تبحث عن شركة برمجة في السعودية أو الخليج؟ 10 أسئلة قبل أن توقّع

قبل أن تتعاقد مع شركة برمجة في السعودية أو في الخليج أو خارجهما، اطلب منها إجابات مكتوبة عن عشرة أسئلة. وتغطي هذه الأسئلة: من ينفّذ العمل، وما يُسنَد إلى جهات أخرى، ونطاق العمل والجدول الزمني، وارتباط الدفعات بالتسليم، واعتماد الواجهات، والدعم بعد الإطلاق، وما تملكه في النهاية، وكيف تُحمى البيانات الشخصية وأين تُعالَج.

وتصلح هذه الأسئلة لتطبيق جوال أو نظام داخلي أو منصة فيها ذكاء اصطناعي، أيًّا كان البلد الذي تعمل منه الشركة. ومعها جدول لمقارنة الإجابات، وقائمة بالأوراق التي تطلبها قبل التوقيع، ومنها بنود حماية البيانات التي تشترطها الأنظمة السعودية. وإن كنت تبحث عن شريك تقني بدل جهة تنفّذ لك مشروعًا، فستجد له قسمًا خاصًا قرب نهاية المقال.

كيف تختار شركة برمجة في السعودية أو خارجها؟ قارن الإجابات قبل الأسعار

لا تصلح عروض الأسعار للمقارنة، سواء أجاءتك من شركة برمجة في السعودية أم من خارجها، ما لم تسعّر كلها نطاق العمل المكتوب نفسه؛ فالعرض الأرخص قد يكون لنظام أصغر. أرسل إلى كل شركة مرشحة الوصف نفسه لما تريد بناءه في صفحة واحدة (ماذا يفعل النظام، ولمن، وبأي لغة، وبأي أنظمة يرتبط، ومتى تحتاجه)، والأسئلة العشرة نفسها، واطلب الإجابة كتابةً، ثم قيّم الردود بجدول المقارنة بعد السؤال العاشر. ويكفيك مرشحان أو ثلاثة.

وإن لم تقرر بعد هل تشتري برنامجًا جاهزًا أم تبني نظامًا خاصًا، أو أردت نموذجًا لصفحة الوصف هذه، فابدأ بدليل برنامج جاهز أم برمجة نظام لشركتك؟.

وتحقق أولًا من الجهة التي ستوقّع معك. فالموقع الإلكتروني للشركة وعنوانها المحلي، سواء أكانت شركة برمجة سعودية أم من خارج المملكة، لا يخبرانك أي كيان نظامي سيوقّع العقد، ولا أين يعمل الفريق. في السعودية، تتيح خدمة «الاستعلام عن بيانات السجل التجاري» من وزارة التجارة البحث في بيانات السجل باسم المنشأة أو رقمها الوطني الموحد، والخدمة مجانية [1]. وفي البلدان الأخرى، ابحث في السجل الرسمي للشركات في بلد التسجيل. ودوّن هذا البلد، فستحتاجه في السؤالين 9 و10، وحين تحدد مع مستشارك القانوني النظامَ الذي يحكم العقد.

الفريق: من ينفّذ العمل فعلًا؟ (السؤالان 1 و2)

1. من سينفّذ العمل، ومن أين؟

من يبيعك المشروع ليس بالضرورة من يبنيه، وكل انتقال للعمل بين فرق منفصلة يُضيّع جزءًا مما فهمه الفريق منك.

الإجابة الجيدة تتضمن:

• أدوارًا محددة، وأسماءً إن أمكن، للتحليل والتصميم والتطوير والاختبار والإطلاق.
• اسم الشخص الذي ستتواصل معه يوميًا.
• مكان عمل الفريق، وعدد ساعات العمل المشتركة بين توقيته وتوقيتك (أسبوع العمل من الأحد إلى الخميس يلتقي مع أسبوع الاثنين إلى الجمعة في أربعة أيام فقط).
• من في الفريق يجيد العربية، إن كان مستخدمو النظام يتعاملون بها.
• مشروعًا أو مشروعين حديثين يشبهان مشروعك تراهما يعملان، وعميلًا سابقًا تستطيع محادثته (واسأله عمّا تعثّر وكيف عولج).

واطلب لقاء من سيقود التنفيذ، إلى جانب مدير الحساب.

2. هل ستُسندون جزءًا من العمل إلى جهة أخرى، أو تعتمدون على خدمات طرف ثالث؟

يعتمد كثير من الأنظمة على خدمات خارجية، كالاستضافة السحابية ومزوّد نموذج الذكاء الاصطناعي وإرسال البريد والرسائل، وقد تمر بياناتك عبر كل منها. وإذا عالج النظام بيانات شخصية، فاللائحة التنفيذية لنظام حماية البيانات الشخصية في المملكة تطلب أن يحدد الاتفاق مع المطوّر «جهات المعالجة الفرعية المتعاقدة مع جهة المعالجة، أو أي طرف آخر سيجري الإفصاح له عن البيانات الشخصية» [2، المادة 17، الفقرة 1 (ز)].

وعلى المطوّر، قبل التعاقد مع أي جهة معالجة فرعية، أن يُشعرك ويحصل على موافقتك المسبقة، ويمكّنك من الاعتراض خلال مدة تتفقان عليها [2، المادة 17، الفقرة 5 (ج)].

الإجابة الجيدة تتضمن:

• قائمة مكتوبة بمن يعمل من الباطن (مبرمجون مستقلون أو شركات أخرى) وبخدمات الأطراف الثالثة، مع وظيفة كل منها والبلد الذي تعمل فيه.
• التزامًا بإبلاغك قبل إضافة أي جهة جديدة، مع مهلة متفق عليها للاعتراض.

الأوراق: نطاق عمل مكتوب وجدول زمني معلن (السؤالان 3 و4)

3. هل النطاق مكتوب، بما في ذلك ما هو خارجه؟

الخلاف على سؤال «هل كان هذا ضمن النطاق؟» يصعب حسمه دون وثيقة وقّعها الطرفان، والنطاق المكتوب يجيب عنه مسبقًا.

الإجابة الجيدة تتضمن:

• كل ميزة ومعها اختبار قبول مكتوب، أي تعريف واضح لمعنى «تم التنفيذ».
• لغات الواجهة، كالعربية (من اليمين إلى اليسار) والإنجليزية.
• كل ربط مع نظام آخر باسمه: بوابة الدفع، والنظام المحاسبي، والخدمات الحكومية أو خدمات الدخول الموحد التي تستخدمها.
• قائمة صريحة بما هو خارج النطاق.
• طريقة تسعير طلبات التغيير واعتمادها.

وإذا كان النظام يتضمن ذكاءً اصطناعيًا، سواء تعاقدت مع شركة ذكاء اصطناعي في السعودية أو مع مطوّر يضيف ميزة ذكاء اصطناعي إلى نظامك، فاتفق معه على اختبار قبول يُجرى على عيّنة من حالاتك السابقة التي تعرف إجاباتها الصحيحة، وعلى من يراجع المخرجات. والعرض التجريبي على أمثلة المطوّر نفسه ليس اختبار قبول.

وتنبّه الهيئة السعودية للبيانات والذكاء الاصطناعي (سدايا) إلى أن النماذج التوليدية قد تولّد «بثقة مفرطة “حقائق” تعد خيالًا كاملًا»، وتجعل التحقق من المحتوى الناتج مسؤولية المستخدمين [3، البند 5.3]. وإن لم تحدد بعد المهمة التي تريد أن يتولاها الذكاء الاصطناعي، فابدأ بدليل الذكاء الاصطناعي في الشركات الصغيرة: ابدأ بمهمة واحدة متكررة.

4. هل هناك جدول زمني معلن بمراحل تسليم واضحة؟

تاريخ التسليم النهائي وحده يُخفي المرحلة التي بدأ فيها التأخير، فلا تكتشفه إلا متأخرًا.

الإجابة الجيدة تتضمن:

• مراحل لكل منها تاريخ، وما تسلّمه كل مرحلة.
• ما عليك أنت تقديمه ومتى: المحتوى، والشعار، وصلاحيات الوصول إلى أنظمتك الحالية، والاعتمادات. فتأخرك يؤخر المشروع أيضًا.
• كيف تُحسب الإجازات الرسمية ومدة ردّك على طلبات الاعتماد.
• ما يحدث إذا تأخر أحد الطرفين عن موعده.

الدفعات والتصميم: ادفع مقابل ما اعتمدته، واعتمد الواجهات أولًا (السؤالان 5 و6)

5. كيف ترتبط الدفعات بما يُسلَّم فعلًا؟

الأصل أن تُدفع كل دفعة مقابل جزء يعمل من النظام اختبرته واعتمدته. أما إذا ارتبطت الدفعات بتواريخ في التقويم، فسيستمر الدفع ولو توقف العمل.

الإجابة الجيدة تتضمن:

• ربط كل دفعة بمرحلة محددة وباختبارات قبولها من السؤال 3.
• تعريفًا مكتوبًا لـ«الاعتماد»، والمدة المتاحة لك لاختبار كل مرحلة.
• ربط الدفعة الأخيرة بالإطلاق وبنجاح اختبار التسليم النهائي (السؤال 8).

وإن طُلبت دفعة مقدمة قبل بدء العمل، فاسأل عن المُخرَج الذي تقابله، كالتحليل ونطاق العمل المكتوب.

6. متى نرى الواجهات ونعتمدها؟

تعديل شاشة على الورق يستغرق دقائق، وتعديلها بعد برمجتها يستغرق وقتًا أطول ويكلّف أكثر. والتصاميم هي أول فرصة يرى فيها فريقك ومستخدموك ما سيحصلون عليه فعلًا.

الإجابة الجيدة تتضمن:

• تصاميم أو نموذجًا أوليًا تفاعليًا للمسارات الرئيسية، بكل لغة ستطلق بها. وتُراجَع الواجهة العربية من اليمين إلى اليسار من البداية، لا بقلب الواجهة الإنجليزية في آخر المشروع.
• اعتمادًا مكتوبًا قبل بدء برمجة كل جزء.
• معاملة أي تعديل بعد الاعتماد بوصفه طلب تغيير، وفق الآلية المتفق عليها في السؤال 3.

بعد الإطلاق: الضمان والدعم وما تملكه (السؤالان 7 و8)

7. ما الضمان والدعم والصيانة بعد الإطلاق؟

بعد الإطلاق يكتشف المستخدمون أخطاءً لم تظهر في الاختبار، وتتغير أنظمة تشغيل الجوال والمتصفحات وسياسات متاجر التطبيقات باستمرار.

الإجابة الجيدة تتضمن:

• فترة ضمان مكتوبة، وما تشمله: عيوب في النطاق المتفق عليه، لا ميزات جديدة.
• قنوات الدعم وساعاته، ومدة الاستجابة بحسب خطورة المشكلة.
• من يطبّق التحديثات الأمنية، وخلال أي مدة.
• من يتابع تحديثات iOS وAndroid ومتطلبات المتاجر.
• الصيانة في اتفاق منفصل واختياري.
• تقديرًا مكتوبًا لتكاليف التشغيل الشهرية بعد الإطلاق (الاستضافة، واستهلاك الذكاء الاصطناعي، والرسائل والبريد، ورسوم المتاجر)، ومن يدفع كلًّا منها (ما الذي تضعه في ميزانيتك).

الأمن السيبراني: اسأل هل تُفعَّل المصادقة متعددة العوامل افتراضيًا ودون تكلفة إضافية، وهل يحتفظ النظام بسجلات أمنية لتسجيل الدخول وتغييرات الإعدادات والوصول إلى البيانات، وكيف يسهّل تثبيت التحديثات الأمنية. هذه أسئلة من دليل «Secure by Demand» الذي أصدرته وكالة الأمن السيبراني وأمن البنية التحتية الأمريكية (CISA) مع مكتب التحقيقات الفيدرالي (FBI) لمشتري البرمجيات، ويدعو إلى إدراج متطلبات الأمن في صياغة العقود [4]. والدليل أمريكي، لكن أسئلته تصلح في أي بلد.

ميزات الذكاء الاصطناعي: اسأل عمّا يحدث إذا تغيّر النموذج الذي يعمل عليه النظام أو تغيّر مزوّده: هل ستُبلَّغ مسبقًا؟ وهل تُعاد اختبارات القبول المتفق عليها في السؤال 3؟

8. ماذا نملك في النهاية: الكود والحسابات والبيانات؟

لا تستطيع تغيير المطوّر، ولا نقل العمل إلى فريقك الداخلي، ما لم يكن كل ما يلزم لتشغيل النظام في يدك.

واتفق قبل التوقيع على قائمة التسليم النهائي هذه:

وقبل الدفعة الأخيرة، اختبر التسليم: اطلب من مطوّر مستقل تثق به، من خارج فريق الشركة، أن يشغّل النظام من المستودع والوثائق وحدها. وما يعجز عنه هو ما ينقص التسليم. أما من يملك الكود قانونًا فيحدده عقدك والنظام الذي يحكمه، لذلك اطلب بنود الملكية والتسليم مكتوبة، واعرضها على مستشارك القانوني.

وفي مشاريع برمجة تطبيقات الجوال، اتفق على حسابات المتاجر قبل التوقيع. تعرض Apple اسم المنشأة صاحبة الحساب بصفته اسم البائع لتطبيقاتها في App Store، وتطلب لحساب المنشأة رقم D-U-N-S (نظام ترقيم البيانات العالمي)، وهو رقم تعريف من تسعة أرقام تصدره شركة Dun & Bradstreet [5]، ويصدر مجانًا في معظم البلدان [6]. ويطلب Google Play الرقم نفسه لإنشاء حساب مطوّر لمؤسسة [7].

فإن نُشر التطبيق من حساب شركة البرمجة، ظهر اسمها لعملائك بائعًا له. ونقل التطبيق إلى حساب آخر لاحقًا ممكن على المنصتين، لكنه إجراء له خطوات وشروط [8][9]. فاطلب من أي شركة برمجة تطبيقات جوال أن تنشر تطبيقك من حساب منشأتك منذ اليوم الأول.

بياناتك: ما يُلزمك به نظام حماية البيانات الشخصية (السؤالان 9 و10)

هذا المقال معلومات عامة وليس استشارة قانونية. راجع التزامات منشأتك وفق النص الحالي للنظام ولائحته التنفيذية، واعرض العقد على مستشارك القانوني قبل التوقيع.

حين تعالج شركة البرمجة بيانات شخصية نيابةً عنك، كأن تستضيف النظام أو تدعمه أو تنقل إليه بياناتك القديمة، تكون منشأتك في الغالب جهة التحكم بحسب نظام حماية البيانات الشخصية، وهي التي «تحدد الغرض من معالجة البيانات الشخصية وكيفية ذلك»، ويكون المطوّر جهة المعالجة التي «تعالج البيانات الشخصية لمصلحة جهة التحكم ونيابةً عنها» [10، المادة 1]. واختيار جهة المعالجة مسؤوليتك، إذ تُلزم المادة 8 جهة التحكم «باختيار الجهة التي توفر الضمانات اللازمة لتنفيذ أحكام النظام واللوائح»، وبالتحقق من التزامها [10].

وإن كانت منشأتك أو مطوّرك خارج المملكة، فالنظام يُطبَّق أيضًا على «معالجة البيانات الشخصية المتعلقة بالأفراد المقيمين في المملكة بأي وسيلة كانت من أي جهة خارج المملكة» [10، المادة 2]؛ فالشركة في دبي أو الدوحة أو لندن التي تعالج بيانات مقيمين في السعودية معنية بهذا القسم. وإن لم تكن كذلك، فراجع ما يطلبه قانون حماية البيانات في بلدك من عقود جهات المعالجة، والقائمة التالية نقطة بداية.

9. ما الضمانات واتفاقية المعالجة التي تقدمونها للبيانات الشخصية؟

الإجابة الجيدة اتفاقية معالجة بيانات مكتوبة. وتحدد المادة 17 من اللائحة التنفيذية ما يجب أن يتضمنه الاتفاق مع جهة المعالجة [2]:

وعلى جهة التحكم أيضًا أن تُصدر لجهة المعالجة تعليمات واضحة، وأن تتحقق من التزامها «بشكل دوري»، ولها أن تعيّن طرفًا مستقلًا لذلك [2، المادة 17، الفقرتان 2 و3]. فاسأل كيف سيمكّنك المطوّر من التحقق: مراجعة سنوية، أو اطلاع على السجلات، أو ملخص أمني.

وتُلزم المادة 19 من النظام جهة التحكم باتخاذ «ما يلزم من إجراءات ووسائل تنظيمية وإدارية وتقنية تضمن المحافظة على البيانات الشخصية» [10]، فاسأل عنها بالتحديد: صلاحيات بحسب الدور، ومصادقة متعددة العوامل للمشرفين، وتشفير، ونسخ احتياطية مُختبَرة.

10. أين تُستضاف البيانات وتُعالَج، بما في ذلك خدمات الذكاء الاصطناعي؟

الإجابة الجيدة قائمة بمسار البيانات:

• أين يعمل النظام الأساسي (الحوسبة، وقاعدة البيانات، والملفات)، وفي أي بلد.
• كل خدمة مساندة، كمعالجة الذكاء الاصطناعي والبريد والرسائل النصية وأدوات التحليل والنسخ الاحتياطية، والبيانات التي تصلها، والبلد الذي تعمل فيه.
• هل يحق لأي مزوّد ذكاء اصطناعي استخدام بياناتك في تدريب نماذجه، وأين يُنصّ على ذلك (شروط المزوّد أو عقدك).

وللبند الأخير سبب: فمبادئ الذكاء الاصطناعي التوليدي للعموم الصادرة عن سدايا تنبّه إلى أن خدمات الذكاء الاصطناعي التوليدي «تستخدم المعلومات الواردة من خلال الأوامر كبيانات تدريب لمواصلة تطوير النموذج ويمكن بعد ذلك كشفها لأطراف ثالثة» [3، البند 5.4]. وفي البند نفسه تنص المبادئ على أن يوفر مزوّدو هذه الخدمات للمستخدمين «خيارات لمنح أو رفض الموافقة على استخدام بياناتهم لأغراض تدريب نماذج الذكاء الاصطناعي» [3، البند 5.4]، فاطلب هذا الخيار مكتوبًا.

الاستضافة والسحابة والخدمات العاملة خارج المملكة

إذا نُقلت بيانات شخصية إلى خارج المملكة، فالمادة 29 من النظام تحدد أغراض النقل وشروطه، ومنها توافر مستوى مناسب لحمايتها، وأن يقتصر النقل «على الحد الأدنى من البيانات الشخصية الذي تدعو الحاجة إليه» [10].

وفي حالات الإعفاء من بعض هذه الشروط، تُلزم لائحة نقل البيانات الشخصية إلى خارج المملكة جهةَ التحكم باستخدام ضمانات مناسبة: البنود التعاقدية القياسية، أو القواعد المشتركة الملزمة، أو شهادة الاعتماد [11، المادة 4، الفقرة 1]، وبإجراء تقويم للمخاطر قبل النقل [11، المادة 7، الفقرة 1]. وتسري أحكام النظام واللوائح كذلك على «عمليات النقل اللاحق» للبيانات بعد خروجها [11، المادة 5].

وإن كانت منشأتك ملزمة بضوابط الأمن السيبراني للحوسبة السحابية (CCC-2:2024) الصادرة عن الهيئة الوطنية للأمن السيبراني، فاسأل المطوّر كيف تستوفي استضافته هذه الضوابط. وهي امتداد للضوابط الأساسية للأمن السيبراني، وتحدد المتطلبات من منظور «مقدمي الخدمات والمشتركين» [12].

جدول لمقارنة الإجابات

قيّم إجابة كل شركة عن كل سؤال بإحدى ثلاث درجات (الحد الأعلى للمجموع 20):

• 2: إجابة مكتوبة مع دليل.
• 1: إجابة شفهية أو ناقصة.
• 0: لا إجابة، أو علامة تحذير.

قاعدة الأسئلة الحاسمة: إذا حصلت شركة على 0 في السؤال 3 أو 8 أو 9 أو 10، فلا توقّع معها حتى يُعالَج النقص، مهما كان مجموعها. والنظام الذي فيه حسابات مستخدمين يحفظ بيانات شخصية كالأسماء وعناوين البريد، فإن كان المطوّر سيستضيفه أو يدعمه أو يعمل على بياناتك الفعلية، فافترض أن السؤالين 9 و10 ينطبقان عليك. ولا تقارن المجاميع إلا بين الشركات التي لم تحصل على صفر في أيٍّ من هذه الأسئلة، ثم قارن أسعارها للنطاق المكتوب نفسه.

انسخ الجدول إلى جدول بيانات، وأضف عمودًا لكل شركة تقارن بينها.

قبل أن توقّع: الأوراق التي تطلبها

• نطاق العمل المكتوب مع اختبارات القبول.
• قائمة ما هو خارج النطاق، وآلية طلبات التغيير.
• خطة المراحل بتواريخها.
• جدول الدفعات مربوطًا بالمراحل.
• التصاميم أو النموذج الأولي المعتمد.
• شروط الضمان والدعم.
• بند الملكية والتسليم، ومعه قائمة الحسابات.
• اتفاقية معالجة البيانات.
• قائمة الجهات الفرعية ومسار البيانات.
• بيانات تسجيل الجهة المتعاقدة، والنظام الذي يحكم العقد، لمراجعة مستشارك القانوني.

تبحث عن شركة تنفّذ أم عن شريك تقني؟

عبارة «شريك تقني»، ومعها إعلانات «مطلوب شريك تقني»، تُستخدم بمعنيين: شريك مؤسس يبني المنتج مقابل حصة في الشركة، أو مورّد تقني طويل الأمد لمنشأة قائمة. والمعنى الثاني تعاقد مع شركة، تنطبق عليه الأسئلة العشرة كما هي. أما إن كنت تبحث عن شريك تقني لشركة ناشئة، بالمعنى الأول، فالفرق في هذه النقاط:

والأسئلة العشرة تنطبق على الشريك أيضًا. ويزداد وزن السؤال 8 (ما تملكه) والسؤال 2 (من يعمل على المنتج غيره) حين يكون من يبني المنتج شريكًا في ملكيته.

اطرح الأسئلة نفسها علينا

تنطبق هذه الأسئلة على O AI (أو إيه آي)، وهي شركة ذكاء اصطناعي وبرمجيات سعودية، كما تنطبق على أي شركة أخرى. وهذه التزاماتنا المنشورة:

• فريق واحد يتولى التحليل والتصميم والتطوير والإطلاق.
• نطاق عمل مكتوب، وجدول زمني معلن، ودفعات مرتبطة بمراحل التسليم.
• لا تبدأ مرحلة قبل اعتماد ما قبلها، وتُعتمد الواجهات قبل كتابة سطر برمجي واحد.
• بعد الإطلاق: فترة ضمان، ودعم فني، وباقات صيانة اختيارية.

وتجيب هذه الالتزامات عن السؤال 1 والأسئلة من 3 إلى 7. وعن السؤال 1 أيضًا، تستطيع أن ترى منتجنا «رُشد» يعمل على الويب وعلى App Store لأجهزة iPhone، وكثير من أعمالنا الأخرى سرّي بطلب من عملائنا.

وعن السؤال 10: الاستضافة الأساسية (الحوسبة وقاعدة البيانات والملفات) على بنية سحابية سعودية داخل المملكة. وعدد محدود من الخدمات المساندة، كمعالجة الذكاء الاصطناعي وإرسال البريد، قد يعمل خارج المملكة؛ وتبيّن سياسات الخصوصية كل تدفق من هذه التدفقات.

وتجد تفاصيل طريقة عملنا في صفحة التعريف بنا. أما الأسئلة 2 و8 و9 فلا تجيب عنها موادنا المنشورة بعد، فاطلب منا إجابات مكتوبة عنها، وقيّمنا بالجدول نفسه.

وأرسل هذه الأسئلة العشرة إلينا أيضًا ضمن الشركات التي تقارن بينها: احجز استشارة مجانية، فالاستشارة الأولى والعرض دون أي التزام، ونردّ عليك خلال يوم عمل واحد.

هذا المقال معلومات عامة وليس استشارة قانونية؛ اعرض العقد على مستشارك القانوني قبل التوقيع.