شريك تطوير في أرمينيا أو جورجيا بدلًا من بولندا: ما الذي يتغير لشركة fintech أوروبية في GDPR وDORA والعقد

بالنسبة إلى شركة fintech في الاتحاد الأوروبي، تتطلب شركة التطوير في أرمينيا أو جورجيا عملًا على العقد أكثر مما تتطلبه شركة في بولندا. فإذا كان مهندسوها يستطيعون رؤية بيانات شخصية، يحتاج العقد إلى أداة نقل مثل البنود التعاقدية القياسية، وينبغي أن يؤدي بند تسوية النزاعات إلى قرار يمكن تنفيذه هناك. وإذا كنت خاضعًا لـ DORA وكانت الخدمة تدعم وظيفة حرجة أو مهمة، فعلى تقييم المخاطر أن يسأل أيضًا عن حماية البيانات وتطبيق القانون في ذلك البلد. أما الفحوص الهندسية وفحص العقوبات وملكية الكود ومعظم شروط العقد فتجري كما في بولندا.

ما الذي يتغير مقارنةً بشركة في بولندا، وما الذي يبقى كما هو؟

بولندا عضو في الاتحاد الأوروبي، أما أرمينيا وجورجيا فلا. ومعظم الفرق ينبع من ذلك:

• البيانات: إذا كان مهندس في شركة في يريفان أو تبليسي يستطيع رؤية البيانات الشخصية لعملائك، فإن هذا الوصول يُعدّ نقلًا للبيانات إلى خارج الاتحاد الأوروبي. أما الوصول من وارسو فلا
• DORA: في الخدمات التي تدعم وظائف حرجة أو مهمة، يضيف المزوّد من خارج الاتحاد الأوروبي سؤالين إلى تقييم المخاطر، أحدهما عن حماية البيانات والآخر عن إنفاذ القانون فعليًا في بلده
• النزاعات: يُعترف في بولندا بحكم محكمة من بلد أوروبي آخر وفق قواعد الاتحاد الأوروبي. وفي أرمينيا وجورجيا يكون تنفيذ قرار التحكيم أسهل من تنفيذ حكم المحكمة
• السجلات: تبحث بوابة العدالة الإلكترونية الأوروبية (e-Justice) في سجلات الشركات في بولندا وسائر دول الاتحاد الأوروبي من مكان واحد. أما الشركات الأرمنية والجورجية فمسجّلة في سجلاتها الوطنية، وجزء منها بالأرمنية أو الجورجية

وما تبقّى لا يتوقف على البلد: لقاء المهندسين الذين سيقومون بالعمل، والتنازل الكتابي عن الكود لشركتك، ومستودعات الكود والحسابات السحابية باسم شركتك، وفحص الشركة ومالكيها في قوائم العقوبات، ومعظم الشروط التعاقدية التي يسردها DORA.

كم ساعة عمل مشتركة سنحظى بها مع فريق في يريفان أو تبليسي؟

تبقى أرمينيا وجورجيا على توقيت UTC+4 طوال العام، بحسب قاعدة بيانات المناطق الزمنية لدى IANA. وتقدّم دول الاتحاد الأوروبي ساعاتها في آخر أحد من مارس وتؤخرها في آخر أحد من أكتوبر. ولذلك تسبق يريفان وتبليسي فرانكفورت وباريس ووارسو بثلاث ساعات في الشتاء وبساعتين في الصيف.

إذا كان يوم العمل من التاسعة صباحًا إلى السادسة مساءً لدى الطرفين، فإن فريقًا في يريفان يشترك مع فرانكفورت في ست ساعات عمل في الشتاء وسبع في الصيف. ومع لندن يشترك في خمس ساعات في الشتاء وست في الصيف. خطّط للاجتماع اليومي ومراجعات الكود والإصدارات داخل هذه النافذة، واكتب الساعات المشتركة في العقد.

قبل التوقيع، استمع في مكالمة فيديو إلى المهندسين وإلى الشخص الذي سيقود العمل يومًا بيوم وهم يستخدمون لغة العمل لدى فريقك.

هل يُعدّ الأمر نقلًا للبيانات إذا كان المهندسون يكتفون بتسجيل الدخول من يريفان؟

نعم، إذا كان بإمكانهم رؤية بيانات شخصية. فقد كتب المجلس الأوروبي لحماية البيانات (EDPB)، الذي يضم سلطات حماية البيانات في دول الاتحاد الأوروبي، في مبادئه التوجيهية 05/2021 أن «الوصول عن بُعد من بلد ثالث (حتى لو اقتصر على عرض البيانات الشخصية على شاشة، كما في حالات الدعم أو معالجة الأعطال أو لأغراض الإدارة)» يُعدّ هو أيضًا نقلًا متى تحققت المعايير الثلاثة للنقل الواردة في هذه المبادئ. وهي تتحقق حين يعمل المهندسون لدى شركة مستقلة، مثل شريك التطوير الذي تتعامل معه.

وأبسط طريقة للحدّ من النقل هي إبقاء البيانات الشخصية بعيدًا عن متناول المهندسين: بيانات اختبار، ونسخ مموّهة، ووصول إلى بيئة الإنتاج عند الحاجة فقط ومع تسجيله. وتصف المقالة الخاصة بالاستعانة بمصادر خارجية لتطوير الذكاء الاصطناعي دون خروج بياناتك هذا الترتيب.

قرار الكفاية يتيح تدفق البيانات الشخصية إلى بلد ما دون ضمانات إضافية. وحتى 26 أكتوبر 2026، لا تضم قائمة هذه القرارات لدى المفوضية الأوروبية أرمينيا ولا جورجيا. والأداة المعتادة للبلدين هي البنود التعاقدية القياسية، وهي شروط تعاقدية جاهزة اعتمدتها المفوضية في 4 يونيو 2021.

وإذا كانت شركة التطوير تعمل على بياناتك وفق تعليماتك، فالجزء الذي ينطبق من هذه البنود هو الوحدة 2، الخاصة بالنقل من المتحكّم إلى المعالج. أما إذا كانت شركتك نفسها تعالج البيانات لصالح عملاء من الشركات، فتنطبق بدلًا منها الوحدة 3، الخاصة بالنقل من معالج إلى معالج. وتقول أسئلة المفوضية وأجوبتها حول هذه البنود إنك مع الوحدة 2 «لا تحتاج إلى إبرام اتفاقية منفصلة لمعالجة البيانات»، لأنها تتضمن أصلًا الشروط التي تشترطها المادة 28 من GDPR. ولا يجوز تعديل نص البنود، إلا لاختيار الوحدات والخيارات، وملء الملاحق، وإضافة ضمانات.

وقبل التوقيع، على الطرفين أن يقيّما ما إذا كانت «قوانين بلد المقصد الثالث وممارساته» قد تمنع الشركة من الالتزام بالبنود. وتسرد الأسئلة والأجوبة أيضًا ما ينبغي النظر فيه، مثل فئات البيانات وصيغتها وطول سلسلة المعالجة.

أما شركة fintech البريطانية فتعمل وفق UK GDPR. وتشمل قواعد الكفاية البريطانية بولندا بوصفها جزءًا من المنطقة الاقتصادية الأوروبية، ولا تشمل أرمينيا ولا جورجيا. وللنقل إلى هذين البلدين، يذكر مكتب مفوض المعلومات (ICO) اتفاقية نقل البيانات الدولية (IDTA) وملحق نقل البيانات الدولي الذي يُضاف إلى البنود الأوروبية، ويطلب كذلك تقييمًا لمخاطر النقل.

ماذا يطلب DORA حين يكون المزوّد خارج الاتحاد الأوروبي؟

يسري DORA، قانون المرونة التشغيلية الرقمية في الاتحاد الأوروبي، منذ 17 يناير 2025. ويشمل البنوك، ومؤسسات الدفع والنقود الإلكترونية، وشركات الاستثمار، ومزوّدي خدمات الأصول المشفّرة، وأماكن التداول، وسائر الكيانات المالية. وتنطبق قواعده على خدمات تقنية المعلومات والاتصالات (ICT)، وهو مصطلح اللائحة للخدمات التقنية. أما هل يُعدّ عقد التطوير خدمةً من هذا النوع، فيتوقف على ما يتضمنه، كالدعم أو الصيانة أو الاستضافة بعد الإطلاق، فاسأل فريق الامتثال لديك أولًا.

فإن عُدّ كذلك، تظل «مسؤولًا مسؤولية كاملة» عن التزاماتك بموجب DORA، بعبارة المادة 28، وتقيّد العقد في سجل المعلومات لديك، أي السجل الذي يفرضه DORA لعقود تقنية المعلومات والاتصالات. وتسرد المادة 30 الشروط التي يحتاجها كل عقد من هذا النوع، ومنها البلدان التي تُقدَّم فيها الخدمات وتُعالَج فيها البيانات، والإشعار المسبق قبل تغيير هذه المواقع، وإعادة بياناتك إذا تعثّر المزوّد أو انتهى العقد. وعلى الشركة في بولندا أن تقبل هذه الشروط أيضًا.

الفرق في جزء واحد من تقييم المخاطر، يخص الخدمات التي تدعم وظائف حرجة أو مهمة، وهي الوظائف التي يُلحق تعطّلها ضررًا جسيمًا بعملك أو بامتثالك. فبالنسبة إلى أي مزوّد من هذا النوع، تطلب المادة 29 أن تنظر في قواعد الإعسار التي ستنطبق وفي أي قيد على «الاسترداد العاجل لبيانات الكيان المالي». وبالنسبة إلى شركة في أرمينيا أو جورجيا، فهذه هي القواعد الأرمنية أو الجورجية. أما المزوّد «المؤسَّس في بلد ثالث»، فتضيف المادة بشأنه «امتثاله لقواعد الاتحاد في حماية البيانات والإنفاذ الفعلي للقانون في ذلك البلد الثالث».

اسأل الشركة أين سيعمل موظفوها وخوادمها على نظامك، وكيف تستعيد الكود والبيانات إذا توقفت الشركة عن العمل لصالحك. واسأل محاميك هل يمكن تنفيذ قرار لصالحك هناك. كما تحتاج عقود هذه الخدمات إلى حقوق التدقيق والوصول وإلى استراتيجية خروج مع فترة انتقالية، أينما كان المزوّد.

هل يمكن تنفيذ عقد مع شركة في أرمينيا أو جورجيا؟

نعم، إذا خطّطت للطريق قبل التوقيع. فالقرار الصادر ضد الشركة يجب تنفيذه حيث توجد حساباتها وممتلكاتها، وهو عادةً بلدها.

تنفيذ قرار التحكيم أسهل. فأرمينيا وجورجيا وبولندا كلها أطراف في اتفاقية نيويورك لعام 1958، التي تعترف بموجبها الدول المتعاقدة بقرارات التحكيم الصادرة في دول متعاقدة أخرى وتنفّذها. ويُظهر جدول الحالة لدى الأونسيترال (UNCITRAL) أن الاتفاقية نافذة بالنسبة إلى جورجيا منذ 1994 وبالنسبة إلى أرمينيا منذ 1998. وتطبّقها أرمينيا فقط على القرارات الصادرة في دولة متعاقدة أخرى وعلى النزاعات التي يعدّها قانونها تجارية.

أما أحكام المحاكم فأصعب. ففي داخل الاتحاد الأوروبي، تجعل لائحة بروكسل Ia حكم محكمة ألمانية أو فرنسية معترفًا به في بولندا دون إجراء خاص. كما تشمل بولندا، عبر الاتحاد الأوروبي، اتفاقية لاهاي لعام 2019 بشأن الأحكام، التي تسري على المملكة المتحدة منذ 1 يوليو 2025. وحتى 26 أكتوبر 2026، لا أرمينيا ولا جورجيا طرف في تلك الاتفاقية ولا في اتفاقية لاهاي لعام 2005 بشأن اتفاقات اختيار المحكمة، بحسب جداول الحالة لدى مؤتمر لاهاي.

لذلك، إذا كانت الشركة في أرمينيا أو جورجيا، فاسأل محاميك عن بند تحكيم يكون مقرّه، أي الموطن القانوني للتحكيم، في بلد طرف في الاتفاقية. واسأل أيضًا كيف سيُعامَل هناك حكم صادر عن محاكم بلدك. فبالنسبة إلى الوظائف الحرجة أو المهمة، هذا الجواب جزء مما يطلب منك DORA النظر فيه.

هل تشكّل شركة في أرمينيا أو جورجيا خطرًا من ناحية العقوبات مقارنةً بشركة في روسيا أو بيلاروس؟

ليس بوصفه بلدًا. فحتى 26 أكتوبر 2026، تُظهر خريطة عقوبات الاتحاد الأوروبي (EU Sanctions Map) أنظمة عقوبات أوروبية لروسيا ولبيلاروس ولا شيء لأرمينيا أو جورجيا. ولا تتضمن قائمة أنظمة العقوبات في المملكة المتحدة ولا قائمة برامج العقوبات لدى وزارة الخزانة الأمريكية أي نظام لأرمينيا أو جورجيا كذلك.

لكن غياب نظام عقوبات عن بلد لا يبرّئ أي شركة فيه. ابحث عن الشركة، وعن كل مالك مذكور في السجل، وعن المدير، وعن البنك المستلم، في القائمة الموحّدة للعقوبات المالية لدى الاتحاد الأوروبي، وفي UK Sanctions List أيضًا إن كانت شركتك بريطانية. وفي «أفضل الممارسات للتطبيق الفعّال للتدابير التقييدية»، المحدّثة في 3 يوليو 2024، يعدّ مجلس الاتحاد الأوروبي الكيان مملوكًا لشخص مدرج في القائمة ابتداءً من «50% أو أكثر من حقوق الملكية». والدفع لمثل هذا الكيان يُعدّ من حيث المبدأ إتاحةً غير مباشرة للأموال للشخص المدرج.

واسأل أيضًا من أين سيعمل كل مهندس في مشروعك، واطلب رأي محامٍ مختص بالعقوبات قبل التوقيع إذا كان أحدهم سيعمل من روسيا أو بيلاروس. وتشرح المقالة الخاصة باختيار شركة في أوروبا الشرقية أو القوقاز القواعد الأمريكية في هذا الشأن.

وإذا كانت مجموعتك تضم شركة أمريكية، فتحقق أيضًا من أين يعيش مالكو الشركة ومهندسوها: فبرنامج أمن البيانات (Data Security Program) لدى وزارة العدل، الساري منذ 8 أبريل 2025، يسمّي ست «دول مثيرة للقلق» (countries of concern)، من بينها روسيا، وليس من بينها بيلاروس ولا أرمينيا ولا جورجيا. وبموجبه لا يجوز لشركة أمريكية أن تمنح مزوّدًا مؤسَّسًا في روسيا وصولًا إلى البيانات المالية الشخصية لأكثر من 10,000 شخص أمريكي (US persons)، محسوبين على مدى الاثني عشر شهرًا السابقة، إلا إذا استوفت متطلبات البرنامج في الأمن والامتثال. وتمتد القاعدة أيضًا إلى مزوّد غير أمريكي يملك 50% أو أكثر منه شركات من هذا النوع أو أشخاص يعيشون أساسًا في روسيا. والمهندس الذي يعيش أساسًا في روسيا يُعدّ هو أيضًا «شخصًا مشمولًا» (covered person)، أيًّا كانت الجهة التي توظّفه.

مع أي شركة نوقّع، وكيف نتحقق من أنها حقيقية؟

وقّع مع الشركة التي توظّف مهندسي مشروعك. وإذا عرضت عليك جهة ما عقدًا مع شركتها في الاتحاد الأوروبي أو الولايات المتحدة بينما يعمل المهندسون لدى شركتها الأرمنية أو الجورجية، فاطلب أن ترى كيف ينتقل الكود والحقوق من شركة إلى أخرى ثم إليك.

ثم ابحث بنفسك عن الشركة في سجلها الرسمي. ففي أرمينيا هو سجل الكيانات القانونية لدى وزارة العدل على e-register.moj.am. وفي جورجيا هو سجل الوكالة الوطنية للسجل العام. أما الشركة البولندية فتبحث عنها بوابة العدالة الإلكترونية الأوروبية (e-Justice) في سجلات الشركات الوطنية. وتشرح المقالة الخاصة باختيار شركة في أوروبا الشرقية أو القوقاز ما يُظهره كل سجل وبماذا تقارنه.

وقد تتوقف شركة حقيقية عن العمل في منتصف الطريق. وتتناول المقالة الخاصة بالفريق المخصّص الذي لا يختفي فحوص هذا الخطر. وتحميك شروط DORA المذكورة أعلاه هنا أيضًا: الكود في مستودعاتك، والبيانات تعود إليك بصيغة قابلة للاستخدام، وفترة انتقالية ريثما تنتقل.

أين موقع amBrain من ذلك؟

amBrain، التي تنشر هذه المدونة، شركة هندسة برمجيات في يريفان، أرمينيا، ولذلك ينطبق عليها الجانب الأرمني من هذه المقالة. ومن خدماتها «تطوير طرفيات التداول، وأنظمة إدارة الأوامر، وتكامل البورصات عبر بروتوكول FIX». وهي تبني البرمجيات منذ عام 2019، وتعمل بثلاث صيغ: تسليم كامل، أو فريق مخصّص، أو مهندسون مدمجون في فريقك.

أما في الملكية فسطرها هو: «يحتفظ العميل بالملكية الكاملة للمنتج وللكود، باستثناء مكوّناتنا القابلة لإعادة الاستخدام». وإن كانت amBrain في قائمتك المختصرة، فاطرح عليها الأسئلة الواردة أعلاه كما تطرحها على أي شركة أخرى: هل توقّع البنود التعاقدية القياسية، ومن أين يعمل كل مهندس، وهل تقبل شروط المادة 30، وما المكوّنات القابلة لإعادة الاستخدام التي تقصدها.

هذه المقالة ليست استشارة قانونية: اطلب من محامٍ أن يقرأ العقد قبل أن توقّعه.