답부터 말하면, 사우디용 SaaS를 ‘아랍어 UI를 추가한 글로벌 버전’으로 출시하면 안 됩니다. 먼저 고객·사용자·관리자·지원팀 사이의 데이터 흐름을 그리고, 회사가 클라우드 제공자인지 이용자인지, 어떤 사업 활동을 현지에서 하는지, 개인정보와 중요 데이터가 어디에 저장·전송되는지, 정부·규제 산업 고객이 어떤 보안 통제를 요구하는지 판단해야 합니다. 이 결과가 아키텍처, 리전, 로그, 지원 접근, 계약, 삭제, 사고 대응 기능을 결정합니다.
본 글은 제품·통제 설계 프레임워크이며 법률 의견이 아닙니다. 데이터와 클라우드 규정은 서비스 역할, 고객 산업, 처리 목적, 데이터 유형, 국외 이전, 공공기관 여부에 따라 달라집니다. 사우디의 자격 있는 개인정보·통신·사이버보안 전문가와 관계 당국의 최신 문서를 확인해야 합니다.
1단계: 화면이 아니라 데이터 흐름부터 그린다
하나의 실제 고객 여정을 골라 다음을 표시합니다.
- 수집 주체와 입력 채널: 사용자, 고객 관리자, 센서, 제3자 API
- 데이터 항목: 식별정보, 연락처, 위치, 결제, 건강, 생체, 직원, 로그, 모델 입력·출력
- 처리 목적과 법적 근거 후보
- 저장 위치, 백업 위치, 재해복구, 보존기간
- 한국 본사, 사우디 법인, 클라우드 사업자, 분석·지원 하위처리자
- 국경을 넘는 전송과 원격 관리자 접근
- 고객이 열람·정정·삭제·내보내기·민원 요청을 하는 경로
- 보안사고 탐지, 통지 판단, 증거 보존의 책임자
SDAIA의 개인정보보호법(PDPL) 공식 영문은 개인정보와 처리 개념을 폭넓게 정의합니다. 이름만 제거했다고 규제 대상이 아닌 것은 아닙니다. 장치 ID, 위치, 행동 로그와 결합해 개인을 식별할 수 있는지 봐야 합니다.
2단계: ‘우리 서비스 역할’을 네 가지로 분리한다
사업자 활동
소프트웨어 판매, 현지 마케팅, 구현, 호스팅, 관리형 보안, 통신·IoT 서비스가 각각 어떤 투자·상업·업종 등록을 요구하는지 확인합니다. 현지 법인이 있다는 사실만으로 모든 디지털 활동이 허용되는 것은 아닙니다.
클라우드 역할
CST는 사우디에서 클라우드 서비스를 제공하는 사업자의 등록 절차·요건을 설명하고, 클라우드 제공 서비스 규정을 공개합니다. 해외 SaaS가 어떤 범주·역할에 해당하는지는 서비스 구조와 고객에 따라 확인해야 합니다. ‘우리는 애플리케이션만 제공한다’는 마케팅 문구로 판단하지 않습니다.
개인정보 역할
누가 처리 목적과 수단을 결정하는지, 고객과 공급자 중 누가 통제자·처리자의 의무를 맡는지 계약과 실제 운영을 일치시킵니다. 서브프로세서, 목적 변경, 데이터 주체 요청, 삭제, 감사, 사고 통지, 국외 이전을 데이터처리 부속계약에 구체화합니다.
사이버보안 역할
NCA의 필수·데이터·클라우드 사이버보안 통제는 적용 대상과 계약 요구에 따라 제품에 영향을 줄 수 있습니다. 고객이 규제 대상이면 공급자에게도 증거를 요구할 수 있습니다. ISO 인증 로고만 제출하지 말고 통제별 책임, 기술 구현, 로그와 시험 증거를 매핑합니다.
3단계: 규정을 제품 백로그로 변환한다
‘PDPL 준수’ 같은 추상 과제를 다음 기능으로 바꿉니다.
데이터 인벤토리 기능: 테넌트별 데이터 유형, 위치, 보존정책, 서브프로세서를 조회할 수 있어야 합니다.
권리 요청 기능: 고객이 검증된 요청을 접수하고, 검색·정정·삭제·내보내기 작업과 승인·예외 근거를 기록합니다.
접근 통제 기능: 사우디 고객 데이터에 접근하는 한국 지원자의 권한을 최소화하고, 시간제한 승인, MFA, 세션기록, 사후검토를 둡니다.
지역·전송 통제 기능: 저장 리전만이 아니라 백업, 모니터링, 고객지원, 분석, 모델 학습 경로를 제어합니다. ‘사우디 호스팅’이라는 표현은 전체 처리 흐름이 일치할 때만 사용합니다.
삭제·보존 기능: 계약 종료, 법정 보존, 백업 만료, 모델·검색 인덱스와 로그까지 포함한 삭제 경로를 시험합니다.
사고 대응 기능: 영향 받은 테넌트·데이터·시간을 식별하고, 고객과 규제 당국의 판단에 필요한 정보를 정해진 시간 안에 제공할 수 있어야 합니다.
AI 거버넌스 기능: 고객 데이터를 기본값으로 모델 학습에 사용하지 않고, 출처·프롬프트·출력·인간 검토·오류 신고·모델 변경을 관리합니다. AI라는 이유로 개인정보·보안 의무가 사라지지 않습니다.
4단계: 고객 유형별 ‘최소 출시판’을 다르게 만든다
민간 비규제 고객은 상대적으로 단순할 수 있지만 PDPL, 계약, 소비자·전자상거래, 세금·전자청구 등 기본 의무는 별도 확인합니다.
금융·의료·통신 등 규제 산업은 산업 감독기관의 추가 요구, 데이터 분류, 아웃소싱 승인, 감사·복구 요건이 있을 수 있습니다. 산업별 법률가와 보안 전문가의 승인이 출시 게이트입니다.
정부·공공 고객은 클라우드 우선정책, 정부 데이터·사이버 통제, 조달·현지화, 공급망 보안이 계약에 반영될 수 있습니다. 영업팀이 RFP를 받기 전부터 증거 팩을 준비합니다.
최소 출시판은 기능이 적은 버전이 아니라, 특정 고객 유형의 법적·보안·운영 의무를 완결한 버전입니다.
5단계: 증거 팩을 영업자료와 분리한다
보안 백서, 데이터 흐름도, 자산·서브프로세서 목록, 침투시험, 취약점 처리 SLA, 백업·복구 시험, 접근 검토, 사고 대응 훈련, 삭제 시험, 인증 범위, 보험을 버전 관리합니다. 고객 질문에는 실제 범위와 예외를 답합니다. ‘모든 데이터는 암호화’처럼 범위·키·시점을 설명하지 않는 문구는 신뢰를 떨어뜨립니다.
계약에는 서비스 위치, 데이터 역할, 목적, 서브프로세서 변경, 지원 접근, 보존·삭제, 감사, 취약점, 사고 협력, 종료·이관을 명시합니다. 영업 제안서와 계약·아키텍처의 약속이 다르면 가장 강한 약속이 비용과 책임으로 돌아옵니다.
출시 전 체크리스트
- 실제 사용자 여정의 수집·저장·전송·지원·삭제 흐름을 그렸다.
- 개인정보, 민감정보, 고객 기밀, 로그, 모델 데이터의 분류가 있다.
- 사우디 사업 활동과 CST 클라우드 역할·등록 필요성을 확인했다.
- 고객·당사·클라우드·서브프로세서의 데이터 역할이 계약과 일치한다.
- 사우디 외 접근·백업·분석·지원 경로를 모두 파악했다.
- 데이터 주체 요청과 고객 요청을 기한 내 추적·증명할 수 있다.
- 삭제가 운영 DB뿐 아니라 백업·로그·인덱스에 어떻게 반영되는지 시험했다.
- NCA·고객 통제를 통제책임과 증거에 매핑했다.
- 규제 산업·정부 고객은 별도 출시 게이트를 거친다.
- 한국 개인정보 국외이전과 본사 접근도 한국 측 전문가가 확인했다.
흔한 실패
데이터센터 위치만으로 현지화를 주장하기. 지원, 백업, 로그, 분석이 해외로 흐를 수 있습니다.
클라우드 사업자 인증을 자사 준수로 대체하기. 인프라 제공자의 통제와 SaaS의 애플리케이션·계정·데이터 통제는 책임이 다릅니다.
글로벌 개인정보처리방침을 번역만 하기. 실제 사우디 처리 목적, 권리 채널, 이전, 연락처와 맞지 않을 수 있습니다.
POC는 규제 밖이라고 가정하기. 실제 고객·직원·환자 데이터가 들어오면 소규모 시험도 위험을 만듭니다. 합성 데이터와 격리 환경을 기본으로 합니다.
AI 출력의 정확성을 마케팅팀이 보장하기. 모델 한계, 인간 검토, 금지 용도, 변경관리를 계약과 UX에 반영해야 합니다.
가정 사례: 한국의 설비예지보전 SaaS
다음은 가정입니다. 한국 스타트업이 사우디 제조기업에 센서 기반 예지보전 SaaS를 판매하려 합니다. 처음에는 장비 데이터라 개인정보가 없다고 판단했지만, 로그에 작업자 ID, 위치, 근무조, 영상 스냅샷이 포함됐습니다. 팀은 장비 텔레메트리와 사람 데이터를 분리하고, POC에는 합성 ID를 사용했습니다. 한국 엔지니어의 원격 접근은 시간제한 승인과 세션기록으로 바꾸고, 모델 학습에는 고객 데이터를 기본 사용하지 않도록 했습니다. CST 역할과 고객의 NCA 적용범위는 현지 전문가가 확인한 뒤 계약에 반영했습니다. 이 사례의 교훈은 ‘사우디 리전 구매’가 아니라 제품 흐름 전체를 통제 단위로 바꾼 것입니다.
전문가가 반드시 필요한 경우
민감정보, 생체·건강·금융·아동 데이터, 대규모 모니터링, 국외 이전, 정부·중요 인프라, 클라우드 재판매, 통신·IoT, 관리형 보안, AI 자동결정, 사고 통지가 포함되면 사우디 개인정보·CST·NCA·산업 규제 전문가에게 의견을 받습니다. 한국 본사의 접근·이전은 개인정보보호위원회 지침과 한국의 자격 있는 전문가가 별도로 검토해야 합니다.
FAQ
사우디 데이터센터를 쓰면 PDPL을 준수한 것인가요?
아닙니다. 수집 목적, 권리, 접근, 보존, 이전, 처리자, 보안과 계약 등 다른 의무가 남습니다.
해외 SaaS도 CST 등록이 필요한가요?
서비스 역할과 제공 구조에 따라 판단해야 합니다. CST의 클라우드 규정·등록 가이드와 현지 전문 의견으로 확인하십시오.
한국 지원팀이 원격 접속해도 되나요?
자동 허용이라고 볼 수 없습니다. 국외 접근·이전, 목적, 최소권한, 계약, 보안, 고객 산업 규정을 검토하고 필요한 근거·통제를 갖춰야 합니다.
POC에는 실데이터를 써도 되나요?
가능 여부보다 필요성을 먼저 묻습니다. 합성·비식별 데이터로 목적을 달성할 수 있으면 실데이터를 쓰지 않는 것이 안전합니다. 실데이터가 필요하면 본 서비스와 같은 승인·보안·삭제 기준을 적용합니다.
실행 요약
첫 고객 계약 전에 데이터 흐름도와 역할 매트릭스를 완성하고, 규제 요구를 제품 백로그·계약·증거 팩으로 변환하십시오. 사우디 진출형 SaaS의 경쟁력은 기능 수가 아니라, 고객이 데이터 위치·접근·삭제·사고에 대해 질문했을 때 정확한 답과 실행 가능한 통제를 동시에 제시하는 능력입니다.
공식·1차 자료
다음 자료는 2026-07-14에 확인했습니다.