سياسة الخصوصية
1. من نحن ونطاق هذه السياسة
تشرح هذه السياسة كيف تجمع [[TODO: legal entity name]] («سندات» أو «نحن») البيانات الشخصية وتستخدمها وتحميها عند استخدامك موقع سندات وتطبيقه وخدمات الفوترة الإلكترونية المرتبطة بهما. عنواننا: [[TODO: registered address]]، ورقم وثيقة العمل الحر الخاصة بنا: [[TODO: freelance certificate number]].
تختلف صفتنا بحسب نوع البيانات:
- جهة تحكم: في بيانات الحساب والاشتراك والدفع والسجلات التقنية والسجل الأمني، أي البيانات التي نحتاجها لنفتح حسابك ونقدّم الخدمة ونؤمّنها ونحاسبك عليها. نحدّد نحن أغراض معالجتها ووسائلها.
- جهة معالجة: في بيانات الفواتير التي تُدخلها أنت، مثل أسماء المشترين وأرقامهم الضريبية وعناوينهم وبنود الفواتير. في هذه الحالة تكون أنت جهة التحكم، ونعالج البيانات نيابةً عنك وبحسب تعليماتك ووفق اتفاقية معالجة البيانات.
تستند هذه السياسة إلى نظام حماية البيانات الشخصية في المملكة العربية السعودية الصادر بالمرسوم الملكي رقم (م/19) لعام 1443هـ ولائحته التنفيذية، وإلى أنظمة ضريبة القيمة المضافة والفوترة الإلكترونية المعمول بها. [[TODO: counsel to confirm the exact citation of the Personal Data Protection Law, its amendments, its Implementing Regulations and the Regulation on Personal Data Transfers outside the Kingdom now in force]]
2. البيانات التي نجمعها
| الفئة | أمثلة | صفتنا |
|---|---|---|
| بيانات الحساب | البريد الإلكتروني للمالك، وتجزئة كلمة المرور فقط (لا نحتفظ بكلمة المرور نفسها)، وحالة تأكيد البريد. | جهة تحكم |
| بيانات المنشأة | اسم المنشأة، والرقم الضريبي، ورقم السجل التجاري، وعنوان البائع. | جهة تحكم لأغراض الحساب |
| بيانات الفواتير | الفواتير وما ورد فيها من أسماء المشترين وأرقامهم الضريبية وعناوينهم وبنود الفاتورة والمبالغ، والعملاء والمنتجات المحفوظة. | جهة معالجة |
| بيانات الربط مع الهيئة | بيانات اعتماد جهاز الفوترة لدى هيئة الزكاة والضريبة والجمارك ومفتاح التوقيع الخاص بالمنشأة، وتُحفظ مشفّرة. | جهة معالجة |
| سجلات الاشتراك والدفع | الدفعات المسجلة (المبلغ والتاريخ والمرجع والمدة التي تغطيها) وفواتيرنا لك. | جهة تحكم |
| السجلات التقنية | سجلات تشغيل الخدمة وأمنها، وتشمل عناوين IP. | جهة تحكم |
| المراسلات | رسائلك إلينا عبر البريد الإلكتروني أو WhatsApp عند طلب الدعم. | جهة تحكم |
لا نجمع بيانات بطاقات الدفع، إذ لا يوجد دفع بالبطاقة في الخدمة. ولا يستخدم موقعنا التسويقي أي أدوات تحليل أو تتبع.
3. أغراض المعالجة وأساسها النظامي
| الغرض | الأساس النظامي |
|---|---|
| إنشاء حسابك وتقديم الخدمة: توقيع الفواتير وإرسالها إلى الهيئة وعرض حالتها وإعادة المحاولة. | تنفيذ العقد |
| إدارة الاشتراك وتسجيل الدفعات وإصدار فواتيرنا لك. | تنفيذ العقد، والالتزام بالأنظمة المحاسبية والضريبية |
| حفظ سجلات الفواتير للمدة التي تتطلبها الأنظمة. | الالتزام بالأنظمة |
| أمن الخدمة ومنع الإساءة والاحتيال: السجلات وتحديد المحاولات وقفل الحساب وسجل التدقيق. | المصلحة المشروعة |
| الدعم الفني ورسائل الخدمة، مثل تأكيد البريد وإعادة تعيين كلمة المرور. | تنفيذ العقد، والمصلحة المشروعة |
| صيانة الخدمة وإصلاح الأخطاء وتحسينها. | المصلحة المشروعة |
[[TODO: counsel to confirm the lawful basis available under the Personal Data Protection Law and its Implementing Regulations for each purpose above, including whether consent is also required for any of them]]
لا نبيع بياناتك الشخصية. [[TODO: operator to confirm that no personal data is or will be used for marketing or shared with third parties beyond those listed in section 4]]
4. الجهات التي نشارك معها البيانات
هيئة الزكاة والضريبة والجمارك
نرسل الفواتير الموقّعة وما يلزم من بيانات إلى الهيئة بناءً على تعليماتك وتنفيذاً لالتزاماتك النظامية بالفوترة الإلكترونية. الهيئة جهة تنظيمية مستقلة عنّا، وتخضع معالجتها لهذه البيانات لأنظمتها. [[TODO: counsel to confirm how ZATCA's role should be described (independent recipient or otherwise)]]
معالجو البيانات الفرعيون
نستعين بمزودي الخدمات التاليين لتشغيل سندات. يعالجون البيانات بالقدر اللازم لتقديم خدماتهم فقط:
| الغرض | المزوّد | البيانات التي يصل إليها |
|---|---|---|
| استضافة الخوادم وقواعد البيانات | [[TODO: hosting provider]] ([[TODO: hosting country and region]]) | جميع بيانات الخدمة؛ وبيانات الاعتماد والمفاتيح مشفّرة |
| النسخ الاحتياطية وتخزين الكائنات | [[TODO: backup and object storage provider]] | نسخ احتياطية من قواعد البيانات |
| إرسال رسائل البريد الإلكتروني | [[TODO: email delivery provider]] | عنوان البريد ومحتوى رسائل الخدمة |
| مراقبة الأخطاء والسجلات | [[TODO: error and log monitoring provider, or none]] | السجلات التقنية، وتشمل عناوين IP |
نُعلم عملاءنا قبل إضافة معالج فرعي جديد أو استبداله على النحو المبيّن في اتفاقية معالجة البيانات.
الجهات الرسمية
قد نفصح عن بيانات عندما يُلزمنا بذلك نظام أو أمر صادر من جهة مختصة، وبالقدر اللازم فقط.
5. نقل البيانات خارج المملكة
قد تُستضاف بياناتك أو تُنسخ احتياطياً لدى مزودين خارج المملكة بحسب مواقع مراكز بياناتهم. موقع الاستضافة الحالي: [[TODO: hosting country and region]]. وأي نقل للبيانات خارج المملكة نجريه وفق الضوابط التي يقررها النظام.
[[TODO: hosting decision pending; counsel to confirm whether data is hosted or backed up outside the Kingdom, the lawful mechanism for each transfer under the Personal Data Protection Law and its transfer regulations, and any approval or notice required]]
6. مدة الاحتفاظ والحذف
- سجلات الفواتير: نحتفظ بها طوال المدة التي تتطلبها أنظمة ضريبة القيمة المضافة والفوترة الإلكترونية. [[TODO: counsel to confirm the exact retention period required by VAT law and ZATCA e-invoicing rules]]
- بيانات الحساب: طوال بقاء حسابك، ثم للمدة التي يتطلبها النظام بعد إغلاقه.
- السجلات التقنية: [[TODO: log retention period]]
- النسخ الاحتياطية: تُحفظ لفترة متجددة محدودة. [[TODO: backup retention period, per the replication configuration]]
- إغلاق الحساب: نتيح لك تصديراً للعرض فقط لمدة [[TODO: length of the read-only export period after closure]]، ثم نحذف البيانات أو نجعلها مجهولة الهوية، إلا ما يوجب النظام الاحتفاظ به. ويشمل ذلك بيانات اعتماد الربط ومفتاح التوقيع. [[TODO: operator to confirm that signing keys and ZATCA credentials are deleted on closure]]
لطلب إغلاق حسابك أو حذف بياناتك راسلنا على البريد الإلكتروني. وقد لا يمكننا حذف ما يُلزمنا النظام بحفظه، وسنخبرك بذلك.
7. أمن البيانات
- بيانات كل منشأة في ملف قاعدة بيانات منفصل خاص بها.
- مفاتيح التوقيع وبيانات الربط مع الهيئة مشفّرة بمفاتيح خاصة بكل منشأة، وهذه المفاتيح محمية بدورها بمفتاح رئيسي يُحفظ خارج قاعدة البيانات ونسخها الاحتياطية.
- لا تُتاح مفاتيح التوقيع للتنزيل.
- تسجيل الدخول بتأكيد البريد الإلكتروني، مع تحديد عدد المحاولات وقفل الحساب مؤقتاً بعد محاولات فاشلة متكررة.
- الاتصال بالخدمة عبر HTTPS فقط.
- نسخ احتياطية تُنسخ باستمرار إلى خارج الخادم.
لا يوجد نظام آمن بالكامل. وإذا وقع تسرب لبيانات شخصية فسنبلّغ الجهة المختصة والمتأثرين به وفق ما يوجبه النظام. [[TODO: counsel to confirm the breach notification duties and timing towards the competent authority and affected persons]]
8. حقوقك وكيف تمارسها
يمنحك نظام حماية البيانات الشخصية حقوقاً تجاه بياناتك، ومنها حق العلم بكيفية معالجتها، وحق الوصول إليها، وحق الحصول على نسخة منها، وحق طلب تصحيحها، وحق طلب إتلافها، وحق الرجوع عن الموافقة حيث تقوم المعالجة عليها. [[TODO: counsel to confirm the list of rights and their conditions and exceptions under the Personal Data Protection Law and its Implementing Regulations]]
لممارسة أي حق منها راسلنا على البريد الإلكتروني. قد نطلب منك ما يثبت هويتك، ونرد خلال المدة التي يحددها النظام. [[TODO: counsel to confirm the response period and any fee rules]]
إذا كنت مشترياً وردت بياناتك في فاتورة أصدرها أحد عملائنا، فالعميل هو جهة التحكم في تلك البيانات، فتوجّه بطلبك إليه. ونساعده في الاستجابة له وفق اتفاقية معالجة البيانات.
9. ملفات تعريف الارتباط
لا يضع موقعنا التسويقي أي ملفات تعريف ارتباط، ولا يستخدم أدوات تحليل أو تتبع أو إعلانات، ولا يحمّل موارد من أطراف ثالثة.
يستخدم التطبيق ملفات ضرورية فقط لعمله: ملف جلسة يُبقيك مسجّلاً للدخول (محمي بخاصيتي HttpOnly وSecure)، وملف للحماية من تزوير الطلبات (anti-forgery). ولا نستخدم ملفات تعريف ارتباط للتتبع أو التحليل.
10. الأطفال
سندات موجّهة إلى المنشآت وممثليها البالغين، ولا نجمع عمداً بيانات شخصية تخص الأطفال. وإذا علمنا أننا جمعنا بيانات كهذه فسنحذفها.
11. التغييرات على هذه السياسة
قد نحدّث هذه السياسة من وقت لآخر. نذكر تاريخ آخر تحديث في أعلى الصفحة، ونخطرك بالتغييرات الجوهرية عبر التطبيق أو البريد الإلكتروني. [[TODO: counsel to confirm the notice period for material changes]]
12. التواصل والشكاوى
لأي استفسار عن هذه السياسة أو بياناتك: [[TODO: legal entity name]]، [[TODO: registered address]]، البريد الإلكتروني البريد الإلكتروني، WhatsApp [[TODO: support WhatsApp number with country code]].
وإذا رأيت أن معالجتنا لبياناتك تخالف النظام، فيحق لك التقدم بشكوى إلى الجهة المختصة بحماية البيانات الشخصية، وهي الهيئة السعودية للبيانات والذكاء الاصطناعي (سدايا).