سياسة الخصوصية وإشعار حماية البيانات الشخصية

أُعِدَّ هذا النص وفقاً للمادة 10 من القانون رقم 6698 بشأن حماية البيانات الشخصية (Kişisel Verilerin Korunması Kanunu) — وهو القانون التركي الناظم لحماية البيانات — ولأحكام البلاغ المتعلق بالأصول والإجراءات الواجب اتباعها في الوفاء بالتزام الإشعار (Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ). ويشمل نطاق النص جميع أنشطة المعالجة التي يقوم بها الشخص الاعتباري المبيَّنة بياناته أدناه بصفته المسؤول عن البيانات. والمخاطَبون بهذا النص هم زوّار الموقع الإلكتروني، ومن يملأ النماذج، ومن يطلب عقد اجتماع، والأشخاص الطبيعيون الذين يتلقّون الخدمة.

المسؤول عن البيانات هو الطرف الذي يحدد أغراض ووسائل معالجة البيانات المجمَّعة عبر الموقع الإلكتروني، ويتحمّل مسؤولية إنشاء نظام سجل البيانات وإدارته. وستُستكمل حقول البيانات التعريفية أدناه قبل النشر بعد التحقق منها من السجل التجاري ومن القيود الرسمية. فالإشعار الذي يُنشر ببيانات تعريفية ناقصة لا يستوفي معيار الشفافية الذي يتطلبه القانون.

أما بشأن الوفاء بالالتزامات المقررة بموجب القانون، فإن نشوء التزام التسجيل في VERBİS (نظام معلومات سجل المسؤولين عن البيانات) من عدمه يُقيَّم بصورة مستقلة استناداً إلى عدد الموظفين وإجمالي الميزانية المالية السنوية وموضوع النشاط الرئيسي. وفي حال نشوء التزام التسجيل، تُنشر بيانات القيد في هذا القسم.

تختلف البيانات المعالَجة باختلاف قناة التواصل والخدمة المطلوبة. فمجموعة بيانات الزائر الذي يكتفي بملء نموذج التواصل ليست ذاتها مجموعة بيانات العميل الذي فُتح له ملف تأسيس شركة. وعملاً بمبدأ تقليل البيانات، لا تُطلب في كل مرحلة سوى البيانات اللازمة لتلك المرحلة تحديداً. ولا يُطلب في مرحلة الاجتماع التمهيدي جواز سفر أو إقرار عنوان أو مستند مالي.

وبعد فتح الملف، تُجمع المستندات التي تستلزمها إجراءات الرخصة والإقامة والحساب المصرفي في دولة الإمارات. وتقتصر هذه المستندات على الحد الأدنى الذي تطلبه الجهات المختصة ووحدات الامتثال لدى المؤسسات المالية. أما المعلومات المتعلقة بمصدر الدخل ومصدر الأموال في إجراءات فتح الحساب المصرفي، فتُقدَّم إلى البنك مباشرةً وفقاً لسياسة الامتثال الخاصة به.

أما المدخلات المُدرَجة في أدوات الحساب على الموقع الإلكتروني، مثل المبلغ والإيرادات ونسبة الشراكة والمدة، فتُعالَج بغرض إنتاج مخرَج محاكاة. وهذه المدخلات، وإن كانت بمفردها لا تجعل الشخص قابلاً للتحديد، فإنها تكتسب صفة البيانات الشخصية عند إرسالها مقترنةً ببيانات التواصل، وتُقيَّم عندئذٍ ضمن نطاق هذا النص. ومخرجات أدوات الحساب ذات طابع استرشادي ولا تشكّل نتيجة حسابية ملزِمة.

تُعالَج البيانات الشخصية لأغراض محددة وواضحة ومشروعة، مع التقيّد بالمبادئ العامة الواردة في المادة 4 من القانون. والغرض الأساسي هو الرد على طلب الزائر، ومتى تحوّل الطلب إلى خدمة، تولّي تنسيق إجراءات تأسيس الشركة وتصريح الإقامة وطلب فتح الحساب المصرفي والمعاملات العقارية. ولا تُستخدم البيانات خارج هذا الغرض ولا تخضع لأي معالجة لا تتصل به.

ويشمل تنسيق الإجراءات إحالة الملف كاملاً إلى أصحاب المهن المرخَّصين، وسلطات المناطق الحرة، وإلى GDRFA (الإدارة العامة للإقامة وشؤون الأجانب) في دبي وICP (الهيئة الاتحادية للهوية والجنسية) في الإمارات الأخرى، وإلى البنوك، وإلى الوسطاء المعتمدين في الجانب العقاري. ولهذا السبب تُعالَج البيانات أيضاً بغرض إعداد الملف واستكمال الطلبات الرسمية. ولا يقدّم المسؤول عن البيانات أي تعهّد بشأن نتائج الطلبات؛ فالموافقة ومدة البتّ تعود إلى تقدير الجهة المختصة أو وحدة الامتثال لدى البنك.

كما تُجرى المعالجة لأغراض الوفاء بالالتزامات التعاقدية والمالية، وإصدار الفواتير، وضبط نظام القيد والأرشفة، وقياس جودة الخدمة، وضمان أمن الموقع الإلكتروني واستمراريته، وكشف محاولات إساءة الاستخدام والاحتيال، وإرسال المراسلات التسويقية عند وجود موافقة صريحة، والاستجابة للطلبات القانونية وعمليات التدقيق.

يستند كل نشاط معالجة إلى واحد على الأقل من الأسباب القانونية المعدَّدة في المادة 5 من القانون. والموافقة الصريحة سبب لا يُلجأ إليه إلا عند انتفاء أي سبب قانوني آخر؛ فالبيانات اللازمة لتنفيذ العقد لا تُعلَّق على الموافقة الصريحة. وهذا التمييز ذو أهمية، لأن سحب الموافقة وحده لا يُنهي أنشطة المعالجة غير المستندة إليها.

وفي الطلبات الواردة عبر نموذج التواصل، يُطبَّق حكم م. 5/2-c بحكم طبيعتها كمرحلة تمهيدية سابقة على إبرام العقد. أما السجلات التقنية المتعلقة بأمن الموقع وكشف إساءة الاستخدام، فتستند إلى المصلحة المشروعة للمسؤول عن البيانات وتُقيَّم في نطاق م. 5/2-f، مع مراعاة عدم الإضرار بالحقوق والحريات الأساسية لصاحب البيانات.

وفيما يخص الفواتير والقيود المحاسبية والمستندات الخاضعة لالتزام الحفظ، يُعتدّ بحكمي م. 5/2-a وم. 5/2-ç. أما بالنسبة إلى المراسلات التسويقية وملفات تعريف الارتباط غير الضرورية، فالسند الوحيد هو الموافقة الصريحة، وهي قابلة للسحب في أي وقت.

يجوز نقل البيانات الشخصية بشرط الالتزام بالضوابط الواردة في المادتين 8 و9 من القانون. أما النقل داخل تركيا فيتم إلى أصحاب المهن المرخَّصين الذين تُتلقّى منهم خدمات المحاسبة والاستشارة المالية، وإلى مكتب المحاماة المعني عند الاستعانة بخدمات قانونية، وإلى مزوّدي البنية التحتية المعلوماتية، ومؤسسات الدفع، والجهات والمؤسسات العامة المختصة، وذلك عند الطلب وفي حدود السند القانوني للطلب.

وبحكم طبيعة النشاط، يُعدّ النقل إلى خارج البلاد أمراً لا مفرّ منه. فمن أجل إدارة إجراءات تأسيس الشركة وتصريح الإقامة والحساب المصرفي، تُنقل البيانات إلى الشخص الاعتباري التابع في دولة الإمارات العربية المتحدة، وإلى سلطات المناطق الحرة، وإلى جهات القيد والهجرة المعنية (GDRFA في دبي وICP في الإمارات الأخرى)، وإلى البنوك، وإلى الوسطاء المعتمدين في الجانب العقاري. كما أن خدمات البريد الإلكتروني والنماذج وإدارة علاقات العملاء والاستضافة قد تعمل على خوادم موجودة خارج البلاد.

ويُطبَّق نظام النقل إلى خارج البلاد في إطار التعديل الذي أُدخل على المادة 9 من القانون رقم 6698 بموجب القانون رقم 7499، المُقَرّ بتاريخ 2 مارس 2024 والمنشور في الجريدة الرسمية بتاريخ 12 مارس 2024، والذي دخل حيّز النفاذ في 1 يونيو 2024. وبناءً عليه يتم النقل بالترتيب الآتي: وجود قرار كفاية معلَن من المجلس؛ وفي غياب قرار الكفاية، توفير أحد الضمانات المناسبة؛ وإذا تعذّر ذلك أيضاً، الاستناد إلى أحد الاستثناءات المعدَّدة في المادة، بشرط أن يكون النقل عارضاً.

وحتى تاريخ تحديث هذا النص، ونظراً لعدم وجود قرار كفاية معلَن بشأن دولة الإمارات العربية المتحدة، يُستخدم العقد النموذجي بوصفه سبيل الضمانة المناسبة بصفة أساسية. ويُبلَّغ العقد النموذجي إلى هيئة حماية البيانات الشخصية خلال خمسة أيام عمل من تاريخ توقيعه. أما قواعد الشركة المُلزِمة فتخضع لموافقة المجلس، وسبيل التعهّد الخطي يخضع لإذن المجلس، وعند اللجوء إلى أيٍّ منهما تُتَّبع الإجراءات ذات الصلة على حدة. وتُبلَّغ فئات الجهات المستلمة والضمانة المستنَد إليها إلى صاحب البيانات عند الطلب.

تُجمع البيانات عبر نماذج التواصل وحجز المواعيد على الموقع الإلكتروني، وأدوات الحساب، والمراسلات بالبريد الإلكتروني، وقنوات الهاتف والرسائل الفورية، والاجتماعات عبر الإنترنت أو المباشِرة، وإجراءات التعاقد والفوترة، وملفات تعريف الارتباط وتقنيات التتبع المماثلة، وذلك بوسائل آلية كلياً أو جزئياً، أو بوسائل غير آلية شريطة أن تكون جزءاً من نظام سجل البيانات.

وفي حالات معينة قد يجري الحصول على البيانات لا من صاحبها مباشرةً بل من أطراف ثالثة. فعلى سبيل المثال، قد يُستعلَم عن قيود السجل التجاري بغرض التحقق من هيكل الملكية، وعن قوائم العقوبات المتاحة للعموم وقوائم الأشخاص ذوي النفوذ السياسي في إطار التزامات الامتثال. وتُستخدم هذه المصادر في حدود ما تقتضيه إجراءات اعرف عميلك فحسب.

وإذا أرسل شخص طبيعي بيانات تخصّ أشخاصاً غير نفسه (كبيانات شريك أو أحد أفراد الأسرة أو موظف)، فإن إبلاغ هؤلاء الأشخاص بهذا النص وتوفير السبب القانوني اللازم يقع على عاتقه هو. ويتصرف المسؤول عن البيانات على افتراض أن البيانات العائدة لأطراف ثالثة قد جرى الحصول عليها بصورة مشروعة.

تُحفظ البيانات الشخصية طوال المدة اللازمة للغرض الذي عولجت من أجله، مع مراعاة الحدود الدنيا لمدد الحفظ المنصوص عليها في التشريعات ذات الصلة. وعند انقضاء هذه المدد، تُحذف البيانات أو تُتلَف أو تُحوَّل إلى بيانات مجهولة الهوية وفقاً للمادة 7 من القانون واللائحة المتعلقة بحذف البيانات الشخصية أو إتلافها أو تحويلها إلى بيانات مجهولة الهوية.

ويُطبَّق إجراء الإتلاف الدوري في إطار سياسة الحفظ والإتلاف. ويُنفَّذ الإتلاف الدوري على فترات لا تتجاوز ستة أشهر، ودون تخطي الحد الأقصى للمدد المقررة في التشريعات. وتُحفظ سجلات البيانات المُتلَفة بصورة مستقلة لأغراض القابلية للتدقيق. والمدد الواردة في الجدول أدناه ذات طابع استرشادي؛ وقد تطول أو تقصر تبعاً للوضع القانوني للملف المعني وللتعديلات التشريعية.

وفي حال وجود نزاع قائم أو تحقيق رسمي أو تدقيق، تُحفظ البيانات ذات الصلة إلى حين انتهاء الإجراء بصورة نهائية. وفي هذه الحالة يجوز رفض طلب الحذف في حدود مسوّغ إثبات الحق وحمايته، ويُبلَّغ صاحب البيانات بسبب الرفض كتابةً.

وفقاً للمادة 11 من القانون، يحق لصاحب البيانات أن يعلم ما إذا كانت بياناته الشخصية تُعالَج، وأن يطلب معلومات بهذا الشأن إن كانت قد عولجت، وأن يعلم غرض المعالجة وما إذا كانت تُستخدم وفقاً لهذا الغرض، وأن يعرف الأطراف الثالثة التي نُقلت إليها البيانات داخل البلاد أو خارجها، وأن يطلب تصحيح البيانات الناقصة أو المعالَجة على نحو خاطئ.

كما يجوز لصاحب البيانات أن يمارس حقه في طلب حذف البيانات أو إتلافها ضمن الشروط الواردة في المادة 7 من القانون، وطلب إبلاغ الأطراف الثالثة التي نُقلت إليها البيانات بعمليات التصحيح والحذف، والاعتراض على نشوء نتيجة في غير مصلحته نتيجة تحليل يجري حصراً عبر أنظمة آلية، والمطالبة بجبر الضرر في حال تعرّضه لضرر بسبب معالجة البيانات على نحو مخالف للقانون.

وتُقدَّم الطلبات، وفقاً للبلاغ المتعلق بأصول وإجراءات تقديم الطلبات إلى المسؤول عن البيانات، كتابةً أو عبر عنوان البريد الإلكتروني المسجَّل (KEP) أو التوقيع الإلكتروني الآمن أو التوقيع عبر الهاتف المحمول أو عنوان البريد الإلكتروني الذي سبق إبلاغ المسؤول عن البيانات به والمقيَّد في النظام. ويجب أن يتضمن الطلب الاسم واللقب والتوقيع أو التوقيع الإلكتروني، ورقم الهوية الوطنية لجمهورية تركيا (أو رقم جواز السفر للأجانب)، وعنوان التبليغ، والبريد الإلكتروني والهاتف المعتمدين للإخطار إن وُجدا، وموضوع الطلب.

ويُبَتّ في الطلبات في أقرب وقت ممكن بحسب طبيعتها، وخلال ثلاثين يوماً على الأكثر. وإذا استلزم الإجراء تكلفة إضافية، يجوز المطالبة بالرسم المقرر في التعرفة التي يحددها المجلس. وفي حال رفض الطلب أو عدم كفاية الرد أو عدم الرد ضمن المدة المقررة، يجوز لصاحب البيانات تقديم شكوى إلى مجلس حماية البيانات الشخصية خلال ثلاثين يوماً من تاريخ علمه بالرد، وخلال ستين يوماً من تاريخ تقديم الطلب في جميع الأحوال.

تُستخدم في موقعنا الإلكتروني ملفات تعريف الارتباط وتقنيات التتبع المماثلة. وملف تعريف الارتباط هو ملف نصي صغير يضعه الموقع الذي تتم زيارته في المتصفح. أما ملفات تعريف الارتباط الضرورية فلازمة لعمل الموقع وضمان أمنه؛ ووفقاً لدليل هيئة حماية البيانات الشخصية بشأن تطبيقات ملفات تعريف الارتباط، لا تُشترط الموافقة الصريحة بشأنها، ويكون سندها حكم م. 5/2-c أو م. 5/2-f من القانون بحسب الحالة. أما ملفات تعريف الارتباط التحليلية والتسويقية فلا تُشغَّل إلا بعد الحصول على الموافقة الصريحة من الزائر.

ويعرض الموقع لوحة تفضيلات لملفات تعريف الارتباط عند الزيارة الأولى. ويستطيع الزائر قبول ملفات تعريف الارتباط غير الضرورية أو رفضها على مستوى كل فئة. ولا يُعدّ إغلاق اللوحة أو متابعة التصفح موافقةً؛ فالموافقة لا تُؤخذ إلا باختيار صريح ومستقل. والموافقة الممنوحة قابلة للسحب في أي وقت من اللوحة نفسها. وسحب الموافقة يسري على المستقبل ولا يجعل عمليات المعالجة التي تمت حتى تاريخ السحب مخالفةً للقانون.

ويمكن كذلك حذف ملفات تعريف الارتباط أو حظرها من إعدادات المتصفح. وفي حال حظر ملفات تعريف الارتباط الضرورية، قد تتعطل وظائف مثل إرسال النماذج وأمن الجلسة وتفضيل اللغة. ويلخّص الجدول أدناه فئات ملفات تعريف الارتباط وحالة الموافقة؛ والمدد ذات طابع استرشادي، أما أسماء الملفات المفردة المستخدَمة ومزوّدوها ومددها فتُدرَج على حدة في لوحة تفضيلات ملفات تعريف الارتباط.

تُرسَل النشرات والإعلانات والرسائل ذات الطابع التحديثي للتشريعات في إطار القانون رقم 6563 بشأن تنظيم التجارة الإلكترونية (Elektronik Ticaretin Düzenlenmesi Hakkında Kanun) واللائحة المتعلقة بالاتصالات التجارية والرسائل الإلكترونية التجارية. ولا تُرسَل أي رسالة إلكترونية تجارية دون الحصول على موافقة مسبقة من المتلقّي. ويمكن أخذ الموافقة عبر İYS (نظام إدارة الرسائل) أو كتابةً أو بأي وسيلة اتصال إلكترونية، وتُقيَّد في İYS.

ويتضمن نص الموافقة بوضوح موضوع الرسالة وبيانات المرسِل. ويحق للمتلقّي رفض تلقّي الرسائل في أي وقت ودون إبداء أسباب. ويُمارَس حق الرفض عبر الرابط المُدرَج في كل رسالة، أو عبر İYS، أو عبر قنوات التواصل المبينة في هذا النص. ويُنفَّذ إشعار الرفض خلال ثلاثة أيام عمل من تاريخ وصوله ويُدوَّن في قيد İYS.

أما الإشعارات المعاملاتية المرسَلة في إطار علاقة خدمة قائمة فلا تُعدّ رسائل إلكترونية تجارية. فالرسائل المتعلقة بحالة الملف والتذكير بالمواعيد والفواتير والإفادة عن الإجراءات الرسمية يستمر إرسالها في نطاق تنفيذ العقد، حتى وإن جرى سحب موافقة التسويق.

وفقاً للمادة 12 من القانون، تُتَّخذ تدابير إدارية وتقنية ترمي إلى توفير مستوى أمني مناسب، وذلك بهدف منع معالجة البيانات الشخصية والوصول إليها على نحو مخالف للقانون، وضمان حفظها. وتُحدَّد هذه التدابير بمراعاة طبيعة البيانات المعالَجة وحجم الضرر الذي قد ينشأ، وتُراجَع بصورة منتظمة.

وعلى الصعيد التقني، يجري تشفير الاتصالات، وتقييد صلاحيات الوصول بحدود الوصف الوظيفي، واعتماد تحقق قوي من الهوية، والاحتفاظ بالسجلات التقنية، وتطبيق النسخ الاحتياطي وإدارة التحديثات الأمنية. وعلى الصعيد الإداري، تُوقَّع تعهدات سرية مع الموظفين وشركاء العمل، وتُبرَم مع معالِجي البيانات عقود متوافقة مع القانون، ويُبقى على سياسة الحفظ والإتلاف وإجراءات الاستجابة للانتهاكات سارية المفعول.

وفي حال اكتشاف انتهاك للبيانات، يُبلَّغ الأمر إلى هيئة حماية البيانات الشخصية خلال اثنتين وسبعين ساعة كحد أقصى من العلم بالانتهاك، وإلى الأشخاص المتأثرين به في أقرب وقت معقول، وذلك عملاً بالفقرة الخامسة من المادة 12 من القانون وبقرار المجلس رقم 2019/10 المؤرخ 24.01.2019. ويُبيَّن في الإخطار نطاق الانتهاك ونتائجه المحتملة والتدابير المتخذة. ولمّا كان أي تدبير تقني لا يوفّر أمناً مطلقاً، فمن المتوقع أن يولي المستخدمون بدورهم عناية بأمن حساباتهم وبريدهم الإلكتروني.

يُحدَّث هذا النص عند تعديل التشريعات، أو صدور قرارات عن مجلس حماية البيانات الشخصية، أو تغيّر نطاق الخدمات، أو تغيّر البنية التقنية المستخدَمة. وتُنشر النسخة السارية دائماً على هذه الصفحة، ويُبيَّن تاريخ السريان في أسفل النص. وفي حالات التغييرات ذات الأهمية، يجري كذلك إبلاغ الزوار عبر الموقع.

ويُراجَع نظام النقل إلى خارج البلاد بصورة منتظمة في ضوء التعديلات التي أدخلها القانون رقم 7499 والتنظيمات الثانوية. وفي حال إعلان المجلس قرارات كفاية جديدة، أو تعديل نصوص العقود النموذجية، أو تحديث أصول الإخطار، تُحدَّث أسانيد النقل ويُشار إليها في هذا القسم. أما بالنسبة إلى الدول التي لا يوجد بشأنها قرار كفاية، فيستمر تطبيق سبل الضمانات المناسبة.

ولا يحلّ هذا النص محل العقود المنظِّمة للشروط التجارية المتعلقة بخدماتنا، بل يُطبَّق إلى جانبها. ويُعتدّ بالقانون التركي في تفسير هذا النص وتطبيقه. والعناوين الواردة فيه غرضها تيسير القراءة فحسب، ولا تحدّ من نطاق الأحكام.