پاکستانی ٹیک کمپنی کے لیے سعودی مارکیٹ: remote sales سے مقامی delivery تک فیصلہ سازی

مختصر جواب: سعودی عرب کے لیے پہلے ’’دفتر‘‘ نہیں، ایک واضح paid use case بنائیں۔ معلوم کریں کون سا سعودی customer کس مسئلے کے لیے ادائیگی کرے گا، data کہاں اور کیسے process ہوگا، service regulated تو نہیں، contract اور invoice کون جاری کرے گا، اور Arabic support کس معیار پر دیا جائے گا۔ پھر انہی حقائق سے distributor، foreign branch یا Saudi company کا فیصلہ نکالیں۔

یہ رہنما پاکستان کی SaaS، software development، cybersecurity، analytics، cloud یا IT-enabled service کمپنی کے لیے ہے۔ ’’ٹیک‘‘ ایک قانونی سرگرمی نہیں؛ cloud provider، reseller، managed service، software licensor اور consultant کے تقاضے مختلف ہو سکتے ہیں۔ ہر activity کو Ministry of Investment، Saudi Business Center اور متعلقہ sector regulator سے verify کریں۔

آپ کس فیصلے کے سامنے ہیں؟

کیا ہم سعودی گاہک کو قابلِ اعتماد، compliant اور مقامی طور پر قابلِ سپورٹ نتیجہ دے سکتے ہیں—اور اس کے لیے کتنی local presence واقعی ضروری ہے؟

remote demo آسان ہے۔ مشکل حصہ procurement، Arabic workflow، data roles، security questionnaire، tax، on-site support اور renewal ہے۔ بہت سی ٹیمیں leads کو demand سمجھ کر entity بنا لیتی ہیں، یا overseas contract کو regulatory exemption سمجھ لیتی ہیں۔ دونوں خطرناک shortcuts ہیں۔

چار ثبوت جن کے بغیر expansion مؤخر کریں

1. Problem evidence

کم از کم 10 structured interviews کریں، مگر sales pitch نہیں۔ پوچھیں موجودہ workflow، budget owner، procurement path، data classification، integration، Arabic users اور failure cost کیا ہیں۔ تین design partners منتخب کریں اور ایک paid pilot کا معیار بنائیں۔

’’Vision 2030 سے متعلق‘‘ خود customer problem نہیں۔ buyer کی measurable bottleneck لکھیں: مثال کے طور پر onboarding time، field visibility یا audit evidence۔ سرکاری strategy کا نام استعمال کر کے غیر ثابت demand نہ دکھائیں۔

2. Activity and regulator evidence

product architecture کو قانونی activities میں توڑیں:

• software license/subscription؛
• implementation اور customization؛
• hosting/cloud service؛
• managed operations؛
• cybersecurity service؛
• data analytics/AI؛
• resale یا marketplace؛
• professional consulting۔

Communications, Space & Technology Commission (CST) cloud service provisioning regulations اور registration guidance جاری کرتی ہے۔ اگر آپ infrastructure provider نہیں بلکہ customer of cloud ہیں تب بھی contract، data location اور shared responsibility سمجھنا ضروری ہے۔ cybersecurity یا telecom activity کی الگ requirements ہو سکتی ہیں۔

3. Data and security evidence

ایک data map بنائیں، slide نہیں:

1. data subject کون ہے؟
2. کون سا personal/sensitive data آتا ہے؟
3. collection purpose اور legal basis کیا ہے؟
4. controller اور processor کون؟
5. کون سے sub-processors اور ممالک شامل ہیں؟
6. retention/deletion کیسے ہوگی؟
7. access، encryption، logging اور breach response کیا ہے؟
8. customer کو export/return کیسے ملے گا؟

Saudi Personal Data Protection Law (PDPL) اور implementing regulation کو contract اور product requirements میں بدلیں۔ privacy policy کا ترجمہ compliance program نہیں۔ Arabic notice، consent جہاں لازم، rights handling، processor terms اور cross-border transfer review کی عملی صلاحیت دکھائیں۔

4. Delivery economics evidence

ہر customer کے لیے sales hours، presales، integration، Arabic support، travel، hosting، security audit، partner margin، tax اور collection delay شامل کریں۔ annual recurring revenue تب مفید ہے جب implementation loss، unpaid customization اور support load کو چھپائے نہیں۔

پاکستانی سرے پر State Bank of Pakistan نے export-oriented IT companies کے equity investment abroad کے framework میں 2024 میں ترامیم کیں۔ یہ ہر کمپنی کے لیے automatic permission نہیں؛ Authorized Dealer bank سے current category، documents، funding source اور reporting confirm کریں۔ service export proceeds کے لیے بھی current FE Manual اور bank workflow دیکھیں۔

market entry کے تین operational models

Saudi Business Center company under investment registration certificate اور foreign company branch کے الگ services دکھاتا ہے۔ صرف service duration دیکھ کر فیصلہ نہ کریں؛ parent documents، activity approval، ownership، authority اور bank onboarding اصل critical path ہو سکتے ہیں۔

90 دن کا عملی plan

دن 1–30: discovery اور red flags

• تین customer segments؛ ہر ایک کے 10 سوالات۔
• activity map اور regulator list۔
• data flow diagram اور subprocessor inventory۔
• Arabic UX gap: interface، emails، errors، help، contract، support۔
• Saudi competitor/alternative map؛ صرف global competitors نہیں۔
• paid pilot proposal جس میں success، data، security اور exit واضح ہوں۔

دن 31–60: pilot contract اور architecture

قانونی نام، scope، acceptance، service level، IP، customer data، security، incident notice، subcontractors، fees، tax، governing law/dispute، termination اور data return کو واضح کریں۔ customer کا template ’’بعد میں legal دیکھ لے گا‘‘ کہہ کر sign نہ کریں۔

technical side پر tenant isolation، least privilege، audit logs، backup/restore، support access اور deletion کا evidence package بنائیں۔ Arabic content کو native product reviewer سے test کرائیں؛ right-to-left layout صرف text alignment نہیں۔

دن 61–90: model gate

pilot outcome کے بعد ہر model score کریں:

• expected gross margin after local delivery؛
• procurement acceptance؛
• time to contract/collect؛
• data/regulatory fit؛
• hiring اور Arabic support؛
• control over renewal؛
• exit cost۔

entity تب approve کریں جب named customers اور budgeted local operating plan ہو۔ partner تب approve کریں جب pipeline اور competence independently verify ہوں۔

enterprise-ready checklist

• Saudi legal activity description product reality سے ملتا ہے۔
• regulator applicability written review سے واضح ہے۔
• PDPL data map، records اور request handling test ہوئے۔
• cloud/subprocessors اور cross-border paths customer کو disclose ہیں۔
• Arabic UI، contract، onboarding اور support native reviewed ہیں۔
• security questionnaire کے ہر جواب کا evidence ہے۔
• incident response میں Saudi customer communication شامل ہے۔
• invoice، VAT/withholding اور Pakistan proceeds flow tax/bank reviewed ہے۔
• partner customer data یا source code پر غیر ضروری control نہیں رکھتا۔
• pilot acceptance اور paid change request process واضح ہے۔
• local hiring plan Nitaqat اور role localization کو شروع سے دیکھتا ہے۔
• product بند ہونے پر customer data export/delete کر سکتا ہے۔

فرضی sector scenario — دعویٰ نہیں

فرض کریں کراچی کی logistics SaaS کمپنی سعودی distributor کے ذریعے fleet operators کو platform بیچنا چاہتی ہے۔ distributor 40 leads کا دعویٰ کرتا ہے، مگر data نہیں دیتا۔ کمپنی non-exclusive 90-day plan بناتی ہے: پانچ verified meetings، دو paid pilots، مشترکہ CRM، اور customer contract میں software company کا data-processing role واضح۔

pilot میں Arabic driver app کے numerals اور date formats غلط نکلتے ہیں، اور support پاکستان کے اوقات تک محدود ہے۔ کمپنی local support window اور locale testing شامل کر کے unit economics دوبارہ بناتی ہے۔ اس کے بعد entity کا فیصلہ ہوتا ہے۔ مثال کا مقصد یہ ہے کہ ’’lead count‘‘ سے زیادہ اہم delivered workflow ہے؛ یہ commercial outcome کی ضمانت نہیں۔

عام غلطیاں

1. English product میں Arabic landing page لگا کر localization مکمل سمجھنا۔
2. privacy policy کو PDPL compliance سمجھنا۔
3. hosting provider کے certificates کو اپنے پورے security posture کا ثبوت کہنا۔
4. free pilots کی لمبی قطار کو product-market fit کہنا۔
5. partner کو perpetual exclusivity یا customer ownership دینا۔
6. custom development کو SaaS margin میں چھپانا۔
7. Saudi invoice/withholding اور Pakistan proceeds بعد میں حل کرنا۔
8. sales engineer کے وعدے کو roadmap commitment بنا دینا۔
9. activity code کو broad رکھ کر regulated feature launch کرنا۔

کب licensed specialist درکار ہے؟

entity/branch، regulated activity، government procurement، personal یا health/financial data، cross-border transfer، cloud/cyber service registration، IP assignment، employee deployment، tax یا permanent establishment risk میں Saudi licensed lawyer، tax adviser اور privacy/security specialist لیں۔ پاکستان میں overseas equity، service export proceeds اور guarantees کے لیے Authorized Dealer bank اور ضرورت کے مطابق قانونی/ٹیکس ماہر لیں۔

قاری کے سوالات

کیا سعودی data لازماً سعودی عرب میں host ہونا چاہیے؟

ہر data اور service کے لیے ایک جملے کا جواب درست نہیں۔ sector rules، data classification، customer type، PDPL transfer provisions، contract اور cloud regulations ساتھ دیکھیں۔ customer preference کو قانونی requirement نہ کہیں، اور requirement کو preference نہ سمجھیں۔

کیا remote employee سعودی customer کو support دے سکتا ہے؟

ممکنہ operational model کا جواب contract، access، data transfer، labor/immigration اور tax facts پر منحصر ہے۔ privileged remote access کو log، approve اور limit کریں۔

branch بہتر ہے یا company؟

branch parent کا direct extension ہو سکتا ہے؛ company separate governance دے سکتی ہے۔ liability، contracts، ownership، future investment، activity اور exit کو score کریں۔

Saudi Arabic کیوں ضروری ہے اگر buyers English جانتے ہیں؟

decision makers English استعمال کر سکتے ہیں، مگر end users، support، notices، public-sector documents اور adoption کے لیے قدرتی Arabic اہم ہے۔ اصطلاحات اور workflow culturally test کریں، لفظی translation نہیں۔

عملی خلاصہ

اگلے 90 دن میں paid use case، activity map، data map، Arabic product gap اور delivery economics ثابت کریں۔ پھر partner، direct contract یا local entity کو ایک ہی معیار پر score کریں۔ سعودی ٹیک expansion کی اصل asset office نہیں؛ قابلِ اعتماد evidence ہے کہ آپ product، data، contract اور support کو ایک ذمہ دار service میں جوڑ سکتے ہیں۔

سرکاری اور بنیادی ذرائع

ماخذ کی آخری جانچ: 2026-07-14۔ تمام روابط 14 جولائی 2026 کو دیکھے گئے:

1. Ministry of Investment Saudi Arabia، Updated Investment Law۔
2. Saudi Business Center، Company under Investment Registration Certificate۔
3. Saudi Business Center، Foreign Company Branch Registration۔
4. Saudi Data & AI Authority، Personal Data Protection Law۔
5. SDAIA Data Governance Platform، PDPL Implementing Regulation۔
6. Communications, Space & Technology Commission، Cloud Computing Service Provisioning Regulations decision۔
7. CST، Cloud Computing Registration۔
8. State Bank of Pakistan، 2024 policy amendment for equity investment abroad by export-oriented IT companies۔
9. State Bank of Pakistan، Foreign Exchange Manual۔