سياسة خصوصية صادق

تلتزم صادق بحماية خصوصية وأمن البيانات الشخصية بما يتوافق بالكامل مع نظام حماية البيانات الشخصية السعودي (PDPL) وجميع اللوائح الوطنية المعمول بها. توضح سياسة الخصوصية هذه كيفية قيام صادق بجمع البيانات الشخصية واستخدامها وتخزينها وحمايتها ومشاركتها كجزء من تقديم خدمات التوقيع الرقمي والتحقق من الهوية.

تنطبق هذه السياسة على جميع مستخدمي منصة صادق، بما في ذلك العملاء، والموقّعون، والمسؤولون، وعملاء المنشآت المتكاملة.

تنطبق سياسة الخصوصية هذه على ما يلي:

• البيانات الشخصية التي تتم معالجتها من خلال خدمات وبوابات صادق.
• البيانات التي يتم جمعها من المستخدمين، والموقّعين، والمنظمات، والمسؤولين.
• البيانات التي يشاركها العملاء عبر المنصة.
• بيانات التحقق من الهوية، بما في ذلك نفاذ، وأبشر، والمصادقة عبر الرسائل النصية القصيرة والبريد الإلكتروني.

ولا تنطبق هذه السياسة على المنصات أو الأنظمة التابعة لأطراف ثالثة التي تتكامل مع صادق.

تجمع صادق الحد الأدنى فقط من البيانات الشخصية اللازمة لتقديم خدمات التوقيع الرقمي والتحقق من الهوية بشكل آمن. ويشمل ذلك ما يلي:

3.1 معلومات المستخدم والموقّع

• الاسم الكامل باللغة العربية أو الإنجليزية.
• رقم الهوية الوطنية أو رقم الإقامة، عند الحاجة.
• رقم الهاتف.
• عنوان البريد الإلكتروني.
• الدور، والصلاحيات، وبيانات الحساب الوصفية.

3.2 بيانات التحقق من الهوية

تُستخدم لأغراض الوصول الآمن، وتشمل:

• رموز المصادقة الخاصة بنفاذ.
• الطوابع الزمنية للتحقق.
• بيانات التحقق من رمز المرور لمرة واحدة (OTP).

3.3 بيانات المستندات والتوقيع

• المستندات المرفوعة لغرض التوقيع.
• البيانات الوصفية للمستندات.
• تواقيع المستخدمين المشفرة في أنظمة التخزين لدينا.
• بيانات سجلات التطبيق وأحداث سجل التدقيق.

3.4 سجلات النظام والأمان

• محاولات تسجيل الدخول.
• سجلات نشاط المستخدم.
• عنوان بروتوكول الإنترنت (IP).

لا تجمع صادق بيانات أكثر مما هو مطلوب للأغراض التشغيلية والنظامية.

تعالج صادق البيانات الشخصية للأغراض التالية:

• التحقق من الهوية، بما في ذلك نفاذ، وأبشر، والبريد الإلكتروني، والرسائل النصية القصيرة.
• تنفيذ مسارات عمل التوقيع الرقمي.
• إنشاء سجلات التدقيق والشهادات.
• إرسال الإشعارات ودعوات التوقيع.
• ضمان أمن المنصة، والكشف عن الاحتيال، والامتثال.
• تقديم دعم العملاء والتعامل مع الحوادث.
• الوفاء بالالتزامات النظامية والتعاقدية.

تعالج صادق البيانات الشخصية استنادًا إلى الأسس النظامية التالية:

• الضرورة التعاقدية: لتقديم الخدمات المطلوبة من قبل العملاء.
• الموافقة: للإشعارات وخطوات التحقق من الهوية.
• الالتزامات النظامية: للامتثال للأنظمة السعودية.
• المصلحة المشروعة: لمراقبة الأمن ومنع الاحتيال.

يتم تخزين جميع البيانات الشخصية حصريًا داخل المملكة العربية السعودية، في:

• Oracle Cloud KSA، منطقة جدة الأساسية.
• Oracle Cloud KSA، منطقة الرياض للتعافي من الكوارث.

لا تقوم صادق بتخزين أو نقل أي بيانات شخصية خارج المملكة العربية السعودية.

تطبق صادق ضوابط أمنية قوية، تشمل ما يلي:

7.1 التشفير

• تشفير AES-256 للبيانات أثناء التخزين لجميع المستندات والبيانات الشخصية.
• تشفير TLS 1.3 أثناء النقل لجميع الاتصالات.
• إدارة مفاتيح التشفير على مستوى المستخدم والمستند من خلال خزنة مفاتيح صادق.

7.2 التحكم في الوصول

• التحكم في الوصول القائم على الأدوار (RBAC).
• مبدأ أقل صلاحية (PoLP).
• يتطلب الوصول الإداري المصادقة متعددة العوامل (MFA) والموافقات المسجلة.

7.3 المراقبة ومركز العمليات الأمنية

• مراقبة مستمرة من خلال مركز العمليات الأمنية في صادق.
• التكامل مع Oracle Cloud Guard وأنظمة إدارة معلومات وأحداث الأمن (SIEM).
• تنبيهات أمنية آلية للأنشطة غير الاعتيادية.

7.4 أمن البنية التحتية

تتم إدارة الأمن المادي بالكامل من قبل Oracle Cloud KSA، ويشمل ذلك:

• التحكم في الوصول باستخدام القياسات الحيوية.
• المراقبة على مدار الساعة طوال أيام الأسبوع.
• تقييد الوصول إلى مراكز البيانات.
• الضمانات البيئية والتشغيلية.

تحتفظ صادق بالبيانات الشخصية فقط للمدة اللازمة لتحقيق ما يلي:

• تقديم الخدمة.
• الوفاء بالالتزامات النظامية.
• تلبية المتطلبات المحددة من قبل العميل.

يجوز للعملاء طلب ما يلي:

• الحذف الفوري بعد التوقيع.
• فترات احتفاظ مخصصة.
• حذف كامل لحزمة التوقيع عبر واجهة برمجة تطبيقات الحذف الخاصة بصادق.

تُنشئ جميع إجراءات الحذف ما يلي:

• سجلات تدقيق.
• إيصالات تأكيد.
• إزالة آمنة من أنظمة التخزين والنسخ الاحتياطية وفقًا للسياسة المعتمدة.

لا تقوم منصة صادق بمشاركة البيانات الشخصية مع أي طرف ثالث إلا في الحالات التالية:

• إذا كان ذلك مطلوبًا بموجب القانون.
• إذا كان ذلك مطلوبًا لأغراض التحقق من الهوية (نفاذ).
• إذا تمت الموافقة عليه صراحةً وخطيًا من قبل العميل.

كما لا تستخدم منصة صادق أي متعهدين فرعيين أو معالجي بيانات فرعيين دون الحصول على موافقة مسبقة من العميل.

تدعم صادق الحقوق التالية للمستخدمين والموقّعين بموجب نظام حماية البيانات الشخصية:

• الحق في الوصول إلى البيانات الشخصية.
• الحق في تصحيح البيانات الشخصية أو تحديثها أو استكمالها.
• الحق في الحذف.
• الحق في سحب الموافقة.
• الحق في العلم بأنشطة معالجة البيانات.

تتم معالجة هذه الطلبات بالتنسيق مع العميل بصفته جهة التحكم في البيانات.

قد تتأخر معالجة الطلبات إذا كانت تتداخل مع تحقيق أمني قائم.

تتبع صادق إجراءً رسميًا للاستجابة لحوادث خرق البيانات متوافقًا مع نظام حماية البيانات الشخصية، ويشمل:

• الاحتواء الفوري والتحليل الجنائي الرقمي.
• تنبيه العميل دون تأخير.
• دعم العميل في إخطار الأفراد المتأثرين.
• حفظ الأدلة لأغراض التحقيق.
• الامتثال للجداول الزمنية الخاصة بالإبلاغ وفقًا لنظام حماية البيانات الشخصية.

لا تجمع صادق أو تعالج عمدًا بيانات شخصية تتعلق بالأطفال. ويجب على العملاء الذين يستخدمون صادق التأكد من الامتثال للمتطلبات النظامية ذات الصلة قبل رفع أي بيانات من هذا النوع.

يجوز لصادق تحديث هذه السياسة بشكل دوري نتيجة لما يلي:

• التغييرات التنظيمية أو النظامية.
• الميزات أو الخدمات الجديدة.
• التحسينات الأمنية.

سيتم إبلاغ العملاء بجميع التحديثات ونشرها على المنصة.

للاستفسارات المتعلقة بالخصوصية وحماية البيانات، يُرجى التواصل مع وظيفة مسؤول حماية البيانات في صادق:

مسؤول حماية البيانات (DPO)

البريد الإلكتروني: security@sadq.sa

تُعد سياسة الخصوصية هذه معتمدة ونافذة اعتبارًا من تاريخ إصدارها.