قواعد نقل البيانات عبر الحدود التي يجب على الشركات السعودية معرفتها

قد تعتقد شركة سعودية أنها لا تنقل البيانات الشخصية خارج المملكة. ثم يراجع أحدهم الأنظمة.

منصة الموارد البشرية مستضافة في الخارج. دعم الرواتب تتولاه جهة دولية. بيانات العملاء موجودة داخل نظام CRM سحابي. أداة تسويق تخزن قوائم جهات الاتصال على خوادم خارج السعودية. مركز خدمات مشترك إقليمي يصل إلى سجلات الموظفين من دولة أخرى. مورد تقنية معلومات يمكنه دعم الأنظمة عن بُعد وهي تحتوي على بيانات شخصية.

هنا يصبح امتثال نقل البيانات في السعودية قضية تشغيلية حقيقية. لا يقتصر النقل عبر الحدود على إرسال ملف Excel إلى الخارج. قد يحدث من خلال الاستضافة السحابية، والوصول عن بُعد، ودعم الأنظمة، والمعالجين الدوليين، ومنصات شركات المجموعة، وأدوات التحليلات، وأنظمة الرواتب، وبرامج التوظيف، وأنظمة التذاكر، ومنصات إدارة العملاء.

بموجب نظام حماية البيانات الشخصية في المملكة العربية السعودية وقواعد النقل الصادرة عن SDAIA، تحتاج الشركات إلى فهم متى يمكن للبيانات الشخصية أن تغادر المملكة، وما الضمانات التي قد تكون مطلوبة، وأي الدول أو المنظمات قد تُعامل على أنها توفر مستوى حماية مناسبًا، وكيف تعمل بنود تعاقدية قياسية، ومتى قد تنطبق القواعد المشتركة الملزمة، ولماذا تهم تقييمات مخاطر النقل وتوثيق التدقيق.

هذه المدونة موجهة لفرق الأعمال، والامتثال، والموارد البشرية، وتقنية المعلومات، والأمن السيبراني، والمشتريات، والقيادة التي تحتاج إلى إدارة نقل البيانات الشخصية خارج المملكة العربية السعودية دون التعامل معه كقضية قانونية أو تقنية بحتة.

قواعد نقل البيانات عبر الحدود في PDPL السعودي التي يجب أن تفهمها كل شركة

تؤثر قواعد النقل عبر الحدود في PDPL السعودي على أي منظمة تنقل أو تفصح عن بيانات شخصية إلى طرف خارج المملكة. ويشمل ذلك النقل المباشر، أو الوصول عن بُعد، أو الاستضافة الخارجية، أو المعالجة بواسطة طرف ثالث، أو مشاركة البيانات على مستوى المجموعة عندما تصبح البيانات الشخصية متاحة خارج المملكة العربية السعودية.

النقطة الأساسية هي التحكم. يجب أن تعرف الشركة السعودية ما البيانات الشخصية التي تحتفظ بها، وأين يتم تخزينها، ومن يمكنه الوصول إليها، وما الأنظمة التي تعالجها، وما الموردون الذين يدعمونها، وما إذا كان يتم نقل أي بيانات شخصية أو الإفصاح عنها خارج المملكة.

تضع اللائحة الرسمية من SDAIA بشأن نقل البيانات الشخصية خارج المملكة الأساس التنظيمي لعمليات النقل خارج السعودية. وتعرّف بنود تعاقدية قياسيةs بأنها أحكام إلزامية تضمن مستوى مناسبًا من الحماية للبيانات الشخصية المنقولة، وتعرّف القواعد المشتركة الملزمة بأنها قواعد تُطبق داخل مجموعة من الكيانات متعددة الجنسيات لحماية البيانات الشخصية المنقولة خارج المملكة.

بالنسبة للشركات السعودية، يعني ذلك أن امتثال النقل عبر الحدود يجب ألا يبدأ بعد توقيع العقد. بل يجب أن يبدأ قبل موافقة الشركة على النظام، أو المورد، أو المنصة السحابية، أو أداة الرواتب، أو نظام الموارد البشرية، أو CRM، أو المعالج الخارجي.

يجب أن تسأل الشركة مبكرًا: هل ستغادر البيانات الشخصية السعودية؟ هل سيصل إليها مزود أجنبي؟ هل ستراها فرق الدعم خارج المملكة؟ هل سيتم تخزين النسخ الاحتياطية، أو السجلات، أو بيانات التحليلات في مكان آخر؟ هل سيتأثر الموظفون، أو العملاء، أو المرضى، أو الموردون، أو المستخدمون؟

إذا كانت الإجابة نعم أو غير واضحة، فإن النقل يحتاج إلى مراجعة.

متى يمكن للشركات السعودية نقل البيانات الشخصية قانونيًا خارج المملكة؟

يجب ألا تتعامل الشركات السعودية مع نقل البيانات عبر الحدود باعتباره محظورًا تلقائيًا أو مسموحًا تلقائيًا. تضع قواعد النقل في PDPL عملية مضبوطة.

قد يُسمح بالنقل عندما توفر الدولة أو المنظمة الدولية المستقبلة مستوى مناسبًا من الحماية، أو عندما تُستخدم ضمانات معتمدة في حالات محددة. كما تحدد لائحة النقل الصادرة عن SDAIA أغراضًا أخرى مسموحًا بها، بما في ذلك العمليات الضرورية للمعالجة المركزية التي تمكّن جهة التحكم من ممارسة أنشطتها، وتقديم خدمة أو منفعة لصاحب البيانات، والبحث العلمي والدراسات.

من منظور الأعمال، يهم ذلك لأن كثيرًا من العمليات العادية تعتمد على أنظمة عابرة للحدود. قد يحتاج صاحب عمل سعودي إلى برنامج رواتب تدعمه جهة إقليمية. وقد يستخدم مستشفى نظامًا سحابيًا مع دعم تقني دولي. وقد يستخدم متجر تجزئة CRM عالميًا. وقد تستخدم شركة لوجستية منصة خارجية لإدارة تواصل العملاء أو تذاكر الخدمة.

الحاجة التجارية وحدها لا تكفي. لا تزال المنظمة بحاجة إلى تحديد الأساس القانوني، وغرض النقل، وفئات البيانات، ودولة المستلم، ودور المستلم، والضمانات، وضوابط الأمن، والتوثيق المطلوب.

عمليات نقل تجارية شائعة تحتاج إلى مراجعة PDPL

أخطر إجابة في امتثال النقل هي: “نفترض أن الأمر لا مشكلة فيه.” يتطلب امتثال حماية البيانات في السعودية أدلة، لا افتراضات. إذا لم تستطع الشركة شرح أين تذهب البيانات ولماذا، فهي غير جاهزة لتدقيق الامتثال.

قائمة الملاءمة من SDAIA، والدول المعتمدة، وما يعنيه ذلك لعمليات النقل لديك

تنص لائحة النقل الصادرة عن SDAIA على أن الجهة المختصة ستنشر على موقعها الرسمي قائمة بالدول أو المنظمات الدولية التي توفر مستوى مناسبًا من الحماية للبيانات الشخصية. كما تنص على أن الجهة قد تراجع هذه القائمة وتعدلها بناءً على معايير نظامية.

بالنسبة للشركات، النقطة العملية واضحة: الملاءمة ليست تخمينًا. لا ينبغي للشركة أن تقرر أن دولة ما “آمنة” فقط لأن المورد معروف أو لأن المنصة مستخدمة على نطاق واسع. يجب على المنظمة التحقق مما إذا كانت الدولة الوجهة أو المنظمة الدولية معترفًا بها بموجب قواعد النقل السعودية ذات الصلة وقت المراجعة.

تهم الملاءمة لأنها تؤثر على مستوى الضمانات الإضافية التي قد تحتاجها الشركة. إذا كان النقل إلى دولة أو منظمة معتمدة، فقد يختلف مسار الامتثال عن النقل إلى ولاية قضائية غير ملائمة. وإذا لم تكن الوجهة معتمدة، فقد تحتاج الشركة إلى النظر في ضمانات مثل بنود تعاقدية قياسية أو القواعد المشتركة الملزمة، أو آليات أخرى مسموح بها بموجب لائحة النقل.

تسمح اللائحة أيضًا للجهة المختصة بتعليق النقل إلى الدول أو المنظمات المدرجة إذا لم يعد مستوى الحماية المطلوب مضمونًا. وهذا يعني أنه لا ينبغي فحص الملاءمة مرة واحدة ثم نسيانها. يجب أن تكون جزءًا من مراجعة امتثال دورية.

بالنسبة للشركات السعودية، يجب أن تجيب مراجعة الملاءمة عن أربعة أسئلة: إلى أين تذهب البيانات، ومن يستلمها، وما إذا كانت تلك الدولة أو المنظمة معتمدة، وما إذا كان قد يحدث أي نقل لاحق بعد النقل الأول.

هذه نقطة مناسبة لبناء القدرات الداخلية. تدعم فئة دورة حماية البيانات والأمن السيبراني من المعهد السعودي للامتثال المحترفين الذين يحتاجون إلى فهم حماية البيانات الشخصية، ومخاطر النقل عبر الحدود، وضوابط الأمن السيبراني، والإشراف على المعالجين، وتوثيق الامتثال، والاستعداد للتدقيق في أماكن العمل السعودية.

بنود تعاقدية قياسية — كيف تعمل قوالب SDAIA في الممارسة؟

تُعد بنود تعاقدية قياسية إحدى الضمانات الرئيسية المستخدمة عندما يتم نقل البيانات الشخصية خارج المملكة العربية السعودية في الحالات التي تتطلب ضمانات.

توضح بنود تعاقدية قياسية لنقل البيانات الشخصية من SDAIA أن البنود توفر حماية للبيانات الشخصية ويجب إدراجها في عقد أو اتفاقية بين مُصدّر البيانات الشخصية ومستورد البيانات الشخصية، أو وضعها في عقد أو اتفاقية منفصلة. كما تذكر SDAIA أن اعتماد البنود لا يزيل الالتزامات الأوسع للطرفين بموجب النظام واللوائح.

هذه النقطة مهمة. SCCs ليست طريقًا مختصرًا لتجاوز امتثال PDPL. إنها ضمان قانوني داخل نظام امتثال أوسع.

في الممارسة، يجب على الشركات السعودية استخدام SCCs فقط بعد فهم النقل. يجب أن تعرف المنظمة المُصدّر، والمستورد، ودور جهة التحكم أو المعالج، وفئات البيانات، وأصحاب البيانات المتأثرين، وغرض المعالجة، ووجهة النقل، ومدة الاحتفاظ، وضوابط الأمن، والتزامات الإخطار بالاختراق، وحقوق التدقيق، وضوابط المعالجين الفرعيين، ومتطلبات الحذف أو الإرجاع.

توضح شروط SCC لدى SDAIA أيضًا أنه إذا كانت قوانين دولة المستلم تمنع المستورد من الامتثال للبنود، فلا يجوز نقل البيانات الشخصية بموجب تلك البنود. لهذا السبب يجب دعم SCCs بتقييم مخاطر النقل، لا التعامل معها كمرفق يتم نسخه ولصقه.

قد يحتوي العقد على الكلمات الصحيحة ومع ذلك يفشل عمليًا إذا لم تستطع الشركة شرح النقل، أو مراقبة المعالج، أو الاستجابة لإشعارات الاختراق، أو التحكم في المعالجين الفرعيين، أو إثبات الامتثال أثناء التدقيق.

بالنسبة لفرق الامتثال، يجب أن تكون SCCs داخل ملف نقل أوسع. يجب أن يتضمن ذلك الملف غرض العمل، ورسم خريطة النقل، وفئات البيانات، والأطراف، والوجهة، والآلية القانونية، وضوابط الأمن، وتقييم المخاطر، ومراجعة العقد، وسجل الموافقة، وجدول المراجعة.

تخلق SCCs مساءلة تعاقدية. ولا يزال على الشركة بناء مساءلة تشغيلية حولها.

القواعد المشتركة الملزمة مقابل SCCs — أي ضمان يناسب شركتك؟

تدعم كل من بنود تعاقدية قياسية والقواعد المشتركة الملزمة امتثال نقل البيانات عبر الحدود، لكنها ليست الأداة نفسها.

عادةً تكون SCCs أكثر ملاءمة لعلاقة نقل محددة. قد تستخدمها جهة تحكم سعودية مع معالج خارجي، أو مزود خدمة، أو مورد سحابي، أو مزود رواتب، أو منصة CRM، أو مستورد بيانات آخر خارج المملكة. وهي تحدد الالتزامات التعاقدية بين المُصدّر والمستورد، لكن لا تزال المنظمة بحاجة إلى فهم النقل، وتقييم المخاطر، ومراقبة الامتثال.

تعمل القواعد المشتركة الملزمة، والتي غالبًا تُسمى BCRs، بطريقة مختلفة. فهي مصممة للمجموعات متعددة الجنسيات التي تنقل البيانات الشخصية داخليًا بين الكيانات المرتبطة. توضح إرشادات SDAIA حول القواعد المشتركة الملزمة لنقل البيانات الشخصية أن BCRs هي قواعد تطبقها مجموعة من الكيانات متعددة الجنسيات لتوفير حماية مناسبة للبيانات الشخصية المنقولة خارج المملكة.

يعتمد الاختيار على هيكل العمل. قد تنظر شركة سعودية تستخدم مزود HR سحابيًا خارجيًا واحدًا أولًا إلى SCCs. أما المجموعة متعددة الجنسيات التي تنقل بيانات الموظفين، أو العملاء، أو البيانات التشغيلية بين الكيانات التابعة، فقد تحتاج إلى النظر فيما إذا كانت BCRs أكثر ملاءمة. وقد تحتاج بعض الشركات إلى الاثنين معًا، خاصة عندما تكون عمليات النقل داخل المجموعة والمعالجون من الأطراف الثالثة متداخلين.

BCR مقابل SCC: الفرق العملي للأعمال

الضمان الخاطئ يخلق ملف امتثال ضعيفًا. أما الضمان الصحيح فيربط الهيكل القانوني، والواقع التشغيلي، وضوابط الأمن السيبراني، وأدلة التدقيق.

تقييمات مخاطر النقل — الخطوة الإلزامية قبل مغادرة أي بيانات من السعودية

آلية النقل وحدها لا تكفي إذا لم يتم تقييم المخاطر.

تحتاج الشركات السعودية إلى فهم ما البيانات الشخصية التي تغادر المملكة، ولماذا يتم نقلها، ومن يستلمها، وإلى أي دولة تذهب، وما إذا كان النقل اللاحق ممكنًا، وما الضمانات المطبقة، وما إذا كان المستورد يستطيع حماية البيانات بشكل صحيح.

توضح إرشادات SDAIA لتقييم مخاطر نقل البيانات الشخصية خارج المملكة خطوات عملية لتقييم المخاطر المتعلقة بنقل البيانات الشخصية خارج المملكة العربية السعودية. بالنسبة للشركات، يحول ذلك مراجعة النقل إلى عملية موثقة بدلًا من موافقة غير رسمية.

يجب أن يراجع تقييم مخاطر النقل أربعة مجالات على الأقل: البيانات، والوجهة، والمستلم، والضوابط. قد تخلق البيانات الحساسة، أو بيانات الموظفين، أو بيانات هوية العملاء، أو التفاصيل المالية، أو المعلومات الصحية، أو مجموعات البيانات الكبيرة مخاطر أعلى. وقد تحتاج عمليات النقل إلى دول لا توجد لها ملاءمة مؤكدة إلى ضمانات أقوى. كما يخلق المستوردون الذين لديهم أمن ضعيف، أو سلاسل معالجين فرعيين غير واضحة، أو إجراءات ضعيفة للاستجابة للاختراق، مخاطر إضافية.

هنا يجب أن يعمل الامتثال والأمن السيبراني معًا. قد يراجع الفريق القانوني SCCs، لكن فرق تقنية المعلومات والأمن السيبراني تحتاج إلى فهم التشفير، والتحكم في الوصول، والتسجيل، والاحتفاظ، وموقع النسخ الاحتياطي، والاستجابة للحوادث، ووصول الموردين، وامتيازات الحسابات. كما تحتاج فرق الموارد البشرية، والمشتريات، والتسويق، والعمليات إلى تحديد أين تُستخدم البيانات الشخصية فعليًا.

في هذه المرحلة، تدعم فئة دورة حماية البيانات والأمن السيبراني المحترفين الذين يحتاجون إلى فهم حماية البيانات الشخصية، ومخاطر النقل عبر الحدود، وضوابط الأمن السيبراني، والإشراف على المعالجين، وتوثيق الامتثال، والاستعداد للتدقيق.

لا ينبغي أبدًا أن يكون تقييم مخاطر النقل نموذجًا يُستكمل بعد أن يصبح النقل قائمًا بالفعل. يجب أن يكون جزءًا من بوابة الموافقة قبل اعتماد المورد، أو النظام، أو عملية النقل.

المنصات السحابية، والموارد البشرية، والرواتب، وCRM التي تخلق مخاطر خفية للنقل عبر الحدود

لا تكتشف العديد من الشركات السعودية عمليات نقل البيانات عبر الحدود من خلال مراجعة قانونية. بل تكتشفها من خلال رسم خرائط الأنظمة.

تخلق المنصات السحابية مخاطر نقل لأن التخزين، والدعم، والتسجيل، والتحليلات، والنسخ الاحتياطية، ووصول المسؤولين قد يشمل مواقع خارج المملكة العربية السعودية. حتى عندما يتم تكوين النظام الرئيسي لاستضافة محلية أو إقليمية، قد لا تزال فرق الدعم، أو المعالجون الفرعيون، أو ترتيبات النسخ الاحتياطي تخلق تعرضًا للنقل.

تحتاج أدوات الموارد البشرية والرواتب إلى اهتمام خاص لأنها غالبًا تعالج أسماء الموظفين، وأرقام الهوية الوطنية، وتفاصيل الإقامة، والرواتب، والمعلومات البنكية، وسجلات الحضور، وبيانات الأداء، وسجلات الإجازات المرضية، والملاحظات التأديبية، ومعلومات المزايا. قد يكون مزود الرواتب خارج المملكة العربية السعودية يتعامل مع بعض أكثر بيانات الموظفين حساسية في الشركة.

تخلق منصات CRM نوعًا مختلفًا من المخاطر. قد يتم تخزين أسماء العملاء، وتفاصيل الاتصال، وسجل الشراء، والشكاوى، وبيانات العملاء المحتملين، وتفضيلات التسويق، وتذاكر الدعم، وملاحظات الحساب، أو الوصول إليها من الخارج. وإذا استخدمت فرق المبيعات مكونات إضافية خارجية، أو أدوات أتمتة البريد الإلكتروني، أو منصات التحليلات، أو مراكز دعم إقليمية، تصبح صورة النقل أكثر تعقيدًا.

الخطر الخفي لا يتعلق فقط بمكان استضافة المنصة الرئيسية. بل يتعلق بمن يستطيع الوصول إلى البيانات، ومن أين يتم تقديم الدعم، وما إذا كان يتم استخدام معالجين فرعيين، وكيف تُخزن السجلات، وما إذا كان يمكن نسخ البيانات إلى بيئات أخرى.

يجب على الشركات السعودية مراجعة هذه المنصات قبل التجديد، أو الشراء، أو الترحيل، أو تغييرات التكوين الكبرى. لا ينبغي أن توافق المشتريات على الأدوات بناءً على السعر والميزات فقط. ولا ينبغي للموارد البشرية اعتماد أدوات الرواتب دون فحص حركة البيانات. ولا ينبغي لتقنية المعلومات تفعيل الخدمات السحابية دون التحقق من الموقع، والوصول، وضوابط الأمن. ولا ينبغي للامتثال الانتظار حتى التدقيق ليسأل أين ذهبت البيانات.

غالبًا ما تختبئ مخاطر النقل عبر الحدود داخل برامج الأعمال العادية.

بناء توثيق امتثال جاهز للتدقيق في نقل البيانات عبر الحدود

يعني الامتثال الجاهز للتدقيق أن تستطيع الشركة إظهار ما قررته، ولماذا قررته، وما الضوابط التي تدعم ذلك القرار.

يجب أن تستطيع الشركة السعودية إنتاج سجل نقل واضح لكل عملية نقل مهمة للبيانات الشخصية خارج المملكة. لا ينبغي أن يكون ذلك السجل مشتتًا بين رسائل البريد الإلكتروني، وعروض الموردين، وملاحظات المشتريات، والمرفقات غير الموقعة. يجب أن يكون منظمًا.

يجب أن يتضمن ملف النقل الجاهز للتدقيق غرض النقل، وفئات البيانات، وفئات أصحاب البيانات، والمُصدّر، والمستورد، وأدوار جهة التحكم أو المعالج، ودولة الوجهة، واسم النظام، وموقع الاستضافة، وموقع الوصول، وتفاصيل النقل اللاحق، والأساس القانوني، والضمان المستخدم، وتقييم المخاطر، وضوابط الأمن، وشروط العقد، وسجل الموافقة، وتاريخ المراجعة.

قائمة توثيق نقل البيانات عبر الحدود

يجب أيضًا مراجعة التوثيق عندما يغير المورد المعالجين الفرعيين، أو مناطق الاستضافة، أو نماذج الدعم، أو ميزات المنتج، أو إعدادات الاحتفاظ. قد تحتاج عملية نقل كانت مقبولة العام الماضي إلى مراجعة إذا تغير نموذج الخدمة.

أفضل توثيق هو التوثيق العملي. يجب أن يساعد فرق الامتثال، وتقنية المعلومات، والموارد البشرية، والمشتريات، والأمن السيبراني، والقيادة على فهم عملية النقل نفسها بالطريقة نفسها.

الخاتمة

لم يعد امتثال نقل البيانات عبر الحدود في المملكة العربية السعودية موضوعًا قانونيًا ضيقًا. فهو يؤثر على المنصات السحابية، وأدوات الموارد البشرية، وأنظمة الرواتب، وبرامج CRM، ونماذج دعم تقنية المعلومات، وأنظمة شركات المجموعة، والمعالجين الخارجيين، وضوابط الأمن السيبراني، وتوثيق التدقيق.

تحتاج الشركات السعودية إلى معرفة متى تغادر البيانات الشخصية المملكة، وما إذا كانت الوجهة معتمدة، وما الضمان المطبق، وما إذا كانت SCCs أو القواعد المشتركة الملزمة تناسب عملية النقل، وما المخاطر الموجودة، وكيف تستطيع الشركة إثبات الامتثال إذا تم الطعن فيه.

تبني أقوى المؤسسات امتثال النقل داخل المشتريات، وموافقة الأنظمة، وإدارة الموردين، ومراجعة الأمن السيبراني، وعمليات الموارد البشرية، والاستعداد للتدقيق. فهي لا تنتظر حتى يكشف منظم، أو مدقق، أو عميل، أو حادث داخلي عن نقل خفي.

بالنسبة للفرق التي تحتاج إلى مسار تعليمي منظم، تدعم حماية البيانات والأمن السيبراني فرق الامتثال، ومسؤولي حماية البيانات، ومحترفي الأمن السيبراني، وفرق الموارد البشرية، وفرق تقنية المعلومات، وقادة الأعمال الذين يحتاجون إلى فهم حماية البيانات الشخصية، ومخاطر النقل عبر الحدود، والإشراف على المعالجين، وضوابط الأمن السيبراني، وتوثيق الامتثال، والاستعداد للتدقيق.

الأسئلة الشائعة

ما هو امتثال نقل البيانات في السعودية؟

يشير امتثال نقل البيانات في السعودية إلى الضوابط التي يجب على الشركات السعودية اتباعها عندما يتم نقل البيانات الشخصية، أو الإفصاح عنها، أو استضافتها، أو الوصول إليها، أو معالجتها خارج المملكة بموجب PDPL السعودي وقواعد النقل الصادرة عن SDAIA.

ما الذي يُعد نقلًا للبيانات عبر الحدود في السعودية؟

يمكن أن يشمل النقل عبر الحدود إرسال البيانات إلى الخارج، أو استخدام نظام سحابي مستضاف خارج المملكة العربية السعودية، أو السماح لفرق دعم أجنبية بالوصول إلى البيانات الشخصية، أو استخدام معالجين دوليين، أو مشاركة البيانات مع كيانات المجموعة خارج المملكة.

هل يمكن للشركات السعودية نقل البيانات الشخصية خارج المملكة؟

نعم، لكن فقط عندما يستوفي النقل المتطلبات بموجب PDPL السعودي وقواعد النقل الصادرة عن SDAIA. يجب على الشركات مراجعة الغرض، والوجهة، والضمانات، والمخاطر، والتوثيق قبل نقل البيانات الشخصية.

ما هي قائمة الملاءمة من SDAIA؟

تشير قائمة الملاءمة من SDAIA إلى الدول أو المنظمات الدولية المعترف بأنها توفر مستوى مناسبًا من حماية البيانات الشخصية. يجب على الشركات التحقق من الموقف الرسمي لـ SDAIA قبل الاعتماد على الملاءمة.

ما هي بنود تعاقدية قياسية في السعودية؟

بنود تعاقدية قياسية هي ضمانات تعاقدية تُستخدم بين مُصدّر البيانات الشخصية ومستورد البيانات الشخصية لحماية البيانات الشخصية المنقولة خارج المملكة العربية السعودية عندما تكون SCCs هي الضمان المختار.

ما هي القواعد المشتركة الملزمة في السعودية؟

القواعد المشتركة الملزمة هي قواعد داخلية تستخدمها المجموعات متعددة الجنسيات لحماية البيانات الشخصية المنقولة بين الكيانات المرتبطة خارج المملكة. وهي مصممة لحوكمة النقل على مستوى المجموعة.

ما الفرق بين BCRs وSCCs؟

عادةً تناسب SCCs علاقات نقل محددة بين مُصدّر ومستورد، بينما تناسب BCRs عمليات النقل داخل المجموعات متعددة الجنسيات بين الكيانات المرتبطة. قد تحتاج بعض الشركات إلى الاثنين حسب أنظمتها وهيكل النقل لديها.

ما هو تقييم مخاطر النقل في السعودية؟

يراجع تقييم مخاطر النقل مخاطر نقل البيانات الشخصية خارج المملكة العربية السعودية، بما في ذلك نوع البيانات، والوجهة، والمستورد، والضمانات، وضوابط الأمن، وعمليات النقل اللاحق، والأثر المحتمل على أصحاب البيانات.

لماذا تخلق أنظمة الموارد البشرية والرواتب وCRM مخاطر نقل؟

غالبًا تحتفظ أنظمة الموارد البشرية، والرواتب، وCRM ببيانات شخصية، وقد تتضمن استضافة أجنبية، أو دعمًا عن بُعد، أو معالجين فرعيين، أو نسخًا احتياطية، أو تحليلات، أو وصول مسؤولين من خارج المملكة العربية السعودية.

ما الوثائق التي يجب أن تحتفظ بها الشركة لتدقيقات نقل البيانات في PDPL؟

يجب على الشركات الاحتفاظ بخرائط البيانات، وأغراض النقل، وتفاصيل المستلمين، وسجلات الوجهة، وأدلة الضمانات، وتقييمات المخاطر، وسجلات SCCs أو BCRs، وضوابط الأمن، وسجلات الإشراف على الموردين، وجداول المراجعة.