الخلاصة

  • أرجعت DoorDash وصولًا غير مصرّح به في سبتمبر 2019 إلى أحد مزوّدي خدماتها، وأصاب الحادث نحو 4,9 مليون عميل وسائق توصيل وتاجر.
  • السجل المحفوظ لهذا التحقيق يقول أين كانت البيانات، ولا يقول أبدًا من كان يملك الضبط الذي فشل، ولا يحمل أي جزاء مرتبط بحادثة 2019.
  • الإجراء الوحيد المحدد في كاليفورنيا يتعلق بسلوك آخر: بيع معلومات شخصية دون إشعار ودون خيار رفض، في فبراير 2024.
  • الإصلاح القابل للتدقيق يحتاج نطاق بيانات وصلاحيات محدّدًا، ومالكًا مسمّى للضبط، وتدقيقًا مُنفَّذًا فعلًا، وإعادة اختبار مستقلة، ومخرجًا حقيقيًا من المورّد.

في سبتمبر 2019 أعلنت DoorDash أن طرفًا ثالثًا غير مصرّح به وصل إلى معلومات كانت محفوظة لدى أحد مزوّدي خدماتها من الأطراف الثالثة. أصاب الحادث نحو 4,9 مليون شخص، بينهم عملاء وسائقو توصيل مسجّلون باسم Dashers وتجّار شركاء. والبيانات الموصوفة بأنها كانت معنية عادةً هي الأسماء وعناوين البريد الإلكتروني وعناوين التسليم وسجل الطلبات وكلمات المرور المحفوظة بصيغة تجزئة، مع حالات من الأرقام الأربعة الأخيرة لبطاقات دفع العملاء (سجل الحادثة).

الجملة المهمة في البداية لا في النهاية: المعلومات كانت عند مورّد. الإشعار يخبرنا بمكان البيانات، لا بمن كان يملك الضبط عليها. لا يقول أي نظام انهار، ولا على من كانت المسؤولية عنه، ولا متى بدأ الاختراق، ولا كم بقي مفتوحًا، ولا إن كان متعاقد من الباطن قد شارك في الواقعة. القارئ يخرج من الإشعار عارفًا أنه فقد بيانات كانت محفوظة خارج الشركة — وجاهلًا بمن يسأله عن السبب.

هذا التفاوت هو القضية. منصّة توصيل تُوصل الطعام إلى أبواب ملايين البيوت، والبيانات التي تتسرّب تمرّ في سلسلة مورّدين لم يخترها العميل ولم يرها ولا يملك وسيلة لتقييمها. المورّد يشغّل البيئة: الخادم والإعداد والصلاحية والاعتماد. وDoorDash تحتفظ بالعلاقة العامة مع العملاء والسائقين والتجّار، ومن ثمّ تحتفظ أيضًا بواجب الشرح. التشغيل والضمان وظيفتان مختلفتان، وإشعار 2019 يصف الأولى فقط.

رواية الشركة عن ردّها كانت هذه: تأمين الأنظمة، وتعزيز بروتوكولات الأمان، وإبلاغ المتأثرين. هذا إقرار بإجراءات، لا نتيجة اختبار. والفرق ليس بلاغيًا. تأمين نظام بعد اختراق هو عمل استجابة عادي؛ وإثبات أن الحدّ مع المورّد صار قابلًا للتحقّق شيء آخر، يحتاج مستندًا ومالكًا وتاريخًا. ما يقدّمه السجل المحفوظ هو تأكيد بأن شيئًا ما قد فُعل. التأكيد صحيح كتأكيد. وهو لا يُثبت أن الثغرة في الحدّ قد أُصلحت، ولا أنها بقيت مُصلحة في السنة التالية.

تحويل الإقرار إلى دليل له مسار معروف. تقرير سبب جذري يسمّي الضبط الذي فشل والجهة المسؤولة عنه. نافذة الوصول بتاريخ الاكتشاف وتاريخ الاحتواء. تفصيل الرقم الإجمالي بحسب الشريحة، لأن 4,9 مليون عميل وسائق وتاجر ليسوا التعرّض نفسه. ثم نتيجة إعادة اختبار ينفّذها من لا يوقّع عقد المورّد. لا شيء من هذا يظهر في المادة المحفوظة لهذا التحقيق.

داخل هذه المادة — ملخّص الحادثة ونصّان عن تسوية كاليفورنيا لعام 2024 — لا توجد غرامة ولا أمر ولا حكم ولا استرداد تعاقدي ولا نتيجة تنظيمية سرّية مرتبطة بواقعة 2019. الغياب محدود بما قُرئ وبما بُحث عنه، وهكذا يجب أن يُقرأ: لا دليلًا على أن شيئًا لم يحدث في أي مكان، بل صورةً لقضية أنتجت إشعارًا ولم تنتج سجلًا عامًا للمساءلة.

بعد أربع سنوات ونصف، في فبراير 2024، أعلن النائب العام في كاليفورنيا تسوية مع DoorDash تنهي ادّعاءات بموجب قانون خصوصية المستهلك في كاليفورنيا وقانون حماية الخصوصية على الإنترنت في كاليفورنيا، بشأن بيع معلومات شخصية للمستهلكين دون إشعار ودون فرصة للرفض، مع التزامات بأفعال تخصّ ممارساتها في البيانات (إعلان النائب العام، تغطية النزاع القضائي).

هذا الإجراء يخصّ سلوك DoorDash نفسها: ماذا باعت، وماذا أشعرت، وأي خيار عرضت. ليس هو وصول 2019، ولا مورّد 2019، ولا الضبط الذي فشل في 2019. ومعاملة أحدهما كعقاب على الآخر تمنح إجراءً أثرًا لم يكن له. والمبلغ المعلن لا يُنقل هنا: الوثائق المحفوظة لهذا التحقيق لا تحمل النصّ الحرفي للإعلان، ورقمًا يُنشر بلا هذا التأكيد إنما هو تخمين بثوب بيانات.

ما يبقى غير مريح ومفيد في الوقت نفسه. شركة يمكن أن تصاب بخسارة توسط فيها مورّد، فتُشعر ملايين الأشخاص، وتعلن تعزيز بروتوكولاتها، وتواصل العمل — ويظلّ الجمهور بلا مستند يمكّنه من الحكم إن كان الحدّ قد صار أكثر أمانًا. الإشعار يؤدّي وظيفة التحذير. ولا يؤدّي وظيفة الإثبات.

الحدّ القابل للتدقيق مكوّناته ملموسة: نطاق محدّد لأي بيانات وأي صلاحيات يستطيع المورّد لمسها؛ مالك مسمّى لكل ضبط، من جهة المتعاقد ومن جهة المورّد؛ إجراءات تصحيحية مربوطة بسبب جذري محدّد لا بتشخيص عام؛ حقوق إشعار وتدقيق قابلة للقياس، بمدّة وبعاقبة؛ أدلة يستطيع المشغّل رؤيتها دون الاعتماد على رواية المورّد؛ إعادة اختبار مستقلة بعد الإصلاح؛ ومخرج حقيقي مع قابلية نقل البيانات ومدّة انتقال. بدون البند الأخير، الستة الأولى وعود.

المخرج هو الاختبار الأقسى لأنه الوحيد الذي لا يُجاب عنه بوثائق. عقد يسمح بالتدقيق ولم تُنفَّذ فيه تدقيقتان هو بند، لا ضبط. وحقّ فسخ يستلزم ترحيل نظام كامل في أسابيع هو عبارة مؤثرة. السؤال العملي الذي يجب أن يطرحه أي مجلس على مورّد البيانات الحرجة بسيط ومزعج: لو احتجنا إلى استبدالك في الربع القادم، فما الذي سيتوقّف بالضبط؟

تظهر DoorDash في دليل BTW كحالة مخاطر ومساءلة، وهي كذلك: حالة عن المسافة بين إعلان خلل وبين أي سجل يتيح قياسه. حادثة 2019 انتهت ببيان. وحادثة 2024 انتهت بتسوية في مسألة أخرى. وبينهما فراغ ليس أدبيًا — هو غياب مستند يحوّل العلاقة مع المورّد إلى شيء يستطيع عميل أو مستشار أو منظّم أن يفتحه ويراجعه، ويُنهيه إن لزم.

شركة تنسّق ملايين عمليات التوصيل يوميًا تعرف تشغيل اللوجستيات تحت الضغط. والكفاءة التي يطالب بها هذا الملف مختلفة: تصميم الحدّ مع المورّد بحيث يصمد أمام الخلل، وأمام تبدّل المورّد، وأمام التدقيق. وما دام هذا الحدّ موجودًا كبند موقّع وبيان صادر فقط، فالإشعار التالي ستكون له البنية نفسها التي كانت لإشعار 2019 — مكان، ولا مسؤول.