سياسة حماية البيانات لدى Grassroots Economics Foundation

ترجمة عمل — لم تدخل حيز النفاذ بعد. تُقدَّم هذه الترجمة العربية للمراجعة قبل الموافقة القانونية. النص الإنجليزي هو النص المصدر وتكون له الغلبة ما لم يقتضِ القانون الساري خلاف ذلك. اقرأ النص الإنجليزي المصدر.

1. الغرض

تحترم Grassroots Economics Foundation (GEF) الخصوصية وتعد التعامل مع البيانات الشخصية مسؤولية تجاه الأشخاص والمجتمعات المشاركة في عملها. وتضع هذه السياسة حدًا أدنى من المعايير للبيانات الشخصية التي تُعالج عبر أنظمة GEF وبرامجها وأبحاثها وأنشطتها التعليمية وفعالياتها وشراكاتها وعملياتها، بما في ذلك Cosmo-Local Credit App (CLC App).

تسترشد هذه السياسة بالقانون الكيني Data Protection Act, 2019 واللوائح السارية وإرشادات Office of the Data Protection Commissioner الحالية. وقد تسري قوانين أخرى أيضًا حيث تعمل GEF أو حيث يوجد الأشخاص المتأثرون.

يقدّم إشعار خصوصية CLC App معلومات أكثر تحديدًا عن حقول App والموارد العامة والبحث عن المستلم وسجلات البلوكشين العامة. وتحكم شروط الخدمة استخدام App.

2. النطاق

تسري هذه السياسة على أمناء GEF ومديريها وموظفيها ومتطوعيها ومتدربيها ومتعاقديها ومستشاريها وباحثيها وغيرهم ممن يعالجون البيانات الشخصية لصالح GEF أو نيابة عنها. ويجب أن تفرض العقود وترتيبات الشراكة واجبات مناسبة لحماية البيانات على مقدمي الخدمات والشركاء.

تشمل السياسة البيانات الشخصية في السجلات الرقمية والورقية والصوتية والمرئية والبحثية وسجلات الاتصالات وغيرها. وتسري سواء تصرفت GEF بصفتها مراقبًا أو مراقبًا مشتركًا أو معالجًا. ويجب أن يحدّد كل مشروع دور GEF وأدوار الأطراف الأخرى بدلًا من افتراض أن سياسة واحدة تحكم كل مشارك.

3. المبادئ الحاكمة

تعالج GEF البيانات الشخصية وفقًا للمبادئ التالية:

1. المشروعية والإنصاف والشفافية. يتلقى الأشخاص معلومات مفهومة عن المعالجة المهمة قبل جمع بياناتهم أو عند جمعها، متى كان ذلك عمليًا ومطلوبًا.
2. تحديد الغرض. تُجمع البيانات لأغراض محددة وصريحة ومشروعة ولا يُعاد استخدامها بطريقة غير متوافقة دون أساس قانوني وإشعار مناسب.
3. تقليل البيانات. لا تجمع GEF ولا تشارك إلا ما يلزم بصورة معقولة للغرض المعلن.
4. الدقة. تُتخذ خطوات معقولة لإبقاء البيانات الشخصية المهمة دقيقة وتصحيح السجلات المضللة.
5. تحديد مدة الاحتفاظ. لا يُحتفظ بالبيانات التي تكشف الهوية إلا للمدة اللازمة بصورة معقولة لغرضها وللالتزامات السارية.
6. النزاهة والسرية. تتناسب تدابير الحماية مع البيانات والأشخاص والسياق والمخاطر.
7. المساءلة. توثّق GEF القرارات المهمة ويمكنها إظهار كيفية تطبيق هذه المبادئ.
8. المشاركة والكرامة. يجب أن تحترم ممارسات البيانات استقلالية الأشخاص والمجتمعات المتأثرة وسلامتهم وثقافتهم وتوقعاتهم المعقولة.

4. المساءلة والمسؤوليات

تتحمل هيئات حوكمة GEF وإدارتها مسؤولية ضمان تخصيص الموارد والإشراف المناسبين لمخاطر الخصوصية. وتعيّن أدوارًا مسؤولة عن تنسيق الخصوصية وأمن المعلومات والسجلات وحوكمة البحوث وحماية الأطفال والاستجابة للحوادث وطلبات أصحاب البيانات.

ترتبط المسؤولية بالعمل والصلاحية المعنيين ولا تُسند تلقائيًا إلى إدارة بعينها. ويجب على كل من يعمل لدى GEF أو نيابة عنها:

• اتباع هذه السياسة والإجراءات ذات الصلة بدوره؛
• الوصول إلى البيانات الشخصية فقط عندما يكون مخوّلًا وعند الضرورة؛
• الإبلاغ فورًا عن أي فقدان أو إساءة استخدام أو إفصاح أو ضعف أمني مشتبه فيه؛
• إكمال التدريب المطلوب؛ و
• سؤال مسؤول المشروع أو الخصوصية قبل بدء معالجة غير واضحة أو عالية المخاطر.

تحتفظ GEF بسجلات مناسبة لأنظمة المعالجة والأغراض وفئات البيانات والأشخاص المتأثرين والأسس القانونية والمستلمين وعمليات النقل ومدد الاحتفاظ وتدابير الحماية والأشخاص المسؤولين.

5. الأسس القانونية والموافقة

يجب أن يكون لكل نشاط معالجة أساس قانوني ساري، مثل الموافقة أو تنفيذ اتفاق أو الامتثال لالتزام قانوني أو حماية المصالح الحيوية أو مهمة تحقق المصلحة العامة عندما يتيحها القانون أو مصلحة مشروعة لا تتغلب عليها حقوق الأشخاص.

يسجّل الفريق المسؤول الأساس قبل جمع البيانات. وعند استخدام الموافقة، يجب أن تكون مستنيرة ومحددة وحرة عندما يكون ذلك مطلوبًا وموثقة، وأن يكون سحبها سهلًا بقدر سهولة منحها. ويجب ألا يترتب على رفض الموافقة أو سحبها جزاء غير معلن.

ليست الموافقة الأساس الافتراضي لكل نشاط. ويجب أن تستخدم GEF الأساس الذي يصف المعالجة بدقة وأن توفر أي تدابير حماية إضافية لازمة للبيانات الحساسة أو الأطفال أو الأشخاص الضعفاء أو الاتصالات المباشرة أو البحوث أو عمليات النقل الدولية.

6. الشفافية والجمع

قبل جمع البيانات الشخصية، تقدم GEF إشعارًا يناسب الجمهور والسياق. وينبغي أن يوضح، بحسب الاقتضاء:

• من يجمع البيانات وكيفية التواصل معه؛
• ما البيانات التي تُجمع وما إذا كانت مطلوبة أو اختيارية؛
• سبب استخدامها والأساس القانوني؛
• عواقب عدم تقديم البيانات المطلوبة؛
• من يتلقاها وما إذا كان يمكن معالجتها دوليًا؛
• مدة الاحتفاظ بها أو كيفية تحديد تلك المدة؛
• الترتيبات المهمة للأمن والسرية؛
• ما إذا كانت المعلومات ستُنشر أو تُسجّل في بلوكشين عام؛ و
• حقوق الشخص وطرق تقديم الشكاوى.

تجمع GEF البيانات عادةً من الشخص مباشرة. ويجب أن يستند الجمع غير المباشر إلى أساس قانوني ومصدر موثق وإشعار مناسب، ما لم ينطبق استثناء قانوني.

7. البيانات الحساسة والأشخاص الأكثر عرضة للمخاطر

قد تنشئ البيانات مخاطر جسيمة بسبب محتواها أو سياقها أو جمعها مع بيانات أخرى أو الأشخاص المعنيين. ويشمل ذلك البيانات الصحية والبيومترية والجينية والعرقية والدينية والسياسية والجنسية والمالية وبيانات الموقع الدقيق والهوية وحماية الأطفال، وكذلك البيانات التي قد تعرّض شخصًا للتمييز أو العنف أو الإقصاء أو المراقبة أو الاستغلال أو الخسارة.

تطبق GEF تدابير حماية معززة عندما ترتفع المخاطر. وقد تشمل جمع بيانات أقل وفصل المعرّفات وفرض قيود وصول أشد واستخدام التشفير وتقليل مدة الاحتفاظ واستخدام وسائل اتصال أكثر أمانًا والنقل الآمن ومراجعة الإفصاح واستشارة متخصص وإجراء تقييم موثق للأثر.

يجب أن تراعي الفرق الظروف المحلية. فقد يكون الاسم أو الانتماء إلى مجتمع أو نقطة على الخريطة أو عنوان المحفظة أو الصورة أو سجل المعاملات حساسًا، حتى إن لم يصنّفه كل قانون ضمن البيانات الحساسة.

8. الأطفال وحمايتهم

تتطلب معالجة بيانات طفل عناية خاصة وأساسًا قانونيًا ساريًا ومعلومات مناسبة لعمره وأي تفويض مطلوب من أحد الوالدين أو الوصي. وتكون مصالح الطفل الفضلى اعتبارًا أساسيًا.

تقلل GEF بيانات الأطفال إلى الحد الأدنى وتقيّد الوصول إليها وتتجنب المواقع الدقيقة غير الضرورية أو المواد التي تكشف الهوية، وتقيّم ما إذا كان النشر أو الاتصال الرقمي قد يسبب ضررًا متوقعًا. ويجب أن يتوافق التعامل مع البيانات مع سياسة حماية الطفل.

يقتصر CLC App على البالغين. ولا تنشئ هذه السياسة مسارًا لتسجيل طفل في App.

9. الخصوصية حسب التصميم وتقييم الأثر

يجب مراعاة متطلبات الخصوصية عند تصميم مشروع أو نظام، لا إضافتها بعد جمع البيانات فقط. ويجب أن تحدد الفرق الغرض وتدفق البيانات والظهور والوصول والاحتفاظ والحذف ومقدمي الخدمات والنقل وترتيبات الحوادث قبل الإطلاق.

تجري GEF تقييمًا لأثر حماية البيانات وتوثقه عندما يحتمل أن تنشئ المعالجة مخاطر مرتفعة. وتشمل المؤشرات ذات الصلة المراقبة الواسعة أو المنهجية والبيانات الحساسة أو بيانات الأطفال والموقع الدقيق والتقنيات الجديدة والمطابقة العامة والتقييم الآلي ودمج مجموعات البيانات أو النشر غير القابل للعكس.

يجب تصعيد المخاطر المرتفعة التي لم تُحل إلى الإدارة أو هيئة الحوكمة المسؤولة وإلى الجهة المختصة عند الاقتضاء، وذلك قبل بدء المعالجة.

10. الوصول والأمن

يُقيّد الوصول إلى البيانات الشخصية بحسب الدور والحاجة. وتختار GEF تدابير الحماية المناسبة للنظام والمخاطر، ويمكن أن تشمل:

• المصادقة القوية والوصول الإداري المنضبط؛
• صلاحيات الحد الأدنى وفصل الواجبات؛
• النقل الآمن والحماية المناسبة للبيانات المخزنة؛
• البرامج المدعومة والتحديثات ومراجعة الإعدادات وإدارة الثغرات؛
• التسجيل والمراقبة وحدود معدل الطلبات واكتشاف إساءة الاستخدام؛
• النسخ الاحتياطية المحمية واختبار الاستعادة وتدابير استمرارية الخدمة؛
• الحذف أو الإتلاف الآمن عند انتهاء مدة الاحتفاظ؛ و
• واجبات تعاقدية للسرية والأمن على الموظفين ومقدمي الخدمات.

تُراجع الضوابط الأمنية عندما تتغير الأنظمة أو التهديدات أو المخاطر. وتتطلب سجلات البلوكشين العامة تدابير حماية مختلفة لأن السجلات المؤكدة لا يمكن عادةً تغييرها أو حذفها.

11. مقدمو الخدمات والشركاء وعمليات النقل

قبل منح مقدم خدمة إمكانية الوصول إلى البيانات الشخصية، تقيّم GEF الغرض والضرورة والأمن والموقع والمشاركة اللاحقة والحذف والقدرة على دعم الالتزامات القانونية. ويجب أن تحدد الشروط المكتوبة المعالجة المسموح بها والسرية والأمن والإبلاغ عن الحوادث والمعالجة الفرعية والمساعدة والإرجاع أو الحذف والإشراف عند الاقتضاء.

لا تجعل الشراكة وحدها كل مؤسسة معالجًا. ويجب أن يحدد كل ترتيب ما إذا كانت الأطراف تتصرف بصفتها مراقبين مستقلين أو مراقبين مشتركين أو مراقبًا ومعالجًا، وأن يزوّد الأشخاص بمعلومات دقيقة عن تلك الأدوار.

يجب أن يستند الوصول أو النقل الدولي إلى أساس قانوني ساري وتدابير حماية مناسبة. وتوثق الفرق المعنية المستلم والوجهة والغرض والبيانات والمخاطر وتدابير الحماية. ويمكن الوصول عالميًا إلى المعلومات المنشورة والبيانات العامة على البلوكشين، ولذلك تتطلب إشعارًا واضحًا قبل النشر.

12. البحوث والإحصاءات والبيانات المفتوحة

تدعم GEF البحوث المسؤولة والتعلّم المفتوح. ولا يعني الانفتاح نشر البيانات الشخصية بصورة تلقائية.

يجب في البحوث والعمل بالبيانات العامة:

• تحديد السؤال والقيمة العامة والأساس القانوني والحد الأدنى من البيانات المطلوبة؛
• استخدام التجميع أو نزع الهوية أو الأسماء المستعارة أو أخذ العينات أو الوصول المنضبط عند الاقتضاء؛
• تقييم مخاطر إعادة تحديد الهوية والإضرار بالمجموعات، بما في ذلك عند الجمع مع البيانات العامة؛
• تجنب وصف البيانات المنزوعة الهوية بأنها مجهولة عندما تظل إعادة تحديد الهوية ممكنة بصورة معقولة؛
• توثيق الموافقة أو المراجعة الأخلاقية أو اتفاق المجتمع أو صلاحية قانونية أخرى عند الاقتضاء؛
• وضع قواعد الوصول وإعادة الاستخدام ونسب المصدر والاحتفاظ والتصحيح والسحب المناسبة للمشروع؛ و
• مراجعة الجداول والخرائط والسرد والصور والمجموعات الصغيرة للتحقق من عدم الإفصاح غير المقصود قبل النشر.

يجب ألا يحاول الباحثون والمستلمون إعادة تحديد هوية الأشخاص أو استخدام البيانات للإضرار بشخص أو مجتمع أو التمييز ضده أو استغلاله أو استهدافه. ويجوز لـGEF تقييد إصدار أو تصحيحه أو سحبه أو رفضه عندما لا تكون المخاطر منضبطة بصورة كافية.

13. الدقة والتصحيح والمصدر

تتخذ الفرق خطوات معقولة لإبقاء البيانات الشخصية دقيقة للغرض الذي تُستخدم فيه. ويجب أن تتوفر للأشخاص وسيلة عملية للإبلاغ عن الأخطاء المهمة.

ينبغي أن تحافظ التصحيحات على سجلات المصدر أو التدقيق أو النزاع اللازمة، من دون الاستمرار في عرض المعلومات غير الصحيحة بوصفها حالية. وعندما يتعذر تغيير بلوكشين عام أو نسخة يتحكم فيها طرف مستقل، ستصحح GEF السجل خارج البلوكشين الذي تتحكم فيه وتشرح القيد التقني عند الاقتضاء.

14. الاحتفاظ والتخلص

يجب أن يكون لكل نظام أو نشاط قاعدة احتفاظ تستند إلى الغرض والالتزامات القانونية والعقود والمخاطر ومدد التقادم والتدقيق ونزاهة البحث وحقوق الأشخاص المتأثرين. ولا تُطبق مدة ثابتة على كل فئة لمجرد أن شريكًا أو مشروعًا آخر يستخدمها.

عند انتهاء مدة الاحتفاظ، تحذف GEF البيانات أو تتلفها أو تجمعها أو تنزع هويتها أو تقيّدها بصورة آمنة. وقد يتبع حذف النسخ الاحتياطية دورة استبدال موثقة. ويمكن أن يقتضي أمر حفظ قانوني أو مسألة حماية طفل أو شكوى أو تحقيق أو أرشيف للمصلحة العامة حفظًا محدودًا مع تقييد الوصول.

لا تستطيع GEF حذف سجلات البلوكشين العامة أو النسخ التي تتحكم فيها أطراف ثالثة مستقلة.

15. حقوق الأفراد والشكاوى

توفر GEF عملية عملية لممارسة الحقوق المتاحة بموجب القانون الساري، بما في ذلك الحق في المعلومات والوصول والتصحيح والاعتراض والتقييد وسحب الموافقة والحذف وقابلية النقل، حيثما تنطبق.

يجب إرسال الطلبات إلى [email protected]. وقد تتحقق GEF من هوية مقدم الطلب وصلاحيته، وسترد خلال المدة التي يحددها القانون الساري. وإذا تعذر تنفيذ الطلب بالكامل، تشرح GEF السبب عندما يكون ذلك مسموحًا وتحدد مسارًا متاحًا للشكوى.

يجوز للأشخاص تقديم شكوى إلى Office of the Data Protection Commissioner أو جهة مختصة أخرى.

16. حوادث البيانات

يجب على كل من يعمل لدى GEF أو نيابة عنها أن يبلّغ فورًا عن أي فقدان مشتبه فيه أو وصول غير مخوّل أو إفصاح أو تغيير أو إتلاف أو إساءة استخدام للبيانات الشخصية عبر قناة الإبلاغ المحددة للحوادث أو إلى الإدارة المسؤولة.

ستحتوي GEF الحادث وتحقق فيه وتحمي الأشخاص المتأثرين وتحفظ الأدلة المناسبة وتقيّم المخاطر وتوثق القرارات وتخطر الأشخاص المتأثرين أو الشركاء أو شركات التأمين أو الجهات الرسمية عند الاقتضاء. ويجب ألا تُشارك معلومات الحادث إلا مع الأشخاص الذين يحتاجون إليها للاستجابة أو المساءلة أو الامتثال القانوني.

17. التدريب والتأكد والإنفاذ

يتلقى الموظفون معلومات عن الخصوصية والأمن تناسب أدوارهم. وتتلقى الأدوار الأعلى خطرًا تدريبًا إضافيًا. وتراجع GEF دوريًا الأنظمة والوصول والإشعارات ومقدمي الخدمات والاحتفاظ والحوادث والامتثال لهذه السياسة.

قد يؤدي عدم اتباع هذه السياسة إلى تقييد الوصول أو إجراءات تصحيحية أو وسائل انتصاف تعاقدية أو إجراءات تأديبية أو إنهاء ترتيب أو إبلاغ جهة رسمية أو إجراء آخر متناسب.

يجب ألا يتعرض أي شخص للانتقام بسبب إثارته بحسن نية لمسألة تتعلق بالخصوصية أو الأمن.

18. المراجعة والتواصل

تراجع GEF هذه السياسة مرة واحدة سنويًا على الأقل وعند حدوث تغييرات قانونية أو تشغيلية أو تقنية جوهرية. وتذكر النسخ المحدّثة تاريخي نشرها ونفاذها.

يمكن إرسال أسئلة الخصوصية أو طلبات الحقوق أو المخاوف إلى:

Grassroots Economics Foundation
P.O. Box 1659-80108
Kilifi, Kenya
[email protected]