شروط الاستخدام لواجهة API: ما يجب أن تتضمنه

شروط استخدام واجهة API عقدٌ، لا توثيق تقني

صفحة الخدمة: محامٍ للتجارة الرقمية والذكاء الاصطناعي: شروط الموقع، والخصوصية، والتسويق المباشر.

واجهة برمجة التطبيقات هي الطريقة التي تصل بها منظومة إلى خدمة منظومة أخرى. فمنذ اللحظة التي فتحتم فيها الواجهة لجهات من خارج المؤسسة، شركاء أو زبائن تجاريين أو مجتمع مطوّرين، أنشأتم قناة وصول إلى بياناتكم وبنيتكم التحتية. والوثيقة التي تنظّم هذه القناة ليست توثيقًا تقنيًا، بل عقد.

لا خصوصية في إبرام العقد نفسه: فالإيجاب والقبول وفق قانون العقود (جزء عام)، 1973 (חוק החוזים (חלק כללי), התשל״ג-1973) يمكن أن يتمّا أيضًا بمصادقة إلكترونية وبالاستخدام الفعلي لمفتاح الوصول. الخصوصية في المضمون، وفي أن الأمر يتعلق في معظم الحالات بصيغة موحّدة كتبها طرف واحد مسبقًا.

هل شروط API عقد موحّد؟

تعرّف المادة 2 من قانون العقود الموحّدة، 1982 «العقد الموحّد» بأنه صيغة عقد حدّد طرفٌ واحد شروطها، كلها أو بعضها، مسبقًا لتكون شروطًا لعقود كثيرة بينه وبين أشخاص غير محدّدين في عددهم أو هويتهم. وشروط استخدام الواجهة المنشورة في الموقع والتي تسري على كل من يسجّل تستوفي هذا التعريف في كل الحالات تقريبًا.

ومن هنا تسري المادة 5 من القانون: الشرط الذي ينفي حق الزبون في التوجّه إلى المحاكم أو يقيّده باطل؛ والشرط الذي يُعفي المزوِّد من المسؤولية عن ضرر جسدي أو عن فعل متعمَّد باطل. وكذلك قرائن الإجحاف الواردة في المادة 4، ومنها الإعفاء من مسؤولية يفرضها القانون أو تقييدها تقييدًا غير معقول (الفقرة 1)، والحق غير المعقول في إلغاء التزامات جوهرية أو تعليقها أو تغييرها (الفقرة 2)، وتغيير السعر من طرف واحد بعد إبرام العقد (الفقرة 4)، ونفي حق أو وسيلة انتصاف يستحقها الزبون وفق القانون (الفقرة 6)، وبند التحكيم (الفقرات 8–10)، والاشتراط على أحكام القانون بشأن مكان التقاضي (الفقرة 9).

لذلك فإن عبارة «يحق لنا إغلاق الوصول في أي وقت، ولأي سبب، ودون إشعار» ليست بندًا قويًا. الصياغة الصامدة تميّز بين الأسباب: مخالفة سياسة الاستخدام أو وجود خطر أمني يبرّران التعليق الفوري؛ أما التغيير التجاري فيبرّر إشعارًا مسبقًا في مدة محددة.

تعريف الاستخدام المسموح، والمحظور

هذا هو البند الذي تنبثق منه معظم الخلافات. ما لم يُحظر صراحةً يصعب جدًا حظره بأثر رجعي:

• نطاق الاستخدام: لأي أغراض يجوز استخدام البيانات، وهل يجوز عرضها على المستخدمين النهائيين للمطوِّر.
• المنتج المنافس: هل يجوز أن تُبنى بواسطة الواجهة خدمة تنافس الجهة المشغِّلة. وإن لم يكن ذلك جائزًا، فيجب تعريف ما هي المنافسة.
• النقل إلى طرف ثالث: هل يجوز نقل الوصول، أو بيعه، أو دمجه في منتج يُباع لاحقًا.
• السحب والتجميع: هل يجوز تخزين البيانات بشكل دائم وبناء قاعدة بيانات مستقلة منها، أم يجوز استخدامها استخدامًا موضعيًا فقط.
• حدود معدّل الطلبات: عدد الطلبات في الثانية وفي الدقيقة وفي اليوم، ونتيجة التجاوز: الإبطاء، أو رسوم إضافية، أو الحجب. والحدّ الذي لم يُحدَّد في العقد يصعب إنفاذه بأثر رجعي.

نقطة تُنسى: التوثيق التقني نفسه. ففي معظم الاتفاقيات يُدمَج فيها بالإحالة («مع مراعاة التوثيق المنشور من حين لآخر»)، فيصبح بذلك جزءًا من العقد بكل ما يترتب على ذلك. ومن يعتمد بنية كهذه عليه أن يحتفظ بإصدارات مؤرَّخة من التوثيق، لأن السؤال في النزاع سيكون: ما الذي كان مسموحًا بالضبط في الموعد ذي الصلة. والقاعدة نفسها تسري على المكتبات البرمجية المساعدة وحِزم التطوير: فالترخيص الذي يسري عليها، وأحيانًا أيضًا تراخيص المصدر المفتوح المدمجة فيها، تنضمّ إلى الصورة التعاقدية.

التوفّر، والإصدارات، والإيقاف عن الاستخدام

المطوِّر الذي بنى منتجًا كاملًا على واجهة خارجية معرّض لخطرين: أن تتعطّل الواجهة، وأن تتغيّر. ويجب أن تعالج الاتفاقية كلًّا منهما على حدة. بشأن التوفّر: هدف للتوفّر، وطريقة القياس، ووسيلة انتصاف حقيقية لا مجرد رصيد خدمة رمزي. وبشأن التغييرات: سياسة إصدارات واضحة، والتزام بفترة دعم دنيا للإصدار القائم، وجدول زمني للإشعار المسبق قبل إيقاف أي قدرة عن الاستخدام.

إيقاف قدرة مركزية عن الاستخدام فجأةً هو بالضبط الوضع الذي تكون فيه قرينة الإجحاف الواردة في المادة 4(2) من قانون العقود الموحّدة ذات صلة: حق غير معقول للمزوِّد في تغيير التزامات جوهرية وفق العقد. في المقابل، الجهة المشغِّلة التي حدّدت مسبقًا سياسة إصدارات معقولة، ونشرت جدولًا زمنيًا، وأشعرت وفقه، تكون في موقف أفضل بكثير.

مفاتيح الوصول، وإساءة الاستخدام، وقانون الحواسيب

مفتاح الوصول وسيلة لإثبات الهوية، وكثيرًا ما يتسرّب: يُحفظ في شيفرة مفتوحة، أو ينتقل بين العاملين، أو يُسرق. ويجب أن تحدّد الاتفاقية صراحةً: واجب الحفاظ على سرية المفتاح، وحظر المشاركة، وواجب الإبلاغ الفوري عند الاشتباه في تسرّب، والمسؤولية عن الاستخدام الذي جرى بواسطته حتى موعد الإبلاغ.

إلى جانب العقد، هناك طبقة جنائية. يقرّر قانون الحواسيب، 1995 في المادة 4 أن من يتسلّل دون وجه حق إلى مادة حاسوبية موجودة في حاسوب عقوبته السجن ثلاث سنوات، وفي المادة 5 أن التسلّل على هذا النحو لارتكاب مخالفة أخرى عقوبته خمس سنوات. وتحظر المادة 2 تعطيل العمل السليم للحاسوب أو إعاقة استخدامه، وتحظر المادة 6(ب) نشر كلمة سر أو رمز وصول أو نقلهما لكي يُنفَّذ أحد الأفعال المحظورة. والاستخدام للواجهة بتجاوز التفويض، أو نقل مفتاح إلى طرف ثالث ليستخدمه استخدامًا محظورًا، قد يندرجان ضمنها.

الصلة بين الطبقتين عملية: كلما كان التفويض محددًا في العقد بدقة أكبر، كان من الأسهل إثبات أن فعلًا معيّنًا جرى «دون وجه حق» أو بتجاوز التفويض.

اشتباه في تجاوز التفويض أو في تسرّب مفتاح: ماذا تفعلون

1. تعلّقون المفتاح أو تستبدلونه، وفق آلية التعليق المحددة في الاتفاقية.
2. توثّقون الحادث: المتحكّم في قاعدة البيانات ملزَم بتوثيق كل حادث يثير الاشتباه في استخدام المعلومات دون تفويض أو بتجاوز التفويض (المادة 11(أ) من أنظمة حماية الخصوصية (أمن المعلومات)).
3. تحفظون سجلات الوصول. وفي قاعدة البيانات ذات مستوى الأمن المتوسط أو المرتفع تُحفظ 24 شهرًا على الأقل (المادة 10(د) من الأنظمة).
4. تفحصون هل الأمر «حادث خرق أمني خطير» وفق تعريفه في المادة 1 من الأنظمة. إذا كان كذلك، تبلّغون سلطة حماية الخصوصية فورًا (المادة 11(د) من الأنظمة).
5. ترسلون إلى المطوِّر مطالبة خطية بالتوقف عن الاستخدام وبحذف المعلومات التي سُحبت، وفق الاتفاقية.
6. عند الاشتباه في تسلّل دون وجه حق أو في تعطيل، تدرسون تقديم شكوى إلى الشرطة وفق قانون الحواسيب (المادتان 2 و4).

المعلومات الشخصية التي تمرّ عبر الواجهة

إذا كانت تتدفق عبر الواجهة معلومات عن أشخاص، تدخل قوانين حماية المعلومات إلى الصورة. فوفق قانون حماية الخصوصية، 1981 (חוק הגנת הפרטיות, התשמ״א-1981)، بصيغته بعد التعديل رقم 13 الذي دخل حيّز التنفيذ في 14 آب/أغسطس 2025، المتحكّم في قاعدة البيانات هو من يحدّد أغراض المعالجة، والحائز جهة خارجية تعالج المعلومات لصالحه. في الواجهة التي يعالج فيها المطوِّر المعلومات لصالح الجهة المشغِّلة، يكون المطوِّر هو الحائز؛ أما في الواجهة التي تقدّم فيها الجهة المشغِّلة خدمة للمطوِّر على معلومات زبائن المطوِّر، فقد تنقلب العلاقة. وتحديد الأدوار صراحةً في الاتفاقية يجنّب خلافًا لاحقًا.

عندما ينطوي التعاقد على منح وصول إلى قاعدة بيانات، تُلزم المادة 15 من أنظمة حماية الخصوصية (أمن المعلومات)، 2017 بأن تُحدَّد في الاتفاقية: المعلومات التي يجوز معالجتها وأغراض الاستخدام، والمنظومات التي يمكن الوصول إليها، ونوع المعالجة، ومدة التعاقد وطريقة إعادة المعلومات وإتلافها عند انتهائه، وطريقة تطبيق واجبات الأمن، والتزام أصحاب التفويضات بالسرية، وقواعد التعاقد مع مزوِّد من الباطن، وواجبات الإبلاغ: مرة في السنة على الأقل، وإشعار المتحكّم في قاعدة البيانات في حال وقوع حادث خرق أمني. الاشتراط نفسه يسري على كل اتفاقية سحابة أو خدمة.

المسؤولية: من يتحمّل الضرر، وتجاه من

في الواجهة المفتوحة ثلاث دوائر للضرر، ولكل منها ترتيبها الخاص. الدائرة الأولى هي الضرر الذي يسبّبه المطوِّر للجهة المشغِّلة: ضغط يُسقط الخدمة، أو استخدام متجاوز للبيانات، أو ثغرة مصدرها من جهته. وهنا يلزم التزام بالتعويض الضماني من جانب المطوِّر، محدّد النطاق والسقف، وإلى جانبه حق التعليق الفوري.

الدائرة الثانية هي الضرر الذي تسبّبه الجهة المشغِّلة للمطوِّر: التعطيل، أو إفساد البيانات، أو القطع المفاجئ. وهنا يُعرض عادةً إعفاء واسع، وهو الذي يُفحص وفق قانون العقود الموحّدة: الإعفاء الشامل يندرج ضمن قرينة الإجحاف الواردة في المادة 4(1)، والإعفاء من المسؤولية عن ضرر جسدي أو عن فعل متعمَّد باطل وفق المادة 5(ب). أما السقف المتناسب، الذي يستثني صراحةً الفعل المتعمَّد وخرق السرية ومخالفة واجبات أمن المعلومات، فأكثر صمودًا بكثير.

الدائرة الثالثة هي الضرر اللاحق بطرف ثالث: المستخدم النهائي للمطوِّر الذي تضرّر من عطل أو من تسرّب. في وضع كهذا قد يُقاضى الطرفان معًا، والمسألة الداخلية هي توزيع المسؤولية بينهما. وبند التعويض الضماني المتبادل، الذي يوزّع المخاطرة بحسب مصدر الخلل لا بحسب هوية المدعي، يجنّب تقاضيًا ثانيًا. ويُستحسن أيضًا تحديد آلية للتعاون في الدفاع: من يدير الإجراء، ومن يتحمّل التكاليف، ومن يحق له التسوية.

إلى جانب ذلك، عندما تنقل الواجهة معلومات شخصية، يُستحسن اشتراط وجود تأمين ملائم وتحديد نطاقه ومدة سريانه حتى بعد انتهاء التعاقد، لأن التعرّض في هذا المجال كثيرًا ما ينكشف متأخرًا.

الملكية الفكرية، والبيانات، والمخرجات

ثلاث مسائل ملكية منفصلة يُستحسن ألا تختلط. الأولى: الحقوق في الواجهة نفسها، وفي التوثيق، وفي المكتبات المساعدة: تبقى لدى الجهة المشغِّلة، ويحصل المطوِّر على ترخيص استخدام محدود وغير حصري وغير قابل للنقل. الثانية: البيانات التي تُنقل عبر الواجهة: لمن تعود، وما الذي يجوز فعله بها بعد انتهاء التعاقد. الثالثة: المخرجات التي ينشئها المطوِّر فوق الواجهة: تطبيقه ملكه، لكن قد تكون فيه مكوّنات مصدرها الجهة المشغِّلة.

بند إضافي يُستحسن تضمينه: استخدام الاسم والعلامات التجارية. يميل المطوّرون إلى عرض اسم الجهة المشغِّلة ليوحوا بالموثوقية، وتميل الجهات المشغِّلة إلى عرض زبائنها. ويُستحسن أن يُنظَّم مسبقًا ما يجوز عرضه، وفي أي سياق، ومتى ينتهي الإذن.

الإنهاء، والتغيير، والإشعار المسبق

اتفاقية الواجهة المعقولة تميّز بين ثلاث حالات إنهاء: إنهاء بمبادرة المطوِّر؛ وإنهاء بمبادرة الجهة المشغِّلة لأسباب تجارية، يستلزم إشعارًا مسبقًا معقولًا؛ وتعليق فوري بسبب مخالفة، أو خطر أمني، أو مطالبة من سلطة. ولكل حالة يجب تحديد ما يحدث للبيانات التي نُقلت: الحذف، أو الإعادة، أو استمرار استخدام محدود.

بشأن تغيير الشروط: الصيغة الشائعة «استمرار الاستخدام يُعدّ موافقة على الشروط المحدَّثة» تُفحص في العقد الموحّد وفق قرائن الإجحاف. والصيغة المتوازنة تحدّد إشعارًا مسبقًا، وتميّز بين التغيير التقني والتغيير الجوهري، وتمنح المطوِّر فترة زمنية لإنهاء التعاقد دون غرامة إذا كان التغيير جوهريًا.

أسئلة وأجوبة

هل شروط الاستخدام لواجهة البرمجة (API) ملزمة إذا اكتفينا بالتأشير على خانة؟

نعم، كقاعدة عامة. يمكن أن تتمّ الموافقة بمصادقة إلكترونية وبالاستخدام الفعلي لمفتاح الوصول. ومع ذلك، عندما يتعلق الأمر بصيغة موحّدة كتبها الطرف القوي مسبقًا، فقد تبطل شروط معيّنة فيها أو تتغيّر وفق قانون العقود الموحّدة، والشرط الذي ينفي الحق في التوجّه إلى المحاكم باطل من أساسه.

ماذا يحدث إذا تجاوز المطوِّر حدود معدّل الطلبات؟

إذا حُدّدت الحدود ونتيجة التجاوز في العقد، تسري النتيجة المحددة: الإبطاء، أو رسوم إضافية، أو التعليق. وإن لم تُحدَّد، تبقى للجهة المشغِّلة ادعاءات عامة فقط، وأحيانًا ادعاء وفق قانون الحواسيب بشأن إعاقة استخدام الحاسوب، وهو ادعاء يصعب إثباته أكثر.

هل يمكن قطع وصول المطوِّر دون إشعار؟

يتوقف ذلك على السبب والصياغة. التعليق الفوري بسبب مخالفة أو خطر أمني معقول؛ أما القطع التجاري دون إشعار، وخاصةً عندما يكون المطوِّر قد بنى منتجًا على الواجهة، فيُفحص وفق قرينة الإجحاف الواردة في المادة 4(2) من قانون العقود الموحّدة. ويُستحسن تحديد الأسباب ومدد الإشعار مسبقًا.

هل يلزم ترتيب خصوصية منفصل لواجهة البرمجة؟

إذا كانت تمرّ عبرها معلومات عن أشخاص، نعم. يجب تحديد من هو المتحكّم في قاعدة البيانات ومن هو الحائز، وتضمين المواضيع التي تعدّدها المادة 15 من أنظمة حماية الخصوصية (أمن المعلومات): نطاق المعالجة، والمنظومات، ونوع العمليات، ومدة التعاقد، وإعادة المعلومات وإتلافها، وتطبيق واجبات الأمن، والسرية، والمزوِّدين من الباطن، والإبلاغ عن حادث خرق أمني.