سياسة الخصوصية لمنصة (سيافي)

توضح هذه السياسة كيفية قيام منصة سيافي للساحة، ويُشار إليها فيما بعد بـ "المنصة"، بجمع البيانات الشخصية للمستخدمين ومعالجتها وحمايتها، والأغراض التي تُستخدم لأجلها، والحقوق المكفولة للمستخدم وفق نظام حماية البيانات الشخصية السعودي (PDPL) ولائحته التنفيذية الصادرة عن الهيئة السعودية للبيانات والذكاء الاصطناعي (سدايا)، وبما يتماشى مع أفضل الممارسات الدولية في الخصوصية والأمن السيبراني.

ويُعد استخدام المنصة أو التسجيل فيها موافقة صريحة على أحكام هذه السياسة، والتي تعد جزءًا لا يتجزأ من شروط الاستخدام.

أولاً: التعريفات:

إضافةً إلى التعريفات النظامية، تشمل هذه السياسة ما يلي:

• المنصة: أي موقع إلكتروني أو تطبيق أو نظام مملوك أو مُدار من قِبل منصة سيافي.
• المستخدم: أي فرد يستخدم المنصة أو يستفيد من خدماتها.
• البيانات الشخصية: كل بيان يُعرّف بشخص المستخدم أو يمكن أن تؤدي إلى التعرف عليه مباشرة أو غير مباشرة.
• البيانات الحساسة: البيانات المتعلقة بالهوية الحيوية، والحالة الصحية، والمالية، والمعتقدات، وما في حكمها.
• مسؤول حماية البيانات (DPO): الموظف أو الجهة المكلفة بالإشراف على التزام المنصة بنظام حماية البيانات.
• المعالجة: أي عملية تُجرى على البيانات مثل الجمع، التخزين، النقل، الاستخدام، التعديل، أو الحذف.
• الطرف الثالث: أي جهة خارجية تشاركها المنصة البيانات عند الضرورة.
• سجل أنشطة المعالجة: سجل إلزامي يحتفظ به مزود الخدمة يوضح عمليات جمع ومعالجة البيانات.

ثانيًا: التزام المنصة بحماية البيانات.

تلتزم المنصة بالآتي:
1- حماية خصوصية المستخدمين واتخاذها كأولوية أساسية في أنظمة المنصة.
2- معالجة البيانات وفق مبادئ الشرعية والشفافية والضرورة وعدم التوسع غير المبرر.
3- الالتزام بمبدأ الحد الأدنى من البيانات.
4- عدم مشاركة البيانات إلا عند وجود أساس نظامي أو تعاقدي أو بموافقة صريحة.
5- تنفيذ سياسات وإجراءات امتثال.
6- تعيين مسؤول حماية بيانات (DPO) ومراقبة الامتثال بشكل مستمر.
7- توثيق جميع العمليات ذات الصلة بحماية البيانات.

ثالثًا: البيانات التي نقوم بجمعها.

تجمع المنصة البيانات التالية في الحدود الضرورية فقط:

1- بيانات الهوية:

أ- الاسم الكامل.
ب- رقم الهوية/الإقامة.
ج- الجنسية.
د- العمر والجنس.
ه- رقم جواز السفر (عند حجز الرحلات الدولية).

2- بيانات الاتصال:

أ- البريد الإلكتروني.
ب- رقم الجوال.
ج- العنوان (عند الحاجة).

3- بيانات المعاملات والدفع:

(لا تحتفظ المنصة أبدًا ببيانات البطاقات البنكية، ويتم جمعها عبر مزود دفع مرخّص)
أ- سجلات الدفع.
ب- الفواتير.
ج- تفاصيل الحجوزات.
د- الخدمات المستخدمة.

4- بيانات فنية:

أ- عنوان الـ IP
ب- نوع الجهاز والمتصفح.
ج- نظام التشغيل.
د- معرفات ملفات الارتباط.

5- بيانات الموقع الجغرافي:

لا تجمع المنصة الموقع إلا بموافقة صريحة، ويُستخدم فقط لخدمات:
أ- الإرشاد السياحي.
ب- النقل.
ج- تقديم عروض قريبة من الموقع.

6- بيانات سلوك الاستخدام:

أ- الصفحات التي تمت زيارتها.
ب- مدة الجلسة.
ج- سجل البحث داخل المنصة.
د- تفضيلات المستخدم.

7- بيانات يقدمها المستخدم طوعًا:

أ- المراجعات والتقييمات.
ب- الاستفسارات.
ت- الملاحظات.

رابعًا: أغراض جمع البيانات.

تقوم المنصة بمعالجة البيانات للأغراض التالية فقط، دون تجاوزها:

1- تشغيل الخدمة وتنفيذ المعاملات:

أ- إنشاء الحساب.
ب- إتمام الحجوزات.
ت- معالجة الدفع.
ث- إرسال التأكيدات والإشعارات.
ج- تقديم الدعم الفني.

2- تحسين تجربة المستخدم:

أ- تطوير أداء المنصة.
ب- تقديم توصيات سياحية مخصّصة.
ت- تحسين جودة الواجهة والخدمات.

3- التواصل:

أ- إشعارات الحجوزات.
ب- رسائل التحديث.
ث- الرد على الطلبات.

4- التسويق (بموافقة صريحة فقط).

أ- إرسال عروض خاصة.
ب- حملات إلكترونية.
ت- نشرات إخبارية.

5- الامتثال النظامي:

أ- الالتزام بمتطلبات الجهات الرسمية.
ب- التحقيق في الجرائم المعلوماتية.
ث- الاحتفاظ بالسجلات القانونية.

6- إدارة المخاطر ومنع الاحتيال:

أ- رصد الأنشطة المشبوهة.
ب- منع إساءة الاستخدام.
ت- فحص محاولات الدخول الغير مشروعة.

7- التدريب والتطوير (مع إخفاء هوية البيانات):

أ- تدريب النماذج الداخلية.
ب- تحسين خوارزميات الاقتراحات.

خامسًا: أساس المعالجة النظامي.

لا تتم معالجة البيانات إلا استنادًا إلى أحد الأسس التالية:
1- موافقة صريحة من المستخدم.
2- تنفيذ عقد مثل الحجوزات والمعاملات.
3- التزام نظامي أو أمر قضائي أو حكومي.
4- مصلحة مشروعة للمنصة لا تتعارض مع حقوق المستخدم.

سادسًا: مشاركة البيانات مع الأطراف الثالثة.

تشارك المنصة البيانات مع:

1- مزودي الخدمات السياحية:

أ- فنادق
ب- شركات طيران
ب- شركات تأجير سيارات
ت- شركات تنظيم الرحلات
ث- المرشدون السياحيون

2- مزودي الخدمات التقنية:

أ- أنظمة الدفع
ب- خدمات التخزين السحابي.
ت- مزودي الأمن السيبراني.
ث- خدمات إرسال الرسائل.

3- جهات حكومية:

وفق الأنظمة، مثل:
أ- وزارة الداخلية.
ب- وزارة السياحة.
ث- هيئة الطيران المدني.
ج- الجهات القضائية.

4- شركاء التسويق (بموافقة صريحة فقط):

ضوابط المشاركة:

أ- مشاركة الحد الأدنى من البيانات فقط.
ب- إبرام اتفاقيات سرية (NDA)
ت- حظر بيع البيانات أو المتاجرة بها.
ث- حظر استخدامها لأغراض مختلفة عن الغرض المتفق عليه.
ج- التزام الطرف الثالث بضوابط PDPL

سابعًا: نقل البيانات خارج المملكة.

تتم عمليات النقل فقط عند توفر الشروط الآتية:
1- وجود مستوى حماية مكافئ أو أعلى.
2- وجود ضرورة تشغيلية واضحة (مثل بوابات دفع دولية).
3- الحصول على موافقة المستخدم عند الحاجة.

وتلتزم المنصة بـ:
أ- حفظ نسخة داخل المملكة قدر الإمكان.
ب- مراقبة الامتثال لدى الطرف الدولي.
ث- تحديد إجراءات حماية إضافية.

ثامنًا: حماية البيانات.

تطبق المنصة إجراءات تقنية وتنظيمية متقدمة: إجراءات تقنية، وإجراءات تنظيمية.

تاسعًا: الاحتفاظ بالبيانات.

تلتزم المنصة بما يلي:
1- الاحتفاظ بالبيانات فقط للمدة اللازمة لتحقيق الغرض.
2- حذف البيانات عند انتهاء الغرض أو بطلب المستخدم (وفق النظام).
3- الاحتفاظ بسجلات الفواتير والمعاملات لمدة إلزامية حسب الأنظمة المالية.
4- إمكانية الاحتفاظ بالبيانات في حال وجود نزاع قانوني قائم.

العاشر: حقوق المستخدم.

وفقًا لـ PDPL، للمستخدم الحقوق التالية:
1- حق الإشعار قبل جمع البيانات.
2- حق الوصول وطلب نسخة من بياناته.
3- حق تصحيح وتحديث البيانات.
4- حق محو البيانات (عدا البيانات التي يوجب النظام حفظها).
5- حق تقييد المعالجة.
6- حق الاعتراض على المعالجة أو التسويق المباشر.
7- حق سحب الموافقة في أي وقت.
8- حق نقل البيانات إلى مزود خدمة آخر (إن أمكن).
9- حق تقديم شكوى إلى سدايا.

يتم تقديم هذه الطلبات عبر قنوات التواصل الرسمية للمنصة.

الحادي عشر: ملفات تعريف الارتباط (Cookies)

تستخدم المنصة الأنواع التالية:
1- الأساسية: ضرورية لتشغيل الموقع.
2- التحليلية: لتحسين الأداء والواجهة.
3- التسويقية: بموافقة المستخدم المسبقة فقط.

يمكن للمستخدم إدارة أو حذف الكوكيز من إعدادات المتصفح.

الثاني عشر: الحوكمة وإدارة الامتثال.

تطبق المنصة نظام حوكمة شامل يشمل:
1- سجل أنشطة المعالجة.
2- مراجعات سنوية للامتثال.
3- تقييم الأثر (DPIA)
4- اختبارات أمنية دورية.
5- سياسات مكتوبة لحماية البيانات.
6- تدقيق داخلي لضمان الالتزام.

الثالث عشر: مسؤول حماية البيانات (DPO)

لأي استفسار يتعلق بالخصوصية أو البيانات:

• مسؤول حماية البيانات:
• البريد الإلكتروني:
• الهاتف:

الرابع عشر: تعديلات السياسة.

تحتفظ المنصة بالحق في تعديل هذه السياسة، وفي حالة وجود تغييرات جوهرية سيتم إخطار المستخدم عبر:
أ- البريد الإلكتروني.
ب- إشعار داخل المنصة.

ويُعد استمرار الاستخدام بعد التعديل موافقة صريحة عليه.