الإجابة باختصار: ينهي قرار KVKK بشأن بطاقات الولاء، وهو قرار المبادئ (ilke kararı) رقم 2026/266، ممارسة استخدام بطاقة الولاء عند نقطة البيع بمجرد إخبار أمين الصندوق برقم هاتف أو رقم بطاقة، دون التحقق من علم العضو وموافقته. وKVKK هي الهيئة التركية لحماية البيانات الشخصية، وقد حدّد مجلسها، عند تمديد المهلة بالقرار 2026/1491، يوم 28 فبراير 2027 موعدًا نهائيًا للامتثال. ويشمل التحقق كل استخدام للبطاقة، بما في ذلك إنشاء العضوية، وكسب النقاط، واستبدال النقاط، والخصومات أو العروض الترويجية. ويذكر المجلس الطرق التالية على سبيل المثال: رمز يُستخدم لمرة واحدة يُرسل عبر رسالة نصية (SMS)، ورمز شريطي أو رمز QR في التطبيق أو على الموقع الإلكتروني، وبطاقة مادية، ورمز PIN للبطاقة عند نقطة البيع، وموافقة مسبقة (Opt-in) يحددها العضو في حسابه الإلكتروني. أي إن رقم الهاتف لن يختفي من نقطة البيع، وإنما سيختفي الاستخدام غير المتحقَّق منه. ويتركز العمل الفعلي في كسب النقاط والخصومات، إذ تجري عادةً، بحسب القرار، دون أي تحقق.
أعددنا هذا الدليل لمديري تقنية المعلومات وCRM والتجارة الإلكترونية في سلاسل البيع بالتجزئة والامتياز التجاري التي تدير برنامج الولاء الخاص بها عبر أنظمة نقاط بيع وCRM وتطبيقات جوال مملوكة لها أو مخصصة جزئيًا. وهو يهم أيضًا العلامات التجارية الدولية التي تدير متاجر في تركيا، مباشرة أو عبر شركاء الامتياز التجاري. وإذا كنت تستخدم برنامج نقطة بيع جاهزًا، فيمكنك اعتماد هذا المقال قائمة أسئلة توجّهها إلى المورّد. وقد اطّلعنا على القرارات في إعلانات KVKK وفي الجريدة الرسمية التركية (Resmî Gazete)، حيث تُنشر القوانين والقرارات الرسمية في تركيا. أما توصياتنا التقنية فتستند إلى مصادر أولية (مثل OWASP وIETF). وتوصياتنا هذه خيارات هندسية، وليست استشارة قانونية. ونقصد بمصطلح «نقطة البيع» (POS) برنامج المبيعات داخل المتجر وجهاز تسجيل المدفوعات الضريبي (ÖKC) المستخدم في المتاجر التركية، أما المدفوعات عبر الإنترنت فراجع بشأنها دليلنا لتكامل نقاط البيع الافتراضية. هذا المقال محدّث حتى 31 أكتوبر 2026.
ماذا يقول قرار KVKK بشأن بطاقات الولاء؟ قراران في جدول واحد
نظر المجلس (Kişisel Verileri Koruma Kurulu، وهو هيئة اتخاذ القرار في KVKK) في السيناريو التالي: يُخبر شخص آخر أمين الصندوق برقم هاتف العضو أو رقم بطاقته. وتُجرى عملية الشراء على بطاقة العضو دون إدخال أي رمز موافقة. وتصدر فاتورة أو مستند مماثل باسمه، وتُسجَّل بيانات الشراء في حسابه. ويذكر القرار على سبيل المثال قطاعات الأغذية، ومستحضرات التجميل، والتقنية، ومتاجر مستلزمات البناء والإصلاح المنزلي، والملابس.
| الموضوع | 2026/266 (القرار الرئيسي) | 2026/1491 (التمديد) |
|---|---|---|
| تاريخ القرار | 11 فبراير 2026 | 22 يوليو 2026 |
| الجريدة الرسمية | 28 فبراير 2026، العدد 33182 | 13 أغسطس 2026، العدد 33339 |
| ما مضمونه؟ | ينهي الاستخدام دون تحقق، ويُلزم بالتدابير التقنية والإدارية الواردة في المادة 12 من قانون حماية البيانات الشخصية التركي رقم 6698، ويمنح مهلة امتثال مدتها 6 أشهر | يمدد المهلة التي كانت ستنتهي في 28 أغسطس 2026 إلى 28 فبراير 2027 استجابة لطلبات القطاع |
| النطاق | كل استخدام: العضوية، وكسب النقاط، واستبدال النقاط، والخصومات/العروض الترويجية «وما إلى ذلك» | النطاق نفسه، ولم يتغير سوى الموعد النهائي |
تؤثر الجوانب الثلاثة لتعليل المجلس جميعها في تصميم البرمجيات:
- انعدام الأساس القانوني: عندما يستخدم شخص آخر الرقم دون علم العضو وموافقته، لا يمكن تبرير ذلك بأي من شروط المعالجة الواردة في المادة 5 من القانون رقم 6698، ما يجعله معالجة غير مشروعة للبيانات.
- السجل الخاطئ مخالفة أيضًا: إن إصدار مستند باسم العضو لعملية شراء لم يُجرها، أو تسجيل تلك العملية في حسابه، يخالف المبدأ الوارد في المادة 4 الذي يقضي بأن تكون البيانات «صحيحة ومحدَّثة عند الاقتضاء». فالمسألة لا تتعلق فقط بمن يحصل على الخصم، بل أيضًا بما يُكتب في الملف الشخصي والمستند.
- العقد لا يكفي: إن تحميل العضو، عبر اتفاقية العضوية، مسؤولية عدم السماح لأشخاص آخرين باستخدام البطاقة لا يُسقط الالتزام بأمن البيانات المنصوص عليه في المادة 12 من القانون.
وبحسب ما توصّل إليه المجلس، يجري عادةً التحقق من العضوية واستبدال النقاط عبر رمز SMS أو رمز شريطي/رمز QR في التطبيق. أما ما يجري دون تحقق فهو مسار الخصومات والعروض الترويجية وكسب النقاط. ولذلك يتركز العمل الفعلي في هذا المسار، وهو أيضًا الأكثر تكرارًا.
المرونة التي يتيحها القرار: تنتهي قائمة الطرق بعبارة «وما إلى ذلك»، ويقرر المتحكم في البيانات الآلية التي يستخدمها. ولا يحظر القرار أرقام الهواتف: فالعمليات التي منح العضو موافقته المسبقة عليها يمكن إجراؤها بالرقم وحده. ويستهدف القرار نقطة البيع داخل المتجر. أما تطبيق المنطق نفسه على مركز الاتصال فهو توصية منا، وليس التزامًا منصوصًا عليه في القرار.
الموعد النهائي والجزاءات: حتى 31 أكتوبر 2026، لا تُظهر إعلانات KVKK وقائمة قرارات المبادئ الصادرة عنها أي تمديد أو تغيير جديد، ويتبقى 120 يومًا على الموعد النهائي. وقد مُدِّدت المهلة مرة واحدة بالفعل بطلب من القطاع، لذا واصل متابعة الإعلانات. ويواجه غير الممتثلين إجراءات بموجب المادة 18 من القانون رقم 6698، ولا نذكر هنا مبالغ الغرامات، لأن الغرامات الإدارية تُرفع كل عام بمعدل إعادة التقييم، وفقًا للفقرة 7 من المادة 17 من قانون المخالفات (Kabahatler Kanunu).
ما طرق التحقق الخمس التي يذكرها المجلس، وما تكلفتها الهندسية؟
تخدم هذه الطرق الغرض نفسه، لكنها تفرض أعباء مختلفة على نقطة البيع والميزانية وفريق الدعم. والتقييم التالي هو رؤيتنا الهندسية الخاصة:
| الطريقة | المسار عند نقطة البيع | التكلفة والبنية التحتية | عند انقطاع الاتصال | نقطة الضعف |
|---|---|---|---|---|
| رمز SMS لمرة واحدة | يقرأ العضو الرمز من هاتفه ويُدخله أمين الصندوق، مع فترة انتظار لوصول الرسالة | رسوم SMS مقابل كل عملية تحقق | يتطلب الوصول إلى الخدمة ومزوّد SMS | تبديل شريحة SIM، ومعاينات شاشة القفل، والأعضاء الذين لا يحملون هواتفهم |
| رمز شريطي أو رمز QR في التطبيق/الويب | تمسح نقطة البيع الرمز من الشاشة، دون انتظار | تكامل التطبيق والماسح الضوئي، دون رسوم رسائل | يمكن مسح الرمز، لكن التحقق على الخادم ينتظر عودة الاتصال | يمكن مشاركة لقطة شاشة لرمز ثابت، ويتطلب هاتفًا ذكيًا |
| البطاقة المادية | تُبرز البطاقة أو تُمسح | الطباعة، والتوزيع، وإجراء للبطاقات المفقودة | تُقرأ البطاقة محليًا | يمكن تسليم البطاقة إلى شخص آخر |
| رمز PIN للبطاقة عند نقطة البيع | يُدخل العضو رمز PIN بنفسه على الجهاز | جهاز إدخال مواجه للعميل، وإعادة تعيين رمز PIN | يتطلب التحقق المركزي اتصالًا | نسيان رمز PIN، واختلاس النظر إليه أثناء إدخاله |
| الموافقة المسبقة (Opt-in) | يكفي الرقم للعمليات المسموح بها | شاشة الحساب، وسجل التفضيلات | يمكن تخزين التفضيل مؤقتًا في نقطة البيع | يمكن لأي شخص يعرف الرقم تنفيذ العملية المسموح بها |
الخلاصة العملية: إن توفير طريقتين على الأقل يغطي مختلف فئات العملاء وسيناريوهات الانقطاع معًا.
هل يلزم رمز SMS لكل عملية؟ مصفوفة تحقق حسب نوع العملية
لا. ينص القرار صراحة على إمكانية اختيار آليات مختلفة حسب نوع العملية (التحقق من العضوية، وكسب النقاط/الخصومات/العروض الترويجية، واستبدال النقاط) ومستوى المخاطر. ونقترح نقطة البداية التالية:
| العملية | الطريقة الأساسية (مقترحة) | البديل | إذا فشل التحقق |
|---|---|---|---|
| إنشاء العضوية | رمز SMS | التسجيل عبر التطبيق أو الموقع الإلكتروني | لا تُنشأ عضوية، ويُستكمل البيع مجهول الهوية |
| كسب النقاط | رمز QR في التطبيق أو بطاقة مادية | الرقم إذا وُجدت موافقة مسبقة، وإلا فرمز SMS | لا تُضاف نقاط، ويمكن للعضو المطالبة بها لاحقًا عبر الرمز المطبوع على الإيصال |
| الخصم/العرض الترويجي الشخصي | رمز QR في التطبيق أو بطاقة مادية | رمز SMS أو موافقة مسبقة | لا تُطبَّق أي ميزة شخصية، وتظل الحملات العامة سارية |
| استبدال النقاط | رمز SMS أو رمز QR متغير زمنيًا (TOTP) | البطاقة ورمز PIN | لا تُستبدل النقاط |
هذه المصفوفة خيار هندسي، وليست ضمانًا قانونيًا. ويعود تقييم المخاطر واختيار الطريقة إلى قرار المتحكم في البيانات.
صمّم الموافقة المسبقة بوصفها قاعدة في خدمة التحقق، لا استثناءً. فإذا سمح العضو بنوع من العمليات، قبلت الخدمة تلك العملية بالرقم. وإلا عادت إلى الطريقة المحددة في المصفوفة. ونوصي بإبقاء الموافقة المسبقة على استبدال النقاط معطّلة افتراضيًا.
المعمارية المرجعية: كيف ينبغي أن تعمل نقطة البيع وCRM وSMS وفوترة e-Arşiv معًا؟
أهم قرار في التصميم هو تحديد موضع فرض القاعدة. فإذا كانت القاعدة في شاشة نقطة البيع، أصبح كل إصدار من نقطة البيع وكل فرع امتياز نقطة ضعف قائمة بذاتها. ونوصي بوضع القاعدة في واجهة API الخاصة بالكتابة في نظام الولاء/CRM: فبدون رمز مميز (Token) صالح للتحقق، تُرفض عمليات كتابة النقاط والخصومات الشخصية وبيانات الملف الشخصي.
- نقطة البيع (برنامج POS وجهاز ÖKC): تعثر على العضو عبر الرقم أو رمز QR أو البطاقة. وإلى أن يكتمل التحقق، تعرض بيانات مُخفاة جزئيًا بدلًا من اسم العضو.
- خدمة التحقق: تفتح جلسة مرتبطة بسلة المشتريات، وتقرأ تفضيلات الموافقة المسبقة، ثم تولّد رمز SMS أو تتحقق من رمز QR أو رمز PIN أو البطاقة. وعند النجاح، تعيد رمزًا مميزًا قصير العمر يُستخدم لمرة واحدة.
- نظام الولاء/CRM: يكتب النقاط والخصومات وبيانات الشراء بهذا الرمز المميز فقط.
- مزوّد SMS: لا يُستدعى إلا عبر خدمة التحقق.
- تطبيق الجوال والويب: يعرضان رمز QR، وتفضيلات الموافقة المسبقة، وإشعار الخصوصية.
- مسار المستندات: لا تُملأ بيانات المشتري من الملف الشخصي إلا في العمليات المتحقَّق منها. ووفقًا لإدارة الإيرادات التركية (GİB)، يُصدر البائع المستخدم لنظام e-Arşiv فواتيره في صورة فاتورة الأرشيف الإلكتروني (e-Arşiv Fatura) للمشترين غير المسجلين في نظام الفاتورة الإلكترونية (e-Fatura). ويشمل ذلك المستهلكين غير المكلفين ضريبيًا. وإذا كان نظام ERP لديك يملأ بيانات المشتري تلقائيًا من الملف الشخصي، فاربط هذه الخطوة بالرمز المميز للتحقق أيضًا.
إذا كانت بيانات الولاء محفوظة في نظام CRM الخاص بك، فتُضاف عملية التحقق هناك. وإذا كنت تستخدم منصة جاهزة، فاطلب الأمر نفسه من المورّد. وقد قارنّا خيارات تكامل المستندات الإلكترونية في مقالنا عن تكامل ERP والفاتورة الإلكترونية.
عند فشل التحقق: أكمل البيع مجهول الهوية بدلًا من إيقافه
إذا فشل التحقق، فلا يتوقف البيع، وإنما يجب أن تتوقف كل عملية كتابة تخص العضو. والقاعدة التي نوصي بها: تُستكمل عملية الدفع، ولا يُطبَّق أي خصم شخصي أو نقاط، ولا يُكتب شيء في الملف الشخصي، ولا يصدر أي مستند باسم العضو. ويقدّم العميل الذي يريد مستندًا بياناته الخاصة. أما العضو الذي لا يريد خسارة النقاط فيمكن منحه خيار المطالبة بها لاحقًا في تطبيقه الخاص، باستخدام رمز لمرة واحدة مطبوع على الإيصال. وبذلك تصدر عملية الكتابة من حساب العضو المتحقَّق منه. وجهّز مسبقًا أيضًا ما سيقوله أمين الصندوق في هذا الموقف.
ماذا يحدث إذا انقطع اتصال نقطة البيع؟
إذا انقطع الاتصال أو تعطل مزوّد SMS، فإن الخيار الافتراضي الأكثر أمانًا هو البيع مجهول الهوية. فكما تحذّر OWASP، يجب ألا تكون الآلية الاحتياطية أضعف من الطريقة الأساسية. ولهذا فإن عبارة «لنكتفِ بالرقم الآن» ليست حلًا. لنفترض أن النقاط دون اتصال مطلب تجاري وأن تطبيقك يستخدم رمزًا متغيرًا زمنيًا (TOTP). في هذه الحالة، تخزّن نقطة البيع الرمز الممسوح ووقت مسحه. وعند عودة الاتصال، تتحقق الخدمة من الرمز وفق ذلك الوقت، وعندئذ فقط تُضاف النقاط. ويعتمد هذا النهج على دقة ساعة نقطة البيع وعلى استحالة تغييرها من قبل أمين الصندوق. وحتى في هذه الحالة، لا يصدر أي مستند باسم العضو. أما بالنسبة إلى SMS، فجهّز تحويلًا تلقائيًا إلى مزوّد ثانٍ.
كيف تحصّن رموز SMS ورموز QR في التطبيق؟
نص الرسالة: صياغته بما يتوافق مع القرار 2025/1072
يحدد قرار المبادئ 2025/1072 الصادر عن KVKK الإطار التالي لرموز التحقق عبر الرسائل النصية:
- يشرح الموظفون أولًا بوضوح الغرض من الرسالة وما يعنيه تقديم الرمز. وتتضمن الرسالة أيضًا قناة للحصول على مزيد من المعلومات.
- لا تُجمع الموافقة على العضوية، والإذن بمعالجة البيانات، والموافقة على الرسائل الإلكترونية التجارية (المصطلح القانوني التركي للرسائل التسويقية) برمز واحد. ويُتاح خيار منفصل لكل نشاط معالجة يتطلب موافقة صريحة.
- لا تُعرض الموافقة على الرسائل التجارية شرطًا للبيع. فإما أن تُطلب بعد اكتمال البيع، وإما أن توضّح الرسالة صراحةً أن الرمز اختياري، وأن البيع سيتم حتى دونه، وأن التفضيلات يمكن تغييرها في أي وقت.
- يتلقى الموظفون المشاركون في هذه العمليات تدريبًا منتظمًا.
بعبارة أخرى، يجب أن يكون لرمز التحقق غرض واحد. نص نموذجي (مترجم من التركية): «[العلامة التجارية]: الرمز 482913 لتأكيد استخدام بطاقة الولاء عند نقطة البيع في [المتجر]. صالح لمدة 3 دقائق. لا تشاركه إلا إذا كنت توافق على هذه العملية. لمزيد من المعلومات: [رابط مختصر]» وقد تغيّر الأحرف التركية عدد أجزاء الرسالة، وبالتالي تكلفتها، لذا اختبر النص مع مزوّدك.
حدود الصلاحية والمحاولات والتكلفة
بحسب إرشادات OWASP بشأن المصادقة متعددة العوامل، فإن إرسال رسائل SMS يكلّف مالًا، وقد يطلب المهاجمون أعدادًا كبيرة من الرسائل لاستنزاف ميزانيتك. كما أن SMS معرّض لتبديل شريحة SIM ومعاينات شاشة القفل والتطبيقات الخبيثة. والضوابط التي نوصي بها:
- يُولَّد الرمز ويُتحقق منه على الخادم، ويكون قصير العمر ويُستخدم لمرة واحدة، ولا يُخزَّن أبدًا بنص صريح ولا يظهر في السجلات.
- حد لعدد المحاولات الخاطئة، وفترة انتظار قبل إعادة إرسال الرمز.
- حدود بالساعة لكل رقم وكل نقطة بيع وكل متجر، إضافة إلى تنبيه عندما تطلب نقطة بيع واحدة رموزًا لأرقام مختلفة على التوالي.
- تنبيه عند بلوغ حد معين من ميزانية SMS اليومية. وإذا كانت الخدمة مستخدمة أيضًا على الويب وفي التطبيق، فتحديد معدل الطلبات والحماية من برامج الروبوت على نقاط النهاية هذه.
أما أسماء المرسلين (Sender ID) والمزوّد الاحتياطي وسجلات الموافقات فهي من مهام بنيتك التحتية في المراسلة متعددة القنوات. واحتفظ برسائل SMS الخاصة بالتحقق في مسار منفصل عن الإرسال التسويقي.
رمز QR في التطبيق: رمز شريطي ثابت أم TOTP؟
يذكر القرار رمزًا شريطيًا أو رمز QR في التطبيق أو على الموقع الإلكتروني. لكنه لا يميز بين الرموز الثابتة والديناميكية، ولا يشترط أن يكون الرمز «ديناميكيًا». ومع ذلك، يمكن لأي شخص التقاط لقطة شاشة لرمز شريطي ثابت ومشاركتها. وإذا أردت سدّ هذه الثغرة، فهناك معيار راسخ: كلمة المرور لمرة واحدة المستندة إلى الوقت (TOTP) الواردة في RFC 6238. يتجدد الرمز باستخدام مفتاح سري على الجهاز والساعة، والخطوة الزمنية الافتراضية الموصى بها هي 30 ثانية. ويجري التحقق على الخادم، مع السماح بهامش محدود لانحراف الساعة، ولا يُقبل الرمز نفسه مرتين أبدًا. وتتمثل التكلفة في توزيع المفاتيح ومسار تجديد للتطبيقات المعاد تثبيتها. ويكون تصميم ذلك في تطبيق الجوال منذ البداية أقل تكلفة من ترقيعه لاحقًا. وإذا اخترت تصميمًا يمسح فيه العملاء رمز QR داخل المتجر، فخذ في الاعتبار أيضًا تحذير KVKK من التصيد عبر رموز QR (Quishing).
كيف تصمّم شاشة الموافقة المسبقة، وماذا عن العملاء الذين لا يملكون هاتفًا؟
يمنح العضو موافقته المسبقة في حسابه الإلكتروني، ويختار هناك أيًّا من كسب النقاط والخصومات/العروض الترويجية واستبدال النقاط يمكن إجراؤه بالرقم وحده. وصمّم الشاشة بما يتوافق مع قرار المبادئ 2026/347 على النحو التالي: يُعرض إشعار الخصوصية (aydınlatma metni) ونص الموافقة الصريحة (açık rıza) تحت عنوانين منفصلين، وبإقرارين منفصلين. وفي إشعار الخصوصية، تطلب من العضو تأكيد قراءته، لا الموافقة عليه. وتكون اللغة واضحة. وإذا كانت المعالجة تستند إلى أساس قانوني غير الموافقة الصريحة، فتكتفي بتقديم إشعار الخصوصية. ووضّح الطبيعة القانونية للموافقة المسبقة مع فريقك القانوني: هل هي تفضيل بموجب العقد أم موافقة صريحة؟ وتوصياتنا للشاشة:
- مفتاح منفصل لكل نوع من العمليات، وجميعها معطّلة افتراضيًا.
- ملاحظة مخاطر من جملة واحدة بجانب كل مفتاح: «إذا فعّلت هذا الخيار، فسيتمكن أي شخص يعرف رقمك من إجراء هذه العملية عند نقطة البيع.»
- إيقاف المفتاح لا يقل سهولة عن تشغيله. ويُسجَّل كل تغيير مع طابع زمني، ويُبلَّغ العضو به.
- لا تظهر الموافقة التسويقية في هذه الشاشة.
بدائل لفئات العملاء المختلفة
تذكر KVKK أنه يمكن تقديم آليات بديلة لمراعاة الفروق في العمر، والمستوى التعليمي، والوضع الاقتصادي، والإلمام بالتقنية. فبالنسبة إلى العضو الذي لا يملك هاتفًا ذكيًا، يكون أبسط مسار هو البطاقة المادية. وإذا كان هاتفه البسيط يستقبل الرسائل النصية، فإن رمز SMS هو المسار الأبسط. وإذا اخترت رمز PIN، فلا يذكره العضو لأمين الصندوق، بل يُدخله بنفسه على الجهاز. ولا يُخزَّن رمز PIN بنص صريح، بل باستخدام خوارزمية تجزئة (Hash) بطيئة مع قيمة عشوائية (Salt). ولأن رموز PIN القصيرة سهلة التخمين، يُحدَّد أيضًا عدد المحاولات الخاطئة. وابتعد عن التحقق بالوجه أو بصمة الإصبع: فبموجب المادة 6 من القانون رقم 6698، تُعد البيانات البيومترية بيانات شخصية من الفئات الخاصة. ومعالجتها محظورة، ولا تكون ممكنة إلا إذا توافر أحد الشروط الواردة في تلك المادة.
الامتثال لقرار KVKK بشأن بطاقات الولاء: سجل التدقيق وخطة من 120 يومًا
الحد الأدنى لسجل التدقيق
يرى دليل أمن البيانات الشخصية الصادر عن KVKK ضرورة تسجيل نشاط عمليات جميع المستخدمين بانتظام (على هيئة سجلات Logs مثلًا). ويتضمن جدول التدابير التقنية في الدليل أيضًا مصفوفة الصلاحيات، وسجلات الوصول، وإخفاء البيانات، وإدارة المفاتيح. والحقول الدنيا التي نوصي بها لخدمة التحقق:
- الوقت، ومعرّفات المتجر ونقطة البيع وأمين الصندوق وسلة المشتريات
- المعرّف المستعار للعضو والرقم المُخفى جزئيًا
- نوع العملية، والطريقة، والنتيجة (نجاح، رمز خاطئ، انتهاء المهلة، دون اتصال، بيع مجهول الهوية)، وعدد المحاولات
- إصدار تفضيل الموافقة المسبقة المطبَّق، ورقم المستند إن وُجد
لا يُكتب الرمز نفسه ولا الرقم الكامل في السجل أبدًا. وحدّد صلاحيات الوصول عبر مصفوفة الصلاحيات لديك، ومدة الاحتفاظ عبر سياسة إتلاف البيانات.
خطة خطوة بخطوة من 31 أكتوبر 2026 إلى 28 فبراير 2027
- الأيام 1-15، الجرد: أدرج كل نقطة يكفي فيها الرقم وحده لفتح عملية (نقاط البيع في المتاجر وفروع الامتياز، والتجارة الإلكترونية، ومركز الاتصال). واعتمد المصفوفة وابدأ العمل على النصوص القانونية مع فريقك القانوني.
- الأيام 16-60، التطوير: خدمة التحقق، والرموز المميزة الإلزامية في CRM، وقالب SMS وحدوده، ورمز QR، وشاشة الموافقة المسبقة، والبيع مجهول الهوية، والسجلات.
- الأيام 61-90، المتجر التجريبي: في ساعات الذروة، قِس الوقت الذي يضيفه التحقق عند نقطة البيع، وزمن وصول الرسائل النصية، ومعدل عمليات التحقق الفاشلة. واقطع الاتصال عمدًا لاختبار المسار دون اتصال. ويُستكمل تدريب أمناء الصناديق في هذه المرحلة.
- الأيام 91-120، التعميم: عمّم الحل على مجموعات من المتاجر، وراقب المؤشرات يوميًا، واترك هامشًا زمنيًا قبل الموعد النهائي.
الموردون: بموجب الفقرة 2 من المادة 12 من القانون رقم 6698، إذا عالج طرف آخر البيانات نيابة عنك، فأنت مسؤول معه بالتضامن عن تدابير الأمن. راجع عقودك الخاصة بنقطة البيع وCRM والتطبيق والرسائل النصية. وإذا كنت تستخدم برنامجًا جاهزًا، فاسأل المورّد:
- ما طرق التحقق المدعومة، وهل يُدعم تفضيل الموافقة المسبقة؟
- إذا فشل التحقق، فهل تُحظر عمليات الكتابة على النقاط والملف الشخصي والمستندات؟
- هل تتوفر حدود لرسائل SMS، وتنبيه للميزانية، وسجل تدقيق قابل للتصدير؟
كيف تساعدك Partnerfy
نبدأ مشروعًا كهذا من نقطة البيع. ففي متجر تجريبي، نراقب ساعة الذروة ونرسم خريطة لما يكتبه الرقم والبطاقة ورمز QR اليوم في كل نظام. ثم نبني خدمة التحقق بوصفها طبقة API مستقلة عن برنامج نقطة البيع، ونربط القاعدة بنقطة الكتابة في CRM/نظام الولاء. وبذلك تتبع إصدارات نقاط البيع المختلفة وفروع الامتياز القاعدة نفسها. وعلى صعيد SMS، نُعدّ الحدود والمزوّد الاحتياطي وسجلات الموافقات مع مزوّدين أتراك مثل NetGSM وVerimor وİletimerkezi، ونبني شاشات QR والموافقة المسبقة في التطبيق. ولا نكتب النصوص القانونية، بل نضع النصوص التي اعتمدها محاميك في الشاشات والقوالب على النحو الصحيح. ولمناقشة النطاق، تواصل معنا أو اطّلع على تكامل API كما ننفذه.
المصادر
- قرار المبادئ 2026/266، الجريدة الرسمية، 28 فبراير 2026، العدد 33182 (باللغة التركية)
- KVKK: إعلان قرار المبادئ الخاص ببطاقات الولاء (باللغة التركية)
- القرار 2026/1491، الجريدة الرسمية، 13 أغسطس 2026، العدد 33339 (باللغة التركية)
- KVKK: إعلان تمديد مهلة الامتثال (باللغة التركية)
- KVKK: قرار المبادئ 2025/1072 بشأن رموز التحقق عبر SMS (باللغة التركية)
- KVKK: إعلان قرار المبادئ 2026/347 (باللغة التركية)
- KVKK: قائمة الإعلانات وقائمة قرارات المبادئ (باللغة التركية)
- قانون حماية البيانات الشخصية رقم 6698 (باللغة التركية)
- قانون المخالفات رقم 5326 (باللغة التركية)
- KVKK: دليل أمن البيانات الشخصية، أبريل 2025 (باللغة التركية)
- OWASP: المرجع السريع للمصادقة متعددة العوامل (Multifactor Authentication Cheat Sheet)
- معيار TOTP (IETF RFC 6238)
- إدارة الإيرادات التركية (GİB): حول فاتورة e-Arşiv (باللغة التركية)
- KVKK: التصيد عبر رموز QR (Quishing)، الخطر المرتبط بها (باللغة التركية)