تقييم أثر نقل البيانات للولايات المتحدة الأمريكية
في ضوء حكم «Schrems II» الصادر عن Court of Justice for the European Union وتوصيات European Data Protection Board، تجري Ideanote تقييمات للأثر فيما يتعلق بعمليات نقل البيانات التي تُعد جزءًا من Ideanote Service.
يحدّد Data Transfer Impact Assessment («DTIA») هذا المخاطر ويصفها، إلى جانب الضمانات التي وضعتها Ideanote فيما يتعلق بنقل البيانات الشخصية للعملاء من European Economic Area أو United Kingdom أو Switzerland («Europe») إلى United States، وقدرة Ideanote على الوفاء بالتزاماتها بصفتها «مصدّر البيانات».
أوضحت Court of Justice of the EU في قرارها بشأن Schrems II أن استخدام البنود التعاقدية القياسية («SCC») يقتضي من مراقبي البيانات إجراء تقييم لكل حالة على حدة لمستوى حماية البيانات الذي يمكن أن توفره بنود SCC، مع مراعاة طبيعة عمليات نقل البيانات الشخصية وبلد الوجهة.
يُرجى الاطلاع على Ideanote Data Protection Addendum («DPA») للاطلاع على وصف لطبيعة معالجة البيانات. وقد وضعت Ideanote تدابير تكميلية لحماية البيانات الشخصية عند نقلها إلى أطراف ثالثة في United States. للاطلاع على الأماكن التي ننقل إليها البيانات إلى مورّدينا خارج موقع الخادم، راجعوا قائمة المعالِجين الفرعيين.
تقييم بلد الوجهة
تم تحديد القوانين الأمريكية ذات الصلة بنقل البيانات بين الاتحاد الأوروبي والولايات المتحدة من قبل محكمة العدل للاتحاد الأوروبي في حكم شريمس الثاني كعوائق محتملة لضمان حماية متماثلة للبيانات الشخصية في الولايات المتحدة: تم التعرف عليها من قبل محكمة العدل للاتحاد الأوروبي في حكم شريمس الثاني كعوائق محتملة لضمان حماية متماثلة للبيانات الشخصية في الولايات المتحدة:
- قانون FISA 702
- المرسوم التنفيذي 12333
- قانون السحابة (Cloud Act)
نظرًا لأن الولايات المتحدة لا توفر للبيانات الشخصية مستوى حماية يعادل أساسًا ما يوفره النظام الأوروبي العام لحماية البيانات (GDPR)، هناك حاجة إلى تدابير تقنية وتنظيمية أو تعاقدية إضافية.
الغرض من النقل وأي معالجة لاحقة:
تستخدم Ideanote عددًا من المعالِجين الفرعيين الذين يخزّنون البيانات في United States، وقد يتمكن موظفوهم من الوصول إلى البيانات الشخصية في United States. يُرجى الاطلاع على قائمة المعالِجين الفرعيين للاطلاع على المعلومات المحددة وتدفقات البيانات.
التكرار
تنقل Ideanote البيانات بصورة مستمرة أثناء استخدام الخدمة.
فئات البيانات الشخصية
- عناوين البريد الإلكتروني للمستخدم النهائي
- أسماء المستخدم النهائي
- عنوان ال IP للمستخدم النهائي
- تفاصيل بطاقة الائتمان الخاصة بالعميل
- IP جهة اتصال العميل
- عنوان العميل
- تفاصيل بطاقة الائتمان الخاصة بالعميل
- اسم جهة اتصال العميل
- البريد الإلكتروني لجهة اتصال العميل
يرجى مراجعة قائمة المعالجات الفرعية لدينا لمعلومات محددة حول المعالج لفئات البيانات الشخصية المرسلة أو المعالجة في الولايات المتحدة.
البيانات الحساسة
نحن لا ننقل عن قصد أي بيانات حساسة إلى الولايات المتحدة. عندما يستخدم العملاء الدفع ببطاقة الائتمان، يتعاملون مع معالج الدفع الخاص بنا (Stripe Inc.) الذي يتعامل مع تفاصيل بطاقة الائتمان الحساسة في الولايات المتحدة، لكننا لسنا مشاركين في ذلك النقل.
طلبات إنفاذ القانون
لدى كل جهة فرعية معالجة تتعامل معها Ideanote سياسة للتعامل مع طلبات جهات إنفاذ القانون، وستُخطر Ideanote قبل الإفصاح عن المعلومات استجابةً لطلب، متى كان القانون يسمح بذلك.
طول سلسلة المعالجة
يتم نقل البيانات خارجيًا إلى معالجاتنا الفرعية.
آلية النقل المعمول بها
عندما تنقل Ideanote بيانات شخصية للعملاء مصدرها Europe إلى معالِجين فرعيين من أطراف ثالثة في United States، تكون Ideanote قد أبرمت اتفاقيات DPA تتضمن بنود SCC مع تلك الأطراف.
إجراءات البائع التكملية
وافقت كل جهة فرعية معالجة تتعامل معها Ideanote على تدابير تعاقدية لا تقل تقييدًا عن التدابير التي وافقت عليها Ideanote مع العملاء. يُرجى الرجوع إلى قائمة الجهات الفرعية المعالجة للاطلاع على معلومات محددة بشأن شهادات الجهات المعنية وامتثالها، وتدابير الأمن التقنية والتنظيمية التي تطبقها كل جهة فرعية معالجة.
تدابير إضافية
القيود أو التدابير الوقائية المطبقة التي تأخذ في الاعتبار تمامًا طبيعة البيانات والمخاطر المتضمنة:
- لدى كل معالِج فرعي تابع لـ Ideanote يعالج بيانات شخصية في United States سياسة للتعامل مع طلبات إنفاذ القانون، وسيُخطر Ideanote، حيثما يسمح القانون بذلك، قبل الإفصاح عن المعلومات استجابةً لطلب.
- كل معالِج فرعي تابع لـ Ideanote يعالج بيانات شخصية في United States معتمد للامتثال لمعايير مساوية لمعايير Ideanote أو أعلى منها، مثل SOC2 Type 2.
- لدى كل معالِج فرعي تابع لـ Ideanote يعالج بيانات شخصية في United States فترة احتفاظ محدودة بهذه البيانات.
- تُفصل فئات البيانات الشخصية ولا تتوفر جميعها لنفس المعالج الفرعي. يقوم بعضهم بمعالجة عناوين البريد الإلكتروني للمستخدم النهائي ولكن ليس عناوين IP. يقوم آخر بمعالجة عناوين IP. يقوم ثالث بمعالجة تفاصيل بطاقة الائتمان الخاصة بالعميل.
- عندما يكون ذلك ممكنًا، تُشفّر البيانات وتُجهل الهوية وتُقلل فترات الاحتفاظ إلى الحد الأدنى.
- تقدّم Ideanote تدريبًا على حماية البيانات لجميع موظفيها.
يرجى مراجعة قائمة المعالجات الفرعية لدينا للحصول على معلومات محددة حول تدابير البائع والتدابير الإضافية للبيانات المرسلة إلى الولايات المتحدة.
بينما يمكن استخدام قوانين مثل "FISA 702" للحصول على معلومات من مواطنين غير أمريكيين، فإن البيانات الشخصية المرسلة إلى الولايات المتحدة هي بيانات محدودة وليست مرتبطة بنقاط بيانات إضافية. قد يتم تحديد اسم متصل بعنوان بريد إلكتروني ولكنه لا يُربط بعنوان IP أو بأي معلومات سلوكية أو محتوى.
ترى Ideanote (بصفتها «مصدّر البيانات») أن المخاطر التي تمس حقوق الأفراد عند نقل المجموعة المحدودة من فئات البيانات الشخصية الأوروبية إلى United States أو معالجتها فيها منخفضة.
نظرًا إلى طبيعة نقل البيانات الشخصية الموضحة في هذه الوثيقة، والتدابير الإضافية التي اتخذتها Ideanote ومورّدو الأطراف الثالثة، لا ترى Ideanote حاجة إلى اتخاذ تدابير تكميلية إضافية في الوقت الحالي.
إعادة التقييم
ستراجع Ideanote المخاطر المرتبطة بجهاتها الفرعية المعالجة، وكذلك التدابير التي تنفذها بنفسها والأطراف الثالثة، وستعيد النظر فيها عند الضرورة وعلى فترات منتظمة، مرة واحدة سنويًا على الأقل.