سياسة معالجة البيانات والخصوصية — منصة فريقي

1.1 العميل جهة التحكم، ونڤايا جهة المعالجة

العميل جهة التحكم في البيانات الشخصية الواردة في بيانات العميل، ومنها بيانات عملائه وعملائه المحتملين ومدينيه وموظفيه ومستخدميه. ونڤايا جهة المعالجة التي تعالجها لحسابه وفق تعليماته الموثقة، وهي: هذه السياسة، والشروط والأحكام، وإعدادات العميل في المنصة، وما يصدره من طلبات موثقة عبر المنصة أو من البريد المسجّل لمالك الحساب.

وتشمل هذه التعليمات إرسال المدخلات إلى مزوّدي نماذج الذكاء الاصطناعي المبيّنين في البند ٥-٥، والنقل إلى خارج المملكة المبيّن في البند ٥-٣. وإذا عالجت نڤايا بيانات العميل خارج تعليماته عُدّت جهة تحكم في تلك المعالجة ومسؤولة عنها.

1.2 ما تعالجه نڤايا بصفتها جهة تحكم

تعالج نڤايا بيانات حساب العميل ومستخدميه، وبيانات الفوترة، وسجلات الأمن والدخول، بصفتها جهة تحكم، استنادًا إلى تنفيذ العقد، والوفاء بالتزاماتها النظامية، ومصلحتها المشروعة في تأمين الخدمة ومنع الاحتيال. وهي جهة تحكم كذلك في جمع بيانات العملاء المحتملين وفق البند ٨-٢.

1.3 ضمان العميل

يضمن العميل أن لديه مسوّغًا نظاميًا لكل معالجة يوجّه إليها، وأنه أبلغ مستخدميه والمستفيدين النهائيين بما يوجبه نظام حماية البيانات الشخصية ولائحته التنفيذية.

1.4 الخدمات التي يربطها العميل بحسابه

لا تُعد جهاتِ معالجة فرعية لنڤايا الخدماتُ التي يربطها العميل بحسابه الخاص، كصندوق بريده أو خادم بريده أو نظام إدارة علاقات العملاء أو مفتاحه الخاص لدى مزوّد نماذج، وتخضع لشروطها مع العميل مباشرة.

2.1 الغرض والطبيعة والفئات

• الغرض: تقديم الخدمة ودعمها وتأمينها وفق إعدادات العميل.
• طبيعة المعالجة: التخزين والاسترجاع والتحليل والتوليد بنماذج الذكاء الاصطناعي، وإرسال الرسائل واستقبالها، وإثراء بيانات الاتصال.
• فئات البيانات: بيانات الاتصال المهنية والشخصية (الاسم، البريد، الهاتف، المسمى الوظيفي، المنشأة)؛ ومحتوى المراسلات والمحادثات والمرفقات والملاحظات الصوتية؛ وبيانات المدينين ومبالغ الديون وتواريخها عند استخدام فريق التحصيل؛ وسجل محادثات التعايش على واتساب عند تفعيله؛ وبيانات مستخدمي العميل.
• أصحاب البيانات: عملاء العميل وعملاؤه المحتملون ومدينوه وموظفوه ومستخدموه.
• المدة: مدة الاشتراك، مضافًا إليها مدد التصدير والإتلاف الواردة في البند ٧.

2.2 البيانات الحساسة

لم تُصمَّم المنصة لمعالجة البيانات الحساسة، ومنها البيانات الصحية والوراثية والبيومترية وبيانات المعتقد والانتماء، ولا يُدخل العميل شيئًا منها. وإن أدخلها كان مسؤولًا عن ذلك وحده.

2.3 الإفصاح الوجوبي والتعليمات المخالفة

يجوز لنڤايا الإفصاح عن البيانات متى أوجبته الأنظمة المعمول بها في المملكة أو طلبته جهة مختصة، دون اشتراط موافقة مسبقة من العميل، على أن تُشعره بذلك ما لم يُحظر عليها نظامًا.

وإذا رأت نڤايا أن تعليمات العميل تخالف نظامًا معمولًا به في المملكة، أشعرته بذلك، ولها الامتناع عن تنفيذها دون أن تُعد مخلّة بالعقد.

3.1 لا تدريب على بيانات العميل

لا تستخدم نڤايا بيانات العميل في تدريب أي نموذج ذكاء اصطناعي. وتتعهد بضبط حساباتها لدى مزوّدي النماذج المبيّنين في البند ٥-٥ على عدم الاحتفاظ بالبيانات أو التدريب عليها حيث يتيح المزوّد ذلك الإعداد، وبمراجعة هذا الإعداد مرة في السنة على الأقل. ولا تضمن نڤايا التزام المزوّد نفسه بذلك الإعداد.

ولا تُستخدم بيانات منصة واتساب للأعمال، ولو مجهّلة أو مجمّعة، في تدريب أي نموذج أو تحسينه. ولا يمنع هذا البند نڤايا من استخدام بيانات استخدام مجمّعة وغير معرِّفة لتشغيل الخدمة وتحسينها، دون تدريب أي نموذج عليها.

3.2 تغيير النماذج والمزوّدين

تعمل الوكلاء على نماذج يستضيفها المزوّدون المدرجون في البند ٥-٥، عبر بوابة توجيه. ويجوز لنڤايا التبديل بين المزوّدين المدرجين أو تغيير النموذج دون إشعار، ويُضاف أي مزوّد أو بلد جديد وفق البند ٥-٢. ويُقرّ العميل بأن تغيير النموذج قد يغيّر أسلوب المخرجات ونتائجها.

3.3 الإفصاح عن الذكاء الاصطناعي

تتضمن الخدمة إفصاحًا بأن المتحدث مساعد يعمل بالذكاء الاصطناعي في أول رسالة من كل محادثة يتولاها وكيل دون اعتماد بشري لكل رسالة. ولا تتضمن التعليمات العامة التي تعدّها نڤايا للوكلاء ما يوجّههم إلى ادعاء أنهم بشر. وللعميل تعديل صياغة الإفصاح دون حذف مضمونه.

والإفصاح للمستفيدين النهائيين التزام على العميل وحده: يلتزم بإبلاغهم بأنهم يتعاملون مع نظام ذكاء اصطناعي متى تواصلوا مباشرة مع وكيل دون تدخل بشري. ويُحظر: إنكار الوكيل أنه ذكاء اصطناعي، وتقديم محتوى مولّد آليًا على أنه من إنتاج شخص بقصد التضليل، وانتحال صفة شخص حقيقي أو جهة، وتوقيع ما يُرسل تلقائيًا باسم شخص طبيعي على نحو يوحي بأنه كتبه أو راجعه.

ويُقرّ العميل بأن التعاقد بين نظام آلي وشخص طبيعي لا يصح إلا إذا علم ذلك الشخص، أو افتُرض علمه، بأنه يتعامل مع نظام آلي، وفق الفقرة (٢) من المادة (الحادية عشرة) من نظام التعاملات الإلكترونية.

3.4 المخرجات

تنتج الوكلاء مخرجات آلية قد تكون خاطئة أو ناقصة، وقد تكون خاطئة بثقة. والعميل مسؤول عن مراجعتها قبل الاعتماد عليها. ولا تضمن نڤايا دقة المخرجات أو اكتمالها أو ملاءمتها لغرض معين.

4.1 التدابير المطبّقة

تطبّق نڤايا تدابير تقنية وتنظيمية تناسب المخاطر، وتشمل حاليًا ما يلي:

• تشفير البيانات أثناء النقل عبر الشبكة العامة (TLS).
• حفظ كلمات المرور بعد معالجتها بدالة تجزئة لا تُسترجع (bcrypt)، وحفظ مفاتيح الواجهة البرمجية التي تصدرها المنصة بتجزئة SHA-256، فلا تُخزَّن أي منها بصيغتها الأصلية.
• الفصل المنطقي بين بيانات كل عميل، وربط كل صلاحية بالحساب المالك لها.
• حسابات مسمّاة لفريق نڤايا، وتسجيل الوصول الإداري.
• نسخ احتياطية دورية لقاعدة البيانات.

4.2 تحديث التدابير

لنڤايا تحديث هذه التدابير من وقت لآخر، على أن تبقى مناسبة للمخاطر، ولا يكون التحديث إضعافًا لمستوى الحماية القائم. وتعمل نڤايا على توسيع التشفير أثناء التخزين ليشمل بيانات اعتماد الربط ومفاتيحه، ولا تُعد هذه السياسة إقرارًا بأن ذلك قائم اليوم.

وتقدّم نڤايا ملخصًا لتدابير الأمن وفق البند ٧-٤.

5.1 الإذن العام

يأذن العميل لنڤايا إذنًا عامًا مكتوبًا بالاستعانة بجهات المعالجة الفرعية المسمّاة في البند ٥-٥. وتُلزم نڤايا كلًا منها بشروط مكتوبة تفرض السرية والأمن وتقصر المعالجة على تقديم خدمتها، وتبقى نڤايا مسؤولة تجاه العميل عن أدائها. ويجوز لنڤايا التبديل بين الجهات المسمّاة دون إشعار.

5.2 إضافة جهة أو بلد

يجوز لنڤايا إضافة جهة معالجة فرعية أو استبدالها، أو إضافة بلد معالجة، بإشعار العميل عبر المنصة قبل أن تبدأ الجهة الجديدة معالجة بيانات العميل، مع تحديث الجدول في البند ٥-٥ ونشر إصدار جديد من هذه السياسة. وللعميل الاعتراض كتابةً على أسس معقولة تتعلق بحماية البيانات، فتنظر نڤايا في اعتراضه. فإن لم يقبل العميل التغيير، فسبيله إيقاف تجديد اشتراكه.

5.3 النقل إلى خارج المملكة

قد تُخزَّن بيانات العميل وتُعالَج خارج المملكة العربية السعودية، لدى نڤايا وجهات المعالجة الفرعية في البلدان المبيّنة في البند ٥-٥، وتكون مشفّرة أثناء النقل. وبقبول هذه السياسة يوجّه العميل، بصفته جهة التحكم، نڤايا إلى إجراء هذا النقل لغرض تقديم الخدمة له، بما فيه إرسال المدخلات إلى مزوّدي نماذج الذكاء الاصطناعي. ويُعد وصول أي من فريق نڤايا إلى البيانات من خارج المملكة نقلًا يخضع لهذا البند.

وتلتزم نڤايا بما يلي: (أ) قصر النقل على الحد الأدنى اللازم من البيانات لتقديم الخدمة؛ (ب) إجراء النقل إلى كل جهة معالجة فرعية خارج المملكة استنادًا إلى أحد الضمانات المناسبة أو المسوّغات التي تقررها لائحة نقل البيانات الشخصية إلى خارج المملكة، كالبنود التعاقدية القياسية الصادرة عن الهيئة السعودية للبيانات والذكاء الاصطناعي؛ (ج) إجراء تقويم مخاطر النقل متى أوجبته المادة (السابعة) من تلك اللائحة، وتحديثه عند تغيّر المعالجة تغيّرًا جوهريًا، وتزويد العميل بملخصه عند طلبه؛ (د) ألا تحول الضمانات المتخذة دون ممارسة أصحاب البيانات حقوقهم، ومنها حق الشكوى؛ (هـ) تزويد العميل بما يلزمه من معلومات عن النقل لأداء التزاماته بصفته جهة تحكم؛ (و) إشعار العميل دون تأخير غير مبرر إذا طرأ ما يمنع استمرار النقل نظامًا، ولها عندئذٍ إيقاف المعالجة المتأثرة أو نقلها إلى بديل مناسب.

وهذه التزامات من نڤايا، وليست ضمانًا بأن نقل كل فئة من البيانات يندرج في الأغراض والضمانات الواردة في المادة (التاسعة والعشرين) من نظام حماية البيانات الشخصية ولائحة النقل. ويتحقق العميل، بصفته جهة التحكم، من جواز نقل البيانات التي يُدخلها.

5.4 الأنظمة الأجنبية

تخضع بعض جهات المعالجة الفرعية خارج المملكة لأنظمة دولها، وقد تُلزمها بالإفصاح لسلطات تلك الدول. وتُشعر نڤايا العميل بأي طلب من هذا النوع يبلغها هي مباشرةً، ما لم يُحظر عليها ذلك.

5.5 قائمة جهات المعالجة الفرعية

5.6 مزوّدو بيانات العملاء المحتملين

6.1 تسرب البيانات الشخصية

تُبلغ نڤايا العميل دون تأخر غير مبرر بعد علمها، وفي غضون اثنتين وسبعين (٧٢) ساعة متى كان ذلك ممكنًا، بأي حادثة تسرب للبيانات الشخصية تمس بيانات العميل، متضمنًا ما يتوفر لديها من المعلومات الواردة في المادة (الرابعة والعشرين) من اللائحة التنفيذية لنظام حماية البيانات الشخصية، وتستكمل ما لم يتوفر عند توفره، وتتخذ ما تراه لازمًا لاحتواء الحادثة، وتتعاون مع العميل بالقدر المعقول في معالجتها.

ويبقى إبلاغ الهيئة السعودية للبيانات والذكاء الاصطناعي وأصحاب البيانات التزامًا على العميل بصفته جهة التحكم، ولا تتولاه نڤايا نيابةً عنه إلا بتعليماته أو متى أوجب النظام ذلك. ولا يُعد الإبلاغ إقرارًا بالمسؤولية.

6.2 طلبات أصحاب البيانات

تُحيل نڤايا إلى العميل دون تأخير غير مبرر، وتسعى إلى ذلك خلال ثلاثة (٣) أيام عمل، أي طلب يردها من صاحب بيانات بشأن بيانات العميل، ولا تجيب عنه إلا بتعليمات العميل أو بصفتها جهة تحكم وفق البند ٨-٢. وتوفّر المنصة للعميل أدوات للاطلاع على البيانات وتصحيحها وإتلافها، وتزوّده نڤايا بما يلزمه من معلومات عن الخدمة لإجراء تقويم الأثر. ويلتزم العميل بالرد على الطلب خلال المدة النظامية.

6.3 المستفيدون النهائيون وطلبات الإيقاف

تبيّن نڤايا في إشعار الخصوصية العلني أن الرسائل المرسلة عبر «فريقي» تصدر عن عملائها وأنهم المسؤولون عنها. ويجوز لنڤايا إضافة من يطلب منها إيقاف التواصل إلى قائمة استبعاد العميل، ويلتزم العميل باحترام ذلك فورًا في كل القنوات.

7.1 الاحتفاظ والتصدير

تُحفظ بيانات العميل طوال مدة الاشتراك، وللعميل تصديرها من المنصة خلالها متى أتاحت المنصة ذلك. وعند انتهاء الاشتراك لأي سبب، بانتهاء مدته أو عدم تجديده أو إنهائه، يحق للعميل خلال ثلاثين (٣٠) يومًا أن يطلب من support@navaia.sa، من البريد المسجّل لمالك الحساب، تصدير بياناته، فتسلّمها نڤايا خلال مدة معقولة، وتسعى إلى ذلك خلال خمسة عشر (١٥) يوم عمل، بصيغة قابلة للقراءة آليًا مثل CSV أو JSON. وبانقضاء هذه المدة دون طلب لا تلتزم نڤايا بأي تصدير.

7.2 الإتلاف

بعد انقضاء مدة طلب التصدير، أو تسليم التصدير المطلوب إن كان لاحقًا، تُتلف نڤايا بيانات العميل من الأنظمة العاملة دون تأخير وخلال ثلاثين (٣٠) يومًا، ومن النسخ الاحتياطية خلال تسعين (٩٠) يومًا إضافية، وفق المادة (الثامنة عشرة) من نظام حماية البيانات الشخصية، وتؤكد الإتلاف كتابةً عند الطلب.

7.3 ما يُستثنى من الإتلاف

• ما يوجب النظام الاحتفاظ به، ومنه السجلات الضريبية والمحاسبية وسجلات التعاقد والقبول، وتُحفظ مدة لا تقل عن عشر (١٠) سنوات، وتُحفظ السجلات الضريبية داخل المملكة.
• سجلات الإرسال والاعتماد وتفعيل الإرسال التلقائي، وتُحفظ خمس (٥) سنوات بعد انتهاء الاشتراك أو حتى انتهاء أي نزاع قائم.
• ما يرتبط بدعوى منظورة أمام جهة قضائية، حتى انتهائها.
• ما أُزيل منه كل ما يؤدي إلى معرفة صاحبه على وجه التحديد.

7.4 التدقيق

تقدّم نڤايا للعميل، بناءً على طلب كتابي معقول ومرة واحدة في السنة، ملخصًا لتدابير الأمن لديها، وتجيب عن استبيان أمن كتابي معقول خلال مدة معقولة، وذلك وحده ما تلتزم به لإثبات التزامها بهذه السياسة. ولا يكون أي تدقيق في المقر أو على الأنظمة إلا إذا أمرت به جهة مختصة، ويقتصر حينئذٍ على ما تأمر به. ويتحمل العميل كل تكاليف التدقيق الذي يطلبه. ولا يتيح أي تدقيق الاطلاع على بيانات عملاء آخرين أو على أسرار نڤايا التجارية.

8.1 ما هي بيانات العملاء المحتملين

بيانات العملاء المحتملين هي بيانات المنشآت وجهات الاتصال المهنية التي تجدها الخدمة في المصادر المتاحة للعموم، كأدلة الخرائط ومواقع الشركات، أو تحصل عليها من المزوّدين المدرجين في البند ٥-٦، بما فيها أسماء وعناوين بريد وأرقام استخلصها نموذج ذكاء اصطناعي أو استنتجها. وقد تجد الخدمة المنشأة نفسها لأكثر من عميل، ولا تكون أي جهة اتصال حصرية لعميل. أما القوائم والسجلات التي يرفعها العميل أو يربطها فهي من بيانات العميل وحده.

8.2 الأدوار

نڤايا جهة تحكم فيما تجمعه أو تستخلصه أو تحصل عليه من بيانات العملاء المحتملين، إلى حين إتاحته في حساب العميل، وتلتزم في ذلك بما يفرضه عليها نظام حماية البيانات الشخصية ولوائحه على النحو المبيّن في البند ٨-٣. وتتحمل نڤايا هذه الالتزامات بحكم دورها، وهي التزامات لا تقوم مقام ضمان لدقة البيانات نفسها.

ويصبح العميل جهة تحكم مستقلة في كل بيان منها منذ كشفه أو إتاحته في حسابه، وهو جهة التحكم وحده في الغرض من كل تواصل وجمهوره ومحتواه وقناته، إذ يحددها ويعتمدها. وتعالج نڤايا ذلك لتنفيذ التواصل بصفتها جهة معالجة لحسابه.

8.3 التزامات نڤايا

تلتزم نڤايا، بصفتها جهة تحكم في جمع بيانات العملاء المحتملين وبالقدر الذي يوجبه نظام حماية البيانات الشخصية ولوائحه، بما يلي:

• ألا تجمع إلا ما يجوز لها جمعه نظامًا، دون تجاوز ضوابط الوصول إلى المصادر.
• أن تحتفظ بسجل لمصدر كل جهة اتصال وتاريخ الحصول عليها، وتزوّد العميل بمصدرها عند طلبه بالقدر اللازم لوفائه بالتزام الإبلاغ النظامي.
• أن تنشر إشعار خصوصية علنيًا يبيّن مصادر بيانات العملاء المحتملين وحقوق أصحابها وكيفية ممارستها، على الصفحة /legal/lead-sourcing.
• أن تتخذ الخطوات المعقولة التي يوجبها النظام للتحقق من دقة البيانات بما يناسب الغرض منها.
• أن تُبلغ العملاء الذين أُتيحت لهم البيانات بما يردها من طلبات إتلاف أو تصحيح أو إيقاف من أصحابها أو مزوّديها، متى أوجب النظام ذلك.

8.4 ما هذه البيانات، وما ليست

تُقدَّم بيانات العملاء المحتملين «كما هي»، دون ضمان لدقتها أو اكتمالها أو حداثتها أو صحة نسبتها إلى أصحابها أو وجود موافقتهم على التواصل أو جواز التواصل معهم. وأدوات المنصة كقوائم الاستبعاد ومعالجة طلبات الإيقاف وحدود الإرسال أدوات مساندة لا تضمن الامتثال ولا تُغني عن التزامات العميل. ولأن العميل هو من يحدد كل تواصل ويعتمده، فإن ما ينشأ عن تواصله مع أصحاب البيانات من مطالبات يقع عليه. ولا يخلّ ذلك بالتزامات نڤايا النظامية الواردة في البندين ٨-٢ و٨-٣.

9.1 الرسائل التسويقية والموافقة

العميل، بصفته المرسِل، هو الملزم بأحكام الرسائل التسويقية. فلا يُرسل مواد دعائية أو تسويقية إلى وسائل الاتصال الشخصية لأي شخص إلا بعد الحصول على موافقته الموثقة متى أوجبها النظام، وفق المادة (الخامسة والعشرين) من نظام حماية البيانات الشخصية والمادتين (الثامنة والعشرين) و(التاسعة والعشرين) من لائحته التنفيذية، وضوابط هيئة الاتصالات والفضاء والتقنية للحد من الرسائل الاقتحامية، بما فيها أوقات الإرسال المسموح بها، ونظام التجارة الإلكترونية متى انطبق. ولا تُعفى الرسائل الموجهة إلى المنشآت من ذلك متى وُجّهت إلى شخص محدد.

ويلتزم العميل في كل رسالة بذكر اسمه بوضوح دون إخفاء هويته، وبتوفير آلية مجانية وسهلة لإيقاف الاستقبال، وباحترام طلب الإيقاف فورًا في كل القنوات سواء ورد داخل المنصة أو خارجها، وبالاحتفاظ بما يثبت الموافقة وتقديمه عند طلب نڤايا أو الجهات المختصة.

9.2 استخدام بيانات العملاء المحتملين

• التأكد من وجود مسوّغ للتواصل مع كل شخص، وموافقته متى لزمت، لكل جهة اتصال ولكل قناة قبل التواصل، وفق البند ٩-١.
• إبلاغ أصحاب البيانات بحصوله عليها من الغير وبمصدرها خلال المدة النظامية.
• احترام طلبات الإيقاف والإتلاف فورًا، بما فيها قوائم الاستبعاد التي تنقلها نڤايا، وتطبيقها في أنظمته الخاصة أيضًا.
• استخدام البيانات للمبيعات والتسويق والتوظيف بين المنشآت فقط، دون إعادة بيعها أو مشاركتها خارج منشأته أو استخدامها لبناء قاعدة بيانات.
• التحقق قبل التواصل من بيانات الاتصال المستخلصة أو المستنتجة آليًا.
• عدم الإفصاح عن مزوّد البيانات إلا بالقدر الذي يوجبه النظام لإبلاغ صاحب البيانات بمصدرها أو للاستجابة لجهة مختصة.

9.3 بعد انتهاء الاشتراك

تبقى الالتزامات الواردة في البندين ٩-١ و٩-٢ سارية على ما صدّره العميل إلى أنظمته، بعد انتهاء الاشتراك.

9.4 تعديل هذه السياسة

تُنشر أي نسخة جديدة من هذه السياسة برقم إصدار وتاريخ سريان، وتبقى النسخ السابقة متاحة على المنصة. ويُطلب من العميل قبول النسخة الجديدة إذا كان التعديل جوهريًا، ويُسجَّل قبوله باسمه ووقته ورقم الإصدار الذي قبله.