ما تحتاجه النسخة الأولى من منتجك لحماية البيانات في الخليج

النسخة الأولى لا تحتاج أمناً بمستوى البنوك، لكن قوانين البيانات في الخليج صارت تتوقع أساسيات للخصوصية منذ الإطلاق. إليك ما تبنيه الآن، وما يمكن تأجيله، وما تسأل عنه الفريق.

في 7 سبتمبر 2026 دخلت تعديلات قانون حماية البيانات الشخصية في عُمان حيّز التنفيذ، وهي أكبر تغيير يطرأ على القانون منذ صدوره عام 2022. صار القانون يشمل كل من يعالج البيانات الشخصية للأفراد في عُمان، حتى لو جرت المعالجة خارجها، وأضاف قواعد للقرارات التي تتخذها البرمجيات، ومنها الذكاء الاصطناعي. إن كنت تحدد نطاق النسخة الأولى لمستخدمين في الخليج، فالخصوصية لم تعد أمراً تؤجله إلى ما بعد الإطلاق.

هذا لا يعني أن الـMVP، أي أصغر نسخة تستطيع أن تضعها أمام مستخدمين حقيقيين، تحتاج منظومة أمن بمستوى بنك. ما تحتاجه قائمة قصيرة من الأساسيات تُبنى من الأسبوع الأول.

ما الذي تغيّر في عُمان، وما المطبّق في بقية الخليج

أصبح القانون العُماني نافذاً بالكامل منذ 5 فبراير 2026 بانتهاء الفترة الانتقالية. ثم جاءت تعديلات المرسوم السلطاني رقم 68/2026 في سبتمبر لتمدّ نطاقه إلى خارج حدود السلطنة. واستُبدل بشرط الإخطار المسبق إطارٌ للقرارات الآلية: يحق للمستخدم الاعتراض على أي قرار صدر عن معالجة آلية، ولا بد أن يراجعه إنسان. ومخالفة هذه الأحكام غرامتها بين 5,000 و10,000 ريال عُماني.

وفي السعودية، يُطبَّق نظام حماية البيانات الشخصية على معظم الشركات منذ 14 سبتمبر 2024. تصل الغرامات إلى 5 ملايين ريال سعودي، ويجب إبلاغ «سدايا» بأي تسرب خلال 72 ساعة، كما في عُمان، ومعظم الشركات ملزمة بالتسجيل في المنصة الوطنية لحوكمة البيانات. أما الإمارات فلديها قانون اتحادي صدر عام 2021، ولمركز دبي المالي العالمي وسوق أبوظبي العالمي أنظمتهما الخاصة. وإن كنت ستطلق في أكثر من دولة، فابنِ على أشدّ القواعد.

ما تحتاجه النسخة الأولى من اليوم الأول

هذه بنود لا نحذفها من أي نسخة أولى تجمع بيانات شخصية في الخليج. وكلفتها قليلة إذا خُطط لها مبكراً.

• خريطة بيانات: صفحة واحدة تذكر كل معلومة شخصية تجمعها، وسبب حاجتك إليها، ومكان تخزينها، ومن يطّلع عليها.
• بيانات أقل. أي حقل لا تحتاجه ميزة في هذه النسخة احذفه. البيانات التي لا تجمعها لا يمكن أن تتسرب.
• موافقة واضحة وإشعار خصوصية بالعربية والإنجليزية، يظهر في المكان الذي تُجمع فيه البيانات، مع وسيلة للتواصل مع المسؤول عن الخصوصية.
• تسجيل دخول مُتقن: كلمات مرور محفوظة بصيغة مشفّرة لا يمكن عكسها، وتحقق بخطوتين لحسابات الإدارة، وصلاحيات لكل موظف على قدر حاجة دوره.
• تشفير البيانات، أي جعلها غير مقروءة دون مفتاح، أثناء انتقالها وأثناء تخزينها.
• طريقة للعثور على بيانات مستخدم واحد وتصديرها وحذفها عند الطلب. القانون العُماني يمنحك 45 يوماً للرد على الطلب المكتوب.
• خطة مكتوبة للتعامل مع التسرب: من يقرر، ومن يتصل بالمحامي، وكيف تُبلغ خلال 72 ساعة.
• استضافة تختارها عن قصد. نقل البيانات خارج عُمان له شروط، منها موافقة المستخدم الصريحة، وللسعودية قيود على النقل كذلك. حدّد مكان بياناتك قبل البناء لا بعده.

أرخص ميزة خصوصية هي الحقل الذي لا تطلبه أصلاً.

ما الذي يمكن تأجيله حتى يكبر المنتج

الكثير. شهادة رسمية مثل ISO 27001، واختبار اختراق مدفوع (جهة خارجية تحاول اختراق تطبيقك)، ومسؤول حماية بيانات متفرغ، وفريق أمني يعمل على مدار الساعة. كل ذلك معقول لاحقاً، حين يصبح لديك مستخدمون يدفعون أو عملاء كبار يطلبونه. لكن السعودية تشترط تعيين مسؤول حماية بيانات في حالات محددة، منها أن تكون معالجة البيانات الحساسة نشاطك الأساسي، فتحقق من وضعك.

أمر واحد لا يحتمل التأجيل. إن كان منتجك يستخدم الذكاء الاصطناعي لاتخاذ قرارات تخص الناس، كقبول طلب أو تقييم عميل، فمسار المراجعة البشرية لم يعد اختيارياً في عُمان. اجعل للمستخدم طريقة بسيطة للاعتراض على القرار، وشخصاً يراجعه. إن أغفلت ذلك فأنت معرّض لغرامة بين 5,000 و10,000 ريال عُماني.

أثر ذلك على الميزانية والجدول الزمني والمخاطر

إذا خُطط لهذه القائمة من البداية، فهي في تقديرنا تضيف أياماً لا أسابيع إلى النسخة الأولى، مع مراجعة قانونية قصيرة لإشعار الخصوصية. أما إضافتها بعد الإطلاق فتعني تعديل كل شاشة تجمع بيانات، ونقل السجلات المخزّنة، وربما تغيير الاستضافة، والمستخدمون يعتمدون على المنتج فعلاً.

أما المخاطرة فواضحة: تسرب لم تُبلغ عنه في وقته، أو استبيان أمني من عميل كبير لا تملك إجاباته، قد يعطّل إطلاقاً أو صفقة لأشهر. في Excodia Labs نكتب خريطة البيانات في الأسبوع الأول من المشروع، قبل تصميم أي شاشة، لأنها تغيّر ما نبنيه وأين نستضيفه.

أسئلة تطرحها على أي فريق قبل التوقيع

• ما البيانات الشخصية التي سيجمعها المنتج؟ وهل يمكن أن نرى خريطة البيانات؟
• أين ستُستضاف البيانات؟ وهل يناسب ذلك كل دولة سنطلق فيها؟
• كيف ستحفظون كلمات المرور وتحمون حسابات الإدارة؟
• كيف نصدّر بيانات مستخدم واحد أو نحذفها، وكم يستغرق ذلك؟
• لو وقع تسرب ليلة جمعة، من سيعرف به، وكيف؟
• من يملك حسابات السحابة ومفاتيح التشفير بعد التسليم؟

الفريق الجيد يجيب عن هذه الأسئلة بكلام واضح. والإجابات الغامضة هنا تعني في الغالب عملاً غامضاً فيما بعد.

خلال هذا الأسبوع، اكتب كل حقل ستطلبه النسخة الأولى من المستخدم، واشطب ما لا تحتاجه أي ميزة. ثم أرسل الأسئلة الستة إلى الفرق التي تتفاوض معها، واطلب من محامٍ في سوقك الرئيسية مراجعة إشعار الخصوصية قبل الإطلاق.