تسري من لحظة النشر
عند الاختلاف بين هذه السياسة وميثاق Earthlings يُطبَّق الميثاق، وعند الاختلاف بين الميثاق والإعلان يُطبَّق الإعلان. والقواعد العامة لمعالجة البيانات الشخصية - في سياسة الخصوصية. وفي الفترة التأسيسية - من 22 تشرين الثاني/نوفمبر 2026 حتى اعتماد الإعلان - التوقيع على الإعلان والانضمام إلى الشعب معلَّقان: إذ لا وجود بعدُ لشعب يحدده نص معتمد. والتحقق من الهوية في هذه الفترة مجاني، ويُسلَّم بنتيجته وثيقة مؤقتة للمشارك في التأسيس لا جواز Earthlings (وثيقة «الفترة التأسيسية»، الجزء 2، البند 5). وتصدر الوثيقة المؤقتة في العقد نفسه الذي يصدر فيه الجواز (وثيقة «أين نحن الآن»). وهذه السياسة تُطبَّق على هذا التحقق أيضاً؛ وما تقوله عن التوقيع والجواز يخص الوضع الأساسي بعد اعتماد الإعلان.
هي تخدم غرضاً واحداً: تأكيد أن وراء كل صوت إنساناً حياً واحداً لا ثاني له. وهذا أساس الثقة بين أناس لا يعرف بعضهم بعضاً - ولا شيء غير ذلك. وقد صُمِّمت المنظومة بحيث تحفظ أقل ما يمكن.
الإنسان أهم من الوثائق. وانتماؤكم إلى الشعب يحدده اختياركم الحر، لا وثيقةُ إثبات الشخصية ولا الجنسية. وغاية التحقق ليست اعترافاً من الخارج، بل تأكيد واقعة بسيطة: أنكم أنتم، وأنكم واحد.
1. تأكيد التفرّد لا الرقابة. التحقق يحمي الشعب من التسجيلات المتعددة، ولا يُستعمل في المراقبة.
2. الانتماء يُؤكَّد شخصياً. والوثائق الحكومية تبقى في موضعها: فالتحقق يقتصر على التثبت من الهوية، ولا يحل محل شيء.
3. الثقة عبر التحقق. في جماعة بلا سلطة مركزية يُنشئ التفرّد المؤكَّد طبقةً أساسيةً من الثقة. وهذا لا يضمن حسن النية في تعامل بعينه، لكنه يزيل تعدد الحسابات المجهولة بوصفه مصدراً للتلاعب.
4. الحماية من إساءة الاستعمال. الامتناع عن حفظ الصور والقوالب، وقيم التجزئة المحسوبة بمفتاح سري للخادم، واستحالة استعادة الصورة عملياً من البيانات المحفوظة، كلها مصنوعة بحيث يتعذّر استعمال المنظومة في المراقبة الجماعية.
تحدد هذه السياسة معالجة البيانات البيومترية عند التوقيع على الإعلان، والحصول على صفة earthling، والمشاركة في البنية التحتية للشعب، وفي الفترة التأسيسية - عند التحقق من الهوية من أجل الوثيقة المؤقتة للمشارك في التأسيس.
البيانات البيومترية من فئة خاصة من البيانات الشخصية بحسب المادة 9 من GDPR، وتُعالَج بناءً على موافقتكم الصريحة وحدها (المادتان 6(1)(a) و9(2)(a) من GDPR).
وهذا هو الأساس الوحيد: فلا تنفيذ العقد ولا المصلحة المشروعة يُضفي بذاته المشروعية على فئة خاصة من البيانات.
التحقق طوعي. ولكم أن تسحبوا الموافقة في أي لحظة بالمراسلة على privacy@earth-lings.org.
ما يحدث عند السحب:
لا يحق لنا أن نطفئ جوازكم بدلاً عنكم. فالميثاق (المادة 21) لا يجيز إطفاء الجواز بفعل غير حامله إلا في حالتين - إبطال إصدار غير صحيح بقرار من الجمعية العامة، وإعادة إصدار تقنية بطلب منكم أنتم؛ ولا يُطفأ الجواز بغير إرادتكم إلا في الأولى منهما. وسحب الموافقة ليس من هاتين الحالتين، والمنصة لا تحفظ مفاتيحكم. ويبقى القيد في السجل بعد سحب الموافقة. وقبل اعتماد الإعلان لا توجد الجمعية العامة (الميثاق، المادة 38)، وإطفاء الوثيقة المؤقتة للمشارك في التأسيس بغير إرادة حاملها يجري وفق إجراء وثيقة «الفترة التأسيسية» (الجزء 2، البند 5).
القائمة الكاملة والأسس القانونية - في سياسة الخصوصية. ويلزم للتحقق:
الاسم واللقب الحقيقيان لا يُحفَظان. وبيانات الوثيقة تُستعمل لحظة التحقق فقط، لمقابلة الوجه بالوثيقة وتأكيد التفرّد؛ وبعده لا يبقى منها إلا نوع الوثيقة وبلد إصدارها وقيم التجزئة غير القابلة للعكس. ويبقى اسمكم المستعار الاسمَ الذي يراكم به المشاركون الآخرون.
ما لا تعطيه الصفة. الجواز لا يعطي جنسية ولا إقامة ولا حقوق تأشيرة ولا قوةً لدى الأجهزة الحكومية، ولا يحل محل وثائق بلدكم. وشعب Earthlings لا يملك شخصية قانونية دولية، ولا يستطيع أن يمثل مصالح أحد أمام المحاكم ولا أمام الأجهزة الحكومية. والقائمة الكاملة - في وثيقتي طريق earthling وجواز SBT.
الوثيقة ← الوجه ← التحقق من الحضور الحي ← مقابلة الوثيقة بالوجه ← النتيجة ← حفظ النتيجة
ما يبقى بعد التحقق. الصور ونسخ الوثائق الممسوحة والقوالب البيومترية لا تُحفَظ. ويبقى: حال التحقق، ونوع الوثيقة وبلد إصدارها، والتقديرات الرقمية للتحقق، وأسباب الرفض، وقيم تجزئة غير قابلة للعكس، محسوبة بمفتاح سري للخادم: قيمة تجزئة لرقم الوثيقة، وقيمة تجزئة واحدة مشتركة للاسم واللقب وتاريخ الميلاد كما وردت في الوثيقة؛ أما رقم الوثيقة والاسم واللقب وتاريخ الميلاد ذاتها فلا تُحفَظ.
وقيم التجزئة لا تمنع العودة. وإنما تمنع فقط أن يكون لإنسان واحد جوازان نافذان في وقت واحد: فعند الانضمام من جديد تجد المنظومة تطابقاً، وتتثبت من أن الجواز السابق قد أُطفئ، وتصدر جوازاً جديداً.
بدقة عن وضع قيم التجزئة. قيمة التجزئة غير قابلة للعكس، وتُحسب بمفتاح سري للخادم: فلا يمكن أن يُقرأ منها الاسم ولا رقم الوثيقة، ولا يمكن بغير المفتاح التوصل إليهما بالتجريب الشامل. لكنها تتيح تمييز إنسان بعينه من بين غيره - وإلا لما أدّت وظيفتها. ولذلك فهي بحسب GDPR بيانات مستعارة الاسم، لا مجهولة الهوية، وحماية البيانات الشخصية تشملها كاملةً. ونحن لا نسمّيها بيانات مجهَّلة، لأن ذلك يكون غير دقيق.
التدابير العامة موصوفة في سياسة الخصوصية؛ وفيما يلي - ما يخص البيومتريا وحدها.
نقل مؤمَّن. كل البيانات تُنقل عبر قنوات مؤمَّنة بتشفير من طرف إلى طرف بين جهازكم وخوادم منظومة التحقق.
مفتاح قيم التجزئة. قيم التجزئة تُحسب بمفتاح سري للخادم (HMAC-SHA256)؛ والمفتاح يُحفَظ خارج قاعدة البيانات. ولا يوجد تشفير للبيانات المحفوظة على مستوى التطبيق.
مخزن واحد. قيم التجزئة ونتائج التحقق تُحفَظ في قاعدة واحدة مع بيانات الحساب؛ أما بيانات المنصة ففي قاعدة منفصلة.
حذف فوري للمواد الأصلية. الصور والنسخ الممسوحة تُحذَف فور انتهاء التحقق.
ضبط الوصول. الوصول إلى بيانات التحقق للمشرفين وحدهم، بمفتاح المشرف؛ ولا يوجد بعدُ استيثاق متعدد المستويات، وليس كل رجوع إلى هذه البيانات يُدوَّن في السجلات.
فلسفة الأمن: كلما قلّ ما يُحفَظ، قلّ ما يمكن أن يُسرق. ونحن لا نحفظ الصور ولا القوالب البيومترية ولا الاسم ولا رقم الوثيقة؛ وما يُحفَظ مبيَّن في القسم 09 وفي سياسة الخصوصية.
حقوق المشارك العامة - في سياسة الخصوصية وفي شروط الاستعمال. وفيما يلي - ما يخص البيومتريا وحدها.
سحب الموافقة - في أي لحظة، والإجراء والآثار موصوفة في القسم 02.
إعادة التحقق من جديد. إذا تغيرت هيئتكم تغيراً كبيراً فلم يعرفكم التحقق، أعدتموه من جديد. والقالب لا «يُحدَّث» عندئذ: فهو لا يُحفَظ في أي مكان، والمقابلة تجري في كل مرة من الصفر.
طلب مراجعة يجريها إنسان. الرفض الآلي ليس نهائياً (المادة 22 من GDPR). ولكم أن تعرضوا موقفكم وأن تطعنوا في النتيجة. وبعد محاولتين آليتين غير ناجحتين يراجع إنسان الأمر دون طلب منفصل. وعدد مرات إعادة تقديم الطلب غير محدود.
تقديم شكوى إلى الجهة الرقابية لحماية البيانات في بلدكم؛ والإجراء - في سياسة الخصوصية.
القائمة جامعة مانعة: ولا تجري المعالجة لأغراض أخرى.
ما لا نفعله. لا نتتبع الموقع. ولا نحلل السلوك، عدا الإحصاء الإجمالي للزيارات، وتُحتسب فيه أيضاً خطوات استمارة التحقق (سياسة الخصوصية، القسم 04). ولا نبيع البيانات لأطراف ثالثة. ولا نبني ملفات للإعلان. ولا نستعمل المنظومة في المراقبة. ولا نسلّم البيانات إلى الأجهزة الحكومية إلا بموجب حكم قضائي نافذ أو طلب قانوني مماثل له، تُفحَص مشروعيته في كل حالة.
ويُخطَر المشارك بالطلبات المنفَّذة، ما لم يكن ذلك محظوراً بالحكم نفسه. وتُنشر خلاصة هذه الحالات في تقرير الشفافية.
شفرة العقد الذكي للجواز مفتوحة بترخيص MIT، والعقد موثَّق في مستعرض السلسلة: فقد أكّد المستعرض أن المصدر يطابق العقد المنشور تطابقاً تاماً (وثيقة «أين نحن الآن»).
وشفرة منظومة التحقق من الهوية مغلقة - وذلك بالضبط لأنها تعمل بالبيانات الشخصية، ولأن نشرها كان سييسّر الالتفاف على الحماية. وهذا اختيار واعٍ لا سكوت؛ والقائمة مع أسبابها - في وثيقة أين نحن الآن.
وفي مقابل الانغلاق نأخذ على أنفسنا ما يلي:
مسائل أخلاقيات معالجة البيانات البيومترية تُحال إلى المجلس المستقل - وهو جهاز لا يتبع من يشغّلون المنصة. وبعد اعتماد الإعلان، ما دام المجلس لم يتشكّل، تُتخطى هذه المرحلة، وتتضاعف مدد النقاش العلني في هذه المسائل (الميثاق، المادة 39)؛ وقبل اعتماد الإعلان لا يوجد المجلس (الميثاق، المادة 38).
وبعد اعتماد الإعلان تُعرض المقترحات بتعديل هذه السياسة على تصويت الجمعية العامة، أما قبل اعتماده فيقرر فيها مؤلف الإعلان وفق إجراء وثيقة «الفترة التأسيسية» (الجزء 2، البند 2).
ما لا يُحفَظ: الأسماء والألقاب الحقيقية؛ أرقام الجوازات والوثائق؛ تواريخ الميلاد الدقيقة؛ عناوين السكن؛ الصور والقوالب البيومترية؛ أرقام الهواتف، إلا في حالات الاستيثاق بعاملين.
ما يُحفَظ: الاسم المستعار؛ عنوان البريد الإلكتروني؛ تأكيد بلوغ 18 عاماً فأكثر؛ بلد الإقامة (للإحصاء)؛ حال التحقق من الهوية؛ الصلة بالجواز؛ تاريخ الحصول على الصفة؛ عنوان المحفظة؛ عنوان IP ونوع المتصفح لحظة التحقق - مدةً لا تزيد على 12 شهراً.
يتبع السجل مبدأ تقليل البيانات بحسب GDPR. ولا يُحفَظ إلا ما يلزم لتأكيد التفرّد وللصلة بالجواز للاشتراك في القرارات؛ وما يُحفَظ بالتحديد - أعلاه، وفي الإطار أدناه، وفي سياسة الخصوصية.
وتُحذَف الصور والنسخ الممسوحة فور انتهاء التحقق، وتبقى نتيجته مع ذلك نافذة وقابلة للتحقق.
الاسم واللقب الحقيقيان لا يُحفَظان. فبيانات الوثيقة تُعالَج لحظة التحقق فقط. ويبقى في منظومة التحقق من الهوية الاسم المستعار، وعنوان البريد، والبلد، وعنوان المحفظة، وعنوان IP ونوع المتصفح لحظة التحقق، ومن التحقق - حال التحقق، ونوع الوثيقة وبلد إصدارها، والتقديرات الرقمية للتحقق، وأسباب الرفض، وقيم تجزئة غير قابلة للعكس، محسوبة بمفتاح سري للخادم: قيمة تجزئة لرقم الوثيقة، وقيمة تجزئة واحدة مشتركة للاسم واللقب وتاريخ الميلاد كما وردت في الوثيقة؛ أما رقم الوثيقة والاسم واللقب وتاريخ الميلاد ذاتها فلا تُحفَظ؛ والاسم المستعار لا يُقيَّد في السجل العلني. ولذلك لا يمكن كشف اسمكم ولا رقم وثيقتكم للمشاركين الآخرين ولا للمشرفين ولا للأطراف الثالثة: فهما ليسا لدينا.
هل تستطيعون أن تستعيدوا وجهي مما تحفظون؟ لا. فالقالب البيومتري لا يُحفَظ أصلاً: تجري المقارنة لحظة التحقق، ثم تُحذَف البيانات الأصلية. وتبقى نتيجة التحقق وقيم تجزئة غير قابلة للعكس، لا يمكن أن تُستخرج منها صورة؛ ولا يمكن أن يُقرأ منها الاسم ولا رقم الوثيقة، ولا يمكن بغير المفتاح السري للخادم التوصل إليهما بالتجريب الشامل.
ماذا يحدث إن أضعت هاتفي؟ بيانات التحقق في أمان. ولا يوجد تطبيق: فالتحقق يجري في المتصفح. وإن أُنشئت المحفظة عبر الدخول بالبريد الإلكتروني أو بحساب Google أو Apple، فيكفي أن تدخلوا بالطريقة نفسها على الجهاز الجديد. وإن فُقد الوصول إلى المحفظة، أُعيد إصدار الجواز على عنوان جديد بطلب منكم، ولا ينقطع الانتماء (الميثاق، المادة 21).
هل يمكن أن تُسرق بياناتي البيومترية؟ لا يمكن سرقة البيانات البيومترية: فنحن لا نحفظها. وقيم التجزئة التي نحفظها محسوبة بمفتاح سري للخادم من بيانات الوثيقة لا من البيومتريا، ولا صورة للوجه فيها.
هل يلزم ذكر الاسم الحقيقي؟ للتحقق - نعم: فالاسم واللقب كما في الوثيقة لازمان لمقابلتهما بها. والاسم واللقب الحقيقيان لا يُحفَظان. وبيانات الوثيقة تُفحَص لحظة التحقق فقط؛ وبعده لا يبقى منها إلا نوع الوثيقة وبلد إصدارها وقيم التجزئة غير القابلة للعكس. وأنتم في التعامل اليومي معروفون باسمكم المستعار.
ماذا يحدث للبيانات عند الخروج؟ إطفاء الجواز لا يحذف البيانات بذاته: فبيانات الحساب تُحذَف بطلب منكم، وبعد الحذف يبقى عنوان المحفظة، ورقم قيد الجواز، والاسم المستعار، والبلد، ونتيجة التحقق وتقديراته، وقيم التجزئة غير القابلة للعكس. وتبقى قيم التجزئة مستعارة الاسم محفوظةً لغرض واحد لا غير: كيلا يكون لإنسان واحد جوازان نافذان. وهذا لا يعوق العودة.
ماذا يُفعل إن تغيرت الهيئة تغيراً كبيراً؟ يُعاد التحقق من جديد. فلا وجود لقالب محفوظ يلزم تحديثه.
وماذا إن رُفض التحقق؟ أسباب الرفض الآلي تُعرض على شاشة التحقق - برموز خدمية حتى الآن، أما القرار بعد المراجعة التي يجريها إنسان فيصلكم برسالة إلى البريد الإلكتروني. ويمكن إعادة المحاولة بعد إزالتها - بصور أفضل جودةً مثلاً، أو بوثيقة أخرى. وإن لم توافقوا، فلكم أن تطلبوا مراجعة يجريها إنسان، وبعد محاولتين آليتين غير ناجحتين يراجع إنسان الأمر دون طلب منفصل.
لمن يتاح اسمي ولقبي الحقيقيان؟ لا أحد: فهما لا يُحفَظان. والشعب لا يستطيع تقنياً أن يكشف بيانات لا يملكها.
هل تسلّمون البيانات إلى الدول؟ لا يكون ذلك إلا بموجب حكم قضائي نافذ أو طلب قانوني مماثل له - والإجراء وإخطار المشارك موصوفان في سياسة الخصوصية.
تُحدَّث السياسة بتطور التقنيات والتشريعات. وتُنشر التعديلات مع بيان تاريخ سريانها.
وإجراء التعديل - إخطار بالبريد الإلكتروني قبل 30 يوماً على الأقل، وإخطار على المنصة عند الدخول التالي، ونشر قائمة التعديلات، وحق الاعتراض - تقرره سياسة الخصوصية.
في مسائل التحقق من الهوية: privacy@earth-lings.org
