قانون حماية البيانات الإماراتي لمطوّري البرمجيات — ما نقوله لكل عميل في اليوم الأول.

قانون حماية البيانات الشخصية الإماراتي (المرسوم بقانون اتحادي رقم 45/2021) ينتمي إلى عائلة GDPR: موافقة أو أساس قانوني آخر، تحديد الغرض، حقوق صاحب البيانات، الإخطار بالخروقات، وقواعد نقل البيانات عبر الحدود. وتُدير أنظمة المناطق الحرة (DIFC وADGM) أطرًا موازية. إن كنت قد استوعبت GDPR، فأنت موجَّه بنسبة ٨٠٪ — والـ٢٠٪ المتبقية تفاصيل اختصاصية تخص محاميك.

جرد البيانات كوثيقة حيّة: أي بيانات شخصية، أين، ولماذا، ولكم من الوقت — تُكتب قبل المخطط، وتُحدَّث معه.

الإقامة افتراضيًا: نستضيف في مناطق الإمارات/الخليج ما لم يوجد سبب يمنع ذلك، ونرسم مخططًا لكل تدفّق يعبر حدودًا، بما في ذلك التدفقات الخفية — التحليلات، وتتبّع الأخطاء، وواجهات النماذج البرمجية.

الحذف كميزة: طلبات صاحب البيانات تحتاج إلى مسار برمجي، لا إلى وعد. ونوافذ الاحتفاظ تُفرَض بمهام مجدولة، لا بالذاكرة.

الوصول والتدقيق: وصول قائم على الأدوار، وأقل صلاحية ممكنة، وسجلات قادرة على الإجابة عن «من اطّلع على هذا السجل» — وهو السؤال الذي يطرحه كل جهة رقابية وكل مشترٍ مؤسسي في النهاية.

نظافة خاصة بالذكاء الاصطناعي: لا تدريب لنماذج طرف ثالث على بيانات العملاء، واستخدام طبقات API المؤسسية حيثما توفّرت، وتنقية بيانات التعريف الشخصية قبل أن يغادر أي شيء حدود النظام.

تتعامل الفرق في مراحلها المبكرة أحيانًا مع كل هذا كطقوس مؤسسية. وهذا منصف — إلى أن يصل استبيان المورّد الخاص بأول صفقة مؤسسية، فيتحوّل «لاحقًا» إلى ترقيع يستغرق ستة أسابيع في أسوأ توقيت ممكن. معمارية اليوم الأول أرخص من تنقيب الأسبوع الخمسين.