الجواب باختصار
نظام حماية البيانات الشخصية السعودي نافذ منذ 14 سبتمبر 2023، وانتهت مهلة الالتزام في 14 سبتمبر 2024. ولشات بوت شركتك يعني: أبلغ العميل بهويتك والغرض من جمع بياناته، واجمع الحد الأدنى منها، واحصل على موافقة واضحة حين تكون أساس المعالجة، ولبِّ طلبات العملاء خلال 30 يومًا، وأبلغ سدايا بأي تسرب خلال 72 ساعة، واحمِ البيانات وانتبه لنقلها خارج المملكة.
يسأل أصحاب العيادات والمتاجر في السعودية: «البوت عم يجمع أسماء وأرقام ومواعيد، هل في شي قانوني لازم أنتبه له؟». نعم، فكل محادثة فيها بيانات شخصية، ونظام حماية البيانات الشخصية يحدد ما يجب عليك بصفتك جهة التحكم بها.
منذ متى يُطبَّق النظام؟
النظام نافذ منذ 14 سبتمبر 2023، ومنحت الهيئة السعودية للبيانات والذكاء الاصطناعي (سدايا) مهلة سنة انتهت في 14 سبتمبر 2024. أي أن الالتزام مطلوب الآن.
ماذا تخبر العميل قبل أن يجمع الشات بوت بياناته؟
تخبره، بحسب اللائحة التنفيذية، بهويتك، والأساس النظامي للمعالجة، والغرض المحدد الواضح من الجمع، ومدة الاحتفاظ، وحقوقه، وطريقة سحب الموافقة. وفي الشات بوت يكفي ذلك في رسالة ترحيب قصيرة برابط سياسة الخصوصية.
متى تحتاج إلى موافقة العميل؟
تحتاج إليها حين تكون الموافقة أساس المعالجة. وتشترط اللائحة أن تُعطى بحرية لكل غرض على حدة، وأن تستطيع إثباتها، وأن يكون سحبها بسهولة إعطائها. وتطلب موافقة صريحة للبيانات الحساسة، ومنها البيانات الصحية، وللقرارات المبنية على معالجة آلية بحتة. وهناك أسس أخرى غير الموافقة، مثل المصلحة المشروعة للجهات غير الحكومية في غير البيانات الحساسة.
للعيادات: مواعيد المرضى وأعراضهم بيانات صحية، أي بيانات حساسة تحتاج إلى موافقة صريحة وتقييم أثر مكتوب بحسب اللائحة. اجعل الشات بوت يحوّل الأسئلة الطبية إلى فريق العيادة.
ما البيانات التي يجوز أن يجمعها الشات بوت؟
يجمع الحد الأدنى اللازم للغرض فقط، كما تنص اللائحة. فبوت الحجز يحتاج الاسم والرقم والموعد، لا رقم الهوية ولا العنوان إن لم يحتجهما الحجز.
وشات بوت إنجاز AI يُبنى على هذا المبدأ: يسأل فقط عما يحتاجه لإتمام الطلب.
ما حقوق العميل وكيف تلبيها؟
للعميل أن يُبلَّغ، وأن يطلع على بياناته ويحصل على نسخة منها، وأن يطلب تصحيحها، وأن يطلب إتلافها حين لا تعود لازمة. وعليك أن ترد على طلبه خلال 30 يومًا، يمكن تمديدها 30 يومًا أخرى، وأن تتحقق من هويته وتوثّق الطلب.
- اجعل في الشات بوت طريقًا واضحًا لطلب الاطلاع أو التصحيح أو الحذف.
- سجّل كل طلب بتاريخه ليُحسب موعد الثلاثين يومًا.
- احذف المحادثات التي انتهى غرضها بحسب مدة الاحتفاظ المعلنة.
ماذا تفعل إذا تسربت البيانات؟
تُبلغ سدايا خلال 72 ساعة من علمك بالحادثة إن كانت قد تضر البيانات أو أصحابها، عبر خدمة الإبلاغ في منصة حوكمة البيانات الوطنية، وتُبلغ العملاء المتأثرين دون تأخير غير مبرر وبلغة واضحة. وتطلب اللائحة ضوابط أمن تقنية وإدارية، منها ضوابط الهيئة الوطنية للأمن السيبراني لمن تنطبق عليه.
ولأن شات بوت إنجاز AI مركّب على سيرفرك، تبقى سجلات الوصول بيدك عند أي تحقيق.
أين تُحفظ بيانات المحادثات؟
تسمح اللائحة بنقل البيانات خارج المملكة بشروط وضمانات، مثل البنود التعاقدية المعيارية، وتطلب تقييمًا للمخاطر في حالات. لذلك يسهّل الشات بوت المثبّت على سيرفر تختاره أنت الالتزام: تعرف أين البيانات، ومن يصل إليها، ومتى تُحذف.
وهكذا نبني الشات بوت في إنجاز AI من إنجاز ديجيتال: على سيرفرك، فتبقى المحادثات عندك، برسالة ترحيب تبلغ العميل بالغرض، وجمع للحد الأدنى من البيانات، وتحويل للأسئلة الحساسة إلى فريقك.
هذا المقال شرح عام لما تنشره سدايا، لا استشارة قانونية. راجع النظام ولائحته التنفيذية ومستشارك القانوني في حالتك.
لماذا تختار إنجاز AI من إنجاز ديجيتال لبوت نشاطك؟
- بوت يتعلم من سياساتك ومنتجاتك وأسئلة عملائك، ويرد فورًا بلغة عميلك، ويعرف متى يحوّل المحادثة إلى موظف.
- واتساب وإنستغرام وماسنجر وتيليجرام في صندوق وارد واحد لفريقك.
- حلول لكل قطاع: العيادات والمتاجر والعقارات والمطاعم والتعليم والفنادق والصالونات.
- من إنجاز ديجيتال: أكثر من 15 سنة في السوق العربي، ومكاتب في القاهرة ودبي والرياض.
أسئلة شائعة
هل يجب أن يطلب الشات بوت موافقة العميل في كل محادثة؟
لا يلزم في كل محادثة، لكن يجب إبلاغ العميل بالغرض والأساس النظامي قبل الجمع، والحصول على الموافقة حين تكون هي الأساس، لكل غرض على حدة.
كم مهلة الرد على طلب العميل حذف بياناته؟
30 يومًا، يمكن تمديدها 30 يومًا أخرى بحسب اللائحة التنفيذية.
خلال كم ساعة أبلغ عن تسرب البيانات؟
خلال 72 ساعة من العلم بالحادثة إن كانت قد تضر البيانات أو أصحابها، عبر منصة حوكمة البيانات الوطنية.
هل بيانات المرضى في بوت العيادة حساسة؟
نعم، البيانات الصحية بيانات حساسة تحتاج إلى موافقة صريحة وتقييم أثر مكتوب.