Tout ce qui mérite d'être su, rien qui ne le mérite pas.
Qui l'applique ?
L'Autorité saoudienne des données et de l'intelligence artificielle (SDAIA) est l'organisme de réglementation. Les sanctions peuvent atteindre 5 millions de riyals saoudiens par infraction, avec des poursuites pénales contre les responsables du traitement dans les cas les plus graves. Durant les 18 premiers mois, la SDAIA a privilégié une approche corrective plutôt que punitive (avertissements, mise en conformité obligatoire), mais la loi autorise les recours collectifs et la SDAIA a clairement indiqué que les violations à grande échelle des systèmes de messagerie constituent une priorité.
résidence des données
Les données personnelles des citoyens saoudiens doivent être traitées en Arabie saoudite, sauf dans les trois cas suivants : décision d’adéquation (aucune décision n’a encore été rendue par la SDAIA), consentement explicite et éclairé pour l’utilisation transfrontalière spécifique, ou autorisation de la SDAIA. Concernant la messagerie, cela signifie que le SMSC, l’interface de gestion des campagnes et le système de stockage DLR doivent être situés en Arabie saoudite. BroadNet exploite un centre de données à Riyad spécifiquement dédié à l’hébergement des données clients pour les comptes saoudiens.
exigences de consentement
Le consentement doit être éclairé, spécifique, librement donné et dûment enregistré. Pour le marketing par SMS, cela implique la conservation d'un enregistrement d'inscription (horodatage, source, texte exact du consentement affiché à l'utilisateur) pendant 5 ans. Le mot-clé STOP doit être pris en compte dans les 24 heures et enregistré. Le CST collabore avec le SDAIA pour l'approbation des identifiants d'expéditeur des messages marketing ; un identifiant d'expéditeur sans enregistrement de consentement est révoqué.
Questions que les acheteurs devraient poser à leur agrégateur
Trois questions : Où se trouve physiquement mon SMSC lorsque j’envoie des appels vers des numéros d’Arabie saoudite ? Où sont stockés mes DLR et le corps de mes messages ? Quel est le format et la durée de conservation des enregistrements de consentement ? Toute réponse mentionnant Francfort, Dublin ou Londres est inacceptable pour les déploiements conformes à la PDPL.