الدليل الاسترشادي لإعداد وتطوير سياسة الخصوصية

على جهة التحكم كتابة الاسم الرسمي لها وفقاً للسجلات النظامية والعلامات التجارية، مع نبذة مختصرة عن مهامها واختصاصاتها وأنشطتها والخدمات التي تقدمها والفئة المستهدفة.

على جهة التحكم كتابة بيانات التواصل الخاصة بها التي تمّكن الأفراد من التواصل معها: كرقم الهاتف، أو الموقع والعنوان البريدي، إضافةً إلى ذلك، إذا كانت الجهة من الجهات التي عليها تعيين مسؤول لحماية البيانات الشخصية، فعليها تحديد هوية مسؤول حماية البيانات الشخصية وبيانات التواصل معه وذلك للحصول على مزيد من التفاصيل عن معالجة البيانات

الشخصية وكيفية ممارسة الحقوق المتعلقة بها.

٢- يتم الرجوع إلى المواد (الخامسة، والسادسة، والعاشرة، والخامسة عشرة) من النظام لمعرفة ما إذا كان هناك مسوغات نظامية للمعالجة.

على جهة التحكم أن توضح البيانات الشخصية التي سيتم جمعها قبل البدء بالجمع، أو أثناء عملية الجمع، ويمكن تقسيم هذه البيانات إلى فئات محددة وفقاً لنوع هذه البيانات ومصادرها؛ بما يسهّل على صاحب البيانات الشخصية معرفة البيانات التي سيتم جمعها

بشكل واضح ودقيق، ومن ذلك على سبيل المثال لا الحصر:

• بيانات الحساب (البيانات الرئيسية التي يتم جمعها من المستخدم مباشرة لإنشاء حساب أو ملف شخصي، كالاسم ورقم التعريف الشخصي والعناوين وأرقام الاتصال). • بيانات الدفع (البيانات التي يتم جمعها لأغراض إجراء عمليات الدفع، كرقم البطاقة

البنكية ومبالغ الدفع، وغيرها). • بيانات يتم الحصول عليها من أطراف أخرى. • بيانات ملفات تعريف الارتباط "الكوكيز" (البيانات التي يتم جمعها عن طريق سجلات مواقع الويب وتقنيات ملفات الارتباط أو التقنيات المشابهة).

• بيانات تحديد الموقع. كما أنه على جهة التحكم إحاطة صاحب البيانات الشخصية فيما إذا كان جمع هذه

البيانات إلزاميًا أم اختياريًالأغراض المعالجة"

أ- على جهة التحكم أن تقوم بتقسيم طرق جمع البيانات الشخصية التي تم تحديدها في البند (ثانياً) إلى قسمين رئيسيين من جمع ومعالجة البيانات الشخصية:

البيانات التي سيتم جمعها من صاحب البيانات بطريقة مباشرة: إيضاحالوسائل المستخدمة لجمع هذه البيانات كالنماذج الإلكترونية التي تتضمن

الحقول الفارغة، أو القوائم المنسدلة، أو أزرار الاختيار وغيرها.

البيانات التي سيتم جمعها بطريقة غير مباشرة: إيضاح الوسائل المستخدمةلجمع هذه البيانات، مثل: تقنيات ملفات تعريف الارتباط "الكوكيز"، أو الجمع التلقائي للمعلومات، أو تحليلات مواقع الويب، أو عن طريق الربط البيني مع

جهة أخرى.

ب- على جهة التحكم أن توضح الغرض من جمع البيانات الشخصية بصورة محددة وواضحة وصريحة (مثل: تقديم خدمات عامة أو تقديم خدمة لصاحب البيانات الشخصية)، وأن يكون الغرض ذا علاقة مباشرة بنشاط جهة التحكم، وألا يتعارض مع أي حكم مقرر نظامًا، إضافةً إلى توضيح المسوغات النظامية التي تم الاعتماد عليها لجمع ومعالجة البيانات الشخصية، على أن يكون أحد المسوغات النظامية الآتية: (موافقة صاحب البيانات الشخصية أو وليه الشرعي، أو المصلحة المتحققة لصاحب البيانات الشخصية، أو المتطلب النظامي، أو الاتفاق الذي يكون صاحب البيانات الشخصية طرفاً فيه، أو المصلحة العامة، أو الأغراض الأمنية، أو المتطلبات القضائية، أو حماية الصحة العامة أو السلامة العامة، أو المحافظة على المصالح الحيوية للأفراد (المحافظة على صحتهم أو حماية حياتهم)، أو المصالح

المشروعة لجهة التحكم).

ج- يمكن أن تستند جهة التحكم إلى أكثر من مسوغ نظامي في آنٍ معًا، إضافةً إلى إمكانية جمع البيانات الشخصية أو معالجتها في حال تم جمعها من مصدر متاح للعموم وفقاً للضوابط والإجراءات المنصوص عليها في المادة (الخامسة عشرة) من اللائحة التنفيذية للنظام، إضافةً إلى إمكانية معالجة البيانات الشخصية إذا لم تتضمن ما يدل على هوية صاحبها وتم إخفاء هويته وفقاً لما هو منصوص عليه

في المادة (التاسعة) من اللائحة التنفيذية للنظام.

د- في جميع الأحوال، يجب أن يقتصر محتوى البيانات الشخصية التي يتم جمعها ومعالجتها على الحد الأدنى اللازم والمرتبط ارتباطًا وثيقًا ومباشراً بالغرض من جمع ومعالجة هذه البيانات، وأن يكون المحتوى ملائمًا، وأن تكون طرق ووسائل جمع البيانات الشخصية واضحة ومباشرة وخالية من أساليب الخداع أو التلاعب أو

التضليل.

ه- عند الاستناد إلى الموافقة كمسوغ نظامي لمعالجة البيانات الشخصية، فإنه لا يجوز أن تكون الموافقة على معالجة البيانات الشخصية شرطاً لإسداء خدمة أو تقديم منفعة؛ ما لم تكن الخدمة أو المنفعة مرتبطة ارتباطاً وثيقاً وذات علاقة

بمعالجة البيانات الشخصية.

١- يجب على جهة التحكم أن تحدد –بصورة واضحة ودقيقة– آلية معالجة البيانات الشخصية لتحقيق الغرض المنصوص عليه في البند (ثالثًا) أعلاه.

٢- لضمان تحديد جميع الاستخدامات بشمولية، يمكن لجهة التحكم استخدام الغرض الرئيسي كهدف عام وأساس مرجعي؛ وبناءً عليه يتم تحديد عدد من الأهداف المحددة، وأن تقّسم وفقاً لمراحل دورة حياة البيانات (الجمع، والتخزين، والاستخدام، والمشاركة، والإتلاف)، وفي كل مرحلة يتم تقسيم الهدف المحدد إلى مجموعة من العمليات العامة لمعالجة البيانات، ولكل عملية عامة يتم تحديد العملية المحددة التي تتم على

مجموعة محددة من البيانات.

٣- يمكن لجهة التحكم كتابة كيفية استخدام البيانات وعرضها بصيغة جدول أو بطريقة نصية واضحة توضح كل بيان وكيفية استخدامه.

١- على جهة التحكم إيضاح ما إذا كان سيتم الإفصاح عن البيانات الشخصية أو مجموعة محددة منها لأطراف أخرى (سواء داخل المملكة أو خارجها)، وتزويد صاحب البيانات الشخصية بمعلومات الجهة أو الجهات التي سي َُجرى إفصاح البيانات الشخصية إليها،

وصفتها .

٢- في حال كانت هناك حاجة إلى الإفصاح عن البيانات الشخصية أو مجموعة محددة منها يتم إيضاح الغرض الرئيسي من الإفصاح عن هذه البيانات -بصورة واضحة ودقيقة- وما إذا كان سيتم الإفصاح عنها بشكل عرضي (لمرة واحدة) أو بشكل منتظم (لعدة

مرات).

١- على جهة التحكم إيضاح الوسائل المستخدمة لتخزين البيانات الشخصية والمواقع الجغرافية لها -يتم تخزينها على خوادم في مقر الجهة، أو تتم الاستعانة بجهة خارجية لتخزين البيانات الشخصية- مثل: مقدمي خدمات الحوسبة السحابية (سواء داخل

المملكة أو خارجها).

٢- على جهة التحكم إيضاح المدة الزمنية للاحتفاظ بالبيانات الشخصية، وتحديد مدة الاحتفاظ لكل نوع من أنواع البيانات الشخصية؛ وفقاً للمتطلبات النظامية، وتوضيح الطرق المستخدمة لإتلاف البيانات الشخصية بعد الانتهاء منها لضمان عدم إمكانية

الاطلاع عليها أو استعادتها مرة أخرى.

٣- على جهة التحكم توضيح الوسائل والتدابير الإدارية والتقنية والتنظيمية اللازمة التي تم اتخاذها لحماية البيانات الشخصية من حوادث التسرب أو التلف أو الوصول غير المشروع، على سبيل المثال لا الحصر: استخدام وسائل تشفير البيانات، إخفاء الهوية والترميز. كما يعتمد نوع التدابير الأمنية على مدى حساسية وكمية البيانات الشخصية

التي يتم جمعها.

على جهة التحكم إيضاح حقوق أصحاب البيانات الشخصية المتعلقة بجمع ومعالجة بياناته المحددة في النظام- وكيفية ممارسة هذه الحقوق، كما يجب على جهة التحكم توفير الوسائلالملائمة للاستجابة لطلبات صاحب البيانات الشخصية المتعلقة بحقوقه حسب اختياره وتوافرها لدى جهة التحكم، مثال على ذلك: (البريد الإلكتروني، الرسائل النصية، التواصل عبر

التطبيقات الإلكترونية)، وإيضاح الوقت المستغرق لتمكينه من ذلك.

١- الحق في العلم، ويشمل ذلك إحاطته علمًا بالمسوغ النظامي والغرض من جمعها، وألا تعالج بياناته لاحقاً بصورة تتنافى مع الغرض من جمعها والذي من أجله قدم موافقته

الصريحة أو الضمنية.

٢- الحق في وصوله إلى بياناته الشخصية المتوفرة لدى جهة التحكم، ويشمل ذلك الاطلاع عليها، بناًء على طلب يقدمه، أو من خلال وسيلة توفرها جهة التحكم تمّكنه من الوصول

إلى بياناته الشخصية بشكل تلقائي دون الحاجة إلى تقديم طلب.

٣- الحق في طلب الحصول على بياناته الشخصية المتوفرة لدى جهة التحكم بصيغة مقروءة وواضحة، مطابقة لمضمون السجلات، سواء تقديمها بصيغة إلكترونية شائعة الاستخدام

متى ما كان تنفيذ ذلك ممكنًا من الناحية التقنية، أو تقديم نسخة مطبوعة منها.

٤- الحق في طلب تصحيح بياناته الشخصية المتوفرة لدى جهة التحكم، أو إتمامها، أو تحديثها.

٥- الحق في طلب إتلاف بياناته الشخصية المتوفرة لدى جهة التحكم مما انتهت الحاجة إليه منها.

٦- الحق في الرجوع عن موافقته على معالجة بياناته الشخصية -في أي وقت- ما لم يكن هناك مسوغات نظامية تتطلب عكس ذلك، وتوضيح كيفية العدول عن هذه الموافقة من خلال تقديم وسائل وطرق تضمن سرعة الاستجابة لهذه الحقوق، وأن يتوافق ذلك

مع ما ورد في المادة (الثانية عشرة) من اللائحة التنفيذية للنظام.

٧- الحق في تقديم أي شكوى ناشئة عن تطبيق أحكام النظام إلى الجهة المختصة.

٨- الحق في المطالبة بالتعويض عن الضرر المادي أو المعنوي، إذا لحقه ضرر نتيجة ارتكاب أي من المخالفات المنصوص عليها في النظام ولوائحه التنفيذية.

على جهة التحكم توفير آلية تقديم الشكاوى والاعتراضات في حال وجود شكوى لدى صاحب البيانات كعدم تمكينه من ممارسة حقوقه المتعلقة بمعالجة بياناته الشخصية خلال الفترة الزمنية المحددة في البند (ثامناً) أعلاه، أو في حال وجود اعتراض على المعالجة، ويمكن أن يتم ذلك من خلال تحديد اسم الإدارة أو القسم المختص باستقبال ومعالجة الشكاوى وبيانات التواصل الخاصة به، والفترة الزمنية المحددة لمعالجة هذه الشكاوى، بالإضافة إلى توفير بيانات الجهة المختصة ٣في حال عدم رضا صاحب البيانات الشخصية عن نتائج معالجة

الشكاوى من قبل جهة التحكم.

على جهة التحكم إتاحة الوصول إلى سياسة الخصوصية وكتابة محتوى السياسة بلغة واضحة، وغير مضللة، وسهلة القراءة والفهم، ومناسبة لمستوى إدراك جميع فئات أصحاب البيانات الشخصية، وتطبيق التدابير اللازمة لإشعار الأفراد بسياسة الخصوصية، حيث يعد إشعار الخصوصية إحدى الطرق الأساسية لتنبيه الأفراد حول جمع بياناتهم، وهو نموذج موجز ومختصر يلخّص العناصر الرئيسية لسياسة الخصوصية، ويمكن أن يكون من خلال تنبيهات عن طريق التطبيقات، ويمكن أن يرسل عن طريق رسائل الجوال أو البريد الإلكتروني، أو نموذج

٣- الهيئة السعودية للبيانات والذكاء الاصطناعي.

مستقل يزود به صاحب البيانات الشخصية قبل البدء في جمع ومعالجة بياناته الشخصية أو أثناء جمعها.

وعلى جهة التحكم مراجعة سياسة الخصوصية بصفة دورية وتسجيل أي تغيير أو تحديثُ يجرى عليها في سجل التحديثات المشار إليه في البند (ثانياً) أعلاه.

كما يمكن اتباع أي من الأساليب الآتية:

• إضافة بعض الصور والأيقونات التي تعّبر عن محتوى البنود والفقرات بشكل يسهّل على القارئ فهم المحتوى بشكل سريع.

• إعادة ترتيب وعنونة البنود والفقرات بشكل منطقي مما يحفّز على القراءة والفهم بوقت قياسي.

• مراعاة تصميم سياسة الخصوصية بطريقة واضحة ومفهومة للفئات الخاصة في حال كانت الجهة تستهدف بشكل كلي أو جزئي بيانات إحدى الفئات الخاصة (الأطفال – كبار

السن – ذوو الاحتياجات الخاصة). • مراعاة تصميم سياسة الخصوصية باللغة المناسبة للفئة المستهدفة. • إضافة روابط أخرى ذات صلة بسياسة الخصوصية كالأحكام والشروط، سياسة ملفات

الارتباط، نظام حماية البيانات الشخصية.

نموذج تفصيلي لسياسة الخصوصية

[اسم الجهة]

[نبذة مختصرة عن مهام واختصاصات الجهة والخدمات المقدمة والفئة المستهدفة]، ويمكنك التواصل معنا، عن طريق عدد من القنوات المتاحة، حسب بيانات التواصل الموضحة أدناه.

بيانات التواصل

القسم/ الفريق المختص:

]

[

العنوان:

]

[

رقم الهاتف:

]

[

البريد الإلكتروني:

]

[

الترخيص أو السجل التجاري:

]

[

تاريخ آخر تحديث

تم إجراء آخر تحديث على سياسة الخصوصية بتاريخ [تاريخ آخر تحديث]، ويمكنك الاطلاع على سجل التحديثات عن طريق [يمكن إضافة رابط أو إرفاق جدول التحديثات في حال كانت

السياسة وثيقة ورقية].

ما هي البيانات الشخصية التي يتم جمعها؟

نقوم بجمع ومعالجة البيانات الشخصية التالية:

[أضف البيانات التي يتم جمعها، ويمكن تقسيمها إلى فئات، على سبيل المثال،البيانات الرئيسية، بيانات التواصل]

كيف يتم جمع بياناتك الشخصية وما هو الغرض من جمعها؟

بعض البيانات الشخصية التي نقوم بمعالجتها يتم الحصول عليها عن طريقك مباشرة باستخدام [حدد وسيلة الجمع] وذلك للأغراض الآتية:

[أضف الأغراض التي من أجلها يتم جمع البيانات الشخصية، ويمكن تقسيمها إلىفئات حسب أنواع البيانات]

كما نقوم بالحصول على بعض البيانات الشخصية بطريقة غير مباشرة، من المصادر الآتية:

[أضف المصادر التي يتم من خلالها جمع البيانات الشخصية بصورة غير مباشرة،ووسيلة الجمع، مع ذكر الغرض من الجمع، كما يمكن تقسيمها إلى فئات حسب أنواع

البيانات ومصادرها]

كيف نستخدم بياناتك الشخصية؟

نستخدم البيانات الشخصية التي تم جمعها بشكل مباشر أو غير مباشر على النحو الآتي:

- [أضف كيفية استخدامك للبيانات الشخصية]

كيف نفصح عن بياناتك الشخصية؟

[لن نفصح عن بياناتك الشخصية لأي طرف آخر لأغراض التسويق المباشر. [أو [قد نفصح عن بياناتك الشخصية مع الجهات الآتية:[

[أضف الجهات التي سيتم الإفصاح عن البيانات الشخصية إليها مع ذكر الغرض لكلنوع من أنواع البيانات]

المسوغات النظامية لجمع ومعالجة بياناتك الشخصية

وفقاً لنظام حماية البيانات الشخصية، فإن المسوغ النظامي الذي نعتمد عليه لمعالجة هذه البيانات: (يمكن اختيار مسوغ نظامي واحد أو أكثر من المسوغات الموضحة أدناه)

موافقتك الصريحة، ويمكنك العدول عن الموافقة في أي وقت على ألا يؤثر علىعمليات المعالجة التي تتم بناًء على مسوغات نظامية أخرى، وللقيام بذلك يمكنك

التواصل مع [اسم الإدارة أو القسم المختص، أو مسؤول حماية البيانات الشخصية] - تنفيذاً لالتزام تعاقدي [يتم إيضاح هذا الالتزام وأهمية الوفاء به]

تنفيذاً لالتزام نظامي [يتم إيضاح اسم النظام والمادة التي تخول الجهة بجمع ومعالجةالبيانات الشخصية]

حماية المصالح الحيوية [يتم إيضاح كيفية حماية المصالح الحيوية عن طريق جمعومعالجة البيانات الشخصية]

تحقيق مصلحة عامة [يتم إيضاح المصلحة العامة التي يتم تحقيقها عن طريق جمعومعالجة البيانات الشخصية]

تحقيق مصالح أو أهداف مشروعة [يتم إيضاح الأهداف المشروعة التي لا تتعارض معحقوق صاحب البيانات الشخصية]

كيف نقوم بتخزين بياناتك الشخصية؟

يتم تخزين بياناتك الشخصية بشكل آمن وذلك في مقر/ أو لدى مقدم خدمات الحوسبة السحابية [أضف الموقع الذي يتم فيه تخزين أو استضافة البيانات الشخصية].

كما نحتفظ ب [تحديد نوع البيانات الشخصية] لمدة [الفترة الزمنية بالأشهر]، وسنقوم بعد ذلك بالتخلص من هذه البيانات بطريقة آمنة لا يمكن من خلالها الاطلاع عليها أو استعادتها مرة أخرى، وذلك عن طريق [كيف سيتم إتلاف البيانات] (يتم تحديد فترة الاحتفاظ لكل نوع من

البيانات على حدة).

حقوقك فيما يتعلق بمعالجة بياناتك الشخصية

بموجب نظام حماية البيانات الشخصية، فإن لديك الحقوق الآتية، والتي تعتمد بشكل أساسي على الغرض من جمع ومعالجة البيانات الشخصية:

الحق في العلم: يحق لك معرفة طرق جمعنا لبياناتك الشخصية والمسوغ النظاميلجمعها ومعالجتها، وكيفية معالجتها وحفظها وإتلافها ولمن سيتم الإفصاح عنها، ويمكنك الاطلاع على كافة التفاصيل من خلال سياسة الخصوصية أو يمكنك التواصل

معنا على البيانات الموضحة أدناه، (إيضاح القيود على الحق في العلم بلغة مبسطة). الحق في الوصول إلى بياناتك الشخصية: يحق لك أن تطلب منا الاطلاع علىبياناتك الشخصية، وذلك عن طريق [الوسيلة التي يتم من خلالها الاطلاع على البيانات

الشخصية]، (إيضاح القيود على الحق في الوصول بلغة مبسطة).

الحق في طلب الحصول على بياناتك الشخصية: يحق لك طلب الحصول علىبياناتك الشخصية المتوفرة لدى جهة التحكم بصيغة مقروءة وواضحة متى ما كان ذلك ممكناً من الناحية التقنية، وذلك عن طريق [الوسيلة التي يتم من خلالها تزويد صاحب البيانات الشخصية ببياناته]، (إيضاح القيود على الحق في الحصول بلغة مبسطة والتي تسري على الحق في الحصول، وغيرها من القيود والاستثناءات، إن

وجدت). الحق في تصحيح بياناتك الشخصية: يحق لك أن تطلب منا تصحيح بياناتكالشخصية التي ترى أنها غير دقيقة أو غير صحيحة أو غير مكتملة، وذلك عن طريق [الوسيلة التي من خلالها يمكن طلب التصحيح]، وستتم مراجعتها وتحديثها خلال [عدد الأيام]، وسيتم إشعارك بذلك عن طريق [الوسيلة التي يتم من خلالها تمكين صاحب

البيانات الشخصية من الاطلاع على بياناته]. الحق في إتلاف بياناتك الشخصية: يحق لك أن تطلب منا إتلاف بياناتك الشخصيةفي ظروف معينة (يتم إيضاح الحالات الممكنة بما لا يتعارض مع المسوغات

النظامية، والقيود الواردة على الحق في الإتلاف). الحق في الرجوع عن موافقتك على معالجة بياناتك الشخصية: يحق لك الرجوع عنموافقتك على معالجة بياناتك الشخصية -في أي وقت- ما لم تكن هناك مسوغات

نظامية تتطلب عكس ذلك. ما عدا ما هو منصوص عليه نظاماً، لن تكون مطالباً بدفع أي رسوم مقابل ممارسة هذه الحقوق، وفي حال تم تقديم طلب لممارسة أحد هذه الحقوق، سيتم الرد عليك خلال [عدد

الأيام] من تاريخ استلام الطلب كاملاً.

ولمزيد من التفاصيل عن معالجة بياناتك الشخصية، وكيفية ممارسة حقوقك، يمكنك التواصل مع مسؤول حماية البيانات الشخصية ب [الجهة]، حسب بيانات التواصل الموضحة

أدناه.

مسؤول حماية البيانات الشخصية

الاسم:

]

[

العنوان:

]

[

رقم الهاتف:

]

[

البريد الإلكتروني:

]

[

كيف تقدم شكوى أو اعتراضاً؟

في حال وجود بعض المخاوف أو عدم التزامنا بنظام حماية البيانات الشخصية، يمكنك تقديم شكوى إلى [أضف اسم الإدارة أو القسم المختص بمعالجة الشكاوى] وذلك باستخدام إحدى القنوات التالية [أضف وسيلة وبيانات التواصل الخاصة باستقبال

الشكاوى والاستفسارات].

إذا لم تكن راضياً عن معالجتنا للشكوى أو في حال عدم ردنا خلال [عدد الأيام]، يمكنك تقديم شكوى إلى الجهة المختصة [أضف اسم الهيئة السعودية للبيانات والذكاء

الاصطناعي].

عنوان الهيئة السعودية للبيانات والذكاء الاصطناعي

المملكة العربية السعودية

الرياض

الموقع الإلكتروني:

الهيئة السعودية للبيانات والذكاء الاصطناعي (sdaia.gov.sa)

منصة حوكمة البيانات الوطنية (dgp.sdaia.gov.sa)