اللائحة العامة لحماية البيانات تبدو وكأنها مشكلة شركات كبيرة. إنها ليست كذلك. اللائحة العامة لحماية البيانات تنطبق على كل نشاط تجاري يعالج البيانات الشخصية — وأنت تفعل ذلك. أسماء العملاء، العناوين، رسائل البريد الإلكتروني، أرقام الهواتف، صور الواجهات (أحياناً مع أشخاص مرئيين)، بيانات الفواتير. كلها بيانات شخصية.
ما تتطلبه اللائحة العامة لحماية البيانات
1. سجل أنشطة المعالجة
يجب عليك توثيق البيانات التي تعالجها، لماذا، كم من الوقت، ومن لديه الوصول إليها. جدول بسيط كافٍ: "بيانات العملاء — تنفيذ الطلبات — 10 سنوات (التزام الاحتفاظ) — المالك + المكتب".
2. اتفاقية معالجة البيانات (DPA)
مع كل مزود خدمة سحابية يعالج بياناتك، تحتاج إلى اتفاقية معالجة البيانات. برنامج المحاسبة، أداة البريد الإلكتروني، استضافة الموقع، وبرامج الصناعة. PlotonIQ توفر اتفاقية معالجة بيانات — اسأل مزودي الخدمة الآخرين.
3. موقع الخادم
هنا يصبح الأمر بالغ الأهمية. إذا كنت تستخدم shopVOX (خوادم أمريكية)، Trello (خوادم أمريكية)، أو Google Drive (موزعة عالمياً)، فإن بيانات عملائك تقع في الولايات المتحدة. منذ حكم Schrems II، نقل البيانات إلى الولايات المتحدة مشكوك فيه قانونياً.
الحل الأكثر أماناً: الخوادم الأوروبية. PlotonIQ يعمل على Hetzner في Falkenstein، ألمانيا. معتمد ISO 27001. لا يوجد نقل بيانات إلى بلدان ثالثة.
4. التشفير
يجب تشفير البيانات أثناء النقل (TLS) وأثناء الراحة (AES-256). يجب تشفير كلمات المرور بالتشفير التجميعي (bcrypt، وليس MD5). PlotonIQ: TLS 1.3، AES-256، bcrypt، JWT مع دوران رمز التحديث.
5. فترات الاحتفاظ
لا يجوز لك تخزين البيانات إلى الأبد. قانون الضرائب: 10 سنوات للفواتير، 6 سنوات للمراسلات التجارية. بعد ذلك: احذف. صور المواقع: احذف بعد اكتمال المشروع ما لم يوافق العميل على التخزين لفترة أطول.
6. حقوق موضوع البيانات
لعميلك الحق في الوصول والتصحيح والحذف وقابلية نقل البيانات. يجب عليك الرد خلال 30 يوماً.
الأخطاء الشائعة في متاجر اللافتات
WhatsApp للأعمال: WhatsApp يشارك البيانات الوصفية مع Meta. أرقام هواتف العملاء تُنقل إلى الخوادم الأمريكية. غير متوافق مع اللائحة العامة لحماية البيانات بدون Business API واتفاقية معالجة البيانات. البديل: بوابة عملاء PlotonIQ مع الموافقة الرقمية والطابع الزمني.
الصور على الهواتف الشخصية: إذا التقط المثبت الخاص بك صور الموقع على هاتفه الشخصي، فإن بيانات العميل تقع على جهاز غير مُدار. الحل: التقط الصور مباشرة في تطبيق PlotonIQ — رفع مشفر، لا يُخزن أبداً على الجهاز.
عدم وجود توثيق للتتبع: Google Analytics، Facebook Pixel — كل أداة تتبع تحتاج موافقة وتوثيق. PlotonIQ: لا Google Analytics، لا بكسلات تتبع، لا ملفات تعريف ارتباط غير أساسية.
قائمة مرجعية من 10 نقاط
1. إنشاء سجل أنشطة المعالجة. 2. توقيع اتفاقيات معالجة البيانات مع جميع مزودي الخدمة السحابية. 3. سياسة الخصوصية على الموقع. 4. خوادم أوروبية. 5. تحديد فترات الاحتفاظ. 6. فحص التشفير. 7. ضوابط الوصول (من يرى ماذا). 8. الصور فقط في التطبيقات المُدارة. 9. استبدال WhatsApp بأدوات مهنية. 10. تقييم الأثر لتتبع GPS/السياج الجغرافي.
الخلاصة
اللائحة العامة لحماية البيانات ليست علم صواريخ. مع البرنامج المناسب، معظمها تلقائي: التشفير، موقع الخادم، فترات الاحتفاظ، ضوابط الوصول. الرافعة الأكبر: بعيداً عن أدوات الولايات المتحدة وWhatsApp، نحو حل صناعي أوروبي حيث اللائحة العامة لحماية البيانات ليست ميزة — إنها المعيار.