تبدو تذكرة الدعم الفني شيئاً بسيطاً: عنوان، وبضع رسائل، وربما لقطة شاشة. لكن افتح نظام مكتب مساعدة في أي شركة خليجية وستجد صور هويات وطنية مرفقة بطلبات استعادة الحسابات، وأرقام هواتف وعناوين منازل في شكاوى التوصيل، وأسئلة عن الرواتب في تذاكر الموارد البشرية، وملاحظات طبية في طلبات الإجازة. مكتب المساعدة من أكبر مخازن البيانات الشخصية في الشركة، وعادةً يحظى باهتمام أقل من نظام إدارة العملاء أو نظام تخطيط الموارد.
هذا مهم لأن لدى كلٍّ من الإمارات والسعودية الآن قانون لحماية البيانات الشخصية، وكلاهما يتناول مسألة إلى أين يمكن أن تذهب هذه البيانات. يستعرض هذا المقال ما يقوله القانونان فعلاً في النقاط التي تمس مكتب المساعدة، ثم يحوّل ذلك إلى قائمة قرارات قصيرة لمن يدير الدعم. المقال موجّه لمديري تقنية المعلومات والدعم، لا للمحامين، وهو ليس استشارة قانونية؛ في حالتك الخاصة استشر محامياً يعمل مع هذه القوانين يومياً.
القانونان في فقرة لكل منهما
الإمارات. المرسوم بقانون اتحادي رقم 45 لسنة 2021 بشأن حماية البيانات الشخصية دخل حيّز التنفيذ في 2 يناير 2022 بحسب البوابة الرسمية لحكومة الإمارات. وتلخّص الصفحة نفسها أهم أحكامه: يسري على معالجة البيانات الشخصية داخل الدولة أو خارجها، ويشترط موافقة صاحب البيانات إلا في حالات محددة، ويمنح الأفراد حق تصحيح بياناتهم وتقييد معالجتها، ويضع متطلبات لنقل البيانات عبر الحدود. ومكتب الإمارات للبيانات هو الجهة الاتحادية المنظِّمة. أما المناطق الحرة المالية مثل مركز دبي المالي العالمي فلها قانونها الخاص لحماية البيانات، لذلك تحقّق من النظام الذي ينطبق على كل كيان في مجموعتك.
السعودية. صدر نظام حماية البيانات الشخصية في سبتمبر 2021 (تذكر منصة حوكمة البيانات الوطنية التابعة لسدايا تاريخ 16 سبتمبر 2021)، والمادة 43 من النظام جعلت نفاذه بعد 720 يوماً من تاريخ نشره في الجريدة الرسمية. وتنص المادة الثانية على سريانه على أي معالجة تتم في المملكة، وعلى معالجة بيانات المقيمين في المملكة من أي جهة خارجها. وتدير سدايا السجل الوطني لجهات التحكم.
ماذا يقول النظام السعودي عن نقل البيانات إلى الخارج؟
هذا هو السؤال الذي يطرحه معظم من يشترون نظام مكتب مساعدة، لذلك يستحق قراءة النص نفسه لا ملخصاً عنه. تسمح المادة 29 لجهة التحكم بنقل البيانات الشخصية خارج المملكة لأغراض محددة وبشروط: ألا يضر النقل بالأمن الوطني أو المصالح الحيوية للمملكة، وأن يتوفر مستوى حماية كافٍ في الخارج لا يقل عن المستوى الذي يكفله النظام وفق تقييم الجهة المختصة، وأن يقتصر النقل على الحد الأدنى من البيانات اللازمة. وتتولى اللائحة التنفيذية التفاصيل والاستثناءات.
ونشرت سدايا بعد ذلك أدوات عملية للنقل، منها البنود التعاقدية القياسية والقواعد المؤسسية الملزمة لمجموعات الشركات، ودليلاً لتقييم مخاطر نقل البيانات خارج المملكة.
القراءة العملية لمكتب المساعدة: استضافة التذاكر في الخارج ليست ممنوعة بشكل مطلق، لكنها قرار تصحبه مستندات. يجب أن يستطيع أحدٌ ما أن يبيّن الآلية التي تغطي النقل، وأن البيانات المنقولة هي الضرورية فقط.
ثلاثة أحكام أخرى تقع على فريق الدعم
مدة الاحتفاظ. تنص المادة 18 من النظام السعودي على أن تُتلف جهة التحكم البيانات الشخصية دون تأخير غير مبرر متى انتهت الحاجة إليها للغرض الذي جُمعت من أجله، إلا إذا وُجد سند نظامي للاحتفاظ بها مدة أطول أو ارتبطت بقضية منظورة أمام القضاء. معظم أنظمة الدعم تحتفظ بكل تذكرة وكل مرفق إلى الأبد لأن أحداً لم يضع قاعدة. وهذا الوضع الافتراضي عكس ما تطلبه المادة.
الإبلاغ عن التسرّب. بموجب المادة 24 من اللائحة التنفيذية السعودية، على جهة التحكم إشعار الجهة المختصة خلال مدة لا تتجاوز 72 ساعة من علمها بحادثة تسرّب قد تُلحق ضرراً، مع وصف الحادثة وفئات المتأثرين وعددهم التقريبي والإجراءات المتخذة. ولن تستطيع كتابة هذا الإشعار خلال 72 ساعة إن لم تكن تعرف أين تُحفظ مرفقات التذاكر.
حقوق أصحاب البيانات. يمنح القانونان الأفراد حقوقاً على بياناتهم، منها التصحيح. وفي مكتب المساعدة يعني ذلك القدرة على إيجاد كل تذكرة تخص شخصاً واحداً عبر البريد ونموذج الويب وأي قناة أخرى، والتصرف فيها. وإن كانت التذاكر موزعة بين صندوق بريد مشترك وتطبيق دردشة وجدول بيانات، فالبحث نفسه هو الجزء الصعب.
أين تنتهي بيانات مكتب المساعدة فعلاً؟
عندما يتحدث الناس عن توطين البيانات يقصدون عادةً قاعدة البيانات الرئيسية. لكن بيانات مكتب المساعدة تنتشر أبعد من ذلك:
- المرفقات، وغالباً تُحفظ في مخزن ملفات منفصل وأحياناً في منطقة مختلفة عن قاعدة البيانات.
- البريد الإلكتروني الذي يمر عبر مزوّد البريد المستخدم للإشعارات والردود.
- فهارس البحث التي تحمل نسخاً من نص التذاكر.
- النسخ الاحتياطية التي تُبقي التذاكر المحذوفة حيّة بعد انتهاء مدة الاحتفاظ بوقت طويل.
- ميزات الذكاء الاصطناعي التي قد ترسل نص التذكرة إلى نموذج مستضاف في مكان آخر لصياغة رد أو تلخيص محادثة.
- التكاملات مثل بوابات الرسائل النصية وقنوات الدردشة وأدوات التحليل.
عبارة «بياناتك محفوظة في المنطقة الفلانية» لدى المزوّد تشير عادةً إلى البند الأول فقط لا إلى البنود الستة. اسأل عن كل بند على حدة. والمرفقات تستحق عناية إضافية لأسباب أمنية أيضاً، وقد كتبنا عن تحصين تنزيل المرفقات بعد أن وجدنا ثغرة حقيقية في منتجنا.
ستة قرارات لمن يدير الدعم
- حدّد أين تُحفظ التذاكر، بما فيها المرفقات والنسخ الاحتياطية. اكتب ذلك لكل بند من القائمة أعلاه. وإن كان أي جزء خارج الدولة، فسمِّ آلية النقل التي تغطيه.
- ضع قاعدة احتفاظ لكل نوع تذكرة. طلبات إعادة تعيين كلمة المرور لا تحتاج إلى حفظ خمس سنوات، بينما قد تحتاج تذاكر الموارد البشرية والشؤون القانونية إلى مدة أطول. ثم تأكد أن الحذف يصل إلى المرفقات وإلى النسخ الاحتياطية وفق جدول.
- توقّف عن جمع ما لا تحتاجه. إن كان الموظفون يطلبون من العملاء «إرسال صورة الهوية» بحكم العادة، فاستبدل ذلك بخطوة تحقق لا تترك صورة في التذكرة.
- قيّد من يرى ماذا. لا ينبغي أن تكون تذاكر الموارد البشرية والمالية ظاهرة لكل موظف دعم. صلاحيات الفروع والأقسام أرخص أداة خصوصية لديك.
- احتفظ بسجل تدقيق. عندما يحدث خطأ، تبدأ مهلة الـ72 ساعة بسؤال: من اطّلع على ماذا؟ تأكد أن مكتب المساعدة يستطيع الإجابة.
- افحص ميزات الذكاء الاصطناعي قبل تفعيلها. اعرف أين يعمل النموذج، وهل يحتفظ المزوّد بنص التذاكر، وهل يمكنك إيقافها للطوابير الحساسة.
سحابة عالمية أم سحابة محلية أم خوادمك الخاصة؟
هناك ثلاثة خيارات صادقة، ولا يوجد خيار يناسب الجميع.
نظام دعم سحابي عالمي هو الأسرع في البدء، لكنك تعتمد على مستندات النقل وعلى المعالجين الفرعيين لدى المزوّد. نظام مستضاف في منطقة محلية يُبقي البيانات الرئيسية داخل الدولة، لكن راجع البنود الستة أعلاه، فالبريد والذكاء الاصطناعي والنسخ الاحتياطية كثيراً ما تخرج رغم ذلك. أما الاستضافة الذاتية على خوادمك أو في مركز بيانات محلي فتمنحك تحكماً كاملاً في البنود الستة، مقابل أن تتولى تشغيله بنفسك. قارنّا هذه المفاضلة لمساعد ذكاء اصطناعي داخلي في مقال النشر المحلي مقابل السحابي، ومعظم ذلك المنطق ينطبق على مكتب المساعدة أيضاً. وإن كنت ما زلت تختار منتجاً، فإن قائمة معايير اختيار نظام الدعم تغطي بقية المعايير.
أين يقع FanDesk من كل هذا؟
يمكن تشغيل FanDesk كخدمة سحابية، ويمكن أيضاً تثبيته عبر Docker على بنيتك التحتية، فتبقى التذاكر والمرفقات والنسخ الاحتياطية على خوادم تختارها أنت. يتضمن صلاحيات للفروع والأقسام، وسجل نشاط، وقواعد اتفاقية مستوى خدمة تحترم ساعات العمل، وواجهة عربية وإنجليزية مع دعم الكتابة من اليمين إلى اليسار. إن كان توطين البيانات هو ما يؤخر قرارك بشأن مكتب المساعدة، اطّلع على خيارات نشر FanDesk واسألنا كيف يمكن أن يتوافق التثبيت الذاتي مع جرد بياناتك.
