يتعين على شركات التقنية المالية دمج حماية البيانات والأمن السيبراني وموافقات العملاء والامتثال التنظيمي في منتجاتها منذ البداية.
تعتمد شركات التقنية المالية بصورة متزايدة على جمع البيانات الشخصية والمالية وتحليلها ومشاركتها. وفي المملكة، يجب تنظيم هذه العمليات وفقاً لنظام حماية البيانات الشخصية ولائحته التنفيذية، إلى جانب أي متطلبات إضافية تصدر عن الجهة التنظيمية المختصة بالقطاع المالي.
وينبغي أن يبدأ الامتثال خلال مرحلة تصميم المنتج، لا بعد إطلاقه. فعلى شركة التقنية المالية تحديد فئات البيانات التي تجمعها، وأغراض معالجتها، والمسوغ النظامي للمعالجة، والجهات التي قد تشارك البيانات معها.
ويجب أن تكون موافقة العميل واضحة ومحددة وموثقة بصورة سليمة متى كانت الموافقة هي الأساس المستخدم لمعالجة البيانات. ولا ينبغي اعتبارها تفويضاً عاماً لاستخدام البيانات الشخصية في أغراض تسويقية أو تحليلية أو تجارية غير مرتبطة بالخدمة الأصلية.
كما يتعين وضع إجراءات واضحة للاحتفاظ بالبيانات، وحذفها، وتصحيحها، والتعامل مع طلبات الوصول إليها، وإدارة الحوادث الأمنية، والإبلاغ عن حالات تسرب البيانات الشخصية. وعند نقل البيانات أو الإفصاح عنها خارج المملكة، يجب مراعاة متطلبات نقل البيانات عبر الحدود وإجراء تقييمات المخاطر اللازمة.
ويظل الأمن السيبراني التزاماً مستقلاً، وإن كان وثيق الصلة بحماية البيانات. وقد تخضع المؤسسات المالية وشركات التقنية المالية المنظمة لمتطلبات إضافية تتعلق بالأمن السيبراني، والاستعانة بمقدمي الخدمات الخارجيين، والحوسبة السحابية، ومكافحة الاحتيال، والمرونة التشغيلية، وفقاً لما يصدر عن البنك المركزي السعودي.
كما ينبغي أن تحدد العقود المبرمة مع البنوك ومقدمي الخدمات التقنية والخدمات السحابية وغيرهم من الموردين المسؤوليات المتعلقة بمعالجة البيانات، والمحافظة على سريتها، وتطبيق الضوابط الأمنية، والإبلاغ عن الحوادث، والتعاون مع الجهات التنظيمية، وتحمل المسؤولية.
وبالنسبة لشركات التقنية المالية، لا يعد الامتثال القانوني مسألة منفصلة عن المنتج، بل يشكل جزءاً من تجربة العميل والبنية التقنية ونموذج التشغيل منذ المراحل الأولى.