1.الغرض والنطاق
توضح هذه السياسة كيفية جمع منصة درب للبيانات الشخصية واستخدامها وحمايتها والاحتفاظ بها والإفصاح عنها عند الحاجة. وتطبق على المدارس والدور والجهات التعليمية المستفيدة، وعلى الإدارات والمعلمين والطلاب وأولياء الأمور وجميع المستخدمين المصرح لهم.
2.الجهة المسؤولة والأدوار
تقدم منصة درب خدماتها من خلال مؤسسة درب حلول وارتقاء. وتحدد المدرسة أو الدار أو الجهة التعليمية - بحسب طبيعة العلاقة والخدمة - أغراض معالجة بيانات منسوبيها ومستفيديها، وتكون جهة التحكم عندما ينطبق عليها هذا الوصف، بينما تعمل منصة درب كجهة معالجة بالقدر الذي تعالج فيه البيانات نيابة عن الجهة التعليمية ووفق تعليماتها الموثقة. وقد تكون منصة درب جهة تحكم مستقلة لبعض البيانات اللازمة لإدارة حساباتها التجارية والأمن والفوترة والدعم والامتثال.
3.فئات البيانات
قد تشمل البيانات: الاسم، بيانات الهوية عند الحاجة، رقم الجوال، البريد الإلكتروني، بيانات المدرسة أو الدار والصف أو الحلقة والمرحلة، بيانات الحساب والصلاحيات، الحضور والغياب، الواجبات والمشاركات والتقييمات والسجلات التعليمية، سجلات الحفظ والتلاوة عند تفعيلها، المراسلات، الملفات والصور المرفوعة، وسجلات الاستخدام والأجهزة والبيانات التقنية. كما قد تشمل: سجلات الاستئذان والانصراف وبيانات من يستلم الطالب، وحضور الحصص، والنقاط والمكافآت، والتعاميم، وأعذار الغياب ومرفقاتها، واشتراكات إشعارات المتصفح. وقد يُستخدم رقم الهوية الوطنية أو الإقامة معرّفاً لدخول الطالب أو الموظف إلى المنصة، ورقم جوال ولي الأمر معرّفاً لدخوله.
البيانات الحساسة: قد تسجل الجهة التعليمية في المنصة، بحسب ما تقرره، بيانات صحية عن الطلاب ضمن فئات تديرها الجهة التعليمية، منها افتراضياً: ضعف البصر أو السمع، والحساسية والربو، والحالات المزمنة أو الجراحية، والحالات السلوكية والنمائية، مع وصف الحالة والإجراء المطلوب عند وقوعها والتوصيات؛ وحالات خاصة اجتماعية أو مادية أو متعلقة بالحضانة؛ وقد تتضمن مرفقات أعذار الغياب تقارير طبية. وتُعد البيانات الصحية بيانات حساسة بمقتضى نظام حماية البيانات الشخصية ولوائحه وتعالج بعناية خاصة، إذ تُدار الحالات الصحية بصلاحية مستقلة لا تُمنح إلا لمن تحدده الجهة التعليمية، وتحدد الجهة التعليمية مستوى رؤيتها (المشرفون فقط، أو جميع المعلمين، أو معلمو الطالب، أو أشخاص محددون)، ويقيّد كل تعديل عليها في سجل التدقيق. وتتولى الجهة التعليمية بوصفها جهة التحكم تحديد الأساس النظامي لمعالجتها والحصول على موافقة ولي الأمر متى كانت مطلوبة.
4.أغراض المعالجة
تشمل الأغراض تشغيل الحسابات والتحقق من الصلاحيات، تقديم الخدمات التعليمية والإدارية، متابعة المستفيدين، تمكين التواصل، إعداد التقارير، الدعم الفني، حماية المنصة ومنع إساءة الاستخدام، النسخ الاحتياطي والتعافي، والوفاء بالالتزامات النظامية والتعاقدية.
5.الأساس النظامي والموافقة
تتم معالجة البيانات وفق الأساس النظامي المناسب لكل غرض وبما يتفق مع نظام حماية البيانات الشخصية في المملكة العربية السعودية ولوائحه. وعندما تكون الموافقة مطلوبة، يجب أن تكون واضحة ومحددة وقابلة للإثبات والسحب وفق المتطلبات النظامية.
6.بيانات الطلاب والقاصرين
تتعامل منصة درب مع بيانات الطلاب والمستفيدين القاصرين بعناية وصلاحيات محددة وبالقدر اللازم للخدمة التعليمية. وتتولى الجهة التعليمية تحديد الأساس النظامي المناسب وإجراءات إشعار أولياء الأمور أو الحصول على الموافقات متى كانت مطلوبة. ولا تستخدم منصة درب بيانات الطلاب لأغراض إعلانية مستقلة عن الخدمة التعليمية.
7.الإفصاح ومقدمو الخدمات
لا تفصح منصة درب عن البيانات إلا في الحدود اللازمة لتقديم الخدمة، أو استجابة لالتزام نظامي أو طلب صادر من جهة مختصة، أو وفق أساس نظامي آخر. ويجوز الاستعانة بمقدمي استضافة أو رسائل أو دعم أو أمن معلومات بعد تطبيق الالتزامات التعاقدية والفنية المناسبة. ويقتصر مقدمو الخدمات الذين تستعين بهم منصة درب في تاريخ نفاذ هذه السياسة على: Oracle Cloud Infrastructure للاستضافة وقواعد البيانات والملفات والنسخ الاحتياطية في منطقة الرياض داخل المملكة؛ وResend لإرسال رسائل البريد الإلكتروني التشغيلية (مثل تأكيد الطلبات والدعوات) وتعمل خارج المملكة؛ وMicrosoft 365 لاستقبال المراسلات الواردة إلى info@darbone.sa؛ وCloudflare لإدارة أسماء النطاقات فقط دون أن يمر عبرها أي محتوى من محتوى المنصة أو تطّلع عليه؛ وخدمات إشعارات المتصفحات التابعة لـGoogle وApple وMozilla لتوصيل الإشعارات الفورية إلى أجهزة المستخدمين المشتركين فيها، وتعمل خارج المملكة ويكون محتوى الإشعار مشفّراً ولا تطّلع عليه؛ وMeta (WhatsApp Business) عند تفعيل واتساب فقط وفق القسم 8. وتُدرج القائمة السارية ودور كل مزود في ملحق المعالجين الفرعيين باتفاقية معالجة وحماية البيانات.
8.WhatsApp وMeta
تقتصر المنصة في وضعها الحالي على عرض روابط تفتح تطبيق WhatsApp على جهاز المستخدم نفسه، ولا ترسل خوادم منصة درب أي بيانات إلى Meta. وعند تفعيل إرسال الإشعارات أو الرسائل عبر خدمة WhatsApp Business من Meta، تُعالج بيانات الاتصال ومحتوى الرسالة اللازم للتسليم بواسطة Meta خارج المملكة وفق شروطها وسياساتها والأنظمة المطبقة، ويُشترط اشتراك المستلم أو موافقته على استلام الرسائل وفق سياسات Meta، وتحدد الجهة التعليمية أنواع الإشعارات المرسلة عبر هذه القناة، وتلتزم منصة درب والجهة التعليمية بقصر البيانات المرسلة على الحد الأدنى اللازم. ويخضع هذا النقل لأحكام القسم 9 من هذه السياسة.
9.نقل البيانات خارج المملكة
لا يتم نقل البيانات الشخصية خارج المملكة أو إتاحتها من خارجها إلا بعد مراعاة متطلبات نظام حماية البيانات الشخصية واللوائح ذات الصلة بنقل البيانات الشخصية والضمانات المطلوبة بحسب الحالة. وتُستضاف قواعد البيانات والملفات المرفوعة والنسخ الاحتياطية على Oracle Cloud Infrastructure في منطقة الرياض داخل المملكة. وتقتصر الحالات التي تُعالج فيها بيانات شخصية خارج المملكة على: (أ) إرسال رسائل البريد الإلكتروني التشغيلية عبر Resend؛ (ب) توصيل الإشعارات الفورية عبر خدمات إشعارات المتصفحات التابعة لـGoogle وApple وMozilla، ويكون محتوى الإشعار مشفّراً ولا تطّلع عليه؛ (ج) عند تفعيل واتساب، إرسال الإشعارات والرسائل عبر Meta وفق القسم 8. وتخضع هذه الحالات لأحكام لائحة نقل البيانات الشخصية إلى خارج المملكة.
10.أمن المعلومات وحوادث البيانات
تطبق منصة درب تدابير تنظيمية وتقنية مناسبة تشمل إدارة الصلاحيات، حماية بيانات الدخول، التشفير حيث يلزم، التسجيل والمراقبة، النسخ الاحتياطي، تحديث الأنظمة، وإجراءات الاستجابة للحوادث. وعند وقوع حادثة بيانات، تتبع المنصة إجراءات التقييم والإشعار والتعاون وفق المتطلبات النظامية. وتشمل هذه التدابير على وجه التحديد: تخصيص قاعدة بيانات مستقلة لكل مدرسة أو دار أو جهة تعليمية لا تشترك في أي جدول مع غيرها، مع سياسات أمان على مستوى الصف داخل كل قاعدة؛ وتشفير جميع الاتصالات بين المستخدم والمنصة ببروتوكول TLS؛ ونسخاً احتياطية مشفّرة لا يُحفظ مفتاح فكّ تشفيرها على أي خادم وتُختبر قابلية استعادتها آلياً؛ والتحقق الثنائي الإجباري لجميع مشغّلي المنصة؛ وصلاحيات قائمة على الأدوار بمبدأ الرفض ما لم يُسمح؛ وسجل تدقيق داخل قاعدة بيانات كل جهة تعليمية يقيّد كل تعديل على البيانات الأساسية. وعند وقوع حادثة تمس بيانات جهة تعليمية، تخطرها منصة درب خلال 48 ساعة من علمها بها مع المعلومات اللازمة للتقييم، بما يمكّن الجهة التعليمية بوصفها جهة التحكم من الوفاء بالتزامها بإخطار الهيئة السعودية للبيانات والذكاء الاصطناعي (سدايا) خلال 72 ساعة وفق نظام حماية البيانات الشخصية ولوائحه. وعندما تكون منصة درب جهة التحكم، تتولى هي إخطار الهيئة خلال 72 ساعة وإخطار أصحاب البيانات متى كان ذلك مطلوباً نظاماً.
11.حقوق أصحاب البيانات
تيسر منصة درب - بالتنسيق مع الجهة التعليمية عندما تكون جهة التحكم - ممارسة الحقوق المقررة نظاماً، ومنها الحق في العلم والوصول والحصول على نسخة والتصحيح وطلب الإتلاف في الحالات التي يقررها النظام، مع مراعاة الاستثناءات النظامية. وتلتزم منصة درب، فيما تكون فيه جهة تحكم، بالرد على طلبات أصحاب البيانات خلال 30 يوماً من استلامها؛ وفيما تكون فيه جهة معالجة، تحيل الطلب إلى الجهة التعليمية دون تأخير وتساعدها بما يمكّنها من الرد خلال 30 يوماً. وتتيح بوابة ولي الأمر في المنصة لولي الأمر الاطلاع المباشر على بيانات أبنائه، وهي وسيلة عملية لممارسة حق الوصول. ويحق لصاحب البيانات تقديم شكوى إلى الهيئة السعودية للبيانات والذكاء الاصطناعي (سدايا) إذا رأى أن معالجة بياناته تخالف نظام حماية البيانات الشخصية ولوائحه.
12.الاحتفاظ والإتلاف
تحتفظ منصة درب بالبيانات للمدة اللازمة لتحقيق الغرض أو الوفاء بالتزام نظامي أو تعاقدي، ثم تتلفها أو تجعلها مجهولة الهوية بطريقة آمنة عند انتهاء الحاجة، وفق سياسة الاحتفاظ والإتلاف. ومن أبرز المدد المطبقة: حذف بيانات الجهة التعليمية من الأنظمة التشغيلية خلال 30 يوماً من انتهاء العقد؛ وبقاء البيانات المحذوفة في النسخ الاحتياطية المشفّرة مدة لا تتجاوز 12 شهراً (نسخ يومية تُحفظ 30 يوماً ونسخ شهرية تُحفظ 12 شهراً) ثم تُزال؛ وحذف ملفات التصدير آلياً خلال نحو ساعة من إنشائها؛ وحذف قاعدة بيانات بيئة التجربة آلياً عند انتهاء الجلسة؛ والاحتفاظ ببيانات طلبات التجربة والبرنامج 12 شهراً من آخر تواصل. وتفصّل سياسة الاحتفاظ بالبيانات وإتلافها (الوثيقة الرابعة) هذه المدد وأساليب الإتلاف.
13.ملفات الارتباط والسجلات التقنية
تستخدم المنصة ملفات الارتباط الضرورية فقط لإدارة جلسة الدخول وحماية الحساب والأمن، ولا تستخدم ملفات ارتباط إعلانية أو تحليلية، ولا أي أدوات تحليلات أو قياس من أطراف ثالثة. والعنصر الخارجي الوحيد المضمّن في الموقع هو ختم التوثيق الصادر من المركز السعودي للأعمال. وتحتفظ المنصة بالسجلات التقنية اللازمة للأمن والتشغيل وفق سياسة الاحتفاظ بالبيانات وإتلافها.
14.التحديثات والتواصل
يجوز تحديث هذه السياسة عند تغير المتطلبات النظامية أو التشغيلية. وتنشر النسخة السارية عبر الموقع أو المنصة. للاستفسارات المتعلقة بالخصوصية يمكن التواصل عبر info@darbone.sa أو خدمة العملاء 0555784120.
15.طلبات التجربة والبرنامج عبر الموقع
عند تقديم طلب تجربة أو طلب برنامج عبر الموقع darbone.sa، تجمع منصة درب الاسم واسم المدرسة أو الجهة والدور الوظيفي ورقم الجوال والبريد الإلكتروني والمدينة وما يختار مقدم الطلب إضافته، مع عنوان الشبكة (IP) ونوع المتصفح لمنع إساءة الاستخدام، وتوثَّق موافقة مقدم الطلب على هذه السياسة. وتكون منصة درب جهة التحكم لهذه البيانات، وتعالجها لغرض التواصل بشأن الطلب وتقديم بيئة التجربة وإدارة العلاقة التجارية، ولا تفصح عنها إلا في الحدود المبينة في القسم 7. وتحتفظ بها مدة 12 شهراً من آخر تواصل مع مقدم الطلب ثم تحذفها. وتُنشأ لبيئة التجربة قاعدة بيانات مؤقتة مستقلة لكل جلسة تُحذف آلياً عند انتهاء الجلسة. ويمارس مقدم الطلب حقوقه المقررة نظاماً عبر info@darbone.sa، وترد منصة درب خلال 30 يوماً.
بيانات التواصل
الموقع الإلكتروني: darbone.sa
البريد الإلكتروني: info@darbone.sa
خدمة العملاء: 0555784120