حماية البيانات الشخصية في CRM: ما الذي يوفره النظام وما الذي تتحمله المنشأة؟

تفصّل هذه المقالة التزامات النظام ولائحته التنفيذية التي تمس بيانات العملاء في CRM، وتضع أمام كل التزام ثلاثة أسئلة: ما الذي يؤديه النظام؟ وما الذي تفعله المنشأة بإجراءاتها؟ وما الذي يتعهد به المورد؟ ثم تطبّق ذلك على طلب حقيقي من عميل يريد الاطلاع على بياناته وإتلافها. المقالة للتوضيح التشغيلي، ولا تغني عن المراجعة القانونية التي تتولاها المنشأة.

من المسؤول أمام النظام: المنشأة أم البرنامج أم المورد؟

صدر نظام حماية البيانات الشخصية بالمرسوم الملكي (م/19) وتاريخ 1443/2/9هـ وعُدّل لاحقًا، وتفصّل اللائحة التنفيذية كثيرًا من أحكامه. وتنشر الهيئة السعودية للبيانات والذكاء الاصطناعي (سدايا) النظام ولوائحه وأدلته الإرشادية على بوابة حماية البيانات الشخصية، وهي الجهة المختصة بالإشراف على تطبيقه.

يوزع النظام الأدوار على ثلاثة أطراف، ولكل منها موقع مختلف في مشروع CRM:

• صاحب البيانات: العميل الفرد، أو جهة الاتصال لدى عميل من الشركات، أو العميل المحتمل الذي ملأ نموذجًا في موقعكم. بيانات الموظف المسؤول لدى شركة عميلة بيانات شخصية أيضًا: اسمه وجواله وبريده.
• جهة التحكم (Controller): منشأتكم. هي التي تقرر لماذا تُجمع البيانات، وما يُجمع منها، وكم تبقى. وعليها تقع أغلب الالتزامات.
• جهة المعالجة (Processor): من يعالج البيانات لحسابكم. مورد CRM الذي يستضيف النظام أو يصل إليه للدعم، ومزود الرسائل، وأي جهة تكامل تنقل البيانات.

أما برنامج CRM نفسه فليس طرفًا نظاميًا. هو أداة تسهّل على جهة التحكم تنفيذ التزاماتها أو تصعّبه. وهذا الفرق يحدد صياغة أي كراسة شروط: لا تطلب «نظامًا متوافقًا مع نظام حماية البيانات الشخصية»، بل اطلب قدرات محددة يمكن اختبارها، وتعهدات محددة من المورد يمكن كتابتها في العقد.

قبل المطابقة: أين تسكن البيانات الشخصية داخل CRM؟

لا يمكن الالتزام بما لا تعرف مكانه. في أغلب مشاريع CRM تتوزع البيانات الشخصية على مواضع أوسع مما يظنه الفريق، وبعضها لا يظهر في شاشة العميل:

أخرجوا من هذا الحصر قائمة بكل حقل شخصي: غرضه، ومن يحتاجه، ومصدره. هذه القائمة مدخل لثلاثة أعمال لاحقة: سجل أنشطة المعالجة، وتصميم الصلاحيات، وجدول الاحتفاظ. وأي حقل لا يجد غرضًا واضحًا يُحذف من النموذج قبل الإطلاق، لأن جمع الحد الأدنى من البيانات مبدأ تنص عليه اللائحة صراحة.

مطابقة الالتزامات: ما يؤديه النظام وما تتحمله المنشأة والمورد

الجدول التالي يضع أهم الالتزامات التي تمس بيانات العملاء أمام الأطراف الثلاثة. أرقام المواد مأخوذة من النصين المنشورين على بوابة سدايا، وقد تختلف الإحالات إن عُدّلت النصوص، فارجعوا إلى النسخة السارية.

لاحظوا أن العمود الثالث أطول من الثاني في أغلب الصفوف. هذه هي الصورة الواقعية: CRM يجعل الالتزام قابلًا للتنفيذ والإثبات، لكن القرار والإجراء والتوثيق عمل المنشأة. ولهذا تُكتب في صفحة الأمان والصلاحيات وحوكمة البيانات عبارة واضحة: مسؤولية السياسات وتطبيقها على المنشأة بصفتها جهة التحكم.

ما الذي يُهيأ داخل CRM ليصبح الالتزام قابلًا للإثبات؟

الالتزام الذي لا يترك أثرًا في النظام يصعب إثباته عند شكوى أو تدقيق. هذه الإعدادات تحوّل السياسة إلى بيانات يمكن الرجوع إليها:

• حقول الأساس والموافقة على جهة الاتصال: أساس المعالجة (تعاقد، موافقة، مصلحة مشروعة، التزام نظامي)، ومصدر الجمع، وتاريخه، ونسخة الإشعار التي عُرضت. وتسجّل تفضيلات التواصل لكل قناة على حدة. تفصيل أنواع الموافقة وإثباتها في مقالة إدارة تفضيلات التواصل والاشتراك في الرسائل داخل CRM.
• تصنيف الحقول: وسم كل حقل بمستوى حساسيته. حقول الهوية الوطنية والبيانات الصحية والائتمانية لا تظهر إلا لأدوار محددة، ولا تدخل في التصدير الافتراضي. طريقة تصنيفها وتطبيقها في مقالة صلاحيات الحقول في CRM.
• نوع تذكرة «طلب صاحب بيانات»: بحقول نوع الطلب، وتاريخ الاستلام، ونتيجة التحقق من الهوية، والمهلة المحسوبة تلقائيًا، والقرار ومسوغه. هكذا يصبح كل طلب قابلًا للتتبع والإحصاء، عبر وحدة خدمة العملاء والتذاكر.
• قيود التصدير: حصره في أدوار محددة، وحد لعدد السجلات، واعتماد للتصدير الكبير، وتسجيل كل عملية. الملف المصدَّر أكبر ثغرة في أي منظومة حماية بيانات، لأنه يخرج من نطاق الصلاحيات والاحتفاظ معًا.
• الأرشفة بدل الحذف للمستخدمين: يُمنع الحذف الفعلي عن أغلب الأدوار، ويُنفذ الإتلاف بإجراء محكوم لدى دور محدد، مع تسجيله.
• ضبط وصول الدعم الفني: اشتراط موافقة مسؤول النظام لديكم قبل كل وصول من فريق المورد، لمدة محددة، مع تسجيله. هذه القدرة مفصلة في قسم وصول الدعم الفني إلى بياناتك.

الإعداد الأخير يستحق التوقف: كثير من المنشآت تضبط صلاحيات موظفيها بدقة، ثم تترك وصول المورد مفتوحًا لأنه «يحتاجه للدعم». وجهة المعالجة جزء من سلسلة المسؤولية، ووصولها يجب أن يكون مبررًا ومحدودًا ومسجلًا مثل وصول أي موظف.

تطبيق عملي: عميل يطلب الاطلاع على بياناته ثم إتلافها

أوضح اختبار لتقسيم المسؤوليات طلبٌ حقيقي من صاحب بيانات. تمنح اللائحة التنفيذية في مادتها الثالثة جهة التحكم مدة لا تتجاوز ثلاثين يومًا لتنفيذ طلبات ممارسة الحقوق، مع إمكان التمديد في أحوال تحددها اللائحة. المسار التالي يوضح ما يفعله النظام وما يفعله الفريق في كل خطوة.

عميلة سابقة لشركة تدريب ترسل عبر واتساب: «أريد معرفة البيانات التي تحتفظون بها عني، ثم حذفها». كانت قد سجلت في دورتين قبل سنتين، ولها فاتورة مسددة، ومحادثات واتساب، وملاحظة كتبها المنسق.

ما يكشفه المثال عند التطبيق:

• ليس كل شيء قابلًا للإتلاف فورًا. الفاتورة المسددة وما يرتبط بها قد تخضع لمدد احتفاظ تفرضها أنظمة أخرى، كالأنظمة الضريبية والمحاسبية. هنا يكون الحل الشائع إخفاء هوية ما يمكن إخفاؤه في CRM، والإبقاء على ما يلزم نظامًا مع تقييد الوصول إليه، وإبلاغ العميلة بذلك ومسوغه.
• الملاحظة الحرة مشكلة مستقلة. إن كتب المنسق فيها ما لا يلزم، فالتصحيح لا يقتصر على هذا الطلب، بل يستدعي مراجعة قاعدة كتابة الملاحظات كلها.
• المحادثات مرتبطة بقناة خارجية. حذف المحادثة من CRM لا يحذفها بالضرورة من الأجهزة أو المنصة التي مرت عبرها. يجب أن يعرف الفريق حدود ما يستطيع إتلافه وأن يوضح ذلك في الرد.
• النسخ الاحتياطية. البيانات المحذوفة تبقى في النسخ الاحتياطية حتى تنقضي دورة احتفاظها. هذا مقبول عادة إذا كانت الدورة محددة ومعلنة، ولم تُستعد البيانات منها إلى البيئة الحية. الأسئلة التي تُطرح على المورد حول ذلك في مقالة النسخ الاحتياطي واستعادة CRM.

تصميم مدد الاحتفاظ لكل نوع سجل، ومتى يكون إخفاء الهوية بديلًا عن الإتلاف، موضوع مقالة سياسات الاحتفاظ والتصدير والحذف في CRM.

حادثة تسرب: ماذا يقدم CRM خلال الساعات الأولى؟

تنص المادة الرابعة والعشرون من اللائحة التنفيذية على أن تُشعر جهة التحكم الجهة المختصة خلال مدة لا تتجاوز 72 ساعة من علمها بحادثة التسرب، وتحدد المعلومات التي يتضمنها الإشعار، ومتى يُشعر أصحاب البيانات. هذه المهلة قصيرة، ولا تكفي لبناء الإجابات من الصفر. ما يحتاجه فريق الاستجابة من CRM أربع إجابات سريعة:

1. من وصل؟

   الحساب أو التكامل أو مفتاح الربط الذي استُخدم، من سجل الدخول وسجل التدقيق.

   مسؤول النظام
2. إلى ماذا؟

   الوحدات والسجلات والحقول التي عُرضت أو صُدّرت، وعدد أصحاب البيانات المتأثرين تقريبًا.

   مسؤول النظام مع الأمن السيبراني
3. متى وكيف؟

   التسلسل الزمني للعمليات، وهل كان تصديرًا أم عرضًا أم تعديلًا.

   الأمن السيبراني
4. ما الذي أُوقف؟

   تعطيل الحساب، وإلغاء مفاتيح الربط، وتغيير كلمات المرور، وتوثيق وقت كل إجراء.

   تقنية المعلومات

إذا لم يسجّل النظام عمليات التصدير والعرض، أو احتفظ بسجلاته مدة قصيرة، فستُقدّر المنشأة نطاق الحادثة بالظن. لهذا يُفحص سجل التدقيق قبل التعاقد لا بعد الحادثة: ما الأحداث التي يسجلها، وكم يحتفظ بها، ومن يستطيع البحث فيها. وتتناول مقالة سجل التدقيق في CRM قائمة الأحداث التي تستحق التسجيل. أما قرار الإشعار ومضمونه والتواصل مع الجهة المختصة فعمل المنشأة وحدها.

المورد جهة معالجة: ما الذي يُكتب في العقد؟

تلزم المادة السابعة عشرة من اللائحة التنفيذية جهة التحكم باختيار جهة معالجة تقدم ضمانات كافية، وتعدد عناصر يتضمنها الاتفاق بينهما. في عقد CRM تترجم هذه العناصر إلى أسئلة محددة تطلبون إجاباتها مكتوبة:

سؤال الموقع يتصل مباشرة بأحكام لائحة نقل البيانات الشخصية إلى خارج المملكة. والنقل لا يقتصر على مكان الخادم: الدعم من خارج المملكة، أو مزود رسائل يعالج البيانات في الخارج، أو أداة تحليل مرتبطة بالنظام، كلها مسارات تستحق الحصر. التفصيل الفني لأسئلة التخزين والنسخ والوصول في مقالة استضافة CRM داخل السعودية، وخيارات التشغيل المتاحة في صفحة الاستضافة داخل المملكة.

أين تتعثر المنشآت رغم وجود نظام جيد؟

المخاطر الأكبر في مشاريع CRM لا تأتي عادة من نقص في النظام، بل من ممارسات حوله:

• ملفات Excel المتداولة: تقرير يُصدَّر لاجتماع ثم يبقى في البريد وأجهزة الموظفين سنوات. الحل: تقليل الحاجة إلى التصدير بلوحات داخل النظام، وتقييده حيث يلزم.
• أرقام واتساب الشخصية: مندوب يتواصل مع العملاء من جواله الخاص، فتبقى المحادثات لديه بعد مغادرته. ربط القناة بالنظام يعيد المحادثة إلى المنشأة.
• بيانات حقيقية في بيئة الاختبار: نسخة كاملة من البيانات الحية لتجربة تخصيص جديد، بصلاحيات أوسع ورقابة أقل.
• ترحيل كل شيء من النظام القديم: نقل سجلات عمرها عشر سنوات لم يعد لها غرض، بدل تنظيفها وإتلاف ما انتهى غرضه قبل الترحيل.
• صلاحيات لا تُراجع: موظف انتقل من المبيعات إلى إدارة أخرى ما زال يرى عملاءه القدامى. المراجعة الدورية للأدوار إجراء إداري لا يقوم به النظام وحده.
• التكاملات المنسية: ربط قديم مع أداة تسويق لم تعد مستخدمة، لكنه ما زال ينقل بيانات جهات الاتصال إليها كل ليلة.

القاسم المشترك أن كل ثغرة منها تحتاج قرارًا إداريًا قبل أي إعداد تقني. ولهذا يُفضَّل أن يشارك ممثل الامتثال أو الشؤون القانونية في تصميم المشروع من البداية، لا في مراجعته بعد الإطلاق.

من أين تبدأ منشأتك؟

ترتيب عملي للمنشأة التي تطلق CRM أو تراجع نظامًا قائمًا:

1. حصر البيانات الشخصية

   الجدول الأول في هذه المقالة: كل موضع، وكل حقل، وغرضه ومصدره.

   مسؤول النظام مع الإدارات
2. قرارات جهة التحكم

   الأساس النظامي لكل غرض، ومدد الاحتفاظ، ومن يبت في طلبات أصحاب البيانات، ومن يقرر الإشعار بالتسرب.

   الإدارة والامتثال والشؤون القانونية
3. ترجمة القرارات إلى إعدادات

   الحقول، والأدوار، وقيود التصدير، ونوع تذكرة الطلبات، وسياسات الأرشفة.

   فريق التنفيذ
4. تعهدات المورد

   بنود جهة المعالجة في العقد: الغرض، والمعالجون الفرعيون، والموقع، والحوادث، والإتلاف.

   المشتريات والشؤون القانونية
5. الاختبار والمراجعة

   تنفيذ طلب صاحب بيانات تجريبي كاملًا، ومراجعة الصلاحيات وسجل التدقيق دوريًا.

   الامتثال

إذا أردتم أن نرى معًا كيف تتحول قراراتكم في الخطوة الثانية إلى إعدادات في النظام، وما الذي يبقى إجراءً لديكم، فشاركونا حصر بياناتكم وسياساتكم الحالية ضمن مراجعة متطلبات منشأتكم. نوضح في الرد ما يتحقق بالإعدادات، وما يحتاج تخصيصًا، وما التعهدات التي نكتبها بصفتنا جهة معالجة حسب خيار التشغيل الذي تختارونه، ويبقى التقييم القانوني النهائي لمستشاريكم.

أسئلة شائعة