منذ التطبيق الكامل لنظام PDPL في سبتمبر ٢٠٢٤، باتت كلّ عملية تقييم لمنصّة برمجية في المملكة تتضمّن بندًا موحّدًا: “أرسلوا اتفاقية معالجة البيانات.” تحوّلت الـDPA إلى أكثر الوثائق قراءةً في المشتريات. أغلب المزوّدين يمتلكون واحدة؛ ليس كلّهم يصمدون أمام الأسئلة الثمانية التي ينبغي لأيّ مشترٍ سعودي طرحها.
لماذا تهمّ اتفاقية DPA تحت PDPL
المشتري في النظام هو مسؤول بيانات، والمزوّد جهة معالجة. تتطلّب المادّتان ١٠ و١١ عقدًا مكتوبًا يحدّد نطاق المعالجة، فترة الاحتفاظ، الضوابط الأمنيّة، ومسؤوليّات حقوق أصحاب البيانات. غياب الاتفاقية أو ضعفها انتهاك من جانب المسؤول، لا من المزوّد وحده.
الأسئلة الثمانية
١. هل تُشير اتفاقيتكم إلى PDPL بأرقام موادّه؟
اتفاقية مطابقة تذكر المواد ١٠ و١١ و١٨ و٢٢. العلم الأحمر: “نلتزم بالأنظمة العالمية” دون ذكر PDPL.
٢. أين تُخزَّن بيانات الإنتاج الآن، ومتى يتغيّر ذلك؟
مقبول: “سنغافورة حاليًّا، الدمّام بحلول الربع الثالث ٢٠٢٦” (إجابتنا)، أو “فرانكفورت دائمًا.” العلم الأحمر: “مواقع متعدّدة” بلا تفصيل.
٣. من جهات المعالجة الثانوية؟ وكيف يُبلَّغ عن تغييرها؟
قائمة علنية قابلة للمتابعة، مع التزام بالإبلاغ المكتوب قبل ٣٠ يومًا من التغيير. العلم الأحمر: “تُقدَّم عند الطلب” أو “بعد NDA.”
٤. ما نافذة الإبلاغ عن الاختراق؟ من أيّ حدث تبدأ؟
٧٢ ساعة من العلم بالاختراق، لا من “التأكّد” أو “انتهاء التحقيق.” العلم الأحمر: “في أقرب وقت ممكن.”
٥. كيف تُتاح حقوق أصحاب البيانات؟
نقطة API، زرّ في لوحة التحكّم، وقناة بريديّة — الثلاثة مثالية. العلم الأحمر: “راسلونا وسنعالج خلال ٣٠ يومًا” كقناةٍ وحيدة.
٦. هل التشفير أثناء التخزين والنقل معياريّ؟
TLS 1.2+ نقلًا وAES-256 تخزينًا هو الأساس في ٢٠٢٦. العلم الأحمر: “التشفير في باقة المؤسّسات فقط.”
٧. ما مدّة الاحتفاظ بعد انتهاء العقد؟
رقم واضح (مثل ٣٠ يومًا) مع مسار حذف أسرع عند الطلب الخطّي. العلم الأحمر: “تختلف” أو غير محدّد.
٨. هل توقّعون ملحقًا يُشير إلى النظام السعودي تحديدًا؟
“نعم، إليكم الملحق الجاهز” مثالي. العلم الأحمر: “اتفاقيتنا العالمية كافية” دون إشارة إلى PDPL.