API فلكي متوافق مع GDPR لمطوري الاتحاد الأوروبي
أول API فلكي مع إقامة كاملة في الاتحاد الأوروبي. إذا كنت تطور منتج B2C للسوق الأوروبية - سؤال الامتثال يظهر قبل أن تكتب السطر الأول من الكود. AstroWay يحل ذلك بشكل افتراضي، بدون رسوم إضافية ولا تمارين قانونية.
لماذا هذا مهم
Section titled “لماذا هذا مهم”بقية APIs الفلكية (DivineAPI, AstrologyAPI, Prokerala) مستضافة في الولايات المتحدة / الهند. هذا يعني:
- بيانات
birth.date,birth.time,birth.lat,birth.lon(=PII في حساسية GDPR) تمر عبر الولايات المتحدة/الهند. - كشف الـ Subprocessor لسياسة الخصوصية الخاصة بك: يجب سرد ولايتهم القضائية.
- DPA (Data Processing Agreement): إما غير متاح، أو فقط على Enterprise بعقد منفصل.
- EU-EUR Data Protection Authority audit خطر: نقل عابر للحدود بدون SCC = غرامات €10M+.
المكدس التقني
Section titled “المكدس التقني”| الطبقة | الموقع / المزود |
|---|---|
| Compute | Hetzner, Nuremberg (ألمانيا) |
| قاعدة البيانات | EU-مقيمة، في نفس مركز البيانات - البيانات لا تغادر Nuremberg |
| CDN / DNS | Cloudflare مع قواعد التخزين المؤقت للمنطقة الأوروبية (الطلبات من EU تُخدم من حواف EU) |
| Email transactional | Brevo (formerly Sendinblue), مقره الاتحاد الأوروبي، SMTP متوافق مع GDPR |
| ملفات التقارير | بنيتنا التحتية في Nuremberg: الوصول فقط عبر رابط موقّع مع مدة محدودة، بدون تكرار خارج الاتحاد الأوروبي |
| التحليلات | GA4 مع anonymizeIp + لا بيانات شخصية في الأحداث (Plausible مستضاف ذاتيًا في خارطة الطريق) |
| السجلات | JSON منظم، فقط تجزئة IP (بدون IPs خام)، الاحتفاظ 30 يومًا |
GDPR: ما نقدمه
Section titled “GDPR: ما نقدمه”بشكل افتراضي (لجميع مفاتيح Pro+)
Section titled “بشكل افتراضي (لجميع مفاتيح Pro+)”- ✅ تدفق البيانات فقط داخل الاتحاد الأوروبي: birth-data لا يغادر Nuremberg أبداً
- ✅ البيانات تبقى في الاتحاد الأوروبي، ونحن نوضح ما يعنيه ذلك بالضبط: birth-data تُخزن وتُحسب في Nuremberg ولا تُنسخ إلى أي مكان آخر. نحن ندير هذه الأنظمة من أوكرانيا، وتعتبر المادة V من GDPR نقلًا ووصولًا عن بُعد، حتى عندما لا يخرج شيء، لذا يغطي DPA هذا الوصول بالشروط التعاقدية القياسية.
- ✅ تجزئة IP: في السجلات يُحفظ فقط تجزئة SHA-256 مملحة بالإضافة إلى أول 16 بت من العنوان التي تُظهر الشبكة ولكن ليس العقدة. لا نخزن العنوان نفسه في أي مكان: حد معدل الطلبات يُحسب في ذاكرة العملية ولا يُكتب العنوان في أي مكان.
- ✅ احتفاظ بالسجلات لمدة 30 يومًا: بعد ذلك تُحذف السجلات تلقائيًا
- ⚠️ تحليلات مجهولة (GA4): anonymize_ip + لا بيانات شخصية في الأحداث. Plausible مستضاف ذاتيًا (بدون ملفات تعريف الارتباط) - في خارطة الطريق. قبل الهجرة نوصي بشريط ملفات تعريف الارتباط الخاص على الواجهة B2C.
- ✅ Right to erasure:
DELETE /v1/me/account(Bearer JWT, الجسم{"confirmation": "DELETE"}) يوقف فورًا جميع مفاتيح الحساب ويحدد الحذف لمدة 30 يومًا. خلال هذه الفترة يمكن إلغاء الطلب عبرPOST /v1/me/account/cancel-deletion، وبعد ذلك تقوم مهمة يومية بمسح بياناتنا عنك. النافذة واضحة: الحذف لا يجب أن يكون نهائيًا بسبب أمر خاطئ واحد.
عند الطلب (مشتركي Pro+)
Section titled “عند الطلب (مشتركي Pro+)”- 📄 DPA (Data Processing Agreement): قالب GDPR القياسي المادة 28. تقرأ النص الكامل، تقبل بالزر في لوحة التحكم، وتحصل فورًا على PDF يحتوي على سجل القبول: الحساب، الإصدار، التاريخ. المادة 28 الفقرة 9 تقبل العقد “بشكل كتابي، بما في ذلك الإلكتروني”، لذا لا تحتاج للانتظار للتوقيع. نسخة ورقية موقعة نوفرها عند الطلب على
legal@astroway.info. - 📋 قائمة الـ sub-processor’ات: القائمة الكاملة (Hetzner, Cloudflare, مزود SMTP الخاص بنا ومزود الدفع) مع وثائق الامتثال لكل منها. Brevo كموفر SMTP مذكور في ملحق DPA للعملاء الذين وقعوا.
- 🗂️ دخول إلى DPIA (Data Protection Impact Assessment): إذا كان فريقك القانوني يُجري DPIA لمنتجك، نوفر شهادة تقنية من جانبنا.
للعملاء Enterprise (سعر مخصص)
Section titled “للعملاء Enterprise (سعر مخصص)”- 🛡️ SOC 2 Type II: في خارطة الطريق (لم يتم تحديد شركة التدقيق، ETA TBD). إذا كان هذا يعيق تكاملك - اكتب إلى legal@astroway.info، نحن مستعدون للنظر في تعاون تدقيقي منفصل.
- 🇪🇺 كيان قانوني داخل الاتحاد الأوروبي: الشكل القانوني الحالي هو ФОП أوكراني (Maxim Burkhan). إذا كان قسم المشتريات لديك يطلب EU GmbH (ألمانيا / إستونيا) - نناقش ذلك بشكل فردي عبر legal@astroway.info، العملية تستغرق 4-8 أسابيع.
- 🔐 بنية تحتية مخصصة حسب الطلب: خادم منفصل في Nuremberg وقاعدة بيانات معزولة
- 📞 قناة مباشرة مع الأمن:
security@astroway.infoللرد على الحوادث
مقارنة: AstroWay ضد المنافسين المستضيفين في الولايات المتحدة
Section titled “مقارنة: AstroWay ضد المنافسين المستضيفين في الولايات المتحدة”| مهم للمطور في الاتحاد الأوروبي | AstroWay Pro $59 | DivineAPI | AstrologyAPI | Prokerala |
|---|---|---|---|---|
| الحوسبة في الاتحاد الأوروبي | ✅ Hetzner Nuremberg | ❌ الولايات المتحدة | ❌ الولايات المتحدة | ❌ الهند |
| DPA القياسية متاحة | ✅ على Pro+ | ❌ فقط Enterprise | ❌ فقط Enterprise | ❌ فقط Enterprise |
| امتثال GDPR بشكل افتراضي | ✅ على مستوى البنية التحتية | ⚠️ عبر SCC | ⚠️ عبر SCC | ⚠️ عبر SCC |
| تحليلات بدون ملفات تعريف الارتباط | ⚠️ GA4 مجهول (Plausible في خارطة الطريق) | ❌ GA4 | ❌ GA4 | ❌ GA4 |
| ضمان تدفق البيانات فقط في الاتحاد الأوروبي | ✅ كتابيًا | ❌ | ❌ | ❌ |
| دخول تقني إلى DPIA | ✅ يُقدم | ❌ | ❌ | ❌ |
| نقطة النهاية لحق الحذف | ✅ DELETE /v1/me/account | ❌ عبر تذكرة | ❌ عبر تذكرة | ❌ عبر تذكرة |
الإقامة في الاتحاد الأوروبي، DPA، GDPR على مستوى البنية التحتية - كلها مشمولة في Pro $59/міс. ليست خطة منفصلة، ولا طلب إلى المبيعات، ولا تسعير مخصص.
هذه استراتيجية مدروسة: الاستضافة في Hetzner لا تكلفنا شيئًا إضافيًا (بنيتنا التحتية بالفعل في Nuremberg)، وDPA هو قالب قياسي يُوقع مرة واحدة عبر البريد الإلكتروني. لا تحتاج لدفع مقابل الخصوصية ما كان يجب أن يكون افتراضيًا.
الأسئلة الشائعة
Section titled “الأسئلة الشائعة”هل يمكنني استخدام الخطة المجانية لمشروع حساس للـ GDPR؟
Section titled “هل يمكنني استخدام الخطة المجانية لمشروع حساس للـ GDPR؟”نعم - الخطة المجانية لديها نفس البنية التحتية (Hetzner Nuremberg)، نفس التحليلات المجهولة، نفس الاحتفاظ بالسجلات لمدة 30 يومًا. DPA غير متاحة في الخطة المجانية (هذا عبء إداري يُعوّض فقط في المستوى المدفوع)، لكن تقنيًا تُعالج البيانات بنفس الطريقة.
إذا كان محاميك يطلب DPA موقعة - Indie ($5/міс) لا توفرها أيضًا. أرخص خيار مع DPA هو Pro $59.
ماذا عن ECJ Schrems II؟ CDN Cloudflare الخاص بك: هل هي شركة أمريكية؟
Section titled “ماذا عن ECJ Schrems II؟ CDN Cloudflare الخاص بك: هل هي شركة أمريكية؟”Cloudflare - شركة أمريكية، لكننا نستخدم قواعد التخزين المؤقت للمنطقة الأوروبية (الطلب من IP EU يُخدم من حافة EU)، وخادم الأصل (حيث تُعالج البيانات فعليًا) - Hetzner Nuremberg. تمر بيانات PII (birth-data) عبر حافة Cloudflare في نفس المنطقة ولا تُخزن على الحافة - فقط في العبور.
للحالات الحساسة جدًا (تطبيقات طبية، B2G) يمكنك تجاوز Cloudflare عبر توجيه DNS إلى الأصل - اكتب إلى legal@astroway.info.
كم من الوقت يستغرق للحصول على DPA بعد الاشتراك في Pro؟
Section titled “كم من الوقت يستغرق للحصول على DPA بعد الاشتراك في Pro؟”- DPA القياسية (قالبنا): فورًا. النص متاح على /legal/dpa/، يُقبل في لوحة التحكم، يُحمَّل PDF من نفس المكان ويحتوي على سجل القبول.
- تعديلات فردية من محاميك: ننظر فيها، لكن لا نعد بمدة، لأن المحامي ليس ضمن فريقنا. لا نتفاوض على بنود المادة 28 القياسية: هي مأخوذة من قالب المفوضية الأوروبية لتجنب النقاش.
هل يجب أن أوقع على DPA إذا كنت مطور B2B بدون PII خاص؟
Section titled “هل يجب أن أوقع على DPA إذا كنت مطور B2B بدون PII خاص؟”إذا كان منتجك النهائي يعالج PII (وbirth-data هو PII) - نعم، من المحتمل أن يطلب محاميك DPA موقعة مع جميع الـ sub-processors. نحن نوفرها كمعيار. إذا كان تكاملك داخليًا (للموظفين فقط)، قد لا تكون DPA ضرورية، لكن من الأفضل توقيعها على أي حال.
ماذا يفعل AstroWay إذا قمت بتنفيذ DELETE /v1/me/account؟
Section titled “ماذا يفعل AstroWay إذا قمت بتنفيذ DELETE /v1/me/account؟”- مفاتيح API: تُحذف بلطف (تبريد anti-abuse)
- العلاقة بين الحساب والمفتاح: مقطوعة؛ لا يمكن إعادة تعيين المفتاح
- ملف المستخدم: مُعلم كحذف مع علامة زمنية
- سجلات الاستخدام: تجزئة IP لم تعد PII، تُحتفظ بها لتدقيق الفوترة
- سجل الطلبات: يُحفظ لأنه مطلوب بموجب التشريعات الضريبية. بالنسبة للفوب، هذا 1095 يوم وفقًا للفقرة 44.3 من قانون الضرائب، أي ثلاث سنوات وليس سبعًا: GDPR المادة 17 الفقرة 3(b) تستثني هذه السجلات من حق الحذف.
- رسائل البريد الإلكتروني للمعاملات: تُحذف تلقائيًا بواسطة مزود SMTP الخاص بنا بعد 90 يومًا
التدفق الكامل متاح عند الطلب عبر legal@astroway.info.
جهات الاتصال
Section titled “جهات الاتصال”- القانونية/DPA: legal@astroway.info
- حوادث الأمان: security@astroway.info
- قائمة الـ Subprocessor / DPIA: hello@astroway.info