السعودية · امتثال22 سبتمبر 2026 · 10 دقائق قراءة

الامتثال لنظام حماية البيانات الشخصية (سدايا): قائمة عملية لروبوتات المحادثة

إذا كان روبوت المحادثة لديك يجمع أسماء العملاء وأرقام هواتفهم — فهو يعالج «بيانات شخصية»، ونظام حماية البيانات الشخصية يسري عليك. والجهة المشرفة على تطبيقه هي سدايا — هيئة البيانات والذكاء الاصطناعي. هذه قائمة امتثال عملية من 10 نقاط، مصممة خصيصًا لروبوتات المحادثة ووكلاء WhatsApp في المنشآت الصغيرة والمتوسطة — بلغة عملية لا قانونية، ومرتبة حسب ما يجب فعله أولًا.

معظم أصحاب المنشآت يفاجأون بهذه الحقيقة: روبوت المحادثة «الصغير» الذي أضافوه للموقع أو لواتساب يجمع — يوميًا وبصمت — بيانات شخصية: أسماء، أرقام جوالات، عناوين، وأحيانًا بيانات صحية أو مالية حسب النشاط. كل محادثة مسجلة، وكل نموذج تعبئة آلي، هو «معالجة بيانات شخصية» بمعنى النظام. وحجم منشأتك لا يعفيك: النظام يسري على كل من يعالج بيانات شخصية داخل المملكة، كبيرًا كان أو صغيرًا.

الخبر الجيد: الامتثال ليس مشروعًا قانونيًا ضخمًا. معظمه ممارسات تشغيلية — ما تجمعه، ولماذا، وكم تحتفظ به، وكيف تحميه. القائمة التالية ترتب هذه الممارسات في 10 نقاط قابلة للتنفيذ، مع شرح «ماذا تفعل عمليًا» تحت كل نقطة. ملاحظة أمانة مهنية: هذا دليل عملي إرشادي وليس استشارة قانونية — للحالات المعقدة استشر مختصًا.

لماذا روبوتات المحادثة تحت المجهر تحديدًا؟

ثلاثة أسباب تجعل روبوتات المحادثة أول ما ينظر إليه أي مراجع امتثال:

• حجم البيانات المجموعة. الروبوت يعمل على مدار الساعة ويجري مئات المحادثات — كل واحدة قد تتضمن اسمًا وجوالًا وطلبًا خدميًا. التراكم سريع وصامت.
• طبيعة البيانات. في العيادات والقطاع المالي والتعليمي، تتضمن المحادثات بيانات حساسة بطبيعتها — حالة صحية، دخل، سجل أكاديمي — وهي فئة تحظى بحماية أشد.
• غياب المراجعة عند البناء. معظم الروبوتات بُنيت بسرعة لـ«حل مشكلة الحجوزات» دون أن يسأل أحد: ماذا نجمع؟ وأين يُخزن؟ ومن يصل إليه؟

النتيجة: فجوة امتثال شائعة جدًا — ليست سوء نية، بل إغفال. والقائمة التالية تسدها نقطة نقطة.

القائمة العملية: 10 نقاط

1. الموافقة الصريحة قبل جمع البيانات

لا تجمع بيانات شخصية بصمت. قبل أن يطلب الروبوت الاسم ورقم الجوال، اعرض إشعارًا واضحًا ومختصرًا: ما الذي ستجمعه ولماذا — وزر «موافق». الموافقة يجب أن تكون حرة ومحددة ومستنيرة: لا صناديق محددة مسبقًا، ولا موافقة ضمنية مدفونة في شروط طويلة. عمليًا: رسالة ترحيب واحدة في بداية المحادثة تفي بالغرض متى صيغت بوضوح.

2. حدد الغرض وأعلنه — والتزم به

«نجمع بياناتك لحجز موعدك والتواصل معك بشأنه» — غرض واضح ومحدد. الممنوع هو جمع البيانات لغرض ثم استخدامها لغيره: بيانات جُمعت للحجز لا تُستخدم لحملات تسويقية دون موافقة منفصلة. اكتب الغرض في سياسة الخصوصية، وبرمج الروبوت ليعمل ضمنه فقط.

3. قلل البيانات: اجمع ما تحتاجه فقط

مبدأ تقليل البيانات هو أرخص تأمين امتثال: كل حقل لا تجمعه هو حقل لا تحتاج لحمايته ولا تقلق بشأنه. اسأل عن كل حقل في نموذج الروبوت: «هل نحتاجه فعلًا لإتمام الغرض؟» رقم الهوية لحجز عيادة أسنان؟ غالبًا لا. تاريخ الميلاد لتأكيد حجز؟ الاسم والجوال يكفيان. احذف الزائد اليوم قبل الغد.

4. مكّن حقوق صاحب البيانات: الوصول والتصحيح والحذف

للعميل حق معرفة ما لديك عنه، وتصحيحه، وطلب حذفه. عمليًا لروبت المحادثة هذا يعني ثلاثة أشياء: قناة طلب واضحة (رابط أو رقم في سياسة الخصوصية)، وآلية تنفيذ (من يستلم الطلب وخلال كم يُنفذ)، وتدريب الروبوت على التعرف على طلبات مثل «احذف بياناتي» وتحويلها للمسار الصحيح بدل تجاهلها.

5. ضع سياسة احتفاظ — واحذف فعلًا

«نحتفظ بالبيانات إلى الأبد» ليست سياسة. حدد مددًا منطقية: سجلات الحجوزات المكتملة — مثلًا — تُحذف أو تُجهّل بعد انتهاء الحاجة التشغيلية والقانونية لها. الأهم: الحذف الآلي. سياسة على الورق دون حذف فعلي هي مخاطرة موثقة. راجع إعدادات الاحتفاظ في كل نظام يخزن محادثاتك.

6. انتبه للنقل خارج المملكة

كثير من خدمات الذكاء الاصطناعي والمحادثة تخزن البيانات على خوادم خارج المملكة. النظام يضع ضوابط على نقل البيانات الشخصية خارج الحدود — فيجب أن تعرف أين تُخزن بيانات عملائك فعلًا (اسأل مزود الخدمة سؤالًا مباشرًا)، وأن توثق ذلك، وأن تتأكد من استيفاء المتطلبات النظامية للنقل متى لزم. «لا نعرف أين تُخزن» ليست إجابة مقبولة عند المراجعة.

7. أمّن البيانات تقنيًا: التشفير والوصول

الامتثال ليس أوراقًا فقط. الحد الأدنى التقني: تشفير البيانات أثناء النقل والتخزين، وصلاحيات وصول محدودة (من يحتاج رؤية المحادثات فعلًا؟)، وسجلات دخول للأنظمة الحساسة. معظم الاختراقات التي نسمع عنها لم تكن «هجمات معقدة» بل صلاحيات مفرطة أو أنظمة بلا تحديث — وهي أمور رخيصة الإصلاح.

8. جهّز خطة الاستجابة للتسربات

ماذا تفعل لو تسرّبت بيانات عملائك؟ الإجابة يجب أن تكون مكتوبة قبل الحادثة لا بعدها: من يُبلغ؟ ومتى؟ وبأي صيغة؟ النظام يتضمن التزامات إشعار — والجهة المشرفة هي سدايا — فجهّز قالب إشعار ومسؤول اتصال مسبقًا. الخطة التي تُكتب أثناء الأزمة تُكتب بشكل سيئ دائمًا.

9. وثّق: سجل أنشطة المعالجة

احتفظ بسجل بسيط يوثق: ما البيانات التي تجمعها، ومن أي قناة، ولأي غرض، وأين تُخزن، ومن يصل إليها، ومتى تُحذف. هذا السجل هو أول ما يُطلب عند أي مراجعة — وهو أيضًا أداتك أنت لفهم منظومتك. جدول واحد محدّث يغني عن مئات الصفحات.

10. راجع عقود المعالجين: مزودو الخدمة

إذا كان مزود روبوت المحادثة أو الاستضافة يعالج البيانات نيابة عنك، فهو «معالج» ويجب أن ينظم العقد: حدود المعالجة، والسرية، والأمن، والحذف عند انتهاء العلاقة. لا تقبل «الشروط العامة» الغامضة للخدمات الحرجة — اطلب الملحق الخاص بمعالجة البيانات واقرأه.

أربعة أخطاء شائعة نراها في الميدان

1. «النظام لا يسري علينا — نحن منشأة صغيرة.» غير صحيح. المعيار هو معالجة البيانات الشخصية لا حجم المنشأة.
2. جمع «احتياطي» للبيانات. حقول إضافية «قد نحتاجها لاحقًا» — كل حقل زائد هو التزام زائد ومخاطرة زائدة.
3. نسيان واتساب. كثيرون يؤمّنون الموقع وينسون أن WhatsApp قناة معالجة بيانات كاملة تسري عليها نفس القواعد.
4. السياسة المنسوخة. سياسة خصوصية منسوخة من موقع آخر لا تصف ما تفعله فعلًا — وهي أسوأ من عدم وجود سياسة عند المراجعة، لأنها توثّق ادعاءً غير صحيح.

كيف نبني الامتثال في أنظمتنا؟

في Creatrixe نتعامل مع الامتثال كجزء من التصميم لا كطبقة تُضاف لاحقًا: الروبوتات التي نبنيها تجمع الحد الأدنى من البيانات اللازمة للغرض فقط، وتعرض إشعار الموافقة بلغة واضحة في بداية التفاعل، وتُبرمج للتعرف على طلبات الوصول والحذف وتحويلها للمسار الصحيح، مع سياسات احتفاظ قابلة للضبط حسب طبيعة نشاطك. لأن النظام الذي يولد مخالفًا سيكلفك إصلاحه أكثر بكثير من بنائه صحيحًا منذ البداية.

وإذا كان لديك روبوت قائم وتشك في فجواته، فالمراجعة السريعة للنقاط العشر أعلاه — أو مراجعة امتثال معنا — أرخص بكثير من اكتشاف الفجوة في الوقت الخطأ.

عن هذا المقال

Creatrixe استشارية ذكاء اصطناعي متخصصة في المنشآت الصغيرة والمتوسطة: وكلاء استقبال وحجز ناطقون بالعربية، والتقاط العملاء المحتملين، والمتابعة الآلية. نبني أنظمتنا بامتثال مدمج لنظام حماية البيانات الشخصية منذ التصميم. لنا مكتب إقليمي في الرياض. هذا المحتوى إرشادي عملي وليس استشارة قانونية — ومحدّث اعتبارًا من سبتمبر 2026. راجع صفحة سدايا وخدمات الذكاء الاصطناعي لدينا.