# نظام حماية البيانات الشخصية ووكيل الذكاء الاصطناعي في وكالة السيارات: من المسؤول عن ماذا.

**الثقة · نظام حماية البيانات الشخصية**

تستطيع وكالة السيارات في المملكة تشغيل وكيل ذكاء اصطناعي وفق نظام حماية البيانات الشخصية إذا توفرت أربعة أمور: أساس نظامي لكل غرض، واتفاقية مكتوبة مع مزود الذكاء الاصطناعي بصفته معالجاً، وقرار موثق بشأن أي نقل للبيانات خارج المملكة، وآلية لإبلاغ سدايا عن أي تسرب خلال 72 ساعة. الوكالة هي جهة التحكم وهي صاحبة القرار، وعلى المزود أن يعطيها ما تحتاجه لاتخاذه. يخزّن Salesteq البيانات في فنلندا داخل الاتحاد الأوروبي، لا داخل المملكة، وتوضح هذه الصفحة ما يعنيه ذلك بالتحديد وما نقدمه.

**72 ساعة** لإبلاغ سدايا عن التسرب الواجب الإبلاغ عنه، عبر منصة حوكمة البيانات الوطنية

**30 يوماً** للرد على طلب صاحب البيانات، قابلة للتمديد 30 يوماً في حالات محددة

فنلندا

موقع خوادم Salesteq وتخزين البيانات، داخل الاتحاد الأوروبي

**4** نماذج للبنود التعاقدية القياسية الصادرة عن سدايا، منها نموذج من جهة التحكم إلى المعالج

## من جهة التحكم ومن المعالج

الوكالة أو الوكيل العام يحدد لماذا وكيف تُستخدم بيانات العملاء، فهو جهة التحكم. ومزود الذكاء الاصطناعي يعالج البيانات بتعليمات الوكالة، فهو المعالج. وتبقى جهة التحكم مسؤولة عن التحقق من التزام معالجها.

ويمتد النظام إلى المعالجة خارج المملكة: فهو يشمل البيانات الشخصية للمقيمين في المملكة التي تعالجها أي جهة خارجها. والمعالج الذي يتجاوز تعليمات جهة التحكم يُعامل معاملة جهة التحكم ويُسأل مباشرة.

## الأساس النظامي والموافقة

- الموافقة هي الأساس الرئيسي. يجب أن تكون حرة، لأغراض واضحة ومحددة، منفصلة لكل غرض، وموثقة. ويحق لصاحب البيانات الرجوع عنها.
- تلزم موافقة صريحة للبيانات الحساسة والبيانات الائتمانية والقرارات المبنية كلياً على معالجة آلية.
- المصلحة المشروعة متاحة بشروط: تجري جهة التحكم تقييماً للمصلحة المشروعة، ولا يجوز أن تطغى على حقوق العميل، ولا تُستخدم للبيانات الحساسة.
- التسويق المباشر يحتاج موافقة وطريقة سهلة لإلغاء الاشتراك في أي وقت.
- عملياً للوكالة: الرد على عميل بدأ المحادثة غرض، والمتابعة والتسويق أغراض أخرى، لكل منها أساس نظامي مسجل.

## العقد مع مزود الذكاء الاصطناعي

- اتفاقية مكتوبة مع كل معالج، بالمحتوى الذي تشترطه اللائحة التنفيذية.
- يبلغ المعالج جهة التحكم بأي تسرب دون تأخير غير مبرر.
- المعالجون من الباطن يحتاجون موافقة مسبقة من جهة التحكم، ويسمّيهم المعالج.
- يؤكد المعالج أنه لا يخضع لأنظمة في دول أخرى تمنعه من الالتزام بالنظام.

## النقل خارج المملكة

تجيز المادة 29 من النظام نقل البيانات إلى خارج المملكة لأغراض محددة، بشرط ألا يمس الأمن الوطني أو المصالح الحيوية للمملكة، وأن يوفر المستلم مستوى ملائماً من الحماية، وأن يقتصر النقل على الحد الأدنى من البيانات اللازمة. وتفصّل لائحة نقل البيانات الشخصية خارج المملكة، الصادرة عن سدايا والمحدّثة في 2024، كيفية ذلك.

إذا لم يصدر تقييم بملاءمة الدولة، يمكن لجهة التحكم الاعتماد على ضمانات مناسبة: البنود التعاقدية القياسية الصادرة عن سدايا (أربعة نماذج، منها من جهة التحكم إلى المعالج)، أو القواعد المؤسسية الملزمة للنقل داخل المجموعة الواحدة، أو شهادة اعتماد لدى المستلم. وقبل الاعتماد على ضمان منها تُجري جهة التحكم السعودية تقييماً لمخاطر النقل يشمل الغرض وطبيعة النقل والضمانات ومستوى الحماية لدى المستلم وتقليل البيانات، وقد نشرت سدايا دليلاً لهذا التقييم في فبراير 2025. وحتى مراجعة King & Spalding في نوفمبر 2025، لم تنشر سدايا قائمة بالدول الملائمة.

وبعض القطاعات لها قواعد إضافية: البنوك تحتاج موافقة البنك المركزي السعودي، ولبيانات الاتصالات والجهات الحكومية قيود أخرى.

## الحقوق والتسرب والسجلات

- لصاحب البيانات أن يُبلَّغ بالأساس النظامي والغرض، وأن يصل إلى بياناته، وأن يحصل عليها بصيغة مقروءة وواضحة، وأن يطلب تصحيحها أو إكمالها أو تحديثها، وأن يطلب إتلافها حين لا تعود لازمة.
- يُرد على الطلبات خلال 30 يوماً، قابلة للتمديد 30 يوماً أخرى إذا تطلب الطلب جهداً غير معتاد أو تعددت الطلبات.
- التسرب الذي قد يسبب ضرراً يُبلَّغ إلى سدايا خلال 72 ساعة عبر منصة حوكمة البيانات الوطنية، وإلى العملاء المتأثرين دون تأخير غير مبرر.
- تحتفظ جهة التحكم بسجل لأنشطة المعالجة طوال مدة المعالجة وخمس سنوات بعدها، ويسجّل أغلب جهات التحكم الخاصة في منصة حوكمة البيانات الوطنية.
- تصل الغرامات في أغلب المخالفات إلى 5 ملايين ريال، ويجوز مضاعفتها عند التكرار.

## ما يقدمه Salesteq بالتحديد

| سؤال النظام | Salesteq اليوم |
| --- | --- |
| أين البيانات؟ | الخوادم وتخزين البيانات في فنلندا داخل الاتحاد الأوروبي. وتُرسل الإشعارات للعملاء من الاتحاد الأوروبي. لا استضافة داخل المملكة. |
| هل تخرج البيانات من المملكة؟ | نعم: استخدام Salesteq يعني معالجة بيانات العملاء في الاتحاد الأوروبي. وتعمل النماذج اللغوية وفق بنود تعاقدية قياسية. اطلب منا وثائق النقل التي يحتاجها مسؤول حماية البيانات لديك. |
| اتفاقية المعالجة | اتفاقية معالجة بيانات تُرفق بها التدابير التقنية والتنظيمية وقائمة المعالجين من الباطن، نقدمها قبل أول محادثة. والقنوات التي تضيف معالجاً، مثل Meta في واتساب، مسماة في تلك القائمة. |
| الأمن | تشفير أثناء النقل، ومفاتيح مشفرة أثناء التخزين، وعزل كل عميل في طبقة البيانات، ووصول لأشخاص مسمّين فقط، ونسخ احتياطي يومي. |
| التدريب على بياناتكم | لا يستخدم أي معالج من الباطن محتواكم لتدريب نماذجه، ولا تُستخدم محادثاتكم لتدريب نماذج أطراف ثالثة. |
| طلبات أصحاب البيانات | تُحال إليكم دون تأخير، ونسلّم المعلومات أو التصدير أو الحذف لذلك الشخص من النظام. |
| إشعار الخصوصية | نسلّم الفقرة الخاصة بإشعار الخصوصية لديكم: الغرض، والبيانات، والمستلمون، ومدة الحفظ، والحقوق. |
| مدة الحفظ | المحادثات والعملاء المحتملون اثنا عشر شهراً، والسجلات ثلاثون يوماً، والنسخ الاحتياطية ثلاثون يوماً بعدها كحد أقصى، والإعادة والحذف خلال ثلاثين يوماً من نهاية العقد. ويمكنكم تحديد مدد أخرى. |
| الرسائل التي يبدؤها الوكيل | لا يكتب الوكيل من تلقاء نفسه إلا لعملاء موافقتهم مسجلة، وبقوالب معتمدة. |
| الشهادات | لا نحمل أي شهادة. نُفصح عن التدابير. |

## قرار النقل لكم، والوثائق علينا

لأن Salesteq يخزّن البيانات في فنلندا، فإن الوكالة السعودية التي تستخدمه تنقل بيانات شخصية إلى خارج المملكة. ووفق النظام هذا قرار جهة التحكم: أي غرض، وأي ضمان، وتقييم المخاطر الذي يقوم عليه. لا نتخذ هذا القرار نيابة عنكم، ولا نقول لكم إنه محسوم.

ما نقدمه: أين تُخزَّن كل بيانات وأين تُعالج، وقائمة المعالجين من الباطن، وملحق التدابير الأمنية، ومدد الحفظ، ليكمل مسؤول حماية البيانات أو المستشار القانوني لديكم التقييم ويختار الضمان. وإذا اشترطت مجموعتكم أو الجهة التنظيمية الاستضافة داخل المملكة، فاطرحوا ذلك في أول اجتماع.

## أسئلة الوكالات عن نظام حماية البيانات الشخصية

### هل Salesteq متوافق مع نظام حماية البيانات الشخصية؟

الالتزام بالنظام مسؤولية الوكالة بصفتها جهة التحكم، والمزود يجعله ممكناً فقط. يعمل Salesteq معالجاً بموجب اتفاقية معالجة بيانات مكتوبة، ويحيل طلبات أصحاب البيانات، ويسمّي معالجيه من الباطن، ويقدم وثائق النقل. والبيانات مخزنة في فنلندا، فتوثّق الوكالة نقلاً إلى خارج المملكة.

### هل البيانات مستضافة في السعودية؟

لا. خوادم Salesteq وتخزين البيانات في فنلندا داخل الاتحاد الأوروبي. وإذا كانت الاستضافة داخل المملكة شرطاً لمجموعتكم، فاطرحوه في أول اجتماع.

### هل يجوز لوكالة سعودية إرسال بيانات العملاء إلى مزود ذكاء اصطناعي في الخارج؟

وفق المادة 29 من النظام ولائحة النقل الصادرة عن سدايا، يجوز النقل لأغراض محددة، مع حماية ملائمة أو ضمان مناسب مثل البنود التعاقدية القياسية الصادرة عن سدايا، وبالحد الأدنى من البيانات، مع تقييم للمخاطر قبل الاعتماد على الضمان. وجهة التحكم هي التي تتخذ هذا القرار وتوثّقه.

### ما المهلة للإبلاغ عن تسرب البيانات؟

خلال 72 ساعة من العلم به، إلى سدايا عبر منصة حوكمة البيانات الوطنية، وإلى العملاء المتأثرين دون تأخير غير مبرر. وينبغي أن تُلزم اتفاقية المعالجة مزود الذكاء الاصطناعي بإبلاغكم دون تأخير غير مبرر لتلتزموا بهذه المهلة.

### هل يحتاج الوكيل موافقة العميل ليرد عليه في واتساب؟

الرد على عميل بدأ المحادثة غرض مختلف عن التسويق. تسجّل الوكالة الأساس النظامي لكل غرض، والتسويق المباشر يحتاج موافقة وطريقة سهلة لإلغاء الاشتراك. ولا يبدأ وكيل Salesteq محادثة من تلقاء نفسه إلا مع عملاء موافقتهم مسجلة، وبقوالب معتمدة.

### هل يحمل Salesteq شهادة ISO 27001 أو غيرها؟

لا. لا نحمل أي شهادة. نُفصح عن تدابيرنا في ملحق اتفاقية معالجة البيانات.

**اقرأ أيضاً**

- [الثقة وحماية البيانات](https://salesteq.com/ar/trust)
- [وكلاء الذكاء الاصطناعي لوكالات السيارات في الخليج](https://salesteq.com/ar/gcc)
- [الذكاء الاصطناعي لوكالات السيارات في السعودية](https://salesteq.com/ar/ai-car-dealerships-saudi-arabia)
- [PDPL and AI agents (English)](https://salesteq.com/trust/pdpl)

**المصادر**

- سدايا، منصة حوكمة البيانات الوطنية: تسجيل جهات التحكم والإبلاغ عن التسرب: https://dgp.sdaia.gov.sa/wps/portal/pdp/home
- DLA Piper, Data Protection Laws of the World: Saudi Arabia: https://www.dlapiperdataprotection.com/index.html?c=SA&t=law
- King & Spalding, International personal data transfers under Saudi Arabia's data protection law (17 November 2025): https://www.kslaw.com/Insights/Articles/international-personal-data-transfers-under-saudi-arabias-data-protection-law
- Clyde & Co, Saudi Arabia issues Implementing Regulations to the PDPL: https://www.clydeco.com/en/insights/2023/09/saudi-arabia-issues-implementing-regulations
- Addleshaw Goddard, Impact of the Regulations on the Saudi PDPL (8 December 2023): https://www.addleshawgoddard.com/en/insights/insights-briefings/2023/data-protection/impact-regulations-saudi-personal-data-protection-law/
- Trowers & Hamlins, Personal Data Protection Law in Saudi Arabia (16 January 2024): https://www.trowers.com/insights/personal-data-protection-law-in-saudi-arabia
- Salesteq: الثقة وحماية البيانات: https://salesteq.com/ar/trust

---

Source: https://salesteq.com/ar/trust/pdpl  
جُمعت في نوفمبر 2026 من منصة حوكمة البيانات الوطنية التابعة لسدايا ومن ملخصات مكاتب محاماة للنظام ولائحته التنفيذية ولائحة النقل؛ المصادر أدناه. ليست استشارة قانونية. للتصحيح: viktor@salesteq.com