مبادئ الخصوصية حسب التصميم لأدوات نقل الملفات

الخصوصية حسب التصميم في أداة نقل الملفات تعني أن الإعداد الافتراضي يحمي البيانات الشخصية بالفعل دون أن يُعدّل المستخدم أي إعداد. المادة 25 من GDPR تُقنّن نكهتين: حماية البيانات حسب التصميم وفق المادة 25(1) تشترط دمج تدابير تقنية ملائمة في المنتج منذ مرحلة التخطيط، وحماية البيانات افتراضياً وفق المادة 25(2) تشترط أن تعالج التهيئة الافتراضية البيانات الضرورية فقط وتشاركها مع من يحتاجها فقط وتحتفظ بها المدة المطلوبة فقط. في أدوات النقل السعودية والإماراتية، يُعزز نظام PDPL السعودي الصادر بإشراف SDAIA ومرسوم الإمارات الاتحادي رقم 45 لسنة 2021 هذا المبدأ بمتطلبات تقليل البيانات والاحتفاظ المحدود.

مبادئ Cavoukian السبعة مُطبَّقة على عمليات النقل

إطار Ann Cavoukian من التسعينيات — استباقي لا رد فعل، الخصوصية افتراضية، مدمجة في التصميم، وظائف كاملة، أمان من طرف إلى طرف، رؤية وشفافية، احترام خصوصية المستخدم — يتصل مباشرةً ببنية نقل الملفات. استباقي: كشف الخوارزميات الضعيفة في قاعدة الكود قبل النشر عبر مسح SAST آلي. افتراضي: AES-256-GCM مُفعَّل بدون خيار تعطيل. مدمج: التشفير يحدث في خط أنابيب الرفع لا كخطوة منفصلة. وظائف كاملة: الملفات المشفرة تدعم معاينات عبر فك تشفير جانب العميل. من طرف إلى طرف: المنصة لا تلمس النص الصريح أبداً. رؤية: نشر مواصفات التشفير. احترام: منح المستخدمين تحكماً في مدة الاحتفاظ وانتهاء الصلاحية.

المادة 25(1): التزامات مرحلة التصميم

المادة 25(1) تشترط تدابير "سواء وقت تحديد وسائل المعالجة أو وقت المعالجة ذاتها." هذا يعني التزامات الخصوصية عند تصميم البنية المعمارية لا كإضافة لاحقة. اختر بروتوكول النقل (HTTPS بـ TLS 1.3)، وحزمة التشفير (AES-256-GCM أو XChaCha20-Poly1305)، ودالة اشتقاق المفاتيح (PBKDF2-SHA-256 بـ 600,000 تكرار أو Argon2id)، ومنطقة التخزين (الاتحاد الأوروبي أو المنطقة المحددة) قبل كتابة أول سطر من الكود. وثّق الاختيارات في سجل قرار معماري حتى يفهم المهندسون اللاحقون القيود.

المادة 25(2): التزامات التهيئة الافتراضية

المادة 25(2) تُحدد أربعة إعدادات افتراضية: تقليل البيانات الشخصية المُجمَّعة، وتقليل المعالجة، وتقليل مدة الاحتفاظ، وتقليل إمكانية الوصول. لأداة نقل الملفات، يعني هذا: اطلب بريد المُرسِل والمُستلِم فقط (لا الاسم الكامل ولا الهاتف ولا العنوان)؛ عالج الملف مرة واحدة ثم احذفه؛ احتفظ به 7 أيام لا إلى الأبد؛ اقصر الوصول على المُستلِمين المحددين لا رابطاً عاماً يُفهرسه محرك البحث.

التقليل من البيانات في نموذج الرفع

نموذج رفع المُرسِل هو نقطة البداية للتقليل. التصميم السيئ: اطلب الاسم والشركة والهاتف واسم المُستلِم وشركته والرسالة — كل حقل بيانات شخصية تُخزَّن وتُحلَّل. التصميم الجيد: البريد الإلكتروني فقط، وحقل رسالة اختياري، وبدون وحدات تتبع. HexaTransfer وSwissTransfer كلتاهما تُطبّقان نماذج مُقلَّصة. جرّد بيانات EXIF من الصور من جانب الخادم إذا لم يكن التجريد من جانب العميل متاحاً. لا تُسجّل أسماء الملفات إذا كانت تحمل بيانات شخصية — تجزئتها لسجل التدقيق وخزّن الربط في جانب الخادم فقط.

التشفير الافتراضي بدون أعذار أداء

AES-256-GCM في المتصفحات الحديثة عبر Web Crypto API يعمل بسرعة 200-500 ميجابايت في الثانية على لابتوب من جيل 2020. ملف 100 ميجابايت يُشفَّر في أقل من ثانية. XChaCha20-Poly1305 في libsodium يعمل بسرعة مماثلة. عذر الأداء لجعل التشفير اختيارياً ذهب بلا رجعة. استخدم مفاتيح لكل ملف مشتقة من سر يحتفظ به المستخدم — كلمة مرور أو مفتاح عشوائي مضمَّن في مجزأ الرابط (بعد #، فلا يراه الخادم أبداً). بنية Firefox Send (2017-2019) مرجع مثبت: مجزأ الرابط حمل المفتاح، الخادم رأى نصاً مشفراً فقط.

التسمية المستعارة حيثما أمكن

المادة 4(5) من GDPR تُعرّف التسمية المستعارة. الاعتبار 28 يُشجّع عليها في كل اللائحة. للنقل، التسمية المستعارة تعني استبدال المعرّفات المباشرة في البيانات الوصفية للنظام: sender@company.com يصبح تجزئة SHA-256 في سجل التدقيق، مع جدول الربط المُخزَّن منفصلاً تحت ضوابط وصول أشد. إذا اخترق مهاجم سجل التدقيق وحده، يرى تجزئات لا شبكة اتصالات. جدول الربط — أصغر حجماً في خزنة منفصلة — يُحمى بمفاتيح وسياسات وصول مختلفة.

الشفافية عبر البنية المنشورة

المادة 25 لا تشترط المصدر المفتوح، لكن الشفافية مبدأ الخصوصية حسب التصميم. انشر: مواصفات التشفير (الخوارزمية، KDF، عدد التكرارات، طول علامة المصادقة)، ومخطط تدفق البيانات، وقائمة المعالجين الفرعيين بالولايات القضائية، وجدول الاحتفاظ، وجدول الإشعار بالاختراق، ومخطط سجل التدقيق. HexaTransfer تنشر مواصفات تقنية يمكن التحقق منها. الادعاءات التشفيرية التي لا يمكن التحقق منها — "تشفير بمستوى عسكري" الغامضة — علامات تحذير. إذا رفض المزوّد تسمية الخوارزمية، افترض أمناً ضعيفاً.

تحكم المستخدم ميزة أساسية لا ميزة مدفوعة

الخصوصية حسب التصميم تنهار حين تُقفَل الضوابط خلف مستويات مدفوعة. الروابط المحمية بكلمة مرور لا ينبغي أن تكلف إضافياً. حدود التنزيل لا ينبغي أن تكون مميزة. إلغاء الرابط لا ينبغي أن يتطلب التواصل مع الدعم. وضعية الخصوصية الدنيا — انتهاء الصلاحية، وكلمة المرور، والإلغاء، وإشعارات التنزيل — ينبغي أن تكون مجانية. هذه وضعية GDPR وتجارية في آنٍ واحد: المستخدمون يثقون بالمنتجات التي تمنحهم التحكم بدون جدار دفع.

السجلات التي تحترم المبدأ

سجلات التدقيق هي بيانات شخصية بحد ذاتها. السجل المفرط ينشئ سطح اختراق جديداً. السجل المنقوص لا يُمكّن من الوفاء بالمادة 33 أو إثبات الامتثال بموجب المادة 5(2). التوازن: سجّل نوع الحدث والطابع الزمني وتجزئة معرّف الملف وتجزئة معرّف الممثل والنتيجة. لا تسجّل عناوين IP الكاملة — اختصرها إلى /24 (IPv4) أو /64 (IPv6). لا تسجّل سلاسل المتصفح كاملةً — استخرج عائلة المتصفح والإصدار الرئيسي. احتفظ بالحد الأدنى اللازم للأمن والامتثال، ثم احذف.

اختبار الوضعية قبل الإطلاق

أجرِ تدقيقاً لتدفق البيانات مع مهندس جديد لم يشارك في البناء. اسأل: لكل نظام، ما البيانات الشخصية التي تمر عبره؟ أين تُخزَّن؟ كم تدوم؟ من يصل إليها؟ كيف يُسجَّل الوصول؟ كيف تُحذف؟ قارن الإجابات بالتزامات المادة 25 الموثقة في تقييم أثر حماية البيانات (DPIA). اختبر اختراقاً ضد البنية المُعلنة — هل يرى الخادم فعلاً نصاً مشفراً فقط؟ هل مفتاح مجزأ الرابط غائب فعلاً عن السجلات؟ الخدمات التي ادعاءاتها خصوصية حسب التصميم هشة تفشل هذه الاختبارات بسرعة. تلك ذات البنية المتينة — كانتهاء صلاحية 7 أيام لـ HexaTransfer مع AES-256-GCM من جانب العميل — تنجح لأن البنية تفعل ما تقوله الوثائق.

ابنِ الخصوصية فيها؛ لا تُلصقها عليها. جرّبه على hexatransfer.com — مجاناً، بدون حساب، والحد الأقصى 10 جيجابايت.