سياسة حماية البيانات

الغرض والنطاق

تحدد هذه السياسة كيفية قيام شركة Season Car Rental Limited («Season Cars») بجمع البيانات الشخصية وتخزينها وتأمينها والاحتفاظ بها والتخلص منها في ما يتعلق بموقعنا الإلكتروني وعمليات الحجز وتأجير المركبات والأنشطة التسويقية، وذلك امتثالاً للائحة العامة لحماية البيانات في المملكة المتحدة (UK GDPR) وقانون حماية البيانات لعام ⁦⁦٢٠١٨⁩⁩ (DPA ⁦⁦2018⁩⁩). وينطبق هذا على جميع الموظفين والمتعاقدين والجهات الخارجية التي تتولى معالجة البيانات الشخصية نيابةً عنا.

الأدوار والمسؤوليات

⁦⁦٢⁩.⁦١⁩⁩ تقع المسؤولية العامة عن حماية البيانات على عاتق الإدارة العليا لمؤسسة «Season Cars».

⁦⁦٢⁩.⁦٢⁩⁩ يتولى المسؤول المعين لدينا عن حماية البيانات معالجة الاستفسارات اليومية المتعلقة بحماية البيانات، وطلبات الاطلاع التي يقدمها أصحاب البيانات، والإبلاغ عن الانتهاكات.

مبادئ حماية البيانات

نحن نتعامل مع البيانات الشخصية وفقًا لمبادئ «التفكير في الخصوصية» (UK GDPR):

• المشروعية والإنصاف والشفافية — لا نقوم بمعالجة البيانات إلا عندما يكون لدينا أساس قانوني ساري المفعول، ونُطلع المستخدمين على كيفية استخدامنا لبياناتهم (انظر سياسة الخصوصية).
• تحديد الغرض — نجمع البيانات لأغراض محددة ولا نستخدمها لأغراض غير ذات صلة دون وجود أساس قانوني إضافي.
• تقليل البيانات — نحن نجمع فقط البيانات الضرورية (على سبيل المثال، نطلب رمز التحقق من سجل القيادة (DVLA)، وليس نسخة كاملة من سجل القيادة، ما لم تتطلب الإحالة إلى شركات التأمين المزيد من المعلومات).
• الدقة — نتخذ إجراءات معقولة للحفاظ على دقة البيانات وتحديثها، ونقوم بتصحيحها عند الطلب.
• قيود التخزين — لا نحتفظ بالبيانات لفترة أطول من اللازم؛ انظر «جدول الاحتفاظ بالبيانات» في القسم ⁦⁦٦⁩⁩.
• النزاهة والسرية (الأمن) — نحمي البيانات باستخدام التدابير الموضحة في القسم ⁦⁦٧⁩⁩.
• المساءلة — نحن نوثق قراراتنا، ونحرص على تحديث هذه السياسة وسياسة الخصوصية باستمرار، ويمكننا إثبات الامتثال إذا طُلب منا ذلك من قبل هيئة حماية البيانات في إنجلترا (ICO).

الأساس القانوني

يرد الأساس القانوني لكل غرض من أغراض المعالجة في سياسة الخصوصية الخاصة بنا، القسم ⁦⁦٥⁩⁩. وتضم هذه السياسة الجدول المذكور بالإحالة إليه.

بيانات الفئات الخاصة والجرائم الجنائية

في إطار عمليات التحقق من أهلية الحصول على التأمين، نقوم بمعالجة بيانات الجرائم الجنائية — بما في ذلك الإدانات المتعلقة بجنح القيادة ورموز المخالفات (شروط الإيجار، البند ⁦⁦١١⁩⁩؛ سياسة الخصوصية، القسم ⁦⁦٦⁩⁩). وهذه هي الفئة الوحيدة من بيانات الجرائم الخاصة/الجنائية التي نقوم بمعالجتها حاليًا؛ نحن لا نجمع عن قصد بيانات صحية، أو بيانات تتعلق بالأصل العرقي أو الإثني، أو المعتقدات الدينية، أو أي بيانات أخرى من الفئات الخاصة، ويجب على الموظفين إحالة أي بيانات من هذا القبيل يتم تلقيها بشكل عرضي (مثل طلب متعلق بالتنقل) إلى مسؤول حماية البيانات بدلاً من تخزينها كجزء من سجل الحجز القياسي.

تغطي وثيقة السياسة الملائمة الخاصة بنا المتعلقة ببيانات الجرائم الجنائية، والمطلوبة بموجب الملحق ⁦⁦١⁩⁩، الجزء ⁦⁦٤⁩⁩ من قانون ⁦⁦٢٠١٤⁩⁩ بشأن الجرائم الجنائية (DPA ⁦⁦2018⁩⁩)، ما يلي:

• الشرط الذي استند إليه القرار: شرط «أغراض التأمين» (الملحق ⁦⁦١⁩⁩، الجزء ⁦⁦٣⁩⁩، الفقرة ⁦⁦٢٠⁩⁩) — تكون المعالجة ضرورية لشركة التأمين، أو لنا بصفتنا نعمل بناءً على تعليمات شركة التأمين، لتقييم المخاطر لأغراض التأمين، ولا يمكن إجراؤها عمليًّا بعلم صريح من صاحب البيانات دون الإضرار بهذا التقييم؛
• الاحتفاظ بالبيانات ومسحها: يتم الاحتفاظ ببيانات الإدانات المرورية فقط طوال المدة اللازمة لتقييم وتوثيق الأهلية للحصول على خدمة التأجير المحددة، ثم يتم مسحها بشكل آمن — انظر «جدول الاحتفاظ بالبيانات» في القسم ⁦⁦٦⁩⁩؛
• إجراءات الحماية: يقتصر الوصول إلى بيانات الإدانات على الموظفين المشاركين مباشرةً في عمليات التحقق من الأهلية وشركات التأمين/الوسطاء التابعين لنا؛ ولا تُستخدم هذه البيانات لأي غرض آخر (مثل التسويق)، ولا يتم مشاركتها إلا مع الأطراف الضرورية لإجراء تقييم التأمين.

جدول الاحتفاظ بالبيانات

• فئة البيانات — فترة الاحتفاظ — طريقة التخلص
• استفسارات الموقع الإلكتروني / عروض الأسعار (دون إجراء حجز) — ⁦⁦١٢⁩⁩ شهراً من تاريخ آخر اتصال — يتم حذفها / إخفاء هويتها
• عقود الحجز، والفواتير، وسجلات الدفع — ⁦⁦٦⁩⁩ سنوات من تاريخ انتهاء فترة الإيجار — يتم حذفها، مع مراعاة المتطلبات القانونية المتعلقة بالمحاسبة
• نسخ من رخصة القيادة وجواز السفر وإثبات العنوان — مدة الإيجار + ⁦⁦١٢⁩⁩ شهرًا — تُحذف البيانات بشكل آمن، ما لم تكن مطلوبة لحل نزاع أو مطالبة قائمة
• بيانات الإدانات المتعلقة بمخالفات القيادة / الجرائم الجنائية — تستمر مدة تقييم الأهلية لتلك العملية من التأجير فقط — يتم حذفها بشكل آمن فور انتفاء الحاجة إليها لهذا الغرض
• تقارير حالة المركبة / صور الاستلام والإرجاع — ⁦⁦١٢⁩⁩ شهرًا من تاريخ انتهاء فترة الاستئجار، أو حتى تسوية النزاع — يتم حذفها
• لقطات كاميرات المراقبة (إن وجدت) — ⁦⁦٣٠⁩⁩ يومًا — يتم استبدالها تلقائيًا
• سجلات الموافقة التسويقية / التفضيلات — تُحتفظ بها حتى سحب الموافقة، ثم تُدرج إلى أجل غير مسمى في قائمة الاستبعاد — تُحتفظ بها في قائمة الاستبعاد فقط
• سجلات الحوادث/مطالبات التأمين — وفقًا لمتطلبات شركة التأمين لدينا، وعادةً ما تصل مدة الاحتفاظ بها إلى ⁦⁦٧⁩⁩ سنوات — تُحذف بمجرد تأكيد شركة التأمين بعدم الحاجة إليها بعد الآن

تدابير أمن البيانات

نطبق التدابير الفنية والتنظيمية التالية:

• تشفير البيانات الشخصية أثناء النقل (TLS) وأيضًا أثناء التخزين، حيثما كان ذلك مدعومًا من قِبل مزودي الخدمة لدينا؛
• التحكم في الوصول بناءً على الأدوار، بحيث لا يمكن للموظفين الاطلاع إلا على البيانات الشخصية اللازمة لأدوارهم؛
• لا يتم تخزين أرقام البطاقات كاملةً على أنظمتنا — حيث تتم معالجة المدفوعات والإيداعات بالبطاقات من قِبل مزود خدمات دفع متوافق مع معيار PCI-DSS؛
• تدريب الموظفين على حماية البيانات والتعامل الآمن مع وثائق الهوية (رخص القيادة، وجوازات السفر، وإثباتات العنوان) خلال فترة التوجيه الأولي، ثم بشكل دوري بعد ذلك؛
• إجراء العناية الواجبة وإبرام اتفاقية مكتوبة لمعالجة البيانات مع كل جهة معالجة قبل بدء التعامل معها (انظر القسم ⁦⁦٨⁩⁩)؛
• التخلص الآمن من الوثائق المادية (مثل التقطيع المتقاطع) والحذف الآمن للسجلات الإلكترونية عند انتهاء فترة الاحتفاظ بها.

الجهات الخارجية المكلفة بمعالجة البيانات (الجهات الفرعية المكلفة بمعالجة البيانات)

نستعين بالأطراف الثالثة التالية لمعالجة البيانات الشخصية نيابة عنا. ويخضع كل منها لاتفاقية معالجة البيانات التي تلزمها بحماية البيانات الشخصية وفقًا للمعايير التي يقتضيها قانون الحماية العامة للبيانات (UK GDPR) على الأقل.

• الجهة المعالجة — الغرض — الموقع / تدابير الحماية
• Mailchimp (Intuit Inc.) — منصة للتسويق عبر البريد الإلكتروني — إرسال النشرات الإخبارية والرسائل الترويجية — الولايات المتحدة (إجراءات الحماية: اتفاقية نقل البيانات بين المملكة المتحدة والولايات المتحدة (UK IDTA) / جسر البيانات بين المملكة المتحدة والولايات المتحدة)
• Mandrill (خدمة Mailchimp) — إرسال رسائل البريد الإلكتروني المتعلقة بالمعاملات — تأكيدات الحجز، وإشعارات الإفراج عن الودائع — الولايات المتحدة (إجراءات الحماية: اتفاقية نقل البيانات بين المملكة المتحدة والولايات المتحدة (UK IDTA) / جسر البيانات بين المملكة المتحدة والولايات المتحدة (UK–US Data Bridge))
• Fast SMS — إرسال الرسائل القصيرة — الرسائل التسويقية والرسائل التشغيلية (مثل تذكيرات السداد) — المملكة المتحدة
• مزود خدمات الدفع — معالجة المدفوعات بالبطاقات وودائع الضمان — لم يتم تأكيده/تحديد اسمه بعد
• مزود خدمات استضافة المواقع الإلكترونية / الدعم التقني — استضافة موقع www.seasoncars.com والبنية التحتية الداعمة — سيتم تأكيده / تحديد اسمه لاحقًا

عمليات نقل البيانات الدولية

في حالة وجود الجهة المعالجة خارج المملكة المتحدة (حاليًّا Mailchimp و Mandrill، وكلاهما مقرهما في الولايات المتحدة)، فإننا نعتمد على إجراء وقائي معترف به — وهو «ملحق نقل البيانات الدولي» الخاص بالمملكة المتحدة الملحق بالبنود التعاقدية القياسية للاتحاد الأوروبي، و/أو «جسر البيانات بين المملكة المتحدة والولايات المتحدة»، شريطة أن تكون الجهة المستلمة معتمدة بموجب الإطار ذي الصلة. نقوم بمراجعة هذا الموقف بشكل دوري، وفي حال تعييننا لأي جهة معالجة جديدة خارج المملكة المتحدة، فإننا نتأكد من وجود إجراء وقائي مكافئ قبل نقل البيانات.

إجراءات الإبلاغ عن خروقات البيانات

⁦⁦١٠⁩.⁦١⁩⁩ يجب الإبلاغ عن أي انتهاك مشتبه به أو فعلي للبيانات الشخصية (مثل فقدان جهاز، أو الوصول غير المصرح به، أو رسالة بريد إلكتروني موجهة إلى عنوان خاطئ تحتوي على وثائق هوية) إلى المسؤول عن حماية البيانات على الفور، وفي جميع الأحوال في غضون ⁦⁦٢٤⁩⁩ ساعة من اكتشافه.

⁦⁦١٠⁩.⁦٢⁩⁩ سيقوم مسؤول حماية البيانات بتقييم المخاطر التي يتعرض لها الأفراد، وفي حال كان من المحتمل أن يؤدي الانتهاك إلى تعريض حقوق وحريات الأشخاص للخطر، سيقوم بالإبلاغ عنه إلى مكتب المفوض العام لحماية البيانات (ICO) في غضون ⁦⁦٧٢⁩⁩ ساعة من علمه به، وذلك وفقًا للمادة ⁦⁦٣٣⁩⁩ من اللائحة العامة لحماية البيانات (UK GDPR).

⁦⁦١٠⁩.⁦٣⁩⁩ في الحالات التي يُرجح أن يؤدي فيها خرق البيانات إلى تعريض الأفراد المتضررين لمخاطر كبيرة (مثل الكشف عن بيانات رخصة القيادة أو جواز السفر)، سنقوم أيضًا بإخطار هؤلاء الأفراد مباشرةً ودون تأخير لا مبرر له، وفقًا للمادة ⁦⁦٣٤⁩⁩.

⁦⁦١٠⁩.⁦٤⁩⁩ نحتفظ بسجل مكتوب لجميع الانتهاكات، سواء كانت خاضعة للإبلاغ إلى هيئة حماية البيانات (ICO) أم لا، بما في ذلك تفاصيل الحادثة، والبيانات المعنية، والإجراءات المتخذة.

التعامل مع طلبات أصحاب البيانات

⁦⁦١١⁩.⁦١⁩⁩ يجب إرسال طلبات الوصول إلى البيانات الشخصية أو تصحيحها أو حذفها أو نقلها، أو الاعتراض على معالجتها أو تقييدها، إلى البريد الإلكتروني info@seasoncars.com، حيث يتم تسجيلها والتحقق منها من قِبل المسؤول عن حماية البيانات.

⁦⁦١١⁩.⁦٢⁩⁩ نرد على الطلب في غضون شهر تقويمي واحد من استلام الطلب والتأكد من هوية مقدم الطلب. ويجوز تمديد هذه المدة لمدة شهرين إضافيين في حالة الطلبات المعقدة أو المتعددة، على أن يتم إبلاغ مقدم الطلب بالتمديد وسبب ذلك خلال الشهر الأول.

⁦⁦١١⁩.⁦٣⁩⁩ لا نفرض أي رسوم على الطلبات ما لم تكن هذه الطلبات لا أساس لها بشكل واضح، أو مفرطة، أو متكررة؛ وفي هذه الحالة، يجوز لنا فرض رسوم إدارية معقولة أو رفض الطلب، مع توضيح الأسباب.

تقييمات أثر حماية البيانات (DPIA)

نقوم بإجراء تقييم تأثير البيانات على الخصوصية (DPIA) قبل البدء في أي نشاط معالجة جديد من المحتمل أن يؤدي إلى مخاطر عالية على الأفراد — على سبيل المثال، إدخال أنظمة التليماتيكا/تتبع المركبات، أو كاميرات المراقبة التلفزيونية (CCTV)، أو أداة جديدة لاتخاذ قرارات التأمين آليًّا، أو إجراء تغيير جوهري في طريقة جمعنا أو مشاركتنا لبيانات الإدانات المتعلقة بالقيادة. وقد تم تقييم معالجتنا لبيانات الجرائم الجنائية لتحديد الأهلية للتأمين (القسم ⁦⁦٥⁩⁩) على أنها تتطلب ضمانات موثقة (وثيقة السياسة المناسبة) بدلاً من تقييم تأثير البيانات على الخصوصية (DPIA) الكامل، ولكن ينبغي إعادة النظر في ذلك إذا تغير حجم أو طبيعة تلك المعالجة بشكل جوهري.

التدريب والمراجعة

يتلقى جميع الموظفين الذين يتعاملون مع البيانات الشخصية تدريبًا على حماية البيانات عند التحاقهم بالعمل، ويتم تجديد هذا التدريب مرة واحدة على الأقل سنويًّا. وتُراجع هذه السياسة، بالإضافة إلى «سياسة الخصوصية» و«سياسة التسويق» المرتبطتين بها، مرة واحدة على الأقل سنويًّا، أو في وقت أقرب من ذلك في حالة حدوث تغيير جوهري في أنشطة المعالجة التي نقوم بها، أو في الجهات التي نتعامل معها في معالجة البيانات، أو في التشريعات السارية.

الاتصال

Season Car Rental Limited، Arch ⁦⁦56⁩⁩ Ingate Pl، Nine Elms، لندن SW⁦⁦8⁩ ⁦3⁩⁩NS.

البريد الإلكتروني: info@seasoncars.com | الهاتف: ⁦⁦٠٢٠٧⁩ ⁦٠٤٦⁩ ⁦٠٠٤٨⁩⁩.