محتويات المقال
يجمع فريق المبيعات أرقام الجوال والبريد الإلكتروني وملاحظات عن أشخاص كل يوم عمل، وينتهي معظم ذلك في مكان واحد: نظام إدارة علاقات العملاء. لهذا أصبح نظام حماية البيانات الشخصية في السعودية مسؤولية فريق المبيعات والعمليات، لا الإدارة القانونية وحدها. فالنظام نافذ بالكامل منذ 14 سبتمبر 2024، والهيئة السعودية للبيانات والذكاء الاصطناعي (سدايا) هي الجهة المختصة بالإشراف على تطبيقه.
الخبر العملي أن النظام مكتوب بلغة واضحة، ومعظم التزاماته إجراءات تنظيمية بسيطة: أن تعرف ما لديك من بيانات العملاء، ولماذا تحتفظ بها، ومن يطّلع عليها، وأن تتحرك حين يطلب العميل إيقاف التواصل. نستعرض هنا المواد التي تمسّ نظام CRM مباشرة، مع أرقامها لتتمكن من مراجعة كل نقطة في النص الرسمي.
ما الذي يغيّره النظام في عمل فريق المبيعات؟
يسري النظام على أي معالجة لبيانات شخصية تتعلق بأفراد في المملكة، والمعالجة معرّفة في المادة الأولى تعريفاً واسعاً: الجمع والتسجيل والحفظ والفهرسة والتنظيم والاستخدام والإفصاح والنقل والنشر والمشاركة والربط والحجب والمحو والإتلاف. إدخال رقم جوال عميل محتمل في سجل صفقة هو معالجة، وكذلك تصدير قائمة إلى ملف جداول، أو إرسالها إلى وكالة تسويق.
هناك دورَان يحددان من يتحمل الالتزام. أنت «جهة التحكم» حين تقرر لماذا وكيف تُستخدم بيانات العملاء، أما المورد الذي يعالج البيانات بناءً على تعليماتك، مثل مزود الاستضافة أو مركز اتصال خارجي، فهو «جهة المعالجة». الالتزامات تقع على جهة التحكم، ولا ينقل العقد مع المورد المسؤولية عن منشأتك.
تُلزم المادة 12 جهة التحكم بإعداد سياسة خصوصية وإتاحتها لأصحاب البيانات قبل جمع بياناتهم، على أن تحدد الغرض من الجمع، والبيانات المطلوبة، ووسيلة الجمع والمعالجة والتخزين والإتلاف، وحقوق صاحب البيانات وكيفية استخدامها. إن كان نموذج التواصل في موقعكم بلا إشعار خصوصية، فهذه أول ثغرة تُغلق، ولا تستغرق أكثر من ساعات.
الموافقة: القاعدة التي تربك مستخدمي الأنظمة أكثر من غيرها
تضع المادة 5 الأصل العام: لا يجوز معالجة البيانات الشخصية ولا تغيير الغرض من معالجتها دون موافقة صاحب البيانات، ويحق له سحب موافقته في أي وقت. وتضيف المادة 7 أن الموافقة لا يصح أن تكون شرطاً لتقديم خدمة أو منفعة، إلا إذا كانت الخدمة مرتبطة ارتباطاً مباشراً بالمعالجة التي طُلبت الموافقة عليها.
وتحدد المادة 6 الحالات التي لا تُشترط فيها الموافقة، ومنها أن تكون المعالجة تنفيذاً لنظام آخر أو لاتفاقية يكون صاحب البيانات طرفاً فيها، أو أن تكون لازمة لتحقيق مصالح مشروعة لجهة التحكم دون أن تتضمن بيانات حساسة. خدمة عميل قائم بموجب عقد موقّع تدخل عادة في هذه الاستثناءات، أما العمل على قائمة أسماء باردة فلا.
وللتسويق قاعدة خاصة، وهي الأكثر مخالفة في الواقع. فبحسب المادة 25 لا يجوز استخدام وسائل الاتصال الشخصية بصاحب البيانات، ومنها البريد والبريد الإلكتروني، لإرسال مواد إعلانية إلا بالحصول على موافقته المسبقة، مع توفير آلية واضحة تتيح له طلب إيقاف استلامها. وتجيز المادة 26 معالجة البيانات الشخصية لأغراض التسويق إذا جُمعت من صاحب البيانات مباشرة وبموافقته، ولا تسري على البيانات الحساسة.
وهذا يعني ثلاثة أمور لقناة مبيعاتكم: القائمة المشتراة مشكلة، والقائمة المسحوبة من الإنترنت مشكلة، ورابط إلغاء الاشتراك ليس تحسيناً اختيارياً بل شرط من شروط مشروعية الإرسال.
حقوق العميل الخمسة التي يمكن أن يطالب بها
تمنح المادة 4 صاحب البيانات خمسة حقوق، وتُلزم المادة 21 جهة التحكم بالاستجابة لطلباته خلال المدة المحددة في اللائحة التنفيذية. كل حق منها يحتاج مسؤولاً بالاسم ومساراً داخل النظام، وإلا وصلت الطلبات بالبريد ثم نُسيت.
| الحق في المادة 4 | ما يعنيه داخل نظام إدارة العملاء |
|---|---|
| العلم بالأساس النظامي والغرض من الجمع | إشعار خصوصية في كل نموذج، ومصدر مسجّل في كل سجل عميل |
| الوصول إلى بياناته لدى جهة التحكم | إمكانية استخراج كل ما لديكم عن عميل واحد، بما يشمل الملاحظات وسجل المكالمات |
| الحصول على بياناته بصيغة واضحة ومقروءة | تصدير لسجل العميل الواحد دون الحاجة إلى مطوّر |
| طلب تصحيح بياناته أو إكمالها أو تحديثها | صلاحيات تعديل وسجل تتبع يوضح من غيّر ومتى |
| طلب إتلاف بياناته متى لم تعد لازمة له | مسار حذف موثّق، لا مجرد تعليم السجل كـ«غير نشط» |
وتتيح المادة 34 لصاحب البيانات تقديم شكوى إلى الجهة المختصة مباشرة. العميل الذي يطلب إزالة بياناته مرتين ولا يتلقى رداً لديه خطوة تالية سهلة، لذا من الأفضل التعامل مع هذه الطلبات كتذاكر خدمة لها مدة محددة، لا كاستجابة تحدث عند توفر الوقت.
قائمة تحقق للامتثال داخل نظام العملاء
معظم العمل جَرد وانتظام في العادات أكثر منه تقنية. راجعوا نظامكم أمام هذه القائمة وسجّلوا ما تجدونه، فالثغرات غالباً في البيانات القديمة والتصديرات غير الرسمية، لا في البرنامج نفسه.
- أحصِ كل منفذ تدخل منه بيانات العملاء: نماذج الموقع، المعارض، الاستفسارات الواردة، ملفات الجداول، بطاقات العمل المُدخلة يدوياً.
- سجّل المصدر وحالة الموافقة في كل سجل عميل، ليعرف أي موظف سبب وجود هذا الشخص في النظام.
- ضع إشعار خصوصية بجانب كل نموذج، واربط منه سياسة الخصوصية الكاملة.
- افصل موافقة التسويق عن رسائل الخدمة، واحفظ تاريخ الحصول على الموافقة.
- أضف مسار إلغاء اشتراك في كل حملة، واحرص أن ينعكس أثره في النظام تلقائياً.
- قيّد صلاحية التصدير وراجع سجلها، فالنسخ المتفرقة هي ما يتسرب عادة.
- حدد مدة احتفاظ للعملاء المحتملين غير المتفاعلين، ونفّذ الإتلاف فعلياً عند انتهائها.
- عيّن المسؤول عن طلبات أصحاب البيانات وعن الإبلاغ عن حوادث التسريب.
وتستحق نقطتان تأكيداً إضافياً. تُلزم المادة 11 جهة التحكم بالتوقف عن جمع البيانات وإتلاف ما جُمع سابقاً، دون تأخير غير مبرر، متى لم تعد البيانات لازمة للغرض الذي جُمعت من أجله. نظام ممتلئ بعملاء محتملين لم يلمسهم أحد منذ سنوات ليس أصلاً نائماً، بل مسؤولية ما زلتم تحملونها.
أين تُحفظ البيانات ومن يطّلع عليها
تُلزم المادة 31 جهة التحكم بالاحتفاظ بسجلات لأنشطة معالجة البيانات الشخصية، تكون متاحة عند طلب الجهة المختصة، وتتضمن كحد أدنى: بيانات التواصل مع جهة التحكم، والغرض من المعالجة، ووصف فئات أصحاب البيانات، وأي جهة أخرى أُفصح أو سيُفصح لها عن البيانات، وما إذا كانت البيانات قد نُقلت أو ستُنقل خارج المملكة، والمدة المتوقعة للاحتفاظ بها. وهذا بالنسبة لمنشأة صغيرة أو متوسطة مستند واحد يُحدَّث، لا مشروع كامل.
أما النقل إلى خارج المملكة فتنظمه المادة 29. يجوز لجهة التحكم نقل البيانات الشخصية خارج المملكة أو الإفصاح بها لجهة خارجها لأغراض محددة، منها تنفيذ التزام يكون صاحب البيانات طرفاً فيه، وبشروط: ألا يخل النقل بالأمن الوطني أو بالمصالح الحيوية للمملكة، وأن يتوفر مستوى حماية مناسب خارج المملكة لا يقل عما يكفله النظام ولائحته، وأن يكون النقل في أضيق نطاق من البيانات. فإن كان نظام العملاء أو أداة البريد أو النسخ الاحتياطية على خدمات خارج المملكة، فهذا نقل، ومكانه سجل المادة 31.
وتوجب المادة 22 إجراء تقييم لأثر معالجة البيانات الشخصية على أي منتج أو خدمة، بحسب طبيعة النشاط. وتوجب المادة 20 إبلاغ الجهة المختصة عند العلم بأي تسريب للبيانات أو تلفها أو الوصول غير المصرح به إليها، وإبلاغ صاحب البيانات إذا كان الحادث يسبب ضرراً ببياناته أو يتعارض مع حقوقه ومصالحه. وتركت المادة 30 للائحة التنفيذية تحديد الحالات التي يجب فيها تعيين مسؤول لحماية البيانات الشخصية، فراجعوا حالتكم أمام اللائحة السارية بدلاً من افتراض أنكم خارج النطاق.
ما ثمن الخطأ في هذا الملف؟
تتناول المادة 36 المخالفات العامة: يعاقب بالإنذار أو بغرامة لا تتجاوز خمسة ملايين ريال كل من يخالف أحكام النظام أو لائحته من المخاطبين به، ويجوز مضاعفة الغرامة في حال تكرار المخالفة. وتنظر لجنة تشكّلها الجهة المختصة في المخالفات وتصدر الإنذار أو توقع الغرامة، مع مراعاة نوع المخالفة وجسامتها ومدى أثرها، ويحق لمن صدر بحقه القرار الاعتراض عليه أمام المحكمة المختصة.
أما المادة 35 فأضيق نطاقاً وأشد عقوبة: من يُفصح عن بيانات حساسة أو ينشرها خلافاً لأحكام النظام بقصد الإضرار بصاحب البيانات أو تحقيق منفعة شخصية، يعاقب بالسجن مدة لا تتجاوز سنتين أو بغرامة لا تتجاوز ثلاثة ملايين ريال أو بهما معاً، وللمحكمة مضاعفة الغرامة في حال العود.
ومن المهم وضع ذلك في حجمه الصحيح: اللجنة تراعي جسامة المخالفة وأثرها، لذا يختلف التعامل مع منشأة لديها نظام موثّق ومحدَّث عن منشأة لا تملك شيئاً. والغاية من قائمة التحقق أعلاه أن تكون قادراً على إثبات ما فعلته.
نظام عملاء منظم يجعل معظم ذلك روتيناً
تعود كل هذه الالتزامات تقريباً إلى سؤال واحد: هل تستطيع أن تجد كل ما لديك عن شخص واحد، وأن توضح سبب الاحتفاظ به؟ يصبح ذلك أسهل بكثير حين تقرأ المبيعات وعروض الأسعار والدعم من سجل عميل واحد، بدل أربعة ملفات جداول وبريد مشترك.
يحفظ نظام إدارة علاقات العملاء من دفتركس العملاء وجهات الاتصال في قائمة قابلة للبحث مع سجل كامل لكل عميل، وينقل الصفقات في مسار مبيعات مرئي بمراحل مخصصة وقيم ظاهرة لكل مرحلة، ويسجل المكالمات والاجتماعات والملاحظات مع الخطوة التالية في سجل العميل. وتُنشأ عروض الأسعار من الصفقة ببيانات العميل جاهزة، وتوضح رؤية الفريق مالك كل صفقة ونشاط الفريق، وتعمل الواجهة بالعربية والإنجليزية. ولأن الصفقة المكسوبة تنتقل إلى عرض سعر ثم فاتورة دون إعادة إدخال، تقل النسخ المتفرقة من بيانات العملاء التي تحتاج إلى ضبط ومتابعة. وإن كنتم في مرحلة الاختيار بعد، فدليلنا عن كيف تختار أفضل نظام CRM في السعودية يشرح معايير المقارنة.
تريدون رؤية ذلك على إجراءات عملكم الفعلية؟ احجز عرضاً توضيحياً ونستعرض معكم كيف تجتمع سجلات العملاء وحالة الموافقة والمتابعات في مكان واحد.
الأسئلة الشائعة
هل يسري النظام على منشأة صغيرة لديها بضع مئات من جهات الاتصال؟
نعم. مناط التطبيق هو معالجة بيانات شخصية تتعلق بأفراد في المملكة، لا حجم المنشأة ولا عدد السجلات. وتستثني المادة 2 معالجة الفرد لبياناته لأغراض لا تتجاوز الاستخدام الشخصي أو العائلي، وهو ما لا ينطبق على نظام عملاء تجاري.
هل يمكننا إرسال بريد إلى عملائنا الحاليين عن منتج جديد؟
تشترط المادة 25 الحصول على موافقة مسبقة من المستهدف قبل إرسال المواد الإعلانية إلى وسائل اتصاله الشخصية، مع آلية واضحة لإيقاف الاستلام. ورسائل الخدمة المتعلقة بما اشتراه العميل فعلاً تختلف عن الترويج لمنتج جديد، لذا احفظوا موافقة التسويق بشكل منفصل واستندوا إليها.
هل يكفي مربع اختيار في نموذج الموقع كموافقة؟
قد يكون جزءاً منها إذا كان محدداً فيما يوافق عليه الشخص، وغير مرتبط بالحصول على الخدمة وفق ما تقتضيه المادة 7. احفظوا نص ما وافقوا عليه والصيغة التي ظهرت لهم وتاريخها. واللائحة التنفيذية هي التي تحدد شروط الموافقة والحالات التي يجب أن تكون فيها صريحة.
ما أول خطوة إن لم ننفذ شيئاً من ذلك بعد؟
ابدأوا بالجَرد. سجّلوا من أين تأتي بيانات العملاء، وأين تُحفظ، ولمن تُرسل، وكم مدة الاحتفاظ بها. هذا المستند الواحد يغطي معظم ما تطلبه المادة 31، ويكشف النماذج التي تحتاج إشعار خصوصية، ويحدد السجلات القديمة التي يجب إتلافها بحسب المادة 11.
أين نقرأ نص النظام نفسه؟
النص الكامل منشور من الهيئة السعودية للبيانات والذكاء الاصطناعي، وهي الجهة التي تستقبل الشكاوى وتتابع التطبيق. راجعوا نظام حماية البيانات الشخصية وموقع سدايا للاطلاع على اللوائح السارية.
