استضافة البيانات داخل المملكة تعني أن تُخزَّن بيانات المنشأة وتُعالج على خوادم موجودة فعلياً في المملكة العربية السعودية. وتهم هذه الاستضافة لأنها تُبقي البيانات تحت الولاية النظامية السعودية، وتسهّل الامتثال لنظام حماية البيانات الشخصية وضوابط الأمن السيبراني الوطنية، وتلبي اشتراطات كثير من الجهات الحكومية والقطاعات المنظمة. أما السيادة على البيانات فهي مبدأ خضوع البيانات لأنظمة الدولة التي تُحفظ فيها.

يخاطب هذا المقال الشؤون القانونية ومدراء العمليات والمشتريات والتحول الرقمي الذين يقيّمون منصات التوقيع الإلكتروني وإدارة العقود. يشرح ما تعنيه الاستضافة المحلية نظامياً وتشغيلياً، وما الذي لا تضمنه وحدها، وكيف تتحقق منها قبل التعاقد.

ما المقصود بالسيادة على البيانات؟

السيادة على البيانات هي مبدأ يقضي بأن تخضع البيانات لأنظمة الدولة التي تُجمع أو تُخزَّن فيها، بما في ذلك قواعد الوصول إليها وحمايتها ونقلها.

يرتبط بالمبدأ مفهومان قريبان. توطين البيانات هو اشتراط حفظ البيانات داخل حدود الدولة، وقد يكون إلزامياً لفئات معينة. أما إقامة البيانات (Data Residency) فهي الموقع الجغرافي الفعلي الذي تُحفظ فيه البيانات، وقد يكون قراراً تعاقدياً أو تشغيلياً.

تظهر أهمية التمييز عند التقييم. قد يذكر مزود أن بياناتك "في المنطقة"، وهذا لا يعني بالضرورة أنها داخل المملكة. وقد تكون قاعدة البيانات الرئيسية محلية بينما تُحفظ النسخ الاحتياطية أو السجلات في دولة أخرى. السيادة الفعلية تتطلب أن تبقى البيانات بكل نسخها ضمن الولاية السعودية، أو أن يخضع أي نقل لشروط النظام.

لماذا تهم الاستضافة المحلية من الناحية النظامية؟

تهم الاستضافة المحلية نظامياً لأن نظام حماية البيانات الشخصية ينظّم نقل البيانات الشخصية خارج المملكة بشروط وضوابط، والاستضافة داخلها تجنّب المنشأة كثيراً من هذه الاشتراطات.

صدر نظام حماية البيانات الشخصية بالمرسوم الملكي رقم (م/19) وتاريخ 9/2/1443هـ، وتشرف على تطبيقه الهيئة السعودية للبيانات والذكاء الاصطناعي (سدايا). وصدرت لائحة خاصة بنقل البيانات الشخصية خارج المملكة تحدد الحالات المسموح بها والضمانات المطلوبة وتقييم المخاطر.

عملياً، حين تُرسَل بيانات الموقعين أو أطراف العقد إلى خوادم خارج المملكة، تحتاج المنشأة إلى التأكد من وجود أساس نظامي للنقل، وتقييم مستوى الحماية في الدولة المستقبلة، وتوثيق ذلك. أما حين تبقى البيانات داخل المملكة، فتنحصر المسؤولية في متطلبات المعالجة المحلية، وهي متطلبات قائمة في الحالتين.

وتجدر الإشارة إلى أن عقود المنشأة لا تحتوي بيانات شخصية فحسب. فيها أسعار وشروط تجارية وأسرار عمل ومعلومات عن موردين وعملاء، وهذه قد تخضع لتصنيف البيانات الوطني الذي يحدد مستوى حساسيتها وطريقة التعامل معها.

ما علاقة الاستضافة المحلية بضوابط الأمن السيبراني وإدارة البيانات؟

ترتبط الاستضافة المحلية بضوابط الأمن السيبراني وإدارة البيانات لأن هذه الضوابط تربط موقع الحفظ بتصنيف البيانات وطبيعة الجهة، وتشترط في حالات كثيرة أن تكون الاستضافة داخل المملكة.

الضوابط الأساسية للأمن السيبراني (ECC) الصادرة عن الهيئة الوطنية للأمن السيبراني هي الحد الأدنى من المتطلبات للجهات الحكومية والجهات ذات البنية التحتية الحساسة. وتضيف ضوابط الأمن السيبراني للحوسبة السحابية (CCC) متطلبات خاصة بالخدمات السحابية، منها ما يتعلق بموقع استضافة البيانات بحسب تصنيفها.

ومن جهة أخرى، يصدر مكتب إدارة البيانات الوطنية (NDMO) التابع لسدايا معايير إدارة البيانات وحوكمتها وتصنيفها، التي تلتزم بها الجهات الحكومية وتمتد إلى من يقدم لها الخدمات. ويُعد تصنيف البيانات نقطة البداية، لأنه يحدد أي البيانات يجوز معالجتها خارج المملكة وأيها لا يجوز.

كيف تؤثر الاستضافة على متطلبات الامتثال؟

لا يعني الجدول أن الاستضافة الخارجية ممنوعة في جميع الحالات، فالنظام يسمح بالنقل بشروط. لكنه يوضح أن الاستضافة المحلية تقلل عدد الأطر التي يجب إدارتها.

لماذا تهم الاستضافة المحلية في منصات التوقيع وإدارة العقود تحديداً؟

تهم الاستضافة المحلية في منصات العقود لأن هذه المنصات تجمع في مكان واحد أكثر بيانات المنشأة حساسية: هويات الموقعين، والشروط التجارية، وسجل التدقيق الذي يُعتمد عليه في الإثبات.

عند التوقيع الإلكتروني تُعالج بيانات مثل الاسم ورقم الهوية الوطنية ورقم الجوال وعنوان الجهاز وتوقيت كل إجراء. وحين يجري التحقق عبر منصات الهوية الوطنية مثل نفاذ وأبشر، تكتسب هذه البيانات حساسية إضافية. للتفاصيل، راجع مقال "نفاذ وأبشر".

وسجل التدقيق نفسه، وهو السجل الذي يوثق من وقّع ومتى ومن أي جهاز وكل تعديل على المستند، يمثل دليل الإثبات عند النزاع. وحفظه داخل المملكة يسهّل تقديمه للجهات القضائية والرقابية السعودية دون تعقيدات الوصول عبر الحدود.

ويرتبط ذلك أيضاً بترخيص مزود التوقيع. فمقدم خدمات الثقة المرخّص من هيئة الحكومة الرقمية يعمل ضمن إطار رقابي محلي، والاستضافة المحلية تكمل هذا الإطار. راجع مقال "مقدم خدمات الثقة المرخّص".

تذكر ساين إت في صفحة التوقيع الإلكتروني أن بياناتها مستضافة محلياً وأنها مقدم خدمات ثقة مرخص من هيئة الحكومة الرقمية. وتذكر في صفحة إدارة دورة حياة العقود التزامها بنظام حماية البيانات الشخصية وضوابط NDMO.

هل تكفي الاستضافة المحلية وحدها لحماية البيانات؟

لا تكفي الاستضافة المحلية وحدها؛ فهي تحدد الولاية النظامية على البيانات، بينما تعتمد حمايتها الفعلية على ضوابط الأمن والوصول والتشفير والحوكمة الداخلية.

بيانات مستضافة داخل المملكة دون تشفير مناسب، أو بصلاحيات وصول واسعة، أو دون مراقبة، تبقى معرضة للمخاطر. لذلك تُقيَّم الاستضافة المحلية مع عناصر أخرى: التشفير أثناء النقل والتخزين، وإدارة الصلاحيات بحسب الأدوار، وسجلات الوصول، وشهادات أمن المعلومات، وخطط استمرارية الأعمال.

وهناك جانب يُغفل كثيراً، وهو المعالجة غير المباشرة. فقد تكون البيانات محفوظة محلياً، بينما يتصل فريق دعم فني من خارج المملكة بالنظام، أو تُرسل المستندات إلى خدمة خارجية لمعالجتها، كخدمات الذكاء الاصطناعي. هذا الوصول قد يُعد نقلاً للبيانات بحسب طبيعته. ولهذا يحسن السؤال عن مكان معالجة البيانات في كل الخدمات المرتبطة بالمنصة، لا مكان التخزين فقط.

وفي هذا السياق، تذكر ساين إت في صفحة المساعد الذكي أن بيانات العملاء لا تُستخدم لتدريب النماذج.

ما الذي ينبغي التحقق منه قبل التعاقد؟

ينبغي التحقق من موقع التخزين والنسخ الاحتياطية والمعالجة لكل البيانات، ومن الضوابط الأمنية والامتثال، ومن الالتزامات التعاقدية التي تضمن استمرار ذلك.

ما الأخطاء الشائعة عند تقييم استضافة البيانات؟

أكثر الأخطاء شيوعاً الاعتماد على عبارة عامة مثل "خوادم في الشرق الأوسط" أو "استضافة إقليمية". هذه العبارات قد تشير إلى دولة مجاورة، وهي لا تحقق شرط الاستضافة داخل المملكة. المطلوب تحديد الدولة صراحة، والأفضل أن يُثبت ذلك في العقد.

ومن الأخطاء التركيز على قاعدة البيانات الرئيسية وإغفال ما حولها. النسخ الاحتياطية، ومواقع التعافي من الكوارث، وسجلات النظام، وخدمات البريد والإشعارات، كلها قد تحتوي بيانات شخصية. ويحدث أن تكون البيانات الأساسية محلية بينما تمر الإشعارات عبر خدمات خارجية.

ويقع بعض الفرق في خطأ معاملة كل البيانات بالدرجة نفسها. البدء بتصنيف البيانات يوضح ما يحتاج استضافة محلية إلزامية وما يمكن التعامل معه بمرونة أكبر، ويمنع المبالغة في متطلبات قد ترفع التكلفة دون حاجة، أو التساهل في بيانات حساسة.

وأخيراً، يُغفل أحياناً ما يحدث عند انتهاء التعاقد. كيف تُسترجع البيانات؟ وبأي صيغة؟ وكيف يُثبت المزود حذفها؟ هذه الأسئلة جزء من السيادة على البيانات، لأن السيطرة عليها تشمل القدرة على استعادتها ونقلها.

الأخطاء الشائعة عند تقييم استضافة البيانات

كيف تتحقق من الاستضافة المحلية بخطوات عملية؟

ابدأ بتصنيف بياناتك، ثم اطلب من المزود خريطة واضحة لمواقع التخزين والمعالجة، وثبّت ذلك في العقد وراجعه دورياً.

1. صنّف بيانات العقودحدد البيانات الشخصية والتجارية والمصنفة في مستنداتك، ومستوى حساسية كل فئة وفق معايير التصنيف الوطنية.
2. حدد المتطلبات النظاميةراجع مع الشؤون القانونية ما يفرضه نظام حماية البيانات الشخصية وضوابط الأمن السيبراني على منشأتك وقطاعك.
3. اطلب خريطة البياناتاطلب من المزود تحديد مواقع التخزين الرئيسي والنسخ الاحتياطية والتعافي والسجلات.
4. اسأل عن المعالجة غير المباشرةحدد من يصل إلى البيانات للدعم الفني، وأي خدمات خارجية تعالجها، بما فيها خدمات الذكاء الاصطناعي.
5. راجع الضوابط الأمنيةاطلب ما يثبت الشهادات والضوابط المعلنة، وتحقق من التشفير وإدارة الصلاحيات.
6. ثبّت الالتزامات تعاقدياًأدرج بنوداً تحدد موقع البيانات، وتمنع نقلها دون موافقة، وتلزم بالإبلاغ عن الحوادث.
7. خطط لنهاية التعاقدحدد آلية استرجاع البيانات وصيغتها وإثبات حذفها.
8. راجع دورياًأدرج الاستضافة ضمن تقييم الموردين السنوي، خاصة عند تحديث المزود لبنيته التقنية.

ماذا تعني الاستضافة المحلية للقطاع الحكومي؟

تعني الاستضافة المحلية للقطاع الحكومي استيفاء أحد الاشتراطات الأساسية لاستخدام أي خدمة سحابية تعالج بيانات حكومية، وفق تصنيف البيانات وضوابط الأمن السيبراني الوطنية.

تتعامل الجهات الحكومية مع قرارات المجالس وأوامر الشراء وعقود الموردين واتفاقيات مستوى الخدمة، وهي مستندات تحمل بيانات حساسة وتحتاج إلى حفظ طويل المدى. وتذكر ساين إت في صفحة القطاع الحكومي أنها مرخصة من هيئة الحكومة الرقمية، وتعتمد الاستضافة المحلية، وتلتزم بـPDPL وضوابط NDMO وNCA ECC، وتحمل شهادة ISO 27001.

ويأتي هذا ضمن توجه وطني أوسع نحو توطين البنية الرقمية، إذ تتبنى المملكة سياسات لتحفيز الاستثمار في مراكز البيانات والحوسبة السحابية محلياً. وانتقل كثير من الجهات إلى سياسة "السحابة أولاً" مع اشتراط الاستضافة المحلية.

أسئلة شائعة

الخاتمة

الاستضافة داخل المملكة هي الأساس العملي للسيادة على البيانات، وتقلل التعقيد النظامي المرتبط بنقل البيانات، وتلبي اشتراطات الجهات الحكومية والقطاعات المنظمة. لكن قيمتها تكتمل حين تشمل كل نسخ البيانات ومسارات معالجتها، وحين تقترن بضوابط أمنية وحوكمة داخلية والتزامات تعاقدية واضحة.

إن كنت تقيّم منصة للتوقيع الإلكتروني وإدارة العقود، يمكنك طلب عرض توضيحي من ساين إت ومناقشة متطلبات الاستضافة والامتثال لدى منشأتك.