إشعار الخصوصية

نوعان من الناس، دوران مختلفان

يسجّل نشاط تجاري في LoyalX ويدير نادي زبائن. بخصوص تفاصيل حساب ذلك النشاط، LoyalX هي من يقرّر ما يُجمع ولماذا.

زبائن ذلك النشاط ينضمّون إلى ناديه. تفاصيلهم تخصّ النشاط لا LoyalX: النشاط يقرّر ما يُجمع وما يُفعل به، وLoyalX تحفظه وتعالجه بناءً على تعليماته. إن كنتم زبائن وتريدون تعديل تفاصيلكم أو إزالتها، فالنشاط هو الجهة الأولى للسؤال — ويمكنكم أيضًا سؤالنا وسنتصرّف.

ما نحتفظ به عن حساب تجاري

عند إنشاء حساب في LoyalX نحفظ:

• عنوان بريد إلكتروني، واسم العرض، واللغة المختارة.
• بصمة تجزئة لكلمة المرور، إن كان للحساب كلمة مرور. كلمة المرور نفسها لا تُحفظ ولا يمكننا قراءتها.
• عند استخدام الدخول عبر Google: معرّف حساب Google والبريد والاسم اللذين تعطينا إياهما. نطلب من Google الهوية فقط.
• الجلسات، ولكلٍّ منها نصّ المتصفّح وبصمة مفتاحية لعنوان IP. عنوان IP نفسه لا يُكتب في قاعدة البيانات.
• تفاصيل النشاط المُدخلة عند الإعداد: الاسم، الاسم القانوني، الرقم التجاري، الفروع، عناوين التواصل وعنوان طلبات الخصوصية، وإعدادات برنامج الولاء والهوية البصرية.

يُستخدم هذا لتشغيل الحساب، وتسجيل الدخول، والحفاظ على أمان الحساب، والتواصل مع النشاط بخصوص خدمته.

ما يقدّمه زبائن النشاط

عند انضمام زبون إلى نادٍ، يطلب النموذج:

• اسمًا أوّل.
• رقم هاتف أو عنوان بريد، حسب ما اختاره النشاط معرّفًا. يلزم أحدهما على الأقل ليمكن إيجاد البطاقة عند الصندوق.
• اللغة التي اختاروها، وما إذا وافقوا على الإشعار والشروط — مع نسخة ذلك النص ولحظة الموافقة.
• ما إذا وافقوا على التسويق، بشكل منفصل عن الشروط، مع نسخة وختم زمني خاصّين به.
• نشاط الولاء: الأختام، والزيارات، والمكافآت المكتسبة والمستبدلة، وأيّ فرع وأيّ فرد من الطاقم خدمهم.

لا يوجد حقل لاسم العائلة، ولا عنوان، ولا تاريخ ميلاد، ولا ملاحظة حرّة، ولا ملفّ شخصي. LoyalX لا تضيف حقولًا لأنها قد تكون مفيدة يومًا ما.

الرسائل التسويقية، وما الذي تعنيه الموافقة عليها

عند الانضمام إلى نادي زبائن مصلحة ما، يطرح النموذج سؤالًا واحدًا اختياريًا: هل ترغب في تلقّي عروض خاصة وترويجات وتحديثات من تلك المصلحة. الخانة لا تكون مؤشَّرة مسبقًا أبدًا، ولا تُدمج أبدًا مع الموافقة على الانضمام، والنادي يعمل بالطريقة نفسها في الحالتين.

البريد الإلكتروني هو حاليًا القناة الوحيدة التي ترسل عبرها LoyalX التسويق. لا يوجد إرسال عبر SMS ولا عبر WhatsApp: لا يوجد مزوّد متصل، والنظام يرفض الإرسال على أي من القناتين بدل محاولته.

إذا أُضيفت قناة إرسال جديدة مستقبلًا، فإن موافقة أُعطيت في ظل هذا الإشعار لا تنتقل إليها. الموافقة اليوم هي موافقة على ما يصفه هذا الإشعار، وقناة لم تكن موجودة حين أجاب الشخص لا يمكن أن تشملها إجابته. القناة الجديدة ستسأل سؤالها الخاص.

يمكن للشخص أن يوافق دون إعطاء عنوان بريد إلكتروني — مثلًا لدى مصلحة تجمع أرقام الهاتف فقط. تُسجَّل موافقته كما أُعطيت، ولا يُدرَج في أي جمهور بريدي، لأنه لا يوجد مكان للإرسال إليه.

تُكتب كل إجابة في سجل لا يمكن تعديله أو حذفه، يحتوي على إصدار الصيغة الدقيق الذي وُوفق عليه، وإصدار نموذج التسجيل الذي ظهرت فيه، والوقت، والمصلحة، والزبون، واللغة التي عُرضت بها. تغيير الإجابة يضيف سجلًا جديدًا؛ ولا يعدّل القديم أو يمحوه أبدًا.

يمكن سحب الموافقة في أي وقت من صفحة البطاقة الشخصية، عبر الرابط نفسه الذي يعرض الأختام. السحب يوقف التسويق فورًا ولا يؤثّر على البطاقة أو الأختام أو أي مكافأة سبق كسبها.

العنوان المحظور مسألة منفصلة عن الموافقة. إذا ارتدّت رسالة أو وردت شكوى، تتوقّف LoyalX عن الإرسال إلى ذلك العنوان بغضّ النظر عمّا وُوفق عليه، لأن قابلية التسليم حقيقة تخصّ صندوق البريد وليست قولًا قاله الشخص.

التسويق سيرسله النشاط التجاري الذي انضممت إلى ناديه، وتستخدم LoyalX كخدمة إرسال فقط. وللدقّة بشأن الوضع اليوم: لم يرسل أي نشاط تجاري حملةً قط، ولا توجد بعد أداة في المنتج للقيام بذلك — الموجود هو الموافقة والأهلية وإلغاء الاشتراك. لا تسوّق LoyalX لزبائن أي نشاط تجاري لأغراضها الخاصة، ولا يوجد في الشيفرة أي مسار يختار زبائن نادي نشاط تجاري كمستلمين لحملة من LoyalX.

بطاقات المحفظة ورموز QR

يمكن إضافة بطاقة الولاء إلى Apple Wallet أو Google Wallet. تحمل البطاقة الاسم الأوّل للزبون، ورمز عضويته، ورصيد الأختام، والمكافأة، والهوية البصرية وتفاصيل التواصل الخاصة بالنشاط. لا تحمل رقم هاتف الزبون ولا بريده الإلكتروني.

رمز QR على البطاقة معرّف مبهم موقَّع، وليس بيانات الزبون. وإذا أُغلقت البطاقة توقّف المعرّف عن العمل وأُلغيت البطاقة في Wallet. ولبطاقات Apple نحتفظ أيضًا بمعرّف لكل جهاز وبرمز دفع كي تتحدّث البطاقة تلقائيًا؛ ويُحذف كلاهما بعد سبعة أيام من إلغاء البطاقة، ويبقيان ما دامت البطاقة فعّالة.

التتبّع

لا تشغّل LoyalX أي أدوات تحليلات، ولا بكسلات تتبّع، ولا وسوم إعلانات، ولا أدوات تسجيل الجلسات. لا يوجد في هذا الموقع Google Analytics، ولا بكسل Meta، ولا أي سكربت من طرف ثالث.

تُستخدم أربع ملفات تعريف ارتباط، كلها من LoyalX نفسها ولا شيء منها للإعلانات:

• ملف الجلسة، الذي يُبقي المستخدم التجاري مسجَّل الدخول. يُنشأ عند الدخول، ويُحذف عند الخروج، وصالح ثلاثين يومًا كحدّ أقصى.
• ملف يتذكّر أيّ نشاط تعملون فيه حاليًا، إن كان حسابكم ينتمي إلى أكثر من واحد. يبقى سنة.
• ملف قصير العمر يُستخدم فقط أثناء الدخول عبر Google، لحماية الدخول من العبث. يدوم عشر دقائق ويُحذف فور انتهاء الدخول.
• ملف يتذكّر ما إذا اخترتم العربية أو العبرية أو الإنجليزية. يبقى سنة.

تُستخدم عناوين IP للحدّ من إساءة الاستخدام وتُحفظ فقط كبصمة مفتاحية لا يمكن عكسها إلى العنوان. لا يوجد جدول في قاعدة البيانات يحمل عنوان IP قابلًا للقراءة.

من يرى البيانات أيضًا

تعمل LoyalX على عدد صغير من الخدمات، يرى كلٌّ منها جزءًا محدّدًا:

• Vercel تستضيف التطبيق، في فرانكفورت. تعالج كل طلب، ولذلك ترى مبدئيًا كل ما يُكتب في الموقع.
• Supabase توفّر قاعدة بيانات PostgreSQL المُدارة، في فرانكفورت. فيها كل البيانات الموصوفة أعلاه. تستخدمها LoyalX كقاعدة بيانات فقط — لا للهوية ولا لتخزين الملفات.
• Resend ترسل البريد التشغيلي: التحقّق، وإعادة تعيين كلمة المرور، ودعوات الطاقم، وردود الدعم، وتأكيدات الحذف. تتلقّى عنوان المستلم ونصّ الرسالة.
• Apple تتلقّى محتوى بطاقة المحفظة وإشعارات الدفع التي تحدّثها، لكن فقط حين يختار زبون إضافة بطاقة.
• Google تتلقّى محتوى بطاقة المحفظة حين يضيفها زبون، وتتولّى الدخول عبر Google للحسابات التجارية التي تستخدمه.

ولا شيء غير ذلك. لا تخزين ملفات، ولا مزوّد دفع موصول، ولا مزوّد رسائل قصيرة، ولا منصّة إعلانات أو تحليلات.

الاستضافة وقاعدة البيانات داخل الاتحاد الأوروبي. Apple وGoogle تعالجان البيانات خارجه. الأساس القانوني لتلك التحويلات هو إحدى النقاط المُشار إليها أعلاه كمحتاجة إلى مراجعة مهنية.

كم تبقى الأشياء

مهمّة يومية تفرض هذه المدد تلقائيًا:

• الجلسات المنتهية تُحذف بعد يوم؛ والملغاة بعد ثلاثين يومًا.
• روابط إعادة تعيين كلمة المرور تدوم ساعة، وروابط تأكيد البريد ثمانيًا وأربعين ساعة، وروابط تأكيد الحذف ساعتين. الروابط المنتهية تُحذف بعد أسبوع.
• الرسائل المُرسَلة عبر نموذج التواصل تُحذف بعد اثني عشر شهرًا.
• يُحذف تصدير بيانات النشاط التجاري لحظة تنزيله، وعلى أي حال في موعد لا يتجاوز تشغيل الصيانة اليومي التالي بعد انتهاء صلاحيته — وتنتهي صلاحيته بعد أربع وعشرين ساعة من إنشائه.
• عمليات الولاء وسجلات الموافقة وسجلّ التدقيق تُحفظ بلا حدّ زمني ولا يمكن تعديلها أو حذفها، ولا حتى من قِبلنا. هي سجلّ ما حدث، وهي ما يجعل نزاعًا على رصيد قابلًا للحسم.

ليس لكل شيء مؤقّت، وعرض ما له مؤقّت فقط كان سيكون مضلّلًا. تُحفظ إلى أجل غير مسمّى ودون حذف تلقائي: سجلّات الزبائن وتاريخ ولائهم؛ سجلّات الموافقة؛ سجل التدقيق؛ أحداث الأمان (معرّف مستخدم وبصمة مفتاحية لعنوان IP)؛ دعوات الطاقم المعلّقة والمقبولة، وهي تحتوي اسم المدعوّ وعنوان بريده؛ بيانات التواصل الخاصة بالنشاط التجاري وفروعه؛ وسجلّات إلغاء الاشتراك. تُحفظ سجلّات إلغاء الاشتراك عن قصد ولمصلحة الشخص نفسه: فالطريقة الوحيدة لاحترام «لا تراسلوني مجددًا» هي تذكّر العنوان الذي طلب ذلك.

إخراج البيانات

يستطيع صاحب النشاط تنزيل كل ما تحتفظ به LoyalX عن نشاطه — التفاصيل، الفروع، البرامج، الزبائن، البطاقات، الأرصدة، سجلّ العمليات كاملًا، المكافآت، الطاقم، سجلات الموافقة، ويوميات النشاط — كأرشيف من ملفات CSV مع وصف لكلٍّ منها.

يستثني الأرشيف عمدًا كل ما يُعدّ وسيلة مصادقة: كلمات المرور، ورموز الجلسات، وأسرار التحقق بخطوتين، ورموز بطاقات Wallet، ورموز بطاقات الزبائن. يُعرض رابط التنزيل مرة واحدة، ويعمل مرة واحدة، ويُحذف الملف فور تسليمه.

حذف نشاط، وماذا يعني ذلك

يستطيع صاحب النشاط طلب حذف نشاطه. يحتاج الطلب إلى تأكيد بالبريد ثم ينتظر أربعة عشر يومًا، يكون النشاط خلالها للقراءة فقط ويستطيع المالك الإلغاء. لا يُمحى شيء قبل ذلك.

يجدر التدقيق فيما يحدث حينها، لأنه ليس ما يعنيه «الحذف» عادةً:

• يُمحى اسم كل زبون ورقم هاتفه وعنوان بريده الإلكتروني من سجل الزبون، وتُسحب موافقته على التسويق.
• استثناء واحد، وهو مقصود: إذا كان ذلك الزبون قد ألغى اشتراكه سابقًا أو ارتدّت رسائل عنوانه، يبقى العنوان نفسه على قائمة الحظر لدى النشاط التجاري. نسيانه يعني أنه في المرة القادمة التي يُجمع فيها العنوان لن يكون هناك ما يمنع مراسلته من جديد.
• يبقى دفتر العمليات وسجلات الموافقة وسجلّ التدقيق. هذه قابلة للإضافة فقط ولا يمكن إزالتها. ما يبقى هو سجلّ بأن ختمًا أُعطي في وقت ما لزبون لم يعد له اسم مرتبط به.
• تُغلق كل بطاقة، ويتوقّف رابطها، وتُبطَل المكافآت غير المستبدلة، وتُلغى بطاقات المحفظة، فتختفي البطاقة من هاتف الزبون.
• حساب النشاط نفسه يُغلق ويُوقَف بدل أن يُسقَط من قاعدة البيانات.
• حسابات المالك وأفراد الطاقم نفسها لا تُحذف بهذا الإجراء. أسماؤهم وعناوين بريدهم وبيانات دخولهم تعود إلى حساباتهم في LoyalX لا إلى النشاط التجاري، وتبقى تلك الحسابات قائمة. من يرغب في حذف حسابه الشخصي فليتواصل معنا مباشرةً.

يمكن إزالة زبون منفرد بالطريقة نفسها دون حذف النشاط كلّه. اسألوا النشاط، أو اسألونا.

كيف تُحمى

• بيانات كل نشاط مفصولة على مستوى قاعدة البيانات، لا في شيفرة التطبيق وحدها. استعلام نسي التصفية حسب النشاط يُرجع لا شيء بدل زبائن شخص آخر.
• كلمات المرور مُجزَّأة بـ argon2id. لا نستطيع استرجاعها، ولا يستطيع ذلك من حصل على قاعدة البيانات.
• روابط إعادة التعيين والتأكيد والتنزيل ومراجع البطاقات تُحفظ كبصمات. نسخة من قاعدة البيانات لا تُنتج أي رابط صالح.
• مدراء المنصّة يستخدمون التحقّق بخطوتين، والسرّ المشترك مُشفَّر في التخزين بمفتاح ليس في قاعدة البيانات.
• الإجراءات الإدارية تُكتب في سجلّ قابل للإضافة فقط، لا يملك التطبيق نفسه صلاحية تغييره.

حقوقكم

يمكنكم السؤال عمّا هو محفوظ عنكم، وطلب نسخة، وطلب التصحيح، وطلب المحو، وسحب الموافقة على التسويق في أي وقت. سحب موافقة التسويق لا يؤثّر على بطاقة الولاء.

إن كنتم زبائن لدى نشاط تجاري، اسألوه أوّلًا — فهو من يقرّر ما يحدث لسجلات زبائنه. ويمكنكم أيضًا التواصل معنا مباشرة: التواصل مع LoyalX

العمر

يتطلّب الانضمام إلى نادي زبائن تأكيد أنكم في 16 أو أكثر. LoyalX غير مُوجَّهة للأطفال ولا نجمع تفاصيلهم عن علم.

التغييرات

حين يتغيّر هذا الإشعار جوهريًا، تتغيّر معه النسخة التي يوافق عليها الزبائن عند الانضمام، وتُسجَّل النسخة الجديدة مقابل كل موافقة. لذا يمكن دائمًا معرفة أيّ نصّ وافق عليه شخص بعينه.

النسخة الحالية من إشعار الانضمام: join-2026-09-v1