سدايا ونظام حماية البيانات الشخصية: قائمة نشر الذكاء الاصطناعي للمنشآت
سدايا هي الهيئة السعودية للبيانات والذكاء الاصطناعي والجهة المختصة بنظام حماية البيانات الشخصية. اجعل الخصوصية ضمن نطاق التنفيذ؛ وصف المورّد لنظامه بأنه «جاهز للامتثال» لا يثبت امتثال منشأتك.
حدد البيانات والمسوغ النظامي للمعالجة
احصر ما يجمعه النظام وسبب الجمع والمستخدمين وكل مواقع التخزين والمعالجة. وفق النظام ولوائحه، الموافقة أحد المسوغات. وتحدد المادة السادسة حالات لا تشترط الموافقة، منها بعض المعالجات النظامية أو التعاقدية ومعالجة المصالح المشروعة بضوابط. لا تصف الموافقة الصريحة بأنها المسوغ العام لكل مهمة؛ تشترطها اللائحة في حالات محددة، منها البيانات الحساسة والائتمانية والقرارات المبنية كليًا على المعالجة الآلية.
إشعار تسجيل المكالمة يعلم المتصل، لكنه لا يثبت وحده حصول إجراء موافقة صحيح. عند الاعتماد على الموافقة، وثق الاختيار الصحيح والغرض وآلية السحب. افصل رسائل الخدمة عن التسويق، واحصل على الإذن المناسب للتسويق.
راجع سلسلة المورّدين كاملة
- ارسم مسار الاتصالات والتفريغ الصوتي والنموذج وإدارة العملاء والتحليلات والنسخ الاحتياطية ودعم المورّد.
- أكد كتابةً التزامات المعالج والمعالجين الفرعيين والمواقع والاحتفاظ والإبلاغ عن الحوادث.
- امنح النظام البيانات والصلاحيات اللازمة للمهمة فقط. اختبر الوصول والتصحيح والإتلاف عبر كل المخازن.
- للبيانات الصحية، راجع الضوابط الإضافية ومتطلبات القطاع؛ قائمة روبوت محادثة عامة لا تكفي.
النقل إلى الخارج يحتاج تقييمًا مستقلًا
التخزين المحلي قد يقلل النقل، لكنه لا يمنع المعالجة لدى نموذج خارجي أو وصول الدعم عن بعد. راجع الغرض والحد الأدنى من البيانات ومستوى الحماية والضمانات المناسبة وتقييم المخاطر المطلوب وفق اللوائح الرسمية الحالية. لا تعتبر شروط المورّد العادية أو الموافقة الصريحة وحدها إعفاءً شاملًا من متطلبات النقل.
الاحتفاظ والحقوق والاستجابة للحوادث
حدد مدد احتفاظ مبررة لكل فئة مع مراعاة واجبات حفظ السجلات والاستثناءات النظامية للإتلاف. سحب الموافقة وطلب الإتلاف إجراءان مختلفان. تحقق من الهوية بقدر متناسب وسجل الطلب وقيّم البيانات المطلوب الاحتفاظ بها لمسوغ آخر.
تلزم المادة 24 من اللائحة بالإبلاغ للجهة المختصة خلال 72 ساعة من العلم بالحادثة إذا احتمل تسببها بضرر للبيانات أو صاحبها أو تعارضها مع حقوقه أو مصالحه. قيّم العتبة ووثق القرار، ولا تنتظر اليقين الكامل لبدء التحقيق. ويبلغ صاحب البيانات دون تأخير غير مبرر عند تحقق شرط الضرر المعني.
قبل الإطلاق
- حدد مسؤولًا لدى جهة التحكم وقيّم وجوب تعيين مسؤول حماية بيانات أو إجراء تقييم أثر.
- اعتمد خريطة البيانات وإشعار الخصوصية ومسوغ المعالجة واتفاقيات المورّدين.
- اختبر الاحتفاظ والصلاحيات وطلبات الحقوق وضمانات النقل الدولي.
- تدرب على حادثة مع أصحاب قرار محددين وجهات اتصال المورّد ومسار البلاغ.
- حدد مراجعة بعد تغيير النموذج أو المورّد أو استخدام البيانات أو التكاملات.
هذه قائمة تشغيلية وليست حكمًا قانونيًا. اطلب مراجعة مؤهلة للبيانات الحساسة ومتطلبات القطاع أو النقل غير الواضح. دور سدايا التنظيمي لا يعني شهادة ذكاء اصطناعي عامة لكل منشأة أو تمويلًا حكوميًا لكل تنفيذ.
تخطيط تنفيذ عملي
ناقش نطاق مشروعك معنا، مع تحديد التكلفة والضوابط والمسؤوليات قبل الإطلاق.