تقييم أثر نقل البيانات للولايات المتحدة الأمريكية
في ضوء حكم "شريمس الثاني" الصادر عن محكمة العدل للاتحاد الأوروبي وتوصيات المجلس الأوروبي لحماية البيانات، تقوم إديانوت بإجراء تقييمات للأثر على نقل البيانات التي تشكل جزءًا من خدمة إديانوت.
يحدد هذا التقييم لأثر نقل البيانات ("DTIA") ويصف المخاطر بالإضافة إلى التدابير الوقائية التي وضعتها إديانوت فيما يتعلق بنقل بيانات العملاء الشخصية من المنطقة الاقتصادية الأوروبية والمملكة المتحدة أو سويسرا ("أوروبا") إلى الولايات المتحدة وقدرة إديانوت على الالتزام بالتزاماتها بصفتها "مصدّر البيانات".
في قراره بشأن شريمس الثاني، أوضحت محكمة العدل للاتحاد الأوروبي أن استخدام البنود التعاقدية القياسية ("SCC") يتطلب من مسؤولي البيانات إجراء تقييم حالة بحالة لمستوى حماية البيانات التي يمكن أن توفرها البنود التعاقدية، مع الأخذ في الاعتبار طبيعة نقل البيانات الشخصية وبلد الوجهة.
يرجى مراجعة ملحق حماية بيانات إديانوت ("DPA") لوصف طبيعة معالجة البيانات. وضعت إديانوت تدابير إضافية لحماية البيانات الشخصية عند نقلها إلى أطراف ثالثة في الولايات المتحدة. للاطلاع على الأماكن التي ننقل إليها البيانات إلى بائعينا خارج موقع الخادم، يرجى مراجعة قائمة المعالجات الفرعية الخاصة بنا.
تقييم بلد الوجهة
تم تحديد القوانين الأمريكية ذات الصلة بنقل البيانات بين الاتحاد الأوروبي والولايات المتحدة من قبل محكمة العدل للاتحاد الأوروبي في حكم شريمس الثاني كعوائق محتملة لضمان حماية متماثلة للبيانات الشخصية في الولايات المتحدة: تم التعرف عليها من قبل محكمة العدل للاتحاد الأوروبي في حكم شريمس الثاني كعوائق محتملة لضمان حماية متماثلة للبيانات الشخصية في الولايات المتحدة:
- قانون FISA 702
- المرسوم التنفيذي 12333
- قانون السحابة (Cloud Act)
نظرًا لأن الولايات المتحدة لا توفر للبيانات الشخصية مستوى حماية يعادل أساسًا ما يوفره النظام الأوروبي العام لحماية البيانات (GDPR)، هناك حاجة إلى تدابير تقنية وتنظيمية أو تعاقدية إضافية.
الغرض من النقل وأي معالجة لاحقة:
تستخدم إديانوت عدة معالجات فرعية يخزنون البيانات في الولايات المتحدة وقد يصل موظفوهم إلى البيانات الشخصية في الولايات المتحدة. يرجى مراجعة قائمة المعالجات الفرعية الخاصة بنا للحصول على معلومات محددة وتدفقات البيانات.
التكرار
تنقل إديانوت البيانات بشكل مستمر، طالما يتم استخدام الخدمة.
فئات البيانات الشخصية
- عناوين البريد الإلكتروني للمستخدم النهائي
- أسماء المستخدم النهائي
- عنوان ال IP للمستخدم النهائي
- تفاصيل بطاقة الائتمان الخاصة بالعميل
- IP جهة اتصال العميل
- عنوان العميل
- تفاصيل بطاقة الائتمان الخاصة بالعميل
- اسم جهة اتصال العميل
- البريد الإلكتروني لجهة اتصال العميل
يرجى مراجعة قائمة المعالجات الفرعية لدينا لمعلومات محددة حول المعالج لفئات البيانات الشخصية المرسلة أو المعالجة في الولايات المتحدة.
البيانات الحساسة
نحن لا ننقل عن قصد أي بيانات حساسة إلى الولايات المتحدة. عندما يستخدم العملاء الدفع ببطاقة الائتمان، يتعاملون مع معالج الدفع الخاص بنا (Stripe Inc.) الذي يتعامل مع تفاصيل بطاقة الائتمان الحساسة في الولايات المتحدة، لكننا لسنا مشاركين في ذلك النقل.
طلبات إنفاذ القانون
لكل معالج فرعي من إديانوت سياسة طلبات إنفاذ القانون وسيخطر إديانوت، حيث يسمح القانون بذلك، قبل الكشف عن المعلومات ردًا على الطلب.
طول سلسلة المعالجة
يتم نقل البيانات خارجيًا إلى معالجاتنا الفرعية.
آلية النقل المعمول بها
عندما يتم نقل بيانات العملاء الشخصية التي تنشأ من أوروبا بواسطة إديانوت إلى معالجات فرعية تابعة لأطراف ثالثة في الولايات المتحدة، تكون إديانوت قد أبرمت ملاحق حماية البيانات مع البنود التعاقدية القياسية مع تلك الأطراف.
إجراءات البائع التكملية
وافق كل معالج فرعي من إديانوت على تدابير تعاقدية تكون على الأقل نفس مستوى القيود التي وافقت عليها إديانوت مع العملاء. يرجى مراجعة قائمة المعالجات الفرعية الخاصة بنا للمعلومات المحددة حول الشهادات والامتثال والتدابير الأمنية التقنية والتنظيمية لكل معالج فرعي على حدة.
تدابير إضافية
القيود أو التدابير الوقائية المطبقة التي تأخذ في الاعتبار تمامًا طبيعة البيانات والمخاطر المتضمنة:
- لكل معالج فرعي من إديانوت يعالج البيانات الشخصية في الولايات المتحدة سياسة طلبات إنفاذ القانون وسيخطر إديانوت، حيث يسمح القانون بذلك، قبل الكشف عن المعلومات ردًا على الطلب.
- كل معالج فرعي من إديانوت يعالج البيانات الشخصية في الولايات المتحدة حاصل على شهادة تتوافق مع معايير مساوية أو أعلى من تلك الخاصة بإديانوت، مثل SOC2 النوع 2.
- لكل معالج فرعي من إديانوت يعالج البيانات الشخصية في الولايات المتحدة فترة احتفاظ محدودة لهذه البيانات.
- تُفصل فئات البيانات الشخصية ولا تتوفر جميعها لنفس المعالج الفرعي. يقوم بعضهم بمعالجة عناوين البريد الإلكتروني للمستخدم النهائي ولكن ليس عناوين IP. يقوم آخر بمعالجة عناوين IP. يقوم ثالث بمعالجة تفاصيل بطاقة الائتمان الخاصة بالعميل.
- عندما يكون ذلك ممكنًا، تُشفّر البيانات وتُجهل الهوية وتُقلل فترات الاحتفاظ إلى الحد الأدنى.
- تقدم إديانوت تدريبًا حول حماية البيانات لجميع موظفيها.
يرجى مراجعة قائمة المعالجات الفرعية لدينا للحصول على معلومات محددة حول تدابير البائع والتدابير الإضافية للبيانات المرسلة إلى الولايات المتحدة.
بينما يمكن استخدام قوانين مثل "FISA 702" للحصول على معلومات من مواطنين غير أمريكيين، فإن البيانات الشخصية المرسلة إلى الولايات المتحدة هي بيانات محدودة وليست مرتبطة بنقاط بيانات إضافية. قد يتم تحديد اسم متصل بعنوان بريد إلكتروني ولكنه لا يُربط بعنوان IP أو بأي معلومات سلوكية أو محتوى.
تعتبر إديانوت (بصفتها "مصدّر البيانات") أن المخاطر المتعلقة بحقوق الأفراد في نقل ومعالجة مجموعة محدودة من فئات البيانات الشخصية الأوروبية إلى الولايات المتحدة منخفضة.
مع طبيعة نقل البيانات الشخصية الموضحة في هذا المستند والتدابير الإضافية التي اتخذتها إديانوت والبائعون من الأطراف الثالثة، لا ترى إديانوت حاجة لاتخاذ تدابير تكميلية إضافية في الوقت الحالي.
إعادة التقييم
ستقوم إديانوت بمراجعة المخاطر المرتبطة بمعالجاتها الفرعية والتدابير التي تم تنفيذها من قبلها ومن قبل الأطراف الثالثة على فترات منتظمة، على الأقل سنويًا، وإعادة النظر فيها إذا لزم الأمر.