ما الذي تغطيه قائمة التحقق هذه
قائمة تحقق امتثال خصوصية البيانات وفق PDPL بطاقة درجات من 15 بندًا لجمع البيانات الشخصية، والموافقة، وإشعارات الخصوصية، ومشاركة البيانات، والاحتفاظ، والتزامات جهة التحكم وفق PDPL. يُقيَّم كل معيار من 1 إلى 5 بناءً على ما يراه المدقق في يوم الزيارة، وتدخل كل فجوة في خطة الإجراءات مع مسؤول وتاريخ إغلاق.
نصيحة AutoSmart: تشرف سدايا (SDAIA) على إنفاذ نظام حماية البيانات الشخصية (PDPL) في السعودية، وتترتب على عدم الامتثال غرامات مالية. وتقع بيانات العملاء التي تُجمع عبر DMS وCRM وسجل الخدمة وأنظمة التسويق كلها ضمن نطاق PDPL. انتبه خصوصًا للموافقة التسويقية: فاستخدام بيانات العملاء في الرسائل الترويجية دون موافقة موثقة من أكثر ثغرات الامتثال شيوعًا في الوكالات.
البنود
اضغط نعم أو لا أو ربما للتجربة: تبقى إجاباتك في هذه الصفحة وتُمحى عند التحديث. للحصول على شرح مفصل، نزّل ملف PDF أو احجز عرضًا توضيحيًا.
جمع البيانات الشخصية والموافقة
- هل تُجمع البيانات الشخصية من العملاء لأغراض محددة وصريحة ومشروعة فقط كما يشترط PDPL السعودي (الصادر بالمرسوم الملكي M/19)؟
- هل يُحصل على موافقة العميل قبل جمع البيانات الشخصية المستخدمة لأغراض غير أساسية (مثل الرسائل التسويقية، ومشاركة البيانات مع أطراف ثالثة)؟
- هل يُوثَّق أساس معالجة كل فئة من البيانات الشخصية (الموافقة، أو تنفيذ العقد، أو الالتزام النظامي، أو المصلحة المشروعة)، بما يتسق مع متطلبات PDPL؟
- هل تُحدَّد البيانات الشخصية الحساسة (كما يعرّفها PDPL) وتخضع لتدابير حماية مشددة، ولا تُجمع إلا بموافقة صريحة أو أساس نظامي محدد؟
إشعارات الخصوصية ومشاركة البيانات
- هل يُقدَّم إشعار خصوصية للعملاء عند جمع البيانات أو قبله، يغطي أغراض المعالجة وفئات البيانات المجموعة وحقوق الأفراد؟
- هل إشعار الخصوصية مكتوب بعربية واضحة (أو بالعربية والإنجليزية معًا)، ومتاح للعميل، وحديث؟
- عند مشاركة البيانات الشخصية مع أطراف ثالثة (شركاء التمويل، وشركات التأمين، والشركة المصنّعة OEM أو الموزع، ووكالات التسويق)، هل يُوثَّق أساس المشاركة ويتوافق مع PDPL؟
- هل توجد اتفاقيات معالجة بيانات مع جهات المعالجة الخارجية التي تتعامل مع البيانات الشخصية نيابة عن الوكالة؟
الاحتفاظ بالبيانات وحقوق العملاء
- هل توجد سياسة للاحتفاظ بالبيانات، تحدد مدة الاحتفاظ بكل فئة من البيانات الشخصية وأساس تلك المدة؟
- هل تُحذف البيانات الشخصية أو تُجهَّل هويتها عند انتهاء مدة الاحتفاظ، بدلًا من الاحتفاظ بها إلى أجل غير مسمى؟
- هل توجد عملية للرد على طلبات العملاء للوصول إلى بياناتهم الشخصية أو تصحيحها أو حذفها، خلال المدة التي يحددها PDPL؟
التعامل مع الانتهاكات والتزامات جهة التحكم
- هل توجد عملية موثقة للاستجابة لانتهاك البيانات الشخصية، تغطي الكشف والاحتواء والتقييم والإخطار والمعالجة؟
- هل يُفهم ويُوثَّق التزام PDPL بإخطار الهيئة السعودية للبيانات والذكاء الاصطناعي (SDAIA) بالانتهاكات المشمولة خلال المدة المطلوبة؟
- هل يوجد برنامج توعية بحماية البيانات للموظفين الذين يتعاملون مع البيانات الشخصية، يغطي التزامات PDPL المتصلة بأدوارهم؟
- هل يوجد مسؤول حماية بيانات محدد بالاسم أو شخص مسؤول معادل على مستوى الوكالة أو المجموعة، يُساءل عن الامتثال لـPDPL؟
طريقة التطبيق
كيف تُحتسب الدرجات
قبل الزيارة، املأ اسم الوكيل أو المركز، والمدقق، والتاريخ، ودورة التدقيق. ثم قيّم كل بند من البنود الـ 15 من 1 إلى 5 بناءً على ما تراه في يوم الزيارة، لا على ما يطمح إليه الوكيل أو المركز، واجمع الدرجات من أصل 75.
- 1 غير مطبّق
- 2 محاولة
- 3 محدّد
- 4 مُدار
- 5 مستدام بالكامل
- أخضر 60 إلى 75 · 80% إلى 100% مطابق. حافظ على المعيار.
- كهرماني 38 إلى 59 · 50% إلى 79% يلزم التحسين: خطة إجراءات منظمة خلال 30 يومًا.
- أحمر0 إلى 37 · أقل من 50%تدخل ذو أولوية، يُصعَّد إلى الإدارة الإقليمية.
ثم أغلق كل فجوة
تدخل كل فجوة في متتبّع خطة الإجراءات، وتمر بأربع مراحل حتى يغلقها المدقق.
- 1 قيد الانتظار تم تحديد المسؤول وتاريخ الإغلاق
- 2 قيد التنفيذ العمل جارٍ وتُجمع الأدلة
- 3 مكتمل أُرسلت الأدلة للمراجعة
- 4 معتمد تحقق منه المدقق وأغلقه
