كيف تصيغ سياسة الخصوصية وشروط الاستخدام لتطبيق ذكي بالسعودية؟

كل مؤسس يصل إلى اللحظة التي يسأل فيها: كيف أصيغ سياسة الخصوصية وشروط الاستخدام لتطبيقي في السعودية بحيث تجيزها متاجر التطبيقات، وتحميني من المساءلة، وتتوافق مع النظام السعودي لا مع نظام أوروبي منسوخ؟ الإجابة أن الوثيقتين مختلفتان في طبيعتهما القانونية: الأولى إفصاح يلزمك به نظام حماية البيانات الشخصية، والثانية عقد يحكم علاقتك بالمستخدم. وهذا المقال يشرح كلتيهما بندًا بندًا.

أولًا: الفرق بين سياسة الخصوصية وشروط الاستخدام

سياسة الخصوصية ليست عقدًا بالمعنى الدقيق، بل أداة تنفيذ لحق المستخدم في «العلم» الذي تقرره المادة الرابعة من نظام حماية البيانات الشخصية: أن يعرف الأساس النظامي لجمع بياناته والغرض منه، وأن تكون صادقة ومطابقة لما يفعله التطبيق فعلًا. ولا تُصحَّح المعالجة غير النظامية بكتابتها في السياسة؛ فالسياسة تصف أساسًا موجودًا ولا تُنشئه.

شروط الاستخدام عقد إلكتروني بين مشغّل التطبيق والمستخدم. ينظم انعقاده نظام التعاملات الإلكترونية الذي يعترف بالتعبير الإلكتروني عن الإرادة، وتحكم أحكامَه القواعد العامة للعقد في نظام المعاملات المدنية، وإن كان التطبيق يبيع سلعًا أو خدمات للمستهلكين فتنضاف أحكام نظام التجارة الإلكترونية، كما شرحنا في مقال شروط منصات التجارة الإلكترونية.

ثانيًا: ما يجب أن تتضمنه سياسة الخصوصية وفق النظام السعودي

تقوم السياسة على ثلاث مواد في النظام: المادة الرابعة التي تقرر حقوق صاحب البيانات (العلم، الوصول، التصحيح والإتمام والتحديث، الإتلاف)، والمادة الخامسة التي تجعل الموافقة أساس المعالجة مع حق الرجوع عنها في أي وقت، والمادة السادسة التي تحدد حالات المعالجة دون موافقة، كأن تكون المعالجة بمقتضى نظام آخر، أو تنفيذًا لاتفاق سابق صاحب البيانات طرف فيه، أو ضرورية لمصالح مشروعة لجهة التحكم بما لا يضر بصاحب البيانات وبشرط ألا تكون البيانات حساسة. وتفصّل اللائحة التنفيذية محتوى سياسة الخصوصية، فينبغي مطابقة الصياغة النهائية معها.

البند	ما يُكتب فيه	الخطأ المعتاد
هوية جهة التحكم	اسم الشركة، سجلها، عنوانها، بيانات التواصل مع مسؤول حماية البيانات	اسم التطبيق فقط دون كيان نظامي
البيانات التي تُجمع	فئات محددة: بيانات الحساب، الجهاز، الموقع، المدفوعات، المحتوى	«قد نجمع أي بيانات ضرورية»
الغرض والأساس النظامي	لكل غرض أساسه: الموافقة، تنفيذ العقد، نظام آخر، مصلحة مشروعة	ذكر الأغراض بلا أساس، أو مصلحة مشروعة لبيانات حساسة
الإفصاح للغير	فئات المستلمين: مزودو الاستضافة والدفع والتحليلات، والجهات الحكومية بمقتضى نظام	«شركاؤنا» دون تحديد
النقل خارج المملكة	هل تُنقل البيانات، إلى أين، وعلى أي أساس من لائحة نقل البيانات	السكوت عنه رغم استخدام خوادم أجنبية
مدة الاحتفاظ	معيار واضح لكل فئة، والإتلاف بعد انتهاء الغرض	«نحتفظ بالبيانات ما دام ذلك ضروريًا»
حقوق المستخدم وآلية ممارستها	القناة، التحقق من الهوية، المدة المتوقعة للرد، حق الشكوى لدى الجهة المختصة	ذكر الحقوق دون قناة فعلية
التسويق المباشر	موافقة صريحة منفصلة، وآلية إلغاء الاشتراك	ضمّ الموافقة في زر «أوافق على الشروط»

وقد أعلنت الهيئة السعودية للبيانات والذكاء الاصطناعي في يونيو 2026 عقوبات على جهات مارست التسويق المباشر دون موافقة صريحة ولم توفر وسائل الاستجابة السريعة لطلبات أصحاب البيانات، وهو ما يؤكد أن البندين الأخيرين في الجدول ليسا شكليين. تفاصيل الالتزامات كاملة في دليل الامتثال لنظام حماية البيانات.

ثالثًا: الموافقة في التطبيق: كيف تُؤخذ بشكل صحيح؟

الموافقة الصحيحة تكون محددة الغرض، ومستنيرة، وصادرة بفعل إيجابي، ومنفصلة عن قبول شروط الاستخدام، وقابلة للسحب بسهولة مماثلة لسهولة إعطائها. ولذلك ينبغي أن يفصل التطبيق بين قبول العقد (شروط الاستخدام) وبين الموافقات الاختيارية (الإشعارات التسويقية، تتبع الموقع في الخلفية، مشاركة البيانات مع شركاء)، وأن يسجل وقت الموافقة ونصها في قاعدة بياناته لأن عبء إثباتها يقع على جهة التحكم.

وعند جمع بيانات حساسة، كالبيانات الصحية في تطبيقات اللياقة أو البيانات الائتمانية في تطبيقات التمويل، لا يصلح الاعتماد على المصلحة المشروعة، ويلزم أساس آخر، وغالبًا الموافقة الصريحة أو نص نظامي، مع تدابير أمنية أشد.

رابعًا: البنود الأساسية في شروط الاستخدام

1. تعريف الأطراف والقبول: من المشغّل نظاميًا، وكيف ينعقد العقد (التسجيل أو الاستخدام)، وشروط الأهلية والسن.
2. نطاق الترخيص: ترخيص شخصي غير حصري لاستخدام التطبيق، وحظر الهندسة العكسية والنسخ، مع حفظ حقوق الملكية الفكرية للمشغّل (انظر حماية البرمجيات والخوارزميات).
3. محتوى المستخدم: ترخيص المستخدم للمشغّل باستخدام ما يرفعه، وقواعد المحتوى المحظور، وآلية الإنزال والشكاوى.
4. الدفع والاشتراك والإرجاع: السعر شاملًا الضريبة، التجديد التلقائي وكيفية إلغائه، حق التراجع والاسترداد وفق نظام التجارة الإلكترونية ولائحته عند انطباقهما.
5. الاستخدام المحظور: الاحتيال، التحايل على الأمن، الإساءة، انتهاك الأنظمة ومنها نظام مكافحة جرائم المعلوماتية.
6. التعليق والإنهاء: حالات تعليق الحساب أو إغلاقه، وأثره على البيانات والأرصدة.
7. الضمانات وحدود المسؤولية: بصياغة واقعية تراعي أن النظام لا يجيز الإعفاء من المسؤولية عن الغش أو الخطأ الجسيم، وأن حقوق المستهلك في النظام لا يجوز الاتفاق على ما يخالفها.
8. التعديلات: آلية إشعار المستخدم بالتغييرات الجوهرية ومنحه فرصة الرفض بإلغاء الحساب.
9. القانون والاختصاص: أنظمة المملكة والمحاكم المختصة، أو التحكيم للعلاقات التجارية بين الشركات، مع مراعاة أن منازعات المستهلكين لها قنوات خاصة.
10. التواصل والإشعارات: قنوات رسمية للإشعار داخل التطبيق والبريد.

خامسًا: اعتبارات خاصة بالتطبيقات «الذكية»

التطبيق الذي يستخدم نماذج ذكاء اصطناعي يرفع أسئلة إضافية ينبغي أن تجيب عنها الوثيقتان: هل تُستخدم بيانات المستخدمين لتدريب النماذج؟ هل تُرسل إلى مزود نموذج خارج المملكة، وبأي أساس من لائحة النقل؟ وهل تُتخذ قرارات آلية تؤثر في المستخدم (كالتسعير أو رفض الخدمة) وما حقه في الاعتراض عليها؟ وتوصي مبادئ أخلاقيات الذكاء الاصطناعي الصادرة عن سدايا بالشفافية وقابلية التفسير، وهي مبادئ إرشادية لكنها مرجع عملي للصياغة. ويتناول مقال المسؤولية عن أدوات الذكاء الاصطناعي جانب المسؤولية.

وتُضاف اعتبارات خاصة بحسب الفئة: تطبيقات الأطفال تحتاج إلى معالجة خاصة لموافقة ولي الأمر، وتطبيقات الصحة تحتاج إلى مراعاة متطلبات الهيئة العامة للغذاء والدواء وقطاع الصحة، وتطبيقات التمويل والمدفوعات تحتاج إلى مطابقة شروطها مع متطلبات البنك المركزي، كما يوضح مقال التزامات شركات التقنية المالية.

كيف تبني الوثيقتين عمليًا؟ منهجية في خمس مراحل

المرحلة الأولى: حصر البيانات. قبل كتابة سطر واحد، يُعدّ الفريق التقني جدولًا بكل نقطة جمع في التطبيق: شاشة التسجيل، أذونات الجهاز (الكاميرا، الموقع، جهات الاتصال)، أدوات التحليل والإعلانات المدمجة، بوابة الدفع، وخدمات الذكاء الاصطناعي الخارجية. كل صف في هذا الجدول يصبح لاحقًا بندًا في السياسة.

المرحلة الثانية: تحديد الأساس النظامي. يحدد المستشار القانوني لكل غرض أساسه من المادتين الخامسة والسادسة، ويفصل ما يحتاج إلى موافقة صريحة عما يكفيه تنفيذ العقد أو النظام. وما لا يجد له أساسًا يُحذف من التطبيق، لا يُخفى في السياسة.

المرحلة الثالثة: تصميم رحلة الموافقة. يترجم فريق التصميم الأسس إلى شاشات: قبول الشروط عند التسجيل، وموافقات اختيارية منفصلة، ومركز خصوصية داخل الإعدادات يتيح سحب الموافقة وطلب الحقوق.

المرحلة الرابعة: الصياغة والمراجعة. تُكتب الوثيقتان بلغة بسيطة، وتُراجَع من الفريق التقني للتأكد من مطابقتها للواقع، ومن القانوني لمطابقتها للنظام واللائحة، ومن متطلبات متاجر التطبيقات التي تطلب الإفصاح عن ممارسات البيانات في صفحة التطبيق بما يطابق السياسة.

المرحلة الخامسة: الصيانة المستمرة. هذه المرحلة هي التي تُهمل غالبًا. تُربط الوثيقتان بعملية إطلاق الميزات الجديدة، فلا تُطلق ميزة تجمع بيانات جديدة قبل تحديثهما وإشعار المستخدمين.

سادسًا: اللغة والنشر والإثبات

تُكتب الوثيقتان بالعربية، ويجوز إضافة ترجمة إنجليزية مع بند يحدد النص المرجع عند الاختلاف. وتُنشر في مكان يسهل الوصول إليه قبل التسجيل وداخل التطبيق، وتُحفظ نسخة مؤرخة من كل إصدار مع سجل بالمستخدمين الذين قبلوا كل إصدار؛ فعند النزاع يُطلب من المشغّل إثبات أي نص كان نافذًا وقت التعاقد، ونظام التعاملات الإلكترونية يعطي السجل الإلكتروني حجيته إذا توافرت فيه شروط الموثوقية وسلامة المحتوى.

ويُستحسن أن تُلحق بشروط الاستخدام وثيقتان قصيرتان عند الحاجة: سياسة الإرجاع والاسترداد للتطبيقات التي تبيع، وسياسة المحتوى والمجتمع للتطبيقات التي تستضيف محتوى المستخدمين، لأن وضع كل شيء في عقد واحد طويل يضعف قابليته للقراءة وقد يضر بإثبات علم المستخدم بالبنود الجوهرية.

أخطاء شائعة

• نسخ سياسة تستند إلى اللائحة الأوروبية مع مصطلحات لا وجود لها في النظام السعودي، وإغفال الجهة المختصة وحقوق النظام.
• سياسة تصف تطبيقًا مثاليًا لا التطبيق الحقيقي: تقول «لا نشارك بياناتك» بينما تُدمج أدوات تحليل وإعلانات.
• الموافقة الواحدة لكل شيء: زر واحد يقبل العقد والتسويق ومشاركة البيانات.
• إهمال بند النقل خارج المملكة رغم الاستضافة أو مزود الذكاء الاصطناعي الأجنبي.
• بنود إعفاء كاملة من المسؤولية تتعارض مع القواعد الآمرة لحماية المستهلك، فتسقط عند أول نزاع.
• عدم تحديث الوثيقتين عند إضافة ميزة جديدة تجمع بيانات لم تكن مذكورة.
• عدم حفظ إصدارات الوثائق وسجل القبول، فيتعذر إثبات العقد.

متى تحتاج إلى محامٍ؟

تحتاج إلى مستشار قانوني عند إعداد الوثيقتين لأول مرة، وعند إدخال ميزات ذكاء اصطناعي أو مدفوعات أو بيانات حساسة، وعند توسع التطبيق خارج المملكة، وعند تلقي شكوى من مستخدم أو استفسار من الجهة المختصة. تقدم شركة محمود عادل الثمالي للمحاماة خدمات صياغة سياسات الخصوصية وشروط الاستخدام ومراجعة رحلة الموافقة داخل التطبيق ضمن خدمات حماية البيانات. احجز استشارة.

هذا المقال للتوعية العامة ولا يُعد استشارة قانونية لحالتك.

أسئلة شائعة

المصادر

• نظام حماية البيانات الشخصية (م/19 — 9/2/1443هـ) — نسخة منشورة (المواد 4–6)
• نظام التجارة الإلكترونية (م/126 — 7/11/1440هـ) — نسخة منشورة
• عاجل — سدايا: قرارات بحق جهات مخالفة لنظام حماية البيانات الشخصية (29 يونيو 2026)
• الهيئة السعودية للبيانات والذكاء الاصطناعي (سدايا)

تحتاج إلى رأي قانوني في حالتك؟

احجز استشارة مع الفريق المختص، ويصل طلبك مباشرة إلى المحامي المسؤول عن القطاع.

احجز استشارةواتساب