سياسة الخصوصية

1. هوية المتحكم في البيانات

عبدالله صالح محمد السلطان (Abdullah Saleh M Alsultan)، الذي يمارس نشاطه التطويري تحت الاسم التجاري "Alsultan EdTech" (يشار إليه بـ "نحن")، هو المتحكم في البيانات الشخصية التي يتم جمعها عبر مِنَصَّة "مَنارَة". نلتزم بحماية خصوصيتك ومعالجة بياناتك بشفافية كاملة وفقاً لنظام حماية البيانات الشخصية السعودي (PDPL).

ملاحظة: "Alsultan EdTech" هو اسم تجاري (Trade Name) يستخدمه المطوّر الفرد لتسمية مشروعه التطويري المستقل، ولا يمثّل كياناً قانونياً مسجّلاً مستقلاً في وزارة التجارة في الوقت الحالي. جميع الالتزامات النظامية تقع على شخص المطوّر المذكور أعلاه.

2. مسؤول حماية البيانات (DPO)

2-أ. إخفاء هوية المدرسة في النسخة العامة

أ) ما هو "عام" تنطبق عليه هذه السياسة:

• الصفحة الرئيسية، صفحات التسعير، التواصل، والشروط القانونية.
• صفحة تسجيل الدخول وإنشاء الحساب.
• عناوين الصفحة، أوصاف Meta، Open Graph، Twitter Cards، و manifest.json.
• روابط المشاركة العامة لأولياء الأمور (التوقيع، المسح، النماذج، الدروس).
• قائمة متجر Google Play والمواد التسويقية المنشورة.
• تذييل المِنَصَّة الموحّد (DeveloperFooter) المرئي للزوار.

ب) أين تُعرض هوية المدرسة الفعلية:

ج) الضمانات التقنية:

• اختبار آلي مستمر public-branding-privacy.test.ts يفحص جميع الملفات العامة عند كل بناء ويرفض أي تسرّب لأسماء مدارس فعلية.
• قائمة أنماط ممنوعة (عربي/إنجليزي بصيغ متعددة) تمنع التسرّب حتى عبر الترجمة أو التشكيل.
• إعدادات الهوية محمية بسياسة Row-Level Security: لا تُقرأ إلا من قِبل مستخدم مصادق عليه ينتمي للمدرسة.
• تخزين الشعارات في حاوية branding-assets بصلاحية كتابة للإداري فقط.

د) لماذا نطبّق هذه السياسة:

• منع تعريف الكادر بأي مدرسة محددة من قِبل زوار خارجيين.
• حماية المدارس المشتركة من الربط الإعلامي غير المرخّص بأي محتوى تسويقي.
• الحفاظ على حياد المِنَصَّة كمنتج SaaS تعليمي يصلح لأي مدرسة.
• تقليل سطح هجوم الهندسة الاجتماعية الموجّهة لمدرسة بعينها.

للإبلاغ عن أي تسرّب لهوية مؤسسية في واجهة عامة: support@manarahapp.org

3. فئات المستخدمين والبيانات التي نجمعها

أ) بيانات الكادر المسجّل (المعلم/الإداري):

• الاسم الكامل، البريد الإلكتروني، رقم الجوال، الدور الوظيفي.
• بيانات المصادقة: كلمة المرور المشفرة، مفاتيح المرور (Passkeys)، ومعرفات Google/Apple عند استخدام تسجيل الدخول الاجتماعي.
• بيانات الاستخدام: عنوان IP، نوع المتصفح، الجهاز، أوقات الزيارة، الصفحات المستعرضة.
• المحتوى التشغيلي الذي يُدخله: سجلات الحضور، المخالفات، التصاريح، النماذج، الملاحظات.

ب) بيانات الطلاب (قاصرون – يُدخلها الكادر فقط):

• الاسم، الشعبة، رقم ولي الأمر للتواصل، السجلات السلوكية والصحية والأكاديمية — تُعالج بضوابط مشددة (انظر القسم 12).

ج) بيانات أولياء الأمور (محدودة جداً):

• رقم الجوال فقط — يُسجّله الكادر لإرسال روابط التوقيع والإشعارات.
• التوقيع الإلكتروني الذي يرسمه ولي الأمر عند فتح رابط النموذج (يُحفظ كصورة).
• ملاحظة اختيارية قد يكتبها عند التوقيع.
• بيانات تقنية أساسية عند فتح الرابط (وقت الفتح فقط لأغراض التحقق).

⚠️ لا نجمع من ولي الأمر: بريداً إلكترونياً، كلمة مرور، عنوان IP، موقعاً جغرافياً، أو أي معرّف شخصي إضافي.

4. أغراض الاستخدام

• إنشاء وإدارة حسابات الكادر التعليمي والإداري وتقديم الخدمة للمدرسة.
• المصادقة وحماية الحسابات من الاحتيال.
• تحسين أداء المِنَصَّة وتطوير ميزات جديدة.
• تقديم الدعم الفني وحل المشاكل.
• تمكين المدرسة من إرسال روابط توقيع وإشعارات تشغيلية لأولياء الأمور عبر واتساب.
• توثيق توقيعات أولياء الأمور على النماذج المدرسية الرسمية كحجة نظامية.
• الامتثال للالتزامات القانونية والتنظيمية لدى وزارة التعليم.

5. الأساس القانوني للمعالجة

• تنفيذ العقد: لتقديم الخدمة المتفق عليها.
• المصلحة المشروعة: لتحسين الخدمة، الأمان، ومنع الاحتيال.
• الموافقة الصريحة: للنقل الدولي للبيانات، الرسائل التسويقية الاختيارية، وملفات تعريف الارتباط غير الضرورية.
• الالتزام القانوني: عند طلب جهات مختصة بموجب القانون السعودي.
• المصلحة الحيوية: لحماية صحة وسلامة الطلاب القاصرين.

6. مشاركة البيانات

قد نشارك بياناتك مع الأطراف التالية فقط بقدر ما هو ضروري:

• مزودو الخدمة (Subprocessors): Supabase (الاستضافة وقاعدة البيانات)، Lovable (مِنَصَّة النشر)، Google Gemini (الذكاء الاصطناعي للملاحظات).
• بائع التجزئة الرسمي (Paddle): لمعالجة المدفوعات، إدارة الاشتراكات، إصدار الفواتير، والامتثال الضريبي.
• المستشارون المهنيون: محامون، محاسبون عند الحاجة.
• الجهات الحكومية: عند الإلزام القانوني فقط (وزارة التعليم، الهيئة السعودية للبيانات والذكاء الاصطناعي SDAIA).

✅ لا نبيع بياناتك الشخصية لأي طرف ثالث تحت أي ظرف.

7. مدة الاحتفاظ بالبيانات

• بيانات الحساب: طوال مدة استخدامك للخدمة + 90 يوماً بعد الإلغاء.
• السجلات التشغيلية: حسب متطلبات النظام التعليمي (سنة دراسية كاملة).
• سجلات الإرشاد الطلابي السرية: 3 سنوات بعد تخرج الطالب ثم تُحذف نهائياً.
• سجلات الفواتير: 5 سنوات للامتثال الضريبي (نظام الفاتورة الإلكترونية - زاتكا).
• بعد انتهاء المدة، يتم حذف البيانات نهائياً أو إخفاء هويتها (Anonymisation).

8. حقوقك

وفقاً لنظام حماية البيانات الشخصية السعودي (PDPL)، يحق لك:

• حق العلم: معرفة الأساس القانوني والغرض من جمع بياناتك.
• حق الوصول: الحصول على نسخة من بياناتك الشخصية.
• حق التصحيح: تعديل البيانات غير الدقيقة أو غير المكتملة.
• حق الإتلاف: طلب حذف بياناتك ("الحق في النسيان") عند انتفاء الغرض.
• حق سحب الموافقة: في أي وقت دون إبداء أسباب.
• حق نقل البيانات: الحصول على بياناتك بصيغة قابلة للقراءة الآلية.
• حق التظلم: تقديم شكوى إلى الهيئة السعودية للبيانات والذكاء الاصطناعي (SDAIA) عبر sdaia.gov.sa

لممارسة أي من هذه الحقوق، تواصل مع مسؤول حماية البيانات (DPO) على: support@manarahapp.org وسنرد خلال 30 يوماً.

9. أمان البيانات

نطبق إجراءات تقنية وتنظيمية مناسبة لحماية بياناتك، تشمل:

• التشفير أثناء النقل (HTTPS/TLS 1.3) وأثناء التخزين (AES-256).
• سياسات أمان على مستوى الصف (Row-Level Security) في قاعدة البيانات.
• المصادقة متعددة العوامل (Passkeys / WebAuthn).
• التحكم في الصلاحيات حسب الدور (Admin/Teacher/Counselor/Staff).
• مراقبة مستمرة، نسخ احتياطية يومية، ومراجعات أمنية دورية.
• سجل أنشطة المعالجة (RoPA) محفوظ لدى مسؤول حماية البيانات.

10. ملفات تعريف الارتباط (Cookies)

نستخدم نوعين فقط من ملفات تعريف الارتباط:

• ضرورية: لإدارة الجلسة وحفظ تسجيل الدخول. لا يمكن تعطيلها.
• وظيفية: لحفظ تفضيلاتك (اللغة، الوضع الداكن).

لا نستخدم ملفات تعريف ارتباط للتتبع الإعلاني أو التحليلات الخارجية.

11. النقل الدولي للبيانات

مواقع المعالجة الحالية:

• Supabase (قاعدة البيانات والتخزين): الاتحاد الأوروبي / الولايات المتحدة
• Lovable (مِنَصَّة الاستضافة): الاتحاد الأوروبي
• Google Gemini AI: خوادم Google العالمية
• Paddle (المدفوعات): المملكة المتحدة / الاتحاد الأوروبي

الضمانات القانونية المُطبقة:

• اتفاقيات معالجة البيانات (DPA): موقعة مع جميع مزودي الخدمة وفقاً للمعايير الأوروبية (GDPR Article 28).
• البنود التعاقدية القياسية (SCCs): اعتمدتها المفوضية الأوروبية لضمان مستوى حماية مكافئ.
• التزام مزودي الخدمة بشهادات الأمان الدولية: SOC 2 Type II، ISO 27001، ISO 27701.
• التشفير الكامل: جميع البيانات مشفرة قبل مغادرة المملكة وخلال التخزين.

12. حماية بيانات الأطفال والقاصرين

13. تطبيق الجوال (Android / iOS)

🔐 أذونات الجهاز التي قد يطلبها التطبيق:

• الإنترنت (Internet): ضروري للاتصال بالخوادم وتحميل البيانات.
• الكاميرا (Camera): اختياري — يُستخدم فقط لمسح رموز QR (الباركود) لتسجيل المركبات والحضور السريع. لا تُحفظ أي صور.
• الإشعارات (Notifications): اختياري — لاستلام تنبيهات النظام (طلبات الاستئذان الجديدة، إشعارات التأخر). يمكنك تعطيلها من إعدادات الجهاز في أي وقت.
• التخزين (Storage): اختياري — لحفظ التقارير المُولّدة (PDF) على جهازك.
• الاهتزاز (Vibration): للتنبيه عند استلام إشعار جديد.

📊 إفصاح أمان البيانات (Google Play Data Safety):

🗑️ حذف الحساب والبيانات (Account Deletion):

👶 امتثال لسياسات Google Play للتطبيقات التي يستخدمها الطلاب:

• هذا التطبيق للكادر التعليمي والإداري فقط (18+ سنة)، وليس مصمماً للاستخدام المباشر من قبل الأطفال.
• لا يحتوي على إعلانات (Ad-Free).
• لا يستخدم أدوات التتبع التحليلية المعرّفة شخصياً.
• لا توجد عمليات شراء داخل التطبيق موجهة للأطفال.
• متوافق مع Google Play Families Policy و COPPA فيما يتعلق ببيانات الطلاب القاصرين التي يُدخلها الكادر.

🔄 تحديثات التطبيق:

تُنشر التحديثات عبر Google Play / App Store. ننصح بتفعيل التحديث التلقائي للحصول على أحدث الإصلاحات الأمنية. التغييرات الجوهرية في الخصوصية يتم إبلاغك بها داخل التطبيق قبل سريانها.

14. خرق البيانات (Data Breach)

في حال حدوث أي خرق أمني يؤثر على بياناتك الشخصية، نلتزم بـ:

• إبلاغ الهيئة السعودية للبيانات والذكاء الاصطناعي (SDAIA) خلال 72 ساعة.
• إخطارك مباشرة عبر البريد الإلكتروني إذا كان الخرق يشكل خطراً عالياً على حقوقك.
• توضيح طبيعة الخرق، البيانات المتأثرة، والإجراءات المتخذة.
• تقديم توصيات للحماية من العواقب المحتملة.

15. التحديثات على هذه السياسة

قد نحدّث هذه السياسة من وقت لآخر. سنخطرك بأي تغييرات جوهرية عبر البريد الإلكتروني أو إشعار داخل المِنَصَّة قبل سريانها بـ 14 يوماً على الأقل.

16. التواصل والشكاوى