سياسة الخصوصية

حسابك: المعرّف الذي تختاره، واسم العرض، وصورة ونبذة اختياريتان — يراهما من تسمح له في إعداد «الصورة الشخصية والنبذة». وكلمة السر تُخزَّن بصمةً مشفّرة (bcrypt) لا نصّاً، ولا يمكن استخراجها ولا إعادتها لأحد. وحين تختارها نتحقّق أنها ليست من كلمات السرّ المسرّبة سابقاً على الإنترنت دون أن تغادر خوادمنا: يخرج أوّل خمسة محارف من بصمتها فقط (انظر «من يعالجها» أدناه). ووقت موافقتك على شروط الاستخدام ونسختها حين أنشأت حسابك.

بريد الاستعادة — اختياري تماماً: لا يُشترط عند التسجيل، ولا يُربط بحسابك إلّا بعد أن تفتح رابط تحقّق يصل إليه، ولا يُستعمل لغير استعادة كلمة السر وتنبيهك حين يُدخَل إلى حسابك من جهازٍ جديد. لا رسائل تسويقية.

محتواك — يمرّ بنا ولا نحفظه: نصوص رسائلك، والصور والفيديو والملفّات والرسائل الصوتية والملصقات التي ترسلها، وتفاعلاتك على الرسائل، تمرّ بخوادمنا في طريقها إلى أجهزة من ترسل إليهم، وتُحذف حين تصلها — أو بعد ٣٠ يوماً إن غاب جهاز. سجلّ محادثاتك على أجهزتك أنت، وتنقله إلى جهازٍ جديد من «الأجهزة المرتبطة». ونحفظ لكل رسالة من أرسلها، وفي أيّ محادثة، ومتى، ونوعها، وأيّ رسالةٍ تردّ عليها، وهل عُدّلت أو حُذفت — لنرتّب الرسائل وننفّذ «حذف للجميع» — ويُمحى ذلك بحذف حسابك. وإن ميّزت رسالةً بنجمة، أو حذفتها «لديّ»، أو أرشفت محادثة، نحفظ ذلك علامةً بلا محتوى (أيّ رسالةٍ أو محادثة، ومتى) لتظهر كذلك على كلّ أجهزتك، ولا يراها غيرك. ومنذ ٢٧ أكتوبر ٢٠٢٦مُحي من خوادمنا محتوى ما قبله من رسائل. وتبقى عندنا مكتبة ملصقاتك حتى تحذف منها.

قفل التطبيق وقفل المحادثة — على هاتفك وحده: في تطبيق أندرويد يجري التحقّق ببصمتك أو برمز قفل الهاتف نظامُ هاتفك نفسه، ولا يعرف همس منه إلّا أنّه نجح أو لم ينجح، ولا نرسل إلى خوادمنا أيّ المحادثات قفلت. والقفل يحجب العرض على ذلك الهاتف ولا يعمّي ما عليه، والمحادثة المقفلة تظهر عاديّةً على الويب وعلى أجهزتك المرتبطة.

التذكيرات: نصّ التذكير ووقته وحالته محفوظةٌ على أجهزتك وحدها. حين تضيف تذكيراً أو تعدّله يمرّ التغيير عبر خوادمنا إلى أجهزتك الأخرى المرتبطة ويُحذف فور تسليمه (وفي كلّ حالٍ بعد ٣٠ يوماً)، ولا نحتفظ منه بشيء. وتنبيه التذكير يصدره جهازك نفسه، لا خوادمنا.

الرسائل المثبّتة: حين يثبّت أحدٌ رسالةً في محادثة أو مجموعة، نحفظ على خوادمنا مرجعاً إليها فقط — أيّ رسالةٍ ثُبّتت (معرّفها)، ومن ثبّتها، ومتى — لا نصّها ولا صورتها ولا أيّ شيءٍ من محتواها، ليراها أطراف المحادثة على أجهزتهم. ويُحذف المرجع حين يُلغى التثبيت، أو تُحذف الرسالة للجميع، أو تُحذف المحادثة أو الحساب.

مجموعاتك: اسم المجموعة وصورتها وعضويّاتك فيها.

سجلّ مكالماتك: من اتّصل بمن، ومتى، وكم دامت، وكيف انتهت. ولا يُسجَّل صوت المكالمة ولا صورتها إطلاقاً — لا شيء من محتوى المكالمة يمرّ إلى تخزيننا.

جلساتك: لكل جهاز دخلتَ منه صفٌّ فيه وصفٌ قصير مثل «Chrome · أندرويد»، ووقت الدخول وآخر نشاط. بلا عنوان IP وبلا بصمة جهاز. وتراها كلّها في الإعدادات وتستطيع إنهاء أيّها شئت.

اشتراك الإشعارات — إن أذنتَ به: يُحفظ عنوان الاشتراك أو رمز التسجيل الذي يعطيه متصفّحك أو تطبيق أندرويد، ومعه — في المتصفّح وحده — مفتاحا تعميته. وكلاهما يبطل بسحب الإذن، ولا يُشتقّ منه شخص، ولا يُستعمل لغير إرسال الإشعار.

وما يعرضه الإشعار واحدٌ في المتصفّح وتطبيق أندرويد — اسم المُرسِل ومقتطفٌ من نصّ رسالته — لكنّ طريقه يختلف، والفرق حقيقيّ لا تفصيل:

في المتصفّح يحمل الإشعار اسم المُرسِل ومقتطفاً من نصّ رسالته — حتى ١٤٠ محرفاً — معمّىً بمفتاحَي متصفّحك، فخدمة الدفع تنقل بايتات لا تقرؤها هي ولا نحن بعد خروجها.

وفي تطبيق أندرويد يمرّ تنبيه الإشعار بخدمة Firebase Cloud Messaging من Google بلا تعمية من طرفنا — أي أنها تستطيع قراءة ما فيه. ولهذا السبب وحده لا يحمل تنبيه أندرويد نصّ رسالتك ولا اسم المُرسِل: يحمل معرّف المحادثة أو المجموعة وحده. ثمّ يطلب التطبيق على هاتفك نصّ الإشعار من خوادمنا مباشرةً — عبر الاتصال نفسه الذي تصل به رسائلك — ويعرضه. فلا يمرّ بـGoogle شيءٌ من نصّ رسائلك ولا وسائطك ولا أسماء من يراسلونك.

وما يظهر على شاشتك يراه من يرى شاشتك، ويوقفه إطفاء «إشعارات هذا الجهاز» من إعدادات التطبيق، أو سحب الإذن من إعدادات الجهاز أو إعدادات الموقع في متصفّحك. ولتُبقي الإشعار وتُخفي ما فيه أطفئ «معاينة الإشعارات» من إعدادات الخصوصية: يصير الإشعار «همس — رسالة جديدة» بلا اسم المُرسِل ولا نصّه، على ذلك الجهاز وحده.

وحين تستمع إلى رسالةٍ صوتية في تطبيق أندرويد ثمّ تغادر المحادثة يُظهر هاتفك إشعار تشغيلٍ فيه اسم المُرسِل والمحادثة فقط — لا شيء من محتوى الرسالة — ويزول حين ينتهي الاستماع. ويُخفى الاسم إن أطفأت «معاينة الإشعارات»، أو أخفى قفلُ هاتفك المحتوى الحسّاس على شاشته.

بلاغاتك: إن أبلغت عن حساب أو رسالة أو همسة أو مجموعة، يُحفظ البلاغ وسببه وما كتبته، ومعه لقطة نصّية من المحتوى المُبلَّغ عنه — لأن من أُبلغ عنه قد يحذفه بعد ثوانٍ، فيصل البلاغ إلى المراجعة فارغاً (وفي البلاغ على حساب: نبذته كما تراها أنت). وإن أرفقت صوراً (حتى ثلاث)، تُحفظ معه — يعيد جهازك حفظها قبل الإرسال فلا يخرج معها موقعٌ ولا بيانات الكاميرا، ولا يراها إلّا من يراجع البلاغات من فريق همس. ومن أبلغت عنه لا يعرف أنك أنت من أبلغ.

ما يقرّره فريق همس على حسابك، وطعنك فيه: إن اتّخذ الفريق قراراً على حسابك — تحذيراً، أو إيقافاً مؤقّتاً، أو حظراً، أو إزالة صورة أو محتوى — يُحفظ القرار ونوع المخالفة ووقته، ويصلك نوع المخالفة لا ما كتبه من قرّر. وإن أُوقف حسابك وكتبت طعناً، يُحفظ ما كتبته مع القرار الذي تطعن فيه ليقرأه الفريق ويقضي فيه. وإن أعاد الفريق تعيين معرّفك لمخالفة، يبقى معرّفك القديم محجوزاً فلا يتّخذه غيرك.

إن طلبت التوثيق: إن طلبت شارة التوثيق من إعداداتك، يُحفظ نوع الشارة التي طلبتها وما كتبته عن نفسك والروابط التي ذكرتها، ليقرأه فريق همس ويقضي فيه — ويُكتب في سجلّ التدقيق من فتح طلبك ومتى. وإن مُنحت الشارة تظهر بجانب اسمك لكل من يرى اسمك، كاسمك ومعرّفك، ولا تخفيها إعدادات الخصوصية. وتسقط إن غيّرت اسمك الظاهر أو معرّفك.

ما تُبلغنا به عن مشكلةٍ في التطبيق: إن استعملت «أبلغ عن مشكلة» في تطبيق أندرويد، يُحفظ ما كتبته، ولقطة الشاشة إن اخترتها أنت من صورك، ومعهما نسخة التطبيق وطراز هاتفك ونسخة أندرويد — ليُفهم ما حدث. ويُربط بحسابك لنعرف إلى من نعود إن احتجنا. ويقرؤه من فريق همس الدعم الفني ومن فوقه وحدهم، ويُكتب في سجلّ التدقيق من فتحه ومتى.

الإعلانات الرسمية من فريق همس: إن نشر الفريق إعلاناً داخل التطبيق (صيانة، أو ميزة جديدة)، يُحفظ أنّك قرأته حين تضغط «فهمت»، كي لا يظهر لك ثانيةً — ولا شيء غير ذلك. وإن كان التسجيل في همس بدعوةٍ وسجّلت برمز دعوة، لا يُحفظ أيّ رمزٍ استعملت ولا يُربط بحسابك: يزيد عدّاد استعمال الرمز وحده.

الرسائل الرسمية في محادثاتك: قد تصلك من حسابٍ يحمل شارة «فريق همس» رسالةٌ في محادثةٍ معه — ترحيبٌ حين تُنشئ حسابك، أو خبرٌ مهمّ — بعلامة «رسالة رسمية» فوقها. تصلك ولو كانت الرسائل الأولى عندك طلبات مراسلة، ولا تصلك إن حظرت ذلك الحساب أو رفضت طلب مراسلةٍ منه. وأكثرها بلا ردود. ويُحفظ أنّ تلك الرسالة بعينها وصلت حسابك كي لا تتكرّر عليك وكي يستطيع الفريق سحبها من المحادثات إن لزم — ولا يُحفظ أنّك قرأتها، ولا يرى الفريق ذلك.

نقل سجلّك بين أجهزتك، والدخول برمزٍ من هاتفك: حين تنقل محادثاتك من هاتفك إلى متصفّح أو إلى هاتفٍ جديد (أو العكس)، يعرض جهازٌ رمزاً ويمسحه الآخر. مفتاح النقل في الرمز الظاهر على شاشتك، ولا يصل إلينا أبداً: فسجلّك يمرّ بخوادمنا أجزاءً معمّاة لا نستطيع قراءتها، ويُحذف كلّ جزءٍ لحظة يستلمه جهازك الآخر. ولا يُحفظ من النقل إلّا حاله: أيّ الجهازين، ووصفهما القصير، ومفتاحٌ عامّ واحد لا يفكّ شيئاً وحده، وأعدادٌ (كم جزءاً وصل). وإن دخلت إلى الويب برمزٍ من هاتفك، تُفتح للمتصفّح جلسةٌ كالتي يفتحها الدخول بكلمة السرّ — صفٌّ في «جلساتك» — حين توافق على هاتفك وحده، ويصلك تنبيه «دخول جديد» كما مع كلمة السرّ.

تقارير الأعطال (تطبيق أندرويد): إن توقّف التطبيق فجأة يُرسل في فتحه التالي تقريرٌ بموضع العطل في الكود فقط — أسماء أجزاء التطبيق وأرقام أسطرها — ومعه نسخة التطبيق وطراز الهاتف ونسخة أندرويد. بلا شيء من رسائلك أو نصوص الخطأ، وبلا حسابك: لا يُربط التقرير بأحد. وهو مسارنا نحن، لا أداة أعطال من طرف ثالث.

لا جهات اتصال هاتفك · لا موقعك الجغرافي · لا إعلانات ولا شبكات إعلان · لا أدوات تحليل أو تتبّع من طرف ثالث · ولا نبني ملفّاً إعلانياً عنك.

وعنوان IP لا يُخزَّن كما هو في قاعدة بياناتنا. لحماية الدخول من تخمين كلمات السرّ نحفظ بدلاً منه بصمةً مفتاحية (HMAC) لعنوانك ولشبكته، معها عدّاد المحاولات وحده: لا يُستخرج منها العنوان، ولا تُربط بحسابك، وتُمحى تلقائياً بعد انتهاء مدّتها — من ربع ساعة إلى يومٍ واحد. وكذلك عدّاد المحاولات على المعرّف: بصمةٌ لا اسم.

لتشغيل الخدمة: إيصال رسالتك إلى من أرسلتَها له، وعرض محادثاتك على أجهزتك، وتشغيل المكالمات.

لحماية حسابك: التحقّق من هويتك عند الدخول، وحدّ المحاولات، وعرض أجهزتك المسجّلة لتُنهي ما لا تعرفه.

لسلامة المستخدمين: مراجعة البلاغات والتصرّف عليها، بما فيه إيقاف الحسابات المخالفة.

ومن يطّلع من فريق همس على حسابك، ولماذا: لا يطّلع أحدٌ من الفريق على بيانات حسابك الوصفية — اسمك ومعرّفك ونبذتك، وتاريخ إنشاء الحساب، ويوم آخر ظهورك، وعدد أجهزتك، والبلاغات عليه وما اتُّخذ فيها — إلّا لمراجعة بلاغٍ أو طعنٍ أو طلب دعمٍ منك. وكلّ اطّلاعٍ منه يُسجَّل باسم من اطّلع وسببه ووقته، في سجلٍّ لا يُعدَّل. ولا يرى الفريق رسائلك ولا وسائطك ولا بريدك: دليل البلاغ هو اللقطة التي حُفظت معه، والصور التي أرفقها المُبلِّغ بنفسه.

لإصلاح ما يتعطّل: قراءة ما تُبلغنا به عن مشكلة، وتقارير الأعطال، لنعرف أين يخطئ التطبيق ونصلحه.

لا نستعمل بياناتك لأي غرض آخر، ولا نتّخذ قرارات آلية بشأنك.

قاعدة البيانات: TiDB Cloud. ومرفقاتك وأصواتك وملصقاتك مخزّنة داخل القاعدة نفسها، لا في خدمة تخزين خارجية.

الاستضافة: Render — عليها يعمل الخادم الذي يستقبل طلبات التطبيق.

إرسال البريد: Resend، ولا يصله إلّا عنوان بريدك ونصّ رسالة الاستعادة أو تنبيه الدخول (وفيه وصف الجهاز ووقت الدخول). لا يصله شيء من محادثاتك ولا وسائطك.

فحص كلمات السرّ المسرّبة: خدمة Pwned Passwords. لا يصلها إلّا أوّل خمسة محارف من بصمة كلمة السرّ (SHA-1) — لا كلمة السرّ، ولا بصمتها كاملةً، ولا اسمك ولا معرّفك.

التحقّق حين تكثر محاولات الدخول (المتصفّح وحده): Cloudflare Turnstile. لا يُحمَّل إلّا حين تكثر محاولات الدخول من شبكتك أو على الخادم كلّه، ويرى لحظتها ما يراه أيّ موقعٍ تزوره (عنوانك ونوع متصفّحك). لا يظهر في غير ذلك.

التحقّق حين تكثر محاولات الدخول (تطبيق أندرويد): Google Play Integrity. في الحالة نفسها يطلب التطبيق من خدمات Google Play على هاتفك شهادةً بأنه تطبيق همس كما نُشر في المتجر وأن الهاتف غير معبوثٍ به، ونرسلها إلى Google لتتحقّق منها. لا يصلها اسمك ولا معرّفك ولا شيء من محادثاتك، ولا يُطلب في غير ذلك.

إيصال إشعارات المتصفّح: خدمة الدفع الخاصّة بمتصفّحك (Google لكروم، Mozilla لفايرفوكس، Apple لسفاري)، ولا يمرّ بها إلّا نصّ الإشعار المذكور أعلاه معمّىً بمفتاحَي متصفّحك — أي أنها تنقل بايتات لا تستطيع قراءتها هي ولا نحن بعد خروجها. ولا شيء من وسائطك.

إيصال إشعارات تطبيق أندرويد: Google عبر خدمة Firebase Cloud Messaging. ويصلها — مقروءاً لا معمّىً — معرّف المحادثة أو المجموعة ورمز تسجيل جهازك، ولا يصلها اسم المُرسِل ولا نصّ رسائلك ولا وسائطك ولا جهات اتصالك. وهي الخدمة الوحيدة التي يقوم عليها إشعار أندرويد، ولا نستعمل من Firebase أي خدمة أخرى: لا تحليلات ولا تقارير أعطال ولا قاعدة بيانات ولا تسجيل دخول.

لا نبيع بياناتك ولا نشاركها لأغراض تسويقية، ولا نسلّمها لأي طرف ثالث إلّا في حدود ما يفرضه قانونٌ واجب النفاذ.

الاتصال بين جهازك وخوادمنا مشفّر أثناء النقل (HTTPS/TLS)، والمكالمات تُشفَّر أثناء النقل بين الطرفين (WebRTC).

وجلستك رمزٌ موقَّع يُحفظ في كعكة اسمها hams_session من نوع httpOnly — لا يقرؤها جافاسكربت الصفحة، ولا تُستعمل للتتبّع. ومعها كعكةٌ ثانية من النوع نفسه اسمها hams_trust تقول إن هذا الجهاز دخل منه صاحب الحساب من قبل، فلا ينتظر إن حاول أحدٌ تخمين كلمة سرّه — ولا تُدخل أحداً بلا كلمة السرّ، ولا تُستعمل للتتبّع. وتفضيل السمة (فاتحة أو داكنة) يُحفظ في متصفّحك وحده ولا يصل إلينا.

تعديل بياناتك: اسمك وصورتك ونبذتك وكلمة سرّك وبريد الاستعادة — كلّها من الإعدادات داخل التطبيق، وتستطيع فصل بريدك متى شئت.

حذف حسابك وكل بياناتك: من إعدادات حسابك، في التطبيق أو من أي متصفّح بلا تثبيته — والخطوات في صفحة حذف الحساب. تنتهي جلساتك ويُمسح اسمك وصورتك ويتحرّر معرّفك في اللحظة نفسها، ثم يُمحى محتواك على دفعات حتى ينتهي.

وما قد يبقى بعد الحذف: النسخة الاحتياطية اليومية قد تحوي بياناتك حتى ٢٤ ساعة قبل أن تُستبدل، وما يكون شخصٌ آخر قد حفظه على جهازه — لقطة شاشة أو ملفّاً نزّله — خارج قاعدة بياناتنا وخارج ما نستطيع حذفه.

إن تغيّر ما نجمعه أو كيف نستعمله، يتغيّر هذا النصّ ويتغيّر تاريخ آخر تحديث أعلاه. والتغييرات الجوهرية تُعلَن داخل التطبيق.

لأي سؤال عن خصوصيتك أو طلب يخصّ بياناتك، راسلنا على [email protected].