1. نطاق تطبيق السياسة

تنطبق هذه السياسة على:

• جميع البيانات الشخصية والأكاديمية والبحثية التي يتم نقلها أو تخزينها أو معالجتها خارج المملكة.
• جميع عمليات نقل البيانات إلى مقدمي خدمات الحوسبة السحابية الدوليين.
• جميع الاتفاقيات البحثية والمشاريع المشتركة التي تتطلب مشاركة البيانات مع جهات خارجية.
• البيانات التي يتم تخزينها على أنظمة أو منصات إلكترونية خارج المملكة.

استثناءات:

• البيانات المجهولة المصدر التي لا تحتوي على معلومات شخصية أو حساسة.
• البيانات التي تصدرها الجامعة بشكل مفتوح كجزء من سياسة البيانات المفتوحة.
• البيانات التي يتطلب القانون أو الأنظمة نقلها بموجب اتفاقيات دولية وقعتها المملكة.

2. المبادئ الأساسية لنقل البيانات خارج المملكة

السيادة الوطنية للبيانات

• يجب أن تكون الأولوية لتخزين ومعالجة البيانات داخل المملكة قدر الإمكان، واستخدام مقدمي خدمات سحابية محلية معتمدة من هيئة الحكومة الرقمية والهيئة الوطنية للأمن السيبراني.
• لا يجوز نقل أي بيانات خارج المملكة إلا في الحالات التي لا يتوفر فيها حل محلي مناسب يلبي المتطلبات التشغيلية للجامعة.

الأساس النظامي للنقل

• لا يجوز نقل أي بيانات خارج المملكة إلا إذا كان هناك أساس نظامي واضح يدعم ذلك، مثل: 
  • موافقة الجهة التنظيمية المختصة.
  • تنفيذ التزامات قانونية أو تعاقدية تتطلب تبادل البيانات مع جهة خارجية.
  • الاشتراك في منصات بحثية عالمية معترف بها وتتطلب مشاركة البيانات البحثية.

توافق الدولة المستقبلة مع أنظمة حماية البيانات

• يجب أن تكون الدولة المستقبلة للبيانات مدرجة في قائمة الدول المعتمدة من مكتب إدارة البيانات الوطنية، والتي تضمن مستوى حماية مكافئ أو أعلى لمعايير حماية البيانات في المملكة.
• إذا لم تكن الدولة المستقبلة ضمن القائمة، فيجب إجراء تقييم شامل للمخاطر قبل الموافقة على النقل.

الحد الأدنى من البيانات

• لا يجوز نقل بيانات أكثر من الحد الأدنى المطلوب لتحقيق الغرض القانوني أو التشغيلي من النقل.
• يجب إخفاء هوية البيانات الشخصية قبل النقل متى كان ذلك ممكنًا.

حماية البيانات أثناء النقل

• يجب أن يتم تشفير البيانات أثناء نقلها باستخدام بروتوكولات تشفير قوية AES-256 أو ما يعادلها.
• يجب أن تتم مشاركة البيانات عبر قنوات آمنة مثل VPN  مشفر، أو قنوات اتصال خاصة تضمن عدم اعتراض البيانات أثناء النقل.

موافقة صاحب البيانات

• إذا كانت البيانات تتعلق بأفراد معينين (مثل الطلاب أو الموظفين)، يجب الحصول على موافقتهم الخطية أو الإلكترونية الصريحة قبل نقلها، ما لم يكن هناك التزام قانوني أو مصلحة مشروعة تستدعي النقل.
• يجب أن يكون إشعار الخصوصية واضحًا بشأن كيفية استخدام البيانات، والجهة المستقبلة لها، والضمانات المطبقة عليها.