جرى إعداد هذا الإشعار استنادًا إلى المادتين (الثانية عشرة والثالثة عشرة) من نظام حماية البيانات الشخصية الصادر بالمرسوم الملكي رقم (م/ 19) وتاريخ 9/2/1443ه، وتعديلاته ("النظام").

تلتزم شركة الأفضل لوساطة التأمين بحماية خصوصية وسرية وأمن البيانات، بما في ذلك البيانات الشخصية، التي يتم جمعها ومعالجتها وتخزينها. تحدد هذه السياسة الإطار العام والمبادئ التوجيهية والإجراءات اللازمة لضمان التعامل مع البيانات بشكل مسؤول وآمن ووفقًا للقوانين واللوائح ذات الصلة، بما في ذلك نظام حماية البيانات الشخصية في المملكة العربية السعودية. تهدف هذه السياسة إلى بناء والحفاظ على ثقة الأفراد في تعاملنا مع بياناتهم.

نطاق السياسة

تنطبق هذه السياسة على جميع البيانات التي يتم جمعها ومعالجتها وتخزينها بواسطة شركة الأفضل لوساطة التأمين، سواء كانت إلكترونية أو ورقية، وتشمل على سبيل المثال لا الحصر:

• بيانات العملاء والمستخدمين.
• بيانات الموظفين والمقاولين والموردين.
• البيانات المالية والمحاسبية.
• البيانات التأمينية.
• البيانات الشخصية التي تحدد هوية فرد طبيعي (مثل الاسم، رقم الهوية، بيانات الاتصال، الموقع، إلخ).
• تسري هذه السياسة على جميع موظفي شركة الأفضل لوساطة التأمين وأي طرف ثالث يعمل نيابة عنها ويقوم بمعالجة البيانات.

مسؤوليات الموظفين:

يتحمل موظفو شركة الأفضل لوساطة التأمين المسؤوليات التالية عند التعامل مع البيانات وحمايتها:

• عدم مناقشة المعلومات الداخلية أو نقلها إلى أي موظف آخر، إلا إذا كان ذلك يخدم أغراض الشركة بشكل مباشر.
• الالتزام التام بسياسات وإجراءات أمن المعلومات، والأنظمة والتعليمات المتعلقة بالسرية.
• عدم الوصول إلى بيانات العملاء لأغراض غير متعلقة بالعمل.
• عدم تزويد أي شخص غير مصرح به، سواء من داخل الشركة أو خارجها، بمعلومات سرية، أو تسهيل الوصول إليها بأي شكل من الأشكال.
• تزويد الأشخاص المصرح لهم فقط بالبيانات، وفي حدود ما تقتضيه حاجة العمل.
• استخدام قنوات الاتصال الرسمية الخاصة بالشركة، مثل الخدمات البريدية والبريد الإلكتروني، عند تبادل المعلومات.
• عدم أخذ أي نسخ من أي مستند أو نص غير متعلق بالعمل، إلا بعد الحصول على موافقة صريحة من المدير المباشر.
• عدم ترك أي بيانات سرية في أماكن يسهل الوصول إليها، مثل المكاتب أو الأماكن المشتركة.
• عدم دخول الغرف المغلقة أو المناطق المحظورة الأخرى، إلا إذا كان مصرحًا بذلك، أو إذا كان الدخول ضروريًا لتلبية متطلبات العمل.
• الاحتفاظ بالمستندات التي يتم العمل عليها حاليًا فقط على سطح المكتب، وإبقاء المستندات الأخرى في الأدراج، ويفضل الاحتفاظ بها في أماكن مغلقة.
• إغلاق أجهزة الحاسوب وإقفال الأدراج عند مغادرة المكتب.
• عدم الكشف عن أي معلومات سرية حول الشركة لأي شخص، بما في ذلك الموظفين غير المصرح لهم بالاطلاع عليها، أو الذين لا يحتاجون إليها لأغراض العمل.
• عدم مناقشة المعلومات الحساسة أو السرية في الأماكن العامة، مثل المصاعد والممرات ووسائل النقل العام.
• عدم دخول مقر الشركة خارج ساعات العمل الرسمية، إلا بعد الحصول على موافقة مسبقة من المدير المباشر.

المبادئ الرئيسية لحماية البيانات الشخصية :

• يجب جمع البيانات ومعالجتها بشكل قانوني وشفاف وعادل للأفراد المعنيين. يجب إعلام الأفراد بوضوح بأغراض المعالجة وأنواع البيانات التي يتم جمعها. 
• يجب جمع البيانات لأغراض محددة وواضحة ومشروعة، ولا يجوز معالجتها لاحقًا بطريقة تتعارض مع هذه الأغراض. 
• يجب أن تكون البيانات التي يتم جمعها كافية وذات صلة ومقتصرة على ما هو ضروري للأغراض المحددة. 
• يجب اتخاذ خطوات معقولة لضمان دقة البيانات وتحديثها عند الضرورة. يجب تصحيح البيانات غير الدقيقة أو غير الكاملة دون تأخير. 
• يجب الاحتفاظ بالبيانات لفترة لا تتجاوز ما هو ضروري لتحقيق الأغراض التي جمعت من أجلها، ما لم يكن هناك التزام قانوني أو تنظيمي يتطلب فترة حفظ أطول. 
• يجب معالجة البيانات بطريقة تضمن أمنها وسريتها، بما في ذلك الحماية من المعالجة غير المصرح بها أو غير القانونية، والفقدان العرضي، والتدمير، أو التلف باستخدام التدابير التقنية والتنظيمية المناسبة. 
• تلتزم شركة الأفضل لوساطة التأمين بالمسؤولية عن الامتثال لهذه السياسة وإثبات هذا الامتثال.

إجراءات حفظ البيانات الشخصية

وتطبق هذه الإجراءات على جميع البيانات الشخصية التي يتم جمعها ومعالجتها من قبل شركة الأفضل لوساطة التأمين سواء كانت بيانات إلكترونية أو ورقية، وتشمل على سبيل المثال لا الحصر:

• بيانات العملاء (المؤمن عليهم والمستفيدين)
• بيانات مقدمي الخدمات الطبية
• بيانات الموظفين
• بيانات المطالبات
• بيانات الاكتتاب

وتحدد هذه الإجراءات خطوات حفظ البيانات الشخصية بشكل آمن وفعال في سياق عمليات التأمين، بما يتوافق مع نظام حماية البيانات الشخصية واللوائح ذات العلاقة:

الجمع:

يجب جمع البيانات الشخصية فقط للأغراض المحددة والمشروعة المتعلقة بعمليات التأمين، مثل          

• إصدار وثائق التأمين
• إدارة المطالبات
• تقييم المخاطر
• خدمة العملاء
• الامتثال للمتطلبات القانونية والتنظيمية
• يجب الحصول على موافقة صريحة من صاحب البيانات قبل جمعها، وتحديد أنواع البيانات التي سيتم جمعها وأغراض جمعها بوضوح، إلا في الحالات التي يسمح بها النظام
• يجب جمع الحد الأدنى من البيانات اللازمة لتحقيق الغرض المحدد، وتجنب جمع بيانات غير ضرورية أو زائدة عن الحاجة
• يجب توثيق عملية جمع البيانات، بما في ذلك الغرض من الجمع، وأنواع البيانات التي تم جمعها، وكيفية الحصول على الموافقة.

التخزين:

يجب تخزين البيانات الشخصية في أماكن آمنة ومحمية من الوصول غير المصرح به، سواء كانت إلكترونية أو ورقية.

بالنسبة للبيانات الإلكترونية:

• يجب استخدام أنظمة تخزين آمنة وموثوقة، وتشفير البيانات الحساسة، مثل بيانات السجلات المالية
• يجب تحديد صلاحيات الوصول إلى البيانات بناءً على مبدأ الحاجة إلى المعرفة  (need-to-know basis)، وتوثيق جميع عمليات الوصول والتعديل.
• يجب تطبيق إجراءات أمنية قوية، مثل جدران الحماية، وكشف التسلل، وبرامج مكافحة الفيروسات، وتحديثها بانتظام.
• يجب إجراء نسخ احتياطية منتظمة للبيانات، وتخزينها في مكان آمن لضمان استمرارية الأعمال في حالة وقوع أي طارئ.
• يجب مراجعة وتقييم الإجراءات الأمنية بشكل دوري، وتحديثها حسب الحاجة لمواكبة التطورات التقنية والتهديدات الأمنية.

بالنسبة للبيانات الورقية:

• يجب حفظها في خزائن أو ملفات مقفلة، وتقييد الوصول إليها على الموظفين المصرح لهم فقط.
• يجب توثيق حركة الملفات والسجلات، وتحديد المسؤول عن كل ملف.
• يجب التخلص من البيانات الورقية القديمة أو غير الضرورية بطريقة آمنة، مثل التمزيق أو الحرق.

المعالجة:

• يجب معالجة البيانات الشخصية فقط للأغراض المحددة التي جمعت من أجلها، أو للأغراض التي يوافق عليها صاحب البيانات، ويجب أن تكون المعالجة متوافقة مع نظام حماية البيانات الشخصية ومتطلبات هيئة التأمين.
• يجب التأكد من دقة البيانات وتحديثها بانتظام، وتوفير آليات لتصحيح أو تحديث البيانات غير الدقيقة.
• يجب الحفاظ على سرية البيانات وعدم الإفصاح عنها لأي طرف غير مصرح له، إلا في الحالات التي يسمح بها النظام أو بموافقة صاحب البيانات.
• يجب توثيق جميع عمليات المعالجة، بما في ذلك الغرض من المعالجة، والأنشطة التي تم إجراؤها، والجهات التي تم الإفصاح لها عن البيانات (إن وجدت).

الوصول:

• يجب تقييد الوصول إلى البيانات الشخصية على الموظفين المصرح لهم فقط، وذلك حسب حاجتهم للوصول إليها لأداء مهامهم المتعلقة بعمليات التأمين.
• يجب تحديد مستويات الوصول المختلفة بناءً على الأدوار والمسؤوليات الوظيفية.
• يجب توثيق جميع عمليات الوصول إلى البيانات الشخصية، بما في ذلك هوية المستخدم، ووقت الوصول، والبيانات التي تم الوصول إليها، والغرض من الوصول.
• يجب تطبيق ضوابط للتحقق من هوية المستخدمين قبل السماح لهم بالوصول إلى البيانات.

الحفظ :

• يجب تحديد مدة زمنية محددة للاحتفاظ بالبيانات الشخصية، وذلك حسب الغرض من جمعها والمتطلبات النظامية ومتطلبات هيئة التأمين، مع مراعاة ما يلي:
• المدة اللازمة لتحقيق الأغراض المحددة لجمع البيانات
• المدة اللازمة للامتثال للمتطلبات القانونية والتنظيمية، مثل متطلبات حفظ السجلات في قطاع التأمين.
• المدة اللازمة للدفاع عن المطالبات القانونية أو ممارستها.
• يجب إتلاف البيانات الشخصية بعد انتهاء المدة المحددة، أو بعد انتهاء الغرض من جمعها، بطريقة آمنة تضمن عدم إمكانية استرجاعها.

الإتلاف :

يجب إتلاف البيانات الشخصية بشكل آمن يمنع استرجاعها أو قراءتها.

بالنسبة للبيانات الإلكترونية:

• يجب استخدام طرق معتمدة لإتلاف البيانات بشكل آمن، مثل الكتابة المتكررة (data wiping) أو التدمير المادي لأجهزة التخزين.
• يجب توثيق عملية الإتلاف، بما في ذلك تاريخ الإتلاف، وطريقة الإتلاف، والبيانات التي تم إتلافها.
• يجب التأكد من إتلاف جميع النسخ من البيانات، بما في ذلك النسخ الاحتياطية.

بالنسبة للبيانات الورقية:

• يجب استخدام طرق آمنة لإتلاف البيانات الورقية، مثل التمزيق أو الحرق.
• يجب توثيق عملية الإتلاف.
• يجب تدريب الموظفين على إجراءات الإتلاف الآمنة.

المسؤوليات:

• مدير إدارة البيانات:   هو الشخص المسؤول عن الإشراف على تنفيذ هذه الإجراءات وتحديثها، وضمان توافقها مع نظام حماية البيانات الشخصية ومتطلبات هيئة التأمين 
• مدراء الأقسام: مسؤولون عن ضمان التزام موظفيهم بهذه الإجراءات، وتحديد احتياجات التدريب والتوعية الخاصة بأقسامهم
• جميع الموظفين:  مسؤولون عن التعامل مع البيانات الشخصية وفقًا لهذه الإجراءات، والإبلاغ عن أي حوادث أو انتهاكات محتملة لحماية البيانات.
• مسؤول حماية البيانات (DPO): [إذا وجد] : مسؤول عن ضمان امتثال الشركة لنظام حماية البيانات الشخصية، وتقديم المشورة بشأن قضايا حماية البيانات، والتعاون مع الجهات الرقابية.

حقوق أصحاب البيانات:

يجب أن تضع الشركة آليات واضحة وفعالة لتمكين أصحاب البيانات من ممارسة حقوقهم المنصوص عليها في نظام حماية البيانات الشخصية، بما في ذلك:

• السماح لأصحاب البيانات بالوصول إلى بياناتهم الشخصية المتوفرة لدى الشركة.
• السماح لأصحاب البيانات بتصحيح بياناتهم الشخصية غير الدقيقة أو غير الكاملة.
• السماح لأصحاب البيانات بطلب إتلاف بياناتهم الشخصية في حالات معينة.
• السماح لأصحاب البيانات بتقييد معالجة بياناتهم الشخصية في حالات معينة.
• السماح لأصحاب البيانات بنقل بياناتهم الشخصية إلى جهة أخرى.
• السماح لأصحاب البيانات بالاعتراض على معالجة بياناتهم الشخصية في حالات معينة.

التدريب والتوعية:

• يجب توفير التدريب والتوعية اللازمين لجميع الموظفين، وخاصةً الموظفين الذين يتعاملون مع البيانات الشخصية بشكل مباشر، حول كيفية التعامل مع هذه البيانات وفقًا لهذه الإجراءات ونظام حماية البيانات الشخصية ومتطلبات هيئة التأمين.
• يجب أن يغطي التدريب الموضوعات التالية:
• نظام حماية البيانات الشخصية ومتطلبات هيئة التأمين
• أنواع البيانات الشخصية الحساسة في قطاع التأمين
• المخاطر المرتبطة بمعالجة البيانات الشخصية
• إجراءات حفظ البيانات الشخصية
• حقوق أصحاب البيانات وكيفية التعامل مع طلباتهم
• كيفية التعرف على حوادث خرق البيانات والإبلاغ عنها
• يجب إجراء التدريب بشكل دوري، وتحديثه حسب الحاجة.

المراجعة والتقييم:

• يجب مراجعة هذه الإجراءات وتقييمها بشكل دوري، على الأقل مرة واحدة في السنة، وتحديثها حسب الحاجة لضمان فعاليتها وتوافقها مع نظام حماية البيانات الشخصية ومتطلبات هيئة التأمين وأفضل الممارسات في قطاع التأمين.
• يجب إجراء عمليات تدقيق داخلية وخارجية للتأكد من الامتثال لهذه الإجراءات.

الإبلاغ :

• يجب وضع إجراءات للإبلاغ عن خروقات البيانات الشخصية، بما في ذلك تحديد المسؤوليات، والخطوات التي يجب اتخاذها، والجهات التي يجب إبلاغها (بما في ذلك الجهات الرقابية وأصحاب البيانات المتضررين).
• يجب توثيق جميع خروقات البيانات، والإجراءات المتخذة لمعالجتها ومنع تكرارها

المخالفات:

أي مخالفة لهذه الإجراءات قد تعرض المخالف للمساءلة التأديبية، بالإضافة إلى أي مساءلة قانونية قد تترتب على المخالفة بموجب نظام حماية البيانات الشخصية وأي قوانين أو لوائح أخرى ذات صلة.

 

معلومات جهة التحكم

شركة الأفضل لوساطة التأمين 

الرياض - طريق الملك عبد العزيز، حي الوزارات، الرمز البريدي 12622 

الرقم المجاني 8001000312