دليل عملي لضبط نظام CRM في السعودية بما يتوافق مع نظام حماية البيانات الشخصية: الموافقة، والصلاحيات، وحقوق أصحاب البيانات، والاحتفاظ والاستضافة.
يحتفظ نظام CRM في أي منشأة سعودية بكمٍّ كبير من البيانات الشخصية: أسماء العملاء وأرقام جوالاتهم وعناوين بريدهم وسجل تواصلهم، وأحياناً أرقام هوياتهم أو بياناتهم المالية. ومنذ دخول نظام حماية البيانات الشخصية حيز النفاذ في سبتمبر 2023، لم يعد التعامل مع هذه البيانات مسألة تقنية فحسب، بل أصبح التزاماً نظامياً تشرف عليه الهيئة السعودية للبيانات والذكاء الاصطناعي (سدايا). في هذا المقال نستعرض ما الذي يجب ضبطه عملياً داخل نظام CRM ليتوافق مع النظام، مع التنبيه إلى أن التفاصيل القانونية تحتاج دائماً إلى رأي مختص ومراجعة للمصدر الرسمي.
لماذا يعني نظام حماية البيانات الشخصية فريق CRM تحديداً
نظام CRM هو المكان الذي تتجمع فيه بيانات العملاء من مصادر متعددة: نماذج الموقع، وحملات التسويق، ومكالمات المبيعات، ورسائل الدعم، والملفات المستوردة. وكل مصدر منها نقطة جمع لبيانات شخصية تحتاج إلى أساس واضح ومبرر. كما أن عدد المستخدمين الذين يصلون إلى النظام كبير عادةً، من موظفي المبيعات إلى خدمة العملاء والتسويق والإدارة، وهذا يوسّع دائرة المخاطر إن لم تُضبط الصلاحيات بعناية.
يقوم النظام السعودي على مبادئ معروفة في تشريعات حماية البيانات حول العالم: أن تُجمع البيانات لغرض محدد وبالقدر اللازم فقط، وأن تُحفظ بأمان، وألا تُستخدم لغرض آخر دون أساس نظامي، وأن يتمكن صاحب البيانات من ممارسة حقوقه. هذه المبادئ تتحول داخل CRM إلى حقول وإعدادات وصلاحيات وإجراءات عمل يمكن مراجعتها وقياسها.
الموافقة والغرض: من أين جاء كل سجل؟
أول ما يجب ضبطه هو توثيق مصدر كل سجل والغرض من جمعه، لأن هذا هو الأساس الذي تُبنى عليه بقية القرارات. عملياً يعني ذلك:
- إضافة حقل «مصدر البيانات» لكل جهة اتصال، مثل نموذج الموقع أو معرض أو إحالة أو ملف مستورد.
- تسجيل الموافقة على التواصل التسويقي بتاريخها وطريقتها، وفصلها عن التواصل الخدمي المرتبط بعقد أو طلب قائم.
- منع إرسال الحملات التسويقية آلياً لمن لم يوافق أو سحب موافقته، بدلاً من الاعتماد على انتباه الموظف.
- مراجعة نماذج الموقع لتوضح للعميل الغرض من جمع بياناته وتربطه بسياسة الخصوصية المنشورة.
- إيقاف جمع حقول لا يحتاجها العمل فعلاً، فكل حقل إضافي مسؤولية إضافية.
كثير من المنشآت تستورد قوائم قديمة إلى CRM دون أن تعرف كيف جُمعت. قبل أي عملية ترحيل بيانات إلى نظام جديد، يستحسن تنظيف هذه القوائم وتحديد ما يمكن الاحتفاظ به وما يجب استبعاده، بدلاً من نقل المشكلة كما هي إلى منصة جديدة.
الصلاحيات وتقليل الوصول إلى البيانات
مبدأ «الحد الأدنى من الصلاحيات» من أهم ما يمكن تطبيقه داخل CRM. ليس كل موظف بحاجة إلى رؤية رقم الهوية أو العنوان الكامل أو تاريخ التعاملات المالية للعميل. وأغلب منصات CRM الحديثة مثل Salesforce وCreatio وOdoo تتيح التحكم في الوصول على مستوى نوع السجل والحقل والسجل الفردي، ويمكن الاستفادة من ذلك على النحو الآتي:
- تعريف أدوار واضحة (مبيعات، دعم، تسويق، إدارة) وربط كل دور بما يحتاجه لأداء عمله فقط.
- إخفاء الحقول الحساسة أو تقنيعها لغير المخوّلين، مثل أرقام الهويات والحسابات البنكية.
- تقييد التصدير الجماعي للبيانات إلى ملفات Excel وحصره بأدوار محددة.
- تفعيل سجل التدقيق لمعرفة من اطّلع على السجلات أو عدّلها أو حذفها ومتى.
- إلغاء صلاحيات الموظفين المغادرين فوراً ضمن إجراء موحّد بين الموارد البشرية وتقنية المعلومات.
حقوق صاحب البيانات وكيف يخدمها CRM
يمنح النظام أصحاب البيانات حقوقاً منها العلم بكيفية جمع بياناتهم والغرض منه، والوصول إليها، وطلب تصحيحها، وطلب إتلافها في حالات معينة. الصعوبة التي تواجهها المنشآت غالباً ليست في فهم هذه الحقوق، بل في تنفيذها بسرعة ودقة عندما تكون بيانات العميل موزعة بين CRM والبريد الإلكتروني ونظام المحاسبة وجداول متفرقة.
الحل العملي هو إنشاء نوع طلب خاص في CRM لطلبات أصحاب البيانات، له مسار واضح: استلام الطلب، والتحقق من هوية مقدمه، وتحديد الأنظمة التي تحتوي بياناته، والتنفيذ، ثم الرد وتوثيق الإغلاق. ويمكن عبر أتمتة العمليات تذكير المسؤول بالمواعيد وتصعيد الطلبات المتأخرة. أما إذا كانت البيانات مكررة في أكثر من نظام، فإن ربط الأنظمة ببعضها يسهّل تحديث السجل أو إتلافه من مكان واحد بدلاً من البحث عنه يدوياً.
الاحتفاظ والاستضافة والتعامل مع الحوادث
الاحتفاظ بالبيانات إلى أجل غير محدد ليس سياسة. حدّد مدة احتفاظ لكل فئة من البيانات بالتنسيق مع المستشار القانوني، ثم طبّقها في CRM عبر تقارير دورية بالسجلات الخاملة، أو إجراءات أرشفة وإتلاف مجدولة تُراجع قبل تنفيذها.
كذلك يجب أن تعرف أين تُستضاف بيانات CRM. فنقل البيانات الشخصية خارج المملكة تحكمه ضوابط خاصة في النظام ولوائحه التنفيذية، لذلك من المهم أن تعرف موقع مراكز البيانات لدى مزود الخدمة السحابية والخيارات المتاحة لديه، وأن تراجع اللوائح والإرشادات المحدّثة على موقع سدايا قبل اتخاذ القرار.
وأخيراً، ضع خطة مكتوبة للتعامل مع أي تسرب أو وصول غير مصرح به: من يكتشف الحادثة، ومن يُبلَّغ داخلياً، وكيف يُقيَّم أثرها، ومتى يجب إشعار الجهة المختصة وأصحاب البيانات وفق ما تحدده اللوائح. وجود سجل التدقيق والصلاحيات المضبوطة يجعل هذا التقييم أسرع وأوضح.
ابدأ بمراجعة نظامك الحالي
التوافق مع نظام حماية البيانات الشخصية لا يتحقق بإعداد واحد، بل بمراجعة منظّمة لمصادر البيانات والصلاحيات والإجراءات، ثم متابعة دورية. في حلتك نبدأ عادةً بجرد ما يحتويه نظام CRM الحالي من بيانات ومن يصل إليها، ثم نقترح التعديلات التقنية بالتنسيق مع فريقكم القانوني. إذا أردت مراجعة إعدادات نظامك، تواصل معنا.