ملاحظات العملاء المتوافقة مع PDPL في المملكة العربية السعودية: الدليل الكامل (2026)

# ملاحظات العملاء المتوافقة مع PDPL في المملكة العربية السعودية: الدليل الكامل دخل نظام حماية البيانات الشخصية (PDPL) السعودي حيز التنفيذ الكامل في 14 سبتمبر 2024، وأصدرت لجان الإنفاذ التابعة للهيئة السعودية للبيانات والذكاء الاصطناعي (SDAIA) عشرات قرارات الانتهاك منذ ذلك الحين. إذا كانت منشأتك تجمع ملاحظات العملاء في المملكة — من خلال الاستبيانات، أو تقييمات التطبيقات، أو تذاكر الدعم، أو الاستماع الاجتماعي — فأنت تعالج بيانات شخصية بموجب PDPL سواء قصدت ذلك أم لا. يشرح هذا الدليل بالضبط ما يتطلبه الامتثال لبرنامج صوت العميل، وماذا تبحث عنه في الموردين، وما هي الأخطاء الشائعة. هذا ليس استشارة قانونية. تعامل معه كدليل تشغيلي عملي وأكّد مع مسؤول حماية البيانات لديك والمستشار القانوني. ## ماذا يقول PDPL فعلياً عن بيانات الملاحظات يعرّف PDPL البيانات الشخصية على نطاق واسع. في برنامج ملاحظات العملاء، يلي ما يلي يُؤهّل دائماً تقريباً: - اسم العميل، البريد الإلكتروني، رقم الهاتف المرتبط باستجابة استبيان - معرّف العميل، رقم الحساب، أو أي معرّف يربط استجابة بشخص - عنوان IP وبصمة الجهاز المُلتقطة وقت التقديم - التسجيلات الصوتية لمقابلات العملاء أو مكالمات الملاحظات - الاستجابات النصية الحرة التي تتضمن تفاصيل تعريف ("أنا سعد وأتعامل مع مصرف الراجحي…") - الصور أو الفيديو المرفقة بالملاحظات (صور شخصية، صور المتاجر) - بيانات الموقع المُلتقطة وقت التقديم - درجات المشاعر عند ربطها بفرد العدد الإجمالي المجهول ("87% من عملائنا قالوا X هذا الربع") ليس بيانات شخصية. في اللحظة التي يمكن فيها تتبع استجابة إلى فرد، ينطبق PDPL. ## الالتزامات الخمسة التي تهم برنامج تجربة العملاء ### 1. الأساس القانوني يتطلب PDPL أساساً قانونياً للمعالجة. لملاحظات العملاء، الخيارات العملية هي: - **الموافقة** — صريحة، ممنوحة بحرية، مع آلية انسحاب واضحة. هذا هو المسار الأنظف للملاحظات بأسلوب التسويق. - **تنفيذ عقد** — تنطبق عندما تكون الملاحظات جزءاً من اتفاق خدمة نشط (NPS بعد الشراء لعميل نشط). - **المصلحة المشروعة** — أضيق مسار؛ قابل للتطبيق لكشف الاحتيال أو مراقبة جودة الخدمة على العملاء الحاليين، وليس للتسويق. إذا قال استبيانك "بالنقر على إرسال توافق على تلقي اتصالات تسويقية"، فإنك لم تجمع موافقة صالحة بموجب PDPL. ### 2. إقامة البيانات الإعداد الافتراضي في PDPL هو أن البيانات الشخصية للمقيمين السعوديين تبقى داخل المملكة العربية السعودية. التحويلات إلى الخارج مقيدة بشدة. عملياً يعني ذلك: - يجب على منصة تجربة العملاء تخزين الاستجابات على بنية تحتية داخل المملكة - يجب أن تكون النسخ الاحتياطية أيضاً داخل المملكة - يجب أن تكون السجلات التي تحتوي على بيانات شخصية داخل المملكة - يجب أن يكون موردو المعالجة الفرعية (التحليلات، الذكاء الاصطناعي للمشاعر) الذين يلامسون البيانات الشخصية داخل المملكة أو مغطين بآلية تحويل معتمدة من SDAIA خيارات الاستضافة المقبولة اعتباراً من يونيو 2026: - STC Cloud - Google Cloud Riyadh - Oracle Cloud Riyadh - Microsoft Azure KSA (الإطلاق في الربع الرابع 2026) - البنية التحتية داخل المملكة (On-premise) الاستضافة في AWS Bahrain أو Frankfurt ليست كافية بمفردها. ### 3. حقوق صاحب البيانات يمنح PDPL أصحاب البيانات (عملائك) هذه الحقوق: - الحق في معرفة ما هي البيانات التي تحتفظ بها عنهم - الحق في تصحيح البيانات غير الدقيقة - الحق في طلب الحذف - الحق في سحب الموافقة - الحق في الاعتراض على المعالجة برنامج تجربة عملاء متوافق يجب أن يكون لديه عملية للوفاء بكل من هذه ضمن الجدول الزمني الذي يحدده PDPL (عادةً 30 يوماً). عملياً، يعني هذا أن منصتك يجب أن تتيح لك: - البحث عن جميع الاستجابات من فرد معين - تصدير تلك الاستجابات عند الطلب - حذفها عند الطلب - وضع علامة على عميل كمختار للانسحاب حتى لا يتلقى المزيد من دعوات الاستبيانات إذا كانت منصتك لا يمكنها فعل أي من هذه، فهي ليست جاهزة لـ PDPL. ### 4. اتفاقية معالجة البيانات (DPA) مورد منصة تجربة العملاء لديك هو معالج بيانات؛ أنت مراقب البيانات. يتطلب PDPL اتفاقية معالجة بيانات (DPA) مكتوبة بينكما تحدد: - فئات البيانات الشخصية التي تتم معالجتها - أغراض المعالجة - مدة المعالجة - التدابير الأمنية - قائمة المعالجات الفرعية مع آلية الموافقة - جداول إخطار الخرق الزمنية - إعادة البيانات / حذفها عند الإنهاء - حقوق التدقيق المورد الذي لا يستطيع إنتاج قالب اتفاقية معالجة بيانات خلال 24 ساعة من السؤال ليس جاداً في البيع للعملاء السعوديين. ### 5. إخطار الخرق إذا تعرضت منصة تجربة العملاء لخرق يشمل البيانات الشخصية للمقيمين السعوديين، يجب عليك إخطار SDAIA خلال 72 ساعة والعملاء المتأثرين دون تأخير لا مبرر له. لذلك يجب على المورد أن يلتزم بإخطارك خلال ساعات، وليس أيام. اقرأ بند الخرق في أي اتفاقية معالجة بيانات بعناية. ## ماذا تعني "الاستضافة داخل المملكة" عملياً هناك سوء فهم شائع بأن وضع تطبيقك في مركز بيانات سعودي كافٍ. ليس كذلك. ثلاث طبقات تحتاج جميعها إلى أن تكون داخل المملكة: 1. **الحوسبة والتخزين** — حيث يعمل التطبيق وأين تعيش قاعدة البيانات 2. **النسخ الاحتياطية** — نسخ احتياطية يومية في نفس المنطقة 3. **بيانات العمليات** — السجلات، المقاييس، تقارير الأخطاء سيدّعي العديد من موردي SaaS "إقامة بيانات في المملكة" ويضعون قاعدة البيانات الأساسية فقط داخل المملكة، بينما تذهب السجلات إلى Datadog US والنسخ الاحتياطية إلى AWS Frankfurt. هذا غير متوافق مع PDPL. السؤال الصحيح للمورد: "أرني مخطط بنية لمكان وجود كل بايت من بيانات العميل، بما في ذلك النسخ الاحتياطية والقياس التشغيلي." ## ما الذي يجب البحث عنه في منصة تجربة عملاء جاهزة لـ PDPL استخدم قائمة التحقق هذه عند تقييم أي منصة صوت عميل للنشر السعودي: 1. **استضافة داخل المملكة على الحزمة الكاملة**، وليس فقط قاعدة البيانات الأساسية 2. **قالب اتفاقية معالجة بيانات متاح خلال 24 ساعة** من طلبك الأول 3. **قائمة معالجين فرعيين موثقة** — تشمل موردي الذكاء الاصطناعي / المشاعر 4. **أدوات حقوق صاحب البيانات مدمجة في واجهة الإدارة** — تصدير، حذف، انسحاب حسب معرّف العميل 5. **طوابع زمنية للموافقة لكل سجل** مخزنة بجانب كل استجابة 6. **ضوابط سياسة الاحتفاظ** — حذف تلقائي بعد N شهراً 7. **تشفير في حالة السكون وأثناء النقل** — غير قابل للتفاوض 8. **عزل المستأجرين** — بياناتك معزولة منطقياً عن بيانات العملاء الآخرين، مع ضمانات فصل موثقة 9. **سجل تدقيق** لإجراءات المسؤول على بيانات العميل 10. **SLA لإخطار الخرق مكتوبة** — ساعات، وليس أيام أي مورد يتردد في أي من هذه ليس جاهزاً للمملكة. ## أخطاء شائعة ترتكبها فرق تجربة العملاء السعودية ### التعامل مع PDPL كإجراء شكلي للمشتريات الامتثال تشغيلي، وليس مشتريات. شراء منصة "متوافقة مع PDPL" دون انضباط تشغيلي (إدارة الموافقة، فرض الاحتفاظ، الاستجابة لطلبات الوصول) يتركك مكشوفاً. ### تضمين نصوص برمجية لجهات خارجية في صفحات الاستبيان إضافة Google Analytics، Hotjar، أو Facebook Pixel إلى صفحة استبيان يمكن أن يوجّه استجابات العملاء إلى معالجين في الخارج دون موافقة. دقّق كل نص برمجي في كل صفحة استبيان. ### تخزين بيانات الملف الشخصي الديموغرافية إلى الأبد يتطلب PDPL تقليل البيانات. تخزين البيانات الديموغرافية للعميل إلى أجل غير مسمى "للتحليلات" يصعب تبريره إذا لم تكن تستخدمها بنشاط. ضع سياسات احتفاظ. ### معاملة البيانات المجهولة كخارج النطاق التجهيل صعب. إذا كان من الممكن إعادة تحديد البيانات "المجهولة" من خلال دمجها مع بيانات أخرى تحتفظ بها، فهي لا تزال بيانات شخصية بموجب PDPL. ### شراء أداة عالمية وإضافة "الامتثال" عليها غالباً ما تقدم المنصات العالمية "حزمة PDPL" تتكون من قالب اتفاقية معالجة بيانات وخيار مركز بيانات سعودي. هذا هو خط البداية، وليس خط النهاية. الامتثال الحقيقي في التفاصيل التشغيلية: تجربة مستخدم الموافقة، الاحتفاظ، سير عمل الحذف، إجراءات الاستجابة للخرق. ## كيف يبدو إجراء الإنفاذ صدرت قرارات إنفاذ SDAIA في 2025-2026 لـ: - معالجة بيانات شخصية دون أساس قانوني - نقل بيانات شخصية خارج المملكة دون آلية مناسبة - الفشل في الاستجابة لطلبات الوصول لأصحاب البيانات - تجربة مستخدم موافقة غير كافية - جمع بيانات مفرط (انتهاكات "تقليل البيانات") تراوحت الغرامات من 100,000 ريال سعودي إلى أكثر من 5 ملايين ريال سعودي. النمط هو أن SDAIA تركز على الانتهاكات الإجرائية أولاً — المنشآت التي لا يمكنها إثبات الموافقة المناسبة، أو الإقامة، أو عمليات حقوق صاحب البيانات — قبل التحقيقات الأعمق. ## كيف تتعامل CXPinsight مع PDPL CXPinsight مبنية سعودياً ومصممة حول PDPL من اليوم الأول: - **استضافة داخل المملكة متاحة** على STC Cloud و Google Cloud Riyadh - **قالب اتفاقية معالجة بيانات متاح فوراً** بموجب اتفاقية عدم إفصاح - **قائمة معالجين فرعيين موثقة** مع موردي الذكاء الاصطناعي ومعالجي التحليلات - **أدوات حقوق صاحب البيانات** في واجهة الإدارة — تصدير، حذف، انسحاب حسب معرّف العميل - **طوابع موافقة زمنية** مخزنة بجانب كل استجابة مع نسخة بيان الموافقة - **ضوابط الاحتفاظ** — سياسات احتفاظ على مستوى مساحة العمل تحذف تلقائياً بعد N شهراً - **التشفير** AES-256 في حالة السكون، TLS 1.3 أثناء النقل - **عزل المستأجرين** مع ضمانات فصل موثقة - **سجل تدقيق** لجميع إجراءات المسؤول على بيانات العميل - **SLA لإخطار الخرق** 24 ساعة من الكشف سنرشدك خلال أي من هذه في جلسة مراجعة الامتثال قبل أن تلتزم. ## الأسئلة الشائعة **س: هل ينطبق PDPL على استبيانات الموظفين؟** ج: نعم. بيانات الموظفين هي بيانات شخصية. تحتاج برامج تجربة الموظف إلى نفس وضع الامتثال. **س: ماذا عن الملاحظات المُجمعة عبر تقييمات Apple App Store؟** ج: تقييمات متجر التطبيقات عامة، لكن إذا استوعبتها وربطتها بسجل عميل (باسم المستخدم، معرّف الجهاز، أو السلوك)، فإن مجموعة البيانات المرتبطة تصبح بيانات شخصية خاضعة لـ PDPL. **س: هل يمكنني استخدام ChatGPT أو Claude لتلخيص تعليقات العملاء؟** ج: فقط إذا كان لديك عقد مع المزود يلبي متطلبات تحويل PDPL، أو إذا قمت بتجهيل التعليقات قبل الإرسال. إرسال تعليقات العملاء الخام إلى OpenAI أو Anthropic عبر واجهة برمجة التطبيقات العامة دون اتفاقية معالجة بيانات غير متوافق. **س: هل الملاحظات الصوتية مغطاة؟** ج: نعم. التسجيلات الصوتية هي بيانات شخصية. النصوص هي بيانات شخصية. تحليل المشاعر على التسجيلات الصوتية هو معالجة بيانات شخصية. ## شغّل تدقيق PDPL على برنامج تجربة العملاء الحالي إذا كان لديك بالفعل برنامج صوت عميل يعمل في المملكة العربية السعودية، فإن أسرع طريقة لتقييم وضع الامتثال هي تدقيق من 4 أسئلة: 1. أين تُستضاف البيانات، بما في ذلك النسخ الاحتياطية؟ 2. هل لديك اتفاقية معالجة بيانات مع مورّدك تلبي PDPL؟ 3. هل يمكنك إنتاج جميع الاستجابات من عميل معين خلال أقل من ساعة؟ 4. هل يمكنك حذف جميع الاستجابات من عميل معين خلال أقل من 24 ساعة؟ إذا لم تستطع القول بثقة نعم لكل الأربعة، لديك عمل تقوم به. يمكن لـ CXPinsight تشغيل هذا التدقيق على إعدادك الحالي كاستشارة مجانية — دون التزام، دون ضغط مبيعات. فقط ملخص مكتوب لما ستحتاج إصلاحه لتكون جاهزاً لـ PDPL. تواصل عبر الموقع.