تخطَّ إلى المحتوىSkip to content
الرياض / أنظمة ذكاء هادئةAziz Al Khunizan

ابحث في الموقع

أعمال، أدوات، ومقالات. من مكان واحد.

أماكن تبدأ منها

كلمات بحثك تبقى في متصفحك.Ctrl / ⌘ K

00 · الزبدة باختصار

الاستضافة والامتثال في السعودية.

وين تقدر تستضيف بياناتك، وأي من PDPL وNDMO وNCA وCST يشملك، ووش تتحقق منه قبل ما تختار منطقة السحابة. مراجعة المصادر 27 سبتمبر 2026، وتحديث 10 أكتوبر 2026.

إعداد ، ماجستير أمن المعلومات. آخر تحديث .

الجواب المختصر

هل أقدر أستضيف البيانات خارج السعودية؟

غالبا نعم للبيانات الشخصية في القطاع الخاص، بس بمسار نظامي موثق. قطاعك أو التصنيف الحكومي ممكن يمنع.

  • البيانات الشخصية برا المملكة: مسموح حسب المادة 29 من نظام حماية البيانات الشخصية ولائحة النقل من سدايا، لغرض محدد، وبأقل قدر لازم من البيانات، ومع حماية كافية، عبر مسار معترف فيه مثل البنود التعاقدية المعيارية أو القواعد المشتركة الملزمة أو الاعتماد. تحقق هل المادة 7 توجب تقييم المخاطر.
  • قطاعك ممكن يفرض الاستضافة داخل السعودية: جهات ساما المشمولة تحتاج موافقة ساما على أي سحابة خارج السعودية، وإرشادات الأمن السيبراني من هيئة السوق المالية (البند 4.4.3) تذكر خدمات سحابية داخل السعودية.
  • البيانات المصنفة حكوميا تتبع متطلبات الموقع عند الجهة المختصة. ووصف البيانات بأنها «حساسة» في النظام لا يفرض وحده الاستضافة المحلية.
  • انتبه للمسودة: تعديلات سدايا المقترحة، المفتوحة للمرئيات لين 5 نوفمبر 2026، تضيف أصل عام بحفظ البيانات الشخصية داخل المملكة، مع بقاء النقل ممكن حسب النظام. للحين غير نافذة.

حدد نوع بياناتك وقطاعك أول، بعدها اختر المنطقة.

جاوب على 7 أسئلة عن حالتكروح لقائمة الـ90 يومشوف مصفوفة التوطين
4

أطر تنظيمية تتحقق من نطاقها: SDAIA · NDMO · NCA · CST

72 ساعة

من العلم بالتسرب لإشعار سدايا عند تحقق شروط المادة 24

5 م ر.س

الحد الأعلى للغرامة الإدارية العامة؛ وقد تزيد عند التكرار

هذه ليست استشارة قانونية. النصوص الملزمة باللغة العربية الرسمية. يجب تأكيد كل رقم ومادة ورسوم وموعد وغرامة مقابل وثائق الجهة التنظيمية الأولية (المرتبطة في قسم المصادر) ومستشار سعودي مؤهل قبل الإطلاق.

01 · الحقيقة التي لا يقولها أحد بصراحة

ما فيه نظام واحد يربط «التصنيف» بـ«مكان الاستضافة».

وصف البيانات بأنها حساسة في PDPL لا يجعلها تلقائيا مصنفة حكوميا، ولا يفرض الفئة C على كل حالة. تحقق بشكل مستقل من نطاق حوكمة البيانات وضوابط NCA وتسجيل المزود لدى CST وقيود القطاع. حذفت CCC-2:2024 ضابطين فرعيين لتوطين بيانات المزود وأحالت الجهات إلى NDMO؛ وهذا لا يسمح تلقائيا بكل استضافة خارجية.

وثق القاعدة التي تفرض موقعا أو موافقة لهذا النظام. اسم المنطقة السحابية وحده ما يثبت الامتثال.

02 · الجهات الأربع بلمحة

مَن يحكم ماذا، وماذا يطلب منك كل جهة.

اربط التزاماتك بالجهة الصح قبل لا تصمّم أي شي.

محقّق 27 سبتمبر 2026
مَن يحكم ماذا، وماذا يطلب منك كل جهة.
الجهةتحكمالأداة الأساسيةما تطلبه منك
SDAIA (PDPL)معالجة البيانات الشخصية ضمن نطاق النظامالنظام + اللائحة التنفيذية + لائحة النقلمسوغ نظامي، إشعار خصوصية، سجلات وضوابط المعالج، مسؤول حماية عند اللزوم، إشعار التسرب بشروطه ونقل مشروع
NDMOحوكمة البيانات الوطنية وتصنيفها ضمن نطاق السياساتسياسات حوكمة البيانات + سياسة التصنيفتحقق من شمول المنشأة أو البيانات بالسياسة، ثم طبق التصنيف وقواعد التعامل ذات الصلة
NCAالأمن السيبراني للجهات الداخلة في نطاق كل وثيقةECC-2:2024 · NCNICC-1:2025 · CCC · DCC · NCS · CSCCحدد خط الأساس وأي تعميم من الهيئة؛ استخدام السحابة وحده لا يجعل كل الضوابط إلزامية
CSTتقديم الخدمات السحابية وتسجيل مزوديهاتنظيمات تقديم خدمات الحوسبة السحابيةالمزود يتحقق من متطلبات التسجيل؛ والعميل يتحقق من الجهة المسجلة وفئتها ونطاق الخدمة

03 · الخطوة الأولى: صنّف

مستويات NDMO الأربعة، والفرق في PDPL بين الشخصي والحساس.

إذا كانت سياسة NDMO تنطبق، صنف البيانات حسب مستوياتها الأربعة. وحدد بشكل مستقل البيانات الشخصية والحساسة في PDPL؛ التصنيفان ما يحلان محل بعض.

محقّق 27 سبتمبر 2026
م4
سري للغاية

أبلغ الأثر على المصلحة الوطنية عند كشفه. أشد معالجة وأكثرها تقييدًا للإقامة.

م3
سري

أثر بالغ. طبق متطلبات التعامل والاستضافة الصادرة عن الجهة المختصة.

م2
مقيّد

أثر محدود/داخلي. وصول مضبوط وتسجيل.

م1
عام

لا ضرر عند الإفصاح. الإقامة مرنة.

البيانات «الحساسة» في PDPL

تشمل المادة 1 البيانات الصحية والوراثية والسمات الحيوية المحددة للهوية والأصل العرقي والإثني والمعتقدات والبيانات الأمنية والجنائية ومجهولية الأبوين أو أحدهما. إذا كانت الموافقة هي المسوغ، يلزم أن تكون صريحة للبيانات الحساسة؛ مع تقييم الاستثناءات النظامية. لا تستخدم المصلحة المشروعة مسوغا لمعالجتها، والمادة 26 تستثنيها من الإذن بالتسويق.

04 · الخطوة الثانية: أين تُستضاف

مصفوفة الإقامة (مستنتجة، لا نص واحد).

هذي قائمة للتخطيط. وصف البيانات في PDPL وحده ما يحدد فئة تسجيل CST ولا يجيز نقل البيانات.

محقّق 27 سبتمبر 2026
مصفوفة الإقامة (مستنتجة، لا نص واحد).
البياناتقرار الاستضافةالتحقق من المزودالنقل عبر الحدود
عامة / غير شخصيةراجع العقود وقواعد القطاعتحقق من التسجيل ونطاق الخدمةقواعد نقل PDPL تخص البيانات الشخصية
شخصية غير حساسةمحلية أو خارجية حسب المتطلبات المطبقةراجع التزامات المزود بشكل مستقلوثق المسار النظامي وتقييم المخاطر عند اللزوم
شخصية حساسة (صحية، حيوية…)راجع القطاع؛ الحساسية وحدها ليست شرط توطين شامللا توجد قاعدة عامة للفئة C بسبب وصف PDPL وحدهضمانات أعلى؛ وتقييم المادة 7 عند تحقق شروطه
مصنفة حكومياطبق تصنيف الجهة المختصة ومتطلبات الموقعأكد فئة المزود المعتمدة والنظام المشموللا تنقل قبل التحقق من متطلبات الجهة المختصة

تحقق من توفر كل خدمة وموقع النسخ الاحتياطية ووصول الدعم. المنطقة المعلن عنها ما تعتبر خيارا تشغيليا قائما. بيانات المزودين أدناه ليست شهادة امتثال لنظامك.

المناطق السحابية السعودية: المتاح والمعلن عنه

المناطق السحابية السعودية: المتاح والمعلن عنه
المزوّدالحالةالمنطقةمحقّق
AWS الشرق الأوسط (السعودية)معلن عنها · الموعد المستهدف ديسمبر 2026؛ غير متاحة وقت المراجعةالسعودية؛ رمز المنطقة غير مؤكد2026-09-27
Google Cloud الدماممتاحة · الفئة C؛ الفوترة السعودية عبر CNTXTme-central2 · الدمام2026-09-27
Microsoft Azure السعودية الشرقيةمعلن · نوفمبر 2026؛ غير متاح وقت المراجعةالمنطقة الشرقية2026-10-10
Oracle Cloud السعوديةمتاحةSaudi Arabia West (جدة) · Saudi Arabia Central (الرياض)2026-09-27
Huawei Cloud الرياضمتاحة منذ سبتمبر 2023الرياض2026-09-27
stc cloudمتاحة · الفئة C (حسب إعلان المزود)السعودية2026-09-27

تواريخ مراجعة المصادر موضحة لكل مزود. الفئة المذكورة لدى CST هي حسب إعلان المزود نفسه؛ أكد التسجيل وتوفر الخدمة قبل التعاقد.

05 · إذا طلعت أي بيانات برّه المملكة

وثق المسار النظامي لكل تدفق بيانات إلى الخارج.

لا تفترض أن الوجهة معتمدة: لم تعثر هالمراجعة على قائمة كفاية منشورة من سدايا. تحقق من الوضع الحالي للوجهة المقصودة.

محقّق 27 سبتمبر 2026

تحكم المادة 29 ولائحة النقل أغراض النقل والحد الأدنى من البيانات ومستوى الحماية. تتيح اللائحة مسارات للكفاية ولضمانات محددة بشروط واستثناءات محدودة. البنود المعيارية والقواعد المشتركة الملزمة والاعتماد ليست بدائل متاحة لكل نقل؛ حدد النص المناسب لحالتك.

تقييم مخاطر النقل (TRA)

تلزم المادة 7 بالتقييم قبل النقل الذي يعتمد على ضمانات المادة 4، وكذلك النقل المستمر أو واسع النطاق للبيانات الحساسة. وثق الوجهة والمستلمين والنقل اللاحق والضوابط. تحقق من شرط الانطباق بدل معاملة كل نقل بنفس الطريقة.

قواعد النقل الحالية: مصدر سدايا. نسخة أغسطس 2024 هي النص المنشور الذي عثرت عليه هالمراجعة. مقترح الاستطلاع العام وحده لا يثبت نفاذ نص بديل.

06 · الخطوة الثالثة: أمّن

حزمة ضوابط NCA التي يجب أن تطبّقها فعلًا.

تشمل ECC-2:2024 الجهات الحكومية والبنى التحتية الوطنية الحساسة. وتشمل NCNICC-1:2025 المنشآت الخاصة الصغيرة والمتوسطة والكبيرة غير المصنفة كبنية حساسة التي تعمم عليها NCA. تحقق من النطاق والفئة والمهلة. وتنشر الهيئة دليل GCCC-CSP لعام 2026 لتطبيق ضوابط مزودي السحابة؛ وهو يدعم CCC-2:2024 ولا يستبدلها.

محقّق 27 سبتمبر 2026
حزمة ضوابط NCA التي يجب أن تطبّقها فعلًا.
مجموعة الضوابطتنطبق عندمافي سطر
ECC-2:2024الجهات الحكومية والبنى التحتية الحساسة المشمولةالضوابط الأساسية للأمن السيبراني؛ تحقق من النطاق قبل اعتبارها خط الأساس
NCNICC-1:2025المنشآت الخاصة الصغيرة والمتوسطة والكبيرة غير الحساسة التي تعمم عليها NCAالفئة أ: 65 ضابطا عبر 3 مجالات؛ الفئة ب: 26 ضابطا في مجال واحد. راجع تعميم الهيئة ومعايير الحجم الرسمية
CCC-2:2024 + دليل GCCC-CSP-2:2026مستفيدو السحابة الحكوميون والبنى الحساسة المشمولون ومزودوهمواجبات مستقلة للمزود والمستفيد. دليل 2026 للتطبيق؛ ومتطلبات الموقع تحتاج مراجعة NDMO وPDPL والقطاع
DCC-1:2022الجهات الحكومية والبنى الحساسة المشمولةضوابط لحماية البيانات؛ اربط مصطلحات التصنيف الرسمية بسياسة بياناتك
NCS-1:2020عندما تتطلب الضوابط المطبقة استخدام التشفيرراجع النسخة المنشورة لدى NCA؛ وجود مسودة للاستطلاع لا يثبت نفاذ معيار بديل
CSCC-1:2019الأنظمة الحساسة الداخلة في النطاقضوابط إضافية للأنظمة الحساسة؛ النظام الحكومي ليس حساسا تلقائيا

ما أنت متأكد إن NCA تنطبق عليك؟ ← هل تنطبق ضوابط NCA على شركتي؟

AI · إذا كنت تبني أو تستخدم الذكاء الاصطناعي

قواعد الذكاء الاصطناعي: وش الملزم اليوم، ووش اللي للحين مسودة.

ما وجدنا في هالمراجعة نظاما نافذا خاصا بالذكاء الاصطناعي. الالتزامات الملزمة لأنظمة AI تجي من نظام حماية البيانات الشخصية وضوابط NCA والأنظمة القطاعية، وفوقها أطر وإرشادات تنشرها SDAIA وNCA. تحقق من حالة كل وثيقة قبل ما تعتبرها متطلبا.

محقّق 27 سبتمبر 2026
قواعد الذكاء الاصطناعي: وش الملزم اليوم، ووش اللي للحين مسودة.
الوثيقةالجهةالحالة (27 سبتمبر 2026)وش تعني لك
نظام حماية البيانات الشخصية ولائحته التنفيذيةSDAIAنافذبيانات التدريب والاسترجاع وبناء الملفات التعريفية تحتاج مسوغا نظاميا. وتقييم الأثر الموثق (المادة 25 من اللائحة التنفيذية) يشمل القرارات الآلية والتقنيات الناشئة.
مبادئ أخلاقيات الذكاء الاصطناعي (الإصدار 1.0)SDAIAمنشورة في سبتمبر 2023؛ التسجيل اختياريسبعة مبادئ منها العدالة والخصوصية والأمن والشفافية والمساءلة. وتقدم SDAIA أداة تقييم ذاتي لأخلاقيات الذكاء الاصطناعي وخدمة اعتماد لمقدمي خدماته.
الإطار الوطني لإدارة مخاطر الذكاء الاصطناعيSDAIAأُطلق في 14 يوليو 2026؛ منهجية وليس نظامامنهجية وطنية لتحديد مخاطر الذكاء الاصطناعي وتقييمها ومعالجتها ومتابعتها. استخدمه لتنظيم سجل المخاطر عندك.
إرشادات الذكاء الاصطناعي التوليدي للجهات الحكومية، وإرشادات التزييف العميق، وإطار تبني الذكاء الاصطناعيSDAIAأدلة منشورة (2025)؛ حالة اعتماد إرشادات التزييف العميق غير مؤكدةممارسات لاستخدام الذكاء الاصطناعي التوليدي والمحتوى المصطنع والتخطيط للتبني. إرشادية وليست قواعد ملزمة.
إرشادات الأمن السيبراني للذكاء الاصطناعيNCAمسودة؛ استطلاع عام من 5 يوليو إلى 5 أغسطس 2026تغطي الحوكمة والتحصين والصمود والأطراف الخارجية، ومنها الذكاء الاصطناعي التوليدي والوكيلي. غير نافذة بعد.
سياسة الذكاء الاصطناعي المسؤول، وسياسة الذكاء الاصطناعي أولاSDAIA (NDMO)مسودتان؛ انتهى استطلاعهما في 7 يونيو و28 يوليو 2026مؤشر على اتجاه السياسة الوطنية. غير ملزمتين.
مشروع نظام Global AI HubCSTمسودة؛ استطلاع من 14 أبريل إلى 14 مايو 2025؛ لم يصدرمشروع نظام طرحته CST للاستطلاع. تابعه، ولا تعتمد عليه قبل صدوره.
ضوابط تقنيات مكافحة الاحتيالSAMAنافذة على المؤسسات المالية المشمولةتعلم الآلة أو الذكاء الاصطناعي المستخدم في مكافحة الاحتيال لازم ما يكون «صندوقا أسود»، ولازم يكون قابلا للتدقيق.
إرشادات الأجهزة الطبية المعتمدة على الذكاء الاصطناعي وتعلم الآلة (MDS-G010)SFDAإرشاد، الإصدار 1.0 (نوفمبر 2022)متطلبات التصنيف والاستخدام المقصود لهالأجهزة.
سياسة المشاركة في البيئة التجريبية للذكاء الاصطناعي في التعليم الرقميالمركز الوطني للتعليم الإلكترونيالفترة المذكورة سابقًا: 2 سبتمبر إلى 1 أكتوبر 2026؛ الحالة النهائية غير مؤكدةمر الموعد المذكور. استرجعنا المسودة من استطلاع في 2 أكتوبر 2026، لكن لم تتأكد حالة الإغلاق الحالية أو الاعتماد النهائي. تحقق من المركز قبل الاعتماد عليها.

قائمة تدقيق امتثال الذكاء الاصطناعي في صفحة القوالب تحول هالجدول إلى خطوات. قرأنا المواعيد في 27 سبتمبر 2026، وحدثنا ملاحظة NELC في 2 أكتوبر. مرور موعد الاستطلاع ما يثبت الاعتماد النهائي.

07 · إذا كنت مزوّد استضافة

تحقق من تسجيل المزود والخدمة التي تتعاقد عليها.

تختلف واجبات عميل السحابة عن واجبات مزودها. يدرج عرض CST للفئات الأفراد والقطاعين الخاص وغير الربحي ضمن A وB وC، ويتوسع نطاق البيانات الحكومية بحسب الفئة. تحقّق من تسجيل المزود الحالي والمتطلبات الأخرى لبياناتك قبل التعاقد.

محقّق 27 سبتمبر 2026
Q
الفئة التأهيلية

فئة التسجيل الأولى في هيكل CST (القرار 506/1445 والدليل التأهيلي بالإصدار الثاني). راجع دليل المزود الحالي لمعرفة ما تغطيه.

A
الفئة A

البيانات الحكومية العامة، إلى جانب خدمة الأفراد والقطاعين الخاص وغير الربحي.

B
الفئة B

تضيف البيانات الحكومية المسماة Confidential في عرض CST الإنجليزي إلى نطاق الفئة A.

C
الفئة C

تضيف البيانات الحكومية السرية والسرية للغاية إلى نطاق الفئة B. التسجيل وحده لا يجيز حمولة عمل بعينها.

بدأ نفاذ تنظيمات السحابة بالإصدار الرابع ودليل المزود بالإصدار الخامس في 10 أكتوبر 2023. وعلى مشغلي خدمات مراكز البيانات تقييم تنظيمات CST المستقلة لمراكز البيانات، النافذة منذ 1 يناير 2024. وصف البيانات بالحساسة وفق PDPL لا يحدد الفئة C تلقائيًا؛ أكّد التصنيف وشروط التسجيل والموافقات القطاعية المنطبقة.

08 · كلفة الخطأ

العقوبات، وعدّاد الـ72 ساعة.

يفرق نظام حماية البيانات المعدل بين المخالفات الإدارية وجريمة محددة تخص البيانات الحساسة. عقوبة النقل القديمة (سنة ومليون ريال) ليست في المادة 35 الحالية، وحذفت من هالدليل.

محقّق 27 سبتمبر 2026
5 م ر.س

أعلى غرامة إدارية عامة وفق المادة 36؛ مع إتاحة الإنذار

سنتان / 3م

جريمة المادة 35: سجن و/أو غرامة مع تحقق القصد المحدد

72 ساعة

إشعار التسرب من وقت العلم عند تحقق شروط المادة 24

عدّاد الخرق: 72 ساعة

أشعر سدايا خلال 72 ساعة من العلم إذا كان التسرب قد يضر بالبيانات الشخصية أو صاحبها، أو يتعارض مع حقوقه أو مصالحه. وتلزم المادة 24 أيضا بإشعار صاحب البيانات دون تأخير غير مبرر عند تحقق شروطها. قيم الحادثة بسرعة ووثق قرار الإشعار.
الطبقات القطاعيةمحقّق 27 سبتمبر 2026

ما الذي يتغيّر بحسب القطاع.

ابدأ بتحديد نطاق كل جهة تنظيمية. يحكم PDPL معالجة البيانات الشخصية المشمولة، وقد يضيف القطاع متطلبات أخرى. يشمل NCNICC المنشآت الخاصة غير الحرجة التي تعمم عليها NCA وفق نطاق الوثيقة.

الحكومة والقطاع العام

الجهات التنظيمية

NDMO (سدايا)NCADGA

أهم الالتزامات

  • حوكمة البيانات الوطنية (NDMO): التصنيف، والمشاركة، والبيانات المفتوحة، وحرية المعلومات.
  • الضوابط الأساسية للأمن السيبراني ECC-2:2024 (وDCC-1:2022 للبيانات) كخط أساس.
  • التصنيف يقود المعالجة، فصنّف قبل أن تستضيف.

ملاحظة الاستضافة

طبق متطلبات التعامل والسحابة حسب تصنيف البيانات الحكومية. تغطي الفئة C السري والسري للغاية؛ ولا تلزم تلقائيا لكل البيانات الحكومية.

المطبّ

قد يشير مستوى «مقيّد» في NDMO و«سري/Confidential» في NCA/CCC إلى المستوى نفسه، فوفّق بين المصطلحين قبل ربط الضوابط.

المصادر: [1][2]

الرعاية الصحية

الجهات التنظيمية

سدايا (PDPL)الجهة المختصة بالقطاع الصحي؛ NCA ضمن نطاقها

أهم الالتزامات

  • البيانات الصحية حساسة بموجب PDPL. قيد الوصول والمعالجة بالأشخاص والأغراض اللازمة للرعاية.
  • قيم مخاطر نقل المادة 4 والنقل المستمر أو واسع النطاق للبيانات الحساسة.
  • تحقق من متطلبات القطاع الصحي الإضافية للجهة والخدمة المحددة.

ملاحظة الاستضافة

قد تبسط الاستضافة المحلية تصميم النظام. حساسية البيانات في PDPL وحدها لا تثبت شرطا عاما للتوطين أو الفئة C؛ النقل يحتاج مسارا نظاميا ومراجعة القطاع.

المطبّ

الموافقة وضمانات النقل لا تتجاوز قيود القطاع ولا تلغي وجوب تقييد الوصول للبيانات الصحية.

المصادر: [1][2]

الخدمات المالية

الجهات التنظيمية

ساما (SAMA)سدايا (PDPL)NCA

أهم الالتزامات

  • لجهات ساما المشمولة: تقييم مخاطر وفحص المزود قبل اعتماد السحابة العامة أو الهجينة.
  • احصل على موافقة ساما قبل الاستخدام أو توقيع العقد السحابي.
  • طبق PDPL بشكل مستقل على البيانات الشخصية والنقل خارج المملكة.
  • جهات السوق المالية: إرشادات الأمن السيبراني من CMA (البند 4.4.3) تنص على استخدام خدمات الحوسبة السحابية داخل المملكة.
  • الذكاء الاصطناعي المستخدم في مكافحة الاحتيال لازم يكون قابلا للتدقيق وما يكون «صندوقا أسود» (ضوابط SAMA).

ملاحظة الاستضافة

ينص إطار ساما على استخدام سحابة داخل المملكة من حيث الأصل؛ واستخدامها خارج المملكة يحتاج موافقة صريحة من ساما.

المطبّ

يغطي القسم 3.4.3 السحابة العامة والهجينة للجهات المشمولة ويستثني السحابة الداخلية الخاصة. وجود بيانات مالية وحده لا يثبت انطباق ساما.

المصادر: [1][2][3]

التجزئة والتجارة الإلكترونية

الجهات التنظيمية

سدايا (PDPL)NCA (NCNICC-1:2025)قواعد التجارة الإلكترونية (وزارة التجارة)

أهم الالتزامات

  • اجمع موافقة التسويق ووفر وسيلة لإيقافه.
  • تحقق من تعميم NCA وفئة الحجم قبل تحديد التزامات NCNICC.
  • انشر إشعار الخصوصية واجمع الموافقة قبل المعالجة إذا كانت هي الأساس النظامي.
  • المادة 5 من نظام التجارة الإلكترونية: احتفظ ببيانات العميل للمدة اللي يحتاجها التعامل فقط، واحمها، ولا تفصح عنها دون موافقته إلا إذا أوجب النظام ذلك.
  • الفوترة الإلكترونية: تسمح ZATCA بحل سحابي أو مركز بيانات خارج المملكة إذا كان الفرع داخل المملكة يقدر يصل لكل السجلات (المادة 66 من اللائحة التنفيذية لنظام ضريبة القيمة المضافة).

ملاحظة الاستضافة

لا يفرض PDPL استضافة محلية عامة لبيانات العملاء. راجع شروط النقل ومتطلبات خدمات الدفع أو القطاع بشكل مستقل.

المطبّ

الشراء وحده لا يمنح موافقة على تسويق لا يرتبط به.

المصادر: [1][2][3][4][5]

التعليم والتقنية التعليمية

الجهات التنظيمية

سدايا (PDPL)NCA (NCNICC-1:2025)سياق وزارة التعليم / TVTC

أهم الالتزامات

  • حدد متطلبات موافقة الولي الشرعي عند معالجة بيانات ناقصي أو عديمي الأهلية.
  • تحقق من تعميم NCA وفئة المنشأة الخاصة غير الحرجة.
  • وثق عقود المعالجين وأغراض المعالجة ومواقعها.

ملاحظة الاستضافة

في بيانات الطلاب الشخصية يُفضّل داخل المملكة أو النقل وفق ضمانات؛ ووثّق المعالجين الذين يتعاملون مع بيانات القُصّر.

المطبّ

بيانات الأطفال لا تصبح حساسة في PDPL بسبب العمر وحده. تحقق من نوع البيانات ومتطلبات الأهلية معا.

المصادر: [1][2]

المنشآت الصغيرة والمتوسطة والشركات الناشئة (أي قطاع)

الجهات التنظيمية

سدايا (PDPL)NCA (NCNICC-1:2025 الفئة ب)

أهم الالتزامات

  • ينطبق PDPL على المعالجة المشمولة؛ حجم الشركة ليس إعفاء عاما.
  • إذا عممت عليك NCA وكانت منشأتك صغيرة أو متوسطة، تحقق من ضوابط الفئة B وعددها 26 ومن مهلة التعميم.
  • ابدأ بالأساس النظامي والإشعارات وضبط الوصول والنسخ الاحتياطي والاستجابة للحوادث.

ملاحظة الاستضافة

اختر خدمة متاحة تحقق شروط الاستضافة والنقل المنطبقة. تحقق من تسجيل المزود وتوفر المنطقة؛ الفئة C ليست شرطا عاما للمنشآت الصغيرة والمتوسطة.

المطبّ

عدد الموظفين وحده لا يثبت إلزام NCNICC. راجع النطاق الرسمي وفئة منشآت وأي تعميم من NCA.

المصادر: [1][2]

09 · الاختصار

مرشد الامتثال: جاوب على أربعة أشياء، وخذ حزمتك.

تحدد إجاباتك مسائل تحتاج مراجعة: الإقامة وتسجيل المزود ونطاق NCA ومسؤول حماية البيانات ومتطلبات القطاع. الناتج أداة تخطيط؛ أربع إجابات ما تكفي لحسم كل التزاماتك النظامية.

ما أنواع البيانات التي يتعامل معها النظام؟

اختر كل ما ينطبق.

هل ستخرج أي بيانات من المملكة (نقل عابر للحدود)؟
هل تقدّم خدمات استضافة / سحابية للغير؟

أي أنك المزوّد، لا مجرد عميل.

أي قطاع؟

اسأل مساعد الامتثال

الإجابات مأخوذة فقط من قاعدة المعرفة الموثّقة في هذه الصفحة وتستشهد بمصدرها [S#]. ويخبرك متى لا يوجد مصدر موثّق بدل التخمين.

جرّب سؤالًا:

ليست استشارة قانونية. أكّد مقابل وثائق الجهات التنظيمية الأولية (انظر قسم المصادر) ومستشار سعودي مؤهل قبل الإطلاق.

هل أنا ممتثل؟محقّق 14 سبتمبر 2026

أي الأنظمة السعودية تنطبق عليّ؟

جاوب على 7 أسئلة لتعرف الأطر والفحوصات المرتبطة بنظامك. كل نتيجة مرتبطة بمصدرها.

هل تعالج بيانات شخصية لأشخاص في السعودية؟
هل تشمل بيانات حساسة حسب النظام، مثل الصحة أو السمات الحيوية المحددة للهوية أو الدين؟
هل صُنّفت أنظمتك كبنية تحتية وطنية حرجة (CNI)؟
القطاع الرئيسي؟
حجم الشركة؟
هل عممت NCA على منشأتك الخاصة غير الحرجة بتطبيق NCNICC؟
هل ستخرج أي بيانات شخصية من السعودية (منطقة سحابية، أو مقر، أو مورّد بالخارج)؟

10 · اختصار التسعين يومًا

القائمة الرئيسية: مسار واحد حتى الإطلاق.

كل ما سبق في صفحة واحدة، على مراحل. هذه نسخة «الاختصار» لكل ما تقدّم.

الأيام 1–30

المرحلة 1: الاكتشاف والتصنيف

  • حصر كل مجموعة بيانات ونظام (لا تحمي ما لا تراه)
  • تحقق من نطاق NDMO وصنف البيانات المشمولة: سري للغاية / سري / مقيد / عام
  • وسم البيانات الشخصية والحساسة بموجب PDPL
  • رسم كل تدفقات البيانات، خصوصًا ما يعبر حدود المملكة
  • تحديد الاستضافة المطلوبة لكل مستوى (مصفوفة الإقامة)

الأيام 31–60

المرحلة 2: التصميم والتوثيق

  • اختر منطقة متاحة بخدمات تغطي احتياجك؛ لا تعتمد تشغيل الإنتاج على منطقة لم تفتح بعد
  • عيّن مسؤول حماية عند اللزوم: جهة عامة تقدم خدمات تعالج بيانات شخصية على نطاق واسع، أو نشاط أساسي يتطلب مراقبة منتظمة وممنهجة، أو يعالج بيانات حساسة
  • نشر إشعار خصوصية متوافق مع PDPL
  • بناء سجل أنشطة المعالجة (ROPA)
  • توقيع اتفاقيات معالجة مع كل معالج؛ وجمع قوائم المعالجين الفرعيين
  • وثق مسار النقل للخارج وأنجز تقييم المخاطر عندما تتطلبه المادة 7

الأيام 61–90

المرحلة 3: الضبط والإثبات

  • تحقق من نطاق NCA وأي تعميم: ECC-2 أو NCNICC حسب الحالة، ثم أضف ضوابط السحابة والبيانات المطبقة
  • تشفير عند التخزين والنقل؛ وإدارة مفاتيح وفق NCS
  • تجهيز دليل الاستجابة للخرق خلال 72 ساعة، واختباره
  • إن كنت مزوّد استضافة ← التسجيل لدى CST (التأهّل حسب الفئة)
  • دقق متطلبات PDPL وNDMO وNCA وCST التي تنطبق فعليا وعالج الفجوات
  • تحديد دورة مراجعة: إعادة تقييم التصنيف والنقل كل 12–24 شهرًا

هذه ليست استشارة قانونية. أكّد التفاصيل مقابل وثائق الجهات التنظيمية الأولية ومستشار سعودي مؤهل قبل الإطلاق.

حالة الإنفاذمحقّق 27 سبتمبر 2026

التزامات نظام حماية البيانات الشخصية سارية.

انتهت الفترة الانتقالية في 14 سبتمبر 2024. قرار الاستضافة يحتاج مراعاة النظام الحالي ولوائحه التنفيذية.[S1]

ما تقرره النصوص الحالية

  • تقرر المادة 36 الإنذار أو غرامة تصل إلى 5 ملايين ريال للمخالفات المشمولة. ويجوز مضاعفة الغرامة عند التكرار حتى 10 ملايين ريال، والمضاعفة جوازية وليست تلقائية.
  • أعلنت SDAIA صدور 48 قرارا بمخالفات بموجب المادة 36 خلال 2025 (إعلان 16 يناير 2026)، ولم تنشر إجمالي مبالغ الغرامات.
  • تتناول المادة 35 الإفصاح أو النشر المخالف للبيانات الحساسة بقصد الإضرار بصاحب البيانات أو تحقيق منفعة شخصية: سجن حتى سنتين و/أو غرامة حتى 3 ملايين ريال.
  • تبدأ مهلة الإشعار البالغة 72 ساعة من العلم بالتسرب عند تحقق شروط الضرر أو التعارض مع الحقوق أو المصالح في المادة 24.
  • راجع المسوغ النظامي وعقد المزود ومواقع المعالجة والوصول من الخارج قبل الإطلاق.

لكل التزام وعقوبة شروط محددة. ارجع للنظام المعدل الحالي، ولا تعتمد على ملخص عقوبات مأخوذ من نص 2021 الأصلي.[S2]

ماذا يعني هذا لقرارات الاستضافة

الاستضافة المحلية قد تسهل تلبية شرط الإقامة، لكن قاعدة البيانات الرئيسية جزء من المسار. راجع النسخ الاحتياطية والسجلات وطلبات الذكاء الاصطناعي ووصول الدعم من الخارج. ووثق المسار النظامي للنقل وتقييم المخاطر المطلوب حسب الحالة.[S3]

مراجعة 27 سبتمبر 2026 بالرجوع إلى مصادر سدايا. أكد النص العربي المطبق والمتطلبات القطاعية قبل الاعتماد على قرار الاستضافة.
الخط الزمنيمحقّق 27 سبتمبر 2026

كيف وصلنا إلى امتثال السحابة في السعودية، وما القادم.

قواعد وأدلة منشورة وإعلانات مزودين مختارة. تاريخ الإعلان أو المراجعة ليس بالضرورة تاريخ النفاذ. حدثنا ملاحظتي NELC وAzure في 2 أكتوبر 2026؛ ومراجعة المصادر الأوسع في 27 سبتمبر.

  1. نوفمبر 2023منجز

    افتتاح Google Cloud الدمام↗

    منطقة me-central2 متاحة؛ توفر كل خدمة وضوابط السيادة يحتاج تحقق مستقل.

  2. 14 سبتمبر 2024منجز

    انتهاء الفترة الانتقالية لنظام حماية البيانات↗

    متطلبات معالجة البيانات الشخصية ونقلها ليست التزاما مؤجلا.

  3. إصدار 2024؛ صفحة يوليو 2025منجز

    CCC-2:2024 وتحديث ضوابط الموقع↗

    يحذف الملحق د ضابطين فرعيين للمزود ويحيل متطلبات التوطين إلى NDMO. لا يعني ذلك السماح الشامل بالاستضافة الخارجية.

  4. 28 ديسمبر 2025فعّال

    نشر NCNICC-1:2025↗

    يشمل النطاق المنشآت الخاصة الصغيرة والمتوسطة والكبيرة غير الحساسة التي تعمم عليها NCA. راجع الفئة والمهلة في التعميم.

  5. 16 يناير 2026منجز

    SDAIA تعلن 48 قرارا بمخالفات نظام حماية البيانات في 2025↗

    شملت القرارات الصادرة بموجب المادة 36 الجمع أو المعالجة دون مسوغ، والإفصاح دون سند نظامي، وضعف التدابير، والرسائل التسويقية دون موافقة. ولم يُنشر إجمالي مبالغ الغرامات.

  6. 6 مارس 2026منجز

    نشر قواعد شهادات الاعتماد وترخيص التدقيق في حماية البيانات↗

    نُشرت في أم القرى قواعد شهادات الاعتماد وترخيص أنشطة التدقيق والفحص، ويبدأ العمل بها من تاريخ نشرها في موقع SDAIA.

  7. 19 يونيو 2026منجز

    نشر قواعد تحقيق العائد من البيانات الحكومية↗

    قواعد لتحويل البيانات الحكومية إلى منتجات وخدمات، وتستثني البيانات المصنفة سري فأعلى.

  8. دليل 2026فعّال

    دليل تطبيق ضوابط السحابة لمزودي الخدمة↗

    الدليل GCCC-CSP-2:2026 المرتبط بصفحة NCA يساعد المزود على التطبيق وتجهيز أدلة الالتزام. ليس بديلا عن CCC-2:2024.

  9. 14 يوليو 2026منجز

    إطلاق الإطار الوطني لإدارة مخاطر الذكاء الاصطناعي↗

    منهجية وطنية لتحديد مخاطر الذكاء الاصطناعي وتقييمها ومعالجتها ومتابعتها. إرشادية وليست نظاما.

  10. 5 يوليو إلى 5 أغسطس 2026منتظر

    انتهاء استطلاع إرشادات NCA للأمن السيبراني للذكاء الاصطناعي↗

    مسودة تغطي الحوكمة والتحصين والصمود والأطراف الخارجية، ومنها الذكاء الاصطناعي التوليدي والوكيلي. غير نافذة وقت المراجعة.

  11. الموعد المذكور سابقًا: 1 أكتوبر 2026منتظر

    استطلاع: البيئة التجريبية للذكاء الاصطناعي في التعليم الرقمي↗

    مر موعد الاستطلاع المذكور سابقًا. ما زالت منصة استطلاع تعرض المسودة المسترجعة في 2 أكتوبر 2026؛ ولم تتأكد حالة الإغلاق الحالية أو الاعتماد النهائي. راجع المركز للحصول على السياسة النهائية.

  12. 6 أكتوبر إلى 5 نوفمبر 2026 (استطلاع)فعّال

    مسودة تعديل اللائحة التنفيذية لنظام حماية البيانات الشخصية: المرئيات تقفل 5 نوفمبر↗

    مسودة سدايا في جولتها الثانية مفتوحة على منصة استطلاع لين 5 نوفمبر 2026، وهي غير نافذة؛ وتصير نافذة بعد 60 يوم من نشرها في الجريدة الرسمية. من التعديلات المقترحة: فقرة جديدة في المادة 23 تلزم جهة التحكم بحفظ البيانات الشخصية داخل المملكة، مع بقاء النقل للخارج حسب النظام ولوائحه؛ والإبلاغ عن التسرب خلال 72 ساعة بدون شرط الضرر الحالي (المادة 24)؛ والتسجيل في السجل الوطني لجهات التحكم لمن ينقل بيانات شخصية للخارج، ضمن حالات ثانية (المادة 34)؛ ومهلة 20 يوم عمل للرد على طلبات سدايا. فحص صفحة المشروع على منصة استطلاع في 10 أكتوبر 2026.

  13. نوفمبر 2026 (معلن)منتظر

    Azure السعودية الشرقية: نوفمبر 2026↗

    في 31 أغسطس 2026 قالت Microsoft إن المنطقة بتكون متاحة للعملاء في نوفمبر 2026. ما كانت متاحة وقت الفحص في 10 أكتوبر 2026؛ أكد توفر الخدمات قبل الالتزام.

  14. ديسمبر 2026 (مستهدف)قادم

    منطقة AWS السعودية: الموعد المستهدف ديسمبر 2026↗

    تذكر AWS أن الإطلاق مستهدف في ديسمبر 2026. وقت هالمراجعة ما كانت المنطقة متاحة ولا تأكد رمزها؛ تعامل مع الموعد كخطة من المزود.

11 · أظهر عملك

المصادر الأولية وفهرس الاستشهاد.

مصادر المراجعة التنظيمية وبيانات المزودين. اختلاف تاريخ المراجعة عن تاريخ الوثيقة لا يعني تغير النظام.

govمصدر حكومي رسميpressبيان مزود الخدمة
  1. govنظام حماية البيانات الشخصية المعدل(Articles 1, 6, 26, 29, 35–36)
  2. govاللائحة التنفيذية لنظام حماية البيانات(Article 24)
  3. govاستطلاع: مسودة تعديل اللائحة التنفيذية لنظام حماية البيانات الشخصية(الاستطلاع 6 أكتوبر إلى 5 نوفمبر 2026 · غير نافذة · فحص 10 أكتوبر 2026)
  4. govسدايا: خدمة إشعار التسرب وشروطها(27 سبتمبر 2026)
  5. govلائحة نقل البيانات الشخصية خارج المملكة(August 2024 · Articles 3, 4, 7)
  6. govسياسات حوكمة البيانات الوطنية(NDMO · Version 1)
  7. govالضوابط الأساسية للأمن السيبراني(ECC-2:2024)
  8. govضوابط الأمن السيبراني للقطاع الخاص غير ذي البنى التحتية الحساسة(NCNICC-1:2025 · 27 سبتمبر 2026)
  9. govضوابط الأمن السيبراني للحوسبة السحابية(CCC-2:2024 · Annex D)
  10. govدليل تطبيق ضوابط الحوسبة السحابية لمزودي الخدمة(GCCC-CSP-2:2026 · 27 سبتمبر 2026)
  11. govضوابط الأمن السيبراني للبيانات(DCC-1:2022)
  12. govتنظيمات تقديم خدمات الحوسبة السحابية(CST · التنظيمات v4 ودليل المزود v5 · نافذة منذ 10 أكتوبر 2023)
  13. govعرض CST للحوسبة السحابية: فئات تسجيل المزودين(الشكل 4 · الصفحة 21 · نطاق البيانات الحكومية بحسب الفئة)
  14. govإعلان CST لتنظيمات تقديم خدمات مراكز البيانات(تسجيل مستقل لمراكز البيانات · نافذة منذ 1 يناير 2024)
  15. govساما: الحوسبة السحابية(3.4.3 · In force)
  16. pressAWS: المناطق ومناطق التوفر(27 سبتمبر 2026)
  17. pressGoogle Cloud: الوصول للدمام وفوترة CNTXT وتسجيل الفئة C(تحديث الوثيقة 3 سبتمبر 2026 · مراجعة 27 سبتمبر 2026)
  18. pressMicrosoft: إتاحة منطقة السعودية الشرقية في نوفمبر 2026(31 أغسطس 2026 · 10 أكتوبر 2026)
  19. govالمعايير الوطنية للتشفير(NCS-1:2020 · 27 سبتمبر 2026)
  20. govقواعد تعيين مسؤول حماية البيانات الشخصية(راجع شروط الانطباق)
  21. govSDAIA: 48 قرارا بمخالفات نظام حماية البيانات في 2025(واس · 16 يناير 2026)
  22. govقواعد شهادات الاعتماد وترخيص التدقيق في حماية البيانات(أم القرى · 6 مارس 2026)
  23. govقواعد تحقيق العائد من البيانات الحكومية(أم القرى · 19 يونيو 2026)
  24. govمبادئ أخلاقيات الذكاء الاصطناعي من SDAIA(الإصدار 1.0 · سبتمبر 2023)
  25. govإطلاق الإطار الوطني لإدارة مخاطر الذكاء الاصطناعي(واس · 14 يوليو 2026)
  26. govإرشادات NCA للأمن السيبراني للذكاء الاصطناعي (استطلاع)(مسودة · 5 يوليو إلى 5 أغسطس 2026)
  27. govCST: استطلاع مشروع نظام Global AI Hub(مسودة · 14 أبريل إلى 14 مايو 2025)
  28. govSAMA: تقنيات مكافحة الاحتيال(قابلية تدقيق الذكاء الاصطناعي وتعلم الآلة)
  29. govSFDA: الأجهزة الطبية المعتمدة على الذكاء الاصطناعي (MDS-G010)(الإصدار 1.0 · نوفمبر 2022)
  30. govإرشادات الأمن السيبراني من CMA(البند 4.4.3 · الحوسبة السحابية)
  31. govالأسئلة الشائعة للفوترة الإلكترونية من ZATCA(إقامة البيانات · المادة 66 من اللائحة التنفيذية لضريبة القيمة المضافة)
  32. pressAWS: إعلان المنطقة السعودية(الموعد المستهدف ديسمبر 2026 · مراجعة 27 سبتمبر 2026)

مراجعة مصادر الاستضافة وحماية البيانات والذكاء الاصطناعي: 27 سبتمبر 2026. تحديث صياغة NELC في 2 أكتوبر 2026: مر موعد الاستطلاع ولم يتأكد الاعتماد النهائي للسياسة. تحديث 10 أكتوبر 2026: Microsoft حددت نوفمبر 2026 لمنطقة Azure السعودية الشرقية، ومسودة سدايا لتعديل اللائحة التنفيذية لنظام حماية البيانات الشخصية مفتوحة على منصة استطلاع لين 5 نوفمبر 2026 (غير نافذة). تواريخ كل مصدر موضحة أدناه.

12 · الأسئلة الشائعة

امتثال السحابة في السعودية: أسئلة متكررة.

إجابات قصيرة وموثّقة عن أوّل الأسئلة التي تطرحها الفرق. كل إجابة ترتبط بمصدرها الأولي.

هل يجب استضافة كل البيانات الحساسة داخل السعودية؟
وصف البيانات بأنها حساسة في PDPL لا يفرض وحده توطينا شاملا أو الفئة C. راجع ضوابط القطاع والتصنيف الحكومي ومسار النقل المسموح قبل تحديد الموقع.[F1]
هل يمكن للجهات الحكومية السعودية استضافة بياناتها خارج المملكة؟
ما فيه إذن شامل بذلك. البيانات الحكومية تتبع تصنيف NDMO ومتطلبات الموقع لدى الجهة المختصة. وفي السحابة، استخدم مزودا مسجلا لدى CST تغطي فئته مستوى البيانات: الفئة A للبيانات الحكومية العامة، والفئة B تضيف Confidential، والفئة C تضيف السري والسري للغاية. وضوابط CCC-2:2024 تحيل التوطين إلى NDMO ولا تعطي إذنا شاملا بالاستضافة خارج المملكة.[F13]
هل عقوبة النقل القديمة ما زالت في النظام؟
المادة 35 الحالية تخص الإفصاح أو النشر المخالف للبيانات الحساسة بقصد محدد. لا تتضمن عقوبة النقل القديمة: سنة ومليون ريال. المخالفات الأخرى تحتاج تقييم المادة 36 والنصوص المطبقة.[F2]
هل أقدر أنقل بيانات شخصية خارج السعودية؟
قد يسمح النقل حسب الغرض والوجهة والشروط. حدد المسار في المادة 29 ولائحة النقل؛ البنود المعيارية والقواعد المشتركة الملزمة والاعتماد لها حالات محددة. تحقق من وجوب تقييم المادة 7.[F3]
هل NCNICC تشمل كل شركة خاصة تلقائيا؟
لا. نطاق النص الرسمي يشمل المنشآت الخاصة الصغيرة والمتوسطة والكبيرة غير المصنفة كبنى تحتية حساسة التي تعمم عليها NCA. الحجم وحده لا يثبت تلقي التعميم. أكد الفئة والمهلة مع الهيئة.[F4]
هل منطقة AWS السعودية متاحة الآن؟
للحين لا. تذكر AWS أن إطلاق منطقتها السعودية مستهدف في ديسمبر 2026، ووقت مراجعة 27 سبتمبر 2026 ما كانت متاحة ولا تأكد رمزها. راجع جدول المزودين قبل اختيار المنطقة.[F5]
هل موقع الخادم وحده يثبت الامتثال؟
لا. افصل ضوابط الأمن السيبراني عن مشروعية معالجة البيانات ونقلها. راجع أيضا النسخ الاحتياطية والسجلات ووصول الدعم والمزودين الفرعيين ومتطلبات القطاع.[F6]
هل كل تسرب يتطلب إشعار سدايا خلال 72 ساعة؟
تبدأ المهلة من العلم بالتسرب عندما قد يضر بالبيانات الشخصية أو صاحبها، أو يتعارض مع حقوقه أو مصالحه. قيم شروط المادة 24 ووثق القرار؛ عبارة «دون حد للأهمية» السابقة كانت غير دقيقة.[F7]
ما فائدة دليل السحابة لعام 2026؟
يساعد GCCC-CSP-2:2026 مزودي الخدمة على تطبيق CCC-2:2024 وتجهيز أدلة الالتزام. هو دليل تطبيقي، وليس إصدارا بديلا للضوابط أو موافقة على الاستضافة الخارجية.[F8]
هل فيه نظام للذكاء الاصطناعي في السعودية؟
ما وجدنا في هالمراجعة نظاما نافذا خاصا بالذكاء الاصطناعي. أنظمة AI تخضع لنظام حماية البيانات الشخصية وضوابط NCA المنطبقة والأنظمة القطاعية. مبادئ أخلاقيات الذكاء الاصطناعي من SDAIA وإطار المخاطر الصادر في يوليو 2026 إرشاديان، وإرشادات NCA للأمن السيبراني للذكاء الاصطناعي ومشروع نظام Global AI Hub مسودات.[F9]
هل أقدر أستخدم Google Analytics أو Microsoft Clarity في موقع سعودي؟
ما فيه نظام سعودي يسمي أدوات تحليلات بعينها أو يمنعها. إذا كانت الأداة تعالج بيانات زوار قابلة للتعريف خارج المملكة، فتعامل معها كنقل بيانات شخصية: حدد مسار المادة 29، واذكره في إشعار الخصوصية، وقيّم المخاطر إذا تطلبته لائحة النقل.[F10]
هل بدأت SDAIA بإنفاذ نظام حماية البيانات؟
نعم. أعلنت SDAIA صدور 48 قرارا بمخالفات خلال 2025 بموجب المادة 36، شملت الجمع أو المعالجة دون مسوغ، والإفصاح دون سند نظامي، وضعف التدابير، والتسويق دون موافقة. ولم تنشر إجمالي مبالغ الغرامات.[F11]
هل تفرض أنظمة السوق المالية أو الفوترة الإلكترونية الاستضافة داخل السعودية؟
تختلف. إرشادات الأمن السيبراني من CMA (البند 4.4.3) تنص على استخدام خدمات الحوسبة السحابية داخل المملكة. أما ZATCA فتسمح بحل سحابي أو مركز بيانات خارج المملكة إذا كان الفرع داخل المملكة يقدر يصل لكل السجلات (المادة 66 من اللائحة التنفيذية لنظام ضريبة القيمة المضافة).[F12]
مراجعة 27 سبتمبر 2026. هالمرجع لا يغني عن النصوص العربية المطبقة أو مراجعة النظام الذي تشغله.

ممكن يعجبك