حين تنقل شركة دعم عملائها إلى مزوّد في بلد آخر، يصبح ذلك المزوّد متعاملاً مع البيانات الشخصية لعملائها. وإن كان أيٌّ من هؤلاء العملاء في أوروبا، فالترتيب يقع تحت النظام الأوروبي لحماية البيانات (GDPR)، وسيطرح فريق الامتثال لديك مجموعة محدّدة من الأسئلة قبل أن يوقّع. ومعرفتها مسبقاً تحوّل موافقة تستغرق ثلاثة أشهر إلى موافقة تستغرق ثلاثة أسابيع.
وهذا وصف للأسئلة، لا استشارة قانونية.
إلى أين تذهب البيانات، وماذا يعني ذلك
بموجب GDPR، يمكن للبيانات الشخصية أن تنتقل بحرّية إلى الدول التي قرّرت المفوضية الأوروبية أنها توفّر حماية كافية. وصفحة المفوضية نفسها تقولها بوضوح: مع قرار الكفاية، «يمكن للبيانات الشخصية أن تتدفق من الاتحاد الأوروبي (ومن النرويج وليختنشتاين وأيسلندا) إلى ذلك البلد الثالث دون الحاجة إلى أي ضمانة إضافية».
والقائمة قصيرة. وبحسب صفحة المفوضية كما قُرئت في 18 سبتمبر 2026، تشمل أندورا والأرجنتين والبرازيل وكندا (المؤسسات التجارية) وجزر فارو وغيرنزي وإسرائيل وجزيرة مان واليابان وجيرسي ونيوزيلندا وجمهورية كوريا وسويسرا والمملكة المتحدة والولايات المتحدة (للمؤسسات المعتمَدة ضمن إطار خصوصية البيانات بين الاتحاد الأوروبي والولايات المتحدة) وأوروغواي والمنظمة الأوروبية لبراءات الاختراع.
وأغلب وجهات التشغيل الخارجي ليست على تلك القائمة — ومنها الهند والفلبين والأردن. وهذا لا يجعل الترتيب مستحيلاً؛ بل يعني أن النقل يحتاج أساساً قانونياً آخر، وعملياً يعني ذلك عادةً الشروط التعاقدية القياسية ضمن العقد. والسؤال الذي سيطرحه فريق الامتثال لديك ببساطة: على أي آلية نعتمد، وهل هي مكتوبة؟
المستند الذي سيطلبونه بالاسم
اتفاقية معالجة بيانات. فحين يتعامل مزوّدك مع بيانات شخصية نيابةً عنك، تكون أنت المتحكّم ويكون هو المعالِج، ولا بد من توثيق العلاقة. وكثير من الشركات الأوروبية لا تستطيع المضي دونها، مهما كان المزوّد جيداً.
اطلب اتفاقية المعالجة القياسية لدى المزوّد مبكراً. فمن لديه واحدة جاهزة يكون قد مرّ بهذا من قبل.
الأسئلة التي تحت المستند
من غيركم يشارك في هذا؟ أي شركة أخرى تلمس البيانات — مزوّد اتصالات، أو مستضيف سحابي، أو أداة لضمان الجودة — هي معالِج فرعي، وسيريد فريق الامتثال لديك قائمة بها.
ما الذي يُسجَّل؟ تسجيلات المكالمات بيانات شخصية، وهي في الغالب ذات طبيعة خاصة لأنها تلتقط الصوت. اسأل: هل تُسجَّل المكالمات، ومن يستطيع الاستماع إليها، وكم تبقى محفوظة.
كم يبقى أي شيء محفوظاً؟ مدة الحفظ سؤال سياسات لا سؤال تقنية، و«ما دام ذلك ضرورياً» ليست إجابة يقبلها المراجِع.
ماذا يستطيع الموظف أن يرى؟ سؤال أقل الصلاحيات الممكنة: هل يرى الموظف الذي يعالج استفساراً عن فاتورة سجلّ العميل كاملاً، أم الجزء الذي يحتاجه فقط؟
ماذا يحدث عند وقوع اختراق؟ من يبلّغك، وبأي سرعة، وبأي تفصيل.
من يجيب طلب صاحب البيانات؟ إن طلب عميل نسخة من بياناته أو طلب حذفها، فالطلب يقع عليك أنت، ولا بد أن يكون المزوّد قادراً على مساعدتك في الإجابة ضمن المهلة القانونية.
كيف يُدرَّب الموظفون على هذا؟ لا: هل توجد سياسة. بل: كم مرة، وماذا يحدث حين يخالفها أحد.
خطآن تتجنّبهما من جانبك
لا تقبل «نحن ملتزمون بالـGDPR» كإجابة. فهي ادّعاء لا دليل. والدليل هو اتفاقية معالجة البيانات، وقائمة المعالِجين الفرعيين، وجدول مدد الحفظ، وآلية النقل. والمزوّد الذي يبدأ بالشعار ولا يستطيع إخراج المستندات يقول لك شيئاً.
ولا تتركها إلى النهاية. فهذه الأسئلة هي ما يقرّر إن كانت الصفقة ستُغلق، وتستغرق أسابيع للإجابة إن اضطر المزوّد لبناء الإجابات من الصفر. اسألها في الاجتماع الأول.
كيف يبدو كلام المزوّد الجيد
محدّد وسريع. يعرف أين تقبع البيانات، ويستطيع تسمية المعالِجين الفرعيين، ولديه جدول لمدد الحفظ، وسيقول لك على أي آلية نقل يعتمد عقده. وحين لا يكون شيء ما جاهزاً بعد، يقولها بوضوح بدل أن يلجأ إلى كلمة «ملتزم».
ونلزم أنفسنا بالمعيار نفسه في هذا الموقع: فصفحة موظفي مراكز الاتصال لدينا تذكر ما نفعله ولا تدّعي موقفاً امتثالياً، لأن ذلك تصريح يخصّ صاحب الشركة ومحاميها، لا صفحة تسويقية.
المصادر
- المفوضية الأوروبية، «قرارات الكفاية»، قُرئت في 18 سبتمبر 2026: https://commission.europa.eu/law/law-topic/data-protection/international-dimension-data-protection/adequacy-decisions_en