نظام حماية البيانات الشخصية PDPL واختيار استضافة ERP في السعوديةالأسئلة التي يجب حسمها قبل التعاقد على استضافة أودو أو NetSuite: أين البيانات، ومن يصل إليها، وما ضوابط نقلها خارج المملكة
يحتفظ نظام ERP بأسماء الموظفين والعملاء، وأرقام التواصل والهويات والعناوين والرواتب، وأحياناً بمعلومات أكثر حساسية. لذلك لا يكفي أن يسأل فريق المشتريات «أين الخادم؟» عند اختيار استضافة النظام. تحت نظام حماية البيانات الشخصية السعودي PDPL، يجب أن تفهم المنشأة البيانات التي يعالجها النظام، ومن يتحكم فيها، وأين تصل النسخ الاحتياطية وسجلات الدعم، وما الأساس والضمانات لأي نقل خارج المملكة.
هذا المقال دليل عملي لفريق التقنية والمالية والمشتريات، وليس رأياً قانونياً؛ النصوص السارية لدى الهيئة السعودية للبيانات والذكاء الاصطناعي (سدايا) ووضع كل جهة وقطاع هما المرجع النهائي، ويجب مراجعة أي قرار تعاقدي مع المستشار القانوني للمنشأة. نص النظام لدى سدايا · لائحة نقل البيانات خارج المملكة.
الامتثال لنظام حماية البيانات الشخصية PDPL يبدأ من معرفة أين تعيش بيانات الأفراد داخل ERP وخارجه
ما البيانات الشخصية داخل نظام ERP؟
يعرّف النظام البيانات الشخصية بأنها كل بيان يؤدي إلى معرفة الفرد على وجه التحديد، أو يجعل التعرف عليه ممكناً بصورة مباشرة أو غير مباشرة. داخل ERP قد تشمل هذه البيانات: سجل الموظف كاملاً (الهوية، الراتب، الحساب البنكي، المؤهلات)، وبيانات العميل الفرد، وأرقام الهواتف والحسابات، وسجل المبيعات المرتبط بشخص، والمرفقات وتذاكر الدعم، وحتى سجلات الوصول التي تبين من فعل ماذا ومتى.
أما بيانات المنتجات أو الكيانات الاعتبارية البحتة (اسم شركة، سجل تجاري) فلا تُعامل تلقائياً بالطريقة نفسها؛ افحص إن كانت ترتبط بشخص طبيعي، كجهة الاتصال لدى العميل أو المالك الفرد. ويصنف النظام بعض البيانات على أنها حساسة (مثل البيانات الصحية والائتمانية والبيومترية) وتخضع لمتطلبات أشد، وقد يحتفظ نظام الموارد البشرية في ERP ببعضها.
| الوحدة في ERP | أمثلة على البيانات الشخصية | ما يستحق الانتباه |
|---|---|---|
| الموارد البشرية والرواتب | الهوية، الراتب، الحساب البنكي، الإجازات المرضية | قد تشمل بيانات حساسة؛ حدد الوصول بدقة |
| المبيعات وإدارة العملاء | أسماء الأفراد، الهواتف، العناوين، سجل الشراء | الغرض والمدة والتسويق المباشر |
| المحاسبة | بيانات الموردين الأفراد، الفواتير باسم شخص | مدد الاحتفاظ النظامية للمستندات المالية |
| الدعم والمرفقات | صور الهوية، العقود، المراسلات | غالباً منسية عند تقييم النسخ الاحتياطية |
| سجلات النظام | أسماء المستخدمين، عناوين IP، أوقات الدخول | قد تُخزَّن في موقع مختلف عن قاعدة البيانات |
من جهة التحكم ومن جهة المعالجة؟
غالباً تكون المنشأة هي جهة التحكم لأنها تحدد أغراض المعالجة وطريقتها، بينما يقدم مزود ERP أو مزود الاستضافة خدمات معالجة وفق العقد وتعليمات المنشأة. لكن الأدوار قد تختلف بحسب الخدمة وتدفق البيانات؛ فمزود يحلل بيانات العملاء لأغراضه الخاصة يتجاوز دور المعالج. لا تعتمد على تسمية تجارية في العقد وحدها، بل على ما يحدث فعلياً بالبيانات.
وثّق لكل نظام: غرض المعالجة، وفئات البيانات، وأطراف الوصول، ومدة الاحتفاظ، ومسار الحذف والنسخ الاحتياطية. تفرض اللائحة التنفيذية على جهة التحكم التزامات محددة تجاه المعالجين، منها اختيارهم بعناية والتعاقد معهم كتابياً بشروط تضمن حماية البيانات. اللائحة التنفيذية.
هل يشترط PDPL بقاء كل بيانات ERP داخل المملكة؟
لا يصح اختزال النظام في شرط عام يقول إن جميع بيانات ERP يجب أن تبقى داخل المملكة. ما ينظمه النظام ولائحته هو نقل البيانات الشخصية خارج المملكة أو الإفصاح عنها لجهة خارجها؛ فيحدد أغراضاً مشروعة للنقل، وشروطاً منها ألا يؤثر النقل على الأمن الوطني أو المصالح الحيوية، ووجود مستوى حماية مناسب في الدولة المستقبلة أو ضمانات بديلة، وتقييم مخاطر بحسب الحالة. وفي المقابل قد تخضع جهة أو نوع بيانات لمتطلبات قطاعية أكثر تحديداً (القطاع المالي، الصحي، الجهات الحكومية) تشترط الاستضافة المحلية صراحة.
السؤال الصحيح إذاً ليس «أين الخادم؟» بل: ما البيانات الشخصية التي ستُنقل أو يُتاح الوصول إليها من الخارج، ولماذا، وإلى من، وبأي أساس وضمان؟ المادة 29 من النظام · لائحة نقل البيانات.
ضوابط نقل البيانات خارج السعودية
تنظم اللائحة حالات النقل، ومنها العمليات التشغيلية المركزية لمجموعة شركات، وتنفيذ التزام تعاقدي مع صاحب البيانات، وتقديم خدمة له. وتحدد أدوات ضمان مثل البنود التعاقدية القياسية والقواعد الملزمة المشتركة داخل المجموعة، إضافة إلى تقييم أثر النقل حين يلزم. الحد الأدنى لتقييم أي استضافة خارجية: اذكر في مصفوفة واحدة الحقل، والغرض، والدولة، والجهة المستقبلة، والأساس، وأداة الضمان.
الاستضافة داخل السعودية
قد تبسط بعض اعتبارات موقع تخزين البيانات، لكنها لا تعني الامتثال تلقائياً. ما زلت تحتاج إلى ضبط الصلاحيات، وتشفير البيانات، ومدد احتفاظ محددة، وإدارة المزودين، ومراجعة إمكان وصول فريق دعم خارجي أو تخزين النسخ أو السجلات خارج المملكة. مركز بيانات سعودي مع فريق دعم يعمل من الخارج بصلاحيات كاملة يعني عملياً وصولاً من الخارج.
الاستضافة السحابية خارج السعودية
تحتاج إلى تحديد فئات البيانات الشخصية ومسار النقل ومسوغه وضماناته، وتقييم أي متطلبات قطاعية تنطبق. تحقق من مواقع النسخ الاحتياطية ومواقع التعافي من الكوارث، ومعالجي الباطن (مزود السحابة تحت مزود ERP)، والدعم العابر للحدود. كثير من منصات ERP السحابية توفر خيار اختيار المنطقة الجغرافية؛ اسأل هل يشمل ذلك النسخ والسجلات وأدوات التحليل أيضاً.
استضافة مختلطة أو ربط أنظمة متعددة
قد تبقى قاعدة ERP في موقع، بينما تصل البيانات الشخصية إلى نظام موارد بشرية سحابي أو CRM أو مركز اتصال في موقع آخر. ارسم حركة البيانات بين الخدمات، لا مكان خادم ERP الرئيسي وحده. يفيد مخطط تدفق بسيط لكل تكامل: مصدر البيانات، الغرض، المستلم، الموقع، مدة الاحتفاظ، وصاحب القرار.
الحوكمة والأمن السيبراني ونظام حماية البيانات الشخصية ثلاثة أبعاد لقرار استضافة ERP واحد
سبعة أسئلة تطرحها على مزود ERP قبل التعاقد
- أين قاعدة الإنتاج والنسخ الاحتياطية وسجلات النظام؟ وهل تختلف مناطقها الجغرافية؟
- من يستطيع الوصول إلى البيانات من فريق المزود أو المتعاقدين معه، ومن أي بلد، وبأي صلاحية؟
- هل يمكن ضبط الصلاحيات وتسجيل كل وصول وتصدير سجل التدقيق عند الطلب؟
- من هم معالجو الباطن (مزود السحابة، خدمات المراقبة، الدعم)، وكيف تُبلَّغ المنشأة بتغييرهم؟
- ما إجراءات الحوادث وإشعار المنشأة عند تسرب، وكيف تُختبر الاستعادة من النسخ؟
- كيف تُستخرج البيانات وتُحذف عند انتهاء العقد، وماذا يحدث للنسخ الاحتياطية بعده؟
- ما آلية دعم حقوق أصحاب البيانات (الاطلاع، التصحيح، الحذف)، وتقييم مخاطر النقل متى انطبق؟
كيف تنطبق هذه الأسئلة على أودو وNetSuite؟
في أودو تتنوع خيارات الاستضافة بين Odoo Online وOdoo.sh وخادم خاص داخل المملكة؛ الخياران الأولان يعنيان معالجة لدى أودو ومزود سحابتها بمناطق جغرافية محددة، بينما يمنحك الخادم الخاص السيطرة الكاملة على الموقع مقابل مسؤولية الأمن والنسخ والتحديث. أما Oracle NetSuite فهو خدمة سحابية بالكامل تديرها أوراكل في مراكز بيانات محددة، فتنتقل الأسئلة إلى شروط الخدمة ومنطقة البيانات وضمانات النقل التعاقدية.
في الحالتين، الجواب الجاهز «النظام متوافق مع نظام حماية البيانات الشخصية» غير كافٍ؛ التوافق صفة لمعالجة محددة في منشأة محددة، لا صفة لمنتج. اطلب من الشريك تعبئة مصفوفة النقل السابقة لبياناتك أنت.
مسؤوليات المنشأة بعد تشغيل النظام
الامتثال لنظام حماية البيانات الشخصية ليس بنداً في عقد الاستضافة ينتهي بالتوقيع. تحتاج المنشأة إلى ضبط صلاحيات موظفيها (من يرى الرواتب؟ من يصدّر قائمة العملاء؟)، وإجراءات إدخال وحذف البيانات، ومراجعة التقارير الحساسة، وتدريب الفرق، ومتابعة الموردين والنسخ والتكاملات الجديدة. وعند إضافة وحدة موارد بشرية أو متجر إلكتروني أو أداة ذكاء اصطناعي تقرأ بيانات النظام، يُعاد تقييم تدفق البيانات ومخاطره من جديد.
هل توجد عقوبات على مخالفة النظام؟
نعم؛ يتضمن نظام حماية البيانات الشخصية أحكاماً للمخالفات تشمل الإنذار والغرامات المالية، وتصل في حالات الإفصاح عن البيانات الحساسة بقصد الإضرار إلى عقوبات أشد. لكن ذكر رقم واحد منزوعاً من سياقه يضلل القارئ، لأن العقوبة ترتبط بنوع المخالفة وجسامتها وتكرارها والجهة المختصة بإيقاعها. نحيلك إلى باب العقوبات في نص النظام لمعرفة الأحكام السارية، ونؤكد أن الدافع الصحيح للامتثال هو حماية عملائك وموظفيك، لا الخوف من الغرامة.
جرد البيانات الشخصية داخل ERP والتكاملات هو الخطوة الأولى لأي تقييم امتثال لنظام حماية البيانات الشخصية
كيف يساعد تقييم تقني وحوكمي؟
يمكن البدء بجرد البيانات والأنظمة، وتصنيف الوصول، ورسم مسارات النقل والنسخ، ثم مقارنة الضوابط المطلوبة بالوضع الحالي ووضع خطة علاج بأولويات. تقدم كريفي سوفت خدمات الحوكمة والأمن السيبراني والامتثال GRC وتنفيذ أنظمة ERP، ويمكن تنسيق مراجعة التقنية والتعاقد مع المسؤول القانوني لدى المنشأة، بحيث يخرج قرار الاستضافة موثقاً بمسوغاته لا مبنياً على افتراض.
تختار استضافة ERP وتريد قراراً موثقاً وفق PDPL؟
أرسل لنا وصفاً للنظام الحالي أو المرشح ومواقع الاستضافة والتكاملات، ونعود إليك بجرد أولي للبيانات الشخصية ومصفوفة النقل والأسئلة التي يجب حسمها مع المزود.
أسئلة شائعة عن PDPL واستضافة ERP
هل مجرد استضافة ERP في السعودية تكفي للامتثال؟
لا. افحص الصلاحيات، والاستخدام، والمعالجين، ووصول الدعم، والنسخ، ومدة الاحتفاظ، وحقوق الأفراد؛ الموقع أحد العناصر لا كلها.
هل يمنع النظام كل نقل بيانات خارج المملكة؟
لا توجد قاعدة عامة بهذه الصياغة؛ النقل يخضع لأحكام وشروط وضمانات النظام ولائحته، مع مراعاة قواعد القطاع. لائحة النقل.
هل بيانات الموظفين مشمولة؟
نعم، متى كانت تُعرّف بأفراد؛ وينبغي فحص حساسية بعض الحقول (الصحية والائتمانية) ونطاق الوصول إليها.
هل يشمل التقييم النسخ الاحتياطية؟
نعم، لأنها تحتوي البيانات نفسها وقد توجد في موقع أو لدى طرف مختلف عن قاعدة الإنتاج.
ماذا عن وصول فريق الدعم من الخارج؟
افحص طبيعة الوصول والبيانات المعروضة ومسار المعالجة والنقل مع الفريق القانوني والتقني؛ لا تنظر إلى موقع الخادم فقط.
هل كل شركة تحتاج مسؤول حماية بيانات معيناً؟
تختلف الحاجة بحسب معايير اللائحة (كالجهات العامة أو المعالجة على نطاق واسع للبيانات الحساسة)؛ راجع البوابة الوطنية لحوكمة البيانات لمعرفة مدى الإلزام.
أين أبدأ؟
بجرد بيانات الأشخاص في ERP والتكاملات والنسخ والأطراف، ثم مراجعة العقد والضوابط. تواصل مع كريفي سوفت.
خلاصة
نظام حماية البيانات الشخصية PDPL لا يفرض على كل منشأة استضافة ERP داخل المملكة، لكنه يفرض عليها أن تعرف بدقة أي بيانات شخصية تعالج، ومن يصل إليها، وأين تنتقل، وبأي ضمان. قرار الاستضافة الجيد هو الذي يخرج من مصفوفة نقل موثقة وأسئلة محسومة مع المزود، ويُراجع مع المستشار القانوني قبل التوقيع. راجع أيضاً سياسة الخصوصية لدى كريفي سوفت كمثال على توثيق المعالجة.
