Todo lo que vale la pena saber, nada que no lo sea.
¿Quién lo hace cumplir?
La SDAIA (Autoridad Saudí de Datos e IA) es el organismo regulador. Las sanciones ascienden a hasta 5 millones de riales saudíes por infracción, con responsabilidad penal para los directivos del responsable del tratamiento en casos graves. Durante los primeros 18 meses, la postura de la SDAIA en materia de cumplimiento normativo ha sido más correctiva que punitiva (advertencias, medidas correctivas obligatorias), pero la ley permite las demandas colectivas y la SDAIA ha declarado explícitamente que las infracciones a gran escala en el ámbito de la mensajería son una prioridad.
Residencia de datos
Los datos personales de los ciudadanos saudíes deben procesarse dentro del país, salvo que se aplique alguna de las tres excepciones siguientes: una decisión de adecuación (la SDAIA aún no ha emitido ninguna), el consentimiento explícito e informado para el uso transfronterizo específico o un permiso de la SDAIA. En el caso de la mensajería, esto significa que el SMSC, la interfaz de usuario de gestión de campañas y el almacén DLR deben estar ubicados en Arabia Saudita. BroadNet opera un centro de datos en Riad específicamente para mantener los datos de los clientes residentes en Arabia Saudita.
Requisitos de consentimiento
El consentimiento debe ser informado, específico, otorgado libremente y registrado de forma fehaciente. Para el marketing por SMS, esto significa conservar un registro de suscripción (fecha y hora, origen, texto exacto del consentimiento mostrado al usuario) durante 5 años. La palabra clave STOP debe respetarse en un plazo de 24 horas y registrarse. CST coordina con SDAIA la aprobación del identificador de remitente para mensajes clasificados de marketing; un identificador de remitente sin registros de consentimiento verificables se revoca.
Qué deben preguntar los compradores a su agregador
Tres preguntas. ¿Dónde se encuentra físicamente mi SMSC cuando envío mensajes a números de Arabia Saudita? ¿Dónde se almacenan mis DLR y el cuerpo de los mensajes? ¿Cuál es el formato y la política de retención del registro de consentimiento? Cualquier respuesta que mencione Frankfurt, Dublín o Londres no es válida para implementaciones que cumplan con la PDPL.