سياسة الخصوصية — سنابل
باختصار: «سنابل» تطبيق تعليمي للأطفال، بلا إعلانات، ويعمل كله دون حساب: يشتري الطفل من سوق التطبيق بعملات يكسبها بالتعلّم، لا بالمال. لا يغادر الجهازَ شيءٌ مما يكتبه الطفل أو يقوله، ولا يغادره تقدّمه إلا مع «سنابل+»، في الحفظ اليومي لرحلة كل طفل إلى حساب الوالد (القسم ٧)، دون اسمه وتسجيلاته. و«سنابل+» اشتراك اختياري يشتريه الوالد وحده عبر Google Play، من قسم الوالدين المقفل برمز، ويحتاج إلى تسجيل دخوله بحساب Google؛ وعندها يحفظ خادمنا حساب الوالد وهواتفه ومشترياته، ولكل طفل رقمًا عشوائيًّا وآخر حفظين يوميين لرحلته (القسم ٧). وما سوى ذلك مما يغادر الجهاز: بيانات تقنية تصل إلى Firebase Crashlytics من Google لاكتشاف الأعطال، وطلبات تنزيل ملفات التلاوة، وأصوات «سنابل+» لمشتركيه. أما أوراق الحروف والحساب للطباعة فلا تغادره إلا عند طباعتها أو مشاركتها، إلى الطابعة أو التطبيق المختار، وليس فيها شيء عن الطفل.
١. من نحن
هذا التطبيق تُصدره Amigos-lab، الجهة الناشرة لتطبيقات «رفيقي» و«سنابل». للتواصل بخصوص الخصوصية: sanabel.amigoslab@gmail.com.
٢. البيانات التي لا نجمعها
لا يجمع التطبيق ولا يرسل أيًّا مما يلي:
- أي معلومة تعرّف بالطفل: لا اسمه ولا صوته. واسم كل طفل، إن كتبه الوالد، يبقى على الجهاز مشفّرًا (القسم ٣)، وصورته واحدة من رسوم الحيوانات في التطبيق، لا صورة فوتوغرافية. أما عمره وتقدّمه فلا يغادران الجهاز إلا في الحفظ اليومي لـ«سنابل+»، تحت رقم عشوائي (القسم ٧)
- رقم الهاتف، ولا البريد الإلكتروني للوالد: يقرؤه الهاتف وحده عند تسجيل الدخول بحساب Google ليعرض من سجّل الدخول، ولا يحفظه خادمنا (القسم ٧)
- بيانات بطاقة الدفع: يتولّى Google Play الدفع، ولا نراها أبدًا
- الموقع الجغرافي
- جهات الاتصال أو الرسائل أو التقويم
- الصور أو الملفات
- الكاميرا — التطبيق لا يطلب إذن الكاميرا إطلاقًا
- معرّف الإعلانات (AAID) أو ما شابهه — التطبيق لا يطلب إذنه
- البصمة أو الوجه — بين أذونات التطبيق إذن «استخدام أجهزة المقاييس الحيوية»، وقد جاء مع المكتبة التي تشفّر أسماء الأطفال. التطبيق لا يطلب البصمة ولا الوجه ولا يقرؤهما أبدًا
أما الميكروفون فيُستخدم في ميزة واحدة يبدأها الطفل بنفسه — انظر القسم ٤.
٣. ما يُحفظ على جهازك
يحفظ التطبيق ما يلي داخل الجهاز، لكل طفل على حدة إن كان في العائلة أكثر من طفل (أربعة على الأكثر)، ولا يرسل منه شيئًا إلى أي خادم، إلا أن الحفظ اليومي لـ«سنابل+» يحمل البندين الأولين، وإعدادات الطفل وصورته (القسم ٧):
- تقدّم كل طفل وإجاباته: القرآن، والحروف، والرياضيات، وحياة المسلم، ودروس الحيوانات، والألعاب
- عملاته وتذاكره وأوسمته، وحديقته وحيواناتها، وما اشتراه من السوق
- إعدادات كل طفل: عمره، والمواد المفعّلة له، ومستواه في الرياضيات
- اسم كل طفل (اختياري): مشفّر بمفتاح محفوظ في مخزن مفاتيح أندرويد (Android Keystore)، ولا يغادر الجهاز؛ وصورته واحدة من رسوم الحيوانات في التطبيق
- تسجيلات تلاوة كل طفل (القسم ٤)
- إعدادات العائلة: الصوت والحركة، وقواعد وقت اللعب، و«وقت النوم»، و«وضع القفل» الذي يثبّت التطبيق على الشاشة. ورمز الأمان محفوظ بصيغة مُعمّاة (hash) مع ملح، لا أرقامه؛ ويَعُدّ الهاتف المحاولات الخاطئة المتتالية لإدخاله، فبعد خمس منها تُقفل لوحة الأرقام خمس دقائق، ولا يُرسل هذا العدد إلى أي مكان
- سجلّ تقني بالأخطاء في قسم الوالدين، يستطيع الوالد قراءته ونسخه ومسحه، ولا يرسله التطبيق إلى أي مكان
وإذا سجّل الوالد دخوله لـ«سنابل+» حفظ التطبيق على الجهاز أيضًا: بريد حساب Google ليُعرض في قسم الوالدين، والتصريح الموقَّع من خادمنا الذي يفتح «سنابل+»، وأصوات «سنابل+» المنزَّلة (القسم ٥)، ورمز جلسة تسجيل الدخول ومعرّف تثبيت عشوائيًّا يصنعه التطبيق، وهذان الأخيران مشفّران بمفتاح في مخزن مفاتيح أندرويد، ويُرسَلان إلى خادمنا مع كل طلب (القسم ٧).
النسخ الاحتياطي: قد يضيف أندرويد التقدّم والإعدادات إلى النسخة الاحتياطية في حساب Google الخاص بالعائلة. هذه ميزة من أندرويد نفسه تخضع لشروط Google، ولا يرسل التطبيق إليها شيئًا بنفسه. ولا يدخل فيها ولا في النقل إلى جهاز جديد: أسماء الأطفال، وتسجيلات التلاوة، وملفات التلاوة والأصوات المنزَّلة، ورمز الجلسة ومعرّف التثبيت؛ فالهاتف المستعاد من نسخة احتياطية يسجّل الدخول من جديد. ولا يدخلها رمز الأمان إلا بصيغته المُعمّاة. أما بريد الوالد والتصريح فقد يدخلانها مع الإعدادات.
تُحذف كل هذه البيانات من الجهاز عند حذف التطبيق أو مسح بياناته من إعدادات النظام.
٤. الميكروفون والتسجيلات والصوت
في شاشة «تسجيلاتي» يسجّل الطفل تلاوته ثم يستمع إلى نفسه. يُطلب إذن الميكروفون لهذه الميزة وحدها، وعندما يبدأ الطفل التسجيل بنفسه.
تبقى التسجيلات على الجهاز ولا تُرفع إلى أي خادم. ولكل طفل تسجيلاته، ولا تدخل في النسخ الاحتياطي السحابي لأندرويد ولا في النقل إلى جهاز جديد. يمكن حذف أي تسجيل من داخل التطبيق، وتُحذف جميعها عند حذف التطبيق.
ويستمع الوالد إلى هذه التسجيلات في قسم الوالدين ليوافق على حفظ السورة، على الجهاز نفسه أيضًا.
كثير مما ينطقه التطبيق ملفات صوتية جاهزة: بعضها داخل التطبيق، وبعضها ينزّله مشتركو «سنابل+» (القسم ٥). وما لا ملف له يقرؤه محرّك تحويل النص إلى كلام في الهاتف نفسه، والتطبيق لا يرسل أي نص بنفسه. وأصوات الحيوانات ملفات داخل التطبيق.
٥. التنزيلات
يحتوي التطبيق على تلاوة خمس سور جاهزة تعمل دون إنترنت: الفاتحة، والكوثر، والإخلاص، والفلق،
والناس. وعند اختيار سورة أخرى يُنزّل التطبيق ملفاتها الصوتية مرة واحدة من
rafiqi-quran.amigoslab.net، خادم Amigos-lab الذي يستخدمه تطبيق
«رفيقي — قرآن» أيضًا، ثم تبقى على الجهاز وتعمل بعدها دون إنترنت.
لا يحمل هذا الطلب أي معرّف: لا حساب، ولا معرّف جهاز، ولا ملفات تعريف ارتباط، ولا أي بيانات عن الطفل، بل مسار ثابت للملف فقط. ويرى مزوّد الاستضافة (Cloudflare) عنوان IP الخاص بالاتصال والمسار المطلوب في سجلاته المعتادة، كما في أي تنزيل. ونحن لا نجمع هذه السجلات ولا نحتفظ بها.
أصوات «سنابل+»: إذا فُتح «سنابل+» وسجّل الوالد دخوله، نزّل التطبيق ملفات الأصوات
من خادم «سنابل» api.sanabel.amigoslab.net. يحمل هذا الطلب جلسة الوالد ومعرّف
التثبيت (القسم ٧) ليتحقق الخادم من الاشتراك، ولا يحتفظ الخادم بسجلّ لمن ينزّلها. ثم تبقى الأصوات على
الجهاز وتعمل دون إنترنت.
يتحقق التطبيق من توقيع رقمي لكل ملف قبل استخدامه، حتى لا يُشغَّل للطفل صوت غير المقصود.
٦. تقارير الأعطال (Firebase)
نستخدم Firebase Crashlytics من Google لمعرفة الأعطال التقنية وإصلاحها، في نسخة التطبيق المنشورة فقط.
عند فتح التطبيق
تنشئ مكتبات Firebase معرّف تثبيت خاصًّا بهذا التطبيق، وتسجّل بدء جلسة: صانع الجهاز وطرازه، ونسخة نظام التشغيل والتطبيق، ونوع الاتصال بالشبكة، ووقت فتح التطبيق. وتستخدم Google ذلك لحساب عدد الأجهزة التي أصابها كل عُطل.
عند حدوث عُطل أو خطأ تقني
- سبب العُطل وموضعه في الشيفرة
- تفاصيل تقنية عن الخطأ، مثل رقم السورة التي تعذّر تنزيل تلاوتها وسبب ذلك
- حالة الجهاز وقت العُطل (الذاكرة، المساحة)
- معرّف التثبيت
لا تحتوي هذه البيانات على اسم الطفل ولا رمز الأمان ولا صوته ولا ما يكتبه، ولا نربطها بأي حساب أو هوية. تُنقل مشفّرة (HTTPS)، ويحتفظ Crashlytics ببيانات الأعطال ونسخته من المعرّفات ٩٠ يومًا ثم يبدأ حذفها. وقد تحتفظ Firebase بمعرّف التثبيت نفسه إلى أن يُحذف؛ وهو يدلّ على نسخة مثبّتة من التطبيق لا على شخص، ويحصل التطبيق على معرّف جديد عند مسح بياناته أو إعادة تثبيته. سياسة خصوصية Google: policies.google.com/privacy، والخصوصية في Firebase: firebase.google.com/support/privacy.
٧. «سنابل+» وحساب Google للوالد
«سنابل+» اشتراك اختياري يفتح بقية الدروس والألعاب، والتطبيق كله يعمل دونه. لا يشتريه إلا الوالد، من قسم الوالدين المقفل برمز الأمان أو من خطوات الإعداد الأولى، عبر Google Play الذي يتولّى الدفع.
تسجيل الدخول: يحتاج «سنابل+» إلى أن يسجّل الوالد دخوله بحساب Google من نافذة
تسجيل الدخول في أندرويد، فيتبعه اشتراكه إلى أي هاتف. يرسل الهاتف رمز تسجيل الدخول الذي يصدره Google
إلى خادمنا api.sanabel.amigoslab.net، فيتحقق منه مع Google ولا يحفظ منه إلا
بصمة مُعمّاة باتجاه واحد (hash) لمعرّف حساب Google، لا البريد الإلكتروني ولا الاسم اللذين يحملهما الرمز
أيضًا.
ما يحفظه خادمنا:
- رقم حساب عشوائيًّا لا يُشتقّ من بيانات Google، مع تلك البصمة
- لكل هاتف سجّل الدخول، وهي أربعة على الأكثر: طرازه ليظهر في قائمة الهواتف، ومعرّف التثبيت العشوائي (لا معرّف الجهاز)، ووقت تسجيل الدخول وآخر استخدام، ورمز الجلسة بصيغة مُعمّاة
- المشتريات كما يؤكدها Google Play: الخطة، ورقم الطلب ورمز الشراء من Google، وحالة الاشتراك وتاريخ انتهائه
- لكل طفل في العائلة، وهم أربعة على الأكثر: رقم عشوائي يصنعه الهاتف له، ووقت إضافته
- الحفظ اليومي لكل طفل، الأحدث والذي قبله: تقدّمه وإجاباته (القرآن والحروف والرياضيات وحياة المسلم ودروس الحيوانات والألعاب)، وعملاته وتذاكره وأوسمته، وحديقته وحيواناتها، وصورته (إحدى رسوم الحيوانات في التطبيق) وعمره ومستواه في الرياضيات والمواد المفعّلة له، مع وقت كل حفظ وحجمه وبصمته (SHA-256). يُضغط كل حفظ، ويُرسَل عبر HTTPS، ويخزّنه Cloudflare مشفّرًا
ولا يحفظ الخادم أبدًا اسم الطفل ولا صوته ولا تسجيلاته، ولا رمز الأمان ولا إعدادات العائلة.
الحفظ اليومي: مع «سنابل+» يرسل الهاتف رحلة كل طفل لعب منذ آخر حفظ له، مرة في اليوم على الأكثر، حين يخرج التطبيق إلى الخلفية، ليعيده الوالد على هاتف جديد بعد تسجيل الدخول. ويستطيع الوالد جعله يدويًّا (قسم الوالدين ← التطبيق ← الحفظ اليومي)، فلا يُرسَل شيء إلا حين يضغط «احفظ الآن».
متى يتصل التطبيق بخادمنا: بعد أن يسجّل الوالد دخوله: عند تسجيل الدخول والخروج، وعند الشراء أو استعادته، وللتحقق من الاشتراك مرة في اليوم، ولتنزيل أصوات «سنابل+»، وللحفظ اليومي لرحلات الأطفال واستعادتها على هاتف جديد. ويحمل كل طلب رمز الجلسة ومعرّف التثبيت ونسخة التطبيق. وعند تسجيل الدخول والشراء يطلب التطبيق من Google Play أن يؤكد أن التطبيق والهاتف أصليّان (Play Integrity)، فيقرأ الخادم الجواب من Google ولا يحفظه.
وقبل أن يفتح التطبيق شاشات Google، أو إذا تعذّر عرض أسعار الاشتراك، يسأل خادمنا هل يمكن الوصول إليه، ولو قبل تسجيل الدخول، ليُخبر الوالد إن لم يكن الهاتف متصلًا بالإنترنت. ولا يحمل هذا الطلب شيئًا من التطبيق: لا رمز جلسة ولا معرّف تثبيت ولا نسخة التطبيق.
المدة: تنتهي جلسة الهاتف بتسجيل الخروج، أو بعد ١٨٠ يومًا دون استخدام، فتُحذف. ويبقى الحساب ومشترياته حتى يحذفه الوالد (القسم ١١). ويبقى حفظ الطفل حتى يحلّ محلّه حفظ أحدث، أو يُحذف الطفل من الهاتف (فيُحذف حفظه من خادمنا حين يتصل ذلك الهاتف بـ«سنابل+» والوالد مسجّل الدخول)، أو يحذفه الوالد من الحساب في بطاقة الحفظ اليومي، أو يُحذف الحساب. والحفظ الذي لا يُفتح حين يُعاد الطفل يُحذف. وإذا انتهى «سنابل+» بقي آخر حفظين ثلاثة أشهر ثم يُحذفان.
الاستضافة والسجلات: يستضيف Cloudflare خادمنا وقاعدة بياناته وحفظ الأطفال اليومي. وسطور سجلّ الخادم تحمل رمز الخطأ ورقم الطلب، ولا تحمل أبدًا رمزًا ولا بريدًا ولا رقم حساب، ويحتفظ بها Cloudflare سبعة أيام على الأكثر. ويرى Cloudflare عنوان IP للاتصال كأي استضافة، ويستعمله ليحدّ من عدد الطلبات، ونحن لا نحفظه.
٨. الإعلانات والمشتريات والروابط
لا يعرض التطبيق أي إعلانات، ولا يحتوي على حزمة إعلانات، ولا على تحليلات سوى تقارير الأعطال وبدء التشغيل في القسم ٦. والشراء الوحيد فيه اشتراك «سنابل+» (القسم ٧)، ولا يصل إليه الطفل لأنه خلف رمز الأمان؛ ولهذا بين أذونات التطبيق إذن الفوترة في Google Play. ولا يحتوي على محادثة، ولا تواصل مع مستخدمين آخرين. ولا يخرج التطبيق إلى غيره إلا في هذه المواضع: إعدادات الهاتف لتفعيل الميكروفون إن رُفض إذنه؛ وشاشة الطباعة أو قائمة المشاركة في أندرويد عند طباعة ورقة أو مشاركتها (القسم ١٠)؛ ومن قسم الوالدين وخطوات الإعداد الأولى وحدها: نافذة تسجيل الدخول بحساب Google ونافذة الشراء في Google Play، وصفحة الاشتراكات في Google Play لإدارة الاشتراك، وهذه الصفحة في المتصفح، وصفحة سنابل في Google Play لتقييمه، وتطبيق البريد الخاص بالوالد برسالة معنونة إلينا. ولا يرسل سنابل شيئًا بنفسه: لا تخرج الرسالة إلا إذا أرسلها الوالد من تطبيق بريده، ولا نستعمل ما يكتبه إلا للرد عليه وتحسين سنابل، ولا نحتفظ به أكثر من ذلك. ومرة واحدة، داخل قسم الوالدين، قد يعرض Google Play نافذة التقييم الخاصة به فوق التطبيق؛ يتولى Google التقييم، ولا يُعلَم التطبيق هل قيّم الوالد ولا كيف قيّم.
٩. الأطفال
التطبيق موجَّه للأطفال، ونلتزم بسياسات «العائلات» في Google Play وبقانون COPPA واللائحة الأوروبية GDPR بما فيها أحكام حماية الأطفال. لا نجمع من الأطفال أي بيانات شخصية سوى معرّف التثبيت المذكور في القسم ٦، ونستخدمه لاكتشاف الأعطال وإصلاحها فقط، والحفظ اليومي لـ«سنابل+» (القسم ٧): يشترك فيه الوالد ويستطيع جعله يدويًّا، ويحمل تقدّم الطفل وحديقته تحت رقم عشوائي، لا اسمه ولا صوته، ولا يُستخدم إلا لإعادة رحلته على هاتف آخر. وحساب «سنابل+» حساب الوالد دائمًا لا الطفل، وما يحفظه خادمنا عنه في القسم ٧. ولا نعرض إعلانات مخصّصة، ولا نشارك أي بيانات مع أطراف ثالثة لأغراض تسويقية.
١٠. مشاركة البيانات
لا نبيع أي بيانات ولا نشاركها. نستعين بمزوّدَي خدمة فقط: Google لتقارير الأعطال (Firebase Crashlytics)، ولتسجيل الدخول والدفع والتحقق من التطبيق في «سنابل+» (حساب Google وGoogle Play وPlay Integrity)؛ وCloudflare لإيصال ملفات التلاوة والأصوات، ولاستضافة خادم «سنابل» وقاعدة بياناته وحفظ الأطفال اليومي.
أوراق للطباعة: في قسمي الحروف والحساب يمكن طباعة ورقة، أو حفظها صورة ومشاركتها. وليس في الورقة شيء عن الطفل: حرف وكلمات، أو أعداد ومسائل، ورسوم، وسطران فارغان للاسم والتاريخ. يسلّمها التطبيق إلى شاشة الطباعة أو قائمة المشاركة في أندرويد، ولا يرسلها بنفسه إلى أي مكان، فلا تذهب إلا إلى الطابعة أو التطبيق الذي يُختار هناك، ولا تصل إلينا. وتُكتب الصورة أولًا في التخزين المؤقت للتطبيق نفسه.
١١. حذف البيانات
لحذف كل ما يحفظه التطبيق على الجهاز: احذف التطبيق، أو امسح بياناته من إعدادات النظام. أما النسخة الاحتياطية في حساب Google الخاص بالعائلة فتُحذف من إعدادات النسخ الاحتياطي في ذلك الحساب. أما تقارير الأعطال فلا ترتبط باسم ولا بحساب، فلا نستطيع تمييز تقارير عائلة بعينها، ويحذفها Crashlytics بعد ٩٠ يومًا. وقد تحتفظ Firebase بمعرّف التثبيت مدة أطول، ولا يرتبط هو أيضًا باسم ولا بحساب.
حساب «سنابل+»: يحذفه الوالد من التطبيق (قسم الوالدين ← التطبيق ← سنابل+ ← حذف الحساب)، أو دون التطبيق من صفحة api.sanabel.amigoslab.net/account/delete بتسجيل الدخول بحساب Google نفسه. يوقف الحذف تجديد الاشتراك أولًا، ثم يحذف في الحال الحساب وجلسات هواتفه وسجلات مشترياته وحفظ كل أطفاله. ونُبقي بصمة معرّف حساب Google المُعمّاة وحدها ٣٠ يومًا، حتى لا تعيد استعادةٌ من سجلّ قاعدة بياناتنا حسابًا محذوفًا؛ فسجلّ الاستعادة عند Cloudflare يحفظ البيانات المحذوفة ٣٠ يومًا على الأكثر ثم تزول. ويحتفظ Google بسجلّه الخاص للشراء وفق سياسته. وتسجيل الخروج يحذف جلسة ذلك الهاتف، وحذف طفل من الهاتف، أو من الحساب في بطاقة الحفظ اليومي، يحذف حفظه من خادمنا. ولأي سؤال عن بياناتك راسلنا على sanabel.amigoslab@gmail.com.
١٢. تغييرات على هذه السياسة
عند تغيّر ممارساتنا سنحدّث هذه الصفحة ونغيّر تاريخ السريان أدناه.