سياسة الخصوصية

1. مَن نحن — جهة التحكُّم في البيانات

• الجهة المسؤولة: شركة مدروس 360
• الدولة: المملكة العربية السعودية
• البريد الإلكتروني للخصوصيّة: wecare@wateel.com
• جهة الاتصال للحماية (Data Protection Officer): wecare@wateel.com

2. البيانات التي نجمعها

نَجمع البيانات التالية حسب طبيعة استخدامك:

• **بيانات الحساب**: الاسم، البريد الإلكتروني، رقم الجوال (إن قُدِّم)، اسم المنشأة، الرقم الضريبي، السجلّ التجاري.
• **بيانات ماليّة**: الفواتير، المصروفات، بيانات العملاء والموردين، السجلّات المحاسبية — كلّها يُدخِلها المستخدم بنفسه.
• **بيانات الاستخدام**: عنوان IP، نوع المتصفّح، نظام التشغيل، صفحات الزيارة، أوقات الدخول، إعدادات اللغة والمظهر.
• **بيانات الدفع**: تُعالَج عبر بوّابات دفع مرخّصة (Moyasar) ولا نحتفظ ببيانات البطاقات. نحفظ فقط رقم العمليّة والمبلغ والتاريخ لأغراض المحاسبة.
• **بيانات أمنيّة**: سجلّات الدخول الناجح والفاشل، تغييرات كلمة المرور، الجلسات النشطة — لاكتشاف المحاولات المريبة.
• **ملفات تُرفعها**: مرفقات الفواتير، شعار المنشأة، ملفّات الاستيراد — تُخزَّن في تخزين سحابي معزول لكل منشأة.

3. الأساس النظامي للمعالجة

نُعالج بياناتك بناءً على واحد أو أكثر من الأسس التالية:

• **تنفيذ العقد**: تقديم خدمات المنصّة وفق شروط الاستخدام (المعالجة الرئيسيّة).
• **موافقتك الصريحة**: لمعالجات اختياريّة (الإشعارات التسويقيّة، تحليلات تحسين المنتج).
• **الالتزام النظامي**: حفظ السجلّات المحاسبية لمدّة 6 سنوات وفق متطلبات هيئة الزكاة والضريبة والجمارك.
• **المصلحة المشروعة**: حماية المنصّة من الاحتيال والاختراق، والتحسين الفنّي.

4. كيف نستخدم بياناتك

• تشغيل المنصّة وتقديم الخدمات المُشترَك بها.
• إصدار الفواتير الإلكترونيّة المتوافقة مع زاتكا.
• التواصل معكم بشأن حسابكم: تأكيد التسجيل، تنبيهات الفوترة، التحديثات الأمنيّة، تغييرات الشروط.
• الدعم الفنّي والإجابة على استفساراتكم.
• تحسين الخدمة (تحليل الاستخدام بشكل مُجمَّع، غير مرتبط بهويّتك الشخصيّة).
• الامتثال للأنظمة (الضرائب، مكافحة غسل الأموال، الطلبات القضائيّة).
• حماية المنصّة من الاحتيال والاختراق.

5. مَن نشاركهم بياناتك (مُعالِجون فرعيّون)

نَستخدم مُعالِجين فرعيّين موثوقين مُلزَمين باتفاقيّات سرّيّة ومستوى حماية لا يقلّ عن المنصوص عليه في نظام حماية البيانات الشخصيّة:

• **Replit Cloud (الولايات المتحدة)** — استضافة سحابيّة وقاعدة بيانات. الغرض: تشغيل المنصّة. مستوى الحماية: ISO 27001 + SOC 2.
• **Resend (الولايات المتحدة)** — إرسال البريد الإلكتروني الخدمي (تأكيدات، فواتير، إشعارات). الغرض: التواصل التشغيلي.
• **OpenAI (الولايات المتحدة) — نموذج gpt-5-mini فقط** — معالجة ميزات الذكاء الاصطناعي (قراءة فواتير الموردين بالرؤية الحاسوبية، اقتراح الحسابات). تُرسَل البيانات تحت اتفاقيّة المؤسّسات (OpenAI Enterprise) التي تَحظر تدريب النماذج على بيانات العملاء.
• **Moyasar (المملكة العربية السعودية)** — معالجة المدفوعات. مرخَّصة من البنك المركزي السعودي (ساما) ومتوافقة مع PCI DSS Level 1.
• **Sentry (الولايات المتحدة)** — رصد الأخطاء التقنيّة. لا يُرسَل إليه أيّ مبلغ مالي خام؛ يُرسَل فقط رمز الخطأ وفئة المبلغ (مثلاً "أقل من 1000 ريال") لحماية الخصوصيّة الماليّة.

6. النقل الدولي للبيانات

بعض مُعالِجينا الفرعيّين يقعون خارج المملكة العربية السعودية (الولايات المتحدة بشكل أساسي). نَتأكّد من توفّر ضمانات حماية مناسبة عبر:

• اتفاقيّات معالجة بيانات تنصّ على الامتثال لمعايير حماية لا تقلّ عمّا يفرضه نظام حماية البيانات الشخصيّة في المملكة العربية السعودية.
• شهادات معترَف بها دوليّاً (ISO 27001, SOC 2, PCI DSS).
• حصر النقل على البيانات الضروريّة فقط لتشغيل الميزة المعنيّة.

7. حقوقك بموجب نظام حماية البيانات الشخصيّة

يحقّ لك في أيّ وقت ممارسة الحقوق التالية بإرسال طلب إلى wecare@wateel.com مع إثبات هويّتك:

• **الحقّ في الاطّلاع**: الحصول على نسخة من بياناتك الشخصيّة المحفوظة لدينا.
• **الحقّ في التصحيح**: تصحيح أي بيانات غير دقيقة أو غير مكتملة.
• **الحقّ في الحذف**: طلب حذف بياناتك (مع مراعاة الالتزامات النظاميّة للاحتفاظ بالسجلّات المحاسبية لمدّة 6 سنوات).
• **الحقّ في الاعتراض**: الاعتراض على معالجة بياناتك لأغراض تسويقيّة.
• **الحقّ في نقل البيانات**: الحصول على بياناتك بصيغة منظَّمة قابلة للقراءة (JSON, CSV) ونقلها لمزوّد آخر.
• **الحقّ في تقييد المعالجة**: طلب وقف بعض أنواع المعالجة مؤقّتاً.
• **الحقّ في سحب الموافقة**: في أي وقت، دون أن يؤثّر ذلك على مشروعيّة المعالجة السابقة.

8. مدّة الاحتفاظ بالبيانات

• **بيانات الحساب وبيانات الاستخدام**: طوال فترة الاشتراك + 30 يوماً للتصدير، ثم تُحذف خلال 90 يوماً.
• **السجلّات المحاسبية والفواتير الإلكترونيّة**: 6 سنوات بعد نهاية السنة الماليّة (وفق نظام مسك الدفاتر التجاريّة ومتطلّبات زاتكا).
• **سجلّات الدخول والأمن**: 12 شهراً.
• **سجلّات النسخ الاحتياطي**: 30 يوماً (نسخ يوميّة) + سنة (نسخ شهريّة) + 6 سنوات (نسخ التزام ضريبي WORM).
• **سجلّات التدقيق (Audit Trail)**: 7 سنوات لأغراض المحاسبة الجنائيّة وكشف الاحتيال.

9. كيف نَحمي بياناتك

• تشفير البيانات أثناء النقل (TLS 1.3) وأثناء التخزين (AES-256-GCM للبيانات الحسّاسة).
• مصادقة قويّة (كلمات مرور بحدّ أدنى 6 أحرف مع توصية بـ 12+) ومصادقة ثنائيّة اختياريّة.
• سلسلة تجزئة محصَّنة ضدّ التلاعب (Tamper-Evident Hash Chain) لجميع السجلّات الماليّة.
• عزل بيانات كل منشأة على مستوى قاعدة البيانات (Multi-Tenancy with Row-Level Isolation).
• نسخ احتياطي يومي مع نسخة شهريّة في تخزين معزول غير قابل للتعديل (WORM).
• مراجعات أمنيّة دوريّة، فحص التبعيّات الآلي، ونمذجة التهديدات (Threat Modeling).
• صلاحيّات محدّدة لكل مستخدم (Role-Based Access Control) وفصل المهام (Segregation of Duties).

10. إشعار خرق البيانات

في حال علمنا بخرق أمني يُؤثّر على بياناتك الشخصيّة، نلتزم بالإشعار خلال 72 ساعة من اكتشاف الحادثة، عبر البريد الإلكتروني المُسجَّل وعبر إشعار داخل المنصّة. يحتوي الإشعار على: طبيعة الخرق، البيانات المتضرّرة، الإجراءات المُتَّخَذة، وتوصيات لحماية حسابك.

كما نُبلِغ السلطات المختصّة في المملكة العربية السعودية حسب ما يقتضيه نظام حماية البيانات الشخصيّة.

11. ملفّات تعريف الارتباط (Cookies)

• **ملفّات ضروريّة**: إدارة الجلسة، الحماية من CSRF، حفظ تفضيلاتكم (اللغة، الوضع الليلي). لا يمكن إلغاؤها بدون تعطيل المنصّة.
• **ملفّات أداء**: قياس مدّة تحميل الصفحات لأغراض التحسين (مُجمَّعة، غير مرتبطة بهويّتك).
• لا نَستخدم ملفّات تتبُّع إعلانيّة من أطراف ثالثة.

12. القرارات الآليّة والذكاء الاصطناعي

لا تُتَّخذ قرارات قانونيّة أو ماليّة آليّة دون مراجعة بشريّة. ميزات الذكاء الاصطناعي (قراءة الفواتير، اقتراح الحسابات) هي مساعدة فقط، ويجب أن تُراجَع وتُعتمَد من قِبل المستخدم قبل أن تنتقل إلى السجلّات الرسميّة.

13. الأطفال

المنصّة مُوجَّهة للمنشآت التجاريّة والبالغين فقط. لا نَجمع — عن قصد — بيانات أشخاص دون الـ 18.

14. تعديل السياسة

قد نُحدّث هذه السياسة من وقت لآخر. عند أيّ تغيير جوهري، نُشعركم قبل 30 يوماً عبر البريد الإلكتروني وداخل المنصّة، ونطلب موافقتكم على النسخة الجديدة عند الدخول التالي. تَواريخ النُّسَخ السابقة محفوظة ويمكن مراجعتها في صفحة "اتفاقيّاتي" داخل الإعدادات.

15. التواصل بشأن الخصوصيّة

• شركة مدروس 360، المملكة العربية السعودية
• البريد الإلكتروني: wecare@wateel.com
• هاتف/واتساب: +966581583344
• للشكاوى التي لم تُحَلّ يحقّ لك التواصل مع الهيئة السعوديّة للبيانات والذكاء الاصطناعي (سدايا).