تنبيه: هذا شرح عملي من مهندسين، مو استشارة قانونية. ارجع للنص الرسمي على موقع الهيئة السعودية للبيانات والذكاء الاصطناعي (سدايا)، أو لمحامي، قبل أي قرار.
إذا منتجك يجمع بيانات أشخاص في السعودية، مثل الاسم أو الإيميل أو الجوال أو الموقع، فنظام حماية البيانات الشخصية ينطبق عليك، حتى لو شركتك برا السعودية. النظام دخل حيز التنفيذ في سبتمبر 2023، وانتهت فترة السماح في سبتمبر 2024، يعني الحين مُلزم. هذي ست أشياء تمس منتجك مباشرة.
1. سياسة خصوصية قبل ما تجمع أي شي
لازم تكون فيه سياسة خصوصية واضحة يقدر المستخدم يقراها قبل ما يعطيك بياناته: وش تجمع، وليش، ووين تحفظه، ومين يشوفه، وكم تحتفظ فيه. انتبه: كثير من سياسات الخصوصية اللي يكتبها الذكاء الاصطناعي عامة، وتقول أشياء منتجك ما يسويها. لازم تطابق اللي يصير فعلًا.
2. اجمع اللي تحتاجه بس
كل حقل في نموذج التسجيل لازم يكون له سبب. تاريخ الميلاد ورقم الهوية والموقع، إذا ما تحتاجها للخدمة نفسها، لا تطلبها. اللي ما جمعته ما ينسرق.
3. الموافقة واضحة، خصوصًا للتسويق
رسائل التسويق تحتاج موافقة المستخدم. خلّ الموافقة واضحة: مربع يختاره المستخدم بنفسه، مو مؤشّر عليه مسبقًا. البيانات الحساسة، مثل البيانات الصحية، لها شروط أشد.
4. حقوق المستخدم: لازم تقدر تنفذها
المستخدم يحق له يعرف وش عندك عنه، وياخذ نسخة منه، ويطلب تصحيحه أو حذفه، واللائحة التنفيذية تحدد مدة للرد عليه (30 يوم). اسأل نفسك: لو أحد طلب حذف بياناته اليوم، تعرف تحذفها من كل مكان؟ من قاعدة البيانات، والملفات، وأدوات التسويق والمراسلة؟
5. التسريب: عندك 72 ساعة
إذا صار تسريب لبيانات شخصية، لازم تبلّغ الجهة المختصة خلال 72 ساعة من علمك فيه، وتبلّغ المستخدمين المتضررين إذا التسريب ممكن يضرهم. هذا يعني إنك لازم تعرف إن صار تسريب أصلًا: سجلات، وتنبيهات، وتعرف مين دخل على وش. أشهر أسباب التسريب في درس 5 ثغرات في تسجيل الدخول.
6. وين تنحفظ البيانات
نقل البيانات الشخصية لخارج السعودية مسموح بشروط، مو مفتوح. إذا قاعدة بياناتك أو أدواتك في أوروبا أو أمريكا، وهذا حال أغلب المنتجات اللي انبنت بالذكاء الاصطناعي، اعرف الشروط واكتب في سياسة الخصوصية وين تنحفظ بياناتهم.
من وين تبدأ
اكتب قائمة بكل البيانات اللي تجمعها، ووين تنحفظ، ومين يقدر يوصل لها. هذي القائمة نص الطريق. الجانب التقني منها، مثل الصلاحيات وحماية البيانات وكشف التسريب، يمر عليه تدقيق جاهزية الإطلاق ضمن الأمان وسلامة البيانات.