المبادئ
- المشروعية والشفافية: لا نعالج بيانات إلا بأساس نظامي واضح، ونعلن ذلك بلغة مفهومة.
- تحديد الغرض: نستخدم البيانات للغرض الذي جُمعت له فقط.
- الحد الأدنى: نجمع أقل قدر يحقق الغرض.
- الدقة: نصحّح البيانات ونحدّثها عند العلم بخطئها.
- تقييد الاحتفاظ: نتلف البيانات بأمان متى انتهت الحاجة إليها.
- السلامة والسرية: نحمي البيانات من الوصول غير المصرّح به أو الفقد أو التلف.
الحوكمة والمسؤوليات
تتولى الإدارة العليا اعتماد هذه السياسة، ويتابع تطبيقها مسؤول حماية البيانات في الشركة، ويُراجَع الالتزام بها سنوياً ضمن نظام الإدارة المتكامل للشركة الحاصل على شهادات ISO 9001 وISO 22301 وISO 14001 وISO 45001. يلتزم كل موظف ومتعاقد بالسرية، ويتلقّى تدريباً دورياً على حماية البيانات.
تصنيف البيانات وصلاحيات الوصول
- تُصنّف البيانات إلى عامة وداخلية وسرّية، وتُعامل بيانات العملاء والمدفوعات على أنها سرّية.
- يُمنح الوصول بالحد الأدنى اللازم للعمل، ويُراجَع كل ربع سنة، ويُسحب فور انتهاء الحاجة.
- يُشترط التحقق متعدد العوامل للأنظمة التي تحوي بيانات سرّية، وتُسجّل عمليات الوصول إليها.
الضوابط التقنية
- تشفير البيانات أثناء النقل (TLS 1.2 فأعلى) وأثناء التخزين في الأنظمة التي تحويها.
- سياسة أمان للمحتوى تمنع تنفيذ أي سكربت غير معتمد في الموقع وبوابات الدفع.
- عدم استقبال بيانات البطاقات أو تخزينها لدى DIT؛ تتولاها جهات دفع مرخّصة ومعتمدة وفق PCI DSS.
- نسخ احتياطي مشفّر واختبار استعادة دوري وفق خطة استمرارية الأعمال ISO 22301.
- تحديثات أمنية منتظمة ومراقبة للأحداث على الأنظمة الحرجة وفق ضوابط الهيئة الوطنية للأمن السيبراني.
بيانات العملاء في الأجهزة كخدمة والمنصّات
- تعمل DIT جهة معالجة لحساب العميل فيما يخصّ بياناته داخل المنصّات والأجهزة، وفق اتفاقية معالجة بيانات مكتوبة.
- تبقى البيانات ملكاً للعميل، ويحق له تصديرها في أي وقت وعند انتهاء العقد.
- تُمسح الأجهزة المستردّة مسحاً آمناً موثّقاً بشهادة قبل إعادة استخدامها أو تدويرها.
- لا نستعين بمعالج فرعي إلا بعقد يُلزمه بالمستوى نفسه من الحماية، ونُبلغ العميل بذلك.
تقييم الأثر وسجل المعالجة
نجري تقييم أثر لحماية البيانات قبل أي معالجة جديدة عالية المخاطر، مثل التقنيات الناشئة أو القرارات الآلية أو المراقبة واسعة النطاق، ونحتفظ بسجل لأنشطة المعالجة يُحدَّث عند كل تغيير.
الاستجابة لحوادث التسرّب
- احتواء الحادث فور اكتشافه وتقييم أثره.
- إبلاغ الهيئة السعودية للبيانات والذكاء الاصطناعي خلال 72 ساعة من العلم بالحادث وفق اللائحة التنفيذية.
- إبلاغ الأشخاص المتأثرين دون تأخير متى كان الحادث قد يُلحق بهم ضرراً، مع الخطوات المقترحة لحمايتهم.
- توثيق الحادث ومعالجة سببه الجذري ومراجعة الضوابط.
الإتلاف الآمن
عند انتهاء مدة الاحتفاظ تُتلف البيانات الرقمية بطرق تمنع استعادتها، وتُتلف الوسائط المادية بإتلاف معتمد، ويُوثّق الإتلاف في سجل.
المراجعة
تُراجع هذه السياسة سنوياً على الأقل، وعند صدور تعديلات على نظام حماية البيانات الشخصية أو لوائحه، أو عند تغيّر جوهري في أعمال الشركة.