشخصية في الحالات التي يجيزها النظام، مع مراعاة الالتزامات النظامية التي قد تقتضي الاحتفاظ ببعض السجلات.

6. الحق في العدول عن الموافقة

العدول عن الموافقة على معالجة البيانات الشخصية عندما تكون الموافقة هي المسوغ المستخدم، وفق الضوابط المطبقة.

الرابع عشر: كيفية ممارسة الحقوق

يمكن للمستفيد تقديم طلب يتعلق ببياناته الشخصية من خلال وسائل التواصل الرسمية للمركز.

البريد الإلكتروني: TR@mdatc.com

الهاتف: +966 50 738 4680

وينبغي أن يتضمن الطلب معلومات كافية لتحديد نوع الحق المطلوب ومساعدة المركز على التحقق من هوية مقدم الطلب بصورة آمنة.

ويُراجع الطلب ويُعالج وفق المدد والإجراءات المقررة نظامًا.

وإذا تعذر تنفيذ الطلب كليًا أو جزئيًا بسبب مسوغ نظامي، يُوضح ذلك لصاحب البيانات وفق المتطلبات ذات العلاقة.

الخامس عشر: بيانات المتدربين وسجلات التعلم

تُستخدم بيانات تقدم المتدرب ونتائج التقييمات وسجلات إكمال الدروس لأغراض إدارة العملية التعليمية والتحقق من استيفاء متطلبات البرامج.

وقد تشمل سجلات التعلم معلومات مرتبطة بهوية الحساب والأنشطة التي نفذها المستفيد ووقت تنفيذها ونتائجها.

وفي البرامج التي تتطلب تكاملًا مع أنظمة سجلات التعلم أو جهات تنظيمية، تُعالج البيانات وتُشارك في الحدود اللازمة لتحقيق متطلبات الربط المعتمد والمسوغ النظامي المناسب.

ويجب إبلاغ المستفيد بنطاق البيانات التي تُرسل فعليًا والجهات المستقبلة لها وأغراض الإرسال وفق متطلبات الإفصاح النظامية.

السادس عشر: بيانات المدربين والمحتوى التعليمي

يستخدم المركز بيانات المدربين المهنية والإدارية للأغراض المتعلقة بالتسجيل ومراجعة طلبات الانضمام وإدارة البرامج التدريبية.

وقد يتم عرض بعض المعلومات المهنية للمدرب ضمن صفحة البرنامج، مثل اسمه وتخصصه ومؤهلاته وخبراته، بحسب طبيعة الخدمة والبيانات المصرح بعرضها.

ولا يجوز نشر معلومات شخصية إضافية غير لازمة دون توافر المسوغ النظامي المناسب.

السابع عشر: استبيانات رضا المستفيدين

قد يجمع المركز آراء وملاحظات المتدربين والمدربين من خلال استبيانات تقييم البرامج والخدمات التدريبية.

وتُستخدم نتائج الاستبيانات لأغراض قياس جودة التدريب وتحديد فرص التحسين.

ويُراعى عند تحليل النتائج قصر الوصول إلى البيانات على الجهات المخولة، واستخدام النتائج الإجمالية متى كان ذلك ممكنًا.

الثامن عشر: الروابط والخدمات الخارجية

قد يحتوي الموقع على روابط لخدمات أو مواقع خارجية، مثل منصات الاجتماعات الافتراضية ومصادر المحتوى التعليمي.

وقد تكون لهذه الخدمات سياسات خصوصية مستقلة.

وينبغي للمستفيد الاطلاع على سياسات الخصوصية الخاصة بتلك الجهات عند الانتقال إليها أو استخدام خدماتها.

التاسع عشر: خصوصية القُصّر

إذا كانت إحدى الخدمات تستهدف أشخاصًا تقل أعمارهم عن السن الذي يتطلب موافقة الولي أو الممثل النظامي، فينبغي تطبيق المتطلبات النظامية ذات العلاقة قبل جمع بياناتهم الشخصية أو معالجتها.

ولا يفترض المركز أن جميع خدماته مخصصة للقُصّر، وتُحدد الاشتراطات بحسب الفئة المستهدفة لكل برنامج.

العشرون: تحديث سياسة الخصوصية

يجوز للمركز تحديث هذه السياسة عند الحاجة، خصوصًا في الحالات التالية:

• تغيير طبيعة الخدمات التدريبية.
• إضافة وسائل جديدة لجمع البيانات أو معالجتها.
• تغيير مقدمي الخدمات ذوي الصلة.
• تحديث الأنظمة أو المتطلبات التنظيمية.
• تطوير وسائل الحماية أو إجراءات ممارسة الحقوق.

ويُنشر الإصدار المحدث في الموقع الإلكتروني، وتُستخدم وسائل الإشعار المناسبة عند وجود تغييرات جوهرية تستوجب إبلاغ المستفيدين.

الحادي والعشرون: الشكاوى والاستفسارات

للاستفسار عن سياسة الخصوصية أو تقديم طلب يتعلق بمعالجة البيانات الشخصية، يمكن التواصل مع المركز عبر البيانات التالية.

ويحق لصاحب البيانات تقديم شكوى إلى الجهة المختصة وفق الإجراءات والقنوات الرسمية المقررة نظامًا.