QR Studio
سياسة الخصوصية
تصف هذه السياسة كيفية معالجة خدمة QR Studio (الخدمة) للبيانات الشخصية وفقاً للائحة (EU) 2016/679 (GDPR) والقوانين ذات الصلة. نوصي بقراءتها كاملة قبل إنشاء حساب.
1. المتحكم في البيانات
المتحكم في البيانات هو مشغّل خدمة QR Studio، المتاحة على qrstudio.cz. للتواصل: [email protected].
لممارسة حقوقك، يكفي إرسال بريد إلكتروني إلى العنوان أعلاه. نرد دون تأخير غير مبرر، في غضون 30 يوماً كحد أقصى.
2. ما البيانات التي نعالجها
2.1. بيانات الحساب
- عنوان البريد الإلكتروني (لتسجيل الدخول والتواصل المتعلق بالحساب).
- كلمة المرور (تُخزَّن فقط كتجزئة آمنة، ولا تُخزَّن أبداً بنص واضح).
- تاريخ إنشاء الحساب، تاريخ آخر تسجيل دخول.
- سجل الموافقة (الوقت، إصدار الشروط، المتصفح المستخدم وقت منح الموافقة).
2.2. المحتوى الذي ترفعه
- محتوى رموز QR التي تحفظها (عناوين URL، نصوص، بطاقات اتصال، بيانات اعتماد Wi-Fi، بيانات الدفع SPD/EPC، إلخ). تُدخل هذه البيانات عن علم وتحدد طبيعتها بنفسك.
- تصميم رمز QR المحفوظ (الألوان، القالب، الشعار).
- أسماء المجلدات وهيكلها.
تنبيه: إذا قمت بتضمين بيانات شخصية في رمز QR (مثل كلمة مرور Wi-Fi أو رقم هاتف طرف ثالث)، فأنت المتحكم في تلك البيانات لأغراض GDPR.
2.3. إحصائيات المسح (رموز QR الديناميكية فقط)
إذا كنت تستخدم رموز QR الديناميكية (مع رابط مختصر qrstudio.cz/r/...)، يتم تسجيل ما يلي عند كل عملية مسح:
- وقت المسح والرمز الذي تم مسحه.
- نوع الجهاز (هاتف محمول / جهاز لوحي / حاسوب مكتبي) ونوع المتصفح - من ترويسة User-Agent.
- البلد والموقع التقريبي (المدينة) المستمدّان من عنوان IP. لا يتم تخزين عنوان IP نفسه - يتم تخزين البلد والمدينة المستمدّين فقط.
تُستخدم هذه البيانات حصرياً لعرض الإحصائيات لمالك رمز QR. لا نربطها أبداً بهوية الماسح ولا نشاركها مع أطراف ثالثة.
2.4. ملفات تعريف الارتباط التشغيلية والتحليلات
- التخزين الوظيفي للمتصفح (localStorage): اللغة، المظهر (فاتح/داكن)، حالة الموافقة. تعمل الخدمة تقنياً بدونه، لكن ستُفقد الإعدادات.
- ملفات تعريف ارتباط مصادقة Supabase: للمستخدمين المسجّلين فقط، مطلوبة للحفاظ على الجلسة نشطة.
- Google Analytics 4 (G-ZBZK60ZG56): عنوان IP مجهول الهوية، تتبع حركة المرور على الموقع. اختياري - يُفعَّل فقط بموافقتك الصريحة في شريط ملفات تعريف الارتباط أو أثناء التسجيل.
3. الأغراض والأسس القانونية
| الغرض | البيانات | الأساس القانوني |
|---|---|---|
| تشغيل الحساب وتخزين رموز QR | البريد الإلكتروني، تجزئة كلمة المرور، محتوى QR، المجلدات | تنفيذ العقد - المادة 6(1)(ب) GDPR |
| إحصائيات مسح رموز QR الديناميكية | الوقت، نوع الجهاز، البلد/المدينة (من IP، لا يُحتفظ بعنوان IP) | المصلحة المشروعة - المادة 6(1)(و) GDPR (تقديم إحصائيات لمالك الرمز) |
| Google Analytics | عنوان IP مجهول الهوية، بيانات زيارة الموقع | الموافقة - المادة 6(1)(أ) GDPR |
| سجل الموافقة والشروط | الوقت، الإصدار، المتصفح | الالتزام القانوني - المادة 6(1)(ج) GDPR |
| الأمان ومنع إساءة الاستخدام | سجلات الوصول (سجلات الخادم، مؤقتة) | المصلحة المشروعة - المادة 6(1)(و) GDPR |
4. المستلمون والمعالجون
نحن لا نبيع البيانات. الأطراف التالية قد يكون لها حق الوصول:
- Cloudflare, Inc. (الولايات المتحدة) - نظام DNS والاتصال المشفّر (TLS) والوكيل الشبكي الذي تمر عبره جميع حركة المرور إلى الموقع؛ يعالج عناوين IP وبيانات الطلبات. سياسة الخصوصية.
- Supabase (Supabase Inc.، الولايات المتحدة، مركز بيانات في منطقة الاتحاد الأوروبي) - المصادقة وقاعدة البيانات. سياسة الخصوصية.
- Google Ireland Ltd. - Google Analytics (فقط في حال موافقتك). سياسة الخصوصية.
جميع المعالجين ملزمون باتفاقية معالجة البيانات (DPA) بموجب المادة 28 من GDPR. تقع الخوادم في الاتحاد الأوروبي.
5. عمليات النقل خارج الاتحاد الأوروبي
يقع مقر Supabase Inc. في الولايات المتحدة، لكن البنية التحتية للخدمة تعمل في مركز بيانات أوروبي. أي وصول عبر الأطلسي يستخدم البنود التعاقدية القياسية (SCC) بموجب المادة 46 من GDPR. يُقدَّم Google Analytics من خلال Google Ireland Ltd.؛ وعمليات النقل إلى الولايات المتحدة مشمولة بالبنود التعاقدية القياسية وإطار خصوصية البيانات بين الاتحاد الأوروبي والولايات المتحدة. يقع مقر Cloudflare, Inc. في الولايات المتحدة؛ وعمليات النقل مشمولة كذلك بالبنود التعاقدية القياسية وإطار خصوصية البيانات بين الاتحاد الأوروبي والولايات المتحدة.
6. فترات الاحتفاظ
- بيانات الحساب ورموز QR: طوال مدة وجود الحساب. بعد حذف الحساب، تُزال البيانات بشكل لا رجعة فيه خلال 30 يوماً.
- إحصائيات المسح: تُحفظ البيانات المجمّعة طوال مدة حساب مالك الرمز.
- سجلات الموافقة: 3 سنوات بعد سحب الموافقة (التزام قانوني لإثبات الموافقة).
- سجلات الخادم: 30 يوماً كحد أقصى، لأغراض أمنية فقط.
- Google Analytics: 14 شهراً (إعداد الاحتفاظ بالبيانات الافتراضي في GA4).
7. حقوقك
بموجب GDPR، لديك الحقوق التالية التي يمكنك ممارستها عبر إرسال بريد إلكتروني إلى [email protected] أو في إعدادات حسابك:
- حق الوصول (المادة 15) - الحصول على نسخة من بياناتك.
- حق التصحيح (المادة 16) - تصحيح البيانات غير الدقيقة.
- حق المحو (المادة 17، الحق في النسيان) - حذف الحساب وجميع البيانات.
- حق تقييد المعالجة (المادة 18).
- حق نقل البيانات (المادة 20) - تصدير بياناتك بتنسيق منظّم (JSON).
- حق الاعتراض (المادة 21) على المعالجة القائمة على المصلحة المشروعة.
- حق سحب الموافقة (المادة 7(3)) - في أي وقت، دون التأثير على المعالجة السابقة. بالنسبة لـ Google Analytics: زر ملفات تعريف الارتباط في التذييل أو في إعدادات الحساب.
- حق تقديم شكوى لدى سلطة إشرافية - في جمهورية التشيك، مكتب حماية البيانات الشخصية (uoou.cz).
8. الأمان
- جميع الاتصالات مشفّرة عبر HTTPS (TLS 1.2+).
- تُخزَّن كلمات المرور فقط كتجزئات آمنة (bcrypt).
- تستخدم قاعدة البيانات أمان مستوى الصف (RLS) - كل مستخدم يمكنه الوصول إلى بياناته الخاصة فقط.
- يرسل الخادم ترويسات CSP وX-Frame-Options وغيرها للحماية من XSS واختطاف النقرات.
9. الأطفال
الخدمة غير مخصصة للأشخاص دون 16 عاماً. نحن لا نعالج عن علم البيانات الشخصية للأطفال. إذا كنت تعتقد أن طفلاً قد قدّم بيانات شخصية دون موافقة ولي الأمر، تواصل معنا وسنقوم بإزالة البيانات.
10. التغييرات على هذه السياسة
قد نقوم بتحديث هذه السياسة. سنُعلمك بالتغييرات الجوهرية عبر البريد الإلكتروني أو عبر إشعار داخل الخدمة ونطلب موافقة جديدة على النسخة المحدّثة. يظهر تاريخ الإصدار في ترويسة هذا المستند.
11. الاتصال
لأي أسئلة أو طلبات تتعلق بحماية البيانات، تواصل عبر: [email protected]