قائمة تحقق امتثال الشات بوت لـ GDPR 2026: PDPL وLGPD وغيرها

كانت قائمة تحقق حماية البيانات الشخصية في الشات بوت تعني رابط سياسة خصوصية وشريط كوكيز. أما في 2026 فصار عليها أن تغطي أيضًا واجب الإفصاح عن الشات بوت في قانون الذكاء الاصطناعي الأوروبي، الساري من 2 أغسطس 2026، إضافة إلى قوانين حماية البيانات في دول الخليج ومنطقة الشرق الأوسط وشمال أفريقيا عمومًا، وتركيا والهند والبرازيل، والمشهد الأمريكي المتفاوت من ولاية إلى أخرى. يقدم هذا الدليل 10 خطوات عملية، وجدولًا بمهل الإبلاغ عن الخروقات حسب الدولة، وصورة واضحة لوضع العراق وإقليم كردستان.

هذه القائمة معلومات عامة وليست استشارة قانونية؛ استشر محاميًا مختصًا في كل ولاية قضائية تعمل فيها.

أبرز النقاط

• يوجب قانون الذكاء الاصطناعي الأوروبي على روبوتات الدردشة الإفصاح عن كونها ذكاءً اصطناعيًا، ما لم يكن ذلك بديهيًا. وتسري المادة 50(1) منذ 2 أغسطس 2026، ولم يؤجلها Digital Omnibus الصادر في يوليو 2026.
• تعتمد معظم الجهات المنظمة مهلة 72 ساعة للإبلاغ عن الخرق، لكن ليس كلها. فاللائحة العامة لحماية البيانات (GDPR)، وقواعد نظام حماية البيانات الشخصية السعودي (PDPL)، ومجلس KVKK التركي، ومصر والبحرين وعُمان والأردن تعمل بمهلة 72 ساعة، وسوق أبوظبي العالمي (ADGM) بصيغة "دون تأخير لا مبرر له، وحيثما أمكن في مدة لا تتجاوز 72 ساعة"؛ أما الكويت فتمنح المزوّدين المرخصين 24 ساعة، ومركز دبي المالي العالمي (DIFC) فيكتفي بـ"في أقرب وقت ممكن عمليًا"، وتشترط هيئة ANPD البرازيلية 3 أيام عمل. وفي الولايات المتحدة لا توجد مهلة واحدة — فإشعار الخرق يأتي من قانون الخروقات المستقل في كل ولاية، ومهلة كاليفورنيا 30 يومًا تقويميًا من الاكتشاف لإبلاغ المقيمين المتأثرين.
• تشترط المادة 28(3) من GDPR عقدًا ملزِمًا (اتفاقية معالجة بيانات DPA) مع كل معالج، وهو ما يشمل عادةً منصة صندوق الوارد ومزوّد نموذج الذكاء الاصطناعي.
• لا يوجد في العراق قانون شامل نافذ لحماية البيانات في القطاع الخاص، ولا في إقليم كردستان، لذا فالعمل بمستوى GDPR خط أساس معقول.
• أداة الرد الآلي بالذكاء الاصطناعي مضطرة لقراءة الرسائل كي تجيب عنها، لذا لا يقل التحكم في الوصول وتحديد مدد الاحتفاظ وتشفير بيانات الاعتماد أهمية عن التشفير أثناء النقل.

من يحتاج إلى قائمة تحقق حماية البيانات الشخصية في الشات بوت في 2026

الشات بوت المتوافق مع GDPR يعالج البيانات الشخصية استنادًا إلى أساس قانوني، ويخبر الناس بما يجري لبياناتهم، ويحفظها بأمان، ويمكّنهم من ممارسة حقوقهم. والشركة التي تبيع عبر واتساب أو إنستغرام أو تيليجرام تخضع عادةً لقوانين محلية أيضًا:

• الاتحاد الأوروبي: اللائحة العامة لحماية البيانات (GDPR) السارية منذ 25 مايو 2018، والمادة 50 من قانون الذكاء الاصطناعي. وإذا كنت تخدم أشخاصًا في الاتحاد الأوروبي من خارجه، فاسأل مستشارك القانوني عن انطباق GDPR عليك.
• الولايات المتحدة: لا يوجد قانون خصوصية اتحادي واحد. فالواجبات على مستوى الولايات في معظمها، تتصدّرها CCPA/CPRA في كاليفورنيا، إضافة إلى موافقة TCPA للمكالمات والرسائل التسويقية الآلية، وقواعد الولايات بشأن الإفصاح عن روبوتات الدردشة مثل قاعدة ولاية مين.
• السعودية: نظام حماية البيانات الشخصية السعودي (PDPL)، الذي انتهت فترته التصحيحية في 14 سبتمبر 2024. وتنظّمه سدايا (SDAIA)، ويشمل المعالجة خارج المملكة لبيانات أشخاص موجودين فيها.
• الإمارات (اتحاديًا): المرسوم بقانون اتحادي رقم 45 لسنة 2021، النافذ منذ يناير 2022، ولائحته التنفيذية لم تصدر بعد.
• مركز دبي المالي العالمي (DIFC): القانون رقم 5 لسنة 2020؛ أبلغ المفوض بالمعالجة سنويًا، وتشمل قواعد المادة 10 بشأن الأنظمة ذاتية التشغيل روبوتات الدردشة.
• سوق أبوظبي العالمي (ADGM): لوائح حماية البيانات لسنة 2021؛ سجّل لدى مكتب حماية البيانات قبل المعالجة، وجدّد التسجيل سنويًا.
• قطر: القانون رقم 13 لسنة 2016، وتشرف عليه الوكالة الوطنية للأمن السيبراني (NCSA)؛ موافقة صريحة، وإذن إضافي للبيانات ذات الطبيعة الخاصة.
• البحرين: القانون رقم 30 لسنة 2018؛ ويحتاج النقل إلى الخارج إلى القائمة المعتمدة من هيئة حماية البيانات الشخصية (PDPA)، أو ترخيصها، أو أساس آخر.
• الكويت: لائحة هيئة تنظيم الاتصالات (CITRA)، التي ضُيّق نطاقها في 2024 ليقتصر على مزوّدي الاتصالات والإنترنت المرخصين، فمعظم الشركات خارج نطاقها.
• عُمان: المرسوم السلطاني رقم 6/2022، القابل للإنفاذ منذ 5 فبراير 2026؛ الموافقة أولًا، بلا أساس للمصلحة المشروعة.
• الأردن: القانون رقم 24 لسنة 2023، الساري منذ مارس 2025؛ موافقة مسبقة، وموافقة أخرى للنقل إلى الخارج.
• المغرب: القانون رقم 09-08؛ صرّح بالمعالجة لدى اللجنة الوطنية لمراقبة حماية المعطيات ذات الطابع الشخصي (CNDP) أولًا، واحصل على إذن اللجنة للنقل إلى الخارج.
• مصر: قانون 151 لسنة 2020؛ ولائحته التنفيذية (قرار رقم 816 لسنة 2025) تمنح مهلة للامتثال حتى مطلع نوفمبر 2026 تقريبًا.
• تركيا: KVKK (القانون رقم 6698)، المعدَّل بالقانون 7499 اعتبارًا من 1 يونيو 2024.
• الهند: قانون DPDP لسنة 2023؛ وصدرت لوائحه في نوفمبر 2025، ومعظم الواجبات الموضوعية تبدأ من مايو 2027 تقريبًا.
• البرازيل: LGPD (القانون 13.709/2018)، وتتولى إنفاذه هيئة ANPD.

امتثال الشات بوت في الولايات المتحدة: CCPA وTCPA والإفصاح عن الروبوت

معلومات عامة وليست استشارة قانونية. وانطباق أي من هذه القوانين يتوقف على إيراداتك، وعدد السجلات لديك، وقطاعك، وأنواع البيانات التي تعالجها — راجع مستشارك القانوني.

تختلف الأعداد المنشورة لقوانين الخصوصية في الولايات الأمريكية باختلاف منهجية الحصر: نحو 20 قانونًا ساريًا و24 قانونًا مُقرًّا حتى سبتمبر 2026.

ينطبق قانون CCPA في كاليفورنيا، بصيغته المعدَّلة بـ CPRA، على أي شركة ربحية تمارس نشاطًا تجاريًا في كاليفورنيا وتجمع بيانات شخصية لمقيمين فيها وتتجاوز أحد ثلاثة حدود: إيرادات إجمالية سنوية عالمية تتجاوز 26,625,000 دولار (الرقم الساري منذ 1 يناير 2025)؛ أو شراء أو بيع أو مشاركة البيانات الشخصية لـ 100,000 مستهلك أو أسرة في كاليفورنيا أو أكثر؛ أو الحصول على 50% أو أكثر من الإيرادات من بيع البيانات الشخصية أو مشاركتها. وتمنح كاليفورنيا ستة حقوق: المعرفة، والحذف، والتصحيح، والاعتراض على البيع والمشاركة، وتقييد استخدام البيانات الشخصية الحساسة، وعدم التمييز. وتشترك الولايات الأخرى في جوهر واحد — إشعار خصوصية وخيارات اعتراض على الإعلانات المستهدفة والبيع وبعض أنواع التنميط — ومعظمها يضيف موافقة مسبقة على البيانات الحساسة، وهو ما لا تستطيع الدردشة الحرة تصنيفه مسبقًا.

والعقود هي الآلية الأمضى: فبموجب لوائح CCPA (المادة 7051(c))، لا يُعدّ المورّد الذي لا يرتبط بعقد مزوّد خدمة مستوفٍ للشروط مزوّد خدمة، وقد يُعتبر الإفصاح له عن بيانات شخصية بيعًا أو مشاركة. كما تشترط نحو اثنتي عشرة ولاية احترام إشارة اعتراض موحّدة على الصفحة المستضيفة لأداة الدردشة لديك، لا على واتساب أو إنستغرام أو تيليجرام؛ وإشارة Global Privacy Control معترف بها في كاليفورنيا وكولورادو وكونيتيكت، والقائمة متغيرة، فتحقق منها.

وتأتي قواعد القطاعات فوق ذلك: HIPAA (قانون التأمين الصحي الأمريكي) حين يكون عميلك جهة خاضعة له وتحمل المحادثة بيانات صحية — فـ Meta وتيليجرام لا توقّعان اتفاقيات شريك الأعمال (BAA) للمراسلة التجارية القياسية، ومن ثم لا يمكن تمرير المعلومات الصحية المحمية عبر هاتين القناتين — إضافة إلى قاعدة الضمانات في GLBA (قانون الخدمات المالية) للشركات المالية غير المصرفية، وCOPPA (قانون حماية خصوصية الأطفال على الإنترنت) لبيانات من هم دون 13 عامًا. وبموجب المادة 5 من قانون FTC (لجنة التجارة الاتحادية)، يجب أن تكون ادعاءات الخصوصية والأمن التي تنشرها صحيحة.

والتسويق الصادر مسألة منفصلة. فقانون TCPA (قانون حماية مستهلك الاتصالات) يشترط موافقة خطية صريحة مسبقة على المكالمات والرسائل التسويقية المرسلة إلى أرقام الجوال الأمريكية عبر مُهاتف آلي أو صوت مسجَّل، وتبلغ التعويضات القانونية 500 دولار عن كل مكالمة أو رسالة مخالفة، وتصل إلى 1,500 دولار في المخالفات المتعمدة أو المقصودة، وعن كل رسالة عمومًا. ويمكن أن يصل سحب الموافقة بأي وسيلة معقولة، ويجب احترامه خلال 10 أيام عمل. أما شمول TCPA لرسائل واتساب المرسلة عبر الإنترنت فمسألة غير محسومة، فتعامل مع الموافقة الخطية بوصفها خط أساس حصيفًا لا قاعدة مستقرة؛ وعلى أي حال تشترط سياسة Meta للمراسلة التجارية عبر واتساب الحصول على موافقة مسبقة.

والإفصاح عن الروبوت هو الآخر على مستوى الولايات. فقانون روبوتات الدردشة في ولاية مين (10 M.R.S. §1500-DD)، الساري منذ 24 سبتمبر 2025، هو الأوسع نطاقًا ويشمل روبوتات البيع والدعم الاعتيادية؛ وتشترط يوتا الإفصاح حين يسأل المستهلك، وبشكل استباقي في التفاعلات عالية المخاطر مثل تلك التي تجمع بيانات صحية أو مالية. أما B.O.T. Act في كاليفورنيا فأضيق: نية التضليل، ومنصات موجّهة للجمهور بعشرة ملايين زائر أمريكي فريد شهريًا أو أكثر، والإفصاح الواضح بوصفه ملاذًا آمنًا.

الخطوة 1: ارسم خريطة البيانات الشخصية التي يجمعها الشات بوت ومسار انتقالها

رسم خريطة البيانات يعني حصر كل قطعة بيانات شخصية يلمسها البوت، وأين تُخزَّن، ومن يستقبلها. ولكل قناة، سجّل:

• ما يرسله العملاء: الأسماء، وأرقام الهواتف، وعناوين البريد الإلكتروني، والعناوين، وتفاصيل الطلبات، والصور، والرسائل الصوتية.
• ما تخزّنه أنت: سجل المحادثات، وملفات جهات الاتصال، وسجلات موجّهات الذكاء الاصطناعي.
• ما يربط الأنظمة: رموز وصول القنوات، ومفاتيح API لمزوّدي الذكاء الاصطناعي، وأسرار الويب هوك.
• إلى أين تذهب البيانات: منصة المراسلة، ومزوّد صندوق الوارد، ومزوّد نموذج الذكاء الاصطناعي، وأي أداة CRM أو دفع.

وسجّل كذلك مدة احتفاظ كل مزوّد. تقول Meta إنها تعمل بصفة معالج بيانات لـ WhatsApp Cloud API وتحتفظ برسائل Cloud API مدة 30 يومًا كحد أقصى (وثائق مطوري Meta). وراجع مقارنة Cloud API بتطبيق الأعمال.

الخطوة 2: اختر أساسًا قانونيًا واجمع الموافقة حيث تلزم

تسرد المادة 6 من GDPR الأسس القانونية للمعالجة. اختر واحدًا لكل غرض، لا لكل أداة:

• الرد على أسئلة الطلبات أو الدعم غرض واحد.
• الرسائل التسويقية الجماعية والمتابعات غرض منفصل؛ تحقق مما إذا كان يحتاج إلى موافقة مستقلة.
• إعادة استخدام المحادثات لتحسين ذكائك الاصطناعي غرض ثالث؛ لا تدرجه ضمنيًا مع غيره.

اكتب الأساس القانوني بجانب كل غرض في خريطة بياناتك، واحتفظ بدليل على أي موافقة.

الخطوة 3: أخبر المستخدمين أنهم يتحدثون إلى ذكاء اصطناعي (المادة 50 من قانون الذكاء الاصطناعي الأوروبي)

بموجب المادة 50(1) من قانون الذكاء الاصطناعي الأوروبي، على أي نظام ذكاء اصطناعي يتفاعل مع الناس أن يخبرهم بوضوح، ومن أول تفاعل، أنهم يتعاملون مع ذكاء اصطناعي، ما لم يكن ذلك بديهيًا أصلًا. وقد سرى هذا الواجب منذ 2 أغسطس 2026، بغرامات تصل إلى 15 مليون يورو أو 3% من الإيرادات العالمية، بحسب الأسئلة الشائعة للمفوضية الأوروبية عن المادة 50. ولم يؤجله Digital Omnibus الخاص بالذكاء الاصطناعي، النافذ منذ 27 يوليو 2026. اسأل مستشارك القانوني عن كيفية انطباق الواجب على إعدادك، وتأكد أن أداة الشات بوت لديك تعرض الإفصاح.

• ضع سطر إفصاح واحدًا في أول رد للبوت في كل محادثة خاصة، مثل: "مرحبًا، أنا المساعد الذكي لـ [اسم العلامة]."
• اربط سياسة خصوصية تقدم المعلومات التي تشترطها المادة 13 من GDPR عند جمع البيانات من الأشخاص.
• وبعض الولايات الأمريكية تطلب الشيء نفسه: ولاية مين منذ 24 سبتمبر 2025، ويوتا حين يسأل المستهلك أو في تفاعل عالي المخاطر.

الخطوة 4: قلّل البيانات التي يجمعها البوت ويخزّنها ويرسلها إلى نماذج الذكاء الاصطناعي

تقليل البيانات يعني جمع ما تحتاجه المهمة فقط. وكلما قلّت البيانات، قلّ ما يجب تأمينه وحذفه والإبلاغ عنه.

• لا تطلب أرقام هوية أو تواريخ ميلاد للإجابة عن أسئلة التوصيل أو ساعات العمل.
• أخبر العملاء ألا يرسلوا أبدًا أرقام بطاقات أو كلمات مرور في المحادثة، واجعل البوت يرفضها.
• أرسل إلى نموذج الذكاء الاصطناعي السياق الذي يحتاجه فقط، لا سجلات العملاء كاملة.
• اقرأ شروط مزوّد الذكاء الاصطناعي بشأن استخدام بيانات API في التدريب.
• وفّر تحويلًا إلى موظف بشري في الشكاوى والمبالغ المستردة وأي قرار له أثر حقيقي على العميل.

الخطوة 5: شفّر بيانات الاعتماد والرموز والبيانات الشخصية للعملاء أثناء النقل والتخزين

تسمّي المادة 32(1)(أ) من GDPR استخدام الأسماء المستعارة (pseudonymisation) والتشفير تدبيرين أمنيين. وبموجب المادة 34(3)(أ) من GDPR، لا يلزمك إبلاغ الأفراد إذا كان التشفير قد جعل البيانات المخترقة غير مفهومة. وقد يظل عليك إبلاغ الجهة المنظمة بموجب المادة 33.

• استخدم HTTPS/TLS في كل استدعاء API وكل طلب ويب هوك.
• شفّر رموز وصول القنوات ومفاتيح API للذكاء الاصطناعي وأسرار الويب هوك على مستوى التطبيق، مع حفظ المفتاح بعيدًا عن قاعدة البيانات، حتى لا يسلّم تسريب نسخة من قاعدة البيانات حساب واتساب أو إنستغرام لديك.
• شفّر حقول التواصل عالية الخطورة مثل أرقام الهواتف والعناوين.

واعرف الحد: الخادم الذي يكتب ردود الذكاء الاصطناعي مضطر لقراءة نص الرسالة، لذا فالخطوتان 6 و7 لا تقلان أهمية عن التشفير.

الخطوة 6: طبّق الوصول القائم على الأدوار واحتفظ بسجلات تدقيق

التحكم في الوصول القائم على الأدوار (RBAC) يمنح كل شخص الصلاحيات التي تتطلبها وظيفته فقط:

• موظفو الخط الأول يحصلون على المحادثات وجهات الاتصال، لا على الفوترة أو إعدادات الذكاء الاصطناعي أو مفاتيح API.
• مستخدمو الاطلاع فقط يرون ما يحتاجونه فقط ولا يستطيعون تغييره.
• ألغِ الصلاحيات يوم مغادرة أي شخص، ودوّر أي مفاتيح كان بإمكانه الاطلاع عليها.
• سجّل من غيّر الإعدادات الحساسة.

وتدرج القاعدة 6 من لوائح DPDP الهندية الاحتفاظ بالسجلات لمدة سنة ضمن ضمانات الأمن. واسأل كل مزوّد في منظومتك عن ضوابط وصول موظفيه وعن كيفية تسجيل هذا الوصول، واحتفظ بالإجابات مع خريطة بياناتك.

الخطوة 7: حدد مدد الاحتفاظ وتعامل مع طلبات الحذف والاطلاع

تمنح المادة 17 من GDPR الأشخاص الحق في المحو، لذا تحتاج إلى طريقة للعثور على بيانات شخص واحد وإزالتها عبر الأنظمة كلها.

• حدد مدة احتفاظ لكل نوع بيانات، مثل المحادثات المفتوحة والمحادثات المغلقة وجهات الاتصال التسويقية.
• احذف البيانات أو أخفِ هويتها عند انتهاء تلك المدة، وأتمتة ذلك ممارسة جيدة.
• ابنِ مسارًا للطلبات: تحقق من الهوية، وابحث في صندوق الوارد ونظام CRM وسجلات الذكاء الاصطناعي والملفات المُصدَّرة، ثم نفّذ ووثّق.
• تابع مهلة الرد في كل قانون تخضع له. ففي الهند، على الجهات المؤتمنة على البيانات الرد على طلبات الحقوق خلال 90 يومًا حين تسري لوائح DPDP الموضوعية (من مايو 2027 تقريبًا). وفي كاليفورنيا، تُمنح الطلبات المتحقَّق منها 45 يومًا قابلة للتمديد مرة واحدة.

وإذا ربطت فيسبوك أو إنستغرام، فتحقق من كيفية تعامل مزوّد صندوق الوارد مع طلبات حذف البيانات من Meta.

الخطوة 8: وقّع اتفاقية معالجة بيانات مع كل معالج وتحكّم في النقل عبر الحدود

اتفاقية معالجة البيانات (DPA) هي العقد الملزِم الذي تشترطه المادة 28(3) من GDPR بينك وبين كل معالج يتعامل مع بيانات شخصية لحسابك. وفي حالة الشات بوت، يشمل ذلك عادةً منصة صندوق الوارد، ومزوّد نموذج الذكاء الاصطناعي، ومزوّد API المراسلة. وتحقق من المعالجين الفرعيين، ومن استخدام البيانات في تدريب الذكاء الاصطناعي، ومن الحذف عند انتهاء العقد، ومن سرعة إبلاغ المزوّد لك بأي خرق. وتحوّل الولايات المتحدة الفكرة نفسها إلى شرط — انظر قاعدة مزوّد الخدمة في المادة 7051(c) من لوائح CCPA أعلاه.

والنقل عبر الحدود يستحق انتباهًا أيضًا. فمنذ القانون التركي 7499، صار النقل إلى الخارج يحتاج إلى قرار كفاية، أو ضمانات مناسبة مثل العقد النموذجي المعتمد من المجلس، أو استثناء ضيق. ولم ينشر المجلس أي قائمة كفاية، والاستثناءات تغطي عمليات النقل العارضة غير المتكررة فقط، فلا تصلح لحمل مسار شات بوت مستمر: خطّط إذًا للعقد النموذجي المعتمد من المجلس، وتحقق من خطوات الإخطار التي يتطلبها. كما أن الاستضافة خارج السعودية لا تخرجك من نطاق نظام PDPL السعودي إذا كنت تعالج بيانات أشخاص موجودين في المملكة، ويحتاج النقل من السعودية إلى غرض مسموح به إضافة إلى كفاية أو ضمانة مع تقييم مخاطر موثّق. وتشترط البرازيل نص بنود ANPD دون تعديل. واسأل مزوّد النموذج عن ضمانة النقل التي يعتمد عليها، وتأكد مع مستشارك القانوني من استيفائها لكل قانون تخضع له.

الخطوة 9: جهّز خطة استجابة للخروقات وفق مهلة كل ولاية قضائية

خطة الخرق دليل تشغيل قصير يحدد من يفعل ماذا في الساعات الـ 72 الأولى، لأن معظم المهل تبدأ من لحظة علمك بالخرق.

• عيّن مسؤولًا عن الحوادث وبديلًا له.
• اسرد كل جهة منظمة ومهلة تخضع لها (انظر الجدول أدناه).
• جهّز نماذج إشعارات للعملاء بكل لغة تدعمها، بما فيها العربية والكردية.
• وثّق كيفية إلغاء وتدوير رموز القنوات ومفاتيح API للذكاء الاصطناعي وأسرار الويب هوك بسرعة.

الخطوة 10: راجع قائمة تحقق حماية البيانات الشخصية في الشات بوت وفق جدول زمني

• الآن: تأكد من جاهزيتك لمهلة الامتثال في مصر مطلع نوفمبر 2026 تقريبًا.
• كل ربع سنة: راجع صلاحيات الفريق والقنوات المتصلة ومفاتيح API الفعّالة.
• كل ستة أشهر: نفّذ طلب حذف تجريبيًا وتمرينًا على الاستجابة لخرق.
• مع كل تغيير: حدّث خريطة بياناتك وقائمة مزوّديك عند إضافة قناة أو نموذج ذكاء اصطناعي أو مزوّد، ونفّذ فحص مخاطر خصوصية لأي استخدام جديد للذكاء الاصطناعي.
• سنويًا: أعد فحص وضع كل دولة، خصوصًا اللائحة التنفيذية الإماراتية، ومرحلة الهند من مايو 2027 تقريبًا، ومسودة القانون العراقي.

مرجع سريع حسب الدولة: الوضع ومهل الإبلاغ عن الخروقات (سبتمبر 2026)

الولاية القضائية	القانون الرئيسي	الوضع (سبتمبر 2026)	إبلاغ الجهة المنظمة بالخرق
الاتحاد الأوروبي/المنطقة الاقتصادية الأوروبية	GDPR + المادة 50 من قانون الذكاء الاصطناعي	نافذ	72 ساعة (المادة 33 من GDPR)
الولايات المتحدة (اتحاديًا)	لا قانون خصوصية عام؛ المادة 5 من قانون FTC، وTCPA، وقواعد قطاعية	لا قانون عام؛ القواعد القطاعية نافذة	لا واجب اتحادي عام؛ قواعد قطاعية فقط (HIPAA: إبلاغ الأفراد خلال 60 يومًا من الاكتشاف، وإبلاغ وزارة الصحة HHS خلال 60 يومًا في الخروقات التي تمس 500 فرد أو أكثر، وخلال 60 يومًا من نهاية السنة التقويمية فيما عدا ذلك؛ وقاعدة الضمانات في GLBA: إبلاغ FTC خلال 30 يومًا من اكتشاف حادث يمس بيانات عملاء غير مشفّرة لـ 500 مستهلك أو أكثر)
كاليفورنيا (CCPA/CPRA)	Cal. Civ. Code §1798.100 وما بعدها	نافذ؛ ولوائح هيئة CPPA سارية من 1 يناير 2026	لا يحددها CCPA؛ فالقانون المستقل §1798.82 (بصيغته المعدَّلة بـ SB 446، السارية من 1 يناير 2026) يمنح 30 يومًا تقويميًا من الاكتشاف لإبلاغ المقيمين المتأثرين، إضافة إلى إبلاغ النائب العام لكاليفورنيا خلال 15 يومًا من إبلاغ المستهلكين حين يتأثر أكثر من 500 مقيم في كاليفورنيا. والمهل تختلف من ولاية إلى أخرى
السعودية	نظام حماية البيانات الشخصية (PDPL) (م/19، المعدَّل بالمرسوم م/148)	قابل للإنفاذ منذ 14 سبتمبر 2024	72 ساعة إلى سدايا (المادة 24 من اللائحة التنفيذية)
الإمارات (اتحاديًا)	المرسوم بقانون اتحادي رقم 45 لسنة 2021	نافذ؛ واللائحة التنفيذية لم تصدر	"فورًا"؛ بلا عدد ساعات محدد
مركز دبي المالي العالمي (DIFC)	قانون DIFC رقم 5 لسنة 2020	نافذ؛ ومعدَّل في 2022 و2025	في أقرب وقت ممكن عمليًا (المادة 41)؛ بلا قاعدة 72 ساعة
سوق أبوظبي العالمي (ADGM)	لوائح حماية البيانات لسنة 2021	نافذة ومُنفَّذة	دون تأخير لا مبرر له، وحيثما أمكن خلال 72 ساعة
قطر	القانون رقم 13 لسنة 2016 (PDPPL)	نافذ؛ وصدرت إرشادات NCSA	لا نص في القانون؛ وإرشادات NCSA تتوقع 72 ساعة
البحرين	القانون رقم 30 لسنة 2018	نافذ؛ وهيئة PDPA فاعلة منذ 2022	72 ساعة من الاكتشاف إلى هيئة PDPA
الكويت	لائحة CITRA، المعدَّلة في 2024	تلزم المزوّدين المرخصين من CITRA فقط	24 ساعة، للمرخص لهم فقط
عُمان	المرسوم السلطاني رقم 6/2022	قابل للإنفاذ بالكامل في 5 فبراير 2026	72 ساعة إلى وزارة النقل والاتصالات وتقنية المعلومات (MTCIT)
الأردن	القانون رقم 24 لسنة 2023	انتهت الفترة الانتقالية في 17 مارس 2025	72 ساعة؛ وإبلاغ أصحاب البيانات خلال 24 ساعة
مصر	قانون 151 لسنة 2020	تنتهي فترة الامتثال مطلع نوفمبر 2026 تقريبًا	72 ساعة إلى مركز حماية البيانات الشخصية (PDPC)
المغرب	القانون رقم 09-08	نافذ؛ نظام تصريح	لا شيء: القانون رقم 09-08 لا يفرض واجبًا عامًا بالإبلاغ عن الخروقات
تركيا	KVKK (القانون رقم 6698)	نافذ، ومعدَّل في يونيو 2024	72 ساعة إلى مجلس KVKK
الهند	قانون DPDP لسنة 2023	معظم الواجبات من مايو 2027 تقريبًا	تقرير مفصّل خلال 72 ساعة (القاعدة 7)
البرازيل	LGPD	نافذ، والعقوبات منذ أغسطس 2021	3 أيام عمل إلى ANPD، تتضاعف للجهات الصغيرة
العراق	لا قانون شامل للقطاع الخاص	توجد مسودة قانون	لا واجب قانوني؛ تأكد مع مستشار قانوني محلي
إقليم كردستان	لا قانون شامل؛ القانون رقم 6 لسنة 2008	—	لا واجب قانوني؛ تأكد مع مستشار قانوني محلي

العراق وإقليم كردستان: بحسب DataGuidance، تستند الخصوصية في العراق إلى دستور 2005 لا إلى قانون مخصص. وأقرب تشريع في إقليم كردستان هو القانون رقم 6 لسنة 2008 بشأن إساءة استخدام أجهزة الاتصالات.

كيف يدعم Raabt عملك على الامتثال في السعودية والخليج وخارجهما

هذه خريطة ميزات، لا شهادة امتثال. فلا توجد أداة تجعلك ممتثلًا وحدها: الأساس القانوني الذي تعتمده، وسياسات الخصوصية التي تعلنها، ومدد الاحتفاظ التي تحددها، والعقود التي توقّعها، هي ما يحسم الأمر. وما تستطيع المنصة أن تقدمه هو الضوابط التي يتوقع كل قانون أن تكون لديك.

ما يطلبه القانون	ما يوفره لك Raabt اليوم	ما يبقى مسؤوليتك أنت
التدابير الأمنية (المادة 32 من GDPR، ونظام PDPL السعودي، والبحرين وعُمان والأردن وKVKK)	رموز وصول القنوات، ومفاتيح مزوّدي الذكاء الاصطناعي، وأسرار الويب هوك، وأرقام هواتف العملاء وبريدهم الإلكتروني وعناوين طلباتهم، مشفّرة بخوارزمية AES-256-GCM؛ وكلمات المرور مجزّأة بـ Argon2id؛ والرموز لمرة واحدة تُخزَّن كتجزئات HMAC-SHA256 فقط	مدد الاحتفاظ، وتشفير الأجهزة، وأمن أي بيانات تصدّرها إلى الخارج
التحكم في الوصول ومبدأ أقل الصلاحيات	أربعة أدوار (المالك، والمسؤول، والوكيل، والمشاهد) بصلاحيات لكل قسم، والفوترة مقصورة على المالك، ورمز لمرة واحدة بالبريد عند تسجيل الدخول بكلمة المرور، وإلغاء الجلسة عند تسجيل الخروج	مراجعة من يملك الصلاحيات، وإزالة المغادرين في اليوم نفسه
إخبار الناس أنهم يتحدثون إلى ذكاء اصطناعي (المادة 50 من قانون الذكاء الاصطناعي الأوروبي، ومين، ويوتا)	إعدادات الذكاء الاصطناعي قسم محكوم بالصلاحيات، فلا يغيّر طريقة رد البوت إلا الأدوار التي تختارها	صياغة سطر الإفصاح، ووضعه في أول رسالة من البوت، والتأكد من ظهوره في كل قناة
فصل بيانات كل عميل عن غيره	نقاط النهاية الخاصة بالشركات تتأكد أن صاحب الطلب عضو نشط في تلك الشركة قبل أن ترد بأي بيانات	اختيار من تدعوه إلى مساحة العمل
طلبات الحذف (المادة 17 من GDPR وما يعادلها)	استدعاء حذف البيانات من Meta برمز تأكيد ورابط حالة على صفحة حذف البيانات؛ وحذف الحساب يتطلب كلمة مرورك ورمزًا يصل بالبريد، ثم يُعطَّل الحساب ويُخفى بريده الإلكتروني	طلبات المحو الخاصة بعملاء أفراد، وسياستك أنت في الاحتفاظ والحذف
تكاملات موثّقة ومحمية من العبث	رفض طلبات الويب هوك من Meta بلا توقيع X-Hub-Signature-256 صالح، واشتراط رمز سري لطلبات تيليجرام، وتقديم المرفقات عبر روابط موقّعة بـ HMAC تنتهي صلاحيتها	تدوير رموز القنوات ومفاتيح API عند مغادرة الموظفين
الاستجابة للخروقات (72 ساعة في الاتحاد الأوروبي والسعودية والبحرين وعُمان والأردن وتركيا؛ و24 ساعة للمرخص لهم في الكويت؛ وقواعد خاصة بكل ولاية في الولايات المتحدة)	تُكتب إجراءات موظفي منصة Raabt أنفسهم في سجل لا يقبل التعديل (من، وماذا، ومتى، ومن أي عنوان IP) مع إخفاء الأسرار	دليل تشغيل الحوادث لديك، وإشعارات الجهات المنظمة وإشعارات العملاء
إرسال البيانات إلى الخارج	مفاتيح API لمزوّدي الذكاء الاصطناعي وملفات JSON لحسابات الخدمة مشفّرة على مستوى التطبيق (AES-256-GCM)	اختيار أي مزوّد ذكاء اصطناعي يعالج نصوصك، وتقييم النقل لديك، والعقود النموذجية، وأي إخطار محلي

ما الذي يفعله Raabt اليوم لحماية بيانات الشركات

لا تجعلك أي أداة ممتثلًا؛ فالنتيجة تعتمد على كيفية إعدادك لها واستخدامك إياها. وإذا كنت تشغّل الشات بوت لديك على Raabt، فهذه الضوابط قائمة اليوم:

• بيانات اعتماد وبيانات تواصل مختارة مشفّرة: رموز وصول القنوات (فيسبوك، وإنستغرام، وواتساب، وتيليجرام)، ومفاتيح API لمزوّدي الذكاء الاصطناعي، وأسرار الويب هوك، وأرقام هواتف العملاء وبريدهم الإلكتروني وعناوين طلباتهم، كلها مشفّرة على مستوى التطبيق بخوارزمية AES-256-GCM.
• كلمات المرور ورموز تسجيل الدخول: كلمات المرور مجزّأة بـ Argon2id. وتسجيل الدخول بالبريد وكلمة المرور يتطلب رمزًا لمرة واحدة يُرسل بالبريد قبل بدء الجلسة؛ وتسجيل الدخول عبر Google لا يستخدم هذا الرمز.
• وصول الفريق حسب الأدوار: أربعة أدوار (المالك، والمسؤول، والوكيل، والمشاهد) بصلاحيات لكل قسم؛ ولا يمكن تفويض صلاحية الفوترة لغير المالك.
• العزل بين الشركات: نقاط النهاية الخاصة بالشركات تتأكد أن صاحب الطلب عضو نشط في تلك الشركة، وترد بـ "غير موجود" فيما عدا ذلك.
• ويب هوك موثّق: طلبات الويب هوك من Meta بلا توقيع X-Hub-Signature-256 صالح تُرفض، وطلبات تيليجرام تتطلب رمزًا سريًا.
• إلغاء الجلسات: تسجيل الخروج يُلغي الجلسات عبر قائمة حظر تُفحص مع كل طلب مصادق عليه.
• طلبات الحذف من Meta: يدعم Raabt استدعاء حذف البيانات من Meta، مع رابط حالة على صفحة حذف البيانات.
• حذف الحساب: يتطلب كلمة مرور ورمزًا لمرة واحدة يصل بالبريد. ويُعطَّل الحساب فورًا ويُخفى بريده الإلكتروني، لكن هذا لا يمحو بيانات المحادثات أو جهات الاتصال.

قيد واحد ضعه في الحسبان: المحادثات ليست مشفّرة من طرف إلى طرف، لأن خوادم Raabt مضطرة لقراءة الرسائل كي تولّد ردود الذكاء الاصطناعي. والخادم الذي يؤلّف الرد مضطر لقراءة الرسالة أولًا.

خطّط لمدد الاحتفاظ والصلاحيات وإشعارات العملاء على هذا الأساس، وراجع سياسة الخصوصية لدينا.

الأسئلة الشائعة

معلومات عامة وليست استشارة قانونية.

هل الشات بوت لدي متوافق مع GDPR؟

لا يجيب عن ذلك إلا مراجعة إعدادك أنت. تحقق من وجود أساس قانوني لكل غرض، وسياسة خصوصية واضحة، واتفاقية معالجة بيانات (DPA) مع كل معالج، وتدابير أمنية مناسبة مثل التشفير، وطلبات محو تعمل فعلًا.

هل يجب إخبار العميل أنه يتحدث مع روبوت؟

في الاتحاد الأوروبي، نعم عمومًا. فمنذ 2 أغسطس 2026، تشترط المادة 50(1) من قانون الذكاء الاصطناعي أن توضح أنظمة الذكاء الاصطناعي التي تتفاعل مع الناس ذلك من أول تفاعل، ما لم يكن بديهيًا. وفي الولايات المتحدة، تشترط ولاية مين الإشعار حين يمكن أن يضلّل روبوت دردشة تجاري المستهلك فيظن أنه يتحدث إلى إنسان؛ وتشترط يوتا الإفصاح حين يسأل المستهلك، وبشكل استباقي في التفاعلات عالية المخاطر مثل تلك التي تجمع بيانات صحية أو مالية.

هل ينطبق قانون الذكاء الاصطناعي الأوروبي على روبوتات خدمة العملاء؟

نعم، عبر واجبات الشفافية في المادة 50 لأنظمة الذكاء الاصطناعي التي تتفاعل مع الناس. وقد نقل Digital Omnibus مهل الأنظمة عالية المخاطر المستقلة (الملحق الثالث) إلى 2 ديسمبر 2027، ومهل الملحق الأول إلى 2 أغسطس 2028. تحقق مع مستشارك القانوني مما إذا كانت حالتك عالية المخاطر.

هل تنطبق قوانين الخصوصية الأمريكية على الشات بوت لدي على واتساب أو إنستغرام؟

غالبًا نعم — لكن من ولاية إلى أخرى لا عبر قانون اتحادي واحد. فسجلات المحادثات المرتبطة برقم هاتف أو بحساب إنستغرام تُعدّ بيانات شخصية بموجب تلك القوانين، وتُضاف إليها واجبات الإفصاح عن الروبوت وموافقة TCPA للتسويق الصادر. راجع قسم الولايات المتحدة أعلاه للاطلاع على الحدود والسؤال المفتوح بشأن TCPA.

هل أحتاج إلى اتفاقية معالجة بيانات مع مزوّد الشات بوت؟

بموجب GDPR، نعم، إذا كان المزوّد يعالج بيانات شخصية لحسابك، لأن المادة 28(3) تشترط عقدًا ملزِمًا مع كل معالج. وتحقق من المعالجين الفرعيين، وشروط التدريب على الذكاء الاصطناعي، والحذف عند انتهاء العقد.

كم مدة تخزين محادثات الشات بوت المسموح بها بموجب GDPR؟

لا يوجد رقم واحد تنسخه. والنهج الشائع هو الاحتفاظ بالمحادثات بالقدر الذي يتطلبه الغرض المعلن فقط، وإخبار العملاء بتلك المدة في سياسة الخصوصية، ثم حذف البيانات أو تجهيلها بعدها. وأكّد المدة مع مستشارك القانوني.

هل يوجد قانون لحماية البيانات الشخصية في العراق؟

ليس قانونًا شاملًا للقطاع الخاص، رغم وجود مسودة قانون. فالمادة 17 من دستور 2005 تحمي الخصوصية الشخصية، والمادة 40 تحمي الاتصالات. وإقليم كردستان أيضًا بلا قانون شامل، لذا فالعمل بمستوى GDPR خط أساس معقول في الوقت الحالي.

هل أنت مستعد لتشغيل ردود آلية بالذكاء الاصطناعي ببيانات اعتماد قنوات مشفّرة ووصول فريق حسب الأدوار؟ ابدأ مجانًا.