القانون ‎09-08 والتجارة الإلكترونية: المعطيات الشخصية لزبنائكم في الدفع الإلكتروني

القانون ‎09-08 والتجارة الإلكترونية: بيانات زبنائكم — الاسم، والبريد الإلكتروني، والهاتف، وسجل المشتريات — معطيات ذات طابع شخصي بمفهوم القانون ‎09-08، واللجنة الوطنية لمراقبة حماية المعطيات ذات الطابع الشخصي (CNDP) هي سلطة المراقبة. والدفع الإلكتروني يُمرّر بعضها: ما ترسلونه لإنشاء جلسة أو رابط، وما يشترطه الاشتراك. وهناك معطى واحد لا تتلقونه أبدًا: رقم البطاقة. يجرد هذا الدليل، حقلًا حقلًا، ما يمرّ في الأداء، ثم يقدّم العادات الصحيحة — metadata بلا معطيات حساسة، وتسميات محايدة، وصلاحيات حسب الأدوار — والأسئلة التي تطرحونها على مستشاركم.

القانون ‎09-08 والتجارة الإلكترونية: عن أي معطيات نتحدث؟

بيانات زبنائكم — الاسم، والبريد الإلكتروني، والهاتف، وسجل المشتريات — معطيات ذات طابع شخصي بمفهوم القانون ‎09-08، واللجنة الوطنية لمراقبة حماية المعطيات ذات الطابع الشخصي (CNDP) هي سلطة المراقبة. وتعرض اللجنة على موقعها القانون والإجراءات التي يؤطّرها؛ وهو المصدر الرسمي الذي يُرجع إليه، ولا نفصّل هنا الالتزامات ولا الإجراءات المترتبة عليه.

وبالنسبة إلى متجر إلكتروني، ليست هذه المعطيات أمرًا مجردًا: فهي موجودة في ملف الزبون، وسجل الطلبيات، ومحادثات واتساب، والملفات المصدَّرة التي ترسلونها إلى محاسبكم. والأداء ليس سوى جزء منها، لكنه جزء حساس، لأنه يربط هوية بشراء وبمبلغ.

ChariPay منصة دفع مغربية، مزوّد خدمات دفع (PSP) تشغّله Chari Money، مؤسسة أداء مرخَّصة من بنك المغرب؛ وتُعالَج المعطيات الشخصية في إطار القانون ‎09-08. وما تقوم به المنصة لحمايتها موصوف في صفحة الأمان والامتثال. أما هذا الدليل فيتناول النصف الآخر: ما ترسلونه أنتم، بصفتكم تجارًا، وما تتلقونه وما تحتفظون به.

ما يمرّ في الأداء، منتجًا منتجًا

كل طريقة استخلاص تُمرّر مجموعة مختلفة من معطيات الزبون. ويعرضها الجدول التالي كما تحدّدها API:

ثلاث قراءات عملية لهذا الجدول. بالنسبة إلى الجلسة، الحقول الأربعة للزبون مطلوبة: خطّطوا لها في مسار الطلب لديكم، ولا تضعوا فيها إلا ما أعطاكم إياه الزبون. وبالنسبة إلى الرابط، حقول الزبون اختيارية: إن لم تكونوا في حاجة إليها فلا تملؤوها، فكلما قلّت المعطيات المرسَلة قلّت المعطيات التي يجب حمايتها. وبالنسبة إلى الاشتراك، البريد الإلكتروني ضروري، لأنه العنوان الذي يُرسَل إليه رابط الدفع عند كل استحقاق والتذكيرات؛ أما البطاقة فيُدخلها الزبون في الصفحة المستضافة، عند كل أداء، مع ‎3-D Secure.

ولمعرفة ما ترسلونه بالضبط، شاهدوه بأنفسكم: ابدؤوا في وضع الاختبار. ثلاثة حقول (الاسم، والبريد الإلكتروني المهني، والمؤسسة)، ورابط تفعيل يصلكم بالبريد لاختيار كلمة المرور، ثم بوابة التاجر حيث تنشئون مفتاح الاختبار بعد إعادة مصادقة؛ أنشئوا جلسة أو رابطًا بمعطيات وهمية وادفعوا ببطاقة الاختبار، دون أي مال حقيقي. الأمر مجاني، بلا حد زمني ودون موافقة تنتظرونها: والتحقق من مؤسستكم (KYB) لا يشترطه إلا الانتقال إلى الإنتاج.

ما لا تتلقونه أبدًا: أرقام البطاقات

هناك معطى لا يتضمنه هذا الجدول. يُدخل زبونكم بطاقته في صفحة الدفع المستضافة، داخل نطاق حاصل على شهادة PCI DSS المستوى 1: لا ترون أبدًا رقم بطاقة، ويُختصر استبيان التقييم الذاتي الخاص بكم تبعًا لذلك — وهو ما يُؤكَّد مع مستشاركم أو جهة الاقتناء لديكم. ومن جهة المنصة، أرقام البطاقات لا تُكتب أبدًا في قاعدة البيانات.

والنتيجة بالنسبة إليكم ملموسة: لا سبب لأن تحتوي قاعدة زبنائكم أو ملفاتكم المصدَّرة أو رسائلكم على رقم بطاقة. وإن ظهر رقم — زبون أرسله عبر واتساب مثلًا — فهو خطأ يُصحَّح، لا معطى يُحتفظ به. وبيانات البطاقات تخضع لإطار خاص بها، هو معيار PCI DSS، الذي نتناوله في معيار PCI DSS للتجار.

metadata: معرّف، لا معطى حساس أبدًا

يتيح لكم حقل metadata إرفاق معلوماتكم الخاصة بجلسة أو رابط أو منتج أو اشتراك. وهو كائن مسطّح — نصوص وأرقام وقيم منطقية، دون كائن متداخل ولا مصفوفة — لا يتجاوز 4 كيلوبايت، ويعود كما هو في عمليات القراءة وفي ويب هوك الأداء. ولهذا بالذات يجب ملؤه بعناية: فكل ما تضعونه فيه يعود إلى خوادمكم وسجلاتكم التقنية ونقاط استقبال الويب هوك لديكم.

والممارسة الجيدة أن تضعوا فيه معرّفًا، ولا شيء غير المعرّف:

{
  "metadata": { "cartId": "c_987", "source": "web" }
}

فمعرّف السلة يكفي للعثور على كل الباقي في نظامكم الخاص، حيث تتحكمون في الوصول. ولا تضعوا فيه أبدًا اسمًا، ولا عنوانًا، ولا رقم بطاقة التعريف الوطنية، ولا معلومة صحية، ولا سببًا شخصيًا: فلا مكان لهذه المعلومات في حقل يسافر مع كل حدث. وطريقة العثور على الطلبية انطلاقًا من معرّفاتها مفصَّلة في ربط الأداء بالطلبية.

تسميات محايدة

والحذر نفسه يسري على النصوص الحرة. فرابط الدفع مبلغ ووصف؛ والجلسة تحمل orderId الخاص بكم، أي مرجعكم التجاري. وليس أيٌّ منهما مكانًا لتشخيص طبي أو سبب شخصي أو رقم هوية: فالوصف يسافر مع الرابط، الذي يُشارَك عبر واتساب أو بالبريد الإلكتروني، والمرجع وُضع للمطابقة لا للوصف.

بعض الأمثلة من أنشطة مغربية:

والمبدأ بسيط: التسمية تقول ما الأمر دون أن تقول من الشخص، وتبقى التفاصيل في ملفكم الخاص، خلف صلاحيات الوصول لديكم. ومسار الأداء لثلاثة من هذه الأنشطة مفصّل في الدفع الإلكتروني للعيادات، وأداء رسوم التمدرس عبر الإنترنت، واستخلاص الكراء عبر الإنترنت.

من يرى ماذا: الأدوار والملفات المصدَّرة

في بوابة التاجر، لا يرى الجميع كل شيء. تفصل أدوار بوابة التاجر بين الاطّلاع والفعل: يقرأ المحاسب كل شيء دون أن يُطلق أي عملية، ويستخلص أمين الصندوق دون أن يرى الرصيد أو التحويلات. وتوزيع الأدوار مفصَّل في أدوار بوابة التاجر وصلاحياتها.

ومن جهة المنصة، تُكمل حمايتان هذه الأدوار: إخفاء المعطيات الحساسة في السجلات، وتصدير المعطيات الشخصية المضبوط بصرامة. أما من جهتكم، فالقاعدة هي أدنى قدر من الصلاحيات:

1. 1أعطوا كل شخص أضيق دور يكفيه: فأمين الصندوق لا يحتاج إلى دور المحاسب.
2. 2احصروا دور المحاسب فيمن يجب أن يقرأ السجل الكامل، بما في ذلك مكتب محاسبة خارجي إن كان لديكم.
3. 3عاملوا ملفات CSV المصدَّرة معاملة ملفات الزبناء: أين تُحفظ، ومن يتلقاها، ومتى تحذفونها؟
4. 4اسحبوا صلاحيات من يغادر المؤسسة، في اليوم نفسه.

إخبار زبنائكم

من مصلحة زبنائكم أن يعرفوا من يعالج أداءهم. قولوا ذلك ببساطة على موقعكم، في شروط البيع مثلًا أو في صفحة الطلب، بالوقائع كما هي:

تُعالَج الأداءات بالبطاقة عبر ChariPay، منصة دفع مغربية، مزوّد خدمات دفع (PSP) تشغّله Chari Money، مؤسسة أداء مرخَّصة من بنك المغرب. تُدخلون بطاقتكم في صفحة دفع مستضافة: ولا نرى نحن أبدًا رقم بطاقتكم.

وهوية الجهة التي تشغّل ChariPay واردة في الإشعارات القانونية. أما سياسة الخصوصية الخاصة بكم فلا تُكتب انطلاقًا من مقال مدونة: فهي تتوقف على معالجاتكم ومقدّمي خدماتكم وممارساتكم، ومستشاركم هو من يستطيع مساعدتكم على صياغتها.

أسئلة حول معطيات زبنائكم تطرحونها على مستشاركم

لا نفصّل أي التزام بموجب القانون ‎09-08: فاللجنة الوطنية CNDP هي سلطة المراقبة، ووضعيتكم خاصة بكم. إليكم الأسئلة التي تُحضَّر، دون جواب جاهز:

1. 1ما الإجراءات التي عليّ القيام بها لدى اللجنة الوطنية CNDP بشأن ملفات زبنائي؟
2. 2كيف أُخبر زبنائي، وفي أي مكان من موقعي أو من مسار الطلب؟
3. 3كم من الوقت أحتفظ بملفاتي الخاصة: الطلبيات، والملفات المصدَّرة، والمحادثات؟
4. 4ما المعطيات التي يمكنني إسنادها إلى مقدّمي خدماتي — الأداء، والتسليم، والاستضافة، والمراسلة — وفي أي إطار؟
5. 5بماذا أجيب زبونًا يسأل عن المعطيات التي أحتفظ بها عنه؟

وفي كل واحد من هذه الأسئلة، مستشاركم وحده من يستطيع إبداء الرأي: هذا المقال ليس استشارة قانونية.

أسئلة شائعة

هل يسري القانون ‎09-08 على معطيات متجر إلكتروني؟

بيانات زبنائكم — الاسم، والبريد الإلكتروني، والهاتف، وسجل المشتريات — معطيات ذات طابع شخصي بمفهوم القانون ‎09-08، واللجنة الوطنية لمراقبة حماية المعطيات ذات الطابع الشخصي (CNDP) هي سلطة المراقبة. والمتجر الإلكتروني يجمعها مع كل طلبية. ولمعرفة ما يعنيه ذلك بدقة لنشاطكم، مستشاركم وحده من يستطيع إبداء الرأي.

من يراقب تطبيق القانون ‎09-08؟

اللجنة الوطنية لمراقبة حماية المعطيات ذات الطابع الشخصي (CNDP): إنها سلطة المراقبة للقانون ‎09-08. ويعرض موقعها، cndp.ma، القانون والإجراءات التي يؤطّرها؛ وهو المصدر الرسمي الذي يُرجع إليه. ولا نفصّل الالتزامات المترتبة عليه: ففي ما يخص نشاطكم، مستشاركم وحده من يستطيع إبداء الرأي.

ما معطيات الزبون المطلوبة لإنشاء جلسة دفع؟

أربعة حقول مطلوبة في config.customer: email وfirstName وlastName وphone، بالصيغة الدولية (مثلًا +212600000000). ترسلونها من جهة الخادم عند إنشاء الجلسة. أما البطاقة فيُدخلها الزبون في صفحة الدفع المستضافة: لا ترون أبدًا رقم بطاقة. ولا تضيفوا معطيات شخصية أخرى في مكان آخر من الطلب.

هل يمكنني وضع اسم زبوني أو عنوانه في metadata؟

تجنّبوا ذلك. فـmetadata تعود كما هي في عمليات القراءة وفي ويب هوك الأداء: وكل ما تضعونه فيها يعود إلى خوادمكم وسجلاتكم مع كل حدث. ضعوا فيها معرّفًا، كرقم السلة مثلًا، واحتفظوا بالاسم والعنوان وكل معلومة حساسة في نظامكم الخاص، خلف صلاحيات الوصول لديكم.

ما المعطيات التي يحتفظ بها الاشتراك؟

سجلّ الزبون — اسمه، وهو مطلوب، وبريده الإلكتروني، وهو ضروري لأنه العنوان الذي تُرسَل إليه روابط الدفع عند كل استحقاق والتذكيرات، وهاتفه إن أدخلتموه —، ثم، بالنسبة إلى الاشتراك نفسه، المبلغ والوصف والدورية وmetadata الخاصة بكم ولائحة الاستحقاقات المنشأة، كلٌّ برابطه وحالته. وعند كل استحقاق، يُدخل الزبون بطاقته في الصفحة المستضافة، مع ‎3-D Secure: ولا ترون أبدًا رقمها.

هل يستطيع محاسبي رؤية معطيات زبنائي؟

نعم. دور المحاسب يقرأ كل شيء — المعاملات، والروابط، والاسترداد، والتحويلات، والرصيد — ويصدّر، دون أن يُطلق أي عملية. احصروه في الأشخاص الذين يحتاجون إليه، بما في ذلك مكتب خارجي، وأعطوا الآخرين أضيق دور يكفيهم، وعاملوا ملفات CSV التي يصدّرها معاملة ملفات الزبناء.

ماذا أقول لزبنائي عن طريقة معالجة أدائهم؟

قولوا من يعالج الأداء وأين تُدخل البطاقة: تُعالَج الأداءات بالبطاقة عبر ChariPay، منصة دفع مغربية، مزوّد خدمات دفع (PSP) تشغّله Chari Money، مؤسسة أداء مرخَّصة من بنك المغرب، وتُدخل البطاقة في صفحة مستضافة دون أن تروا رقمها. أما سياسة الخصوصية فتُكتب مع مستشاركم.

الخطوة التالية

تحقّقوا بأنفسكم مما يرسله كل منتج: ابدؤوا في وضع الاختبار، وأنشئوا جلسة ورابطًا بمعطيات وهمية، ونقّوا metadata لتحتفظوا فيها بالمعرّفات وحدها. ثم اعرضوا أسئلتكم على مستشاركم. ولإطار بيانات البطاقات، اقرؤوا معيار PCI DSS للتجار.

Sources

• CNDP — اللجنة الوطنية لمراقبة حماية المعطيات ذات الطابع الشخصي — اطُّلع عليه في 2 أكتوبر 2026