سياسة الخصوصية وحماية البيانات الشخصية

1. من نحن: المتحكم ومسؤول حماية البيانات

تُشغِّل منصة ماي هيرو (MyHero) شركة أوكتا سوليوشن ش.ذ.م.م (OCTA Solution LLC)، وهي شركة مصرية مقرها القاهرة، وتُعدّ المتحكم في البيانات الشخصية التي تعالَج من خلال المنصة بالمعنى الوارد في قانون حماية البيانات الشخصية رقم 151 لسنة 2020 ولائحته التنفيذية.

• العنوان المسجل: 3 شارع مكرم عبيد، الدور السادس، غرفة رقم (B)، مدينة نصر أول، القاهرة.
• رقم السجل التجاري: 160324 لدى مكتب سجل تجاري استثمار القاهرة (الرقم الموحد 224000618).
• رقم البطاقة الضريبية: 224-000-618.
• مسؤول حماية البيانات: يمكن مراسلته على info@octasolutions.net.
• قناة التواصل داخل المنصة: صفحة «كلّمنا» بتصنيف الخصوصية والبيانات.

2. نطاق هذه السياسة

تسري هذه السياسة على كل البيانات الشخصية التي نعالجها عند زيارة المنصة أو التسجيل فيها أو استخدام أي من خدماتها، سواء بصفة المستقل أو صاحب العمل أو الزائر، وعلى المراسلات التي تتم معنا عبر قنوات الدعم.

تُقرأ هذه السياسة مع شروط الاستخدام وحقوق المستخدم وسياسة ملفات تعريف الارتباط والتخزين المحلي وسياسة الذكاء الاصطناعي وسياسة التحقق من الهوية.

لا تسري هذه السياسة على المواقع أو الخدمات الخارجية التي قد يشير إليها المستخدمون، ولا على ما يتبادله المستخدمون خارج المنصة بالمخالفة لشروطها.

3. التعريفات

المنصة

موقع وتطبيق ماي هيرو وكل الخدمات المقدمة من خلالهما.

المشغّل أو المتحكم

شركة حلول أوكتا المحدودة لإدارة وتشغيل المطاعم («أوكتا سوليوشن»)، الجهة التي تحدد أغراض معالجة البيانات الشخصية ووسائلها.

المعالج

أي جهة تعالج البيانات الشخصية لحساب المتحكم وبناءً على تعليماته، مثل مزوّد الاستضافة أو بوابة الدفع.

المستخدم

كل شخص طبيعي يسجّل حسابًا على المنصة أو يستخدمها.

المستقل

المستخدم الذي يقدّم خدمات أو يقدّم عروضًا على مشروعات من خلال المنصة.

صاحب العمل

المستخدم الذي يطلب خدمة أو ينشر مشروعًا ويدفع مقابله من خلال المنصة.

البيانات الشخصية

أي بيانات تتعلق بشخص طبيعي محدد أو يمكن تحديده بشكل مباشر أو غير مباشر.

البيانات الحساسة

البيانات التي يعدّها القانون حساسة، ومنها البيانات البيومترية والمالية وفق تعريف القانون المصري.

المعالجة

أي عملية تُجرى على البيانات الشخصية، كالجمع والتخزين والاستخدام والإفصاح والمحو.

المركز

مركز حماية البيانات الشخصية المنشأ بموجب القانون رقم 151 لسنة 2020.

4. فئات البيانات التي نجمعها ومصادرها

نلتزم بمبدأ تقليل البيانات، فلا نجمع إلا ما يلزم لتشغيل المنصة وحمايتها والوفاء بالتزاماتنا القانونية. وفيما يلي فئات البيانات ومصدر كل منها:

4.1 بيانات الحساب — مصدرها: أنت

• الاسم والبريد الإلكتروني وتاريخ الميلاد ولغة الواجهة.
• كلمة المرور، وتُحفظ في صورة مشفّرة باتجاه واحد (argon2) ولا يمكن لأحد الاطلاع عليها.
• كود الدعوة المستخدم في التسجيل، إن وُجد.
• إعدادات التحقق بخطوتين ورموز الاسترداد، إن فعّلتها.

4.2 بيانات الملف الشخصي — مصدرها: أنت

• النبذة التعريفية والمهارات والخبرات ومعرض الأعمال والصورة الشخصية.
• الخدمات والباقات التي ينشرها المستقل، والمشروعات التي ينشرها صاحب العمل، والعروض المقدمة عليها.

4.3 بيانات التحقق من الهوية — مصدرها: أنت عبر مزوّد التحقق

• صورة بطاقة الرقم القومي المصرية وصورة شخصية حية (سيلفي)، تُجمع وتُعالَج لدى مزوّد تحقق متخصص.
• نحتفظ نحن بنتيجة التحقق ومستواه وتاريخه، وما يلزم من بيانات لإثبات إجرائه.

4.4 البيانات المالية — مصدرها: أنت وبوابة الدفع وسجلات المنصة

• الطلبات والعقود والمدفوعات والمبالغ المحتجزة والأرباح وعمليات السحب والاسترداد والاشتراكات ونقاط الذكاء الاصطناعي.
• بيانات حساب السحب (محفظة الهاتف المحمول أو الحساب البنكي)، وتُحفظ مشفّرة بمعيار AES-256-GCM.
• لا تصل إلينا بيانات البطاقات المصرفية مطلقًا؛ إذ يُدخلها المستخدم مباشرة لدى بوابة الدفع المرخّصة، ونتلقى منها نتيجة العملية فقط.

4.5 محتوى العمل والتواصل — مصدرها: أنت والطرف الآخر

• الرسائل والملفات والتسليمات وطلبات التعديل ولقطة شروط العقد.
• التقييمات والبلاغات والنزاعات والأدلة المقدمة فيها.
• تذاكر الدعم ومراسلاتك معنا.

4.6 بيانات الأمان والاستخدام — مصدرها: جهازك وأنظمتنا تلقائيًا

• عنوان IP ونوع الجهاز والمتصفح والجلسات النشطة.
• سجل تدقيق للإجراءات المهمة (مثل تسجيل الدخول وتغيير كلمة المرور وطلبات السحب).
• تقارير الأخطاء التقنية من المتصفح، بعد حذف معاملات الاستعلام من الروابط.
• بيانات قياس الاستخدام عبر Google Analytics (الصفحات التي تزورها ونوع الجهاز والمتصفح والموقع الجغرافي التقريبي ومصدر الزيارة والأحداث المهمة كإتمام التسجيل أو الدفع)، ولا نرسل فيها اسمك أو بريدك الإلكتروني أو رقم هاتفك أو رقم حسابك.

4.7 الموافقات والاشتراك في الإشعارات — مصدرها: أنت

• سجل قبولك للشروط وهذه السياسة مع رقم الإصدار والوقت وعنوان IP والجهاز.
• موافقاتك الاختيارية (رسائل التسويق، معالجة الذكاء الاصطناعي والنقل عبر الحدود، الإشعارات الفورية) وتاريخ سحبها.
• بيانات اشتراك الإشعارات الفورية في المتصفح، إذا فعّلتها.

5. أغراض المعالجة وأسسها القانونية

لا نعالج بياناتك إلا لغرض محدد ومشروع، وعلى أساس قانوني واضح، على النحو الآتي:

5.1 تنفيذ العقد معك

• إنشاء الحساب وإدارته والتحقق من البريد الإلكتروني.
• نشر الخدمات والمشروعات والعروض، وإبرام العقود وتنفيذها، والتسليم والتعديل والاعتماد.
• تحصيل المدفوعات واحتجازها وتحريرها، وتنفيذ الاسترداد والسحب، وإدارة الاشتراكات ونقاط الذكاء الاصطناعي.
• إرسال الإشعارات التشغيلية الضرورية (مثل تذكير الاعتماد وتغيّر حالة الطلب).
• تقديم الدعم الفني والرد على استفساراتك.

5.2 المصلحة المشروعة

• حماية الحسابات والمنصة، واكتشاف الاحتيال وإساءة الاستخدام ومنعهما.
• مراجعة المحتوى قبل النشر وحجب بيانات التواصل خارج المنصة.
• الفصل في النزاعات والبلاغات وتطبيق الجزاءات والنظر في التظلمات.
• فحص الملفات بحثًا عن البرمجيات الضارة.
• تحسين الخدمة وإصلاح الأخطاء التقنية.

عند الاستناد إلى المصلحة المشروعة نوازن بينها وبين حقوقك وحرياتك، ويحق لك الاعتراض على هذه المعالجة وفق حقوق المستخدم.

5.3 الالتزام القانوني

• الاحتفاظ بالسجلات المالية والمحاسبية والضريبية للمدد المقررة قانونًا.
• الاحتفاظ بسجلات النشاط مدة لا تقل عن 180 يومًا وفق قانون مكافحة جرائم تقنية المعلومات رقم 175 لسنة 2018.
• التحقق من الهوية وإجراءات مكافحة غسل الأموال حيث يقتضي القانون ذلك.
• الاستجابة للطلبات الصادرة من الجهات القضائية أو الرسمية المختصة وفقًا للقانون.

5.4 الموافقة

• رسائل التسويق عبر البريد الإلكتروني (خانة مستقلة اختيارية).
• معالجة النصوص بخدمات الذكاء الاصطناعي ونقلها إلى مزوّدين خارج مصر.
• الإشعارات الفورية في المتصفح.
• ملفات تعريف الارتباط الخاصة بالتحليلات والإعلانات (Google Analytics وGoogle Ads)، من شريط الموافقة الذي يظهر عند أول زيارة.

يجوز لك سحب موافقتك في أي وقت دون أن يؤثر ذلك على مشروعية المعالجة التي تمت قبل السحب، ودون أن يترتب عليه حرمانك من الخدمات الأساسية.

6. البيانات الحساسة

قد تُعدّ صورة بطاقة الهوية والصورة الشخصية الحية المستخدمة في مطابقة الوجه بيانات بيومترية، كما قد تُعدّ بعض البيانات المالية بيانات حساسة وفق القانون المصري. ولذلك:

• تُجمع صور الهوية والسيلفي وتُعالَج لدى مزوّد التحقق المتخصص، ولا نستخدمها لأي غرض غير التحقق ومنع الاحتيال.
• نحتفظ بنتيجة التحقق ومستواه فقط، ويحتفظ المزوّد بالصور للمدة المحددة في العقد معه.
• تُحفظ بيانات حسابات السحب مشفّرة، ويقتصر الوصول إليها على عدد محدود من الموظفين المخوّلين مع تسجيل كل اطلاع.
• نحصل على الموافقة الصريحة المكتوبة اللازمة لمعالجة البيانات الحساسة عند بدء التحقق.

لا نطلب منك ولا نعالج بيانات عن الصحة أو المعتقد الديني أو الآراء السياسية، ونرجو عدم تضمينها في ملفك أو رسائلك.

7. المعالجة الآلية والذكاء الاصطناعي

• لا نتخذ قرارات آلية بالكامل تنتج عنها آثار قانونية أو آثار مماثلة مؤثرة عليك (مثل إيقاف الحساب أو حجز الأرباح) دون مراجعة بشرية.
• نستخدم فلاتر آلية في مراجعة المحتوى تكتشف بيانات التواصل والروابط في القوائم والرسائل فتحجبها أو تعلّمها للمراجعة، ونستخدم مؤشرات آلية لرصد مخاطر الاحتيال تُحال نتائجها إلى موظف مختص.
• تُقدَّم خدمات الذكاء الاصطناعي (مثل مسودة النبذة التعريفية أو مسودة وصف المشروع) بناءً على طلبك وبعد موافقتك الصريحة، ويُختار المزوّد تلقائيًا من بين Anthropic وOpenAI وGoogle بحسب طبيعة المهمة وتوافر الخدمة.
• قبل إرسال أي نص إلى مزوّد خارجي نحذف منه أرقام الهواتف وعناوين البريد الإلكتروني والروابط.
• المخرجات مجرد اقتراحات لا يُحفظ منها شيء إلا بعد أن تختاره أو تعدّله بنفسك، ولا يحدد الذكاء الاصطناعي الأسعار.

للتفاصيل راجع سياسة الذكاء الاصطناعي.

8. متلقو البيانات والمعالجون الفرعيون

لا نبيع بياناتك الشخصية ولا نؤجرها، ولا نشاركها مع معلنين. ولا نفصح عنها إلا للجهات الآتية وبالقدر اللازم:

• الطرف الآخر في العقد: اسمك العام وملفك الشخصي ورسائل العقد وتسليماته، ولا يُكشف له بريدك الإلكتروني أو رقم هاتفك.
• بوابة الدفع Kashier: لمعالجة المدفوعات والاسترداد.
• مزوّد التحقق من الهوية: لإجراء التحقق.
• مزوّد خدمة البريد الإلكتروني: لإرسال رسائل التحقق والإشعارات.
• مزوّد الاستضافة والحوسبة السحابية: لتخزين البيانات وتشغيل المنصة.
• مزوّدو الذكاء الاصطناعي Anthropic وOpenAI وGoogle: لخدمات الذكاء الاصطناعي فقط وبعد موافقتك، مع التزامهم تعاقديًا بعدم استخدام البيانات في تدريب نماذجهم.
• خدمات الإشعارات الفورية في المتصفحات (Google FCM وApple وMozilla وMicrosoft): إذا فعّلت الإشعارات.
• Google (Google Analytics وGoogle Ads): لقياس استخدام المنصة ونتائج إعلاناتنا، وفق البند 16 وبعد موافقتك على ملفات تعريف الارتباط فقط.
• Meta Platforms (بكسل ميتا): لقياس نتائج إعلاناتنا على فيسبوك وإنستجرام، وفق البند 16.2 وبعد موافقتك على ملفات تعريف الارتباط فقط.
• الجهات الرسمية والقضائية: عند وجود التزام قانوني أو أمر قضائي، أو لحماية حقوقنا وحقوق المستخدمين.
• المشتري أو الخلف في حالة الاندماج أو الاستحواذ أو نقل النشاط، مع الالتزام بهذه السياسة وإخطارك مسبقًا.

نُلزم كل معالج بعقد مكتوب يقصر المعالجة على تعليماتنا ويفرض تدابير أمان مناسبة. ويقتصر وصول موظفينا إلى البيانات على مبدأ أقل صلاحية لازمة، ويُسجَّل كل فتح لملف مستخدم.

9. نقل البيانات خارج مصر

يعالج بعض مزوّدينا (مثل مزوّدي الذكاء الاصطناعي وخدمات الإشعارات وGoogle Analytics وربما الاستضافة) البيانات خارج جمهورية مصر العربية. ولا يتم أي نقل إلا وفقًا لأحكام القانون رقم 151 لسنة 2020 ولائحته التنفيذية، بموجب ترخيص أو تصريح النقل الصادر عن المركز، ومع ضمانات تعاقدية وفنية توفر مستوى حماية لا يقل عن المستوى المقرر في مصر.

وبالنسبة لخدمات الذكاء الاصطناعي تحديدًا، نطلب موافقتك الصريحة على النقل عبر الحدود قبل أول استخدام.

10. مدد الاحتفاظ بالبيانات

نحتفظ بالبيانات طوال المدة اللازمة لتحقيق الغرض منها أو المدة التي يفرضها القانون، أيهما أطول، ثم نمحوها أو نجعلها غير قابلة للتعريف:

• بيانات الحساب والملف الشخصي: طوال وجود الحساب، وتُمحى أو تُجهَّل عند إغلاقه، مع مراعاة البنود التالية.
• السجلات المالية والعقود ولقطات الشروط: المدة التي يقررها قانون الضرائب والمحاسبة.
• سجلات الأمان والتدقيق والنشاط: 180 يومًا على الأقل.
• النسخ الاحتياطية: تُحذف تلقائيًا بعد 35 يومًا.
• تذاكر الدعم: للمدة اللازمة لمعالجة الطلب ومتابعته.
• صور التحقق من الهوية لدى المزوّد: للمدة المحددة في العقد معه؛ ونتيجة التحقق لدينا مع السجلات المالية.
• ملفات النزاعات وأدلتها: مع السجلات المالية للعقد المعني.
• سجلات الموافقات: طوال وجود الحساب وللمدة اللازمة لإثبات الموافقة بعد ذلك.

11. تدابير الأمان

نطبق تدابير تقنية وتنظيمية مناسبة لحماية البيانات من الفقد أو الوصول غير المصرح به، منها:

• تشفير الاتصال بالكامل عبر TLS.
• تخزين كلمات المرور بخوارزمية argon2، وتشفير بيانات السحب ومفاتيح خدمات الذكاء الاصطناعي.
• التحقق بخطوتين اختياريًا للمستخدمين وإلزاميًا لموظفي المنصة.
• سياسات أمان المحتوى (CSP) وترويسات الأمان، وفحص الملفات المرفوعة بحثًا عن البرمجيات الضارة.
• نسخ احتياطية يومية مشفّرة مع اختبارات دورية للاستعادة.
• اختبارات أمان آلية داخلية، مع اختبار اختراق خارجي مخطط له قبل التشغيل بالأموال الحقيقية على نطاق عام.
• صلاحيات وصول محدودة للموظفين وسجل تدقيق لكل اطلاع.

ومع ذلك لا يوجد نظام آمن بشكل مطلق، ونوصيك بحماية كلمة مرورك وتفعيل التحقق بخطوتين.

12. الإخطار بخرق البيانات

إذا وقع خرق للبيانات الشخصية من شأنه أن يمس حقوقك، نخطر المركز خلال 72 ساعة من اكتشافه حيث يوجب القانون ذلك، ونخطرك أنت أيضًا عبر البريد الإلكتروني أو داخل المنصة في المدة ذاتها، مع بيان طبيعة الخرق والبيانات المتأثرة والإجراءات المتخذة والخطوات التي ننصحك باتخاذها.

13. حقوقك

يكفل لك القانون حقوقًا على بياناتك، أهمها:

• الاطلاع على بياناتك وتنزيل نسخة منها بصيغة JSON من إعدادات الحساب.
• تصحيح بياناتك وتحديثها.
• محو بياناتك بطلب إغلاق الحساب، مع الاحتفاظ بما يوجب القانون الاحتفاظ به.
• تقييد المعالجة والاعتراض عليها، بما في ذلك الاعتراض على التسويق.
• نقل البيانات وسحب الموافقة.
• تقديم شكوى إلى المركز.

نرد على طلبك خلال 30 يومًا، والتفاصيل الكاملة وطريقة الممارسة في حقوق المستخدم.

14. القُصّر

المنصة مخصصة لمن بلغوا 18 عامًا فأكثر، ولا نجمع عن علم بيانات من هم دون ذلك. وإذا تبيّن لنا وجود حساب لقاصر نغلقه ونمحو بياناته، مع مراعاة أي التزام قانوني بالاحتفاظ ببعض السجلات المالية.

15. الرسائل التسويقية

لا نرسل رسائل تسويقية إلا إذا اخترت ذلك صراحة بخانة مستقلة عند التسجيل أو من إعداداتك. ويمكنك إلغاء الاشتراك في أي وقت من رابط إلغاء الاشتراك في الرسالة أو من إعدادات حسابك. ولا يشمل ذلك الرسائل التشغيلية الضرورية لتنفيذ العقد (مثل إشعارات الطلبات والمدفوعات والأمان).

16. ملفات تعريف الارتباط والتخزين المحلي

نستخدم ملف تعريف ارتباط أساسيًا واحدًا لإبقائك مسجّلًا، والتخزين المحلي في المتصفح لحفظ تفضيلاتك والرسائل المنتظرة عند انقطاع الاتصال.

16.1 التحليلات والإعلانات (Google Analytics وGoogle Ads)

نستخدم Google Analytics 4 لفهم طريقة استخدام المنصة وتحسينها، وGoogle Ads لقياس نتائج إعلاناتنا (مثل عدد من سجّلوا أو نشروا مشروعًا أو أتموا دفعًا بعد الضغط على إعلان). وتعمل هذه الأدوات وفق وضع الموافقة من Google (Consent Mode):

• عند أول زيارة يظهر شريط يطلب موافقتك، وتكون ملفات تعريف الارتباط الخاصة بالتحليلات والإعلانات معطّلة افتراضيًا، ولا تُحفظ على جهازك إلا إذا ضغطت «موافق».
• إذا رفضت أو لم تختر بعد، قد تُرسل إلى Google إشارات مجمّعة لا تحمل ملفات تعريف ارتباط ولا معرّفات إعلانية، لقياس الزيارات بشكل تقريبي.
• لا نرسل إلى Google اسمك أو بريدك الإلكتروني أو رقم هاتفك أو رقم حسابك، ونحذف من الروابط المرسلة أي رموز أو بيانات حساسة (مثل رموز التحقق وروابط إعادة التعيين).
• نحفظ اختيارك (موافقة أو رفض) في ملف تعريف ارتباط من الطرف الأول لمدة 12 شهرًا، ثم نسألك مجددًا.
• يمكنك تغيير اختيارك في أي وقت من رابط «إعدادات الكوكيز» أسفل كل صفحة، أو بحذف ملفات تعريف الارتباط من متصفحك، أو بتثبيت إضافة إلغاء الاشتراك في Google Analytics. ويمكنك التحكم في الإعلانات المخصّصة من إعدادات إعلانات Google.
• تعالج Google هذه البيانات بصفتها مزوّد خدمة لنا وفق سياسة خصوصية Google، وقد تُعالج خارج مصر وفق البند 9.

16.2 بكسل ميتا (Meta Pixel)

نستخدم بكسل ميتا لقياس نتائج إعلاناتنا على فيسبوك وإنستجرام (مثل عدد الزيارات القادمة من إعلان). ويعمل بنفس شريط الموافقة: قبل «موافق» يكون في وضع «الموافقة مسحوبة» فلا يضع ملفات تعريف ارتباط ولا يرسل أحداث التصفح، وبعد الموافقة يرسل أحداث مشاهدة الصفحات. ولا نرسل إلى ميتا اسمك أو بريدك الإلكتروني أو رقم هاتفك. وتعالج Meta هذه البيانات وفق سياسة خصوصية ميتا، وقد تُعالج خارج مصر وفق البند 9. ويمكنك سحب موافقتك في أي وقت من «إعدادات الكوكيز».

التفاصيل في سياسة ملفات تعريف الارتباط والتخزين المحلي.

17. المعلومات العامة وفهرسة محركات البحث

• بعض بياناتك عامة بطبيعتها لتؤدي المنصة وظيفتها: الاسم المعروض والملف الشخصي والخدمات والمشروعات المنشورة والتقييمات بعد إظهارها.
• قد تظهر الملفات الشخصية العامة والخدمات والمشروعات المنشورة في نتائج محركات البحث، ويمكنك التحكم في محتوى ملفك العام وتعديله في أي وقت.
• لا يظهر بريدك الإلكتروني أو رقم هاتفك أو تاريخ ميلادك أو بيانات السحب في أي صفحة عامة.

18. المستخدمون في الاتحاد الأوروبي والمملكة المتحدة

إذا كنت مقيمًا في الاتحاد الأوروبي أو المنطقة الاقتصادية الأوروبية أو المملكة المتحدة، فإن الأسس القانونية المبينة في البند 5 تقابل الأسس الواردة في المادة 6 من اللائحة العامة لحماية البيانات (GDPR) ونظيرتها البريطانية، وتتمتع بالحقوق المقررة فيهما، ومنها الحق في تقديم شكوى إلى سلطة الإشراف في بلد إقامتك.

19. المملكة العربية السعودية

لا تُقدَّم المنصة حاليًا في المملكة العربية السعودية. وعند إطلاقها هناك في مرحلة لاحقة سنحدّث هذه السياسة لتتوافق مع نظام حماية البيانات الشخصية السعودي ولوائحه، ونخطر المستخدمين المعنيين بذلك.

20. التعديلات على هذه السياسة

نخطرك بأي تعديل جوهري قبل 14 يومًا على الأقل من سريانه عبر البريد الإلكتروني وداخل المنصة، ونسجّل موافقتك على الإصدار الجديد حيث يلزم. أما التعديلات غير الجوهرية (كالتوضيح أو تصحيح الأخطاء) فتسري من تاريخ نشرها. ونحتفظ بسجل الإصدارات السابقة. وإذا لم توافق على التعديل يمكنك إغلاق حسابك قبل سريانه.

21. التواصل والشكاوى

لأي سؤال أو طلب يتعلق ببياناتك، تواصل معنا عبر الخصوصية والبيانات أو راسل مسؤول حماية البيانات على info@octasolutions.net.

وإذا لم تكن راضيًا عن ردّنا، يحق لك تقديم شكوى إلى مركز حماية البيانات الشخصية في جمهورية مصر العربية.

النص العربي لهذه السياسة هو المعتمد عند أي اختلاف مع أي ترجمة.