من المسؤول عن المعالجة ومن المعالج، ولماذا تقع الوكالة في السلسلة
تميّز اللائحة (الاتحاد الأوروبي) 2016/679 بين المسؤول عن المعالجة، وهو من يحدد الأغراض والوسائل، والمعالج الذي يعالج البيانات الشخصية لحسابه. عميلك الذي يشغّل موقعًا أو متجرًا أو نشرة بريدية هو في الغالب المسؤول عن المعالجة. وما إن تستضيفوا هذا الموقع أو تديروه أو تنسخوه احتياطيًا حتى تعالجوا هذه البيانات لحسابه، فتكون الوكالة عندئذ في الغالب معالجًا. أما مزوّد الاستضافة أو البريد أو خدمة النسخ الاحتياطي التي تستعينون بها فيعملون بدورهم لحسابكم، وهم معالجون من الباطن للوكالة، ولا ينبغي أن يتدخلوا إلا بإذن كتابي من العميل.
لا يُختار التكييف القانوني بحسب الهوى. تذكّر الهيئة الفرنسية CNIL بأن الجهة المكلِّفة والمزوّد يحللان دوريهما معًا بحسب ما يفعله كل منهما فعلًا بالبيانات. والوكالة التي تعيد استعمال بيانات عميل لحاجاتها الخاصة، كالتسويق لنفسها، تصبح مسؤولة عن المعالجة لهذا الاستعمال وحده. أما الاعتراض الشائع «هذا شأن مزوّد الاستضافة» فينسى أن السلسلة تمرّ بكم: العميل يسأل الوكالة، وعليها أن تعرف أي حلقات أضافتها.
الأدوار في السلسلة، من العميل إلى مزوّد الاستضافة
مرّر الجدول أفقيًا
| الطرف | الدور الأكثر شيوعًا | ما يلتزم به تجاه الطرف الأعلى |
|---|---|---|
| العميل النهائي (موقع، متجر، نشرة) | مسؤول عن المعالجة | إعطاء تعليمات كتابية واختيار المزوّدين عن علم |
| الوكالة التي تستضيف الموقع أو تصونه أو تنسخه احتياطيًا | معالج لحساب العميل | اتفاقية معالجة وقائمة بمعالجيها وأماكن معالجتهم |
| مزوّد الاستضافة أو الخوادم | معالج من الباطن للوكالة | اتفاقية مماثلة وتدابير أمنية موصوفة ومعلومات عن مزوّديه |
| مزوّد DNS ومسجّل النطاقات | معالج من الباطن بحسب البيانات المعالجة | معالجة السجلات وسجلات الاستعلامات وفق تعليماتكم |
| خدمة البريد والنسخ الاحتياطي خارج الموقع | معالج من الباطن | التشفير ومدة الحفظ والحذف عند المغادرة |
| الوكالة التي تعيد استعمال البيانات لنفسها | مسؤولة عن المعالجة لهذا الاستعمال وحده | أساس قانوني وإعلام للأشخاص مستقلان عن عقد العميل |
اليوم الذي يطلب فيه العميل القائمة
السيناريو مألوف. يُعدّ العميل لتدقيق، أو يردّ على مناقصة، أو يملأ استبيان عميل كبير، ويطلب قائمة معالجي الوكالة مع الاتفاقية المقابلة. وبلا سجل تعيد الوكالة البناء من الذاكرة: الخادم عند مزوّد، وصناديق البريد عند آخر، والنسخ الاحتياطي في مساحة أُنشئت ليلة عطل، وDNS عند المسجّل الأصلي. هذا العمل المستعجل يستغرق أيامًا ويترك ثغرات. أما السجل المحدَّث فيتسع لورقة مشتركة وورقة لكل عميل، ويُستخرج في دقائق. وهو يخدم الوكالة نفسها أيضًا: يوم ظهور ثغرة أو تسرّب تعرفون أين تنظرون ومن تنبّهون.
أعمدة السجل
لا يحتاج السجل إلى أداة متخصصة. يكفي في البداية جدول مشترك، للقراءة لدى العملاء المعنيين وللكتابة لدى شخصين من الوكالة. احتفظوا بسطر لكل خدمة ولكل عميل بدل سطر لكل مزوّد: مزوّد استضافة محفظة من ثلاثين موقعًا هو مزوّد واحد، لكنه ثلاثون نطاقًا مختلفًا من البيانات. هذه هي الأعمدة المقترحة.
سبعة أعمدة تكفي
- الخدمة — المزوّد والخدمة المقدَّمة: استضافة الخادم، DNS، صناديق البريد، النسخ الاحتياطي خارج الموقع، المراقبة.
- الدور — مسؤول أو معالج أو معالج من الباطن، من وجهة نظر الوكالة ولهذه الخدمة بالذات.
- البيانات المعنية — فئات البيانات والأشخاص: حسابات عملاء متجر، نماذج اتصال، صناديق بريد، سجلات الدخول.
- الموقع الجغرافي — البلد وموقع المعالجة بما فيه النسخ الاحتياطية، وأي وصول عن بُعد من مزوّد يقع خارج الاتحاد.
- الأساس التعاقدي — اتفاقية المعالجة أو شروطها العامة أو ملحقها، مع الإصدار ومكان الوثيقة الموقَّعة.
- تاريخ المراجعة — يوم آخر تحقق ويوم التحقق القادم: سجل بلا تاريخ لا يقول إن كان ما فيه لا يزال صحيحًا.
- جهة الاتصال — الشخص أو العنوان لدى المزوّد الذي يُراسَل عند طلب أو حادث أو سؤال تدقيق.
الخدمات الواجب حصرها لموقع عميل
الفخ هو أن تُدرجوا مزوّد الاستضافة وحده لأنه من يُدفع له كل شهر. لكن موقع العميل يرسل بياناته إلى أماكن أكثر بكثير: منطقة DNS، وخدمة البريد، والنسخ الاحتياطي الذي ربطتموه، والأداة التي تستقبل التنبيهات، والخدمة التي تمرّر الحركة، والسكربتات المحمَّلة من طرف ثالث. وقد يرى كل منها عناوين IP أو عناوين بريد أو محتوى النماذج. القائمة التالية شبكة انطلاق، فأضيفوا إليها ما تحتويه منظومتكم.
ثماني عائلات من الخدمات للمراجعة
- الاستضافة — خادم مشترك أو VPS أو مخصص، والمنصة الافتراضية أو المنطقة التي تقف خلفه.
- DNS — مستضيف المنطقة، وقد يختلف عن مسجّل اسم النطاق.
- البريد — خدمة صناديق بريد العميل، ومرحّل الإرسال الآلي، ومرشّح الرسائل المزعجة.
- النسخ الاحتياطي خارج الموقع — التخزين البعيد وتشفيره ومدة حفظه.
- المراقبة — الأداة التي تستقبل السجلات والتنبيهات، وغالبًا ما تُستضاف بعيدًا عن الموقع.
- CDN وWAF — الخدمة التي تمرّر الحركة ترى عناوين IP وأحيانًا محتوى الطلبات.
- أدوات التحليل — قياس الزيارات والخرائط والخطوط والسكربتات المحمَّلة من طرف ثالث.
- خدمات التطبيق — الدفع والنماذج والنشرة البريدية والدردشة والإضافات التي ترسل بيانات إلى ناشرها.
رسم خريطة موقع في ثماني خطوات
تحديد النطاق ومنطقة DNS
حدّدوا المسجّل وخوادم الأسماء:
whois your-domain.comثمdig +short NS your-domain.com. دوّنوا من يملك المنطقة ومن يستطيع تعديلها.إيجاد مزوّد الاستضافة
يعطي
dig +short A your-domain.comعنوان الموقع، ويبيّنwhois 203.0.113.10(استبدلوه بالعنوان الذي حصلتم عليه) الشبكة التي تحمله. إن وُجد CDN في الواجهة فالعنوان عنوانه: اطلبوا المصدر من العميل أو اقرأوه في لوحة الاستضافة.قراءة خدمة البريد والمرسِلين
يشير
dig +short MX your-domain.comإلى خدمة الاستقبال. ويعرضdig +short TXT your-domain.comسجل SPF الذي يسرد الخدمات المصرَّح لها بالإرسال باسم النطاق: النشرة والفوترة والنماذج.سرد الموارد الخارجية التي يحمّلها الموقع
افتحوا الموقع بعلامة تبويب الشبكة في المتصفح ورتّبوا بحسب النطاق، أو نفّذوا
curl -s https://your-domain.com | grep -o 'https://[^"]*' | sort -u. كل نطاق خارجي هو سطر مرشَّح.جرد النسخ الاحتياطي والمراقبة
على الخادم يبيّن
crontab -lوrclone listremotesوجهة النسخ. أضيفوا وكلاء المراقبة وخدمات التنبيه التي ثبّتموها بأنفسكم.مراجعة الإضافات والتكاملات
في WordPress يعطي
wp plugin listالإضافات؛ وفي منظومة أخرى اقرأوا ملف التبعيات. احتفظوا بما يرسل بيانات إلى الخارج.ملء السجل وتكييف كل سطر
لكل خدمة حدّدوا الدور والبيانات والموقع وجهة الاتصال. وما لا تعرفون ملأه يتحول إلى سؤال مكتوب للمزوّد.
إرفاق الاتفاقية وتحديد المراجعة
اربطوا بكل سطر الوثيقة التعاقدية وإصدارها وتاريخ المراجعة القادمة. السطر بلا اتفاقية يبقى برتقاليًا إلى أن تُستلم.
نقاط اتفاقية المعالجة التي يجب التحقق منها
لا تُوقَّع الاتفاقية بعينين مغمضتين، ولا تُختزل في خانة تُؤشَّر في لوحة العميل. بالنسبة إلى مزوّد الاستضافة أو DNS أو النسخ الاحتياطي، تحققوا من أن الوثيقة تغطي النقاط السبع أدناه. لا نذكر هنا أي مادة قانونية: تنشر الهيئة CNIL دليلًا للمعالج ومثالًا على البنود، يُقرأ مع مستشاركم. وإن غابت نقطة فلا تستنتجوها من صمت العقد: اطلبوها كتابةً واحتفظوا بالرد مع سطر السجل.
ما يجب أن تغطيه الاتفاقية
- موضوع المعالجة وطبيعتها — ماذا يفعل المزوّد بالبيانات، ولأي غرض، وعلى أي فئات من البيانات والأشخاص.
- المدة — فترة المعالجة، وهي من حيث المبدأ تتبع مدة عقد الخدمة.
- التعليمات الموثَّقة — لا يعالج المزوّد إلا بتعليمات كتابية وينبّه إلى أي تعليمة يراها مخالفة للقواعد.
- الأمن — تدابير تقنية وتنظيمية موصوفة، وسرية العاملين المخوَّلين، وإخطار الحوادث.
- المعالجون من الباطن — إذن عام أو خاص، وقائمة مُبلَّغة، وإخطار مسبق بأي تغيير مع حق الاعتراض.
- الإعادة أو الحذف — إعادة البيانات أو محوها عند انتهاء الخدمة مع مهلة ودليل.
- التدقيق والمساعدة — معلومات تثبت الامتثال، وإمكانية التدقيق، والمساعدة في الرد على طلبات الأشخاص المعنيين.
احتفظوا بالدليل إلى جانب السطر
لكل مزوّد احتفظوا برابط الوثيقة الموقَّعة، وتاريخ القبول إن كانت الاتفاقية تُقبل عبر الإنترنت، ونسخة من قائمة المعالجين من الباطن التي ينشرها. وحين يعدّل هذا المزوّد قائمته يُراجَع سطر السجل في اليوم نفسه، لا عند الموعد القادم.
ربط السجل بالعملاء وبإيقاع المراجعة
اجعلوا السجل على مستويين. ورقة مشتركة تصف كل مزوّد مرة واحدة: الاتفاقية والموقع وجهة الاتصال وقائمة معالجيه من الباطن. وورقة لكل عميل تبيّن أي الخدمات تمسّ بياناته وما النطاق الذي تغطيه. وحين يطلب عميل قائمته تستخرجون أسطره دون إعادة بناء أي شيء. حدّدوا مراجعة بإيقاع منتظم، مثلًا كل ثلاثة أشهر، ومراجعة تُطلقها أي تغييرات: مزوّد جديد، أو ترحيل خادم، أو إضافة جديدة تستدعي خدمة خارجية. والتدقيق الشهري لـVPS العميل واختبار استعادة النسخة الاحتياطية وقتان مناسبان لرصد هذه الفروق، لأنكم تنظرون أصلًا إلى ما يعمل فعلًا.
ما يغيّره المزوّد الواحد في السجل
كل خدمة تؤخذ من طرف مستقل تضيف سطرًا واتفاقية تُجمع وجهة اتصال تُصان وقائمة معالجين من الباطن تُتابَع. وجمع النطاق والاستضافة وDNS لدى مزوّد واحد يقلّل آليًا عدد الأسطر وما يبقى للمراجعة. وللأمر مقابل: فالاعتماد على مورّد واحد يُدوَّن هو أيضًا في السجل، مع طريقة الخروج عند الحاجة. في ServOrbit.com تصف الصفحتان /pourquoi/securite و/pourquoi/infrastructure ما نشغّله وأين. وهما لا تغنيان عن وثيقة تعاقدية، ولا تزعم هذه المقالة أي شهادة اعتماد: للحصول على وثائق خدمة بعينها راسلوا [email protected] مع ذكر النطاق المعني.
ثلاث خطوات هذا الأسبوع والمصادر الرسمية
أنشئوا الجدول بالأعمدة السبعة. املأوه للعميل الأكثر حساسية في بياناته، متبعين خطوات الرسم الثماني. ثم أرسلوا طلبًا كتابيًا إلى كل مزوّد تنقصه الاتفاقية أو قائمة المعالجين من الباطن. وللنصوص المرجعية اعتمدوا المصادر الرسمية: دليل المعالج لدى CNIL (https://www.cnil.fr/fr/reglement-europeen-sur-la-protection-des-donnees-un-guide-pour-accompagner-les-sous-traitants) وصفحتها عن المعالج (https://www.cnil.fr/fr/qualification-juridique-sous-traitance) ونص اللائحة على EUR-Lex (https://eur-lex.europa.eu/eli/reg/2016/679/oj). هذه المقالة دليل عملي وليست استشارة قانونية: اعرضوا اتفاقياتكم وتكييفاتكم على مختص في القانون.
