Kimda

سياسة الخصوصية

آخر تحديث: 27 أكتوبر 2026

النسخة التشيكية من هذه السياسة هي النسخة الملزمة. الترجمات إلى اللغات الأخرى مقدمة للعلم فقط؛ وفي حال وجود أي تعارض، تسري النسخة التشيكية.

توضح هذه الوثيقة البيانات التي يعالجها تطبيق Kimda («التطبيق»، «نحن») وموقع kimda.app، ولماذا وبأي أساس قانوني، ولمن ننقلها، والمدة التي نحتفظ بها خلالها، والحقوق التي تتمتع بها أنت وأطفالك. التطبيق مُعدّ لاستخدام العائلة كلها، بما في ذلك الأطفال – ولذلك نتعامل مع حماية البيانات بعناية خاصة.

1. من هو المسؤول عن البيانات

المسؤول عن البيانات هو Mgr. Ivo Slávka، مشغّل تطبيق Kimda بصفته شخصًا طبيعيًا يمارس نشاطًا تجاريًا ومسجّلًا في السجل التجاري لدى ÚMČ Praha 8، برقم تعريف IČO 30070929، ومقره Bergerova 1115/2, 182 00 Praha 8 – Kobylisy، جمهورية التشيك. البريد الإلكتروني للتواصل بشأن الخصوصية ولممارسة حقوقك: privacy@kimda.app.

2. البيانات التي نعالجها ولماذا

• بيانات الحساب: الاسم الأول، واسم العائلة، ورقم الهاتف، والدور (والد/طفل)، واللغة ومظهر الواجهة المختاران، وصورة الملف الشخصي الاختيارية، وإصدار هذه السياسة والوقت الذي وافقت فيه عليها، وبالنسبة للوالد الوقت الذي أكد فيه بلوغه، وبالنسبة للطفل الوقت وإصدار السياسة والوالد الذي منح الموافقة نيابة عن الطفل (البند 5). اسمك وصورة ملفك الشخصي مرئيان لأعضاء آخرين في عائلتك في التطبيق (يرى الوالد جميع الأعضاء، ويرى الطفل والديه وإخوته).
• رقم الهاتف نستخدمه للتحقق من الهوية (رمز SMS) ولتسجيل الدخول وبصمته غير القابلة للاسترداد أيضًا لحماية فترة Premium التجريبية (البند 6)، وبعد تغيير الرقم للتحقق من طلب استرجاع حساب تم الاستيلاء عليه (سجلات الأمان أدناه)، وبعد استعادة قاعدة البيانات من النسخة الاحتياطية لحجز تسجيل الدخول لرقم كان قد غادر الحساب سابقًا (سجل تغيير الهاتف وحالة العضو أدناه) - ولا يراسل التطبيق أحدًا على الرقم لأي غرض آخر، ولا يشاركه مع أطراف ثالثة باستثناء مزوّد خدمة التحقق عبر SMS (Twilio، انظر البند 4).
• بيانات العائلة: اسم العائلة، ومن ينتمي إليها، وما دور كل فرد وإعداداته (نسب تقسيم المصروف، والعملة، ولغة العائلة والمنطقة الزمنية)، وسجل التغييرات في القواعد المالية (من غيّر ماذا ومتى، مثل الفائدة أو نسب التقسيم أو العملة أو المنطقة الزمنية، ومن أي قيمة إلى أي قيمة).
• طلبات الانضمام: الاسم الأول، واسم العائلة، والدور، ورقم هاتف الشخص الذي يريد الانضمام إلى العائلة، ووقت الطلب - لكي يرى الوالد من يوافق عليه.
• طلبات موافقة الوالدين: نوع الطلب (إزالة والد أو حذف العائلة بأكملها)، ومَن قدّمه، ومَن يخصه ومَن وافق عليه أو رفضه أو ألغاه (معرّفات داخلية)، والأوقات (التقديم، والموعد النهائي، والتذكير، والمعالجة) والنتيجة (تمت الموافقة، رُفض، أُلغي، نُفّذ بعد انقضاء المهلة أو أُبطل)؛ ولا نحفظ الأسماء أو أرقام الهواتف أو النصوص الحرة. وتكون الطلبات مرئية لوالدي العائلة في التطبيق.
• بيانات المهام: اسم المهمة، والنقاط، ووقت إنجازها/الموافقة عليها/رفضها، والصور إذا كانت المهمة تتطلب صورة، بما في ذلك البصمة الفنية للصورة (انظر البند 3).
• الخطط والروتين والتذكيرات: لمن أُسندت المهمة، واليوم والوقت المخطط لهما، وحالة الإنجاز، والتأخير، وترتيب التناوب، وما إذا كان قد أُرسل تذكير.
• المكافآت والأهداف: كتالوج مكافآت العائلة، وطلبات المكافآت، وأهداف الادخار، والمبالغ التي نقلها الطفل إلى الهدف. وتستخلص النظرة العامة للوالدين من هذه البيانات إجماليَّ نسبة الإنجاز والالتزام بالمواعيد وعدالة توزيع المهام؛ ولا تُنشئ ترتيبًا علنيًا للأطفال.
• البيانات المالية في التطبيق: النقاط والمصروف الافتراضي وتقسيمه، وطلبات الدفع، والقروض والفوائد داخل العائلة - وهي سجلات داخلية في التطبيق، وليست بيانات مصرفية أو بيانات دفع حقيقية. ولا يستطيع التطبيق الوصول إلى أي حساب مصرفي أو بطاقة دفع. الملخص الشهري للطفل (عدد المهام المعتمدة، والنقاط، ومع Premium أيضًا المبلغ للشهر الحالي؛ وليس أرصدة الصناديق) مرئي أيضًا للأطفال الآخرين في نفس العائلة، ما لم يقم أحد الوالدين بإيقاف تشغيل ذلك في إعدادات العائلة.
• سجلات المدفوعات المباشرة والسدادات اليدوية: عندما يدفع أحد الوالدين للطفل في التطبيق جزءًا من رصيده مباشرةً (دون طلب من الطفل) أو يسجل يدويًا سدادًا لقرضه، يحفظ الخادم سجلاً منفصلاً لكل عملية من هذا القبيل لا يتغير بعد ذلك. ويحتوي على المعرّفات الداخلية للعائلة والطفل والوالد الذي أجرى العملية، ونوع العملية (دفع مباشر، سداد يدوي)، والمبلغ، وفي حالة الدفع الصندوق الذي تم الدفع منه، وتفصيل المبلغ (في حالة الدفع إلى جزء من الودائع الخاصة وجزء من الفائدة المضافة، وفي حالة السداد إلى أصل الدين والفائدة)، ووقت العملية والمعرّف العشوائي للطلب. يُستخدم السجل لإثبات ما سجله الوالد في التطبيق وتوقيته، ولإمكانية الفصل في أي نزاع محتمل في العائلة بناءً على السجل، وليس فقط بناءً على الرصيد النهائي. هذه قيود داخلية للتطبيق - فالتطبيق نفسه لا يحول أي أموال. السجلات جزء من تصدير البيانات (البند 7) وتُحفظ وفقًا للبند 6.
• الاشتراك: حالة اشتراك العائلة (الفترة التجريبية، Premium، صلاحيته وتجديده) والوصول المجاني المحتمل من رمز ترويجي؛ يحفظ الخادم الرموز الترويجية نفسها فقط كبصمة HMAC ويسجل إدارة الرموز (من، ومتى، وما هو الإجراء). نحن لا نرى بيانات الدفع - تتم معالجة الدفع بواسطة Apple أو Google. يوضح البند 6 دليل الموافقة على البدء الفوري لـ Premium، والذي نحتفظ به كدليل على هذه الموافقة.
• تسجيل الدخول والأمان: جلسات تسجيل الدخول للأجهزة الفردية (متى أُنشئت، ومتى استُخدمت آخر مرة، وإلى متى تظل صالحة). يرى الوالد في الملف الشخصي (Profil) نظرة عامة على أجهزته المسجلة الدخول (فقط وقت تسجيل الدخول وآخر استخدام، بدون عنوان IP واسم الجهاز) ويمكنه تسجيل خروجها بشكل فردي. يحفظ الخادم رموز التحديث كبصمات SHA-256 فقط، بما في ذلك بصمات الرموز التي تم استبدالها بالفعل، للتعرف على إساءة استخدام الرمز المسروق. عند طلب رمز SMS، يحفظ بصمة مفتاحية (HMAC-SHA-256) لرقم الهاتف وبصمة SHA-256 للتحدي لمرة واحدة مع عدد المحاولات، وعند تغيير الرقم وعند تأكيد حذف العائلة، يحفظ أيضًا الغرض منه والمعرّف الداخلي للحساب. ويحسب حدود عدد الطلبات، بما في ذلك الحد اليومي لرسائل SMS المرسلة، بناءً على بصمة مفتاحية (HMAC-SHA-256) لعنوان IP أو شبكته (IPv4 /24، IPv6 /56)، أو رقم الهاتف، أو زوج من رقم الهاتف والشبكة أو الحساب، أو حسب البلد أو رمز الاتصال لرقم الهاتف. يستنتج الخادم المفتاح لهذه البصمات من مفتاح سري محفوظ خارج قاعدة البيانات، بحيث لا يمكن تحويل البصمة إلى رقم هاتف أو عنوان IP بدونه. تحتوي سجلات الأمان للأحداث المهمة (مثل تسجيل الدخول، أو طلب الانضمام، أو الموافقة على عضو أو رفضه أو إزالته، أو رمز دعوة جديد، أو تسجيل خروج الجهاز، أو تغيير رقم الهاتف، أو تأكيد السياسة، أو موافقة الوالد نيابة عن الطفل أو الاشتباه في إساءة استخدام الرمز) على نوع الحدث والوقت والمعرّفات الداخلية؛ وعند إزالة عضو تتضمن أيضًا دوره (والد/طفل)، وعند تأكيد السياسة وموافقة الوالد تتضمن إصدار السياسة، وعند حذف حساب طفل كان عليه دين أو لديه رصيد أو طلبات معلقة، تتضمن أيضًا العملة والمبالغ المشطوبة وعدد الطلبات المعلقة. بالإضافة إلى ذلك، يحتوي سجل تغيير رقم الهاتف على بصمة غير قابلة للاسترداد للرقم الأصلي (HMAC بمفتاح سري)، لكي يتمكن الدعم من التحقق من أن طلب استرجاع حساب تم الاستيلاء عليه مُقدَّم من المالك الحقيقي للرقم الأصلي. ولا توجد فيها أسماء أو أرقام هواتف أو عناوين IP. وبالإضافة إلى ذلك، تُسجَّل تغييرات رقم الهاتف وإزالة عضو من العائلة أو استعادته في سجل منفصل يوضحه بند „سجل تغيير الهاتف وحالة العضو“ أدناه.
• تنبيهات الأمان: عندما يسجل أحد الوالدين الدخول برمز SMS، يتلقى الوالدان الآخران في العائلة تنبيهًا عامًا بدون اسم ورقم هاتف؛ وعند كل تسجيل دخول برمز SMS (للوالد والطفل) ستتلقى الأجهزة المسجلة الدخول حاليًا لنفس الحساب تنبيهًا عامًا بشأن تسجيل الدخول الجديد. وعند تغيير رقم الهاتف (يتم التحقق من الرقم الجديد برمز SMS)، يسجّل الخادم خروج الأجهزة الأخرى المسجلة الدخول للحساب ويتلقى كلٌّ من الأجهزة الحالية للحساب والوالدين في العائلة تنبيهًا عامًا؛ ولا يتم الاحتفاظ بالرقم الأصلي بعد ذلك – تبقى فقط بصمته غير القابلة للاسترداد في سجل الأمان الخاص بالتغيير (30 يومًا، انظر القسم 6)، والبصمات غير القابلة للاسترداد للرقم الأصلي والجديد في سجل تغيير الهاتف (60 يومًا، انظر أدناه والقسم 6)، وبالنسبة لأحد الوالدين الذي كان عضوًا في العائلة خلال فترتها التجريبية، تبقى أيضًا بصمته وفقًا للقسم 6. وعندما يستعيد الدعم الرقم بناءً على طلب صاحب الحساب، يتحقق أولاً من هويته: برمز SMS يُرسل إلى الرقم الأصلي الذي يجب أن تتطابق بصمته مع البصمة الموجودة في سجل تغيير الرقم. إذا لم يكن هذا التحقق ممكنًا (لم يعد سجل التغيير موجودًا أو لم يعد المالك يمتلك الرقم الأصلي)، فسيتحقق من هويته بتأكيد من والد آخر في العائلة (يتم التحقق منه برمز SMS يُرسل إلى رقم هذا الوالد) وبإجابات على أسئلة يطرحها الدعم؛ وفي هذه الحالة يرسل أولاً تنبيهًا إلى أجهزة الحساب والوالدين في العائلة، ويعيد الرقم بعد 72 ساعة على الأقل إذا لم يعترض أحد على ذلك؛ سترى هذا التنبيه بعد تسجيل الدخول ومباشرة في التطبيق طوال هذه المدة. بدون هذا التحقق، لن يستعيد الدعم الرقم ولن يلغي أي طلب – يمكنه فقط تسجيل خروج الحساب من جميع الأجهزة. إذا كان الدعم قد أعاد نفس الحساب مرة واحدة بالفعل خلال الـ 30 يومًا الماضية، فإنه يعتبر الطلب التالي نزاعًا ولن يستعيد الرقم دون مزيد من التحقيق. بعد الاستعادة، يسجّل الخادم خروج الحساب من جميع الأجهزة، ويتلقى الوالدان في العائلة تنبيهًا عامًا ويتم تسجيل هذا الإجراء (مَن قام به ومتى والحساب الذي يخصه ورابط إلى طلبك – بدون رقم الهاتف). ويتلقى الوالدان تنبيهًا عامًا أيضًا عند حذف حساب طفل، وعند إزالة والد آخر (بما في ذلك الوالد المُزال)، وعند الاشتباه في إساءة استخدام رمز تسجيل الدخول؛ وفي هذه الحالة يقوم الخادم بتسجيل خروج الحساب من جميع الأجهزة ويلغي تسجيلاته للتنبيهات. يحفظ الخادم تنبيهات الأمان (مثل تسجيل دخول أو جهاز جديد، أو تغيير رقم الهاتف، أو تغيير القواعد المالية، أو إزالة عضو، أو حذف حساب طفل، أو الاشتباه في إساءة استخدام الرمز) أولاً في قائمة انتظار (نوع التنبيه، والمستلم - رمز push للجهاز أو المعرّف الداخلي للعائلة أو الحساب واللغة - والنوع التقني العام للحدث) ومن ثم يقوم بتسليمها؛ بينما يرسل التنبيه عند استعادة الدعم لحساب تم الاستيلاء عليه (أعلاه) مباشرة. إذا لم ينجح تسليم التنبيه للوالدين أو أجهزة حساب عضو العائلة حتى بعد محاولات متكررة، فسيحفظ الخادم المعرّف الداخلي للعائلة فقط ونوع التنبيه والوقت (بدون رمز push وبدون اسم)، لكي يرى الوالد بعد تسجيل الدخول التالي في التطبيق نوع التنبيه الذي كان يتعلق به ويمكنه تأكيده؛ إذا لم يكن لدى المستلم أي جهاز يمكن إرسال التنبيه إليه، فلا يتم إنشاء مثل هذا السجل. يحدد البند 6 فترات الاحتفاظ.
• سجل تغيير الهاتف وحالة العضو: إلى جانب سجلات الأمان أعلاه، يحتفظ الخادم بسجل منفصل لكل تغيير في رقم هاتف الحساب (سواء قمت به بنفسك في الملف الشخصي، أو قام به الدعم بناءً على طلبك) ولكل إزالة أو استعادة لأحد أفراد العائلة. يحتوي السجل على معرّف عشوائي للسجل، والمعرّفات الداخلية للحساب والعائلة، ونوع الحدث (تغيير الرقم، استعادة الرقم بواسطة الدعم، إزالة عضو، استعادة عضو)، ووقت الحدث، وفي حالة تغيير الرقم فقط البصمات غير القابلة للاسترداد لكل من الرقم الأصلي والجديد (HMAC-SHA-256 مع مفتاح سري محفوظ خارج قاعدة البيانات). لا توجد بصمات عند إزالة عضو واستعادته. ولا توجد في السجل أرقام هواتف أو أسماء أو عناوين IP. لا يمكن تحويل البصمة مرة أخرى إلى رقم هاتف دون المفتاح السري، ولكن نظرًا لارتباطها بالمعرّف الداخلي للحساب، فهي تُعد بيانات باسم مستعار وليست بيانات مجهولة الهوية. يُستخدم السجل فقط للحماية من عواقب استعادة قاعدة البيانات من نسخة احتياطية: لمنع عودة رقم إلى الحساب كان قد غادره في هذه الأثناء (وربما استحوذ عليه شخص آخر)، ولإعادة تطبيق إزالة فرد من العائلة لا تتضمنها النسخة الاحتياطية. لذلك، عند تسجيل الدخول برمز SMS والتحقق من رقم الهاتف، يقارن الخادم بصمة الرقم المُدخل مع آخر قيد في السجل؛ وإذا لم تتطابق، فإنه يحجز تسجيل الدخول ويحيلك إلى الدعم. يُحفظ السجل في قاعدة البيانات وعادةً خلال بضع دقائق في نسخة أيضًا في مساحة تخزين Cloudflare R2 غير عامة ومنفصلة (البند 4)، للبقاء في حال فقدان قاعدة البيانات بين النسخ الاحتياطية. يحدد البند 6 فترات الاحتفاظ.
• البيانات التقنية: رمز push ومعرّف الجهاز العشوائي الذي ينشئه التطبيق لتوصيل التنبيهات (وهو ليس معرّف أجهزة)، ووقت آخر تسجيل للجهاز، وتسجيل الدخول الذي ينتمي إليه التسجيل، وبصمة SHA-256 لسر التثبيت العشوائي الذي يثبت به الجهاز أن رمز push يخصه. بعد تحرير التسجيل (تسجيل الخروج، أو إزالة عضو، أو الحظر الأمني، أو التنظيف التلقائي)، يتذكر الخادم سجلين محددي المدة لمنع حساب غريب من الاستيلاء على تنبيهات الجهاز: (أ) سجل رمز push المُحرَّر - بصمات SHA-256 لرمز push وسر التثبيت، والمعرّف الداخلي للعائلة ووقت التحرير (وبالتالي لا يمكن للرمز الاستيلاء عليه حساب من عائلة أخرى)؛ و(ب) سجل الجهاز المُحرَّر - المعرّف الداخلي للحساب، والمعرّف العشوائي للجهاز، ونفس البصمات ووقت التحرير (وبالتالي لا يمكن لجلسة تسجيل دخول أخرى لنفس الحساب، مسروقة مثلاً، الاستيلاء على الجهاز المُحرَّر مرة أخرى دون إثبات أنه نفس التثبيت). يحتفظ الخادم أيضًا لمدة 30 يومًا بسجل تسجيل الجهاز (المعرّف الداخلي للحساب والجهاز، وبصمة رمز push، ونوع الحدث والوقت)، والذي يراقب به حد تسجيلات الأجهزة الجديدة خلال 24 ساعة. يحدد البند 6 فترات الاحتفاظ؛ ولا يتم الاحتفاظ بسجل الجهاز المُحرَّر عند حذف الحساب. بالإضافة إلى سجلات تشغيل الخادم (مثل حالات الخطأ) بدون أرقام هواتف ومحتويات الطلبات. في الهاتف، يحتفظ التطبيق برموز تسجيل الدخول في مساحة تخزين آمنة ويتذكر أيضًا اللغة والمظهر المختارين؛ كما يبلغ الخادم باللغة المختارة حتى تصل التنبيهات بلغتك. ما يرسله التطبيق مباشرة إلى خدمتي Expo وSentry موضح في البند 4.

لماذا نعالج البيانات وبأي أساس قانوني:

• حساب العائلة ووظائف التطبيق (التسجيل، والعائلة، والمهام والصور، والخطط، والتذكيرات، والمكافآت، والأهداف، والمصروف بما في ذلك سجلات المدفوعات المباشرة والسدادات اليدوية، والتنبيهات، والاشتراك): تنفيذ العقد، أي شروط الاستخدام (Art. 6(1)(b) GDPR). بالإضافة إلى ذلك، نعالج سجلات المدفوعات المباشرة والسدادات اليدوية وتاريخ التغييرات في القواعد المالية بناءً على مصلحتنا المشروعة في إمكانية توثيق العمليات والقواعد المالية في التطبيق وحل النزاعات داخل العائلة (Art. 6(1)(f) GDPR). بالإضافة إلى ذلك، نعالج دليل الموافقة على البدء الفوري لـ Premium ونسخته خارج قاعدة البيانات بناءً على مصلحتنا المشروعة في إثبات هذه الموافقة والدفاع عن المطالبات القانونية (Art. 6(1)(f) GDPR). بالنسبة لبيانات الأطفال انظر البند 5.
• تسجيل الدخول الموثق برمز SMS: تنفيذ العقد (Art. 6(1)(b) GDPR) - بدون رقم هاتف موثق لا يمكن تسجيل الدخول إلى التطبيق.
• الأمان والحماية من إساءة الاستخدام (الجلسات وبصمات الرموز، وتحديات رمز SMS، وحدود عدد الطلبات والحد اليومي لرسائل SMS، وسجلات الأمان، وسجل تغيير الهاتف وحالة العضو، وذاكرة رموز push والأجهزة المُحرَّرة، وسجل تسجيل الجهاز وحد تسجيلات الأجهزة الجديدة خلال 24 ساعة، وطابور التنبيهات الأمنية وسجل التنبيهات غير المُسلَّمة، وسجلات التشغيل، وبصمة رقم الهاتف لمنع تكرار الاستفادة من الفترة التجريبية، وطلبات موافقة الوالدين التي تحمي العائلة من الإزالة أحادية الجانب لوالد أو حذفها، والتحقق من الهوية عندما يعيد الدعم حسابًا تم الاستيلاء عليه، بما في ذلك سجلات هذه الإجراءات): مصلحتنا المشروعة في التشغيل الآمن للخدمة، وحماية حسابات الوالدين والأطفال، والدفاع ضد إساءة استخدام التحقق عبر SMS (Art. 6(1)(f) GDPR).
• إصلاح الأخطاء وتحديثات التطبيق (تقارير الأخطاء عبر Sentry، والتحديثات عبر Expo): مصلحتنا المشروعة في تطبيق مستقر وآمن (Art. 6(1)(f) GDPR).
• معالجة طلباتك بموجب البند 7 وإثبات كيف ومتى قمنا بمعالجتها (مثل حالة الحذف المُنفَّذ، وسجل عمليات الحذف المُنفَّذة ومهمة الحذف الخارجي): الامتثال لالتزام قانوني (Art. 6(1)(c) GDPR).
• قياس الإعلانات على موقع kimda.app (Meta Pixel): موافقتك (Art. 6(1)(a) GDPR)، انظر البند 9.

يمكنك الاعتراض على المعالجة القائمة على المصلحة المشروعة (البند 7). رقم الهاتف ضروري للتسجيل وتسجيل الدخول؛ وبدونه لا يمكن استخدام التطبيق. صورة الملف الشخصي اختيارية وصورة المهمة المنجزة مطلوبة فقط للمهام التي يطلب فيها الوالد ذلك. نحن لا نستخدم اتخاذ القرارات الآلي أو التنميط الذي له آثار قانونية أو آثار هامة مماثلة (Art. 22 GDPR)؛ حدود الأمان التلقائية، التي على سبيل المثال تحظر مؤقتًا المزيد من المحاولات لرمز SMS، تخدم فقط حماية الحسابات والخدمة.

3. صور المهام

الصور التي يرفعها الطفل (أو الوالد نيابة عنه) مع المهمة لا يراها إلا أفراد العائلة نفسها (الوالدان والأطفال في التطبيق). وهي ليست عامة، ولا يشاركها التطبيق مع أي تطبيق آخر أو شبكة تواصل اجتماعي. لا يمكن التقاط صورة للمهمة إلا بكاميرا التطبيق. يقوم التطبيق وبعده الخادم بإزالة البيانات الوصفية (مثل موقع GPS أو بيانات الكاميرا) من الصورة قبل حفظها. تُحفظ الصور في مساحة تخزين كائنات غير عامة (انظر البند 4) ولا يصدرها الخادم إلا للعضو المسجل الدخول من العائلة نفسها. ويمكن لأحد الوالدين أن يطلب حذفها في أي وقت.

لكل صورة مرفوعة، يحسب الخادم بصمة فنية (مجموع اختباري وبصمة صورية مبسطة بحجم 64 بت). وتُستخدم فقط لكي يتعرف التطبيق على استخدام الصورة نفسها أو صورة مشابهة جدًا في مهمة مرة أخرى، وللتأكد من أن الصورة تخص المهمة التي التقطها الطفل للتو في التطبيق. ولا يمكن عرض الصورة أو إعادة تركيبها من البصمة، وتُحذف مع الصورة. يحذف الخادم سجل التحدي الزمني للصورة (من طلبها في التطبيق، ولأي مهمة ومتى) بعد 7 أيام. ويرى الوالد مع الصورة تحذيرًا عندما لا تحتوي الصورة على فحص زمني صالح من التطبيق أو تكون مشابهة جدًا لصورة سابقة، كمساعَدة عند الموافقة؛ ولا يضمن الفحص عدم إمكانية تزييف الصورة.

4. لمن ننقل البيانات والنقل خارج الاتحاد الأوروبي

نحن ننقل البيانات فقط إلى مقدمي الخدمات الذين يضمنون تشغيل التطبيق لنا (المعالجون)، وفقط بالقدر الذي يحتاجون إليه لذلك. يجوز للمعالجين استخدام البيانات فقط لتقديم خدماتهم لنا ووفقًا لتعليماتنا. تعمل Apple وGoogle كمسؤولين مستقلين عن البيانات عند الشراء في المتاجر.

• مزوّد الاستضافة (Railway) - يشغّل خادم التطبيق وقاعدة البيانات التي تُخزَّن فيها بيانات التطبيق.
• Cloudflare - مساحة تخزين الكائنات الخاصة R2 تحفظ صور الملفات الشخصية وصور المهام المنجزة المنقولة بشكل مشفّر، والنسخ الاحتياطية لقاعدة البيانات (المشفّرة قبل إرسالها بحيث لا يمكن فك تشفيرها إلا بمفتاح خاص نحتفظ به خارج السحابة)، وسجل عمليات الحذف المُنفَّذة (فقط المعرّفات الداخلية ونوع الحذف والوقت)، وسجل تغيير الهاتف وحالة العضو (البند 2: المعرّفات الداخلية، ونوع الحدث ووقته، وعند تغيير الرقم البصمات غير القابلة للاسترداد للأرقام)، ونسخة من دليل الموافقة على البدء الفوري لـ Premium (البند 6: المعرّفات الداخلية للعائلة والمستخدم، ووقت الموافقة، والخطة المختارة، وبداية الفترة المدفوعة، ومعرّف معاملة المتجر، وإصدار النص المعروض) في حاويات (buckets) غير عامة؛ ويبقى التحكم في الوصول إلى الصور لخادم Kimda الخلفي الذي يتطلب تسجيل الدخول. كما تشغّل Cloudflare موقع kimda.app (البند 9).
• Twilio (التحقق من الهاتف برمز SMS) - يتلقى رقم الهاتف والرمز الذي تدخله، فقط لغرض توصيل رمز SMS والتحقق منه.
• Expo (650 Industries) - أولاً، يوصل التنبيهات: يتلقى رمز push للجهاز، ومعرّف التثبيت للتنبيهات، والرمز الأصلي لـ Apple أو Google، والنص أو الرمز التعبيري العام للتنبيه، والنوع التقني العام للحدث. لا نرسل معرّفات قاعدة البيانات أو الأسماء أو أسماء المهام أو المبالغ في رسالة push. تعيد Expo توجيه الرسالة إلى خدمة push لدى Apple (Apple Push Notification service) أو Google (Firebase Cloud Messaging). ثانيًا، يوصل تحديثات التطبيق (EAS Update): يسأل التطبيق خوادم Expo عند كل تشغيل عما إذا كان هناك إصلاح متاح. تتلقى Expo في هذه العملية عنوان IP للجهاز، والمنصة، وإصدار التطبيق، ومعرّف التحديث المثبت، ونص الخطأ الأخير الذي أغلق التطبيق إن وجد، ومعرّف التثبيت العشوائي EAS-Client-ID الذي يحفظه التطبيق بشكل دائم في الهاتف ولا يتغير حتى بعد تسجيل الخروج. نحن لا نربطه بحسابك ولا يرسله التطبيق إلى خادمنا.
• Apple وGoogle - كمسؤولين مستقلين عن البيانات يعالجان شراء وإدارة الاشتراكات في App Store وGoogle Play؛ وكخدمات push (Apple Push Notification service, Firebase Cloud Messaging) يوصلان التنبيهات إلى الأجهزة.
• RevenueCat (معالجة الاشتراكات عبر App Store / Google Play لحسابات الوالدين فقط) - تعالج معرّف العائلة، وسجل المشتريات، وإيصال Apple أو رمز الشراء من Google، ووقت آخر استخدام، والبيانات التقنية للجهاز (مثل نوع الجهاز ونظام التشغيل). ولا تتلقى من Kimda اسم الوالد أو الطفل ولا رقم هاتفه. ولا يُفعَّل في التطبيق أيٌّ من تكاملات RevenueCat الإعلانية أو تكاملات الإسناد، ولا الجمع اليدوي لمعرّفات الإعلانات.
• Sentry (تقارير الأخطاء التقنية للتطبيق والخادم، لإصلاح الأخطاء) - تتلقى نوع الخطأ، والمكان في الكود، وإصدار التطبيق ونظام التشغيل. التطبيق والخادم مُعدّان بحيث لا يرسلان إليها الاسم أو الهاتف أو رمز تسجيل الدخول أو محتويات الطلبات أو عنوان IP. تُدار منظمة Kimda في Sentry في منطقة بيانات الاتحاد الأوروبي (ألمانيا).
• مزوّد البريد الإلكتروني (Spaceship، خدمة Spacemail) - يوصل ويحفظ رسائل البريد الإلكتروني التي ترسلها إلينا على privacy@kimda.app أو support@kimda.app.

Railway وCloudflare وTwilio وExpo وRevenueCat وSentry وSpaceship وApple وGoogle وMeta (البند 9) هي شركات مقرها أو خلفيتها في الولايات المتحدة، ولذلك قد تعالج البيانات أيضًا خارج المنطقة الاقتصادية الأوروبية. وفي عمليات النقل خارج المنطقة الاقتصادية الأوروبية، نستخدم آلية بموجب الفصل الخامس من GDPR تنطبق على المتلقي المعني والمعالجة المعنية - وعادة ما يكون ذلك شهادة المتلقي ضمن EU-USA Data Privacy Framework (قرار الملاءمة الصادر عن المفوضية الأوروبية، Art. 45 GDPR) أو البنود التعاقدية القياسية المعتمدة من المفوضية الأوروبية (Art. 46(2)(c) GDPR). سنزودك بمعلومات حول الآلية لدى متلقٍ معين وحول مكان الحصول على نسخة من الضمانات ذات الصلة عند الطلب على privacy@kimda.app.

لا نبيع بيانات التطبيق، ولا نشاركها مع المعلنين، ولا نستخدمها للإعلانات الموجَّهة. أما قياس الإعلانات على موقع kimda.app بموافقة الزائر فيصفه البند 9.

5. موافقة الوالدين وأدوار الأطفال

لا يجوز إلا لشخص بالغ إعداد التطبيق (أي إنشاء دور «والد» وعائلة جديدة). ولا يُنشأ الحساب بدور «طفل» إلا بعد الانضمام برمز دعوة لا يعرفه إلا الوالد - وبالتالي لا يمكن للطفل الانضمام إلا بعلم الوالد الذي يشارك الرمز وبموافقته. وعلاوة على ذلك، يجب على الوالد الموافقة صراحةً في التطبيق على كل انضمام لطفل أو والد آخر؛ وقبل الموافقة لا يرى العضو الجديد من العائلة سوى اسمها. رمز دعوة العائلة صالح لمدة 48 ساعة، ويُحذف الطلب غير الموافق عليه تلقائيًا بعد 72 ساعة، أما الطلب المرفوض أو الملغى فيُحذف فورًا. بتسجيلك بدور «والد» تؤكد أنك بالغ وأن لديك الحق القانوني في الموافقة على معالجة بيانات أطفالك في التطبيق.

نحن نعالج بيانات الطفل فقط بالقدر اللازم لعمل حساب العائلة الذي أنشأه الوالد ويديره، أي لتنفيذ العقد مع الوالد (Art. 6(1)(b) GDPR). يقرر الوالد بصفته الممثل القانوني مشاركة الطفل: يشارك رمز الدعوة، ويوافق صراحةً على انضمام الطفل، ويمكنه إزالة الطفل من العائلة في أي وقت أو طلب حذف حسابه. يكتفي الطفل عند التسجيل بأخذ العلم بالسياسة؛ ويمنح الوالد الموافقة على معالجة بياناته عندما يوافق في التطبيق على انضمام الطفل، ويسجل الخادم الوقت والوالد وإصدار السياسة. بالنسبة للأطفال الذين تمت الموافقة عليهم بإصدار أقدم من التطبيق، سيطلب التطبيق الموافقة الناقصة من الوالد لاحقًا. إذا كانت المعالجة تتطلب موافقة ولم يبلغ الطفل 15 عامًا بعد (الحد العمري في التشيك وفقًا لـ Art. 8 GDPR و Section 7 of Act No. 110/2019 Coll., on personal data processing)، يمنح الوالد الموافقة نيابة عن الطفل. حقوق الطفل بموجب البند 7 يمكن للوالد ممارستها نيابة عنه.

6. مدة الاحتفاظ بالبيانات

نحتفظ ببيانات الحساب والعائلة إلى أن يطلب المستخدم حذف حسابه أو حذف العائلة كلها. ومجرد توقف استخدام التطبيق لا يؤدي إلى حذف تلقائي. ولذلك لا يحتاج المستخدم إلى فتح التطبيق بانتظام كي لا يفقد سجل عائلته، ويمكنه بدء الحذف في أي وقت مباشرةً من داخل التطبيق أو طلبه عبر privacy@kimda.app. نحتفظ بسجل تغييرات القواعد المالية (البند 2) طوال فترة وجود العائلة، بدون قيود زمنية أو عددية إجمالية (يُسمح للعائلة بحفظ تغييرات القواعد المالية 30 مرة كحد أقصى في الساعة)، لأنه يعمل كدليل غير قابل للتغيير على من قام بتغيير القواعد ومتى، على سبيل المثال في حالة نزاع بين الوالدين؛ ولا يمكن تعديله أو حذفه في التطبيق. بعد حذف العائلة كلها (البند 7)، يحذفه الخادم عند أقرب عملية تنظيف؛ أما حذف حساب عضو فردي فلا يغيره ويبقى معه المعرّف الداخلي فقط بدون اسم.

بالنسبة للسجلات الفردية الأخرى تنطبق المدد التالية:

• تحديات رمز SMS (بصمات رقم الهاتف والتحدي): صالحة لمدة 10 دقائق؛ بعد التحقق الناجح يحذفها الخادم فورًا، وإلا ففي موعد أقصاه ساعة واحدة بعد انتهاء صلاحيتها.
• حدود عدد الطلبات والحد اليومي لرسائل SMS (البصمات): يحذفها الخادم بعد 24 ساعة من نهاية الفترة المراقبة؛ ينتهي الحد اليومي لرسائل SMS دائمًا عند منتصف الليل UTC.
• جلسات تسجيل الدخول: رمز تسجيل الدخول صالح لمدة 15 دقيقة؛ تنتهي الجلسة بعد 30 يومًا من عدم النشاط، أو بعد 90 يومًا كحد أقصى، أو قبل ذلك بتسجيل الخروج. يحذف الخادم الجلسة المنتهية بما في ذلك بصمات الرموز بعد 30 يومًا من انتهائها.
• الدعوات وطلبات الانضمام: رمز دعوة العائلة صالح لمدة 48 ساعة ودعوة الوالد الآخر لمدة 24 ساعة؛ يُحذف طلب الانضمام غير الموافق عليه تلقائيًا بعد 72 ساعة، والطلب المرفوض أو الملغى يُحذف فورًا. يحذف الخادم سجل دعوة الوالد الآخر (الرمز، ومن أنشأها ومن استخدمها) بعد 30 يومًا من انتهاء صلاحيتها أو استخدامها أو إلغائها.
• سجلات الأمان في قاعدة البيانات (البند 2): يحذفها الخادم بنفسه بعد 30 يومًا. يخضع سجل تغيير الهاتف وحالة العضو لفترة الاحتفاظ الخاصة به الموضحة أدناه.
• سجل تغيير الهاتف وحالة العضو (البند 2): يحذف الخادم القيد في قاعدة البيانات بعد 60 يومًا على الأقل من إنشائه، وذلك بعد نسخه إلى مساحة التخزين المستقلة فقط (يتم إنشاء النسخة عادةً خلال بضع دقائق). ولا يحذف الخادم القيد الذي تعذر نسخه حتى ينجح النسخ، وبالتالي يبقى في قاعدة البيانات لفترة أطول من 60 يومًا. وتحذف مساحة تخزين Cloudflare R2 المستقلة غير العامة النسخة بنفسها بعد 60 يومًا من حفظها. وعند حذف الحساب أو العائلة بأكملها (البند 7)، يحذف الخادم قيود السجل للحساب أو العائلة المحذوفة من قاعدة البيانات؛ وتزول نسختها في مساحة التخزين في موعد أقصاه 60 يومًا بعد حفظها.
• الصور: الصور غير المرتبطة التي تعذّر ربطها بملف شخصي أو بمهمة، يزيلها الخادم بعد 24 ساعة؛ ويحذف سجل التحدي الزمني للصورة بعد 7 أيام (البند 3) والسجل التقني للصورة المحذوفة (فقط المعرّفات الداخلية) بعد 30 يومًا من حذف الصورة.
• رمز push ومعرّف الجهاز: حتى تسجيل خروج الجهاز، أو إزالة العضو من العائلة، أو حذف الحساب، أو حتى تضع Apple أو Google علامة عليه كغير صالح. بالإضافة إلى ذلك، يحذفها الخادم بنفسه إذا لم يجدد التطبيق تسجيل الجهاز لمدة 90 يومًا (يجدده عند كل تسجيل دخول وتشغيل)، أو عندما لا يكون لدى المستخدم جلسة تسجيل دخول صالحة لأكثر من 30 يومًا. بعد تسجيل خروج الجهاز (حتى عن بُعد في الملف الشخصي) أو انتهاء تسجيل دخوله، لا يتم تسليم أي شيء للجهاز. يُستثنى من ذلك التسجيلات من الفترة التي سبقت نشر هذا الإصدار، والتي لم يجددها التطبيق منذ ذلك الحين: تسجيل خروج جهاز واحد عن بُعد لن يفصلها، بينما خيار تسجيل الخروج من جميع الأجهزة سيفعل ذلك؛ وإلا سيحذفها الخادم وفقًا للفترات المذكورة أعلاه. يحذف الخادم سجل رمز push المُحرَّر (البصمات والعائلة والوقت) بعد 30 يومًا، أو قبل ذلك إذا قام الجهاز بالتسجيل مرة أخرى. ويحذف الخادم سجل الجهاز المُحرَّر (المعرّف الداخلي للحساب، والمعرّف العشوائي للجهاز، والبصمات والوقت) بعد 91 يومًا - أي بعد انتهاء أطول فترة صلاحية ممكنة لجلسة تسجيل الدخول (90 يومًا) - أو قبل ذلك إذا قام جهاز لنفس الحساب بالتسجيل مرة أخرى. ولا يتم الاحتفاظ بسجل الجهاز المُحرَّر عند حذف الحساب؛ وإذا تم إنشاؤه بالفعل عند بدء الحذف، فسيحذفه الخادم عند اكتماله. وتبقى فترة الاحتفاظ بسجل رمز push المُحرَّر دون تغيير بذلك. تُستخدم البصمة التقنية لرمز push في التذكير المُرسل فقط للتحقق من التسليم؛ ويحذفها الخادم بعد تقييم التسليم، في موعد أقصاه 30 يومًا بعد الإرسال. يحذف الخادم سجل تسجيل الجهاز (المعرّف الداخلي للحساب والجهاز، وبصمة رمز push، ونوع الحدث والوقت؛ البند 2) بعد 30 يومًا من إنشائه، حتى لو قمت بحذف الحساب في غضون ذلك.
• قائمة انتظار تنبيهات الأمان والتنبيهات غير المسلّمة (البند 2): يزيل الخادم بيانات مستلم التنبيه (رمز push للجهاز أو المعرّف الداخلي للعائلة أو الحساب واللغة) من سجل قائمة الانتظار المحفوظ فور التسليم أو بعد التخلي عن التسليم، ولكن في موعد أقصاه 7 أيام من إنشاء التنبيه؛ ويمكن أن يبقى فيه المعرّف الداخلي للعائلة فقط (وفي حالة حدوث خطأ استثنائي في قاعدة البيانات، للحساب أيضًا بشكل مؤقت) حتى يتم كتابة سجل التنبيه غير المسلّم (أدناه). ويحذف السجل المتبقي (نوع التنبيه، والنوع التقني العام للحدث، والوقت، ورسالة الخطأ التقنية) بعد 30 يومًا من المعالجة. ويحتفظ بسجل التنبيه غير المسلّم للوالد (المعرّف الداخلي للعائلة، ونوع التنبيه والوقت، بدون رمز push وبدون اسم) حتى يؤكده الوالد في التطبيق؛ ويحذف السجل المؤكد بمجرد أن يمر عليه أكثر من 90 يومًا. ويحذف سجل العائلة التي لم تعد موجودة عند أقرب عملية تنظيف.
• الردود المحفوظة للعمليات المالية: لكي لا يسجل الطلب المتكرر بعد انقطاع الشبكة عملية دفع أو قرض أو عملية مالية أخرى مرتين، يتذكر الخادم الرد عليها لمدة 30 يومًا. سجل العملية نفسه (نوع العملية، ومعرّفها العشوائي، والمعرّفات الداخلية للعائلة والفاعل والعضو المعني، وبصمة SHA-256 للطلب والوقت) هو جزء من السجل المالي ويُحفظ حتى يتم حذف الحساب أو العائلة.
• سجلات المدفوعات المباشرة والسدادات اليدوية (البند 2): على عكس الرد المحفوظ أعلاه، والذي يُحذف بعد 30 يومًا، يتم الاحتفاظ بهذه السجلات حتى حذف الطفل المعني بها أو العائلة بأكملها (البند 7).
• السجلات المحفوظة للطلبات المتكررة للمجدول: لكي لا يقوم الطلب المتكرر بعد انقطاع الشبكة بإنشاء خطة مهام مرتين، يحتفظ الخادم لمدة 60 يومًا بسجل إنشائها (المعرّفات الداخلية للعائلة والوالد، ونوع العملية، والمعرّف العشوائي للطلب، وبصمة SHA-256 لمعلمات الخطة المُدخلة، ورابط إلى الخطة المُنشأة، والوقت). ويحذف الخادم السجل أيضًا عند حذف حساب الوالد الذي أنشأ الخطة، وعند حذف العائلة كلها (البند 7).
• طلب حذف الحساب: يُبطل طلب الحذف غير المؤكد بعد 45 يومًا ويُحذف في موعد أقصاه 400 يوم أخرى؛ نحتفظ بسجل الحذف المُنفَّذ (فقط المعرّفات الداخلية والحالة، بدون أسماء وجهات اتصال) كدليل على أننا قمنا بمعالجة طلبك، وذلك لمدة 3 سنوات من معالجته. وبنفس النطاق (المعرّف العشوائي الداخلي للحساب أو العائلة، ونوع الحذف والوقت) نحتفظ بسجل عمليات الحذف المُنفَّذة، لكي يُعاد تطبيق جميع عمليات الحذف اللاحقة بعد أي استعادة لقاعدة البيانات من نسخة احتياطية. يحذف الخادم سجل عمليات الحذف في قاعدة البيانات بعد 180 يومًا على الأقل من إنشائه، وذلك فقط بعد نسخه إلى مساحة تخزين منفصلة (تُنشأ النسخة عادةً في غضون بضع دقائق)؛ ولا يحذف الخادم السجل الذي فشل نسخه حتى ينجح النسخ. تقوم مساحة التخزين المستقلة غير العامة بحذف النسخة بنفسها بعد 60 يومًا من حفظها. وتزول الصادرات المشفّرة للسجل، والتي تعد جزءًا من النسخة الاحتياطية لقاعدة البيانات، مع النسخة الاحتياطية (في موعد أقصاه 30 يومًا).
• طلبات موافقة الوالدين: يسري الطلب المفتوح لمدة 14 يومًا؛ ولا يتم تمديده إلا إذا انضم أحد الوالدين إلى العائلة في هذه الأثناء (في حالة طلب حذف العائلة، يحصل الوالد الجديد على 14 يومًا خاصة به، ولكن كحد أقصى حتى نهاية أي فترة حماية محتملة بعد إزالة والد آخر)، أو بعد استعادة قاعدة البيانات من النسخة الاحتياطية (باستثناء طلب حذف العائلة، الذي يسري فقط حتى نهاية فترة الحماية). يستمر طلب حذف العائلة، الذي كان سينتهي خلال فترة الـ 14 يومًا بعد إزالة والد آخر، حتى نهاية هذه الفترة ثم يزول. خلال فترة الـ 14 يومًا التالية لإزالة والد آخر، لا يمكن حذف العائلة؛ ويزول طلب حذف العائلة المُقدم خلال هذه الفترة بعد انتهائها. بعد انتهاء الفترة، يمكن للوالد الوحيد المتبقي حذف العائلة مباشرة في الملف الشخصي (Profil). ويحذف الخادم الطلب المعالج بعد 90 يومًا.
• بصمة رقم الهاتف بعد حذف الحساب أو تغيير الرقم: لمنع الحصول المتكرر على الفترة التجريبية لخطة Premium عن طريق حذف الحساب وإعادة التسجيل، يحفظ الخادم عند حذف حساب والد كان عضوًا في العائلة خلال فترتها التجريبية وعند تغيير رقم مثل هذا الوالد (حتى إذا غيّر الدعم الرقم بناءً على طلبه) بصمة رقم الهاتف السابق فقط (HMAC بمفتاح سري) والوقت – وليس الرقم نفسه. ولن تحصل أي عملية تسجيل جديدة بنفس الرقم على الفترة التجريبية. ويحذف الخادم البصمة بعد 12 شهرًا.
• رسائل البريد الإلكتروني التي ترسلها إلينا: للمدة اللازمة لمعالجة استفسارك أو طلبك ولإثبات كيف قمنا بمعالجته.
• سجلات إجراءات الدعم والإدارة: سجل الإجراء في قاعدة البيانات (نوع الإجراء، ومَن قام به، ومتى، والعائلة التي يخصها، ورقم الطلب – بدون أسماء وأرقام هواتف؛ بهذه الطريقة نسجل استعادة الرقم وتسجيل خروج الأجهزة بواسطة الدعم، وتصدير بيانات العائلة بناءً على طلب، وإدارة الرموز الترويجية والوصول المجاني) يحذفه الخادم بنفسه بعد 3 سنوات. سجل طلبات الدعم (رقم الطلب، والتاريخ، والمعرّف الداخلي للحساب، وطريقة التحقق من الهوية والنتيجة – بدون رقم الهاتف) نحتفظ به مشفرًا خارج قاعدة البيانات ونحتفظ به أيضًا لمدة 3 سنوات كدليل على كيفية معالجتنا للطلب.

يجوز الاحتفاظ بسجلات التشغيل والأمان الخاصة بالاستضافة في بيئة الإنتاج مدة أقصاها 30 يومًا. يحتفظ Sentry بتقارير الأخطاء التقنية للتطبيق والخادم مدة أقصاها 90 يومًا، حتى نتمكن من تتبع الأخطاء التي لا تظهر إلا بعد إصدار نسخة جديدة من التطبيق وإصلاحها؛ وتنتهي أي نسخ احتياطية تشغيلية لـ Sentry في موعد أقصاه 90 يومًا بعد إنشائها. تُؤخذ النسخ الاحتياطية لقاعدة البيانات يوميًا، وتُشفّر قبل إرسالها من بيئة التشغيل وتُحذف بعد 30 يومًا من أخذها، بحيث تبقى البيانات المحذوفة سابقًا فيها لمدة أقصاها 30 يومًا؛ ولا تُستخدم لاستعادة حساب محذوف بصورة اعتيادية. إذا اضطررنا إلى استعادة قاعدة البيانات من نسخة احتياطية، فسنعيد تطبيق عمليات الحذف التي تمت بعد أخذ النسخة الاحتياطية وفقًا لسجل عمليات الحذف. ويجب أن تفرض إعدادات الاستضافة وقاعدة البيانات والتخزين هذه المدد تقنيًا، ويراجعها المشغّل بانتظام.

وإذا تعذّر إتمام حذف السجل لدى مزوّد الاشتراكات الخارجي فورًا، فإن Kimda يقوم بعد إزالة الوسائط بإخفاء هوية البيانات الشخصية المحلية دون أي تأخير إضافي. ولإعادة إرسال الطلب الخارجي بشكل آمن، يحتفظ فقط بمعرّف داخلي عشوائي للعائلة وبالحالة التقنية لعملية الحذف، لا بالأسماء ولا بأرقام الهواتف. ويحذف الخادم سجل مهمة الحذف الخارجي هذه (المعرّف الداخلي للعائلة، وتسمية المزوّد، وعدد المحاولات، والأوقات، ورمز الخطأ الأخير، بدون أسماء وأرقام هواتف) بعد 90 يومًا من اكتمالها؛ وتُحفظ المهمة غير المكتملة حتى تكتمل.

نحتفظ بدليل الموافقة على البدء الفوري لـ Premium (المعرفات الداخلية للعائلة والمستخدم، ووقت الموافقة، والخطة المختارة، وبداية الفترة المدفوعة، ومعرف معاملة المتجر، والمعرف الداخلي لمحاولة الشراء، وإصدار النص المعروض) للفترة اللازمة لإثبات هذه الموافقة في نزاع محتمل، قياسياً لمدة 3 سنوات من منحها. بعد انقضاء المهلة، يتم حذف الدليل بشكل خاضع للرقابة. ولا يُحذف الدليل مع الحساب أو مع العائلة (البند 7). كما نحفظ نسخة منه (بدون المعرف الداخلي لمحاولة الشراء) في مساحة تخزين منفصلة غير عامة على Cloudflare R2 (البند 4)، لكي ينجو الدليل من فقدان قاعدة البيانات بين النسخ الاحتياطية؛ وتقوم مساحة التخزين بحذفها بنفسها بعد 1125 يومًا من حفظها.

7. حقوقك

يحق لك:

• الوصول إلى جميع البيانات التي يحتفظ بها التطبيق عنك وعن عائلتك (Art. 15 GDPR)،
• تصحيح البيانات غير الدقيقة (Art. 16 GDPR) – يمكنك تغيير رقم الهاتف بنفسك في الملف الشخصي (Profil) بعد التحقق من الرقم الجديد برمز SMS؛ وإذا فقدت الوصول إلى الحساب (على سبيل المثال لأن شخصًا آخر غيّر الرقم من جهاز تم تسجيل الدخول منه)، فسنقوم بتغييره بناءً على طلبك بعد التحقق من الهوية،
• حذف حساب فرد بعينه (Art. 17 GDPR) - يحذف التطبيق مباشرةً من داخله (ملفي الشخصي ← حذف الحساب) الاسمَ والهاتف والصورة ورمز push أو يُخفي هويتها نهائيًا بلا رجعة، ويحذف جميع الصور التي رفعتها؛ وفي حساب الطفل أيضًا الصور الخاصة بمهامه التي رفعها الوالد نيابة عنه. لا يعود من الممكن تسجيل الدخول بهذا الحساب ولا يبقى فيه اسم أو جهة اتصال. ولا يبقى في سجل المهام والمدفوعات سوى الوقائع المحاسبية اللازمة لترابط بقية العائلة (النقاط، والمبلغ، والحالة، والوقت)؛ تُحذف الملاحظة الحرة وتُستبدل أسماء المهام والأهداف بقيمة محايدة. لا يُحذف هذا السجل، لأنه يبقى مرتبطًا ببقية العائلة (وإلا لاختلّ الترابط المحاسبي بين أفرادها)، لكنه مرتبط فقط بقيد بدون اسم وجهة اتصال. تُحذف سجلات المدفوعات المباشرة والسدادات اليدوية للطفل (البند 2) مع الطفل. ويحذف الخادم قيود سجل تغيير الهاتف وحالة العضو (البند 2) من قاعدة البيانات؛ وتزول نسختها في مساحة التخزين المستقلة في موعد أقصاه 60 يومًا بعد حفظها. إذا كان على الطفل دين أو لديه رصيد أو طلبات معلقة، سيعرض له التطبيق قبل الحذف المبالغ التي سيفقدها، ويجب عليه تأكيد الحذف صراحةً؛ وسيتلقى الوالدان بعد ذلك تنبيهًا عامًا. العضو الذي أزاله الوالد من العائلة يمكنه، بعد التحقق برمز SMS في التطبيق، حذف حسابه نهائيًا بنفسه وتحرير رقم هاتفه بذلك،
• الحذف المتسلسل للعائلة كلها - عندما يؤكد أحد الوالدين صراحةً حذف العائلة كلها، نُخفي هوية جميع أفرادها، ونحذف صورهم، ونستبدل أيضًا النصوص الحرة وأسماء المهام والأهداف والمكافآت المخصصة بقيم محايدة؛ ونحذف أيضًا سجلات المدفوعات المباشرة والسدادات اليدوية للعائلة (البند 2)، وتاريخ التغييرات في القواعد المالية للعائلة (في أقرب عملية تنظيف) وقيود سجل تغيير الهاتف وحالة العضو لأفرادها (تزول نسخة السجل في مساحة التخزين المستقلة في موعد أقصاه 60 يومًا بعد حفظها). وتتطلب إزالة والد آخر موافقة الوالد المعني: فالرفض الصريح يوقف الإجراء، وبدون تفاعل يُنفّذ بعد 14 يومًا. ويتطلب حذف العائلة كلها التي تضم والدًا آخر موافقة صريحة من كل والد آخر؛ وبدون موافقة الجميع يُلغى الطلب بعد 14 يومًا ولا تُحذف العائلة. والعائلة التي أُزيل منها والد آخر خلال آخر 14 يومًا لا يمكن حذفها إلا بعد 14 يومًا على الأقل من إزالته. تُزال السجلات المحاسبية للعائلة المحذوفة، بما في ذلك الأرصدة وحالات قروض ومدخرات الأطفال، من قاعدة البيانات التشغيلية في موعد أقصاه 30 يومًا من الحذف؛ ويمكن أن تبقى في النسخ الاحتياطية المشفّرة لمدة أقصاها 30 يومًا أخرى قبل حذف النسخة الاحتياطية. ولا يُحذف دليل الموافقة على البدء الفوري لـ Premium مع حذف العائلة (البند 6). وتُحفظ السجلات مجهولة الهوية لاستخدام رموز الشركاء، والتي لا تحتوي على بيانات شخصية، لغرض توثيق الشركاء والحماية من إساءة الاستخدام. وبعد إزالة الوسائط يجري إخفاء الهوية محليًا حتى لو كانت RevenueCat غير متاحة مؤقتًا؛ ثم يُعاد إرسال الطلب الخارجي بشكل آمن مستخدمًا المعرّف الداخلي للعائلة وحده. وتنفّذ RevenueCat الحذف بشكل غير متزامن. ولا يؤدي ذلك إلى إلغاء الاشتراك المُدار عبر App Store أو Google Play - إذ يجب على الوالد إلغاؤه بشكل منفصل في إعدادات المتجر المعني،
• تقييد المعالجة (Art. 18 GDPR)، على سبيل المثال عندما تطعن في دقة البيانات، طوال المدة التي نتحقق فيها من ذلك،
• قابلية النقل (Art. 20 GDPR) - البيانات التي قدمتها لنا والتي نعالجها بناءً على عقد، سنسلمها لك بتنسيق منظم وشائع الاستخدام وقابل للقراءة آليًا (مثل JSON)، أو بناءً على طلبك سننقلها إلى مسؤول آخر عن البيانات، إذا كان ذلك ممكنًا تقنيًا،
• الاعتراض (Art. 21 GDPR) على المعالجة القائمة على مصلحتنا المشروعة (البند 2)؛ وسنوقف المعالجة عندئذٍ، ما لم نثبت أسبابًا مشروعة قاهرة تفوق مصالحك وحقوقك وحرياتك، أو أننا نحتاجها لإنشاء مطالبات قانونية أو ممارستها أو الدفاع عنها،
• سحب الموافقة في أي وقت (Art. 7(3) GDPR) - يمكنك سحب الموافقة على قياس الإعلانات على الموقع عبر رابط "إعدادات ملفات تعريف الارتباط" في تذييل الموقع (البند 9)؛ ولا يؤثر السحب على المعالجة التي تمت قبله،
• تقديم شكوى إلى السلطة الإشرافية (Art. 77 GDPR) - في التشيك هي Office for Personal Data Protection (Úřad pro ochranu osobních údajů), Pplk. Sochora 27, 170 00 Praha 7, web uoou.gov.cz؛ ويمكنك أيضًا اللجوء إلى السلطة الإشرافية في الدولة العضو في الاتحاد الأوروبي التي تعيش أو تعمل فيها.

أرسل طلبك إلى privacy@kimda.app. لكي لا ننقل البيانات أو نحذفها لشخص آخر، سنتحقق أولاً من أن الطلب مقدم من صاحب الحساب (على سبيل المثال من خلال التأكيد من رقم الهاتف المرتبط بالحساب)؛ لا ترسل إلينا أبدًا رموز SMS لتسجيل الدخول. الاستثناء الوحيد هو الرمز من رسالة SMS التي تحمل علامة «Kimda obnova účtu»، والذي سيطلبه منك فريق الدعم فقط للرد على طلبك الخاص باسترجاع الحساب المستولى عليه، أو على تأكيدك الخاص لمثل هذا الطلب من والد آخر في عائلتك (البند 2)؛ وحتى في هذه الحالة، أخبر الدعم فقط بالرمز، ولا تخبر به أي فرد آخر من العائلة أبدًا. يطلب منك فريق الدعم هذا الرمز حصريًا عبر البريد الإلكتروني من العنوان support@kimda.app مع رقم طلبك، ولا يطلبه أبدًا عبر الهاتف أو من خلال أي فرد آخر من العائلة. نعالج طلب الوصول أو قابلية النقل عن طريق تصدير بيانات العائلة بتنسيق JSON (بدون رموز تسجيل الدخول وبصماتها وبدون بصمات أرقام الهواتف الأصلية من سجلات الأمان، والتي تعمل فقط للتحقق من طلب استرجاع الحساب، وبدون سجل تغيير الهاتف وحالة العضو الذي يعمل فقط للحماية من الاستيلاء على الرقم؛ ويحتوي التصدير على سجلات المدفوعات المباشرة والسدادات اليدوية (البند 2)؛ وبالنسبة للصور يحتوي على بصمتها التقنية وفقًا للبند 3، وسنسلم الصور نفسها بشكل منفصل عند الطلب)؛ ونسجل كل عملية تصدير (من أعدها، ومتى، وبناءً على أي طلب). وسنخبرك ببيانات الأحداث من سجل تغيير الهاتف وحالة العضو (النوع والوقت، بدون بصمات) عند الطلب. سنرد دون تأخير غير مبرر، في موعد أقصاه شهر واحد؛ وفي الحالات الأكثر تعقيدًا يمكننا تمديد الفترة لشهرين إضافيين، وسنبلغك بذلك في الوقت المناسب. حقوق الطفل يمكن للوالد ممارستها نيابة عنه بصفته الممثل القانوني.

8. الأمان

لا يستخدم التطبيق كلمات مرور (يتم تسجيل الدخول فقط عبر هاتف مُتحقَّق منه). الوصول محمي برمز تسجيل دخول قصير الأجل بصلاحية 15 دقيقة ورمز تحديث يحفظه الخادم كبصمة فقط؛ عند إثبات الاستخدام المتكرر لرمز تحديث تم استبداله بالفعل، يقوم الخادم بتسجيل خروج الحساب من جميع الأجهزة، ويلغي تسجيلاته للتنبيهات، ويكتب سجل أمان وينبه الوالدين الآخرين. وفي بيئة التشغيل الفعلية يجري الاتصال بين التطبيق والخادم عبر HTTPS. والصور محفوظة في مساحة تخزين غير عامة، ويتحقق الخادم الخلفي قبل تقديمها من الحساب ومن الانتماء إلى العائلة نفسها. النسخ الاحتياطية لقاعدة البيانات مشفّرة قبل النقل ولا يمكن فك تشفيرها إلا بمفتاح خاص محفوظ خارج السحابة؛ والرموز الترويجية موجودة في قاعدة البيانات فقط كبصمة HMAC مع مفتاح خارج قاعدة البيانات ونسجل إدارة الرموز الترويجية. لا يكتب الخادم أرقام الهواتف أو الرموز أو محتويات الطلبات في سجلات التشغيل.

9. موقع kimda.app وملفات تعريف الارتباط

ينطبق هذا البند على زوار موقع kimda.app فقط، ولا ينطبق على استخدام التطبيق. يعمل الموقع على شبكة Cloudflare التي تعالج تقنيًا عند كل زيارة عنوان IP وبيانات المتصفح، لكي تتمكن من تقديم الصفحة وحمايتها من الهجمات؛ وتحتفظ Cloudflare بسجلات تشخيص أخطاء الموقع لمدة أقصاها 3 أيام. بناءً على لغة المتصفح (وبالنسبة لرابط التنزيل أيضًا بناءً على نوع الجهاز) سيوجهك الموقع إلى الإصدار المناسب من الصفحة. الأساس القانوني هو مصلحتنا المشروعة في موقع آمن وفعال (Art. 6(1)(f) GDPR). يحتفظ الموقع بالمظهر المختار في متصفحك فقط (localStorage). ويحفظ الموقع قرارك بشأن ملفات تعريف الارتباط في localStorage وفي ملف تعريف ارتباط تقني ضروري للغاية باسم kimda-consent-proof (صالح لمدة 180 يومًا)، لا يحتوي إلا على نوع الاختيار ووقت القرار، دون أي معرّف لشخص أو حساب. ويرسله المتصفح تقنيًا مع كل طلب إلى الموقع؛ ولا يقوم الخادم بتقييمه، بل يستخدمه فقط البرنامج النصي في المتصفح للتحقق من أن الموافقة لم تُسحب. ولا يتطلب ملف تعريف الارتباط هذا موافقة، ولا يُستخدم للقياس أو الإعلان.

فقط إذا اخترت "أوافق" في شريط الموقع، يحمّل الموقع أداة Meta Pixel التابعة لشركة Meta Platforms Ireland Limited. وتحفظ هذه الأداة في المتصفح ملف تعريف ارتباط (مثل _fbp بصلاحية تصل إلى 90 يومًا) وترسل إلى Meta بيانات عن الزيارة: الصفحة التي تمت زيارتها، وعنوان IP، وبيانات المتصفح، ومعرّف ملف تعريف الارتباط. ونستخدمها لقياس فعالية الإعلانات على Facebook وInstagram. الأساس القانوني هو موافقتك (Art. 6(1)(a) GDPR و Section 89(3) of Act No. 127/2005 Coll., on electronic communications). ونحن مسؤولون بالاشتراك مع Meta عن جمع هذه البيانات ونقلها؛ أما معالجتها اللاحقة، بما في ذلك نقلها المحتمل إلى الولايات المتحدة بموجب إطار خصوصية البيانات بين الاتحاد الأوروبي والولايات المتحدة (EU-USA Data Privacy Framework)، فتتولاها Meta بصفتها مسؤولًا مستقلًا عن البيانات وفقًا لسياستها المنشورة على facebook.com/privacy/policy. ولا نرسل إلى Meta أبدًا أي بيانات من التطبيق أو من الحساب أو عن العائلة.

من دون موافقتك لا يتم تحميل Meta Pixel على الإطلاق. ويمكنك سحب موافقتك في أي وقت عبر رابط "إعدادات ملفات تعريف الارتباط" في تذييل الموقع؛ وعندئذ يحذف الموقع ملف تعريف ارتباط Pixel ولا يعود إلى تحميله.

إذا انضممت إلى مجموعة المختبرين في Google Groups عبر صفحة المختبرين، فسيرى مدير المجموعة البريد الإلكتروني لحساب Google الخاص بك؛ وسنستخدمه فقط لاختبار التطبيق وللوصول إلى إصدار الاختبار الخاص به في Google Play. توزع Apple إصدار الاختبار لأجهزة iPhone عبر TestFlight. وتعالج Google وApple البيانات كمسؤولين مستقلين عن البيانات وفقًا لسياساتهما. الأساس القانوني هو طلبك للمشاركة في الاختبار (Art. 6(1)(b) GDPR). سيبقى البريد الإلكتروني في المجموعة حتى تلغي اشتراكك منها أو حتى ينتهي الاختبار.

10. التغييرات على هذه السياسة

سنُبلغك داخل التطبيق وعلى موقع kimda.app بأي تغيير جوهري في هذه السياسة. سيتعرف التطبيق على إصدار السياسة الذي وافقت عليه: سيطلب من الوالدين تأكيد الإصدار الجديد (والموافقة نيابة عن الأطفال إذا لزم الأمر)، وسيكتفي الطفل بأخذ العلم به. سنسجل وقت وإصدار التأكيد.

11. التواصل

الاستفسارات المتعلقة بحماية البيانات الشخصية: privacy@kimda.app