تسري من لحظة النشر
عند الاختلاف بين هذه السياسة وميثاق Earthlings يُطبَّق الميثاق، وعند الاختلاف بين الميثاق والإعلان يُطبَّق الإعلان. ومعالجة البيانات البيومترية موصوفة على حدة في سياسة التحقق البيومتري، وهي التي تُطبَّق عند الاختلاف في هذا الموضوع. وفي الفترة التأسيسية - من 22 تشرين الثاني/نوفمبر 2026 حتى اعتماد الإعلان - التوقيع على الإعلان والانضمام إلى الشعب معلَّقان: إذ لا وجود بعدُ لشعب يحدده نص معتمد. والتحقق من الهوية في هذه الفترة مجاني، ويُسلَّم بنتيجته وثيقة مؤقتة للمشارك في التأسيس لا جواز Earthlings (وثيقة «الفترة التأسيسية»، الجزء 2، البند 5). وتصدر الوثيقة المؤقتة في العقد نفسه الذي يصدر فيه الجواز (وثيقة «أين نحن الآن»). وتُطبَّق هذه السياسة على هذا التحقق أيضاً؛ وما تقوله عن التوقيع ورسم الانضمام والجواز يخص الوضع الأساسي بعد اعتماد الإعلان.
المتحكم في البيانات الشخصية. في مرحلة تكوين الهياكل يؤدي وظائف المتحكم مؤسسو المشروع. ومع تطور المؤسسات تنتقل هذه الوظيفة إلى هيكل، وتُنشر بياناته هنا.
المراسلات في شأن حقوق صاحب البيانات: privacy@earth-lings.org
التقليل. لا يُجمع إلا ما يلزم فعلاً لعمل الشعب. وإذا أمكن أداء وظيفة بغير بيانات، أُدّيت بغيرها.
تقييد الغرض. البيانات المجموعة لغرض واحد لا تُستعمل لغرض آخر. وقائمة الأغراض في القسم 03 جامعة مانعة.
الوضوح. كل قرار بجمع البيانات أو استعمالها يُشرح بكلام عادي. وإذا كان الشرح يقتضي تعليماً قانونياً، فالشرح رديء.
ومعظم المنصات ترى البيانات الشخصية سلعة. ونحن نراها جزءاً من كرامة الإنسان.
ماذا: اسم مستعار باختياركم، وعنوان بريد إلكتروني، وبلد الإقامة، وتأكيد بلوغ 18 عاماً فأكثر.
لماذا: الاسم المستعار - الاسم الذي يراكم به المشاركون الآخرون على المنصة، والمدوَّن في جوازكم؛ ولا يظهر في التحقق العلني من الجواز ولا في السجل؛ والبريد - لتأكيد التسجيل وللتواصل؛ والبلد - لإحصاء التوزع الجغرافي، ولصفحة الجواز وللملف التعريفي على المنصة؛ والسن - شرط لازم للمشاركة.
والاسم واللقب الحقيقيان لا يُحفَظان.
ما يُحفَظ: حال التحقق، ونوع الوثيقة وبلد إصدارها، والتقديرات الرقمية للتحقق، وأسباب الرفض، وقيم تجزئة غير قابلة للعكس، محسوبة بمفتاح سري للخادم: قيمة تجزئة لرقم الوثيقة، وقيمة تجزئة واحدة مشتركة للاسم واللقب وتاريخ الميلاد كما وردت في الوثيقة؛ أما رقم الوثيقة والاسم واللقب وتاريخ الميلاد ذاتها فلا تُحفَظ.
ما لا يُحفَظ: صور الوجه والوثيقة، والقوالب البيومترية. فهذه تُعالَج لحظة التحقق وتُحذَف.
لماذا: كيلا يكون لإنسان واحد جوازان نافذان.
بدقة عن وضع قيم التجزئة. قيمة التجزئة غير قابلة للعكس، وتُحسب بمفتاح سري للخادم: فلا يمكن أن يُقرأ منها الاسم ولا رقم الوثيقة، ولا يمكن بغير المفتاح التوصل إليهما بالتجريب الشامل. لكنها تتيح تمييز إنسان بعينه من بين غيره - وإلا لما أدّت وظيفتها. ولذلك فهي بيانات مستعارة الاسم، لا مجهولة الهوية، وحماية البيانات الشخصية تشملها كاملةً.
والتفاصيل - في سياسة التحقق البيومتري.
ماذا: عنوان IP، ونوع المتصفح والجهاز، ونظام التشغيل.
لماذا: الأمن، وكشف النشاط المريب، والدعم التقني.
ماذا: قيود عن الأفعال في الواجهة - أي الأقسام فُتحت، والمشاركة في عمل الخلايا، والتوجه إلى الدعم؛ والرسائل في المحادثات، وتفويض الصوت، والسمعة وعلامات المشاركة؛ والموقع حتى مستوى المدينة والمنطقة الإدارية والمنطقة الزمنية، إن كنتم قد ذكرتموه.
لماذا: عمل وظائف المنصة هذه، وتحسين المنصة، والتشخيص التقني.
ما ليس هنا ولن يكون. مضمون صوتكم يجب ألا يتاح لأحد، بمن فيهم من يشغّلون المنصة، ولا يُنشر ما إذا كنتم قد شاركتم في التصويت. والعلني هو نتيجة التصويت والأصوات المفوَّضة التي يدلي بها المفوَّض - وهذه خاصية التصويت نفسه، لا خاصية التحليلات. والوسيلة التي ستكفل ذلك تقنياً لا تزال قيد الاختيار، وعن الحال الآن نقول صراحةً: في القناة العلنية للتصويت المنشورة يكون الصوت وعنوان المحفظة علنيين، ولم تجرِ فيها تصويتات ذات مضمون؛ والأصوات في الخلايا تحفظها المنصة مقرونةً بالحساب، وتُظهر لسائر المشاركين في الخلية النتيجة والاعتراضات مع حججها، ولمن يشغّلون المنصة وصول تقني إلى الأصوات المحفوظة.
ولتحسين المنصة تُستعمل بيانات الاستعمال مجمَّعةً. وهي بيانات مجمَّعة لا مجهَّلة: فما دام القيد مرتبطاً بحساب، بقي بيانات شخصية.
ماذا: عناوين المحافظ، وقيود الجواز، والمعاملات.
لماذا: عمل البنية التحتية ومشاركتكم في القرارات.
والقيود في السجل لا تُحذَف بحكم طبيعة التقنية - ولهذا بالذات لا يُقيَّد فيها عند الإصدار الاسم ولا الوثيقة ولا البيومتريا ولا قيم تجزئة التحقق. وعند الإصدار يُقيَّد في السجل عنوان المحفظة، ورقم قيد الجواز، ومعرِّف المشارك الذي يصل القيدَ ببيانات نظام التحقق من الهوية، ووقت الإصدار؛ والإصدار والإطفاء يتركان في السجل علامات. وهذه بيانات باسم مستعار مرتبطة لدينا بحسابكم.
كيف يتصل هذا بالحق في المحو (المادة 17 من GDPR). الحق في المحو يُمارَس حيث تُحفظ البيانات عندنا: الحساب وسجلات المنصة يُحذفان بناءً على طلبكم، ما عدا عنوان المحفظة ورقم قيد الجواز والاسم المستعار والبلد، ومن ينتمي إلى الشعب لا يُحذف حسابه إلا مع الخروج؛ وبيانات التحقق من الهوية المذكورة أعلاه تبقى، ومنها قيم التجزئة - كيلا يكون لإنسان واحد جوازان نافذان. أما القيد نفسه في السجل فلا يُحذَف، لأن أحداً لا يستطيع حذفه، بمن فيهم نحن: فهو ليس تحت سيطرتنا، والاسم والوثيقة والبيومتريا وقيم تجزئة التحقق لا تُقيَّد فيه. ونحن لا ندّعي أن هذا يحسم المسألة حسماً تاماً - فالعلاقة بين السجلات غير القابلة للتغيير والحق في المحو لم تستقر بعد في ممارسة الجهات الرقابية. وقد اخترنا بنيةً لا يصل فيها إلى الجزء غير القابل للتغيير لا الاسم ولا الوثيقة ولا البيومتريا ولا قيم تجزئة التحقق.
تنفيذ العقد (المادة 6(1)(b) من GDPR) - التسجيل، ومسك الحساب، وإصدار الجواز وخدمته، والمشاركة في القرارات، ومعالجة المعاملات، والوصول إلى البنية التحتية.
الموافقة الصريحة (المادتان 6(1)(a) و9(2)(a) من GDPR) - دون سواها لمعالجة البيانات البيومترية عند التحقق من الهوية. أما الرسائل الإخبارية فأساسها الموافقة (المادة 6(1)(a) من GDPR).
ولا يجوز أن يجتمع هنا أساسان في وقت واحد. فالبيومتريا من فئة خاصة من البيانات بحسب المادة 9 من GDPR، ولا تنفيذُ العقد ولا المصلحةُ المشروعة يُضفي عليها بذاته المشروعية. والأساس الوحيد - موافقتكم الصريحة، ولكم أن تسحبوها في أي لحظة. وآثار السحب موصوفة في سياسة التحقق البيومتري.
المصلحة المشروعة (المادة 6(1)(f) من GDPR) - منع التسجيلات المتعددة وإساءة الاستعمال، وأمن المنصة، والدعم التقني، ومسك سجل المشاركين في الحقول غير الحساسة (الاسم المستعار، والبلد، وحال التحقق). ولكم أن تعترضوا على المعالجة القائمة على هذا الأساس (القسم 07).
الالتزام القانوني (المادة 6(1)(c) من GDPR) - تنفيذ الالتزامات التي يفرضها علينا قانون الاتحاد الأوروبي أو قانون دولة عضو فيه.
القائمة جامعة مانعة: ولا تجري المعالجة لأغراض أخرى.
أبداً: الإعلان والتسويق لأطراف ثالثة؛ بيع البيانات أو نقلها إلى وسطاء المعلومات؛ التنميط لأغراض تجارية؛ التتبع خارج المنصة؛ أي أغراض غير المذكورة أعلاه.
ولا بد هنا من التفريق بين ثلاثة موارد مختلفة، لأن بناءها مختلف.
الموقع العلني لا يستعمل ملفات تعريف الارتباط: لا للاستيثاق، ولا للتخصيص، ولا للتحليلات. والشيء الوحيد الذي يُحفَظ في المتصفح - لغة الواجهة التي اخترتموها، في التخزين المحلي للجهاز. وهذا ضبط تقني لا معرّف: فهو لا يرتبط بشخصكم.
المنصة، حيث تدخلون إلى حسابكم، تستعمل ملفات تعريف ارتباط للجلسة لازمة تقنياً - ولا يمكن الدخول بغيرها. وهي لا تُستعمل لا للتحليلات ولا للإعلان ولا للتتبع خارج المنصة، وتُحذَف عند الخروج من الحساب. وصفحة التحقق من الهوية (id.earth-lings.org) تضع ملف تعريف ارتباط للنموذج لازماً تقنياً، elp_form_session - وهو يسري 24 ساعة، ولا يمكن إكمال النموذج بغيره - وملف تعريف الارتباط earthlings_lang الذي يحمل اللغة المختارة لمدة سنة؛ وفي التخزين المحلي للمتصفح تحفظ الصفحة اللغة المختارة وعلامةً على قبول الاتفاقات مقرونةً بعنوان المحفظة.
ولا توجد ملفات تعريف ارتباط تحليلية ولا إعلانية على أي من الموارد الثلاثة، ولا تُنصَّب متتبعات من أطراف أخرى. وزيارات الموارد الثلاثة كلها يحصيها عدّاد الإحصاء الخاص بالشعب (stats.earth-lings.org)، وهو أيضاً بلا ملفات تعريف ارتباط: فهو يتلقى عنوان الصفحة، وعنوان IP، ونوع المتصفح والجهاز، وحجم الشاشة، والأفعال على الصفحة، ومنها تغيير اللغة، ويخدم الإحصاء المجمَّع للزيارات.
الأصل أن تبقى البيانات في البنية التحتية للشعب. والاستثناءات محصورة في ثلاث حالات.
المزودون التقنيون. التحقق من الهوية تؤديه منظومة الشعب الخاصة. ولعمل البنية التحتية تتلقى بيانات المشاركين الجهات الآتية: مزود الاستضافة الذي تعمل البنية التحتية على خوادمه؛ خدمة البريد Zoho - الرسائل والمراسلات؛ Web3Auth - الدخول بالبريد أو Google أو Apple وإنشاء المحفظة؛ Cloudflare Turnstile - حماية النموذج من الطلبات الآلية (إشارات المتصفح وعنوان IP)؛ شبكات توصيل البرمجيات النصية jsDelivr، cdnjs، esm.sh - عنوان IP عند تحميل الصفحة؛ عُقد شبكة Polygon، WalletConnect، Snapshot - عنوان المحفظة، وعنوان IP، والأفعال الموقَّعة بالمحفظة؛ خدمة الدفع NOWPayments - عنوان البريد وعنوان المحفظة عند أداء رسم الانضمام في الوضع الأساسي؛ GitHub - السجل المفتوح لمقترحات الفترة التأسيسية، الذي يُنشر فيه المقترح نفسه والرد عليه (وثيقة «الفترة التأسيسية»).
الطلبات القانونية. لا تُنقل البيانات إلا بموجب حكم قضائي نافذ أو طلب قانوني مماثل له، تُفحَص مشروعيته في كل حالة. ويُخطَر المشارك بالطلبات المنفَّذة، ما لم يكن ذلك محظوراً بالحكم نفسه؛ وتُنشر خلاصتها في تقرير الشفافية.
البيانات العلنية للقرارات. جزء من البيانات علني بطبيعة الحكم الذاتي: المقترحات، ومنها مقترحات الفترة التأسيسية مع الردود عليها (وثيقة «الفترة التأسيسية»)، ونتائج التصويتات، وحركة الأموال المشتركة. ومن الرسالة التي تحمل مقترحاً يُنشر نصها؛ أما اسم المرسل ووسائل الاتصال به فلا تُنشر دون موافقته، وإن طلب أن يُسمّى لم يُنشر إلا الاسم الذي سمّى به نفسه. ومضمون الصوت الشخصي ومشاركة إنسان بعينه في التصويت ليسا من هذه الفئة؛ أما الأصوات المفوَّضة التي يدلي بها المفوَّض فعلنية.
اللامركزية لا تحمي حتى الآن إلا السجل: فقاعدة بيانات منظومة التحقق من الهوية، ومعها المفتاح الذي تُحسب به قيم التجزئة، وقاعدة بيانات المنصة موجودة كلها على خادم واحد، ولو اختُرق لانكشفت البيانات المحفوظة فيه. وسجل الجوازات يعيش في شبكة موزعة لا على خوادمنا، ويبقى قابلاً للتحقق بصرف النظر عن عمل المنصة.
عند وقوع حادثة. إذا وقع خرق أمني يمس بياناتكم، أخطرناكم خلال 72 ساعة من لحظة اكتشافه، وأبلغناكم بما اتُّخذ من تدابير.
الوصول. الحصول على نسخة من بياناتكم وعلى بيان بكيفية معالجتها.
التصحيح. تصحيح البيانات غير الدقيقة أو الناقصة.
الحذف. حذف البيانات خارج السجل الموزع، ما عدا المذكورة في القسم 02 (الفقرة المؤطَّرة عن الحق في المحو)؛ ومن ينتمي إلى الشعب لا يُحذف حسابه إلا مع الخروج. أما القيود في السجل فلا تُحذَف بحكم طبيعة التقنية؛ وعند الخروج يُطفأ الجواز، ويبقى في السجل قيد باسم مستعار بأن الانتماء كان قائماً في فترة معينة. وهذه واقعة ماضية، لا انتماء مستمر.
تقييد المعالجة (المادة 18 من GDPR). طلب وقف المعالجة مؤقتاً ريثما تُفحَص دقة البيانات أو وجاهة الاعتراض.
الاعتراض (المادة 21 من GDPR). الاعتراض على المعالجة القائمة على المصلحة المشروعة. ونحن نوقف المعالجة ما لم نثبت أسباباً قانونية قاهرة ترجح على مصالحكم.
قابلية النقل. الحصول على بياناتكم في صيغة مقروءة آلياً ونقلها إلى متحكم آخر.
سحب الموافقة (المادة 7(3) من GDPR). سحب الموافقة على معالجة البيانات البيومترية أو على الرسائل في أي لحظة. والسحب لا يمس مشروعية المعالجة السابقة عليه؛ والآثار موصوفة في سياسة التحقق البيومتري.
القرارات دون أتمتة (المادة 22 من GDPR). لكم أن لا تخضعوا لقرار قائم على المعالجة الآلية وحدها ومرتب لكم آثاراً جوهرية.
وما معنى ذلك عملياً. الرفض الآلي في التحقق من الهوية ليس نهائياً: فلكم أن تعرضوا موقفكم وأن تطلبوا مراجعة يجريها إنسان، وبعد محاولتين آليتين غير ناجحتين يُجري إنسانٌ المراجعة دون طلب منفصل.
وإن استُعملت أدوات مساعدة في تحليل المقترحات على المنصة، فهي لا تتخذ قرارات: فخلاصاتها ذات صفة استشارية، وأسبابها تُكشف، والنظر البشري مضمون.
الشكوى. تقديم شكوى إلى الجهة الرقابية لحماية البيانات في بلدكم.
الخروج. إنهاء المشاركة في أي لحظة: تطفئون الجواز بمفتاحكم الخاص. وإطفاء الجواز لا يحذف البيانات بذاته: فبيانات الحساب تُحذف بناءً على طلبكم.
كيف يُنفَّذ ذلك. معظم الوظائف متاح في الحساب الشخصي. وفيما عدا ذلك: privacy@earth-lings.org. ونحن نجيب خلال 48 ساعة وننهي معالجة الطلب خلال 30 يوماً.
ومن صار earthling بقي كذلك باختياره هو. ولا يجوز لأي قرار أغلبية، ولو كانت مرتفعة، أن يحرمه من انتمائه إلى الشعب. ولا يكون الخروج إلا بتعبير المشارك نفسه عن إرادته طوعاً.
الحساب النافذ. تُحفَظ البيانات طوال مدة المشاركة في الشعب.
بعد الخروج. إطفاء الجواز لا يحذف البيانات بذاته: فبيانات الحساب تُحذف بناءً على طلبكم، ما عدا المذكورة في القسم 02 (الفقرة المؤطَّرة عن الحق في المحو). وتُحفظ قيم التجزئة غير القابلة للعكس باسم مستعار لغرض واحد فقط: ألا يكون لإنسان واحد جوازان نافذان؛ وهي لا تقيد حق العودة.
السجلات التقنية. عناوين IP وطوابع الوقت - إلى 12 شهراً، للأمن ولتقصّي الحوادث.
قيود السجل الموزع. تبقى دائمة بحكم طبيعة التقنية. وعند إطفاء الجواز يُؤشَّر على القيد بأنه مُطفأ ولا يعطي وصولاً إلى شيء؛ والاسم والوثيقة والبيومتريا وقيم تجزئة التحقق لا تُقيَّد فيه عند الإصدار.
الشعب عابر للحدود، والبيانات قد تُعالَج في ولايات قضائية مختلفة.
وتُختار البنية التحتية بحسب الإمكانات التقنية ومستوى حماية حقوق الإنسان، لا بحسب الانتماء السياسي.
المشاركة ممكنة ببلوغ 18 عاماً. وذلك متصل بطبيعة الالتزامات: التوقيع على الإعلان، والمشاركة في القرارات، والتصرف في الوحدات الحسابية.
وبلوغ 18 عاماً شرط غير مقيَّد بشيء، ولا تحل موافقة الوالدين أو الأولياء محله.
وإذا تبين أن التسجيل أجراه شخص لم يبلغ 18 عاماً، أُوقف الحساب فوراً، وأُبلغ الشخص بالأسباب وبمهلة الاعتراض، ويُرد على اعتراضاته، ويجوز الطعن في القرار وفق إجراء الميثاق (الإعلان، المادة 4)؛ ولا يوجد قبل اعتماد الإعلان جهاز للطعن. وتُحذف البيانات الموجودة خارج السجل إذا تأكد ذلك بعد النظر في الاعتراضات. ويُطفأ الجواز عندئذ: إما بيد حامله، وإما - إن لم يحدث ذلك - وفق إجراء إبطال الإصدار غير الصحيح، لأن السن شرط من شروط الإصدار (الميثاق، المادة 21)، أما الوثيقة المؤقتة للمشارك في التأسيس فتُطفأ قبل اعتماد الإعلان وفق إجراء وثيقة «الفترة التأسيسية» (الجزء 2، البند 5). والانضمام ممكن ببلوغ 18 عاماً على القواعد العامة.
والمبادرات التعليمية للشباب تجري عبر برامج منفصلة لا تقتضي التسجيل في الشعب.
تُحدَّث السياسة بتطور التقنيات والتشريعات. وتُنشر التعديلات مع بيان تاريخ سريانها.
عند التعديلات الجوهرية:
في مسائل هذه السياسة: privacy@earth-lings.org
