سياسة الخصوصية

1. من نحن ونطاق السياسة

‏Authevo هي واجهة برمجة تطبيقات (API) مصمَّمة للمطوّرين بالدرجة الأولى للتحقق من هوية المستخدمين النهائيين عبر إرسال رموز تحقق لمرّة واحدة (OTP) من خلال WhatsApp. ولا يصبح التحويل إلى Telegram تلقائيًا إلا بعد أن يربط المستلم حسابه مرة واحدة؛ فإذا تعذّر تسليم WhatsApp ولم يكن المستلم مرتبطًا، تُعيد الواجهة الخطأ 409 CHANNEL_NOT_LINKED مع رابط Telegram بنقرة واحدة ليعرضه المنتج المدمج.

توضّح هذه السياسة كيف تتعامل Authevo («نحن») مع المعلومات عند دمجك لواجهتنا البرمجية بصفتك مطوّرًا أو شركة («أنت»، «عميلنا»)، وكيف نتعامل مع المعلومات الخاصة بالمستخدمين النهائيين الذين تطلب منّا التحقق منهم نيابةً عنك.

تنطبق هذه السياسة على واجهة Authevo البرمجية ولوحة التحكم والتوثيق والموقع التعريفي. أمّا البيانات الشخصية لمستخدميك النهائيين فأنت المتحكّم فيها، وتعمل Authevo بصفتها المعالِج لديك: لا نعالج تلك البيانات إلا لتقديم خدمة التحقق التي طلبتها.

2. البيانات التي نعالجها

نحرص عمدًا على الاكتفاء بالحد الأدنى من البيانات اللازمة لتسليم رموز التحقق والتأكد منها وللفوترة بدقة. نعالج ما يلي:

• معلومات حساب المطوّر — البيانات التي تقدّمها لإنشاء حسابك وإدارته، مثل اسمك وبريدك الإلكتروني المهني واسم نشاطك التجاري ومفاتيح الواجهة البرمجية وإعدادات حساب WhatsApp Business.
• أرقام هواتف المستخدمين النهائيين — التي تُرسلها أنت لطلب التحقق. تُجزَّأ أرقام الهواتف باستخدام SHA-256 ولا تُخزَّن مطلقًا كنص صريح أثناء الحفظ؛ ولا يوجد الرقم الصريح إلا مؤقتًا في الذاكرة للمدة اللازمة لإرسال الرسالة للتسليم.
• رموز التحقق لمرّة واحدة (OTP) — التي تُنشَأ للتحقق من المستخدم. هذه الرموز قصيرة العمر ولا تُخزَّن مطلقًا كنص صريح؛ ولا نحتفظ إلا بما يلزم للتحقق من صحة الرمز خلال نافذة صلاحيته الوجيزة.
• بيانات التسليم والاستخدام الوصفية — سجلات تشغيلية مثل أوقات التحقق وقناة التسليم (WhatsApp أو Telegram) وحالة التسليم والتحقق وحجم الطلبات، وتُستخدم لأغراض التحليلات والفوترة ومنع إساءة الاستخدام.

3. كيف نستخدم المعلومات

لا نستخدم المعلومات المذكورة أعلاه إلا لتشغيل خدمة التحقق وتحسينها:

• لتسليم رموز التحقق والتأكد منها — بإنشاء الرمز وإرساله عبر WhatsApp (أو Telegram كقناة احتياطية) والتأكد من الرمز الذي يُدخله المستخدم النهائي.
• لمنع الاحتيال وتحديد المعدّل — تحمي ضوابط «الحدّ الآمن» (Safety Floor) وتحديد المعدّل لدينا كلًّا منك ومنّا من إساءة الاستخدام والرسائل غير المرغوبة والإنفاق المنفلت.
• للفوترة — نحتسب الفاتورة على أساس استخدام التحقق (لكل عملية تحقق ناجحة على المستوى القياسي، ولكل رسالة مُرسَلة للحسابات الجديدة حتى أول 500 عملية تحقق)، لذا نسجّل البيانات الوصفية اللازمة لحساب الرسائل وعمليات التحقق الناجحة بدقة.
• لتحليلات المنتج — نستخدم البيانات الوصفية المجمَّعة والتشغيلية لفهم مدى الموثوقية ومعالجة مشكلات التسليم وتحسين الخدمة.

4. ما لا نفعله

بعض التعهّدات بشأن ما لن تفعله Authevo أبدًا بهذه البيانات:

• لا نبيع البيانات الشخصية لأي جهة، إطلاقًا.
• لا نستخدم أرقام هواتف المستخدمين النهائيين لأغراض التسويق أو الإعلان أو التنميط.
• لا نحتفظ بأرقام هواتف صريحة أو رموز تحقق صريحة أثناء الحفظ.
• لا نرسل رسائل SMS أو بريدًا إلكترونيًا نيابةً عنك — يُسلَّم التحقق عبر WhatsApp، أو عبر Telegram بعد أن يُكمل المستلم الربط لمرة واحدة.

5. كيف نحمي بياناتك

الأمان مدمَج في المنتج منذ التصميم، لا مضافًا إليه لاحقًا:

• تُجزَّأ أرقام الهواتف باستخدام SHA-256 قبل التخزين، فلا تبقى المعرّفات الخام محفوظة أبدًا.
• تُشفَّر رموز وصول حساب WhatsApp Business أثناء الحفظ باستخدام AES-256-GCM.
• تُوقَّع طلبات الـ webhook الصادرة تشفيريًا حتى تتمكّن من التأكد من أنها صادرة فعلًا من Authevo.
• يحدّ تحديدُ المعدّل و«الحدّ الآمن» من حركة المرور المسيئة قبل وصولها إلى التسليم.

لا توجد وسيلة نقل أو تخزين آمنة تمامًا، لكننا نعمل على حماية بياناتك باستخدام ضمانات تتوافق مع معايير الصناعة.

6. الاحتفاظ بالبيانات

نحتفظ بالبيانات فقط للمدة اللازمة للغرض الذي جُمعت من أجله.

رموز التحقق لمرّة واحدة مؤقتة وتنتهي صلاحيتها تلقائيًا — عادةً خلال نحو عشر دقائق — وبعدها لا يمكن استخدامها للتحقق من المستخدم.

تُحفظ السجلات التشغيلية وبيانات التسليم الوصفية لمدة محدودة — في حدود 30 يومًا تقريبًا — لدعم معالجة المشكلات والفوترة والتحقق من إساءة الاستخدام، ثم تُحذف أو يُزال ما يربطها بالهوية. أمّا معلومات الحساب فتُحفظ ما دام حسابك نشطًا.

7. المعالِجون من الباطن

نعتمد على عدد قليل من الأطراف الموثوقة لتقديم الخدمة، ولا يعالج كلٌّ منها إلا البيانات اللازمة لوظيفته:

• ‏Meta Platforms — منصّة WhatsApp Business، وتُستخدم لتسليم رموز التحقق عبر WhatsApp.
• ‏Telegram — يُستخدم قناةً احتياطية بعد أن يُكمل المستلم الربط لمرة واحدة؛ ويجب أولًا عرض الرابط الذي تعيده الواجهة للمستلمين غير المرتبطين.
• ‏Supabase — قاعدة بياناتنا الأساسية، وتخزّن أرقام الهواتف المُجزّأة وبيانات التسليم الوصفية ومعلومات الحساب ورموز الوصول المُشفَّرة.
• ‏Upstash — خدمة Redis تُستخدم لتحديد معدّل الطلبات وحالة الجلسات وحالة رموز التحقق قصيرة العمر.
• ‏Render — تستضيف خدمة الـ API لدينا.
• ‏Cloudflare — تستضيف موقعنا التعريفي ولوحة التحكم، وتوفّر توزيع المحتوى والأمان على مستوى الشبكة وتحليلات تحترم الخصوصية.
• ‏Resend — مزوّد البريد الإلكتروني للمعاملات لدينا، ويتلقّى عنوان بريدك الإلكتروني ومحتوى رسائل الحساب والفوترة والمنتج التي نرسلها إليك.
• ‏Polar — التاجر المسجَّل لمدفوعات البطاقات لدينا، ويتلقّى بيانات الفوترة والدفع التي تُدخلها عند الدفع ويتولّى تنفيذ العملية. ولا تتلقّى Authevo رقم بطاقتك الكامل ولا تخزّنه إطلاقًا.
• ‏Sentry — لمراقبة الأخطاء، وتتلقّى تقارير أخطاء التطبيق بعد تنقيتها من البيانات الشخصية (أرقام الهواتف والرموز ورموز الوصول) قبل إرسالها.

تتلقّى جهات التسليم بالضرورة رقم الهاتف الوجهة لإتمام تسليم الرسالة، ويخضع تعاملها مع تلك البيانات لشروط الخصوصية الخاصة بها.

8. ملفات تعريف الارتباط والتحليلات

نستخدم أداتَي قياس، ولا تُستخدم أيٌّ منهما لأغراض الإعلان. تجمع Cloudflare Web Analytics إشارات مجمَّعة عن مشاهدات الصفحات والأداء في موقعنا التعريفي، ولا تضع ملفات تعريف ارتباط ولا تُنشئ بصمة للزائرين. وإلى جانبها نُشغّل تحليلات خاصة بنا (من طرفنا مباشرةً) في الموقع التعريفي ولوحة التحكم، تسجّل الصفحات التي تُشاهَد وعددًا محدودًا من التفاعلات المُسمّاة — مثل فتح الوثائق أو تشغيل العرض التفاعلي أو بدء عملية تحقق تجريبية — لنعرف أين يتعثّر المستخدمون.

تُرسَل سجلات تحليلاتنا الخاصة إلى خوادمنا وتُخزَّن في قاعدة بياناتنا، ولا تُشارَك إطلاقًا مع أي شبكة إعلانية أو أي مزوّد تحليلات خارجي. يحتوي كل سجل على اسم الحدث ومسار الصفحة والصفحة التي وصلت منها ولغتك وأي معطيات حملة في الرابط الذي اتّبعته، إضافةً إلى مُعرِّف عشوائي نولّده ونحفظه في التخزين المحلي لمتصفّحك. يتيح لنا هذا المُعرِّف احتساب الزيارة الواحدة عبر عدّة صفحات كزيارة واحدة لا خمس زيارات؛ وهو ليس ملف تعريف ارتباط، ولا يُرسَل إلى أي موقع آخر، ولا يُربَط باسمك أو بريدك الإلكتروني أو رقم هاتفك أو حسابك في Authevo. ولا نخزّن عنوان IP الخاص بك ضمن هذه السجلات. وتُحذَف تلقائيًا بعد 90 يومًا.

ولأن أيًّا من الأداتين لا يضع ملفات تعريف ارتباط للإعلان أو التتبّع عبر المواقع، فإن الموقع التعريفي لا يعرض لافتة موافقة على ملفات تعريف الارتباط. وقد تضع لوحة التحكم لدينا ملفات تعريف ارتباط ضرورية للغاية لازمة لإبقائك مسجَّلًا الدخول ولتشغيل المنتج. ولا نستخدم ملفات تعريف الارتباط لأغراض الإعلان أو التتبّع عبر المواقع في أي جزء من Authevo.

9. المستخدمون والبيانات دوليًا

صُمِّمت Authevo للمطوّرين والشركات في مصر ومنطقة الشرق الأوسط وشمال إفريقيا الأوسع، وتتركّز خدماتنا ودعمنا على هذا السوق.

ولأننا نعمل نحن ومعالِجونا من الباطن على نطاق دولي، فقد تُعالَج المعلومات في بلدان غير بلدك. وأينما عُولجت، نطبّق الحمايات نفسها الموضّحة في هذه السياسة.

10. حماية البيانات في مصر (القانون رقم 151 لسنة 2020)

تُدار Authevo من مصر، لذلك نتعامل مع البيانات الشخصية بما يتوافق مع قانون حماية البيانات الشخصية المصري (القانون رقم 151 لسنة 2020) ولائحته التنفيذية (الصادرة بالقرار الوزاري رقم 816 لسنة 2025 والسارية منذ 1 نوفمبر 2025)، واللذين يشرف عليهما المركز المصري لحماية البيانات الشخصية.

بالنسبة للبيانات الشخصية لمستخدميك النهائيين، فأنت المتحكّم في البيانات وتعمل Authevo بصفتها معالِجًا نيابةً عنك (انظر القسم 1). نعالج تلك البيانات فقط لتقديم عملية التحقق التي تطلبها، ونطبّق المبادئ الأساسية للقانون في جميع مراحلها — المعالجة المشروعة والشفافة، وتقليل البيانات إلى الحد الأدنى، وتحديد الغرض، والدقة، وتقييد التخزين، والأمان.

بموجب القانون، يتمتّع أصحاب البيانات بالحق في العلم بالمعالجة، والوصول إلى بياناتهم الشخصية، وتصحيحها أو محوها، وتقييد المعالجة أو الاعتراض عليها، وسحب الموافقة، ونقل البيانات. ولأن Authevo تخزّن فقط بصمة SHA-256 لرقم هاتف المستخدم النهائي ولا تخزّن الرقم أو الرمز بنص واضح مطلقًا (انظر القسمين 2 و5)، فإن الطلبات المتعلقة بشخص محدّد تُعالَج عادةً من قِبَل العميل بصفته المتحكّم في البيانات؛ ونحن نساعد عملاءنا فيها ونستجيب للطلبات المُتحقَّق منها المُرسَلة إلى support@authevo.dev، بما في ذلك مسار الحذف الموضّح في القسم 11.

يقع بعض معالِجينا من الباطن خارج مصر (انظر القسمين 7 و9). ينظّم القانون النقل العابر للحدود للبيانات الشخصية؛ ونحن ننقل فقط الحد الأدنى من البيانات اللازمة لتشغيل الخدمة، ونعتمد على مزوّدين يوفّرون ضمانات أمنية وتعاقدية مناسبة. وخطوات التسجيل والترخيص التي تتطلّبها اللائحة التنفيذية من المتحكّمين والمعالِجين — بما في ذلك النقل العابر للحدود — تستلزم كيانًا قانونيًّا مُسجَّلًا، وAuthevo ليست مُسجَّلة كذلك بعد (وهو ما تذكره شروطنا أيضًا في القسم 5). ونعتزم استكمالهما خلال الفترة الانتقالية التي يتيحها القانون (حتى 31 أكتوبر 2026).

إذا كنت تعتقد أن بياناتك قد جرى التعامل معها بطريقة لا تتوافق مع القانون، فتواصل معنا أولًا على support@authevo.dev. كما يحق لك تقديم شكوى إلى المركز المصري لحماية البيانات الشخصية.

12. التغييرات على هذه السياسة

قد نحدّث هذه السياسة من حينٍ لآخر مع تطوّر المنتج والقوانين المعمول بها.

وعند إجراء تغييرات جوهرية، سنحدّث تاريخ «آخر تحديث» أعلاه، ونُخطر عملاءنا عند الاقتضاء. ويعني استمرارك في استخدام Authevo بعد التحديث قبولك للسياسة المعدَّلة.