من نحن
شركة أساس بروجيكت مانجمنت — شركة ذات مسؤولية محدودة مسجّلة في المملكة العربية السعودية بالرقم الوطني الموحد 7054838722، ومقرها الرياض.
تشرح هذه السياسة كيف نجمع البيانات الشخصية ونعالجها ونحميها، وذلك وفقاً لنظام حماية البيانات الشخصية السعودي ولائحته التنفيذية.
للتواصل بشأن الخصوصية: policy@asaspm.com
صفتنا تجاه البيانات — صفتان مختلفتان
هذا التمييز جوهري لفهم بقية السياسة:
| نوع البيانات | صفتنا | المسؤول |
|---|---|---|
| بيانات حساب العميل ومستخدميه (الاسم، البريد، سجل الدخول) | جهة تحكّم | نحن |
| البيانات التي يُدخلها العميل داخل مساحة عمله عن عملائه هو (أسماء، بريد، هواتف) | جهة معالجة | العميل |
بالنسبة للنوع الثاني، نعالج البيانات وفق تعليمات العميل فقط. والعميل هو جهة التحكّم، وعليه يقع التزام وجود سند نظامي لجمع تلك البيانات وإبلاغ أصحابها.
البيانات التي نجمعها
أ. بيانات الحساب: الاسم، البريد الإلكتروني، اللغة المفضّلة، الدور والصلاحيات، اسم المنشأة.
ب. البيانات التقنية وسجلات التدقيق: عنوان IP، بيانات المتصفح (user agent)، وقت العملية ونوعها. تُحفظ هذه في سجل تدقيق داخل النظام لأغراض الأمن وتتبّع التغييرات.
ج. محتوى مساحة العمل: بيانات المشاريع والعملاء والملفات والفواتير التي يُدخلها العميل. قد تتضمن بيانات شخصية لأطراف ثالثة، ونعاملها بصفتنا جهة معالجة كما في البند ٢.
د. مراسلات الدعم: ما ترسله إلينا عبر البريد الإلكتروني.
ما لا نجمعه: لا نجمع بيانات شخصية حسّاسة بالمعنى الوارد في النظام، ولا بيانات بطاقات الدفع (تُعالَج عبر مزوّد دفع مستقل عند تفعيل الدفع الإلكتروني)، ولا بيانات موقع جغرافي دقيق.
أغراض المعالجة وأساسها النظامي
| الغرض | الأساس النظامي |
|---|---|
| إنشاء الحساب وتشغيل المنصة | تنفيذ العقد |
| الأمن ومنع إساءة الاستخدام وتحديد المحاولات المتكررة للدخول | المصلحة المشروعة |
| الدعم الفني والرد على الاستفسارات | تنفيذ العقد |
| الفوترة وحفظ السجلات المحاسبية | الالتزام النظامي |
| رسائل تسويقية أو تحديثات المنتج | الموافقة الصريحة، ويمكن سحبها في أي وقت |
ملفات الارتباط (Cookies)
نستخدم ملفات ارتباط ضرورية فقط لتشغيل جلسة الدخول والحفاظ على تسجيل دخولك وتفضيلات اللغة والمظهر.
لا نستخدم ملفات ارتباط إعلانية، ولا ملفات تتبّع عبر المواقع، ولا نبيع بيانات لأغراض إعلانية.
من نشارك معه البيانات — مزوّدو الخدمة
نستعين بمزوّدي خدمة تقنيين لتشغيل المنصة. كل منهم يعالج البيانات نيابة عنا وبموجب التزامات تعاقدية:
| المزوّد | الغرض | موقع المعالجة |
|---|---|---|
| Supabase | قاعدة البيانات والمصادقة وتخزين الملفات | فرانكفورت، ألمانيا |
| Vercel | استضافة التطبيق وتوصيله | الولايات المتحدة وشبكة توصيل عالمية |
| Resend | رسائل البريد التشغيلية (الدعوات، إعادة تعيين كلمة المرور) | أيرلندا |
| Upstash | تحديد معدل محاولات الدخول | خارج المملكة |
| Sentry | رصد أخطاء التطبيق | خارج المملكة |
| Cloudflare | خدمة أسماء النطاقات (DNS) فقط — لا يمر محتوى الموقع عبرها | عالمي |
لا نبيع البيانات الشخصية لأي طرف. ولا نفصح عنها لأطراف أخرى إلا بأمر نظامي ملزم من جهة مختصة في المملكة، أو بموافقة العميل.
نقل البيانات خارج المملكة — إفصاح صريح
بيانات المنصة تُستضاف حالياً خارج المملكة العربية السعودية، تحديداً في فرانكفورت بألمانيا، مع معالجة إضافية لدى مزوّدي الخدمة المذكورين في البند ٦.
يشكّل ذلك نقلاً للبيانات الشخصية خارج المملكة بمفهوم المادة ٢٩ من نظام حماية البيانات الشخصية ولائحة نقل البيانات الشخصية خارج المملكة. ولم تُصدر الهيئة السعودية للبيانات والذكاء الاصطناعي (سدايا) حتى تاريخه قائمة بالدول التي توفّر مستوى مناسباً من الحماية.
التدابير القائمة اليوم: اقتصار النقل على ما يلزم لتشغيل المنصة وتقديم الخدمة للعميل؛ وحصر المعالجة في المزوّدين المعلَنين في البند ٦؛ والتعاقد معهم على معالجة البيانات نيابة عنا دون استخدامها لأغراضهم الخاصة.
التدابير قيد التنفيذ: نعمل على إبرام البنود التعاقدية النموذجية المعتمدة من الهيئة — نموذج جهة التحكّم إلى جهة المعالجة — مع مزوّدي الخدمة. وسيُحدَّث هذا البند عند اكتمالها.
خارطة الطريق: نعمل على نقل الاستضافة إلى داخل المملكة. البنية مبنية على PostgreSQL قياسي دون الاعتماد على خصائص مملوكة، ما يجعل هذا الانتقال ممكناً دون إعادة بناء. وسنُشعر العملاء قبل تنفيذه.
مدة الاحتفاظ
- بيانات الحساب ومحتوى مساحة العمل: طوال مدة الاشتراك، ثم ثلاثون يوماً بعد الإنهاء لإتاحة التصدير، ثم تُحذف.
- سجلات التدقيق الأمني: حتى اثني عشر شهراً.
- السجلات المحاسبية والفواتير: للمدة التي تفرضها الأنظمة السعودية.
- مراسلات الدعم: حتى أربعة وعشرين شهراً.
حماية البيانات
نطبّق تدابير تقنية وتنظيمية تشمل:
- التشفير أثناء النقل عبر HTTPS/TLS، والتشفير أثناء التخزين لدى مزوّد قاعدة البيانات؛
- عزل بيانات كل منشأة على مستوى قاعدة البيانات عبر سياسات Row Level Security مطبّقة على كل جدول، لا عبر فلترة على مستوى التطبيق؛
- تحكّم دقيق في الصلاحيات على مستوى المنشأة والمشروع والعميل؛
- تحديد معدل محاولات تسجيل الدخول للحد من هجمات التخمين؛
- سجل تدقيق للعمليات الحسّاسة؛
- تخزين الملفات في مستودعات خاصة غير قابلة للوصول العام.
لا يوجد نظام آمن بشكل مطلق، ولا ندّعي ذلك.
الإبلاغ عن حوادث تسريب البيانات
عند وقوع حادثة تمسّ البيانات الشخصية، نُبلغ الهيئة السعودية للبيانات والذكاء الاصطناعي خلال ٧٢ ساعة من العلم بها، ونُشعر أصحاب البيانات المتأثرين دون تأخير غير مبرر متى كان الأثر عليهم جسيماً.
حقوقك بموجب النظام
لك، بصفتك صاحب بيانات شخصية:
- الحق في العلم بأساس جمع بياناتك والغرض منه؛
- الحق في الوصول إلى بياناتك والحصول على نسخة منها؛
- الحق في التصحيح أو الاستكمال أو التحديث؛
- الحق في الإتلاف متى انتفت الحاجة إلى البيانات؛
- الحق في سحب الموافقة حيثما كانت الموافقة هي الأساس؛
- الحق في نقل البيانات بصيغة قابلة للقراءة آلياً.
للممارسة: راسلنا على policy@asaspm.com. نرد خلال ثلاثين يوماً.
إن كنت مستخدماً داخل مساحة عمل عميل، فقد نحيل طلبك إلى ذلك العميل بصفته جهة التحكّم.
حق التظلّم: إن لم تقتنع بردّنا، يحق لك تقديم شكوى إلى الهيئة السعودية للبيانات والذكاء الاصطناعي (سدايا) عبر المنصة الوطنية لإدارة البيانات.
الأطفال
المنصة موجّهة إلى المنشآت، ولا تُقدَّم خدماتها لمن هم دون سن الثامنة عشرة. ولا نجمع بيانات القاصرين عن قصد.
تحديث هذه السياسة
قد نُحدّث هذه السياسة. وتُنشر التحديثات على هذه الصفحة مع تعديل تاريخ آخر تحديث، ويُشعَر العملاء بالتغييرات الجوهرية عبر البريد الإلكتروني قبل ثلاثين يوماً من سريانها.
التواصل
شركة أساس بروجيكت مانجمنت — الرياض، المملكة العربية السعودية. policy@asaspm.com