الامتثال للائحة GDPR

اللائحة العامة لحماية البيانات (GDPR) (الاتحاد الأوروبي) 2016/679 هي الإطار القانوني الأساسي الذي يحكم حماية البيانات الشخصية للأفراد داخل الاتحاد الأوروبي والمنطقة الاقتصادية الأوروبية. وفي تركيا، يُنشئ القانون رقم 6698 بشأن حماية البيانات الشخصية (KVKK) إطارًا مماثلًا. وتلتزم Pinet Bilişim A.Ş. ("نحن" أو "الخاص بنا" أو "الشركة")، المشغّلة لـ Meet2Be، التزامًا كاملًا بالامتثال لكلٍّ من GDPR وKVKK في جميع جوانب أنشطة معالجة البيانات لدينا.

تقدّم هذه الصفحة عرضًا مفصّلًا لإطار امتثالنا للائحة GDPR وقانون KVKK، بما في ذلك أدوارنا بصفتنا متحكّمًا في البيانات ومعالجًا للبيانات، والأسس القانونية التي نعتمد عليها، والحقوق المتاحة لأصحاب البيانات، وتدابيرنا الأمنية التقنية والتنظيمية، وإطار المعالجين الفرعيين لدينا، وإجراءاتنا للاستجابة لخرق البيانات.

صِيغ قانون KVKK التركي، الذي سُنّ في عام 2016، على غرار توجيه حماية البيانات للاتحاد الأوروبي 95/46/EC ويتوافق إلى حد كبير مع مبادئ GDPR. ويشترك الإطاران في المبادئ التأسيسية نفسها: المشروعية والإنصاف والشفافية؛ وتحديد الغرض؛ وتقليل البيانات؛ والدقّة؛ وتحديد مدة التخزين؛ والنزاهة والسرّية؛ والمساءلة.

حيثما توجد اختلافات، نطبّق الأشد من المعيارين. وهذا يعني أن مستخدمي الاتحاد الأوروبي/المنطقة الاقتصادية الأوروبية يستفيدون من حماية GDPR الكاملة، بينما يستفيد جميع المستخدمين — بمن فيهم المستخدمون الأتراك — من حقوق مكافئة لتلك الموجودة في KVKK أو تتجاوزها. وقد صُمّم برنامج الامتثال لدينا لتلبية كلا الإطارين في آنٍ واحد، دون الحاجة إلى عمليات منفصلة للتعامل مع البيانات لفئات مختلفة من المستخدمين.

حدَّث القانون رقم 7499 (الساري من 12 مارس 2024) المادةَ 9 من KVKK بصورة توائم إلى حد كبير آليات النقل التركية عبر الحدود (قرار الكفاية، والبنود التعاقدية القياسية المعتمدة من مجلس KVKK، والقواعد الملزمة داخل المؤسسة، والتعهّدات الكتابية المصرَّح بها من المجلس) مع GDPR. وقد جرى تحديث سياسة النقل لدينا وفقًا لذلك، ونواصل متابعة مساعي تركيا للحصول على قرار كفاية من المفوضية الأوروبية.

تعمل Meet2Be بصفة مزدوجة بموجب GDPR وKVKK، بحسب طبيعة نشاط معالجة البيانات:

بموجب المادة 6 من GDPR والمادة 5 من KVKK، يجب أن يكون لكل نشاط معالجة أساس قانوني. ونحن نوثّق الأساس المنطبق لكل نشاط معالجة في سجلّات أنشطة المعالجة (RoPA) لدينا. والأسس الستة المتاحة وتطبيقها على عملياتنا هي:

بموجب المواد 15–22 من GDPR والمادة 11 من KVKK، تتمتّع بحقوق شاملة بشأن بياناتك الشخصية. وهذه الحقوق مطلقة في بعض الحالات ومقيّدة في حالات أخرى (مع مراعاة الاستثناءات القانونية). أرسِل جميع طلبات الحقوق إلى privacy@meet2be.com مع إثبات الهوية. ونرد خلال 30 يومًا؛ وقد تُمدَّد الطلبات المعقّدة لمدة تصل إلى شهرين إضافيين مع إشعار بذلك.

لن نفرض رسومًا مقابل ممارسة حقوقك ما لم تكن الطلبات غير مبرَّرة بشكل واضح أو مفرطة. وقد نعلّق فترة الرد مرة واحدة للتحقّق من هويتك. وإذا رفضنا طلبًا، فسنوضّح أسبابنا وحقك في تقديم شكوى إلى سلطة إشرافية.

نعمل على مستوى عالمي، مما يعني أن بياناتك قد تُخزَّن أو تُعالَج في بلدان خارج تركيا والمنطقة الاقتصادية الأوروبية — بما في ذلك بلدان ليس لديها قرار كفاية من الاتحاد الأوروبي. ونحرص على أن تمتثل جميع عمليات النقل الدولية للفصل الخامس من GDPR والمادة 9 من KVKK من خلال الآليات التالية:

نحتفظ بقائمة محدَّثة بجميع الدول الثالثة التي ننقل إليها البيانات الشخصية، إلى جانب آلية النقل المنطبقة. وهذه القائمة متاحة عند الطلب عبر privacy@meet2be.com.

عندما نعمل بصفتنا معالجًا للبيانات لصالح منظّمي الفعاليات، نستعين بمعالجين فرعيين قد يطّلعون على البيانات الشخصية المقدَّمة عبر المنصّة. ونحتفظ بقائمة كاملة ومحدَّثة بمعالجينا الفرعيين، متاحة عبر privacy@meet2be.com.

يُستعان بجميع المعالجين الفرعيين بموجب اتفاقية معالجة فرعية كتابية تفرض التزامات حماية بيانات مكافئة لتلك الواردة في اتفاقية معالجة البيانات لدينا (المادة 28/4 من GDPR). ونُجري العناية الواجبة على جميع المعالجين الفرعيين قبل الاستعانة بهم وعلى فترات منتظمة بعد ذلك.

نُخطر العملاء المتحكّمين في البيانات (منظّمي الفعاليات) بأي تغييرات مزمعة على المعالجين الفرعيين بإشعار مسبق لا يقل عن 30 يومًا، مع إتاحة فرصة للاعتراض. وإذا اعترض عميل وتعذّر حل الخلاف، يجوز للعميل إنهاء الخدمات ذات الصلة دون غرامة.

عملًا بالمادة 25 من GDPR ومبدأ حماية البيانات بالتصميم والافتراض، ندمج اعتبارات حماية البيانات في جميع أنشطة تطوير الأنظمة وتصميم الميزات وعمليات الأعمال منذ البداية، بدلًا من اعتبارها أمرًا ثانويًا.

تشمل التزاماتنا بشأن الخصوصية بالتصميم: جمع الحد الأدنى فقط من البيانات الشخصية الضرورية لكل غرض محدّد (تقليل البيانات)؛ وإخفاء هوية البيانات الشخصية وتشفيرها افتراضيًا حيثما كان ذلك ممكنًا تقنيًا؛ وضمان ألّا تُعالَج افتراضيًا سوى البيانات الشخصية الضرورية تمامًا لكل غرض (إعدادات الخصوصية الافتراضية)؛ وإجراء مراجعات أثر الخصوصية قبل إطلاق ميزات جديدة تتضمّن بيانات شخصية؛ والاحتفاظ بسجلّات موثّقة لجميع أنشطة معالجة البيانات (ROPA) وفق ما تقتضيه المادة 30 من GDPR.

تشمل ممارساتنا الهندسية متطلّبات مراجعة الكود للميزات التي تمسّ البيانات الشخصية، وبروتوكولات اختبار أمني مراعية للخصوصية، وتدريبًا إلزاميًا على حماية البيانات لجميع موظّفي الهندسة.

بموجب المادة 35 من GDPR، يُطلب إجراء تقييم أثر حماية البيانات (DPIA) قبل القيام بمعالجة يُرجَّح أن تؤدّي إلى مخاطر عالية على حقوق الأشخاص الطبيعيين وحرّياتهم. ونحن نُجري تقييمات أثر حماية البيانات لجميع أنشطة المعالجة الجديدة التي تتضمّن: معالجة واسعة النطاق لبيانات الفئات الخاصة؛ أو تنميطًا منهجيًا ذا آثار جوهرية؛ أو استخدام تقنيات جديدة ذات تداعيات غير مؤكّدة على الخصوصية؛ أو معالجة قد تؤدّي إلى مخاطر عالية بأي وسيلة أخرى.

يتضمّن كل تقييم أثر حماية بيانات: وصفًا للمعالجة وأغراضها؛ وتقييمًا للضرورة والتناسب؛ وتحديد المخاطر على أصحاب البيانات؛ والتدابير المتوخّاة لمعالجة تلك المخاطر. وحيثما يشير تقييم أثر حماية البيانات إلى مخاطر متبقّية عالية لا يمكن التخفيف منها عبر تدابير تقنية أو تنظيمية، نستشير السلطة الإشرافية المختصة قبل بدء المعالجة (المادة 36 من GDPR).

تُحفَظ وثائق تقييم أثر حماية البيانات طوال عمر نشاط المعالجة ولمدة لا تقل عن خمس (5) سنوات بعد ذلك. وتُراجَع تقييمات أثر حماية البيانات كلّما طرأ تغيير على طبيعة المعالجة أو نطاقها أو سياقها أو أغراضها.

لقد طبّقنا إجراءً موثّقًا للاستجابة لخرق البيانات الشخصية يتوافق مع المادتين 33 و34 من GDPR ومتطلّبات KVKK. ويضمن إجراؤنا اكتشاف الخروقات واحتواءها وتقييمها والإبلاغ عنها في الوقت المناسب وبطريقة منهجية.

ستتضمّن إشعارات الخرق: طبيعة الخرق؛ وفئات أصحاب البيانات المتأثّرين وعددهم التقريبي؛ والعواقب المحتملة؛ والتدابير المتّخذة أو المقترحة لمعالجة الخرق والتخفيف من آثاره. وتُسجَّل جميع الخروقات — بغض النظر عمّا إذا كان الإخطار لسلطة إشرافية مطلوبًا أم لا — في سجل الخروقات الداخلي لدينا.

وفقًا لمبدأ تحديد مدة التخزين (المادة 5/1-e من GDPR؛ المادة 4/2-ç من KVKK)، نحتفظ بالبيانات الشخصية فقط للمدة الضرورية للغرض الأصلي وأي التزام قانوني منطبق. وجدول الاحتفاظ بالبيانات لدينا موثّق ويُراجَع سنويًا.

مدد الاحتفاظ الرئيسية: بيانات الحساب — يُحتفظ بها طوال مدة الاشتراك ولمدة 3 سنوات بعد إنهائه للتعامل مع أي نزاع أو مطالبة. السجلّات المالية وسجلّات الفوترة — يُحتفظ بها لمدة 10 سنوات وفق ما يقتضيه قانون الإجراءات الضريبية التركي (VUK). بيانات الفعاليات والمشاركين — يُحتفظ بها طوال مدة اشتراك المنظّم وتُحذف خلال 90 يومًا من إنهاء الاشتراك؛ ولا نحتفظ ببيانات المشاركين بعد إغلاق الحساب لمدة أطول من اللازم. سجلّات الخادم — يُحتفظ بها لمدة 90 يومًا لأغراض أمنية. سجلّات الموافقة التسويقية — يُحتفظ بها طوال مدة الموافقة ولمدة 3 سنوات بعد ذلك كدليل على الموافقة.

عند انتهاء مدد الاحتفاظ، تُحذف البيانات الشخصية بشكل آمن باستخدام طرق الحذف القياسية في الصناعة (الكتابة فوق البيانات أو المحو التشفيري للبيانات المشفّرة) أو يُخفى عنها الهوية بشكل لا رجعة فيه. ولا نؤرشف البيانات الشخصية بصورة تسمح بتحديد الهوية بعد مدة الاحتفاظ المنطبقة.

نطبّق تدابير تقنية وتنظيمية (TOMs) مناسبة بموجب المادة 32 من GDPR والمادة 12 من KVKK، مع مراعاة أحدث التقنيات وتكاليف التنفيذ وطبيعة المعالجة ونطاقها وسياقها وأغراضها. وتشمل تدابيرنا التقنية والتنظيمية الحالية:

• تشفير جميع البيانات الشخصية أثناء النقل باستخدام TLS 1.2 أو أحدث مع HSTS وتثبيت الشهادات.
• تشفير البيانات الشخصية الحسّاسة أثناء التخزين باستخدام AES-256.
• إخفاء هوية البيانات الشخصية حيثما لا يكون تحديد الهوية الكامل ضروريًا لغرض المعالجة.
• ضوابط الوصول المستندة إلى الأدوار (RBAC) التي تضمن وصول الموظّفين فقط إلى البيانات الشخصية الضرورية لمهامّهم المحدّدة.
• المصادقة متعدّدة العوامل (MFA) المطلوبة لجميع عمليات الوصول الإدارية والمميَّزة إلى الأنظمة التي تحتوي على بيانات شخصية.
• تقييمات منتظمة لنقاط الضعف، واختبارات الاختراق، ومراجعات أمنية للكود.
• تسجيل تدقيق شامل لجميع عمليات الوصول إلى البيانات الشخصية وتعديلاتها.
• تدريب سنوي إلزامي على حماية البيانات لجميع الموظّفين الذين يطّلعون على البيانات الشخصية.
• عملية رسمية للعناية الواجبة بالموردين لجميع المورّدين الذين يعالجون البيانات الشخصية.
• خطة للاستجابة للحوادث تُختبَر سنويًا على الأقل من خلال تمارين محاكاة.

لديك الحق في تقديم شكوى إلى سلطة إشرافية لحماية البيانات إذا كنت تعتقد أن معالجتنا لبياناتك الشخصية تنتهك القانون المعمول به. ويمكنك تقديم شكواك إلى السلطة في بلد إقامتك المعتادة، أو مكان عملك، أو مكان الانتهاك المزعوم.

نرجو منك التواصل معنا أولًا عبر privacy@meet2be.com قبل تقديم شكوى رسمية إلى سلطة إشرافية. ونحن ملتزمون بحل الشكاوى بسرعة وبشكل ودّي حيثما أمكن. سنُرسل ردًا أوليًا خلال 5 أيام عمل من تلقّي الشكوى؛ أما الطلبات الرسمية لحقوق أصحاب البيانات فيصدر بشأنها قرار نهائي خلال 30 يومًا وفقًا للمادة 12/3 من GDPR والمادة 13 من KVKK (قابلة للتمديد لشهرين للطلبات المعقّدة مع إخطار مسبق).

تستهدف خدمات Meet2Be الشركات ومنظّمي الفعاليات؛ ولا يشمل جمهورنا الأطفال دون سن السادسة عشرة. يُفترض أن جميع المستخدمين الذين ينشئون حسابًا لا تقل أعمارهم عن 16 عامًا؛ وبالنسبة للمشاركين الذين يسجّلون الدخول إلى تطبيق الجوّال، يقع على عاتق المنظِّم التأكّد من استيفاء هذا الشرط.

عند استخدام أحد منظّمي الفعاليات لـ Meet2Be في فعالية تضم مشاركين دون سن السادسة عشرة، يقع الالتزام بالحصول على موافقة الوالدين/الوصيّ بموجب المادة 8 من GDPR والتحقّق من ولاية مقدِّم الموافقة على عاتق المنظِّم بوصفه المتحكّم في البيانات. ويحقّ للدول الأعضاء في الاتحاد الأوروبي تحديد هذه السن بين 13 و16 عامًا؛ ويحدَّد العمر المعمول به وفقًا للقانون المحلي للمنظِّم. وفي تركيا، تشترط المادة 5/2-هـ من KVKK والقانون المدني التركي موافقة الولي بالنسبة للقُصّر.

توفّر المادة 9 من GDPR والمادة 6 من KVKK حماية مشدَّدة للبيانات الشخصية المندرجة ضمن فئات خاصة — بما في ذلك الصحة، والمعتقدات الدينية أو الفلسفية، والأصل العرقي، والحياة الجنسية، والانتماء النقابي، والبيانات البيومترية والوراثية. وفي سياق الفعاليات، قد تندرج ضمن هذا النطاق التفضيلات الغذائية للمشاركين (التي قد تُشير إلى الدين أو الصحة)، واحتياجات الوصول (التي قد تُشير إلى الصحة)، ومعلومات المسمّى الوظيفي الظاهرة على البطاقة.

تعالج Meet2Be هذه البيانات — عند نشوئها بشكل طبيعي أثناء إدارة الفعاليات — وفق الضمانات التالية فقط: (1) موافقة صريحة من المشارك يحصل عليها المتحكّم (المنظِّم) بموجب المادة 9/2-أ / المادة 6/2 من KVKK؛ (2) معالجة مقصورة على تقديم الفعالية المحدّدة (تحديد الغرض)؛ (3) الحذف أو الإخفاء التام للهوية خلال 90 يومًا من انتهاء الفعالية؛ (4) ضوابط وصول قائمة على الأدوار (RBAC) صارمة تحصر الوصول على الموظفين ذوي الحاجة الوظيفية؛ (5) تشفير منفصل بمعيار AES-256 عند التخزين.