Tutto ciò che vale la pena sapere, niente di superfluo.
Chi lo fa rispettare?
L'autorità di regolamentazione è la SDAIA (Saudi Data and AI Authority). Le sanzioni prevedono multe fino a 5 milioni di SAR per violazione, con responsabilità penale per i dirigenti del titolare del trattamento nei casi più gravi. Nei primi 18 mesi, l'approccio della SDAIA in materia di applicazione della legge è stato più correttivo che punitivo (ammonimenti, interventi correttivi obbligatori), ma la legge consente azioni collettive e la SDAIA ha esplicitamente dichiarato che le violazioni relative alla messaggistica su larga scala rappresentano una priorità.
Residenza dei dati
I dati personali degli individui KSA devono essere trattati all'interno del territorio KSA, a meno che non si applichi una delle tre eccezioni seguenti: decisione di adeguatezza (l'SDAIA non ne ha ancora emessa alcuna), consenso esplicito e informato per lo specifico utilizzo transfrontaliero o autorizzazione dell'SDAIA. Per quanto riguarda la messaggistica, ciò significa che l'SMSC, l'interfaccia utente di gestione delle campagne e l'archivio DLR devono essere situati nel Regno. BroadNet gestisce un data center a Riyadh specificamente per mantenere residenti i dati dei clienti per gli account KSA.
Requisiti di consenso
Il consenso deve essere informato, specifico, liberamente espresso e registrato in modo dimostrabile. Per il marketing via SMS, ciò significa che la registrazione dell'opt-in (data e ora, fonte, testo esatto del consenso mostrato all'utente) deve essere conservata per 5 anni. La parola chiave STOP deve essere rispettata entro 24 ore e registrata. Il CST si coordina con SDAIA per l'approvazione dell'ID mittente per i messaggi classificati come marketing: un ID mittente senza registrazioni di consenso dimostrabili viene revocato.
Cosa dovrebbero chiedere gli acquirenti al loro aggregatore
Tre domande. Dove si trova fisicamente il mio SMSC quando invio messaggi a numeri in Arabia Saudita? Dove vengono memorizzati i miei DLR e i corpi dei messaggi? Qual è il formato e la conservazione dei record di consenso? Qualsiasi risposta che faccia riferimento a Francoforte, Dublino o Londra non è accettabile per le implementazioni conformi al PDPL.