Юридическая поддержка IT-бизнеса в Саудовской Аравии
Саудовский закон о данных достаёт продукт раньше, чем приходит компания. Говорим, чего он требует от команды, продающей пользователям в Королевстве, и какой регистрации ждёт министерство.
Breach report
Сообщить об утечке
within 72 hours
в течение 72 часов
Processing records
Записи об обработке
5 years after the end
5 лет после конца
Registration fee due
Сбор за регистрацию
15 business days
15 рабочих дней
Fine ceiling
Потолок штрафа
SAR 5,000,000
5 000 000 SAR
Когда IT-бизнесу в Саудовской Аравии нужна поддержка
Вы продаёте, не приходя в страну
Закон о данных охватывает обработку данных людей, проживающих в Королевстве, откуда бы она ни велась. Зарубежный продукт с саудовскими пользователями уже в его периметре.
Ваша основа — наблюдение за людьми
Если основная деятельность построена на регулярном систематическом наблюдении за людьми или на чувствительных данных, закон делает назначение ответственного за данные обязательным.
Инцидент случился в выходные
Семьдесят два часа после того, как об инциденте стало известно вам, — и у регулятора должен быть отчёт, состав которого расписан до последнего пункта.
Хранилище стоит вне Королевства
Для вывоза данных нужны цель из разрешённых законом, достаточный уровень защиты по оценке регулятора и минимальный объём данных, которого хватает для дела.
Записей об обработке никто не вёл
Письменные записи об обработке держат всё время обработки и ещё пять лет после её окончания, и регулятор вправе запросить их в любой момент.
Вы только выходите на рынок
Иностранные инвестиции регистрируются в министерстве инвестиций по действующему закону об инвестициях, и дальше другие ведомства спрашивают именно свидетельство о регистрации.
Что входит в поддержку IT-бизнеса в Саудовской Аравии
Необычное в саудовском законе о данных — его охват. Он применяется к обработке в Королевстве и к обработке данных людей, живущих там, кем бы она ни велась за его пределами. Команда из другой страны попадает под закон раньше, чем у неё появляются юрлицо, офис и первый местный сотрудник.
Из-за этого вопрос выхода на рынок превращается в вопрос устройства продукта. Экраны согласия, правила хранения, регламент инцидента и карта хранилищ отвечают перед регулятором Королевства, пока сам бизнес находится ещё где-то.
Всё остальное, что мы ведём в Саудовской Аравии, описано на странице Саудовской Аравии. Сама услуга, рассказанная без страны внутри, — на странице услуги.
Что вы получаете
- Ясный ответ, распространяется ли закон на вас уже сейчас
- Вопрос об ответственном, решённый по трём случаям закона
- Записи об обработке в том виде, который требует регулятор
- Маршрут передачи данных на разрешённой законом цели
- План выхода, который начинается с регистрации
Чего закон требует от продукта
| Вопрос | Что устанавливает саудовский закон о данных |
|---|---|
| На кого распространяется | Обработка в Королевстве и данные жителей, обрабатываемые извне |
| Когда ответственный обязателен | Систематическое наблюдение в основе или чувствительные данные в основе |
| Кто может нести эту роль | Руководитель, сотрудник или внешний подрядчик |
| Сообщение об утечке | В течение семидесяти двух часов с момента, когда узнали |
| Записи об обработке | Письменно, хранятся пять лет после окончания |
| Передача за рубеж | Разрешённая цель, достаточная защита, минимум данных |
| Разглашение чувствительных данных во вред | До двух лет, или до трёх миллионов риалов, или и то и другое |
| Все прочие нарушения | Предупреждение или штраф до пяти миллионов риалов |
Как зарубежная компания входит сейчас
Вход идёт через регистрацию в министерстве инвестиций по закону об инвестициях и его исполнительным правилам, по видам деятельности, открытым для инвестиций. Собственное руководство министерства отводит на решение десять рабочих дней, а сбор за регистрацию назначается при одобрении и платится в течение пятнадцати рабочих дней, иначе регистрация считается недействительной.
Дальше регистрацию обновляют раз в год, и на это то же руководство отводит пять рабочих дней. Порядок этих сроков стоит понимать заранее: иначе план найма или дата запуска повиснут на документе, который ещё не оплачен.
Что мы обновляем по мере разработки
Новая аналитика, новый регион или новый обработчик меняют карту хранилищ и записи за ней. Мы обновляем карту, строку о сроках хранения и досье ответственного вместе, чтобы запрос регулятора закрывался из одного места.
Источники: закон о защите персональных данных, его исполнительное положение и руководство по услугам министерства инвестиций.
Этапы работы
Проверяем, действует ли закон уже
Смотрим не на то, где стоят серверы, а на то, где живут ваши пользователи: именно проживание в Королевстве втягивает зарубежный продукт в этот закон.
Закрываем вопрос об ответственном
Три случая закона сверяем с тем, что продукт делает на самом деле. Где роль обязательна, её может нести сотрудник или внешний подрядчик, и мы говорим, что подходит вашему размеру.
Пишем записи, описанные законом
Цели, категории людей и данных, сроки хранения, получатели, передачи и меры защиты за ними ложатся в одну письменную запись, которая переживёт пятилетний хвост.
Рисуем карту хранения и передач
Каждое место, куда уходят данные, сверяем с разрешённой целью и правилом минимального объёма, чтобы карта и текст политики говорили одно и то же.
Готовим регламент инцидента заранее
Сообщение на семьдесят два часа пишется до того, как понадобится: кто решает, что в нём и кто подписывает, пока инженеры ещё разбираются с причиной.
Ставим регистрацию в правильном порядке
Если в плане есть местное юрлицо, регистрацию и её ежегодное обновление кладём в календарь вместе со сроками оплаты, которые их удерживают.
Наши кейсы
FAQ
Обсудить
Задание
Поговорите с нашей командой
Поговорите с нашей командой.
Расскажите нам о своей задаче —
мы поможем вам в этом в любой юрисдикции.