اتفاقية معالجة البيانات الشخصية

جهة المعالجة: منصة «حجزك» (hjzak.com) التي تملكها وتشغلها مؤسسة ألفا إكس 10 للتكنولوجيا (سجل تجاري رقم 7051628134، والعنوان الوطني: مبنى 6292، شارع سعيد بن قيس، حي الرابية، الرقم الفرعي 2207، الرمز البريدي 36325، العيون، المملكة العربية السعودية، والعنوان المختصر FOJB6292)، وهي مؤسسة فردية سعودية، ويشار إليها في هذه الاتفاقية بـ«نحن».

جهة التحكم: المنشأة المشتركة التي قبلت هذه الاتفاقية عند التسجيل، ويشار إليها بـ«المنشأة». ويقر من يقبل الاتفاقية بأنه يمثل المنشأة وله صلاحية إلزامها.

فيما يخص بيانات عملاء المنشأة، فالمنشأة هي جهة التحكم لأنها تحدد غرض المعالجة وكيفيتها، كإعداد خدماتها وتصميم أسئلة الحجز، ونحن جهة معالجة نعالج هذه البيانات لمصلحة المنشأة ونيابةً عنها.

أما بيانات حساب المنشأة نفسه، كاسم صاحب الحساب وبريده ومستندات التحقق، فنحن جهة تحكم فيها وفق سياسة الخصوصية في المنصة، ولا تشملها هذه الاتفاقية.

لا يجوز استخدام حساب باسم فرد لمعالجة بيانات منشأة أو جهة أخرى دون تفويض منها. وعلى المنشأة أو الجهة صاحبة العلاقة بالعملاء أن تفتح الحساب باسمها.

نعالج بيانات عملاء المنشأة لغرض واحد هو تقديم خدمة إدارة المواعيد والحجوزات للمنشأة، ويشمل ذلك:

• تخزين بيانات الحجز وعرضها للمنشأة ولمن تأذن لهم من موظفيها.
• إرسال رسائل البريد المتعلقة بالحجز، كالتأكيد والتذكير والتعديل والإلغاء.
• حماية الخدمة وبياناتها من الإساءة والاختراق، وحفظ نسخ احتياطية.

لا نستخدم بيانات عملاء المنشأة لأغراضنا الخاصة، ولا نبيعها، ولا نستخدمها للتسويق أو الإعلان أو بناء ملفات تعريفية للأفراد.

سجلات التشغيل الأمنية للمنصة، كعنوان الشبكة وتوقيت الدخول، نعالجها لأمن الخدمة بوصفنا جهة تحكم وفق سياسة الخصوصية.

أصحاب البيانات: الأفراد الذين يحجزون مواعيد لدى المنشأة عبر المنصة، أي عملاء المنشأة.

فئات البيانات الشخصية المعالجة:

• الاسم.
• رقم الجوال.
• البريد الإلكتروني.
• سجل الحجز: الخدمة والموعد والحالة.
• إجابات أسئلة الحجز التي تصممها المنشأة.
• الملاحظات التي يكتبها العميل أو موظفو المنشأة.

لا نطلب من عملاء المنشأة رقم الهوية الوطنية ولا بيانات الدفع في إطار هذه الاتفاقية.

حقلا أسئلة الحجز والملاحظات مخصصان لتنظيم الموعد فقط. ونحن نعمل أداة عامة لإدارة المواعيد، ولسنا نظام سجلات طبية، ولم نصمم الخدمة لتلبية متطلبات خاصة بقطاع الصحة أو أي قطاع منظم آخر.

يُحظر على المنشأة وموظفيها إدخال بيانات صحية أو بيانات حساسة أخرى، كالدينية أو الجينية أو البيومترية أو الجنائية، في حقلي أسئلة الحجز والملاحظات، أو تصميم أسئلة تطلبها من عملائها. ويظهر تنبيه ظاهر بجانب الحقلين يذكّر بهذا الحظر. ويبقى الحظر قائماً دون ارتباط بموقع الاستضافة، بما في ذلك بعد انتقالها إلى داخل المملكة. والمنشآت التي تحتاج إلى بيانات صحية عليها استخدام أنظمة القطاع الصحي المتخصصة.

يظهر تنبيه ظاهر عند الإدخال في المتصفح، دون إرسال المحتوى إلى الخادم لغرض الفحص. ولنا تعطيل الحقل للمنشأة المخالفة، ويمكن لأي شخص الإبلاغ عن محتوى مخالف وفق سياسة الإزالة.

المنشأة وحدها مسؤولة عن تصميم أسئلة الحجز وعن كل ما يكتبه موظفوها وعملاؤها في الحقلين، وتلتزم بما يلي:

• ألا تطلب إلا الحد الأدنى اللازم من البيانات لتنظيم الموعد.
• ألا تطلب أو تُدخل بيانات صحية أو حساسة في الحقلين.
• أن تُحيط فريقها بهذا الحظر وتتابع التزامه به.
• أن تلتزم بأنظمة قطاعها وتراخيصه التي تحكم بيانات عملائها.

تقر المنشأة بأنها اطلعت على القسم 10 المتعلق بالنقل خارج المملكة، وأن النقل المتعلق بالبيانات الحساسة تقيده ضوابط أشد، وأن ذلك من أسباب هذا الحظر. ولا تناسب هذه الخدمة المنشآت التي تحتاج إلى إدخال بيانات صحية، كالعيادات، فعليها استخدام أنظمة القطاع الصحي المتخصصة.

يحق لنا، بعد إشعار المنشأة، تعطيل حقل أو إزالة محتوى منه إذا تبين أنه يجمع بيانات صحية أو حساسة بما يخالف هذه الاتفاقية أو الأنظمة.

تبدأ المعالجة من وقت قبول المنشأة لهذه الاتفاقية، وتستمر طوال مدة اشتراكها في المنصة، ثم خلال مهلة التراجع المنصوص عليها في القسم 14، وتنتهي بالحذف وفق ذلك القسم.

نعالج البيانات وفق تعليمات المنشأة الموثقة فقط، وهي: هذه الاتفاقية، وما تجريه المنشأة بنفسها في لوحة التحكم من إعدادات وإدخال وتعديل وحذف، وما تطلبه كتابةً عبر البريد [email protected].

على المنشأة أن تصدر تعليماتها بوضوح، وأن تتأكد أنها لا تخالف الأنظمة المعمول بها في المملكة.

إذا رأينا أن تعليمة من المنشأة تخالف نظاماً معمولاً به في المملكة، أشعرناها بذلك كتابةً ودون تأخير، وجاز لنا إيقاف تنفيذ تلك التعليمة إلى أن تُعدَّل.

لا نمنح الوصول إلى البيانات إلا لمن يحتاجه من العاملين لدينا لتقديم الخدمة.

نحافظ على سرية بيانات عملاء المنشأة، ونلزم كل من يصل إليها بالسرية. ولا نفصح عنها لأي طرف إلا للمعالجين الفرعيين المذكورين في القسم 9 بالقدر اللازم لتقديم الخدمة، أو في حالة الإفصاح الوجوبي الموضحة في القسم 11.

نطبق تدابير تنظيمية وتقنية معقولة تتناسب مع طبيعة البيانات ومخاطرها لحمايتها من الوصول غير المصرح به والفقد والتلف والإفصاح غير المشروع، ومنها:

• عزل بيانات كل منشأة عن بيانات غيرها من المنشآت.
• حصر صلاحيات الوصول بمن يحتاجه بحسب الأدوار.
• تجزئة كلمات المرور وعدم تخزينها نصاً.
• إتاحة التحقق الثنائي لحسابات المنشآت.
• تشفير الاتصال بين المستخدم والمنصة عبر HTTPS.
• حفظ نسخ احتياطية مشفّرة.
• تسجيل العمليات الحساسة والاحتفاظ بسجلات تدقيق للأحداث الأمنية.
• مسح الملفات المرفوعة بحثاً عن البرمجيات الخبيثة.

المنشأة مسؤولة عن حماية بيانات دخول موظفيها، وعن ضبط صلاحياتهم، وعن إبلاغنا فوراً بأي اشتباه في اختراق حساباتها.

بقبول هذه الاتفاقية عند التسجيل توافق المنشأة موافقة صريحة على استعانتنا بالمعالجين الفرعيين المسمّين في القائمة التالية وحدهم، موافقةً صريحة مسجلة عند التسجيل، بالقدر اللازم لتقديم الخدمة، وليست موافقة عامة على أي معالج:

• Amazon SES: لإرسال رسائل البريد المتعلقة بالحجز، من منطقة أوروبا. وتصله عناوين البريد ومحتوى الرسائل، وقد يشمل أسماء العملاء وتفاصيل مواعيدهم.
• Cloudflare: للحماية والتسريع، وتمر عبر شبكتها كل حركة المنصة ويُفك تشفيرها عند حافتها، فيمر بها كل ما يرسله المستخدمون أثناء النقل، بما فيه بيانات النماذج، معالجةً عابرة، مع احتفاظها بسجلات تقنية وفق سياساتها.
• Google: لتسجيل الدخول بحساب Google لمن يختار ذلك من مستخدمي حسابات المنشآت، ويتعلق بالاسم والبريد وصورة الحساب. ولا يعالج Google بيانات حجوزات العملاء.

الاستضافة الحالية للمنصة على بنية تشغيلية نديرها بأنفسنا ونصل إليها عبر Cloudflare. ونعتزم الانتقال إلى استضافة داخل المملكة لدى Oracle في منطقة الرياض، وحين يتم ذلك تُعد Oracle معالجاً فرعياً وتُطبق عليها أحكام هذا القسم. ولا يُعد ذكر هذا الانتقال التزاماً بموعد محدد.

نلتزم تجاه كل معالج فرعي، قبل أن نسند إليه بيانات عملاء المنشأة، بما يلي:

• اختيار جهة تقدم ضمانات كافية لتنفيذ أحكام النظام ولوائحه.
• أخذ الضمانات اللازمة ليكون تعاقدنا معها بشروط لا تقل حماية عن هذه الاتفاقية، فلا يؤثر على مستوى حماية البيانات.
• إلزامها تعاقدياً بالتزامات حماية مكافئة لما نلتزم به هنا.
• البقاء مسؤولين أمام المنشأة عن التزاماتهم.

لا نضيف معالجاً فرعياً جديداً أو نستبدل معالجاً قائماً إلا بعد إشعار المنشأة مسبقاً، بالبريد المسجل في حسابها وبإشعار في لوحة التحكم، ويسبق الإشعار التعاقد مع المعالج الجديد بـ14 يوماً على الأقل لا أن يلازمه، وقبل إسناد أي بيانات إليه. ونوثّق الإشعار في سجل مؤرخ يشمل تاريخ الإشعار ووسيلته وقائمة المعالجين. وللمنشأة الاعتراض كتابةً خلال هذه المدة مع بيان أسباب اعتراضها.

إذا اعترضت المنشأة، فلا نسند للمعالج الجديد بيانات تلك المنشأة ما دام الاعتراض قائماً، ونبحث معها بديلاً معقولاً. وإن تعذر تقديم الخدمة بدونه، فللمنشأة إلغاء حسابها دون غرامة وطلب نسخة من بياناتها وفق القسم 14، ونرد لها الجزء غير المستخدم من رسوم اشتراكها المدفوعة.

نحتفظ بقائمة محدثة بالمعالجين الفرعيين ونتيحها للمنشأة عند طلبها.

يجري بعض معالجة البيانات خارج المملكة فعلاً بسبب المعالجين الفرعيين المذكورين: فرسائل البريد تُرسل عبر Amazon SES من منطقة أوروبا (السويد) وقد يخزنها المزود (ويحمل بريد تأكيد الحجز عنوان المستلم واسم المنشأة واسم الخدمة والموعد ورقم الحجز المرجعي ورابط إدارة الحجز فقط، ولا يحمل اسم العميل ولا جواله ولا ملاحظاته ولا إجابات أسئلة الحجز؛ وتحمل رسائل الحساب اسم المنشأة والبريد فقط)، وتمر بيانات الاتصال عبر شبكة Cloudflare التي قد تعالجها خارج المملكة لحماية الموقع وتسريعه، وبيانات تسجيل الدخول الاختياري بحساب Google تعالجها Google خارج المملكة. وتفوض المنشأة هذا النقل بوصفه لازماً لتقديم الخدمة.

بحسب وضعنا الحالي لا نخضع لأنظمة دولة أخرى. أما المعالجون الفرعيون المذكورون فهم شركات أجنبية تخضع لأنظمة دولها، وقد تُلزمها هذه الأنظمة بالإفصاح عن البيانات لجهات في تلك الدول. ونحن نخفف هذا الأثر بالضمانات الآتية، ولا نستطيع إلغاءه كلياً.

لا ينهي انتقال الاستضافة إلى داخل المملكة النقل الذي يجري عبر المزودين الأجانب، فتبقى هذه الضمانات سارية.

تظل المنشأة بوصفها جهة تحكم مسؤولة عن امتثال نقلها هي للبيانات وفق النظام ولوائحه، ونزودها بالمعلومات المعقولة اللازمة لتقويمها.

لا نحتاج موافقة مسبقة من المنشأة للإفصاح عن بيانات شخصية إذا أوجبت ذلك الأنظمة المعمول بها في المملكة أو طلبته جهة مختصة وفق النظام. ونُشعر المنشأة بذلك الإفصاح، ما لم يمنع النظام الإشعار. ونقتصر في الإفصاح على القدر المطلوب فقط.

نشعر المنشأة بأي تسرب لبياناتها الشخصية خلال 24 ساعة من علمنا به، دون انتظار اكتمال التحقيق. ويُعد علماً بالتسرب حين نتحقق بدرجة معقولة من وقوع حادثة تمس بيانات المنشأة.

يصل الإشعار إلى البريد المسجل في حساب المنشأة، ويتضمن ما توفر وقت الإشعار من:

• وصف للحادثة: وقتها وتاريخها وكيفية وقوعها ووقت علمنا بها.
• فئات أصحاب البيانات المعنيين وأعدادهم الفعلية أو التقريبية، ونوع البيانات.
• المخاطر المحتملة ومستوى أثرها الفعلي أو المحتمل على البيانات وأصحابها.
• الإجراءات التي اتخذناها للحد من آثار الحادثة، والتدابير التي سنتخذها لمنع تكرارها.
• ما نوصي به لمساعدة أصحاب البيانات على تجنب المخاطر أو تخفيف آثارها، لتستعين به المنشأة عند إشعارهم.
• بيانات التواصل مع المسؤول عن الحادثة لدينا.

نستكمل ما نقص من المعلومات في أقرب وقت، ونحتفظ بتوثيق للحادثة وللإجراءات التصحيحية، ونتعاون مع المنشأة لتمكينها من الوفاء بالتزاماتها.

المنشأة هي المسؤولة، بوصفها جهة تحكم، عن إشعار الجهة المختصة (الهيئة السعودية للبيانات والذكاء الاصطناعي) خلال المهلة النظامية، وعن إشعار أصحاب البيانات عند اقتضاء النظام. ومهلتنا القصيرة هذه مقصودة لتمكينها من الالتزام بالمهلة النظامية لدى سدايا وهي 72 ساعة من علمها. ولا نتولى هذه الإشعارات نيابةً عنها إلا بتعليمة كتابية منها أو إذا أوجب النظام.

المنشأة هي المسؤولة عن الرد على طلبات أصحاب البيانات بممارسة حقوقهم المقررة نظاماً، كالاطلاع والتصحيح والإتلاف وطلب نسخة.

إذا وصلنا طلب مباشر من أحد عملاء المنشأة، فلا نرد عليه في الموضوع، ونحيله إلى المنشأة خلال 3 أيام عمل من استلامه ونُعلم صاحب الطلب بذلك.

نساعد المنشأة بالوسائل التقنية والتنظيمية المعقولة على الاستجابة لتلك الطلبات، عبر لوحة التحكم حيث تتوفر الخاصية، أو بطلب كتابي إلينا عبر البريد [email protected]، وننفذه خلال مدة معقولة تتيح للمنشأة الالتزام بمهلها النظامية.

نساعد المنشأة كذلك بما يعقل من معلومات لإعداد سجل أنشطة المعالجة لديها وتقويم المخاطر، ونحتفظ نحن بسجل لأنشطة المعالجة التي نجريها نيابةً عنها.

يلغي مالك المنشأة وحده حساب المنشأة من صفحة الإعدادات بعد تأكيد كلمة المرور أو الرمز، وتسري مهلة تراجع مدتها 7 أيام يمكن للمالك خلالها التراجع عن الإلغاء. وعند الإلغاء تُلغى الحجوزات المستقبلية للمنشأة ويُشعَر أصحابها.

يمكن للمنشأة طلب نسخة من بيانات عملائها بالبريد [email protected] قبل انتهاء مهلة التراجع (7 أيام)، ونسلّمها لها بصيغة شائعة مقروءة آلياً، ثم تُحذف نهائياً. ونحتفظ بالبيانات خلال المهلة لغرض التراجع والتسليم والتخزين الآمن فقط.

بعد انتهاء المهلة نحذف نهائياً كل ما يخص المنشأة من بيانات وملفات من أنظمة التشغيل لدينا ولدى المعالجين الفرعيين التابعين لنا.

تُحذف البيانات من النسخ الاحتياطية خلال دورة النسخ الاحتياطي، أي خلال 35 يوماً، ولا تُستعاد منها إلا لأغراض التعافي من الأعطال.

للمنشأة أن تطلب منا تأكيد الحذف كتابةً بعد انتهاء المهلة.

لا نحتفظ بأي بيانات بعد ذلك إلا ما يوجب النظام الاحتفاظ به، ومنه السجلات المالية للاشتراك، ونُخطر المنشأة به عندئذ.

للمنشأة أن تتحقق دورياً من التزامنا بهذه الاتفاقية والنظام ولوائحه، وأن تعيّن طرفاً مستقلاً للمراجعة نيابةً عنها.

نزود المنشأة عند طلبها بالمعلومات المعقولة التي تثبت التزامنا، كوصف التدابير الأمنية وقائمة المعالجين الفرعيين، ونجيب على استبيان امتثال معقول مرة في العام.

وللمنشأة طلب مراجعة ميدانية أو مستندية بنفسها أو عبر مراجع مستقل ملزم بالسرية، بإشعار كتابي قبلها بـ30 يوماً على الأقل، وخلال ساعات العمل، وبما لا يعطل الخدمة، وعلى نفقة المنشأة. وتُستثنى من المراجعة بيانات أي عميل آخر لنا. وتجوز مراجعة إضافية بعد وقوع تسرب يمس بيانات المنشأة.

كل طرف مسؤول عن التزامه بالنظام ولوائحه بحسب صفته في هذه الاتفاقية. والمنشأة مسؤولة عن مشروعية جمعها للبيانات وأساس معالجتها وإحاطة عملائها علماً وصحة تعليماتها وأسئلتها وما يدخله موظفوها.

إذا خالفنا تعليمات المنشأة أو هذه الاتفاقية في معالجة البيانات، عُددنا في حكم جهة التحكم عن تلك المخالفة، وفق اللائحة التنفيذية، وتحملنا مسؤوليتها.

تعوض المنشأة المنصة عن المطالبات والغرامات التي تنشأ عن إخلالها بالتزاماتها بوصفها جهة تحكم، ومنها جمع بيانات دون مسوغ نظامي أو إدراج بيانات صحية أو حساسة بما يخالف القسم 4.

يتحدد إجمالي مسؤوليتنا تجاه المنشأة عن أي مطالبة تنشأ عن هذه الاتفاقية بما لا يتجاوز مجموع ما دفعته المنشأة أو التزمت بدفعه خلال الاثني عشر شهراً السابقة للواقعة المنشئة للمطالبة، أو 1,000 ريال، أيهما أعلى، إلا فيما لا يجيز النظام تحديده، كالغش والخطأ الجسيم والمسؤولية المترتبة على الفعل الضار والغرامات والجزاءات النظامية، وفق المادة (173) من نظام المعاملات المدنية.

لا تحد هذه الأحكام من مسؤولية أي طرف أمام الجهات المختصة، ولا من المسؤوليات النظامية.

تخضع هذه الاتفاقية لأنظمة المملكة العربية السعودية وتفسر وفقاً لها.

تُحل النزاعات الناشئة عن هذه الاتفاقية وفق بند النظام الواجب وحل النزاعات في شروط الاستخدام بأحكامه كاملة: التسوية الودية خلال 30 يوماً من الإشعار الكتابي بالنزاع، ثم التحكيم. ويُعد ذلك البند جزءاً من هذه الاتفاقية بهذه الإحالة.

تقبل المنشأة هذه الاتفاقية إلكترونياً بتحديد الخانة المخصصة عند التسجيل، دون توقيع. ونسجل رقم إصدار الاتفاقية ووقت القبول وحساب القابل، ونحتفظ بنص الإصدار المقبول نفسه بصيغة لا تُعدَّل لاحقاً، ويُعد هذا السجل دليلاً على القبول.

نخطر المنشأة بأي تعديل على الاتفاقية قبل سريانه بمدة معقولة. وإذا كان التعديل جوهرياً طلبنا قبولها له من جديد، وللمنشأة إن لم تقبل أن تلغي حسابها وتطلب نسخة من بياناتها وفق القسم 14.

حُررت هذه الوثيقة باللغتين العربية والإنجليزية، وعند أي اختلاف بينهما يُعتمد النص العربي. وتُعرض الوثيقة باللغتين معاً، ويُعرض النص العربي أولاً، ويُسجَّل القبول على إصدار واحد ثنائي اللغة.

Processor: the Hjzak platform (hjzak.com), owned and operated by alfa iks 10 lilteknulujia Establishment (Commercial Registration No. 7051628134; National Address: Building 6292, Saeed Ibn Qais St., Ar Rabiyah Dist., Additional No. 2207, Postal Code 36325, Al Uyun, Kingdom of Saudi Arabia; short address FOJB6292), a Saudi sole proprietorship, referred to here as "we".

Controller: the subscribing business that accepted this Agreement at registration, referred to as the "Business". The person who accepts the Agreement confirms that they represent the Business and are authorized to bind it.

For the data of the Business's customers, the Business is the controller because it determines the purpose and means of processing, such as setting up its services and designing its booking questions. We are the processor, processing this data for the Business and on its behalf.

For the Business's own account data, such as the account holder's name, email and verification documents, we are the controller under the platform's privacy policy, and this Agreement does not cover it.

An account in an individual's name may not be used to process the data of another business or body without its authority. The business or body that has the relationship with the customers must open the account in its own name.

We process the Business's customer data for one purpose only: providing the appointment and booking management service to the Business. This includes:

• Storing booking data and showing it to the Business and the staff it authorizes.
• Sending booking-related emails, such as confirmations, reminders, changes and cancellations.
• Protecting the service and its data from abuse and intrusion, and keeping backups.

We do not use the Business's customer data for our own purposes, sell it, use it for marketing or advertising, or build profiles of individuals.

Platform security logs, such as network address and login time, are processed by us as a controller to secure the service, under the privacy policy.

Data subjects: individuals who book appointments with the Business through the platform, that is, the Business's customers.

Categories of personal data processed:

• Name.
• Mobile number.
• Email address.
• Booking record: service, appointment and status.
• Answers to booking questions designed by the Business.
• Notes written by the customer or the Business's staff.

Within this Agreement we do not ask the Business's customers for a national ID number or payment data.

The booking questions and notes fields are for organizing the appointment only. We operate a general appointment management tool. We are not a medical records system, and the service was not designed to meet requirements specific to the health sector or any other regulated sector.

The Business and its staff are prohibited from entering health data or other sensitive data, such as religious, genetic, biometric or criminal data, in the booking questions and notes fields, or from designing questions that ask its customers for it. A visible notice beside both fields reminds of this prohibition. The prohibition stays in place regardless of where the platform is hosted, including after hosting moves inside the Kingdom. Businesses that need health data must use specialised health-sector systems.

A visible notice appears when data is entered in the browser, without sending the content to the server for the purpose of scanning. We may disable the field for a Business that breaches the prohibition, and anyone may report content that breaches it under the takedown policy.

The Business alone is responsible for designing its booking questions and for everything its staff and customers write in the two fields, and it undertakes:

• To request only the minimum data needed to organize the appointment.
• Not to request or enter health or sensitive data in the two fields.
• To inform its staff of this prohibition and monitor their compliance.
• To comply with the rules and licences of its own sector that govern its customers' data.

The Business acknowledges that it has read Section 10 on transfers outside the Kingdom, that transfers of sensitive data are subject to stricter conditions, and that this is one of the reasons for the prohibition. The service does not suit businesses that need to enter health data, such as clinics, which must use specialised health-sector systems.

After notifying the Business, we may disable a field or remove content from it if it turns out to collect health or sensitive data in breach of this Agreement or the law.

Processing starts when the Business accepts this Agreement and continues for the duration of its subscription, then through the grace period in Section 14, and ends with deletion under that Section.

We process data only on the Business's documented instructions, which are: this Agreement; what the Business itself does in the dashboard, such as settings, entry, editing and deletion; and what it requests in writing by email to [email protected].

The Business must give its instructions clearly and make sure they do not breach the laws in force in the Kingdom.

If we believe an instruction from the Business breaches a law in force in the Kingdom, we will notify the Business in writing without delay, and we may suspend carrying out that instruction until it is amended.

We give access to the data only to those of our personnel who need it to provide the service.

We keep the Business's customer data confidential and bind everyone who has access to it to confidentiality. We disclose it to no one except the sub-processors named in Section 9, to the extent needed to provide the service, or in the mandatory disclosures described in Section 11.

We apply reasonable organizational and technical measures, proportionate to the nature and risks of the data, to protect it against unauthorized access, loss, damage and unlawful disclosure, including:

• Isolating each business's data from other businesses' data.
• Limiting access permissions to those who need them, by role.
• Hashing passwords and never storing them as plain text.
• Offering two-factor authentication for business accounts.
• Encrypting the connection between the user and the platform through HTTPS.
• Keeping encrypted backups.
• Logging sensitive actions and keeping audit logs of security events.
• Scanning uploaded files for malware.

The Business is responsible for protecting its staff's login credentials, setting their permissions, and telling us immediately of any suspected compromise of its accounts.

By accepting this Agreement at registration, the Business gives express consent to our using the sub-processors named in the following list, and only those, to the extent needed to provide the service, as an express consent recorded at registration; this is not a general consent to any processor:

• Amazon SES: to send booking-related emails, from the Europe region. It receives email addresses and message content, which may include customers' names and appointment details.
• Cloudflare: for protection and acceleration; all platform traffic passes through its network and is decrypted at its edge, so everything users send in transit passes through it, including form data, as transient processing, while it keeps technical logs under its own policies.
• Google: for sign-in with a Google account, for business account users who choose it, involving name, email and account photo. Google does not process customers' booking data.

The platform is currently hosted on operating infrastructure that we manage ourselves and reach through Cloudflare. We intend to move to hosting inside the Kingdom with Oracle in the Riyadh region. When that happens, Oracle will be a sub-processor and this Section will apply to it. Mentioning this move is not a commitment to a specific date.

For each sub-processor, before we assign the Business's customer data to it, we undertake to:

• Choose one that provides sufficient guarantees to implement the Law and its regulations.
• Take the necessary safeguards so that our contract with it does not weaken the level of protection under this Agreement.
• Bind it by contract to data protection obligations equivalent to ours here.
• Remain responsible to the Business for its performance.

We do not add a new sub-processor or replace an existing one without first notifying the Business, by email to the address registered on its account and by a notice in the dashboard, given at least 14 days before we contract with the new sub-processor, not at the same time as contracting, and before any data is assigned to it. We document the notice in a dated record covering the notice date, its means and the list of sub-processors. The Business may object in writing within that period, stating its reasons.

If the Business objects, we will not assign that Business's data to the new sub-processor while the objection stands, and we will look with the Business for a reasonable alternative. If we cannot provide the service without it, the Business may cancel its account without penalty and ask for a copy of its data under Section 14, and we will refund the unused part of the subscription fees it has paid.

We keep an up-to-date list of sub-processors and provide it to the Business on request.

Some processing does take place outside the Kingdom because of the sub-processors named above: emails are sent through Amazon SES from the Europe region (Sweden) and may be stored by the provider (a booking confirmation email carries only the recipient’s address, the business name, the service name, the time, the booking reference number and the booking management link, and does not carry the customer’s name, mobile number, notes or booking-question answers; account emails carry the business name and email address only); connection data passes through Cloudflare's network, which may process it outside the Kingdom to protect and accelerate the site; and Google processes optional Google sign-in data outside the Kingdom. The Business authorizes these transfers as necessary to provide the service.

On our current footing we are not subject to the laws of another country. The sub-processors named are foreign companies subject to the laws of their own countries, and those laws may require them to disclose data to authorities there. We reduce this effect through the safeguards below, but we cannot eliminate it entirely.

Moving the hosting inside the Kingdom does not end transfers made through foreign providers, so these safeguards remain in force.

As a controller, the Business remains responsible for the compliance of its own transfers of data under the Law and its regulations, and we give it the reasonable information it needs for its assessment.

We do not need the Business's prior consent to disclose personal data where the laws in force in the Kingdom require it or a competent authority requests it in accordance with the law. We notify the Business of any such disclosure unless the law prohibits notification, and we limit the disclosure to what is required.

We notify the Business of any breach of its personal data within 24 hours of becoming aware of it, without waiting for the investigation to be completed. We are aware of a breach when we have reasonably established that an incident affecting the Business's data has occurred.

The notice is sent to the email registered on the Business's account and includes, as far as known at that time:

• A description of the incident: its time and date, how it occurred, and when we became aware.
• The categories of data subjects concerned and their actual or approximate numbers, and the type of data.
• The likely risks and the level of actual or potential impact on the data and the data subjects.
• The measures we have taken to limit the effects of the incident, and the measures we will take to prevent it happening again.
• Our recommendations to help data subjects avoid the risks or reduce their effects, for the Business to use when notifying them.
• Contact details of the person responsible for the incident on our side.

We complete any missing information as soon as possible, keep a record of the incident and corrective measures, and cooperate with the Business so that it can meet its obligations.

As controller, the Business is responsible for notifying the competent authority (the Saudi Data and AI Authority) within the legal deadline, and for notifying data subjects where the law requires. Our short deadline is intended to let the Business meet the 72-hour deadline that applies to it before the Authority, counted from its own awareness. We do not make these notifications on the Business's behalf unless it instructs us in writing or the law requires.

The Business is responsible for responding to data subjects' requests to exercise their legal rights, such as access, correction, destruction and obtaining a copy.

If we receive a request directly from one of the Business's customers, we do not answer it on the substance. We refer it to the Business within 3 working days of receiving it and tell the requester so.

We help the Business with reasonable technical and organizational means to respond to those requests, through the dashboard where the feature exists, or by written request to us by email to [email protected], and we carry it out within a reasonable time that lets the Business meet its legal deadlines.

We also give the Business reasonable information to prepare its record of processing activities and its risk assessments, and we keep our own record of the processing we carry out on its behalf.

Only the Business's owner can cancel the Business's account, from the settings page, after confirming their password or code. A 7-day grace period applies, during which the owner can undo the cancellation. On cancellation the Business's future bookings are cancelled and their holders are notified.

The Business can ask for a copy of its customers' data by email to [email protected] before the grace period (7 days) ends; we deliver it in a common machine-readable format, and the data is then permanently deleted. During the grace period we keep the data only for undoing the cancellation, delivery and secure storage.

After the grace period ends we permanently delete everything that belongs to the Business, data and files, from our operating systems and from the sub-processors acting for us.

Data is removed from backups within the backup cycle, that is within 35 days, and is restored from them only for disaster recovery.

The Business may ask us to confirm deletion in writing after the grace period ends.

After that we keep no data except what the law requires us to keep, including the subscription's financial records, and we then notify the Business.

The Business may periodically verify our compliance with this Agreement, the Law and its regulations, and may appoint an independent party to carry out the review on its behalf.

On request we provide the Business with reasonable information that shows our compliance, such as a description of security measures and the list of sub-processors, and we answer one reasonable compliance questionnaire per year.

The Business may also request a documentary or on-site review, itself or through an independent reviewer bound by confidentiality, on at least 30 days' written notice, during working hours, without disrupting the service, and at the Business's expense. The data of any other customer of ours is excluded from the review. An additional review is allowed after a breach affecting the Business's data.

Each party is responsible for its compliance with the Law and its regulations according to its role in this Agreement. The Business is responsible for the lawfulness of its collection of data, its basis for processing, informing its customers, and the correctness of its instructions and questions and of what its staff enter.

If we breach the Business's instructions or this Agreement in processing data, we are treated as a controller for that breach under the Implementing Regulation and bear responsibility for it.

The Business indemnifies the platform against claims and fines arising from its breach of its obligations as a controller, including collecting data without a legal basis or entering health or sensitive data in breach of Section 4.

Our total liability to the Business for any claim arising under this Agreement is limited to the total the Business paid or committed to pay in the twelve months before the event giving rise to the claim, or SAR 1,000, whichever is higher, except where the law does not allow such a limit, such as fraud, gross negligence, liability arising from a harmful act, and statutory fines and penalties, in accordance with Article 173 of the Civil Transactions Law.

These provisions do not limit any party's liability before the competent authorities, nor statutory liabilities.

This Agreement is governed by and construed under the laws of the Kingdom of Saudi Arabia.

Disputes arising under this Agreement are resolved under the governing law and dispute resolution clause of the Terms of Use, in its entirety: amicable resolution within 30 days of written notice of the dispute, then arbitration. That clause forms part of this Agreement by this reference.

The Business accepts this Agreement electronically by ticking the box provided at registration, without a signature. We record the version number of the Agreement, the time of acceptance and the accepting account, and we keep the text of the accepted version itself in a form that cannot be changed later; this record is evidence of acceptance.

We notify the Business of any amendment to the Agreement a reasonable time before it takes effect. If the amendment is material, we ask for the Business's acceptance again, and if it does not accept, it may cancel its account and ask for a copy of its data under Section 14.

This document is written in both Arabic and English, and if they differ, the Arabic text prevails. The document is shown in both languages together, with the Arabic text shown first, and acceptance is recorded on a single bilingual version.