ملحق حماية المعطيات ذات الطابع الشخصي

المؤسسة هي المسؤولة عن معالجة المعطيات ذات الطابع الشخصي التي تسجلها أو تُنتَج بطلب منها على المنصة. وتتصرف MSB بصفتها معالجًا من الباطن لحسابها.

وتُعدّ MSB مسؤولة، لحسابها الخاص، عن المعالجات المتعلقة بالعلاقة التجارية والفوترة وأمن الحسابات، المبينة في سياسة الخصوصية، ولا يسري هذا الملحق على تلك المعالجات.

قد تكشف معلومات التكفل عن معطيات تتعلق بصحة التلميذ. وتقرر المؤسسة تسجيلها، وتقصرها على ما هو ضروري لسلامة الطفل أثناء النقل، وتحصر الاطلاع عليها في الأدوار التي تحتاج إليها.

لا تعالج MSB المعطيات إلا بناءً على تعليمات موثقة من المؤسسة. ويشكّل العقد وإعدادات الفضاء والعمليات التي ينجزها المستخدمون المأذون لهم هذه التعليمات. ويجوز للمؤسسة أن تصدر تعليمات أخرى كتابةً، في حدود وظائف المنصة.

تُخبر MSB المؤسسة إذا بدا لها أن تعليمةً ما مخالفة للتشريع الجاري به العمل. ولا تستعمل المعطيات لغاياتها الخاصة، باستثناء الإحصائيات المنصوص عليها في المادة 18 من الشروط العامة، المعدّة انطلاقًا من معطيات مفصولة عن أي هوية، والتي تتصرف MSB بشأنها بصفتها مسؤولة عن المعالجة.

تحرص MSB على أن يكون الأشخاص المأذون لهم بمعالجة المعطيات ملزمين بواجب السرية، وألا يطلعوا عليها إلا في الحدود اللازمة لمهامهم.

يخضع ولوج أحد أعضاء فريق الدعم لدى MSB إلى فضاء المؤسسة لإذن شخصي محدود في ستين (60) دقيقة، ويُسجَّل كل ولوج.

تتخذ MSB التدابير التالية وتحافظ عليها:

• استضافة المعطيات في مراكز بيانات Amazon Web Services الموجودة بفرنسا؛
• تشفير المبادلات بين التطبيقات ولوحة التحكم والخوادم؛
• عزل معطيات كل مؤسسة بقواعد ولوج تطبقها قاعدة البيانات نفسها؛
• مراقبة الولوج بواسطة أدوار وصلاحيات تحددها المؤسسة؛
• كلمات مرور لا تقل عن 12 حرفًا وتجمع بين الأحرف الكبيرة والصغيرة والأرقام والرموز؛ والتحقق بخطوتين، الإلزامي لموظفي MSB والمتاح لمستخدمي المؤسسة؛
• تخزين الصور والرسائل الصوتية في فضاءات خاصة لا يمكن الولوج إليها إلا عبر روابط مؤقتة؛
• تحديد عدد الطلبات ومحاولات الاتصال؛
• تسجيل العمليات الحساسة في سجل للتدقيق؛
• نسخ احتياطية آلية تُحفظ ثلاثين (30) يومًا؛
• حفظ الأسرار التقنية في خزنة مخصصة.

يجوز لـMSB تطوير هذه التدابير، شريطة ألا يتراجع المستوى العام للأمن.

تأذن المؤسسة لـMSB بالاستعانة بالمعالجين من الباطن اللاحقين التالين:

تُعرض الخرائط بواسطة Google Maps Platform، إذ يحصل جهاز المستخدم على الخرائط مباشرة من Google، التي تتلقى بهذه المناسبة المعطيات التقنية الضرورية، وكذا نص العنوان عند البحث عنه في لوحة التحكم، دون أي معطيات أخرى تخص التلميذ. وتعالج Google هذه المعطيات وفق شروطها الخاصة.

تُخبر MSB المؤسسة بكل إضافة أو تعويض لمعالج من الباطن لاحق قبل ثلاثين (30) يومًا على الأقل، عبر البريد الإلكتروني أو في لوحة التحكم. ويجوز للمؤسسة الاعتراض على ذلك لسبب مشروع يتعلق بحماية المعطيات. وإذا تعذر إيجاد حل، جاز لها إنهاء الخدمات المعنية، وتُرجع لها MSB حينئذ الجزء المؤدى مسبقًا عن الفترة المتبقية.

تفرض MSB على المعالجين من الباطن اللاحقين التزامات لحماية المعطيات مماثلة لالتزامات هذا الملحق، وتظل مسؤولة تجاه المؤسسة عن تنفيذها.

تُستضاف المعطيات في فرنسا. وقد تقتضي خدمات المراسلة والإشعارات معالجةً في بلدان أخرى، تقتصر على المعطيات اللازمة لإيصال الرسائل.

تقوم MSB لدى اللجنة الوطنية لمراقبة حماية المعطيات ذات الطابع الشخصي بالإجراءات الواقعة على عاتقها بالنسبة لمعالجاتها الخاصة (قيد الإنجاز). وتقوم المؤسسة بالإجراءات الواقعة على عاتقها بصفتها مسؤولة عن المعالجة، بما في ذلك ما يتعلق بنقل المعطيات إلى المستضيف، وتزودها MSB لهذا الغرض بوصف المعالجات وتدابير الأمن ومكان المعطيات.

تمكّن المنصة المؤسسة من الاطلاع على المعطيات التي سجلتها وتصحيحها وتصديرها وحذفها — ويُؤرشَف الشخص المحذوف ثم تُمحى هويته وفق الشروط المنصوص عليها في البند 9 من سياسة الخصوصية —، ومن محو مراسلات أسرة ما مع المؤسسة بطلب منها. ويمكن لأولياء الأمور الحصول بأنفسهم على نسخة من مراسلاتهم انطلاقًا من تطبيقهم.

تحيل MSB إلى المؤسسة، داخل أجل يومين (2) من أيام العمل، كل طلب يصلها مباشرة من شخص معني، دون أن ترد عليه بنفسها ما لم تتلق تعليمات من المؤسسة بذلك. وتساعد المؤسسة، قدر الإمكان، على الرد على الطلبات التي لا يمكن معالجتها عبر المنصة، داخل آجال تتلاءم مع تلك التي يفرضها القانون رقم 09.08 على المؤسسة، ولا سيما أجل عشرة أيام كاملة المطبق على عمليات التصحيح.

تزود MSB المؤسسة بالمعلومات المفيدة لتحليل المخاطر المرتبطة بالمعالجات ولتواصلها مع اللجنة الوطنية لمراقبة حماية المعطيات ذات الطابع الشخصي.

تُبلغ MSB المؤسسة بكل انتهاك للأمن يؤدي، بصفة عرضية أو غير مشروعة، إلى إتلاف المعطيات المعالَجة لحسابها أو ضياعها أو تغييرها أو إفشائها أو الولوج إليها دون إذن، في أقرب الآجال، وإن أمكن داخل اثنتين وسبعين (72) ساعة من علمها به.

ويتضمن التبليغ، في حدود ما هو معلوم، طبيعة الانتهاك، وفئات الأشخاص والمعطيات المعنية وعددها التقريبي، وعواقبه المحتملة، والتدابير المتخذة أو المزمع اتخاذها. وتستكمل MSB هذه المعلومات كلما توفرت لديها، وتتخذ دون تأخير التدابير اللازمة للحد من آثاره.

عند انتهاء العقد، يجوز للمؤسسة أن تطلب تصدير معطياتها داخل أجل ثلاثين (30) يومًا. وتحتفظ MSB بالمعطيات لمدة خمس (5) سنوات بعد انتهاء العقد، ثم تحذف من أنظمة الإنتاج المعطيات التي تتيح التعرف على الأشخاص والرسائل والملفات، وتفصل عن أي هوية الحضور والرحلات والمواقع، التي تحتفظ بها وفق الشروط المنصوص عليها في المادة 18 من الشروط العامة. وتختفي المعطيات المحذوفة من النسخ الاحتياطية عند انقضاء مدة حفظها البالغة ثلاثين (30) يومًا.

تشهد MSB كتابةً بالحذف بطلب من المؤسسة. ولا يشمل ذلك المعطيات التي يلزم القانونُ MSB بالاحتفاظ بها، ولا سيما الوثائق المحاسبية المتعلقة بالعقد.

تضع MSB رهن إشارة المؤسسة المعلومات اللازمة لإثبات احترام هذا الملحق.

يجوز للمؤسسة إجراء تدقيق مرة واحدة في السنة بواسطة مدقق مستقل ملزم بالسر المهني، بعد إشعار كتابي مسبق بثلاثين (30) يومًا. ويُجرى التدقيق على نفقتها، دون الإخلال بسير المنصة، ودون الولوج إلى معطيات المؤسسات الأخرى أو إلى المعلومات التي من شأن الإفصاح عنها المساس بأمن المنصة.

تضمن المؤسسة أن المعطيات التي تعهد بها إلى MSB تُعالَج بصفة مشروعة، ولهذه الغاية:

• تتوفر على أساس قانوني لكل معالجة وتحصل على الموافقات اللازمة؛
• تُخبر الأشخاص المعنيين، ولا سيما بتحديد الموقع الجغرافي للمركبات ولهواتف الطاقم أثناء الرحلات؛
• لا تسجل إلا المعطيات الضرورية، ولا سيما بالنسبة لمعلومات التكفل؛
• تسند أدوار مستخدميها في حدود حاجاتهم، وتسحب دون تأخير صلاحيات الولوج التي لم تعد ضرورية؛
• تقوم بالإجراءات الواقعة على عاتقها لدى اللجنة الوطنية لمراقبة حماية المعطيات ذات الطابع الشخصي، ولا سيما طلبات الإذن المتعلقة بتحديد الموقع الجغرافي وبمعلومات التكفل، التي تغطي مدد الحفظ المنصوص عليها في المادة 2.

تخضع مسؤولية كل طرف برسم هذا الملحق للمادة 21 من الشروط العامة.

يسري هذا الملحق طوال مدة العقد وإلى حين حذف المعطيات وفق شروط المادة 10.