نظام حماية البيانات والاستضافة: أين يخزّن تطبيقك بياناته؟

إذا كان تطبيقك أو موقعك يجمع بيانات شخصية لأشخاص في السعودية، فإن نظام حماية البيانات الشخصية ينطبق عليك أينما كانت خوادمك. بدأ سريان النظام في 14 سبتمبر 2023، وأصبح بإمكان الجهة المختصة، الهيئة السعودية للبيانات والذكاء الاصطناعي (سدايا)، تطبيقه منذ انتهاء مهلة السنة في 14 سبتمبر 2024. ولا يشترط النظام استضافة كل البيانات الشخصية داخل المملكة، لكن نقلها إلى الخارج يجب أن يستوفي شروطه، ولبعض القطاعات قواعد أشد خاصة بها.

يشرح هذا الدليل ما يعنيه النظام لقرارات الاستضافة، وما يجب بناؤه في التطبيق من البداية. وهو إرشاد عملي لا استشارة قانونية؛ ولحالتك الخاصة استشر محاميًا متخصصًا في حماية البيانات في السعودية.

هل ينطبق النظام على تطبيقي؟

غالبًا نعم، إذا كنت تعالج بيانات شخصية لأشخاص في السعودية. والبيانات الشخصية هي كل ما يعرّف بالشخص مباشرة أو بشكل غير مباشر: الاسم ورقم الجوال والبريد ورقم الهوية والعنوان والموقع والصور، وسجل الحساب أو الطلبات المرتبط بشخص. المتاجر الإلكترونية وتطبيقات الحجز وأنظمة إدارة العملاء ومساعدات واتساب كلها تتعامل معها.

هل يجب استضافة البيانات داخل السعودية؟

ليس دائمًا. كان النظام في صيغته الأولى يكاد يمنع النقل إلى الخارج، لكن تعديلات 2023 ولائحة نقل البيانات المعدّلة في سبتمبر 2024 تسمح بالنقل خارج المملكة عبر آليات محددة، مثل:

• دولة تعترف سدايا بأن مستوى الحماية فيها كافٍ؛
• بنود تعاقدية قياسية وفق النموذج المعتمد من سدايا؛
• قواعد ملزمة مشتركة داخل مجموعة شركات؛
• استثناءات محددة في اللائحة.

وهناك تنبيهان أهم من القاعدة العامة:

1. قواعد القطاع. الجهات الحكومية والقطاعات المنظَّمة، مثل الخدمات المالية والصحة، لها في الغالب متطلبات خاصة بتوطين البيانات والحوسبة السحابية، وقد تشترط الاستضافة داخل المملكة بغض النظر عن نظام حماية البيانات.
2. العقود. يطلب العملاء الكبار بشكل متزايد بقاء البيانات في السعودية كشرط تعاقدي، حتى عندما يسمح النظام بغير ذلك.

وقد أصبح لدى عدد من مزوّدي الحوسبة السحابية الكبار مناطق مراكز بيانات عاملة أو معلنة في السعودية، فصارت الاستضافة داخل المملكة أسهل مما كانت. تحقّق من المناطق والخدمات المتاحة حاليًا لدى كل مزوّد قبل القرار، فليست كل خدمة متاحة في كل منطقة.

ماذا تبني في التطبيق من البداية؟

وماذا عن أدوات التحليل والذكاء الاصطناعي وغيرها؟

ترسل أغلب التطبيقات بيانات إلى خدمات كثيرة: التحليلات، وتقارير الأعطال، والبريد والرسائل النصية، وبوابات الدفع، وأدوات المحادثة، ونماذج الذكاء الاصطناعي. كل منها يستقبل بيانات شخصية، وكثير منها يخزنها خارج المملكة. اكتب قائمة بكل خدمة، وما البيانات التي تصلها، وأين تخزنها. ثم احذف ما لا تحتاجه، وأخفِ ما تستطيع (مثلًا لا ترسل أرقام الجوال كاملة إلى أدوات التحليل)، وتأكد أن النقل مغطّى بإحدى الآليات.

كيف تختار الاستضافة عمليًا؟

1. ابدأ بقطاعك. إن كنت جهة حكومية أو في المالية أو الصحة أو قطاع منظَّم آخر، فقواعد الجهة المنظِّمة هي الحاسمة.
2. راجع عقود عملائك. بعضها سيشترط الاستضافة داخل المملكة.
3. صنّف بياناتك. افصل البيانات الشخصية عن غيرها؛ فالملفات الثابتة والمحتوى العام نادرًا ما تثير الأسئلة نفسها.
4. اختر المنطقة التي تلبي أشد المتطلبات السابقة، ثم اختر المزوّد والخدمات المتاحة فيها.
5. وثّق القرار، بما في ذلك أي آلية نقل تعتمد عليها.

ماذا نقدّم؟

نبني التطبيقات والأنظمة ونستضيفها مع تصميم حماية البيانات من البداية: استضافة في المنطقة التي يتطلبها قطاعك وعملاؤك، وتشفير، وصلاحيات وصول، وخصائص للاحتفاظ والحذف، وإشعار خصوصية يطابق ما يفعله التطبيق فعلًا. تواصل معنا لمناقشة مشروعك.