الموافقة والحق في النسيان
متاح أيضًا بـ28 لغة
English · Español · 日本語 · Português (Brasil) · Français · Deutsch · Italiano · 한국어 · 简体中文 · Português (Portugal) · 繁體中文 · Bahasa Indonesia · Türkçe · Polski · Tiếng Việt · ไทย · Nederlands · עברית · Українська · हिन्दी · Русский · Svenska · Dansk · Norsk bokmål · Suomi · Español (México) · Français (Canada) · Deutsch (Schweiz)
الوحدة 5 من 6 في فصل جودة البيانات وحوكمتها، الفصل 5 من دورة Data Architect. كل وحدة قائمة بذاتها. السابق: قوانين الخصوصية تشكّل التصميم · التالي: احمِ واحتفظ وأثبِت
السؤال الذي تجيب عنه هذه الوحدة: كيف تصمم للموافقة، ولمحو بيانات شخص؟
لدى Steve Trucking رقم هاتف مستلم. سؤال بسيط: هل يمكننا مراسلته نصيًا؟ ربما. بشأن توصيلة اليوم؟ وتوصيلة الغد؟ هل يمكننا استخدام الرقم لعرض ترويجي؟ وماذا لو قال لا للرسائل النصية، أو نعم لتحديثات التوصيل ولا للتسويق، ثم غيّر رأيه؟
الآن الاتجاه الآخر. يقول المستلم: احذفوا معلوماتي الشخصية. أين هي؟ في Salesforce على الأرجح، لكننا تعلمنا أن هذا ليس الجواب كله. لقد جاءت من شريك تجزئة. وقد تكون في منصة بيانات عملاء، أو سجل تاريخ الحقول، أو أرشيف، أو ملاحظة توصيل، أو ملف مُصدَّر، أو سجل تكامل، أو محادثة وكيل. تبدو الموافقة والحذف أسئلة سياسات، لكن في النهاية على النظام أن يجيب عنها. هذه معمارية.
الموافقة بيانات
Section titled “الموافقة بيانات ”المبدأ الأول: الموافقة بيانات. لا تختزلها في Has_Opted_In__c = true. السؤال الحقيقي ليس أبدًا «هل وافق؟» فحسب. بل هو الموافقة على ماذا، وعبر أي قناة، وعلى أي عنوان أو رقم، ولأي غرض، ومتى، وهل تغيرت، وهل نستطيع إثباتها؟ إذا كانت جهة العمل تتخذ قراراتها بناءً على هذه الإجابات، فيجب تخزينها بوصفها بيانات مهيكلة. فقرة في سياسة الخصوصية لا تكفي، ولا مربع اختيار في نموذج ويب: مربع الاختيار يلتقط حدثًا؛ والمعمارية يجب أن تحتفظ بما يعنيه الحدث.
استخدم النموذج الذي بنته Salesforce بالفعل
Section titled “استخدم النموذج الذي بنته Salesforce بالفعل ”موقفي: استخدم نموذج الموافقة الجاهز حيثما استطعت، بدل إعادة بناء الشيء نفسه في حقول مخصصة. يدير نموذج بيانات الموافقة في Salesforce الموافقة على أربعة مستويات، كلٌّ منها سؤال أكثر تحديدًا (Understand the Salesforce Consent Data Model (opens in a new tab)):
- الموافقة العامة، على كائن Individual (الفرد): من هذا الشخص، وهل قال لا لكل شيء؟
- الموافقة على قناة التواصل (Contact Point Type Consent): هل يجوز لنا استخدام هذا النوع من القنوات، مثل الرسائل النصية أو البريد الإلكتروني؟
- الموافقة على نقطة الاتصال (Contact Point Consent): وماذا عن رقم الهاتف أو عنوان البريد الإلكتروني المحدد هذا؟
- غرض استخدام البيانات (Data Use Purpose): لأي سبب: إشعارات التوصيل، أم الخدمة، أم التسويق؟
معًا، تستطيع المعمارية أن تجيب عن «هل يجوز لنا استخدام معلومات هذا الشخص، عبر نقطة الاتصال هذه، لهذا الغرض؟»، وهذا أنفع بكثير من «الموافقة = نعم». أي سجل يتعلق بفرد يمكنه المشاركة: العملاء المحتملون، وجهات الاتصال، والحسابات الشخصية، والمستخدمون.
أربعة أسئلة، كل منها أضيق من سابقه. علامة اشتراك واحدة لا تجيب عن أي منها جيدًا.
الغرض مهم
Section titled “الغرض مهم ”يرسل شريك تجزئة إلى Steve Trucking رقم مستلم حتى يتمكن الطاقم من تنسيق التوصيل. هذا لا يجعل المستلم عميلًا محتملًا للتسويق. البيانات نفسها قد تكون لها استخدامات مسموح بها مختلفة: تنسيق التوصيل، ومتابعة الخدمة، والتسويق، والتخصيص بالذكاء الاصطناعي. إذا كانت السياسة أو القانون تعاملها بشكل مختلف، فيجب أن يميّز النموذج بينها. السؤال ليس هل لدينا رقم الهاتف؟ بل ما الذي يُسمح لنا بفعله به؟
والموافقة ليست دائمًا هي الأساس القانوني. بعض الاستخدامات تستند إلى أسس أخرى ينص عليها القانون، وتحديد ذلك من شأن الشؤون القانونية. لا تبنِ معمارية تفترض أن كل قرار خصوصية مربع اختيار للاشتراك. ادعم ما تقوله السياسة: إن كان استخدام ما يعتمد على الموافقة، فنمذج الموافقة وافرضها؛ وإن انطبق أساس آخر، فاحتفظ مع ذلك بما يلزم لتقرير ما إذا كان الاستخدام مسموحًا.
للموافقة دورة حياة ومرجعية
Section titled “للموافقة دورة حياة ومرجعية ”يمنح الناس الموافقة، ويسحبونها، ويغيّرون تفضيلاتهم، ويغيّرون أرقامهم. وتضيف جهة العمل أغراضًا جديدة؛ والقوانين تتغير. لذا صمّم دورة الحياة: ما الذي اختير، ومتى، وكيف، ولأي غرض، وماذا يحدث عند السحب. وهنا يصبح الأمر مثيرًا للاهتمام: حين يسحب مستلم موافقته، يعرف Salesforce ذلك. فهل تعرف منصة المراسلة؟ والتحليلات؟ والوكيل؟ الموافقة التي تعيش في نظام واحد بينما تتصرف أنظمة أخرى بناءً على إذن قديم ليست ضابطًا يُعتدّ به.
هذا يعني أن تسأل أي نظام هو المرجعي المعتمد للموافقة. Salesforce، أم منصة تفضيلات، أم مكان آخر؟ أيًّا كان الجواب، لا تدع خمسة أنظمة تقرر كلٌّ على حدة ما إذا كان الشخص نفسه قد وافق على الاستخدام نفسه. تحتاج الموافقة إلى ما تحتاجه أي بيانات محكومة: مالك، وسجل مرجعي معتمد، وطريقة للمزامنة، وفرض.
الآن يقول الشخص: انسَني
Section titled “الآن يقول الشخص: انسَني ”الغريزة الأولى أن تحذف جهة الاتصال وتعدّ الأمر منتهيًا. لكن بيانات الشخص قد تكون على جهة اتصال، أو توصيلة، أو ملاحظة توصيل، أو حالة، أو صورة، أو في سجل تاريخ الحقول، أو في Snowflake، أو في أرشيف، أو سجل تكامل، أو فهرس بحث، أو سجل محادثات وكيل. لهذا يبدأ موقفي من المحو مبكرًا: الحذف نادر وصعب عمليًا، لذا تحكّم أولًا في المكان الذي تذهب إليه البيانات الشخصية. صمّم بحيث تصل إلى أقل عدد ممكن من الأماكن. ثم، حين يأتي طلب، موّهها أو افصل ربطها بالشخص حيث يفي ذلك بالسياسة، وتعقّب كل نسخة: سجل تاريخ الحقول، والأرشيفات، وData 360، والآن فهارس البحث ومحادثات الوكلاء.
لا تبدأ البحث حين يصل الطلب. حينها يكون الوقت قد فات لتبدأ في فهم خريطة الأنظمة. القاموس وسلسلة النَّسَب والتصنيف في الوحدة 3 لم تكن أعمالًا ورقية؛ بل هي ما يجعل هذا ممكنًا. أنت تعرف بالفعل أي الحقول تحمل بيانات شخصية وإلى أين ذهبت النسخ.
طلب «انسَني» قرارٌ لكل نسخة.
الوقت يمضي
Section titled “الوقت يمضي ”تأتي هذه الطلبات بمهل زمنية. بموجب اللائحة العامة لحماية البيانات (GDPR)، يجب على المؤسسة أن تتصرف بشأن طلب الشخص دون تأخير لا مبرر له وخلال شهر واحد من استلامه؛ وبالنسبة للطلبات المعقدة أو الكثيرة يمكن تمديد ذلك شهرين إضافيين، لكن يجب إبلاغ الشخص خلال الشهر الأول، مع ذكر الأسباب (المادة 12(3)، Regulation (EU) 2016/679 (opens in a new tab)). وتضع قوانين أخرى مهلها الخاصة؛ وستخبرك الشؤون القانونية أيها ينطبق. وفي كل الأحوال، الشهر ليس وقتًا كافيًا لاكتشاف خريطة الأنظمة. هذه هي المهلة التي يجب أن تسبقها خريطة النسخ.
حذف، أم إزالة ما يحدد الهوية، أم احتفاظ؟
Section titled “حذف، أم إزالة ما يحدد الهوية، أم احتفاظ؟ ”الطلب لا يعني بالضرورة أن كل شيء في كل مكان يختفي. بعض السجلات يجب أو يجوز الاحتفاظ بها؛ وبعض السجلات التشغيلية يمكن أن تبقى لكنها تتوقف عن تحديد هوية الشخص؛ وبعض البيانات يمكن إزالة ما يحدد الهوية منها. السياسة والقانون المنطبقان يقرران؛ والمعمارية تدعم كل نتيجة، موقعًا بموقع: احذفها، أو أزل ما يحدد الهوية منها، أو احتفظ بها بموجب متطلّب معتمد (وعندها: من يجوز له رؤيتها، وإلى متى، ولماذا؟).
تذكّر التمييز في الوحدة 4. فصل الربط بالشخص لا يُعدّ نسيانًا إلا حين يتعذر، بشكل معقول، التعرف على الشخص من جديد. البيانات المرمّزة ترميزًا مستعارًا تظل بيانات شخصية. لا تستخدم التمويه طريقًا مختصرًا للالتفاف على متطلّب قانوني.
لا يمكنك حذف ما لا تستطيع العثور عليه
Section titled “لا يمكنك حذف ما لا تستطيع العثور عليه ”قبل أن تستطيع محو بيانات أحد، عليك أن تعثر عليه. يأتي الطلب من عنوان بريد إلكتروني. أرسل أحد شركاء التجزئة «Jane Smith»، وآخر «J. Smith»، ورقم الهاتف تغيّر. المستلم ليس جهة اتصال أصلًا؛ تفاصيله موجودة على كل توصيلة. الشخص نفسه تلقى توصيلات لشريكين مختلفين. نظام يعرفه ببريده الإلكتروني، وآخر بمعرّف خارجي. المحو يعتمد على الهوية، ولا تريد أن تحذف بيانات شخص آخر لأن مطابقتك كانت مفرطة في التساهل. معمارية الهوية جزء من معمارية الخصوصية.
وSteve Trucking تجعل الأمر أصعب. يجب ألّا يرى شريك تجزئة أبدًا توصيلات شريك آخر أو مستلميه. إذا تلقى الشخص نفسه توصيلات لشريكين، فيجب على العمليات أن تُبقي هاتين العلاقتين منفصلتين، بينما قد تحتاج الخصوصية مع ذلك إلى العثور على الشخص عبر الاثنتين. لا تحل الخصوصية بكسر حدود الأمن، ولا تحمِ الحدود بجعل طلبات الخصوصية مستحيلة. على المعمارية أن تفعل الأمرين.
الصور والنص الحر بيانات أيضًا
Section titled “الصور والنص الحر بيانات أيضًا ”من السهل أن تفكر في الخصوصية بوصفها حقولًا: الاسم، والبريد الإلكتروني، والهاتف، والعنوان. لكن Steve Trucking تلتقط ملايين صور التوصيل كل عام، وبعضها يُظهر أشخاصًا أو داخل منزل. سياسة الاحتفاظ أو المحو التي لا تنظر إلا إلى الحقول المهيكلة ناقصة؛ وكذلك السياسة التي تتجاهل الملفات، والمستندات، والنصوص المفرّغة، والسجلات، ومطالبات الذكاء الاصطناعي وردوده.
والنص الحر خطير. تزيل الاسم والهاتف والعنوان، ثم تجد ملاحظة التوصيل هذه: «اتصل بـ Jane على 602-555-0198. رمز البوابة 4821. الكلب في الفناء.» ها هي. تصنيف ملاحظات التوصيل بأنها حساسة يخبرك أنه قد تكون هناك مشكلة؛ لكنه لا يعثر على البيانات الشخصية داخل النص ولا يزيلها. أحيانًا يكون أفضل جواب هو منع التفاصيل الشخصية غير الضرورية من الوصول إلى هناك أصلًا. تحكّم أولًا في المكان الذي تذهب إليه البيانات الشخصية.
Privacy Center أداة، لا المعمارية كلها
Section titled “Privacy Center أداة، لا المعمارية كلها ”يساعد Privacy Center من Salesforce على تشغيل هذه العمليات. سياسات الحق في النسيان فيه تُبنى لكل كائن على حدة، لالتقاط كل ما تريد إزالته، وتُشغَّل على سجل عميل محدد (Delete Data with Right to Be Forgotten Policies (opens in a new tab)). هذا مفيد. لكن «اشترينا Privacy Center، إذن انتهينا» ليست معمارية. قد تعيش بيانات الشخص خارج نطاق أي أداة واحدة: Data 360، ومستودع البيانات، وأنظمة الشركاء، والأرشيفات، والسجلات، والبحث، والملفات، ومحادثات الوكلاء. لا تزال المؤسسة تحتاج إلى جواب على مستوى المؤسسة، وتحتاج أنت أن تتحقق مما تغطيه كل أداة فعلًا قبل الاعتماد عليها.
قابلية النقل والإثبات
Section titled “قابلية النقل والإثبات ”تمنح بعض القوانين الناس أيضًا الحق في الحصول على نسخة من بياناتهم. لاحظ أنها مشكلة الاكتشاف نفسها: الحذف يسأل أين بيانات هذا الشخص، حتى نتصرف بشأنها؟ وقابلية النقل تسأل أين هي، حتى نقدّمها؟ كلاهما يستند إلى الهوية، والتصنيف، وسلسلة النَّسَب، وجرد الأنظمة، والملكية.
ثم: كيف تثبت أنك فعلت ذلك؟ استُلم الطلب، وتُحقِّق من الهوية، وبُحث في الأنظمة، واتُّخذت الإجراءات، وسُجّلت الاستثناءات، وبُرّرت البيانات المحتفظ بها، وسُجّل الإتمام. هناك توتر حقيقي هنا: أنت تزيل البيانات الشخصية لشخص ما بينما تحتفظ بأدلة كافية لإظهار أنك تعاملت مع الطلب بشكل سليم. لهذا بالضبط لا ينبغي للمعماريين أن يخترعوا قواعد الاحتفاظ بأنفسهم. الشؤون القانونية والامتثال تقرران ما الأدلة التي يجب أن تبقى؛ والمعمارية تحتفظ بها دون الاحتفاظ بالبيانات التي كان يُفترض إزالتها.
ما بعد الاختبار: ما الذي يغيّره الذكاء الاصطناعي. الذكاء الاصطناعي يخلق أغراضًا جديدة ونسخًا جديدة. إذن استخدام البيانات لتقديم خدمة لا يشمل تلقائيًا تأريض وكيل بالبيانات (grounding)، أو التخصيص، أو التدريب؛ وData Use Purpose هو المكان الطبيعي للتمييز بينها. ويمكن للبيانات الشخصية أن تبقى في المطالبات (prompts)، وسياق التأريض، والمحادثات، والملخصات، وفهارس البحث والفهارس المتجهية، والسجلات. «حذفنا السجل المصدر» ليست إجابة كاملة إذا كانت طبقة الذكاء الاصطناعي لا تزال تتذكر.
ما الذي يقرره المعماري هنا
Section titled “ما الذي يقرره المعماري هنا ”- كيف تُنمذَج الموافقة والاستخدام المسموح، حتى تستطيع الأنظمة الإجابة عن: من، وأي قناة، وأي نقطة اتصال، وأي غرض.
- أي نظام هو المرجعي المعتمد للموافقة، وكيف يصل سحبها إلى كل نظام يتصرف بناءً عليها.
- أين يمكن أن تنتشر البيانات الشخصية: الحقول، والنص الحر، والملفات، والتاريخ، والتحليلات، والأرشيفات، والتكاملات، والبحث، والذكاء الاصطناعي.
- كيف يعثر الطلب على الشخص الصحيح ويقود الحذف، أو إزالة ما يحدد الهوية، أو الاحتفاظ المعتمد في كل موقع.
- ما الأدلة التي تبقى لإثبات أن طلبات الموافقة والخصوصية عولجت.
تبدو الموافقة والمحو متضادين (هل يجوز لنا استخدام هذه البيانات؟ هل نستطيع التوقف وإزالتها؟) لكنهما يستندان إلى الأسس نفسها: الهوية، والغرض، والتصنيف، وسلسلة النَّسَب، والملكية، والفرض، والأدلة. استخدم نموذج الموافقة القياسي، وتحكّم في المكان الذي تذهب إليه البيانات الشخصية، واعرف أين النسخ، وصمّم عملية المحو قبل وصول الطلب الأول. حين يسأل أحدهم «هل تستطيعون نسياني؟»، تحتاج المعمارية إلى جواب أفضل من «نظن ذلك».
للاستزادة
Section titled “للاستزادة ”- Salesforce Help، Understand the Salesforce Consent Data Model (opens in a new tab) (بالإنجليزية، تم التحقق في 2026-10-14).
- Regulation (EU) 2016/679 (GDPR) (opens in a new tab)، المادة 12(3)، المهلة المحددة للتصرف بشأن الطلب (بالإنجليزية، تم التحقق في 2026-10-14).
- Salesforce Help، Delete Data with Right to Be Forgotten Policies (opens in a new tab) (Privacy Center) (بالإنجليزية، تم التحقق في 2026-10-14).