سياسة الخصوصية

هذه السياسة تشرح كيف تتعامل منصة DEMO.SA مع البيانات الشخصية في ثلاث حالات مختلفة: بيانات التاجر الذي يفتح حساباً معنا ويشغّل متجره على المنصة، وبيانات عملاء المتاجر التي نحفظها ونعالجها نيابة عن التاجر، وبيانات الزائر المجهول الذي يجرّب المنصة عبر الصندوق الرملي أو المتجر التوضيحي دون أن ينشئ حساباً. ما لا تحكمه هذه السياسة هو ما يفعله كل تاجر ببيانات عملائه داخل متجره أو خارج المنصة؛ لكل متجر سياسة خصوصية خاصة به منشورة على صفحاته، وهي المرجع فيما يخص علاقة ذلك المتجر بعملائه. فإن كنت عميلاً اشتريت من متجر يعمل على DEMO.SA فابدأ بالتاجر نفسه، ويبقى بابنا مفتوحاً إن لم تصل معه إلى نتيجة.

هذا أهم قسم في السياسة، لأنه يحدّد من يتحمّل ماذا. نحن جهة التحكّم في البيانات فيما يخص: حسابات التجار وفرق عملهم، الاشتراكات والفوترة، وثائق التحقق من الهوية، سجلات الأمان والتدقيق، سجل هوية العميل الموحّد على مستوى المنصة، وإرسال رموز الدخول لمرة واحدة. أما بيانات عملاء متجر بعينه — طلباتهم وعناوينهم وسجلهم الشرائي وملفهم لدى ذلك المتجر — فالتاجر هو جهة التحكّم فيها ونحن جهة معالجة تعمل بناءً على تعليماته الموثّقة: نحفظها ونعالجها لتشغيل متجره، ولا نستخدمها لأغراضنا، ولا نبيعها، ولا نتيح لتاجر أن يرى عملاء تاجر آخر. تفاصيل هذه العلاقة — التعليمات، السرية، المعالجون من الباطن، الإبلاغ عن الاختراق، المساعدة في طلبات أصحاب البيانات، والحذف عند الإنهاء — مكتوبة في ملحق معالجة البيانات ضمن شروط الاستخدام، وهو جزء ملزم من الاتفاقية مع كل تاجر. هذا التقسيم ليس شكلياً: هو الذي يقرّر إلى من يُوجَّه طلب الوصول أو الحذف، ومن يتحمّل مسؤولية الأساس النظامي لجمع البيانات من الأساس.

عند إنشاء الحساب نجمع الاسم والبريد الإلكتروني ورقم الجوال وكلمة المرور. ثم تُضاف بيانات المتجر التي تنشئها بنفسك: اسم المتجر ونطاقه، منتجاته وأسعارها، إعداداته وسياساته المنشورة. وعند الاشتراك في باقة مدفوعة نحفظ سجل الاشتراك والفواتير وبيانات طريقة الدفع المحفوظة، وهي رمز دفع مشفّر لدى بوابة الدفع مع نوع البطاقة وأرقامها الأخيرة فقط — لا نحتفظ برقم البطاقة كاملاً ولا برمز التحقق خلفها. ونحفظ كذلك ما ترسله إلينا عبر الدعم والشكاوى ورسائل التواصل، وبيانات استخدامك للوحة التحكم كما هي موضّحة في قسم السجلات أدناه.

لتفعيل استقبال مدفوعات البطاقات وطلب تحويل الأرصدة نطلب من التاجر: الاسم كما في الهوية، نوع النشاط، رقم الهوية الوطنية، صورة الهوية، صورة شخصية (سيلفي)، ورقم الآيبان واسم البنك. هذه أكثر البيانات حساسية لدينا، ونتعامل معها على هذا الأساس. تُرفع الصور إلى مخزن خاص لا يملك رابطاً عاماً ولا يمكن الوصول إليه من الإنترنت مباشرة، ولا تُعرض على المراجع إلا عبر مسار داخلي محكوم بصلاحية إدارية منفصلة: صلاحية مراجعة الطلب والاطلاع على الاسم ورقم الهوية شيء، وصلاحية فتح صورة الهوية والصورة الشخصية شيء آخر لا يملكه كل مشرف. الغرض من الجمع هو التحقق من هوية التاجر، والحد من الاحتيال وغسل الأموال، والتأكد من أن المال يُحوَّل إلى صاحبه. ونحتفظ أيضاً بقائمة هويات ممنوعة من اجتياز التحقق؛ فإذا حاول أحد التسجيل برقم هوية على هذه القائمة سجّلنا واقعة المحاولة — رقم الهوية، الاسم المصرّح به، المتجر، ووقت المحاولة — لأغراض مكافحة الاحتيال، ولا يُنشأ للمحاولة طلبٌ ولا يُحفظ لها ملف. نحتفظ بوثائق التحقق طوال نشاط الحساب، وللمدة التي تفرضها أنظمة حفظ السجلات ومكافحة غسل الأموال بعد إغلاقه، ثم نتلفها.

عندما يشتري شخص من متجر يعمل على المنصة نحفظ نيابة عن التاجر: الاسم، البريد الإلكتروني، رقم الجوال، عنوان الشحن، تفاصيل الطلب والمنتجات وحالته، سجل الدفع والاسترجاع، وأي ملاحظة أو تقييم يكتبه العميل. نعالج هذه البيانات لتشغيل المتجر لا أكثر: إتمام الطلب، إصدار الفاتورة أو الإيصال، إشعارات حالة الطلب، وخدمة العملاء. لا نستخدمها في تسويقنا نحن، ولا نبيعها، ولا يرى تاجرٌ عملاء تاجرٍ آخر. وأي رسالة تسويقية تصل العميل باسم المتجر — بما فيها تذكيرات السلة المتروكة وطلبات التقييم التي ترسلها المنصة نيابة عن التاجر — يقع على التاجر وحده ضمان مشروعية إرسالها والحصول على الموافقة اللازمة والالتزام بأنظمة الاتصالات ذات العلاقة.

من الإنصاف أن نشرح نقطة تميّز تصميم هذه المنصة ولها أثر مباشر على الخصوصية: سجل العميل موحّد على مستوى المنصة. الشخص الواحد له سجل واحد يحمل اسمه وبريده وجواله مهما تعدّدت المتاجر التي يشتري منها، لأن البريد ورقم الجوال فريدان على مستوى المنصة كلها لا داخل المتجر الواحد. نحن جهة التحكّم في هذا السجل الموحّد وفي طبقة الدخول المرتبطة به. لكن الوصول مقيّد لكل متجر على حدة: لا يرتبط العميل بمتجر إلا بعد أن يثبت وجوده فيه فعلاً — بطلب حقيقي أو برمز تحقق يصله وهو داخل ذلك المتجر — ولا يرى التاجر من العميل إلا ما نشأ في متجره هو: طلباته لديه، العناوين التي استخدمها معه، وإجمالي إنفاقه فيه وتاريخ آخر تعامل. لا يُعرض على التاجر أن هذا العميل يشتري من متاجر أخرى، ولا أي طلب أو مبلغ يخص متجراً غيره.

مدفوعات البطاقات (مدى، آبل باي، البطاقات الائتمانية) تمر عبر بوابة دفع مرخّصة، وبيانات البطاقة تُدخَل وتُعالج لديها لا لدينا. ما نحتفظ به نحن هو: معرّف العملية لدى البوابة، المبلغ والعملة والحالة، طريقة الدفع، ونسخة من رد البوابة بعد تنقيتها آلياً من أي بيانات اعتماد قابلة لإعادة الاستخدام — الرموز ورقم البطاقة الكامل ورمز التحقق تُشطب قبل الكتابة في قاعدة البيانات لا بعدها، فلا تصل إليها أصلاً ولا تصل إلى النسخ الاحتياطية. يبقى الرقم المقنّع الذي ترسله البوابة (أوائل الأرقام وأواخرها) لأنه الوسيلة الوحيدة لتمييز البطاقة عند الخلاف. أما رموز الدفع المحفوظة للتجديد التلقائي فتُخزَّن مشفّرة. ونحتفظ إضافة إلى ذلك بسجلات رصيد التاجر وطلبات التحويل والآيبان المأخوذ من طلب التحقق المعتمد. وما نرسله إلى البوابة مع العملية هو المبلغ ومعرّفات الطلب والمتجر الداخلية، لا قائمة ببيانات عميلك.

يدخل عملاء المتاجر برمز مؤقت من ستة أرقام يصل عبر واتساب، مع البريد الإلكتروني كبديل عند تعذّر الإرسال. لتنفيذ ذلك نمرّر رقم الجوال ونص الرسالة إلى مزوّد وسيط يتولّى التوصيل. وننبّه إلى أن المنصة تستخدم رقم إرسال واحداً لجميع المتاجر، فيصل الرمز إلى العميل من الرقم نفسه أياً كان المتجر الذي يشتري منه. الرمز صالح خمس دقائق فقط، ويُبطَل بعد خمس محاولات خاطئة، وعليه حدود صارمة لعدد الرسائل لكل رقم ولكل عنوان إنترنت ولكل متجر ولمجموع المنصة يومياً — وهي حدود موضوعة لحماية صاحب الرقم من أن يُستخدم رقمه في الإزعاج بقدر ما هي لحماية المنصة. ونرسل كذلك رسائل بريدية تشغيلية مثل تأكيد الطلب والفاتورة وتنبيهات الحساب عبر خادم بريد صادر.

نحفظ سجل نشاط لما يجري داخل الحساب — إنشاء منتج، تعديل طلب، تغيير سعر، استرجاع مبلغ — يتضمّن المستخدم الذي نفّذ العملية، وعنوان الإنترنت، ومعرّف المتصفح، ووقت التنفيذ، والقيم قبل التغيير وبعده. لا نعدّل هذه السجلات ولا نحذف منها، ولا تتيح واجهات النظام تعديلها، وهي التي تجيب على سؤال «من فعل هذا ومتى» عند وقوع خلاف أو اشتباه احتيال. كذلك تحفظ الشكاوى المقدّمة ضد متجر بيانات مقدّم الشكوى — الاسم والبريد والجوال — مع عنوان الإنترنت ومعرّف المتصفح وقت التقديم، ويُمنح مقدّم الشكوى رمز متابعة إن قدّمها دون حساب. ونحتفظ بسجلات خادم وأداء تقنية معتادة لتشخيص الأعطال والبطء.

يمكن لأي زائر تجربة المنصة دون حساب، فنهيّئ له متجراً مؤقتاً كاملاً. في هذه الحالة نضع في متصفحه ملف ارتباط يحمل معرّفاً عشوائياً لا يدل على شيء بذاته، ولا نحفظ المعرّف نفسه بل بصمته. ونشتق بصمة غير قابلة للعكس من عنوان الإنترنت ومعرّف المتصفح لنعرف إن كان الجهاز نفسه يعيد المحاولة، مع تصنيف عام لنوع الجهاز وعدّاد لما أُنجز في التجربة. وإن اختار الزائر ترك تقييم أو تعليق نصي حفظناه كما كتبه. المتجر التجريبي يُحذف تلقائياً وبلا استرجاع بعد أربع ساعات من إنشائه أو بعد ساعة من التوقف عن استخدامه، أيهما أسبق — ولهذا لا يجوز إدخال أي بيانات شخصية حقيقية فيه، لا بياناتك ولا بيانات غيرك. أما سجل التجربة الإحصائي فتحكمه ثلاث مدد ينفّذها النظام تلقائياً كل ليلة: بصمة الجهاز تُمحى بعد 30 يوماً، والتعليق النصي يُمحى بعد 90 يوماً، والسجل كله يُحذف بعد 400 يوم. والمتجر التوضيحي العام متجر صوري: طلباته ليست طلبات حقيقية، ولا تحرّك مالاً، ولا تصدر عنها فاتورة ضريبية.

نعالج بيانات التاجر لتنفيذ العقد بيننا: فتح الحساب، تشغيل المتجر، الفوترة والتحصيل، وتقديم الدعم. ونعالج وثائق التحقق ورقم الهوية استناداً إلى التزام نظامي وإلى التحقق الواجب قبل تحويل أموال. ونعالج سجلات الأمان وحدود الاستخدام وأدوات مكافحة الاحتيال استناداً إلى مصلحة مشروعة في حماية المنصة وتجارها وعملائهم من الاحتيال وإساءة الاستخدام. ونعالج بيانات عملاء المتاجر بصفتنا جهة معالجة بناءً على تعليمات التاجر، ويقع على التاجر بوصفه جهة التحكّم تحديد الأساس النظامي لجمعها وإبلاغ عملائه به. أما رسائلنا التسويقية نحن — الموجّهة إلى التجار عن المنصة وميزاتها — فلا نرسلها إلا بموافقة صريحة، ويمكن إيقافها في أي وقت دون أن يؤثر ذلك على الرسائل التشغيلية التي يحتاجها الحساب.

لا نبيع البيانات ولا نؤجّرها ولا نتاجر بها. ونشاركها بالقدر اللازم فقط مع الفئات التالية: بوابة الدفع (Moyasar) لتنفيذ عمليات الدفع والاسترجاع؛ مزوّد الاستضافة والتخزين السحابي (Microsoft Azure) الذي تُخزَّن عليه الوسائط والملفات ووثائق التحقق؛ مزوّد وسيط لإرسال رسائل واتساب (UltraMsg) لتوصيل رموز الدخول؛ خادم بريد صادر لإرسال الرسائل التشغيلية؛ ومزوّدو نماذج الذكاء الاصطناعي على النحو المفصّل في القسم التالي. وهناك فئة إضافية لا تعمل إلا إذا فعّلها التاجر بنفسه على متجره: أدوات القياس والإعلان وأدوات الربط الخارجية. فإذا أدخل التاجر معرّفاته في صفحة التكاملات عملت على واجهة متجره أدوات مثل Meta (فيسبوك وإنستجرام)، وTikTok، وX، وSnapchat، وGoogle (Analytics وTag Manager وAds)، وقد يُرسل الخادم بيانات عملية الشراء إلى Google Analytics مباشرة إن زوّدنا التاجر بمفتاح ذلك. كما قد تُرسل بيانات الطلب المدفوع إلى Discord إذا ربط التاجر متجره به لمنح الأدوار. هذه الجهات تستقبل بيانات تصفّح الزائر وبيانات الطلب بحسب أداتها وشروطها هي، ولا تعمل أي منها على المتاجر التي لم تفعّلها. وقد نفصح عن بيانات لجهة قضائية أو رقابية مختصة متى طُلب ذلك نظاماً. لا نستخدم اليوم تكاملاً مباشراً مع شركات الشحن: خيارات الشحن في المتجر يضبطها التاجر بنفسه، وأي بيانات تصل شركة شحن يرسلها التاجر لا نحن. وسنحدّث هذه القائمة كلما تغيّرت، مع إشعار التجار بتغيير المعالجين من الباطن وفق ملحق معالجة البيانات.

الشفافية هنا أهم من الطمأنة، ونصحّح ما ورد في نسخة سابقة من هذه السياسة: ليست كل البيانات مخزّنة أو معالجة داخل المملكة. الوسائط والملفات ووثائق التحقق تُخزَّن على خدمة تخزين سحابي عالمية، وما يُرسل إلى نماذج الذكاء الاصطناعي يُعالج لدى مزوّدين خارج المملكة، ورسائل واتساب تمر عبر وسيط خارجي. وإذا فعّل التاجر أدوات القياس أو الإعلان أو الربط المذكورة في القسم السابق — Meta أو TikTok أو X أو Snapchat أو Google أو Discord — فهي جميعاً جهات خارج المملكة وتستقبل البيانات على خوادمها هي. نتعامل مع هذا النقل على ثلاث قواعد: أن يكون بالحد الأدنى اللازم لتشغيل الخدمة، وأن يكون محكوماً بالشروط التعاقدية للمزوّد، وألا تُرسل وثائق التحقق من الهوية إلى أي مزوّد نماذج ذكاء اصطناعي إطلاقاً. سنحدّث هذا القسم كلما تغيّرت هذه الترتيبات، وإن كان مكان التخزين شرطاً في نشاطك فتواصل معنا قبل الاشتراك.

تستخدم بعض الميزات نماذج ذكاء اصطناعي من طرف ثالث: توليد أوصاف المنتجات ومحتوى المتجر ونصوص تحسين الظهور، توليد صور المنتجات، والمستشار الذكي داخل لوحة التحكم. المزوّد المستخدم حالياً هو OpenAI، مع مزوّد بديل مهيّأ في سلسلة الرجوع عند التعطّل، وعند تعذّر الوصول إليهم جميعاً نعرض محتوى نموذجياً جاهزاً بدل إظهار عطل. وهناك نقطة يجب أن يعرفها كل تاجر قبل استخدام المستشار الذكي: لكي يجيب عن أسئلة مثل ما آخر الطلبات أو من أفضل عملائي، تُرسل مع سؤالك لقطة من بيانات متجرك تشمل ملخص المبيعات وأحدث الطلبات وأعلى العملاء إنفاقاً والسلات المتروكة وأحدث تقييمات العملاء وطلبات الإرجاع المعلّقة. وهذه اللقطة تتضمّن بيانات شخصية لعملائك: اسم العميل وبريده أو رقم جواله في الطلبات وأعلى المنفقين، والبريد والجوال معاً في السلات المتروكة، ونص التقييم الذي كتبه العميل، وبريد صاحب طلب الإرجاع وسبب الإرجاع كما كتبه. إن كان ذلك لا يناسبك فلا تستخدم المستشار الذكي، وباستخدامك له تُعدّ موجِّهاً لنا بإرسال هذه البيانات. وفي كل الأحوال لا تُدرِج في طلباتك بيانات شخصية أو حساسة لا لزوم لها. وتتيح صفحة المنصة التعريفية توليد معاينة متجر لزائر بلا حساب، وما يُرسل فيها هو النص الذي يكتبه الزائر فقط. أما استخدام المحتوى في تدريب النماذج فمحكوم بشروط المزوّد نفسه لا بوعد منّا — لا نملك أن نضمن عن طرف آخر — وما نلتزم به نحن هو ألا نستخدم محتواك أو بيانات متجرك في تدريب أي نموذج.

ليست كل البيانات محكومة بمدة واحدة، ونفضّل ذكر التفصيل على ذكر رقم واحد غير صحيح. بيانات الحساب والمتجر تبقى ما دام الحساب قائماً. الفواتير والسجلات المحاسبية والمالية نحتفظ بها للمدة التي تفرضها الأنظمة الضريبية والتجارية، ولا يمكن حذفها ولا تعديلها بأثر رجعي حتى بعد إغلاق الحساب؛ تسلسل الفواتير مصمَّم بحيث لا يقبل فجوة، وهذا التزام نظامي لا خيار لنا ولا للتاجر فيه. وثائق التحقق من الهوية تخضع للمدة الموضّحة في قسمها. سجل التجربة المجهولة محكوم بمدد 30 و90 و400 يوماً ينفّذها النظام تلقائياً كل ليلة. المتاجر التجريبية تُحذف خلال ساعات. رموز الدخول تنتهي خلال دقائق. وما تبقّى من بيانات المتجر وعملائه بعد إغلاق الحساب يُحذف خلال المدة المنصوص عليها في شروط الاستخدام، باستثناء ما يجب الاحتفاظ به نظاماً وما يلزم لمطالبة قائمة أو تحقيق جارٍ. ونصحّح هنا صراحةً ما ورد في نسخة سابقة من هذه السياسة: لم يكن صحيحاً أن كل سجلات الطلبات تُحذف نهائياً بعد 12 شهراً.

لك بموجب نظام حماية البيانات الشخصية أن تعلم كيف تُعالج بياناتك، وأن تصل إليها وتحصل على نسخة منها، وأن تطلب تصحيحها أو استكمالها أو تحديثها، وأن تطلب إتلافها متى انتفت الحاجة إليها، وأن تسحب موافقتك حيث كانت الموافقة هي الأساس. ونوضّح آلية التنفيذ الفعلية بدل الإحالة إلى زر غير موجود: لا تتوفّر اليوم في لوحة التحكم أداة تحذف الحساب ذاتياً، وتُقدَّم الطلبات عبر صفحة التواصل من البريد المسجّل في الحساب. نتحقّق من هويتك قبل التنفيذ حتى لا يُستخدم حق الوصول نفسه وسيلةً لسرقة بيانات، ثم نردّ عليك بالنتيجة أو بسبب الرفض ومداه. وإن كنت عميلاً في متجر يعمل على المنصة فطلبك يخص أولاً ذلك المتجر بوصفه جهة التحكّم في بياناتك لديه: وجّهه إليه، وإن لم تصل معه إلى نتيجة فراسلنا ونحن نوصل الطلب إليه ونساعده على الاستجابة، ونتصرّف مباشرة فيما نكون نحن جهة التحكّم فيه. ولك في كل الأحوال حق التقدّم بشكوى إلى الجهة المختصة بحماية البيانات الشخصية في المملكة.

نذكر هنا ما هو مطبَّق فعلاً في النظام، ولا ندّعي شهادات ولا اعتمادات ولا مطابقة لا نحملها. كلمات المرور لا تُخزَّن كنص بل كبصمة أحادية الاتجاه. رموز الدفع المحفوظة مشفّرة في قاعدة البيانات، وبيانات الاعتماد تُشطب من ردود بوابة الدفع قبل حفظها. وثائق التحقق على مخزن خاص بلا رابط عام، ولا تُفتح إلا عبر مسار داخلي محكوم بصلاحية إدارية منفصلة عن صلاحية مراجعة الطلب. صلاحيات لوحة الإدارة مقسّمة إلى قدرات دقيقة لا تُمنح جميعها بالضرورة، وصلاحية إدارة المشرفين محصورة بأعلى مستوى ولا يمكن تفويضها. كل عملية حساسة تُكتب في سجل تدقيق لا نعدّله ولا نحذف منه ولا تتيح واجهات النظام تعديله. رموز الدخول محدودة المدة والمحاولات والعدد. عمليات الدفع محمية بحارس يمنع تنفيذ العملية مرتين. ولا نعتمد على محتوى الإشعار الوارد من بوابة الدفع في تغيير حالة أي عملية، بل نعيد التحقق من العملية مباشرةً مع البوابة نفسها قبل اعتمادها، ونتجاهل الإشعارات المكرّرة. والاتصال بين متصفحك والمنصة عبر HTTPS. ومع ذلك لا يوجد نظام محصّن تماماً، والمنصة في مرحلة تشغيل مبكّرة نطوّر فيها هذه الضوابط باستمرار.

ملفات الارتباط التي نضعها نحن ضرورية لتشغيل الخدمة، عدا ملفاً واحداً لقياس مصدر الزيارة: ملف الجلسة الذي يبقيك مسجّل الدخول، وملف حماية النماذج من التزوير، وملفات تفضيلات العرض مثل المظهر واللغة، وملف معرّف التجربة في الصندوق الرملي، وملف مرجع التجربة الذي يبقى ثلاثين يوماً ليربط تجربتك بتسجيلك إن قرّرت الاشتراك لاحقاً، وملف المنتجات التي شاهدتها مؤخراً داخل المتجر ليعرضها لك مرة أخرى. أما ملف قياس المصدر فيبقى ثلاثين يوماً ويحفظ من أين وصلتنا — وسم الحملة أو رمز الإحالة أو الموقع الذي أتيت منه — ويُكتب مرة واحدة فقط عند أول زيارة. ولا نضع نحن ملفات إعلانية؛ لكن إن فعّل تاجر أدوات القياس أو الإعلان على متجره فقد تضع تلك الأدوات ملفاتها الخاصة على متصفحك وفق شروطها هي. الخدمة موجّهة إلى أصحاب الأنشطة التجارية ومن أتمّ الثامنة عشرة، وليست موجّهة إلى الأطفال ولا نجمع بياناتهم قصداً؛ فإن تبيّن لنا أننا حفظنا بيانات طفل دون أساس نظامي أتلفناها.

قد نحدّث هذه السياسة كلما تغيّر المنتج أو تغيّرت المتطلبات النظامية. تاريخ سريان النسخة الحالية معروض أعلى الصفحة، وإن كان التغيير جوهرياً ويمسّ حقوقك أشعرنا التجار قبل سريانه عبر البريد المسجّل أو بإشعار في لوحة التحكم، ما لم يكن التغيير مطلوباً فوراً بحكم النظام أو لمعالجة خطر أمني عاجل. ولأي سؤال أو طلب يخص بياناتك تواصل معنا عبر صفحة التواصل في الموقع.