مؤسسة ألفا إكس 10 للتكنولوجيا (سجل تجاري رقم 7051628134، والعنوان الوطني: مبنى 6292، شارع سعيد بن قيس، حي الرابية، الرقم الفرعي 2207، الرمز البريدي 36325، العيون، المملكة العربية السعودية، والعنوان المختصر FOJB6292) هي الجهة التي تشغّل المنصة وتجمع بيانات حسابك. للتواصل معنا ولممارسة حقوقك: [email protected].

دورنا يختلف بحسب البيانات: نحن جهة تحكم في بيانات الحسابات وبيانات تشغيل المنصة وأمنها. أما بيانات عملاء المنشأة التي تدخلها المنشأة أو يدخلونها عبر المنصة (الحجوزات وجهات الاتصال وإجابات أسئلة الحجز) فالمنشأة هي جهة التحكم فيها ونحن جهة معالجة نعالجها نيابة عنها وبحسب تعليماتها وفق اتفاقية معالجة البيانات.

الحساب: الاسم والبريد الإلكتروني وكلمة المرور (تُحفظ مشفّرة بطريقة لا يمكن عكسها) وإعدادات التحقق الثنائي واللغة. تُجمع منك مباشرة عند التسجيل. وإن سجّلت بحساب Google فنتلقى منه الاسم والبريد وصورة الحساب.

المنشأة: بيانات النشاط والفروع والخدمات والفريق، ووثائق التوثيق التي ترفعها (السجل التجاري أو وثيقة العمل الحر أو الرخصة) وتُخزَّن في مخزن خاص بعد فحصها. تُجمع من المنشأة مباشرة.

الحجز: اسم العميل ورقم جواله، والبريد الإلكتروني وملاحظاته إن أدخلها، وإجابات أسئلة الحجز التي تضعها المنشأة، وحالة الحجز وسجله. تُجمع من العميل مباشرة عبر نموذج الحجز.

تقنية: عنوان الشبكة (IP) وسجلات التشغيل والأمان. تُجمع تلقائياً عند استخدام المنصة.

لا نبيع البيانات ولا نستخدمها للإعلانات. ويُحظر إدخال بيانات صحية أو بيانات حساسة أخرى في حقلي أسئلة الحجز والملاحظات، سواء من المنشأة أو فريقها أو العميل، ويظهر تنبيه ظاهر بجانبهما بذلك. ويبقى هذا الحظر قائماً دون ارتباط بموقع الاستضافة. والمنشآت التي تحتاج إلى بيانات صحية عليها استخدام أنظمة القطاع الصحي المتخصصة، ولنا تعطيل الحقل للمنشأة المخالفة.

نعالج البيانات للأغراض الآتية، ولكل غرض أساسه النظامي:

• تشغيل الحجوزات والتأكيدات والتذكيرات: لتنفيذ العقد الذي أنت طرف فيه أو الذي تتخذ الخطوات لإبرامه (وللمنشأة بوصفها جهة التحكم).
• إدارة الحسابات والتحقق من هوية المنشآت وتشغيل المنصة: لتنفيذ العقد معك.
• الأمن ومنع الإساءة وتحديد الاستخدام (ومنها سجلات التشغيل وعنوان IP): للمصلحة المشروعة لنا في حماية المنصة ومستخدميها، دون المساس بحقوقك.
• الالتزام بالأنظمة والسجلات المالية للاشتراك: لتنفيذ واجب نظامي.
• التسويق المباشر: بموافقتك المنفصلة فقط.

نرسل رسائل البريد الضرورية للخدمة (تأكيد الحجز، رابط إدارة الحجز، التنبيهات). لا نرسل رسائل تسويقية دون موافقتك المنفصلة، ولا تُشترط هذه الموافقة للحصول على الخدمة، ويمكنك سحبها في أي وقت.

يظهر تنبيه ظاهر عند الإدخال في المتصفح بحظر البيانات الصحية والحساسة في حقلي الأسئلة والملاحظات، دون إرسال المحتوى إلى الخادم لغرض الفحص. ويمكن لأي شخص الإبلاغ عن محتوى مخالف وفق سياسة الإزالة.

يلزم لإنشاء الحساب الاسم والبريد وكلمة المرور (أو تسجيل الدخول بحساب Google)؛ فإن لم تقدمها لا نستطيع إنشاء الحساب. ويلزم للحجز الاسم ورقم الجوال؛ فإن لم تقدمهما لا يمكن إتمام الحجز. أما البريد الإلكتروني للعميل والملاحظات فاختياريان، وعدم تقديمهما قد يعني عدم وصول رسائل التأكيد إلى بريدك. ووثائق التوثيق لازمة لفتح الحجز العام للمنشأة؛ فإن لم تُرفع أو رُفضت يتوقف الحجز العام.

مع المنشأة التي حجزت لديها (بوصفها جهة التحكم في بياناتك لديها). ومع مزودين تقنيين يعالجون البيانات لتشغيل المنصة: مزوّد إرسال البريد الإلكتروني، ومزوّد الحماية والتسريع، ومزوّد تسجيل الدخول بحساب Google عند اختيارك له، ومزوّد الدفع إن فعّلته المنشأة. وقد نكشفها عند وجود إلزام نظامي من جهة مختصة.

لا نخزّن بيانات بطاقات الدفع. والدفع الإلكتروني اختياري ومطفأ افتراضياً؛ وعند تفعيله من المنشأة يستضيف نموذجَه مزوّد الدفع ولا تصل بيانات البطاقة إلينا.

ينتقل جزء من بياناتك فعلاً إلى خارج المملكة عبر ثلاثة مزودين، ونقتصر على الحد الأدنى اللازم لكل غرض:

• Amazon SES (إرسال البريد الإلكتروني، منطقة أوروبا، في السويد): لإرسال بريد تأكيد الحجز ورسائل الحساب. يحمل بريد تأكيد الحجز عنوان المستلم، واسم المنشأة، واسم الخدمة، والموعد، ورقم الحجز المرجعي، ورابط إدارة الحجز. ولا يحمل اسمك ولا رقم جوالك ولا ملاحظاتك ولا إجاباتك على أسئلة الحجز. وتحمل رسائل الحساب اسم المنشأة والبريد الإلكتروني فقط.
• Cloudflare (حماية الموقع وتسريعه): تمر كل حركة الموقع عبر شبكته ويُفك تشفيرها عند حافتها قبل توجيهها إلى خوادمنا، فيمر بها كل ما ترسله إلى المنصة أثناء النقل، بما فيه بيانات النماذج (الاسم والجوال والبريد والملاحظات وإجابات الأسئلة والملفات المرفوعة وبيانات تسجيل الدخول). ويعالجها المزود معالجة عابرة لتمرير الطلب وحماية الموقع، ولا نخزّن عنده شيئاً عن قصد، ويحتفظ بسجلات تقنية (عنوان IP والصفحة المطلوبة والوقت) وفق سياساته. وقد تُعالج خارج المملكة.
• تسجيل الدخول بحساب Google (اختياري، عند اختيارك له فقط): يعرف Google أنك تسجل الدخول إلى «حجزك» ويعالج بياناتك وفق سياسته، ونتلقى منه الاسم والبريد وصورة الحساب لإنشاء حسابك.

نتخذ ضمانات تعاقدية وتقنية: اتفاقيات معالجة البيانات لدى المزوّدين، والتشفير أثناء النقل، والاقتصار على الحد الأدنى من البيانات. وهذه الجهات شركات أجنبية تخضع لأنظمة بلدانها. ونلتزم بنقل الإرسال إلى مزوّد داخل المملكة متى توفر مزوّد مناسب، ونراجع توفره دورياً.

تُحفظ البيانات في قواعد بيانات معزولة بين المنشآت، وتُحمى بضوابط وصول وتشفير للنسخ الاحتياطية، ونسجّل العمليات الحساسة. ونعالجها آلياً لغرض التشغيل (الحجز والتذكير والتحقق) وليس لاتخاذ قرارات تؤثر عليك بشكل آلي بحت.

مهما بذلنا لا يمكن ضمان حماية مطلقة.

نحتفظ بالبيانات المدة اللازمة للغرض ثم نتلفها، وفق ما يأتي:

• بيانات الحجز والحساب النشطة: طوال مدة العلاقة مع المنصة.
• عند إلغاء المنشأة حسابها: مهلة تراجع ٧ أيام تُلغى خلالها الحجوزات المستقبلية ويُشعَر أصحابها، ثم تُحذف نهائياً كل بيانات المنشأة وملفاتها. ويمكن للمنشأة طلب نسخة من بياناتها بالبريد [email protected] قبل انتهاء المهلة، ونسلّمها لها، ثم تُحذف نهائياً.
• سجلات التشغيل والأمن (ومنها IP): تُحفظ مدة أقصاها ١٢ شهراً.
• السجلات المالية للاشتراك: المدة التي يوجبها النظام.
• النسخ الاحتياطية: تُحذف خلال دورتها، أي خلال ٣٥ يوماً.

عند انتهاء المدة نحذف البيانات أو نخفي هويتها بشكل لا رجعة فيه.

إذا وقع تسرب لبيانات شخصية من شأنه الإضرار بها أو بصاحبها أو يتعارض مع حقوقه أو مصالحه، فسنُشعر الهيئة السعودية للبيانات والذكاء الاصطناعي (سدايا) خلال ٧٢ ساعة من وقت علمنا بالحادثة، ونُشعر أصحاب البيانات المتضررين دون تأخير غير مبرر وبلغة واضحة مبسطة. وحين نعالج بيانات نيابة عن منشأة فنخطرها خلال ٢٤ ساعة من علمنا بالتسرب لتتمكن من الوفاء بالتزاماتها، وهي التي تتولى إشعار سدايا وأصحاب البيانات بوصفها جهة التحكم.

نستخدم ملفات ضرورية فقط: جلسة الدخول، وحماية النماذج من التزوير، وتفضيل اللغة. لا نستخدم ملفات للإعلان أو لتتبعك عبر المواقع.

لك، بحسب ما يقرره النظام: الحق في العلم بكيفية معالجة بياناتك، والاطلاع عليها، والحصول على نسخة منها، وتصحيحها، وطلب إتلافها، وسحب موافقتك متى كانت أساس المعالجة.

لممارسة أي حق راسلنا على [email protected] مع بيان طلبك وطريقة التواصل معك، وقد نطلب منك ما يلزم للتحقق من هويتك. ننفذ طلبك خلال مدة لا تتجاوز ٣٠ يوماً، ويجوز تمديدها ٣٠ يوماً أخرى إذا تطلب التنفيذ جهداً إضافياً غير معتاد أو تعددت طلباتك، على أن نشعرك مسبقاً بالتمديد وسببه. وإن كانت بياناتك لدى منشأة بوصفها جهة التحكم فنحيل طلبك إليها ونساعدها في تنفيذه.

ولك تقديم شكوى إلى الجهة المختصة بحماية البيانات في المملكة (سدايا).

المنصة غير موجهة لمن هم دون ١٨ عاماً إلا بإشراف ولي الأمر، ولا نستهدف القاصرين. قد نحدّث هذه السياسة ونعرض تاريخ آخر تحديث أعلاها، ونخطرك بالتغييرات الجوهرية. للتواصل: [email protected].

حُررت هذه الوثيقة باللغتين العربية والإنجليزية، ويُعرض النص العربي أولاً، وعند أي اختلاف بينهما يُعتمد النص العربي.

alfa iks 10 lilteknulujia Establishment (Commercial Registration No. 7051628134; National Address: Building 6292, Saeed Ibn Qais St., Ar Rabiyah Dist., Additional No. 2207, Postal Code 36325, Al Uyun, Kingdom of Saudi Arabia; short address FOJB6292) operates the platform and collects your account data. To contact us and to exercise your rights: [email protected].

Our role depends on the data: we are the controller of account data and of the platform’s operating and security data. The data of a business’s customers that the business enters, or that customers enter through the platform (bookings, contact details and answers to booking questions), is controlled by the business, and we process it as a processor on its behalf and on its instructions under the data processing agreement.

Account: name, email, password (stored hashed in a way that cannot be reversed), two-step settings and language. Collected from you directly when you register. If you sign in with Google, we receive your name, email and account picture from it.

Business: details of the business, branches, services and team, and the verification documents it uploads (commercial registration, freelance document or licence), stored in a private store after scanning. Collected from the business directly.

Booking: the customer’s name and mobile number, email and notes if given, the answers to the business’s booking questions, and the booking’s status and history. Collected from the customer directly through the booking form.

Technical: network address (IP), operating and security logs. Collected automatically when you use the platform.

We do not sell data or use it for advertising. Entering health data or other sensitive data in the booking-questions and notes fields is prohibited, whether by the business, its team or the customer, and a visible notice to that effect appears beside both fields. This prohibition stays in place regardless of where the platform is hosted. Businesses that need health data must use specialised health-sector systems, and we may disable the field for a business that breaches the prohibition.

We process data for the purposes below, each with its legal basis:

• Running bookings, confirmations and reminders: to perform the contract you are party to or are taking steps to enter (and for the business as controller).
• Managing accounts, verifying businesses and running the platform: to perform our contract with you.
• Security, abuse prevention and usage limits (including operating logs and IP address): our legitimate interest in protecting the platform and its users, without prejudice to your rights.
• Complying with the law and the subscription’s financial records: to meet a legal duty.
• Direct marketing: only with your separate consent.

We send emails needed for the service (booking confirmation, manage link, alerts). We send no marketing without your separate consent; it is not required in order to receive the service, and you can withdraw it at any time.

A visible notice appears when data is entered in the browser, warning of the prohibition on health and sensitive data in the booking-questions and notes fields, without sending the content to the server for the purpose of scanning. Anyone may report content that breaches it under the takedown policy.

To create an account we need your name, email and password (or Google sign-in); without them we cannot create the account. To book we need your name and mobile number; without them the booking cannot be completed. A customer’s email and notes are optional, and not giving an email may mean confirmation messages do not reach you. Verification documents are needed to open a business’s public booking; if they are not uploaded or are rejected, public booking stops.

With the business you booked with (as controller of your data held by it). And with technical providers that process data to run the platform: our email delivery provider, our protection and acceleration provider, Google if you choose Google sign-in, and the payment provider if a business has turned payment on. We may disclose it when a competent authority legally requires it.

We do not store payment card data. Online payment is optional and off by default; when a business turns it on, the form is hosted by the payment provider and card data never reaches us.

Part of your data does pass outside the Kingdom today, through three providers, and we limit it to the minimum needed for each purpose:

• Amazon SES (email delivery, Europe region, in Sweden): to send booking confirmation emails and account emails. A booking confirmation email carries the recipient’s address, the business name, the service name, the time, the booking reference number and the link to manage the booking. It does not carry your name, mobile number, notes or your answers to the booking questions. Account emails carry the business name and email address only.
• Cloudflare (protecting and accelerating the site): all site traffic passes through its network and is decrypted at its edge before being forwarded to our servers, so everything you send to the platform in transit passes through it, including form data (name, mobile, email, notes, answers to questions, uploaded files and sign-in data). The provider processes it transiently to route the request and protect the site; we do not intentionally store anything with it, and it keeps technical logs (IP address, requested page and time) under its own policies. This may be processed outside the Kingdom.
• Google sign-in (optional, only if you choose it): Google knows you are signing in to HJZAK and processes your data under its own policy, and we receive your name, email and account picture from it to create your account.

We take contractual and technical safeguards: data processing agreements with the providers, encryption in transit, and limiting data to the minimum. These providers are foreign companies subject to the laws of their countries. We undertake to move sending to a provider inside the Kingdom once a suitable one is available, and we review its availability periodically.

Data is held in databases isolated between businesses, protected by access controls, with backups encrypted, and sensitive actions are logged. We process it automatically to run the service (booking, reminders, verification), not to make decisions that affect you on a purely automated basis.

No protection is absolute, whatever we do.

We keep data as long as its purpose requires and then destroy it, as follows:

• Active booking and account data: for as long as the relationship with the platform lasts.
• When a business cancels its account: a 7-day grace period during which future bookings are cancelled and their holders notified, then all of the business’s data and files are permanently deleted. The business can ask for a copy of its data by email to [email protected] before the grace period ends; we deliver it, and the data is then permanently deleted.
• Operating and security logs (including IP): kept for a maximum of 12 months.
• The subscription’s financial records: for the period the law requires.
• Backups: deleted within their cycle, that is within 35 days.

When the period ends we delete the data or irreversibly anonymise it.

If personal data is breached in a way likely to harm it or the person concerned, or that conflicts with their rights or interests, we will notify the Saudi Data and Artificial Intelligence Authority (SDAIA) within 72 hours of becoming aware of the incident, and notify affected people without undue delay in clear, simple language. When we process data on behalf of a business, we notify it within 24 hours of becoming aware of the breach so that it can meet its own obligations; as controller, the business notifies SDAIA and the people concerned.

We use only necessary cookies: the sign-in session, protection of forms against forgery, and your language choice. We use no advertising cookies and do not track you across sites.

As the law provides, you have the right to be informed how your data is processed, to access it, to obtain a copy, to have it corrected, to ask for it to be destroyed, and to withdraw your consent where consent is the basis of processing.

To exercise a right write to [email protected] stating your request and how to reach you; we may ask for what is needed to verify your identity. We carry out your request within no more than 30 days, which may be extended by up to 30 more days if it needs unusual extra effort or you have made several requests, provided we tell you in advance of the extension and the reason. If your data is held by a business as controller, we pass your request to it and help it carry it out.

You may also complain to the competent data-protection authority in the Kingdom (SDAIA).

The platform is not aimed at people under 18 years old except under a guardian’s supervision, and we do not target minors. We may update this policy and will show the date of the last update above and notify you of material changes. Contact: [email protected].

This document is written in both Arabic and English, the Arabic text is shown first, and if they differ, the Arabic text prevails.