تحليلات، ذكاء الأعمال ومنصات البيانات

• Regulation (EU) 2016/679 — GDPR, Articles 27 and 28
• Directive 2002/58/EC — ePrivacy for device access
• Regulation (EU) 2023/2854 — Data Act for cloud switching

من يجب أن يعيّن

المزودون خارج الاتحاد الذين يقدمون خدمات تحليلات أو منصات بيانات للعملاء في الاتحاد الأوروبي. حيث تعالج المنصة فقط ما يرسله العميل، يكون البائع معالجًا؛ حيث تقوم بتعزيز أو مقارنة أو تدريب على بيانات العملاء، تصبح متحكمًا لأغراض تلك المعالجة.

الحدود والإعفاءات

لا يوجد حد. تحليلات المنتج المدمجة في تطبيق العميل تقرأ وتكتب على أجهزة المستخدمين النهائيين، مما يجلب متطلبات موافقة الخصوصية بشكل مستقل عن تحليل اللائحة العامة لحماية البيانات.

ما يجب أن يظهر على الملصق

ليس ماديًا. هوية الممثل في إشعار الخصوصية وفي شروط المعالجة الموجهة للعملاء، وبيان واضح لما يفعله البائع ببيانات العملاء لأغراضه الخاصة.

حقول المنصات

يتطلب المشترون من الشركات في الاتحاد الأوروبي شروط المادة 28، قائمة المعالجات الفرعية، تحليل النقل، ومنذ قانون البيانات، شروط تعاقدية بشأن التبديل وقابلية نقل البيانات. يحتاج المشترون من القطاع العام إلى المزيد.

المستندات الواجب الاحتفاظ بها

سجلات المعالج بموجب المادة 30(2)، اتفاقيات المعالجة مع كل عميل ومعالج فرعي، تعيين المادة 27، بنود تعاقدية قياسية مع تقييمات تأثير النقل، إجراءات الاحتفاظ والحذف، وشروط التبديل بموجب قانون البيانات.

المعايير والاختبارات

غير قابلة للتطبيق، على الرغم من أن العملاء يمارسون حقوق التدقيق ويتوقعون شهادات مثل ISO 27001 أو SOC 2 كأدلة داعمة بدلاً من الامتثال.

المتطلبات اللغوية

وثائق العملاء بلغة السوق؛ إشعارات المستخدمين النهائيين بلغة المستخدمين.

متى ينطبق

الممثل قبل بدء المعالجة. يتم تنفيذ أحكام التبديل بموجب قانون البيانات بدءًا من سبتمبر 2025، مع سحب رسوم الخروج اعتبارًا من يناير 2027.

مدة حفظ المستندات

بيانات العملاء فقط للفترة المتعاقد عليها بالإضافة إلى نافذة الحذف المتفق عليها، مع حذف موثق عند الخروج.

عند عدم الامتثال

حتى 20 مليون يورو أو 4% من العائدات للمعالجة غير القانونية، و10 مليون يورو أو 2% لعدم وجود ممثل. استخدام بيانات العملاء لتدريب النماذج دون أساس هو الفشل الهيكلي المتكرر في هذا القطاع.

من ينفّذ

سلطات حماية البيانات عبر الاتحاد، والسلطات الوطنية المعينة لقانون البيانات.

أين يقع الحد الفاصل

التجميع لا يضمن إخفاء الهوية تلقائيًا: مجموعات البيانات المرجعية المبنية من بيانات العملاء غالبًا ما تظل بيانات شخصية، واستخدامها لأغراض البائع الخاصة يحتاج إلى أساس وشفافية خاصين، وليس مجرد بند في العقد.

أسئلة تُطرح علينا

هل يمكننا استخدام بيانات العملاء للمعايير؟

فقط مع وجود أساس قانوني خاص بك وشفافية للأفراد المعنيين. إذن في عقد العميل لا يحل الأمر.

هل جمع عنوان IP يعتبر معالجة؟

نعم. عناوين IP هي بيانات شخصية في يد خدمة يمكنها ربطها بمستخدم، وهو ما أكده محكمة العدل.