وثيقة سياسة الخصوصية وحماية البيانات الشخصية

مقدمة الوثيقة والنطاق التشريعي العام

تلتزم منصة "إديونيفرس" التعليمية الرقمية وموقعها الإلكتروني الرسمي (edunivers.site)، المملوكة والمشغلة بالكامل من قِبل "مؤسسة بروتوجين"، وهي منشأة فردية مسجلة ومقيدة في السجل التجاري بالمملكة العربية السعودية تحت الرقم: (7054949891)، وموثقة رسمياً لدى المركز السعودي للأعمال التابع لوزارة التجارة، ومقرها المسجل في المملكة العربية السعودية، بحماية وأمن وسرية البيانات الشخصية لكافة المستفيدين والمتعاملين معها (الطلاب، المعلمين وصناع المحتوى، المسوقين بالعمولة، والزوار).

أُعدت هذه الوثيقة وفق أعلى معايير الصياغة القانونية والشفافية التنظيمية، استناداً وامتثالاً شاملاً لأحكام الأنظمة واللوائح السارية في المملكة العربية السعودية، وعلى رأسها:

• نظام حماية البيانات الشخصية (PDPL) الصادر بالمرسوم الملكي رقم (م/19) وتاريخ 09/02/1443هـ، والمعدل بالمرسوم الملكي رقم (م/148) وتاريخ 05/09/1444هـ ولائحته التنفيذية الصادرة بقرار الهيئة السعودية للبيانات والذكاء الاصطناعي (سدايا - SDAIA).
• لائحة نقل البيانات الشخصية إلى خارج النطاق الجغرافي للمملكة الصادرة عن الهيئة السعودية للبيانات والذكاء الاصطناعي.
• قواعد تعيين مسؤول حماية البيانات الشخصية (DPO) الصادرة عن "سدايا".
• نظام التجارة الإلكترونية ولائحته التنفيذية بشأن حفظ سجلات المعاملات وحماية بيانات المستهلكين.

تُحدد هذه السياسة بدقة وتفصيل فئات البيانات الشخصية التي نجمعها، ومسوغات معالجتها، وأغراض استخدامها، والضوابط الصارمة لنقلها السحابي وتخزينها، وحقوق أصحاب البيانات وآلية ممارستها، والتدابير التقنية والتنظيمية المتخذة لحمايتها من أي وصول غير مصرح به أو اختراق.

المادة الأولى: التعريفات والمصطلحات النظامية

تُفسر الكلمات والعبارات الآتية بالمعاني المحددة لها أدناه أينما وردت في هذه الوثيقة، ما لم يقتضِ السياق معنى آخر:

• الأنظمة السعودية: مجموعة الأنظمة، والمراسيم الملكية، واللوائح التنفيذية، والقرارات الرسمية الصادرة والمعمول بها داخل المملكة العربية السعودية.
• البيانات الشخصية: كل بيان—مهما كان مصدره، أو شكله المقروء، أو المسموع، أو المرئي، أو الإلكتروني—من شأنه أن يؤدي إلى معرفة الفرد على وجه التحديد، أو يجعل التعرف عليه ممكناً بصفة مباشرة أو غير مباشرة.
• المعالجة: أي عملية تجري على البيانات الشخصية بأي وسيلة كانت، يدوية أو آلية؛ وتشمل: الجمع، والتسجيل، والحفظ، والفهرسة، والتنظيم، والتعديل، والتحديث، والاسترجاع، والاستعمال، والإفصاح، والنقل، والمشاركة، والتخزين، والربط، والحجب، والإتلاف.
• جهة التحكم (Data Controller): "مؤسسة بروتوجين" بصفتها المنشأة التجارية التي تُحدد بمفردها الغرض من جمع ومعالجة البيانات الشخصية ووسائل تلك المعالجة عبر منصة "إديونيفرس".
• جهة المعالجة (Data Processor): أي شخص طبيعي أو اعتباري، أو جهة خارجية، أو مزود خدمة سحابية يعالج البيانات الشخصية لحساب جهة التحكم ونيابة عنها وتحت إشرافها وتوجيهها المباشر.
• صاحب البيانات: الفرد الطبيعي الذي تتعلق به البيانات الشخصية المعالجة بموجب هذه السياسة (سواء كان طالباً، أو معلماً، أو مسوقاً، أو زائراً).
• ناقص الأهلية / القاصر: كل شخص طبيعي لم يبلغ سن الثامنة عشرة من عمره (سن الرشد القانوني) وفقاً لأحكام نظام المعاملات المدنية والأنظمة ذات الصلة بالمملكة.
• الجهة المختصة: الهيئة السعودية للبيانات والذكاء الاصطناعي (سدايا - SDAIA) بصفتها المرجع التنظيمي والرقابي المشرف على إنفاذ نظام حماية البيانات الشخصية ولائحته التنفيذية بالمملكة.

المادة الثانية: فئات البيانات الشخصية المجمعة (تطبيق مبدأ الحد الأدنى)

عملاً بالمادة (التاسعة عشرة) من اللائحة التنفيذية لنظام حماية البيانات الشخصية، تلتزم المنصة بتطبيق مبدأ "الحد الأدنى اللازم من البيانات"؛ بحيث يقتصر الجمع على البيانات الضرورية واللازمة بصورة مباشرة لتحقيق الأغراض التعاقدية والأكاديمية والتشغيلية:

1. 1. بيانات الطلاب والمشتركين:

   • بيانات التسجيل الأساسية: الاسم الأول واسم العائلة (الاسم الثنائي الصريح).
   • بيانات الاتصال والتحقق: عنوان البريد الإلكتروني النشط، ورقم الهاتف المتنقل المعتمد والموثق لغايات إرسال رمز التحقق السري لمرة واحدة (OTP).
   • البيانات الأكاديمية: المرحلة الدراسية، أو الكلية والجهة الجامعية التابع لها الطالب، وذلك لتخصيص المواد وعرض المقررات المناسبة لمساره التعليمي.
   • البيانات التفاعلية والأكاديمية المساندة: الأسئلة والمدخلات التفاعلية الموجهة لأدوات المراجعة الذكية ومولدات التمارين، وتفاعلات بنوك الأسئلة، والمشاركات الأكاديمية المدخلة في مساحات النقاش والاستفسار الملحقة بالمقررات.

2. 2. بيانات المعلمين وصناع المحتوى المستقلين:

   • بيانات الهوية الرسمية: الاسم الرباعي الرسمي المطابق للهوية، والجنسية، ورقم الهوية الوطنية للمواطنين أو رقم هوية مقيم لغير السعوديين.
   • بيانات الاتصال المهنية: عنوان البريد الإلكتروني الموثق، ورقم الهاتف المتنقل للتواصل الإداري والتشغيلي.
   • البيانات المصرفية المعتمدة: الاسم الرسمي لصاحب الحساب، واسم البنك المحلي، ورقم الحساب البنكي الدولي السعودي المعتمد (SA IBAN) والمسجل باسم المعلم حصراً؛ وذلك لتحويل حصص الأرباح والمبيعات المستحقة له نظاماً.
   • المحتوى المرفوع والتراخيص: مقاطع الشروحات المسجلة، وبنوك الأسئلة، والمذكرات والملفات المرفوعة للتدريس، وتفاصيل الفرق التعليمية المساعدة المفوضة من قِبله.

3. 3. بيانات المسوقين بالعمولة المستقلين:

   • بيانات التعريف: الاسم الرباعي الرسمي، ورقم الهوية الوطنية أو هوية مقيم، ورقم الهاتف المتنقل، والبريد الإلكتروني الموثق.
   • المعرفات التسويقية: رمز كود الخصم ورابط الإحالة الرقمي المعتمد والمخصص للمسوق.
   • البيانات المصرفية: رقم الحساب البنكي الدولي السعودي المعتمد (SA IBAN) المسجل باسم المسوق رسمياً داخل أحد البنوك المرخصة بالمملكة؛ وذلك لصرف العمولات التسويقية المستقرة.

4. 4. المعرفات التقنية وبصمة الأجهزة (لأغراض الأمن ومكافحة القرصنة والاحتيال):

   • عنوان بروتوكول الإنترنت (IP Address) المستخدم أثناء تسجيل الدخول والوصول للمحتوى.
   • المعرف الرقمي لنوع المتصفح وإصداره، ونظام التشغيل، ونوع الجهاز، والمنطقة الزمنية.
   • البصمة الرقمية الفنية للجهاز (Device Fingerprint) المستخدمة بصورة آلية لتأمين المنصة، وإنفاذ سياسة تقييد الأجهزة، وحظر تسجيل الدخول المتزامن، ومكافحة تداول وتأجير الحسابات بين الطلاب، وكشف محاولات سرقة وتصوير المحتوى الرقمي.

5. 5. بيانات العمليات المالية وسجلات السداد:

   • تاريخ ووقت المعاملة بالدقائق والثواني، والمبلغ المسدد بالريال السعودي، ورقم الفاتورة الإلكترونية المرجعي، ونوع وسيلة السداد المستخدمة (مدى، Apple Pay، أو بطاقات ائتمانية).
   • إقرار الأمان المصرفي: تُقر المنصة إقراراً قاطعاً بأنها لا تقوم إطلاقاً بجمع، أو استلام، أو معالجة، أو الاطلاع، أو التخزين على خوادمها لأرقام البطاقات الائتمانية والبنكية أو رموز التحقق السرية الثلاثية (CVV/CVC)؛ حيث تتم كافة مراحل السداد والمعالجة المالية حصرياً عبر قنوات الربط البرمجي المشفرة لبوابة الدفع الإلكتروني المعتمدة والمرخصة رسمياً بالمملكة "ميسر" (Moyasar)، والخاضعة للرقابة المباشرة من البنك المركزي السعودي (ساما) ولمعايير أمن بطاقات الدفع العالمية (PCI-DSS).

المادة الثالثة: المسوغات النظامية وأغراض معالجة البيانات الشخصية

تطبيقاً للمواد (الرابعة)، و(الخامسة)، و(السادسة) من نظام حماية البيانات الشخصية، لا تُباشر المنصة أي عملية معالجة للبيانات الشخصية إلا استناداً لمسوغ نظامي معتبر شرعاً وقانوناً، ولتحقيق الأغراض المشروعة والمحددة حصرياً في البنود الآتية:

• المسوغ النظامي الأول: تنفيذ الالتزامات التعاقدية (Contractual Necessity):
  • تُعالج المنصة بيانات الطلاب والمشتركين الشخصية (الاسم، البريد، رقم الهاتف، والمرحلة التعليمية)؛ لكون المعالجة ضرورية بصفة جوهرية لإنشاء الحساب، وتوثيق الملكية عبر رمز التحقق (OTP)، وتفعيل اشتراكات المقررات المشتراة، وإتاحة الوصول غير الحصري للمكتبة المسجلة وبنوك الأسئلة والأدوات التفاعلية، وإدارة العلاقة التعاقدية المبرمة مع الطالب وفقاً لوثيقة الشروط والأحكام.
  • تُعالج المنصة البيانات الشخصية والبنكية (SA IBAN) للمعلمين والمسوقين؛ لكون المعالجة ضرورية لإنفاذ العقود المستقلة المبرمة معهم، واحتساب صافي الإيرادات والعمولات التسويقية، وتسيير دورة التحويلات المصرفية الشهرية إلى حساباتهم البنكية المحلية.
• المسوغ النظامي الثاني: المصلحة المشروعة وحماية حقوق الملكية الفكرية (Legitimate Interests):
  • تُعالج المنصة المعرفات التقنية، وسجلات بروتوكول الإنترنت (IP)، والبصمة الرقمية للأجهزة (Device Fingerprinting)؛ استناداً لمصلحتها المشروعة في صيانة الأمن السيبراني للمنصة، وتأمين استقرار الخوادم، ومنع محاولات الاختراق وحجب الخدمة، وكشف الاستخدام غير المصرح به وتداول الحسابات بين عدة مستخدمين، ورصد وتتبع محاولات القرصنة وتصوير وتسريب الشروحات المحمية بموجب نظام حماية حقوق المؤلف ونظام مكافحة الجرائم المعلوماتية.
  • تُعالج المنصة بيانات التواصل لتقديم خدمات الدعم الفني، ومتابعة استفسارات المشتركين، وإشعار المستخدمين بأي تحديثات جوهرية تطرأ على سياسات المنصة أو الخدمات البرمجية.
• المسوغ النظامي الثالث: الامتثال للالتزامات النظامية والأوامر الحكومية (Legal Obligation):
  • تُعالج المنصة وتحتفظ بسجلات المعاملات، والعقود الإلكترونية، وسجلات الأوامر الشرائية، والفواتير، وسجلات الدخول الرقمية؛ تنفيذاً للالتزام القانوني الصريح المفروض عليها بموجب المادة (الثامنة عشرة) من اللائحة التنفيذية لنظام التجارة الإلكترونية، والتي تلزم منصات الوساطة الرقمية بحفظ بيانات العقود والعمليات لمدة لا تقل عن ثلاث سنوات من تاريخ إبرامها.
  • الامتثال للأنظمة المالية والمحاسبية المقررة بالمملكة، والاستجابة للأوامر القضائية، والقرارات الملزمة الصادرة عن النيابة العامة، والمحاكم المختصة، والجهات الأمنية، والهيئات الرقابية الرسمية.
• المسوغ النظامي الرابع: الموافقة الصريحة لملفات تعريف الارتباط (Explicit Consent):
  • تُعالج المنصة بيانات سلوك التصفح الإحصائي والتفضيلات التقنية للمستخدمين عبر ملفات تعريف الارتباط التحليلية؛ استناداً للموافقة الصريحة والحرة التي يمنحها المستخدم عند زيارته الأولى للموقع وتفاعله مع إشعار ملفات الارتباط المنبثق، مع احتفاظه بكامل الحق في تعديل تفضيلاته أو سحب موافقته في أي وقت.

المادة الرابعة: ضوابط ومعايير معالجة بيانات ناقصي الأهلية (القُصّر)

إدراكاً لطبيعة الخدمات والمقررات التعليمية التي قد يستفيد منها طلاب المرحلة الثانوية، وبرامج الاستعداد للاختبارات المعيارية (كالقدرات العامة والتحصيلي)، والذين لم يبلغوا سن الرشد القانوني (الثامنة عشرة عاماً):

• اشتراط موافقة الولي الشرعي: عملاً بأحكام المادة (الخامسة) من نظام حماية البيانات الشخصية والمادة (الرابعة) من لائحته التنفيذية، تُعد معالجة البيانات الشخصية للقاصر مشروطة بصدور الإذن والموافقة المسبقة والصريحة من وليه الشرعي أو الوصي النظامي عليه قبل إتمام عملية التسجيل واستخدام وسائل السداد بالمنصة.
• الإقرار والمسؤولية التضامنية: يُعد إنشاء حساب القاصر، أو قيامه بسداد رسوم أي مقرر، إقراراً وتعهداً تعاقدياً جازماً بأن ولي أمره الشرعي قد اطلع على هذه السياسة ووافق صراحة على جمع ومعالجة بيانات القاصر بالقدر اللازم لتمكينه من الدراسة، ويتحمل الولي الشرعي المسؤولية التضامنية المدنية والمالية والنظامية عن كافة التصرفات الصادرة من حساب القاصر.
• حظر الاستغلال التجاري: تلتزم المنصة التزاماً صارماً بعدم استغلال بيانات الطلاب القُصّر في أي أنشطة تسويقية أو دعائية مباشرة، أو إنشاء ملفات تعريفية تجارية استهدافية لهم، أو الإفصاح عن بياناتهم لأي جهات أخرى خارج نطاق تسيير العملية التعليمية المساعدة، مع تطبيق أعلى إعدادات الخصوصية والأمان الافتراضية لحساباتهم بشكل تلقائي ومشدد.

المادة الخامسة: نقل البيانات خارج النطاق الجغرافي للمملكة والتعامل مع مزودي الخدمات السحابية

تطبيقاً للمادة (التاسعة والعشرين) من نظام حماية البيانات الشخصية، ولائحة نقل البيانات الشخصية إلى خارج النطاق الجغرافي للمملكة الصادرة عن الهيئة السعودية للبيانات والذكاء الاصطناعي (سدايا):

• حصر نطاق النقل الدولي في الضرورة الفنية والتشغيلية: لا تقوم المنصة بنقل أي بيانات شخصية إلى خوادم أو بيئات سحابية خارج الحدود الجغرافية للمملكة العربية السعودية إلا بالقدر الأدنى والمقيد بالضرورة التقنية والتشغيلية اللازمة لتشغيل وتأمين المنصة وبث المحتوى. وتفصح المنصة للمستخدمين عن مزودي الخدمات السحابية الدولية المتعاقد معهم وفق الآتي:
  • خدمات شبكة التوزيع السحابي واستضافة وتدفق الفيديو (Bunny Stream): تتعاقد المنصة مع شركة (BunnyWay d.o.o) لتقديم خدمات البث والتوزيع السحابي وتشفير مقاطع المحاضرات والشروحات المسجلة؛ وذلك لضمان سرعة التحميل، واستقرار البث المباشر، وتخفيف الضغط الشبكي. وتقتصر البيانات المنقولة والمعالجة عبر هذه الخدمة على المقاطع المرئية والمصنفات، وسجلات التنزيل المشفرة، دون منح مزود الخدمة أي صلاحية للوصول لبيانات الطلاب الشخصية أو هوياتهم.
  • خدمات التحليلات الفنية والإحصائية (Google Analytics): تتعاقد المنصة مع شركة (Google LLC) لقياس مؤشرات الأداء الفني وسلوك التصفح العام للموقع؛ مع التزام المنصة التقني بتفعيل ميزة حجب وتجهيل الهوية لعنوان بروتوكول الإنترنت (IP Anonymization / Masking)، بما يحول نظاماً وتقنياً دون التعرف على هوية الزائر أو ربط نشاطه التصفحي بهويته الحقيقية.
• الضمانات والتدابير التعاقدية لحماية البيانات المنقولة: تلتزم المنصة بضمان ألا يؤثر النقل الدولي للبيانات على مستوى الحماية المكفول للبيانات الشخصية بموجب النظام واللوائح السعودية؛ ولتحقيق ذلك، تلتزم المنصة بإبرام اتفاقيات معالجة بيانات صارمة (Data Processing Agreements - DPA) تتضمن الشروط التعاقدية القياسية المعتمدة من الهيئة السعودية للبيانات والذكاء الاصطناعي (Standard Contractual Clauses - SCCs)، والتي تُلزم مزودي الخدمات الأجانب بالحفاظ على سرية البيانات، وتطبيق التشفير الشامل، وحظر مشاركتها أو معالجتها أو نقلها لطرف رابع لأي أغراض أخرى تخالف توجيهات المنصة.
• المعالجة المالية المحلية داخل المملكة: تؤكد المنصة أن معالجة كافة المدفوعات والبطاقات البنكية والمعاملات المصرفية تتم محلياً بنسبة 100% داخل البيئة الرقمية المصرفية المشفرة بالمملكة العربية السعودية، وذلك عبر بوابة الدفع الوطنية المعتمدة "ميسر" (Moyasar) المرخصة من البنك المركزي السعودي (ساما).

المادة السادسة: حظر المتاجرة بالبيانات الشخصية واستثناءات الإفصاح النظامية

• الحظر المطلق للمتاجرة بالبيانات: تلتزم منصة "إديونيفرس" ومؤسسة بروتوجين التزاماً صارماً ونهائياً بعدم بيع، أو تأجير، أو تداول، أو مقايضة البيانات الشخصية للمستخدمين، أو أرقام هواتفهم، أو عناوين بريدهم الإلكتروني لأي جهات تجارية، أو منصات تسويقية، أو شبكات إعلانية من أطراف ثالثة.
• حالات الإفصاح النظامية الحصرية والمقيدة (المادة 15 من النظام): لا يتم الإفصاح عن البيانات الشخصية لأي طرف خارجي إلا في الأحوال الاستثنائية المنصوص عليها نظاماً وفق الآتي:

1. 1. إذا وافق صاحب البيانات صراحة على الإفصاح وفقاً للإجراءات النظامية.
2. 2. إذا كان الإفصاح واجباً ولازماً للامتثال لحكم قضائي، أو أمر صادر من المحاكم المختصة، أو النيابة العامة، أو تنفيذاً لطلب رسمي ملزم صادر من جهة حكومية أو أمنية مختصة بالمملكة العربية السعودية.
3. 3. إذا كان الإفصاح ضرورياً لحماية المصالح الحيوية لصاحب البيانات أو درء خطر داهم يمس سلامته.
4. 4. إذا كان الإفصاح لازماً لمنع وقوع جريمة معلوماتية، أو للتحقيق في واقعة تعدٍ على حقوق الملكية الفكرية، أو لاكتشاف ومكافحة عمليات الاحتيال المالي المنسق، بالتعاون مع الجهات الأمنية والرقابية المختصة بالمملكة.
5. 5. مع مقاولي البنية التحتية البرمجية ومزودي الاستضافة الذين يعملون بتكليف مباشر من المنصة وتحت قيود اتفاقيات المعالجة والسرية المشددة.

المادة السابعة: ملفات تعريف الارتباط وتقنيات التتبع الرقمي (Cookies)

تستخدم المنصة ملفات تعريف الارتباط وتقنيات التعرف البرمجية المماثلة لضمان استقرار الوظائف الفنية وتحسين تجربة التعلم، وتنقسم إلى الفئات الآتية:

• الملفات الضرورية والأساسية للتشغيل: ملفات برمجية لازمة لتمكين المستخدم من تسجيل الدخول لحسابه بأمان، والحفاظ على جلسة التصفح النشطة، وحفظ محتويات سلة المشتريات؛ ولا يمكن تشغيل المنصة أو تقديم المحتوى بدون هذه الملفات، ويتم تفعيلها تلقائياً عند الاستخدام.
• ملفات تفضيلات الاستخدام: ملفات تُستخدم لتذكر تفضيلات وخيارات المستخدم الخاصة (مثل: اللغة المعتمدة، والمظهر الداكن أو الفاتح، ومستوى دقة الفيديو المفضلة)، مما يسهل تجربة التصفح في الزيارات اللاحقة.
• ملفات التحليل ومراقبة الأداء: ملفات تُستخدم بالتعاون مع أدوات التحليل المعتمدة لقياس حجم الزيارات، والصفحات الأكثر استخداماً، ورصد ومعالجة الأخطاء البرمجية بصورة إحصائية مجردة دون تحديد الهوية الفردية للمستخدم.
• إدارة وتعطيل ملفات الارتباط: يحق للمستخدم في أي وقت ضبط إعدادات متصفحه أو جهازه لحظر ملفات تعريف الارتباط كلياً أو جزئياً، أو تنبيهه عند إرسالها إلى جهازه؛ مع إقراره التام بأن حظر وتعطيل الملفات الضرورية قد يترتب عليه تعطل بعض الميزات التفاعلية للمنصة، أو عدم استقرار جلسة تسجيل الدخول، أو تعذر الوصول إلى بعض أجزاء المحتوى الرقمي.

المادة الثامنة: التدابير التقنية والتنظيمية لحماية وأمن البيانات الشخصية

تطبيقاً لأحكام المادة (التاسعة عشرة) من نظام حماية البيانات الشخصية، تتبنى المنصة منظومة أمنية متكاملة تشتمل على التدابير التقنية، والإدارية، والتنظيمية اللازمة لضمان أمن وسلامة وسرية البيانات، ومنع فقدانها، أو التعديل غير المشروع عليها، أو الوصول غير المصرح به إليها:

• التشفير الشامل أثناء النقل والتخزين: تشفير كافة تدفقات البيانات الشخصية، والمدخلات التفاعلية، وكلمات المرور، والجلسات الرقمية أثناء انتقالها عبر الإنترنت باستخدام بروتوكولات التشفير الأمني القياسية المعتمدة عالمياً (TLS 1.3 / SSL)، مع تطبيق التشفير المتقدم لقواعد البيانات ومستودعات التخزين السحابية للملفات الرقمية.
• تقييد الصلاحيات والتحكم الصارم في الوصول (Access Control): حصر صلاحية الوصول لقواعد البيانات والأنظمة الحساسة في أضيق الحدود، وتطبيق سياسة "الحد الأدنى من الصلاحيات" (Least Privilege Policy)؛ بحيث لا يُمنح حق الوصول إلا للكوادر التقنية المخولة ولأغراض الدعم الفني والصيانة المباشرة فقط، مع تفعيل سجلات التدقيق الآلية الصارمة (Audit Logs) لتوثيق وتتبع أي عملية وصول أو تعديل.
• أنظمة الحماية السيبرانية: ربط خوادم المنصة بجدران حماية برمجية متطورة (Web Application Firewalls - WAF)، وأنظمة الرصد الآلي للأنشطة المشبوهة لصد هجمات حجب الخدمة الموزعة (DDoS)، والمسح البرمجي الخبيث، والحد من محاولات التسلل أو الاختراق للبيانات.
• الفصل البرمجي وحماية المعالجات المالية: عزل البنية التحتية لمعالجة الدفع المالي فصلاً كلياً عن قواعد بيانات المنصة التعليمية، وتفويضها حصرياً لبوابة الدفع "ميسر" المشفرة والخاضعة لإشراف البنك المركزي السعودي.

المادة التاسعة: مدد الاحتفاظ بالبيانات الشخصية وإتلافها الآمن

عملاً بأحكام المادتين (الثامنة عشرة) و(التاسعة عشرة) من نظام حماية البيانات الشخصية ولائحته التنفيذية:

• القاعدة العامة للاحتفاظ: تحتفظ المنصة بالبيانات الشخصية للمستخدم طوال فترة سريان حسابه ونشاطه الفعلي على المنصة؛ وذلك لتمكينه من استعراض مقرراته والاستفادة من خدمات التعليم المستمر وتحقيق الأغراض التي جُمعت البيانات من أجلها.
• الاحتفاظ النظامي الإلزامي بسجلات المعاملات الإلكترونية: تطبيقاً للمادة (الثامنة عشرة) من اللائحة التنفيذية لنظام التجارة الإلكترونية، تلتزم المنصة بالاحتفاظ بكافة بيانات العقود المبرمة إلكترونياً، والعمليات التجارية، وسجلات السداد، وبيانات الوصول والانتفاع بالمحتوى، لمدة لا تقل عن ثلاث (3) سنوات تبدأ من تاريخ إبرام العقد أو العملية؛ وذلك لحفظ الحقوق وتوفيرها للجهات القضائية والرقابية عند نشوء أي نزاع أو طلب نظامي.
• سجلات الاستفادة الفنية وبصمة الوصول الرقمية: يتم الاحتفاظ بسجلات الاستفادة الفنية (المتضمنة توثيق تشغيل الدروس، تنزيل الملفات والمذكرات، وبدء الاختبارات الإلكترونية، مقرونة ببروتوكول الإنترنت IP وبصمة المتصفح الآلية) لمدة أربعة وعشرين (24) شهراً من تاريخ تسجيل الحدث؛ وذلك لحماية التعاملات وإثبات واقعة الانتفاع بالخدمة في النزاعات المالية، وتخضع هذه السجلات لآلية حذف وإتلاف آلي مجدول دورياً فور انقضاء هذه المدة.
• الاحتفاظ بالسجلات المحاسبية والضريبية: يُحتفظ بالفواتير الإلكترونية، وسجلات التحويلات البنكية للمستحقات والعمولات، والقيود المحاسبية للمدد المحددة نظاماً بموجب الأنظمة المالية والضريبية المعمول بها بالمملكة لأغراض التدقيق المحاسبي والامتثال الضريبي.
• الإتلاف والتجهيل الآمن للبيانات (Data Erasure & Anonymization): عند انتهاء الغرض من معالجة البيانات، أو عند قبول طلب إغلاق الحساب وحذف البيانات نهائياً، تقوم المنصة بإتلاف البيانات الشخصية إتلافاً آمناً ومحكماً يحول دون استرجاعها، أو تقوم بتجهيل الهوية بالكامل (Anonymization) عبر نزع المعرفات الشخصية وتحويلها إلى بيانات إحصائية مجهولة بصورة نهائية لا تسمح بالتعرف على هوية صاحبها، باستثناء ما يلزم حفظه نظاماً بموجب الأنظمة المشار إليها أعلاه.

المادة العاشرة: حقوق صاحب البيانات الشخصية وآلية ممارستها

بموجب المادة (الرابعة) من نظام حماية البيانات الشخصية، والمادة (الثالثة) من لائحته التنفيذية، يتمتع كل صاحب بيانات شخصية بالحقوق النظامية الآتية:

• الحق في العلم والإحاطة: معرفة الأساس النظامي والمسوغ الشرعي لجمع بياناته، والأغراض المحددة لمعالجتها، والجهات المعالجة لها، ومدة الاحتفاظ بها، وكافة التفاصيل الموضحة في هذه السياسة.
• الحق في الوصول إلى البيانات الشخصية: طلب الاطلاع على بياناته الشخصية المحفوظة لدى المنصة، أو الحصول على نسخة إلكترونية مقروءة وواضحة منها، دون مقابل مالي.
• الحق في تصحيح وتحديث البيانات: طلب تعديل، أو تصحيح، أو استكمال أي بيانات شخصية مسجلة تخصه تكون غير دقيقة، أو غير مكتملة، أو قديمة.
• الحق في إتلاف البيانات (Request Erasure): طلب مسح أو إتلاف بياناته الشخصية المحفوظة لدى المنصة عند انتهاء الحاجة التشغيلية إليها، أو عند سحب الموافقة؛ مع مراعاة القيود والمدد النظامية الملزمة لحفظ سجلات العقود والعمليات المالية المقررة نظاماً.
• الحق في سحب الموافقة (Withdrawal of Consent): الرجوع عن موافقته الممنوحة لمعالجة بياناته الشخصية في أي وقت؛ على أن يقتصر أثر سحب الموافقة على المعالجات التي تستند إلى الموافقة كمسوغ وحيد، ودون أن يمس ذلك بمشروعية المعالجة التي تمت استناداً إلى مسوغات نظامية أخرى كـ "تنفيذ العقد" أو "الامتثال للالتزام النظامي".

المادة الحادية عشرة: خطة الاستجابة لحوادث تسرب واختراق البيانات الشخصية

عملاً بأحكام المادة (العشرين) من نظام حماية البيانات الشخصية والمادة (الرابعة والعشرين) من لائحته التنفيذية:

• إشعار الجهة المختصة (سدايا): في حال وقوع أي حادث أمني نتج عنه تسرب للبيانات الشخصية، أو اختراق لقواعد البيانات، أو تلف، أو وصول غير مشروع يترتب عليه ضرر محتمل بالبيانات أو أصحابها؛ تلتزم إدارة المنصة بإشعار الهيئة السعودية للبيانات والذكاء الاصطناعي رسمياً بالواقعة خلال مدة لا تتجاوز (72) ساعة من تاريخ علمها بالحادث، مع تزويد الهيئة بتقرير تفصيلي يتضمن طبيعة الحادث، وفئات وعدد أصحاب البيانات المتأثرين، والمخاطر المحتملة، والتدابير التصحيحية والوقائية المتخذة لاحتواء الأثر.
• إشعار أصحاب البيانات المتأثرين: تلتزم المنصة بإشعار المستخدمين المتأثرين بالحادث فوراً ودون تأخير إذا كان من شأن التسرب إلحاق ضرر جسيم ببياناتهم أو تعريض حقوقهم ومصالحهم للخطر، مع تزويدهم بتوصيات واضحة حول الإجراءات الاحترازية التي يتعين عليهم اتخاذها لتقليل المخاطر المحتملة.

المادة الثانية عشرة: التعديلات والتحديثات الدورية على السياسة

تحتفظ إدارة منصة "إديونيفرس" بالحق الكامل في تعديل، أو مراجعة، أو إعادة صياغة بنود هذه السياسة في أي وقت؛ وذلك لمواكبة التحديثات التشريعية الصادرة عن الهيئة السعودية للبيانات والذكاء الاصطناعي (سدايا)، أو لمواءمة التطورات في الخدمات والحلول البرمجية التي تطلقها المنصة. يتم نشر النسخة المحدثة فور اعتمادها على هذه الصفحة مع تعديل تاريخ "آخر تحديث ونفاذ" في صدر الوثيقة؛ ويُعد استمرار المستخدم في استخدام المنصة، أو تسجيل الدخول إليها، أو الاشتراك في مقرراتها بعد نشر التعديلات، إقراراً واطلاعاً كاملاً وموافقة صريحة على بنود السياسة بصيغتها المحدثة.

المادة الثالثة عشرة: مسؤول حماية البيانات وبيانات التواصل المعتمدة

تطبيقاً للضوابط الصادرة عن الهيئة السعودية للبيانات والذكاء الاصطناعي بشأن قنوات التواصل ومسؤولي الامتثال، خصصت المنصة ضابط اتصال ومسؤولاً لمتابعة الامتثال لنظام حماية البيانات الشخصية واستقبال طلبات وملاحظات المستخدمين:

• الكيان وجهة التحكم: مؤسسة بروتوجين – منصة إديونيفرس (Edunivers)
• السجل التجاري: 7054949891 (موثق بالمركز السعودي للأعمال)
• المقر الرسمي: المملكة العربية السعودية
• البريد الإلكتروني المعتمد لمسؤول الخصوصية: edunivers.sa@gmail.com
• النطاق الإلكتروني الرسمي: edunivers.site