سياسة الخصوصية

Privacy Policy

منصّة رَتّاب لإدارة رأس المال البشري وفقًا لنظام حماية البيانات الشخصية في المملكة العربية السعودية ولائحته التنفيذية

---

البند (١): مقدّمة ونطاق السياسة

١-١ الغرض

تبيّن هذه السياسة كيف تجمع [اسم الشركة المزوّدة] («المزوّد» أو «نحن») البيانات الشخصية وتعالجها وتحميها، وذلك امتثالًا لنظام حماية البيانات الشخصية الصادر بالمرسوم الملكي رقم (م/١٩) وتعديلاته بالمرسوم الملكي رقم (م/١٤٨) ولائحته التنفيذية («النظام»)، وللأنظمة السعودية الأخرى ذات العلاقة.

١-٢ نطاق السريان

تسري هذه السياسة على:

أ. زوّار موقعنا الإلكتروني rattab.com ومستخدمي قنواتنا التسويقية؛ ب. ممثّلي عملائنا ومنسوبيهم الذين نتعامل معهم لأغراض التعاقد والفوترة والدعم؛ ج. مستخدمي المنصّة، فيما يخصّ بيانات الحساب والدخول وسجلّات النشاط الأمنيّة؛ د. المرشّحين للتوظيف لدينا وموظفينا ومورّدينا، فيما يتّصل بعلاقتهم بنا مباشرةً.

١-٣ ⚠️ ما لا تسري عليه هذه السياسة — تنبيهٌ جوهري

لا تسري هذه السياسة على بيانات موظفي عملائنا التي تُعالَج داخل المنصّة لحساب العميل.

فبالنسبة لتلك البيانات، العميل هو مسؤول البيانات (Data Controller) ونحن معالجٌ (Data Processor) نعمل بأوامره وحدها. وتُنظَّم تلك المعالجة باتفاقية معالجة البيانات (DPA) المبرمة معه لا بهذه السياسة. وعلى الموظف الذي يرغب في معرفة كيف تُعالَج بياناته أو في ممارسة حقوقه عليها أن يرجع إلى صاحب عمله وإلى سياسة الخصوصية الخاصة به.

وسنبيّن هذا التمييز بالتفصيل في البند (٣).

١-٤ اللغة والحجّيّة

حُرِّرت هذه السياسة باللغة العربية وهي المرجع المُلزِم. وأيّ ترجمةٍ للتيسير فقط.

---

البند (٢): التعريفات

---

البند (٣): تحديد الأدوار — مسؤول البيانات والمعالج

هذا البند هو مفتاح فهم مسؤوليّاتنا ومسؤوليّات عملائنا، وقد فصّلناه لأنّ الخلط فيه هو أكثر مواضع اللبس في منصّات الموارد البشرية.

٣-١ متى نكون معالجًا (Processor)

نكون معالجًا — ويكون العميل هو مسؤول البيانات — بالنسبة لكلّ بيانٍ شخصيٍّ يُدخله العميل أو مستخدموه إلى مستأجره داخل المنصّة، وعلى الأخصّ:

• بيانات موظفي العميل وأسرهم والمستفيدين التابعين؛
• بيانات الأجور والبدلات والاستقطاعات والحسابات البنكية؛
• بيانات الحضور والانصراف والإجازات والغياب؛
• بيانات الأداء والتقييم والإجراءات التأديبية؛
• بيانات التوظيف والمرشّحين الذين يُدخلهم العميل؛
• الوثائق والمرفقات التي يرفعها العميل.

في هذا الدور:

• لا نحدّد غرض المعالجة ولا وسائلها الجوهرية؛
• لا نعالج هذه البيانات إلّا وفق تعليمات العميل الموثّقة وبالقدر اللازم لتقديم الخدمة؛
• لا نستخدمها لأغراضنا الخاصّة، ولا نبيعها، ولا نستخدمها لتدريب نماذج ذكاءٍ اصطناعيٍّ عامّة أو مشتركة؛
• تُنظَّم التزاماتنا بموجب اتفاقية معالجة البيانات (DPA) المبرمة مع العميل.

ويكون العميل — بصفته مسؤول البيانات — مسؤولًا حصرًا عن:

• توفّر الأساس النظامي للمعالجة؛
• إشعار موظفيه ونشر سياسة خصوصيّته الخاصّة؛
• الاستجابة لطلبات موظفيه في ممارسة حقوقهم؛
• تحديد مدد الاحتفاظ داخل مستأجره؛
• صحّة البيانات ودقّتها؛
• ضبط صلاحيّات الوصول داخل مستأجره.

٣-٢ متى نكون مسؤول بيانات (Controller)

نكون مسؤول بيانات بالنسبة للفئات التالية، ونعالجها لأغراضنا المشروعة:

٣-٣ ⚠️ حالةٌ فارقة: سجلّات الأمن والتدقيق

قد تتضمّن سجلّات الأمن التقنية معرّفاتٍ تتّصل بمستخدمي العميل (عنوان IP، معرّف المستخدم، طابع الزمن). ونحن نعالج هذه السجلّات في دورٍ مزدوج:

• كمعالج، حين تُتاح للعميل داخل مستأجره كأثرٍ رقابيٍّ على نشاط منسوبيه؛
• كمسؤول بيانات، حين نستخدمها لأغراضنا المشروعة في حماية أمن المنصّة نفسها وكشف الاحتيال ومنع الوصول غير المصرّح به والتحقيق في الحوادث.

وفي الحالة الثانية نقتصر على الحدّ الأدنى من البيانات، ولا نستخدمها لأيّ غرضٍ تجاريٍّ أو تحليليٍّ يخصّ العميل أو منسوبيه.

٣-٤ جدول توزيع المسؤوليّات

---

البند (٤): فئات البيانات الشخصية التي نعالجها

٤-١ بصفتنا مسؤول بيانات (التفصيل في البند ٣-٢)

البيانات المذكورة في الجدول أعلاه، ونقتصر منها على ما يلزم للغرض.

٤-٢ بصفتنا معالجًا لحساب العميل — فئات بيانات الموارد البشرية

نُدرج هذه القائمة شفافيةً وبيانًا لقدرات المنصّة، لا إقرارًا بأنّنا نحدّد جمعها. وتحديدُ ما يُدخَل فعلًا يعود للعميل وحده:

٤-٣ البيانات الحسّاسة — أحكامٌ خاصّة

٤-٣-١ تُعامَل الفئات الموسومة أعلاه بـ🔴 و⚠️ بوصفها بياناتٍ حسّاسةً تخضع لضوابط النظام المشدّدة. ٤-٣-٢ نطبّق عليها تدابير حمايةٍ إضافيّة: تقييد الوصول بمبدأ الحاجة إلى المعرفة، وتشفيرًا على مستوى الحقل حيثما كان مناسبًا، وسجلَّ تدقيقٍ موسَّعًا على كلّ اطّلاع. ٤-٣-٣ ولا يُدخل العميل بياناتٍ حسّاسةً إلى المنصّة إلّا بعد تحقّقه من توفّر الأساس النظامي لذلك، ويقع عبء إثباته عليه. ٤-٣-٤ لا نقوم بأيّ اتخاذ قرارٍ آليٍّ بالكامل يُنتج أثرًا نظاميًّا على صاحب البيانات دون تدخّلٍ بشري. وأيّ مخرجاتٍ حسابيّةٍ للمنصّة (كترشيح مرشّحٍ أو حساب جزاء) تُعرض على مستخدمٍ مصرّحٍ له لاعتمادها.

٤-٤ ما لا نطلبه ولا نرغب في تلقّيه

لا نطلب — ولا ينبغي للعميل إدخال — البيانات التالية: بيانات بطاقات الدفع الائتمانية داخل حقول الموظفين؛ وأيّ بيانٍ مصنَّفٍ حكوميًّا بدرجة «سرّي للغاية»؛ وأيّ بيانٍ شخصيٍّ لا صلة له بالعلاقة الوظيفية. وإن وصلنا شيءٌ من ذلك، أخطرنا العميل لإزالته.

---

البند (٥): مصادر البيانات

نحصل على البيانات الشخصية من المصادر التالية:

---

البند (٦): الأساس النظامي للمعالجة والأغراض

٦-١ الأسس النظامية المعتمَدة

نعتمد في معالجة البيانات — بصفتنا مسؤول بيانات — على الأسس المقرّرة في النظام، وهي:

٦-٢ مصفوفة الغرض بالأساس النظامي

٦-٣ الموافقة وسحبها

٦-٣-١ حيث تكون المعالجة قائمةً على الموافقة، تُؤخَذ الموافقة صريحةً ومحدَّدةً ومستنيرةً، بفعلٍ إيجابيٍّ واضح، ولا تُستنتج من الصمت أو من مربّعٍ محدَّدٍ سلفًا. ٦-٣-٢ لصاحب البيانات سحب موافقته في أيّ وقتٍ ودون إبداء سبب، بنفس يسر منحها، عبر الرابط المضمَّن في رسائلنا أو بمراسلة privacy@rattab.com. ٦-٣-٣ لا يُخلّ سحب الموافقة بمشروعيّة المعالجة التي تمّت قبله. ٦-٣-٤ لا نشترط الموافقة على معالجةٍ غير ضروريّةٍ للخدمة كشرطٍ لتقديمها.

---

البند (٧): الإفصاح والمشاركة

لا نبيع البيانات الشخصية ولا نؤجّرها ولا نتاجر بها بأيّ صورة.

ونُفصح عنها في الحالات التالية حصرًا، وبالقدر اللازم:

٧-١ المعالجون الفرعيون

نستعين بمزوّدين متخصّصين لتقديم أجزاءٍ من الخدمة. وتُنشر قائمتهم المحدَّثة وتُحكم بموجب سياسة حوكمة المعالجين الفرعيين، وتشمل الفئات التالية:

ونُلزم كلّ معالجٍ فرعيٍّ بعقدٍ مكتوبٍ يفرض عليه التزاماتٍ لا تقلّ عن التزاماتنا، ويقصر معالجته على الغرض، ويمنع استخدامه البيانات لأغراضه.

٧-٢ الجهات الحكومية والتنظيمية

نُفصح — أو نمكّن العميل من الإفصاح عبر تكاملات المنصّة — للجهات المختصة عند وجود التزامٍ نظاميّ، ومنها: المؤسسة العامة للتأمينات الاجتماعية، ووزارة الموارد البشرية والتنمية الاجتماعية ومنصّاتها، وهيئة الزكاة والضريبة والجمارك، وأنظمة حماية الأجور، وسدايا، والجهات القضائية والأمنية.

٧-٣ المستشارون المهنيّون

نُفصح لمحامينا ومراجعينا الماليّين ومدقّقينا الأمنيّين، تحت التزامٍ مهنيٍّ بالسرّية، وبالقدر اللازم.

٧-٤ خلافة الأعمال

في حال اندماجٍ أو استحواذٍ أو بيع أصول، يجوز نقل البيانات إلى الخلف، بشرط إخطار العميل مسبقًا والتزام الخلف بنفس مستوى الحماية وبأحكام هذه السياسة.

٧-٥ حماية الحقوق

نُفصح بالقدر اللازم لإثبات حقٍّ أو ممارسته أو الدفاع عنه أمام جهةٍ قضائيّةٍ أو تحكيميّة.

٧-٦ ⚠️ ضوابط الاستجابة لطلبات الجهات

عند تلقّينا طلبًا حكوميًّا أو قضائيًّا يتعلّق ببيانات عميلٍ داخل مستأجره:

أ. نتحقّق من صحّة الطلب وسنده النظامي واختصاص الجهة المُصدِرة؛ ب. نُخطر العميل فورًا لتمكينه من اتخاذ ما يلزم، ما لم يكن الإخطار محظورًا نظامًا؛ ج. نقصر الإفصاح على النطاق المطلوب حرفيًّا ولا نتوسّع فيه؛ د. نوثّق كلّ طلبٍ واستجابةٍ في سجلٍّ داخلي؛ هـ. نعترض على أيّ طلبٍ نراه فضفاضًا أو غير مستوفٍ لشروطه النظامية.

---

البند (٨): موقع الاستضافة والنقل خارج المملكة

٨-١ موقع الاستضافة

تُستضاف بيانات المنصّة الأساسية ونسخها الاحتياطية في مراكز بياناتٍ تقع في الرياض وجدّة، المملكة العربية السعودية لدى Oracle Cloud Infrastructure.

وعليه: تُخزَّن بياناتُك وتُعالَج داخل المملكة العربية السعودية — قاعدةُ البيانات وتطبيقُ الويب والمرفقاتُ تعمل في الرياض، والنسخُ الاحتياطيّةُ في الرياض ونسخةٌ ثانيةٌ منها في جدّة، ومنها نُعيد التشغيلَ إن تعطّل مركزُ الرياض كلُّه. وما يعبر الحدودَ مبيَّنٌ حصرًا في (٨-٢).

٨-٢ نطاق النقل

النقلُ خارج المملكة استثناءٌ محدودٌ لا موضعُ المعالجة، ويقتصر على المعالجَين الفرعيَّين الآتيين — وكلُّ إضافةٍ إليهما تُعلَن بحالتها قبل تشغيلها، فما لم يُشغَّل بعدُ يُقال إنّه لم يُشغَّل:

ولا يبلغ أيًّا منهما شيءٌ من قاعدة البيانات أو المرفقات أو النسخ الاحتياطيّة — فهذه كلُّها داخل المملكة (٨-١).

وأسماؤهم ومواقعُهم وأسسُ النقل منشورةٌ ومحدَّثةٌ على rattab.com/subprocessors — وهي المرجعُ الحيُّ لهذا البند، فلا تتباعد نسختان.

ولا نستعين بمزوّدٍ للرسائل النصّية أو نظام التذاكر أو المدفوعات — فلا نقلَ من هذه الجهات أصلًا.

٨-٣ الأساس النظامي للنقل

يتمّ أيّ نقلٍ خارج المملكة وفق نظام حماية البيانات الشخصية وضوابط نقل البيانات الشخصية خارج المملكة الصادرة عن سدايا، وبأحد الأسس الآتية:

أ. أن تكون الدولة أو الجهة المستقبِلة مشمولةً بقرار مستوى حمايةٍ مناسب صادرٍ عن الجهة المختصة؛ أو ب. وجود ضماناتٍ مناسبةٍ — ومنها البنود التعاقدية النموذجية المعتمدة أو قواعد السلوك الملزِمة أو شهادات الاعتماد؛ أو ج. انطباق إحدى الحالات الاستثنائية المقرّرة نظامًا، بالقدر اللازم ولا يتجاوزه.

والأساسُ المنطبقُ على كلّ معالجٍ فرعيٍّ مُبيَّنٌ باسمه في rattab.com/subprocessors — فما لم يُستوفَ بعدُ يُعرَض هناك على حاله، ولا يُدَّعى خلافُه.

٨-٤ ضوابط إضافية

٨-٤-١ نُجري تقييم أثرٍ للنقل ونحتفظ بنتيجته، ويُتاح للعميل عند طلبه. ٨-٤-٢ يقتصر النقل على الحدّ الأدنى من البيانات اللازمة للغرض. ٨-٤-٣ لا تُنقل البيانات الحسّاسة خارج المملكة: تُخزَّن وتُعالَج داخلها (٨-١)، وما يبلغ مزوّدَ رصد الأخطاء بياناتٌ تقنيّةٌ تُنقّى قبل الإرسال لا صفوفُ بيانات. وأيُّ نقلٍ لها مستقبلًا يستلزم موافقةً كتابيّةً مسبقةً ومنفصلةً من العميل — ولا يُغني عنها الإذنُ العامّ في اتفاقية معالجة البيانات. ٨-٤-٤ لا يُنقل أيّ بيانٍ إلى دولةٍ خاضعةٍ لحظرٍ نافذٍ في المملكة. ٨-٤-٥ للعميل طلبُ بيانٍ مفصّلٍ بمواقع معالجة بياناته وأسسِ نقلها وضماناتها عبر privacy@rattab.com. ٨-٤-٦ وإن فقد أساسُ نقلٍ قائمٍ صلاحيّته لتغيّرٍ نظاميّ، نوقف النقلَ ونُخطر العميل ونتّخذ ما يلزم لإعادة المعالجة إلى داخل المملكة أو لتوفير أساسٍ بديل.

---

البند (٩): الاحتفاظ والإتلاف

٩-١ المبدأ

لا نحتفظ بالبيانات الشخصية إلّا للمدّة اللازمة لتحقيق الغرض الذي جُمعت من أجله، أو للمدّة التي يفرضها نظامٌ ملزِم، أيّهما أطول. ونُتلفها بعد ذلك إتلافًا نهائيًّا.

٩-٢ جدول الاحتفاظ — البيانات التي نكون فيها مسؤول بيانات

٩-٣ الاحتفاظ ببيانات العميل داخل المنصّة (دورنا كمعالج)

٩-٣-١ يحدّد العميل مدد الاحتفاظ داخل مستأجره بما يتوافق مع التزاماته النظامية، ومنها التزاماته بموجب نظام العمل ولائحته التنفيذية بشأن ملفّات العاملين، والأنظمة الضريبية بشأن سجلّات الأجور. ٩-٣-٢ نحتفظ ببيانات العميل طوال مدّة الاشتراك، ثمّ نطبّق أحكام البند (١٢-٥) من شروط الخدمة: نافذة استخراجٍ مدّتها (٣٠) يومًا، يعقبها إتلافٌ خلال [مدّة الحذف]. ٩-٣-٣ النسخ الاحتياطية تُتلف ضمن دورتها الطبيعية التي لا تتجاوز [مدّة الحذف] من تاريخ الحذف من النظام الحيّ.

٩-٤ ⚠️ حدود الحذف — سجلّات التدقيق والسجلّات المالية

٩-٤-١ سجلّات التدقيق داخل المنصّة غير قابلةٍ للتعديل ولا للحذف — وهذا اختيارٌ معماريٌّ مقصود يحمي سلامة الأثر الرقابي، وهو متطلَّبٌ في ضوابط الأمن السيبراني ومتطلّبات المراجعة. ٩-٤-٢ وعليه، فإنّ تنفيذ طلب إتلافٍ يمسّ سجلّاتٍ من هذا النوع يتمّ بالتنقيح (Redaction): إحلال قيمةٍ محايدةٍ محلّ العناصر المحدِّدة للهويّة داخل السجلّ، مع بقاء واقعة الحدث وطابعها الزمني. وهذا يحقّق غرض الإتلاف — استحالة التعرّف على الفرد — مع صون الأثر الرقابي. ٩-٤-٣ كذلك لا تُحذف السجلّات المالية المُرحَّلة والقيود المحاسبية المرتبطة بها قبل انقضاء المدّة النظامية للاحتفاظ بها.

٩-٥ آليّة الإتلاف

يتمّ الإتلاف بوسائل تجعل استرجاع البيانات مستحيلًا عمليًّا، ومنها: الحذف المنطقي المتبوع بإتلافٍ مادّي، وإتلاف مفاتيح التشفير، والكتابة فوق وسائط التخزين وفق معايير الصناعة. ونُصدر شهادة إتلافٍ عند طلب العميل.

---

البند (١٠): أمن البيانات

نطبّق تدابير تقنيّةً وتنظيميّةً مناسبةً لمستوى المخاطر، مبنيّةً على الضوابط الأساسية للأمن السيبراني (ECC) وضوابط الأمن السيبراني للحوسبة السحابية (CCC) الصادرة عن الهيئة الوطنية للأمن السيبراني. وتشمل على وجه غير حاصر:

١٠-١ التدابير التقنية

١٠-٢ التدابير التنظيمية

• سياساتٌ داخليّةٌ مكتوبةٌ لأمن المعلومات وحماية البيانات، تُراجَع سنويًّا؛
• التزام كلّ منسوبينا باتفاقيات سرّيةٍ مكتوبةٍ تبقى نافذةً بعد انتهاء علاقتهم بنا؛
• تدريبٌ إلزاميٌّ دوريٌّ على حماية البيانات والأمن السيبراني؛
• تقييد الوصول الإداري إلى بيانات العملاء بمبدأ الحاجة إلى المعرفة، وتسجيل كلّ وصولٍ إداريّ؛
• إجراءٌ موثَّقٌ للاستجابة للحوادث يُختبَر دوريًّا؛
• تقييم أثرٍ على الخصوصية قبل إطلاق أيّ منتجٍ أو ميزةٍ تُعالج بياناتٍ شخصيّةً على نطاقٍ واسع؛
• تدقيقٌ أمنيٌّ مستقلٌّ دوريّ.

١٠-٣ إقرارٌ بحدود الأمن

لا توجد وسيلةٌ تقنيّةٌ تضمن أمنًا مطلقًا. وإنّما نلتزم ببذل العناية المهنية اللازمة وبتطبيق ما يوازي — أو يفوق — معايير الصناعة. وتظلّ حماية بيانات دخول المستخدمين وأجهزتهم وشبكاتهم مسؤوليّة العميل ومستخدميه.

١٠-٤ تسرّب البيانات

١٠-٤-١ لدينا إجراءٌ موثَّقٌ للاستجابة للتسرّب يشمل الاحتواء والتقييم والإخطار والمعالجة والدروس المستفادة. ١٠-٤-٢ بصفتنا معالجًا: نُخطر العميل (مسؤول البيانات) فور علمنا بالواقعة ودون تأخيرٍ لا مبرّر له، ونزوّده بالمعلومات اللازمة لتمكينه من الوفاء بالتزامه في الإخطار. ١٠-٤-٣ بصفتنا مسؤول بيانات: نُخطر سدايا وفق المدد المقرّرة في النظام ولائحته التنفيذية، ونُخطر أصحاب البيانات المتأثّرين دون تأخيرٍ لا مبرّر له متى كان من شأن الواقعة إلحاق ضررٍ جسيمٍ بهم. ١٠-٤-٤ تفاصيل الإجراء والمدد والمحتوى منصوصٌ عليها في اتفاقية معالجة البيانات.

١٠-٥ تصنيف البيانات

١٠-٥-١ نعامل جميع بيانات الموارد البشرية المخزّنة في المنصّة على أنّها بياناتٌ حسّاسة بحكم طبيعتها — فهي تشمل الأجور والهويّات والمستندات الرسميّة وما يرتبط بالإجازات المرضيّة — ولا نطبّق عليها مستوى حمايةٍ أدنى بحجّة عدم ورود تصنيفٍ من العميل. ١٠-٥-٢ يبقى تصنيف البيانات وفق ضوابط ومعايير إدارة البيانات الوطنية (NDMO) من اختصاص العميل بصفته مسؤول البيانات، ونلتزم بتطبيق ضوابط الحماية المقابلة لتصنيفه متى أبلغنا به كتابةً. والتفصيلُ في الملحق (٢-١٠) من اتفاقية معالجة البيانات. ١٠-٥-٣ ⚠️ ولا ندّعي بهذا حصولَنا على شهادة امتثالٍ لضوابط NDMO ولا اعتمادٍ من جهةٍ مختصّة؛ ما نلتزم به هو التدابيرُ الموصوفة في هذا البند ومواءمتُها مع التصنيف المُبلَّغ.

---

البند (١١): حقوق صاحب البيانات

١١-١ الحقوق المقرّرة نظامًا

يتمتّع صاحب البيانات بالحقوق الآتية وفق النظام:

١١-٢ ⚠️ إلى مَن يُوجَّه الطلب؟ — قاعدةٌ فاصلة

وإذا وصلنا طلبٌ يخصّ بياناتٍ نعالجها كمعالجٍ لحساب عميل، أحلناه إلى العميل خلال (٥) أيام عملٍ وأخطرنا مقدّم الطلب بذلك، دون أن نستجيب له مباشرةً — لأنّ الاستجابة المباشرة تجاوزٌ لصلاحيّة المعالج وخطرٌ على أمن بيانات العميل.

١١-٣ كيفيّة تقديم الطلب

أ. يُرسَل الطلب إلى privacy@rattab.com؛ ب. يُذكر في الطلب: اسم مقدّمه، وصفته، ووسيلة التواصل معه، والحقّ المطلوب ممارسته، ووصفٌ محدَّدٌ للبيانات المعنيّة؛ ج. نتحقّق من هويّة مقدّم الطلب قبل الاستجابة، حمايةً من الإفصاح لغير ذي صفة، وقد نطلب مستنداتٍ إضافيّةً بالقدر اللازم فقط.

١١-٤ مدّة الاستجابة والمقابل

١١-٤-١ نستجيب خلال (٣٠) يومًا من تاريخ استلام الطلب مستوفيًا. وإن اقتضى الأمر مدّةً إضافيّةً لتعقيد الطلب، أخطرنا مقدّمه بذلك وبسببه خلال المدّة الأصلية. ١١-٤-٢ ممارسة الحقوق مجّانيّة. ويجوز — في حال الطلبات المتكرّرة أو المفرطة بلا مسوّغ — تقاضي مقابلٍ معقولٍ يعكس التكلفة الفعلية، أو الامتناع مع تسبيب الامتناع كتابةً.

١١-٥ حدود الحقوق

يجوز تقييد الاستجابة كلّيًّا أو جزئيًّا في الحالات التي يقرّرها النظام، ومنها: تعارض الاستجابة مع مصلحةٍ عامّةٍ أو مع حقوق الغير؛ أو ارتباط البيانات بدعوى قضائية؛ أو وجود التزامٍ نظاميٍّ بالاحتفاظ. ونبيّن لمقدّم الطلب سبب التقييد وحقّه في التظلّم.

١١-٦ حقّ التظلّم أمام الجهة المختصة

لصاحب البيانات — دون إخلالٍ بأيّ حقٍّ آخر — تقديم شكوى إلى الهيئة السعودية للبيانات والذكاء الاصطناعي (سدايا) عبر قنواتها الرسمية، إذا رأى أنّ معالجة بياناته تخالف النظام. ونشجّعه على مراسلتنا أوّلًا لنعالج الأمر مباشرةً، دون أن يكون ذلك شرطًا لحقّه في التظلّم.

---

البند (١٢): ملفّات الارتباط والتقنيات المشابهة

١٢-١ ما نستخدمه

١٢-٢ إدارة الموافقة

تُعرض لافتةُ موافقةٍ عند أوّل زيارة، تتيح القبول الانتقائي والرفض بنفس سهولة القبول. ويمكن تعديل الاختيار في أيّ وقتٍ من رابط «إعدادات الخصوصية» في تذييل الموقع. ولا تُفعَّل أيّ ملفّاتٍ غير ضروريّةٍ قبل الحصول على الموافقة.

١٢-٣ التحكّم من المتصفّح

يمكن للمستخدم حظر ملفّات الارتباط أو حذفها من إعدادات متصفّحه، مع ملاحظة أنّ حظر الملفّات الضرورية يعطّل تسجيل الدخول ووظائف أساسية.

١٢-٤ عدم التتبّع

لا نستجيب حاليًّا لإشارة «عدم التتبّع» (DNT) لعدم وجود معيارٍ موحَّدٍ لها، غير أنّنا لا نُفعّل أيّ تتبّعٍ تحليليٍّ أو تسويقيٍّ بلا موافقةٍ صريحة.

---

البند (١٣): القاصرون وناقصو الأهلية

١٣-١ المنصّة غير موجَّهةٍ للاستخدام المباشر من قِبل من هم دون سنّ الثامنة عشرة، ولا نجمع بياناتهم عن قصدٍ في دورنا كمسؤول بيانات.

١٣-٢ قد تتضمّن بيانات العميل داخل المنصّة بياناتٍ عن أبناء الموظفين ومعاليهم القاصرين لأغراض البدلات والتأمين الطبّي. وفي هذه الحالة يكون العميل مسؤول البيانات، وتقع عليه مسؤولية توفّر الأساس النظامي — وهو غالبًا موافقة وليّ الأمر أو الالتزام النظامي بالتأمين.

١٣-٣ نطبّق على هذه البيانات نفس ضوابط البيانات الحسّاسة، ونقتصر فيها على الحدّ الأدنى.

١٣-٤ إن علمنا بجمع بياناتٍ لقاصرٍ بلا سندٍ نظاميّ، اتّخذنا ما يلزم لإتلافها وأخطرنا مسؤول البيانات.

---

البند (١٤): سجلّ أنشطة المعالجة

نحتفظ بسجلٍّ مكتوبٍ لأنشطة المعالجة التي نجريها، بصفتينا مسؤولَ بياناتٍ ومعالجًا، يتضمّن: أغراض المعالجة، وفئات البيانات وأصحابها، وفئات المستقبِلين، وعمليّات النقل خارج المملكة وضماناتها، ومدد الاحتفاظ، ووصفًا عامًّا للتدابير الأمنية. ونُتيحه للجهة المختصة عند طلبها.

---

البند (١٥): تقييم أثر المعالجة

نُجري تقييم أثرٍ على حماية البيانات الشخصية قبل: إطلاق أيّ منتجٍ أو خدمةٍ تعالج بياناتٍ شخصيّةً على نطاقٍ واسع؛ أو معالجة بياناتٍ حسّاسة؛ أو استخدام تقنيةٍ جديدةٍ ذات مخاطر؛ أو أيّ نقلٍ جديدٍ خارج المملكة. ونوثّق نتيجته والتدابير المتّخذة لتخفيف المخاطر.

---

البند (١٦): التواصل بشأن حماية البيانات

١٦-١ القناة المخصّصة

خصّصنا قناةَ تواصلٍ لمسائل حماية البيانات: تُستقبَل عبرها طلباتُ أصحاب البيانات واستفساراتُ الخصوصية وبلاغاتُهم، وتُتابَع منها المراسلاتُ مع الجهة المختصة. وبياناتُها في (١٦-٢) أدناه، ومُهَلُ ردّنا في (١٦-٣).

١٦-٢ بيانات التواصل

١٦-٣ التزامنا بالردّ

نلتزم بالإقرار باستلام أيّ مراسلةٍ تتعلّق بالخصوصية خلال (٥) أيام عمل، وبالردّ الموضوعي وفق المدد المبيّنة في البند (١١-٤).

---

البند (١٧): تحديث هذه السياسة

١٧-١ نراجع هذه السياسة مرّةً كلَّ (١٢) شهرًا على الأقلّ، وكلّما طرأ تغيّرٌ جوهريٌّ في أنشطتنا أو في الأنظمة السارية.

١٧-٢ عند التعديل، نحدّث رقم الإصدار وتاريخه في صدر الوثيقة، وننشر النسخة الجديدة على rattab.com.

١٧-٣ وإن كان التعديل جوهريًّا — كإضافة غرض معالجةٍ جديد، أو فئة بياناتٍ جديدة، أو وجهة نقلٍ خارج المملكة، أو تغيير أساسٍ نظاميّ — أخطرنا أصحاب البيانات المتأثّرين قبل (٣٠) يومًا من سريانه عبر البريد الإلكتروني و/أو إشعارٍ ظاهرٍ في المنصّة، وطلبنا موافقةً جديدةً حيث تكون الموافقة هي الأساس.

١٧-٤ نحتفظ بأرشيفٍ علنيٍّ للنسخ السابقة لا تقلّ مدّته عن (٧) سنوات.

---

البند (١٨): سريان الوثيقة

تسري هذه السياسة اعتبارًا من [تاريخ السريان]، وتحلّ محلّ أيّ نسخةٍ سابقة.

---

---