البنود التعاقدية القياسية لنقل البيانات الشخصية

النص الكامل

قائمة المحتويات

المقدمة

استنادا إلى نظام حماية البيانات الشخصية، الصادر بالمرسوم الملكي رقم )م )19/وتاريخ 1443/2/9ه )"النظام"( والُمعدل بالمرسوم الملكي رقم )م )148/وتاريخ 1444/9/5ه، وما تضمن م جوا نقل البيانات الشخصية خارج المملكة، تحدد لائحة نقل البيانات الشخصية خارج المملكة )"لائحة النقل"( الأحكام الواجب اتباعها عند النقل، بما في ذلك ه البنود التي يتم تطبيقها في حالات إعفا جهات التحكم م شرو الالت ام بمستوى الحماية المناسب والحد الأدنى لنقل البيانات الشخصية المنصوص عليهما

في الفقرتي الفرعيتي )ب( و )ج( م الفقرة )

2) م "المادة التاسعة والعشرو " م النظام ووفقا لأحكام لائحة نقل البيانات الشخصية إلى خارج المملكة.

الغرض

يتمثل الغرض م ه البنود في ضما تطبيق مستوى حماية للبيانات الشخصية بما لا يقل ع مستوى الحماية المقرر في النظام واللوائح، وذلك م خلال تحديد الت امات أطراف عملية النقل عند نقل البيانات الشخصية أو الإفصاح عنها إلى إحدى الدول أو المنظمات الدولية التي لا يتوفر لديها مستوى مناسب لحماية البيانات الشخصية، كماُ تعد ه البنود إحدى الضمانات المناسبة التي يجو لجهات التحكم استخدامها بالإضافة إلى جهات المعالجة بنا على تعليمات جهة التحكم ونيابة عنها إلى جانب القواعد المشتركة الُملِ مة وشهادات الاعتماد م جهة مرخصة م الجهة المختصة ووفقا

لأحكام نقل البيانات الشخصية إلى خارج المملكة.

البنود – المعاني المبينة أمام كل منها،

التعريفات

يق صد بالألفاظ والعبارات الآتية – أينما وردت في ه ما لم يقتضِ السياق خلاف ذلك:

المملكة: المملكة العربية السعودية. النظام: نظام حماية البيانات الشخصية الصادر بالمرسوم الملكي رقم )م )19/وتاريخ

1443/2/9ه )"النظام"( والُمعدل بالمرسوم الملكي رقم )م )148/وتاريخ 1444/9/5ه.

اللوائح: اللوائح التنفي ية للنظام "وتتضم كلا م اللائحة التنفي ية ولائحة نقل

البيانات الشخصية إلى خارج المملكة."

الجهة الُمختصة: الهيئة السعودية للبيانات وال كا الاصطناعي )سدايا.) الضمانات المناسبة: متطلبات تفرضها الجهة المختصة على جهات التحكم تتضم

الإل ام بأحكام النظام واللوائح، عند نقل البيانات الشخصية أو الإفصاح عنها لجهات خارج المملك ة، وذلك في أي م ح الات الإعف ا م شرو تواف ر مس توى مناسب لحماية

البيانات الشخصية أو الحد الأدنى للبيانات الشخصية، بحسب الأحوال؛ بهدف ضما مس توى مناس ب لحماي ة البيان ات الش خصية خارج المملك ة بما لا يق ل ع مستوى

الحماية المقرر في النظام واللوائح.

البنود التعاقدية القياسية: بنود إل امية تستخدم عند نقل البيانات الشخصية خارج

المملكة تكفل مستوى مناسب لحماية البيانات الشخصية عند نقلها خارج المملكة بما لا يقل ع مستوى الحماية المقرر في النظام واللوائح، وذلك وفق نموذج قياسي تصدر الجهة

المختصة.

المنظمات الدولية: كيا قانوني يضم أعضا م ثلاث دول على الأقل، يعمل في دول

متع ددة ذات س يادة، تنش أ م خلال وثيق ة قانوني ة رس مية، مث ل: المعاه دة أو الاتف اق ال ي يس تند إل ى القان و الدول ي، وتح دد ه الوثيق ة القانوني ة أه داف ومقاص د المنظمة الدولية وهياكلها وجهات اتخاذ القرار والولاية القضائية، )مثل: الأمم المتحدة، والبنك الدولي، وجامعة الدول العربية، وصندوق النقد العربي ،)وتشارك ه المنظمات في أنشطة دولية ويجب أ تلت م بأنظمة حماية البيانات الشخصية

المختلفة عبر ولايات قضائية مختلفة.

نقل البيانات الشخصية: نقل البيانات الشخصية أو الكشف عنها )أو منح حق

الوصول إليها( م المملكة العربية السعودية إلى جهات تحكم أو جهات معالجة أو متلقي آخري في دول أو منظمات دولية أو ولاية قضائية أخرى غير المملكة العربية السعودية حي لا تكو الجهة المصدرة للبيانات الشخصية أو الجهة المستوردة للبيانات

الشخصية.

عمليات نقل بيانات الطرف الثال /عمليات النقل اللاحقة: نقل البيانات

الشخصية م دولة خارجية أو منظمة دولية إلى جهات تحكم أو جهات معالجة في نفس الدولة/المنظمة أو في دولة/منظمة أخرى.

النطاق

تحدد ه الوثيقة البنود التعاقدية القياسية الصادرة ع الجهة المختصة في الملحق رقم )

1) م ه الوثيقة، كما تنطبق ه البنود على جهات التحكم أو جهات الُمعالجة بنا على تعليمات جهة التحكم ونيابة عنها وبما لا يخل بمسؤوليات جهة التحكم أمام الجهة المختصة أو صاحب البيانات الشخصية - بحسب الأحوال - عند نقل البيانات الشخصية خارج المملك ة إل ى دول ة أو منظم ة دولي ة لا يتوف ر لديه ا مس توى مناس ب لحماي ة

البيانات الشخصية.

قواعد البنود التعاقدية القياسية:

.1توفر البنود التعاقدية القياسية الواردة على النحو المبي في الملحق )

1) حماية للبيان ات الش خصية وضمان ا مناس با وف ق أح كام النظ ام واللوائ ح لنق ل البيان ات الش خصية أو الإفص اح عنه الجه ات خارج المملك ة م الجه ة المص درة للبيان ات

الشخصية إلى الجهة المستوردة للبيانات الشخصية. .2تحدد البنود التعاقدية القياسية البنود التي يتم تضمينها في عقد أو اتفاقية بي الجهة المصدرة للبيانات الشخصية والجهة المستوردة للبيانات الشخصية أو وضعها في

عقد أو اتفاقية مستقلة. .3لا يخل اعتماد البنود التعاقدية القياسية بالت امات الأطراف بموجب النظام

واللوائح عند معالجة البيانات الشخصية. .4في حال تضمي البنود التعاقدية القياسية في عقد أو اتفاقية، يجب ألا يتعارض أي شر أو حكم صريح أو ضمني في ه ا العقد أو الاتفاقية مع البنود التعاقدية القياسية أو يحد م نطاق تطبيقها أو الحماية المتوقعة منها، بالإضافة إلى أحقية الأطراف المتعاقدة في تضمي أي شرو إضافية تتعلق بمعالجة البيانات الشخصية، على ألا تتعارض ه الشرو الإضافية مع و/أو تقوض أيا م متطلبات

البنود التعاقدية القياسية أو النظام واللوائح. .5عند قيام أي طرف بإجرا أي تعديل على النص المعتمد )بخلاف الحقول الفارغة التي تتطلب تعبئة في البنود التعاقدية القياسية( لا يعتد به ا التعديل م قبل الجهة

المختصة وتعتبر مخالفة لأحكام النظام واللوائح.

.6يمك أ تشمل البنود التعاقدية القياسية أكثر م طرفي ، ل ا يمك لجهات التحك م وجه ات المعالج ة الإضافي ة الانضم ام إل ى ه البن ود كجه اتُ مص درة للبيانات الشخصية أو جهاتُ مستوردة للبيانات الشخصية بحسب طبيعة دورها طوال

مدة سريا العقد. .7لا يج و نق ل البيان ات الش خصية بموج ب البن ود التعاقدي ة القياس ية إذا كان ت القواني والقواعد في الدولة المتلقية أو المنظمة الدولية تمنع الجهة المستوردة للبيانات

الشخصية م الالت ام بالبنود التعاقدية القياسية. .8لضم ا الإنف اذ الفع ال له البن ود، تخض ع الجه ة المس توردة للبيان ات الشخصية للاختصاص القضائي في المملكة، وتتعهد بالالت ام وتنفي أي قرار مل م بموجب

الأنظمة واللوائح المعمول بها في المملكة. .9يجب أ توافق الجهة المستوردة للبيانات الشخصية على الاستجابة لطلبات الجهة المختصة والتعاو معها في إجرا ات التدقيق ومتابعة الالت ام بالتدابير المعتمدة لديها، بما في ذلك التدابير والإجرا ات التصحيحية والتأكيد كتابيا للجهة المختصة

بأن تم اتخاذ الإجرا ات اللا مة. .10بع د اعتم اد البن ود التعاقدي ة القياس ية، ف ي حال تبي للجه ة المص درة للبيان ات الشخصية أ الجه ة المس توردة للبيان ات الشخصية ليس ت ق ادرة أو ل م تع د ق ادرة على الوفا بالالت امات المنصوص عليها في ه البنود، أو قامت الجهة المستوردة للبيانات الشخصية بإشعار الجهة المصدرة للبيانات الشخصية في حال وجود سبب يستدعي الاعتقاد بعدم القدرة على الوفا بالالت امات المنصوص عليه ا ف ي ه البن ود، فيج ب عل ى الجه ة المص درة للبيان ات الشخصية تعلي ق عمليات النقل ما لم تعتمد تدابير أو ضمانات بديلة تستوفي المتطلبات المنصوص

عليها في النظام واللوائح. .11يجو للجهة المختصة وفق تقديرها، إجرا أي تغيير في البنود التعاقدية القياسية الواردة في ه الوثيقة، وفي حال إجرا أي تغيير، ستقوم الجهة المختصة بتحديد التدابير الانتقالية، بما في ذلك فترة السريا المتبقية للاتفاقيات وفق البنود

التعاقدية القياسية السابقة.

نماذج البنود التعاقدية القياسية:

تم إعداد نماذج للبنود التعاقدية القياسية تتضم بنودا عامة تنطبق على جميع الحالات التعاقدية، بالإضافة إلى بنود أخرى ذات طبيعة محددة بحسب أدوار الأطراف المعنية، ويجب على جميع الأطراف قبل تنفي البنود التعاقدية القياسية تحديد النموذج ال ي ينطبق على عمليات النقل ذوات الصلة وبحسب طبيعة أدوارهم، وح ف

النماذج غير المنطبقة: النم وذج الأول: جه ة تحك م إل ى جه ة تحك م: ينطب ق ه ا النم وذج عل ى عملي ات نقل البيانات الشخصية إلى خارج المملكة م جهة تحكم )الجهة المصدرة للبيانات

الشخصية( إلى جهة تحكم أخرى )الجهة المستوردة للبيانات الشخصية.) النموذج الثاني: جهة تحكم إلى جهة معالجة: ينطبق ه ا النموذج على عمليات نقل البيانات الشخصية إلى خارج المملكة م جهة تحكم )الجهة المصدرة للبيانات

الشخصية( إلى جهة معالجة )الجهة المستوردة للبيانات الشخصية.) النموذج الثال : جهة معالجة إلى جهة معالجة: ينطبق ه ا النموذج على عمليات نق ل البيان ات الش خصية إل ى خارج المملك ة م جه ة معالج ة )الجه ة المص درة للبيانات

الشخصية( إلى جهة معالجة فرعية )الجهة المستوردة للبيانات الشخصية.) النموذج الرابع: جهة معالجة إلى جهة تحكم: ينطبق ه ا النموذج على عمليات نقل البيانات الشخصية إلى خارج المملكة م جهة معالجة )الجهة المصدرة للبيانات الشخصية(

إلى جهة تحكم )الجهة المستوردة للبيانات الشخصية.)

الملحقات

البند )

1) الغرض والنطاق

أ. الغرض م ه البنود هو ضما تطبيق مستوى مناسب لحماية البيانات الشخصية يعادل مستوى الحماية المطبق بموجب النظام واللوائح في حال عدم

توفر مستوى مناسب لحماية البيانات الشخصية خارج المملكة، وذلك م خلال تحديد الت امات أطراف عملية النقل عند نقل البيانات الشخصية إلى إحدى الدول أو المنظمات الدولية التي لا يتوفر لديها مستوى مناسب لحماية البيانات

الشخصية.

كما يوضح الملحق )

1) بيانات كل م الجهات المصدرة للبيانات الشخصية والجهات المستوردة للبيانات الشخصية.

ب. تنطبق ه البنود على نقل البيانات الشخصية على النحو المحدد في الملحق )"( ) 2البيانات الشخصية التي سيتم نقلها أو الإفصاح عنها".)

البند )

2) الأثر والتعديل

أ. تح دد ه البن ود ضمان ات مناس بة، بم ا ف ي ذل ك حق وق تقدي م الش كاوى م قبل أصحاب البيانات الشخصية، ولا يمك تعديل ه البنود إلا لاختيار النموذج

المناسب أو لإضافة أو تحدي المعلومات في الملحق. ب. يج و للأط راف تضمي ه البن ود ف ي اتفاقي ة ش املة أو إضاف ة بن ود أخ رى أو

ضمانات إضافية لها، بشر ألا تتعارض بشكل مباشر أو غير مباشر مع ه البنود أو تخل بالحقوق الأساسية لأصحاب البيانات الشخصية.

ج. لا تعفي ه البنود أي طرف م الت امات بموجب النظام واللوائح، ولا تخل بأحكام الأنظمة واللوائح المعمول بها في المملكة أو الاتفاقيات التي تكو المملكة

طرفا فيها.

البند )

3) حقوق أصحاب البيانات الشخصية

أ. لا تخل ه البنود التعاقدية القياسية بحقوق أصحاب البيانات الشخصية المقررة لهم بموجب النظام واللوائح.

ب. يجو لأصحاب البيانات الشخصية ال ي يتم نقل بياناتهم الشخصية م الأطراف بنا على ه البنود التعاقدية القياسية إشعار الجهة المختصة )"الهيئة

السعودية للبيانات وال كا الاصطناعي"( في حال تبي لهم حدوث أي انتهاك له البنود التعاقدية القياسية.

البند )

4) التفسير

أ. ما لم يقتضِ السياق خلاف ذلك، يكو للعبارات والألفاظ الواردة في ه البن ود المعان ي المبين ة له ا أم ام كل منه ا ف ي الم ادة الأول ى م نظ ام حماي ة البيانات الش خصية الص ادر بالمرس وم الملك ي رق م )م )19/وتاري خ 1443/2/9ه والمعدل بموجب المرسوم الملكي رقم )م )148/وتاريخ 1444/9/5ه، و"المادة " م اللائحة التنفي ية لنظام حماية البيانات الشخصية و"المادة "

م لائحة نقل البيانات الشخصية خارج المملكة.

ب. يج ب ق را ة ه البن ود وتفس يرها ف ي ض و أح كام النظ ام واللوائح المش ار إليه ا في الفقرة )أ( م ه المادة وبما يتفق معها، ولا يجو تفسيرها بأي طريقة

أخرى تتعارض مع أحكام النظام واللوائح.

البند )

5) التعارض

في حالة وجود تعارض بي ه البنود وأي حكم في أي اتفاقية أخرى بي الطرفي ، تسري ه البنود.

البند )

6) تفاصيل عمليات النقل

يرد وصف عملية/عمليات النقل، بالإضافة إلى فئات البيانات الشخصية وأغراض عمليات النقل، في الملحق.

البند )

7) إضافة أطراف جديدة

أ. يجو لأي جهة مستوردة للبيانات الشخصية أو جهة مصدرة للبيانات الشخصية ليست طرفا في ه البنود الانضمام إلى ه البنود التعاقدية القياسية م

خلال استكمال الملحق )

1) وتوقيع ، وذلك بعد موافقة الأطراف الحالية، وتكو الجهة المنضّمة إما الجهة المستوردة للبيانات الشخصية أو الجهة

المصدرة للبيانات الشخصية. ب. فور استكمال الملحق )

1) وتوقيع ، تعد الجهة المنضّمة طرفا في ه البنود، وتتولى الجهة المنضّمة حديثا اعتبارا م تاريخ انضمامها المسؤوليات بحسب طبيعتها، وعمليات معالجة البيانات الشخصية ونقلها التي حدثت في تاريخ الانضمام أو بعد ، ويحق للجهة المنضمة ممارسة الحقوق كما يجب عليها الوفا

بالالت امات المقابلة لدورها كما هوُ محدد في ه البنود.

البند )

8) النظام الحاكم والاختصاص القضائي

تخضع ه البنود التعاقدية القياسية للأنظمة المعمول بها في المملكة، وينعقد الاختصاص القضائي لأي ن اع ينشأ ع تطبيق أحكام ه البنود لمحاكم المملكة، وتوافق الجهة المستوردة للبيانات الشخصية بموجب ه البنود التعاقدية القياسية

على الخضوع للاختصاص القضائي للمملكة.

البند )

9) الالت ام بطلبات الجهة المختصة

أ. يوافق كل طرف على الالت ام بأي طلبات م الجهة المختصة فيما يتعلق به البنود التعاقدية القياسية أو معالجة البيانات الشخصية المنقولة.

ب. توافق وتلت م الجهة المستوردة للبيانات الشخصية بالتعاو مع الجهة المختصة والالت ام بالاستجابة لجميع طلباتها واستفساراتها وتقديم الوثائق والمعلومات

اللا مة لضما الالت ام بالبنود التعاقدية القياسية. ج. توافق الجهة المستوردة للبيانات الشخصية على الالت ام بالتدابير التي تعتمدها

الجهة المختصة، بما في ذلك التدابير التصحيحية والتعويض.

البند )

10) التعويض

أ. ف ي حال نش أ أي ن اع بي صاح ب البيان ات الش خصية وأح د الأط راف فيم ا يتعلق بالالت ام بالبنود التعاقدية القياسية، يب ل ه ا الطرف جميع الوسائل اللا مة لتسوية الن اع وديا مع صاحب البيانات الشخصية، على أ يبلغ جميع

الأطراف بعضهم بوجود ه ا الن اع لضما تسويت بالتعاو فيما بينهم. ب. يجو لصاحب البيانات الشخصية التقدم إلى الجهة المختصة بأي شكوى ناشئة ع تطبيق أحكام ه البنود التعاقدية القياسية، وذلك وفق إجرا ات تقديم

الشكاوى المحددة في النظام واللوائح. ج. لصاحب البيانات الشخصية حق المطالبة أمام المحكمة المختصة بالتعويض

ع الضرر المادي أو المعنوي بما يتناسب مع حجم الضرر الناشئ م تطبيق ه البنود التعاقدية القياسية.

البند )

11) أم البيانات الشخصية

أ. يتخ جميع الأطراف التدابير التنظيمية والإدارية والتقنية اللا مة التي تضم المحافظة على البيانات الشخصية م أي تسَرب في جميع مراحل المعالجة، بما

في ذلك أم البيانات الشخصية أثنا عملية النقل. يراعي الأطراف عند تقييم مستوى الأم المناسب، الحالة التقنية الراهنة وتكاليف التنفي وطبيعة البيانات الشخصية المنقولة، فضلا ع طبيعة معالجة البيانات الشخصية ونطاقها وسياقها وأغراضها ومخاطرها، ومراعاة تطبيق الترمي

أو إخفا الهوية، بما يشمل تطبيق ذلك أثنا عملية نقل البيانات الشخصية.

ب. تساعد الجهة المصدرة للبيانات الشخصية الجهة المستوردة للبيانات الشخصية على اس تيفا متطلب ات أم البيان ات الشخصية اللا م ة، وف ي حال حدوث أي تسَرب للبيانات الشخصية المنقولة التي تعالجها الجهة المصدرة للبيانات الشخصية بموجب ه البنود التعاقدية القياسية تخطر الجهة المصدرة للبيانات الشخصية الجهة المستوردة للبيانات الشخصية دو أي تأخير بعد علمها ب لك

التسَرب وتساعد الجهة المستوردة للبيانات الشخصية في معالجة ه ا التسَرب. ج. تضم الجهة المصدرة للبيانات الشخصية الت ام الأشخاص المصرح لهم بمعالجة البيانات الشخصية المنقولة بسرية المعلومات وعدم الإفصاح بموجب الت ام

قانوني مناسب بشأ سرية المعلومات وعدم الإفصاح.

البند )

12) المدة وحالات الإنها

أ. في حال تبي للجهة المستوردة للبيانات الشخصية عدم قدرتها لأي سبب م الأسباب على الإيفا بالت اماتها بموجب ه البنود التعاقدية القياسية، فيل م عليها إبلاغ الجهة المصدرة للبيانات الشخصية ب لك خلال )

24) ساعة م وقت

علمها ب لك. ب. في حال مخالفة الجهة المستوردة للبيانات الشخصية له البنود التعاقدية القياسية أو تبي عدم قدرتها على الالت ام بها، يجب على الجهة المصدرة للبيانات الشخصية التوقف فورا ع نقل البيانات الشخصية إلى الجهة المستوردة للبيان ات الشخصية حت ى ضم ا عودته ا إلى الالت ام م رة أخ رى، عل ى أ يت م من ح الجهة المستوردة للبيانات الشخصية مدة )

30) يوما قابلة للتمديد لمدة مماثلة بحد أقصى لإثبات قدرتها على الالت ام به البنود، وفي حال انقضت المدة دو تحق ق ذل ك فيت م الاتف اق بي الطرفي عل ى إنه ا التعاق د، ولا يترت ب عل ى ذلك أي مسؤولية على الجهة المصدرة للبيانات الشخصية أو جهة التحكم بحسب

الأحوال. ج. يجب على الجهة المصدرة للبيانات الشخصية أو جهة التحكم بحسب الأحوال التأكد م إتلاف جميع البيانات الشخصية المنقولة مسبقا بالكامل للجهة المستوردة للبيان ات الشخصية قب ل إنه ا البن ود التعاقدي ة القياس ية بموج ب الفق رة )ب( أعلا ،

كما يتم التحقق م إتلاف أي نسخ لديها م ه البيانات الشخصية.

د. يج ب عل ى الجه ة المس توردة للبيان ات الشخصية توثي ق عملي ات إتلاف البيان ات الشخصية، على أ يتم تقديم ه ا التوثيق إلى الجهة المصدرة للبيانات الشخصية أو

جهة التحكم بحسب الأحوال عند الطلب. ه. يجب على الجهة المستوردة للبيانات الشخصية الالت ام - حتى بعد إتلافها للبيانات

الشخصية - به البنود التعاقدية القياسية.

البند )

13) حماية البيانات الشخصية المنقولة

يج ب عل ى الجه ة المص درة للبيان ات الشخصية والجه ة المس توردة للبيان ات الشخصية معالج ة البيان ات الش خصية المنقول ة بحس ب طبيع ة وأغراض النقل والنموذج المناسب

وفق الآتي:

النموذج الأول: جهة تحكم إلى جهة تحكم أخرى.

.1قيود المعالجة تلت م الجهة المستوردة للبيانات الشخصية بمعالجة البيانات الشخصية المنقولة وفق

الأغراض المنصوص عليها في الملحق ).)2 .2الالت ام بطلبات الجهة المختصة

أ. يجب على جميع الأطراف تقديم نسخة م ه البنود إلى الجهة المختصة بحكم صلاحياتها المناطة بها بموجب النظام واللوائح عند طلبها ودو تأخير غير مبرر، ويج و للجه ة المختص ة طل بأي معلوم ات إضافي ة فيم ا يتعلق بعمليات نقل

البيانات الشخصية. ب. يوافق كل طرف على الالت ام بأي طلبات تقدمها الجهة المختصة حيال ه

البنود أو عمليات المعالجة المتعلقة بالبيانات الشخصية المنقولة. ج. على الجهة المستوردة للبيانات الشخصية – عند الطلب إما م خلالها أو م خلال

الجهة المصدرة للبيانات الشخصية – الإفصاح لصاحب البيانات الشخصية ع هويتها وبيانات الاتصال الخاصة بها وفئات البيانات الشخصية محل المعالجة

مع تقديم نسخة م ه البنود. .3الحد الأدنى م البيانات الشخصية اللا م لتحقيق الغرض يجب على جميع الأطراف التأكد م أ البيانات الشخصية المنقولة كافية وتقتصر على الحد الأدنى اللا م لتحقيق الأغراض المنصوص عليها في الملحق ) ،)2وفي حال تبي

لأي طرف بأي عملية نقل لبيانات شخصية غير ضرورية، يجب على ه ا الطرف إبلاغ الطرف/الأطراف الأخرى فور علم . .4الاحتفاظ بالبيانات الشخصية

تحتفظ الجهة المستوردة للبيانات الشخصية بالبيانات الشخصية المنقولة في حال كا ذلك ضروريا لتحقيق الأغراض المنصوص عليها في الملحق ) ،)2على أ تقوم الجهة المستوردة للبيانات الشخصية دو تأخير غير مبرر بإتلاف البيانات الشخصية المنقولة أو

إخفا هويتها إلا في الحالات الآتية: أ. إذا توافر مسوغ نظامي بموجب الأنظمة واللوائح المعمول بها في المملكة، وفي

ه الحالة يتم إتلافها بعد انتها المدة أو انتها الغرض م جمعها، أيهما أطول. ب. إذا كا الاحتفاظ بالبيانات الشخصية المنقولة لفترة إضافية متصلا اتصالا وثيقا

بقضية منظورة أمام جهة قضائية وكا الاحتفاظ بها مطلوبا له ا الغرض، وفي ه الحال يتم إتلافها بعد استكمال الإجرا ات القضائية الخاصة بالقضية.

ج. إذا كا الاحتفاظ بالبيانات الشخصية المنقولة لفترة إضافية ضروريا حفاظا على حياة صاحب البيانات الشخصية أو مصالح الحيوية.

.5أم البيانات الشخصية وإشعارات حوادث تسَرب البيانات الشخصية يجب على الطرفي التأكد م أ التدابير التنظيمية والإدارية والتقنية الُمحددة في الملح ق )

3) توف ر مس توى كاف يا م الحماي ة للبيان ات الش خصية المنقول ة للالت ام بمتطلبات "المادة التاسعة عشرة" م النظام و"المادة الثالثة والعشرو " م اللائحة

التنفي ية للنظام. أ. يجب على الجهة المستوردة للبيانات الشخصية تنفي التدابير الأمنية المحددة في الملحق )

3) وتطبيق تلك التدابير على جميع البيانات الشخصية المنقولة، لضما أم البيانات الشخصية وحمايتها ضد أي انتهاك قد يؤدي إلى ضرر بصاحب البيانات الشخصية، أو إجرا غير قانوني أو خسارة أو تغيير أو كشف

ع بيانات شخصية أو وصول غير مصرح ب . ب. يجب على الجهة المستوردة للبيانات الشخصية مراجعة التدابير الأمنية المنصوص عليها في الملحق )

3) بشكل دوري، للتأكد م أ تنفي ها يتم وفق المطلوب، مع تحديثها حسب الحاجة لضما الالت ام بما ورد في "المادة التاسعة عشرة" م النظام والمادة الثالثة والعشرو " م اللائحة التنفي ية للنظام.

ف ي حال عل م الجه ة المس توردة للبيان ات الشخصية بوج ود حادث ة تسرَب للبيان ات الشخصية م شأنها الإضرار على البيانات الشخصية المنقولة أو أصحاب البيانات الشخصية أو تتعارض مع حقوقهم أو مصالحهم، يجب على الجهة المستوردة للبيانات الشخصية إشعار الجهة المختصة خلال )

72) ساعة م وقت علمها وفقا

للمتطلبات الواردة في "المادة الرابعة والعشرو " م اللائحة التنفي ية للنظام. .6البيانات الحساسة

دو الإخلال بأي قيود تتعلق بالبيانات الحساسة المنصوص عليها في النظام واللوائح التنفي ية للنظام، يجب على الجهة المصدرة للبيانات التأكد م أ الجهة المستوردة

الإضافية الموضحة في الملحق ).)2 .7النقل اللاحق

أ. لا يجو للجهة المستوردة للبيانات الشخصية النقل أو الإفصاح ع البيانات الشخصية المنقولة إلى طرف ثال خارج المملكة ما لم ينضم ه ا الطرف

إلى ه البنود وفقا للنموذج المناسب وأحكام البند )أعلا .) ب. دو الإخلال بأحكام المواد )الثامنة( و)الخامسة عشرة( م النظام و)السابعة عشرة( م اللائحة التنفي ية للنظام، تطبق أحكام النظام واللوائح على البيانات الشخصية على عمليات النقل اللاحق للبيانات الشخصية التي جرى نقلها أو

الإفصاح عنها لجهة خارج المملكة. .8تعيي جهات المعالجة

يجب على الجهة المستوردة للبيانات الشخصية الالت ام باختيار جهة معالجة تقدم ضمانات كافية لحماية البيانات الشخصية المنقولة، وأ يتضم الاتفاق مع جهة المعالجة جميع

المتطلبات الموضحة في "المادة السابعة عشرة" م اللائحة التنفي ية للنظام، وأ تكو المعالجة بنا على تعليمات الجهة المستوردة للبيانات الشخصية فق ، على أ

تكو ه التعليمات متسقة مع المتطلبات المحددة في ه البنود. .9الالت ام به البنود

أ. يتعي على جميع الأطراف إثبات الالت ام الكامل بموجب ه البنود أمام الجهة المختصة عند طلبها ذلك، ويجب على الجهة المستوردة للبيانات الشخصية

الاحتفاظ بالوثائق ذات العلاقة بأنشطة معالجة البيانات الشخصية التي تجرى تحت إشرافها، بالإضافة إلى سجلات أنشطة معالجة البيانات الشخصية كما

تنص علي "المادة الثالثة والثلاثو ) ")33م اللائحة التنفي ية للنظام. ب. تقدّم الجهة المستوردة للبيانات الشخصية ه الوثائق إلى الجهة المختصة عند

الطلب. .10المسؤولية أ. يتحمل كل طرف المسؤولية تجا الطرف الآخر ع أي أضرار يتسبب فيها للطرف الآخر نتيجة انتهاك أي م ه البنود التعاقدية القياسية. ب. يتحمل كل طرف المسؤولية تجا صاحب البيانات الشخصية، دو الإخلال بمسؤولية الجهة المصدرة للبيانات الشخصية بموجب النظام واللوائح، ويحق لصاحب البيانات الشخصية الحصول على تعويض ع أي أضرار مادية ومعنوية يتس بب فيه ا الط رف المقص ر تض ر بصاح ب البيان ات الش خصية، وف ي حال كانت المسؤولية على أكثر م طرف في التسبب بالإضرار بصاحب البيانات الش خصية نتيج ة لانته اك ه البن ود التعاقدي ة القياس ية، فتتحم ل الأط راف المسؤولة ع ه ا الانتهاك المسؤولية مجتمعي أو منفردي ، ويحق لصاحب البيانات الشخصية اتخاذ إجرا قضائي أمام المحكمة في حق أي م هؤلا الأطراف. ج. يوافق الأطراف على أن في حال تحمل أي طرف المسؤولية( ب) يحق ل مطالبة الطرف/الأطراف الأخرى به ا الج م التعويض المتوافق مع مسؤوليتهم ع الضرر. د. لا يجو للجهة المستوردة للبيانات الشخصية التمسك بسلوك جهة معالجة البيانات الشخصية أو جهة معالجة البيانات الشخصية الفرعية لتجنب تحملها المسؤولية. .11حقوق أصحاب البيانات الشخصية أ. تتعامل الجهة المستوردة للبيانات الشخصية حسب الاقتضا )مع تقديم المساندة اللا مة م قبل الجهة المصدرة للبيانات الشخصية( مع أي استفسارات أو طلبات تتلقاها م صاحب البيانات الشخصية فيما يتعلق بمعالجة البيانات الشخصية وممارس ة الحق وق المنص وص عليه ا وف ق النظ ام واللوائ ح المعم ول به ا دو أي تأخير خلال مدة لا ت يد على ثلاثي )

30) يوما على الأقل م تاريخ استلام

ذلك الطلب. ويمك تمديد ه المدة لمدة مماثلة بحد أقصى إذا استدعى تنفي الطلب جهدا غير عادي أو إذا تلقت الجهة المستوردة للبيانات الشخصية عددا م الطلبات م صاحب البيانات الشخصية، ويخطر صاحب البيانات

الشخصية مسبقا به ا التمديد والأسباب الداعية إلي . ب. يج ب أ تك و جمي ع الإف ادات المقدم ة لصاح ب البيان ات الش خصية مقدم ة

النموذج الثاني: جهة تحكم إلى جهة معالجة

.1تعليمات المعالجة يجب على الجهة المستوردة للبيانات الشخصية معالجة البيانات الشخصية المنقولة بنا على تعليمات مكتوبة م الجهة المصدرة للبيانات الشخصية فق ، وبنا على ذلك في حال عدم تمك الجهة المستوردة للبيانات الشخصية م اتباع التعليمات، يجب عليها

إبلاغ الجهة المصدرة للبيانات الشخصية ب لك كتابيا دو أي تأخير غير مبرر. .2قيود المعالجة

يج ب عل ى الجه ة المس توردة للبيان ات الشخصية معالج ة البيان ات الش خصية المنقول ة وفقا للأغراض المحددة في الملحق ) ،)2ما لم يصدر توجي كتابي خلاف ذلك م قبل الجهة المصدرة للبيانات الشخصية ، على أ تتم معالجة البيانات الشخصية وفق أحكام

النظام واللوائح في جميع الأحوال. .3الالت ام بطلبات الجهة المختصة أ. في سبيل ممارسة الجهة المختصة صلاحياتها المنوطة بها بموجب النظام واللوائح التنفي ية، يجب على الأطراف تقديم نسخة م ه البنود إلى الجهة المختصة عند الطلب ودو تأخير غير مبرر، ويجو للجهة المختصة طلب أي معلومات إضافية فيما يتعلق بعمليات نقل البيانات الشخصية. ب. يواف ق كل طرف عل ى الالت ام بأي طلب ات تقدمه ا الجه ة المختص ة فيم ا يتعل ق به البنود أو عمليات معالجة البيانات الشخصية المنقولة. ج. على الجهة المستوردة للبيانات الشخصية - عند الطلب إما م خلالها أو م خلال الجهة المصدرة للبيانات الشخصية – الإفصاح لصاحب البيانات الشخصية ع هويتها وبيانات الاتصال الخاصة بها وفئات البيانات الشخصية محل المعالجة مع

تقديم نسخة م ه البنود.

.4دقة وجودة البيانات الشخصية إذا تبي للجهة المستوردة للبيانات الشخصية عدم دقة أي بيانات شخصية منقولة أو غير محدثة، فيل م عليها إبلاغ الجهة المصدرة للبيانات الشخصية خطيا دو تأخير غير مبرر، على أ تقوم الجهة المستوردة للبيانات الشخصية في ه الحالة بإتلاف البيانات

الشخصية وإشعار الجهة المصدرة للبيانات الشخصية ب لك، ما لم يتم التوجي م قبل الجهة المصدرة للبيانات الشخصية بعدم الإتلاف لرغبتها في إجرا تصحيح للبيانات

الشخصية المنقولة. .5مدة معالجة البيانات الشخصية وإتلافها أو استعادتها أ. تت م المعالج ة م قبل الجه ة المس توردة للبيان ات الشخصية فق وخلال الم دة المحددة في الملحق ) ،)2وبعد الانتها م الغرض م المعالجة يجب على الجهة المستوردة للبيانات الشخصية إتلاف جميع البيانات الشخصية التي تمت معالجتها نيابة ع الجهة المصدرة للبيانات الشخصية وإشعار الجهة المصدرة للبيانات الشخصية ب لك، ما لم يتم التوجي م قبل الجهة المصدرة للبيانات

الشخصية بخلاف ذلك في الحالات الآتية: .1إعادة جميع البيانات الشخصية المعالجة إلى الجهة المصدرة للبيانات

الشخصية وح ف النسخ الموجودة لدى الجهة المستوردة للبيانات الشخصية؛ .2اقتضا الأنظمة المعمول بها في المملكة الاحتفاظ بالبيانات الشخصية

المنقولة لمدة إضافية؛ ب. تبقى الجهة المستوردة للبيانات الشخصية ملت مة به البنود حتى إتمام ح ف

البيانات الشخصية أو استعادتها. .6أم البيانات الشخصية وإشعارات تسرب البيانات الشخصية أ. يجب على الطرفي التأكد م أ التدابير التنظيمية والإدارية والتقنية المحددة في الملحق )

3) توفر مستوى كافيا م الحماية للبيانات الشخصية المنقولة للالت ام بمتطلبات "المادة التاسعة عشرة" م النظام و"المادة الثالثة والعشرو "

م اللائحة التنفي ية للنظام. ب. يجب على الجهة المستوردة للبيانات الشخصية تنفي التدابير الأمنية المحددة في الملحق )

3) وتطبيق تلك التدابير على جميع البيانات الشخصية المنقولة، لضما أم البيانات الشخصية وحمايتها ضد أي انتهاك قد يؤدي إلى ضرر

بصاحب البيانات الشخصية، أو إجرا غير قانوني أو خسارة أو تغيير أو كشف ع بيانات شخصية أو وصول غير مصرح ب .

ج. يجب على الجهة المستوردة للبيانات الشخصية مراجعة التدابير الأمنية المنصوص عليها في الملحق )

3) بشكل دوري، للتأكد م أ تنفي ها يتم وفق المطلوب، مع تحديثها حسب الحاجة لضما الالت ام بما ورد في "المادة التاسعة عشرة" م النظام و"المادة الثالثة والعشرو " م اللائحة التنفي ية

للنظام. د. ف ي حال عل م الجه ة المس توردة للبيان ات الشخصية بوج ود حادث ة تسرَب للبيان ات الشخصية م شأنها الإضرار على البيانات الشخصية المنقولة أو أصحاب البيانات الشخصية أو تتعارض مع حقوقهم أو مصالحهم، فيجب على الجهة المستوردة للبيانات الشخصية على الفور اتخاذ الإجرا ات المناسبة والضرورية لاحتوا الحادثة للحد م أي مخاطر أو تبعات سلبية مع التأكد م منع تكرارها، ويجب إشعار الجهة المصدرة للبيانات الشخصية ب لك خلال )

24) ساعة م وقت وقوع حادثة التسرَب أو العل م بها، عل ى أ يتضم الإش عار وصف ا للحادث ة وأس بابها والتدابير المتخ ة أو المخط اتخاذها لاحتوا الحادثة ومنع تكرارها، بالإضافة إلى توفير بيانات التواصل للمتابعة م قبل الجهة المصدرة للبيانات الشخصية ، وعلى الجهة المصدرة للبيانات الشخصية في حال تبي لها وجود حادثة تسرَب للبيانات الشخصية م شأنها الإضرار على البيانات الشخصية المنقولة أو أصحاب البيان ات الش خصية أو تتعارض مع حقوقهم أو مصالحه م، إش عار الجه ة المختص ة

خلال )

48) ساعة وفقا للمتطلبات الواردة في "المادة الرابعة والعشرو " م اللائحة التنفي ية للنظام.

ه. يجب على الجهة المصدرة للبيانات الشخصية فور استلامها إشعار الجهة المستوردة للبيانات الشخصية بشأ حادثة تسَرب البيانات الشخصية وكا م شأ

تلك الحادثة الإضرار بالبيانات الشخصية أو صاحب البيانات الشخصية أو كانت تتع ارض م ع حقوق أو مصالح ، تقدي م إش عار ف وري بلغ ة بس يطة وواضح ة وفق أحكام "المادة الرابعة والعشرو " م اللائحة التنفي ية للنظام إلى أصحاب

البيانات الشخصية المتضرري م حادثة تسرب البيانات الشخصية، على أ يتضم الإشعار المخاطر المحتملة وطبيعتها والتدابير المتخ ة أو المخط

اتخاذه ا لاحت وا الحادث ة، وبيان ات الاتص ال بالجه ة المص درة للبيان ات الشخصية والجهة المستوردة للبيانات الشخصية ومسؤول حماية البيانات الشخصية للجهتي ، بالإضافة إلى تقديم أي توصيات أو استشارات م شأنها مساعدة صاحب

البيانات الشخصية في اتخاذ التدابير المناسبة لتجنب المخاطر المحددة أو الحد م تأثيرها.

.7البيانات الحساسة دو الإخلال بأي قيود تتعلق بالبيانات الحساسة المنصوص عليها في النظام واللوائح التنفي ية للنظام، يجب على الجهة المصدرة للبيانات التأكد م أ الجهة المستوردة

الإضافية الموضحة في الملحق ).)2 .8النقل اللاحق

أ. لا يجو للجهة المستوردة للبيانات الشخصية النقل أو الإفصاح ع البيانات الش خصية المنقول ة إل ى طرف ثال خارج المملك ة م ا ل م ينض م ه ا

الطرف إلى ه البنود وفقا للنموذج المناسب وأحكام البند )

7) أعلا . ب. دو الإخلال بأحكام المواد )الثامنة( و)الخامسة عشرة( م النظام و)السابعة عشرة( م اللائحة التنفي ية للنظام، تطبق أحكام النظام واللوائح على البيانات الشخصية على عمليات النقل اللاحق للبيانات الشخصية التي جرى

نقلها مسبقا أو الإفصاح عنها لجهة خارج المملكة. .9الالت ام به البنود

أ. تلت م الجهة المستوردة للبيانات الشخصية بالرد على جميع استفسارات الجهة المصدرة للبيانات الشخصية خلال المدة المحددة مع تقديم جميع المعلومات المطلوبة م قبل الجهة المصدرة للبيانات الشخصية، بالإضافة إلى ت ويد الجهة المصدرة للبيانات الشخصية بجميع المعلومات التي قد تطلبها بشأ معالجة البيانات الشخصية المنقولة، ويشمل ذلك أي معلومات لا مة تمك الجهة المصدرة للبيانات الشخصية م إثبات الت امها بالمتطلبات الواردة في ه البنود أو الأحكام

الواردة في النظام واللوائح.

ب. يتحمل كل طرف مسؤولية إثبات استيفا جميع الالت امات بموجب ه البنود أمام الجهة المختصة عند طلب ذلك.

ج. تسمح الجهة المستوردة للبيانات الشخصية دو أي تأخير غير مبرر للجهة المصدرة للبيانات الشخصية أو ممثليها المعيني بتدقيق معالجة الجهة المستوردة للبيانات

الشخصية بنا على طلب الجهة المصدرة للبيانات الشخصية. د. يجب على الجهة المصدرة للبيانات الشخصية تقديم المعلومات التي أظهرتها

عملية التدقيق عند طلب الجهة المختصة. ه. لا يمنح حق التدقيق للجهة المصدرة للبيانات الشخصية أو ممثليها حق الوصول إلى أي معلومات سرية تخص الجهة المستوردة للبيانات الشخصية طالما لا

ترتب ه المعلومات بشكل وثيق بمعالجة البيانات الشخصية المنقولة. .10حقوق أصحاب البيانات الشخصية

أ. تخطر الجهة المستوردة للبيانات الشخصية خلال )

48) ساعة م وقت استلام الطلب الجهة المصدرة للبيانات الشخصية بأي طلب تتلقا م صاحب البيانات الشخصية، ولا يحق للجهة المستوردة للبيانات الشخصية الرد على ه الطلبات

ما لم تسمح الجهة المصدرة للبيانات الشخصية ب لك. ب. تتخ الجهة المستوردة للبيانات الشخصية جميع الإجرا ات اللا مة بالتعاو مع الجهة المصدرة للبيانات الشخصية للاستجابة لطلبات أصحاب البيانات الشخصية

وتمكينهم م ممارسة حقوقهم بموجب أحكام النظام واللوائح. ج. تلت م الجهة المستوردة للبيانات الشخصية باتباع جميع التعليمات التي تصدرها الجهة المصدرة للبيانات الشخصية فيما يتعلق بمعالجة البيانات الشخصية المنقولة. د. يجب أ تكو جميع الإفادات المقدمة لصاحب البيانات الشخصية مقدمة

النموذج الثال : جهة معالجة إلى جهة معالجة أخرى

.1تعليمات المعالجة أ. أوضحت الجهة المصدرة للبيانات الشخصية للجهة المستوردة للبيانات الشخصية أنها تعالج البيانات الشخصية بصفتها جهة معالجة بنا على تعليمات جهة التحكم لديها ونيابة عنها، وتؤكد الجهة المصدرة للبيانات الشخصية بأ ه التعليمات

متوافقة ومتسقة مع التعليمات التي قدمتها جهة التحكم إليها.

ب. تلت م الجهة المستوردة للبيانات الشخصية بمعالجة البيانات الشخصية المنقولة فق بنا على تعليمات كتابية م الجهة المصدرة للبيانات الشخصية، وتلت م الجهة المستوردة للبيانات الشخصية بإبلاغ الجهة المصدرة للبيانات الشخصية في

حال عدم تمكنها م اتباع ه التعليمات دو أي تأخير غير مبرر. ج. تلت م الجهة المستوردة للبيانات الشخصية بإخطار الجهة المصدرة للبيانات الشخصية ف ي حال عدم تمكنه ا م الالت ام بتعليم ات الجه ة المص درة للبيان ات الشخصية خلال )

24) ساعة م وقت علمها ب لك، على أ تقوم الجهة

المص درة للبيان ات الشخصية بإخط ار جه ة التحك م ب ل ك خلال )

48) ساعة م وقت استلامها إخطار الجهة المستوردة للبيانات الشخصية.

د. تؤكد الجهة المصدرة للبيانات الشخصية بأنها فرضت الت امات على الجهة المستوردة للبيانات الشخصية تساوي الالت امات التي فرضتها جهة التحكم على الجهة المصدرة للبيانات الشخصية فيما يتعلق بمعالجة البيانات الشخصية

المنقول ة. .2قيود المعالجة

يج ب عل ى الجه ة المس توردة للبيان ات الشخصية معالج ة البيان ات الش خصية المنقول ة وفقا للأغراض المحددة في الملحق ) ،)2ما لمُ يصدر توجي كتابي خلاف ذلك م قبل الجهة المصدرة للبيانات الشخصية، على أ تتم معالجة البيانات الشخصية وفق أحكام

النظام واللوائح في جميع الأحوال. .3الالت ام بطلبات الجهة المختصة

أ. في سبيل ممارسة الجهة المختصة صلاحياتها المنوطة بها بموجب النظام واللوائح التنفي ية، يجب على الأطراف تقديم نسخة م ه البنود إلى الجهة المختصة عند الطلب دو تأخير غير مبرر، ويجو للجهة المختصة طلب أي

معلومات إضافية فيما يتعلق بعمليات نقل البيانات الشخصية. ب. يوافق كل طرف على الالت ام بأي طلبات تقدمها الجهة المختصة فيما يتعلق

به البنود أو عمليات معالجة البيانات الشخصية المنقولة. ج. على الجهة المستوردة للبيانات الشخصية – عند الطلب إما م خلال الجهة المصدرة للبيانات الشخصية أو جهة التحكم - الإفصاح لصاحب البيانات الشخصية

ع هويتها وبيانات الاتصال الخاصة بها وفئات البيانات الشخصية محل المعالجة مع تقديم نسخة م ه البنود. .4دقة وجودة البيانات الشخصية

إذا تبي للجهة المستوردة للبيانات الشخصية عدم دقة أي بيانات شخصية منقولة أو غير محدثة، فيجب عليها إبلاغ الجهة المصدرة للبيانات الشخصية خطيا دو تأخير غير مبرر، على أ تقوم الجهة المصدرة للبيانات الشخصية بإبلاغ جهة التحكم ب لك خلال ))48 ساعة م وقت إشعار الجهة المستوردة للبيانات الشخصية لها لطلب إصدار توجي

خطي بطلب إتلاف البيانات الشخصية أو التصحيح. .5مدة معالجة البيانات الشخصية وإتلافها أو استعادتها أ. تتم المعالجة م قبل الجهة المستوردة للبيانات الشخصية فق وخلال المدة المحددة في الملحق ) ،)2وبعد الانتها م الغرض م المعالجة، يجب على الجهة المستوردة للبيانات الشخصية إتلاف جميع البيانات الشخصية التي تمت معالجتها نيابة ع الجهة المصدرة للبيانات الشخصية وإشعار الجهة المصدرة للبيانات الشخصية ب لك، ما لم يتم التوجي م قبل الجهة المصدرة للبيانات الشخصية

بخلاف ذلك في الحالات الآتية: .1إعادة جميع البيانات الشخصية المعالجة إلى الجهة المصدرة للبيانات

المنقولة لمدة إضافية؛ .3الاحتفاظ بالحد الأدنى اللا م م البيانات الشخصية المنقولة اللا مة لإقامة

الدعاوى القانونية أو مباشرتها أو الدفاع عنها؛ .4الاحتفاظ بالحد الأدنى اللا م م البيانات الشخصية المنقولة اللا مة لحماية حياة صاحب البيانات الشخصية أو مصالح الحيوية أو للوقاية م عدوى

مرضية أو فحصها أو معالجتها. ب. تبقى الجهة المستوردة للبيانات الشخصية ملت مة به البنود حتى إتمام ح ف البيانات

الشخصية أو استعادتها.

.6أم البيانات الشخصية وإشعارات تسَرب البيانات الشخصية أ. يجب على الطرفي التأكد م أ التدابير التنظيمية والإدارية والتقنية الُمحددة في الملحق )

م اللائحة للنظام. ب. يجب على الجهة المستوردة للبيانات الشخصية تنفي التدابير الأمنية المحددة ف ي الملح ق )

3) وتطبي ق تل ك التدابير عل ى جمي ع البيان ات الش خصية المنقول ة، لضما أم البيانات الشخصية وحمايتها ضد أي انتهاك قد يؤدي إلى ضرر

بصاحب البيانات الشخصية، أو إجرا غير قانوني أو خسارة أو تغيير أو كشف ع بيانات شخصية أو وصول غير مصرح ب .

ج. يجب على الجهة المستوردة للبيانات الشخصية مراجعة التدابير الأمنية المنصوص عليها في الملحق )

3) بشكل دوري، للتأكد م أ تنفي ها يتم وفق المطلوب، مع تحديثها حسب الحاجة لضما الالت ام بما ورد في "المادة التاسعة عشرة"

م النظام و "المادة الثالثة والعشرو " م اللائحة للنظام. في حال علم الجهة المستوردة للبيانات الشخصية بوجود حادثة تسَرب للبيانات الشخصية م شأنها الإضرار على البيانات الشخصية المنقولة أو أصحاب البيانات الشخصية أو تتعارض مع حقوقهم أو مصالحهم، فيجب على الجهة المستوردة للبيانات الشخصية على الف ور اتخ اذ الإج را ات المناس بة والضروري ة لاحت وا الحادث ة للح د م أي مخاط ر أو تبع ات س لبية م ع التأك د م من ع تكراره ا، ويج ب إش عار الجه ة المص درة للبيان ات

الشخصية ب لك خلال )

24) ساعة م وقت وقوع حادثة التسرب أو العلم بها، على أ يتضم الإشعار وصفا للحادثة وأسبابها والتدابير المتخ ة أو المخط اتخاذها لاحتوا الح ادثة ومن ع تكراره ا، بالإضاف ة إل ى توفير بيان ات التواص ل للمتابع ة م قب ل الجه ة المصدرة للبيانات الشخصية، وعلى الجهة المصدرة للبيانات الشخصية إشعار جهة التحكم خلال )

24) ساعة م وقت استلامها لإشعار الجهة المستوردة للبيانات الشخصية عل ى أ تق وم جه ة التحك م بإش عار الجه ة المختص ة وفق ا للمتطلب ات ال واردة ف ي

"المادة الرابعة والعشرو " م اللائحة التنفي ية للنظام.

الإضافية الموضحة في الملحق ).)2 .8النقل اللاحق

إلى ه البنود وفقا للنموذج المناسب وأحكام البند )

7) أعلا . ب. دو الإخلال بأحكام المواد )الثامنة( و)الخامسة عشرة( م النظام و)السابعة عشرة( م اللائحة التنفي ية للنظام، تطبق أحكام النظام واللوائح على البيانات

الشخصية التي جرى نقلها مسبقا أو الإفصاح عنها لجهة خارج المملكة. ج. تك وجه ة التحك م مس ؤولة ع التحق ق م الت ام الجه ة المص درة للبيان ات الشخصية والجهة المستوردة للبيانات الشخصية بالالت امات أعلا ، ويجو لجهة التحكم تعيي طرف آخر مستقل للمراجعة والتحقق م الالت ام نيابة عنها، وف ي جمي ع الأح وال عن د مخالف ة الجه ة المص درة للبيان ات الشخصية والجه ة المستوردة للبيانات الشخصية التعليمات الصادرة م جهة التحكم أو الاتفاق المبرم معها بشأ معالجة البيانات الشخصية المنقولة، فتعد الجهة المصدرة للبيانات

الشخصية والجهة المستوردة للبيانات الشخصية في حكم جهة التحكم وتكو مسؤولة ع مخالفة البنود التعاقدية القياسية وأحكام النظام واللوائح التنفي ية

أمام الجهة المختصة. .9تعيي جهة معالجة فرعية أ. في حال كا هناك حاجة للجهة المستوردة للبيانات الشخصية بتعيي جهة معالجة فرعية فيل م على الجهة المصدرة للبيانات الشخصية الحصول على موافقة كتابية مسبقة م جهة التحكم قبل ]يرجى تحديد الفترة ال منية[ على الأقل قبل تعيي أي جهة معالجة فرعية.

ب. في حال تم تعيي جهة معالجة فرعية، فيجب أ يتم ذلك م خلال إبرام اتفاقية مكتوبة تفرض عليها الالت امات ذاتها المفروضة على الجهة المستوردة للبيانات الشخصية بموجب البنود التعاقدية القياسية ه ، وتقدم الجهة المس توردة للبيان ات الشخصية بن ا عل ى طل ب الجه ة المص درة للبيان ات الشخصية نسخة م ه الاتفاقية الكتابية وأي تعديلات لاحقة تطرأ عليها إلى الجهة

المصدرة للبيانات الشخصية. .10الالت ام به البنود

أ. تلت م الجهة المستوردة للبيانات الشخصية بالرد على جميع استفسارات وطلبات الجهة المصدرة للبيانات الشخصية أو جهة التحكم خلال المدة المحددة مع تقديم جميع المعلومات المطلوبة م قبل الجهة المصدرة للبيانات الشخصية وجه ة التحك م، بالإضاف ة إل ى ت وي د الجه ة المص درة للبيان ات الشخصية أو جه ة التحك م بجمي ع المعلوم ات الت ي ق د تطلبه ا بش أ معالج ة البيان ات الش خصية المنقول ة، ويش مل ذل ك أي معلوم ات لا م ة تمك جه ة التحك م م إثب ات الت امها بالمتطلبات الواردة في ه البنود أو الأحكام الواردة في النظام واللوائح

أمام الجهة المختصة. ب. يتحمل كل طرف مسؤولية إثبات استيفا جميع الالت امات بموجب ه البنود أمام الجهة المختصة عند طلب ذلك، وفي جميع الأحوال، عند مخالفة الجهة المصدرة للبيانات الشخصية والجهة المستوردة للبيانات الشخصية التعليمات الصادرة م جهة التحكم أو الاتفاق المبرم معها بشأ معالجة البيانات الشخصية المنقولة، فتعد الجهة المصدرة للبيانات الشخصية والجهة المستوردة للبيانات الشخصية في حكم جهة التحكم وتكو مسؤولة ع مخالفة البنود التعاقدية

القياسية وأحكام النظام واللوائح التنفي ية أمام الجهة المختصة. ج. تسمح الجهة المستوردة للبيانات الشخصية دو أي تأخير غير مبرر للجهة المصدرة للبيانات الشخصية أو جهة التحكم أو ممثليهما المعيني بتدقيق معالجة الجهة المس توردة للبيان ات الش خصية بن ا عل ى طل ب الجه ة المص درة للبيانات

الشخصية أو جهة التحكم. د. يجب على جهة التحكم تقديم المعلومات التي أظهرتها عملية التدقيق عند طلب

الجهة المختصة.

ه. لا يمنح حق التدقيق للجهة المصدرة للبيانات الشخصية أو جهة التحكم أو ممثليهما حق الوصول إلى أي معلومات سرية تخص الجهة المستوردة للبيانات الشخصية طالما لا ترتب ه المعلومات بشكل وثيق بمعالجة البيانات

الشخصية المنقولة. .11حقوق أصحاب البيانات الشخصية أ. تخط ر الجه ة المس توردة للبيان ات الشخصية خلال )

24) ساعة م وق ت الاس تلام الجهة المصدرة للبيانات الشخصية بأي طلب تتلقا م صاحب البيانات الشخصية، على أ تقوم الجهة المصدرة للبيانات الشخصية بإخطار جهة التحكم خلال )

24) ساعة م وقت استلام إخطار الجهة المستوردة للبيانات الشخصية، على أ تلت م الجهة المستوردة للبيانات الشخصية والجهة المصدرة للبيانات الشخصية بعدم الرد على الطلب ما لم تسمح جهة التحكم ب لك. ب. تتخ الجهة المستوردة للبيانات الشخصية جميع الإجرا ات اللا مة بالتعاو مع الجه ة المص درة للبيان ات الشخصية وجه ة التحك م للاس تجابة لطلب ات أصح اب البيانات الشخصية لممارسة حقوقهم بموجب أحكام النظام واللوائح. ج. تلت م الجهة المستوردة للبيانات الشخصية باتباع جميع التعليمات التي تصدرها الجهة المصدرة للبيانات الشخصية وجهة التحكم في جميع ما يتعلق بمعالجة

البيانات الشخصية المنقولة. د. يجب أ تكو جميع الإفادات المقدمة لصاحب البيانات الشخصية مقدمة

النموذج الرابع: جهة معالجة إلى جهة تحكم

.1تعليمات المعالجة أ. تلت م الجه ة المص درة للبيان ات الشخصية بمعالج ة البيان ات الش خصية المنقول ة فق بنا على تعليمات مكتوبة م الجهة المستوردة للبيانات الشخصية بصفتها

جهة التحكم. ب. على الجهة المصدرة للبيانات الشخصية إشعار الجهة المستوردة للبيانات الشخصية

فورا في حال عدم تمكنها م الالت ام به التعليمات، أو في حال تبي لها بأ ه التعليمات مخالفة لأحكام النظام واللوائح أو أي نظام آخر في المملكة.

ج. لا يجو للجهة المستوردة للبيانات الشخصية اتخاذ إجرا أو الامتناع ع اتخاذ إجرا م شأن أ يمنع الجهة المصدرة للبيانات الشخصية م استيفا الت اماتها بموجب النظام واللوائح أو أي نظام آخر م الأنظمة المعمول بها في المملكة، ومنها تلك الأنظمة المتعلقة بالتعاو مع الجهة المختصة أو أي جهة

تنظيمية أخرى. د. بع د الانته ا م غ رض معالج ة البيان ات الش خصية المح دد ف ي الملح ق )،)2 فعلى الجهة المصدرة للبيانات الشخصية إتلاف البيانات الشخصية المنقولة أو

إعادتها بحسب ما تقرر الجهة المستوردة للبيانات الشخصية. .2أم معالجة البيانات الشخصية

أ. على الأطراف اتخاذ التدابير التنظيمية والإدارية والتقنية اللا مة للمحافظة على خصوصية أصحاب البيانات الشخصية وأم البيانات الشخصية في جميع مراحل

المعالجة، بما في ذلك أم البيانات الشخصية أثنا عملية نقلها، والحماية م أي تسَرب للبيانات الشخصية. ويراعي الأطراف، عند تقييم مستوى التدابير الأمنية المناسبة، الحالة التقنية الراهنة وتكاليف التنفي وطبيعة البيانات الشخصية المحولة، فضلا ع طبيعة معالجة البيانات الشخصية ونطاقها وسياقها وغرضها أو أغراضها والمخاطر التي تتضمنها معالجة البيانات الشخصية، ومراعاة تطبيق التشفير أو إلغا تحديد الهوية، بما يشمل تطبيق ذلك أثنا عملية نقل

البيانات الشخصية، لضما تحقيق غرض معالجة البيانات الشخصية وفقا ل لك. ب. تق دم الجه ة المص درة للبيان ات الشخصية الدع م والمس اندة للجه ة المس توردة للبيانات الشخصية لضما أم البيانات الشخصية اللا م بموجب الفقرة )أ( أعلا ، وفي حالة حدوث أي تسَرب للبيانات الشخصية فيما يتعلق بالبيانات الشخصية المنقولة التي تعالجها الجهة المصدرة للبيانات الشخصية بموجب البنود التعاقدية القياسية، تشعر الجهة المصدرة للبيانات الشخصية الجهة المستوردة للبيانات الشخصية دو أي تأخير خلال )

24) ساعة م وقت علمها ب لك، على أ تساهم

الجهة المستوردة للبيانات الشخصية في احتوا ه ا التسَرب. ج. تضم الجهة المصدرة للبيانات الشخصية الت ام الأشخاص المصرح لهم بمعالجة البيانات الشخصية المنقولة بسرية وحماية المعلومات أو الت امهم

بموجب الت ام قانوني مناسب بشأ سرية وحماية المعلومات.

.3الالت ام به البنود أ. تلت م الجهة المصدرة للبيانات الشخصية بالاستجابة لجميع طلبات الجهة المس توردة للبيان ات الشخصية عن د الطل ب، وذل ك لتمكي الجه ة المس توردة للبيانات الشخصية م إثبات الالت ام بأحكام البنود التعاقدية القياسية والنظام

واللوائح. ب. يتحمل كل طرف مسؤولية إثبات استيفا جميع الالت امات بموجب ه البنود

أمام الجهة المختصة عند طلب ذلك. .4حقوق أصحاب البيانات الشخصية

أ. على جميع الأطراف اتخاذ جميع الإجرا ات والتدابير اللا مة والتعاو في تمكي أصحاب البيانات الشخصية م ممارسة حقوقهم المنصوص عليها في

النظام واللوائح. ب. يجب أ تكو جميع الإفادات المقدمة لصاحب البيانات الشخصية مقدمة

ملحق : 1قائمة الأطراف

[ ملاحظة: تستكمل بيانات ه ا الملحق في جميع المراحل] .

بيانات الجهة/الجهات المستوردة للبيانات الشخصية:

الاسم:

العنوا :

معلومات الاتصال:

التوقيع:

الدور [جهة التحكم/جهة معالجة[ :

ملحق : 2وصف البيانات الشخصية المنقولة

[ ملاحظة: تستكمل بيانات ه ا الملحق في جميع المراحل] .

فئات أصحاب البيانات الشخصية المنقولة بياناتهم الشخصية

فئات البيانات الشخصية المنقولة فئات البيانات الحساسة المنقولة –إ وجدت- والتقييدات والضمانات المنطبقة التي تراعي بالكامل طبيعة البيانات الشخصية والمخاطر التي تشملها، على سبيل المثال: تقييد الأغراض أو تقييدات الوصول أو الاحتفاظ بسجل الوصول إلى البيانات الشخصية أو التقييدات على عمليات النقل اللاحقة أو التدابير

التنظيمية والتقنية. الغرض م النقل

فترة/معايير الاحتفاظ

ملحق :3التدابير الأمنية

[ ملاحظة: تستكمل بيانات ه ا الملحق في جميع المراحل] . .1يلت م جميع الأطراف بإيضاح التدابير التنظيمية والإدارية والتقنية والأمنية التي ستطبق على البيانات الشخصية المنقولة لاستيفا أحكام "المادة التاسعة عشرة"

م النظام و "المادة الثالثة والعشرو " م اللائحة التنفي ية للنظام. .2التدابير أدنا مجرد أمثلة فق ، ويجب على الأطراف ضما توافق الوصف الوارد

في ه ا الملحق مع الحقائق المنطبقة ذات الصلة بالنقل.

.1مثال: التحكم في الوصول إلى المباني والمنشآت )ماديا(

تدابير التحكم في الوصول إلى المباني والمنشآت، على وج التحديد، للتحقق م التصريح: • نظام التحكم في الوصول ونظام قرا ة البطاقات )مثل: البطاقة المغناطيسية أو بطاقة الشريحة.)

• حماية الأبواب )مثل: أنظمة فتح الأبواب الإلكترونية ومجموعة الأقفال.) • خدمات الأم ومكتب الاستقبال. • نظام الإن ار ضد السرقة.

• كاميرات المراقبة )الدائرة التلف يونية المغلقة.)

.2مثال: التحكم في الوصول إلى نظام تقنية المعلومات )افتراضيا(

تدابير تحديد المستخدم، وصلاحيات الوصول والتحقق م الهوية: • جميع كلمات المرور موثقة إلكترونيا ومحمية بنظام تشفير ضد أي محاولة وصول غير مصرح بها أو

تسجيل دخول مستخدم فردي أو شخصي للدخول إلى النظام أو شبكات الشركة أو كلاهما. • تسجيل دخول إضافي إلى النظام للطلبات المحددة.

• حظر تلقائي للحاسوب بعد فترة منية محددة دو نشا للمستخدم )فضلا ع شاشات توقف محمية بكلمة مرور أو تفعيل وظيفة التوقف التلقائي.(

• إجرا ات كلمات المرور )تحديد معايير كلمة المرور المقبولة م حي صعوبتها وفترات تحديثها.)

.3مثال: التحكم في الوصول إلى البيانات الشخصية:

تدابير ووصف خطة التصاريح وصلاحيات الوصول إلى البيانات الشخصية والتفاصيل المتعلقة بمراقبة الوصول وتسجيل الدخول: • إدارة التصاريح. • الملفات. • الأدوار.

• توثيق التصاريح. • إجرا ات التصاريح. • التقارير/سجلات البيانات الشخصية. • سجلات أنشطة معالجة البيانات الشخصية.

.4مثال: التحكم في الكشف ع البيانات الشخصية:

تدابير نقل البيانات الشخصية وإرسالها أو تخ ينها في وسائ البيانات للتحقق اللاحق: • تشفير البريد الإلكتروني.

• شبكات بيانات آمنة )مثل: الشبكة الخاصة الافتراضية.) • تسجيل الدخول.

• حماية الوسائ والحاويات المخصصة لتخ ي البيانات الشخصية خلال النقل المادي. • شبكة محلية لاسلكية مؤمنة.

• تشفير طبقة المنف الآم في حالة الوصول إلى الموقع الإلكتروني.

.5مثال: التحكم في المدخلات:

خلال:

تدابير التحليل اللاحق سوا جرى إدخال البيانات أو تغييرها أو إ التها )محوها( أم لا، وذلك م • أنظمة تسجيل الدخول والإبلاغ.

• حقوق الوصول إلى البيانات الشخصية. • تسجيلات الدخول إلى النظام.

• برمجيات الأم /تسجيل الدخول.

.6مثال: التحكم في الوظائف:

تدابير الفصل بي مسؤوليات جهة التحكم وجهة المعالجة كما يلي: • اتفاقية مكتوبة حول الآلية والنظام المعمول ب في شكاوى أصحاب البيانات الشخصية عند معالجة

بياناتهم ووصف حقوق والت امات جهة التحكم وجهة معالجة. • مراقبة الالت ام التعاقدي.

• تدريب جميع الموظفي مم لديهم حقوق وصلاحيات وصول إلى البيانات الشخصية. • إبرام اتفاقيات السرية وعدم الإفصاح مع كافة الموظفي المختصي . • إجرا مراجعة تدابير حماية البيانات الشخصية بصورة منتظمة.

.7مثال: التحكم في الوصول إلى البيانات الشخصية:

تدابير ضما توافر البيانات الشخصية )ماديا/افتراضيا:) • إجرا ات النسخ الاحتياطية.

• النسخ المتطابق للأقراص الصلبة. • وحدة إمداد متواصل للطاقة.

• الاحتفاظ بنسخ احتياطية )مثل: قسم آم ومنفصل ومقاوم للحرائق.) • تفعيل أنظمة مكافحة الفيروسات/جدار الحماية.

• وضع خط طوارئ وخط التعافي م الكوارث. • مكيفات الهوا .

• أنظمة الحماية م الحرائق )بما في ذلك الحماية م الميا المستخدمة في إخماد الحرائق.) • أنظمة الإن ار.

• منشآت أرشفة مناسبة.

.8مثال: التحكم في فصل البيانات الشخصية:

توفير تدابير معالجة بيانات شخصية منفصلة )التخ ي والتعديل والح ف والنقل( لأغراض متعددة كما يلي: • فصل التطوير والاختبار. • فصل قواعد البيانات. • فصل الأنظمة.

• الفصل المنطقي بي مختلف قواعد بيانات العملا

🤖 اسأل الذكاء الاصطناعي عن هذا النظام

اتفاقيات دولية ذات علاقة بهذا النظام

أنظمة قد تكون ذات علاقة

التعاميم ذات العلاقة

المصدر الرسمي