لغرض تطبيق هذا النظام، يُقصد بالألفاظ والعبارات الآتية – أينما وردت – المعاني المبينة أمام كل منها، ما لم يقتضِ السياق غير ذلك:

1. تلتزم المؤسسة بجمع البيانات الشخصية بطريقة قانونية وشفافة، وتقتصر على ما هو ضروري لتحقيق الأغراض المحددة.
2. تشمل البيانات التي قد يتم جمعها:
   • البيانات الشخصية: مثل الاسم، العنوان، البريد الإلكتروني، البيانات المالية، سجل الائتمان وغيرها.
   • البيانات الشخصية للموظفين: مثل السجل الوظيفي، الرواتب، المعلومات الصحية المتعلقة بالوظيفة وغيرها.
   • البيانات المتعلقة بالأطراف الثالثة: مثل موردي الخدمات والشركاء.
3. يتم جمع البيانات الشخصية من خلال القنوات المشروعة، بما في ذلك المواقع الإلكترونية، التطبيقات، النماذج الورقية، والاتصالات المباشرة، بما في ذلك المكالمات الهاتفية.

1. يتم استخدام البيانات الشخصية فقط للأغراض المحددة التالية:
   • تقديم وإدارة الخدمات المالية.
   • تحليل البيانات لأغراض تحسين العمليات والمنتجات.
   • الامتثال للمتطلبات القانونية والتنظيمية.
   • مراقبة وتحليل المكالمات الخارجية لأغراض الجودة والتحسين المستمر للخدمات.
2. يتم استخدام البيانات الشخصية داخلياً وخارجياً بما يتوافق مع القوانين المعمول بها، وتحت رقابة صارمة لحماية الخصوصية.

1. تلتزم المؤسسة باتخاذ جميع التدابير التقنية والتنظيمية اللازمة لحماية البيانات الشخصية من الوصول غير المصرح به، التعديل غير المشروع، أو الإفشاء غير القانوني.
2. تشمل هذه التدابير:
   • تأمين الأنظمة والشبكات من خلال تقنيات التشفير وجدران الحماية.
   • تطبيق سياسات صارمة للوصول إلى البيانات ضمن المؤسسة.
   • تدريب الموظفين بانتظام على أفضل الممارسات الأمنية.
3. يتم إجراء مراجعات دورية للتأكد من فعالية إجراءات الحماية وامتثالها للمعايير التشريعية.
4. يتم تضمين خطة لإدارة اختراقات البيانات، بما في ذلك الإبلاغ للسلطات المختصة وإخطار الأفراد المتضررين في حال حدوث أي حالة اختراق.
5. لا يجوز للمؤسسة الإفصاح عن البيانات الشخصية إلا في الأحوال الآتية:

   إذا وافق صاحب البيانات الشخصية على الإفصاح وفقاً لأحكام النظام.

   إذا كانت البيانات الشخصية قد جرى جمعها من مصدر متاح للعموم.

   إذا كانت الجهة التي تطلب الإفصاح جهة عامة، وكان ذلك لأغراض المصلحة العامة أو لأغراض أمنية أو لتنفيذ نظام آخر أو لاستيفاء متطلبات قضائية.

   إذا كان الإفصاح ضرورياً لحماية الصحة العامة أو السلامة العامة أو حماية حياة فرد أو أفراد معينين أو حماية صحتهم.

   إذا كان الإفصاح سيقتصر على معالجتها لاحقاً بطريقة لا تؤدي إلى معرفة هوية صاحب البيانات الشخصية أو أي فرد آخر على وجه التحديد.

   إذا كان الإفصاح ضرورياً لتحقيق مصالح مشروعة للمؤسسة، ما لم يُخل ذلك بحقوق صاحب البيانات الشخصية أو يتعارض مع مصالحه، ولم تكن تلك البيانات بيانات حساسة.

6. على المؤسسة أن تعتمد سياسة للخصوصية، وأن تجعلها متاحة لأصحاب البيانات الشخصية ليطلعوا عليها عند جمع بياناتهم. على أن تشتمل تلك السياسة على تحديد الغرض من جمعها، ومحتوى البيانات الشخصية المطلوب جمعها، وطريقة جمعها، ووسيلة حفظها، وكيفية معالجتها، وكيفية إتلافها، وحقوق صاحبها فيما يتعلق بها، وكيفية ممارسة هذه الحقوق.
7. يجوز لصاحب البيانات الشخصية التقدم إلى الجهة المختصة بأي شكوى ناشئة من تطبيق النظام واللوائح.

1. قد تشارك المؤسسة البيانات الشخصية مع الجهات الخارجية التالية فقط في حال الضرورة:
   • مقدمو الخدمات الخارجية (مثل شركات تكنولوجيا المعلومات، المحاسبين القانونيين إلخ).
   • الجهات التنظيمية والحكومية بناءً على متطلبات قانونية.
   • الشركاء الاستراتيجيون الذين يساعدون في تقديم الخدمات المالية.
2. في حال مشاركة البيانات مع أي طرف خارجي، تلتزم المؤسسة بضمان حماية البيانات وفقاً لاتفاقيات سرية وضوابط صارمة.
3. يتم الحصول على موافقة الأفراد المعنيين قبل مشاركة بياناتهم مع أي طرف خارجي، باستثناء الحالات التي تتطلب ذلك القوانين.
4. إذا تم نقل البيانات إلى خارج البلاد، تلتزم المؤسسة باتخاذ الإجراءات اللازمة لضمان حماية البيانات وفقاً للقوانين المحلية.
5. تُشعر المؤسسة الجهة المختصة عند علمها بحدوث تسرب لبيانات شخصية أو تلفها أو وصول غير مشروع إليها؛ وفقاً لما تحدده اللوائح.

1. يحق للأفراد المعنيين طلب الوصول إلى بياناتهم الشخصية، وتصحيح أي أخطاء، أو تحديثها، أو طلب حذفها.
2. يحق للأفراد طلب تقييد معالجة بياناتهم في حالات معينة وفقاً للقوانين المعمول بها.
3. يمكن للأفراد تقديم طلبات تتعلق بحقوقهم من خلال التواصل مع المؤسسة عبر قنوات التواصل المحددة.
4. يحق للأفراد الاعتراض على معالجة بياناتهم لأغراض التسويق المباشر.
5. يمكن للأفراد طلب نسخة من بياناتهم أو الاعتراض على معالجة بياناتهم لأغراض غير مشروعة.
6. يحق للأطراف طلب الإضافة والتعديل على البيانات حال الحاجة.
7. وجوب إشعار صاحب البيانات الشخصية عند ورود طلب الإفصاح عن بياناته الائتمانية من أي جهة.
8. فيما عدا المواد التوعوية التي ترسلها الجهات العامة، لا يجوز للمؤسسة استخدام وسائل الاتصال الشخصية لأجل إرسال مواد دعائية أو توعوية إلا وفقاً لما يأتي:
   • أن تُؤخذ موافقة المتلقي المستهدف على إرسال هذه المواد إليه.
   • أن يوفر مرسل المواد آلية واضحة تُمكّن المتلقي المستهدف من إبداء رغبته في التوقف عن إرسالها إليه عند رغبته في ذلك.
   • على المؤسسة الاستجابة لطلبات صاحب البيانات الشخصية المتعلقة بحقوقه المنصوص عليها في النظام خلال مدة محددة وعبر وسيلة مناسبة تبينهما اللوائح.
   • لا يجوز تصوير الوثائق الرسمية التي تحدد هوية صاحب البيانات الشخصية أو نسخها، إلاّ عندما يكون ذلك تنفيذاً لأحكام نظام، أو عندما تطلب جهة عامة مختصة تصوير تلك الوثائق أو نسخها وفق ما تحدده اللوائح.
9. على المؤسسة قبل إرسال مواد دعائية أو توعوية الحصول على الموافقة الصريحة للمتلقي المستهدف، وتكون شروط الموافقة وفقاً لما يلي:
   • طرق محددة في سبيل الحصول عليها.
   • أن تصدر الموافقة بإرادة حرة.
   • تمكين المتلقي من تخصيص الخيارات المتعلقة بالمواد الدعائية أو التوعوية محل الموافقة.
   • أن تُوثَّق موافقة المتلقي المستهدف بوسائل تتيح التحقق منها مستقبلاً.
10. على المؤسسة قبل استخدام وسائل الاتصال الشخصية لغرض إرسال مواد دعائية أو توعوية، الالتزام بما يأتي:
    • توضيح وسيلة إرسال المواد الدعائية أو التوعوية للمتلقي المستهدف.
    • ذكر اسم الجهة المرسِلة بوضوح ودون أي إخفاء لهويتها في كافة الرسائل الدعائية أو التوعوية.
    • توفير وتوضيح الآلية اللازمة لإيقاف تلقي تلك المواد من قبل المتلقي المستهدف بسرعة وسهولة.
    • التوقف عن إرسال الرسائل الدعائية أو التوعوية فور تلقيها طلب المتلقي المستهدف بذلك.
    • أن يكون إيقاف تلقي المواد الدعائية أو التوعوية دون مقابل مالي.
    • الاحتفاظ بما يُثبت موافقة المتلقي المستهدف على تلقي المواد الدعائية أو التوعوية.

1. تعتمد المؤسسة سياسات داخلية صارمة لحماية بيانات الموظفين، بما في ذلك:
   • حماية السجلات الشخصية والرواتب والمعلومات الصحية وغيرها.
   • ضمان أن الوصول إلى البيانات الداخلية يقتصر على الموظفين المخولين فقط.
2. يتم تخزين البيانات الداخلية بطريقة آمنة ويتم مراجعة أنظمة الأمان بانتظام لضمان سلامتها.
3. تلتزم المؤسسة بعدم استخدام بيانات الموظفين لأي أغراض غير المصرح بها أو خارج الأطر القانونية.
4. يتم تعيين مسؤول لحماية البيانات لضمان الامتثال للسياسات والإجراءات المتعلقة بحماية البيانات الشخصية.

1. تلتزم المؤسسة بتخزين البيانات الشخصية لفترة زمنية لا تتجاوز الحاجة إلى الأغراض المحددة.
2. يتم الاحتفاظ بالبيانات وفقاً للمعايير القانونية والتنظيمية المتعلقة بمدة الاحتفاظ بالبيانات.
3. بعد انتهاء فترة الاحتفاظ، يتم إتلاف أو إخفاء هوية البيانات الشخصية بطريقة آمنة تضمن عدم إمكانية الوصول إليها.
4. إذا كانت البيانات الشخصية متصلة اتصالاً وثيقاً بقضية منظورة أمام جهة قضائية وكان الاحتفاظ بها مطلوباً لهذا الغرض، يُجرى إتلافها بعد استكمال الإجراءات القضائية الخاصة بالقضية.
5. يلتزم كل من باشر عملاً من أعمال معالجة البيانات الشخصية بالمحافظة على الأسرار المتعلقة بالبيانات حتى بعد انتهاء علاقته الوظيفية أو التعاقدية.

1. قد تستخدم المؤسسة ملفات تعريف الارتباط لتحسين تجربة المستخدم على المواقع الإلكترونية والتطبيقات الخاصة بها.
2. يتم إخطار المستخدمين بسياسة ملفات تعريف الارتباط ولهم الحق في قبول أو رفض استخدامها.
3. يمكن للمستخدمين ضبط إعدادات ملفات تعريف الارتباط من خلال إعدادات المتصفح الخاصة بهم.
4. يتم إتاحة خيار واضح للمستخدمين للتحكم في تفضيلاتهم بشأن ملفات تعريف الارتباط.

1. تلتزم المؤسسة بالامتثال للقوانين المحلية المتعلقة بحماية البيانات والخصوصية.
2. يتم مراجعة السياسات والإجراءات بانتظام لضمان الامتثال المستمر للتشريعات المتغيرة.

1. تحتفظ المؤسسة بحق تعديل أو تحديث سياسة حماية البيانات وسرية المعلومات هذه من وقت لآخر لتلبية التغييرات في القوانين أو الممارسات التشغيلية.
2. سيتم إشعار العملاء والموظفين بأي تغييرات كبيرة في سياسة حماية البيانات وسرية المعلومات عبر القنوات المناسبة، مثل البريد الإلكتروني أو المواقع الإلكترونية.

1. مع عدم الإخلال بأي عقوبة أشد منصوص عليها في نظام آخر:
   يُعاقب بالسجن مدة لا تزيد على (سنتين) وبغرامة لا تزيد على (ثلاثة ملايين) ريال، أو بإحدى هاتين العقوبتين؛ كل من أفصح عن بيانات حساسة أو نشرها مخالفاً أحكام النظام إذا كان ذلك بقصد الإضرار بصاحب البيانات أو بقصد تحقيق منفعة شخصية.
2. تختص النيابة العامة بمهمة التحقيق، والادعاء أمام المحكمة المختصة، عن المخالفة المنصوص عليها في الفقرة (1) من هذه المادة.
3. تتولى المحكمة المختصة النظر في الدعاوى الناشئة من تطبيق هذه المادة وإيقاع العقوبات المقررة.
4. يجوز للمحكمة المختصة مضاعفة عقوبة الغرامة المنصوص عليها في الفقرة (1) من هذه المادة في حالة العودة حتى لو ترتب عليها تجاوز الحد الأقصى لها على ألا تتجاوز ضعف هذا الحد.
5. مع عدم الإخلال بإيقاع العقوبات المنصوص عليها في النظام، لمن لحقه ضرر نتيجةَ ارتكاب أي من المخالفات المنصوص عليها في النظام أو اللوائح – حق المطالبة أمام المحكمة المختصة بالتعويض عن الضرر المادي أو المعنوي بما يتناسب مع حجم الضرر.

1. يمكن للأفراد طرح أي استفسارات أو مخاوف تتعلق بسياسة حماية البيانات وسرية المعلومات عبر التواصل مع قسم حماية البيانات في المؤسسة.
2. يتم الرد على جميع الطلبات والاستفسارات المتعلقة بحماية البيانات في غضون المدة الزمنية المحددة مع اتخاذ الإجراءات المناسبة لمعالجة الطلبات.
3. على المؤسسة توفير الوسائل الملائمة للاستجابة لطلبات صاحب البيانات الشخصية المتعلقة بحقوقه المنصوص عليها في النظام، ويكون لصاحب البيانات الشخصية استخدام واحدة أو أكثر من الوسائل الآتية حسب اختياره وتوافرها لدى المؤسسة: