سياسة الخصوصية

رمز الوثيقة	SDDNI-POL-PRV-003
الإصدار	Version 1.0
تاريخ الإصدار	30 يوليو 2026م
آخر تحديث	01 أغسطس 2026م
الحالة	Published
مرجع الهوية	BRD-001_SDDNI_LOGO_MASTER_PACK_v1.1
تاريخ النفاذ	01 أغسطس 2026م

Version 1.0 — Published — Effective Date: 01 August 2026

سددني | SDDNI

بيانات الوثيقة

البيان	التفاصيل
اسم الوثيقة	سياسة الخصوصية
النطاق	الموقع الإلكتروني، قنوات التواصل المعتمدة، طلبات الخدمات، الدعم والشكاوى والاستردادات عند بدء التشغيل المعتمد
المالك	سددني \| SDDNI
الحالة	Published
مرجع التشريعات	نظام حماية البيانات الشخصية ولوائحه التنفيذية في المملكة العربية السعودية

تطبق هذه السياسة على القنوات والخدمات التي تشغلها سددني فعليًا، وتُحدّث عند إضافة قناة أو نشاط معالجة جديد.

جدول المحتويات

• ١. مقدمة ونطاق السياسة

• ٢. التعريفات

• ٣. هوية جهة التحكم ووسائل التواصل

• ٤. البيانات الشخصية التي قد نجمعها

• ٥. البيانات التي لا نطلبها

• ٦. مصادر وطرق جمع البيانات

• ٧. أغراض المعالجة

• ٨. المسوغات النظامية

• ٩. إلزامية البيانات وآثار عدم تقديمها

• ١٠. الإفصاح والمشاركة

• ١١. المعالجة والنقل خارج المملكة

• ١٢. مدة الاحتفاظ والإتلاف

• ١٣. حماية البيانات

• ١٤. حقوق صاحب البيانات

• ١٥. ممارسة الحقوق والتحقق من الهوية

• ١٦. الدفع والقرارات الائتمانية

• ١٧. التسويق والرسائل

• ١٨. ملفات تعريف الارتباط والسجلات التقنية

• ١٩. بيانات القاصرين

• ٢٠. حوادث تسرب البيانات

• ٢١. الشكاوى والتصعيد

• ٢٢. تحديث السياسة

• ٢٣. قرارات الاعتماد والتحديثات المستقبلية

• ٢٤. المراجع النظامية

• ٢٥. سجل الإصدارات

١. مقدمة ونطاق السياسة

تحترم سددني | SDDNI خصوصية الأفراد، وتوضح هذه السياسة كيفية جمع البيانات الشخصية واستخدامها وحفظها والإفصاح عنها وإتلافها، والحقوق المتاحة لصاحب البيانات، ووسائل التواصل المتعلقة بالخصوصية.

تطبق هذه السياسة على البيانات التي تُجمع عند استخدام الموقع الإلكتروني، أو التواصل عبر القنوات المعتمدة، أو تقديم طلب خدمة، أو متابعة تنفيذها، أو تقديم شكوى أو طلب إلغاء أو استرداد، وذلك بعد بدء التشغيل الرسمي للقناة المعنية.

يغطي هذا الإشعار الموقع الإلكتروني والقنوات المعتمدة، بما في ذلك نظام التذاكر المعتمد. توفر سددني نظام تذاكر معتمد لإدارة الاستفسارات والشكاوى وطلبات الخصوصية والإلغاء والاسترداد، ويمنح كل طلب رقمًا مرجعيًا. ولا يعني ذلك وجود تكامل دفع أو مزود دفع مستقل معتمد ما لم يعلن عنه رسميًا.

٢. التعريفات

المصطلح	المعنى
البيانات الشخصية	كل بيان يمكن أن يؤدي بصورة مباشرة أو غير مباشرة إلى معرفة فرد معين.
البيانات الحساسة	البيانات التي يمنحها النظام حماية خاصة، بحسب تعريفه وأحكامه.
المعالجة	أي عملية تجرى على البيانات الشخصية، مثل الجمع أو الحفظ أو الاستخدام أو الإفصاح أو النقل أو الإتلاف.
جهة التحكم	الجهة التي تحدد غرض معالجة البيانات الشخصية وكيفيتها.
جهة المعالجة	جهة تعالج البيانات الشخصية لمصلحة جهة التحكم ونيابة عنها.
صاحب البيانات	الفرد الذي تتعلق به البيانات الشخصية.
مزود الدفع المستقل	جهة مستقلة تدير عملية الدفع أو خطة السداد وفق أنظمتها وسياسة خصوصيتها.
الطرف الخارجي	أي جهة مستقلة قد يلزم التعامل معها لتنفيذ خدمة أو التزام نظامي أو تقني.

٣. هوية جهة التحكم ووسائل التواصل

الاسم التعريفي الحالي لجهة التحكم: سددني | SDDNI.

صفة المشروع: سددني منصة تنسيقية غير مالية تقدم خدمات مكتبية وإدارية رقمية حسب الطلب، وتهدف إلى تنظيم رحلة تنفيذ الخدمات بوضوح وشفافية، دون تقديم تمويل أو اتخاذ قرارات ائتمانية أو إدارة الأقساط.

قناة التواصل المتعلقة بالخصوصية: privacy@sddni.com.

الموقع الإلكتروني: https://sddni.com.

يُستكمل الاسم النظامي النهائي لجهة التحكم وبيانات التسجيل والعنوان الوطني عند إصدار الكيان النظامي، وقبل بدء جمع البيانات الشخصية أو نشر النسخة التشغيلية من هذه السياسة.

قناة الدعم العامة: support@sddni.com.

لا يوجد حاليًا مسؤول حماية بيانات شخصية معين بصورة مستقلة. ويتولى مالك المشروع أو من يفوضه مسؤوليات الخصوصية مؤقتًا، مع إعادة تقييم إلزامية تعيين مسؤول حماية البيانات قبل التشغيل الفعلي وعند تغير حجم المعالجة أو طبيعتها.

٤. البيانات الشخصية التي قد نجمعها

يقتصر الجمع على الحد الأدنى اللازم للغرض المحدد، وقد تختلف الفئات بحسب نوع الخدمة والقناة المستخدمة.

فئة البيانات	أمثلة ونطاق الاستخدام
بيانات التعريف الأساسية	الاسم، والصفة، وأي معرف لازم للتحقق من صاحب الطلب أو تنفيذ الخدمة.
بيانات التواصل	رقم الجوال، والبريد الإلكتروني، وقناة التواصل المفضلة.
بيانات الطلب والخدمة	رقم الطلب، ونوع الخدمة، والتعليمات، والحالة، والتواريخ، والمتطلبات الناقصة أو المكتملة.
المستندات الداعمة	المستندات الضرورية لتنفيذ خدمة محددة فقط، مع إخفاء أو حذف البيانات غير اللازمة متى أمكن.
بيانات الدفع المحدودة	اسم مزود الدفع المستقل، وحالة العملية، وتاريخ التأكيد، والمرجع المختصر عند توفره، دون بيانات البطاقة الحساسة.
سجل التنفيذ	الإجراءات المنفذة، ومراجع المخرجات، وإثبات التنفيذ، وهوية الموظف أو المسؤول المنفذ عند الحاجة.
التواصل والدعم	الرسائل، والشكاوى، والاعتراضات، وطلبات الحقوق، والإلغاء والاسترداد.
البيانات التقنية والأمنية	عنوان بروتوكول الإنترنت، وبيانات المتصفح والجهاز، ووقت الزيارة، وسجلات الدخول أو المحاولات والأحداث الأمنية عند تشغيل الأنظمة التي تجمعها.
الموافقات والتفضيلات	سجل الموافقة أو العدول عنها، وتفضيلات التواصل أو التسويق إن فُعّلت مستقبلًا.

البيانات الحساسة والوثائق الرسمية: لا تُجمع أو تُنسخ وثيقة رسمية تحدد الهوية إلا عند وجود ضرورة نظامية أو طلب من جهة عامة مختصة أو مسوغ نظامي واضح. وإذا انتهى الغرض منها، تُتلف دون تأخير ما لم يوجد متطلب نظامي للاحتفاظ بها.

لا تجمع سددني إلا الحد الأدنى من البيانات اللازمة لتنفيذ الخدمة المطلوبة. ويُنشأ سجل بيانات مستقل لكل خدمة عند إضافتها، يحدد الحقول الإلزامية والاختيارية وأغراضها ومددها وصلاحيات الوصول إليها. ولا تُضاف حقول جديدة دون مراجعة تشغيلية وخصوصية موثقة.

٥. البيانات التي لا نطلبها

لا تطلب سددني عبر قنواتها التشغيلية أو الدعم البيانات الآتية:

• رقم البطاقة البنكية كاملًا أو رمز CVV.

• كلمات المرور الدائمة للحسابات أو المنصات.

• رموز التحقق بعد انتهاء الغرض الفوري منها، ولا تُطلب مشاركتها عبر المحادثات العادية.

• بيانات مالية أو ائتمانية لا تحتاجها سددني لتنفيذ الخدمة.

• مستندات أو صور هوية كاملة لمجرد إنشاء استفسار عام.

• أي بيانات لا ترتبط مباشرة بالخدمة أو الالتزام النظامي المعلن.

سددني لا تجري دراسة ائتمانية للعميل، ولا تحتاج إلى جمع تفاصيل دخله أو سجله الائتماني لاتخاذ قرار موافقة أو رفض. أي بيانات يطلبها مزود الدفع المستقل لهذا الغرض تخضع لعلاقته المستقلة وسياسة خصوصيته.

٦. مصادر وطرق جمع البيانات

قد تُجمع البيانات من المصادر الآتية:

• مباشرة من صاحب البيانات عند تقديم طلب أو مستند أو استفسار أو شكوى.

• من ممثل مفوض نظامًا من صاحب البيانات، بعد التحقق المناسب من التفويض.

• من مزود دفع أو جهة خارجية عند الحاجة إلى تأكيد حالة عملية أو تنفيذ إجراء، وفي حدود البيانات اللازمة.

• من السجلات التقنية والأمنية للأنظمة والموقع والبريد عند تشغيلها.

• من مصادر متاحة للعموم أو جهات رسمية عندما يكون ذلك جائزًا ومرتبطًا بالغرض.

إذا جُمعت البيانات من غير صاحبها مباشرة، تتخذ سددني الخطوات اللازمة لإبلاغه بالمعلومات المطلوبة نظامًا ضمن المدة المقررة، ما لم ينطبق استثناء نظامي.

٧. أغراض المعالجة

1. مراجعة الطلب: فهم الخدمة المطلوبة والتحقق من اكتمال البيانات والمتطلبات.

2. تنفيذ الخدمة: تنسيق الإجراءات ومتابعتها وإعداد المخرجات وإثبات التنفيذ.

3. تنسيق الدفع: ربط الطلب بحالة عملية الدفع وتوثيق التأكيد أو الاسترداد دون إدارة قرار ائتماني.

4. التواصل: إرسال تحديثات الطلب وطلبات الاستكمال والإشعارات التشغيلية.

5. الدعم والشكاوى: معالجة الاستفسارات والاعتراضات وطلبات الإلغاء والاسترداد وحقوق البيانات.

6. الفوترة والسجلات: إصدار الفواتير والاحتفاظ بالسجلات المالية والتنفيذية المطلوبة.

7. الأمن ومنع إساءة الاستخدام: حماية القنوات والأنظمة وكشف المحاولات غير المشروعة والتحقيق في الحوادث.

8. التحسين: تحليل بيانات مجمعة أو مخفية الهوية لتحسين جودة الخدمة والعمليات.

9. الالتزام النظامي: الاستجابة للطلبات النظامية وتنفيذ الالتزامات الرقابية والمحاسبية والقانونية.

لا تستخدم البيانات لغرض جديد غير متوافق مع الغرض الأصلي إلا بعد تحقق المسوغ النظامي وتقديم الإشعار أو الحصول على الموافقة عند الحاجة.

٨. المسوغات النظامية للمعالجة

تحدد سددني المسوغ النظامي المناسب لكل نشاط معالجة بحسب طبيعته، ومن ذلك:

• تنفيذ طلب صاحب البيانات واتخاذ الخطوات السابقة على تقديم الخدمة.

• تنفيذ التزام تعاقدي أو تشغيلي مرتبط بالخدمة.

• موافقة صاحب البيانات عندما تكون الموافقة هي المسوغ المناسب أو المطلوب.

• الوفاء بالتزام نظامي أو الاستجابة لطلب صادر من جهة مختصة.

• تحقيق مصلحة مشروعة محددة لا تتعارض مع حقوق صاحب البيانات ومصالحه، بعد تقييمها وتوثيقها عند انطباقها.

• حماية المصالح الحيوية أو المصالح المتحققة لصاحب البيانات في الحالات التي يجيزها النظام.

عندما تعتمد المعالجة على الموافقة، تكون الموافقة واضحة وقابلة للإثبات ويمكن العدول عنها، ما لم يوجد مسوغ نظامي آخر يجيز استمرار المعالجة.

٩. إلزامية البيانات وآثار عدم تقديمها

توضح القناة أو النموذج الحقول الإلزامية والاختيارية. وقد يؤدي عدم تقديم البيانات الإلزامية أو عدم دقتها إلى تعذر مراجعة الطلب أو تأخيره أو رفضه تشغيليًا أو عدم القدرة على تنفيذ الخدمة.

لا يؤثر عدم تقديم البيانات الاختيارية في أصل الخدمة، إلا إذا كان لها غرض إضافي واضح وقبله صاحب البيانات.

١٠. الإفصاح والمشاركة

لا تبيع سددني البيانات الشخصية. وقد تفصح عن الحد الأدنى اللازم منها في الحالات الآتية:

فئة الجهة	الغرض المحتمل
مزود الدفع المستقل المختار	إنشاء أو متابعة العملية، والتأكيد، والاسترداد، ومعالجة النزاع المالي ضمن نظام المزود.
جهة تنفيذ خارجية	تنفيذ الإجراء الذي طلبه العميل وفوض به، وفق نطاق الخدمة.
جهات الاستضافة والبريد والدعم التقني	تشغيل القنوات وحفظ الرسائل والسجلات التقنية نيابة عن سددني.
المحاسبون والمراجعون والمستشارون	الوفاء بالمتطلبات المالية والقانونية والمراجعة المهنية، وفق التزامات السرية.
الجهات الحكومية أو القضائية أو الرقابية	الاستجابة لطلب نظامي أو حماية حق أو تنفيذ التزام واجب.

عند اختيار جهة معالجة، تسعى سددني إلى التحقق من تقديمها ضمانات مناسبة، وتحديد الغرض والفئات والمدة ومتطلبات السرية والأمن والإشعار بالحوادث في الاتفاقيات ذات الصلة.

لا تعلن سددني وجود تكامل أو شراكة أو تشغيل مع أي مزود دفع مستقل إلا بعد اعتماده وتشغيله رسميًا. وتستخدم سددني بنية تقنية لتشغيل الموقع والبريد ونظام التذاكر؛ وتوثق بيانات مزود أو معالج نظام التذاكر في سجل أنشطة المعالجة عند توفرها واعتمادها، دون ذكر جهة غير معتمدة في الوثائق العامة.

تُستخدم بنية استضافة وبريد إلكتروني حالية لتشغيل الموقع والبريد، وقد تُعد الجهات المشغلة لها جهات معالجة بحسب طبيعة البيانات الفعلية. لذلك تُراجع العقود والضمانات ويُوثق سجلها قبل بدء التشغيل الفعلي.

١١. المعالجة والنقل خارج المملكة

الأصل أن تتم معالجة البيانات في النطاق اللازم لتقديم الخدمة. وقد تستخدم سددني خدمات استضافة أو بريد أو دعم تقني توجد بنيتها أو بعض عملياتها خارج المملكة.

لا يتم نقل البيانات الشخصية إلى خارج المملكة أو إتاحتها لجهة خارجها إلا بعد استيفاء المتطلبات النظامية المطبقة، وتحديد الغرض، والاقتصار على الحد الأدنى اللازم، والتحقق من الضمانات المناسبة، وتوثيق التقييم أو الموافقات اللازمة بحسب الحالة.

تستخدم سددني حاليًا استضافة وبريدًا إلكترونيًا قد تتم معالجة بعض بياناتهما في مراكز بيانات خارج المملكة وفق البنية الحالية. ولا تُنقل البيانات الشخصية أو يُفصح عنها خارج المملكة إلا وفق الأنظمة السعودية والضمانات النظامية المطبقة.

تُحدّث هذه الفقرة وسجل النقل عند تغيير مزود الاستضافة أو البريد، أو عند اعتماد أي خدمة خارجية جديدة، مع توثيق الغرض والدولة والضمانات المناسبة قبل التشغيل.

١٢. مدة الاحتفاظ والإتلاف

تحتفظ سددني بالبيانات للمدة اللازمة لتحقيق الغرض أو الوفاء بمتطلب نظامي أو إثبات حق، ثم تتلفها أو تخفي هويتها بصورة آمنة عندما تنتفي الحاجة إليها.

الفئة	المدة أو المعيار
الطلبات المكتملة وسجلات التنفيذ	خمس سنوات من تاريخ إغلاق الطلب، ما لم يوجب النظام مدة أطول أو يستمر نزاع أو مطالبة قائمة.
الطلبات غير المكتملة	تسعون يومًا من تاريخ آخر نشاط أو تواصل، ثم تُتلف أو تُخفى هويتها ما لم يوجد سبب نظامي أو تشغيلي موثق للاستمرار.
الطلبات الملغاة قبل التنفيذ	مائة وثمانون يومًا من تاريخ الإلغاء، ثم تُتلف أو تُخفى هويتها مع مراعاة السجلات المالية أو النظامية المنفصلة.
رسائل الدعم غير المرتبطة بطلب	سنة واحدة من تاريخ إغلاق المحادثة أو آخر تواصل.
السجلات التقنية والأمنية	اثنا عشر شهرًا، ويجوز تمديد الاحتفاظ بالسجل المتصل بحادثة أمنية أو تحقيق حتى إغلاقه.
طلبات الخصوصية وسجل الاستجابة	خمس سنوات من تاريخ إغلاق الطلب لإثبات الاستجابة والامتثال.
سجلات الموافقات التسويقية	حتى سحب الموافقة، ثم سنتان لإثبات الامتثال، ما لم يوجد متطلب نظامي أطول.
الفواتير والسجلات المالية	المدة النظامية المطبقة على السجلات المالية والمحاسبية.
الوثائق الرسمية المنسوخة عند الضرورة	تُتلف فور انتهاء الغرض منها، ما لم يوجد متطلب نظامي صريح للاحتفاظ بها. ولا تعني مدد الطلبات الاحتفاظ بنسخ زائدة من الوثائق الرسمية.

تحتفظ سددني بسجل أنشطة المعالجة أثناء استمرار النشاط إضافة إلى خمس سنوات من تاريخ انتهاء نشاط المعالجة ذي الصلة، وفق المتطلبات النظامية.

تعتمد مدد الاحتفاظ التشغيلية المبينة في الجدول أعلاه، وتُراجع عند بدء التشغيل الفعلي أو تغير الخدمة أو ظهور متطلب نظامي جديد.

تُطبق كل مدة على الحد الأدنى اللازم من البيانات، ولا تمنع الإتلاف المبكر عندما ينتهي الغرض ولا يوجد مسوغ للاحتفاظ.

١٣. حماية البيانات

تطبق سددني - بحسب مرحلة التشغيل وحجم المخاطر - تدابير تنظيمية وإدارية وتقنية مناسبة، وقد تشمل:

• تقييد الصلاحيات وفق الحاجة ومبدأ أقل قدر من الوصول.

• استخدام كلمات مرور قوية والمصادقة المتعددة متى كانت متاحة.

• تشفير قنوات الاتصال والنسخ الاحتياطية أو البيانات الحساسة متى كان ذلك مناسبًا.

• تسجيل عمليات الوصول أو التعديل أو التنزيل للبيانات الحساسة عند دعم النظام لذلك.

• فصل البيئات والبيانات التجريبية عن البيانات الحقيقية، ومنع استخدام بيانات حقيقية في النماذج الداخلية.

• مراجعة الموردين والاتفاقيات والتزامات السرية.

• النسخ الاحتياطي واختبارات الاستعادة والاستجابة للحوادث.

• التوعية والتدريب والتحديث الدوري للإجراءات.

لا يمكن ضمان أمن أي نظام بصورة مطلقة، إلا أن سددني تتخذ تدابير متناسبة وتراجعها عند تغير المخاطر أو الأنظمة أو القنوات المستخدمة.

١٤. حقوق صاحب البيانات

وفق نظام حماية البيانات الشخصية، يتمتع صاحب البيانات - مع مراعاة الاستثناءات النظامية - بالحقوق الآتية:

الحق	مضمونه
الحق في العلم	معرفة المسوغ والغرض وطرق الجمع والمعالجة والحفظ والإتلاف والجهات التي قد تتلقى البيانات والنطاق الجغرافي.
الحق في الوصول والحصول على نسخة	طلب الوصول إلى البيانات المتوفرة والحصول عليها بصيغة مقروءة وواضحة.
الحق في التصحيح	طلب تصحيح البيانات غير الدقيقة أو إكمالها أو تحديثها.
الحق في الإتلاف	طلب حذف البيانات التي انتهت الحاجة إليها، ما لم يوجد سبب نظامي يوجب الاحتفاظ بها.
الحق في العدول عن الموافقة	سحب الموافقة في أي وقت عندما تكون الموافقة هي أساس المعالجة، مع مراعاة الآثار النظامية والتشغيلية.
الحق في الشكوى	تقديم شكوى إلى سددني، ثم إلى الجهة المختصة وفق الإجراءات والمدد النظامية.

تنفذ طلبات ممارسة الحقوق خلال مدة لا تتجاوز ثلاثين يومًا، ويجوز تمديدها بما لا يزيد على ثلاثين يومًا إضافية عند وجود جهد غير متوقع أو طلبات متعددة، بعد إشعار صاحب البيانات مسبقًا بالتمديد ومبرراته.

١٥. ممارسة الحقوق والتحقق من الهوية

يمكن ممارسة الحقوق أو تقديم استفسار متعلق بالخصوصية عبر البريد: privacy@sddni.com.

يفضل أن يتضمن الطلب: الاسم، ووسيلة التواصل، ونوع الحق المطلوب، ورقم الطلب المرتبط إن وجد، ووصفًا كافيًا لتحديد البيانات المعنية.

قد تطلب سددني معلومات محدودة للتحقق من هوية مقدم الطلب أو صفته قبل التنفيذ، بما يتناسب مع حساسية البيانات، ولن تطلب كلمة المرور أو رمز CVV أو بيانات بطاقة كاملة.

إذا كان الطلب متكررًا دون مبرر أو يتطلب جهدًا غير عادي، يجوز التعامل معه وفق ما تسمح به الأنظمة، مع توضيح السبب لصاحب البيانات.

١٦. الدفع والقرارات الائتمانية

فصل الأدوار: سددني منصة تنسيقية غير مالية. تعتمد وسيلة الدفع على مزود مستقل يختاره العميل عند توفره واعتماده. يكون مزود الدفع المستقل مسؤولًا عن تقييم العميل، والموافقة أو الرفض، وإدارة خطة السداد. وتبدأ سددني تنفيذ الخدمة بعد تأكيد عملية الدفع، واكتمال المتطلبات، وقبول الطلب تشغيليًا.

عند اختيار العميل مزود دفع مستقلًا متاحًا ومعتمدًا، قد ينتقل العميل إلى قناة المزود أو يتعامل معه مباشرة، ويعالج المزود البيانات اللازمة للعملية بصفته المستقلة ووفق إشعار الخصوصية الخاص به.

تحتفظ سددني فقط بالبيانات التشغيلية المحدودة اللازمة لربط حالة العملية بالطلب، مثل اسم المزود عند اعتماده، وحالة العملية، وتاريخ التأكيد، والمرجع المختصر. ولا تحفظ بيانات البطاقة أو رمز CVV.

أي قرار آلي أو ائتماني لدى مزود الدفع المستقل لا يصدر عن سددني، وتوجه الاستفسارات المتعلقة به إلى المزود.

١٧. التسويق والرسائل

لا تستخدم البيانات لأغراض التسويق المباشر إلا بعد الحصول على موافقة مناسبة ومستقلة عندما تكون مطلوبة، مع بيان هوية سددني وتوفير وسيلة سهلة لإيقاف الرسائل.

لا يعد إرسال تحديثات الطلب أو الإشعارات الأمنية أو رسائل تنفيذ الخدمة تسويقًا مباشرًا متى كانت ضرورية للعلاقة التشغيلية.

لا توجد حاليًا منظومة تسويق آلي أو مشاركة بيانات تسويقية معتمدة ضمن نطاق المشروع، ويجب تحديث هذه السياسة قبل تشغيلها.

١٨. ملفات تعريف الارتباط والسجلات التقنية

لا يستخدم الموقع الحالي ملفات تعريف ارتباط تحليلية أو تسويقية. وتقتصر البيانات التقنية على السجلات الأساسية اللازمة لتشغيل الخادم وحماية الموقع.

عند إضافة أدوات تحليل أو ملفات تعريف ارتباط اختيارية مستقبلًا، تُحدّث هذه السياسة ويُعرض إشعار مناسب وخيارات موافقة قبل تشغيلها.

تُحتفظ السجلات التقنية والأمنية الأساسية لمدة اثني عشر شهرًا وفق جدول الاحتفاظ، ما لم ترتبط بحادثة أو تحقيق يتطلب مدة أطول.

١٩. بيانات القاصرين

الخدمات موجهة للأشخاص ذوي الأهلية النظامية.

إذا تطلبت خدمة مستقبلية معالجة بيانات شخص ناقص أو عديم الأهلية، فتكون المعالجة بموافقة وليه الشرعي ووفق الأنظمة والضوابط المطبقة.

٢٠. حوادث تسرب البيانات

عند الاشتباه في حادثة تسرب بيانات شخصية، تتخذ سددني إجراءات الاحتواء والتحقيق والتوثيق وتقييم الأثر ومعالجة السبب.

إذا انطبقت شروط الإشعار النظامي، تُشعر الجهة المختصة خلال مدة لا تتجاوز اثنتين وسبعين ساعة من وقت العلم بالحادثة. وإذا كان من شأن الحادثة إحداث ضرر لصاحب البيانات أو التعارض مع حقوقه أو مصالحه، يُشعر دون تأخير غير مبرر بلغة واضحة، مع وصف الحادثة والمخاطر والتدابير والتوصيات المناسبة.

يكون التواصل في الحوادث المتعلقة بالخصوصية عبر privacy@sddni.com، مع عدم إرسال بيانات حساسة غير لازمة في البلاغ الأولي.

٢١. الشكاوى والتصعيد

تستقبل سددني الشكاوى والاستفسارات المتعلقة بالخصوصية عبر privacy@sddni.com، وتراجع الوقائع والسجلات وترد وفق المدد النظامية أو التشغيلية المطبقة.

إذا لم يرض صاحب البيانات عن النتيجة، يحق له تقديم شكوى إلى الجهة المختصة عبر منصة حوكمة البيانات الوطنية، وفق إجراءاتها والمدد النظامية. وتوضح اللائحة التنفيذية أن الشكوى تقدم - من حيث الأصل - خلال تسعين يومًا من الحادثة أو العلم بها، مع سلطة الجهة المختصة في قبولها بعد المدة لأسباب واقعية.

يعتمد مسار التصعيد الداخلي الآتي: صاحب البيانات ← privacy@sddni.com ← مراجعة أولية ← مالك المشروع أو من يفوضه ← إغلاق الطلب أو اتخاذ الإجراء اللازم ← الجهة المختصة عند الحاجة.

لا يعتمد أي مسار داخلي آخر حتى تشكيل الفريق التشغيلي واعتماد الأدوار البديلة وصلاحيات التصعيد رسميًا.

٢٢. تحديث السياسة

يجوز تحديث هذه السياسة عند تغير الخدمات أو القنوات أو الجهات المعالجة أو المتطلبات النظامية. يظهر رقم الإصدار وتاريخ آخر تحديث في النسخة المنشورة.

تسري التحديثات العامة من تاريخ نشرها، ويُشعر أصحاب البيانات بالتغيير الجوهري الذي يؤثر في معالجة قائمة عبر القناة المناسبة متى كان ذلك ممكنًا أو مطلوبًا نظامًا.

٢٣. قرارات الاعتماد والتحديثات المستقبلية

الرقم	الحالة المعتمدة أو التحديث المطلوب
١	جهة التحكم معرّفة حاليًا باسم سددني \| SDDNI، وتُستكمل البيانات النظامية والتسجيل والعنوان الوطني عند إصدار الكيان وقبل التشغيل الفعلي.
٢	مسؤولية الخصوصية على مالك المشروع أو من يفوضه مؤقتًا، مع إعادة تقييم إلزامية تعيين مسؤول حماية البيانات قبل التشغيل الفعلي.
٣	لا تعلن سددني وجود تكامل أو شراكة أو تشغيل مع أي مزود دفع مستقل إلا بعد اعتماده وتشغيله رسميًا؛ ويُحدّث سجل المعالجة عند اعتماد أي مزود أو جهة معالجة فعلية.
٤	Version 1.0 معتمدة من المالك، ولا تُنشر أو تُستخدم لجمع البيانات قبل تنفيذ قرار النشر واستكمال متطلبات التشغيل.

حالة الجاهزية: أُغلقت قرارات الصياغة التشغيلية في هذه النسخة. تبقى بيانات الكيان النظامي وتقييم التشغيل الفعلي والتعاقدات مع مزودي المعالجة عناصر تحديث إلزامية قبل النشر أو جمع البيانات.

٢٤. المراجع النظامية

• نظام حماية البيانات الشخصية في المملكة العربية السعودية وتعديلاته.

• اللائحة التنفيذية لنظام حماية البيانات الشخصية.

• لائحة نقل البيانات الشخصية إلى خارج المملكة.

• الدليل الاسترشادي لإعداد وتطوير سياسة الخصوصية - منصة حوكمة البيانات الوطنية.

• الدليل الاسترشادي لتحديد الحد الأدنى من البيانات الشخصية.

• قواعد تعيين مسؤول حماية البيانات الشخصية.

تستخدم هذه المراجع لتوجيه الصياغة، ولا تغني الوثيقة عن المراجعة النظامية المتخصصة عند بدء التشغيل أو تغير نموذج المعالجة.

٢٥. سجل الإصدارات

الإصدار	التاريخ	وصف التغيير
Version 1.0	30 يوليو 2026م	إغلاق القرارات التشغيلية التسعة، واعتماد مدد الاحتفاظ ومسار التصعيد ونموذج التشغيل غير المالي. النسخة جاهزة لاعتماد صالح النهائي وغير منشورة.

حالة الوثيقة: نسخة نهائية جاهزة لاعتماد صالح. لا تُنشر على الموقع ولا تُستخدم لبدء جمع البيانات قبل الاعتماد النهائي واستكمال بيانات الكيان والتقييم التشغيلي.

ملحق: نظام التذاكر وبيانات الدعم

توفر سددني نظام تذاكر معتمد لإدارة الاستفسارات والشكاوى وطلبات الخصوصية والإلغاء والاسترداد، ويمنح كل طلب رقمًا مرجعيًا. وتخضع البيانات التي يجمعها النظام لمبدأ الحد الأدنى اللازم ولأحكام هذه السياسة.

العنصر	البيان المعتمد
أنواع البيانات	بيانات التواصل، رقم الطلب أو التذكرة، موضوع الطلب ووصفه، المراسلات والمرفقات اللازمة، الحالة والتحديثات وسجل الإجراءات، والسجلات التقنية والأمنية الأساسية.
أغراض المعالجة	إدارة الاستفسارات والشكاوى وطلبات الخصوصية، متابعة الطلب، إثبات الاستجابة، ضبط الجودة، الأمن، والامتثال.
صلاحيات الوصول	فريق الدعم وفق التذكرة المكلف بها، ومالك المشروع أو من يفوضه لطلبات الخصوصية والتصعيد، ومسؤول تقني مقيد عند الحاجة، مع تسجيل الوصول كلما دعمت المنظومة ذلك.
مدة الاحتفاظ	التذكرة المرتبطة بطلب مكتمل: خمس سنوات. الملغاة قبل التنفيذ: 180 يومًا. الدعم العام غير المرتبط بطلب: سنة واحدة. طلبات الخصوصية: خمس سنوات. السجلات الأمنية: 12 شهرًا.
جهة المعالجة	تسجل بيانات مزود أو معالج نظام التذاكر في سجل أنشطة المعالجة عند توفرها واعتمادها. لا يذكر اسم أي جهة في الوثائق العامة قبل اعتمادها رسميًا.

طلبات حذف البيانات وحقوق الخصوصية تستقبل رسميًا عبر privacy@sddni.com أو من خلال نظام التذاكر المعتمد، ويكون مالك المشروع أو من يفوضه مسؤولًا عن مسار التصعيد في المرحلة الحالية.