الشفافية في SaaS: لماذا يكلفك الإنكار أكثر

أرسل لي عميل رسالة يوم الأحد يسأل إن كان نظام الحجوزات عنده "يرسل بيانات إلى الخارج". كان قد شاهد خبراً عن أجهزة تلفزيون تجمع معلومات عن المشاهدين، وعن الشركة المصنّعة ترد بفيديو تقول فيه إن هذا تضليل. سؤاله لم يكن تقنياً. كان بسيطاً: كيف له أن يعرف؟ وهذا هو السؤال الأكثر غياباً لحظة التعاقد على أي شيء. الشفافية في SaaS ليست شعاراً جميلاً في أسفل الموقع، بل قدرتك على التحقق مما قيل لك.

لأن المشكلة في قضية LG ليست الجمع بحد ذاته. بل شكل الرد.

ما الذي حدث، في سطرين

أشارت تقارير صحفية إلى أن الأجهزة تجمع من بيانات المستخدم أكثر مما يتصوره الناس. خرجت الشركة إلى العلن لتقول إن الاتهام كاذب.

هذا كل شيء. اتهام مدعوم بدليل من جهة، وإنكار بلا دليل من الجهة الأخرى. والمستهلك في المنتصف، مضطر لاختيار من يصدّق بناءً على الإحساس وحده.

لماذا "هذا كذب" هو أسوأ رد ممكن

الإنكار سريع ورخيص. لهذا هو مغرٍ. لكن للإنكار مشكلة بنيوية: هو لا يغلق الموضوع، بل يؤجله.

عندما ترد شركة على معطى تقني ببيان مؤسسي، فهي تغيّر أرضية النقاش. خرجت من "هذا ما يرسله الجهاز" إلى "ثق بي". من يتابع يلاحظ ذلك فوراً. ومن لا يتابع يبقى عنده شك صغير لا يزول أبداً.

الرد الذي يغلق الموضوع مملّ ومحدد. شيء مثل: الجهاز يرسل هذه الحقول، إلى هذا العنوان، بهذا التواتر، وتستطيع إيقافه من هنا. لا أحد يصفق. لكن لا أحد يشك أيضاً.

الثقة لا تُعلَن. تُثبَت بوثيقة ونسخة وتاريخ.

ينطبق هذا على شركة تصنع تلفزيونات، وينطبق على مورّد الـ CRM عندك.

هذا يخص عملك أكثر مما يبدو

غالباً أنت لا تصنع أجهزة إلكترونية. لكنك تدير عملك فوق ست أو ثماني أو اثنتي عشرة أداة خارجية. كل واحدة منها لديها صلاحية وصول إلى شيء يخصك.

الـ CRM عنده أرقام هواتف عملائك. أداة البريد عندها قاعدة بياناتك كاملة. نظام خدمة العملاء عنده سجل المحادثات، وهو المكان الذي يكتب فيه الناس أرقام هوياتهم وعناوينهم وأحياناً أموراً أكثر حساسية بكثير. نظام إدارة الموارد عنده أرقام المبيعات. والجدول المشترك الذي لا أحد يتذكر من أنشأه فيه ما الله به عليم.

الآن الجزء غير المريح: بحسب قانون حماية البيانات البرازيلي LGPD، المسؤول عن بيانات عميلك هو أنت. المورّد مشغِّل، وأنت المتحكم. إذا تسربت البيانات منه، صاحب البيانات يبحث عنك. والهيئة الوطنية لحماية البيانات تبحث عنك. أما المورّد فيرسل بياناً يقول فيه إنه يأخذ الأمن على محمل الجد.

رأيت شركة تكتشف، في وسط حادثة أمنية، أنها لا تملك أي فكرة عن مكان استضافة بياناتها. اكتشفت ذلك بالتوازي مع عميل غاضب على الهاتف.

كيف تطالب المورّد بالشفافية دون أن تتحول إلى شخص مزعج

لست مضطراً لتدقيق أحد. أنت بحاجة إلى إجابات مكتوبة. إذا رد المورّد بسرعة وبوثيقة، فهذه إشارة ممتازة. إذا رد بصفات وعبارات عامة، فهذه إشارة صفراء.

أرسل هذه الأسئلة بالبريد الإلكتروني، لا عبر واتساب. ستحتاج إلى السجل لاحقاً.

• أين تُخزَّن البيانات فعلياً؟ الدولة ومزود الاستضافة. "في السحابة" ليست إجابة.
• من داخل شركتكم يستطيع رؤية بيانات عملائي؟ هل هناك سجل لهذا الوصول؟
• هل تستخدمون بياناتي لتدريب نموذج أو إنتاج مقارنات أو أي شيء مجمّع؟ وإن كان كذلك، هل يمكن إيقافه؟
• إن ألغيت الاشتراك غداً، كيف أصدّر كل شيء وخلال كم من الوقت تحذفون البيانات؟
• ما آخر حادثة أمنية مررتم بها وما الذي تغيّر بعدها؟

السؤال الأخير هو المفضل عندي. كل شركة تجاوزت ثلاث سنوات في السوق مرت بموقف مخيف. من يقول إنه لم يمر بشيء أبداً فهو إما حديث العهد جداً، أو لا ينظر، أو يكذب. ولا واحد من الثلاثة مطمئن.

وهناك تفصيل لا يستخدمه أحد تقريباً: بحسب LGPD، يحق لصاحب البيانات أن يطلب تأكيد المعالجة والوصول إلى بياناته. والرد الكامل له مهلة خمسة عشر يوماً. قدّم هذا الطلب بنفسك، كأنك عميل، إلى نظامك أنت. هذا أصدق اختبار موجود. إن كانت عمليتك لا تستطيع الرد خلال خمسة عشر يوماً عنك أنت، فلن تستطيع الرد عن أي شخص آخر.

اختبار لقطة الشاشة

هناك طريقة كسولة وفعالة جداً لتقييم الشفافية: انظر إن كان النص يصلح للقطة شاشة.

السياسة الواضحة تتحول إلى صورة. عبارة مثل "البيانات مخزّنة في ساو باولو، لدى المزود س، مع نسخة احتياطية يومية ومدة احتفاظ ثلاثين يوماً" تتسع في صورة واحدة وتنهي نقاشاً. أما "نتبنى أفضل ممارسات السوق بما يتوافق مع التشريعات السارية" فلا تثبت شيئاً ولا تصلح حتى للدفاع عنك لاحقاً.

طبّق هذا على شركتك أنت. افتح صفحة الخصوصية عندك الآن. هل تجيب عن مكان البيانات، ومدة بقائها، وكيف يحذفها الشخص؟ أم أنها نص نسخه أحدهم من موقع آخر عام 2021 ولم يقرأه أحد منذ ذلك الحين؟

إن كان الخيار الثاني، فأنت في المكان نفسه الذي تقف فيه شركة التلفزيونات صاحبة الفيديو. لكن لم يصلك الصحفي الذي يكتشف الأمر بعد.

"لكن ليس لدي وقت لهذا"

لديك وقت، وهو أقل مما تظن. بعد ظهر واحد يكفي للنسخة الأولى.

اصنع جدولاً بسيطاً بأربعة أعمدة: الأداة، البيانات التي تصل إليها، مكان استضافتها، ومن في شركتك يملك حساباً عليها. املأه بما تعرفه أصلاً. ستنقصك أشياء، والفراغ نفسه معلومة ثمينة.

بعدها أرسل الأسئلة الخمسة أعلاه إلى المورّدين الثلاثة الذين يلمسون بيانات العملاء. لا داعي لأن ترسلها إلى الجميع. الثلاثة الأكثر حساسية يغطون ثمانين بالمئة من المخاطر.

أخيراً، ثبّت في التقويم مراجعة كل ستة أشهر. ليس لأن أحداً سيدقق عليك، بل لأن الأدوات تدخل وتخرج من العملية طوال الوقت ولا أحد يخبر القسم القانوني.

هذه ليست بيروقراطية. هذه هي الفارق بين أن ترد على عميل خلال عشر دقائق بوثيقة، وأن ترد بعد ثلاثة أيام بعبارة "نحن بصدد التحقق".

الجزء الذي يمنحك ميزة تنافسية

هنا رأيي الصريح: الشفافية صارت حجة بيع، وكاد لا ينتبه لها أحد.

معظم الشركات ما زالت تعامل الخصوصية كتكلفة، كخانة تُعلَّم لتفادي الغرامة. وفي هذه الأثناء صار العميل مرتاباً. رأى تطبيق مصباح يطلب صلاحية الوصول إلى جهات الاتصال، ورأى تلفزيوناً يسمع المحادثات، ورأى مساعد ذكاء اصطناعي يتعلم من مستند لم يكن يجب أن يصل إليه. يصل إلى عرضك وهو مرفوع الحذر.

من يضع في عرضه التجاري صفحة تقول بالضبط أين تبقى البيانات، ومن يصل إليها، وكيف تخرج، يكسب ميزة لا ينسخها أي منافس بسرعة. لأن النسخ هنا يتطلب ترتيب البيت فعلاً.

هو السبب نفسه الذي يجعل مطعماً بمطبخ زجاجي يمنح شعوراً أكبر بالأمان. ليس لأن الطعام أفضل. بل لأن أحداً لا يضع زجاجاً على مطبخه إن كان لديه ما يخفيه.

إن أردت بناء خريطة البيانات هذه ولا تعرف من أين تبدأ، أو تشك أن عمليتك فيها أدوات ذات صلاحيات أكثر مما يجب، يمكن حل هذا في حديث قصير. احكِ لي كيف تعمل عمليتك اليوم.

سألني عميل يوم الأحد إن كان نظامه "يرسل بيانات إلى الخارج". سؤاله لم يكن تقنياً: كان كيف يعرف ذلك.

عندما ترد شركة على معطى تقني بعبارة "هذا كذب"، فهي لا تغلق الموضوع. هي فقط تستبدل الدليل بـ "ثق بي".

والثقة لا تُعلَن. تُثبَت بوثيقة ونسخة وتاريخ.

ينطبق هذا على شركة تصنع تلفزيونات، وينطبق على مورّد الـ CRM عندك، لأن قانون LGPD يجعلك أنت المسؤول عن بيانات عميلك، لا هو.

اختبار سريع: افتح صفحة الخصوصية عندك الآن. هل تقول أين تُخزَّن البيانات، وكم تبقى، وكيف يحذفها الشخص؟ إن لم تصلح لأخذ لقطة شاشة، فهي لا تصلح حتى للدفاع عنك.

إن كنت لا تعرف كم أداة تملك اليوم صلاحية الوصول إلى بيانات عملائك، فهذا مكان ممتاز لبدء الحديث.

#LGPD #SaaS #خصوصية_البيانات #تكنولوجيا #إدارة_المخاطر