سياسة الخصوصية لمتجرك الإلكتروني: ماذا يجب أن تحتوي؟
نظام حماية البيانات الشخصية يُلزم متجرك باعتماد سياسة خصوصية وإتاحتها لعملائك ليطلعوا عليها عند جمع بياناتهم. والمادة الثانية عشرة تحدّد ما يجب أن تشتمل عليه: الغرض من جمع البيانات، ومحتوى البيانات المطلوب جمعها، وطريقة جمعها، ووسيلة حفظها، وكيفية معالجتها، وكيفية إتلافها، وحقوق صاحبها، وكيفية ممارسة هذه الحقوق.
وهذا ينطبق عليك ولو كنت فرداً يبيع من حساب شخصي، لأن اللائحة التنفيذية تستثني الاستخدام الشخصي أو العائلي ثم تنصّ صراحة على أن الاستخدام لأغراض ذات طابع مهني أو تجاري ليس منه. وفيما يلي العناصر كاملة، وما تضيفه اللائحة، وقائمة فحص قبل أن تنشر السياسة. وهو معلومات عامة لا استشارة قانونية، ومصادره مرفقة لتقرأها بنفسك.
لماذا متجرك «جهة تحكم»؟
المادة الأولى من نظام حماية البيانات الشخصية تعرّف جهة التحكم بأنها من يحدّد الغرض من معالجة البيانات الشخصية وكيفية معالجتها، وتشمل الشخص الطبيعي كما تشمل الشركة. وأنت من يقرّر أي حقول يطلبها نموذج الطلب، وأين تُحفظ، ومن يطّلع عليها. فأنت جهة تحكم بحكم ما تفعله لا بحكم حجمك.
والسياسة ليست صفحة شكلية في أسفل الموقع. هي المستند الذي يُثبت أنك أحطت العميل علماً قبل أن تجمع بياناته، وهي أول ما يُطلب منك إن سُئلت عن التزامك.
ثمانية عناصر تنصّ عليها المادة الثانية عشرة
- الغرض من جمع البيانات. اكتبه محدداً: تنفيذ الطلب، والشحن، والفوترة، وخدمة العملاء. لا «لتحسين تجربتك».
- محتوى البيانات المطلوب جمعها. الاسم، والجوال، وعنوان التوصيل، والبريد، وتفاصيل الطلب. اكتب ما تجمعه فعلاً، لا ما تتوقع أنك تجمعه.
- طريقة الجمع. نموذج إتمام الطلب، وحساب العميل، ومحادثات خدمة العملاء، وملفات تعريف الارتباط في المتجر.
- وسيلة الحفظ. لوحة تحكم المنصة، وأي أداة خارجية تنقل إليها البيانات.
- كيفية المعالجة. من يصل إليها من فريقك، ومن يصل إليها من مزوّدي الخدمة.
- كيفية الإتلاف. متى تُتلَف وكيف، بما يشمل النسخ الاحتياطية.
- حقوق صاحب البيانات الشخصية. مذكورة بأسمائها كما في النظام.
- كيفية ممارسة هذه الحقوق. قناة فعلية يصل إليها العميل، لا عنوان بريد مهجور.
والمادة الثالثة عشرة تضيف، عند جمع البيانات من صاحبها مباشرة، إحاطته علماً بالمسوّغ النظامي للجمع، وبما إذا كان الجمع إلزامياً أو اختيارياً، وبهوية من يجمع البيانات، وبالجهات التي سيُجرى الإفصاح إليها، وبالآثار المحتملة لعدم إتمام الجمع.
ما تضيفه اللائحة التنفيذية: المادة الرابعة
تفصّل اللائحة التنفيذية ما يجب إبلاغ العميل به قبل الجمع أو عنده:
- الاسم النظامي لجهة التحكم وبيانات التواصل معها، وأي قنوات أنشأتها للتواصل بشأن حماية البيانات.
- بيانات الاتصال بمسؤول حماية البيانات الشخصية إن وُجد.
- المسوّغ النظامي والغرض من الجمع والمعالجة، بصورة محددة وواضحة وصريحة.
- مدة الاحتفاظ بالبيانات، أو معايير حسابها إن تعذّر تحديدها مسبقاً.
- حقوق صاحب البيانات وآلية ممارسة أي منها.
- كيفية العدول عن الموافقة الممنوحة للمعالجة.
- بيان ما إذا كان جمع أي من البيانات إلزامياً أو اختيارياً.
وفي المادة نفسها حكم يغفل عنه كثيرون: إذا حصلت على بيانات من غير صاحبها مباشرة -كقائمة جاهزة من طرف ثالث- فعليك إبلاغ أصحابها دون تأخير غير مبرر وخلال مدة لا تتجاوز ثلاثين يوماً، بكل ما سبق إضافة إلى فئات البيانات ومصدرها. وهذا وحده يجعل القوائم المشتراة عبئاً لا فرصة.
حقوق العميل الخمسة ومهلة الثلاثين يوماً
المادة الرابعة من النظام تعطي صاحب البيانات خمسة حقوق: الحق في العلم، والحق في الوصول إلى بياناته لدى جهة التحكم، والحق في طلب الحصول عليها بصيغة مقروءة وواضحة، والحق في طلب تصحيحها أو إتمامها أو تحديثها، والحق في طلب إتلاف ما انتهت الحاجة إليه منها.
والمادة الثالثة من اللائحة تحدّد الإيقاع: تنفيذ الطلب خلال مدة لا تتجاوز ثلاثين يوماً دون تأخير، مع إمكانية تمديدها ثلاثين يوماً إضافية إذا تطلب التنفيذ جهداً غير معتاد أو تعدّدت الطلبات، بشرط إشعار صاحب البيانات مسبقاً بالتمديد ومبرراته. وعليك كذلك توثيق الطلبات وحفظها، بما فيها الطلبات الشفهية، والتحقق من هوية مقدّم الطلب قبل التنفيذ.
عملياً: من يفتح البريد المخصص لهذه الطلبات في متجرك؟ وأين تُسجَّل؟ إن لم يكن لديك جواب اليوم، فالمهلة تبدأ من غير أن يبدأ أحد.
الموافقة والرسائل التسويقية: أكثر ما يُخالَف
المادة الحادية عشرة من اللائحة تشترط في الموافقة أن تصدر بإرادة حرة بلا طرق مضللة، وأن تكون أغراض المعالجة واضحة ومحددة ومبيَّنة للعميل قبل طلب الموافقة أو عنده، وأن توثَّق بوسيلة تتيح التحقق منها لاحقاً مع بيان وقت الموافقة ووسيلتها، وأن تكون هناك موافقة مستقلة لكل غرض.
ومعنى الشرط الأخير في متجر حقيقي: موافقة العميل على إتمام طلبه ليست موافقة على رسائلك التسويقية. وتفصّل المادتان الثامنة والعشرون والتاسعة والعشرون بقية القواعد:
- قبل إرسال مواد دعائية لمن لا يوجد تعامل سابق بينك وبينه، تلزمك موافقته.
- عند استخدام وسائل اتصاله الشخصية، اذكر اسم الجهة المرسلة بوضوح دون إخفاء للهوية.
- وفّر آلية لإيقاف الرسائل، وتكون إجراءات الإيقاف سهلة ومبسّطة ومماثلة لإجراءات الاشتراك أو أسهل منها.
- إذا عدل العميل عن موافقته، توقّف عن إرسال المواد التسويقية دون تأخير غير مبرر.
والمادة السادسة والعشرون من النظام تجيز المعالجة لأغراض تسويقية إذا جُمعت البيانات من صاحبها مباشرة ووافق على ذلك. فالقائمة التي وصلتك من مصدر آخر لا تدخل في هذا الباب.
مدة الاحتفاظ: متى تُتلف بيانات العميل؟
المادة الثامنة عشرة توجب إتلاف البيانات بعد انتهاء الغرض من جمعها دون تأخير، وتستثني حالتين: وجود مسوّغ نظامي يوجب الاحتفاظ مدة محددة، فتُتلف بعد انتهاء المدة أو انتهاء الغرض أيهما أطول؛ أو ارتباط البيانات اتصالاً وثيقاً بقضية منظورة أمام جهة قضائية.
لذلك لا تكتب في سياستك «نحتفظ بالبيانات إلى الأبد» ولا تتركها بلا ذكر. اكتب مدة لكل فئة، أو معيار حسابها، وراجع ما توجبه عليك أنظمة أخرى من حفظ مستندات من مصدرها الرسمي.
التسرّب: إشعار خلال 72 ساعة
المادة العشرون من النظام توجب إشعار الجهة المختصة عند العلم بتسرّب بيانات شخصية أو تلفها أو وصول غير مشروع إليها، وإشعار صاحب البيانات إذا كان من شأن الحادثة أن ترتّب ضرراً عليه أو تتعارض مع حقوقه ومصالحه. والمادة الرابعة والعشرون من اللائحة تحدّد المهلة: خلال مدة لا تتجاوز 72 ساعة من وقت العلم بالحادثة، ويتضمن الإشعار وصف الحادثة ووقتها وتاريخها وكيفية وقوعها ووقت علمك بها، وفئات المتأثرين وأعدادهم.
اكتب في سياستك قناة التواصل، واتفق داخلياً اليوم على من يكتب هذا الإشعار. ثلاثة أيام تمرّ بسرعة وأنت تحاول فهم ما حدث.
ما قد لا يلزمك، وما يلزمك دائماً
مسؤول حماية البيانات: المادة الثانية والثلاثون من اللائحة تحصر إلزامية التعيين في ثلاث حالات: أن تكون جهة التحكم جهة عامة تقدّم خدمات تتضمن معالجة بيانات على نطاق واسع، أو أن تقوم أنشطتها الأساسية على معالجة تتطلب بطبيعتها مراقبة منتظمة وممنهجة لأصحاب البيانات، أو أن تقوم أنشطتها الأساسية على معالجة بيانات حساسة. متجر تجزئة صغير غالباً خارج هذه الحالات، وتوفّر المنصة الوطنية لحوكمة البيانات أداة للتعرّف على مدى إلزامية التعيين.
سجل أنشطة المعالجة: المادة الحادية والثلاثون من النظام توجب الاحتفاظ بسجلات لأنشطة معالجة البيانات تتضمن حداً أدنى من المعلومات، منها الغرض من المعالجة وفئات أصحاب البيانات والجهات التي يُفصح إليها والمدة المتوقعة للاحتفاظ. والمادة الثالثة والثلاثون من اللائحة توجب أن يكون السجل مكتوباً، وأن يُحفظ طوال استمرار المعالجة إضافة إلى خمس سنوات من تاريخ انتهاء النشاط.
قائمة فحص قبل أن تنشر السياسة
- اكتبها بالعربية، وضعها في صفحة ثابتة يصل إليها العميل قبل أن يدخل بياناته لا بعدها.
- افتح نموذج إتمام الطلب واقرأ حقوله حقلاً حقلاً، ثم طابق السياسة عليها.
- لا تنسخ سياسة متجر آخر. المنسوخة تذكر أدوات لا تستخدمها وتُسقط أدوات تستخدمها، وهذا الخلل وحده يكفي لنقضها.
- اذكر فئات من تُفصح إليهم: شركة الشحن، وبوابة الدفع، وأدوات التحليلات والرسائل.
- اكتب مدد الاحتفاظ لكل فئة أو معيار حسابها.
- ضع قناة تعمل لطلبات الحقوق، وعيّن من يتابعها ومتى.
- افصل موافقة الرسائل التسويقية عن إتمام الطلب، واحتفظ بسجل الموافقات بوقتها ووسيلتها.
- اكتب تاريخ آخر تحديث، وراجع السياسة كلما أضفت أداة أو قناة جديدة.
وإن كنت تشتري متجراً أو تبيعه
للمشتري: اقرأ سياسة الخصوصية وقارنها بما يفعله المتجر فعلاً. التطابق مؤشر انضباط، والتناقض يعني أنك سترث عبئاً. واسأل عن سجل الموافقات التسويقية، وعن أي حادثة تسرّب سابقة وما جرى حيالها.
وللبائع: السياسة وسجل الأنشطة وسجل الموافقات جزء مما يُسلَّم، ومن الأفضل أن تكون مرتّبة قبل أن تُسأل عنها، ضمن ما تجهّزه في تجهيز المتجر للبيع. أما قواعد التعامل مع بيانات العملاء داخل الصفقة نفسها -ما يُشارك في الفحص وما لا يُشارك- فشرحناها في بيانات العملاء عند بيع متجر إلكتروني.
أسئلة شائعة
هل يكفي أن أستخدم نموذج سياسة خصوصية جاهزاً؟
النموذج نقطة بداية للهيكل فقط. المادة الثانية عشرة تطلب وصف ما يفعله متجرك أنت: البيانات التي تجمعها، وأين تحفظها، ومن تُفصح إليه، ومتى تُتلفها. النموذج لا يعرف شيئاً من ذلك، والسياسة التي لا تطابق الواقع أسوأ من سياسة قصيرة صادقة.
أبيع من حساب شخصي بلا سجل أو شركة، فهل ينطبق عليّ النظام؟
المادة الثانية من اللائحة التنفيذية تستثني معالجة الفرد لبياناته لأغراض لا تتجاوز الاستخدام الشخصي أو العائلي، ثم تنصّ على أن استخدام البيانات لأغراض ذات طابع مهني أو تجاري لا يُعدّ من ذلك. فالبيع للجمهور نشاط تجاري بصرف النظر عن شكل الكيان.
هل أحتاج موافقة لكل رسالة واتساب تسويقية؟
الموافقة تكون على الغرض لا على كل رسالة، لكن المادة الحادية عشرة تشترط موافقة مستقلة لكل غرض معالجة، والمادتان الثامنة والعشرون والتاسعة والعشرون توجبان ذكر اسم المرسل وتوفير آلية إيقاف سهلة مماثلة لآلية الاشتراك أو أسهل، والتوقف دون تأخير عند العدول. ولا تنسَ أن أنظمة الاتصالات ذات الصلة تبقى سارية أيضاً.
كم مدة الاحتفاظ ببيانات العملاء؟
القاعدة في المادة الثامنة عشرة: الإتلاف بعد انتهاء الغرض من الجمع دون تأخير. والاستثناء أن يوجب نظام آخر الاحتفاظ مدة محددة، فيكون الإتلاف بعد انتهاء المدة أو الغرض أيهما أطول، أو أن تكون البيانات متصلة بقضية منظورة قضائياً. حدّد لكل فئة مدة واكتبها في السياسة، وراجع متطلبات الأنظمة الأخرى من جهاتها.
الخلاصة
سياسة الخصوصية في متجر سعودي ليست نصاً تزيينياً، بل ثمانية عناصر يحدّدها النظام ويكمّلها تفصيل اللائحة: ماذا تجمع، ولماذا، وكيف، وأين تحفظه، ومن يطّلع عليه، ومتى تتلفه، وما حقوق العميل وكيف يمارسها. أضف إليها ثلاثة أشياء تعيش خارج الصفحة: قناة تعمل لطلبات الحقوق خلال ثلاثين يوماً، وفصل موافقة التسويق عن إتمام الطلب مع سجل موافقات، وخطة إشعار خلال 72 ساعة إن حدث تسرّب. أبسط طريقة للبدء أن تفتح نموذج الطلب في متجرك وتكتب سياسة تصف ما تراه بالضبط.
هذا المقال معلومات عامة لا استشارة قانونية. كل ما ورد أعلاه مُسند إلى مواد مرقّمة من نظام حماية البيانات الشخصية ولائحته التنفيذية كما قرأناها في 20 أكتوبر 2026 من المنصة الوطنية لحوكمة البيانات التابعة للهيئة السعودية للبيانات والذكاء الاصطناعي، والنصوص تُراجَع من مصدرها عند أي تحديث.