CBBDigitalسياسة الخصوصية وإشعار حماية البيانات
معالجة البيانات الشخصية والاحتفاظ بها وحقوق أصحاب البيانات.
الأدوار والتواصل
CBBDigital LLC, 30 N Gould St, Sheridan, WY 82801, USA; info@cbbdigital.us. يُعدّ النشاط التجاري للصالون هو المتحكم في البيانات بالنسبة لعملاء المواعيد والموظفين وتقديم الخدمات؛ وتعمل CBBDigital كمعالج للبيانات بناءً على تعليمات موثقة. وتُعدّ CBBDigital متحكماً منفصلاً بالنسبة لجهات اتصال/حسابات التجار والمصادقة والفوترة والدعم وأمن المنصة. تعتمد الأدوار على النشاط الفعلي، وليس على التسمية الواردة في العقد فحسب.
البيانات والأغراض
يمكن أن تشمل البيانات تفاصيل الاتصال الخاصة بالتاجر والموظفين، والأدوار وتجزئات بيانات الاعتماد؛ وأسماء/أسعار الخدمات، والجداول الزمنية والإجازات؛ واسم عميل الموعد ورقم هاتفه وبريده الإلكتروني الاختياري، واختيار الخدمة/الموظف، ووقت/حالة الموعد، والملاحظات التشغيلية، وسجلات وتقارير طرق/مبالغ الدفع؛ والتفضيلات، وسجلات المصادقة/التسليم/الحجب؛ والبيانات الوصفية الأمنية للجهاز/المتصفح/الجلسة/عنوان IP؛ وأدلة الطلبات والفوترة وقبول العقود. يمكن أن تتضمن عمليات التكامل معرّفات Meta/WABA/الهاتف، ورموز الوصول المحمية، وروابط أحداث/حسابات التقويم (Calendar). لا تقتصر الخدمة على معالجة رموز التحقق لمرة واحدة (OTP). يتم إدخال تفاصيل البطاقة الكاملة لدى Stripe، وليس في نماذج المواعيد الخاصة بنا.
الأسس القانونية وتقليل البيانات
تدعم ضرورة تنفيذ العقد، والالتزامات القانونية، والمصالح المشروعة المتوازنة عمليات المعالجة ذات الصلة التي نقوم بها بصفتنا متحكماً مستقلاً بموجب المادة 6(1)(ب) و(ج) و(و) من اللائحة العامة لحماية البيانات (GDPR/UK GDPR)، حيثما ينطبق ذلك؛ وتُستخدم الموافقة للقنوات الاختيارية حيثما كان ذلك مطلوباً. لا تُعدّ قراءة إشعار الخصوصية موافقة شاملة. يحدد الصالون الأسس القانونية لمعالجته الخاصة لبيانات عملائه/موظفيه. لا ترسل بيانات طبية أو بيانات أخرى ذات فئات خاصة، أو نسخاً من وثائق الهوية، أو أرقام البطاقات البنكية (PAN/CVV). يتم تقييد المحتوى الحساس غير المرغوب فيه وإزالته أو إخفاء هويته عند اكتشافه؛ ولا يُقدَّم أي ضمان بتصفية مثالية.
البنية التحتية والاتفاقيات
تتم الاستضافة من خلال شركة Hetzner Online GmbH على الخادم المختار في هلسنكي، فنلندا؛ وتوفر شركة Cloudflare, Inc. شبكة توصيل المحتوى (CDN)/أمن الشبكات؛ ويوفر Google LLC Workspace البريد الإلكتروني للأعمال. تم قبول شروط معالجة البيانات المعمول بها لدى المزوّدين من خلال عمليات الحساب ذات الصلة والاحتفاظ بها في أرشيف مقيد. تظهر الروابط العامة للمزوّدين/اتفاقيات معالجة البيانات (DPA) والأغراض والأدوار في دليل المزوّدين. تضطلع Stripe بدور المعالج ودور المتحكم المستقل اعتماداً على وظائف الدفع ومنع الاحتيال والوظائف القانونية. تتبع اتصالات Meta/WhatsApp واتصالات التقويم (Calendar) الاختيارية شروطها الخاصة المعمول بها.
الوصول الدولي وضمانات النقل
المزوّد هو شركة أمريكية ذات مسؤولية محدودة (US LLC)؛ ولا تمنع الاستضافة في فنلندا المعالجة الدولية من قبل المزوّدين أو الوصول التقني/الدعم المصرح به عبر الحدود. تتم مراعاة الفصل الخامس من اللائحة العامة لحماية البيانات في الاتحاد الأوروبي (EU GDPR Chapter V)، واللائحة العامة لحماية البيانات في المملكة المتحدة (UK GDPR)، وقانون حماية البيانات في المملكة المتحدة لعام 2018، وملحق نقل البيانات الدولي في المملكة المتحدة (UK Addendum) حيثما ينطبق ذلك؛ كما يتم تقييم ضمانات القانون الفيدرالي السويسري لحماية البيانات (Swiss FADP) بالنسبة للبيانات السويسرية. وحيثما كان ذلك مطلوباً، يجب أن تحدد أدوات النقل الأطراف والنماذج الصحيحة، وأن تتضمن ملاحق مكتملة وقبولاً ملزماً، وأن تكون مدعومة بتقييمات النقل اللازمة والتدابير التكميلية قبل بدء النقل المقيد. نحن لا ندّعي الحصول على شهادة إطار خصوصية البيانات (Data Privacy Framework). ولا تُعدّ اتفاقية معالجة البيانات الخاصة بالمزوّد تفويضاً شاملاً للنقل في كل علاقة.
الممثلون والسلطات الإشرافية
يتم تقييم الحاجة إلى ممثل في الاتحاد الأوروبي/المملكة المتحدة بموجب المادة 27 بناءً على النطاق الإقليمي والمعالجة الفعلية. لا يُعدّ وضع المعاملات بين الشركات (B2B) أو دور المعالج وحده إعفاءً، ولا تُعدّ المعالجة المنتظمة معالجة عرضية تلقائياً. يتم تقييم التمثيل في سويسرا بموجب المادة 14 من القانون الفيدرالي السويسري لحماية البيانات (FADP) حيثما كان ذا صلة. لا يُوصف أي ممثل بأنه معيّن دون تفويض فعلي. يمكن للأفراد التواصل مع info@cbbdigital.us وتقديم شكوى إلى السلطة المختصة، بما في ذلك السلطة الإشرافية المختصة في ألمانيا، أو هيئة حماية البيانات في النمسا (Datenschutzbehörde)، أو مكتب مفوض المعلومات في المملكة المتحدة (ICO)، أو مفوض حماية البيانات والمعلومات الفيدرالي في سويسرا (FDPIC).
WhatsApp والخيارات
يُدرج تكامل WhatsApp في اشتراكات الصالونات؛ وتتطلب المراسلة ذاتها مرسِلاً تشغيلياً، وقوالب Meta معتمدة ومناسبة، وموافقة مسبقة صالحة ومنفصلة من المستلم (opt-in). يتحقق رمز التحقق لمرة واحدة (OTP) من الوصول الحالي إلى القناة، وليس من الهوية القانونية أو الموافقة العامة. يمكن سحب تفضيلات الإشعارات دون إلغاء الموعد. لا يتم تقديم خدمة الرسائل النصية القصيرة (SMS). تتم معالجة النص الوارد بشكل عابر في الذاكرة للتعرف على أوامر الإيقاف الموثقة ولا يتم الاحتفاظ به في سجل webhook؛ بينما يمكن الاحتفاظ بمعرّفات الأحداث والمرسل والنوع والوقت. يمكن تسجيل معلمات القوالب الصادرة وحالات التسليم. نحن لا نعد بتشفير تام بين الطرفين (end-to-end encryption) لجميع عمليات معالجة Cloud API. STOP, İPTAL, IPTAL, DURDUR, RET, UNSUBSCRIBE, ABMELDEN, STOPZETTEN, AFMELDEN, ARRET, ARRÊT, DESABONNER, DÉSABONNER. يحدد المعرّف wa_id مرسل القناة، وليس الهوية القانونية أو الموافقة العامة.
الاحتفاظ بالبيانات والأمن
تدعم ضوابط الوصول والأسرار المحمية وبروتوكول TLS ومسارات التدقيق تحقيق أمن متناسب. تخضع البيانات الوصفية لعنوان IP/وكيل المستخدم (User-Agent) في العقد لعملية انتهاء صلاحية/تنظيف منفصلة مدتها 90 يوماً. تتبع سجلات الرسائل التشغيلية المكتملة وسجلات webhook واستدعاءات المزوّدين والتقويم (Calendar) سياسة الاحتفاظ التشغيلي المكوّنة (الافتراضي 90 يوماً)؛ ولا يؤدي ذلك تلقائياً إلى حذف المواعيد أو الموظفين أو الموافقات أو الفوترة أو أدلة العقود. يتم الاحتفاظ بالسجلات لأغراضها الفعلية وللفترات القانونية المنطبقة، ثم تتم مراجعتها للحذف أو الإعادة. تتبع النسخ الاحتياطية اليومية المدارة الجديدة سياسة تدوير مدتها 30 يوماً، مع الاحتفاظ بآخر نسختين صالحتين للاسترداد وأي حالات احتفاظ قانوني موثقة. تُستثنى الأرشيفات المسماة السابقة من هذا التدوير التلقائي وتخضع لمراجعة منفصلة للضرورة والحذف. أرشيفات النسخ الاحتياطي مقيدة الوصول؛ ولا يُعدّ ضغط ملفات ZIP تشفيراً. نحن لا نعد بمحو فوري على مستوى السجل داخل الأرشيف. قبل الاستعادة، يجب إعادة تطبيق سجلات الحذف وإلغاء الاشتراك في الإشعارات الحالية والتحقق منها قبل استئناف المعالجة؛ ولا تؤدي استعادة ملفات SQL/ZIP الخام إلى تنفيذ تلك الإعادة تلقائياً. فترة الاحتفاظ بالسجلات التشغيلية قابلة للتكوين ضمن نطاق 7–3650 يوماً؛ والقيمة الافتراضية هي 90 يوماً.
الحقوق والطلبات
اعتماداً على القانون المعمول به، يجوز للأفراد طلب الوصول إلى البيانات أو تصحيحها أو محوها أو تقييد معالجتها أو نقلها والاعتراض عليها، أو سحب الموافقة. تواصل مع الصالون بخصوص السجلات التي يتحكم فيها الصالون؛ وتساعده CBBDigital وتتعامل مع الطلبات الخاصة بها بصفتها متحكماً عبر info@cbbdigital.us أو صفحة الحذف. يتم الرد على طلبات اللائحة العامة لحماية البيانات (GDPR/UK GDPR) عادةً دون تأخير غير مبرر وفي غضون شهر تقويمي واحد؛ ويتم توضيح التمديدات القانونية خلال ذلك الشهر. يكون التحقق متناسباً؛ ولا يُعدّ تقديم نسخة من وثيقة الهوية متطلباً افتراضياً. تتم مراجعة الطلبات وأي إفصاح للسلطات العامة قانونياً وتقليلها وتوثيقها؛ ويتم الطعن في الطلبات غير القانونية حيثما كان ذلك مناسباً.
ملفات تعريف الارتباط (Cookies) والنطاق
يدعم التخزين الأساسي للمصادقة/الأمن تقديم الخدمة. يتطلب التخزين الاختياري للتحليلات أو التسويق اختياراً منفصلاً ذا صلة ولا يُفوَّض بموجب عقد الخدمة. تقتصر مبيعات الأعمال الجديدة على الولايات المتحدة (US) والمملكة المتحدة (GB) وألمانيا (DE) والنمسا (AT) وسويسرا (CH). إن توفر اللغة منفصل عن أهلية البلد؛ ومع ذلك قد تظل القوانين الإلزامية سارية بناءً على المعالجة الفعلية وحقوق الأفراد.
أدلة القبول الإلكتروني
تتضمن سجلات العقود النص المعتمد المقبول وتجزئة SHA-256، والوقت، والمعرّف المستعار HMAC للجلسة (وليس بصمة جهاز دائمة)؛ وتنتهي صلاحية البيانات الوصفية لعنوان IP الخام/وكيل المستخدم (User-Agent) بعد 90 يوماً. تُعدّ سياسة مراجعة أدلة المطالبات التعاقدية بعد 6 سنوات محطة مراجعة أولية، وليست حذفاً تلقائياً أو حداً أقصى شاملاً. تتم مراجعة العقود النشطة وحالات الاحتفاظ القانوني المحددة وفترات المطالبة المنطبقة بشكل فردي. تتوفر الاتفاقيات والإيصالات على https://cbbdigital.us/account/contracts.php. تستخدم عملية الدفع (Checkout) لقطة طلب دفع غير قابلة للتعديل.
النسخ الاحتياطية المدارة والاستعادة
تتبع النسخ الاحتياطية اليومية المدارة الجديدة سياسة تدوير مدتها 30 يوماً، مع الاحتفاظ بآخر نسختين صالحتين للاسترداد وأي حالات احتفاظ قانوني موثقة. تُستثنى الأرشيفات المسماة السابقة من هذا التدوير التلقائي وتخضع لمراجعة منفصلة للضرورة والحذف. أرشيفات النسخ الاحتياطي مقيدة الوصول؛ ولا يُعدّ ضغط ملفات ZIP تشفيراً. نحن لا نعد بمحو فوري على مستوى السجل داخل الأرشيف. قبل الاستعادة، يجب إعادة تطبيق سجلات الحذف وإلغاء الاشتراك في الإشعارات الحالية والتحقق منها قبل استئناف المعالجة؛ ولا تؤدي استعادة ملفات SQL/ZIP الخام إلى تنفيذ تلك الإعادة تلقائياً.
أوامر الإيقاف الـ 13
قائمة الأوامر الكاملة والدقيقة المطابقة لـ webhook هي: STOP, İPTAL, IPTAL, DURDUR, RET, UNSUBSCRIBE, ABMELDEN, STOPZETTEN, AFMELDEN, ARRET, ARRÊT, DESABONNER, DÉSABONNER. يتم توحيد حالة الأحرف والمسافات المحيطة. لا يتطابق إلا الأمر الكامل؛ ويتم فحص النص الوارد بشكل عابر ولا يتم الاحتفاظ به في سجلات webhook.
التحقق من النشاط التجاري والضرائب والنقل
بالنسبة للاختصاصات القضائية خارج الولايات المتحدة، تتطلب الموافقة على الطلبات عبر الإنترنت بالإضافة إلى ذلك التحقق من التسجيل التجاري/الضريبي الرسمي، وهوية النشاط التجاري، وقابلية تطبيق آلية الاحتساب العكسي (reverse-charge) للخدمة المعنية. يُطلب من عملاء الاتحاد الأوروبي التحقق من ضريبة القيمة المضافة عبر نظام VIES؛ ويُطلب من العملاء السويسريين رقم تعريف المؤسسة (UID) وحالة ضريبة القيمة المضافة (MWST) النشطة؛ ويُطلب من عملاء المملكة المتحدة رقم ضريبة القيمة المضافة في المملكة المتحدة (UK VAT) أو دليل موثق للنشاط التجاري/إيرادات، والجمارك لصاحبة الجلالة (HMRC). لا يثبت رقم UID أو رقم تسجيل الشركة (CRN) وحده حالة ضريبة القيمة المضافة أو الأهلية للاحتساب العكسي. لا يؤدي خطأ في واجهة برمجة التطبيقات (API) أو نقص الأدلة أبداً إلى تفعيل الدفع، بل يحيل الطلب إلى المراجعة. نحن لا نبيع للطلبات التي لا يمكنها استيفاء التحقق. تتطلب الأسواق قيد الإعداد تفعيلاً منفصلاً وليست معفاة من هذه الشروط. يتم إرسال البلد ورقم ضريبة القيمة المضافة إلى خدمة VIES الرسمية التابعة للاتحاد الأوروبي؛ وتتم مطابقة هوية/عنوان النشاط التجاري المُرجع مع سجلات العقد. يتم الاحتفاظ بمراجع الأدلة ووقت الفحص والنتيجة ونطاق الخدمة المعتمد لأغراض التدقيق وتتم مراجعتها مع واجبات الاحتفاظ بالفوترة/العقود المعمول بها. لا تدخل الرقم المرجعي الفريد لدافعي الضرائب (UTR) الخام في هذا النموذج.