# PDPL (Arábia Saudita) — o que a Lei Saudita de Proteção de Dados Pessoais significa para o envio de mensagens

> A Lei de Proteção de Dados Pessoais (PDPL) é a estrutura abrangente de proteção de dados do Reino da Arábia Saudita, em vigor desde 14 de setembro de 2023, com plena aplicação a partir de setembro de 2024. Ela rege toda a recolha, uso e transferência transfronteiriça de dados pessoais de indivíduos na Arábia Saudita — incluindo o MSISDN que você envia, o registo de consentimento que você mantém e onde esses dados são processados no mundo.

- URL canônico: https://www.broadnet.me/pt/answers/pdpl-ksa-explained
- Idioma: pt
- Última revisão: 2026-05-27
- Editor: BroadNet (https://www.broadnet.me)

## Quem o faz cumprir?

A SDAIA (Autoridade Saudita de Dados e IA) é a entidade reguladora. As penalidades podem chegar a 5 milhões de riais sauditas por violação, com responsabilidade criminal para os responsáveis pela área em casos graves. Nos primeiros 18 meses, a postura da SDAIA em relação à aplicação da lei tem sido corretiva, e não punitiva (advertências, remediação obrigatória), mas a lei permite ações coletivas e a SDAIA declarou explicitamente que as violações em larga escala envolvendo mensagens são uma prioridade.

## Residência de dados

Os dados pessoais de indivíduos da Arábia Saudita devem ser processados dentro da Arábia Saudita, a menos que uma das três exceções se aplique: decisão de adequação (a SDAIA ainda não emitiu nenhuma), consentimento explícito e informado para o uso transfronteiriço específico ou autorização da SDAIA. Para mensagens, isso significa que o SMSC, a interface de gestão de campanhas e o armazenamento DLR devem estar localizados no Reino da Arábia Saudita. A BroadNet opera um data center em Riad especificamente para manter os dados dos clientes residentes para contas na Arábia Saudita.

## Requisitos de consentimento

O consentimento deve ser informado, específico, livremente concedido e comprovadamente registado. Para marketing por SMS, isso significa um registo de adesão (data e hora, origem, texto exato do consentimento exibido ao utilizador) mantido por 5 anos. A palavra-chave STOP deve ser respeitada em até 24 horas e registada. A CST coordena com a SDAIA a aprovação do ID do remetente para mensagens classificadas como marketing — um ID de remetente sem registos de consentimento comprováveis é revogado.

## O que os compradores devem perguntar ao seu agregador

Três perguntas. Onde está fisicamente localizado o meu SMSC quando envio mensagens para números da Arábia Saudita? Onde os meus DLRs e corpos de mensagens são armazenados? Qual é o formato e o período de retenção do registo de consentimento? Qualquer resposta que envolva Frankfurt, Dublin ou Londres é inaceitável para implantações em conformidade com a PDPL.

## Relacionados

- [Todas as respostas](https://www.broadnet.me/pt/answers)
- [Glossário](https://www.broadnet.me/pt/answers)
- [GDPR para mensagens — o que os remetentes corporativos precisam saber](https://www.broadnet.me/pt/answers/gdpr-for-messaging)
- [Registo de ID do remetente na Arábia Saudita — o processo CST](https://www.broadnet.me/pt/answers/sender-id-registration-ksa-cst)
- [Compliance](https://www.broadnet.me/pt/compliance)
- [KSA regulations](https://www.broadnet.me/pt/regulations/saudi-arabia)