إذا كان تطبيقك يطلب الوصول إلى بيانات المستخدمين الحسّاسة باستخدام نطاقات مشروطة، يجب إكمال عملية إثبات الملكية. معظم نطاقات Google Health API مقيّدة، ما يعني أنّه عليك إكمال عملية إثبات الملكية قبل إتاحة تطبيقك للجميع.
أثناء هذه العملية، تتحقّق Google من امتثال تطبيقك لسياسة بيانات المستخدمين الخاصة بخدمات واجهة برمجة التطبيقات وأي سياسات أخرى سارية.
إذا لم يتم التحقّق من تطبيقك، سيقتصر على 100 مستخدم. لإتاحة استخدام التطبيق لعدد أكبر من المستخدمين، عليك إكمال عملية التحقّق. تتم عملية التحقّق هذه بشكل منفصل عن أي عملية مراجعة للتطبيقات تتطلبها متاجر التطبيقات، مثل Google Play. قد يتم إدراج تطبيق لم يكمل عملية التحقّق هذه في "متجر Google Play"، ولكن سيظل عدد المستخدمين الذين يمكنهم استخدامه محدودًا بـ 100 مستخدم. لمزيد من المعلومات، يُرجى الاطّلاع على مركز المساعدة بشأن التحقّق من تطبيقات OAuth.
تتضمّن عملية التحقّق جزأين:
- التحقّق من تطبيق OAuth: يراجع فريق "الأمان والثقة" في Google هوية تطبيقك ونطاقاته والمعلومات الأخرى التي تقدّمها في Google Cloud Console. يمكنك الاطّلاع على متطلبات التحقّق لمزيد من المعلومات.
- تقييم الأمان: يجب أن يخضع تطبيقك لتقييم أمان من جهة خارجية للتأكّد من أنّه يعالج بيانات المستخدمين بشكل آمن.
التحقّق من تطبيقات OAuth
للاستعداد لعملية التحقّق، يُرجى مراجعة دليل نطاقات OAuth 2.0 المحظورة واتّباعه. يوضّح هذا الدليل الخطوات اللازمة للاستعداد لطلب إثبات الملكية في وحدة تحكّم Google Cloud.
يجب أن تكون محدّدًا عند توضيح سبب حاجة تطبيقك إلى كل نطاق. قد تؤدي المبرّرات الغامضة أو المكرّرة لنطاقات مختلفة إلى حدوث تأخيرات في عملية التحقّق.
متطلبات الإفصاح داخل التطبيق
يجب أن تفصح بوضوح للمستخدمين عن كيفية وصول تطبيقك إلى بيانات الصحة واللياقة البدنية واستخدامها ومشاركتها.
يجب أن يلتزم بيان الإفصاح داخل التطبيق بالمعايير الآتية:
- يجب أن يظهر داخل التطبيق نفسه، وليس في وصف التطبيق أو على موقع إلكتروني فقط.
- يجب أن يُعرض أثناء الاستخدام العادي للتطبيق بدون الحاجة إلى انتقال المستخدم إلى قائمة أو إعدادات.
- يجب أن يتضمّن وصفًا للبيانات التي يتم الوصول إليها أو جمعها.
- يجب أن يوضِّح طريقة استخدام البيانات أو مشاركتها.
- لا يمكن الاكتفاء بعرضه ضِمن سياسة الخصوصية أو بنود الخدمة فقط.
- لا يمكن تضمينه مع بيانات الإفصاح الأخرى غير ذات الصلة بجمع البيانات من Google Health API.
في ما يلي تنسيق مقترَح لبيان الإفصاح: "يجمع تطبيق {App name} بيانات الصحة واللياقة البدنية لتفعيل الميزات {feature} و{feature} و{feature}."
على سبيل المثال: "يجمع تطبيق Fitness Coach بيانات نشاط المستخدم لتفعيل الإحصاءات والتدريب المخصّص".
تقييم الأمان (CASA)
بالإضافة إلى عملية التحقّق من OAuth، يجب أن تجتاز التطبيقات التي تستخدم نطاقات محدودة أيضًا تقييم أمان سنويًا استنادًا إلى إطار عمل تقييم أمان تطبيقات السحابة الإلكترونية (CASA). سيُرسل إليك فريق الثقة والأمان في Google إشعارًا يتضمّن التعليمات اللازمة لإكمال هذه العملية.
تُجري شركة أمان تابعة لجهة خارجية هذا التقييم للتأكّد من أنّ تطبيقك يتعامل مع بيانات المستخدمين بأمان ويمكنه حذفها عند الطلب. يستند تقييم أمان تطبيقات السحابة الإلكترونية إلى معيار التحقّق من أمان التطبيقات (ASVS) المعترف به في المجال من OWASP. بعد اجتياز التقييم، يتلقّى تطبيقك "خطاب مصادقة" من الجهة المسؤولة عن تقييم الأمان.
للحصول على مزيد من التفاصيل حول برنامج CASA والاطّلاع على مقيِّمي الأمان المعتمَدين، يُرجى الانتقال إلى الموقع الإلكتروني لتقييم أمان تطبيقات السحابة الإلكترونية.
إذا كانت لديك شهادات أمان حالية أو نتائج حديثة لاختبار الاختراق تتوافق مع المعايير المقبولة في المجال، قد تتمكّن من تسريع عملية CASA. تقدّم CASA برنامج Accelerator الذي يتيح للمقيّمين استخدام المستندات الصالحة الحالية من أُطر الأمان المقبولة للحدّ من عمليات التحقّق المكرّرة وربما خفض تكاليف التقييم.
تقبل Google شهادات HITRUST وSOC 2 وISO/IEC 27001 التي سبق لك الحصول عليها. لاستخدام هذه الشهادات، عليك التعاون مع مقيّم معتمد من CASA وتقديم مستندات HITRUST أو SOC 2 أو ISO/IEC 27001 المكتملة. يتحقّق مقيّم CASA من هذه الشهادات مقارنةً بقائمة متطلبات CASA، ما يقلّل من الوقت المطلوب لإكمال تقييم CASA.
يمكن أن تستغرق عملية تقييم الأمان مدة تتراوح بين أسبوعَين و3 أسابيع بالنسبة إلى تطبيقات المستوى 2، وبين 4 أسابيع و6 أسابيع بالنسبة إلى تطبيقات المستوى 3، كما تتضمّن رسومًا مستحقة الدفع إلى الجهة الخارجية التي تجري التقييم، وتتراوح هذه الرسوم بين 500 دولار أمريكي و4,500 دولار أمريكي، وذلك حسب درجة تعقيد تطبيقك. سيُعلم فريق "الثقة والأمان" المطوّر بموعد بدء عملية CASA.
بعد الحصول على "خطاب التحقّق" (LOV)، أرسِل الخطاب إلى "فريق الثقة والسلامة" في Google لإكمال تقييم الأمان.
حالات التصعيد
تُجري جهة خارجية تقييم CASA، ولا تتحكّم Google في عملية التقييم هذه. يجب التواصل مباشرةً مع الجهة التي اخترتها لتقييم الأمان بشأن أي مشاكل متعلّقة بالتقييم.