أسئلة موقع البيانات لمشتري التعليم في الشرق الأوسط

اسأل مزوّد برمجيات تعليمية أين تُخزَّن بياناتك، وستحصل عادةً على اسم منطقة. وذلك يجيب عن خُمس السؤال تقريباً. فالبيانات الساكنة تقيم في مكان؛ والمعالجة في مكان آخر؛ والنسخ الاحتياطية في مكان ثالث؛ والمعالجون الفرعيون خلف ميزات المزوّد نفسه — نموذج الـ AI، ومُرسِل البريد، ومتتبّع الأخطاء، ومكتب الدعم — يقيم كلٌّ منهم في بلد خاص به. والالتزام بموقع البيانات الذي يغطّي الأول من هذه فقط ليس التزاماً بموقع البيانات. إنه تفضيل استضافة.

وهذا يهمّ في الخليج أكثر مما كان يهمّ قبل خمس سنوات، لأن القواعد صارت محدّدة. فنظام حماية البيانات الشخصية السعودي، الذي تنفّذه سدايا، يضع شروطاً على نقل البيانات الشخصية خارج المملكة. وللإمارات قانون اتحادي يسري إلى جانب نظامين منفصلين داخل DIFC وADGM. ولقطر والبحرين وعُمان ومصر، لكلٍّ منها تشريعها الخاص، ويضيف المنظّمون القطاعيون فوق ذلك قواعد تصنيف. وفرق الشراء تطرح اليوم أسئلة لم تكن تطرحها في 2019.

موقع البيانات والسيادة والولاية القضائية ثلاثة وعود مختلفة

فهي منفصلة، ويستطيع مزوّد أن يفي بواحد منها ويخفق في الاثنين الآخرين.

السيادة على البيانات هي الدعوى الأقوى: أن البيانات يحكمها قانون البلد الذي تقيم فيه، وذلك القانون وحده. وهي موقف قانوني لا تقني، وتتوقّف على من يشغّل البنية التحتية، ومن يحمل مفاتيح التشفير، وأين سُجّل الكيان المشغِّل.

الولاية القضائية تتبع الكيان الشركاتي، لا القرص. فالمزوّد المسجَّل في الولايات المتحدة الذي يخزّن سجلّاتك في مركز بيانات بالرياض يبقى شركة أمريكية، وتبقى محكمة أمريكية قادرة على بلوغه، ويبقى داخل نطاق قانون CLOUD Act الأمريكي لعام 2018، الذي يتيح للسلطات الأمريكية إلزام مزوّد مقرّه الولايات المتحدة بإخراج بيانات يسيطر عليها أينما خُزّنت تلك البيانات. فنقل القرص لم ينقل الشركة.

لماذا «السحابة» ليست جواباً

«السحابة» ليست مكاناً. إنها نموذج شراء موضوع فوق أسطول عالمي من مراكز البيانات، والأسطول هو المقصود منها. وحين يقول مزوّد «نحن نعمل على AWS»، يبقى كل سؤال ذي أهمية مفتوحاً.

• أيّ منطقة؟ فالحساب الواحد قد يحمل موارد في عشرين منطقة في آن، والجواب لكل خدمة لا لكل حساب.
• هل كل خدمة في تلك المنطقة؟ فبعضها ينسخ عبر المناطق افتراضاً؛ وبعضها له مستوى تحكّم يقيم في مكان آخر إقامةً دائمة.
• أين تعمل خوادم التطبيق، في مقابل قاعدة البيانات؟
• إلى أين تذهب السجلّات وآثار الأخطاء وتحليلات المنتج؟ فهذه تحمل أسماء وعناوين بريد، وأحياناً إجابات متعلّمين بنصّ حرّ.
• أين يجلس فريق الدعم، وماذا يستطيع أن يرى من هناك؟
• أين تحطّ النسخ الاحتياطية، وكم تبقى بعد الحذف؟

وكل واحد من هذه قرار هندسي عادي، اتُّخذ مبكّراً، لأجل الكمون أو الكلفة لا لأجل القانون، واتّخذه شخص لم يحضر اجتماع الشراء. ولهذا تكون الإجابات مبهمة في أحيان كثيرة: لم يدوّنها أحد.

الأسئلة السبعة

أرسل هذه كتابةً وأرفق الإجابات بالعقد. فالمزوّد الذي لا يجيب كتابةً لا يمكن إلزامه بالجواب.

1. أين تقيم البيانات الساكنة، وفي أي منطقة مسمّاة؟

اسأل لكل صنف بيانات، لا لكل منصة. فسجلّات المتعلّمين، ومحاولات التقييم، والملفات المرفوعة، والفيديو، والشهادات، وسجلّات التدقيق تقيم غالباً في أنظمة مختلفة، وقد لا يكون المزوّد فكّر إلا في الأول. اطلب جدولاً: لكل صنف بيانات، البلد والمزوّد ورمز المنطقة.

2. أين تُعالَج؟

التخزين هو النصف السهل؛ والمعالجة هي حيث تتحرّك البيانات. ففهرسة البحث، وتوليد التقارير، وعرض ملفات PDF، وتحويل ترميز الفيديو، وكل ما يستعين بالـ AI، كلها تقرأ البيانات وتعمل في مكان ما. والـ AI هو الحالة الأحدّ في برمجيات التعليم اليوم: فمعلّم خصوصي، أو مساعد تأليف، أو مسودة تصحيح، يرسل نصّ المتعلّم إلى مزوّد نموذج، ومنطقة الاستدلال عند ذلك المزوّد واقعة منفصلة عن منطقة استضافة المزوّد. اسأل أيّ مزوّد، وفي أي منطقة، وهل يُستعمل المحتوى للتدريب، واحصل على مدة الاحتفاظ بالأيام.

3. أيّ المعالجين الفرعيين يلمسها، وفي أي بلد؟

اطلبها قائمةً، بثلاثة أعمدة: الاسم، والوظيفة، وبلد المعالجة. والمنصة في 2026 لديها عادةً من ثمانية إلى خمسة عشر — مضيف سحابي، ومزوّد قاعدة بيانات، ومخزن كائنات، ومُرسِل بريد، ومزوّد نموذج AI، ومتتبّع أخطاء، وأداة تحليلات، ومكتب دعم، ومعالج مدفوعات إن كانت تقبض مالاً.

وسؤالان تاليان يفصلان المزوّد الجادّ عن المزوّد المتفائل. كيف تُشعَر حين يتغيّر معالج فرعي، وهل تستطيع الاعتراض؟ وأيٌّ منهم يستقبل بيانات شخصية لا بيانات وصفية؟ والمزوّد الذي لم يدوّن هذا قطّ يستغرق أسبوعاً لإخراجه، والتأخير نفسه معلومة.

4. إلى أين تذهب النسخ الاحتياطية ونسخ التعافي من الكوارث؟

النسخ الاحتياطية هي أشيع طريقة يفشل بها التزام الموقع بصمت. فالنسخ المتماثل عبر المناطق هو التوصية الافتراضية في كل دليل معمارية سحابية، لأسباب لا علاقة لها بمنظّمك. اسأل أين تُكتب النسخ الاحتياطية، وهل تغادر المنطقةَ أيُّ نسخة متماثلة، وكم يبقى سجلّ محذوف حياً داخلها. فإن كان التزامك بالمحو 30 يوماً ومدة الاحتفاظ بالنسخ الاحتياطية 90، فتلك الفجوة موضعها سياسة مكتوبة لا ملاحظةُ تدقيق.

5. من يستطيع الوصول إليها، ومن أين؟

الموقع يُنقَض بالوصول عن بُعد. اسأل أين يجلس فريقا الدعم والهندسة، وهل الوصول إلى بيئة الإنتاج ممكن من خارج المنطقة، وهل يحتاج إلى إجازة، وهل تستطيع أن ترى السجلّ. و«مهندسونا يستطيعون قراءة بيانات العملاء من أي مكان، دون تسجيل» جواب حقيقي يقوله بعض المزوّدين إن سألت بصراحة.

6. ما آلية النقل؟

إن غادرت البلدَ أيُّ بيانات، وعند معظم المزوّدين سيغادر بعضها، فلا بدّ من أساس نظامي مسمّى للنقل، لا هزّة كتف. اسأل على أيّ حكم من أيّ قانون محلي يستند.

وعلامة شائعة: يرسل إليك المزوّد الشروط التعاقدية النموذجية للاتحاد الأوروبي. وتلك أداة أوروبية، بُنيت للنقل خارج المنطقة الاقتصادية الأوروبية. وهي أساس تعاقدي معقول، وهي ليست بذاتها آلية نقل سعودية ولا إماراتية. والمزوّد الذي يعامل اتفاقية GDPR بوصفها امتثالاً شاملاً لم يقرأ التشريع المحلي.

7. ماذا يحدث إن تغيّر القانون؟

هذا هو السؤال الذي لا يكاد يطرحه أحد، وهو السؤال الأكثر ارتباطاً بالمال. فقانون حماية البيانات في المنطقة فتيّ ومتحرّك: قد يصدر منظّم تصنيفاً جديداً، فيتوقّف موقف كان ممتثلاً عند التوقيع عن أن يكون ممتثلاً في السنة الثانية من عقد مدته خمس سنوات. ضع أربعة أشياء في العقد:

1. إن تغيّر القانون بحيث لم يعد ترتيبنا مشروعاً، ماذا يجب أن تفعل، وفي أي مدة؟
2. من يدفع كلفة الترحيل — أنت، أم نحن، أم تُقسَم بحسب السبب؟
3. هل نستطيع إنهاء العقد دون غرامة إن عجزت عن الامتثال في تلك المدة؟
4. عند الخروج، بأي صيغة نحصل على البيانات، وكم يستغرق التصدير، ومتى تُحذف من أنظمتك ومن نسخك الاحتياطية؟

أين تقف Lurno، بصراحة

هذا جوابنا نحن عن استبياننا نحن، بالشكل الذي نودّ أن نتلقّاه به من أي جهة أخرى.

Augmental Learning Inc. شركة أمريكية، وبنيتنا التحتية ومعالجونا الفرعيون الافتراضيون مقرّهم الولايات المتحدة. ويترتّب على ذلك أمران، وينبغي أن يسمعهما المشتري في الخليج مباشرةً. فافتراضاً، تقيم سجلّاتك في الولايات المتحدة. والشركة مسجّلة في الولايات المتحدة، فالولاية القضائية الأمريكية تبلغها أينما أقامت أيّ بايتة منفردة. ولا يغيّر الأمرَ الثاني أيُّ إعداد — لا عندنا، ولا عند أي مزوّد أمريكي آخر.

والقابل للضبط فعلاً اليوم هو تخزين الوسائط. فهو يُضبط لكل مؤسسة عبر Supabase وAmazon S3 وAzure وGoogle Cloud Storage — سلّتك أنت، في منطقتك أنت — ويُورَّث نزولاً في شجرة المؤسسات، فيستطيع ناشر أن يُبقي ملفات بلد داخل ذلك البلد دون أن يقسمه إلى مستأجر منفصل. وذلك يغطّي الجزء الأكبر من الحمولة: المستندات المرفوعة، والتسجيلات، وتسليمات المتعلّمين، وملفات الأدلة. وكيفية ضبطه على صفحة التأليف.

وما لا ندّعيه: نشرٌ داخل المنطقة لقاعدة البيانات الأساسية ولطبقة التطبيق ليس شيئاً تستطيع أن تؤشّر عليه في نموذج طلب اليوم. فإن كان شرطك يشملهما، فتلك محادثة محدّدة النطاق مرفقة بجدول زمني، لا مربّع تأشير — وينبغي أن تضغط على كل مزوّد لهذا القدر من التحديد، بمن فيهم من يقول عرضه التقديمي «سيادي».

لسنا حاصلين على شهادة SOC 2 ولا على شهادة ISO 27001، ونفضّل أن نكتب ذلك على أن ندع شارةً على شريحة عرض توحي به. والموجود هو اتفاقية معالجة بيانات، وملحق FERPA، وسجلّ تدقيق مترابط بالتجزئة، ومسارات موافقة ومحو وفق GDPR بقاعدة الشخصين، وعزل مستأجرين تفرضه 868 سياسة أمان على مستوى الصف داخل قاعدة البيانات لا في كود التطبيق وحده. والعزل ضمانة غير الموقع: فهو يعني أن عميلاً آخر لا يستطيع بلوغ صفوفك. والمزوّد الذي يجيب عن سؤال في الموقع بجواب في العزل قد غيّر الموضوع — ونحن منهم.

صياغة الشرط بحيث تحصل على جواب حقيقي

المزوّدون يعيدون إجابات مبهمة لأن السؤال سمح بذلك. فـ«هل تدعمون موقع البيانات؟» يستدعي «نعم»، ولم يجب عنه أحد بـ«لا» قطّ. استبدل به أسئلةً لها جواب خاطئ.

1. اطلب جدولاً لا فقرة: صنف البيانات، وبلد التخزين، وبلد المعالجة، والمزوّد، ورمز المنطقة.
2. اطلب قائمة المعالجين الفرعيين مرفقاً، مع البلدان وبند إشعار بالتغيير.
3. اطلب مواقع النسخ الاحتياطية، ومدة الاحتفاظ بالأيام، وكم تبقى السجلّات المحذوفة حيةً فيها.
4. اسأل على أيّ حكم من أيّ قانون محلي تستند كل عملية نقل عابرة للحدود.
5. اسأل ماذا يحدث تعاقدياً إن تغيّر القانون، بما في ذلك من يدفع كلفة الانتقال.

ثم قيّم الإجابات على التحديد لا على الحماسة. فما دامت قواعد المنطقة تستقرّ بعد، فالمزوّد الذي يخبرك بدقة أين بياناتك — بما في ذلك الأجزاء التي لم تكن تودّ سماعها — أسهل في البقاء ممتثلاً معه من المزوّد الذي يوافق على كل شيء. ونسختنا نحن على صفحة الأمان. قِسها بالمعيار نفسه الذي تقيس به نسخ الجميع.