سیاست حفظ حریم خصوصی

۱. مسئول پردازش و اطلاعات تماس

MysMatch توسط سپهر عسگری («MysMatch»، «ما») با محل استقرار در آلمان اداره می‌شود.

برای هر پرسش دربارهٔ حریم خصوصی یا اعمال حقوقت طبق قانون حفاظت از داده، با ما تماس بگیر:

۲. اطلاعاتی که جمع‌آوری می‌کنیم

دسته‌های زیر از داده‌های شخصی را جمع‌آوری می‌کنیم:

الف) اطلاعاتی که خودت ارائه می‌دهی:

• داده‌های حساب: ایمیل، رمز عبور (هش‌شده)، نام، نام خانوادگی، جنسیت، تاریخ تولد
• داده‌های پروفایل: دانشگاه، رشته، ترم، مقطع، توضیح تحصیلی، شهر، عکس پروفایل
• شماره تلفن: برای تأیید هویت با پیامک
• ارتباطات: پیام‌هایی که از طریق اپ برای کاربران دیگر می‌فرستی
• داده‌های رویداد: رویدادهایی که می‌سازی یا در آن‌ها ثبت‌نام می‌کنی
• درخواست‌های کار: وقتی در اپ برای کاری که یک سازمان منتشر کرده درخواست می‌دهی، فایل رزومهٔ بارگذاری‌شده (PDF، JPEG یا PNG، حداکثر ۱۰ مگابایت) و پاسخ‌هایت به سؤال‌های درخواست آن سازمان
• گزارش‌ها: اطلاعاتی که هنگام گزارش کاربران دیگر ارائه می‌دهی

ب) اطلاعاتی که به‌طور خودکار جمع‌آوری می‌شود:

• اطلاعات دستگاه: نوع دستگاه، سیستم‌عامل، نسخهٔ اپ، شناسه‌های یکتای دستگاه
• داده‌های استفاده: تعامل‌ها در اپ، صفحه‌های دیده‌شده، قابلیت‌های استفاده‌شده، تاریخچهٔ جستجو و ارتباط، مدت نشست
• داده‌های مکانی: موقعیت در سطح شهر (فقط با اجازهٔ تو)
• داده‌های خرابی: لاگ‌های خطای فنی، stack trace، وضعیت دستگاه هنگام خرابی
• داده‌های تحلیلی: الگوهای تعامل ناشناس، آمار استفاده از قابلیت‌ها

ج) اطلاعات از اشخاص ثالث:

• Google Places API: پیشنهاد شهر و نشانی بر اساس عبارت جستجوی تو
• ارائه‌دهندگان احراز هویت: وضعیت تأیید ایمیل از Supabase Auth

۳. مبنای قانونی پردازش (مادهٔ ۶ GDPR)

ما داده‌های شخصی‌ات را بر این مبانی قانونی پردازش می‌کنیم:

• اجرای قرارداد (مادهٔ ۶(۱)(ب) GDPR): پردازش لازم برای ارائهٔ خدمت MysMatch، از جمله ساخت حساب، مدیریت پروفایل، ارتباط‌ها، پیام‌رسانی، امکانات رویداد و ارسال درخواست‌های کاری که خودت ثبت می‌کنی
• رضایت (مادهٔ ۶(۱)(الف) GDPR): ردیابی تحلیلی (Mixpanel)، اعلان‌ها (OneSignal)، دسترسی به موقعیت مکانی و App Tracking Transparency (iOS). می‌توانی هر زمان رضایتت را پس بگیری
• منافع مشروع (مادهٔ ۶(۱)(و) GDPR): پایش خرابی‌ها (Sentry)، پیشگیری از تقلب، تدابیر امنیتی و بهبود خدمت
• تکلیف قانونی (مادهٔ ۶(۱)(ج) GDPR): رعایت قوانین مربوط و پاسخ به درخواست‌های قانونی مقامات

۴. چگونه از اطلاعاتت استفاده می‌کنیم

داده‌های شخصی‌ات را برای این مقاصد استفاده می‌کنیم:

• ارائهٔ خدمت: ساخت و مدیریت حسابت، نمایش پروفایلت به ارتباط‌های احتمالی، فراهم کردن ارتباط و پیام‌رسانی، امکان کشف و ثبت‌نام در رویدادها
• ارتباط: ارسال اعلان دربارهٔ ارتباط‌های تازه، پیام‌ها و درخواست‌های ارتباط؛ ارسال ایمیل‌های تراکنشی (بازنشانی رمز، تأیید ایمیل)
• ایمنی و امنیت: تأیید هویت با شماره تلفن، رسیدگی به گزارش‌ها و مسدودسازی‌ها، شناسایی و پیشگیری از سوءاستفاده، اجرای شرایط استفاده
• بهبود: تحلیل الگوهای استفادهٔ تجمیعی، پایش پایداری و عملکرد اپ، یافتن و رفع خطاها
• رعایت قانون: پاسخ به درخواست‌های قانونی داده و نگهداری سوابق طبق قانون

۵. اشتراک‌گذاری داده و خدمات اشخاص ثالث

ما داده‌های شخصی‌ات را نمی‌فروشیم، اجاره نمی‌دهیم و معامله نمی‌کنیم. داده‌ها را فقط در این موارد به اشتراک می‌گذاریم:

الف) با کاربران دیگر:

• اطلاعات پروفایلت (نام، عکس، دانشگاه، رشته، سن، شهر) برای کاربرانی که ممکن است با تو ارتباط بگیرند قابل مشاهده است
• پیام‌هایت برای گیرنده قابل مشاهده است
• برگزارکنندگان رویداد فهرست ثبت‌نام‌کنندگان را می‌بینند
• وقتی برای کاری درخواست می‌دهی، رزومه، پاسخ‌ها و نام و عکس پروفایلت فقط با سازمانی که آن کار را منتشر کرده به اشتراک گذاشته می‌شود. رزومه‌ها در فضای ذخیره‌سازی خصوصی نگه داشته می‌شوند و برای هیچ کاربر دیگری قابل مشاهده نیستند

ب) با ارائه‌دهندگان خدمات (پردازشگرهای داده):

• Supabase (Supabase Inc.، آمریکا): میزبانی پایگاه داده، احراز هویت کاربران، ذخیره‌سازی فایل
• OneSignal (OneSignal Inc.، آمریکا): ارسال اعلان‌ها. توکن دستگاه و شناسهٔ کاربری‌ات را دریافت می‌کند
• Mixpanel (Mixpanel Inc.، آمریکا): تحلیل و ردیابی رویدادها. داده‌های استفادهٔ ناشناس را دریافت می‌کند
• Sentry (Functional Software Inc.، آمریکا): گزارش خرابی و پایش خطا. داده‌های دستگاه و خطا را دریافت می‌کند
• Twilio (Twilio Inc.، آمریکا): تأیید پیامکی. شماره تلفنت را دریافت می‌کند
• Google Places API (Google LLC، آمریکا): تکمیل خودکار نشانی و شهر. عبارت‌های جستجو را دریافت می‌کند
• Firebase Cloud Messaging (Google LLC، آمریکا): زیرساخت اعلان‌ها در Android

ج) با مقامات:

• وقتی قانون، حکم دادگاه یا مقررات دولتی ایجاب کند
• برای حفاظت از امنیت کاربران ما یا عموم
• برای حفاظت از حقوق قانونی ما

همهٔ ارائه‌دهندگان خدمات به‌موجب قرارداد متعهدند داده‌هایت را فقط از طرف ما و مطابق این سیاست و قانون حفاظت از داده پردازش کنند.

۶. انتقال بین‌المللی داده

برخی ارائه‌دهندگان خدمات ما در ایالات متحده مستقرند. وقتی داده‌هایت به خارج از منطقهٔ اقتصادی اروپا (EEA) منتقل می‌شود، حفاظت کافی را از این راه‌ها تضمین می‌کنیم:

• بندهای قراردادی استاندارد اتحادیهٔ اروپا (SCCs) که با هر ارائه‌دهنده توافق شده
• گواهی ارائه‌دهنده تحت چارچوب‌های حفاظت از دادهٔ مربوط

با استفاده از MysMatch می‌پذیری که بخشی از پردازش داده‌ها با این تضمین‌ها خارج از EEA انجام می‌شود.

۷. مدت نگهداری داده

داده‌های شخصی‌ات را به این شکل نگه می‌داریم:

• حساب‌های فعال: تا زمانی که حسابت فعال است، داده‌هایت نگه داشته می‌شود
• حساب‌های حذف‌شده: پس از حذف حساب، داده‌هایت را ۳۰ روز نگه می‌داریم تا امکان بازگردانی باشد. پس از آن، پروفایلت به «حساب حذف‌شده» ناشناس می‌شود و اطلاعات ورودت (ایمیل، تلفن) برای همیشه حذف می‌شود
• پیام‌هایی که فرستاده‌ای: حتی پس از ناشناس شدن حسابت نگه داشته می‌شوند تا تاریخچهٔ گفتگوی طرف مقابل کامل بماند؛ برای او از طرف «حساب حذف‌شده» نمایش داده می‌شوند. محتوای پیام‌ها همراه با حساب حذف نمی‌شود
• حذف یک گفتگو در اپ آن را فقط از دید خودت پنهان می‌کند (بخش ۵ را ببین) — پیام‌ها برای طرف مقابل قابل مشاهده می‌مانند. گفتگویی که هر دو طرف حذف کرده‌اند، ۳۰ روز بعد برای همیشه پاک می‌شود
• نگهداری برای امنیت: اگر پیام، گفتگو یا پروفایلی به یک گزارش یا مسدودسازی مربوط باشد، آن را از زمان آن گزارش یا مسدودسازی ۶۰ روز به‌طور کامل نگه می‌داریم تا آزار، قلدری یا سوءاستفادهٔ دیگر را بررسی و پیگیری کنیم و برای طرح، اعمال یا دفاع از دعاوی حقوقی (مادهٔ ۱۷(۳) GDPR). پس از این مدت قواعد استاندارد بالا اعمال می‌شود
• درخواست‌های کار و رزومه‌ها: تا زمانی که درخواست وجود دارد نگه داشته می‌شوند. رزومه‌ات وقتی درخواست را پس بگیری، وقتی سازمان آگهی را حذف کند یا ۳۰ روز پس از حذف حسابت، برای همیشه حذف می‌شود
• صفحه‌های سازمانی: صفحه، رویدادها، آگهی‌های کار و تخفیف‌های یک سازمان همراه با حساب مالک، ۳۰ روز پس از حذف آن توسط مالک، برای همیشه حذف می‌شوند
• گزارش‌های خرابی: ۹۰ روز نگه داشته و سپس خودکار حذف می‌شوند
• داده‌های تحلیلی: ۱۲ ماه به شکل قابل شناسایی نگه داشته و سپس تجمیع و ناشناس می‌شوند
• نگهداری قانونی: اگر قانون یا رسیدگی قضایی در جریان ایجاب کند، داده‌ها ممکن است بیشتر نگه داشته شوند

۸. حقوق تو طبق GDPR

به‌عنوان کاربری در EEA، طبق مقررات عمومی حفاظت از داده این حقوق را داری:

• حق دسترسی (مادهٔ ۱۵): درخواست نسخه‌ای از همهٔ داده‌های شخصی‌ای که از تو نگه می‌داریم
• حق اصلاح (مادهٔ ۱۶): اصلاح داده‌های نادرست یا ناقص از طریق تنظیمات پروفایل یا تماس با ما
• حق پاک‌سازی (مادهٔ ۱۷): حذف حساب و همهٔ داده‌های مرتبط مستقیم از اپ (Profile → Ownership → حسابت → Delete my account)، با رعایت نگهداری توصیف‌شده در بخش ۷ — www.mysmatch.com/delete-account را ببین
• حق محدودسازی پردازش (مادهٔ ۱۸): درخواست اینکه استفاده از داده‌هایت را محدود کنیم
• حق انتقال‌پذیری داده (مادهٔ ۲۰): دریافت داده‌هایت در قالبی ساختاریافته و ماشین‌خوان
• حق اعتراض (مادهٔ ۲۱): اعتراض به پردازش بر مبنای منافع مشروع
• حق پس گرفتن رضایت (مادهٔ ۷(۳)): پس گرفتن رضایت برای تحلیل، اعلان‌ها یا موقعیت مکانی در هر زمان از طریق تنظیمات دستگاه یا تماس با ما. پس گرفتن رضایت بر قانونی بودن پردازش‌های قبلی اثری ندارد

برای اعمال هر یک از این حقوق با contact@mys-match.com تماس بگیر. ظرف ۳۰ روز پاسخ می‌دهیم.

اگر فکر می‌کنی حقوق حفاظت از داده‌ات نقض شده، حق داری به مرجع نظارتی حفاظت از دادهٔ محل خود شکایت کنی. در آلمان این مرجع، نهاد حفاظت از دادهٔ ایالت تو (Landesdatenschutzbeauftragter) است.

۹. امنیت داده

ما تدابیر فنی و سازمانی مناسبی برای حفاظت از داده‌های شخصی‌ات به کار می‌بریم، از جمله:

• همهٔ داده‌های میان دستگاهت و سرورهای ما با TLS/HTTPS رمزنگاری می‌شوند
• رمزهای عبور هش می‌شوند و هرگز به‌صورت متن ساده ذخیره نمی‌شوند
• سیاست‌های امنیت سطح ردیف (RLS) در پایگاه داده تضمین می‌کنند هر کاربر فقط به داده‌های خودش دسترسی داشته باشد
• احراز هویت امن مبتنی بر توکن با انقضای خودکار نشست
• احراز هویت بیومتریک اختیاری (Face ID، اثر انگشت) یا قفل رمز در اپ
• بازبینی‌های امنیتی منظم سیاست‌ها، توابع و کنترل‌های دسترسی پایگاه داده
• دسترسی ارائه‌دهندگان خدمات به حداقل لازم برای کارشان محدود است

هیچ سیستمی ۱۰۰٪ امن نیست. اگر از آسیب‌پذیری امنیتی‌ای باخبر شدی، لطفاً فوراً به contact@mys-match.com گزارش بده.

۱۰. کوکی‌ها و فناوری‌های ردیابی

اپ موبایل MysMatch از کوکی مرورگر استفاده نمی‌کند. با این حال از این فناوری‌ها استفاده می‌کنیم:

• Mixpanel SDK: از حافظهٔ محلی برای ثبت رویدادهای استفادهٔ ناشناس و داده‌های نشست استفاده می‌کند. می‌توانی از طریق App Tracking Transparency در iOS یا تماس با ما انصراف دهی
• OneSignal SDK: یک توکن دستگاه برای ارسال اعلان ذخیره می‌کند. می‌توانی اعلان‌ها را در تنظیمات دستگاه خاموش کنی
• Sentry SDK: داده‌های خرابی را خودکار جمع‌آوری می‌کند. مبنای آن منافع مشروع ما در پایداری اپ است

در وب‌سایت ما (www.mysmatch.com) از کوکی یا اسکریپت‌های ردیابی اشخاص ثالث استفاده نمی‌کنیم.

۱۱. شرط سنی

MysMatch برای دانشجویان طراحی شده است. برای ساختن حساب و استفاده از خدمت باید دست‌کم ۱۶ سال داشته باشی، مطابق مادهٔ ۸ GDPR آن‌گونه که در قانون آلمان اجرا شده (§ 8 TTDSG).

ما آگاهانه از افراد زیر ۱۶ سال داده‌ای جمع‌آوری نمی‌کنیم. اگر بفهمیم از کاربری زیر ۱۶ سال داده گرفته‌ایم، حساب و داده‌های مرتبط را فوراً حذف می‌کنیم. اگر فکر می‌کنی فردی زیر ۱۶ سال از MysMatch استفاده می‌کند، با contact@mys-match.com تماس بگیر.

۱۲. حذف حساب

می‌توانی حساب MysMatch خود را از دو راه حذف کنی (راهنمای گام‌به‌گام: www.mysmatch.com/delete-account):

الف) در اپ:

به Profile → Ownership برو، روی کارت حسابت بزن و سپس Delete my account را بزن. حسابت فوراً غیرفعال و پس از مهلت ۳۰ روزه برای همیشه حذف می‌شود. ورود دوباره در این ۳۰ روز حذف را لغو می‌کند.

ب) با ایمیل:

از ایمیل مرتبط با حسابت یک درخواست حذف به contact@mys-match.com بفرست. ظرف ۳۰ روز به درخواستت رسیدگی می‌کنیم.

چه چیزهایی حذف می‌شود:

• اطلاعات پروفایلت (نام، عکس‌ها، دانشگاه، رشته، ترم، معرفی، ترجیحات)؛ پروفایلت به «حساب حذف‌شده» ناشناس می‌شود
• اطلاعات ورودت (ایمیل و شماره تلفن)
• ثبت‌نام‌هایت در رویدادها و اسناد بارگذاری‌شده برای رویدادها
• درخواست‌های کار و رزومه‌های بارگذاری‌شده‌ات
• اگر مالک یک سازمان هستی: صفحه، رویدادها، آگهی‌های کار و تخفیف‌های آن

چه چیزهایی ممکن است نگه داشته شود (بخش ۷ را ببین):

• پیام‌هایی که فرستاده‌ای، تا گفتگوی طرف مقابل کامل بماند؛ از طرف «حساب حذف‌شده» نمایش داده می‌شوند
• پیام‌ها، گفتگوها یا پروفایل‌های مرتبط با یک گزارش یا مسدودسازی، به مدت ۶۰ روز از آن گزارش یا مسدودسازی (امنیت و دعاوی حقوقی، مادهٔ ۱۷(۳) GDPR)
• گزارش‌های خرابی (تا ۹۰ روز) و داده‌های تحلیلی (ناشناس‌شده پس از ۱۲ ماه)
• داده‌هایی که طبق قانون باید نگه داشته شوند

۱۳. تغییرات این سیاست

ممکن است هر از گاهی این سیاست را به‌روز کنیم تا تغییرات در رویه‌ها، فناوری‌ها، الزامات قانونی یا عوامل دیگر را منعکس کند.

برای تغییرات مهم، از این راه‌ها به تو اطلاع می‌دهیم:

• یک اعلان در اپ
• ایمیلی به نشانی مرتبط با حسابت

تاریخ «آخرین به‌روزرسانی» در بالای صفحه نشان می‌دهد سیاست آخرین بار کی بازبینی شده است. ادامهٔ استفاده از MysMatch پس از تاریخ اجرای تغییرات به معنای پذیرش نسخهٔ بازبینی‌شده است. اگر با تغییرات موافق نیستی، می‌توانی حسابت را حذف کنی.

۱۴. تماس با ما

اگر دربارهٔ این سیاست یا نحوهٔ رفتار ما با داده‌ها سؤال، نگرانی یا درخواستی داری، با ما تماس بگیر:

تلاش می‌کنیم به همهٔ درخواست‌ها ظرف ۳۰ روز پاسخ دهیم.