详细回答
只提供有价值的信息，杜绝冗余。
§01
执行机构
SDAIA（沙特数据与人工智能管理局）是监管机构。处罚措施：每次违规最高可处以SAR500万罚款，在严重情况下，控制者的管理人员需承担刑事责任。在最初的18个月中，SDAIA的执法态度以纠正为主而非惩罚（警告、强制补救），但法律允许提起集体诉讼，且SDAIA已明确表示，大规模的消息服务违规行为是其监管重点。
§02
数据驻留
除非符合三项例外情况之一，否则沙特阿拉伯（KSA）个人的个人数据必须在沙特境内处理：充分性认定（SDAIA尚未发布任何认定）、针对特定跨境用途的明确且知情的同意，或SDAIA许可。对于消息服务而言，这意味着SMSC、营销管理UI和DLR存储必须位于沙特境内。BroadNet专门在利雅得运营数据中心，以确保沙特账户的客户数据实现本地化存储。
§03
同意要求
同意必须是知情的、具体的、自愿提供的，并且必须有可证明的记录。对于短信营销而言，这意味着必须保留5年的订阅记录（包括时间戳、来源、向用户展示的准确同意文本）。必须在24小时内响应STOP关键词并予以记录。CST会就营销类消息的发送者ID报备与SDAIA进行协调——若发送者ID无法提供可证明的同意记录，将被撤销。
§04
买家应向其聚合商询问哪些问题
有三个问题。当我向沙特阿拉伯号码发送消息时，我的SMSC物理位置在哪里？我的DLR和消息正文存储在哪里？同意记录的格式和保留期限是什么？任何涉及法兰克福、都柏林或伦敦的答案，对于符合PDPL合规要求的部署来说都是不可接受的。