سياسة الخصوصية

تلتزم مؤسسة نضج التوثيق الرقمي، المقيدة في السجل التجاري برقم 7055096353، ومقرها مدينة الرياض بالمملكة العربية السعودية، والمشغّلة لمنصة «موثّق»، بحماية البيانات الشخصية وفق نظام حماية البيانات الشخصية ولوائحه التنفيذية.

تبيّن هذه السياسة البيانات الشخصية التي تُعالَج عبر المنصة، وأغراض معالجتها وأسسها النظامية، وطرق حمايتها ومكان تخزينها، ومدد الاحتفاظ بها، وحقوق أصحابها وطريقة ممارستها. وتُقرأ هذه السياسة مع شروط استخدام المنصة وملحق معالجة البيانات.

يُقصد بالألفاظ الآتية المعاني المبيّنة أمامها، وتحمل الألفاظ غير المعرّفة هنا المعاني الواردة في شروط الاستخدام:

1. البيانات الشخصية: كل بيان يمكن أن يؤدي إلى معرفة شخص طبيعي على وجه التحديد، بصورة مباشرة أو غير مباشرة.
2. المعالجة: أي عملية تُجرى على البيانات الشخصية، بما في ذلك جمعها وتسجيلها وحفظها وتنظيمها واستخدامها والإفصاح عنها ومحوها.
3. جهة التحكم: الجهة التي تحدد الغرض من معالجة البيانات الشخصية وكيفيتها.
4. جهة المعالجة: الجهة التي تعالج البيانات الشخصية لمصلحة جهة التحكم وبتوجيهها.
5. صاحب البيانات: الشخص الطبيعي الذي تتعلق به البيانات الشخصية.
6. المعالج الفرعي: الجهة التي تستعين بها المنصة في تنفيذ جزء من المعالجة.

تسري هذه السياسة على البيانات الشخصية المتعلقة بالفئات الآتية:

1. مستخدمو المنشآت المشتركة في المنصة.
2. البائعون، أفراداً كانوا أو ممثلين لمورّدين، الذين تشتري منهم المنشآت أجهزة وتوثّق عمليات الشراء عبر المنصة.
3. العملاء الذين تبيع لهم المنشآت وتُصدر لهم فواتير عبر المنصة.
4. من يتواصل مع المنصة عبر نموذج «تواصل معنا».
5. زوار الصفحات العامة للمنصة.

1. المنشأة جهة التحكم في بيانات البائعين والعملاء، إذ هي التي تجمعها وتحدد غرض جمعها. وتكون المنصة جهة معالجة لهذه البيانات، تعالجها بتوجيه المنشأة ولغرض تقديم الخدمة لها فقط، ولا تستخدمها لأي غرض خاص بها.
2. المنصة جهة التحكم في بيانات حسابات المستخدمين، والسجلات التشغيلية، ورسائل «تواصل معنا»، وبيانات قياس الزيارات.
3. يترتب على هذا التمييز أن طلبات البائعين والعملاء المتعلقة ببياناتهم تُوجَّه أصلاً إلى المنشأة التي تعاملوا معها، وتتعاون المنصة معها في تنفيذها وفق المادة (15).

1. بيانات مستخدمي المنشآت: الاسم، ورقم الجوال، والبريد الإلكتروني، والدور والصلاحيات، وسجل قبول شروط الاستخدام ورقم إصدارها، وحالة الموافقة على الرسائل التسويقية وتاريخها. والبريد الإلكتروني إلزامي لأن التحقق الثنائي إلزامي على جميع الحسابات.
2. بيانات البائعين:
   1. البائع الفرد: الاسم، ورقم الهوية الوطنية أو الإقامة ورقم إصدارها، ورقم الجوال عند إدخاله.
   2. المورّد: اسم المنشأة المورّدة وبياناتها التجارية، واسم ممثلها ووسيلة التواصل معه.
3. بيانات العملاء: الاسم ورقم الجوال للعميل الفرد، واسم المنشأة وبياناتها للعميل من المنشآت، وما يرد في فواتير البيع الصادرة لهم.
4. بيانات الأجهزة والعمليات: الشركة المصنّعة، والطراز، والسعة، والحالة، ورقم الهوية الدولية للجهاز (IMEI)، وأسعار الشراء والبيع، وتواريخ العمليات، وحالة السجل، والمستخدم الذي نفّذ العملية. ورقم IMEI معرّف للجهاز لا للشخص، غير أنه يُعامل معاملة البيانات الشخصية متى ارتبط ببيانات البائع أو العميل.
5. بيانات الدفع: تُعالج بيانات بطاقات الدفع لدى بوابة الدفع مباشرة، ولا تخزّن المنصة رقم البطاقة كاملاً. وتحتفظ المنصة بمرجع عملية الدفع ومبلغها وتاريخها وحالتها وآخر أربعة أرقام من البطاقة ونوعها، وبما تعيده بوابة الدفع عن العملية، ومنه أول ستة أو ثمانية أرقام من البطاقة وتاريخ انتهائها واسم حاملها، وباسم مقدّم الدفع وبريده الإلكتروني ورقم جواله، وبرمز البطاقة المحفوظة لدى بوابة الدفع متى فعّلت المنشأة التجديد التلقائي.
6. السجلات التشغيلية: أحداث الدخول والاستخدام، وعنوان بروتوكول الإنترنت (IP)، ووصف المتصفح، ورموز التحقق، والأجهزة الموثوقة.
7. بيانات «تواصل معنا»: الاسم، والبريد الإلكتروني، ورقم الجوال عند إدخاله، ونص الرسالة، إضافةً إلى عنوان IP ووصف المتصفح لمنع إساءة استخدام النموذج.
8. بيانات زوار الصفحات العامة: بيانات قياس مجمّعة لا تعرّف بالزائر، وفق المادة (13). ويُحفظ للمنشأة المسجّلة مصدر الوصول الذي سجّلت منه، كمحرك بحث أو حملة إعلانية.

1. بيانات مستخدمي المنشآت: تُعالج لتنفيذ عقد الاشتراك، بما يشمل إنشاء الحسابات وإدارتها، والتحقق من الهوية عند الدخول، وإرسال الإشعارات المتعلقة بالحساب والخدمة والفواتير.
2. بيانات البائعين والعملاء والأجهزة: تعالجها المنصة بصفتها جهة معالجة، بتوجيه المنشأة، لتمكينها من توثيق عمليات الشراء والبيع وإصدار الفواتير وحفظ السجلات. وتتحمل المنشأة، بصفتها جهة التحكم، مسؤولية توافر الأساس النظامي لجمع هذه البيانات وإبلاغ أصحابها بمعالجتها.
3. السجلات التشغيلية: تُعالج لأغراض الأمان، ومنع الاحتيال وإساءة الاستخدام، والتدقيق، ومعالجة الأعطال، استناداً إلى المصلحة المشروعة للمنصة وفق ما يجيزه النظام.
4. بيانات «تواصل معنا»: تُعالج للرد على الرسالة فقط.
5. بيانات قياس الزيارات: تُعالج لفهم استخدام الصفحات العامة وتحسينها، استناداً إلى المصلحة المشروعة للمنصة، وبصورة مجمّعة لا تعرّف بالزائر.
6. الرسائل التسويقية: تُرسل استناداً إلى موافقة المستخدم المسبقة وفق المادة (6).
7. قد تُعالج أي من البيانات السابقة متى كان ذلك لازماً للوفاء بالتزام نظامي، أو تنفيذاً لطلب جهة مختصة وفق المادة (11).

1. يجوز للمنصة إرسال رسائل تسويقية عن العروض والمزايا الجديدة إلى مستخدمي المنشآت الذين وافقوا على ذلك، عبر خانة موافقة مستقلة عن قبول شروط الاستخدام وغير مؤشَّر عليها مسبقاً.
2. يحق للمستخدم سحب موافقته في أي وقت عبر رابط إلغاء الاشتراك الوارد في كل رسالة تسويقية، أو من إعدادات الحساب. ولا يؤثر سحب الموافقة في الإشعارات المتعلقة بالحساب والخدمة.
3. لا تُستخدم بيانات البائعين أو العملاء أو بيانات «تواصل معنا» في أي غرض تسويقي إطلاقاً.
4. لا تبيع المنصة أي بيانات شخصية، ولا تشاركها مع الغير لأغراض تسويقية.

1. لا تجمع المنصة إلا البيانات اللازمة للأغراض المبيّنة في هذه السياسة، وتبقى الحقول الاختيارية اختيارية.
2. لا تُصدر المنصة للبائع أي مستند مطبوع يتضمن بياناته، وتبقى بياناته محفوظة داخل المنصة وتحت حمايتها.

تتخذ المنصة تدابير تقنية وتنظيمية معقولة لحماية البيانات الشخصية وفق المعايير المعترف بها، ومنها:

1. تشفير أرقام هويات البائعين وأرقام جوالات البائعين والعملاء على مستوى التطبيق قبل تخزينها، بخوارزميات تشفير معترف بها، وإجراء البحث عنها بوسائل لا تكشف القيمة الأصلية.
2. عزل بيانات كل منشأة عن بيانات المنشآت الأخرى على مستوى قاعدة البيانات.
3. تقييد الوصول بحسب الدور والصلاحيات، وإلزام جميع الحسابات بالتحقق الثنائي.
4. تشفير البيانات أثناء نقلها عبر بروتوكول HTTPS.
5. الاحتفاظ بسجل تدقيق يوثّق العمليات الحساسة ومنفذيها، ويُحمى من التعديل.
6. إجراء نسخ احتياطي دوري داخل المملكة العربية السعودية.

ولا توجد وسيلة نقل أو تخزين إلكتروني آمنة أماناً مطلقاً، ولذلك لا تضمن المنصة منع كل وصول غير مصرّح به، وتلتزم بمعالجة أي حادثة وفق المادة (16).

1. تُخزَّن سجلات التوثيق، وبيانات المنشآت والبائعين والعملاء، وقاعدة البيانات، ونسخها الاحتياطية، داخل المملكة العربية السعودية، على البنية السحابية لشركة Alibaba Cloud في منطقة الرياض.
2. تُرسل رسائل البريد الإلكتروني الصادرة عن المنصة، كرموز التحقق والإشعارات، عبر خدمة Microsoft 365، ويقع مستأجر المنصة فيها حالياً خارج المملكة، في أوروبا. وتعمل المنصة على نقله إلى منطقة داخل المملكة، وتُحدَّث هذه السياسة عند إتمام ذلك.
3. يقتصر ما يُنقل عبر خدمة البريد على: اسم المنشأة، واسم المستخدم وبريده الإلكتروني، ونص الإشعار، ورمز الدخول المؤقت، ومحتوى الرسائل التسويقية لمن وافق عليها. ولا تُنقل عبرها سجلات التوثيق ولا بيانات البائعين أو العملاء ولا أرقام الهويات.
4. يتم هذا النقل استناداً إلى كونه لازماً لتقديم الخدمة عبر مزوّدَي خدمات من طرف ثالث، هما Microsoft 365 للبريد الإلكتروني وTap Payments لمعالجة المدفوعات، ويُعدّان استثناءً من حفظ البيانات داخل المملكة، وقد يعالجان البيانات المعنية خارجها، ويقتصر ما يُنقل إليهما على القدر اللازم لذلك.

تستعين المنصة بالمعالجين الفرعيين الآتيين لتقديم الخدمة، وتلتزم بألا يعالجوا البيانات إلا لهذا الغرض:

1. تُخطَر المنشآت بأي تغيير جوهري في قائمة المعالجين الفرعيين، ويُحدَّث هذا الجدول وفقاً لذلك.
2. لا تُفصح المنصة عن البيانات الشخصية لأي طرف آخر إلا في الحالات الواردة في هذه السياسة، أو بموافقة صاحب البيانات أو جهة التحكم، بحسب الأحوال.
3. في حال انتقال ملكية المنصة أو تشغيلها إلى كيان آخر، بما في ذلك شركة تُؤسَّس لتحل محل المؤسسة المشغّلة، تنتقل البيانات إليه ويلتزم بأحكام هذه السياسة، مع إشعار المنشآت بذلك.

1. لا يطّلع فريق المنصة على محتوى سجلات المنشآت في سياق التشغيل الاعتيادي، وتعرض لوحة التشغيل إحصاءات مجمّعة دون محتوى السجلات.
2. يجوز لفريق المنصة الوصول استثنائياً إلى بيانات منشأة عند الضرورة، لمعالجة عطل فني أو التحقق من بلاغ أو تنفيذ طلب من جهة مختصة. ولا يُمنح هذا الوصول إلا بسبب مكتوب، ولمدة محدودة بقدر الحاجة، وتُسجَّل كل عملية خلاله في سجل التدقيق منسوبةً إلى من نفّذها.
3. يُرسل إلى المالك النظامي للمنشأة إشعار عند كل وصول استثنائي، ما لم يمنع ذلك نظام أو أمر قضائي أو طلب من جهة مختصة.
4. يجوز للمنصة الإفصاح عن البيانات الشخصية للجهات القضائية أو الأمنية أو الرقابية المختصة متى طُلب منها ذلك بطريق نظامي، أو متى كان الإفصاح لازماً للامتثال لنظام نافذ أو لحماية حقوق المنصة في نزاع قائم.

1. تستخدم المنصة ملفات ارتباط ضرورية لتشغيل الخدمة فقط، وهي: ملف جلسة المنشأة، وملف جلسة لوحة التشغيل، وملف «الجهاز الموثوق» الذي يعفي المستخدم من رمز التحقق لمدة 30 يوماً، وملف مؤقت أثناء خطوة التحقق، وعلامة على أجهزة فريق المنصة تستثني تصفحهم من قياس الزيارات.
2. لا تستخدم المنصة ملفات ارتباط للتتبع أو الإعلان، ولا أدوات تحليلات من أطراف ثالثة.

1. تقيس المنصة زيارات صفحاتها العامة، وهي الصفحة الرئيسية وصفحة المزايا والباقة وصفحة «تواصل معنا» وصفحتا التسجيل والدخول والصفحات القانونية وصفحات الدفع العامة، بأداة تعمل على خوادم المنصة داخل المملكة.
2. يتم القياس دون ملفات ارتباط ودون التعريف بالزائر. ويُشتق للزائر معرّف يومي مؤقت يتعذر معه تتبعه عبر الأيام أو استرجاع عنوان IP الخاص به، ولا يُخزَّن عنوان IP مع بيانات القياس.
3. يُحفظ من بيانات القياس: الصفحة، ووقت الزيارة، والدولة، ونوع الجهاز والمتصفح، ومصدر الوصول، والأفعال العامة في الصفحة كالضغط على زر الاشتراك.
4. لا تُقاس الصفحات الداخلية التي يدخلها المستخدم بحسابه.

تحتفظ المنصة بالبيانات الشخصية للمدد الآتية:

1. تُشعر المنصة المالك النظامي للمنشأة قبل 60 يوماً ثم قبل 30 يوماً من محو بياناتها لانقضاء مدة القراءة فقط، ويمكنه تصدير بياناتها كاملة قبل ذلك.
2. لا يتضمن التطبيق حذفاً نهائياً للسجلات، ويؤدي حذف أي سجل إلى نقله إلى سجل المحذوفات مع بيان السبب.
3. يجوز للمالك النظامي طلب محو بيانات المنشأة كاملةً بطلب موثّق، تبدأ بعده مهلة 30 يوماً للتراجع، ثم تُمحى البيانات محواً نهائياً.
4. يبقى بعد المحو سجل لا يتضمن بيانات شخصية، يتضمن اسم المنشأة وتاريخي الطلب والمحو وأعداد ما مُحي، إضافةً إلى سجل التدقيق.
5. يجوز الاحتفاظ بأي بيانات بعد المدد السابقة متى كان ذلك لازماً بموجب نظام، أو لطلب جهة مختصة، أو للفصل في نزاع قائم أو متوقع، بالقدر والمدة اللازمين لذلك.

1. يتمتع صاحب البيانات بالحقوق المقررة في النظام، ومنها:
   1. الحق في العلم بمعالجة بياناته وأغراضها وأسسها.
   2. الحق في الوصول إلى بياناته.
   3. الحق في الحصول على نسخة من بياناته بصيغة مقروءة وواضحة.
   4. الحق في طلب تصحيح بياناته أو إكمالها أو تحديثها.
   5. الحق في طلب إتلاف بياناته متى انتفت الحاجة إليها.
   6. الحق في سحب موافقته على المعالجة القائمة على الموافقة، ومنها الرسائل التسويقية.
2. مستخدمو المنشآت ومن يتواصل مع المنصة: يُقدَّم الطلب إلى المنصة مباشرةً عبر privacy@muwathaq.sa.
3. البائعون والعملاء: يُقدَّم الطلب إلى المنشأة التي تعاملوا معها بصفتها جهة التحكم. ويجوز تقديمه إلى المنصة عبر privacy@muwathaq.sa، فتحيله إلى المنشأة المعنية وتتابع تنفيذه معها.
4. يجوز للمنصة طلب ما يلزم للتحقق من هوية مقدم الطلب قبل تنفيذه.
5. تردّ المنصة على الطلب خلال 30 يوماً من اكتماله.
6. يجوز رفض طلب الإتلاف كلياً أو جزئياً متى كان الاحتفاظ بالبيانات لازماً لغرض نظامي، أو للفصل في نزاع، أو استجابةً لطلب جهة مختصة، مع بيان سبب الرفض لمقدم الطلب.
7. يحق لصاحب البيانات تقديم شكوى إلى الهيئة السعودية للبيانات والذكاء الاصطناعي (سدايا)، بصفتها الجهة المختصة بالإشراف على تطبيق نظام حماية البيانات الشخصية.

1. تتخذ المنصة عند علمها بأي حادثة أمنية تمس البيانات الشخصية الإجراءات اللازمة لاحتوائها والحد من آثارها.
2. تُبلغ المنصة المنشأة المعنية دون تأخير غير مبرر عند وقوع حادثة تمس بيانات المنشأة، وتزوّدها بما يلزم للوفاء بالتزاماتها بصفتها جهة التحكم.
3. تُبلغ المنصة الجهة المختصة وأصحاب البيانات، فيما يخص البيانات التي تكون المنصة جهة التحكم فيها، وفق المدد والإجراءات المقررة نظاماً.

المنصة موجهة إلى المنشآت التجارية، ولا تُتاح لمن هم دون الثامنة عشرة لإنشاء حسابات. ولا تجمع المنصة عن قصد بيانات القاصرين بصفتهم مستخدمين.

1. يجوز للمنصة تعديل هذه السياسة، ويُبيَّن رقم الإصدار وتاريخ السريان في أعلاها، ويُحتفظ بالإصدارات السابقة في أرشيف متاح للاطلاع.
2. تُشعر المنصة المنشآت بالتعديلات الجوهرية قبل 15 يوماً على الأقل من سريانها، ما لم يقتضِ نظام أو طلب جهة مختصة سريانها فوراً.
3. لا يُوسَّع استخدام البيانات القائم على الموافقة إلى أغراض جديدة إلا بموافقة جديدة.

تُوجَّه الاستفسارات والطلبات المتعلقة بهذه السياسة والبيانات الشخصية إلى:

• البريد الإلكتروني: privacy@muwathaq.sa
• الجهة المشغّلة: مؤسسة نضج التوثيق الرقمي، سجل تجاري رقم 7055096353، الرياض، المملكة العربية السعودية.