معتمدCertified من المحامي • آخر تحديث ٢٠٢٦by counsel • Updated 2026

سياسة خصوصية متوافقة مع نظام حماية البيانات الشخصية لمتجرك الإلكترونيA PDPL-Compliant Privacy Policy for Your Online Store

ما الذي يجب أن تفصح عنه سياسة الخصوصية، وكيف تكتبها بشكل صحيح قبل أن تطلب بيانات عملائك.What your privacy policy must disclose, and how to get it right before you collect a single customer's data.

أي متجر إلكتروني في المملكة يجمع بيانات شخصية: الاسم ورقم الجوال والبريد الإلكتروني والعنوان وسجل الطلبات وبيانات الدفع. ومنذ نفاذ نظام حماية البيانات الشخصية الصادر بالمرسوم الملكي رقم م/١٩ وتعديلاته، صار لزاماً على كل جهة تتحكم في هذه البيانات أن تعرّف عملاءها بما تجمعه ولماذا وكيف تحميه. الأداة التي يتم بها ذلك هي سياسة الخصوصية المنشورة على متجرك.

Every online store in the Kingdom collects personal data: name, mobile number, email, address, order history, and payment details. Since the Personal Data Protection Law, issued by Royal Decree M/19 and its amendments, came into force, any entity that controls such data must tell its customers what it collects, why, and how it protects it. The instrument for doing this is the privacy policy published on your store.

الجهة المشرفة على تطبيق النظام هي الهيئة السعودية للبيانات والذكاء الاصطناعي (سدايا). وهي صاحبة الصلاحية في إصدار اللوائح التنفيذية ومراقبة الالتزام والتعامل مع المخالفات. سياسة الخصوصية الجيدة ليست نصاً شكلياً، بل هي وثيقة قانونية تثبت أنك جهة تحكم ملتزمة، وتحمي متجرك من المساءلة، وتبني ثقة العميل.

The authority overseeing the law is the Saudi Data and Artificial Intelligence Authority (SDAIA). It issues the implementing regulations, monitors compliance, and handles violations. A good privacy policy is not a formality. It is a legal document that proves you are a compliant controller, shields your store from liability, and builds customer trust.

هذا الدليل يوضح ما يجب أن تفصح عنه سياسة الخصوصية لمتجرك، والعقوبات المترتبة على المخالفة، ويقدم لك مقطعاً جاهزاً ثنائي اللغة يمكنك البناء عليه. النموذج D-٠٣ (سياسة الخصوصية) في صيغتي يوفر لك الوثيقة الكاملة المعتمدة.

This guide explains what your store's privacy policy must disclose, the penalties for non-compliance, and gives you a ready bilingual snippet to build on. Sighaty's D-03 template (Privacy Policy) provides the full certified document.

احصل على نموذج سياسة الخصوصيةGet the D-03 Privacy Policy templateD-٠٣

النظام والجهة المشرفة

The law and the regulator

نظام حماية البيانات الشخصية، الصادر بالمرسوم الملكي رقم م/١٩ وتعديلاته، هو الإطار الذي ينظم جمع بيانات الأفراد ومعالجتها وتخزينها داخل المملكة. يطبق النظام على أي معالجة لبيانات أشخاص مقيمين في المملكة، بما في ذلك المعالجة التي تتم من خارجها. ويميّز النظام بين جهة التحكم التي تحدد أغراض المعالجة ووسائلها، وجهة المعالجة التي تعالج البيانات نيابة عنها.

The Personal Data Protection Law, issued by Royal Decree M/19 and its amendments, is the framework that governs the collection, processing, and storage of individuals' data in the Kingdom. It applies to any processing of data of persons residing in the Kingdom, including processing carried out from abroad. The law distinguishes between the controller, who determines the purposes and means of processing, and the processor, who processes data on the controller's behalf.

بصفتك صاحب متجر إلكتروني فأنت في الغالب جهة تحكم، لأنك تقرر ما البيانات التي تُجمع وكيف تُستخدم. هذا يحمّلك المسؤولية الأساسية عن الالتزام أمام سدايا، وهي الهيئة السعودية للبيانات والذكاء الاصطناعي المنوط بها الإشراف على النظام وإصدار لوائحه التنفيذية ومتابعة الامتثال.

As an online store owner, you are most often a controller, because you decide what data is collected and how it is used. This places the primary compliance responsibility on you before SDAIA, the Saudi Data and Artificial Intelligence Authority charged with overseeing the law, issuing its implementing regulations, and monitoring compliance.

ما الذي يجب أن تفصح عنه سياسة الخصوصية

What your privacy policy must disclose

سياسة الخصوصية المتوافقة مع النظام يجب أن تكون واضحة وسهلة الوصول، وأن تغطي العناصر التالية كحد أدنى:

A PDPL-compliant privacy policy must be clear and easily accessible, and must cover at least the following elements:

هوية جهة التحكم: الاسم النظامي للمتجر أو الشركة وبيانات التواصل الرسمية.
البيانات التي تُجمع: الاسم، رقم الجوال، البريد الإلكتروني، العنوان، سجل الطلبات، وبيانات الدفع.
أغراض المعالجة وأساسها النظامي: تنفيذ الطلب، تقديم الخدمة، تحسين التجربة، أو التزام نظامي.
الإفصاح عن المشاركة: مع من تُشارك البيانات (شركات الشحن، بوابات الدفع، مزودي الخدمة).
مدة الاحتفاظ: المدة التي تُحفظ خلالها البيانات وآلية إتلافها بعد انتهاء الغرض.
النقل خارج المملكة: ما إذا كانت البيانات تُنقل أو تُخزّن خارج المملكة والضوابط المطبقة على ذلك.
إجراءات الأمن: التدابير التقنية والتنظيمية لحماية البيانات من التسرب أو الوصول غير المصرح به.
حقوق صاحب البيانات: حق العلم، والوصول، والحصول على نسخة، والتصحيح، والإتلاف.
وسيلة التواصل والشكوى: قناة واضحة يمارس العميل من خلالها حقوقه أو يقدم شكواه.

Controller identity: the legal name of the store or company and official contact details.
Data collected: name, mobile number, email, address, order history, and payment details.
Purposes of processing and their legal basis: fulfilling the order, providing the service, improving the experience, or a legal obligation.
Sharing disclosure: with whom data is shared (shipping companies, payment gateways, service providers).
Retention period: how long data is kept and how it is destroyed once the purpose ends.
Transfers outside the Kingdom: whether data is transferred or stored abroad and the controls applied.
Security measures: the technical and organizational steps protecting data from leakage or unauthorized access.
Data-subject rights: the rights to be informed, to access, to obtain a copy, to correct, and to erase.
Contact and complaint channel: a clear way for the customer to exercise rights or file a complaint.

حقوق صاحب البيانات

The data subject's rights

يمنح النظام كل عميل مجموعة من الحقوق التي يجب أن تتيح ممارستها فعلياً، لا أن تذكرها فقط. اجعل سياستك تشرح كيف يمارس العميل كل حق وفي أي مدة ترد على طلبه.

The law grants every customer a set of rights, and you must enable their actual exercise, not merely list them. Make your policy explain how the customer exercises each right and within what timeframe you respond.

الحق في العلم بالأساس النظامي لجمع بياناته والغرض منه.
الحق في الوصول إلى بياناته والحصول على نسخة منها بصيغة مقروءة.
الحق في تصحيح البيانات غير الدقيقة أو تحديثها أو إكمالها.
الحق في طلب إتلاف بياناته متى انتفى الغرض من معالجتها.
الحق في سحب الموافقة في أي وقت متى كانت المعالجة قائمة عليها.

The right to know the legal basis and purpose for collecting their data.
The right to access their data and obtain a copy in a readable format.
The right to correct, update, or complete inaccurate data.
The right to request erasure of their data once the purpose for processing it has ended.
The right to withdraw consent at any time where processing is based on it.

العقوبات على المخالفة

Penalties for non-compliance

النظام ليس توصية، بل تترتب على مخالفته عقوبات مالية كبيرة تحددها سدايا بحسب جسامة المخالفة. تبدأ المعالجة بإنذار، وقد تصل العقوبات المالية إلى مبالغ مرتفعة في الحالات الجسيمة.

The law is not advisory. Violations carry substantial financial penalties set by SDAIA according to the gravity of the breach. Enforcement may begin with a warning, and financial penalties can reach high amounts in serious cases.

غرامة تصل إلى ٥ ملايين ريال في مخالفات الإفصاح عن البيانات الحساسة، مع إمكانية مضاعفتها عند التكرار.
غرامة تصل إلى ٣ ملايين ريال في المخالفات الأخرى للنظام.
قد يكتفى بالإنذار في المخالفات الأقل جسامة قبل توقيع الغرامة.

A fine of up to 5 million riyals for offenses involving disclosure of sensitive data, with possible doubling on repetition.
A fine of up to 3 million riyals for other violations of the law.
A warning may suffice for less serious violations before a fine is imposed.

إلى جانب الغرامة، فإن أي حادثة تسرب أو سوء استخدام تضر بسمعة متجرك وثقة عملائك، وهي خسارة قد تفوق العقوبة المالية.

Beyond the fine, any leak or misuse incident damages your store's reputation and customer trust, a loss that may exceed the financial penalty itself.

خطوات نشر سياسة خصوصية متوافقة

Steps to publish a compliant privacy policy

احصر فعلياً كل بيان شخصي يجمعه متجرك من نقطة التسجيل حتى ما بعد التسليم.
حدد لكل نوع بيانات الغرض من جمعه وأساسه النظامي ومدة الاحتفاظ به.
اصرف الجهات التي تُشارك معها البيانات وتأكد من وجود ضوابط حماية معها.
حرّر سياسة الخصوصية مغطية كل عناصر الإفصاح المطلوبة، أو استخدم النموذج D-٠٣ المعتمد.
انشر السياسة في موضع ظاهر وسهل الوصول على المتجر، واربطها بصفحة الدفع والتسجيل.
راجع السياسة دورياً وحدّثها كلما تغيرت بياناتك أو خدماتك أو لوائح سدايا.

Inventory every piece of personal data your store actually collects, from sign-up through post-delivery.
For each data type, define the purpose of collection, its legal basis, and its retention period.
List the parties you share data with and confirm protective controls are in place with them.
Draft the privacy policy covering every required disclosure element, or use the certified D-03 template.
Publish the policy in a visible, easily accessible place on the store, and link it to the checkout and sign-up pages.
Review the policy periodically and update it whenever your data, services, or SDAIA regulations change.

مقطع جاهز لسياسة الخصوصية

Ready-to-use privacy notice snippet

بند جاهز • انسخه مباشرةReady-to-use clause • copy directly

تلتزم [اسم المتجر النظامي] بحماية خصوصية بياناتك الشخصية وفقاً لنظام حماية البيانات الشخصية الصادر بالمرسوم الملكي رقم م/١٩ وتعديلاته. نقوم بصفتنا جهة تحكم بجمع بياناتك (الاسم، رقم الجوال، البريد الإلكتروني، العنوان، وبيانات الطلب والدفع) بغرض تنفيذ طلبك وتقديم خدماتنا وتحسين تجربتك. لا نشارك بياناتك إلا مع مزودي الخدمات اللازمين لتنفيذ الطلب (كشركات الشحن وبوابات الدفع) وفق ضوابط حماية مناسبة، ونحتفظ بها للمدة اللازمة للغرض الذي جُمعت من أجله أو حسبما يقتضيه النظام. لك الحق في العلم بمعالجة بياناتك والوصول إليها والحصول على نسخة منها وتصحيحها وطلب إتلافها وسحب موافقتك. لممارسة حقوقك أو تقديم شكوى، تواصل معنا عبر [بريد إلكتروني/قناة التواصل].

[Legal store name] is committed to protecting the privacy of your personal data in accordance with the Personal Data Protection Law, issued by Royal Decree M/19 and its amendments. As a controller, we collect your data (name, mobile number, email, address, and order and payment details) for the purpose of fulfilling your order, providing our services, and improving your experience. We share your data only with the service providers necessary to fulfill the order (such as shipping companies and payment gateways) under appropriate protective controls, and we retain it for the period necessary for the purpose for which it was collected or as required by law. You have the right to be informed of the processing of your data, to access it, to obtain a copy, to correct it, to request its erasure, and to withdraw your consent. To exercise your rights or file a complaint, contact us at [email/contact channel].

استبدل الحقول بين الأقواس ببيانات متجرك الفعلية قبل النشر.

Replace the bracketed fields with your store's actual details before publishing.

الأسئلة الشائعةFrequently asked questions

هل سياسة الخصوصية إلزامية لكل متجر إلكتروني؟Is a privacy policy mandatory for every online store?

نعم. ما دام متجرك يجمع أي بيانات شخصية لأشخاص مقيمين في المملكة، فأنت جهة تحكم خاضعة لنظام حماية البيانات الشخصية، ويجب أن توضح للعميل ما تجمعه ولماذا. غياب سياسة خصوصية واضحة يُعد مخالفة معرّضة للمساءلة من سدايا.

Yes. As long as your store collects any personal data of persons residing in the Kingdom, you are a controller subject to the PDPL and must tell customers what you collect and why. The absence of a clear privacy policy is a violation exposing you to SDAIA enforcement.

ما الفرق بين جهة التحكم وجهة المعالجة؟What is the difference between a controller and a processor?

جهة التحكم هي من يحدد أغراض معالجة البيانات ووسائلها، وأنت كصاحب متجر تقع غالباً في هذه الفئة. أما جهة المعالجة فهي من يعالج البيانات نيابة عنك، مثل مزود استضافة أو بوابة دفع. المسؤولية الأساسية عن الالتزام تقع على جهة التحكم.

The controller is the party that determines the purposes and means of processing data, and as a store owner you usually fall into this category. The processor is the party that processes data on your behalf, such as a hosting provider or payment gateway. Primary compliance responsibility rests with the controller.

ما العقوبة إذا تسربت بيانات حساسة من متجري؟What is the penalty if sensitive data leaks from my store?

تبلغ الغرامة على مخالفات الإفصاح عن البيانات الحساسة ما يصل إلى ٥ ملايين ريال، مع إمكانية مضاعفتها عند التكرار، بينما تصل العقوبة في المخالفات الأخرى إلى ٣ ملايين ريال. وقد تكتفي سدايا بإنذار في الحالات الأقل جسامة. يضاف إلى ذلك الضرر الذي يلحق بسمعتك وثقة عملائك.

The fine for offenses involving disclosure of sensitive data reaches up to 5 million riyals, with possible doubling on repetition, while penalties for other violations reach up to 3 million riyals. SDAIA may suffice with a warning in less serious cases. To this is added the harm to your reputation and customer trust.

هل يكفي نسخ سياسة خصوصية جاهزة من متجر آخر؟Is it enough to copy a ready privacy policy from another store?

لا. سياسة الخصوصية يجب أن تعكس بدقة البيانات التي يجمعها متجرك أنت، وأغراض معالجتها، والجهات التي تشاركها معها. نسخ سياسة لا تطابق نشاطك الفعلي قد يجعلها مضللة وغير صحيحة نظاماً. استخدم النموذج المعتمد D-٠٣ وعدّل حقوله ليطابق متجرك.

No. A privacy policy must accurately reflect the data your specific store collects, the purposes of processing, and the parties you share it with. Copying a policy that does not match your actual activity can make it misleading and legally invalid. Use the certified D-03 template and adjust its fields to match your store.