سیاست حریم خصوصی سامانه B5RI
۱. مقدمه و دامنه
سامانه b5ri.ir (که از این پس «پرتال» نامیده می‌شود) تحت نظارت پژوهشکده پولی و بانکی، بازوی پژوهشی بانک مرکزی جمهوری اسلامی ایران و توسط موسسۀ دانش‌بنیان خدمات مدیریت و فناوری رشد قلم‌چی اداره می‌شود. این سامانه با هدف سنجش سطح آمادگی بانک‌ها و مؤسسات مالی در گذار به بانکداری نسل ۵ طراحی شده است.
این سیاست حریم خصوصی توضیح می‌دهد که چه اطلاعاتی از کاربران و بانک‌های مشارکت‌کننده جمع‌آوری می‌شود، چگونه از آن‌ها استفاده و محافظت می‌کنیم، با چه اشخاصی به اشتراک می‌گذاریم و شما چه حقوقی نسبت به داده‌های خود دارید.
این سیاست بر تمام خدمات پرتال، از جمله ثبت‌نام، تکمیل پرسشنامه‌ها، مصاحبه‌ها، بررسی مستندات، تولید گزارش و کارگاه‌های آموزشی اعمال می‌شود.
۲. تعاریف
داده شخصی: هر اطلاعاتی که به یک شخص حقیقی شناسایی‌شده یا قابل شناسایی مربوط شود.
داده سازمانی: اطلاعات مربوط به بانک یا مؤسسه مالی، مانند نام، ساختار، فرآیندها و وضعیت فناوری.
داده ارزیابی: پاسخ‌های پرسشنامه، محتوای مصاحبه‌ها، مستندات ارائه‌شده و امتیازهای محاسبه‌شده در چهار مدل و شش بُعد ارزیابی.
داده تجمیعی: داده‌ای که با ترکیب داده‌های چند بانک و حذف هویت آن‌ها تولید می‌شود و قابل انتساب به بانک خاصی نیست.
مسئول داده: موسسۀ دانش‌بنیان خدمات مدیریت و فناوری رشد قلم‌چی به عنوان مالک و گرداننده پرتال.
پردازش: هر عملیات روی داده، مانند جمع‌آوری، ذخیره، تحلیل، انتقال یا حذف.
۳. پرتال چه اطلاعاتی جمع‌آوری یا نگهداری می‌نماید؟
- اطلاعات هویتی و سازمانی بانک
- نام کامل بانک یا مؤسسه مالی
- شناسه حقوقی و کد اقتصادی (در صورت نیاز)
- نشانی، تلفن و ایمیل سازمانی
- نام و مشخصات مدیران ارشد و مسئولان پیگیری
- اطلاعات نمایندگان و کاربران پرتال
- نام و نام خانوادگی
- سمت سازمانی
- شماره تماس و ایمیل
- نام کاربری و رمز عبور (به صورت رمزنگاری‌شده)
- سوابق ارتباطات و تیکت‌ها
- داده‌های ارزیابی (به صورت رمزنگاری شده)
- پاسخ‌های ارائه‌شده در پرسشنامه‌های شش‌گانه (شامل و نه محدود به حوزه‌های حاکمیت و استراتژی، زیرساخت فناوری، فرآیندها و عملیات، سرمایه انسانی، مشارکت و اکوسیستم، تجربه مشتری)
- محتوای مصاحبه‌های ساختاریافته با مدیران و کارشناسان بانک
- مستندات و شواهدی که بانک در اختیار پرتال قرار می‌دهد
- امتیازها، تحلیل‌ها و نقشه راه تولیدشده برای بانک
- داده‌های فنی و استفاده از پرتال
- آدرس IP
- نوع مرورگر، سیستم‌عامل و دستگاه
- زمان و مدت بازدید
- صفحات مشاهده‌شده و تعاملات با پرتال
- کوکی‌ها و شناسه‌های مشابه
- داده‌های ارتباطی
- پیام‌های داخل پرتال، ارسالی به یا دریافتی از کاربر
- درخواست‌های پشتیبانی و پاسخ‌های آن‌ها
۴. اهداف پردازش داده‌ها
ما داده‌ها را برای اهداف زیر پردازش می‌کنیم:
- ارائه خدمات ارزیابی: اجرای فرآیند ارزیابی، محاسبه شاخص B5RI و تولید گزارش اختصاصی.
- تهیه نقشه راه و مشاوره: تدوین سند عملیاتی و پیشنهاد اقدامات اولویت‌دار برای بانک.
- بنچمارک و تحلیل صنعتی: تولید گزارش‌های تطبیقی و ناشناس برای مقایسه بانک‌ها بدون افشای هویت آن‌ها.
- پژوهش و توسعه: بهبود متدولوژی ارزیابی، مدل‌ها و شاخص‌های پرتال.
- ارتباطات: اطلاع‌رسانی درباره مراحل ارزیابی، تغییرات پرتال و رویدادهای آموزشی.
- امنیت و جلوگیری از سوءاستفاده: تشخیص و جلوگیری از دسترسی غیرمجاز، تقلب و نقض قوانین.
- الزامات قانونی: پاسخ به درخواست‌های قانونی مراجع ذی‌صلاح و رعایت مقررات بانک مرکزی.
در صورتیکه بانکی در سطح سنجش خود خدمت «تحلیل سفر مشتری واقعی» را داشته باشد، آنگاه:
- اطلاع‌رسانی و ترقیب: بانک موظف است با هزینه خود، راساً نسبت به اطلاع رسانی با محتوای مورد تایید پژوهشکده پولی و بانکی جهت شرکت مشتریان خود در نظرسنجی و ترقیب ایشان به پاسخگویی به پرسشنامه اقدام نمایند. اطلاع‌رسانی و ترقیب باید بگونه‌ای صورت پذیرد که حداقل تعداد آماری قابل پذیرش در نظرسنجی شرکت نمایند.
- بی‌طرفی: پرتال نسبت به نظریات مشتریان مسئولیتی نخواهد داشت و در خصوص این نتایج بی‌طرف خواهد بود.
۵. مبانی قانونی پردازش
پردازش داده‌ها بر یکی از مبانی زیر انجام می‌شود:
- رضایت: هنگام ثبت‌نام یا ارائه داده‌های اختیاری.
- اجرای قرارداد: برای ارائه خدماتی که بانک درخواست کرده است.
- الزام قانونی: برای رعایت قوانین و مقررات بانکی و حفاظت از داده‌ها.
- منافع مشروع: برای بهبود پرتال، امنیت و پژوهش‌های آماری، به شرط عدم نقض حقوق کاربران.
۶. نحوه جمع‌آوری داده‌ها
داده‌ها از راه‌های زیر جمع‌آوری می‌شوند:
- فرم‌های ثبت‌نام و ورود به پرتال
- پرسشنامه‌های آنلاین
- جلسات مصاحبه و Kick-off
- بررسی مستندات ارسالی بانک
- کوکی‌ها و فناوری‌های مشابه در مرورگر
- گزارش‌های خودکار سرور (لاگ‌ها)
- مکاتبات و درخواست‌های پشتیبانی
۷. اشتراک‌گذاری و افشای داده‌ها
ما داده‌ها را نمی‌فروشیم و بدون رضایت بانک، اطلاعات هویتی آن را در اختیار اشخاص ثالث قرار نمی‌دهیم، مگر در موارد زیر:
- ارائه‌دهندگان خدمات فنی: مانند شرکت‌های میزبانی، پشتیبانی سرور و ابزارهای تحلیل، که تحت توافق‌نامه محرمانگی (NDA) و فقط برای اهداف مشخص با ما همکاری می‌کنند.
- الزامات قانونی: در صورت درخواست مراجع قضایی یا نظارتی ذی‌صلاح، مطابق قوانین جاری.
- بانک مرکزی و پژوهشکده پولی و بانکی: برای اهداف نظارتی، پژوهشی و آماری، با رعایت محرمانگی.
- داده‌های تجمیعی و ناشناس: ممکن است برای بنچمارک صنعتی، گزارش‌های تحلیلی و پژوهش‌های علمی استفاده شوند. در این حالت، هیچ اطلاعاتی که هویت بانک یا افراد را افشا کند، منتشر نمی‌شود.
تعهد ویژه: گزارش اختصاصی هر بانک، فقط در اختیار همان بانک قرار می‌گیرد و مالکیت آن انحصاری است.
۸. امنیت داده‌ها
ما برای حفاظت از داده‌ها اقدامات فنی و سازمانی زیر را به کار می‌گیریم:
- انعقاد توافق‌نامه محرمانگی (NDA) با بانک‌ها و همکاران
- میزبانی روی سرور اختصاصی با کنترل دسترسی
- ناشناس‌سازی داده‌ها در تحلیل‌های تجمیعی
- رمزنگاری داده‌های حساس در انتقال و ذخیره‌سازی
- کنترل دسترسی مبتنی بر نقش (RBAC)
- ثبت لاگ‌های امنیتی و پایش دسترسی‌ها
- پشتیبان‌گیری منظم و بازیابی در صورت بروز حادثه
- آموزش کارکنان درباره حفاظت از داده‌ها
با این حال، هیچ روش انتقال یا ذخیره‌سازی داده‌ای صددرصد امن نیست. ما تلاش متعارف را برای حفاظت انجام می‌دهیم، اما تضمین مطلق امنیت قابل ارائه نیست، به همین دلیل کاربر موظف است تمامی فیلدهای داده حساس بانک در اطلاعات ارایه شده را به گونه‌ای خلاصه یا پنهان‌نگاری نماید که تحلیل‌های مورد نیاز سنجش سطح آمادگی مستند و به درستی قابل انجام باشد.
۹. نگهداری و حذف داده‌ها
- داده‌های ارزیابی و گزارش‌ها تا پایان فرآیند ارزیابی و سپس برای مدت یکسال نگهداری می‌شوند تا امکان پیگیری، اعتراض و الزامات قانونی فراهم باشد.
- پس از پایان مدت نگهداری، داده‌ها حذف یا ناشناس‌سازی می‌شوند.
- داده‌های فنی و لاگ‌ها معمولاً برای مدت کوتاه‌تری نگهداری می‌شوند.
- در صورت درخواست حذف حساب توسط بانک، داده‌های هویتی حذف می‌شوند، اما داده‌های تجمیعی و ناشناس ممکن است باقی بمانند.
- برخی داده‌ها ممکن است به دلیل الزامات قانونی برای مدت طولانی‌تری نگهداری شوند.
۱۰. حقوق کاربران و بانک‌ها
کاربر و بانک متبوع (صرفاً در صورتیکه در پرتال ثبت‌نام و هزینه خدمات را پرداخته باشد) حق دارد:
- دسترسی: مشاهده داده‌های ذخیره‌شده درباره خود.
- اصلاح: درخواست تصحیح داده‌هایی که به صورت نادرست یا ناقص ثبت نموده است.
- حذف: درخواست حذف داده‌ها، با رعایت الزامات قانونی.
- محدودیت پردازش: درخواست محدود کردن پردازش در شرایط خاص.
- اعتراض: اعتراض به پردازش داده‌ها بر پایه منافع مشروع و مستند به اسناد قابل پذیرش پرتال.
- قابلیت انتقال: دریافت داده‌ها در قالب قابل خواندن.
برای اعمال این حقوق، می‌توانید از طریق ایمیل درخواست خود را ارسال کنید. پرتال ظرف 30 روز کاری پاسخ خواهد داد.
۱۱. کوکی‌ها و فناوری‌های مشابه
پرتال ممکن است از کوکی‌ها برای موارد زیر استفاده کند:
- کوکی‌های ضروری: برای ورود، امنیت و عملکرد پایه پرتال.
- کوکی‌های عملکردی: برای ذخیره تنظیمات کاربر.
- کوکی‌های تحلیلی: برای بررسی نحوه استفاده از پرتال و بهبود آن.
شما می‌توانید کوکی‌ها را از تنظیمات مرورگر خود مدیریت یا مسدود کنید. اما مسدود کردن کوکی‌های ضروری ممکن است برخی بخش‌های پرتال را غیرقابل استفاده کند.
۱۲. مرکز داده
داده‌های پرتال در سرورهای اختصاصی متولی پرتال و در داخل ایران میزبانی می‌شوند. در صورت نیاز به انتقال داده به مرکز داده دیگری در ایران برای خدمات فنی، این کار تنها با رعایت قوانین جاری، تضمین‌های حفاظتی مناسب انجام می‌شود.
۱۳. حریم خصوصی کودکان
سامانه B5RI برای استفاده بانک‌ها، مؤسسات مالی و نمایندگان آن‌ها طراحی شده است و برای افراد زیر ۱۸ سال در نظر گرفته نشده است. ما به طور آگاهانه داده‌ای از کودکان جمع‌آوری نمی‌کنیم.
۱۴. تغییرات سیاست حریم خصوصی
- پرتال ممکن است این سیاست را در هر زمان به‌روزرسانی نماید.
- نسخه جدید از لحظه انتشار در پرتال لازم‌الاجرا است.
- ادامه استفاده از پرتال پس از تغییرات، به معنای پذیرش نسخه جدید است.