سياسة الإدانات الجنائية وإساءة استخدام البيانات

• هذه هي "وثيقة السياسة المناسبة" (كما يقتضيه قانون حماية البيانات في بعض الولايات القضائية) لشركة HelloVerify للمتابعة في خدمات التحقق من الوثائق ذ.م.م. ("HelloVerify"، "نحن") توضح كيفية حمايتنا لبيانات الإدانات الجنائية وبيانات سوء الممارسة المهنية.
• تدعم هذه السياسة سياسات حماية البيانات لدى HelloVerify (بما في ذلك سياساتها المتعلقة بتصنيف البيانات وأمن المعلومات والاحتفاظ بالبيانات).
• تستوفي هذه الوثيقة شرط قانون حماية البيانات البريطاني لعام 2018 بوجود وثيقة سياسة مناسبة عند معالجة بيانات الإدانات الجنائية في ظروف معينة.

• جهة التحكم (Controller): الشخص أو المؤسسة التي تحدد وقت وسبب وكيفية معالجة البيانات الشخصية (مثل HelloVerify أو شركة أخرى تابعة للمجموعة).
• بيانات الإدانات الجنائية: بيانات شخصية تتعلق بالإدانات والجرائم الجنائية، بما في ذلك البيانات الشخصية المتعلقة بالادعاءات والدعاوى الجنائية.
• سياسة الاحتفاظ بالبيانات: سياسة HelloVerify بشأن كيفية تصنيف المؤسسة وإدارتها للاحتفاظ بالمعلومات والتخلص منها.
• صاحب البيانات (Data Subject): فرد حيّ محدد الهوية أو قابل للتحديد نحتفظ ببياناته الشخصية. قد يكون أصحاب البيانات من مواطني أو مقيمي أي بلد، وقد يكون لهم حقوق قانونية بشأن بياناتهم الشخصية.
• تقييم أثر الخصوصية على البيانات (DPIA): أدوات وتقييمات تُستخدم لتحديد وتقليل مخاطر نشاط معالجة البيانات. يمكن إجراء تقييم أثر الخصوصية كجزء من مبدأ "الخصوصية بالتصميم"، وينبغي إجراؤه لجميع برامج التغيير الرئيسية في النظام أو الأعمال التي تتضمن معالجة البيانات الشخصية.
• قانون حماية البيانات لعام 2018 (DPA 2018): قانون حماية البيانات البريطاني لعام 2018 (بصيغته المعدَّلة أو المحدَّثة أو المُستبدلة من وقت لآخر).
• اللائحة العامة لحماية البيانات (GDPR): بحسب الاقتضاء، اللائحة العامة لحماية البيانات ((الاتحاد الأوروبي) 2016/679) بصفتها جزءًا من قانون إنجلترا وويلز واسكتلندا وأيرلندا الشمالية بموجب البند 3 من قانون انسحاب الاتحاد الأوروبي لعام 2018، أو اللائحة العامة لحماية البيانات البريطانية (بالمعنى المحدد في البند 3(10) (مكملًا بالبند 205(4)) من قانون حماية البيانات لعام 2018).
• البيانات الشخصية: أي معلومات تُحدد هوية صاحب البيانات أو معلومات تتعلق به يمكننا تحديدها (بشكل مباشر أو غير مباشر) من تلك البيانات وحدها أو بالاشتراك مع معرّفات أخرى نملكها أو يمكننا امتلاكها بشكل معقول.
• إشعار الخصوصية: إشعار مستقل يوضح المعلومات التي قد تُقدَّم لأصحاب البيانات عندما تجمع المؤسسة معلومات عنهم.
• المعالجة أو المعالجة (Processing): أي نشاط ينطوي على استخدام البيانات الشخصية. يشمل ذلك الحصول على البيانات أو تسجيلها أو الاحتفاظ بها، أو تنفيذ أي عملية أو مجموعة عمليات على البيانات، بما في ذلك التنظيم والتعديل والاسترجاع والاستخدام والكشف والمسح أو التدمير. تشمل المعالجة أيضًا نقل أو تحويل البيانات الشخصية إلى أطراف ثالثة.
• بيانات سوء الممارسة المهنية: بيانات شخصية تكشف عن سجلات احتيال صاحب البيانات، أو سجلات سوء السلوك و/أو الإجراءات التأديبية المتخذة ضد صاحب البيانات.

نُعالج بيانات الإدانات الجنائية وبيانات سوء الممارسة المهنية للأغراض التالية، في سياق تقديم خدماتنا لعملائنا:

• إجراء فحص الخلفية للأفراد
• التحقق من حق المتقدم في العمل في بلد ما
• التحقق من ملاءمة المرشحين للتوظيف، من أجل الكشف عن الشهادات الأكاديمية المزوَّرة وشهادات العمل وتراخيص الممارسة، وكذلك جوازات السفر ورخص العمل المزوَّرة، نيابةً عن العملاء كجزء من خدمات التحقق التي نقدمها للتأكد من أن المهنيين الذين يتم تعيينهم يمتلكون المؤهلات التي يُطالبون بها

مبادئ حماية البيانات الشخصية

تتطلب اللائحة العامة لحماية البيانات (GDPR) معالجة البيانات الشخصية وفقًا للمبادئ الستة المنصوص عليها في المادة 5(1). تتطلب المادة 5(2) من جهات التحكم القدرة على إثبات الامتثال للمادة 5(1).

نلتزم بالمبادئ المتعلقة بمعالجة البيانات الشخصية المنصوص عليها في اللائحة العامة لحماية البيانات، والتي تتطلب أن تكون البيانات الشخصية:

• مُعالجة بشكل قانوني وعادل وشفاف (المشروعية والإنصاف والشفافية)
• مُجمَّعة فقط لأغراض محددة وواضحة ومشروعة (تحديد الغرض)
• كافية وذات صلة ومحدودة بما هو ضروري فيما يتعلق بالأغراض التي تُعالَج من أجلها (تقليل البيانات)
• دقيقة، ومُحدَّثة عند الضرورة (الدقة)
• لا تُحفظ بصيغة تسمح بتحديد هوية أصحاب البيانات لمدة أطول من اللازم للأغراض التي تُعالَج البيانات من أجلها (تحديد التخزين)
• تُعالج بطريقة تضمن أمنها باستخدام تدابير تقنية وتنظيمية مناسبة للحماية من المعالجة غير المصرح بها أو غير القانونية ومن الفقدان أو التدمير أو التلف العرضي (الأمان والسلامة والسرية)

نحن مسؤولون ويجب أن نكون قادرين على إثبات الامتثال لمبادئ حماية البيانات المذكورة أعلاه (المساءلة).

يجب معالجة البيانات الشخصية بشكل قانوني وعادل وشفاف فيما يتعلق بصاحب البيانات.

سنُعالج البيانات الشخصية بشكل عادل وقانوني فقط ولأغراض محددة. تُقيّد اللائحة العامة لحماية البيانات إجراءاتنا المتعلقة بالبيانات الشخصية بأغراض قانونية محددة. لا يمكننا معالجة بيانات الإدانات الجنائية وبيانات سوء الممارسة المهنية إلا إذا كان لدينا أساس قانوني للمعالجة وانطبق أحد شروط المعالجة المحددة. سنُحدد ونُوثّق الأساس القانوني وشرط المعالجة المحدد المُعتمد عليه لكل نشاط معالجة.

عند جمع بيانات الإدانات الجنائية وبيانات سوء الممارسة المهنية من أصحاب البيانات، سواءً بشكل مباشر منهم أو غير مباشر (مثل جهة خارجية أو مصدر متاح للعامة)، سنُزوّد أصحاب البيانات بإشعار خصوصية يحدد جميع المعلومات المطلوبة بموجب اللائحة العامة لحماية البيانات في إشعار خصوصية موجز وشفاف ومفهوم وسهل الوصول إليه وبلغة واضحة وبسيطة يمكن فهمها بسهولة.

الأساس القانوني للمعالجة وشروطها

يجب جمع البيانات الشخصية فقط لأغراض محددة وواضحة ومشروعة. ويجب عدم معالجتها بشكل أكبر بأي طريقة لا تتوافق مع تلك الأغراض.

سنجمع البيانات الشخصية فقط لأغراض محددة، وسنُخبر أصحاب البيانات بما هي هذه الأغراض في إشعار خصوصية منشور. لن نستخدم البيانات الشخصية لأغراض جديدة أو مختلفة أو غير متوافقة مع تلك التي أُفصح عنها عند الحصول عليها أول مرة، إلا إذا أخبرنا صاحب البيانات بالأغراض الجديدة وحصلنا على موافقته عند الضرورة.

يجب أن تكون البيانات الشخصية كافية وذات صلة ومحدودة بما هو ضروري فيما يتعلق بالأغراض التي تُعالَج من أجلها.

سنجمع أو نُفشي فقط الحد الأدنى من البيانات الشخصية المطلوبة للغرض الذي تُجمع أو تُفشى من أجله البيانات. سنضمن عدم جمع بيانات مفرطة، وأن تكون البيانات الشخصية المُجمَّعة كافية وذات صلة بالأغراض المقصودة.

يجب أن تكون البيانات الشخصية دقيقة، ومُحدَّثة عند الضرورة. ويجب تصحيحها أو حذفها دون تأخير عندما تكون غير دقيقة.

سنضمن أن البيانات الشخصية التي نحتفظ بها ونستخدمها دقيقة وكاملة ومُحدَّثة وذات صلة بالغرض الذي نجمعها من أجله. نتحقق من دقة أي بيانات شخصية عند جمعها وعلى فترات منتظمة بعد ذلك. نتخذ جميع الخطوات المعقولة لتدمير أو تعديل البيانات الشخصية غير الدقيقة أو القديمة.

نحتفظ بالبيانات الشخصية في صيغة قابلة للتحديد فقط للمدة اللازمة للأغراض التي جُمعت من أجلها، أو عندما يكون لدينا التزام قانوني بذلك. عندما لا نعود بحاجة إلى البيانات الشخصية، تُحذف أو تُجعل مجهولة الهوية بشكل دائم.

نحتفظ بسياسة للاحتفاظ بالبيانات وإجراءات ذات صلة لضمان حذف البيانات الشخصية بعد انقضاء فترة معقولة من الزمن للأغراض التي كانت محتفظًا بها من أجلها، إلا إذا كنا مُلزَمين قانونًا بالاحتفاظ بتلك البيانات لفترة أطول.

سنضمن إخبار أصحاب البيانات بالفترة التي تُخزَّن فيها البيانات، وكيفية تحديد تلك الفترة، في أي إشعار خصوصية معمول به.

يجب معالجة البيانات الشخصية بطريقة تضمن الأمان المناسب للبيانات الشخصية، بما في ذلك الحماية من المعالجة غير المصرح بها أو غير القانونية، ومن الفقدان أو التدمير أو التلف العرضي، باستخدام تدابير تقنية أو تنظيمية مناسبة.

سنُطبّق ونحافظ على تدابير أمنية معقولة ومناسبة ضد المعالجة غير القانونية أو غير المصرح بها للبيانات الشخصية، وضد الفقدان أو التلف العرضي للبيانات الشخصية.

نحن مسؤولون وقادرون على إثبات الامتثال لهذه المبادئ. مسؤول حماية البيانات (DPO) لدينا مسؤول عن ضمان امتثالنا لهذه المبادئ. ينبغي تقديم أي أسئلة حول هذه السياسة إلى مسؤول حماية البيانات.

سنقوم بما يلي:

• ضمان الاحتفاظ بسجلات لجميع أنشطة معالجة البيانات الشخصية، وتقديمها إلى مفوض المعلومات عند الطلب.
• إجراء تقييم أثر الخصوصية (DPIA) لأي معالجة بيانات شخصية عالية المخاطر لفهم كيفية تأثير المعالجة على أصحاب البيانات، والتشاور مع مفوض المعلومات عند الاقتضاء.
• الاحتفاظ بمسؤول حماية البيانات لتقديم المشورة المستقلة ومراقبة التعامل مع البيانات الشخصية، وضمان إمكانية وصوله للإبلاغ على أعلى مستوى إداري.
• وجود عمليات داخلية لضمان جمع البيانات الشخصية واستخدامها والتعامل معها بطريقة تتوافق مع قانون حماية البيانات.

الاحتفاظ بالبيانات الشخصية ومحوها

نأخذ أمان بيانات الإدانات الجنائية وبيانات سوء الممارسة المهنية على محمل الجد. لدينا ضمانات إدارية وجسدية وتقنية لحماية البيانات الشخصية من المعالجة غير القانونية أو غير المصرح بها، أو الفقدان أو التلف العرضي. سنضمن، عند معالجة بيانات الإدانات الجنائية أو بيانات سوء الممارسة المهنية، ما يلي:

• تُسجَّل المعالجة، ويُحدد السجل، حيثما أمكن، فترة زمنية مناسبة للمحو الآمن والدائم لفئات البيانات المختلفة وفقًا لسياسة الاحتفاظ بالبيانات الخاصة بنا.
• عندما لا نعود بحاجة إلى بيانات الإدانات الجنائية أو بيانات سوء الممارسة المهنية للغرض الذي جُمعت من أجله، سنحذفها أو نُجعلها مجهولة الهوية بشكل دائم في أقرب وقت ممكن. نحتفظ عمومًا ببيانات الإدانات الجنائية أو بيانات سوء الممارسة المهنية بالصيغة التي قُدّمت بها إلى عملائنا لمدة 15 عامًا من تاريخ جمعها، على أساس أن عملاءنا كثيرًا ما يحتاجونها لدعم تحقيق في سوء ممارسة أو دعاوى مماثلة قد تحدث في المجال الطبي بعد سنوات عديدة من إجراء التحقق الأصلي، ولأن الأفراد قد ينتقلون للعمل في ولايات قضائية مختلفة قد تتطلب تشريعاتها الاحتفاظ بالبيانات لهذه الفترات الزمنية.
• حيثما تُدمَّر السجلات، سنضمن التخلص منها بشكل آمن ودائم.

يحصل أصحاب البيانات على إشعار خصوصية يحدد كيفية التعامل مع بياناتهم الشخصية عند حصولنا على هذه البيانات لأول مرة، وسيشمل ذلك الفترة التي ستُخزَّن فيها البيانات الشخصية، أو إذا لم يكن ذلك ممكنًا، المعايير المُستخدَمة لتحديد تلك الفترة. يتوفر إشعار الخصوصية أيضًا على موقعنا الإلكتروني.

تُراجَع هذه السياسة المتعلقة بمعالجة بيانات الإدانات الجنائية وبيانات سوء الممارسة المهنية مرتين سنويًا، أو بشكل أكثر تكرارًا في حال تغيّر القانون.

ستُحفظ هذه السياسة طوال فترة معالجتنا لبيانات الإدانات الجنائية وبيانات سوء الممارسة المهنية، ولفترة لا تقل عن ستة أشهر بعد توقفنا عن هذه المعالجة.

ستُقدَّم نسخة من هذه السياسة إلى مفوض المعلومات عند الطلب ومجانًا.

لمزيد من المعلومات حول امتثالنا لقانون حماية البيانات، يُرجى التواصل مع مسؤول حماية البيانات لدينا على: support@helloverify.com