حماية البيانات الإقليمية والامتثال
كيف تدعم Cyber Crucible قوانين حماية البيانات في الخليج وأفريقيا وأوروبا وخارجها — أدوار جهة التحكم ومعالج البيانات، وعمليات النقل عبر الحدود، وإقامة البيانات، والبيانات الحساسة، والتمثيل المحلي.
- لماذا تطلب العديد من قوانين حماية البيانات الوطنية الأمور نفسها؟
- ما هي دول الخليج التي لديها قوانين لحماية البيانات، وكيف تختلف؟
- كيف تؤثر قوانين حماية البيانات الأفريقية على اختيار مورّدي الأمن؟
- ما الذي ينطبق في أوروبا والمملكة المتحدة؟
- هل تُعد Cyber Crucible جهة تحكم في البيانات أم جهة معالجة للبيانات؟
- كيف تتم معالجة عمليات نقل البيانات عبر الحدود؟
- هل تجمع Cyber Crucible بيانات شخصية حساسة؟
- ما هي الضمانات التي تحمي البيانات الشخصية التي تعالجها Cyber Crucible؟
- هل يتعين علي تعيين ممثل محلي؟
- كيف يمكنني طلب وثائق الامتثال؟
لماذا تطلب العديد من قوانين حماية البيانات الوطنية الأمور نفسها؟
إجابة موجزة: لأن معظم قوانين حماية البيانات الحديثة مصممة وفق الإطار نفسه. سواء تعلق الأمر بقانون حماية البيانات الشخصية السعودي (PDPL)، أو الإمارات، أو البحرين، أو قطر، أو عُمان، أو كينيا، أو نيجيريا، أو جنوب أفريقيا، أو اللائحة العامة لحماية البيانات الأوروبية (GDPR)، فإنها تتقارب حول المتطلبات الأساسية نفسها — جمع الحد الأدنى الضروري فقط، وتأمينه، والشفافية، وتحديد أدوار المتحكم والمعالج، والتحكم في الانتقال عبر الحدود.
البنية المشتركة
يطرح كل نظام تقريبًا في هذه المجموعة الأسئلة الخمسة نفسها:
- ما هو الأساس القانوني لمعالجة البيانات الشخصية؟
- ما هو الحد الأدنى الذي يمكنك جمعه مع تحقيق الغرض المطلوب؟ (تقليل البيانات)
- كيف يتم تأمينها — تقنيًا، وتعاقديًا، وتنظيميًا؟
- من هو المتحكم ومن هو المعالج، وهل ذلك موثّق كتابيًا؟
- إلى أين تذهب البيانات، وما هي الضمانات التي تغطي أي نقل عبر الحدود؟
المفردات والعتبات تختلف. أما البنية اللازمة للإجابة عليها بشكل صحيح فلا تختلف.
لماذا يهم هذا بالنسبة لمنتج أمني
تُنشئ معظم أدوات الأمن أعباء امتثال لأنها ترسل باستمرار بيانات تتبع نقاط النهاية (endpoint telemetry) — التي غالبًا ما تشمل تفاصيل الحسابات وعناصر الملفات — إلى سحابة المورّد في ولاية قضائية أخرى. وهذا يمثل نقلًا مستمرًا عبر الحدود يتطلب التبرير والتوثيق والدفاع عنه في كل نظام من هذه الأنظمة.
إجابة Cyber Crucible بنيوية وليست إجرائية:
- لا يتم جمع المحتوى أو بيانات الاعتماد أو المفاتيح أو الرموز المميزة (tokens) أبدًا، لذا فإن الفئات الأعلى خطورة غائبة بحكم التصميم.
- يتم التحليل محليًا على نقطة النهاية، لذا فإن الحماية لا تتطلب نقل البيانات.
- يمكن نشر الحل بشكل معزول تمامًا (air-gapped)، مما ينتج عنه صفر من بيانات التتبع الصادرة — أي لا يوجد نقل يستوجب التقييم من الأساس.
هذه النقطة الأخيرة هي الأهم. معظم صعوبات الامتثال في هذه الفئة تنشأ من التدفق عبر الحدود. فالمنتج القادر على العمل بصفر من بيانات التتبع الصادرة يزيل السؤال بدلاً من الإجابة عنه.
هذا ليس استشارة قانونية. تصف هذه الصفحات كيفية تصميم المنتج لدعم التزاماتكم. قوانين حماية البيانات تتغير، ولا تزال العديد من الأنظمة أدناه تصدر لوائح جديدة. يُرجى التحقق من المتطلبات الحالية مع مستشاركم القانوني ومسؤول حماية البيانات لديكم.
ما هي دول الخليج التي لديها قوانين لحماية البيانات، وكيف تختلف؟
إجابة موجزة: خمس من دول مجلس التعاون الخليجي الست لديها الآن قوانين شاملة لحماية البيانات — المملكة العربية السعودية، والإمارات العربية المتحدة، والبحرين، وقطر، وعُمان. الكويت هي الاستثناء، حيث تتبع نهجًا قطاعيًا بدلاً من ذلك. وتختلف هذه الدول بشكل أساسي في صرامة الموافقة، وتفضيل التوطين، وآلية النقل.
الصورة الإقليمية
| الولاية القضائية | الحالة | السمة المميزة |
|---|---|---|
| المملكة العربية السعودية | قانون حماية البيانات الشخصية ساري المفعول (النفاذ الكامل في سبتمبر 2024) | أقوى تفضيل للتوطين؛ بنود تعاقدية معيارية معتمدة من الهيئة السعودية للبيانات والذكاء الاصطناعي (SDAIA) |
| الإمارات العربية المتحدة | المرسوم بقانون اتحادي رقم 45 لسنة 2021 | أسس قانونية شبيهة باللائحة العامة لحماية البيانات (GDPR)؛ مركز دبي المالي العالمي وسوق أبوظبي العالمي يديران أنظمة منفصلة |
| البحرين | ساري المفعول منذ 2019 | مستوحى بشكل كبير من اللائحة العامة لحماية البيانات (GDPR)؛ نطاق خارج الحدود الإقليمية؛ إنفاذ ناضج |
| قطر | ساري المفعول منذ 2017 | الأقدم في المنطقة؛ أكثر تركيزًا على الموافقة |
| عُمان | النفاذ الكامل في 5 فبراير 2026 | يعكس مبادئ اللائحة العامة لحماية البيانات (GDPR)؛ فترة سماح تقترب من نهايتها |
| الكويت | لا يوجد قانون شامل | قطاعي فقط — لائحة CITRA للاتصالات وتقنية المعلومات |
الحالة وقت كتابة هذا المقال؛ يُرجى التحقق من ذلك مع المستشار القانوني المحلي.
المحور الأكثر أهمية
يفصل متغيران هذه الأنظمة عمليًا:
- صرامة الموافقة. تميل قطر والمملكة العربية السعودية إلى التركيز على الموافقة. أما الإمارات العربية المتحدة فتسمح بمجموعة أوسع من الأسس القانونية، أقرب إلى اللائحة العامة لحماية البيانات (GDPR).
- تفضيل التوطين. المملكة العربية السعودية هي الأقوى في هذا الجانب؛ بينما تتبنى الإمارات العربية المتحدة وقطر نهجًا أكثر ارتكازًا على المخاطر وتوجهًا نحو الضمانات.
لماذا تجيب بنية واحدة على الحالات الست جميعًا
تختلف هذه الأنظمة في الآلية وتتفق في الجوهر: اجمع الحد الأدنى، وأمّنه، وتحكم في وجهته.
نظرًا لأن Cyber Crucible لا يجمع أبدًا المفاتيح أو بيانات الاعتماد أو الرموز المميزة أو المحتوى، ويمكنه العمل بمعزل تام عن الشبكة (air-gapped) دون أي بيانات تخاطرية صادرة، فإن الإجابة على سؤال "ما هي البيانات الشخصية التي يحتفظ بها هذا المورّد، وإلى أين تذهب؟" تكون مختصرة في كل حالة من هذه الحالات. واستيفاء أشد المتطلبات صرامة — المملكة العربية السعودية — يغطي البقية.
تُعد عُمان الأولوية على المدى القريب لكل من لم يراجع بنيته التقنية بعد، نظرًا لموعد فبراير 2026.
التفاصيل الخاصة بكل دولة موجودة في أدلة الامتثال حسب الدولة.
كيف تؤثر قوانين حماية البيانات الأفريقية على اختيار مورّدي الأمن؟
إجابة موجزة: تفرض معظم الولايات القضائية الأفريقية قيودًا على النقل عبر الحدود، وتذهب عدة ولايات إلى أبعد من ذلك بفرض توطين صارم للبيانات — إذ تشترط نيجيريا وزامبيا تخزين البيانات الشخصية داخل البلاد. وهذا يستبعد أدوات الأمن المعتمدة على السحابة بشكل بنيوي، لا تعاقدي فحسب.
الصورة الإقليمية
| الولاية القضائية | الإطار التنظيمي | الموقف من خروج البيانات من البلاد |
|---|---|---|
| نيجيريا | قانون حماية البيانات لعام 2023 | التوطين — يجب تخزين البيانات الشخصية للمواطنين داخل نيجيريا |
| زامبيا | قانون حماية البيانات، الجزء العاشر | التوطين — تشترط المادة 70 التخزين على خادم داخل زامبيا |
| كينيا | قانون حماية البيانات لعام 2019 | النقل مقيّد؛ تتطلب البيانات الحساسة موافقة و ضمانات |
| جنوب أفريقيا | POPIA (2013) | الموافقة، أو وجهة توفر حماية مماثلة من حيث الجوهر |
| مصر | قانون حماية البيانات | يتطلب موافقة مسبقة للنقل |
| رواندا | قانون تشرف عليه NCSA | توطين قطاعي — يجب على البنوك الاحتفاظ بالبيانات الأساسية داخل رواندا |
| غانا | إطار حماية البيانات | استثناء لافت — لا شروط إضافية للنقل عبر الحدود |
| المغرب | القانون 09-08 + المرسوم 2-09-165 | تشرف عليه CNDP؛ نظام راسخ |
| ليبيا | لا يوجد إطار شامل بعد | السيادة قرار تجاري وليس قانونيًا |
الوضع كما هو وقت الكتابة؛ يُرجى التأكد من المستشار القانوني المحلي.
النمط الجدير بالفهم
تظهر ثلاثة نماذج متمايزة، وتتطلب كل منها أمورًا مختلفة من المورّد:
- متطلبات موقع التخزين (نيجيريا، زامبيا؛ ورواندا في القطاع المصرفي). لا تفي العقود ولا التشفير بهذه المتطلبات — فقط المكان الفعلي الذي توجد فيه البيانات هو ما يهم.
- النقل المشروط (كينيا، جنوب أفريقيا). مسموح به مع ضمانات أو موافقة أو كفاية — وهو تقييم يجب عليك إثباته.
- النقل القائم على التصريح (مصر). موافقة مسبقة، مع مخاطر مرتبطة بالتوقيت والتجديد.
غالبًا ما تضيف القواعد القطاعية توطينًا إضافيًا، خصوصًا في الخدمات المالية.
لماذا يفضّل هذا بنية المعالجة المحلية
المنتج الأمني المصمم لإرسال بيانات القياس عن بُعد من نقطة النهاية إلى سحابة المورّد يقوم، بحكم تصميمه، بتصدير بيانات شخصية كشرط للعمل. وفي ظل النموذج الأول، هذا أمر لا يمكن إصلاحه.
تقوم Cyber Crucible بالتحليل على مستوى نقطة النهاية ويمكن تشغيلها بالكامل داخل المنشأة (on-premises) دون أي بيانات قياس صادرة — فلا تغادر البيانات أبدًا، ولا تُطرح مسألة النقل أصلًا.
التفاصيل الخاصة بكل بلد موجودة في أدلة الامتثال القطرية (Country Compliance Guides).
ما الذي ينطبق في أوروبا والمملكة المتحدة؟
إجابة موجزة: اللائحة الأوروبية العامة لحماية البيانات (EU GDPR) ولائحة حماية البيانات العامة الخاصة بالمملكة المتحدة (UK GDPR)، وهما متطابقتان إلى حد كبير. الضوابط العملية متماثلة؛ والاختلاف الرئيسي يكمن في الأداة التي تغطي عمليات النقل الدولي — البنود التعاقدية القياسية الأوروبية (EU SCCs) مقابل اتفاقية النقل الدولي للبيانات (IDTA) أو الملحق الخاص بالمملكة المتحدة.
النظامان
| اللائحة الأوروبية العامة لحماية البيانات (EU GDPR) | لائحة حماية البيانات العامة للمملكة المتحدة (UK GDPR) + قانون حماية البيانات لعام 2018 | |
|---|---|---|
| الجهة الرقابية | سلطات حماية البيانات الوطنية / المجلس الأوروبي لحماية البيانات (EDPB) | مكتب مفوض المعلومات (ICO) |
| أداة النقل | البنود التعاقدية القياسية الأوروبية | اتفاقية النقل الدولي للبيانات، أو الملحق البريطاني للبنود التعاقدية القياسية الأوروبية |
| المبادئ، الأسس القانونية، واجبات المعالِج | متطابقة إلى حد كبير | متطابقة إلى حد كبير |
ماذا يعني هذا من الناحية العملية
يجب على المؤسسات العاملة في كلا النطاقين أن تفي بمتطلبات كليهما، لكن الضوابط الأساسية تتداخل بشكل شبه كامل. فالعمل الذي يُنجز في تقييم المورّدين لأحد النظامين ينتقل إلى الآخر مع استبدال أداة النقل فقط.
لماذا تُعد الأنظمة الأخرى في هذا الدليل مهمة هنا أيضًا
تُعد اللائحة الأوروبية العامة لحماية البيانات (GDPR) النموذج الذي بُنيت عليه معظم قوانين حماية البيانات الأحدث في العالم. فالبحرين وعُمان تحاكيانها عن قرب؛ وكينيا ونيجيريا وجنوب أفريقيا تستعير هيكلها. نادرًا ما يذهب العمل المُنجز للامتثال للـ GDPR سدى في أماكن أخرى — ولهذا السبب فإن المؤسسات العاملة عبر عدة من هذه الأسواق عادةً ما تُقيّم المورّدين وفق أشد الأنظمة المعمول بها صرامةً بدلاً من تقييم كل نظام على حدة.
التفاصيل الخاصة بكل دولة موجودة في أدلة الامتثال القُطرية.
هل تُعد Cyber Crucible جهة تحكم في البيانات أم جهة معالجة للبيانات؟
الإجابة المختصرة: في معظم الحالات، تعمل Cyber Crucible بصفتها جهة معالجة للبيانات نيابةً عن العميل، الذي يُعد جهة التحكم. يحدد العميل أغراض ووسائل المعالجة؛ وتقوم Cyber Crucible بمعالجة البيانات فقط وفقًا للتعليمات الموثقة الصادرة عن جهة التحكم، بموجب اتفاقية معالجة بيانات مكتوبة.
لماذا يُعد هذا التمييز مهمًا
تكاد جميع الأنظمة ضمن هذه المجموعة — PDPL وGDPR ومشتقاتهما — توزع الالتزامات بحسب الدور. تحدد جهات التحكم لماذا وكيف تتم معالجة البيانات، وتتحمل الالتزامات الأثقل: إبلاغ أصحاب البيانات، ومعالجة طلبات ممارسة الحقوق، وفي بعض الحالات التسجيل.
يجب على جهات المعالجة اتباع التعليمات المشروعة وحماية البيانات. وبموجب PDPL، فإن جهة المعالجة التي تستخدم البيانات بما يتجاوز تعليمات جهة التحكم تُعامل هي نفسها كجهة تحكم — ولهذا السبب يُحدَّد النطاق تعاقديًا بدلاً من تركه عرضة للتفسير.
من الناحية العملية
تعمل Cyber Crucible بموجب اتفاقية معالجة بيانات (DPA) أو اتفاقية خدمة مكتوبة تحدد نطاق المعالجة، ولا تُعيد توظيف البيانات أو تحتفظ بها خارج نطاق تلك التعليمات.
نظرًا لأنها في الغالب جهة معالجة، فإن الالتزامات الخاصة بجهة التحكم تقع على عاتقك: إبلاغ أصحاب البيانات بالمعالجة، والاستجابة لطلبات ممارسة الحقوق، وما شابه ذلك.
الاستثناء
لا تُعد Cyber Crucible جهة تحكم إلا إذا قامت بمعالجة البيانات الشخصية لأغراضها الخاصة، وعندها ستتحمل كامل التزامات جهة التحكم بما في ذلك التسجيل والحصول على الموافقة عند الاقتضاء. وهذا ليس نموذج العمل المتبع.
كيف تتم معالجة عمليات نقل البيانات عبر الحدود؟
إجابة موجزة: من خلال الآلية التي تعترف بها كل ولاية قضائية — البنود التعاقدية القياسية المعتمدة من SDAIA للبيانات السعودية، أو ضمانات تعاقدية معادلة في أماكن أخرى — مدعومة بتقييم مكتمل لمخاطر النقل. أو يتم تجنبها كليًا، عبر النشر بطريقة لا تعبر فيها أي بيانات الحدود.
المسار التعاقدي
بالنسبة للبيانات الشخصية ذات المنشأ السعودي، تستخدم Cyber Crucible البنود التعاقدية القياسية المعتمدة مسبقًا من SDAIA، والتي يتم اعتمادها دون تعديل باستثناء الحقول المطلوبة، ويتم دمجها في اتفاقيات العملاء أو اتفاقيات معالجة البيانات، وتمتد لتشمل أي نقل لاحق إلى معالج فرعي.
تعترف الأنظمة الأخرى بآليات مماثلة — قرارات الملاءمة، أو البنود القياسية، أو الموافقة مع الضمانات الإضافية. المتطلب المشترك هو أن يكون المستورد ملزمًا تعاقديًا بحماية معادلة لقانون الدولة المصدّرة.
تقييم مخاطر النقل
عندما يعتمد النقل على ضمانات مثل البنود التعاقدية القياسية، أو يتضمن بيانات حساسة، يكون تقييم المخاطر مطلوبًا عادةً. أكملت Cyber Crucible تقييم مخاطر نقل (TRA) يقيّم طبيعة تدفقات البيانات، والنظام القانوني لبلد الوجهة، والضوابط التقنية والتنظيمية المطبقة، والمخاطر المتبقية — مع إجراءات تخفيف موثقة تشمل تقليل البيانات، والتشفير، والبنود التعاقدية، ومعالجة الحوادث.
المسار المعماري
الآليات التعاقدية تدير عملية النقل. أما عدم النقل فيزيلها تمامًا.
- النشر المحلي المعزول (Air-gapped on-premises) — لا توجد أي بيانات تُرسل إلى الخارج، وبالتالي لا يوجد نقل على الإطلاق.
- التخزين الإقليمي المرحلي — بنية تحتية موضوعة بحيث تبقى المعالجة داخل ولايتك القضائية.
بالنسبة للأنظمة ذات متطلبات التوطين — وتُعد نيجيريا المثال الأوضح — غالبًا ما يكون هذا هو الحل الوحيد الخالي من التعقيدات.
الوثائق متاحة من dpo@cybercrucible.com.
هل تجمع Cyber Crucible بيانات شخصية حساسة؟
الإجابة المختصرة: لا. لا تقوم Cyber Crucible بجمع الفئات التي تُعرّفها هذه القوانين على أنها حساسة — البيانات البيومترية أو الصحية أو الجينية، أو البيانات التي تكشف عن الأصل العرقي أو الإثني، أو المعتقد الديني، أو الرأي السياسي. تركّز بيانات القياس عن بُعد (Telemetry) على سلوك النظام والأحداث الأمنية، وليس على السمات الشخصية.
لماذا لا تظهر هذه الفئة أصلاً
مهمة البرنامج هي تحديد ما إذا كان برنامج ما يتصرف بشكل ضار. لا شيء في ذلك يتطلب معرفة أي شيء عن شخص. لا تلعب البيانات الشخصية الحساسة أي دور في منطق الكشف، ولذلك لا يتم جمعها.
لماذا يُعد هذا الأمر مهماً بشكل غير متناسب
عادةً ما تحظى البيانات الحساسة بأكثر المعاملات صرامة في كل نظام قانوني — الموافقة الصريحة، والضمانات الإضافية، والتقييم الإلزامي للمخاطر قبل النقل، وفي بعض الولايات القضائية التزامات تسجيل لا تنطبق في حالات أخرى.
على سبيل المثال، تسمح كينيا بنقل البيانات الشخصية الحساسة فقط في حال موافقة صاحب البيانات و وجود ضمانات ملائمة. أما المورّد الذي لا يجمع البيانات الحساسة على الإطلاق فيبقيك بمنأى تام عن هذا المسار.
تقليل البيانات إلى الحد الأدنى
لا يتم جمع سوى البيانات الشخصية الضرورية بشكل قاطع للغرض الأمني. يمكن للعملاء أيضاً تخصيص مصادر بيانات القياس عن بُعد التي يتم جمعها، ويتم استبعاد الحقول غير الأساسية للكشف عن التهديدات أو حذفها على الفور.
ما هي الضمانات التي تحمي البيانات الشخصية التي تعالجها Cyber Crucible؟
إجابة موجزة: التشفير أثناء النقل وفي حالة السكون، وإخفاء هوية المعرّفات (pseudonymization) حيثما أمكن، والتحكم في الوصول القائم على الأدوار، وإدارة المفاتيح مع تدويرها، وتسجيل عمليات التدقيق، والفحص المنتظم لنقاط الضعف — مدعومة بشروط تعاقدية في اتفاقيات معالجة البيانات (DPAs) الخاصة بالعملاء وبرنامج داخلي لأمن المعلومات.
الجانب التقني
- تُشفَّر البيانات الشخصية أثناء النقل (TLS 1.3) وفي حالة السكون.
- تشفير JSON Web Encryption لكل عميل (agent) على حدة للحمولات التشغيلية، باستخدام أزواج مفاتيح فريدة.
- إخفاء هوية أو إخفاء أثر المعرّفات الحساسة حيثما أمكن ذلك.
- التحكم في الوصول من خلال المصادقة والأذونات القائمة على الأدوار.
- سياسات إدارة المفاتيح التشفيرية التي تضمن تخزين المفاتيح بأمان وتدويرها.
- تسجيل ومراجعة عمليات الوصول والإجراءات الإدارية لاكتشاف أي نشاط غير مصرح به.
- إجراء فحوصات دورية لنقاط الضعف واختبارات أمنية.
الجانب التعاقدي
تتضمن عقود العملاء واتفاقيات معالجة البيانات (DPAs) شروطًا تتعلق بأمن البيانات والسرية والإبلاغ عن الاختراقات. لا يتم الاستعانة بالجهات الفرعية المعالِجة إلا بموجب اتفاقيات مكتوبة تُلزمها بتوفير حماية معادلة. كما يخضع الموظفون والمتعاقدون لاتفاقيات عدم إفصاح متبادلة.
الجانب التنظيمي
يحكم برنامج إدارة أمن المعلومات الامتثال المستمر، مع توفير تدريب على التوعية الأمنية للموظفين المعنيين، وتوثيق للاستجابة للحوادث، وإجراءات للاحتفاظ بالبيانات وحذفها، ومراجعات داخلية دورية.
بخصوص الشهادات — بوضوح تام
برنامج أمن Cyber Crucible متوافق مع الأطر الصناعية المعترف بها. لا تحمل Cyber Crucible حاليًا شهادة ISO 27001 أو SOC 2، ولا يوجد حاليًا أي خطة للحصول عليها.
يعني التوافق أن الضوابط تتبع الممارسات التي تصفها تلك الأطر. ولا يعني ذلك أن مدققًا خارجيًا قد قيّمها ومنحها شهادة، ولا ينبغي تصويره على هذا النحو في وثائق الامتثال الخاصة بكم. إذا كانت عملية الشراء لديكم تتطلب دليلًا معتمدًا (certified evidence)، فإن هذا المتطلب غير مستوفى حاليًا — يُرجى التواصل عبر dpo@cybercrucible.com لمناقشة الوثائق المتاحة.
هل يتعين علي تعيين ممثل محلي؟
إجابة موجزة: عادةً ما تكون مؤسستكم هي المطالَبة بذلك، وليس Cyber Crucible. تفرض عدة أنظمة تشريعية على الكيانات الموجودة خارج الدولة والتي تعالج البيانات الشخصية للمقيمين فيها تعيين ممثل محلي — وبما أن Cyber Crucible تعمل عادةً بصفتها معالِجًا للبيانات، فإن هذا الالتزام يقع على عاتقكم بصفتكم المتحكم بالبيانات.
كيفية توزيع الأدوار
- Cyber Crucible كمعالج للبيانات (الحالة الاعتيادية): أنتم، بصفتكم المتحكم بالبيانات، من يعيّن الممثل المحلي. وتتعاون Cyber Crucible بشكل كامل مع الالتزامات التنظيمية المحلية.
- Cyber Crucible كمتحكم بالبيانات (حالة غير اعتيادية): إذا قامت الشركة بمعالجة بيانات شخصية لأغراضها الخاصة، فإنها ستوفر ممثلًا محليًا في الولاية القضائية ذات الصلة.
تُعد المادة 33 من نظام حماية البيانات الشخصية السعودي (PDPL) أوضح مثال على هذا المتطلب، إلا أن أحكامًا مماثلة ترد أيضًا ضمن مجموعة الأنظمة المستمدة من GDPR.
بخصوص تسجيل المتحكمين بالبيانات
تفرض بعض الأنظمة على متحكمين معينين بالبيانات التسجيل لدى السلطة الرقابية — وعادةً ما يكون ذلك للهيئات العامة، أو الكيانات التي يكون نشاطها الرئيسي معالجة البيانات الشخصية، أو تلك التي تتعامل مع بيانات حساسة عالية الخطورة.
يتمثل النشاط الأساسي لشركة Cyber Crucible في برمجيات الأمن السيبراني وليس المعالجة العامة للبيانات الشخصية، وبالتالي فهي لا تندرج ضمن تلك الفئات. تتم مراقبة قواعد التسجيل، وسيتم الالتزام بها في حال تغيّر دور الشركة أو أنشطتها.
كيف يمكنني طلب وثائق الامتثال؟
إجابة سريعة: تواصل مع مسؤول حماية البيانات على dpo@cybercrucible.com. تشمل الوثائق المتاحة البنود التعاقدية القياسية، وتقييم مخاطر النقل، واتفاقيات معالجة البيانات، وسياسة حوكمة البيانات — وتُقدَّم وفقًا لتدابير سرية معقولة.
ما يمكنك طلبه
- البنود التعاقدية القياسية — بما في ذلك البنود المعتمدة مسبقًا من SDAIA لعمليات النقل الخاصة بالسعودية.
- تقييم مخاطر النقل — تقييم TRA المكتمل الذي يغطي تدفقات البيانات، والنظام القانوني في الوجهة، والضوابط، وإجراءات التخفيف.
- اتفاقية معالجة البيانات — التي تحدد نطاق المعالجة، وشروط الأمان، والسرية، والإخطار بالاختراقات.
- سياسة حوكمة ومشاركة البيانات — حدود الجمع، وحماية النقل، والتزامات عدم مشاركة البيانات مع أطراف ثالثة.
ما يجب تضمينه في طلبك
يُسرّع الأمر كثيرًا أن تُحدد نطاقك القضائي، وما إذا كنت تتصرف بصفة "المتحكم بالبيانات"، ونموذج النشر الذي تقوم بتقييمه (معزول عن الشبكة، إقليمي، أو هجين)، ومتطلبات الجهة التنظيمية أو المدقق الخاص بك.
بالنسبة للنطاقات القضائية غير المشمولة هنا
الأنظمة الموصوفة في هذا الدليل هي الأكثر شيوعًا في الاستفسارات. إذا لم يكن نطاقك القضائي مدرجًا، فإن الإجابات الأساسية غالبًا ما تكون مماثلة — الحد الأدنى من الجمع، والمعالجة المحلية، وخيارات النشر داخل الدولة. تواصل مع مسؤول حماية البيانات (DPO) مع تحديد المتطلب الخاص بك، ويمكن معالجته مباشرة.