PDPL 与阿联酋第 45 号法令：启用 Voice AI Agent 前的合规检查清单

为什么这是一个数据问题，而不是 IT 问题

Voice AI Agent 不仅仅是一个带有更好问候语的电话系统。它会捕获音频、将其转换为文本、提取个人详细信息、写入 CRM，并常常触发后续消息。

这意味着每次通话都会生成关于可识别个体的个人数据。在沙特阿拉伯，这受 SDAIA 监督的 PDPL 管辖。在阿联酋，它受 2021 年第 45 号联邦法令管辖，并在 DIFC 和 ADGM 等自由区附加行业规定。这两种框架都基于相同的理念：合法依据、透明度、目的限制、数据最小化、保留期限限制，以及对代表您处理数据的一方进行问责。

好消息是：一个设计良好的 Voice AI Agent 通常比人工呼叫中心更容易提供取证依据，因为每次交互都有记录、保持一致且可审计。

1. 随时可提供的合法依据与同意授权

以书面形式明确决定您处理每种数据的目的及依据。

• 处理客户请求的预约非常简单，通常基于提供服务的需要。
• 录音、保留转录文本以及随后向该人员进行营销，这些是不同的目的，通常需要单独的同意授权。
• 同意授权必须是知情的、具体的且可撤回的，您必须能够出示给予同意的时间和方式。

实际操作：在联系触点——网页表单、点击跳转 WhatsApp 的广告、诊所内的登记表——获取同意授权，在联系人记录中保存时间戳，并提供一种永久生效的一键式退出（opt-out）机制。

2. 来电者能切实听到的录音提示

如果对通话进行录音，请在对话开始时、使用来电者的语言，并在讨论任何敏感信息之前说明。我们默认应用两条规则：

• 提示必须是问候语中的第一句话，使用阿拉伯语和英语，而不是隐藏在菜单选项之后。
• 如果来电者反对，Agent 可以在不保留录音的情况下继续通话，或者转接给人工客服。

没有提示的转录文本是一种法律负债。带有清晰提示的转录文本则是一项资产——它是您证明在通话中承诺了什么的有效凭证。

3. 音频处理与存储的位置

这是大多数供应商含糊其辞的问题，也是监管机构和企业买家最先问的问题。

请要求以书面形式提供：语音识别在哪个国家进行、音频存储在哪里、转录文本放在何处、哪些子处理者会接触数据，以及是否有任何数据出境。对于沙特王国和阿联酋的客户，我们在其各自国家境内的基础设施上处理语音通话、录音和转录文本，并在经批准的传输保障措施下，将 CRM 和自动化数据保存在加密的云基础设施中。完整说明请参阅我们的 Data Security page。

如果供应商无法在一页纸上为您画出这幅数据流向图，请将答案视为“否”。

4. 上线前确定数据最小化与保留期限

两项设置可以防止未来发生的大部分问题。

收集更少的数据。 对于几乎所有企业而言，Agent 只需要姓名、联系电话、电子邮件以及客户的需求。它不需要阿联酋身份证或 Iqama 号码、银行卡详细信息或临床病史——因此请将其配置为永远不要主动询问，并且在来电者主动提供这些信息时对其进行脱敏处理。

设定明确的保留期限。 为音频设置明确的保留窗口期，并为转录文本和 CRM 备注设置单独的窗口期，这应与争议处理或财务做账等业务原因挂钩。然后实施自动化删除。“以防万一，我们永远保留所有数据”是所有审计中最常见的发现——也是最站不住脚的理由。

5. 与代处理者签订合同

您始终是客户数据的控制者。供应商是处理者，这种关系必须记录在案：

• 一份数据处理协议，涵盖目的、范围、安全措施、子处理者、违规通知时间表、审计权利和合同终止时的数据删除。
• 标准合同条款或针对任何跨境数据流动的同等保障措施。
• 负责数据主体请求（访问、更正、删除）的指定联系人，以及内部响应请求的服务级别协议。

请在签字前要求提供这些内容，而不是在发生第一次安全事件之后。

6. 敏感行业需要更严格的边界

医疗行业是大多数项目容易出错的地方，而解决方案却很简单：将获客渠道与医疗病历分开。

使用 AI Agent 捕捉新患者咨询、进行最低限度的身份确认、预约和提醒。将临床数据保存在医院或诊所自己的 EMR 或 EHR 中，不要将其镜像到营销系统中。诊断、结果和治疗历史必须保留在医疗系统内部。

类似的逻辑也适用于金融和法律服务：Agent 负责资格筛选、日程安排和路由分发；受监管的记录留在受监管的系统中。我们的 Industries 页面描述了如何根据各行业配置这种分离机制。

上线前检查清单

打印此清单，并在您的 Agent 接入真实通话前逐项勾选。

• 为每种数据类型记录目的和合法依据
• 捕获带有时间戳的同意授权，以及真实有效的退出（opt-out）机制
• 在问候语中加入阿拉伯语和英语的录音提示
• 明确处理和存储位置以及子处理者的书面分布图
• 明确 Agent 绝不能收集的字段，并配置数据脱敏
• 为音频、转录文本和 CRM 备注设定保留窗口期，并实现自动化删除
• 签署数据处理协议和传输保障措施
• 指定负责数据主体请求的责任人，并设定回复截止期限
• 制定数据泄露处理流程，包括通知对象及响应速度要求
• 界定敏感行业边界，特别是与 EMR 或 EHR 的数据分离

所有这些操作都不会让您的上线时间延迟超过几天。但它决定了您的 AI 渠道能否在面对监管机构、医院采购团队或仅仅是询问“我的录音去哪儿了”的客户提出的严肃问题时安然无恙。

本文为指导性建议，非法律建议

法规在不断演变，行业规则也有所不同，特别是在金融自由区和医疗保健领域。请使用这份检查清单作为框架，与您的法律顾问以及您正在评估的任何供应商（包括我们）进行有效沟通。

如果您想了解这些控制措施在实践中是如何实施的，请阅读我们的 Data Security 页面，或在做出任何承诺之前，向我们索取针对您所在国家的数据处理分布图。