دسترسی به سرویس های فارسی زبان، برای فارسی زبانان در سراسر دنیا
آموزش
سرگرمی
ورزش و تناسب اندام
تور و سفر
حمل و نقل
ترجمه رسمی
مشاوره حقوقی
آموزش و مشاوره
توسعه و طراحی
دیجیتال مارکتینگ و سئو
شبکه و پشتیبانی
طراحی و تولید محتوا
پزشکی و مشاوره درمانی
تغذیه
روانشناسی
دامپزشکی
کسب و کار
عمران و ساخت و ساز
برنامهریزی مالی و سرمایه‌گذاری
حسابداری و مالیات
خدمات بیمه
خدمات وام
مهاجرت به آمریکا
مهاجرت به کانادا
پیش از اتصال ابزارهای جانبی به وب‌سایت: چک‌لیست حریم خصوصی بر اساس راهنمای تازهٔ کمیسر حریم خصوصی کانادا
پیش از اتصال ابزارهای جانبی به وب‌سایت: چک‌لیست حریم خصوصی بر اساس راهنمای تازهٔ کمیسر حریم خصوصی کانادا
خلاصه: بیشتر وب‌سایت‌های کسب‌وکارهای کوچک فقط از کد خودشان ساخته نشده‌اند؛ هاست، فرم تماس، ابزار ارسال خبرنامه، سامانهٔ رزرو، آمار بازدید و گاهی چت‌بات هوش مصنوعی را شرکت‌های دیگری فراهم می‌کنند. دفتر کمیسر حریم خصوصی کانادا (OPC) در ۱۰ سپتامبر ۲۰۲۶ راهنمایی با عنوان «Guidance on Assessing Third-Party Service Providers» منتشر کرد تا کسب‌وکارهای مشمول قانون PIPEDA پیش از شروع همکاری، شیوهٔ برخورد این سرویس‌ها با اطلاعات شخصی را بسنجند. این راهنما در مرحلهٔ نظرخواهی عمومی است و ممکن است پس از ۴ دسامبر ۲۰۲۶ اصلاح شود.
چرا این راهنما برای وب‌سایت شما مهم است؟
نکتهٔ محوری راهنما «مسئولیت‌پذیری» است. طبق اصل 4.1.3 قانون PIPEDA، سازمان مسئول اطلاعات شخصی تحت کنترل خود است؛ از جمله اطلاعاتی که سرویس‌دهندهٔ بیرونی از طرف او جمع‌آوری یا پردازش می‌کند. سازمان باید با قرارداد یا روش‌های دیگر از سطح حفاظت قابل‌مقایسه مطمئن شود. به بیان ساده، اگر فرم تماس سایت شما اطلاعات مشتری را روی سرور شرکت دیگری ذخیره می‌کند، مسئولیت حفاظت از آن اطلاعات همچنان با شماست.
OPC تأکید می‌کند این ارزیابی یک «روش پیشنهادی» است و همهٔ الزامات PIPEDA دربارهٔ رابطه با شخص ثالث را پوشش نمی‌دهد؛ مسئولیت نهایی رعایت قانون با خود سازمان است. همچنین به گفتهٔ راهنما، کسی که ارزیابی را انجام می‌دهد باید آموزش و تخصص کافی داشته باشد و در صورت نیاز از کمک حقوقی یا فنی بیرونی استفاده شود.
۱۲ پرسش پیش از انتخاب سرویس‌دهنده
- چه اطلاعات شخصی‌ای درگیر است؟ همهٔ داده‌ها، از جمله اطلاعات حساس را فهرست کنید. اگر سرویس‌دهنده می‌گوید داده‌ها «ناشناس‌سازی» می‌شوند، روش دقیق آن را بپرسید.
- داده‌ها کجا می‌روند؟ مسیر اطلاعات میان شما، مشتری، سرویس‌دهنده و پیمانکاران فرعی و محل ذخیره را ترسیم کنید.
- هدف استفاده چیست و آیا سرویس‌دهنده برای خودش هم از داده استفاده می‌کند؟ اگر بخواهد مثلاً الگوریتم‌هایش را با آن آموزش دهد، بررسی کنید آیا رضایت لازم است و این استفاده با قانون سازگار است یا نه.
- کارکردها و ریسک‌ها چیست؟ دربارهٔ ریسک‌هایی مثل سوگیری سیستمی، آسیب‌پذیری امنیتی و نادرستی بپرسید و مطمئن شوید قابلیت‌های غیرضروری را می‌توان خاموش کرد.
- پیمانکاران فرعی چه کسانی هستند؟ بخواهید آن‌ها را کتبی معرفی کنند و همان استانداردهای حریم خصوصی را رعایت کنند.
- نقش‌ها و مسئولیت‌ها، از جمله پاسخ به درخواست افراد برای دسترسی به اطلاعاتشان، روشن است؟
- آیا پردازش خارج از کانادا انجام می‌شود؟ کشورهای درگیر و ریسک‌های آن برای امنیت و محرمانگی داده را بشناسید.
- اگر ابزار بر پایهٔ هوش مصنوعی است، داده‌های آموزشی آن از کجا آمده و آیا به‌طور قانونی جمع‌آوری شده است؟
- تدابیر امنیتی سایبری، فیزیکی و محیط کار، تنظیمات امنیتی قابل‌پیکربندی و فرایند مدیریت رخنهٔ اطلاعاتی چیست؟
- اگر روزی بخواهید سرویس را عوض کنید، داده‌ها در قالب قابل‌انتقال تحویل داده می‌شوند یا در سرویس «قفل» می‌شوید؟
- داده‌ها، از جمله نسخه‌های پشتیبان، چه زمانی و چطور حذف می‌شوند و پس از پایان قرارداد چه اتفاقی برایشان می‌افتد؟
- عملکرد، امنیت و رعایت حریم خصوصی را در طول زمان چطور پایش خواهید کرد؟
در قرارداد به چه نکاتی توجه کنیم؟
طبق پیش‌نویس OPC، بهتر است قرارداد این موارد را پوشش دهد: پذیرش نقش‌ها و تعهدات سرویس‌دهنده در چارچوب PIPEDA، تبدیل نتایج ارزیابی به بندهای قراردادی، استانداردهای پیمانکاران فرعی، نقش هر طرف هنگام رخنهٔ اطلاعاتی، قابلیت انتقال داده و نحوهٔ بازگرداندن و حذف داده‌ها در پایان همکاری. راهنما نمونهٔ آماده‌ای برای بندهای قرارداد ارائه نمی‌کند؛ پس برای متن قرارداد از مشاور حقوقی کمک بگیرید.
پایش پس از شروع همکاری
OPC پیشنهاد می‌کند عملکرد و امنیت سرویس با ابزارهایی مانند گزارش‌های دسترسی (access logs)، ابزارهای گزارش‌دهی، آزمون‌های منظم و ممیزی مستقل پایش شود و رعایت حریم خصوصی هم به‌صورت مستمر بررسی شود.
مثال فرضی: افزودن چت‌بات به سایت یک کسب‌وکار خدماتی
یک کسب‌وکار خدماتی کوچک می‌خواهد چت‌بات هوش مصنوعی به وب‌سایت خود اضافه کند. پیش از فعال‌سازی، از سرویس‌دهنده می‌پرسد گفت‌وگوها کجا ذخیره می‌شوند، آیا برای آموزش مدل به کار می‌روند، چه مدت نگه داشته می‌شوند و آیا می‌توان ذخیرهٔ گفت‌وگوها را خاموش کرد. پاسخ‌ها را مکتوب نگه می‌دارد و پیش از امضای قرارداد با مشاور حقوقی یا فنی مشورت می‌کند. این مثال فقط برای توضیح است.
چند نکتهٔ عملی برای صاحبان وب‌سایت
- فهرستی از همهٔ افزونه‌ها و سرویس‌های متصل به سایت (هاست، فرم، ایمیل، آمار، پرداخت، رزرو و چت) تهیه کنید و برای هرکدام یک مسئول داخلی تعیین کنید.
- در فرم‌ها فقط اطلاعاتی را بخواهید که واقعاً برای ارائهٔ خدمت لازم است.
- متن سیاست حریم خصوصی سایت را با واقعیت سرویس‌های متصل هماهنگ و به‌روز نگه دارید.
- بسته به استان و نوع فعالیت، ممکن است قانون حریم خصوصی دیگری هم مطرح باشد؛ ابزار «Which privacy law applies?» در وب‌سایت OPC نقطهٔ شروع خوبی است.
خدمات مرتبط در Best Pars
اگر برای راه‌اندازی یا بازبینی وب‌سایت و اتصال سرویس‌های جانبی به کمک فنی نیاز دارید، دستهٔ توسعه و طراحی Best Pars را ببینید؛ در این دسته خدمات طراحی و توسعهٔ وب‌سایت و اپلیکیشن به‌صورت آنلاین معرفی شده است. می‌توانید پرسش‌های بالا را در شرح پروژه برای توسعه‌دهنده بنویسید؛ ارزیابی حقوقی قرارداد بر عهدهٔ مشاور حقوقی است.
منبع رسمی
Office of the Privacy Commissioner of Canada — Guidance on Assessing Third-Party Service Providers — منتشرشده در ۱۰ سپتامبر ۲۰۲۶ (پیش‌نویس برای نظرخواهی تا ۴ دسامبر ۲۰۲۶).
خبر رسمی: Privacy Commissioner of Canada releases guidance for businesses working with third-party service providers — ۱۰ سپتامبر ۲۰۲۶.
این نوشته اطلاعات کلی و آموزشی است و مشاورهٔ فردی یا حقوقی ارائه نمی‌دهد.
