أولاً: المقدمة ونطاق التطبيق

يوضح هذا الإشعار («الإشعار») كيفية جمع واستخدام ومعالجة وإدارة وحماية البيانات الشخصية من قبل شركة إباء الرائدة للخدمات الطبية المحدودة («إباء»، «الشركة»، «نحن»، «لنا») فيما يتعلق بزوار ومستخدمي منصة وموقع «إباء أكاديمي» (academy.iba.sa)، وذلك وفقاً لنظام حماية البيانات الشخصية ولائحته التنفيذية، ونظام التجارة الإلكترونية، والأنظمة واللوائح المعمول بها في المملكة العربية السعودية. ويوضح هذا الإشعار كيفية معالجة البيانات الشخصية للمتدربين والمسجلين في الدورات والمتقدمين للتدريب لدى الأكاديمية، وأغراض المعالجة، والجهات التي قد تتم مشاركة البيانات معها، والتدابير المتخذة للمحافظة على سريتها وأمانها، وحقوق أصحاب البيانات الشخصية.

يستمر سريان هذا الإشعار بعد انتهاء العلاقة الأكاديمية مع المنصة بالقدر اللازم وفقاً لأغراض المعالجة ومدد الاحتفاظ المقررة، ويجوز للشركة تحديثه من وقت لآخر، وتكون النسخة الأحدث متاحة على موقع المنصة.

ثانياً: اسم الجهة ونشاطها

جهة التحكم: شركة إباء الرائدة للخدمات الطبية المحدودة، المسجلة بالرقم الموحد للسجل التجاري (7054938845)، ومركزها الرئيسي في مدينة الرياض، المملكة العربية السعودية.

نشاط الجهة: شركة إباء منشأة تجارية تعمل في مجال الخدمات الطبية والتعليمية والأكاديمية، وتشغّل منصة «إباء أكاديمي» الرقمية (academy.iba.sa) لتقديم الدورات التدريبية والأكاديمية والمهنية للكوادر الصحية والمهتمين، وتستهدف المنصة المنسوبين والمهتمين بالقطاعين الصحي والتعليمي.

ثالثاً: التعريفات

لأغراض هذا الإشعار، يكون للكلمات والعبارات الآتية المعاني الموضحة أمام كل منها، ما لم يقتضِ السياق غير ذلك:

1. الأنظمة المعمول بها: جميع الأنظمة واللوائح ذات الصلة النافذة في المملكة العربية السعودية، بما في ذلك نظام حماية البيانات الشخصية ولائحته التنفيذية ونظام التجارة الإلكترونية.

2. جهة التحكم: شركة إباء الرائدة للخدمات الطبية المحدودة، بوصفها الجهة التي تحدد الغرض من معالجة البيانات الشخصية ووسائلها عبر المنصة.

3. الخدمات: الدورات التدريبية والأنشطة الأكاديمية والخدمات التعليمية المقدمة عبر منصة «إباء أكاديمي».

4. المعالج: أي طرف ثالث تتعاقد معه الشركة لمعالجة البيانات الشخصية نيابةً عنها وبناءً على تعليماتها، مثل مزودي الاستضافة أو بوابات الدفع.

5. صاحب البيانات / المتدرب: كل شخص طبيعي تُجمع بياناته الشخصية بغرض التسجيل أو الاستفادة من دورات وخدمات «إباء أكاديمي»، أو التقدم للتدريب لديها.

6. البيانات الشخصية: كل بيان يتعلق بشخص طبيعي من شأنه أن يؤدي إلى التعرف عليه بصورة مباشرة أو غير مباشرة، مثل الاسم ورقم الهوية ورقم الهاتف والبريد الإلكتروني والبيانات المهنية.

7. ملفات تعريف الارتباط (Cookies): ملفات أو بيانات صغيرة يحفظها المتصفح عند استخدام المنصة، لتسهيل تسجيل الدخول ودعم تشغيل الموقع وأمانه.

رابعاً: البيانات الشخصية التي يتم جمعها

تجمع المنصة الفئات الآتية من البيانات الشخصية عند استخدامها أو التسجيل فيها، ويُعد تقديم البيانات اللازمة منها إلزامياً لإنشاء الحساب وإتمام التسجيل في الدورات التدريبية:

1. بيانات التسجيل والملف الشخصي: الاسم الثلاثي باللغتين العربية والإنجليزية — ويُكتب الاسم الإنجليزي في الشهادة كما أدخله المتدرب — ورقم الجوال، والبريد الإلكتروني، والمؤهل العلمي، والتخصص، والمدينة.

2. بيانات التحقق: رموز الدخول التي تُرسل إلى البريد الإلكتروني، ورمز توثيق رقم الجوال الذي يُرسل برسالة نصية أو عبر واتساب.

3. بيانات الدفع والاشتراك: تفاصيل الرسوم والمعاملات المالية الخاصة بالدورات، ونوع البطاقة وآخر أربعة أرقام منها، والإيصالات والفواتير الصادرة. وتُدخل بيانات البطاقة في صفحة الدفع وتُرسل مباشرة إلى بوابة الدفع الإلكتروني المرخصة، فلا تمر بخوادم الشركة ولا تحتفظ الشركة بها.

4. بيانات المسار التدريبي: الدورات المسجل فيها ومواعيدها، وطلبات الانسحاب والاسترجاع، والحضور، وإرسال روابط الاختبارات واستبيانات الرضا وفتحها، وشهادات إتمام التدريب الصادرة.

5. بيانات المتقدمين للتدريب: بيانات التسجيل المذكورة في الفقرة (1)، وسنوات الخبرة التدريبية، ومجالات التدريب، والنبذة التعريفية، والسيرة الذاتية والمؤهلات المرفقة بالطلب.

6. قوائم الانتظار والتنبيهات: الاسم ورقم الجوال والبريد الإلكتروني عند الانضمام إلى قائمة انتظار دورة مكتملة، والبريد الإلكتروني عند طلب التنبيه بفتح التقديم كمدرب.

7. برنامج «ادعُ زملاءك»: رمز الدعوة الخاص بالحساب، والتسجيلات التي تمت من خلاله، والمكافآت المستحقة عنها.

8. بيانات الاستخدام التقنية: عنوان بروتوكول الإنترنت (IP) ونوع المتصفح عند تسجيل الدخول، وسجلات خوادم الموقع، وملفات تعريف الارتباط الضرورية لتشغيله، وذلك لضمان أمان الموقع وتشغيله. وأثناء حجز المقعد بانتظار الدفع، تُحفظ بصمة رقمية مشتقة من عنوان IP لا يظهر فيها العنوان نفسه، للتحقق من ألا يُحجز من الاتصال الواحد أكثر من ثلاثة (3) مقاعد في وقت واحد، ثم تُحذف بانتهاء الحجز.

خامساً: طرق جمع البيانات الشخصية

تُجمع البيانات الشخصية بالطرق الآتية:

1. الجمع المباشر: من خلال النماذج الإلكترونية وحقول التسجيل وحسابات المستخدمين على المنصة، وما يقدمه المستخدم أثناء الاستفادة من الخدمات التعليمية.

2. الجمع غير المباشر: بصورة تلقائية من خلال سجلات خوادم الموقع وتقنيات ملفات تعريف الارتباط (Cookies) وبيانات الاستخدام التقنية.

3. من خلال فريق الأكاديمية: عند تسجيل المتدرب في دورة نيابةً عنه، وعند تسجيل الحضور من تقرير منصة اللقاء (Google Meet)، وعند رفع الشهادات الصادرة من الجهة المعتمِدة للدورة.

سادساً: أغراض معالجة البيانات الشخصية والمسوغات النظامية

تتم معالجة البيانات الشخصية استناداً إلى المسوغات النظامية المقررة في نظام حماية البيانات الشخصية، بما في ذلك الموافقة الصريحة، أو تنفيذ الالتزام التعاقدي، أو الامتثال للمتطلبات النظامية، وذلك للأغراض الآتية:

1. توفير وتشغيل وتحسين خدمات «إباء أكاديمي» وإدارتها.

2. إنشاء الحسابات الشخصية للمتدربين وإدارة الملفات الأكاديمية.

3. تسجيل المتدربين في الدورات التدريبية وتقديم محتوى المنصة والخدمات التعليمية.

4. إتمام عمليات الدفع ومطابقة الرسوم الخاصة بالدورات.

5. إرسال الرسائل المتعلقة بالتسجيل والدورات، كتأكيد التسجيل ورسالة القبول والتذكير وروابط الاختبارات والشهادات.

6. إصدار الشهادات الأكاديمية والمهنية وشهادات إتمام التدريب للمجتازين.

7. إدارة السجلات الأكاديمية والتدريبية، ودراسة طلبات التقدم للتدريب.

8. الرد على الاستفسارات والشكاوى وتقديم الدعم الفني للمتدربين.

9. التحقق من رقم الجوال، وحماية الموقع والحسابات، ومنع الاحتيال وإساءة استخدام حجز المقاعد والخصومات وبرنامج «ادعُ زملاءك».

10. ضمان الامتثال للمتطلبات النظامية والتنظيمية، بما في ذلك المتطلبات التعليمية والضريبية، وإدارة المخاطر.

11. معالجة البيانات بناءً على موافقة صاحب البيانات عند كون الموافقة هي المسوغ النظامي للمعالجة، مع أحقيته في سحبها لاحقاً.

سابعاً: معالجة البيانات الشخصية ودورة حياتها

تتم معالجة البيانات الشخصية خلال دورة حياتها، بدءاً من جمعها وتخزينها واستخدامها ومشاركتها وحتى إتلافها، وفق إجراءات تقنية وتنظيمية وإدارية مشددة تضمن المحافظة على سرية البيانات وأمنها، وعدم استخدامها في غير الأغراض المخصصة لها أو الإضرار بصاحب البيانات.

ثامناً: مشاركة البيانات الشخصية والإفصاح عنها

لا تقوم شركة إباء ببيع أو تأجير البيانات الشخصية لأي طرف ثالث لأغراض التسويق المباشر، وقد تتم مشاركة البيانات الشخصية أو الإفصاح عنها، في النطاق الضيق اللازم للتشغيل وبالقدر اللازم، مع الجهات الآتية:

1. بوابة الدفع الإلكتروني المرخصة (ميسر): لإتمام عمليات الدفع والاسترجاع وتحصيل رسوم الدورات بأمان، ويتم الدفع عبر Apple Pay من خلال Apple وميسر.

2. مزود خدمة التحقق (أوثنتيكا): لإرسال رمز توثيق رقم الجوال برسالة نصية أو عبر واتساب، ولا يتلقى إلا رقم الجوال والرمز.

3. مزودو خدمات البنية التحتية والحوسبة السحابية: لاستضافة المنصة وتشغيلها في مدينة الرياض عبر الشركة السعودية للحوسبة السحابية (SCCC) على منصة Alibaba Cloud، ولإرسال رسائل البريد الإلكتروني عبر خدمة Google Workspace.

4. الجهة المعتمِدة للدورة: اسم الحاضر باللغتين العربية والإنجليزية، لإصدار شهادات إتمام التدريب.

5. الجهات القضائية أو التنظيمية: متى أوجب النظام الإفصاح عنها أو بناءً على طلب رسمي وفقاً للأنظمة المعمول بها.

وتُعقد اللقاءات المباشرة عبر Google Meet، وتُنشر تفاصيلها في قناة الدورة على التليجرام، ويُتاح التواصل عبر واتساب؛ ويكون الانضمام إلى هذه الخدمات واستخدامها باختيار المتدرب، وتخضع لسياسات الخصوصية الخاصة بمزوديها.

تاسعاً: تخزين البيانات والنطاق الجغرافي ومدة الاحتفاظ

موقع التخزين والإقامة الجغرافية: تُخزَّن قواعد بيانات المنصة وملفاتها ونسخها الاحتياطية داخل الحدود الجغرافية للمملكة العربية السعودية، في مدينة الرياض، بما يتوافق مع متطلبات السيادة الرقمية للبيانات ونظام حماية البيانات الشخصية. وتُرسل رسائل البريد الإلكتروني عبر خدمة Google Workspace، وقد تُعالَج خارج المملكة لغرض إيصالها فقط.

مدة الاحتفاظ: تحتفظ الشركة ببيانات المتدربين طوال فترة العلاقة الأكاديمية، ولمدة لا تقل عن خمس (5) سنوات بعد إتمام الدورات، أو للمدة اللازمة لإثبات السجلات الأكاديمية والتدريبية والوفاء بالمتطلبات المالية والإدارية والضريبية، أو وفقاً لأي متطلبات نظامية تقتضي مدة أطول. وتُحفظ النسخ الاحتياطية مدة سبعة (7) أيام، وسجلات الخوادم مدة سنة واحدة لأغراض الأمان والحماية، ثم تُحذف.

حذف الحساب: يمكن للمتدرب طلب حذف حسابه من صفحة «ملفي»، فيبقى الحساب ثلاثين (30) يوماً يمكنه خلالها التراجع عن الطلب بتسجيل الدخول، ثم يُحذف الحساب وبياناته، عدا ما يلزم الاحتفاظ به من السجلات المالية والتدريبية وفق مدة الاحتفاظ المذكورة، ويزول ما حُذف من النسخ الاحتياطية بانقضاء مدة حفظها.

الإتلاف: عند انتهاء الغرض من المعالجة وانقضاء مدد الاحتفاظ المقررة، تُتلف البيانات أو تُخفى هويتها بطريقة آمنة تمنع استعادتها أو الاطلاع عليها، ما لم توجب المتطلبات النظامية الاحتفاظ بها لمدة أطول.

عاشراً: التدابير الأمنية وحماية البيانات

تطبق شركة إباء إجراءات أمنية تقنية وتنظيمية وإدارية مناسبة ومشددة لحماية البيانات الشخصية وبيانات مستخدمي المنصة من التسرب أو الوصول غير المشروع أو الاستخدام أو التعديل أو الإفصاح غير المصرح به، وذلك بما يحافظ على سرية البيانات وأمنها. ومن ذلك: تشفير الاتصال بالموقع، وتشفير البيانات المخزنة، وحصر الاطلاع على البيانات في فريق الأكاديمية بحسب صلاحيات كل دور، مع سجل لعمليات الفريق.

الحادي عشر: ملفات تعريف الارتباط (Cookies)

تستخدم منصة «إباء أكاديمي» ملفات تعريف الارتباط الضرورية لتشغيل الموقع وأمانه فقط: لإبقاء المستخدم مسجلاً في حسابه، ولحفظ رمز دعوة الزميل مدة ثلاثين (30) يوماً حتى التسجيل، ولحفظ مسودة طلب التقدم للتدريب مدة يوم واحد. ولا تستخدم المنصة ملفات تعريف ارتباط للتحليل أو الإعلان، ولا أدوات تتبع من أطراف خارجية.

الثاني عشر: حقوق أصحاب البيانات الشخصية

بموجب نظام حماية البيانات الشخصية، يتمتع صاحب البيانات بالحقوق الآتية، ويمكنه ممارستها من خلال التواصل معنا، على أن تتم معالجة الطلب والرد عليه خلال المدة النظامية المقررة:

1. الحق في العلم والمعرفة: الإحاطة بكيفية جمع بياناته الشخصية ومعالجتها، والمسوغ النظامي لذلك.

2. الحق في الوصول: الاطلاع على بياناته الشخصية المتوافرة لدى الشركة.

3. الحق في طلب الحصول على نسخة: طلب نسخة من بياناته الشخصية بصيغة مقروءة وواضحة.

4. الحق في التصحيح: طلب تحديث أو تصحيح أي بيانات غير دقيقة أو غير مكتملة أو غير محدثة.

5. الحق في الإتلاف: طلب إتلاف بياناته الشخصية التي انتهت الحاجة إليها، بما لا يتعارض مع المتطلبات النظامية أو المسوغات النظامية للمعالجة.

6. الحق في العدول عن الموافقة: سحب موافقته على معالجة بياناته الشخصية في الحالات التي تكون فيها الموافقة هي المسوغ النظامي للمعالجة، دون أن يؤثر ذلك على مشروعية المعالجة التي تمت قبل سحب الموافقة.

7. الحق في تقديم شكوى: تقديم شكوى إلى الجهة المختصة في حال عدم الاستجابة لطلباته وفقاً للأنظمة.

ويمكن للمتدرب تحديث بياناته وطلب حذف حسابه من صفحة «ملفي» في حسابه، ولممارسة بقية الحقوق التواصل معنا عبر البريد الإلكتروني: info@iba.sa.

الثالث عشر: آلية تقديم الشكاوى والاعتراضات

في حال وجود أي مخاوف أو الرغبة في تقديم شكوى بشأن معالجة البيانات الشخصية، يمكن التواصل مع الإدارة القانونية بالشركة.

وفي حال عدم الرضا عن معالجة الشكوى، أو عدم الرد عليها خلال المدة النظامية، يحق لصاحب البيانات رفع شكوى رسمية إلى الهيئة السعودية للبيانات والذكاء الاصطناعي (سدايا)، بصفتها الجهة المختصة.

الرابع عشر: تحديث الإشعار وإتاحته

تتيح شركة إباء هذا الإشعار بصورة واضحة وبارزة على موقع منصة «إباء أكاديمي»، وتكون النسخة الأحدث منه متاحة للمستخدمين على الموقع.

ويجوز للشركة تحديث هذا الإشعار من وقت لآخر، ويُعد تاريخ آخر تحديث الموضح في بداية الإشعار هو المرجع للنسخة السارية منه.

الخامس عشر: الموافقة وطرق التواصل

يُتاح هذا الإشعار للمستخدم قبل إنشاء الحساب أو التسجيل في الدورات، ويُطلب منه الإقرار بالاطلاع عليه والموافقة عليه من خلال النقر على صندوق الإقرار المخصص لذلك.

وبإتمام الإقرار، يقر المستخدم بأنه اطّلع على هذا الإشعار وفهم كيفية جمع بياناته الشخصية ومعالجتها والأغراض التي تتم من أجلها المعالجة، وذلك في حدود ما يتطلبه النظام والمسوغ النظامي المعتمد لكل عملية معالجة.

وللاستفسارات أو طلبات ممارسة الحقوق أو الشكاوى المتعلقة بحماية البيانات الشخصية، يمكن التواصل مع الإدارة القانونية بالشركة عبر البريد الإلكتروني: info@iba.sa