الأمان والثقة

تساعد نارا أبرود («نارا») الطلاب، ومعظمهم من الشرق الأوسط وشمال أفريقيا، على إيجاد الجامعات في المملكة المتحدة وغيرها والتقدم إليها. ونحن المتحكّم في البيانات الشخصية الموصوفة في سياسة الخصوصية بموجب UK GDPR وقانون حماية البيانات لعام 2018.

سيُنشر رقم تسجيلنا لدى مكتب مفوّض المعلومات البريطاني (ICO) في هذه الصفحة فور صدوره.

هذه الصفحة هي الملخص الواضح القابل للتحقق لتلك السياسة، كُتبت للطالب الذي يقرر ما إذا كان سيرفع جواز سفره، وللجامعة التي تتحقق من الوكلاء الذين تتعامل معهم. وتبقى السياسة هي البيان الكامل؛ وحيثما اختلفتا، تسود السياسة. للاستفسار: privacy@nara-abroad.co.uk.

• الخوادم وقاعدة البيانات والوثائق التي ترفعها: Google Cloud، في منطقة واحدة مشمولة بلوائح الكفاية في المملكة المتحدة، لذا يسمح لنا القانون البريطاني بتخزينها هناك دون ضمانات نقل إضافية. وتُحفظ النسخ الاحتياطية المشفّرة لقاعدة البيانات في المنطقة نفسها؛ أما اللقطات القصيرة الأجل للخادم بأكمله فتُخزَّن في منطقة Google Cloud متعددة المناطق في الاتحاد الأوروبي، وهي مشمولة أيضاً بلوائح الكفاية في المملكة المتحدة.
• هذا الموقع وصفحات البوابات: تخدمها Vercel. أما البيانات التي تعرضها لك فمحفوظة على Google Cloud كما هو موضح أعلاه؛ ولا تُخزَّن حسابات الطلاب ولا وثائقهم على Vercel.
• المساعد الذكي: نموذج Gemini الذي يكتب ردوده يعمل في الولايات المتحدة أو في مواقع Google Cloud الأخرى، لذا يُعالَج ما ترسله إلى المساعد هناك. أما فهرس البحث الذي يستند إليه في إجاباته فمحفوظ في قاعدة بياناتنا نحن.
• المزوّدون الذين يعالجون البيانات في الولايات المتحدة: Google Cloud (نموذج Gemini الخاص بالمساعد) وVercel وCloudflare وResend وStripe وElevenLabs وLiveKit. وترسل Resend رموز تسجيل الدخول ورسائل الحساب من منطقتها في اليابان، لذا تجري معالجتها في الولايات المتحدة واليابان. أما Sentry فتخزّن تقارير الأخطاء الخاصة بنا في الاتحاد الأوروبي (ألمانيا). واليابان والاتحاد الأوروبي مشمولان بلوائح الكفاية في المملكة المتحدة. وبالنسبة لعمليات النقل إلى الولايات المتحدة نعتمد على الامتداد البريطاني لإطار خصوصية البيانات بين الاتحاد الأوروبي والولايات المتحدة حيثما كان المزوّد معتمداً بموجبه، وإلا فعلى الملحق البريطاني لنقل البيانات الدولي.
• الجامعات خارج المملكة المتحدة: عندما تتقدم إلى إحداها، يُرسل طلبك إليها لأن ذلك هو العقد الذي طلبت منا تنفيذه (المادة 49(1)(ب) من UK GDPR). ثم تسري سياسة الخصوصية الخاصة بها.

هذه هي الضوابط القائمة اليوم، بالترتيب الذي يقابلها به الطالب.

• النقل: كل اتصال بالموقع والبوابات والواجهة البرمجية مشفّر (TLS)؛ ولا تقبل الواجهة البرمجية إلا TLS 1.2 أو أحدث. والبيانات مشفّرة أثناء التخزين على Google Cloud.
• تسجيل الدخول: بلا كلمة مرور — رمز لمرة واحدة إلى بريدك الإلكتروني، أو تسجيل الدخول عبر Google. لا توجد كلمة مرور لنارا يمكن سرقتها. وملفات تسجيل الدخول محمية بخاصيتَي httpOnly وSecure، وتنتهي الجلسة بعد 7 أيام من آخر استخدام لها.
• الوثائق: تُخزَّن في مخزن خاص، منفصل عن قاعدة البيانات، مع حظر الوصول العام على مستوى سياسة المخزن. ورابط الوثيقة صالح لمدة 15 دقيقة، ولا يُنشأ إلا لك، أو لوكيل شريك مرتبط بحسابك، أو لمسؤول يتولى طلبك، أو لمستخدم من الجامعة يراجع الوثائق المرفقة بطلب قدّمته إلى تلك الجامعة.
• قاعدة البيانات: أمان على مستوى الصفوف — تقصر قاعدة البيانات نفسها، لا شيفرة التطبيق وحدها، كل حساب على الصفوف المخوّل بالوصول إليها (صفوفك أنت؛ وللوكيل الشريك أو مستخدم الجامعة، الطلاب والطلبات المرتبطون بهم فقط).
• المدفوعات: تذهب بيانات البطاقة إلى صفحة الدفع المستضافة لدى Stripe ولا تمر بخوادمنا أبداً.
• الوصول إلى الإنتاج: لا يمكن الوصول إلى الخوادم إلا عبر نفق مُصادَق عليه ومن حسابات مسؤولين محدَّدة بالاسم. ولا يوجد وصول SSH عام.
• ضوابط إساءة الاستخدام والسجلات: تحدّ الواجهة البرمجية من معدل الطلبات؛ وتُسجَّل عمليات تسجيل الدخول (عنوان IP والمتصفح والوقت)؛ وتُبلَّغ الأخطاء إلى نظام مراقبة الأخطاء لدينا؛ وتُسجَّل الإجراءات على الطلبات وعمليات تصدير الوثائق.

لا يوجد نظام آمن تماماً. بريدك الإلكتروني هو مفتاحك إلى نارا — فحافظ على أمانه، وأبلغنا على privacy@nara-abroad.co.uk إذا لاحظت أي خلل.

تشغّل هذه الشركات أجزاءً من المنصة بموجب عقود تقصر عملها على تعليماتنا. ولا تتغير القائمة إلا بعد تحديث سياسة الخصوصية أولاً.

• Google Cloud — الخوادم وقاعدة البيانات وتخزين الملفات والنسخ الاحتياطية، في منطقة مشمولة بلوائح الكفاية في المملكة المتحدة (ولقطات الخادم القصيرة الأجل: منطقة الاتحاد الأوروبي متعددة المناطق). ملحق معالجة البيانات الخاص بـ Google Cloud.
• Google Cloud Vertex AI — نموذج Gemini الذي يعمل به المساعد، واستدعاءات التضمين التي تحوّل النص إلى أرقام للبحث في الدليل الدراسي؛ أما فهرس البحث نفسه فمحفوظ في قاعدة بياناتنا نحن. الولايات المتحدة أو مواقع Google Cloud الأخرى. ولا تسمح شروط Google Cloud للذكاء الاصطناعي التوليدي باستخدام بياناتنا لتدريب نماذجها.
• Google — تسجيل الدخول عبر Google، إن اخترته فقط: معرّف حسابك في Google واسمك وبريدك الإلكتروني. الولايات المتحدة.
• Vercel — استضافة هذا الموقع وصفحات البوابات. الولايات المتحدة.
• Cloudflare — خدمة DNS لنطاقاتنا؛ وTLS وحماية الشبكة أمام الواجهة البرمجية. شبكة عالمية.
• Namecheap — خدمة Private Email، صندوقا بريدنا support@ وprivacy@.
• Resend — رموز تسجيل الدخول ورسائل الحساب ورسائل نموذج التواصل وقائمة النشرة البريدية. الولايات المتحدة واليابان.
• Stripe — المدفوعات. الولايات المتحدة.
• Sentry — مراقبة الأخطاء. الاتحاد الأوروبي (ألمانيا).
• ElevenLabs — التعرف على الكلام وصوت المساعد في المكالمات الصوتية. الولايات المتحدة. المكالمات الصوتية متوقفة حالياً.
• LiveKit — نقل الصوت في المكالمات الصوتية. الولايات المتحدة. المكالمات الصوتية متوقفة حالياً.
• Sanity — نظام المحتوى الذي يقف خلف نصوص هذا الموقع المنشورة. لا يحتفظ بأي حسابات طلاب أو طلبات أو وثائق.

كما تعمل Stripe وGoogle (تسجيل الدخول عبر Google) متحكّمَين مستقلَّين لخدماتهما — منع الاحتيال والالتزامات القانونية لدى Stripe، وخدمة تسجيل الدخول لدى Google — بموجب سياسات الخصوصية الخاصة بهما.

جهات متلقية ليست معالِجين، لأن كلاً منها متحكّم مستقل: الجامعات التي تتقدم إليها، والوكيل الشريك إن كان قد أنشأ حسابك نيابة عنك. نحن اليوم نقدّم الطلبات إلى الجامعات بأنفسنا. وإذا مرّرنا يوماً طلباً إلى شريك توريد البرامج لتقديمه، فسنخبرك أولاً، ويصبح ذلك الشريك متحكّماً فيه.

المدد أدناه هي التي تلتزم بها سياسة الخصوصية؛ وكل منها مدوَّنة في جدول الاحتفاظ لدينا مع المخزن الذي تسري عليه.

• الحساب والملف الشخصي والوثائق والطلبات ومحادثات المساعد: ما دام حسابك مفتوحاً، ولمدة 12 شهراً بعد إغلاقه أو بعد آخر تسجيل دخول لك، أيهما أبعد. ثم تُحذف.
• سجلات الدفع (المبلغ والتاريخ والحالة ومرجع Stripe): 6 سنوات بعد نهاية السنة الضريبية للدفعة، كما يشترط قانون الضرائب البريطاني. وبعد زوال حسابك لا تحمل اسماً، بل مرجعاً داخلياً فقط.
• سجلات تسجيل الدخول (عنوان IP والمتصفح والوقت): تنتهي كل جلسة بعد 7 أيام من آخر استخدام لها؛ وتُحذف السجلات المنتهية خلال 30 يوماً.
• سجلات الواجهة البرمجية وخادم الويب: حتى 30 يوماً. أما سجلات خدمة المساعد نفسها فمحدودة الحجم وتسجّل طول كل دور في المحادثة لا كلماته. وتقارير الأخطاء في Sentry: حتى 90 يوماً.
• النسخ الاحتياطية لقاعدة البيانات: تُحذف تلقائياً خلال 30 يوماً (ولقطات الخادم بأكمله بعد 7 أيام). ويصل أثر الحذف إلى النسخ الاحتياطية عند انقضاء مدتها.
• النشرة البريدية: حتى تلغي اشتراكك — عبر الرابط الموجود في كل نشرة، أو بمراسلتنا.
• سجلات طلبات الخصوصية: 3 سنوات، دليلاً على أننا عالجناها.

عند انتهاء المدة تُحذف البيانات، أو تُجعل مجهولة الهوية بحيث لا يمكن ربطها بك بعد ذلك.

يمكنك طلب نسخة من بياناتك في ملف قابل للقراءة آلياً، أو تصحيحها، أو حذفها، أو تقييد استخدام معيّن أو الاعتراض عليه، وسحب أي موافقة منحتها.

• الطريقة: راسل privacy@nara-abroad.co.uk من عنوان البريد المسجّل في حسابك. وإذا كتبت من عنوان آخر نؤكد الطلب أولاً مع عنوان الحساب. ولا نطلب أبداً نسخة من جواز السفر لإثبات هويتك.
• المدة: خلال شهر واحد. وإذا كان الطلب معقداً على نحو غير معتاد فقد نستغرق شهرين إضافيين على الأكثر، ونبلغك بذلك خلال الشهر الأول.
• معنى الحذف: يُحذف حسابك وملفك الشخصي ووثائقك ومحادثاتك وأي طلب لم يُقدَّم بعد. وإن كان لديك طلب قائم نسألك أولاً إن كنت تريد سحبه. وتبقى سجلات الدفع للمدة المذكورة أعلاه، من دون اسمك. ولا يمكننا استرجاع بيانات أُرسلت بالفعل إلى جامعة أو شريك، لذا نخبرك بمن تلقاها.
• الشكاوى: مكتب مفوّض المعلومات (ICO)، Wycliffe House, Water Lane, Wilmslow, Cheshire SK9 5AF — الخط المساعد 0303 123 1113 — ico.org.uk/make-a-complaint. يمكنك اللجوء إلى مكتب ICO في أي وقت؛ ولست ملزماً بمراجعتنا أولاً.

لدينا إجراء مكتوب للتعامل مع خروقات البيانات. باختصار:

• الاحتواء أولاً، في الساعة الأولى — إلغاء بيانات الاعتماد، وإغلاق الباب، ووقف التسرب.
• التقييم خلال 24 ساعة: أي بيانات، ولمن، وكم عدد الأشخاص، وما الذي يمكن فعله بها. ويُدرج كل حادث في سجل الخروقات لدينا، سواء تبيّن أنه واجب الإبلاغ أم لا.
• إخطار مكتب ICO خلال 72 ساعة من علمنا حيثما يكون من المرجح أن يعرّض الخرق الأشخاص للخطر. وإن لم تكن لدينا كل الإجابات حينها، نبلغ على مراحل بدلاً من التأخر.
• إبلاغ المتضررين دون تأخير لا مبرر له، بالعربية والإنجليزية، حيثما يكون الخطر عليهم مرتفعاً — جوازات السفر، أو بيانات اعتماد يمكن استخدامها في مكان آخر، أو أعداد كبيرة.
• توثيق السبب والإصلاح خلال أسبوعين وإرفاقه بقيد السجل.

ومعالِجونا ملزمون تعاقدياً بإبلاغنا دون تأخير لا مبرر له عند وقوع خرق من جانبهم؛ وتبدأ ساعاتنا الـ72 عندما يفعلون.

• الحقائق عن البرامج والرسوم والجامعات تأتي من دليلنا الدراسي، لا من ذاكرة النموذج. وللعثور على الإدخالات المناسبة في الدليل يحوّل Vertex AI النص إلى تضمينات (تمثيلات رقمية)؛ أما فهرس البحث نفسه فمحفوظ في قاعدة بياناتنا نحن. وعندما لا يحتوي الدليل على معلومة ما، صُمّم المساعد ليقول ذلك بدلاً من اختلاقها. ومع ذلك قد يخطئ — فتحقق من الرسوم والمواعيد النهائية وشروط القبول لدى الجامعة قبل الاعتماد عليها.
• هو يقترح ولا يقرر. فقرارات القبول تتخذها الجامعات. ولا يتغير أي شيء في ملفك أو طلبك دون تأكيدك، ولا يستطيع المساعد تقديم طلب أو إجراء دفعة.
• تُرسل رسائلك، مع ما يلزم للإجابة من أجزاء ملفك وطلباتك، إلى نموذج Gemini من Google على Google Cloud Vertex AI، في الولايات المتحدة أو في مواقع Google Cloud الأخرى. ولا تسمح شروط Google Cloud للذكاء الاصطناعي التوليدي لشركة Google باستخدام بياناتنا لتدريب نماذجها.
• تُحفظ المحادثات مع حسابك وتتبع قواعد الاحتفاظ نفسها التي تسري على بقية بياناته. أما سجلات خدمة المساعد نفسها فتسجّل طول كل دور في المحادثة لا كلماته.
• المكالمات الصوتية متوقفة حالياً. وتبدأ كل مكالمة بتنبيه بأنك تتحدث إلى مساعد ذكي وأن المحادثة تُحوَّل إلى نص. ولا يُخزَّن الصوت أبداً؛ بل نحتفظ بالنص المكتوب، بالطريقة نفسها التي نحتفظ بها بالمحادثات النصية.
• أُعدّت مسودة تقييم أثر حماية البيانات الخاص بالمساعد وهي بانتظار الاعتماد؛ وفور اعتمادها ينضم ملخصها إلى الحزمة الموضحة أدناه.

• وضع ملفات تعريف ارتباط إعلانية أو تحليلية أو للتتبع — لا شيء منها في أي مكان. فموقعنا (nara-abroad.co.uk) لا يضع أي ملفات تعريف ارتباط على الإطلاق. أما البوابة فتضع ثلاثة أنواع، جميعها من الطرف الأول: ملف يتذكر لغتك، وملفات تسجيل الدخول الآمنة (httpOnly)، وملف لا يُكتب إلا عند طيّ القائمة الجانبية أو توسيعها. كما تعرض صفحة تسجيل الدخول زر «المتابعة عبر Google» الخاص بـ Google، وهو يُحمَّل من Google ويُعرض داخل إطار Google نفسها؛ وأي ملفات تعريف ارتباط يستخدمها هي ملفات Google وتخضع لسياسة خصوصية Google.
• بيع البيانات الشخصية، أو مشاركتها مع المعلنين أو وسطاء البيانات.
• إرسال رسائل تسويقية دون موافقتك. ويمكنك إلغاء اشتراكك في النشرة البريدية عبر الرابط الموجود في كل عدد أو بمراسلتنا؛ ورسائل الحساب (رموز تسجيل الدخول وتحديثات الطلبات) ليست تسويقاً.
• شراء بيانات عنك، أو جمعها من وسائل التواصل الاجتماعي.
• طلب نسخة من جواز السفر للتحقق من طلب خصوصية.
• اتخاذ قرارات آلية بشأنك ذات أثر قانوني أو أثر مماثل في أهميته.

إذا كانت مؤسستكم تتحقق من الوكلاء الذين تتعامل معهم، فبإمكاننا أن نقدّم عند الطلب: سجل أنشطة المعالجة وسجل المعالِجين لدينا، وجدول الاحتفاظ، وإجراء التعامل مع الخروقات، ووصفاً للتدابير الأمنية المذكورة أعلاه، و— فور اعتماده — ملخص تقييم أثر حماية البيانات الخاص بالمساعد الذكي. كما نستكمل استبيانات الموردين.

راسلونا على privacy@nara-abroad.co.uk. سيُنشر رقم تسجيلنا لدى مكتب مفوّض المعلومات البريطاني (ICO) في هذه الصفحة فور صدوره.