سياسة الخصوصية

Digital Services LLC تُشغّل ForestVPN. تغطي هذه السياسة تطبيقات ForestVPN لـiPhone وiPad وMac وApple TV، ولهواتف Android وأجهزتها اللوحية، ولAndroid TV، وتطبيقات سطح المكتب لـWindows وLinux، وعميل سطر الأوامر على Linux وتطبيق الراوتر، والخوادم التي تنقل حركة بياناتك، وهذا الموقع.

التزامنا

لا تبيع ForestVPN، ولا تستخدم، ولا تفصح لأي طرف ثالث عن البيانات الموصوفة في هذه السياسة، لأي غرض، إلا بقدر ما هو ضروري بشكل صارم لتشغيل الخدمة — أي Apple أو Google للدفع، ومزوّدو البنية التحتية المذكورون أدناه، ويعمل كل منهم بصفته معالجًا فقط بموجب تعليماتنا وبعقد. لا نُشغّل إعلانات، ولا نُنشئ ملفًا تعريفيًا عنك، ولا نشارك أي شيء مع سماسرة بيانات أو مزوّدي تحليلات أو شبكات إسناد. لا وجود لأي منها في التطبيق. استثناء واحد ليس معالجًا لدينا: عندما يفشل DNS الخاص بشبكتك أو يتعذر الوصول إلى خوادمنا على العناوين التي أعطاها، قد يسأل التطبيق مُحلّل DNS عامًا (Cloudflare أو Google أو Quad9) عن عناوين خوادمنا نحن، ويرى ذلك المُحلّل عنوان IP الخاص بك بموجب سياسة الخصوصية الخاصة به. راجع ما يحدث عند اتصالك.

لا يحتوي التطبيق على أي حزمة تحليلات (SDK)، ولا حزمة إسناد، ولا معرّف إعلاني، على أي منصة. على منصات Apple يُذكر هذا في بيان الخصوصية (privacy manifest) الخاص بالتطبيق، الذي يُعلن عدم وجود أي تتبع ولا نطاقات تتبع. ويُعلن عشرة أنواع من البيانات. تسعة منها مُصنَّفة بأنها مرتبطة بهويتك: معرّف المستخدم، ومعرّف الجهاز (اسم مستعار يُضمّ إلى حسابك متى ربطتَ حسابًا)، وسجل الشراء، والموقع التقريبي، ومحتوى دعم العملاء، ومحتوى مستخدم آخر، وبيانات التشخيص، وبيانات الأداء، وبيانات استخدام أخرى. ونوع واحد، هو التفاعل مع المنتج، غير مرتبط: يحصي مساعد الدعم الشاشة التي فُتح منها، وما إذا اخترتَ مشاركة التشخيص، وما إذا كان جوابه قد حلّ المشكلة، دون أي وسم لجهاز أو حساب. ولا يقبل نموذج Apple إلا إجابة واحدة لكل نوع من البيانات، لذا صُنّفت بيانات التشخيص والموقع التقريبي على أنها مرتبطة لأن التقرير الذي تختار إرساله وعدّادات إصدار بيانات الاعتماد كذلك، حتى وإن لم تكن تقارير المسار كذلك. وتُستخدم تسعة أنواع لوظائف التطبيق، وثمانية منها أيضًا لعدّاداتنا التشغيلية الخاصة الموصوفة في قسم التحليلات. على Android لا يطلب التطبيق أبدًا معرّف الإعلانات ولا يضيف أي حزمة تحليلات أو إسناد أو تبليغ عن أعطال خاصة به. المكتبة الوحيدة من طرف ثالث التي تصل إلى Google هي Google Play Billing Library، التي تفرضها Google للمشتريات داخل التطبيق وتعمل بموجب سياسة خصوصية Google نفسها.

ما لا نملكه أبدًا

• تصفّحك. لا يوجد عمود في أي مكان في أنظمتنا للمواقع التي تزورها، أو الأسماء التي تبحث عنها، أو العناوين التي تتصل بها. ليست فترة احتفاظ قصيرة — لا وجود لمثل هذا العمود أصلًا.
• هويتك. لا يوجد عنوان بريد إلكتروني، ولا كلمة مرور، ولا رقم هاتف، ولا اسم. الحساب، إن أنشأت واحدًا، هو رقم عشوائي من 128 بت. جدول الحسابات لا يحتوي على أي حقل تواصل من أي نوع.
• بطاقتك. يتم الدفع عند Apple أو Google، أو — إن اشتريت عبر الويب — عند المعالج الذي تختاره: Stripe أو CloudPayments أو NOWPayments. تمنحنا Apple إيصالًا موقَّعًا ورمزًا مشتقًا من الجهاز؛ وبالنسبة لشراء عبر Google Play، نتحقق من رمز الشراء الذي يرسله التطبيق — إلى جانب رمز مشتق من الجهاز مرفق بالشراء — مباشرة مقابل خوادم Google نفسها، دون الاكتفاء بكلام التطبيق وحده. يمنحنا شراء عبر الويب رقمًا مرجعيًا لمرة واحدة نولّده نحن بأنفسنا، لا بطاقتك أبدًا. في الحالتين لا نرى رقم بطاقة أبدًا، وبالنسبة لدفعة بعملة مشفَّرة فإن المعالج هو الطرف الوحيد الذي يرى أي شيء على الإطلاق. راجع الدفع بالبطاقة أو بالعملة المشفَّرة.
• أذونات إضافية على Android. يطلب التطبيق شيئين وقت التشغيل: مربع حوار موافقة اتصال VPN الخاص بالنظام نفسه، وعلى Android 13 وما بعده، إذن عرض الإشعارات — يُطلب مرة واحدة، في أول مرة تتصل فيها، لا عند أول تشغيل — ويغطي حالة الاتصال الجارية، وتحذيرات عندما تنخفض حصة بياناتك أو تنتهي، ومشكلات الاتصال. لا يطلب موقعك ولا جهات اتصالك. إذنان إضافيان يُعلنهما التطبيق يبقيان كليًا على الجهاز ولا يُرسلان إلينا أبدًا: قراءة قائمة التطبيقات المثبَّتة، من أجل شاشة تقسيم النفق (split-tunnelling) التي تستثني تطبيقات مختارة من النفق، وطلب بصمة النظام أو الوجه أو قفل الشاشة، لحجب إظهار رقم حسابك على الشاشة.

ما يعيش على جهازك

مفتاح الجهاز (machine key)

عند أول تشغيل يُنشئ التطبيق زوج مفاتيح يبقى على الجهاز: في سلسلة مفاتيح النظام (keychain) على منصات Apple؛ وعلى Android، في التخزين الخاص بالتطبيق، مشفَّرًا بمفتاح محفوظ في Android Keystore. يُعلَّم بحيث لا يغادر ذلك الجهاز أبدًا — لا إلى أجهزتك الأخرى، ولا إلى iCloud، وعلى Android لا إلى أي نسخة احتياطية أو نقل بين الأجهزة أيضًا. ليس معرّفًا إعلانيًا ولا يُشارَك مع أحد. نحتفظ بتجزئة (hash) لنصفه العلني، وهو ما يُستخدم للتعرف على الجهاز عبر عمليات التشغيل.

على منصات Apple هو دائم. لا يُدوَّر أبدًا، ويبقى بعد حذف التطبيق. إعادة التثبيت هناك لا تمنحك هوية جديدة — يقدّم التطبيق المُعاد تثبيته المفتاح نفسه ويُعرَف بأنه الجهاز نفسه. هذا مقصود: فهو ما يمنع جهازًا واحدًا من ادّعاء عدد غير محدود من الحصص المجانية، ويعني أن إلغاء التثبيت ليس إعادة ضبط هناك، وهو ما ينبغي أن تعرفه قبل أن تُثبِّت. على Android لا ينجو المفتاح من إلغاء تثبيت التطبيق أو مسح تخزينه. تُنشئ إعادة التثبيت مفتاحًا جديدًا ويُسجَّل كجهاز جديد، ويبقى سجل الجهاز القديم من جهتنا، يتيمًا، بموجب مدة الاحتفاظ المذكورة في الجدول أدناه. يستبدل التطبيق أيضًا مفتاحه مرة واحدة، في مكانه، إن أبلغت خوادمنا يومًا أن القديم غير معروف.

مفتاح الجلسة

تحمل كل تذكرة مفتاح جلستها الخاص، يُولَّد على الجهاز عند إصدار التذكرة، قبل أي محاولة اتصال. يُحفظ، مشفَّرًا، في التخزين المحلي الخاص بالمنصة — سلسلة مفاتيح النظام على منصات Apple، والتخزين الخاص بالتطبيق على Android — إلى أن تُستخدم التذكرة أو تنتهي صلاحيتها، وقد تشارك تذكرة احتياطية مصكوكة للاتصال نفسه مفتاح التذكرة التي تدعمها. لا يغادر الجهاز أبدًا إلا كنصفه العلني.

الحسابات والاشتراكات والحصص

تصدر خدمة واحدة بيانات اعتماد الاتصال وتحتفظ بالسجلات التي يحتاجها الاشتراك. تحمل:

صف ربط التذكرة أعلاه هو الاستثناء الوحيد، ونذكره هنا بدلًا من حذفه من الجدول: فطالما هو موجود فإنه يسمّي جهازك والجلسة التي ينتمي إليها معًا، وهذا ما يتيح احتساب جلسة مُسوَّاة على حصتك وقطع جهاز أُلغي تفعيله في منتصف الجلسة. يُحذف تلقائيًا، لا بناءً على طلب — بعد ساعة من تسوية الجلسة التي يسمّيها، أو عند انتهاء صلاحية التذكرة نفسها دون استخدام، أيهما أسبق. لا يحمل أي من هذه السجلات، بما فيها هذا، نقطة خروج، أو العنوان الذي اتصلت منه، أو أي مكان ذهبت إليه: فالخدمة المُصدِرة لا تعرف أيًا من ذلك أبدًا. توجد فقط عند الخدمة المنفصلة الموصوفة في [ما يحدث عند اتصالك](#session)، التي لا سبيل لها لمعرفة من أنت. صف تقرير التشخيص أعلاه محفوظ أيضًا عند خدمة ثالثة منفصلة — رفعٌ غير موقَّع لا تراه الخدمة المُصدِرة أبدًا ولا يمكنها ربطه بجهاز.

بيانات الاعتماد نفسها

للاتصال، يطلب جهازك من هذه الخدمة تذكرة. التذكرة موقَّعة توقيعًا أعمى (blind-signed): يُنتج التوقيع فوق قيمة لا نراها أبدًا، بحيث لا يمكن التعرف على التذكرة التي تقدّمها عند الاتصال كتلك التي صدرت لك. تحمل حقيقتين فقط — أي فئة وقّعتها وأي مفتاح أسبوعين (fortnight) استُخدم — ولا شيء آخر. لا تعرف الخدمة المُصدِرة أبدًا موقعًا، ولا نقطة خروج، ولا جلسة، ولا حتى ما إذا كان نفق قد قام على الإطلاق.

الدفع بالبطاقة أو بالعملة المشفَّرة

تفوتّر Apple أو Google كل اشتراك يُشترى داخل التطبيق، ولا نرى رقم بطاقة أبدًا. على منصات Apple، ترسل Apple إلينا إيصالًا موقَّعًا ورمزًا مشتقًا من الجهاز. على Android، قبل الدفع تمنح خوادمنا التطبيق رمزًا مشتقًا من مفتاح الجهاز؛ يُرفقه التطبيق بالشراء كمعرّف حساب معتّم (obfuscated) خاص بـGoogle Play، وتُعيده Google كلما تحققنا من الشراء، بحيث يمكن مطابقة الاشتراك بالجهاز الذي اشتراه — لا يحمل اسمًا ولا بريدًا إلكترونيًا ولا بطاقة. يُرسل التطبيق أيضًا رمز الشراء ومعرّف المنتج الذي تمنحه Google Play إلى خوادمنا، التي تتحقق من الشراء مباشرة مقابل واجهة برمجة تطبيقات Google نفسها بدلًا من الوثوق بكلام التطبيق؛ وتدفع إلينا Google بشكل منفصل إشعار مطوّر فوريًا (Real-Time Developer Notification) عندما يتغيّر اشتراك، ونتعامل معه كدافع لإعادة التحقق مع Google، لا كدليل بحد ذاته أبدًا. يمكن أيضًا شراء اشتراك عبر الويب، عبر معالج بطاقة — Stripe أو CloudPayments — أو معالج عملة مشفَّرة، NOWPayments، وهذا المسار مختلف بما يكفي لوصفه بمفرده.

عند إتمام الدفع عبر الويب، نصكّ رقمًا مرجعيًا لمرة واحدة بأنفسنا ونسلّمه إلى المعالج — لا رقم حسابك أبدًا. بموجب هذه السياسة رقم الحساب بيانات اعتماد؛ ووضعه في لوحة تحكم معالج الدفع أو حمولات webhook أو أدوات الدعم سيكون بمثابة نشر كلمة مرور. تنتهي صلاحية الرقم المرجعي خلال ساعة، ولا يفتح شيئًا بمفرده.

ما نحتفظ به من شراء عبر الويب: أي معالج فوترّه، ومعرّف اشتراك ذلك المعالج، والفئة، والتاريخ المدفوع حتى حلوله، وما إذا أُلغي أو أُبطل. ما لا نستلمه ولا نخزّنه أبدًا: اسمك، بريدك الإلكتروني، عنوان فوترتك، بصمة بطاقتك، أو — بالنسبة لدفعة عملة مشفَّرة — أي شيء عنك على الإطلاق. الشيفرة التي تكتب صف دفع لا تحمل حقلًا يمكن أن يخزّن أيًا من ذلك؛ وإضافة واحد ستكون تغييرًا مرئيًا ومُراجَعًا في ملف يلمسه كل من يبني مسار دفع، لا شيئًا يمكن أن يفعله خلل بصمت.

لنقلها بأوضح ما يمكن: طلب سجلات يُقدَّم إلينا ينتج فئة وتاريخ دفع حتى حلوله. الطلب نفسه يُقدَّم لمعالج الدفع فينتج شخصًا وبطاقة. هذا مقصود. إنه ثمن الدفع عبر الويب بدلًا من عبر Apple أو Google، وهو أيضًا سبب تفضيلنا أن تبقى هذه البيانات عند شركة بُنيت لحفظها على أن تبقى عندنا أيضًا.

يتم إلغاء اشتراك متجر التطبيقات في إعدادات المتجر نفسه: Settings ثم Apple ID ثم Subscriptions على منصات Apple، أو شاشة Subscriptions في تطبيق متجر Google Play على Android. يُلغى اشتراك البطاقة عبر بوابة العملاء الخاصة بالمعالج، التي تُثبت هويتك بالبريد الإلكتروني الذي تحمله — لا نحن، إذ لا نحمل أيًا منه. تشتري دفعة العملة المشفَّرة مدة محددة وتنتهي ببساطة؛ لا شيء لإلغائه.

إن فقدت رقم حسابك بعد شراء عبر الويب، يمكن للدعم أن يطلب من المعالج رد المبلغ إليك، لكن لا يمكنه استعادة الوصول — إذ لا بريد إلكتروني ولا كلمة مرور من جهتنا لإثبات أن الشراء كان لك. لا يمكن استرداد دفعة عملة مشفَّرة على الإطلاق. نُفضّل أن تقرأ هاتين الجملتين قبل الدفع لا بعده.

ما يحدث عند اتصالك

تقبل خدمة منفصلة التذكرة وتفتح الجلسة. ترى العنوان الذي تتصل منه، والموقع الذي اخترته، ومفتاح جلستك لمرة واحدة، وتحتفظ بسجل جلسة يحتوي الفئة، والحقبة (epoch)، ومفتاح تلك الجلسة، ونقطة الخروج، وعناوين نفقك، ووقت انتهاء، وميزانية بايتات. يُحذف السجل نفسه عند انتهاء صلاحية الجلسة. لا يُكتب عنوان مصدرك فيه أبدًا.

لا تملك هذه الخدمة أي ربط بقاعدة بيانات على الإطلاق. ليس لديها أي مقبض يمكن به الوصول إلى حساب أو جهاز، لذا لا يمكن لخلل في مسار الاتصال أن يكتب هويتك في سجل جلسة — إذ لا يوجد ما يكتبها به. مهمة بناء تُسمى the privacy seam holds تُفشل عملية البناء إن أُضيف هذا الربط يومًا. هذه هي خاصية الخصوصية الوحيدة هنا التي لا تعتمد على حسن تصرفنا.

قبل الاتصال يحتاج التطبيق إلى عناوين خوادمنا نحن. وهو يسأل DNS الخاص بشبكتك أولًا. وعندما يفشل ذلك أو يتأخر في الرد أو يعيد إجابة خاطئة، أو يكون قد فعل ذلك من قبل على الشبكة نفسها، أو يتعذر الوصول إلى خوادمنا على العناوين التي أعطاها، قد يسأل التطبيق أيضًا، إلى جانبه لا بدلًا منه، Cloudflare‏ (1.1.1.1) أو Google‏ (8.8.8.8) أو Quad9‏ (9.9.9.9) عبر DNS المشفّر، عن عناوين خوادمنا نحن فقط، وليس عن أي موقع تزوره. لدى كل جهة من هذه الجهات عناوين عامة أخرى قد يستخدمها التطبيق. وفي شبكة يجيب DNS فيها بسرعة وبشكل صحيح ويمكن فيها الوصول إلى خوادمنا على تلك العناوين لا يُسأل أي منها. تعرف كل جهة يسألها عنوان IP الذي يصدر منه السؤال والوقت، وأن هذا الجهاز بحث عن اسم أحد خوادمنا، ولا شيء غير ذلك: لا رقم حساب ولا بيانات اعتماد جلسة ولا أي شيء تتصفحه. لا نرسل إليها شيئًا سوى عملية البحث نفسها، وتطبّق كل منها سياسة الخصوصية الخاصة بها على ما تتلقاه. وإذا سمحنا يومًا للتطبيق بسؤال مزوّد DNS آخر، فسنذكره هنا قبل أن يفعل.

نقل اتصالك عبر CDN

على بعض الشبكات، تُحظر خوادمنا أو تُبطَّأ بحسب العنوان أو الاسم. عند حدوث ذلك، قد يستخدم التطبيق تلقائيًا شبكة توصيل محتوى (CDN) بدلًا من الاتصال بنا مباشرة. هناك مساران من هذا النوع: على خطتي Pro وPremium، قد يُرحّل التطبيق نفقك المشفَّر عبر الـCDN بدلًا من الاتصال بخادمنا مباشرة؛ وفي طلباته الخاصة إلى خدمات التحكم لدينا، مثل قائمة الخوادم الموقَّعة وتذاكر الجلسات، قد يستخدم الـCDN أيضًا. اليوم يمكن لـBunny.net نقل المسارين، أما Gcore فيمكنها نقل طلبات التطبيق الخاصة إلى خدمات التحكم لدينا فقط، لا النفق؛ وFastly موصولة بالطريقة نفسها وقد تنقل هذه الحركة مستقبلًا. هذا تلقائي ولا يُستخدم إلا عندما يحتاج اتصالك إليه. لا يُغيّر أبدًا ما نجمعه عنك: فـCDN لا ينقل سوى البايتات، بالطريقة نفسها التي ينقل بها حركة أي موقع عادي، ولا يستطيع قراءة رقم حسابك ولا بيانات اعتماد جلستك.

يُهيَّأ CDN الذي يُرحّل اتصالك للوصول إلى خادم محدد واحد من خوادمنا — نقطة خروج للنفق، وخادم ترحيل لطلبات خدمات التحكم — وبينما يمر اتصالك عبره، فإنه يرى العنوان الذي تتصل منه، واسم المضيف لنقطة الترحيل لدينا، ووقت حركة بياناتك وتوقيتها، وقراءة تقريبية للاتصال — موقعك التقريبي وبصمة كيفية إنشاء جهازك اتصال TLS، وهي إشارة يستطيع أي مُرحّل HTTPS حسابها — تمامًا كما يفعل عند ترحيل أي موقع مشفَّر آخر. لا يرى ما بداخله: فـWireGuard يُشفّر النفق من طرف إلى طرف بين جهازك ونقطة الخروج لدينا، وتُشفَّر طلبات خدمات التحكم بين التطبيق وخادم الترحيل لدينا، وينقل CDN الاثنين دون فتحهما، فلا يعرف أبدًا أيّ خدمة من خدماتنا يستهدفها الطلب. تتجاهل خوادمنا تلك القراءة التقريبية فور وصولها ولا تخزّنها أبدًا؛ وما يختلف بحسب المزوّد، أدناه، هو ما إذا كان CDN نفسه يحتفظ بسجل يربط عنوانك بالخادم الذي رحّلك إليه.

• Bunny.net ينقل هذه الحركة اليوم. نُوقف تسجيل طلباتها (request logging) في مناطقنا، بحيث لا تحتفظ Bunny بسجل يربط عنوانك بالخادم الذي وصلت إليه.
• Gcore قد تنقل طلبات التطبيق الخاصة إلى خدمات التحكم لدينا فقط، لا النفق، ولن تنقل النفق ما لم نقل ذلك هنا أولًا. بخلاف Bunny، لا يمكن إيقاف تسجيل Gcore على حسابنا: فهو يحتفظ لمدة 3 أيام بعنوان IP الذي تتصل منه واسم المضيف الذي وُجّه إليه الطلب والوقت، ويمكن لأي شخص يحمل رمز وصول على ذلك الحساب قراءته. كما تمرّر Gcore عنوان IP الخاص بك إلى خادمنا في ترويسة الطلب، ويتجاهله خادمنا فور وصوله ولا يخزّنه أبدًا. نُفصح عن هذا بدلًا من إخفائه، وسنتوقف عن الاعتماد على Gcore لهذا، أو نوقفه، في اليوم الذي تسمح لنا فيه Gcore بذلك.
• Fastly لا يحمل أيًا من حركتنا بعد. إن بدأ، سنصف هنا ما يمكنه رؤيته، تمامًا كما فعلنا مع الاثنين الآخرين، قبل أن يحمل أي شيء.

لا يستطيع أي من هؤلاء الثلاثة قراءة رقم حسابك أو بيانات اعتماد تسجيل الدخول، ولا يُمنح أي منهم وسيلة لربط الاتصال الذي يُرحّله بمن أنت من جهتنا. لتقرير ما إذا كانت شبكة ما تحتاج إلى CDN، يحتفظ التطبيق بملاحظة صغيرة على جهازك لكل شبكة اتصل منها، مودعة تحت اسم مُجزَّأ (hashed) لتلك الشبكة: ما إذا كان CDN ضروريًا هناك، واليوم الذي عرف فيه ذلك آخر مرة، وأسماء المواقع العامة التي نجحت. لا يحمل أبدًا عنوانًا أو خادمًا أو اسم شبكة صريحًا، ويُستبعد من أي تقرير تشخيص ترسله إلينا. لا يتصل التطبيق بـCDN إلا على شبكة فشل فيها الاتصال بخادمنا مباشرة، الآن أو خلال اليوم الماضي. ولكي يظل مسار Premium بتكلفة معقولة، نحسب لكل جهاز ولكل شهر تقويمي عدد البايتات التي مرّت عبره. لا نسجّل أبدًا أي خادم، ولا متى، ولا من أين.

خوادم الخروج

تُقلع خوادم الخروج من الذاكرة. لا يوجد قرص للكتابة عليه، وتُمحى الحالة عند كل إعادة تشغيل، ولا توجد أي مسارات شيفرة للتسجيل في البرمجيات التي تُشغّلها.

طالما الجلسة قائمة، تتعامل نقطة الخروج بالضرورة مع العنوان الذي تتصل منه — فهي تُنهي النفق — إلى جانب مفتاح جلسة لن تراه مجددًا أبدًا وحركة البيانات نفسها. لا تسجّل أيًا منها. ما تُبلّغ به إجمالي، ومتأخر، ومُقرَّب: بايتات لكل نظير لكل فترة، لا لكل اتصال ولا لكل وجهة أبدًا.

للحفاظ على استضافة الخوادم، قد تحدّ نقطة الخروج من معدل حركة مرور مسيئة أو ترفضها محليًا، مستخدمة فقط ما هو موجود في ذاكرة ذلك الخادم ومفتاحًا على الشبكة التي أتت منها الحركة، لا على مشترك أبدًا. لا يوجد سجل إساءة استخدام يبقى بعد الجلسة، لأن الاحتفاظ بواحد يعني حل جلسة إلى شخص.

مشاركة جهاز أو نقطة خروج

إذا دعوت شخصًا لاستخدام إحدى نقاط الخروج الخاصة بك، فسيتصل هذا الشخص بالإنترنت عبر اتصالك تمامًا كما يفعل أي ضيف في شبكتك: سترى المواقع الإلكترونية والألعاب ومزود خدمة الإنترنت لديك حركة بياناته وكأنها قادمة من اتصالك، وستظهر أنت لهم على أنك الشخص الذي يستخدمه. إذا دعوت شخصًا للوصول إلى جهاز واحد فقط، فيمكنه الوصول إلى هذا الجهاز فقط ولا شيء آخر في شبكتك.

حركة البيانات بين أجهزتك، وحركة بيانات الضيف عبر المشاركة، مشفّرة من طرف إلى طرف. عندما لا يكون الاتصال المباشر ممكنًا، تمر عبر مُرحِّل تابع لـ ForestVPN لا يمكنه قراءتها ولا يحتفظ بأي سجل لهوية الأجهزة التي تتواصل مع بعضها. وفي الشبكات التي تحظرنا، قد تمر أيضًا عبر شبكة توصيل محتوى، والتي لا ترى سوى أن بيانات مشفّرة تتدفق، تمامًا كما هو الحال مع بقية حركة بيانات ForestVPN (انظر أعلاه القسم «نقل اتصالك عبر شبكة توصيل محتوى»).

لا يوجد أي سجل لمن فعل ماذا. لا يحتفظ ForestVPN بأي سجل لما يفعله الضيف عبر المشاركة، لذا لا يمكن للمضيف ولا لنا إظهار من فعل شيئًا.

تُخزَّن المشاركة كمعرِّفيِ mesh عشوائيَّين وحالة صغيرة — لمن هي، وماذا تسمح به، ومتى تنتهي — وليس أبدًا كسجل استخدام. إنهاء المشاركة يحذفها بعد 30 يومًا. لا يزال بإمكان مزود الاستضافة لدينا، Cloudflare، استرداد هذه البيانات لمدة تصل إلى 30 يومًا إضافيًا بعد ذلك، لأغراض التعافي من الكوارث الخاصة به.

التحليلات

نحتفظ بعدّادات تشغيلية: كم بيانات اعتماد صدرت ورُفضت، ونتائج الاتصال وتوقيتاته، وإجماليات البايتات، وتجميعات لكل خادم، وأعداد يومية للأجهزة الجديدة والحسابات الجديدة والعملاء الدافعين وتغييرات الاشتراك، وعدّادات مساعد الدعم (الموضوع، ونقطة الدخول، وهل شُورك التشخيص، وهل أفاد الجواب)، ولا يحمل أي منها جهازًا أو حسابًا أو أي نص. تُكتب في مخزن تحليلات لا يقرأه أي شيء في مسار الطلب مجددًا.

يجدر قول شيئين عنه بوضوح.

• تحمل صفوف إصدار بيانات الاعتماد والتسوية علامة مستعارة الاسم لكل جهاز — تجزئة مُوَلَّدة بمفتاح لتجزئة مفتاح جهازك، لا التجزئة نفسها — إلى جانب رمز بلد ورقم مشغّل شبكة. هذه بيانات شخصية بحكم اللائحة العامة لحماية البيانات (GDPR)، لا بيانات مجهولة.
• مدة الاحتفاظ 90 يومًا ولا يمكن تغييرها، ولا توجد واجهة برمجية للحذف. لا يمكننا حذف صفوف تحليلات فرد بناءً على طلب؛ يمكننا فقط انتظار انتهاء صلاحيتها. تدوير المفتاح الذي يصنع العلامة يجعل الصفوف المقبلة يتيمة عن الصفوف الماضية؛ ولا يُزيل الصفوف الماضية، ولا يسحب ارتباطًا حدث أثناء استخدام المفتاح القديم.

لا يحمل أي صف موضوعًا (subject) ونقطة خروج معًا. مجموعات البيانات التي تحمل علامة جهاز لا تحمل خادمًا، ومجموعات البيانات التي تحمل خادمًا لا تحمل موضوعًا. تقارير المسار تجميعات لا تحمل علامة جهاز، وتُنشر على لوحاتنا فقط للأيام التي فيها 10 أجهزة على الأقل.

هذا الموقع لا يُشغّل أي تحليلات على الإطلاق. يضع ملف تعريف ارتباط وظيفيًا واحدًا (fvpn_locale) يتذكّر لغتك لمدة سنة ولا يفعل شيئًا آخر. ولا يحمّل أي نصوص برمجية من أطراف ثالثة، ولا يُضمّن شيئًا، ويستضيف خطوطه بنفسه.

من يعالج بياناتك أيضًا

يعمل كل من هؤلاء بموجب تعليماتنا، وبعقد، وهو ملزم بحماية البيانات إلى المعيار المذكور هنا على الأقل. ومُحلّلات DNS العامة استثناء: تعمل بموجب سياسات الخصوصية الخاصة بها لا سياستنا.

Cloudflare

تستضيف خدمات التحكم، وقواعد بياناتها، وهذا الموقع، وتُنهي TLS لنطاقاتنا، وتخزّن تقرير التشخيص الذي تختار إرساله إلينا، في حاوية مُفهرسة برمز الدعم فقط ومنفصلة عن أي سجل جهاز. ولأن TLS ينتهي هناك، فإن Cloudflare في موقع يتيح لها رؤية بيانات وصفية (metadata) لطلبات نطاقاتنا بصرف النظر عما تسجّله شيفرتنا الخاصة. هذا حد حقيقي ونُفضّل ذكره على الإيحاء بغيابه.

Nebius

تُشغّل نموذج اللغة خلف مساعد الدعم، في الاتحاد الأوروبي، بموجب عقد بلا أي احتفاظ بالبيانات — لا تحتفظ بمحادثتك بعد الإجابة ولا تتدرّب عليها. لا تستلم أبدًا رقم حسابك، ولا عنوان IP الخاص بك، ولا الخوادم التي تتصل بها. راجع مساعد الدعم.

Apple

تبيع وتفوتّر كل اشتراك يُشترى داخل التطبيق، وتُخبرنا أن اشتراكًا موجود. لدى Apple سياسة خصوصيتها الخاصة وعلاقتها الخاصة بك. نستلم إيصالًا موقَّعًا ورمزًا مشتقًا من الجهاز، لا رقم بطاقة أو اسمًا أو بريدًا إلكترونيًا أبدًا.

Google

تبيع وتفوتّر كل اشتراك يُشترى في تطبيق Android، وتُخبرنا أن اشتراكًا موجود. لدى Google سياسة خصوصيتها الخاصة وعلاقتها الخاصة بك. يُرسل التطبيق إلينا رمز شراء ومعرّف منتج، إلى جانب رمز مشتق من الجهاز مرفق بالشراء كمعرّف حساب معتّم خاص بـGoogle Play؛ نتحقق من كل ذلك مباشرة مقابل خوادم Google نفسها، وتدفع إلينا Google بشكل منفصل إشعار مطوّر فوريًا عندما يتغيّر اشتراك — لا رقم بطاقة أو اسمًا أو بريدًا إلكترونيًا أبدًا.

Stripe

تعالج مدفوعات البطاقات للاشتراكات المُشتراة عبر الويب، وتُشغّل بوابة العملاء التي يُدار منها اشتراك البطاقة ويُلغى. تحتفظ Stripe باسم المشتري وبريده الإلكتروني وعنوان فوترته وتفاصيل بطاقته — لا يصل شيء منها إلينا.

CloudPayments

معالج بطاقة بديل للمشتريات عبر الويب، يُعرض حيث يخدم المشترين أفضل من Stripe. الحد نفسه: يحمل هوية الدفع، ونحمل نحن صف اشتراك بلا اسم مرفق به.

NOWPayments

تعالج مدفوعات العملات المشفَّرة للمشتريات عبر الويب. إنها طريقة الدفع التي يحمل فيها حتى المعالج أقل قدر عنك — بلا بطاقة، بلا حساب مصرفي — وبخلاف الأخريين، لا يمكن استرداد دفعة عملة مشفَّرة. راجع الدفع بالبطاقة أو بالعملة المشفَّرة.

مزوّدو الخوادم

الشركات التي تستضيف خوادم خروجنا. يمكنها رؤية حجم حركة المرور عند حافة شبكتها الخاصة، كما يمكن لأي مستضيف. ليس لديها وصول إلى ذاكرة الخوادم ولا إلى حركة بياناتك.

Bunny.net

تُرحّل النفق المشفَّر لاتصال Pro أو Premium، وكذلك طلبات التطبيق المشفَّرة إلى خدمات التحكم لدينا، عندما تحظر شبكة خوادمنا، وعندئذٍ فقط. بينما تُرحّل، ترى عنوان IP الذي تتصل منه واسم المضيف لنقطة الترحيل لدينا ووقت الحركة، ولا ترى أبدًا ما بداخلها، ولا أيّ خدمة من خدماتنا يُوصَل إليها، ولا حسابك، ولا مفتاح جهازك. تسجيل الطلبات مُوقَف في مناطقنا. راجع نقل اتصالك عبر CDN.

Gcore

قد تُرحّل طلبات التطبيق الخاصة المشفَّرة إلى خدمات التحكم لدينا فقط، لا النفق، عندما تحظر شبكة خوادمنا، وعندئذٍ فقط. بينما تُرحّل، ترى عنوان IP الذي تتصل منه واسم المضيف لنقطة الترحيل لدينا ووقت الحركة، ولا ترى أبدًا ما بداخلها، ولا أيّ خدمة من خدماتنا يُوصَل إليها، ولا حسابك، ولا مفتاح جهازك. بخلاف Bunny.net، لا يمكن إيقاف تسجيلها على حسابنا: فهي تحتفظ بعنوان IP الذي تتصل منه واسم المضيف الذي وُجّه إليه الطلب والوقت لمدة 3 أيام. راجع نقل اتصالك عبر CDN.

AWS

تُنسخ قائمة الخوادم الموقَّعة، بحيث يستطيع جهاز لا يصل إلى نطاقنا الخاص جلب واحدة رغم ذلك. عندما يلجأ جهاز إلى هذه النسخة، ترى AWS عنوان IP الذي يتصل منه ووقت ذلك الجلب — لا حسابك أبدًا، ولا مفتاح جهازك، ولا الخادم الذي ستذهب لاستخدامه.

مُحلّلات DNS العامة

تشغّل Cloudflare وGoogle وQuad9 مُحلّلات DNS عامة قد يسألها التطبيق، عبر DNS المشفّر، عن عناوين خوادمنا نحن عندما يفشل DNS الخاص بشبكتك أو يتأخر أو يعيد إجابة خاطئة أو يتعذر الوصول إلى خوادمنا على العناوين التي أعطاها. وهي ليست معالِجات لدينا: تعمل كل منها بموجب سياسة الخصوصية الخاصة بها لا سياستنا، وتعرف عنوان IP الخاص بك والوقت واسم الخادم المطلوب، ولا تعرف أبدًا حسابك ولا ما تتصفحه. راجع ما يحدث عند اتصالك.

مدة الاحتفاظ

مدة الاحتفاظ مذكورة لكل سجل في الجدول أعلاه. بإيجاز: تدوم سجلات الجلسات فقط طوال مدة الجلسة؛ وتُحذف روابط التذاكر — السجل الوحيد الذي يحمل جهازًا وجلسة في الصف نفسه — بعد ساعة من التسوية أو عند انتهاء صلاحية التذكرة نفسها، لا تتجاوز نحو 17 يومًا أبدًا؛ وتدوم رموز الدعم وتقارير التشخيص 72 ساعة؛ ويتوقف الاستخدام اليومي بعد 31 يومًا؛ وتنتهي صلاحية التحليلات عند 90 يومًا ولا يمكن حذفها مبكرًا؛ وتُحفظ صفوف الأجهزة، وصفوف الحسابات، وسجلات الاشتراك والفوترة، وإجماليات البايتات الشهرية، وسجل القرارات إلى أجل غير مسمى، لأن نزاع اشتراك أو حصة مرفوضة يجب أن يكون قابلًا للتفسير لاحقًا. هذه مدة الاحتفاظ لما نحمله نحن — إيصال شراء عبر الويب، ومراسلات نزاع، وسجل البطاقة تعيش عند المعالج وتتبع سياسة احتفاظه الخاصة، لا هذه.

الحذف، وما يمكن لطلب أن يبلغه فعليًا

راسل support@fvpn.net برمز دعم من التطبيق — Account ثم Get help على منصات Apple؛ وعلى Android، اضغط حالة الاتصال أعلى التطبيق، ثم Health ثم Report a problem ثم Get a support code على هاتف أو جهاز لوحي، أو Connection details ثم Report a problem ثم Get a support code على Android TV. الرمز هو الوسيلة الوحيدة لمعرفة أي سجل جهاز هو سجلك: فليس لدينا عنوان بريد إلكتروني ولا اسم مستخدم ولا اسم حساب لنُثبت هويتك به. من دونه لا يمكننا التصرف في طلب بشأن جهاز محدد.

لنكون دقيقين حول ما يبلغه ذلك الطلب اليوم:

• صفوف الاستخدام اليومي يمكن إزالتها، وتنتهي صلاحيتها بعد 31 يومًا على أي حال.
• يمكن فك ربط جهاز من دون حذف الحساب. يستطيع الجهاز أن يسجّل خروجه من صفحة الحساب في التطبيق، ويستطيع أي جهاز آخر على الحساب إزالته من التطبيق أو من وحدة التحكم على fvpn.net؛ ويواصل الجهاز العمل على الخطة المجانية. يتّسع الحساب لعشرة أجهزة، والجهاز الذي انضمّ خلال آخر 7 أيام لا يستطيع إزالة الأجهزة الأقدم، ويستطيع الراوتر تسجيل خروجه لكنه لا يستطيع إزالة أجهزة أخرى. حذف الحساب بالكامل أمر منفصل، أدناه.
• حذف الحساب داخل التطبيق متاح: Account ثم Delete account. إنه دائم — يزيل الحساب، ويعيد كل جهاز مرتبط به إلى حالة مجهولة (كل جهاز يحتفظ بما اشتراه بشكل منفصل)، ولا يمكنه إلغاء الاشتراكات المملوكة للحساب، التي يستمر المتجر — Apple أو Google — في فوترتها حتى تُلغيها بنفسك في إعدادات اشتراكه الخاصة. يطلب رقم الحساب الكامل بدلًا من الوثوق بأنك مسجَّل الدخول على جهاز، لأن كل جهاز على حساب يشارك تلك الصلاحية بالتساوي ولا ينبغي لأحدها أن يستطيع تدميرها نيابة عن البقية. لا يحذف سوى حساب: جهاز بلا حساب مرفق ليس لديه شيء هنا ليُحذف.
• لا يمكن حذف صفوف التحليلات على الإطلاق وتنتهي صلاحيتها عند 90 يومًا.
• تُحفظ إجماليات البايتات الشهرية وسجلات الفوترة وسجل القرارات. السجل يُضاف إليه فقط عن قصد: فسجل يمكن تعديله بصمت لا يستطيع تسوية نزاع.

يمكنك إيقاف كل جمع للبيانات في أي وقت بحذف التطبيق وعدم الاتصال. لاحظ أن هذا لا يزيل السجلات أعلاه، وأن مفتاح الجهاز يبقى بعد الحذف على منصات Apple — راجع ما يعيش على جهازك.

إن كنت في الاتحاد الأوروبي، أو المملكة المتحدة، أو كاليفورنيا، فلديك حقوق الوصول والتصحيح والحذف ونقل البيانات الشخصية التي نحملها عنك. تجزئة مفتاح الجهاز بيانات شخصية مستعارة الاسم (pseudonymous)، لا بيانات مجهولة، ونتعامل معها على هذا الأساس. حين لا نستطيع تلبية طلب — الحالات أعلاه — سنقول أيها ينطبق ولماذا، بدلًا من الادّعاء بأننا لا نستطيع التعرف عليك.

ما لا يحمي منه هذا

سجل واحد يربط جهازك بجلسة، وعبر الجهاز بحسابك إن ألحقت واحدًا. إنه ربط التذكرة المذكور في الحسابات والاشتراكات: يوجد كي يمكن قياس الحصة وقطع جهاز أُلغي تفعيله في منتصف الجلسة، ويُحذف بعد ساعة من تسوية تلك الجلسة. لا شيء في أي مكان يربط أيًا منهما بنقطة خروج. نقولها بهذه الطريقة بدلًا من ادّعاء فصل لا نملكه — وهذه هي الحدود الأخرى، للسبب نفسه:

• الخدمة التي تصدر بيانات الاعتماد ونقطة الخروج التي تنقل حركة بياناتك ترى كل منهما مفتاح جلستك في لحظة مختلفة. أطراف أُجبرت معًا، أو تواطأت، يمكنها استخدام ذلك لإعادة وصل جلسة من طرف إلى طرف. لا نحتفظ بأي سجل يمكّن من ذلك، ولا يستطيع أي طرف واحد منهم فعله بمفرده.
• إن استخدمت صفحة الأجهزة لإرسال راوتر إلى نقطة خروج مختلفة، يُخزَّن الموقع الذي اخترته مقابل ذلك الجهاز — وبالتالي، إن كان الجهاز مرتبطًا بحساب، مقابل حسابك — إلى أن تختار موقعًا آخر. إنه ما طلبته أنت، لا ما لاحظناه نحن أبدًا: إقرار الجهاز رقم يُعاد ترديده، لا مكان.
• ينتهي TLS لنطاقاتنا عند Cloudflare، لذا توجد بيانات وصفية عن طلبات نطاقاتنا هناك بصرف النظر عن شيفرتنا الخاصة.
• تجزئة مفتاح جهازك ثابتة، وتعيش صفوف تحليلات مستعارة الاسم مفتاحها 90 يومًا.
• مجموعة الأشخاص الذين لا يمكن تمييزك عنهم هي كل من يحمل تذكرة موقَّعة بمفتاح الفئة نفسه في الأسبوعين نفسيهما — لا "كل مستخدمينا". عند الإطلاق تلك المجموعة صغيرة. نُفضّل أن نقول ذلك على وصف مجهولية لا نملكها بعد.

VPN يُغيّر من يستطيع رؤية حركة بياناتك. لا يجعلك مجهولاً، وهذا لا يدّعي ذلك.

الأطفال والتغييرات والتواصل

الخدمة غير موجَّهة للأطفال دون 13 عامًا، ولا نجمع بيانات منهم عن علم. ليس لدينا وسيلة لمعرفة عمر مستخدم، لأننا لا نجمع شيئًا يخبرنا بذلك.

إن تغيّرت هذه السياسة تغييرًا جوهريًا، سنغيّر التاريخ أعلاه، ونصف ما تغيّر هنا، ونعرض إشعارًا في التطبيقات التي تدعم ذلك. ولأنه لا يوجد عنوان بريد إلكتروني مسجَّل، لا يمكننا إخطارك بالبريد.

11 October 2026: أضفنا قسمًا عن مشاركة جهاز أو نقطة خروج مع شخص آخر: كيف تظهر حركة بيانات الضيف، وما يمكن لمُرحِّلاتنا رؤيته وما لا يمكنها، وما نحتفظ به عن المشاركة. انظر مشاركة جهاز أو نقطة خروج.

4 أكتوبر 2026: عندما يفشل DNS الخاص بشبكتك أو يتأخر في الرد أو يعيد إجابة خاطئة أو يتعذر الوصول إلى خوادمنا على العناوين التي أعطاها، قد يسأل التطبيق أيضًا Cloudflare أو Google أو Quad9 عبر DNS المشفّر عن عناوين خوادمنا؛ وتعرف كل جهة يسألها عنوان IP الخاص بك والوقت وأن الجهاز بحث عن اسم أحد خوادمنا، ولا شيء غير ذلك. راجع ما يحدث عند اتصالك.

4 أكتوبر 2026: تنضم Gcore (gcore.com) إلى Bunny.net (bunny.net) بوصفها CDN، وصار بإمكان CDN أيضًا ترحيل طلبات التطبيق الخاصة إلى خدمات التحكم لدينا، لا النفق وحده؛ ولا يمكن لـGcore ترحيل سوى هذه الطلبات، لا النفق. قد يرى CDN على أي من المسارين عنوان IP الخاص بك واسم المضيف لنقطة الترحيل لدينا والوقت، ولا يرى أبدًا المحتوى ولا أيّ خدمة من خدماتنا يُوصَل إليها. تحتفظ Gcore بعنوان IP الخاص بك واسم المضيف الذي وُجّه إليه الطلب والوقت 3 أيام؛ وتسجيل Bunny مُوقَف في مناطقنا. راجع نقل اتصالك عبر CDN.

10 أكتوبر 2026: صار بإمكان التطبيقات الآن إرسال تقارير المسار — تشخيصات شبكة مجهولة ومجمَّعة غير مرتبطة بهويتك أو حسابك. أضفناها إلى ما تحتفظ به خدمات التحكم لدينا وصحّحنا وصفنا لبيان الخصوصية في Apple.

الأسئلة أو الطلبات أو الشكاوى: support@fvpn.net. المتحكّم بالبيانات هو Digital Services LLC.