سياسة الخصوصية

ملاحظة هذه هي النسخة ١.١ من سياسة الخصوصية الخاصة بمنصة ستراتيجيا، وتضيف شرحاً لآلية تسجيل الدخول باستخدام Microsoft. وهي، كالنسخة الأولى، مسودة أُعدت بحسن نية للمنصة ويجب مراجعتها من قبل مستشار قانوني مؤهل، وتسجيلها لدى الجهة المختصة بحماية البيانات حيثما لزم، قبل الاعتماد عليها في بيئة الإنتاج. لا يُعد أي مما ورد هنا استشارة قانونية.

#١. النطاق

توضح سياسة الخصوصية هذه كيفية تعامل شركة نُدم سيستمز ("نحن"، "لنا")، مشغّلة منصة ستراتيجيا لإدارة الاستراتيجية والأداء، مع البيانات الشخصية.

وقد صيغت هذه السياسة مع مراعاة قانون حماية البيانات الشخصية في مملكة البحرين (القانون رقم ٣٠ لسنة ٢٠١٨)، وتتبع هيكل اللائحة العامة لحماية البيانات في الاتحاد الأوروبي (GDPR) حتى يتمكن العملاء الخاضعون لها من مطابقة التزاماتهم مع التزاماتنا.

#٢. أدوار المتحكم والمعالج

ستراتيجيا منصة متعددة المستأجرين تُباع للمؤسسات، وبالتالي توجد علاقتان متمايزتان:

عندما نعمل بصفة معالج، فإننا نتصرف وفق التعليمات الموثقة الصادرة عن مؤسستك. وإذا رغبت في تصحيح بياناتك أو حذفها، تواصل أولاً مع مسؤول النظام في مؤسستك — فهو من يتحكم بها. وسنساعده في تنفيذ طلبك.

تسجيل الدخول باستخدام Microsoft. إذا ربطت مؤسستك منصة ستراتيجيا بدليل Microsoft Entra ID الخاص بها، فإن Microsoft تعمل بصفتها مزوّد الهوية لمؤسستك بموجب اتفاقية مؤسستك الخاصة مع Microsoft. وMicrosoft ليست معالجاً من الباطن لدى نُدم سيستمز: فنحن لا نختارها ولا نتحكم في كيفية معالجتها لعملية تسجيل دخولك.

#٣. البيانات الشخصية التي نعالجها

#٣.١ بيانات الحساب والملف الشخصي

الاسم، وعنوان البريد الإلكتروني الوظيفي، والرقم الوظيفي، والمسمى الوظيفي، والإدارة، والتسلسل التنظيمي، وحالة الحساب، والصورة الشخصية، واللغة المفضلة، وتفضيلات الإشعارات.

#٣.٢ بيانات المصادقة والأمن

كلمة المرور المشفّرة (لا نخزّن كلمات المرور بصيغة قابلة للقراءة إطلاقاً)، ورموز إعادة تعيين كلمة المرور، وأسرار المصادقة متعددة العوامل ورموز الاسترداد، وسجلات الأجهزة الموثوقة، وأوقات تسجيل الدخول، وعنوان بروتوكول الإنترنت ومعرّف المتصفح لمحاولات تسجيل الدخول.

تسجيل الدخول باستخدام Microsoft. إذا سمحت لك مؤسستك بتسجيل الدخول بحساب Microsoft الخاص بالعمل أو الجهة التعليمية، ترسل إلينا Microsoft رمز تسجيل دخول موقّعاً في كل مرة تفعل فيها ذلك. ويتضمن هذا الرمز معرّف دليل Microsoft الخاص بمؤسستك ومعرّف الكائن الخاص بحسابك (وهما معرّفان دائمان)، واسمك وبريدك الإلكتروني واسم المستخدم، وما إذا كانت Microsoft قد تحققت من نطاق بريدك الإلكتروني، وما إذا كان حسابك حساب ضيف، وطرق المصادقة التي استخدمتها (لنعرف ما إذا كانت Microsoft قد أجرت المصادقة متعددة العوامل)، ومعرّف جلسة تسجيل الدخول لدى Microsoft، وتلميح تسجيل الخروج. ونحتفظ بمعرّف الدليل ومعرّف الكائن اللذين يربطان حساب Microsoft الخاص بك بحسابك في ستراتيجيا، وبآخر عنوان بريد إلكتروني أبلغت عنه Microsoft، وبطريقة إنشاء الربط، وبوقت آخر تسجيل دخول لك باستخدام Microsoft. أما معرّف الجلسة وتلميح تسجيل الخروج فلا يُحفظان إلا في جلستك طوال بقائك مسجّل الدخول. ويسجّل سجل النشاط كل عملية تسجيل دخول، بما في ذلك ما إذا تمت بكلمة المرور أو باستخدام Microsoft، وكيف استُوفي العامل الثاني (بالمصادقة متعددة العوامل لدى Microsoft، أو برمز تطبيق المصادقة، أو بجهاز موثوق، أو دون عامل ثانٍ)، وسبب إنهاء الجلسة حين تنهيها ستراتيجيا. وإذا فعّلت مؤسستك الإنشاء التلقائي للحسابات، يُنشأ حسابك في ستراتيجيا من الاسم وعنوان البريد الإلكتروني اللذين ترسلهما Microsoft عند أول تسجيل دخول لك باستخدام Microsoft. ولا تُنسخ التغييرات اللاحقة على اسمك أو بريدك الإلكتروني في Microsoft إلى ملفك الشخصي في ستراتيجيا.

#٣.٣ بيانات الاستخدام والنشاط

سجل نشاط غير قابل للتعديل ومترابط تشفيرياً يوثّق الإجراءات المهمة — إنشاء السجلات أو تعديلها أو حذفها، والاعتمادات، وتنقلات سير العمل، وتغييرات الصلاحيات — متضمناً من قام بالإجراء ومتى ومن أي عنوان إنترنت. ويوجد هذا السجل لأغراض الأمن والمساءلة والتدقيق، وهو بحكم تصميمه غير قابل للتحرير بعد التسجيل.

وتُسجَّل أيضاً محاولات تسجيل الدخول باستخدام Microsoft التي رُفضت، مع سبب الرفض، ورمز مرجعي، وعنوان البريد الإلكتروني الذي أبلغت عنه Microsoft، وعنوان بروتوكول الإنترنت، والمتصفح، بما في ذلك محاولات أشخاص ليس لديهم حساب في ستراتيجيا، وذلك ليتمكن المسؤول في مؤسستك من التحقق منها.

#٣.٤ المحتوى الذي تُنشئه

الأهداف ومؤشرات الأداء والقياسات وملاحظات المتابعة والتعليقات والإشارات وسجلات المخاطر ومعالجاتها وتعريفات التقارير وأي ملف ترفعه. ويخضع هذا المحتوى لسيطرة مؤسستك وقد يتضمن بيانات شخصية إذا أدخل مستخدموها بيانات شخصية فيه.

#٣.٥ سجلات الموافقة

عند قبولك للشروط والأحكام أو لسياسة الخصوصية هذه، نسجّل رقم إصدار المستند الذي قبلته، وتاريخ ووقت القبول، وعنوان بروتوكول الإنترنت، ولغة الواجهة التي قبلت بها.

#٣.٦ البيانات التقنية والتشخيصية

سجلات التطبيق والأخطاء، وعند التفعيل، تقارير الأخطاء المرسلة إلى مزوّد المراقبة لدينا (Sentry). وقد تتضمن تقارير الأخطاء الرابط الذي كنت عليه، ومعرّف المستخدم الخاص بك، وعند تفعيل العميل لذلك، اسمك وبريدك الإلكتروني ليتمكن الدعم من متابعة عطل بعينه.

#٣.٧ ما لا نجمعه

لا نجمع أرقام بطاقات الدفع عبر المنصة، ولا نشغّل إعلانات أو أدوات تتبع تسويقية تابعة لأطراف ثالثة داخل التطبيق، ولا نستخدم بيانات العملاء لتدريب نماذج التعلم الآلي.

وعند تسجيل الدخول باستخدام Microsoft لا نتلقى كلمة مرور حساب Microsoft الخاص بك إطلاقاً. ولا نطلب من Microsoft صلاحية وصول مستمرة (دون اتصال)، ولا نستخدم رمز الوصول الذي تعيده Microsoft مع تسجيل الدخول ولا نخزّنه، ولا نتصل بخدمة Microsoft Graph. ولا تستطيع ستراتيجيا قراءة بريدك أو تقويمك أو ملفاتك أو جهات اتصالك أو عضوياتك في المجموعات أو صورة ملفك الشخصي.

#٤. لماذا نعالجها، وعلى أي أساس قانوني

وحيثما نعتمد على الموافقة — مثل التحليلات الاختيارية — يمكنك سحبها في أي وقت دون أن يؤثر ذلك على قدرتك على استخدام المنصة لغرضها الأساسي.

#٥. مع من نشاركها

نشارك البيانات الشخصية فقط مع:

• مؤسستك نفسها — المسؤولون والزملاء، وفقاً للأدوار والصلاحيات التي تضبطها مؤسستك؛
• مزوّدي البنية التحتية والخدمات بصفتهم معالجين من الباطن، بموجب عقد مكتوب، وبالقدر اللازم فقط لتشغيل المنصة: خدمات الاستضافة وقواعد البيانات، وإرسال البريد الإلكتروني التشغيلي، ومراقبة الأخطاء (Sentry)؛
• Microsoft، عند استخدامك تسجيل الدخول باستخدام Microsoft. إذ يُوجَّه متصفحك إلى صفحة تسجيل الدخول لدى Microsoft، وتتصل خوادمنا بخدمة تسجيل الدخول لدى Microsoft لإتمام تسجيل الدخول ولجلب مفاتيح التوقيع العامة الخاصة بها. ولا نرسل إلى Microsoft إلا ما يحتاجه بروتوكول تسجيل الدخول: معرّف التطبيق وسر العميل الخاصين بمؤسستك، وعنوان ستراتيجيا الذي يُعاد إليه، وقيم أمان تُستخدم مرة واحدة، وكذلك تلميح تسجيل الخروج الذي أصدرته Microsoft إذا كانت مؤسستك تسجّل خروجك من Microsoft أيضاً. ولا نرسل بيانات مساحة عملك إلى Microsoft. وكما يوضح البند ٢، تعمل Microsoft هنا بصفتها مزوّد الهوية لمؤسستك، لا بصفتها معالجاً من الباطن لدينا؛
• المستشارين المهنيين (المدققون، المحامون) الملتزمين بواجب السرية؛
• الجهات الرسمية، حيثما نُلزَم قانوناً — وفي هذه الحالة سنُبلغ العميل المعني ما لم يمنعنا القانون من ذلك.

نحن لا نبيع البيانات الشخصية، ولا نشاركها لأغراض تسويقية لصالح أي جهة أخرى.

#٦. النقل الدولي للبيانات

تقع استضافتنا الأساسية في المنطقة المتفق عليها مع كل عميل. وحيثما يقوم معالج من الباطن بتخزين البيانات أو الوصول إليها خارج مملكة البحرين، نعتمد على آلية نقل مشروعة — قرار كفاية، أو بنود تعاقدية معيارية، أو موافقة صريحة من صاحب البيانات — ونقيّم ضمانات الجهة المستقبِلة قبل بدء النقل.

وتتوفر قائمة محدّثة بالمعالجين من الباطن ومواقعهم عند الطلب عبر [email protected].

ويعمل تسجيل الدخول باستخدام Microsoft على خدمة تسجيل الدخول العالمية لدى Microsoft. أما أماكن معالجة Microsoft لبيانات دليل مؤسستك وتخزينها فتحكمها اتفاقية مؤسستك مع Microsoft.

#٧. مدة الاحتفاظ

وحيثما يُلزمنا القانون بالاحتفاظ بشيء لمدة أطول، نحتفظ به فقط طوال سريان ذلك الالتزام.

#٨. كيف نحميها

• تُشفَّر البيانات أثناء النقل باستخدام TLS، وتُشفَّر كلمات المرور بخوارزمية حديثة مع تمليح.
• تُحفظ بيانات كل عميل في قاعدة بيانات منفصلة، لا في جدول مشترك يميّزه عمود للمستأجر.
• يخضع الوصول لصلاحيات مبنية على الأدوار، مع اعتماد مبدأ الحد الأدنى من الامتيازات افتراضياً.
• المصادقة متعددة العوامل متاحة لكل حساب ويمكن فرضها على مستوى المؤسسة بالكامل. وحيثما تسجّل مؤسستك الدخول باستخدام Microsoft، قد تُجري Microsoft هذه المصادقة وفق سياسات مؤسستك، وتعتمد ستراتيجيا حينئذٍ على إفادة Microsoft بأنها تمت.
• يُخزَّن سر عميل Microsoft الخاص بمؤسستك مشفّراً، ولا يُعرض مرة أخرى بعد حفظه.
• الوصول الإداري من قِبل موظفينا مقيّد ومسجَّل ولا يُمنح إلا عند الحاجة لتشغيل المنصة أو دعمها.
• ترويسات الأمان وتحديد معدل الطلبات وقفل الحسابات تحمي من الهجمات الآلية.
• سجل التدقيق غير قابل للتعديل ومترابط تشفيرياً، بحيث يكون العبث به قابلاً للاكتشاف.

لا يوجد نظام آمن بشكل مطلق. وفي حال وقوع خرق للبيانات الشخصية يُرجَّح أن ينشأ عنه خطر على الأفراد، سنُبلغ العميل المتأثر دون تأخير لا مبرر له وخلال ٧٢ ساعة من علمنا به، وسندعمه في إبلاغ الجهة المختصة والأفراد المتأثرين.

#٩. حقوقك

وفقاً لقانون حماية البيانات الشخصية البحريني، ولللائحة الأوروبية حيثما تنطبق، يحق لك:

• الإحاطة بكيفية استخدام بياناتك — وهذا هو الغرض من هذا المستند؛
• الاطلاع على البيانات الشخصية التي نحتفظ بها عنك؛
• تصحيح البيانات غير الدقيقة أو الناقصة؛
• محو البيانات، حيثما لا يوجد سبب قانوني أو تعاقدي راجح للاحتفاظ بها؛
• تقييد معالجة معينة أو الاعتراض عليها؛
• قابلية النقل — الحصول على بياناتك بصيغة منظمة وقابلة للقراءة آلياً؛
• سحب الموافقة، حيثما كانت المعالجة قائمة على الموافقة؛
• تقديم شكوى إلى الجهة المختصة بحماية البيانات.

ولأن معظم البيانات الشخصية على المنصة يتحكم بها مؤسستك، يُرجى البدء بمسؤول النظام لديك. وإذا تعذّر عليك الوصول إليه، أو كان طلبك يخص بيانات نتحكم بها نحن، فراسلنا على [email protected]. وسنرد خلال ٣٠ يوماً، وسنُبلغك إن احتجنا مدة أطول ولماذا.

وإذا كنت تسجّل الدخول باستخدام Microsoft، يستطيع المسؤول لديك إلغاء ربط حساب Microsoft الخاص بك بستراتيجيا؛ فاطلب منه ذلك إن رغبت في إزالة الربط. ويجب إجراء أي تصحيح لاسمك أو بريدك الإلكتروني في ستراتيجيا وفي Microsoft كليهما.

#١٠. ملفات تعريف الارتباط والتقنيات المشابهة

لا تستخدم ستراتيجيا سوى ما تحتاجه للعمل:

• ملف ارتباط للجلسة يبقيك مسجّل الدخول؛
• رمز CSRF يحمي النماذج من هجمات تزوير الطلبات عبر المواقع؛
• ملف ارتباط اختياري لـ "تذكرني" وملف الجهاز الموثوق، ولا يُنشآن إلا بطلبك؛
• التخزين المحلي للمتصفح لتفضيلات الواجهة مثل السمة واللغة وحالة الشريط الجانبي.

لا توجد ملفات ارتباط إعلانية ولا أدوات تتبع تسويقية تابعة لأطراف ثالثة. وحجب ملف ارتباط الجلسة أو رمز CSRF سيمنع المنصة من العمل.

لا يضيف تسجيل الدخول باستخدام Microsoft أي ملفات ارتباط جديدة خاصة بستراتيجيا. فأثناء تسجيل الدخول باستخدام Microsoft، ثم إلى أن تسجّل الخروج، تحتفظ جلستك أيضاً بقيم أمان تُستخدم مرة واحدة وبتفاصيل تسجيل الدخول لدى Microsoft الموضحة في البند ٣.٢. أما صفحات تسجيل الدخول الخاصة بـ Microsoft فتضع ملفات ارتباط على نطاقات Microsoft، وتخضع تلك الملفات لـ Microsoft. ولا يحتفظ ملف ارتباط "تذكرني" بتسجيل الدخول باستخدام Microsoft، ويمكن لمؤسستك تحديد المدة التي يستمر فيها تسجيل الدخول باستخدام Microsoft قبل أن يُطلب منك تسجيل الدخول باستخدام Microsoft مجدداً.

#١١. الأطفال

ستراتيجيا أداة عمل مؤسسية. وهي غير موجّهة للأطفال، ولا نجمع عن علم بيانات شخصية لأي شخص دون سن الثامنة عشرة. وإذا اعتقدت أن بيانات طفل قد وصلت إلى المنصة، فتواصل مع [email protected] وسنعمل مع العميل المعني على إزالتها.

#١٢. اتخاذ القرارات الآلي

تحسب المنصة نسب الإنجاز والحالات والتنبؤات والسرديات التحليلية من البيانات التي تُدخلها. وهذه مخرجات لدعم القرار تُعرض على إنسان، وليست قرارات آلية تُنتج آثاراً قانونية أو آثاراً مماثلة في الأهمية دون تدخل بشري. ويبقى شخص في مؤسستك مسؤولاً عن أي قرار يُتخذ.

#١٣. التعديلات على هذه السياسة

قد نقوم بتحديث سياسة الخصوصية هذه. وعند إجراء تغيير جوهري، سنرفع رقم إصدار هذا المستند ونطلب منك مراجعة النسخة الجديدة وقبولها في المرة التالية التي تسجّل فيها الدخول أو تفتح فيها صفحة. ويظهر رقم الإصدار الحالي وتاريخ سريانه أعلى هذه الصفحة.

#١٤. التواصل

نُدم سيستمز مملكة البحرين استفسارات الخصوصية: [email protected] الشؤون القانونية العامة: [email protected] الموقع: nudomsystems.com