پیش‌نویس بتا — نسخهٔ نهایی پس از بازبینی حقوقی (قانون 09-08 و CNDP + GDPR) منتشر می‌شود.

نسخهٔ دارای اعتبار قانونی این سند، نسخهٔ فرانسوی است. این نسخهٔ فارسی صرفاً ترجمه‌ای برای راحتی شماست.

آخرین به‌روزرسانی: 2026-07-07

سیاست حفظ حریم خصوصی — Tivera

نسخه: ۲.۱ — DRAFT پیش از Play Store نسخه ۱.۰ (مدل Free + Premium) تاریخ اجرا: 2026-07-07 زبان مرجع: فرانسوی — صلاحیت قضایی مسئول پردازش: Maroc (Loi 09-08، مرجع نظارتی CNDP؛ GDPR به‌صورت فراسرزمینی — ماده ۳.۲ — برای کاربران مقیم UE/EEE/UK قابل اعمال است) ناشر: Mitchou، شخص حقیقی تابع حقوق مراکش (ناشر مستقل). نشانی: Tralles, rue Essanaouabar, Casablanca, Maroc.

⚠️ پیش‌نویسی که پیش از انتشار قطعی باید توسط یک وکیل تأیید شود (حفاظت داده‌ها: Loi 09-08 / CNDP + GDPR/ePrivacy). نسخه فرانسوی معتبر است؛ سایر زبان‌ها ترجمه‌های تسهیلی هستند.

TL;DR

Tivera یک پخش‌کننده IPTV از نوع BYOC (Bring Your Own Content) روی Android (موبایل + TV) است. تو جریان‌های خودت را وارد می‌کنی (M3U / Xtream Codes / EPG XMLTV)؛ هیچ محتوایی توسط ما میزبانی نمی‌شود.

داده‌های شخصی جمع‌آوری‌شده برای اهداف تجاری: هیچ. بدون فروش مجدد، بدون واسطه‌گری داده.
تله‌متری تشخیصی (گزارش‌های خرابی + آمار استفاده ناشناس‌شده + گزارش عملکرد): فقط به سرور خودمیزبان خودمان (api.tivera.tv) ارسال می‌شود، هرگز به شخص ثالث. Firebase Crashlytics و Firebase Analytics حذف شده‌اند — دیگر هیچ خرابی یا آماری به Google ارسال نمی‌شود. خارج از UE/EEE/UK، این کانال به‌طور پیش‌فرض فعال است (منفعت مشروع) و در هر زمان قابل غیرفعال‌سازی است (تنظیمات ← حریم خصوصی ← داده‌های تشخیصی). در UE/EEE/UK، این کانال تا زمان رضایت صریح تو غیرفعال باقی می‌ماند.
اشتراک‌گذاری با اشخاص ثالث: فقط Google AdMob (حالت Free: تبلیغات، شناسه تبلیغاتی AAID) و Google Play Billing (حالت Premium: پرداخت اشتراک). همگام‌سازی ابری Premium (پروفایل‌ها/علاقه‌مندی‌ها/تاریخچه) به سرور خودمیزبان ما می‌رود، نه به شخص ثالث.
ذخیره‌سازی محلی رمزنگاری‌شده: SQLCipher AES-256 + Google Tink AEAD (اطلاعات هویتی Xtream).
برای پخش جریان‌هایت هیچ حسابی لازم نیست. حساب فقط برای Premium / همگام‌سازی ابری / مدیریت دستگاه‌ها لازم است.

۱. مسئول پردازش (GDPR ماده ۱۳.۱.a)

فیلد	مقدار
ناشر	Mitchou (شخص حقیقی تابع حقوق مراکش، ناشر مستقل)
نام تجاری برنامه	Tivera
بسته Android	`com.mitchou.tivera`
ایمیل تماس عمومی	`contact@tivera.tv`
ایمیل حریم خصوصی	`privacy@tivera.tv`
ایمیل DMCA	`dmca@tivera.tv` (رجوع کنید به سیاست DMCA)
نشانی پستی	Tralles, rue Essanaouabar, Casablanca, Maroc
DPO رسمی	لازم نیست (GDPR ماده ۳۷: ناشر مستقل، کمتر از ۲۵۰ کارمند، بدون پردازش گسترده داده‌های حساس)
نمایندهٔ اتحادیهٔ اروپا (GDPR Art. 27)	در حال تعیین پیش از عرضهٔ عمومی در اتحادیهٔ اروپا. در این میان، ساکنان اتحادیه/منطقهٔ اقتصادی اروپا همهٔ حقوق خود را مستقیماً نزد ناشر از طریق `privacy@tivera.tv` اعمال می‌کنند؛ اطلاعات نماینده پس از تعیین در همین‌جا و در برنامه منتشر می‌شود.
قانون حاکم	Maroc — Loi 09-08 مربوط به حفاظت از اشخاص حقیقی در قبال پردازش داده‌های شخصی، تحت نظارت CNDP. GDPR (UE 2016/679) به‌صورت فراسرزمینی (ماده ۳.۲) برای کاربران UE/EEE/UK قابل اعمال است.

مهلت تعهدشده پاسخ به هر درخواست GDPR / CCPA: ۳۰ روز (GDPR ماده ۱۲.۳) / ۴۵ روز (CCPA).

۲. ماهیت برنامه (GDPR ماده ۱۳.۱.c)

Tivera یک پخش‌کننده IPTV عمومی BYOC است که از طریق Google Play Store (و دانلود مستقیم APK) توزیع می‌شود.

۲.۱ آنچه Tivera هست

یک پخش‌کننده جریان چندرسانه‌ای (ویدئو / صدا) که خودت آن را می‌آوری.
یک سازمان‌دهنده محلی برای منابع تو (نشانی M3U، اطلاعات هویتی Xtream Codes API، نشانی EPG XMLTV).
یک ابزار تشخیصی محلی (Quality Scanner) + یک ضبط‌کننده محلی (DVR) به درخواست تو.
در دو سطح موجود است: Free (با تبلیغات) یا Premium (با اشتراک، بدون تبلیغات، امکانات اضافی).

۲.۲ آنچه Tivera نیست

یک سرویس توزیع محتوا نیست (بدون کانال از پیش بارگذاری‌شده، بدون کاتالوگ).
یک سرویس توصیه الگوریتمی نیست.
یک سرویس ذخیره‌سازی محتوا نیست. همگام‌سازی ابری Premium (پروفایل‌ها، علاقه‌مندی‌ها، تاریخچه، تنظیمات منتخب) از سرور خودمیزبان خودمان api.tivera.tv استفاده می‌کند و فقط فراداده سبک را همگام می‌کند (برچسب پروفایل، آواتار، پرچم کودک، PIN رمزنگاری‌شده، شناسه‌های محتوای مبهم) — هرگز جریان‌ها یا اطلاعات هویتی منابع تو را.
یک واسطه فنی نیست: تو مستقیماً با سروری که انتخاب می‌کنی ارتباط برقرار می‌کنی.

تو تنها مسئول جریان‌هایی هستی که وارد می‌کنی و انطباق آن‌ها با حق مؤلف قابل اعمال (رجوع کنید به شرایط استفاده + سیاست DMCA).

۲.۳ تفاوت‌های Free در برابر Premium از نظر داده

جنبه	Free	Premium
داده‌های جمع‌آوری‌شده به‌طور پیش‌فرض	هیچ	هیچ
تبلیغات AdMob (banner + native + rewarded)	بله (مدل اقتصادی)	خیر
AAID (شناسه تبلیغاتی Android) خوانده‌شده توسط AdMob/Google	بله (مدیریت‌شده توسط Google Play Services)	خیر
SDK UMP (رضایت تبلیغاتی UE/GDPR)	بله (در نخستین اجرا در UE)	قابل اعمال نیست
تله‌متری تشخیصی خودمیزبان (`api.tivera.tv`)	خارج از UE: پیش‌فرض فعال (opt-out) · UE/EEE/UK: opt-in	یکسان
Firebase Analytics / Crashlytics	حذف‌شده (دیگر استفاده نمی‌شود)	حذف‌شده
Play Billing (توکن‌های خرید)	قابل اعمال نیست	بله

۳. داده‌های پردازش‌شده

۳.۱ داده‌های واردشده توسط کاربر — فقط به‌صورت محلی ذخیره می‌شوند

همه این داده‌ها روی دستگاه تو باقی می‌مانند. هیچ‌یک در استفاده معمول به Mitchou یا شخص ثالث منتقل نمی‌شود.

نشانی M3U / playlist: SQLCipher AES-256. پخش جریان‌های تو. مبنای قانونی GDPR 6.1.b (اجرای قرارداد). مدت: تا حذف دستی / حذف نصب.
اطلاعات هویتی Xtream Codes (host، user، password): Google Tink AEAD (کلید اصلی Android Keystore TEE/StrongBox) روی SQLCipher، با AAD مرتبط به منبع (ضد cell-swap). اتصال به پنل تو. مبنای قانونی GDPR 6.1.b.
نشانی EPG XMLTV + نگاشت به کانال‌ها: SQLCipher AES-256 (Tink AEAD در صورت وجود Basic Auth در نشانی). راهنمای برنامه‌ها. مبنای قانونی GDPR 6.1.b.
تاریخچه پخش (موقعیت ازسرگیری): SQLCipher AES-256. «Continue Watching». مبنای قانونی GDPR 6.1.b.
علاقه‌مندی‌ها: SQLCipher AES-256. شخصی‌سازی رابط کاربری. مبنای قانونی GDPR 6.1.b.
ضبط‌های DVR (.ts) + دانلودهای VOD آفلاین (Premium): scoped storage، رمزنگاری‌نشده. تماشای بعدی/آفلاین به درخواست تو. مبنای قانونی GDPR 6.1.b.
PIN والدین ۴ رقمی: Tink AEAD (AAD parental-pin-v1). قفل محتوای بزرگسال. مبنای قانونی GDPR 6.1.b.
ترجیحات رابط کاربری (زبان، پوسته، کیفیت): DataStore Proto، غیرحساس. مبنای قانونی GDPR 6.1.f (منفعت مشروع).

۳.۲ داده‌های جمع‌آوری‌شده به‌صورت خودکار توسط برنامه

AAID (شناسه تبلیغاتی Android): Free = بله، توسط Google Play Services هنگام نمایش یک آگهی AdMob خوانده می‌شود. Premium = خیر.
نشانی IP: بار داده تله‌متری حاوی نشانی IP تو به‌عنوان داده نیست. این نشانی در سطح انتقال برای هر سروری که درخواست را دریافت می‌کند قابل مشاهده باقی می‌ماند: (a) سرور Xtream/EPG که پیکربندی می‌کنی، (b) Google هنگامی که AdMob در Free فعال می‌شود، (c) سرور ما api.tivera.tv (+ Cloudflare در مسیر عبور) هنگامی که تله‌متری فعال است یا هنگامی که از حسابت استفاده می‌کنی. نشانی‌های IP که احتمالاً در سمت سرور ثبت می‌شوند فقط برای مدت کاملاً ضروری برای امنیت و تشخیص نگهداری، سپس حذف می‌شوند.
موقعیت جغرافیایی دقیق: خیر. تقریبی (مشتق‌شده از IP): خیر توسط Tivera (AdMob می‌تواند کشور را از طریق IP در Free استنباط کند).
مخاطبین / SMS / تماس‌ها: خیر (مجوزها اعلام نشده‌اند). میکروفون / دوربین: خیر (دوربین فقط برای اسکن یک QR جفت‌سازی استفاده می‌شود، ۱۰۰٪ روی دستگاه، هیچ تصویری منتقل نمی‌شود). IMEI / شماره سریال / MAC: خیر.
Android ID (Settings.Secure.ANDROID_ID): فقط هنگامی که تله‌متری تشخیصی فعال است خوانده می‌شود (رجوع کنید به ۳.۴)، هرگز به‌صورت آشکار منتقل نمی‌شود. این شناسه برای اشتقاق یک شناسه فنی دستگاه با نام مستعار از طریق یک درهم‌سازی SHA-256 یک‌طرفه مخصوص برنامه به کار می‌رود — برای هر دستگاه پایدار است: با وجود نصب مجدد برنامه و پاک کردن داده‌های آن باقی می‌ماند (تنها در factory-reset بازنشانی می‌شود)، و یک شناسه سخت‌افزاری نیست (یک شناسه نرم‌افزاری app-scope).

۳.۳ داده‌های فنی که لزوماً به سرورهایی که خودت پیکربندی می‌کنی منتقل می‌شوند

هنگامی که یک پنل Xtream یا یک نشانی M3U/EPG وارد می‌کنی، درخواست‌هایت از دستگاه تو به سروری که خودت انتخاب کرده‌ای (نه Mitchou و نه Tivera) خارج می‌شوند. این سرور لزوماً IP تو، اطلاعات هویتی Xtream و User-Agent تو را دریافت می‌کند. ما هیچ کنترلی بر سیاست حفظ حریم خصوصی آن نداریم — پیش از سپردن اطلاعات هویتی‌ات به آن، آن را مطالعه کن.

۳.۴ تله‌متری تشخیصی خودمیزبان (`api.tivera.tv`)

برای رفع اشکالات و بهبود پایداری، Tivera یک تله‌متری تشخیصی فنی جمع‌آوری می‌کند که فقط به سرور خودمیزبان ما api.tivera.tv (PocketBase، زیرساخت ناشر، Maroc / CNDP) ارسال می‌شود — هرگز به شخص ثالث.

سه کانال: (۱) گزارش‌های خرابی (crash_reports): stacktrace + گزیده گزارش فنی در لحظه خرابی؛ (۲) آمار استفاده ناشناس‌شده (app_events): باز شدن صفحه (route)، آغاز نشست، شروع پخش — بدون هیچ نشانی، بدون هیچ نام کانال؛ (۳) گزارش عملکرد روزانه (کمتر از ۱۲۵ کیلوبایت در ۲۴ ساعت): سنجه‌های داخلی (مثلاً زمان راه‌اندازی سرد) + کلاس دستگاه (Build.MANUFACTURER + MODEL، مثلاً «Samsung SM-S911B» — یک کلاس دستگاه، نه یک داده شخصی) + نسخه برنامه/Android + پلتفرم.

شناسه: هر ارسال به شناسه فنی دستگاه با نام مستعار (رجوع کنید به ۳.۲) پیوند داده می‌شود — برای هر دستگاه پایدار است، با وجود نصب مجدد برنامه و پاک کردن داده‌ها باقی می‌ماند. این هویت تو نیست.

مدل رضایت (مشروط به موقعیت جغرافیایی):

منطقه	وضعیت پیش‌فرض	مبنای قانونی	نحوه پس گرفتن
خارج از UE / EEE / UK	پیش‌فرض فعال (opt-out)	منفعت مشروع (GDPR ماده ۶(۱)(f)): تشخیص داخلی، کمینه‌شده، خودمیزبان	حق اعتراض (ماده ۲۱): تنظیمات ← حریم خصوصی ← داده‌های تشخیصی: OFF (اثر فوری)
UE / EEE / UK	پیش‌فرض غیرفعال	رضایت (GDPR ماده ۶(۱)(a)) — لازم است زیرا خواندن `ANDROID_ID` مشمول ماده ۵(۳) دستورالعمل ePrivacy 2002/58/CE (و اجراهای ملی آن) است	رد کردن، یا پس گرفتن (ماده ۷(۳)) از طریق همان toggle

این کانال هرگز پیش از age gate فعال نیست (تأیید 13+، رجوع کنید به بخش ۷). پس گرفتن (toggle OFF) ارسال‌های در انتظارِ منتقل‌نشده را بلافاصله پاک‌سازی می‌کند.

کمینه‌سازی: تمام محتوا از فیلترهای SecretRedactor + UrlRedactor در سمت کلاینت، پیش از هر ارسال عبور می‌کند (نشانی‌ها، اطلاعات هویتی، توکن‌های Bearer، IBAN، رشته‌های هگزادسیمال بلند ۳۲ کاراکتر یا بیشتر حذف می‌شوند)، شناسه‌های کانال درهم‌سازی/کوتاه می‌شوند، و بار داده تا ۱۲۵ کیلوبایت محدود می‌شود.

هرگز منتقل نمی‌شود: هیچ نام / ایمیل / تلفنی؛ هیچ‌یک از منابع، کانال‌ها یا تاریخچه تو؛ هیچ AAID؛ هیچ تبلیغی، هیچ فروش مجددی.

پردازشگر تابع: هیچ — api.tivera.tv سرور خودمیزبان ناشر است، نه یک شخص ثالث داده. Cloudflare فقط عبور شبکه + TLS را تأمین می‌کند (بدون ذخیره‌سازی). رمزنگاری‌شده در حین انتقال (HTTPS). نگهداری: 90 روز (پاک‌سازی خودکار در سمت سرور). این سرور در Maroc واقع شده است (رجوع کنید به بخش ۹).

۳.۵ Firebase Crashlytics / Analytics + GlitchTip/Sentry — حذف‌شده

Firebase Crashlytics، Firebase Analytics و کانال GlitchTip/Sentry دیگر توسط برنامه استفاده نمی‌شوند. آن‌ها در هنگام راه‌اندازی روی همه بیلدها متوقف می‌شوند (debug / release / beta). دیگر هیچ گزارش خرابی یا آمار استفاده‌ای به Google یا هیچ شخص ثالثی برای این اهداف منتقل نمی‌شود. عملکرد تشخیص اکنون کاملاً توسط کانال خودمیزبان توضیح‌داده‌شده در ۳.۴ تأمین می‌شود.

نکته: Google AdMob (Free — بخش ۳.۶) و Google Play Billing (Premium — بخش ۳.۷) سرویس‌های Google مجزا و بی‌ارتباط با این حذف هستند؛ آن‌ها همچنان اعلام‌شده باقی می‌مانند.

۳.۶ Google AdMob (فقط حالت Free)

در سطح Free، برنامه از طریق SDK Google Mobile Ads (AdMob) تبلیغات نمایش می‌دهد. قالب‌ها: banner تطبیقی ۳۲۰×۵۰ dp در پایین صفحه، native در ریل Browse، rewarded (opt-in) برای یک اسکن اضافی Quality Scanner. هیچ تبلیغی روی Android TV / Leanback نیست.

داده‌های منتقل‌شده به Google توسط SDK AdMob — در حالت شخصی‌سازی‌شده (رضایت UE داده‌شده): AAID، IP، User-Agent، مدل دستگاه، بسته + نسخه، ad unit ID، تاریخچه تبلیغات دیده‌شده (بسامد)، علایق استنباط‌شده، تعاملات گذشته. در حالت غیرشخصی‌سازی‌شده (رضایت رد شده): AAID ناشناس‌شده، IP (هدف‌گیری کشور به‌طور کلی)، User-Agent، مدل، بسته + نسخه، ad unit ID — بدون تاریخچه، بدون گروه‌بندی، بدون تعاملات گذشته.

UMP SDK: در نخستین اجرای شناسایی‌شده در UE، یک گفتگوی Google UMP رضایت تو به تبلیغات شخصی‌سازی‌شده را جمع‌آوری می‌کند (پذیرش = شخصی‌سازی‌شده؛ رد = غیرشخصی‌سازی‌شده). غیرفعال‌سازی کامل AdMob: ارتقا به Premium. هیچ toggle دقیق AdMob در Free وجود ندارد (مدل اقتصادی).

پردازشگر تابع: Google LLC. نگهداری: طبق سیاست Google (معمولاً حدود ۱۴ ماه برای گروه‌های تبلیغاتی).

۳.۷ Google Play Billing (فقط حالت Premium)

هنگامی که در سطح Premium مشترک می‌شوی (اشتراک ماهانه 3.99 USD / سالانه 24.99 USD با free trial ۷ روزه روی اشتراک سالانه). هیچ خرید قطعی «مادام‌العمر» ارائه نمی‌شود.

داده‌های مدیریت‌شده توسط Google Play (هرگز توسط Tivera دیده نمی‌شوند): روش پرداخت (کارت، PayPal، Google Pay، اپراتور)، نشانی صورتحساب.
داده‌های دریافت‌شده توسط Tivera: توکن خرید (purchase token، مدرک مبهم) + وضعیت اشتراک (فعال / لغوشده / grace period) از طریق BillingClient.
ذخیره‌شده به‌صورت محلی توسط Tivera: وضعیت Premium (بولی، DataStore) + purchase token (Tink AEAD، AAD play-billing-v1) برای اعتبارسنجی مجدد دوره‌ای.

هیچ داده پرداختی (شماره کارت، CVV، تاریخ انقضا) هرگز توسط Tivera پردازش، دیده یا ذخیره نمی‌شود. لغو: Google Play Store ← اشتراک‌ها ← Tivera ← لغو. بازپرداخت‌ها: سیاست استاندارد Google Play (۴۸ ساعت برای اشتراک‌ها) — درخواست از طریق Google Play، نه از طریق Tivera.

۳.۸ پروفایل‌های کاربری + همگام‌سازی ابری Premium (`profiles`)

Tivera امکان ایجاد چندین پروفایل روی یک حساب واحد را می‌دهد (علاقه‌مندی‌ها و تاریخچه به‌ازای هر پروفایل، پروفایل محدود اختیاری). پروفایل‌ها به‌صورت محلی ذخیره می‌شوند (Room SQLCipher AES-256) و، فقط اگر مشترک Premium باشی و همگام‌سازی ابری را فعال کنی، از طریق مجموعه profiles (api.tivera.tv) به سرور خودمیزبان ما همگام می‌شوند.

داده‌های همگام‌شده به‌ازای هر پروفایل (فقط Premium + همگام‌سازی فعال): name (برچسب — بالقوه شخصی اگر یک نام واقعی در آن قرار دهی؛ توصیه: از یک نام مستعار استفاده کن، به‌ویژه برای پروفایل کودک)، avatarId (شاخص تصویرسازی خنثی)، isKids (پرچم فیلترسازی انتخاب‌شده توسط دارنده، نه یک اعلام سن)، pinCiphertext (PIN رمزنگاری‌شده با Google Tink AES-256-GCM، هرگز در سمت سرور رمزگشایی نمی‌شود). هیچ تاریخ تولدی جمع‌آوری نمی‌شود. علاقه‌مندی‌ها و تاریخچه اکنون به‌ازای هر پروفایل هستند؛ هیچ جریان، هیچ نام کانال/فیلم/سریال، هیچ اطلاعات هویتی Xtream به api.tivera.tv منتقل نمی‌شود (هویت محتوا = SHA-256 مبهم). پردازشگر تابع: هیچ؛ همگام‌سازی opt-in (Premium، قابل فعال/غیرفعال‌سازی در تنظیمات).

۳.۹ حساب Tivera (نشانی ایمیل + کد OTP)

حساب اختیاری است. برای استفاده از برنامه در Free هیچ حسابی لازم نیست (وارد کردن منابعت، پخش جریان‌هایت، اسکن کانال‌هایت). تو فقط برای باز کردن Premium، فعال کردن همگام‌سازی ابری، مدیریت دستگاه‌هایت، یا وارد کردن یک کد تبلیغاتی حساب ایجاد می‌کنی.

نشانی ایمیل: توسط تو ارائه می‌شود؛ ورود با کد یک‌بارمصرف (OTP) (بدون رمز عبور). به سرور خودمیزبان ما api.tivera.tv (Maroc / CNDP) منتقل و در آنجا ذخیره می‌شود تا حسابت را شناسایی کند (استحقاق Premium، فهرست دستگاه‌ها، کدهای تبلیغاتی). مبنای قانونی: GDPR 6.1.b (اجرای قرارداد). پردازشگر تابع: هیچ؛ رمزنگاری‌شده در حین انتقال. نگهداری: تا حذف حسابت (رجوع کنید به بخش ۵ + بخش ۱۰). ایمیل تو هرگز برای تبلیغات استفاده نمی‌شود، هرگز فروخته نمی‌شود، هرگز با واسطه‌ها به اشتراک گذاشته نمی‌شود.

۴. دریافت‌کنندگان داده‌ها (GDPR ماده ۱۳.۱.e)

دریافت‌کننده	داده‌های مربوطه	هدف	موقعیت مکانی
خودت (روی دستگاهت)	۱۰۰٪ داده‌های واردشده	استفاده از برنامه	محلی
سرورهای IPTV/EPG که پیکربندی می‌کنی	اطلاعات هویتی Xtream + IP + User-Agent	احراز هویت + پخش	متغیر (انتخاب تو)
سرور خودمیزبان `api.tivera.tv` — حساب (ناشر، نه یک شخص ثالث)	ایمیل حساب (OTP) — اختیاری	مدیریت حساب / استحقاق / همگام‌سازی / دستگاه‌ها / کدهای تبلیغاتی	Maroc / CNDP
سرور خودمیزبان `api.tivera.tv` — تله‌متری (ناشر، نه یک شخص ثالث)	Stacktraceها + آمار استفاده (route‌های صفحه) + گزارش عملکرد + کلاس دستگاه + شناسه با نام مستعار	تشخیص / پایداری	Maroc / CNDP
~~Google Firebase (Analytics / Crashlytics)~~	حذف‌شده — دیگر انتقالی به Google برای این اهداف نیست (رجوع کنید به ۳.۵)	—	—
Google AdMob (Free)	AAID + IP + دستگاه + ad unit ID + گروه‌ها (در حالت شخصی‌سازی‌شده)	نمایش تبلیغات	USA + UE (CCT + DPF)
Google Play Billing (Premium)	Purchase token (بدون داده بانکی)	اعتبارسنجی اشتراک	Google (جهانی)
سرور خودمیزبان `api.tivera.tv` — همگام‌سازی ابری (ناشر، نه یک شخص ثالث)	پروفایل‌ها (برچسب، آواتار، پرچم کودک، PIN رمزنگاری‌شده) + علاقه‌مندی‌ها + تاریخچه به‌ازای هر پروفایل (هویت محتوا SHA-256 مبهم)	همگام‌سازی چنددستگاهی	Maroc / CNDP
Cloudflare	عبور شبکه (CDN + Tunnel + WAF) — IP/headerها را می‌بیند، هیچ داده شخصی ذخیره نمی‌کند	مسیریابی + امنیت شبکه	چندملیتی (DPA)

هیچ فروش داده‌ای به واسطه‌ها یا تجمیع‌کننده‌ها. هیچ اشتراک‌گذاری برای اهداف تبلیغاتی به‌جز Google AdMob (فقط Free).

۵. حقوق تو (GDPR ماده ۱۳.۲.b + ماده ۱۵ تا ۲۲ + CCPA/CPRA)

۵.۱ حقوق GDPR (مقیمان UE / EEE / UK)

دسترسی (ماده ۱۵): داده‌های محلی تو روی دستگاهت هستند (تنظیمات ← منابع / ظاهر…). داده‌های حساب: خروجی ماشینی (ایمیل، استحقاق، دستگاه‌ها، صورتحساب‌ها، پروفایل‌ها، علاقه‌مندی‌ها + تاریخچه به‌ازای هر پروفایل، گزارش‌های مربوط به تو) — با درخواست به privacy@tivera.tv.
اصلاح (ماده ۱۶): مستقیماً در برنامه (تنظیمات ← منابع ← ویرایش)؛ ایمیل حساب قابل تغییر است، یا درخواست به privacy@tivera.tv.
محدودسازی (ماده ۱۸): تله‌متری را غیرفعال کن (toggle «داده‌های تشخیصی»، تنظیمات ← حریم خصوصی).
قابلیت انتقال (ماده ۲۰): تنظیمات ← راهنما ← ارسال یک گزارش تشخیصی (ZIP خوانا)؛ خروجی حساب با درخواست به privacy@tivera.tv.
اعتراض (ماده ۲۱): خارج از UE/EEE/UK، تله‌متری بر منفعت مشروع استوار است ← می‌توانی در هر زمان از طریق toggle «داده‌های تشخیصی» به آن اعتراض کنی، بدون تنزل خدمات. در UE/EEE/UK، این کانال به‌هرحال تا زمان رضایت تو غیرفعال است.
تصمیم خودکار (ماده ۲۲): هیچ پروفایل‌سازی یا تصمیم خودکاری وجود ندارد. موتورهای recovery/scanner از اکتشافی‌های فنی استفاده می‌کنند — بدون Machine Learning / هوش مصنوعی به مفهوم مقرره UE 2024/1689 (EU AI Act).

حذف حساب و پاک‌سازی داده‌هایت (ماده ۱۷)

داده‌های محلی: تنظیمات ← پاک کردن حافظه پنهان کانال‌ها/EPG/ضبط‌ها/دانلودها را حذف می‌کند (اطلاعات هویتی Xtream برای اتصال مجدد حفظ می‌شوند)؛ حذف نصب برنامه همه چیز را حذف می‌کند (/data/data/com.mitchou.tivera/).
تله‌متری تشخیصی: غیرفعال کردن toggle «داده‌های تشخیصی» ارسال‌های در انتظار را بلافاصله پاک‌سازی می‌کند؛ برای پاک‌سازی داده‌های از پیش منتقل‌شده به api.tivera.tv، به privacy@tivera.tv بنویس و شناسه فنی دستگاهت را ذکر کن (تنظیمات ← راهنما) — حذف ظرف ۳۰ روز (و پاک‌سازی خودکار در 90 روز).
پروفایل‌های همگام‌شده: حذف یک پروفایل در برنامه یک soft-delete را فعال می‌کند (پنهان‌سازی فوری، پاک‌سازی سرور ظرف ۳۰ روز).
حذف حساب (آبشاری): از درون برنامه یا با درخواست به privacy@tivera.tv. حذف حساب در سمت سرور api.tivera.tv به‌صورت آبشاری، همه پروفایل‌هایت (از جمله پروفایل‌های کودک isKids)، علاقه‌مندی‌ها و تاریخچه به‌ازای هر پروفایلت، تنظیمات و منابع همگام‌شده‌ات، استحقاق Premium تو، دستگاه‌های ثبت‌شده و توکن‌های جفت‌سازی تو را پاک‌سازی می‌کند و سطرهای گزارش حسابرسی تو را ناشناس می‌کند. صورتحساب‌هایت نیز حذف می‌شوند. می‌توانی پیش از آن، آنها را خروجی بگیری (رجوع کنید به بخش ۵.۱)، و ارائه‌دهنده پرداخت نسخه خود را نگه می‌دارد (رجوع کنید به بخش ۱۰).
Premium: اشتراک را از طریق Google Play لغو، سپس حذف نصب کن.

۵.۲ حقوق CCPA / CPRA (مقیمان کالیفرنیا)

Tivera داده‌ها را نمی‌فروشد. Right to Know — دسته‌های جمع‌آوری‌شده (۱۲ ماه گذشته): Identifiers (AAID در Free؛ شناسهٔ فنی دستگاه با نام مستعار برای تله‌متری؛ ایمیل در صورت داشتن حساب)؛ Commercial information (وضعیت اشتراک)؛ Internet/Network Activity (تعاملات AdMob؛ route‌های صفحهٔ تله‌متری)؛ Geolocation (کشور تقریبی مشتق‌شده از IP توسط AdMob در Free). منابع: تو + دستگاهت. اهداف تجاری: تبلیغات (Free)، ارائهٔ خدمت، تشخیص. به‌اشتراک‌گذاشته/«فروخته‌شده»: فقط AAID + فعالیت شبکه از طریق Google AdMob (Free) — یک «به‌اشتراک‌گذاری» به مفهوم CPRA، قابل رد از طریق UMP؛ تله‌متری به سرور خودمیزبان ما می‌رود (نه یک شخص ثالث — خارج از دامنهٔ «به‌اشتراک‌گذاری»/«فروش» CCPA). Right to Delete / Correct: رجوع کنید به بخش ۵.۱. Opt-Out of Sale/Sharing: اشتراک‌گذاری AdMob (در حالت شخصی‌سازی‌شده) از طریق رضایت UMP قابل رد است (و به‌طور خودکار برای کاربران CCPA شناسایی‌شده توسط Google غیرشخصی‌سازی‌شده). Limit Use of Sensitive PI: هیچ داده حساسی جمع‌آوری نمی‌شود. Non-Discrimination + Authorized Agent قابل اعمال هستند. مهلت ۴۵ روز — privacy@tivera.tv.

۵.۳ شکایت

CNDP (Maroc): https://www.cndp.ma
مقیمان UE/EEE: مرجع نظارتی محل اقامت تو (مثلاً CNIL در فرانسه: https://www.cnil.fr/fr/plaintes). فهرست: https://edpb.europa.eu/about-edpb/about-edpb/members_en.
California AG: https://oag.ca.gov

۶. امنیت داده‌ها (GDPR ماده ۳۲)

۶.۱ رمزنگاری در حالت سکون

SQLCipher AES-256 روی پایگاه‌داده محلی (کانال‌ها، EPG، منابع، تاریخچه، دانلودها).
Google Tink AEAD (کلید اصلی Android Keystore TEE/StrongBox) به‌عنوان لایه رویی برای: اطلاعات هویتی Xtream (AAD مرتبط به منبع، ضد cell-swap)، اطلاعات هویتی EPG، PIN والدین (AAD parental-pin-v1)، purchase token Play Billing (AAD play-billing-v1).
ضبط‌ها / دانلودهای VOD: فایل‌های .ts رمزنگاری‌نشده در scoped storage، حذف‌شده در هنگام حذف نصب.

۶.۲ رمزنگاری در حین انتقال

HTTPS سختگیرانه به دامنه‌های first-party (Google Play Services / AdMob) + به بک‌اند ما api.tivera.tv.
HTTP بدون رمزنگاری فقط به سرورهای IPTV/EPG که خودت پیکربندی می‌کنی تحمل می‌شود (اکثریت پنل‌های Xtream هنوز از طریق HTTP سرویس می‌دهند — رد کردن آن استفاده BYOC را از کار می‌اندازد).

۶.۳ معماری دفاعی

مجوزهای Android کمینه؛ CAMERA فقط برای اسکن یک QR جفت‌سازی (پردازش ۱۰۰٪ محلی). مجوزهای افزوده‌شده توسط SDKهای Google (نسخه منتشرشده): com.android.vending.BILLING (Premium)، AD_ID + ACCESS_ADSERVICES_* (AdMob، فقط Free)، BIND_GET_INSTALL_REFERRER_SERVICE (انتساب نصب)، READ_EPG_DATA (ریل «Continue Watching» راه‌انداز Android TV). هیچ مجوز خطرناک runtime به‌جز CAMERA وجود ندارد.
R8/ProGuard در release؛ قواعد backup محدودکننده (اطلاعات هویتی رمزنگاری‌شده Xtream را از پشتیبان Google Drive حذف می‌کنند)؛ SecretRedactor + UrlRedactor روی هر گزارش و هر بار داده تله‌متری پیش از ارسال.

۶.۴ اطلاع‌رسانی نقض (GDPR ماده ۳۳-۳۴)

در صورت نقضی که بر حقوق تو تأثیر بگذارد، Mitchou به مرجع نظارتی صالح (CNDP در Maroc؛ CNIL یا مرجع UE کاربر مربوطه) ظرف ۷۲ ساعت اطلاع می‌دهد، و مستقیماً به تو اگر خطر بالا باشد.

۷. کودکان (COPPA US + GDPR ماده ۸)

Tivera برای 13 سال یا بیشتر در نظر گرفته شده است. age gate اظهاری در نخستین اجرا («من 13 سال دارم» + پذیرش Disclaimer). بدون جمع‌آوری عمدی داده‌های کودکان زیر 13 سال. تله‌متری تشخیصی توسط age gate محدود می‌شود: هیچ شناسه پایداری پیش از تأیید 13+ منتقل نمی‌شود. PIN والدین ۴ رقمی + پروفایل‌های محدود (isKids) = کنترل والدین best-effort، اختیاری، بدون درخواست تاریخ تولد، بدون هیچ آنالیتیکس یا تبلیغ هدف‌گیری‌شده محدود به یک پروفایل کودک. والد/سرپرست: privacy@tivera.tv.

تبلیغات و خردسالان (اتحادیهٔ اروپا): در UE/EEE، سن رضایت دیجیتال (GDPR Art. 8) بسته به کشور عضو از ۱۳ تا ۱۶ سال متغیر است. برای محافظت از کاربرانی که ممکن است خردسال باشند، تبلیغ شخصی‌سازی‌شده هرگز بدون رضایت معتبر جمع‌آوری‌شده از طریق SDK Google UMP فعال نمی‌شود؛ در غیر این صورت (یا در صورت رد)، فقط تبلیغات غیرشخصی‌سازی‌شده (NPA — بدون پروفایل‌سازی و بدون هدف‌گیری رفتاری) نمایش داده می‌شوند. سطح Premium همهٔ تبلیغات را حذف می‌کند.

۸. کوکی‌ها / ردیاب‌های شخص ثالث

Tivera یک برنامه موبایل بومی است (نه یک وب‌سایت). هیچ کوکی HTTP خودی ندارد؛ کوکی‌های سرور شخص ثالث احتمالی (مثلاً __cf_bm یک پنل) در RAM مدیریت می‌شوند (InMemoryCookieJar)، هرگز پایدار نمی‌شوند. هیچ pixel/beacon اختصاصی نیست. وب‌سایت tivera.tv: هیچ کوکی شخص ثالثی، هیچ اسکریپت آنالیتیکس/تبلیغاتی شخص ثالثی، هیچ CDN خارجی در runtime (قاعده داخلی R-NA-1) — فراخوان‌ها فقط با اقدام کاربر به بک‌اند ما (api.tivera.tv) می‌روند.

۹. انتقال‌های بین‌المللی (GDPR ماده ۴۴ تا ۵۰)

انتقال	چارچوب حقوقی
دستگاه تو ← سرورهای IPTV/EPG که خودت پیکربندی می‌کنی	بدون انتقال هماهنگ‌شده توسط Mitchou (تو دریافت‌کننده را انتخاب می‌کنی).
تله‌متری + همگام‌سازی ابری Premium ← سرور خودمیزبان (Maroc)	Maroc از یک تصمیم کفایت اتحادیهٔ اروپا بهره‌مند نیست (ماده ۴۵). مبناهای انتقال در نظر گرفته‌شده برای کاربران UE/EEE: (a) تله‌متری تشخیصی — رضایت صریح (استثنای Art. 49(1)(a))، چراکه این کانال به‌هرحال در اتحادیهٔ اروپا opt-in است؛ (b) حساب + همگام‌سازی ابری Premium — انتقالِ لازم برای اجرای قراردادی که درخواست می‌کنی (Art. 49(1)(b)). اقدامات مکمل: نام مستعارسازی + کمینه‌سازی (`SecretRedactor`/`UrlRedactor`) + رمزنگاری در حین انتقال؛ مسئول واحد (ناشر خودش میزبانی می‌کند، بدون واردکنندهٔ شخص ثالث مجزا به مفهوم راهنماهای EDPB 05/2021)؛ چارچوب قانونی محلی Loi 09-08 + مرجع CNDP.
AdMob (Free) / Play Billing (Premium) ← Google LLC (USA)	CCT + DPF.
عبور Cloudflare	مسیریابی شبکه (بدون ذخیره‌سازی داده شخصی)؛ DPA Cloudflare.

۱۰. مدت نگهداری (GDPR ماده ۱۳.۲.a)

داده‌های محلی (Xtream، M3U، EPG، تاریخچه، ضبط‌ها، دانلودها): تا زمانی که برنامه نصب است؛ پاک‌سازی فوری در هنگام حذف نصب یا از طریق «پاک کردن حافظه پنهان».
تله‌متری تشخیصی (crash_reports + app_events + گزارش عملکرد): 90 روز سپس پاک‌سازی خودکار. پس گرفتن زودهنگام از طریق toggle.
Firebase Crashlytics / Analytics: n/a (حذف‌شده، دیگر جمع‌آوری نمی‌شود).
حساب (ایمیل، استحقاق، دستگاه‌ها، جفت‌سازی‌ها، پروفایل‌ها، علاقه‌مندی‌ها، تاریخچه): تا حذف حساب (پاک‌سازی آبشاری). استحقاق: تا انقضا + پنجره اختلاف/بازپرداخت.
صورتحساب‌ها (فراداده): هنگام بستن حساب حذف می‌شوند (پاک‌سازی آبشاری). ارائه‌دهنده پرداخت نسخه خود را به دلیل الزام حسابداری‌اش نگه می‌دارد (همچنین در صورت اختلاف).
گروه‌های AdMob (Free): طبق سیاست Google (حدود ۱۴ ماه). Premium purchase token: تا زمانی که اشتراک فعال است + grace period.
گزارش حسابرسی (audit_log، شامل IP کلاینت): 90 روز؛ سطرها در هنگام حذف حساب ناشناس می‌شوند.

۱۱. به‌روزرسانی این سیاست

هر تغییر ماهوی موجب موارد زیر می‌شود: اطلاع‌رسانی درون‌برنامه‌ای در راه‌اندازی بعدی (banner غیرمسدودکننده + پیوند به diff) + به‌روزرسانی تاریخ + نگهداری diff نسخه‌بندی‌شده Git به‌صورت عمومی + پذیرش مجدد اگر یک دسته پردازش جدید افزوده شود (مثلاً یک شبکه تبلیغاتی جدید). تغییرات جزئی موجب پذیرش مجدد نمی‌شوند.

۱۲. تماس

ایمیل عمومی: contact@tivera.tv
ایمیل حریم خصوصی (اعمال حقوق): privacy@tivera.tv
ایمیل DMCA: dmca@tivera.tv (رجوع کنید به سیاست DMCA)
نشانی پستی: Tralles, rue Essanaouabar, Casablanca, Maroc

مهلت پاسخ: ۳۰ روز (GDPR) / ۴۵ روز (CCPA).

۱۳. اسناد مرتبط

وضعیت: DRAFT v2.1 — مدل Free + Premium (AdMob در Free، Play Billing در Premium)، تله‌متری خودمیزبان (Firebase حذف‌شده) و همگام‌سازی ابری Premium را افشا می‌کند. باید توسط یک وکیل تأیید شود (Loi 09-08 / CNDP + GDPR/ePrivacy) پیش از انتشار قطعی: مبنای قانونی تله‌متری، تضمین‌های انتقال Maroc ← UE، سازوکار opt-out. نسخه فرانسوی معتبر است؛ سایر زبان‌ها ترجمه‌های تسهیلی هستند.