ابدأ بخريطة المعلومات المجموعة لفعاليتك: التسجيل ومسح الشارات وتفضيلات الاجتماعات وأي سجلات حيوية. ثم راجع كل استخدام وفق الإطار الذي ينطبق على فعاليتك.
حدّد الإطار المطبق
يوضح المركز المعرفي لسدايا مسؤوليات نظام حماية البيانات الشخصية السعودي وحماية أصحاب البيانات. وفي دبي، يشرف مفوض حماية البيانات في مركز دبي المالي العالمي DIFC على قانون المركز الخاص. ولأن القواعد تختلف باختلاف الولاية القانونية، اطلب من المستشار القانوني المسؤول تحديد الأنظمة التي تغطي المنظم والموردين والمعالجة.
افصل التسجيل عن التسويق
سجّل لكل حقل غرضه ومستلميه وصلاحيات الوصول. تلزم المادة 29 من اللائحة التنفيذية السعودية بالحصول على الموافقة قبل معالجة البيانات الشخصية للتسويق المباشر، وإتاحة وسيلة لإيقاف استقباله. وعندما ينطبق الإطار السعودي، تحقّق من هذا الحكم، وافصل موافقة التسويق عن التسجيل.
اسأل الموردين عما يصل للعارض من مسح الشارة، وما يصل للرعاة، وهل تعاد الاستفادة من ملفات التوفيق لغرض آخر. اجعل كل تدفق واضحاً قبل قبول نموذج التسجيل الافتراضي للمورد.
حدّد الاحتفاظ بحسب الغرض
يوضح مركز سدايا المعرفي عدم وجود مدة احتفاظ ثابتة موحدة؛ فالاحتفاظ يرتبط بضرورة تحقيق الغرض المحدد والمتطلبات المطبقة. سجّل الغرض وقرار الاحتفاظ ومسؤول الحذف وطريقة التعامل مع نسخ الموردين.
اضبط الصلاحيات وراجع الموردين
يصف NIST المصادقة متعددة العوامل كحاجز إضافي عند اختراق كلمة المرور. فعّل مصادقة متعددة العوامل مناسبة للحسابات الإدارية، وأتح للموظفين ما يلزم لمهامهم فقط، وراجع الصلاحيات عند انتهاء العمل.
اطلب من الموردين إثبات ضوابط الأمن التي تغطي خدمتك ووسائل التواصل للحوادث وإجراءات الحذف. اختبر قيود الوصول المعنية. واعتبر الشهادة أو ادعاء التشفير جزءاً واحداً من مراجعة الأدلة. وطبّق الأسئلة نفسها على أدوات الذكاء الاصطناعي، مستعيناً بدليلنا عن تقييم تجربة الذكاء الاصطناعي في الفعاليات.
جهّز سجل قرارات الحوادث
قبل الافتتاح، حدّد من يتصل بالمورد، ومن يقيّم البيانات المتأثرة، ومن يطلب المشورة بشأن الإبلاغ وفق الولاية المعنية. جرّب تعطل التسجيل مع فريق التشغيل. سجّل القرارات وأوقاتها، واتبع قاعدة الإبلاغ التي تنطبق على حالتك.
