مسودة تعديلات لائحة حماية البيانات الشخصية في منصة استطلاع: ماذا يراجع متجرك الإلكتروني في سياسة الخصوصية الآن، وكيف يبقيها محدّثة؟
قائمة تحقق عملية تراجع بها أقسام سياسة خصوصية متجرك واحداً واحداً، وتوثّق تاريخ المراجعة، وتعيد النشر بطريقة منظمة كلما تغيّرت اللائحة.
طرحت الهيئة السعودية للبيانات والذكاء الاصطناعي (سدايا) مشروع تعديلات على اللائحة التنفيذية لنظام حماية البيانات الشخصية لاستطلاع آراء العموم والجهات المعنية عبر منصة استطلاع. وهذه التعديلات ما زالت مشروعاً مطروحاً لإبداء المرئيات، وليست نافذة، ولا يتغير بطرحها شيء من التزامات متجرك اليوم. لكنها مناسبة جيدة لأن تفتح سياسة الخصوصية المنشورة على متجرك وتسأل سؤالاً بسيطاً: هل ما زالت تصف ما يحدث فعلاً لبيانات عملائك؟
هذا الدليل لا يعيد شرح سياسة الخصوصية من الصفر، فذلك موضوع دليلنا عن سياسة الخصوصية المتوافقة مع النظام لمتجرك الإلكتروني. هنا نركز على عملية المراجعة والتحديث: الأقسام الثمانية التي يجب أن تظهر في سياسة المتجر، وكيف تراجع كل قسم مقابل نظام حماية البيانات الشخصية الصادر بالمرسوم الملكي رقم م/١٩ وتعديلاته ولائحته التنفيذية الحالية، ثم كيف تسجل تاريخ المراجعة وتعيد النشر عندما تتغير اللائحة.
أُعد هذا الدليل تحت إشراف عبدالعزيز سكر، محامٍ سعودي مرخص ومؤسس صيغتي، وتاريخ آخر مراجعة له ٢١ أكتوبر ٢٠٢٦. وهو قائمة تحقق عامة لما يراجعه المتجر، وليس استشارة قانونية في حالة بعينها، والنص العربي هو المعتمد عند الاختلاف.
احصل على قالب سياسة الخصوصيةD-03ما الذي طُرح في منصة استطلاع، وما الذي لم يتغير بعد
صفحة الاستطلاع المنشورة باسم سدايا تعرض جدولاً بالتعديلات المقترحة على اللائحة التنفيذية. ونذكر هنا فقط ما يمس سياسة خصوصية المتجر مما ظهر في ذلك الجدول، بوصفه مقترحاً قابلاً للتغيير بعد انتهاء الاستطلاع، دون أي أرقام أو مدد، لأن الصيغة النهائية قد تختلف عن المسودة.
- حكم جديد مقترح خاص بسياسة الخصوصية، يطلب صياغتها بلغة واضحة وبسيطة تناسب مستويات الفهم المختلفة، ومتسقة مع اللغة التي تُقدَّم بها الخدمة، مع جواز نشرها بأكثر من لغة على أن تكون العربية إحداها.
- تبسيط اللغة التي تُقدَّم بها المعلومات لأصحاب البيانات عموماً، لا لفئة بعينها فقط.
- أحكام مقترحة تتعلق بتخزين البيانات الشخصية، وهي من النقاط التي يتابعها المتجر الذي يستضيف بياناته أو يعالجها لدى مزودين.
- تعديلات مقترحة على أحكام الرسائل الترويجية والتسويق المباشر وآلية الانسحاب منها، وعلى سجلات أنشطة المعالجة ومسؤول حماية البيانات الشخصية.
الأهم من تفاصيل المسودة هو ما لم يتغير: مرجعك اليوم هو نظام حماية البيانات الشخصية وتعديلاته واللائحة التنفيذية بنصها الحالي، ويبقى كذلك حتى تُعتمد أي تعديلات وتُنشر رسمياً ويحين موعد العمل بها. لذلك لا تعدّل سياستك لتطابق المسودة، بل راجعها مقابل النص الساري، وجهّز طريقة عمل تسمح لك بالتحديث بسرعة إذا صدرت الصيغة النهائية.
الأقسام الثمانية التي يجب أن تظهر في سياسة خصوصية المتجر
يلزم النظام جهة التحكم، وهي هنا متجرك، بأن تعتمد سياسة للخصوصية وتجعلها متاحة لأصحاب البيانات عند جمع بياناتهم، وأن تشمل الغرض من الجمع، ومحتوى البيانات، وطريقة جمعها، ووسيلة حفظها، وكيفية معالجتها وإتلافها، وحقوق صاحبها وكيفية ممارستها. ويضيف النظام عناصر يُحاط بها العميل عند جمع البيانات منه مباشرة، منها المسوغ النظامي، وهوية من يجمع البيانات، والجهات التي ستُفصح لها البيانات وما إذا كانت ستُعالج خارج المملكة. وتطلب اللائحة التنفيذية لنظام التجارة الإلكترونية أن يفصح المتجر عن سياسة الخصوصية متضمنة تدابير حماية بيانات المستهلك ونطاق التعامل مع ملفات التعريف بالمستخدم إن وجدت. ومن هذه النصوص نرتب الأقسام في ثماني خطوات مراجعة:
- من يجمع البيانات: الاسم الرسمي للمنشأة كما في سجلها، والعلامة التجارية للمتجر، ونبذة عن نشاطه، وطريقة التواصل معه. راجع أن الاسم والسجل مطابقان للواقع بعد أي تغيير في الكيان أو الملكية.
- ما البيانات التي تُجمع: بيانات الحساب، وبيانات الطلب والتوصيل، وبيانات الدفع، والبيانات التي تُجمع تلقائياً عبر ملفات الارتباط والتحليلات، والبيانات الواردة من أطراف أخرى، مع بيان ما هو إلزامي منها وما هو اختياري.
- الغرض من الجمع: غرض محدد وواضح لكل فئة من البيانات، كتنفيذ الطلب أو خدمة العملاء أو التسويق، مرتبط مباشرة بنشاط المتجر.
- المسوغ النظامي: الأساس الذي تعتمد عليه في كل معالجة، كالموافقة، أو تنفيذ اتفاق يكون العميل طرفاً فيه، أو متطلب نظامي، أو مصلحة مشروعة للمتجر، مع بيان كيفية الرجوع عن الموافقة حين تكون هي الأساس.
- المشاركة مع المزودين: الجهات التي تُفصح لها البيانات وصفتها، كمزود الدفع وشركة الشحن ومزود الاستضافة ومنصة المتجر، والغرض من كل إفصاح، وما إذا كانت أي بيانات تُنقل أو تُعالج خارج المملكة.
- الحفظ والاحتفاظ والإتلاف: أين تُخزن البيانات، والتدابير التي تحميها، والمدة التي يُحتفظ فيها بكل فئة، وطريقة إتلافها بعد انتهاء الغرض.
- حقوق العميل: الحق في العلم، والوصول إلى بياناته، والحصول على نسخة منها بصيغة مقروءة وواضحة، وطلب تصحيحها أو إتمامها أو تحديثها، وطلب إتلاف ما انتهت الحاجة إليه، مع بيان طريقة تقديم كل طلب.
- نقطة التواصل والشكاوى: القناة التي يستقبل بها المتجر الطلبات والشكاوى، ومسؤول حماية البيانات الشخصية إن كان المتجر ممن يلزمهم تعيينه، وبيان حق العميل في التقدم بشكواه إلى الجهة المختصة.
كيف تراجع كل قسم مقابل النظام ولائحته الحالية
أكثر سياسات المتاجر لا تخالف النظام في نصها، بل تتأخر عن الواقع: تُكتب عند الإطلاق ثم يضيف المتجر بوابة دفع جديدة أو شركة شحن أو أداة تحليلات أو حملة رسائل، وتبقى السياسة كما هي. لذلك تبدأ المراجعة من الواقع لا من النص. اجمع ثلاث قوائم قبل أن تفتح السياسة: قائمة بالبيانات التي يجمعها المتجر فعلاً في كل نموذج وصفحة، وقائمة بكل مزود يلمس هذه البيانات، وقائمة بالمدد التي تحتفظ فيها بها فعلاً. ثم قارن كل قسم من الأقسام الثمانية بهذه القوائم.
- هل كل حقل في نماذج التسجيل والطلب مذكور في قسم البيانات، وهل يوجد حقل لا تحتاجه فعلاً لتحقيق الغرض؟ النظام يقصر محتوى البيانات على الحد الأدنى اللازم للغرض.
- هل لكل غرض مسوغ نظامي مذكور، وهل الرسائل الترويجية مبنية على أساس صحيح مع طريقة واضحة للانسحاب منها؟
- هل قائمة المزودين في السياسة تطابق قائمة المزودين الفعلية، وهل لديك مع كل مزود يعالج البيانات لحسابك اتفاقية معالجة؟ فالنظام يلزم جهة التحكم باختيار جهة معالجة توفر الضمانات اللازمة والتحقق من التزامها.
- هل مدد الاحتفاظ المذكورة هي المدد المطبقة فعلاً؟ النظام يطلب إتلاف البيانات بعد انتهاء الغرض دون تأخير، إلا إذا وُجد مسوغ نظامي يوجب الاحتفاظ بها مدة محددة أو كانت متصلة بقضية منظورة.
- هل جرّبت قناة الحقوق والشكاوى بنفسك، وهل يصل الطلب إلى شخص مسؤول يرد عليه؟
- هل السياسة مكتوبة بلغة واضحة يفهمها العميل العادي، ومنشورة بالعربية، ويصل إليها العميل برابط ظاهر في المتجر وعند كل نقطة جمع؟
نشارك بياناتك مع مزودي الخدمات الذين نعتمد عليهم لتنفيذ طلبك، ومنهم مزود الدفع وشركة الشحن ومزود الاستضافة، بالقدر اللازم لأداء الخدمة فقط، وبموجب اتفاقيات تلزمهم بحماية البيانات وعدم استخدامها لغير هذا الغرض. ونبيّن في هذه السياسة ما إذا كانت أي بيانات تُعالج خارج المملكة.
We share your data with the service providers we rely on to fulfil your order, including the payment provider, the shipping company and the hosting provider, only to the extent needed to perform the service, and under agreements that bind them to protect the data and not to use it for any other purpose. This policy states whether any data is processed outside the Kingdom.
بند توضيحي قصير فقط. النص الكامل المعتمد لقسم المشاركة مع المزودين موجود في قالب سياسة الخصوصية D-03، والعقد مع كل مزود في قالب اتفاقية معالجة البيانات I-04.
سجّل تاريخ المراجعة وأعد النشر بطريقة منظمة
المراجعة التي لا تُوثَّق كأنها لم تحدث. والدليل الاسترشادي لإعداد سياسة الخصوصية الصادر عن سدايا يوجّه جهة التحكم إلى مراجعة السياسة بصفة دورية وتسجيل أي تغيير أو تحديث في سجل للتحديثات، وإلى إظهار تاريخ آخر تحديث. كما تطلب اللائحة التنفيذية لنظام التجارة الإلكترونية أن يتيح المتجر الوصول إلى البيانات الواجب الإفصاح عنها برابط في محله الإلكتروني مع توضيح أي تعديل يطرأ عليها. والخطوات التالية تحول ذلك إلى عادة ثابتة:
- احتفظ بنسخة مؤرخة من السياسة الحالية قبل أي تعديل، حتى تعرف ما كان منشوراً في كل تاريخ.
- دوّن في سجل داخلي تاريخ المراجعة، ومن أجراها، والأقسام التي رُوجعت، والنص الساري الذي رُوجعت عليه، وما تقرر تغييره وما تقرر إبقاؤه.
- إذا تغير شيء، حدّث تاريخ آخر تحديث في أعلى السياسة، وأضف سطراً إلى سجل التحديثات المنشور يلخص ما تغيّر بلغة بسيطة.
- انشر النسخة الجديدة بالعربية والإنجليزية معاً، وتأكد أن الرابط نفسه يعمل في تذييل المتجر وصفحة الدفع ونماذج التسجيل وتطبيق الجوال إن وجد.
- إذا كان التغيير جوهرياً، كإضافة غرض جديد أو مزود جديد خارج المملكة، فأبلغ العملاء به بوسيلة مناسبة، وراجع ما إذا كان التغيير يحتاج أساساً نظامياً جديداً كالموافقة.
- حدد موعد المراجعة التالية في تقويم الامتثال، وأضف إليه محفزات المراجعة الاستثنائية: مزود جديد، أو ميزة جديدة تجمع بيانات، أو تعديل نظامي يُنشر رسمياً.
نوضح في أعلى هذه السياسة تاريخ آخر تحديث لها. ونراجعها بصفة دورية وكلما صدر تعديل نظامي يمس معالجة بياناتك، ونسجل كل تغيير في سجل التحديثات المنشور مع هذه السياسة مع ملخص ما تغيّر، ونبلغك بالتغييرات الجوهرية عبر وسيلة التواصل المسجلة لدينا.
The date of the last update is shown at the top of this policy. We review it periodically and whenever a legal amendment affecting the processing of your data is issued, we record every change in the update log published with this policy together with a summary of what changed, and we inform you of material changes through the contact details we hold for you.
بند توضيحي قصير فقط. النص الكامل المعتمد لأحكام التحديث وسجل التغييرات موجود في قالب سياسة الخصوصية D-03.
عندما تصدر التعديلات بصيغتها النهائية
لا يحتاج المتجر إلى متابعة كل خبر، بل إلى مصدرين رسميين: موقع سدايا ومنصة استطلاع لمعرفة مسار المشروع، والجريدة الرسمية أم القرى لمعرفة ما اعتُمد ونُشر وموعد العمل به. وإلى أن يحدث ذلك، تبقى المسودة مادة للاطلاع والمشاركة بالمرئيات لا أساساً لتعديل السياسة. وإذا أردت أن يصل صوت متجرك، فالمنصة نفسها تتيح إبداء المرئيات على المشروع.
- عند النشر الرسمي، اقرأ النص المعتمد لا ملخصات الأخبار، وحدد الأحكام التي تمس الأقسام الثمانية في سياستك.
- أعد خطوات المراجعة السابقة على الأقسام المتأثرة فقط، مقابل النص الجديد، وسجّل ذلك في سجل المراجعة مع تاريخ النشر الرسمي.
- راجع مع السياسة الوثائق المرتبطة بها: اتفاقيات معالجة البيانات مع المزودين، وإشعار ملفات الارتباط، وشروط المتجر، حتى لا تقول وثيقة شيئاً تخالفه أخرى.
- انشر النسخة المحدثة قبل موعد العمل بالتعديلات إن أمكن، وحدّث تاريخ آخر تحديث وسجل التحديثات المنشور.
قالب سياسة الخصوصية D-03 في صيغتي معتمد من محامٍ سعودي مرخص ويُحدَّث مع تغير الأنظمة، فإذا صدرت التعديلات بصيغتها النهائية تجد النسخة المحدثة منه بالعربية والإنجليزية بدل أن تعيد الصياغة بنفسك. ومعه قالب اتفاقية معالجة البيانات I-04 للعقد مع كل مزود يعالج بيانات عملائك لحسابك.
الأسئلة الشائعة
هل أصبحت تعديلات اللائحة التنفيذية لنظام حماية البيانات الشخصية نافذة؟
لا. ما طُرح في منصة استطلاع مشروع تعديلات لإبداء المرئيات، والمرجع اليوم هو النظام وتعديلاته واللائحة التنفيذية بنصها الحالي حتى تُعتمد أي تعديلات وتُنشر رسمياً.
هل أعدّل سياسة خصوصية متجري الآن لتطابق المسودة؟
لا تبنِ سياستك على مسودة قد تتغير. راجعها الآن مقابل النص الساري، وسجّل تاريخ المراجعة، وجهّز طريقة تحديث سريعة تطبقها عند صدور الصيغة النهائية.
ما الفرق بين هذا الدليل ودليل سياسة الخصوصية المتوافقة مع النظام لمتجرك؟
ذلك الدليل يشرح ما تكتبه في السياسة من البداية، وهذا الدليل يشرح كيف تراجع سياسة منشورة قسماً قسماً، وكيف توثق المراجعة وتعيد النشر عند تغيّر اللائحة.
هل تكفي سياسة الخصوصية وحدها مع مزودي الدفع والشحن والاستضافة؟
السياسة تخبر العميل بمن تشارك بياناته، لكن علاقتك بكل مزود يعالج البيانات لحسابك تحتاج عقداً معه يضبط التزاماته، وهو ما يغطيه قالب اتفاقية معالجة البيانات I-04.
كم مرة أراجع سياسة الخصوصية؟
يوجّه الدليل الاسترشادي الصادر عن سدايا إلى المراجعة الدورية دون أن نحدد هنا مدة بعينها. والعملي أن تحدد موعداً ثابتاً في تقويم الامتثال، وأن تراجع أيضاً عند إضافة مزود أو ميزة تجمع بيانات أو عند نشر تعديل نظامي.
أُعدّ هذا الدليل وروجِع من قبل محامٍ مرخص في المملكة. المحتوى معلومات عامة استرشادية وليس استشارة قانونية، ويُنصح بمراجعة محامٍ مرخص لحالتك الخاصة. عند وجود نصين عربي وإنجليزي، يُعتد بالنص العربي.