موطن البيانات والسيادة

تلتزم ProBase Solutions بمنح عملائها في المملكة العربية السعودية ومنطقة الخليج وضوحاً تاماً حول مكان تخزين بياناتهم وكيفية معالجتها وحمايتها. تشرح هذه الوثيقة سياساتنا الخاصة بموطن البيانات (Data Residency) والسيادة عليها (Data Sovereignty)، وضوابط نقلها عبر الحدود، والتشفير، وفصل بيانات العملاء، وحق العميل الدائم في تصدير بياناته. نهدف من ذلك إلى تمكين عملائنا من الوفاء بالتزاماتهم التنظيمية، وفي مقدمتها متطلبات نظام حماية البيانات الشخصية (PDPL)الصادر عن الهيئة السعودية للبيانات والذكاء الاصطناعي (SDAIA).

أين تُخزَّن بيانات العملاء

نخزّن بيانات عملاء المملكة وننفّذ معالجتها الأساسية داخل مراكز بيانات سحابية واقعة جغرافياً داخل المملكة العربية السعودية، أو ضمن مناطق سحابية معتمدة تخدم المملكة، وذلك لدى مزوّدي بنية تحتية مرموقين يلتزمون بضوابط الحوكمة المحلية. تشمل البيانات المخزّنة محلياً ما يلي:

• بيانات حسابات العملاء وملفات المستخدمين وإعدادات المؤسسة.
• محتوى المحادثات والرسائل المتبادلة عبر قنوات مثل واتساب للأعمال.
• سجلات العملاء وجهات الاتصال وبيانات الحملات والتفاعلات التجارية.
• الوثائق والمرفقات التي يرفعها العميل ضمن المنصة.
• سجلات النشاط والتدقيق (Audit Logs) الخاصة بالمؤسسة.

نحدّد موطن التخزين الأساسي عند تهيئة حساب المؤسسة، ولا نغيّره دون إشعار مسبق وموافقة تعاقدية من العميل عند الاقتضاء.

الالتزام بمتطلبات الإقامة المحلية للبيانات الحساسة

ندرك أن قطاعات بعينها داخل المملكة، مثل الجهات الحكومية والخدمات المالية والصحية، تخضع لمتطلبات إقامة محلية صارمة للبيانات الحساسة. وعليه نوفّر التزامات تعاقدية تضمن بقاء فئات البيانات الحساسة داخل حدود المملكة. ويشمل ذلك:

• إبقاء البيانات الشخصية الحساسة المعرّفة وفق PDPL ضمن نطاق التخزين المحلي.
• مواءمة ممارساتنا مع ضوابط SDAIA وضوابط الحوسبة السحابية الوطنية ذات الصلة.
• دعم متطلبات حفظ البيانات المرتبطة بالفوترة الإلكترونية لدى الهيئة العامة للزكاة والضريبة (ZATCA) حين تكون المنصة جزءاً من سير عمل الفوترة.
• تقديم خيارات نشر مخصّصة للعملاء من القطاعات المنظَّمة بناءً على متطلباتهم الرقابية.

لا نقدّم في هذه الوثيقة استشارة قانونية؛ ونوصي عملاءنا في القطاعات المنظَّمة بالتنسيق مع مستشاريهم النظاميين لتحديد فئات البيانات الخاضعة لمتطلبات الإقامة المحلية.

السيادة على البيانات

السيادة على البيانات تعني خضوع بيانات العميل للأنظمة والولاية القضائية للمملكة العربية السعودية، وبقاء التحكّم الفعلي بها في يد العميل بصفته المتحكّم في البيانات (Data Controller)، بينما نعمل نحن بصفتنا معالجاً للبيانات (Data Processor) بناءً على تعليماته الموثّقة. نلتزم في هذا الإطار بما يلي:

• عدم استخدام بيانات العميل لأي غرض خارج نطاق تقديم الخدمة المتعاقد عليها.
• عدم بيع بيانات العملاء أو مشاركتها مع أطراف إعلانية أو وسطاء بيانات.
• عدم استخدام محتوى العملاء لتدريب نماذج ذكاء اصطناعي عامة دون موافقة صريحة ومنفصلة.
• الإفصاح للعميل عند تلقّي أي طلب نظامي ملزم بالوصول إلى بياناته، في الحدود التي يجيزها النظام.

نقل البيانات عبر الحدود وضوابطه

قد تتطلب بعض الوظائف التشغيلية، مثل الدعم الفني أو خدمات طرف ثالث متكاملة، معالجة محدودة خارج المملكة. لا يتم أي نقل للبيانات عبر الحدود إلا ضمن ضوابط مشدّدة ومتوافقة مع PDPLولوائحه التنفيذية الخاصة بالنقل خارج المملكة. وتشمل هذه الضوابط:

• اقتصار النقل على ما هو ضروري لأداء الخدمة، وبأقل قدر ممكن من البيانات.
• إبرام اتفاقيات معالجة بيانات (DPA) مع كل معالج فرعي تتضمن بنوداً تعاقدية قياسية للحماية.
• التحقّق من توافر مستوى حماية ملائم في الجهة المستقبلة قبل أي نقل.
• إمكانية تقييد النقل عبر الحدود تماماً للعملاء الذين يطلبون نشراً محصوراً داخل المملكة.
• توثيق عمليات النقل وإتاحة سجلاتها للعميل عند الطلب لأغراض التدقيق.

المعالجون الفرعيون

نستعين بعدد محدود من المعالجين الفرعيين الموثوقين لتقديم خدمات مثل استضافة البنية التحتية، وتسليم الرسائل، والمراقبة. نطبّق عليهم جميعاً ما يلي:

• عملية تقييم أمني ونظامي قبل الاعتماد، ومراجعات دورية بعده.
• التزامات تعاقدية بمستوى حماية لا يقلّ عمّا نلتزم به تجاه عملائنا.
• الإفصاح عن قائمة المعالجين الفرعيين الجوهريين وإشعار العملاء بأي تغييرات مادية عليها.

التشفير أثناء النقل والتخزين

نطبّق التشفير كطبقة دفاع أساسية في جميع مراحل دورة حياة البيانات:

• أثناء النقل: تُشفَّر جميع الاتصالات بين المستخدم والمنصة وبين خدماتنا الداخلية باستخدام بروتوكول TLS بإصداراته الحديثة.
• أثناء التخزين: تُشفَّر البيانات المخزّنة باستخدام خوارزميات قوية مثل AES-256.
• إدارة المفاتيح: نعتمد على خدمات إدارة مفاتيح آمنة مع تدوير دوري للمفاتيح وصلاحيات وصول مقيّدة.
• النسخ الاحتياطية: تُشفَّر النسخ الاحتياطية بدورها وتُحفظ ضمن النطاق الجغرافي المتفق عليه.

فصل بيانات العملاء

نعتمد بنية متعددة المستأجرين (Multi-Tenant) مع فصل منطقي صارم يضمن عزل بيانات كل عميل عن غيره. تشمل آليات الفصل:

• تخصيص معرّف مؤسسة فريد لكل عميل يُستخدم لعزل بياناته على مستوى التطبيق وقاعدة البيانات.
• ضوابط وصول تمنع أي تسرّب للبيانات بين مستأجرين مختلفين.
• توفّر خيارات نشر مخصّصة أو معزولة منطقياً للعملاء من المؤسسات الكبرى عند الحاجة.
• اختبارات دورية للتحقّق من سلامة حدود العزل بين المستأجرين.

ضوابط الوصول والحوكمة الداخلية

نقيّد وصول موظفينا إلى بيانات العملاء وفق مبدأ الحد الأدنى من الصلاحيات (Least Privilege)، مع تطبيق ما يلي:

• منح الوصول حسب الحاجة التشغيلية فقط، ومراجعته دورياً.
• تفعيل المصادقة متعددة العوامل (MFA) للوصول إلى الأنظمة الحسّاسة.
• تسجيل عمليات الوصول ضمن سجلات تدقيق قابلة للمراجعة.
• تدريب الفريق بانتظام على ممارسات حماية البيانات والخصوصية.

الاحتفاظ بالبيانات وحذفها

نحتفظ ببيانات العميل طوال مدة سريان الاشتراك، ووفق المدد التي يحددها العميل أو يفرضها النظام. عند انتهاء العلاقة التعاقدية:

• نتيح للعميل فترة سماح لتصدير بياناته قبل أي حذف.
• نحذف بيانات العميل أو نُجهّلها بشكل آمن وفق سياسة الاحتفاظ المتفق عليها.
• نراعي أي التزامات حفظ نظامية، مثل سجلات الفوترة المرتبطة بمتطلبات ZATCA.

حق العميل في تصدير بياناته

يملك العميل حق الوصول إلى بياناته وتصديرها في أي وقت طوال مدة الاشتراك، تجسيداً لمبدأ قابلية نقل البيانات (Data Portability). نوفّر ذلك من خلال:

• أدوات تصدير ذاتية تتيح استخراج البيانات بصيغ قياسية مفتوحة مثل CSV وJSON.
• واجهات برمجية (APIs) تمكّن من سحب البيانات برمجياً ودمجها مع أنظمة العميل الأخرى.
• دعم من فريقنا لتصدير الحزم الكبيرة من البيانات عند الطلب.
• عدم احتجاز بيانات العميل أو فرض قيود تقنية تمنع نقلها إلى مزوّد آخر.

التدقيق والامتثال

نتبنّى منهجية أمنية وحوكمية متوافقة مع ممارسات ومعايير معترف بها دولياً مثل ISO 27001 ومبادئ SOC 2، دون أن يُفهم ذلك على أنه إقرار بحصولنا على شهادة بعينها ما لم يُذكر صراحةً في وثيقة منفصلة. نلتزم بمواءمة ضوابطنا مع PDPL وأطر SDAIA ذات الصلة، ونجري مراجعات دورية لضوابطنا الأمنية. ويمكن للعملاء من المؤسسات طلب معلومات إضافية حول وضعنا الأمني عبر التواصل معنا.

التواصل معنا

لأي استفسار يتعلق بموطن البيانات أو السيادة عليها أو طلبات التصدير أو متطلبات الإقامة المحلية، يُرجى مراسلتنا على البريد info@probasesolutions.com. نلتزم بالرد على الاستفسارات الجوهرية ضمن آجال معقولة ووفق التزاماتنا التعاقدية والنظامية.