كيف تتعاقد مع شركة برمجيات دون أن تسلّمها بياناتك: اتفاقيات السرية ومعالجة البيانات وقواعد الوصول
حين تبني شركة برمجيات أنظمتك أو تستضيفها أو تدعمها، فهي ترى بياناتك في الغالب: البيانات الشخصية لعملائك وموظفيك، وكثيرًا أسعارك وعقودك وخططك. وبموجب قانون حماية البيانات الشخصية العُماني يكون المورّد معالِجًا لديك، وتعامل اللائحة التنفيذية المعالج بوصفه نائبًا عن المتحكم في المسؤولية المدنية والمسؤولية الإدارية أمام الوزارة. وعمليًا، تصبح أخطاؤه في بياناتك مشكلتك أنت.
وتحميك ثلاث أدوات:
- اتفاقية عدم إفصاح للمعلومات التجارية السرية؛
- اتفاقية معالجة بيانات للبيانات الشخصية؛
- قواعد وصول تحدّ مما يستطيع موظفو المورّد الوصول إليه أصلًا.
يتناول هذا المقال الأدوات الثلاث. أما ملكية الشيفرة والقبول والدعم والخروج فمشروحة في كيف تختار شريكًا برمجيًا في عُمان ومن يملك البرنامج الذي دفعت ثمنه.
الجواب المختصر
- المورّد معالِج لديك، وتبقى أنت مسؤولًا عما يفعله بالبيانات الشخصية.
- اتفاقية عدم الإفصاح تحمي المعلومات التجارية، واتفاقية المعالجة تحمي البيانات الشخصية، وتحتاج عادة الاثنتين.
- بيانات الإنتاج لا تغادر الإنتاج. يعمل المطورون ببيانات مقنّعة أو اصطناعية.
- الوصول إلى الإنتاج استثناء: حسابات مسمّاة، وتحقق متعدد العوامل، ومدة محددة، وتسجيل.
- المطورون خارج عُمان الذين يتعاملون مع بيانات شخصية يعني نقلًا عابرًا للحدود بموجب القانون العُماني.
- في النهاية تعود البيانات أو تُحذف — مع تأكيد — ويُلغى الوصول في اليوم نفسه.
لماذا تعامُل المورّد مع بياناتك مسؤوليتك أنت
تجيز المادة 3 من اللائحة التنفيذية للمتحكم أن يتعاقد مع معالج، وتجعل المعالج في علاقته بالغير نائبًا عن المتحكم في نطاق المسؤولية المدنية والمسؤولية الإدارية أمام الوزارة، دون الإخلال بمسؤوليته الجزائية عما يقع منه.
وتترتب على ذلك أربع نتائج:
- الاختراق لدى المورّد اختراقٌ عليك أنت الإبلاغ عنه. فإن هدد حقوق أصحاب البيانات، وجب إبلاغ الإدارة المختصة بالوزارة خلال 72 ساعة من العلم، ويجب أن يُلزم عقدُك المورّد بإخطارك بسرعة تجعل ذلك ممكنًا.
- سجلاتك يجب أن تشمله. فسجل أنشطة المعالجة يتضمن الجهات التي تتلقى البيانات الشخصية وأين تذهب.
- مكان عمل المورّد مهم. فإن كان موظفوه أو خوادمه خارج عُمان ويصلون إلى بيانات شخصية، فذلك نقل إلى الخارج، باشتراطات الموافقة والتقييم، وأثقل شريحة غرامات في القانون.
- موظفو المورّد داخل القانون الجزائي أيضًا. فقانون الجرائم المعلوماتية لعام 2026 يعاقب على تجاوز الدخول المصرح به، وبعقوبة أشد إن وقع أثناء العمل أو بسببه، ولا يحول ترك الوظيفة دون تطبيقه. لكن ذلك لا ينفعك إلا إذا حدد العقد والنظام ما هو الدخول المصرح به.
الأداة الأولى: اتفاقية عدم الإفصاح
تغطي اتفاقية عدم الإفصاح ما ليس بيانات شخصية لكنه ثمين: الشيفرة المصدرية، ونماذج التسعير، وشروط الموردين، وخطط العمل، وإعدادات الأمن، وواقعة المشروع نفسها. والاتفاقية المفيدة:
- تعرّف المعلومات السرية تعريفًا واسعًا، يشمل البيانات التي يراها المورّد في أنظمتك، والمعلومات بأي شكل.
- تحصر الاستخدام في المشروع. فلا تُستخدم المعلومات إلا لتقديم الخدمات، لا لبناء منتجات لآخرين.
- تقيّد الإفصاح على أشخاص مسمّين يحتاجونها، ملزمين بالتزامات مماثلة — ومنهم المقاولون من الباطن والمستقلون.
- تتناول أدوات الذكاء الاصطناعي صراحة. فلا تُدخل معلوماتك في أدوات ذكاء اصطناعي خارجية إلا أدوات الأعمال المعتمدة بشروط مناسبة.
- تشترط الإعادة أو الإتلاف في النهاية، مع تأكيد مكتوب.
- تبقى سارية بعد العقد لمدة محددة، وإلى أجل غير محدد للأسرار التجارية.
وللاهتمام بها سبب قانوني يتجاوز دعوى العقد نفسها. فقانون الملكية الصناعية العُماني يحمي المعلومات غير المعلنة من الكشف أو الاستخدام المخالف للممارسات التجارية النزيهة، ومنها الإخلال بالعقد وبالثقة. ومن عناصر التعريف أن يكون صاحبها قد اتخذ خطوات معقولة للمحافظة على سريتها، والاتفاقية الموقعة مع ضوابط الوصول دليل على تلك الخطوات.
الأداة الثانية: اتفاقية معالجة البيانات
البيانات الشخصية تحتاج أكثر من السرية. فاتفاقية معالجة البيانات تحدد كيف يجوز للمورّد التعامل معها، وعشرة بنود تحمل ثقلها:
- التعليمات فقط. يعالج المورّد البيانات الشخصية وفق تعليماتك الموثقة ولأجل الخدمات فقط.
- سرية الموظفين. كل من يصل إلى البيانات ملزم بالسرية.
- تدابير الأمن موصوفة بصورة ملموسة: التحكم في الوصول، والتشفير، والتسجيل، والنسخ الاحتياطي، واختبار فعالية التدابير. فاللائحة العُمانية تتوقعها من المتحكم، وعلى المعالج أن يعينك على الوفاء بها.
- المعالجون من الباطن بإذن مسبق منك فقط، مدرجين مع مواقعهم، وملزمين بالشروط نفسها.
- الموقع والنقل. أين تُخزن البيانات ويُوصل إليها، ولا نقل إلى الخارج دون موافقتك، مع المعلومات التي تحتاجها لتقييم النقل الذي تشترطه اللائحة.
- الإبلاغ عن الاختراق إليك خلال مدة قصيرة محددة — داخل مهلتك البالغة 72 ساعة بهامش واضح — مع المعلومات اللازمة لإخطارك.
- المساعدة في طلبات أصحاب البيانات. فاللائحة تمنحك 45 يومًا للبت في طلبات الاطلاع وما يشابهها، وقد يكون بعض البيانات لدى المورّد.
- المساعدة في التدقيق، ومنه أي مدقق خارجي تطلب الوزارة تعيينه.
- الإعادة والحذف في النهاية، بما فيها النسخ الاحتياطية خلال دورة معلنة، مع تأكيد مكتوب.
- السجلات للمعالجة التي يقوم بها لحسابك، متاحة عند الطلب.
وإن كنت تعالج أيضًا بيانات أشخاص في الاتحاد الأوروبي، فالمادة 28 من النظام الأوروبي تعدد بنودًا إلزامية مشابهة، ويمكن صياغة اتفاقية واحدة تستوفي الاثنين. ويتناول مقال هل ينطبق النظام الأوروبي على شركة في عُمان أو الخليج متى يهم ذلك.
الأداة الثالثة: قواعد الوصول
العقود تضع الالتزامات، وقواعد الوصول تحدّ من حجم ما قد يسوء. وعمليًا:
- لا بيانات إنتاج في التطوير. يبني المطورون ويختبرون ببيانات مقنّعة أو اصطناعية، وحيث لا مفر من اختبار ببيانات حقيقية، يتم في بيئة مضبوطة، مع تسجيل الوصول وحذف النسخة بعدها. ويتناول مقال الخصوصية بالتصميم في البرمجيات المخصصة التقنيع.
- الوصول إلى الإنتاج للدعم فقط. حسابات مسمّاة — لا حساب «المورّد» المشترك أبدًا — مع التحقق متعدد العوامل وأضيق دور يؤدي المهمة، ويُمنح الوصول لمهمة محددة ولمدة محدودة حيثما أمكن.
- كل شيء مسجّل. من وصل إلى ماذا، ومتى، وماذا غيّر أو صدّر. ويتناول مقال من يرى ماذا التصميم.
- لا نسخ على الحواسيب المحمولة. التصدير من الإنتاج يمر عبر مسار معتمد ومسجّل، أو لا يحدث أصلًا.
- حساباتك أنت، ووصولهم هم. المستودعات والحسابات السحابية والنطاقات ملك شركتك، ويُمنح المورّد وصولًا إليها، لا العكس.
- الأسرار تبقى أسرارًا. كلمات المرور والمفاتيح في أداة لإدارة الأسرار، لا في الشيفرة ولا في رسائل المحادثة ولا في البريد.
فرق التطوير خارج عُمان
كثير من الموردين يستعينون بمطورين في دول أخرى، وهي طريقة مشروعة لضبط الكلفة. لكن إن استطاع أولئك المطورون رؤية بيانات شخصية من أنظمتك، فالبيانات تُنقل خارج عُمان. وتشترط اللائحة التنفيذية حينها الموافقة الصريحة لأصحاب البيانات ما لم تكن البيانات مجهولة الهوية، مع تقييم لمستوى الحماية لدى الجهة المستقبِلة يجوز للوزارة طلبه.
والجواب العملي معماري: أعطِ الفرق الخارجية بيانات مقنّعة أو اصطناعية، وأبقِ الدعم الذي يحتاج بيانات حقيقية لدى موظفين في عُمان، أو تحت وصول مضبوط ومسجّل تسنده إجراءات النقل. واسأل كل متقدم أين يعمل موظفوه، وماذا سيستطيعون رؤيته.
أدوات الذكاء الاصطناعي في عمل المورّد
يستخدم المطورون بصورة متزايدة مساعدات برمجة ذكية وأدوات محادثة. فاطلب من الموردين الإفصاح عن الأدوات التي يستخدمونها، واشترط حسابات أعمال بشروط تستثني التدريب على محتواك، واحظر لصق بياناتك أو بيانات الدخول أو الشيفرة السرية في أدوات المستهلكين. فالقواعد التي تضعها لموظفيك، الموصوفة في سياسة لاستخدام الموظفين لأدوات الذكاء الاصطناعي، يجب أن تُلزم من يعملون على أنظمتك أيضًا.
الفحص قبل التوقيع
عشرة أسئلة تستحق أن تطرحها على كل متقدم:
- من سيصل إلى بياناتنا، وأين يقيم؟
- هل سيُوصل إلى أي من بياناتنا الشخصية أو تُخزّن خارج عُمان؟
- أي معالجين من الباطن تستخدمون — الاستضافة والمراقبة والبريد وأدوات الذكاء الاصطناعي؟
- كيف يحصل المطورون على بيانات الاختبار؟
- كيف يُمنح الوصول إلى الإنتاج ويُسجّل ويُزال؟
- ما إجراؤكم ومهلتكم لإخطارنا باختراق؟
- أي أدوات ذكاء اصطناعي يستخدمها موظفوكم، وبأي شروط؟
- كيف تؤمّنون الحواسيب المحمولة والوصول عن بعد؟
- كيف ستعيدون بياناتنا أو تحذفونها في النهاية، وكيف تؤكدون ذلك؟
- هل تستطيعون أن تُرونا مثالًا حديثًا على ممارساتكم الأمنية — سياسة أو تدقيقًا أو شهادة — بدل وصفها؟
والإجابات أقل أهمية من سرعة ورودها. فالمورّد الذي فكّر في هذه الأسئلة سيجيب بتفاصيل محددة.
عند انتهاء العقد
النهاية هي اللحظة التي تفلت فيها السيطرة أكثر من غيرها. فعند الإنهاء أو التسليم:
- ألغِ كل حسابات المورّد ومفاتيحه في اليوم نفسه؛
- استرد البيانات واحصل على تأكيد مكتوب بالحذف، بما فيه النسخ الاحتياطية وفق دورتها المعلنة؛
- تأكد من أن المستودعات والبنية التحتية في حساباتك أنت؛
- حدّث سجل المعالجين؛
- احفظ الالتزامات الباقية من اتفاقية عدم الإفصاح في مكان سيتذكره أحد.
أسئلة شائعة
هل مورّد البرمجيات لدي «معالِج» بموجب قانون حماية البيانات العُماني؟ إن كان يعالج بيانات شخصية نيابة عنك — يبني أنظمة تحملها أو يستضيفها أو يدعمها — فنعم. وتعامله اللائحة التنفيذية بوصفه نائبًا عن المتحكم في المسؤولية المدنية والإدارية، مع بقاء مسؤوليته الجزائية عما يقع منه.
هل نحتاج اتفاقية عدم إفصاح واتفاقية معالجة بيانات معًا؟ عادة نعم. فالأولى تحمي المعلومات التجارية السرية كالشيفرة والأسعار والخطط، والثانية تحدد كيفية التعامل مع البيانات الشخصية: التعليمات، والأمن، والمعالجين من الباطن، والنقل، والإبلاغ عن الاختراق، والمساعدة في الطلبات، والحذف.
هل يجوز للمورّد استخدام بيانات الإنتاج في الاختبار؟ تجنّب ذلك. يجب أن يستخدم المطورون بيانات مقنّعة أو اصطناعية، وحيث لا مفر من اختبار ببيانات حقيقية، فاستخدم بيئة مضبوطة، وسجّل الوصول، واحذف النسخة بعدها.
هل وجود مطوري المورّد خارج عُمان مشكلة؟ لا، ما داموا لا يرون بيانات شخصية. فإن رأوها، فذلك نقل إلى الخارج يتطلب موافقة صريحة أو إخفاءً للهوية مع تقييم بموجب اللائحة التنفيذية. فأعطِ الفرق الخارجية بيانات مقنّعة، وأبقِ الوصول إلى البيانات الحقيقية مضبوطًا بإحكام.
من يبلّغ الجهة المنظِّمة إن تعرض المورّد لاختراق؟ أنت، بوصفك المتحكم. والإبلاغ إلى الوزارة مستحق خلال 72 ساعة من العلم متى هدد الاختراق حقوق أصحاب البيانات، فيجب أن يُلزم عقدك المورّد بإخطارك فورًا.
ماذا يحدث لبياناتنا حين ينتهي العقد؟ يجب أن تُعاد إليك بصيغة قابلة للاستخدام، ثم يحذفها المورّد، بما في ذلك من النسخ الاحتياطية خلال دورة معلنة، ويؤكد ذلك كتابةً، وتلغي أنت كل وصوله في اليوم نفسه.
يعرض هذا المقال الموقف وفق قانون حماية البيانات الشخصية بعد تعديله بالمرسوم السلطاني رقم 68/2026، ولائحته التنفيذية، وقانون الملكية الصناعية، وقانون مكافحة جرائم تقنية المعلومات، كما هي نافذة في 21 أكتوبر 2026، تاريخ نشره، وهو ليس استشارة قانونية. اعرض العقود على مستشار مؤهل قبل التوقيع.
المصادر: القرار الوزاري 34/2024 — اللائحة التنفيذية لقانون حماية البيانات · المرسوم السلطاني 68/2026 بتعديل قانون حماية البيانات الشخصية · المرسوم السلطاني 67/2008 — قانون الملكية الصناعية · المرسوم السلطاني 61/2026 — قانون مكافحة جرائم تقنية المعلومات · المادة 28 من النظام الأوروبي العام لحماية البيانات
تتعاقد مع شركة برمجيات وتريد حماية بياناتك من اليوم الأول؟ تبني «ذوات» برمجيات مخصصة وتقدم التكامل والدعم، ويسعدنا العمل وفق اتفاقية عدم الإفصاح واتفاقية المعالجة الخاصتين بك. احجز مكالمة.