META Channel Corporation Limited هي Praxis House متخصصة في التنفيذ التنظيمي والقانوني والتقني. ويقتضي نشاطنا أن تُدار نظم المعلومات التي تدعم عملياتنا، وبيانات عملائنا ومتعاونينا والمؤسسات المرتبطة بنا، بأقصى درجات الصرامة. وتحدد هذه السياسة المبادئ والأطر المرجعية والالتزامات التي تحكم أمن المعلومات في META Channel Corporation Limited.
بوصفنا جهة تقدّم الاستشارات وتنفّذ مشاريع الامتثال التنظيمي في إطار المنظومة التشريعية الأوروبية، فإننا نطبّق داخليًا المعايير ذاتها التي نطالب بها عملاءنا ونساعدهم على تطبيقها. فالاتساق بين ما ننفّذه للآخرين وما نطبّقه داخل مؤسستنا ليس خيارًا، بل هو شرط مصداقيتنا.
1. الأطر التنظيمية المرجعية
تتوافق إدارة أمن المعلومات في META Channel Corporation Limited مع الأطر التنظيمية والمعايير الدولية التالية:
| اللائحة العامة لحماية البيانات (GDPR)، اللائحة (الاتحاد الأوروبي) 2016/679 | الإطار الأساسي لحماية البيانات الشخصية. تحدد التزامات الأمن التقنية والتنظيمية وفقًا للمادتين 25 (الخصوصية من خلال التصميم) و32 (أمن المعالجة). |
| NIS2، التوجيه (الاتحاد الأوروبي) 2022/2555 | التوجيه المتعلق بالأمن السيبراني في الاتحاد الأوروبي. تعتمد META Channel Corporation Limited مبادئه في إدارة المخاطر إطارًا مرجعيًا تشغيليًا، وأساسًا لتأهيل العملاء الذين نساعدهم على الامتثال له. |
| DORA، اللائحة (الاتحاد الأوروبي) 2022/2554 | لائحة المرونة التشغيلية الرقمية للقطاع المالي. تنطبق مباشرة على عدد كبير من عملاء META Channel Corporation Limited في قطاعات التكنولوجيا المالية (fintech) والترميز وتمويل التقاضي (litigation finance). ونعتمد مبادئها مرجعًا داخليًا ونموذجًا للتطبيق. |
| ISO/IEC 27001:2022 | المعيار الدولي لنظم إدارة أمن المعلومات (ISMS). إطار مرجعي لتحديد الأصول، وتقييم المخاطر، وتطبيق الضوابط، والتحسين المستمر. |
| AI Act، اللائحة (الاتحاد الأوروبي) 2024/1689 | الإطار التنظيمي الأوروبي لأنظمة الذكاء الاصطناعي (قانون الذكاء الاصطناعي). تدير META Channel Corporation Limited أنظمتها وأدواتها القائمة على الذكاء الاصطناعي وفق مبادئ الشفافية والإشراف البشري والحد من المخاطر، استباقًا للمتطلبات المطبقة على عملائها. |
| LOPDGDD (القانون الأساسي 3/2018) | القانون الإسباني المكمّل لـ GDPR (قانون حماية البيانات الشخصية وضمان الحقوق الرقمية). ينطبق على معالجة البيانات التي تجري من الأراضي الإسبانية، بما في ذلك عمليات META Channel Corporation Limited في تينيريفي ومدريد. |
| Data Protection Act 2018 (IE) | إطار حماية البيانات في جمهورية أيرلندا (قانون حماية البيانات الأيرلندي لعام 2018). ينطبق على META Channel Corporation Limited بصفتها كيانًا مؤسسًا في أيرلندا بموجب Companies Act 2014 (قانون الشركات الأيرلندي لعام 2014). |
2. المبادئ الأساسية للأمن
| السرية | لا يطّلع على بيانات ومعلومات META Channel Corporation Limited وعملائها ومتعاونيها إلا الموظفون المصرّح لهم. ويُدار الوصول من خلال التحكم القائم على الأدوار ومبدأ الحد الأدنى من الصلاحيات. ويخضع جميع الموظفين والمتعاونين الذين يملكون صلاحية الوصول إلى الأنظمة لواجب سرية غير محدد المدة. |
| سلامة البيانات | تُحفظ البيانات والمعلومات التي تديرها META Channel Corporation Limited دقيقةً وكاملةً ومتسقة. وتُطبَّق ضوابط لكشف أي تعديلات غير مصرّح بها في المستندات والملفات وأنظمة الإدارة وتصحيحها. |
| الإتاحة | تظل الأنظمة والمعلومات الحيوية لعمليات META Channel Corporation Limited متاحة للموظفين المصرّح لهم عند الحاجة إليها. وتُعتمد خطط للطوارئ وإجراءات للتعافي من الحوادث. |
| الخصوصية من خلال التصميم وبشكل افتراضي | وفقًا للمادة 25 من GDPR، تُدمج حماية البيانات الشخصية منذ مرحلة تصميم أي عملية أو نظام أو منتج جديد. ويضمن الإعداد الافتراضي لجميع الأنظمة أعلى مستوى من الخصوصية دون الحاجة إلى تدخل صاحب البيانات. |
| المرونة التشغيلية | تدير META Channel Corporation Limited اعتمادها على التكنولوجيا وفق معايير المرونة: تحديد الأصول الحيوية، وتقييم مزوّدي التكنولوجيا، ووضع خطط استمرارية الأعمال، والقدرة على التعافي من الانقطاعات أو الحوادث السيبرانية. |
| المساءلة | وفقًا للمادة 5(2) من GDPR، لا تكتفي META Channel Corporation Limited بالوفاء بالتزامات الأمن، بل تستطيع إثبات هذا الامتثال في أي وقت. وتشكّل الوثائق والسجلات والإجراءات الداخلية الدليل على هذا الالتزام. |
| التحسين المستمر | تراجع META Channel Corporation Limited دوريًا فعالية ضوابطها، وتحدّث إجراءاتها عند حدوث تغييرات تنظيمية أو تقنية، وتستفيد من الدروس المستخلصة من الحوادث وعمليات المراجعة. |
| التناسب | تُطبَّق ضوابط الأمن بما يتناسب مع المخاطر الفعلية لكل عملية معالجة وكل أصل. فلا الإفراط في التدابير مقبول ولا التقصير فيها: يجب أن يكون الأمن ملائمًا وفعالًا وقابلًا للاستدامة من الناحية التشغيلية. |
3. التدابير التقنية والتنظيمية المطبقة
تطبّق META Channel Corporation Limited التدابير التالية وفقًا للمادة 32 من GDPR، مع مراعاة أحدث ما توصلت إليه التقنية، وتكاليف التنفيذ، وطبيعة المعالجة ونطاقها وأغراضها:
التشفير والاتصالات الآمنة
- التشفير أثناء النقل باستخدام TLS 1.2/1.3 في جميع الاتصالات عبر الويب (HTTPS).
- التشفير أثناء التخزين في أنظمة التخزين التي تُعالَج فيها البيانات الشخصية.
- الاتصالات الداخلية عبر قنوات مشفّرة، مع حظر نقل البيانات الحساسة عبر قنوات غير مشفّرة.
التحكم في الوصول والمصادقة
- المصادقة الثنائية (2FA) إلزامية للوصول إلى الأنظمة التي تحتوي على بيانات شخصية.
- مبدأ الحد الأدنى من الصلاحيات: لا يصل كل مستخدم إلا إلى البيانات اللازمة لأداء مهامه.
- مراجعة دورية للصلاحيات، وإلغاء فوري لحقوق الوصول عند تغيّر العلاقة أو انتهائها.
إدارة المزوّدين ومعالجي البيانات
- إبرام عقود معالجة البيانات (المادة 28 من GDPR) مع جميع المزوّدين الذين يصلون إلى البيانات الشخصية.
- تقييم مسبق لمزوّدي التكنولوجيا من حيث الأمن والامتثال التنظيمي.
- تغطية عمليات النقل الدولي للبيانات بآليات ملائمة وفقًا للفصل الخامس من GDPR.
إدارة الحوادث والخروقات
- بروتوكول داخلي للاستجابة لخروقات الأمن يُفعَّل خلال الساعات الأربع الأولى.
- إخطار DPC (أيرلندا) و/أو AEPD (إسبانيا) في غضون 72 ساعة كحد أقصى عندما يكون ذلك واجبًا.
- سجل داخلي لجميع الحوادث، سواء أكانت واجبة الإخطار أم لا، وفقًا للمادة 33(5) من GDPR.
- إجراء موثّق لإبلاغ أصحاب البيانات المتأثرين عندما تكون المخاطر عالية.
الاستمرارية والمرونة
- نسخ احتياطية دورية للأنظمة والبيانات الحيوية مع التحقق من سلامتها.
- إجراءات للتعافي من الأعطال التقنية أو الحوادث السيبرانية.
- تقييم الاعتماد على التقنيات الحيوية، ووضع خطط طوارئ لمواجهة تعذّر الحصول على خدمات المزوّدين.
التدريب والتوعية
- يتلقى جميع الموظفين والمتعاونين الذين يملكون صلاحية الوصول إلى الأنظمة معلومات عن التزاماتهم في مجال الأمن.
- تحديث دوري بشأن التهديدات ذات الصلة والممارسات الجيدة في الأمن السيبراني.
- واجب سرية غير محدد المدة مُثبَت تعاقديًا.
4. تقييمات الأثر وتحليل المخاطر
تُجري META Channel Corporation Limited تقييمات الأثر على حماية البيانات (DPIA/EIPD) وفقًا للمادة 35 من GDPR بالنسبة إلى عمليات المعالجة التي قد تنطوي على مخاطر عالية على حقوق أصحاب البيانات وحرياتهم. ويسبق تحليلُ المخاطر بدءَ أي معالجة جديدة أو أي تعديل جوهري على معالجة قائمة.
تستند منهجية تحليل المخاطر المطبقة إلى معايير المجلس الأوروبي لحماية البيانات (EDPB) وإلى مبادئ المعيار ISO/IEC 27005 لإدارة مخاطر أمن المعلومات. وتُوثَّق نتائج كل تقييم وتُحفظ بوصفها جزءًا من منظومة المساءلة في META Channel Corporation Limited.
5. الاتساق التنظيمي: ما نطبّقه هو ما ننفّذه
تقدّم META Channel Corporation Limited الاستشارات وتنفّذ مشاريع الامتثال في إطار أكثر الأطر التنظيمية الأوروبية صرامة: GDPR، وNIS2، وDORA، وAI Act، وMiCA، وأطر الأمن السيبراني الخاصة بـ ENS (Esquema Nacional de Seguridad، الإطار الوطني الإسباني لأمن المعلومات). وتقوم مصداقيتنا بوصفنا Praxis House للتنفيذ التنظيمي على مبدأ لا يقبل الاستثناء: نطبّق داخليًا، وبصرامة، المعايير ذاتها التي نساعد عملاءنا على تطبيقها.
وهذا يعني أن العميل الذي يكلّفنا بمشروع للامتثال لـ NIS2 أو لتطبيق إطار DORA يفعل ذلك وهو يعلم أن الفريق المنفّذ يعمل أصلًا وفق هذه المبادئ. فنحن لا نبيع امتثالًا لا نمارسه. وهذا الاتساق بحد ذاته ضمانة لعملائنا وشركائنا المؤسسيين.
6. المراجعة والتحديث والتواصل
تُراجَع هذه السياسة مرة واحدة سنويًا على الأقل، وكلما حدث تغيير تنظيمي مهم أو حادث جسيم أو تعديل جوهري في أنظمة META Channel Corporation Limited أو في عمليات المعالجة التي تجريها. والنسخة السارية هي دائمًا المنشورة على metachannelcorp.com/ar/security-policy/.
لأي استفسار بشأن هذه السياسة، أو للإبلاغ عن ثغرة أو حادث أمني: privacidad@metachannelcorp.com
السلطات الرقابية المختصة: Data Protection Commission (DPC، هيئة حماية البيانات) — أيرلندا · Agencia Española de Protección de Datos (AEPD، الوكالة الإسبانية لحماية البيانات)
