توطين البيانات في الإمارات والسعودية: ما الذي يجب أن يسأله مشترو أنظمة ERP السحابية

القواعد تتغير: ففي 6 أكتوبر 2026، اقترحت الهيئة السعودية للبيانات والذكاء الاصطناعي (سدايا) إلزام تخزين البيانات الشخصية داخل المملكة. ويغطي هذا الدليل القواعد حسب نوع البيانات، ومثالًا تطبيقيًا، والمناطق السحابية المتاحة، وعشرة أسئلة لأي مورّد لنظام ERP سحابي.

ما البيانات التي يجب أن تبقى في الإمارات؟

لا يتضمن القانون الاتحادي لحماية البيانات في الإمارات قاعدة توطين عامة: إذ يمكن نقل البيانات الشخصية إلى الخارج إلى دول معتمدة أو بضمانات مثل العقود أو الموافقة. ويأتي التوطين من القواعد القطاعية.

تتبع الشركات في مركز دبي المالي العالمي وسوق أبوظبي العالمي قوانين حماية البيانات الخاصة بهما، التي تسمح أيضًا بالنقل على أساس الكفاية أو الضمانات. ولم تكن اللوائح التنفيذية لقانون حماية البيانات الشخصية قد صدرت وقت الكتابة، لذا قد تتغير تفاصيل قواعد النقل.

ما البيانات التي يجب أن تبقى في السعودية؟

بالنسبة لمعظم الشركات الخاصة، القاعدة المهمة هي قاعدة ZATCA: يجب حفظ سجلات ضريبة القيمة المضافة داخل المملكة، وإذا كانت على خادم، فيجب أن يكون الخادم داخل المملكة أيضًا. ويمكن حاليًا نقل البيانات الشخصية خارج المملكة وفق قواعد النقل في نظام حماية البيانات الشخصية، لكن ذلك قد يتغير.

يتضمن دليل ZATCA استثناءً واحدًا: يجوز للمنشأة الدائمة استخدام نظام مركزي في الخارج إذا تمكنت من الوصول إلى السجلات من محطة عمل في السعودية. ويُتوقع أيضًا أن تكون السجلات بالعربية.

عمليًا، يجب استضافة البيانات المحاسبية السعودية في منطقة سحابية سعودية، ما لم يثبت المورّد أن الاستثناء ينطبق عليكم.

ما الذي تغيّر منذ 2024؟

خففت الإمارات التوطين للبيانات الضريبية بينما شددته لاستخدام الحوسبة السحابية الحكومية. ونقلت السعودية التوطين من قواعد الأمن السيبراني إلى قواعد البيانات، وتجري الآن مشاورات على متطلب أوسع.

لم يتضح بعد ما إذا كانت المسودة السعودية ستُلزم بحفظ كل البيانات الشخصية داخل المملكة أم بنسخة محلية فقط.

كيف ينطبق ذلك على شركة في البلدين؟ مثال تطبيقي

موزع مستلزمات طبية مقره دبي يشغّل نظام ERP واحدًا لمقره الرئيسي في الإمارات وفرعه المسجل في ضريبة القيمة المضافة في الرياض. ويبيع أيضًا لعيادتين في الإمارات تتشاركان بيانات المرضى لأغراض التوصيل. وفيما يلي أين يمكن أن يوجد كل نوع من البيانات.

أبسط تصميم ملتزم هو منطقتا استضافة: منطقة إماراتية للمقر الرئيسي وكل ما يتعلق بالبيانات الصحية، ومنطقة سعودية للبيانات المحاسبية لفرع الرياض. ومنطقة واحدة غير سعودية ستترك سجلات ضريبة القيمة المضافة للفرع خارج القاعدة، ما لم ينطبق استثناء المنشأة الدائمة ويُوثَّق.

ما المناطق السحابية المتاحة في الإمارات والسعودية؟

لدى Microsoft وAWS وOracle مناطق في الإمارات، لكن التغطية في السعودية أقل: فـ AWS وMicrosoft لا تصلان إلا في أواخر 2026. اسألوا عن المنطقة التي يستخدمها مورّد نظام ERP فعلًا، لا المناطق التي يقدّمها مزوّده السحابي.

قد توجد النسخ الاحتياطية ونسخ التعافي من الكوارث ووصول الدعم في مكان آخر حتى عندما تكون قاعدة البيانات الرئيسية داخل البلد، لذا اسألوا عن الثلاثة.

ما الذي يجب أن تسألوه لمورّد نظام ERP سحابي عن توطين البيانات؟

اسألوا كتابةً عن مكان كل نسخة من بياناتكم ومن يمكنه الوصول إليها. فالمورّد الذي يجيب فقط بأن «سحابتنا في المنطقة» أجاب عن سؤال واحد من عشرة.

1. أي مزوّد سحابي ومنطقة يستضيفان قاعدة البيانات الرئيسية؟ اطلبوا اسم المنطقة، لا الدولة.
2. أين تُحفظ النسخ الاحتياطية ونسخ التعافي من الكوارث؟ هي نسخ من سجلاتكم وتُحتسب بالقدر نفسه.
3. هل يمكن استضافة الكيانات الإماراتية والسعودية في مناطق مختلفة؟ هذا مهم لقاعدة ZATCA بشأن سجلات ضريبة القيمة المضافة.
4. من أين يمكن لموظفي الدعم الوصول إلى البيانات؟ قد يُعدّ الوصول عن بُعد من الخارج نقلًا للبيانات الشخصية.
5. من يحتفظ بمفاتيح التشفير، وأين؟ أصبح بإمكان الهيئة الاتحادية للضرائب طلب الوصول بما في ذلك المفاتيح.
6. ما المتعاقدون من الباطن الذين يعالجون البيانات؟ اطلبوا القائمة ومواقعهم.
7. ما ضمانات النقل التي تستخدمونها للبيانات الشخصية؟ ابحثوا عن البنود التعاقدية القياسية وفق قواعد حماية البيانات الشخصية.
8. هل يمكنكم تصدير كل السجلات بصيغة مقروءة؟ يجب عليكم حفظ السجلات الضريبية الإماراتية سبع سنوات على الأقل (15 للعقارات)، وسجلات ضريبة القيمة المضافة السعودية ست سنوات عمومًا، و11 للأصول الرأسمالية، و15 للعقارات، حتى بعد تغيير النظام.
9. ما الشهادات التي تغطي الاستضافة والتطبيق؟ ISO/IEC 27001 هو الأساس الشائع.
10. ماذا ستفعلون إذا اعتمدت السعودية مسودة أكتوبر 2026؟ اسألوا ما إذا كان يمكن إضافة منطقة سعودية دون نقل.

أين تخطئ مراجعات توطين البيانات عادةً؟

في المراجعات الأمنية التي يخضع لها HYP ERP مع المشترين، نادرًا ما يكون موقع قاعدة البيانات الرئيسية هو المشكلة. فالفجوات في النسخ والوصول المحيطين بها.

HYP حاصل على شهادة ISO/IEC 27001، وهذه هي الأسئلة التي نتوقع أن يطرحها المشترون علينا كما على أي مورّد آخر.

المصادر

1. المرسوم بقانون اتحادي رقم 45 لسنة 2021 بشأن حماية البيانات الشخصية (الإمارات)
2. DLA Piper: قوانين حماية البيانات في الإمارات
3. التميمي ومشاركوه: قواعد جديدة لسيادة البيانات في الحوسبة السحابية في الإمارات، 15 أكتوبر 2026
4. وزارة المالية: تعديلات لوائح الفوترة الإلكترونية، 19 أكتوبر 2026
5. Grant Thornton: الهيئة الاتحادية للضرائب تصدر ثلاثة قرارات رئيسية، 21 أغسطس 2026
6. ZATCA: الدليل الإرشادي للفوترة الضريبية والسجلات وفق أحكام ضريبة القيمة المضافة، الإصدار 3
7. Reed Smith: سدايا تطرح تعديلات واسعة على اللائحة التنفيذية لنظام حماية البيانات الشخصية للمشاورة، 16 أكتوبر 2026
8. Mayer Brown: تحديثات لوائح حماية البيانات الشخصية في السعودية، 9 أكتوبر 2024
9. الهيئة الوطنية للأمن السيبراني: ضوابط الأمن السيبراني للحوسبة السحابية، CCC-2:2024
10. Microsoft: منطقة مراكز البيانات في السعودية، 10 فبراير 2026
11. Amazon: منطقة AWS السحابية في السعودية، 31 أغسطس 2026
12. Oracle: مناطق الحوسبة السحابية العامة

آخر تحديث: 27 أكتوبر 2026