قبل ما تطلق SaaS في السعودية والخليج: قائمة امتثال أساسية تسألها مبكراً

أول سؤال يطرحه عميل مؤسسي جاد مو «كم السعر؟» — غالباً «وين تُخزَّن بياناتنا؟». وأول سؤال يطرحه محاسبه: «الفواتير متوافقة؟». لو ما عندك جواب واضح، الصفقة تتأخر أو تروح. هذي المقالة مو استشارة قانونية، هي قائمة أسئلة توعوية تطرحها مبكراً، ثم ترجع فيها للمصادر الرسمية والمختصين.

١. إقامة البيانات: أين تعيش بيانات عملائك؟

مفهوم «إقامة البيانات» يعني الموقع الجغرافي للخوادم اللي تخزن البيانات. بعض القطاعات والجهات في المنطقة لها متطلبات بخصوص تخزين أنواع معينة من البيانات داخل الدولة أو في مواقع محددة. قبل ما تختار الاستضافة، اعرف من هم عملاؤك المستهدفون، وهل قطاعاتهم لها اشتراطات، واختر مزوداً سحابياً يوفّر مناطق تناسبهم.

• وثّق مكان تخزين قاعدة البيانات، والنسخ الاحتياطية، والملفات المرفوعة — كلها، مو قاعدة البيانات فقط.
• انتبه للخدمات الخارجية: إرسال الإيميل، الذكاء الاصطناعي، أدوات التحليل — كل واحدة ممكن تنقل بيانات لمكان آخر.
• جهّز صفحة أو مستنداً يجاوب هذا السؤال للعملاء بوضوح.

٢. حماية البيانات الشخصية

في السعودية يوجد نظام لحماية البيانات الشخصية، ودول خليجية أخرى لها أنظمة مشابهة. تفاصيلها وتطبيقها على حالتك يحتاج مراجعة المصدر الرسمي أو مختص. لكن على مستوى المنتج، فيه ممارسات أساسية ما تختلف عليها:

• اجمع فقط البيانات اللي تحتاجها فعلاً.
• صلاحيات دقيقة: الموظف يشوف ما يخصه فقط.
• سجل تدقيق يوضح من اطلع على ماذا ومتى، خصوصاً في الأنظمة الحساسة.
• آلية لتصدير بيانات العميل أو حذفها عند طلبه أو عند انتهاء الاشتراك.
• تشفير الاتصال والبيانات الحساسة، ونسخ احتياطي مجرَّب.

٣. الفوترة الإلكترونية وهيئة الزكاة (ZATCA)

هنا جانبان يختلطان على كثيرين. الأول: فواتيرك أنت لمشتركيك، لو كنت منشأة خاضعة في السعودية فهي تخضع لمتطلبات الفوترة الإلكترونية. الثاني: لو كان نظامك نفسه يُصدر فواتير لعملائه (نظام مبيعات، عيادات، مطاعم)، فعملاؤك سيسألون عن توافقه مع متطلبات الهيئة. المتطلبات تُطبَّق على مراحل وتفاصيلها التقنية تُحدَّث، لذلك ارجع لبوابة الهيئة الرسمية بدل الاعتماد على مقالات قديمة.

٤. الشروط والسياسات

• شروط استخدام توضح حدود الخدمة، والدفع، والإلغاء، والاسترداد.
• سياسة خصوصية حقيقية تصف ما تجمعه فعلاً، مو نصاً منسوخاً.
• اتفاقية معالجة بيانات أو ملحق للعملاء المؤسسيين عند الحاجة.
• توضيح ماذا يحدث للبيانات بعد انتهاء الاشتراك وخلال كم مدة.

٥. متى ترجع للمختص؟

لو نظامك يتعامل مع بيانات صحية، أو مالية، أو بيانات أطفال، أو يستهدف جهات حكومية، أو يخدم عدة دول بقوانين مختلفة — هنا الاستشارة القانونية مو رفاهية. تكلفتها أقل بكثير من إعادة بناء أجزاء من النظام بعد الإطلاق.

جهّز «ملف الثقة» قبل ما يطلبه العميل

العملاء المؤسسيون يرسلون غالباً استبياناً أمنياً أو قائمة أسئلة قبل التعاقد. بدل ما تجاوب كل مرة من الصفر، جهّز مستنداً واحداً محدّثاً يغطي الأسئلة المتكررة بصدق:

• مزود الاستضافة ومنطقة تخزين البيانات والنسخ الاحتياطية.
• كيف تُشفَّر البيانات أثناء النقل وأثناء التخزين.
• من داخل فريقك يقدر يصل لبيانات العملاء، وبأي ضوابط.
• سياسة النسخ الاحتياطي وخطة التعافي عند الأعطال.
• الخدمات الخارجية اللي تعالج بيانات العملاء وما دور كل واحدة.
• آلية الإبلاغ عن الحوادث الأمنية للعملاء المتأثرين.
• كيف يصدّر العميل بياناته أو يطلب حذفها.

القاعدة الذهبية هنا: لا تكتب شيئاً ما تطبقه فعلاً. وعود مثل «أعلى معايير الأمان» بدون تفاصيل ما تقنع أحداً، والوعود المبالغ فيها ممكن ترتد عليك تعاقدياً لو صار أي حادث. الوضوح في حدودك أفضل من الادعاء. وكلما كان نظامك مبنياً على هذي الأساسات من البداية، صار تجهيز الملف مسألة توثيق، مو مشروع إعادة بناء.

وتذكّر إن الأنظمة والمتطلبات تتحدث باستمرار، فاللي كان صحيحاً عند إطلاقك قد يتغير بعد فترة. عيّن مراجعة دورية لهذي القائمة، وتابع البوابات الرسمية للجهات المعنية بدل الاعتماد على ما يتداوله الناس في المجموعات. الامتثال مو خانة تُعلَّم مرة وتنتهي، هو عادة تشغيلية مثل النسخ الاحتياطي والتحديثات.

منصة أزهل الرقمية جهة تقنية لا تقدّم استشارات قانونية، لكننا نبني الأساسات التقنية اللي تسهّل الامتثال: اختيار موقع الاستضافة، الصلاحيات، سجلات التدقيق، والتصدير والحذف. تواصل على واتساب لو تبي تناقش بنية نظامك قبل الإطلاق.