سياسة الخصوصية

1. من نحن وتاريخ السريان

تاريخ سريان هذه السياسة: 8 سبتمبر 2026م (2026-09-08)، وتحل محل أي نسخة سابقة.

رواق برو (Rewaq Pro) نظام محاسبة وإدارة أعمال سحابي للمنشآت الصغيرة والمتوسطة في المملكة العربية السعودية. يشمل المبيعات والمشتريات والمخزون والقيود المحاسبية ونقاط البيع ونقاط بيع محطات الوقود، ويعمل بالعربية والإنجليزية. الموقع الرئيسي هو https://rewaq.pro، ولكل منشأة مشتركة رابط خاص بها بصيغة https://<اسم-المنشأة>.rewaq.pro، إضافة إلى تطبيق Rewaq POS لنظام أندرويد.

الجهة المشغّلة للخدمة والمسؤولة عن هذه السياسة: شركة رواق الأعمال الحديثة (السجل التجاري: [رقم السجل التجاري])، وعنوانها: [العنوان الوطني للمشغّل].

في هذه السياسة: «نحن» تعني الجهة المشغّلة، و«العميل» تعني المنشأة المشتركة في رواق برو، و«المستخدم» تعني كل شخص أنشأ له العميل حساب دخول، و«أنت» تعني أي شخص تنطبق عليه هذه السياسة.

تنطبق هذه السياسة على: (أ) العملاء ومستخدميهم، (ب) الأشخاص الذين يُدخل العملاء بياناتهم في النظام (عملاؤهم وموردوهم وموظفوهم) في الحدود الموضحة في قسم «من المسؤول عن البيانات؟»، (ج) كل من يتواصل معنا عبر قنوات الدعم. أما تصفح الموقع دون إنشاء حساب فلا نستخدم فيه أي أدوات تتبع، ولا ملفات تعريف ارتباط سوى ملف لغة العرض المذكور في قسم «ملفات تعريف الارتباط».

أُعدت هذه السياسة وفق نظام حماية البيانات الشخصية الصادر بالمرسوم الملكي رقم (م/19) وتاريخ 9/2/1443هـ، المعدَّل بالمرسوم الملكي رقم (م/148) وتاريخ 5/9/1444هـ، ولائحته التنفيذية، ولائحة نقل البيانات الشخصية خارج المملكة. وتشرف على تطبيق النظام الهيئة السعودية للبيانات والذكاء الاصطناعي (سدايا). ونتيح لك هذه السياسة قبل جمع أي بيانات، كما تقضي المادة (12) من النظام.

تشرح لك هذه السياسة بلغة بسيطة: ما البيانات التي نجمعها، ولماذا، ومع من نشاركها، وأين تُخزَّن، وكيف نحميها، وما حقوقك. وإذا كنت تستخدم النظام باسم منشأة، فأنت تقر بأنك مخوّل بالاطلاع على هذه السياسة نيابة عنها.

2. من المسؤول عن البيانات؟ (جهة التحكم وجهة المعالجة)

يوجد في رواق برو نوعان من البيانات، وتختلف مسؤوليتنا النظامية بينهما:

• النوع الأول: بيانات حسابك لدينا (اسمك، بريدك، بيانات الاشتراك والدخول، مراسلات الدعم). هنا نحن «جهة التحكم»: نحن من يحدد لماذا تُجمع هذه البيانات وكيف تُستخدم، ونتحمل التزامات جهة التحكم بموجب النظام.
• النوع الثاني: بيانات عملك التي تدخلها أنت في النظام (عملاؤك، موردوك، موظفوك، فواتيرك، قيودك). هنا العميل هو «جهة التحكم»، ونحن «جهة المعالجة»: نخزنها ونعالجها نيابة عنه وبحسب تعليماته الموثقة فقط.

المصطلحات كما يعرّفها النظام: «البيانات الشخصية» كل بيان يمكن من خلاله معرفة شخص بعينه مباشرة أو غير مباشرة. «جهة التحكم» من يحدد الغرض من معالجة البيانات وطريقتها. «جهة المعالجة» من يعالج البيانات لصالح جهة التحكم ونيابة عنها.

مثال: إذا سجّلت فاتورة لعميلك «مؤسسة النور للتجارة»، فبيانات هذا العميل تحت مسؤوليتك أنت. نحن لا نستخدمها لأي غرض خاص بنا، ولا نطّلع عليها إلا بالقدر اللازم لتشغيل الخدمة وتأمينها، أو عند طلبك الدعم.

بصفتنا جهة معالجة لبيانات عملك، نلتزم بما يلي:

• ألا نستخدم هذه البيانات لغير تقديم الخدمة لك وصيانتها وتأمينها.
• ألا نشاركها مع أي طرف إلا مقدمي الخدمات المذكورين في قسم «مع من نشارك البيانات؟»، أو عند وجود إلزام نظامي.
• ألا نضيف مقدم خدمة جديدًا يعالج بياناتك دون إخطارك مسبقًا.
• أن نساعدك في الرد على طلبات عملائك وموظفيك بشأن بياناتهم، وفي الإخطار عن أي حادثة تمس بياناتك.
• أن نحذف بياناتك أو نعيدها إليك عند انتهاء الاشتراك، كما هو موضح في قسم «مدة الاحتفاظ بالبيانات وحذفها».

ماذا يعني ذلك لك عمليًا؟ أنت مسؤول عن مشروعية جمع بيانات عملائك ومورديك وموظفيك، وعن إبلاغهم بأن بياناتهم محفوظة في نظام محاسبي سحابي، وعن الرد على طلباتهم بشأنها. ونوفر لك الأدوات التقنية لذلك: التصدير والتعديل والحذف.

تُنظَّم العلاقة بيننا وبينك بصفتك جهة تحكم بموجب شروط الخدمة واتفاقية معالجة البيانات: [رابط/مرجع اتفاقية معالجة البيانات بين رواق برو والعميل].

3. البيانات التي نجمعها

أولًا: بيانات الحساب التي تقدمها لنا (نحن جهة التحكم فيها). تُجمع عند التسجيل في https://rewaq.pro أو عند إضافة مستخدم داخل حساب العميل:

• الاسم الكامل.
• اسم المنشأة.
• اسم النطاق الفرعي الذي تختاره (مثل: alnoor.rewaq.pro).
• البريد الإلكتروني (نتحقق منه برابط نرسله إليك عند التسجيل الذاتي؛ أما المستخدم الذي يضيفه مدير المنشأة فيُعتمد بريده كما أدخله المدير).
• كلمة المرور. لا نخزنها كما هي أبدًا؛ نحفظ فقط بصمة منها بخوارزمية Argon2id، ولا يستطيع أحد لدينا رؤيتها.
• رقم الجوال (اختياري).
• عند تفعيل التحقق بخطوتين: المفتاح اللازم للتحقق من رموز تطبيق المصادقة (TOTP).
• بيانات التواصل ومحتوى رسالتك عند مراسلتنا عبر واتساب أو البريد.

ثانيًا: بيانات أمنية وسجلات تُنشأ تلقائيًا (نحن جهة التحكم فيها):

• عنوان IP ونوع المتصفح أو الجهاز عند كل تسجيل دخول، ووقت آخر دخول. تُحفظ في سجل أمني لحماية حسابك.
• سجل النشاط داخل حساب العميل: من قام بأي إجراء ومتى. أما دخول فريق الدعم فيُسجَّل في سجلات النظام لدينا (انظر قسم الحماية).

ثالثًا: بيانات عملك التي تدخلها في النظام (العميل جهة التحكم ونحن جهة المعالجة):

• بيانات منشأتك النظامية: رقم السجل التجاري، الرقم الضريبي، العنوان الوطني.
• بيانات موظفيك إذا استخدمت وحدة الموارد البشرية والرواتب: الاسم، رقم الهوية أو الإقامة، الراتب والبدلات، بيانات الحساب البنكي.
• أي مرفقات أو ملفات ترفعها إلى المستندات (فواتير الموردين، عقود، صور).
• حسابات بوابة العملاء إذا فعّلتها: بريد عميلك وكلمة مرور مشفّرة ليطّلع على كشف حسابه.
• مستخدمو منشأتك وموظفوها: الاسم، البريد الإلكتروني، الجوال، الأدوار والصلاحيات.
• عملاؤك وموردوك: الأسماء، الأرقام الضريبية، أرقام السجلات التجارية، العناوين، أرقام الجوال، البريد الإلكتروني.
• الفواتير، الإشعارات الدائنة والمدينة، المدفوعات، القيود المحاسبية، المخزون، قوائم الأسعار.
• ملفات الفواتير الإلكترونية (XML) ورموز QR التي ينشئها النظام لهيئة الزكاة والضريبة والجمارك.
• بيانات الموقّع (الاسم، الجوال، البريد الإلكتروني) عند تفعيلك التوقيع الإلكتروني لسندات التسليم عبر «صادق».

لا يطلب النظام أي بيانات حساسة بمفهوم النظام (كالبيانات الصحية أو الدينية أو الوراثية أو الحيوية)، ونرجو عدم إدخالها فيه. ولا نجمع أي بيانات عنك من مصادر خارجية، ولا نستخدم أدوات تتبع إعلانية أو تحليلات من طرف ثالث.

4. لماذا نستخدم البيانات؟ وما الأساس النظامي؟

نعالج بيانات الحساب للأغراض التالية فقط، والأساس النظامي مذكور أمام كل غرض وفق المادتين (5) و(6) من النظام:

• إنشاء الحساب وتشغيل رابط منشأتك وتقديم الخدمة وإدارة الاشتراك والفوترة. الأساس: تنفيذ العقد بيننا، أو اتخاذ خطوات بناءً على طلبك قبل إبرامه.
• إرسال رسائل تأكيد البريد والإشعارات المتعلقة بحسابك، ورسائل إرشادية قليلة خلال فترة التجربة تشرح كيف تبدأ (يمكنك طلب إيقافها). الأساس: تنفيذ العقد.
• التواصل معك بشأن حسابك عبر رقم الجوال إن قدمته. الأساس: تنفيذ العقد؛ وتقديم الرقم اختياري، ويمكنك طلب حذفه في أي وقت.
• حماية حسابك والنظام من الاختراق والاحتيال (سجل الدخول، قفل الحساب بعد 5 محاولات خاطئة، التحقق بخطوتين). الأساس: مصلحتنا المشروعة ومصلحة عملائنا في تأمين الخدمة، وهي معالجة لا تشمل بيانات حساسة ولا تمس حقوقك.
• تقديم الدعم الفني عند طلبك، بما في ذلك دخول موظف الدعم إلى حسابك لمدة محدودة ومسجّلة. الأساس: تنفيذ العقد بناءً على طلبك.
• الالتزام بالأنظمة السعودية والرد على طلبات الجهات المختصة عند وجود إلزام نظامي. الأساس: الالتزام النظامي.

أما بيانات عملك، فنعالجها بصفتنا جهة معالجة لغرض واحد: تنفيذ تعليماتك عبر وظائف النظام (إصدار الفواتير، القيود، التقارير، إرسال الفواتير إلى هيئة الزكاة والضريبة والجمارك عند تفعيل الربط، والتوقيع الإلكتروني عند تفعيله). ويقع تحديد الأساس النظامي لجمع تلك البيانات على عاتقك بصفتك جهة التحكم.

ما لا نفعله أبدًا:

• لا نبيع بياناتك ولا نؤجرها.
• لا نستخدمها للإعلانات ولا نشاركها مع معلنين.
• لا نرسل رسائل تسويقية حاليًا. وإذا أردنا ذلك مستقبلًا، فلن نرسلها إلا بموافقتك المسبقة، مع إمكانية إيقافها في أي وقت.
• لا نتخذ قرارات آلية بالكامل تؤثر عليك نظاميًا بناءً على بياناتك، ولا ننشئ ملفات تعريف عنك.
• لا نستخدم بيانات عملك (عملاءك وفواتيرك) لأي غرض غير تشغيل الخدمة لك.

نلتزم بمبدأ تقليل البيانات: لا نجمع إلا ما يلزم للغرض المحدد، ولا نعالج البيانات لغرض مختلف عن الغرض الذي جُمعت من أجله إلا في الحالات التي يجيزها النظام.

5. مع من نشارك البيانات؟

لا نشارك بياناتك إلا مع الجهات التالية، وبالحد الأدنى اللازم لكل غرض. ولا تضم القائمة أي جهات إعلانية أو تحليلية.

أولًا: مقدمو الخدمات من الباطن (جهات معالجة من الباطن):

• Hetzner Online GmbH
• الغرض: استضافة التطبيق وقاعدة البيانات والنسخ الاحتياطية.
• البيانات: جميع بيانات الحساب وبيانات عمل العملاء، لأنها البنية التحتية للخدمة.
• الموقع: هلسنكي، فنلندا (الاتحاد الأوروبي) — خارج المملكة.
• Resend (عبر Amazon SES)
• الغرض: إرسال رسائل البريد التشغيلية فقط: تأكيد التسجيل، الإشعارات، رسائل بدء الاستخدام خلال التجربة.
• البيانات: بريد المستلم واسمه ومحتوى الرسالة. لا تمر عبرها بيانات محاسبية ولا رسائل تسويقية.
• الموقع: شركة Resend Inc. في الولايات المتحدة، وتُرسل الرسائل عبر خوادم Amazon SES خارج المملكة (منطقة AWS في اليابان ap-northeast-1).
• Cloudflare
• الغرض: خدمة أسماء النطاقات (DNS) فقط، دون تمرير أي من بياناتك أو حركة استخدامك للنظام عبرها.
• البيانات: استعلامات ترجمة اسم النطاق فقط، ولا تتضمن محتوى بيانات شخصية.
• الموقع: الولايات المتحدة.
• صادق (Sadq)
• الغرض: التوقيع الإلكتروني على سندات التسليم إذا فعّلت هذه الخاصية. لا يُرسل شيء إلى صادق ما لم تفعّلها.
• البيانات: اسم الموقّع ورقم جواله وبريده الإلكتروني ورقم هويته الوطنية (إن أدخلته)، ومستند سند التسليم نفسه ليُوقَّع.
• الموقع: المملكة العربية السعودية.

كل مقدم خدمة من هؤلاء ملزم عقديًا بحماية البيانات، وبعدم استخدامها إلا للغرض المحدد وبحسب تعليماتنا. وسنخطر العملاء قبل إضافة أي مقدم خدمة جديد أو استبدال أحد المذكورين، ونحدّث هذه القائمة قبل بدء المشاركة.

ثانيًا: الجهات الحكومية بموجب التزام نظامي:

• هيئة الزكاة والضريبة والجمارك (منصة فاتورة): انظر قسم «الفوترة الإلكترونية وهيئة الزكاة والضريبة والجمارك». الهيئة جهة حكومية، والإرسال إليها التزام نظامي وليس خدمة نشتريها.
• أي جهة قضائية أو رقابية سعودية مختصة عند وجود أمر أو طلب نظامي ملزم، وفي أضيق نطاق ممكن. ونخطر العميل المتأثر بذلك ما لم يمنعنا النظام.

داخل منشأتك: أنت تتحكم في من يطّلع على بياناتك من مستخدميك عبر الأدوار والصلاحيات، وبيانات كل عميل معزولة تمامًا عن بيانات غيره.

إذا انتقلت ملكية رواق برو أو اندمج مع جهة أخرى، فقد تنتقل البيانات إلى الجهة الخلَف بشرط التزامها بهذه السياسة أو بسياسة لا تقل عنها حماية، وسنخطرك بذلك مسبقًا.

6. نقل البيانات خارج المملكة

نريد أن نكون واضحين معك: خوادمنا موجودة في هلسنكي، فنلندا (داخل الاتحاد الأوروبي). وهذا يعني أن بيانات حسابك وبيانات عملك — بما فيها بيانات عملائك وفواتيرك وقيودك والنسخ الاحتياطية — تُخزَّن خارج المملكة العربية السعودية.

كذلك رسائل البريد التشغيلية (تأكيد البريد، الإشعارات، رسائل بدء الاستخدام) تمر عبر خوادم Resend في الولايات المتحدة وخوادم Amazon SES خارج المملكة، وتحتوي على اسمك وبريدك ومحتوى الرسالة. واستعلامات أسماء النطاقات تُخدَم عبر Cloudflare في الولايات المتحدة، ولا تتضمن محتوى بيانات شخصية.

أما ما يُرسل إلى هيئة الزكاة والضريبة والجمارك وإلى «صادق» فيبقى داخل المملكة.

نُجري عمليات النقل هذه وفق المادة (29) من النظام ولائحة نقل البيانات الشخصية خارج المملكة، بالاعتماد على: [آلية النقل المعتمدة لنقل البيانات خارج المملكة: قرار كفاية لدولة المقصد أو الشروط التعاقدية القياسية الصادرة عن سدايا أو ضمانات مناسبة أخرى]. ونلتزم بما يلي:

• قصر النقل على الحد الأدنى من البيانات اللازمة لتقديم الخدمة.
• تشفير البيانات أثناء النقل (TLS 1.2 فأعلى) وتشفير النسخ الاحتياطية.
• إبرام اتفاقيات معالجة بيانات مع مقدمي الخدمات خارج المملكة تلزمهم بمستوى حماية لا يقل عن المطلوب نظامًا.
• إجراء تقييم لمخاطر النقل وفق اللائحة، وتحديثه عند تغيّر الظروف.
• عدم نقل البيانات إلى أي دولة أو جهة إضافية دون تحديث هذه السياسة أولًا.

تنبيه مهم: إذا كانت منشأتك تخضع لجهة رقابية تشترط بقاء بياناتك داخل المملكة (كبعض القطاعات المالية أو الصحية)، أو كانت أنظمة الزكاة والضريبة التي تخضع لها تضع شروطًا على مكان حفظ سجلاتك أو إتاحتها، فعليك التحقق من توافق استخدام النظام مع تلك المتطلبات قبل الاشتراك. ونوفر لك تصدير كامل بياناتك في أي وقت.

سنحدّث هذا القسم إذا نقلنا الاستضافة إلى مركز بيانات داخل المملكة أو غيّرنا أيًا من مقدمي الخدمات.

7. الفوترة الإلكترونية وهيئة الزكاة والضريبة والجمارك

ينشئ النظام لفواتيرك ملفات XML بصيغة الفوترة الإلكترونية ورموز QR وفق متطلبات هيئة الزكاة والضريبة والجمارك، وتُحفظ في حساب منشأتك.

عندما تفعّل ربط المرحلة الثانية من الفوترة الإلكترونية، تُوقَّع الفواتير الضريبية والإشعارات الدائنة والمدينة وفواتير الدفعات المقدمة إلكترونيًا وتُرسل إلى منصة «فاتورة» التابعة للهيئة للاعتماد أو الإبلاغ. لا يُرسل شيء إلى الهيئة ما لم تفعّل الربط.

البيانات المرسلة هي محتوى الفاتورة نفسها: بيانات البائع والمشتري (الاسم، الرقم الضريبي، رقم السجل التجاري، العنوان)، وبنود الفاتورة ومبالغها والضريبة.

الأساس النظامي: التزام نظامي يقع عليك بصفتك المكلّف بموجب نظام ضريبة القيمة المضافة ولائحته التنفيذية ولائحة الفوترة الإلكترونية، وننفذه بصفتنا جهة معالجة نيابة عنك. الهيئة جهة حكومية وليست موردًا لنا، وتعالج ما يصلها وفق أنظمتها الخاصة داخل المملكة.

ما أُرسل إلى الهيئة لا يمكننا سحبه أو حذفه، ولا يتأثر بحذف بياناتك لدينا. ولهذا ننصحك بالاحتفاظ بنسخة من ملفات XML للفواتير ضمن سجلاتك النظامية (انظر مدة الاحتفاظ بالسجلات الضريبية في القسم التالي).

8. كيف نحمي بياناتك؟ وماذا يحدث عند وقوع حادثة؟

نطبق التدابير التقنية والتنظيمية التالية وفق المادة (19) من النظام:

• تشفير كل الاتصال بين جهازك وخوادمنا (TLS 1.2 أو أحدث، بشهادات Let's Encrypt).
• كلمات المرور محفوظة كبصمة بخوارزمية Argon2id، ولا يمكن استرجاعها.
• جلسة الدخول قصيرة: رمز الوصول صالح 15 دقيقة ويبقى في ذاكرة المتصفح فقط، ورمز التجديد صالح 7 أيام في ملف تعريف ارتباط محمي (httpOnly وSecure) لا تصل إليه البرامج النصية.
• التحقق بخطوتين (TOTP) متاح لكل مستخدم، وننصحك بتفعيله.
• قفل الحساب تلقائيًا بعد 5 محاولات دخول خاطئة.
• عزل بيانات كل عميل عن غيره في كل استعلام على قاعدة البيانات (tenant_id)، ويُطبَّق هذا العزل برمجيًا في طبقة الوصول إلى البيانات. لا تستطيع منشأة رؤية بيانات منشأة أخرى.
• أدوار وصلاحيات داخل منشأتك: أنت تحدد من يرى ماذا ومن يفعل ماذا.
• نسخ احتياطية مشفرة يوميًا الساعة 2:00 صباحًا بتوقيت الرياض، مع الاحتفاظ بـ30 نسخة يومية و12 نسخة شهرية.
• سجل نشاط للعمليات المهمة داخل كل حساب.

دخول فريق الدعم المؤقت إلى حسابك: قد يحتاج فريق الدعم أحيانًا إلى الدخول إلى حسابك لمعاينة مشكلة فنية أو التحقق من بلاغ أمني. يخضع هذا الدخول للضوابط التالية:

• لا يُستخدم إلا للدعم الفني أو التحقيق في مشكلة أو حادثة أمنية أو التزام نظامي.
• الجلسة قصيرة وتنتهي تلقائيًا خلال ساعة واحدة كحد أقصى.
• تُسجَّل كل جلسة في سجلات النظام لدينا بهوية موظف الدعم الذي أجراها ووقتها.
• لا يستطيع موظف الدعم رؤية كلمة مرورك.

الإخطار عن حوادث اختراق البيانات: لا يوجد نظام آمن بنسبة 100%. إذا وقعت حادثة تسريب أو إتلاف أو وصول غير مشروع إلى بيانات شخصية، نلتزم وفق المادة (20) من النظام ولائحته التنفيذية بما يلي:

• إخطار الهيئة السعودية للبيانات والذكاء الاصطناعي (سدايا) خلال مدة لا تتجاوز 72 ساعة من علمنا بالحادثة، إذا كان من شأنها الإضرار بالبيانات أو بأصحابها.
• إخطار أصحاب البيانات المتأثرين دون تأخير غير مبرر، مع بيان طبيعة الحادثة والمخاطر المحتملة والإجراءات التي اتخذناها والخطوات التي يمكنهم اتخاذها لحماية أنفسهم.
• بصفتنا جهة معالجة لبيانات عملك: إخطارك فور علمنا بالحادثة وتزويدك بما تحتاجه للوفاء بالتزاماتك تجاه سدايا وتجاه عملائك وموظفيك.
• توثيق الحادثة وأسبابها والإجراءات التصحيحية في سجل داخلي.

دورك أيضًا مهم: لا تشارك كلمة مرورك، وفعّل التحقق بخطوتين، وأزل صلاحيات الموظفين الذين تركوا العمل، وأبلغنا فورًا عند الاشتباه بأي استخدام غير مصرح به لحسابك.

9. مدة الاحتفاظ بالبيانات وحذفها عند إلغاء الاشتراك

نحتفظ بالبيانات للمدة اللازمة لغرضها فقط، ثم نحذفها أو نجعلها مجهولة الهوية وفق المادة (18) من النظام، ما لم يوجب نظام آخر مدة أطول:

• بيانات الحساب والاشتراك: طوال مدة الاشتراك، ثم تُحذف خلال 90 يومًا من إلغاء الاشتراك، ما لم يلزمنا النظام بمدة أطول.
• بيانات عملك (الفواتير والقيود والمخزون وغيرها) وسجل النشاط داخل الحساب: طوال مدة الاشتراك، ثم تُحذف مع الحساب خلال 90 يومًا من الإلغاء.
• الفواتير الضريبية والسجلات المحاسبية: تلزم أنظمة ضريبة القيمة المضافة والزكاة في المملكة المنشآت بحفظها 6 سنوات على الأقل. هذا الالتزام يقع على منشأتك بصفتها المكلّف، ولا يعمل رواق برو مستودعًا لسجلاتك بعد انتهاء اشتراكك.
• النسخ الاحتياطية: دورة متجددة من 30 نسخة يومية و12 نسخة شهرية و7 نسخ سنوية تُستبدل تلقائيًا. لذلك قد تبقى نسخة من البيانات المحذوفة داخل النسخ الاحتياطية المشفرة حتى 12 شهرًا بعد الحذف، وفي النسخة السنوية حتى 7 سنوات. لا تُستخدم النسخ الاحتياطية إلا لاستعادة النظام بعد عطل، ولا لاستعادة بيانات حُذفت بناءً على طلب.
• سجلات الدخول (عنوان IP ووقت آخر دخول لكل مستخدم) وسجل النشاط: طوال مدة الاشتراك، وتُحذف مع الحساب.
• مراسلات الدعم: تُعامل كجزء من بيانات الحساب وتتبع مدتها.

ماذا يحدث عند إلغاء الاشتراك؟

• قبل الإلغاء: صدّر كل بياناتك من داخل النظام (الفواتير، الإشعارات، القيود، دفتر الأستاذ، العملاء، الموردون، الأصناف، ملفات XML للفواتير الإلكترونية). التصدير متاح من كل شاشة بصيغة Excel، وملفات XML من تقرير الفوترة الإلكترونية؛ وبعد الحذف لا نستطيع استرجاع البيانات.
• خلال 90 يومًا من الإلغاء: تُحذف بيانات الحساب وبيانات عملك من قاعدة البيانات الحيّة. ويمكنك طلب الحذف قبل انقضاء هذه المدة بطلب موثق من مستخدم مخوّل.
• بعد ذلك: تُستبدل النسخ الاحتياطية وفق دورتها (12 شهرًا للنسخ الشهرية و7 سنوات للسنوية)، ولا يبقى إلا ما يلزمنا النظام بحفظه (مثل سجلات الفوترة الخاصة بنا).
• لا يؤثر الحذف لدينا على ما سبق إرساله نظاميًا إلى هيئة الزكاة والضريبة والجمارك أو ما وُقّع عبر «صادق»؛ فتلك الجهات تحتفظ به وفق أنظمتها.

إذا حذفت عميلًا أو موردًا أو صنفًا من داخل النظام، فإنه يختفي من شاشات العمل فورًا وينتقل إلى «سلة المحذوفات» لديك حتى تحذفه نهائيًا أو تستعيده. ويتم حذف مستخدم (موظف) داخل منشأتك بواسطة مديرها من إعدادات المستخدمين.

عند انتهاء مدة الاحتفاظ تُحذف البيانات بطريقة تحول دون استرجاعها.

10. ملفات تعريف الارتباط والتخزين في المتصفح

نستخدم الحد الأدنى فقط، وكله ضروري لتشغيل الخدمة:

• refresh_token: ملف تعريف ارتباط محمي (httpOnly وSecure) صالح 7 أيام. ضروري لبقائك مسجّل الدخول وتجديد جلستك بأمان، ولا يعمل النظام بدونه.
• رمز الوصول: يبقى في ذاكرة المتصفح فقط لمدة 15 دقيقة ولا يُكتب على القرص.
• التخزين المحلي في متصفحك (localStorage): تفضيلات العرض مثل الشركة النشطة والمظهر (فاتح/داكن) ووضع الكشك (kiosk) وحالة القوائم، وإعدادات الطابعة وعنوان الخادم في تطبيق نقاط البيع على أندرويد. ولغة العرض تُحفظ في ملف تعريف ارتباط باسم NEXT_LOCALE. هذه إعدادات لراحتك تبقى على جهازك ولا تُرسل إلينا كبيانات تتبع.

لا نستخدم أي ملفات تعريف ارتباط للإعلانات أو التحليلات أو التتبع. ولأن كل ما نستخدمه ضروري للخدمة، لا يتطلب موافقة مسبقة، ولهذا لا ترى شريط «قبول الكوكيز» عندنا.

يمكنك حذف هذه الملفات من إعدادات متصفحك في أي وقت، وسيطلب منك النظام تسجيل الدخول من جديد.

11. حقوقك وكيف تمارسها، والشكاوى لدى سدايا

يكفل لك نظام حماية البيانات الشخصية (المادة 4) ولائحته التنفيذية الحقوق التالية، ويمكنك ممارستها مجانًا:

• الحق في العلم: معرفة الأساس النظامي لجمع بياناتك والغرض منه، وهو ما توفره هذه السياسة.
• الحق في الوصول والحصول على نسخة: الاطلاع على بياناتك التي لدينا والحصول على نسخة منها بصيغة واضحة ومقروءة.
• الحق في التصحيح: تصحيح بياناتك أو استكمالها أو تحديثها.
• الحق في الإتلاف (الحذف): طلب حذف بياناتك عند انتهاء الغرض من جمعها، مع مراعاة الاستثناءات النظامية كمدد الاحتفاظ الضريبي.
• الحق في سحب الموافقة: في أي وقت بالنسبة لأي معالجة قائمة على موافقتك، دون أثر رجعي على المعالجة السابقة.
• الحق في تقييد المعالجة: في الحالات التي يجيزها النظام.
• الحق في الاعتراض: على المعالجة القائمة على المصلحة المشروعة، مع مراعاة ما يقتضيه أمن الخدمة.
• الحق في نقل البيانات: تصدير بيانات منشأتك (Excel من كل شاشة، وXML للفواتير الإلكترونية) بصيغة قابلة للاستخدام في نظام آخر.

كيف تطلب ذلك؟ راسلنا على [بريد الخصوصية] أو عبر واتساب على [رقم واتساب الدعم]. سنتحقق من هويتك قبل تنفيذ الطلب حمايةً لبياناتك، ونرد خلال 30 يومًا من استلام الطلب المكتمل وفق اللائحة التنفيذية. ويجوز تمديد هذه المدة عند تعقّد الطلب أو تعدده مع إشعارك بذلك. لا نتقاضى رسومًا إلا على الطلبات المتكررة أو غير المبررة، وفي الحدود التي تجيزها اللائحة. ولا نميّز ضد أي شخص لممارسته حقوقه.

إذا كنت موظفًا أو عميلًا أو موردًا لدى منشأة تستخدم رواق برو، فبياناتك في النظام تحت مسؤولية تلك المنشأة بصفتها جهة التحكم. قدّم طلبك إليها مباشرة؛ وإذا وصلنا طلبك فسنحيله إليها ونساعدها تقنيًا على تنفيذه، ولا نستطيع تعديل بياناتها أو حذفها من تلقاء أنفسنا دون تعليماتها إلا إذا ألزمنا النظام بذلك.

الشكاوى: إذا لم ترضَ عن ردنا أو عن طريقة تعاملنا مع بياناتك، يحق لك تقديم شكوى إلى الهيئة السعودية للبيانات والذكاء الاصطناعي (سدايا)، وهي الجهة المختصة بتطبيق نظام حماية البيانات الشخصية، عبر قنواتها الرسمية على https://sdaia.gov.sa أو من خلال المنصة الوطنية لحوكمة البيانات. ونرجو منحنا الفرصة لمعالجة شكواك أولًا.

12. تطبيق Rewaq POS على أندرويد

تطبيق «Rewaq POS» لمحطات الوقود هو غلاف يعرض النظام نفسه على جهاز أندرويد، وتسري عليه هذه السياسة بالكامل. لا يجمع بيانات إضافية عنك.

• يحفظ على الجهاز فقط: عنوان الخادم وإعدادات الطابعة وجلسة الدخول داخل متصفح التطبيق.
• يطلب صلاحية البلوتوث فقط للاتصال بطابعة الإيصالات.
• لا يصل إلى الكاميرا ولا الميكروفون ولا الموقع الجغرافي.
• كل البيانات التي تدخلها فيه تذهب مباشرة إلى حساب منشأتك على خوادمنا، وتُعامل كبيانات عمل العميل بنفس الضوابط الموضحة في هذه السياسة.

إذا أعطيت الجهاز لموظف آخر، احرص على تسجيل الخروج أولًا.

13. القاصرون

رواق برو خدمة للمنشآت التجارية وأصحاب الأعمال والمحاسبين، وليست موجهة لمن هم دون 18 عامًا. لا نجمع عن قصد بيانات شخصية من قاصرين، ولا نسمح بإنشاء حسابات لهم.

إذا علمنا أننا جمعنا بيانات شخص دون هذا السن دون موافقة وليّه النظامي، فسنغلق الحساب ونحذف بياناته دون تأخير. إذا كنت تعتقد أن ذلك قد حدث، فأبلغنا على [بريد الخصوصية].

14. التغييرات على هذه السياسة والتواصل معنا

قد نحدّث هذه السياسة عند تغيّر خدماتنا أو مقدمي خدماتنا أو الأنظمة. ننشر النسخة المحدثة على https://rewaq.pro مع تاريخ سريان جديد. وعند أي تغيير جوهري (مثل إضافة مقدم خدمة جديد خارج المملكة، أو تغيير مكان الاستضافة، أو تغيير أغراض المعالجة)، سنخطر العملاء عبر البريد الإلكتروني المسجّل أو بإشعار داخل النظام قبل سريان التغيير بمدة معقولة.

للتواصل بخصوص الخصوصية أو بياناتك أو ممارسة حقوقك:

• الجهة المسؤولة: شركة رواق الأعمال الحديثة (السجل التجاري: [رقم السجل التجاري])
• العنوان: [العنوان الوطني للمشغّل]
• البريد الإلكتروني للخصوصية: [بريد الخصوصية]
• واتساب: [رقم واتساب الدعم] (الرابط متاح في أسفل الموقع). واتساب خدمة تابعة لطرف ثالث خارج المملكة، لذلك ننصح باستخدام البريد الإلكتروني للطلبات التي تتضمن بيانات شخصية.
• مسؤول حماية البيانات (إن وُجد): [اسم/بريد مسؤول حماية البيانات]

الجهة الإشرافية: الهيئة السعودية للبيانات والذكاء الاصطناعي (سدايا) — https://sdaia.gov.sa

تخضع هذه السياسة لأنظمة المملكة العربية السعودية. وأُعدت باللغتين العربية والإنجليزية، وفي حال وجود تعارض بين النصين يُعتد بالنص العربي.