نظام PDPL والمرسوم بقانون اتحادي رقم 45: قائمة التحقق للامتثال قبل تفعيل وكيلك الصوتي بالذكاء الاصطناعي

لماذا يُعد هذا قراراً يخص البيانات وليس مجرد مسألة تقنية

الوكيل الصوتي ليس مجرد نظام هاتفي برسالة ترحيب جذابة. فهو يلتقط الصوت، ويحوله إلى نص، ويستخرج التفاصيل الشخصية، ويسجلها في نظام CRM، وغالباً ما يُطلق رسائل متابعة تلقائية.

وهذا يعني أن كل مكالمة تُنشئ بيانات شخصية لفرد يمكن تحديد هويته. في المملكة العربية السعودية، يندرج هذا تحت نظام حماية البيانات الشخصية (PDPL) بإشراف SDAIA. وفي دولة الإمارات، يندرج تحت المرسوم بقانون اتحادي رقم 45 لسنة 2021، بالإضافة إلى القواعد الخاصة بالقطاعات في المناطق الحرة مثل مركز دبي المالي العالمي (DIFC) وسوق أبوظبي العالمي (ADGM). يستند كلا الإطارين إلى نفس المبادئ: الأساس القانوني، والشفافية، وتحديد الغرض، وتقليل البيانات، وفترات الاحتفاظ بالبيانات، ومساءلة من يقوم بمعالجة البيانات نيابة عنك.

الأخبار السارة هنا: أن الوكيل الصوتي المصمم جيداً يكون عادةً أسهل في تقديم أدلة الامتثال مقارنة بمركز الاتصال البشري، لأن كل تفاعل يكون مسجلاً، ومتسقاً، وقابلاً للتدقيق.

1. الأساس القانوني والموافقة التي يمكنك تقديمها عند الطلب

حدد كتابياً سبب معالجتك لكل نوع من البيانات، وعلى أي أساس.

• حجز موعد طلبه العميل هو أمر مباشر، ويعتمد بشكل عام على أداء الخدمة.
• تسجيل المكالمة، والاحتفاظ بالتفريغ النصي، ثم التسويق لاحقاً لهذا الشخص هي أغراض منفصلة تحتاج عادةً إلى موافقة خاصة بها.
• يجب أن تكون الموافقة مبنية على علم، ومحددة، وقابلة للسحب، ويجب أن تكون قادراً على إثبات متى وكيف تم الحصول عليها.

التطبيق العملي: احصل على الموافقة عند نقطة الاتصال — نموذج الويب، أو إعلان النقر للتحويل إلى WhatsApp، أو النموذج داخل العيادة — مع تخزين طابع زمني (Timestamp) في سجل جهة الاتصال، وتوفير خيار إلغاء الاشتراك بكلمة واحدة يعمل بشكل دائم.

2. إشعار تسجيل المكالمة يسمعه المتصل بوضوح

إذا كانت المكالمات مسجلة، اذكر ذلك في البداية، بلغة المتصل، قبل مناقشة أي معلومات حساسة. هناك قاعدتان نطبقهما بشكل افتراضي:

• يجب أن يكون الإشعار هو أول ما يُسمع في رسالة الترحيب، باللغتين العربية والإنجليزية، وألا يكون مخفياً بعد قائمة الخيارات.
• إذا اعترض المتصل، يمكن للوكيل الاستمرار في المحادثة دون الاحتفاظ بالتسجيل، أو تحويل المكالمة إلى موظف بشري.

التفريغ النصي بدون إشعار مسبق يُعد مسؤولية قانونية عليك. أما التفريغ مع إشعار واضح فهو أصل من أصولك — فهو وسيلتك لإثبات ما تم الاتفاق عليه خلال المكالمة.

3. مكان معالجة وتخزين البيانات الصوتية

هذا هو السؤال الذي يجيب عليه معظم المزوّدين بشكل مبهم، وهو أول سؤال تطرحه الجهات التنظيمية والشركات الكبرى.

اطلب ذلك كتابياً: في أي دولة يتم التعرف على الصوت، وأين يتم تخزين التسجيلات، وأين تُحفظ التفريغات النصية، ومن هم المعالجون الفرعيون الذين يتعاملون مع البيانات، وهل تخرج أي بيانات خارج الدولة؟ بالنسبة لعملائنا في المملكة العربية السعودية ودولة الإمارات، نقوم بمعالجة المكالمات الصوتية، والتسجيلات، والتفريغات النصية على بنية تحتية داخل الدولة المعنية، ونحتفظ ببيانات نظام CRM والأتمتة في بنية سحابية مشفرة تحت ضمانات النقل المعتمدة. الوصف الكامل متاح في صفحة أمان البيانات الخاصة بنا.

إذا لم يتمكن المزوّد من رسم هذه الخريطة لك في صفحة واحدة، فاعتبر إجابته بالرفض.

4. تقليل البيانات ومدة الاحتفاظ بها، قرار يُتخذ قبل الإطلاق

هناك إعدادان يمنعان معظم المشاكل المستقبلية.

جمع بيانات أقل. بالنسبة لأي نشاط تجاري تقريباً، يحتاج الوكيل إلى الاسم، ورقم التواصل، والبريد الإلكتروني، وما يريده العميل. إنه لا يحتاج إلى أرقام الهوية الإماراتية أو أرقام الإقامة، أو تفاصيل البطاقات البنكية، أو التاريخ الطبي — لذا قم بإعداده بحيث لا يطلبها أبداً، وأن يحجبها (Redact) إذا تطوع المتصل بذكرها.

الاحتفاظ بها لفترة محددة. حدد نافذة احتفاظ صريحة للملفات الصوتية ونافذة منفصلة للتفريغات وملاحظات نظام CRM، مرتبطة بسبب تجاري مثل التعامل مع النزاعات أو المحاسبة. ثم قم بأتمتة عملية الحذف. عبارة "نحن نحتفظ بكل شيء إلى الأبد، تحسباً لأي طارئ" هي الاكتشاف الأكثر شيوعاً في أي عملية تدقيق — والأقل قابلية للدفاع عنه قانونياً.

5. العقود مع من يقوم بمعالجة البيانات نيابة عنك

أنت تظل "المتحكم" في بيانات عملائك. المزوّد هو "المعالج"، ويجب توثيق هذه العلاقة:

• اتفاقية معالجة بيانات تغطي الغرض، والنطاق، والتدابير الأمنية، والمعالجين الفرعيين، والجداول الزمنية للإشعار بالانتهاكات، وحقوق التدقيق، والحذف عند إنهاء التعاقد.
• بنود تعاقدية قياسية أو ضمانات مكافئة لأي تدفق للبيانات عبر الحدود.
• جهة اتصال محددة لطلبات أصحاب البيانات — الوصول، والتصحيح، والحذف — ومستوى خدمة داخلي للرد عليها.

اطلب هذه المستندات قبل التوقيع، وليس بعد أول حادثة أمنية تواجهها.

6. القطاعات الحساسة تتطلب حدوداً أكثر صرامة

قطاع الرعاية الصحية هو المكان الذي تفشل فيه معظم المشاريع، في حين أن الحل بسيط: افصل بين عملية الاستحواذ على العملاء وبين السجلات الطبية.

استخدم الوكيل بالذكاء الاصطناعي لالتقاط استفسارات المرضى الجدد، والتحقق من الهوية بالحد الأدنى، والحجز، وإرسال التذكيرات. احتفظ بالبيانات السريرية في أنظمة السجلات الطبية الإلكترونية (EMR أو EHR) الخاصة بالمستشفى أو العيادة، ولا تقم بنسخها إلى أدوات التسويق. يجب أن تبقى التشخيصات، والنتائج، وتاريخ العلاج داخل النظام الطبي.

ينطبق نفس المنطق في الخدمات المالية والقانونية: يقوم الوكيل بالتأهيل، والجدولة، وتحويل المكالمات؛ بينما يبقى السجل الخاضع للوائح داخل النظام المخصص له. تصف صفحات القطاعات الخاصة بنا كيف يتم إعداد هذا الفصل لكل قطاع.

قائمة التحقق قبل الإطلاق

اطبع هذه القائمة وضع علامة (✔) عليها قبل أن يتلقى وكيلك أول مكالمة حية.

• توثيق الأغراض والأساس القانوني لكل نوع من البيانات
• الحصول على الموافقة مع طابع زمني، وتوفير خيار فعال لإلغاء الاشتراك
• إشعار التسجيل في رسالة الترحيب، باللغتين العربية والإنجليزية
• خريطة مكتوبة لأماكن المعالجة والتخزين، بالإضافة إلى المعالجين الفرعيين
• الحقول التي يجب ألا يجمعها الوكيل أبداً، مع إعداد الحجب (Redaction)
• تحديد نوافذ الاحتفاظ للملفات الصوتية، والتفريغات، وملاحظات نظام CRM، مع أتمتة عملية الحذف
• توقيع اتفاقية معالجة البيانات وضمانات النقل
• تحديد مسؤول لطلبات أصحاب البيانات، مع موعد نهائي للرد
• عملية التعامل مع الانتهاكات، بما في ذلك من يتم إبلاغه وبأي سرعة
• تحديد حدود القطاعات الحساسة، خاصة الفصل عن أنظمة EMR أو EHR

لن يؤدي أي من هذا إلى تأخير الإطلاق لأكثر من بضعة أيام. لكنه سيحدد ما إذا كانت قناة الذكاء الاصطناعي الخاصة بك ستصمد أمام أول سؤال جاد من جهة تنظيمية، أو فريق المشتريات في المستشفى، أو عميل يسأل ببساطة عن المكان الذي ذهب إليه تسجيله.

هذا إرشاد وتوجيه، وليس استشارة قانونية

تتطور اللوائح وتختلف قواعد القطاعات، خاصة داخل المناطق المالية الحرة وفي مجال الرعاية الصحية. استخدم قائمة التحقق هذه لهيكلة نقاشك مع مستشارك القانوني ومع أي مزوّد تقوم بتقييمه — بما في ذلك نحن.

إذا كنت ترغب في رؤية كيفية تنفيذ هذه الضوابط عملياً، فاقرأ صفحة أمان البيانات الخاصة بنا أو اطلب منا خريطة المعالجة الخاصة ببلدك قبل الالتزام بأي شيء.