بياناتك، بلغة واضحة (GDPR للمشاركين في المسابقات)

يصلنا السؤال نفسه كل أسبوع تقريباً. وعادةً ما يأتي في الساعة 11 مساءً، من شخص شارك في مسابقة تصوير لعلامة تجارية بولندية قبل ثلاثة أيام، وأصبح الآن يتساءل عما سيحدث لرقم هاتفه إذا استعان بنا لإدارة حملة إعلانية صغيرة توجّه الزوار إلى صفحة مشاركته.

سؤال وجيه. وإليك الإجابة الصادقة.

توضّح هذه الصفحة ما الذي نجمعه، وما نرفض جمعه، وأين تُخزَّن البيانات، وكم من الوقت نحتفظ بها، وكيف يمكنك جعلها تختفي. لا مصطلحات قانونية لمجرد المصطلحات. نحن وكالة صغيرة في مينسك نعمل مع مشاركين في مسابقات مقيمين في الاتحاد الأوروبي، لذا تنطبق علينا لائحة GDPR عند معالجة بياناتك. ونحن نتصرّف على هذا الأساس.

النسخة المختصرة

تعطينا أربعة أشياء: اسمك، وبريداً إلكترونياً، ورابطاً إلى مشاركتك في المسابقة، وسجل دفع. هذا هو الحد الأساسي. وأحياناً أكثر، إذا طلبت منا كتابة نص يشير إلى سيرتك الذاتية. لا نطلب أبداً كلمة مرور منصة المسابقة. لا نطلب أبداً جدولاً بجهات اتصال أصدقائك. نحتفظ بالبيانات لمدة 30 يوماً بعد انتهاء الحملة، ثم نحذفها عبر مهمة مجدولة تعمل كل يوم أحد في الساعة 03:00 بتوقيت مينسك. وإذا أردت أن تختفي قبل ذلك، راسلنا عبر البريد الإلكتروني وستختفي خلال 72 ساعة.

هذه هي القصة كاملة. وبقية هذه الصفحة هي التفاصيل المملة التي تجعل النسخة المختصرة جديرة بالثقة.

ما الذي نجمعه منك فعلياً

عندما تملأ النموذج على /contact.html أو ترسل لنا رسالة على Telegram، ينتهي بنا الأمر إلى الاحتفاظ بما يلي:

الاسم وعنوان البريد الإلكتروني. حتى نتمكن من الرد عليك وإرسال الفواتير.
رابط (URL) مشاركتك في المسابقة. حتى نعرف أين نوجّه الزوار.
صفحة القواعد العامة للمسابقة. نقرأها. ولن نُدير حملة لمسابقة تمنع قواعدها الترويج المدفوع، ونعم، ما يقارب طلباً واحداً من كل 6 طلبات نتلقاها ينتهي عند هذا الحد.
بلدك ومدينتك، ويُستنتج ذلك عادةً من منطقتك الزمنية أو يُطلب منك مباشرةً، لأن استهداف الإعلانات يحتاج إلى مرجع جغرافي.
سجل الدفع. معرّف المعاملة، والمبلغ، والتاريخ، وطريقة الدفع. لا نخزّن أرقام البطاقات — فمعالج الدفع لدينا هو من يفعل ذلك، ونحن لا نرى رقم البطاقة الكامل (PAN) أبداً.
أحياناً: سيرة ذاتية قصيرة أو بضع جمل تكتبها عن نفسك، إذا كنا نصوغ نصاً إعلانياً لك. هذا اختياري وأنت تتحكم بما يُدرج فيه.

هذا كل شيء. القائمة قصيرة عن قصد.

ما نرفض جمعه، على الإطلاق

هذا هو الجزء الذي تتجاوزه معظم الوكالات، لذا سنكون صريحين.

بيانات تسجيل دخولك إلى منصة المسابقة. اسم المستخدم، وكلمة المرور، ورموز المصادقة الثنائية، و"كلمة المرور لدقيقة واحدة فقط" — لا. إذا طلب أحدهم هذه الأمور، فهو لا يُدير حملة تسويقية، بل يُدير عملية احتيال. لقد رفضنا عملاء أصرّوا على إعطائنا بيانات تسجيل دخولهم. بلطف، لكن بحزم.
البيانات الشخصية لأصدقائك أو عائلتك. لا قوائم أرقام هواتف، ولا تصدير لرسائل البريد الإلكتروني من جهات اتصالك، ولا جداول من نوع "هذا هو كل من قد يصوّت لي". الجماهير المخصصة المبنية من قوائم جهات اتصال لا تتحكم بها هي انتهاك لسياسة Meta ومشكلة بموجب المادة 6 من GDPR لا يوجد لها أساس قانوني سليم. لن نرفعها.
المستندات التي لست بحاجة إلى مشاركتها. صور جوازات السفر، وبطاقات الهوية، وفواتير المرافق. لا حاجة لنا بها. وإذا طلب مزوّد الدفع إجراءات "اعرف عميلك" (KYC)، فهذا أمر بينك وبين المزوّد — نحن لسنا طرفاً في هذه السلسلة.
بيانات التصفح لأي شخص ليس أنت. لا نُثبّت بكسلات تتبّع على صفحات مسابقات لا نملكها. ولا نكشط قوائم المصوّتين. ولا نشتري بيانات "الاهتمام بالمسابقات" من الوسطاء.

وإذا كان رفضنا القيام بأي من هذا يكلّفنا خسارة تعاملك معنا، فنحن مرتاحون لذلك. اقرأ حدودنا بالتفصيل على /services.html.

الأساس القانوني الذي نعتمد عليه (المادة 6، مبسّطة)

تنص لائحة GDPR على أننا نحتاج إلى سبب قانوني لمعالجة بياناتك. وهناك ستة أسباب. نعتمد على اثنين منها.

المادة 6(1)(ب) — تنفيذ العقد. لقد استعنت بنا لإدارة حملة. وللقيام بذلك، نحتاج بطبيعة الحال إلى بريدك الإلكتروني ورابط مشاركتك. ويغطّي هذا الأساس الجوهر التشغيلي للتعاقد.

المادة 6(1)(و) — المصالح المشروعة. فيما يخص أموراً مثل الاحتفاظ بسجل تدقيق لمدة 30 يوماً للنصوص الإعلانية التي عُرضت (حتى نتمكن من الإجابة عن الأسئلة إذا أبلغت Meta أو Google عن شيء ما)، نعتمد على المصالح المشروعة، موازنةً مع حقوقك. وقد وثّقنا اختبار الموازنة هذا مرة واحدة، في عام 2024، ونعيد قراءته كل ربيع.

لا نستخدم الموافقة بموجب المادة 6(1)(أ) كأساس رئيسي لنا، لأن الموافقة بموجب GDPR يجب أن تُمنح بحرية وأن يكون سحبها سهلاً، وربطها بخدمة مدفوعة يُعكّر هذا الأمر. الموافقة هي الأساس الصحيح لأمور مثل النشرة الإخبارية — وهي خدمة لا نقدّمها. ويوجد النص الرسمي على eur-lex.europa.eu/eli/reg/2016/679/oj إذا أردت قراءة المادة 6 بنفسك. إنها أقصر مما يظن الناس.

أين تُخزَّن البيانات

هذا مهم لأن لائحة GDPR تهتم بعمليات النقل الدولية. وإليك الحقيقة:

مراسلات البريد الإلكتروني: على صندوق بريد مستضاف في الاتحاد الأوروبي.
ملاحظات المشاريع وموجزاتها: على قرص مشفَّر في محطة عمل في مينسك، مع نسخة احتياطية مشفَّرة خارج الموقع في فرانكفورت.
الفواتير: في برنامج المحاسبة لدينا، وهو مستضاف في الاتحاد الأوروبي.
بيانات المنصات الإعلانية: بطبيعة الحال، على خوادم Meta وGoogle وTikTok. لا نتحكم بأماكن وضعها لها؛ فقد وافقت على شروطها عند استخدامك لتلك المنصات. ونحن نقلّل ما نرسله إليها.

بيلاروسيا ليست دولة تتمتع بـ"الكفاية" بموجب GDPR. نحن نعلم ذلك. ولهذا نستخدم البنود التعاقدية القياسية (Standard Contractual Clauses) مع المعالِجين الفرعيين المقيمين في الاتحاد الأوروبي، ونوثّق أنشطة المعالجة لدينا. وإذا أردت الوثائق، سنرسلها لك. قلّة من الناس يطلبونها، لكن العرض قائم.

الاحتفاظ: 30 يوماً، ثم تختفي

تحتفظ معظم الوكالات ببيانات العملاء إلى الأبد "تحسّباً لعودتك". نحن لا نفعل ذلك. مدة الاحتفاظ الافتراضية لدينا هي 30 يوماً بعد انتهاء الحملة.

وإليك ما يحدث في اليوم 31. تعمل مهمة مجدولة على خادمنا كل يوم أحد في الساعة 03:00 بتوقيت مينسك. تتحقّق من كل مشروع مُعلَّم بأنه "مكتمل" وتحسب الأيام منذ إغلاق الحملة. وإذا تجاوز العدد 30، يُنقل مجلد المشروع إلى دليل حجر صحي (quarantine). وبعد سبعة أيام، تحذف مهمة أخرى محتوى الحجر الصحي. لذا، عملياً، تختفي بياناتك خلال 30 إلى 37 يوماً، بحسب اليوم من الأسبوع الذي انتهت فيه حملتك.

استثناءات نحتفظ بها لفترة أطول:

الفواتير. يتطلب القانون الضريبي البيلاروسي 5 سنوات. نحن لسنا محامين وهذه ليست استشارة — بل هو ما يخبرنا به محاسبنا، ونحن نلتزم به.
سجلات الاسترداد. الـ5 سنوات نفسها، والسبب نفسه. وسياسة الاسترداد نفسها موجودة على /refund.html.
أي شيء تطلب منا صراحةً الاحتفاظ به، مثلاً لأنك تريد منا إدارة حملة ثانية الشهر المقبل. في هذه الحالة نطلب منك التأكيد كتابةً، ونضبط تذكيراً في التقويم لتاريخ الاحتفاظ الجديد.

وإذا طلبت منا حذف كل شيء في وقت أبكر — بما في ذلك الأشياء التي نحتفظ بها عادةً لأسباب قانونية — فسنحذف ما يمكننا حذفه قانونياً ونخبرك بالضبط بما لا يمكننا حذفه، ولماذا. دون أي تظاهر.

الحق في المحو، آلياً

تمنحك المادة 17 من GDPR الحق في محو بياناتك الشخصية. تجعل معظم المقالات عن هذا الأمر يبدو وكأنه محنة بيروقراطية. أما معنا فليس كذلك.

ترسل بريداً إلكترونياً إلى العنوان الموجود على /contact.html بسطر موضوع "طلب محو" أو ما يعادله بأي لغة تفضّلها. نرد خلال يوم عمل واحد. وخلال 72 ساعة من التحقق من هويتك (نحتاج فقط أن ترسله من عنوان البريد الإلكتروني المسجّل لدينا، أو أن تؤكّد مرجع دفع)، نقوم بما يلي:

نحذف مجلد مشروعك من وحدة التخزين العاملة.
نطهّر السجل من نسختنا الاحتياطية المشفَّرة عند دورة النسخ الاحتياطي التالية، التي تحدث ليلياً.
نوقف فوراً أي حملات إعلانية نشطة ونزيل رابط مشاركتك من المجموعات الإعلانية خلال 24 ساعة.
نطلب من معالِجينا الفرعيين (صندوق البريد في الاتحاد الأوروبي، وبرنامج المحاسبة) حذف ما يحتفظون به، حيثما يسمح القانون بذلك.
نرسل لك تأكيداً كتابياً يسرد ما حُذف وما اضطُررنا إلى الاحتفاظ به، مع الأساس القانوني للاحتفاظ به.

تسمح لائحة GDPR رسمياً بمدة تصل إلى 30 يوماً، قابلة للتمديد إلى 90 في الحالات المعقّدة. نحن لا نحتاج إلى 30 يوماً لنوع العمل الذي نقوم به. وإذا سمعت منا يوماً "نحتاج إلى مزيد من الوقت"، فذلك لأننا واجهنا أمراً معقّداً بالفعل وسنشرحه لك.

قيد واحد بصراحة. إذا كانت بيانات حملتك قد دخلت بالفعل إلى أنظمة Meta أو Google، فلا يمكننا الوصول إلى داخل قواعد بياناتها وسحبها. عليك أن تطلب المحو منها مباشرةً. توجد آلية Meta على facebook.com/help/contact/540977946302970؛ وآلية Google عبر إعدادات الخصوصية في حساب Google الخاص بك. ويمكننا أن نعطيك الرابط المباشر المناسب لحالتك إذا طلبت ذلك. لقد فعلنا هذا من أجل 11 عميلاً خلال الأشهر الـ18 الماضية. وهو ينجح.

ما أخطأنا فيه ذات مرة

قسم الصراحة. في أوائل عام 2024 احتفظنا بموجز أحد المشاريع في مسودة بريد إلكتروني لمدة ستة أسابيع بعد انتهاء الحملة — متجاوزين قاعدتنا الخاصة البالغة 30 يوماً — لأننا كنا نكتب مقترحاً متابِعاً ونسينا حذف المسودة. لم يتسرّب شيء. ولم يتضرّر أحد. لاحظ العميل ذلك في محادثة عابرة، فسأل، فاعترفنا به، وحذفنا المسودة أثناء المكالمة، وغيّرنا عمليتنا بحيث تُفحص المسودات بنفس مهمة التنظيف الأسبوعية يوم الأحد. نذكر هذا لأن كل وكالة تدّعي سجلاً مثالياً، ولا تكاد أي منها تملك واحداً.

المعالِجون الفرعيون، بالاسم

نحن مُلزَمون بإخبارك بمن يلمس بياناتك أيضاً. القائمة الحالية:

مزوّد استضافة بريدنا الإلكتروني في الاتحاد الأوروبي (سنذكر اسمه كتابةً عند الطلب؛ لا نريد لهذه الصفحة أن تكون هدفاً للتصيّد الاحتيالي).
مزوّد برنامج المحاسبة لدينا، المقيم في الاتحاد الأوروبي.
المنصات الإعلانية Meta وGoogle وTikTok، عندما تأذن بحملة معها.
معالج الدفع لدينا، الذي يتولّى إصدار الفواتير ولا يشاركنا أبداً تفاصيل البطاقة الكاملة.

لا نستخدم نظام إدارة علاقات عملاء (CRM). ولا نستخدم منظومة أتمتة تسويق. ولا نستخدم مزوّد ذكاء اصطناعي يستوعب بيانات العملاء لأغراض التدريب. وإذا غيّرنا ذلك يوماً، فسنحدّث هذه الصفحة ونراسل كل عميل نشط أولاً.

حقوقك، كقائمة مرجعية

بموجب GDPR لديك الحق في: الوصول إلى بياناتك، وتصحيحها، ومحوها، وتقييد معالجتها، ونقلها إلى مزوّد آخر، والاعتراض على المعالجة المستندة إلى المصالح المشروعة. وفيما عدا النقل (فنحن لا نحتفظ ببيانات كافية لكي يكون ذلك ذا معنى)، يكفي بريد إلكتروني واحد إلينا لبدء العملية. نرد خلال يوم عمل واحد، وننتهي خلال ثلاثة.

وإذا كنت ترى أننا نتعامل مع بياناتك بشكل خاطئ وأن ردّنا غير كافٍ، يمكنك تقديم شكوى إلى هيئة حماية البيانات الوطنية في بلدك. في بولندا، هي UODO (uodo.gov.pl). نفضّل أن تخبرنا أولاً حتى نتمكن من إصلاح الأمر — لكننا لن نثنيك أبداً عن اللجوء إلى الجهة التنظيمية.

ما لا تغطّيه هذه الصفحة

هذه هي النسخة باللغة الواضحة. أما سياسة الخصوصية الرسمية بكل عناوين الأقسام التي تحب لائحة GDPR رؤيتها، فهي موجودة على /privacy.html. وإذا تعارضت النسختان يوماً، فالنسخة الرسمية هي المرجع — لكننا نعمل جاهدين على إبقائهما متوائمتين. وإذا اكتشفت تناقضاً، راسلنا. سنصلحه في اليوم نفسه.

وللاطلاع على كيفية إدارتنا للعمل فعلياً بعد تسوية مسألة البيانات، راجع /process.html. ولمعرفة من نحن، /about.html. وللتكاليف، /pricing.html. وللأسئلة التي يطرحها العملاء قبل التوقيع، /faq.html.

أمر أخير

نحن فريق صغير عن قصد. وهذه ميزة، لا اعتذار. فهي تعني أن عدداً أقل من الأشخاص يلمسون بياناتك، وأن جرد البيانات أعلاه هو الجرد الفعلي (وليس ملخّصاً منمّقاً)، وأنك تستطيع عادةً أن تعرف بالاسم الشخص الذي يردّ على طلب المحو الخاص بك. وإذا بدا هذا قديم الطراز، فلا بأس. كما يبدو أيضاً وكأنه نوع الوكالة التي قد نرغب نحن في الاستعانة بها لو انعكست الأدوار.