قانون داده، NIS2 و دیگر مقررات اتحادیهٔ اروپا
اینکه قانون داده، NIS2 و Cyberbeveiligingswet (قانون امنیت سایبری) هلند، قوانین دسترس‌پذیری، قواعد کوکی، قواعد انتقال داده و تکالیف اطلاع‌رسانی هلند چگونه بر LeraLink اعمال می‌شوند
آخرین به‌روزرسانی: ۱۲ نوامبر ۲۰۲۶
گسترهٔ این صفحه
این صفحه مقررات اتحادیهٔ اروپا و هلند را، به‌جز مقررات عمومی حفاظت از داده (GDPR)، قانون هوش مصنوعی و قانون خدمات دیجیتال، در بر می‌گیرد که برای مشتریان SSStudio، با نام تجاری LeraLink («ما»)، بیشترین اهمیت را دارند. آن سه صفحه‌های خاص خود را دارند: مقررات عمومی حفاظت از داده در لرالینک، قانون هوش مصنوعی اتحادیهٔ اروپا در لرالینک و قانون خدمات دیجیتال در لرالینک.
برای هر مقرره می‌گوییم که آیا و چگونه اعمال می‌شود، و چه می‌کنیم. هر جا اعمال‌شدن آن به واقعیات یا تفسیری بستگی داشته باشد که هنوز روشن نیست، آن را می‌گوییم.
قانون داده: تغییر ارائه‌دهنده و خروج (فصل ششم)
آیا اعمال می‌شود؟
مقررات (EU) 2023/2854، یعنی قانون داده (Data Act)، از ۱۲ سپتامبر ۲۰۲۵ اعمال می‌شود. فصل ششم قواعدی برای تغییر میان خدمات پردازش داده مقرر می‌کند. LeraLink یک خدمت نرم‌افزاری است که از طریق شبکه ارائه می‌شود و به ارزیابی ما خدمت پردازش داده به معنای قانون داده است. بنابراین فصل ششم را اعمال می‌کنیم.
فصل ششم بر نسخه‌های غیرتولیدی که برای آزمون و ارزیابی برای مدتی محدود عرضه می‌شوند اعمال نمی‌شود (بند ۲ مادهٔ ۳۱). LeraLink در مرحلهٔ آزمایشی کنترل‌شده است، اما نصب‌های آزمایشی برای کار واقعی به کار می‌روند، از این رو بر آن استثنا تکیه نمی‌کنیم.
آنچه قانون داده الزامی می‌کند، و شرایط خروج LeraLink چگونه با آن همسوست
| الزام قانون داده | ماده | لرالینک |
|---|---|---|
| رفع موانع تغییر به ارائه‌دهندهٔ دیگر یا به سامانه‌های خود مشتری | مادهٔ ۲۳ | برون‌بری نصب به‌طور پیش‌فرض برای هر نصب در دسترس است. مدیران مشتری که حق برون‌بری دارند می‌توانند هر زمان، بدون دخالت ما، خودشان از نصب برون‌بری کنند. هر جا نصب آثار محدود داشته باشد، برون‌بری کامل را فقط شخصی می‌تواند انجام دهد که همهٔ آن آثار به رویش گشوده باشد، مانند مالک |
| شرایط تغییر در قراردادی کتبی، از جمله مهلت اخطار حداکثر دو ماهه | بند ۲(d) مادهٔ ۲۵ | قرارداد مشتری و سیاست برون‌بری داده و خروج مهلت اخطار را تعیین می‌کنند |
| دورهٔ انتقالی حداکثر ۳۰ روزه برای تکمیل تغییر، که در طول آن خدمت ادامه می‌یابد | بند ۲(a) مادهٔ ۲۵ | در سیاست برون‌بری داده و خروج آمده است |
| مشخصات جامع داده‌ها و دارایی‌های دیجیتالی که می‌توان برون‌بری کرد | بندهای ۲(e) و ۲(f) مادهٔ ۲۵ | سیاست برون‌بری داده و خروج فهرست می‌کند که برون‌بری چه چیزهایی را در بر دارد و چه چیزهایی را نه (برای مثال اعتبارنامه‌ها و رمزها) |
| دورهٔ بازیابی داده دست‌کم ۳۰ روزه پس از دورهٔ انتقالی | بند ۲(g) مادهٔ ۲۵ | در سیاست برون‌بری داده و خروج آمده است |
| پاک‌سازی کامل داده‌های قابل برون‌بری پس از دورهٔ بازیابی، پس از تکمیل تغییر | بند ۲(h) مادهٔ ۲۵ | سیاست برون‌بری داده و خروج حذف پس از دورهٔ بازیابی را مقرر می‌کند؛ نسخه‌های موجود در پشتیبان‌ها پس از ۳۰ روز منقضی می‌شوند |
| اطلاعات دربارهٔ رویه‌های تغییر، قالب‌ها و محدودیت‌های شناخته‌شده، و فهرستی برخط از ساختارها و قالب‌های داده | مادهٔ ۲۶ | بستهٔ برون‌بری ساختار خود را توصیف می‌کند؛ بنگرید به سیاست برون‌بری داده و خروج |
| اطلاعات دربارهٔ حوزهٔ قضایی زیرساخت و دربارهٔ تدابیر علیه دسترسی غیرقانونی حکومتی بین‌المللی به دادهٔ غیرشخصی | مادهٔ ۲۸ | سند داده‌های شما کجا نگهداری می‌شود بیان می‌کند داده‌ها کجا نگهداری و پردازش می‌شوند؛ سند پردازشگران فرعی و دریافت‌کنندگان هر ارائه‌دهنده و مکان آن را نام می‌برد |
| کاهش هزینه‌های تغییر تا ۱۲ ژانویهٔ ۲۰۲۷؛ بدون هزینهٔ تغییر از آن تاریخ | مادهٔ ۲۹ | LeraLink برای برون‌بری یک نصب یا برای تغییر ارائه‌دهنده هزینه‌ای دریافت نمی‌کند |
| برون‌بری در قالبی ساخت‌یافته، رایج و ماشین‌خوان | مادهٔ ۳۰ | برون‌بری‌ها از قالب‌های باز استفاده می‌کنند (در ادامه) |
برون‌بری چه چیزهایی را در بر دارد
برون‌بری یک نصب، بایگانی واحدی در قالب‌های باز است: دادهٔ ساخت‌یافته در JSON، آثار در Markdown و HTML، اشخاص در CSV، و فایل‌های اصلی چنان‌که بارگذاری شده‌اند، تا ۲ گیگابایت فایل در هر بایگانی؛ فایل‌های بیش از آن در فهرست محتویات (manifest) نام برده می‌شوند، و بنا به درخواست در برون‌بری بزرگ‌تر کمک می‌کنیم. فهرست محتویات، محتوای بایگانی را با یک کنترل‌جمع (checksum) فهرست می‌کند تا بتوان بایگانی را بدون LeraLink بررسی و بازسازی کرد. اعتبارنامه‌های ورود و رمزهای ارائه‌دهندگان عمداً کنار گذاشته می‌شوند.
اشخاص می‌توانند جداگانه داده‌های خود را از حساب خود بارگیری کنند، چنان‌که در سند حقوق شما دربارهٔ داده‌هایتان شرح داده شده است.
تغییرات در جریان
کمیسیون اروپا در چارچوب بستهٔ جامع دیجیتال (digital omnibus) خود اصلاحاتی در قانون داده پیشنهاد کرده است، از جمله معافیت‌های هدفمند از برخی قواعد تغییر برای ارائه‌دهندگان کوچک‌تر. هنگام نگارش این صفحه آن اصلاحات تصویب نشده بودند. اگر تصویب شوند شرایط خود را بازبینی خواهیم کرد، اما قصد نداریم تعهدات خروج بالا را کاهش دهیم.
NIS2 و Cyberbeveiligingswet هلند
قانون
دستورالعمل (EU) 2022/2555 (NIS2) در هلند با Cyberbeveiligingswet (Cbw، قانون امنیت سایبری) اجرا می‌شود که از ۱۵ اوت ۲۰۲۶ لازم‌الاجراست. این قانون تکلیف مراقبت، تکالیف گزارش حادثه و تکالیف ثبت را بر نهادهای اساسی و مهم در بخش‌های فهرست‌شده می‌گذارد.
آیا SSStudio مشمول است؟
با وضع کنونی، احتمالاً نه. NIS2 به‌طور کلی بر نهادهایی با دست‌کم اندازهٔ متوسط اعمال می‌شود: ۵۰ نفر کارکنان یا بیشتر، یا گردش مالی سالانه و ترازنامه‌ای بالاتر از آستانه‌های توصیه‌نامهٔ کمیسیون 2003/361/EC (بند ۱ مادهٔ ۲ NIS2). SSStudio یک خردبنگاه است. استثناهایی که صرف‌نظر از اندازه اعمال می‌شوند، مانند استثنای ارائه‌دهندگان خدمات DNS، ثبت‌کنندگان دامنه‌های سطح بالا، ارائه‌دهندگان خدمات اعتماد و ارائه‌دهندگان ارتباطات الکترونیکی عمومی، خدمت LeraLink را توصیف نمی‌کنند. مرجع ملی همچنین می‌تواند در موارد خاص نهاد کوچک‌تری را تعیین کند؛ SSStudio تعیین نشده است.
اگر SSStudio رشد کند، شکل حقوقی خود را تغییر دهد، یا اگر مقامات رهنمودی بدهند که بر خدمات نرم‌افزاری از این نوع اثر بگذارد، این ارزیابی را از نو انجام خواهیم داد.
پشتیبانی از مشتریان مشمول
مشتریان ممکن است خود نهادهای اساسی یا مهم باشند. طبق Cbw، سازمان‌های دولتی هلند باید تدابیر امنیتی Baseline Informatiebeveiliging Overheid (BIO2، مبنای امنیت اطلاعات دولت) را اعمال کنند. نهادهای اساسی و مهم باید امنیت زنجیرهٔ تأمین خود را مدیریت کنند (بند ۲(d) مادهٔ ۲۱ NIS2) و حوادث مهم را در مهلت‌های کوتاه گزارش دهند (مادهٔ ۲۳ NIS2). ما در مقام تأمین‌کننده از آنان پشتیبانی می‌کنیم:
- اطلاعات. نمای کلی امنیت، تدابیر فنی و سازمانی، و پردازشگران فرعی و دریافت‌کنندگان تدابیر و تأمین‌کنندگان ما را شرح می‌دهند، از جمله آنچه هنوز برقرار نیست.
- ارزیابی‌ها. ما پرسش‌نامه‌های امنیتی را تکمیل می‌کنیم. تطبیق تدابیر ما با BIO2 برنامه‌ریزی شده است؛ بنگرید به مستندات امنیتی و اطمینان‌بخشی.
- اطلاع‌رسانی حادثه. ما مشتریان متأثر را بدون تأخیر ناموجه از حوادث امنیتی آگاه می‌کنیم، همراه با اطلاعاتی که برای گزارش‌دهی خود نیاز دارند، چنان‌که در سند واکنش به حادثه و اطلاع‌رسانی آمده است. برای نقض دادهٔ شخصی، قرارداد پردازش داده مهلت ۴۸ ساعت را مقرر می‌کند.
- قرارداد. تکالیف امنیتی، اطلاع‌رسانی و حقوق ممیزی در قرارداد پردازش داده آمده است.
دسترس‌پذیری: قانون دسترس‌پذیری اروپا و WCAG
قانون دسترس‌پذیری اروپا
دستورالعمل (EU) 2019/882، یعنی قانون دسترس‌پذیری اروپا، از ۲۸ ژوئن ۲۰۲۵ بر محصولات و خدمات معینی که به مصرف‌کنندگان عرضه می‌شوند، مانند تجارت الکترونیکی، بانکداری مصرف‌کننده، ارتباطات الکترونیکی و کتاب‌های الکترونیکی، اعمال می‌شود. LeraLink عمدتاً به سازمان‌ها عرضه می‌شود. هر جا بخشی از آن در گسترهٔ این قانون قرار گیرد، خردبنگاه‌هایی که خدمات ارائه می‌کنند از الزامات دسترس‌پذیری آن معاف‌اند (بند ۵ مادهٔ ۴)، و SSStudio خردبنگاه است. مشتری‌ای که از طریق نصب خود خدمتی مشمول را به مصرف‌کنندگان عرضه می‌کند باید تکالیف خود را بررسی کند.
وب‌سایت‌های بخش عمومی
نهادهای بخش عمومی باید طبق دستورالعمل (EU) 2016/2102 و مقررات هلندی اجرای آن، که استاندارد EN 301 549 (و از طریق آن WCAG 2.1 سطح AA) و بیانیهٔ دسترس‌پذیری را الزامی می‌کنند، وب‌سایت‌های خود را دسترس‌پذیر کنند. این تکلیف بر عهدهٔ خود نهاد عمومی است، از جمله برای نصبی که روی LeraLink اداره می‌کند.
آنچه انجام می‌دهیم
ما به هر حال در سراسر پلتفرم WCAG 2.2 سطح AA را هدف قرار می‌دهیم، که معیارهای سطح AA از WCAG 2.1 را نیز در بر دارد. هنوز هیچ ممیزی مستقل یا ارزیابی کامل انطباق انجام نشده است، از این رو ادعای انطباق کامل یا جزئی نمی‌کنیم. بیانیهٔ دسترس‌پذیری وضعیت و چگونگی گزارش یک مشکل (accessibility@lera.link) را شرح می‌دهد. مشتری بخش عمومی که برای بیانیهٔ دسترس‌پذیری خود به ارزیابی نیاز دارد باید برای آن برنامه‌ریزی کند.
کوکی‌ها و ذخیره‌سازی مرورگر: ePrivacy و قانون مخابرات هلند
دستورالعمل 2002/58/EC (دستورالعمل ePrivacy، حریم خصوصی الکترونیکی) در هلند در مادهٔ 11.7a قانون مخابرات (Telecommunicatiewet) اجرا شده است. ذخیره یا خواندن اطلاعات در دستگاه کاربر نیازمند رضایت است، مگر آنکه برای خدمتی که کاربر درخواست کرده است کاملاً ضروری باشد.
LeraLink فقط کوکی‌های نشست ورود، که کاملاً ضروری‌اند، و دو کوکی زبان، که هنگام انتخاب زبان توسط شخص تنظیم می‌شوند، قرار می‌دهد. دیگر اقلام موجود در ذخیره‌سازی مرورگر فقط در خدمت کارکردی هستند که شخص از آن استفاده می‌کند. LeraLink از هیچ کوکی تحلیلی یا تبلیغاتی استفاده نمی‌کند. محتوای خدمات دیگر، مانند ویدئوی جاسازی‌شده، فقط پس از اجازهٔ خواننده بارگذاری می‌شود. بیانیهٔ کوکی‌ها و ذخیره‌سازی محلی هر کوکی و هر نوع ذخیره‌سازی مرورگر را فهرست می‌کند.
نصبی که سنجش یا خدمات جاسازی‌شدهٔ خود را می‌افزاید باید آنها را در اطلاعیهٔ خود توصیف کند و هر جا لازم باشد رضایت بگیرد.
انتقال‌های بین‌المللی: چارچوب حریم خصوصی دادهٔ اتحادیهٔ اروپا و ایالات متحده
هر جا دادهٔ شخصی به دریافت‌کننده‌ای خارج از منطقهٔ اقتصادی اروپا برسد، فصل پنجم GDPR اعمال می‌شود. برای دریافت‌کنندگان در ایالات متحده، هر جا دریافت‌کننده گواهی داشته باشد بر چارچوب حریم خصوصی دادهٔ اتحادیهٔ اروپا و ایالات متحده (تصمیم اجرایی کمیسیون (EU) 2023/1795)، و در غیر این صورت بر بندهای قراردادی استاندارد تکیه می‌کنیم.
دادگاه عمومی اتحادیهٔ اروپا در ۳ سپتامبر ۲۰۲۵ دعوایی را علیه چارچوب حریم خصوصی داده رد کرد. تجدیدنظری نزد دیوان دادگستری در جریان است (پروندهٔ C-703/25 P). اگر این چارچوب ابطال شود، بر بندهای قراردادی استاندارد همراه با تدابیر تکمیلی تکیه خواهیم کرد و ارزیابی خواهیم کرد که آیا پردازشی باید جابه‌جا شود. اسناد داده‌های شما کجا نگهداری می‌شود و پردازشگران فرعی و دریافت‌کنندگان شرح می‌دهند کدام داده‌ها از اتحادیهٔ اروپا خارج می‌شوند.
تکالیف اطلاع‌رسانی هلند
ما، در مقام کسب‌وکاری مستقر در هلند، اطلاعاتی را که قانون مدنی هلند برای خدمات جامعهٔ اطلاعاتی الزامی می‌کند (مادهٔ 3:15d BW، در اجرای مادهٔ ۵ دستورالعمل 2000/31/EC) ارائه می‌کنیم: نام، نشانی جغرافیایی، نشانی ایمیل، شمارهٔ اتاق بازرگانی و شمارهٔ مالیات بر ارزش افزوده: SSStudio، لاهه، هلند؛ اتاق بازرگانی (KvK) 98779885؛ شمارهٔ شناسایی مالیات بر ارزش افزوده NL005352396B67. نشانی پستی بنا به درخواست: legal@lera.link. دیگر مشخصات در سند اطلاعات شرکت آمده است. هر جا مشتری مصرف‌کننده باشد، مقررات هلند دربارهٔ اطلاعات پیش از قرارداد از راه دور (مادهٔ 6:230m BW) نیز اعمال می‌شود.
آنچه پایش می‌کنیم
| تحول | چرا اهمیت دارد |
|---|---|
| پیشنهادهای بستهٔ جامع دیجیتال برای GDPR، قواعد ePrivacy و قانون داده | ممکن است قواعد کوکی، قواعد تغییر ارائه‌دهنده و نگهداری سوابق را تغییر دهد |
| اجرای بیشتر قانون هوش مصنوعی، از جمله رهنمودهای کمیسیون و نظارت هلند | بنگرید به قانون هوش مصنوعی اتحادیهٔ اروپا در لرالینک |
| رهنمودها و هرگونه تعیین طبق Cyberbeveiligingswet | ممکن است SSStudio را مشمول کند، یا آنچه را مشتریان از تأمین‌کنندگان می‌خواهند تغییر دهد |
| به‌روزرسانی‌های BIO2 | آنچه را مشتریان دولتی هلند باید اعمال کنند تغییر می‌دهد |
| مقررات (EU) 2024/2847، قانون تاب‌آوری سایبری | بر محصولات دارای عناصر دیجیتال اعمال می‌شود؛ به ارزیابی ما خدمتی مانند LeraLink را در بر نمی‌گیرد، اما تفسیر آن را دنبال می‌کنیم |
| دستورالعمل (EU) 2024/2853 دربارهٔ مسئولیت ناشی از محصولات معیوب | پس از انتقال به حقوق ملی، نرم‌افزار را مشمول مسئولیت محصول می‌کند |
| تجدیدنظر نزد دیوان دادگستری دربارهٔ چارچوب حریم خصوصی داده | بر انتقال‌ها به ایالات متحده اثر می‌گذارد |
| فهرست استانداردهای باز Forum Standaardisatie (مجمع استانداردسازی) | بنگرید به استانداردهای باز و امنیت اینترنت |
تغییراتی که بر مشتریان اثر می‌گذارند طبق سیاست اطلاع‌رسانی تغییرات اعلام می‌شوند.
تماس
پرسش‌های حقوقی و مقرراتی: legal@lera.link. حریم خصوصی: privacy@lera.link. امنیت: security@lera.link. دسترس‌پذیری: accessibility@lera.link.
منابع
- مقررات (EU) 2023/2854 (قانون داده): eur-lex.europa.eu
- دستورالعمل (EU) 2022/2555 (NIS2): eur-lex.europa.eu
- Cyberbeveiligingswet، لازم‌الاجرا از ۱۵ اوت ۲۰۲۶ (NCSC): ncsc.nl
- Rijksoverheid (دولت هلند)، Cyberbeveiligingswet en Wet weerbaarheid kritieke entiteiten vanaf 15 augustus 2026 van kracht (قانون امنیت سایبری و قانون تاب‌آوری نهادهای حیاتی از ۱۵ اوت ۲۰۲۶ لازم‌الاجرا می‌شوند): rijksoverheid.nl
- BIO2 (Digital Government، دولت دیجیتال): nldigitalgovernment.nl
- توصیه‌نامهٔ کمیسیون 2003/361/EC (تعریف بنگاه‌های کوچک و متوسط): eur-lex.europa.eu
- دستورالعمل (EU) 2019/882 (قانون دسترس‌پذیری اروپا): eur-lex.europa.eu
- دستورالعمل (EU) 2016/2102 (دسترس‌پذیری وب‌سایت‌های بخش عمومی): eur-lex.europa.eu
- دستورالعمل 2002/58/EC (دستورالعمل ePrivacy): eur-lex.europa.eu
- Telecommunicatiewet (قانون مخابرات)، مادهٔ 11.7a: wetten.overheid.nl
- تصمیم اجرایی کمیسیون (EU) 2023/1795 (چارچوب حریم خصوصی دادهٔ اتحادیهٔ اروپا و ایالات متحده): eur-lex.europa.eu
- دستورالعمل 2000/31/EC (دستورالعمل تجارت الکترونیکی): eur-lex.europa.eu
- Burgerlijk Wetboek (قانون مدنی هلند)، کتاب ۳ (مادهٔ 3:15d): wetten.overheid.nl
- Burgerlijk Wetboek، کتاب ۶ (مادهٔ 6:230m): wetten.overheid.nl
- مقررات (EU) 2024/2847 (قانون تاب‌آوری سایبری): eur-lex.europa.eu
- دستورالعمل (EU) 2024/2853 (مسئولیت ناشی از محصولات معیوب): eur-lex.europa.eu