موطن البيانات والسيادة

تلتزم ProBase Solutions بمنح عملائها في المملكة العربية السعودية ومنطقة الخليج وضوحاً تاماً حول مكان تخزين بياناتهم وكيفية معالجتها وحمايتها. تشرح هذه الوثيقة سياساتنا الخاصة بموطن البيانات (Data Residency) والسيادة عليها (Data Sovereignty)، وضوابط نقلها عبر الحدود، والتشفير، وفصل بيانات العملاء، وحق العميل الدائم في تصدير بياناته. نهدف من ذلك إلى تمكين عملائنا من الوفاء بالتزاماتهم التنظيمية، وفي مقدمتها متطلبات نظام حماية البيانات الشخصية (PDPL)الصادر عن الهيئة السعودية للبيانات والذكاء الاصطناعي (SDAIA).

أين تُخزَّن بيانات العملاء

يعتمد موقع التخزين والمعالجة على مزود الخدمة والمنطقة والتكوين المتعاقد عليه لكل عميل. لا نؤكد أن البيانات داخل المملكة إلا بعد مطابقة إعداد البيئة والعقد وأدلة المزود. تشمل فئات البيانات التي يجب إدراج موقعها في سجل البيئة:

• بيانات حسابات العملاء وملفات المستخدمين وإعدادات المؤسسة.
• محتوى المحادثات والرسائل المتبادلة عبر قنوات مثل واتساب للأعمال.
• سجلات العملاء وجهات الاتصال وبيانات الحملات والتفاعلات التجارية.
• الوثائق والمرفقات التي يرفعها العميل ضمن المنصة.
• سجلات النشاط والتدقيق (Audit Logs) الخاصة بالمؤسسة.

يجب توثيق موطن التخزين الأساسي عند تهيئة المؤسسة، وتحديد آلية إشعار أو موافقة العميل على تغييره في العقد المنطبق.

الالتزام بمتطلبات الإقامة المحلية للبيانات الحساسة

قد تنطبق على بعض القطاعات متطلبات إضافية للإقامة أو النقل. لا نفترض انطباقها أو نضمن موقعاً بعينه إلا إذا أثبتت بنية النشر والعقد ذلك. على المستشار والعميل تحديد المتطلبات قبل التفعيل. وتشمل نقاط التحقق:

• إبقاء البيانات الشخصية الحساسة المعرّفة وفق PDPL ضمن نطاق التخزين المحلي.
• مواءمة ممارساتنا مع ضوابط SDAIA وضوابط الحوسبة السحابية الوطنية ذات الصلة.
• دعم متطلبات حفظ البيانات المرتبطة بالفوترة الإلكترونية لدى الهيئة العامة للزكاة والضريبة (ZATCA) حين تكون المنصة جزءاً من سير عمل الفوترة.
• تقديم خيارات نشر مخصّصة للعملاء من القطاعات المنظَّمة بناءً على متطلباتهم الرقابية.

لا نقدّم في هذه الوثيقة استشارة قانونية؛ ونوصي عملاءنا في القطاعات المنظَّمة بالتنسيق مع مستشاريهم النظاميين لتحديد فئات البيانات الخاضعة لمتطلبات الإقامة المحلية.

السيادة على البيانات

السيادة على البيانات تعني خضوع بيانات العميل للأنظمة والولاية القضائية للمملكة العربية السعودية، وبقاء التحكّم الفعلي بها في يد العميل بصفته المتحكّم في البيانات (Data Controller)، بينما نعمل نحن بصفتنا معالجاً للبيانات (Data Processor) بناءً على تعليماته الموثّقة. نلتزم في هذا الإطار بما يلي:

• عدم استخدام بيانات العميل لأي غرض خارج نطاق تقديم الخدمة المتعاقد عليها.
• عدم بيع بيانات العملاء أو مشاركتها مع أطراف إعلانية أو وسطاء بيانات.
• عدم استخدام محتوى العملاء لتدريب نماذج ذكاء اصطناعي عامة دون موافقة صريحة ومنفصلة.
• الإفصاح للعميل عند تلقّي أي طلب نظامي ملزم بالوصول إلى بياناته، في الحدود التي يجيزها النظام.

نقل البيانات عبر الحدود وضوابطه

قد تتطلب بعض الوظائف التشغيلية، مثل الدعم الفني أو خدمات طرف ثالث متكاملة، معالجة محدودة خارج المملكة. قد يحدث نقل أو وصول خارج المملكة بحسب المزود والتكوين، ولا يجوز تفعيله قبل توثيق التقييم والآلية والضوابط المطلوبة بموجب PDPLولوائحه التنفيذية الخاصة بالنقل خارج المملكة. وتشمل هذه الضوابط:

• اقتصار النقل على ما هو ضروري لأداء الخدمة، وبأقل قدر ممكن من البيانات.
• إبرام اتفاقيات معالجة بيانات (DPA) مع كل معالج فرعي تتضمن بنوداً تعاقدية قياسية للحماية.
• التحقّق من توافر مستوى حماية ملائم في الجهة المستقبلة قبل أي نقل.
• التحقق من إمكانية تقييد النقل فنياً وتعاقدياً لكل مزود قبل تقديم خيار داخل المملكة فقط.
• توثيق عمليات النقل وإتاحة سجلاتها للعميل عند الطلب لأغراض التدقيق.

المعالجون الفرعيون

تعرض قائمة المعالجين الفرعيين الجهات المحتملة بحسب الوظائف المفعلة. يجب إثبات الجهة المستخدمة فعلياً وعقدها ومنطقتها قبل تقديم أي تأكيد للعميل. أهداف التحقق هي:

• عملية تقييم أمني ونظامي قبل الاعتماد، ومراجعات دورية بعده.
• التزامات تعاقدية بمستوى حماية لا يقلّ عمّا نلتزم به تجاه عملائنا.
• الإفصاح عن قائمة المعالجين الفرعيين الجوهريين وإشعار العملاء بأي تغييرات مادية عليها.

التشفير أثناء النقل والتخزين

الضوابط التالية أهداف تحقق يجب مطابقتها مع أدلة البيئة والعقود؛ لا يُعد إدراجها إثباتاً بأنها مفعلة في كل نشر:

• أثناء النقل: التحقق من إصدار TLS ونطاق تطبيقه بين المستخدم والخدمات الداخلية.
• أثناء التخزين: توثيق تشفير كل مخزن والخوارزمية المستخدمة من دليل المزود.
• إدارة المفاتيح: توثيق خدمة المفاتيح والتدوير والصلاحيات المطبقة فعلياً.
• النسخ الاحتياطية: إثبات تشفيرها وموقعها وفترة الاحتفاظ بها وفق البيئة والعقد.

فصل بيانات العملاء

صُممت البنية متعددة المستأجرين لعزل بيانات المؤسسات منطقياً، ويظل نجاح العزل ادعاءً يحتاج إلى اختبارات صلاحيات وحدود مستأجر موثقة. تشمل نقاط التحقق:

• تخصيص معرّف مؤسسة فريد لكل عميل يُستخدم لعزل بياناته على مستوى التطبيق وقاعدة البيانات.
• ضوابط وصول تمنع أي تسرّب للبيانات بين مستأجرين مختلفين.
• توفّر خيارات نشر مخصّصة أو معزولة منطقياً للعملاء من المؤسسات الكبرى عند الحاجة.
• تحديد دورية اختبارات حدود العزل وحفظ نتائجها كدليل.

ضوابط الوصول والحوكمة الداخلية

نقيّد وصول موظفينا إلى بيانات العملاء وفق مبدأ الحد الأدنى من الصلاحيات (Least Privilege)، مع تطبيق ما يلي:

• منح الوصول حسب الحاجة التشغيلية فقط، ومراجعته دورياً.
• التحقق من تفعيل المصادقة متعددة العوامل (MFA) للأنظمة الحساسة وحفظ دليل الإعداد.
• التحقق من تغطية سجلات الوصول وفترة الاحتفاظ وإمكان مراجعتها.
• اعتماد جدول تدريب وحفظ سجلات الحضور والمحتوى.

الاحتفاظ بالبيانات وحذفها

نحتفظ ببيانات العميل طوال مدة سريان الاشتراك، ووفق المدد التي يحددها العميل أو يفرضها النظام. عند انتهاء العلاقة التعاقدية:

• نتيح للعميل فترة سماح لتصدير بياناته قبل أي حذف.
• نحذف بيانات العميل أو نُجهّلها بشكل آمن وفق سياسة الاحتفاظ المتفق عليها.
• نراعي أي التزامات حفظ نظامية، مثل سجلات الفوترة المرتبطة بمتطلبات ZATCA.

حق العميل في تصدير بياناته

يملك العميل حق الوصول إلى بياناته وتصديرها في أي وقت طوال مدة الاشتراك، تجسيداً لمبدأ قابلية نقل البيانات (Data Portability). نوفّر ذلك من خلال:

• أدوات تصدير ذاتية تتيح استخراج البيانات بصيغ قياسية مفتوحة مثل CSV وJSON.
• واجهات برمجية (APIs) تمكّن من سحب البيانات برمجياً ودمجها مع أنظمة العميل الأخرى.
• دعم من فريقنا لتصدير الحزم الكبيرة من البيانات عند الطلب.
• عدم احتجاز بيانات العميل أو فرض قيود تقنية تمنع نقلها إلى مزوّد آخر.

التدقيق والامتثال

نتبنّى منهجية أمنية وحوكمية متوافقة مع ممارسات ومعايير معترف بها دولياً مثل ISO 27001 ومبادئ SOC 2، دون أن يُفهم ذلك على أنه إقرار بحصولنا على شهادة بعينها ما لم يُذكر صراحةً في وثيقة منفصلة. نلتزم بمواءمة ضوابطنا مع PDPL وأطر SDAIA ذات الصلة، ونجري مراجعات دورية لضوابطنا الأمنية. ويمكن للعملاء من المؤسسات طلب معلومات إضافية حول وضعنا الأمني عبر التواصل معنا.

التواصل معنا

لأي استفسار يتعلق بموطن البيانات أو السيادة عليها أو طلبات التصدير أو متطلبات الإقامة المحلية، يُرجى مراسلتنا على البريد info@probasesolutions.com. نلتزم بالرد على الاستفسارات الجوهرية ضمن آجال معقولة ووفق التزاماتنا التعاقدية والنظامية.