سياسة الخصوصية هي المستند الوحيد الذي يجمع ثلاث صفات معاً: وثيقة قانونية، ومتطلب متجر تطبيقات، وصفحة يقرأها مستخدمون حقيقيون أحياناً. ومعظم السياسات ليست أياً من الثلاث بشكل جيد — بل قالب جاهز استُبدل فيه اسم الشركة، يصف ممارسات بيانات لا يملكها المنتج أصلاً.
الإجابة المختصرة: القالب المنسوخ أسوأ من سياسة قصيرة دقيقة، لأنه يوثّق عدم امتثالك كتابةً. اكتبها من واقع ما يفعله منتجك، وانشرها بالعربية والإنجليزية، وحدّثها كلما تغيّرت معالجة البيانات.
هذا الدليل يشرح ما تتضمنه وكيف تشتقّها. أما لمعرفة أي قانون ينطبق عليك، فراجع دليل الامتثال التنظيمي في الخليج.
هذا محتوى إرشادي عملي لا استشارة قانونية. وللقطاعات المنظّمة، اعرض السياسة النهائية على مستشار محلي مؤهل.
لماذا تخلق القوالب مسؤولية قانونية
المنطق يبدو سليماً: سياسات الخصوصية متشابهة، فلنبدأ من واحدة موجودة. والمشكلة في ماهية السياسة قانونياً — فهي إقرار بممارساتك الفعلية، لا إعلان نوايا حسنة.
القالب يصف منتج شخص آخر. غالباً يذكر ملفات ارتباط لا تستخدمها، وأطرافاً ثالثة لا تتعامل معها، ومُدد احتفاظ لا تلتزم بها. وكل واحدة منها إقرار مكتوب لا يطابق الواقع.
ثلاث نتائج ملموسة:
- يوثّق عدم الامتثال. إن وعدت سياستك بالحذف خلال 30 يوماً ولا يملك نظامك قدرة حذف أصلاً، فقد قدّمت دليلاً مكتوباً على الفجوة.
- المتاجر تتحقق. كلا المتجرين يشترط تطابق السياسة مع إفصاح جمع البيانات المُعلَن. والتعارض بين سياستك وإفصاحك وسلوك حزمك البرمجية سبب رفض شائع.
- إدارات المشتريات تقرأها. سياسة تذكر مزوّداً أمريكياً فقط بينما تعرض استضافة داخل الدولة تقتل المصداقية بشكل يصعب تعويضه.
والاختبار الصريح: اقرأ سياستك الحالية وتحقق هل كل جملة فيها صحيحة عن منتجك اليوم. معظم الفرق تجد عدة جمل ليست كذلك.
اشتقّها من خريطة بيانات لا من قالب
الترتيب الفعّال معكوس عمّا تفعله معظم الفرق. ابنِ الخريطة أولاً، فتكتب السياسة نفسها منها.
الخطوة 1 — أحصِ كل بند بيانات تجمعه. راجع الكود وقائمة المزوّدين فعلياً لا من الذاكرة. وضمّن: حقول التسجيل، ومعرّفات التحليلات، ومعلومات الجهاز، والموقع، والمحتوى المرفوع، ومحادثات الدعم، وبيانات الدفع.
الخطوة 2 — سجّل لكل بند أربعة أشياء:
| العمود | مثال |
|---|---|
| ماذا | البريد الإلكتروني |
| لماذا | مصادقة الحساب وإشعارات الخدمة |
| الأساس النظامي | تنفيذ العقد |
| مدة الاحتفاظ | مدة الحساب زائد 30 يوماً |
الخطوة 3 — أحصِ كل طرف ثالث يستقبل بيانات. التحليلات، وتقارير الأعطال، والإشعارات، وإرسال البريد، ومعالجة الدفع، والاستضافة، وواجهات الذكاء الاصطناعي. هذه القائمة أطول من المتوقع دائماً — خصوصاً إن كان هناك مدير وسوم.
الخطوة 4 — دوّن أين يخزّن كل منها البيانات. هذا ما يتيح لك كتابة إقرار نقل دقيق بدل عبارة غامضة. إقامة البيانات في الخليج يشرح لماذا يهم هذا.
والخريطة أيضاً هي ما يطلبه المشترون المؤسسيون، وما يجعل تحديث سياستك القادم عمل عشر دقائق لا إعادة كتابة.
ما يجب أن تتضمنه السياسة
للأسواق الخليجية وكلا المتجرين، هذه غير قابلة للتفاوض:
الهوية والتواصل. اسم كيانك القانوني وعنوان تواصل فعّال للخصوصية. النموذج الذي لا يصل لأحد لا يحقق هذا.
فئات البيانات المجموعة. محددة لا «بعض المعلومات». اجمعها في مجموعات منطقية — بيانات الحساب، بيانات الاستخدام، بيانات الجهاز — على أن تكون كل مجموعة واضحة.
الغرض من كل فئة. لماذا تجمعها، بلغة واضحة. عبارة «لتحسين خدماتنا» ليست غرضاً؛ أما «لتشخيص الأعطال وترتيب أولويات الإصلاح» فغرض.
الأساس النظامي. خصوصاً حيث لا يكون الموافقة. راجع قانون حماية البيانات الإماراتي لتعرف لماذا اللجوء للموافقة في كل شيء خطأ تصميمي.
مُدد الاحتفاظ. مُدد فعلية تستطيع الالتزام بها. وعبارة «طالما كان ضرورياً» مقبولة فقط إن بيّنت بعدها ما الذي يحدد الضرورة.
الأطراف الثالثة. فئات مسمّاة كحد أدنى. وكثير من السياسات تسرد مزوّدين بأعيانهم، وهو أنفع ويتطلب تحديثاً عند تغيير المزوّد.
النقل عبر الحدود. هل تغادر البيانات الدولة، وإلى أين، وما الضوابط المطبّقة.
حقوق المستخدم وكيفية ممارستها. الاطلاع والتصحيح والحذف والتقييد والاعتراض ونقل البيانات — والآلية الفعلية لا مجرد الإقرار بوجود الحقوق.
الأطفال. هل خدمتك موجّهة للقاصرين وما الذي تفعله حيال ذلك.
التغييرات. كيف تُعلم المستخدمين عند تغيّر السياسة.
بالعربية والإنجليزية، وكلتاهما معتمدة
الأسواق الخليجية تتوقع سياسة بالعربية. وثلاثة أمور تخطئ فيها الفرق:
الترجمة الآلية ظاهرة ومضرّة هنا تحديداً. وثيقة قانونية تُقرأ كإنتاج آلة تقوّض تحديداً المصداقية التي وُجدت الوثيقة لترسيخها. اعرضها على متحدث متمكن.
المصطلحات القانونية ليست قابلة للتبديل. مصطلحات مثل «جهة التحكم» و«جهة المعالجة» و«الأساس النظامي» لها صيغ عربية مستقرة في الاستخدام التنظيمي الإقليمي. وابتكار صيغ خاصة بك يخلق التباساً في الوثيقة التي يكون فيها الالتباس أكثر كلفة.
بيّن أي نسخة هي المعتمدة. إن اختلفت النسختان يوماً، يجب أن تنص السياسة على أيهما تسود. وهذه إضافة من سطر واحد تمنع نزاعاً حقيقياً.
متطلبات متاجر التطبيقات
كلا المتجرين يفرض متطلبات فوق القانون، وتُطبَّق آلياً وقت المراجعة.
Apple تشترط رابط سياسة خصوصية في صفحة التطبيق، إضافةً إلى إفصاحات «بطاقة الخصوصية» التي تصف ما تجمعه وهل هو مرتبط بالهوية أو مستخدم للتتبع. ويجب أن تطابق البطاقة السياسة، وأن يطابق الاثنان سلوك حزمك البرمجية فعلاً. فتحليل Apple الآلي يفحص ما يفعله ملفك التنفيذي.
Google Play تشترط رابط سياسة ونموذج «أمان البيانات» يغطي الجمع والمشاركة وممارسات الأمن. كما تشترط Play إمكانية الوصول للسياسة من داخل التطبيق لا من صفحة المتجر فقط.
وأشيع سبب للرفض هو حزمة برمجية خارجية تجمع بيانات لم يعرف بها المطوّر فلم يُفصح عنها. وحزم الإعلانات والتحليلات والإسناد هي المتهم المعتاد. دقّق ما ترسله اعتمادياتك فعلاً قبل ملء أي من النموذجين.
إبقاؤها دقيقة
السياسة دقيقة يوم إطلاقها وتنحرف بعده. وعادتان تُبقيانها صادقة:
اربط مراجعة السياسة بقرار إضافة المزوّد. إضافة أداة تحليلات أو مبلّغ أعطال أو واجهة ذكاء اصطناعي تغيّر ما يجب أن تقوله سياستك. اجعل سؤال «هل يغيّر هذا سياسة الخصوصية؟» بنداً في قائمة التحقق عند إضافة أي اعتمادية.
رقّم النسخ وأرّخها. تحتاج إثبات أي نسخة وافق عليها المستخدم، وهذا يعني أن لكل نسخة معرّفاً وتاريخاً. وهو أيضاً ما تشير إليه سجلات موافقتك — راجع دليل نظام حماية البيانات السعودي بخصوص الموافقة الموقّتة.
قائمة تحقق
- خريطة بيانات مكتملة من الكود لا من الذاكرة
- كل جملة في السياسة صحيحة عن المنتج اليوم
- اسم الكيان القانوني وعنوان تواصل فعّال للخصوصية
- فئات بيانات محددة مع غرض لكل فئة
- الأساس النظامي مذكور، خصوصاً حيث لا يكون الموافقة
- مُدد احتفاظ فعلية تستطيع الالتزام بها
- الأطراف الثالثة مسمّاة أو مصنّفة بوضوح
- إقرار نقل يطابق مكان إقامة البيانات فعلاً
- كل حقوق المستخدم مذكورة مع آليتها الفعلية
- بالعربية والإنجليزية، بمراجعة متحدث متمكن
- بند يحدد النسخة المعتمدة
- بطاقات خصوصية Apple تطابق السياسة والتطبيق
- نموذج أمان بيانات Google يطابق السياسة
- السياسة متاحة من داخل التطبيق
- مرقّمة ومؤرّخة، وتشير إليها سجلات الموافقة
اقرأ أيضاً
- دليل الامتثال التنظيمي في الخليج — أي قانون ينطبق عليك.
- دليل نظام حماية البيانات السعودي — سجلات الموافقة وحقوق المستخدم.
- قانون حماية البيانات الإماراتي — الأسس النظامية غير الموافقة.
- إقامة البيانات في الخليج — إقرارات نقل دقيقة.
- متطلبات متاجر التطبيقات — الصورة الأوسع للمراجعة.
الأسئلة الشائعة
هل أستطيع استخدام قالب أو مولّد سياسة خصوصية؟
كنقطة انطلاق للهيكل نعم، لكن يجب بعدها التحقق من كل بند مقابل ما يفعله منتجك فعلاً. القالب دون تعديل أسوأ من غياب السياسة، لأنه إقرار مكتوب بممارسات لا تتبعها، وهو تحديداً ما سيستخدمه المنظّم أو المشتري المؤسسي كدليل على عدم الامتثال.
هل يجب أن تكون سياسة الخصوصية بالعربية؟
للأسواق الخليجية نعم. المستخدمون والجهات التنظيمية يتوقعونها، والترجمة الآلية لوثيقة قانونية ظاهرة وتقوّض المصداقية. اعرضها على متحدث متمكن، واستخدم الصيغ العربية المستقرة للمصطلحات التنظيمية، وبيّن أي نسخة تسود إن اختلفتا.
ماذا يحدث إن لم تطابق سياستي ما يجمعه تطبيقي؟
المتاجر ترفض على هذا الأساس — Apple تقارن بطاقات الخصوصية بسلوك التطبيق الفعلي، وGoogle تشترط تطابق نموذج أمان البيانات. وخلف الرفض، التعارض دليل موثّق على عدم الامتثال إن سأل منظّم يوماً. والسبب المعتاد حزمة برمجية خارجية تجمع بيانات لم يدقّقها المطوّر.
كل كم أحدّث سياسة الخصوصية؟
كلما تغيّرت معالجة البيانات — أداة تحليلات جديدة، أو خدمة خارجية جديدة، أو نوع بيانات جديد، أو نقل الاستضافة. والعادة العملية جعل سؤال «هل يغيّر هذا سياسة الخصوصية؟» جزءاً من قائمة إضافة أي اعتمادية، بدل جدولة مراجعات دورية تنحرف.
هل أحتاج سياسة خصوصية لتطبيق بسيط بلا حسابات؟
شبه مؤكد نعم. إن كنت تستخدم أي تحليلات أو تقارير أعطال، فأنت تجمع معرّفات أجهزة، وهي بيانات شخصية. وكلا المتجرين يشترط رابط سياسة بصرف النظر عن وجود حسابات في تطبيقك.
ما الفرق بين سياسة الخصوصية وشروط الاستخدام؟
سياسة الخصوصية تصف كيف تتعامل مع البيانات الشخصية وهي متطلب امتثال. أما شروط الاستخدام فتحكم العلاقة التجارية — الاستخدام المقبول والمسؤولية والدفع والإنهاء. غرضاهما مختلفان ويجب أن يكونا وثيقتين منفصلتين؛ ودفن شروط الخصوصية داخل شروط الاستخدام أحد أسباب عدم اعتداد الموافقة.
هل أسرد مزوّدين بأعيانهم أم فئات فقط؟
الفئات تحقق الحد الأدنى، لكن تسمية المزوّدين أنفع للمستخدم ويتوقعها المشترون المؤسسيون بشكل متزايد. والمفاضلة في الصيانة — فالقائمة المسمّاة تحتاج تحديثاً عند تغيير المزوّد. وإن كنت تحتفظ بخريطة بيانات، فهذا التحديث تافه.
الخلاصة
اكتب خريطة البيانات أولاً. السياسة تجسيد للخريطة، والفرق التي تتخطى الخريطة تنتهي بوثيقة لا يستطيع أحد التحقق منها.
والدقة تتقدم على الشمول. سياسة قصيرة صحيحة أمتن في الدفاع من سياسة شاملة تصف منتجاً لا تملكه.
وتعامل مع نماذج المتاجر كجزء من الوثيقة نفسها. بطاقات Apple ونموذج Google وسياستك يجب أن تتفق فيما بينها ومع ما يفعله كودك فعلاً — والتعارض في أي اتجاه أشيع سبب للرفض.
تحتاج سياسة تطابق منتجك؟ تواصل معنا — نبني خريطة البيانات مع المنتج لا بعده. اطّلع على خدمات تطوير الويب وتطبيقات الموبايل.