بيان الامتثال لـ PDPL

١. حوكمة البيانات والامتثال لسدايا (SDAIA)

تم تصميم بنية منصة BrightAI بالكامل لتكون متوافقة مع نظام حماية البيانات الشخصية (PDPL) الصادر عن هيئة البيانات والذكاء الاصطناعي سدايا. قمنا بتطوير لوحة امتثال خاصة تقوم بتتبع مسار البيانات، وتعيين مسؤول مستقل لحماية البيانات الشخصية (Data Protection Officer) لتلقي الاستفسارات وإجراء تقييمات الأثر الدورية لحماية البيانات.

نلتزم التزاماً كاملاً بالمبادئ الرئيسية للنظام: شفافية المعالجة، تحديد الغرض، تقليل البيانات، الحد من الاحتفاظ، سلامة البيانات وسريتها، والمساءلة. هذه المبادئ ليست مجرد نصوص قانونية نضعها في سياسة، بل هي قرارات هندسية نطبّقها في كل سطر كود، في كل بنية تحتية، وفي كل عملية تشغيلية داخل منصتنا. الفرق الجوهري بين شركة تتعامل مع PDPL كتمرين قانوني وبين شركة تتعامل معه كهندسة: الأولى تنتج رزمة وثائق، والثانية تبني نظاماً يمنع المخالفات قبل حدوثها.

هندسة الامتثال في BrightAI تبدأ من طبقة قواعد البيانات (AES-256 في السكون، TLS 1.3 في النقل) مروراً بطبقة التطبيقات (ضوابط وصول صارمة، سجل تدقيق لكل قراءة وكتابة) وصولاً إلى طبقة الذكاء الاصطناعي (AI Firewall، إخفاء PII تلقائي، موافقات بشرية إلزامية). كل طبقة تُختبر أمنياً كل 6 أشهر عبر جهة خارجية، وتُوثَّق في سجل المعالجات المركزي.

للاطلاع على الدليل التطبيقي الكامل لكيفية تطبيق PDPL في منشأتك، راجع دليل امتثال PDPL للمنشآت السعودية 2026 — خطوات عملية، قوالب سياسات، وحالة عملية لشركة تأمين سعودية حققت 14 مليون ريال قيمة سنوية من الامتثال.

٢. إخفاء الهوية تلقائياً وجدار الحماية (PII Redaction & AI Firewall)

يمثل جدار حماية الذكاء الاصطناعي لدينا (AI Firewall) خط الدفاع الأول للامتثال لـ PDPL؛ حيث يقوم بالتقاط أي نصوص أو مدخلات تحتوي على بيانات شخصية حساسة (مثل أرقام الهويات، السجلات الطبية، معلومات الحسابات البنكية) وإخفائها تلقائياً بعملية (Redaction) قبل وصولها للنماذج، مما يضمن أمانها التام من أي تسريب. هذه العملية تتم في وقت حقيقي دون تأخير ملحوظ في أداء النظام.

هذه الطبقة التقنية تعمل على ثلاث مستويات: تصفية البيانات قبل التدريب (إزالة الأسماء، أرقام الهوية، العناوين)، تدريب النموذج في بيئة معزولة داخل المملكة، وسجل تدقيق يسجل كل وصول وقراءة. نظام AI Firewall يفحص كل مدخل ومخرج (Input & Output) وفق قواعد مرنة قابلة للتخصيص لكل شركة حسب طبيعة نشاطها. تقارير الربع الرابع من 2025 تشير إلى أن الشركات السعودية التي تستخدم AI Firewall خفضت مخاطر تسرب بياناتها بنسبة 94% مقارنة بمن لا تستخدمه.

بيانات الموظفين تحديداً تتطلب حماية مضاعفة: رواتب، تقارير أداء، إجازات مرضية، بصمات حضور. أي وصول غير مصرح لملف موظف يعرّض الشركة لعقوبات. تعرّف على الضوابط الخاصة في حقوق الموظفين في نظام PDPL السعودي. للمزيد عن AI Firewall نفسه، راجع كيف يحمي PDPL الشركات السعودية في استخدام AI و PDPL و AI: ما الذي يجب أن تعرفه الشركات السعودية؟.

٣. توطين وسيادة البيانات بالكامل في الرياض

نحن نؤمن بسيادة البيانات الوطنية. تلتزم BrightAI التزاماً كاملاً بتوطين كافة بيانات العملاء ومعالجتها محلياً داخل خوادمنا السحابية فائقة الأمان والمشفرة في مدينة الرياض بالمملكة العربية السعودية، دون إجراء أي عمليات نقل أو معالجة خارجية عابرة للحدود إلا بموافقات استثنائية وبموجب الضوابط التنظيمية الرسمية.

هذا التوطين ليس خياراً تقنياً فقط، بل التزام نظامي يمليه PDPL (المادة 29) وتوجيهات الهيئة الوطنية للأمن السيبراني (NCA ECC). لتفاصيل شروط نقل البيانات خارج المملكة والاستثناءات، راجع نقل البيانات الشخصية خارج السعودية: شروط المادة 29 وأثرها على Cloud AI.

٤. حقوق أصحاب البيانات وآليات الممارسة

نظام PDPL يمنح أصحاب البيانات حقوقاً واضحة وقابلة للتنفيذ: الحق في العلم، الحق في الوصول، الحق في التصحيح، الحق في الحذف (الحق في النسيان)، الحق في الاعتراض، والحق في نقل البيانات. هذه الحقوق تنقل السيطرة من المؤسسة إلى الفرد، ونحن في BrightAI نبني أدوات تتيح ممارستها عملياً.

منصتنا توفر بوابة إلكترونية موحدة لطلبات أصحاب البيانات، مع أتمتة تقلل زمن الاستجابة من الحد النظامي (30 يوماً) إلى 4 أيام فقط. النظام يطلب الرد خلال 30 يوماً، لكن الشركات الأفضل ترد خلال 7 أيام باستخدام الأتمتة. لتفاصيل كيفية ممارسة هذه الحقوق في منشأتك، راجع دليل امتثال PDPL — قسم حقوق أصحاب البيانات.

تذكير مهم: حقوق أصحاب البيانات لا تقتصر على العملاء — بل تشمل الموظفين داخل المنشأة أيضاً. ملف الموظف يحتوي بيانات شخصية وحساسة (الراتب، الحالة الصحية، البصمة، تقارير الأداء) ويتمتع الموظف بنفس الحقوق الستة تجاه صاحب العمل. للمزيد عن حقوق الموظفين في PDPL، راجع حقوق الموظفين في نظام PDPL السعودي — حماية بيانات القوى العاملة.

٥. سجل المعالجات وتقييم الأثر DPIA

يجب على كل جهة الاحتفاظ بسجل مفصل لعمليات المعالجة. هذا السجل ليس وثيقة ترفع لسدايا فقط، بل هو أداة تشغيلية تساعد الشركة على فهم تدفقات بياناتها باستمرار. السجل يتضمن: وصف الغرض من المعالجة، فئات البيانات الشخصية المعنية، فئات أصحاب البيانات، فئات المستلمين، آلية النقل خارج المملكة، مدة الاحتفاظ، وضوابط الأمن المطبقة. كل بند من هذه البنود يحتاج إجابة مدعومة بأدلة — ليس مجرد "نطبق التشفير" بل "نطبق AES-256 مع إدارة مفاتيح عبر AWS KMS في الرياض".

الممارسة الخاطئة الأوسع انتشاراً في السوق السعودي: كتابة سجل المعالجات مرة واحدة في Excel عند بداية مشروع الامتثال، ثم تركه دون تحديث لأشهر. الحقيقة أن تدفقات البيانات تتغير كلما أضيفت أداة جديدة، أو تعاقدت الشركة مع بائع جديد، أو أطلقت منتجاً جديداً. المنصة تتعقب هذه التغييرات تلقائياً وتحدّث السجل دون تدخل يدوي.

عندما تنطوي المعالجة على مخاطر عالية (بيانات صحية، مراقبة منهجية، تقنيات جديدة) — يجب إجراء تقييم أثر حماية البيانات (DPIA) قبل بدء المعالجة. اللائحة التنفيذية تحدد 4 حالات تستلزم DPIA إلزامي: المعالجة المنهجية للبيانات الحساسة، المراقبة المنهجية واسعة النطاق، المعالجة الآلية للقرارات المؤثرة قانونياً، واستخدام التقنيات الجديدة. منصة BrightAI تتيح إنشاء وتحديث سجل المعالجات و DPIA آلياً مع ربطها بسجل التدقيق المركزي. للتفاصيل التطبيقية راجع دليل امتثال PDPL — قسم تقييم الأثر و شرح اللائحة التنفيذية لـ PDPL.

٦. الإخطار بالاختراقات والاستجابة للحوادث

في حال وقوع اختراق يؤدي إلى تعريض البيانات الشخصية للخطر، يجب إخطار سدايا خلال 72 ساعة من اكتشاف الحادث، وإخطار أصحاب البيانات المتأثرين إذا كان الاختراق ينطوي على مخاطر عالية. هذا يتطلب خطة استجابة للحوادث جاهزة ومختبرة مسبقاً — ليس وقت الاختراق هو الوقت المناسب لكتابة السياسات.

BrightAI تطبّق بروتوكولات صارمة: مراقبة مستمرة، تنبيهات آلية، فريق استجابة متاح 24/7، وتمارين محاكاة كل 6 أشهر. اتفاقية معالجة البيانات (DPA) الخاصة بنا تلزمنا بإخطار المتحكم خلال 72 ساعة مع توفير ملف أدلة جنائي فني كامل. للتفاصيل راجع هذا البيان — قسم اتفاقية معالجة البيانات و اتفاقية معالجة البيانات (DPA).

٧. نقل البيانات عبر الحدود والضوابط

يمنع النظام نقل البيانات الشخصية خارج المملكة إلا في حالات محددة ووفق ضوابط صارمة (المادة 29). هذا يعني أن استخدام نماذج AI مستضافة في الخارج يحتاج تقييماً دقيقاً وضوابط إضافية. بعض الجهات الرقابية تشدد على أن وجود بيانات العملاء في خوادم خارجية بدون ضمانات كافية يُعتبر مخالفة صريحة.

الحل الأمثل: استخدام نماذج AI محلية أو مستضافة على بنية تحتية سعودية، مع طبقة حماية تمنع تسرب البيانات عبر الـ API. BrightAI توفر نماذج عربية مدربة على بيانات سعودية، مستضافة في الرياض، مع AI Firewall يمنع أي نقل غير مصرح. للتفاصيل الكاملة راجع نقل البيانات الشخصية خارج السعودية: شروط المادة 29 وأثرها على Cloud AI والاستثناءات.

٨. حوكمة الذكاء الاصطناعي و PDPL — تكامل لا انفصال

لا يوجد تعارض جوهري بين PDPL والذكاء الاصطناعي؛ النظام السعودي لا يمنع استخدام AI، لكنه يضع شروطاً صارمة حول شرعية المعالجة، تقليل البيانات، الشفافية، وحقوق أصحاب البيانات. التحدي الحقيقي ليس في "هل نستخدم AI؟" بل في "كيف نستخدمه بضوابط قابلة للتدقيق؟". كلما زاد اعتماد المنشأة على الذكاء الاصطناعي في معالجة البيانات الشخصية، زادت الحاجة إلى ضوابط حوكمة رقمية مدمجة في سير العمل — وليس سياسات ورقية في ملف مغلق.

الحل العملي يمر عبر ثلاث طبقات متكاملة: AI Firewall لفحص كل input/output ومنع تسرب البيانات الحساسة، Audit Trail لتوثيق كل عملية وصول ومعالجة في سجل مركزي غير قابل للتلاعب، وطبقة موافقة بشرية للتحكم في الوصول للبيانات الحساسة والقرارات المؤثرة — مع إبقاء المسؤولية القانونية النهائية على عاتق الجهة وبالرجوع إلى مستشار قانوني متخصص.

منصة BrightAI للحوكمة تقدم هذه الطبقات الثلاث ضمن منظومة موحدة. بالإضافة إلى ذلك، توفر المنصة تقارير امتثال ربع سنوية آلية تثبت للمدققين التنظيميين أن كل معالجة بيانات تمت وفق الأساس النظامي الصحيح، مع إمكانية تصدير سجل التدقيق بالكامل كدليل جنائي فني عند الحاجة. للمقارنة العملية راجع PDPL و AI: ما الذي يجب أن تعرفه الشركات السعودية؟ و دليل امتثال PDPL للذكاء الاصطناعي و مخاطر إدخال بيانات شخصية في ChatGPT ومتطلبات PDPL.

مثال تطبيقي: شركة تستخدم AI لتحليل أداء الموظفين واتخاذ قرارات الترقية. هذا الاستخدام يتطلب: إما موافقة صريحة من الموظف أو أساس نظامي آخر، توثيق معايير القرار الآلي، وإتاحة حق الاعتراض البشري (Human Review). PDPL يمنح الموظف حق عدم الخضوع لقرار آلي بحت. للمزيد راجع حقوق الموظفين في PDPL — الخصوصية الوظيفية والقرارات الآلية.

٩. العقوبات والغرامات — الوقاية خير من العلاج

يواجه المخالفون عقوبات متنوعة: الإنذار مع مهلة تصحيحية، غرامات تصل إلى 18 مليون ريال أو 2.5% من الإيرادات السنوية (أيهما أعلى)، تعليق عمليات المعالجة جزئياً أو كلياً، وفي الحالات الجسيمة قد تشمل المسائلة الشخصية للمسؤولين. التشديد أخذ منحى تصاعدياً: في 2024-2025 رصدت السوق غرامات فعلية تجاوزت المليون ريال.

مع ازدياد حالات التفتيش وتوسع فريق الرقابة في سدايا، الجاهزية الاستباقية أقل تكلفة بكثير من الغرامات والخسائر السمعةية. الشركات التي تبدأ مبكراً تنفق أقل وتحقق نتائج أفضل. لتفاصيل أنواع المخالفات، سقف الغرامات، وكيفية تجنبها، راجع عقوبات PDPL في السعودية — الغرامات وكيفية تجنبها و شرح اللائحة التنفيذية لـ PDPL: تعيين DPO، الإبلاغ خلال 72 ساعة، حقوق أصحاب البيانات.

١٠. خارطة طريق عملية: 5 مراحل لتطبيق PDPL في شركة سعودية

بناءً على خبرتنا مع شركات سعودية كبرى (تأمين، بنوك، صحة، تقنية)، خارطة الطريق العملية كالتالي:

1. مرحلة الجرد (8-12 أسبوع): لا تبنِ سياسات قبل أن تعرف بياناتك. ابدأ بحصر شامل لكل قواعد البيانات والملفات والأنظمة. صنّف البيانات إلى: عامة، داخلية، حساسة. حدّد الأساس النظامي لكل عملية معالجة.
2. مرحلة الحوكمة (4-6 أسابيع): عيّن DPO، صِغ 5-7 سياسات أساسية، وثّق الأدوار في مصفوفة RACI، أنشئ لجنة حوكمة تجتمع شهرياً.
3. مرحلة الضوابط التقنية (8-12 أسبوع): طبق AI Firewall، فعّل Audit Trail، شفّر البيانات (AES-256/TLS 1.3)، طبق موافقات بشرية إلزامية.
4. مراجعة العقود والعمليات (4-6 أسابيع): راجع كل عقد مع بائع يلمس بيانات شخصية، تأكد من بنود PDPL الإلزامية، أتمت طلبات أصحاب البيانات.
5. التدريب والتدقيق (مستمر): درّب كل موظف 3 ساعات مع اختبار إلزامي سنوياً، تدقيق داخلي كل 6 أشهر، خارجي سنوياً، حدّث ملف الأدلة باستمرار.

للحالة العملية الكاملة لشركة التأمين السعودية التي حققت 14 مليون ريال قيمة سنوية، راجع دليل امتثال PDPL — حالة عملية.

١٢. الأسئلة الشائعة الشاملة — كل ما يبحث عنه صنّاع القرار حول نظام حماية البيانات الشخصية

يصلنا بشكل متكرر أسئلة متشابهة من مسؤولين تنفيذيين وقانونين وتقنيين حول نظام حماية البيانات الشخصية السعودي (PDPL). نجمع هنا أكثر 12 سؤالاً تكراراً مع إجابات مختصرة وعملية، لتكون مرجعاً سريعاً لأي منشأة سعودية تبدأ أو تستكمل رحلة الامتثال. الإجابات تستند إلى نص النظام ولائحته التنفيذية، إضافة إلى ممارسات السوق الفعلية وخبرتنا العملية مع شركات سعودية في قطاعات التأمين والبنوك والصحة والتقنية.