عندما تفعّلون إعداد «التحويلات المحسّنة» في Google Ads، يُشفَّر بالـ hash البريد الإلكتروني ورقم الهاتف والعنوان الخاص بالشخص الذي يملأ النموذج أو يُجري عملية شراء، ثم يُرسَل إلى Google. تنتهي معظم الشروحات عند هذا الحد وتختم بعبارة «لا مشكلة لأن البيانات مشفّرة بالـ hash». في هذه المقالة نبحث في ما هو صحيح وما هو ناقص في هذه العبارة. واستخدمنا كمصادر صفحات المساعدة من Google ولائحة هيئة KVKK وإرشادات EDPB.
الإجابة المختصرة
الـ hash وسيلة لنقل البيانات بأمان، لكن لا يوجد أساس قوي لاعتباره إخفاءً للهوية (anonymization). فبما أن الـ hash الخاص بعنوان البريد الإلكتروني يمكن إعادة إنتاجه ومطابقته من قِبل أي شخص يعرف العنوان، فمن المرجّح أن يبقى بيانات شخصية. لذلك، عند تفعيل التحويلات المحسّنة، عليكم التأكد من أن البنية التحتية للموافقة لديكم (البانر، Consent Mode) ونص الإفصاح يغطّيان هذا المسار.
ماذا تفعل التحويلات المحسّنة بالضبط؟
وفقًا لصفحة المساعدة من Google، تدعم هذه الميزة قياس التحويلات الحالي لديكم عبر إرسال بيانات تحويل من الطرف الأول بعد تشفيرها بالـ hash إلى Google. ومن البيانات التي يمكن استخدامها: البريد الإلكتروني للعميل واسمه وعنوان منزله ورقم هاتفه. وتتم المطابقة بمقارنة البيانات المشفّرة بحسابات Google المسجَّل الدخول إليها.
الهدف بسيط: عندما لا يكفي ملف تعريف الارتباط أو معرّف النقرة وحده، يمكن ربط التحويل بالنقرة على الإعلان باستخدام بيانات العميل الفعلية في صفحة الطلب. وهناك نوعان. التحويلات المحسّنة للويب تكمّل وسم التحويل في الموقع، أما النسخة الخاصة بالعملاء المحتملين فتحسّن استيراد التحويلات غير المتصلة بالإنترنت.
كيف يعمل الـ hash؟
قبل إرسال البيانات تطلب Google إزالة المسافات في البداية والنهاية، وتحويل النص إلى أحرف صغيرة، وتحويل الهاتف إلى صيغة E.164، وإزالة النقاط الواقعة قبل اسم النطاق في عناوين gmail.com وgooglemail.com. بعد ذلك تُطبَّق خوارزمية SHA256 بالصيغة السداسية عشرية. وتصف Google ذلك بأنه خوارزمية أحادية الاتجاه.
والتفصيل هنا: لا يلزم بالضرورة أن تقوموا أنتم بإجراء الـ hash. فإذا جُمعت البيانات بوسم Google أو بطريقة الجمع التلقائي في GTM، يتم الـ hash من جانب Google. وإذا أعددتم كائن user_data بكود مخصص في GTM، فيمكنكم تطبيق الـ hash على البيانات مسبقًا أو ترك ذلك لـ Google. وأيًّا كان الطريق الذي تختارونه، فالقواعد نفسها.
«أحادي الاتجاه» لا يعني «مجهول الهوية»
أن يكون الـ hash أحادي الاتجاه يعني أنه لا يمكن استرجاع البريد الإلكتروني منه بالحساب. لكن المشكلة ليست في الاسترجاع، بل في المطابقة. فعنوان البريد الإلكتروني نفسه ينتج الـ hash نفسه في كل مرة. ومن يعرف البريد الإلكتروني مسبقًا يستطيع تطبيق الـ hash بالطريقة نفسها على العناوين في قائمته ومقارنتها للوصول إلى الشخص. وهذا هو منطق عمل التحويلات المحسّنة: تطابق Google الـ hash مع الأشخاص في حساباتها.
معيار KVKK هو الحاسم في هذه النقطة. فوفقًا للمادة 10 من لائحة حذف البيانات الشخصية أو إتلافها أو إخفاء هويتها (anonymization)، يعني إخفاء الهوية جعل البيانات غير قابلة للربط بشخص طبيعي محدَّد أو قابل للتحديد، حتى عند مطابقتها مع بيانات أخرى. وتشترط المادة نفسها تحقق هذه النتيجة حتى لو استخدم المسؤول عن البيانات أو المتلقي جميع تقنيات الاسترجاع والمطابقة. ومن الصعب الدفاع عن أن مسارًا قائمًا على المطابقة يستوفي هذا المعيار.
هناك توجّه مشابه في أوروبا. ففي إرشادات الأسماء المستعارة (pseudonymisation) التي اعتمدها EDPB في جلسته العامة في يناير 2025، يُذكر أن البيانات ذات الأسماء المستعارة التي يمكن ربطها بشخص بمعلومات إضافية تبقى بيانات شخصية. وقد نُشر النص للتشاور العام، وانتهت فترة التشاور في 28 فبراير 2025. ونوصي بالتحقق من النسخة النهائية. ولنُضف ملاحظة: هذه الإرشادات خاصة بـ GDPR ولا تُلزم KVKK. وما نفعله هنا هو بيان أن التنظيمين يتجهان في الاتجاه نفسه. لم نجد قرارًا لمجلس KVKK خاصًّا بالتحويلات المحسّنة، ولذلك لا نقول «قالت الهيئة كذا». هذه المقالة ليست رأيًا قانونيًّا، بل قراءتنا الخاصة.
كيف يرتبط الإذن (الموافقة) من جانب Google؟
وفقًا لبيان الخصوصية من Google، لا تُجمع بيانات المستخدم ما لم تُقبَل شروط الخدمة وتُضبط معاملات الإذن المطلوبة على «تم منح الإذن». وإذا طُبِّق وضع الموافقة (Consent Mode)، فإن الصفحة نفسها تذكر أن ملف تعريف الارتباط الإعلاني يعتمد على حالة الإذن ad_storage. وتُحذف جميع البيانات التي لا يمكن ربطها بتحويل. ولتفعيل الميزة يُشترط قبول شروط معالجة البيانات من Google للإعلانات والالتزام بسياسات بيانات العملاء.
هذا يعني أن Consent Mode يجب أن يكون مُعدًّا بالشكل الصحيح مسبقًا. فتفعيل التحويلات المحسّنة في موقع قيمه الافتراضية خاطئة، أو لافتة الموافقة فيه غير مرتبطة بالوسوم أصلًا، يزيد من المخاطر. وقد شرحنا الموضوع بالتفصيل في مقالنا عن Consent Mode v2. لا تقدّم صفحة Google تفاصيل حول واجهة الموافقة على ملفات تعريف الارتباط المعروضة للمستخدم؛ وهذا الجزء من مسؤوليتكم ومسؤولية مستشاركم القانوني.
ما يجب التحقق منه من منظور KVKK
- إشعار الخصوصية: اذكروا أن بيانات مثل البريد الإلكتروني ورقم الهاتف تُنقل إلى Google بعد تجزئتها (hash) لأغراض قياس الإعلانات. عبارة «نستخدم ملفات تعريف الارتباط» لا تصف هذا التدفق.
- الأساس القانوني والموافقة: حدّدوا الأساس الذي تُعالَج البيانات بناءً عليه. وفيما يخص التدفقات ذات الأغراض الإعلانية، أوضحوا ذلك مع محاميكم. وإذا كنتم تعتمدون على الموافقة، فيجب ألا تُرسَل بيانات الشخص الذي يرفض.
- النقل إلى الخارج: تعالج Google البيانات خارج تركيا. وتنطبق أحكام KVKK المتعلقة بالنقل إلى الخارج على هذا التدفق أيضًا. أما الآلية التي ستستخدمونها في هذا الشأن فتعتمد على بنية العقود والموافقات لديكم.
- الفئات الحساسة: وفق وثائق Google، لا يمكن استخدام التحويلات المتعلقة بالفئات الحساسة ضمن التحويلات المحسّنة. إذا كنتم تعملون في مجالات مثل الصحة، فلا تفعّلوا هذه الميزة إطلاقًا أو استشيروا مختصًا أولًا.
- لا ترسلوا حقولًا غير ضرورية: إذا كان البريد الإلكتروني كافيًا دون الاسم والعنوان، فاجمعوه وحده فقط.
الإعداد والتحقق
في Google Ads، يمكنكم عبر الأهداف ← التحويلات ← الإعدادات فتح قسم «التحويلات المحسّنة للويب» وتفعيل الميزة وقبول إقرار الامتثال. أما من جهة الوسوم فالخيارات هي وسم Google أو GTM أو واجهة Google Ads API. قد تتغير أسماء القوائم بحسب الواجهة، لذا تحقّقوا من المسار الحالي في صفحة المساعدة الخاصة بـ Google.
للتحقق، افحصوا في طلبات الشبكة بالمتصفح ما إذا كانت المعاملات em أو pn تحمل قيمة مجزّأة (hash). فإذا رأيتم بريدًا إلكترونيًا بصيغة نص عادي فالإعداد خاطئ. يظهر تقرير التشخيص من Google بعد نحو 48 ساعة. ومن الطبيعي أن تروا حالة «قيد المعالجة» في الأيام الأولى.
إذا أردتم تتبع الصفقات التي تُغلَق عبر WhatsApp بعد البيع من جهة Meta، فيمكنكم الاطلاع على مقالنا حول ctwa_clid وواجهة Conversions API لمنطق مشابه.
هل يستحق التفعيل؟
هذا قرار يتعلق بجودة القياس. تقول Google إن الميزة تحسّن الدقة، لكننا لا نستطيع أن نعرف مسبقًا حجم الفرق الذي ستحدثه في حسابكم، ولذلك لا نذكر أرقامًا. تستحق التجربة للمواقع التي تجمع العملاء عبر النماذج أو تبيع عبر الإنترنت ولديها ميزانية إعلانية شهرية معتبرة. أما إذا لم تكن بنية الموافقة لديكم مستقرة بعد، فأصلحوها أولًا ثم فعّلوا الميزة. وبهذا الترتيب تصل البيانات أنظف ويكون لديكم إعداد يمكنكم الدفاع عنه.
الأسئلة الشائعة
هل يُعدّ البريد الإلكتروني المجزّأ (hash) بيانًا شخصيًا بموجب KVKK؟
على الأرجح نعم. فالتجزئة (hash) أقرب إلى استخدام الأسماء المستعارة منها إلى إخفاء الهوية. ولأن البريد الإلكتروني نفسه ينتج دائمًا قيمة التجزئة نفسها، يستطيع من يعرف العنوان إجراء مطابقة. وللحصول على تقييم قانوني قطعي، استشيروا محاميكم.
هل تلزم الموافقة على ملفات تعريف الارتباط لتفعيل التحويلات المحسّنة؟
وفقًا لصفحة المساعدة الخاصة بـ Google، إذا كان وضع الموافقة مطبّقًا فإن ملف تعريف الارتباط الإعلاني يعمل بحسب حالة الموافقة ad_storage، ولا تُجمع بيانات المستخدم إذا لم تكن معاملات الموافقة المطلوبة بقيمة «granted». أي أن إعداد Consent Mode لديكم يجب أن يكون صحيحًا.
هل أجزّئ البيانات بنفسي أم تفعل Google ذلك؟
كلا الخيارين ممكن. فمع وسم Google تجزّئ Google البيانات قبل إرسالها. وفي GTM يمكنكم تجزئة البيانات مسبقًا بشيفرة مخصصة ثم إرسالها، أو ترك Google تتولى ذلك. وأيًّا كان خياركم، فقواعد التوحيد القياسي (normalization) هي نفسها.
إذا أردتم مراجعة البنية التحتية للموافقة لديكم قبل تفعيل التحويلات المحسّنة
دعونا نراجع معًا إعداد البانر وConsent Mode وتحويلات Google Ads لديكم، ونوضح أي بيانات تُرسل وفق أي موافقة.