Всё, что стоит знать, и ничего лишнего.
Кто обеспечивает его соблюдение?
SDAIA (Саудовское управление по данным и искусственному интеллекту) является регулирующим органом. Штрафы: до 5 миллионов саудовских риалов за каждое нарушение, с уголовной ответственностью должностных лиц контролирующего органа в особо вопиющих случаях. В течение первых 18 месяцев SDAIA придерживалась скорее корректирующей, чем карательной политики (предупреждения, обязательные меры по исправлению ситуации), но закон допускает коллективные иски, и SDAIA прямо заявила, что приоритетное внимание уделяется крупномасштабным нарушениям правил обмена сообщениями.
размещение данных
Персональные данные граждан Саудовской Аравии должны обрабатываться внутри Саудовской Аравии, за исключением трех случаев: решения о достаточности защиты данных (SDAIA пока такого решения не приняла), явного и информированного согласия на конкретное трансграничное использование или разрешения SDAIA. В случае обмена сообщениями это означает, что центр обработки SMSC, пользовательский интерфейс управления кампаниями и хранилище DLR должны находиться внутри Саудовской Аравии. Компания BroadNet управляет центром обработки данных в Эр-Рияде специально для хранения данных клиентов, зарегистрированных в Саудовской Аравии.
Требования к согласию
Согласие должно быть информированным, конкретным, добровольным и подтвержденно зафиксированным. Для SMS-маркетинга это означает наличие записи о согласии (временная метка, источник, точный текст согласия, показанный пользователю), которая хранится в течение 5 лет. Ключевое слово STOP должно быть подтверждено в течение 24 часов и зафиксировано. CST координирует действия с SDAIA по утверждению идентификатора отправителя для маркетинговых сообщений — идентификатор отправителя без подтвержденных записей о согласии аннулируется.
Какие вопросы следует задавать покупателям своему агрегатору?
Три вопроса. Где физически находится мой SMSC, когда я отправляю сообщения на номера в Саудовской Аравии? Где хранятся мои DLR и тела сообщений? Какой формат и срок хранения записей о согласии? Любой ответ, включающий Франкфурт, Дублин или Лондон, неприемлем для развертывания, соответствующего требованиям PDPL.