سياسة الخصوصية

1. من نحن

تقدّم FlowX ("نحن") منصة تشغيلية لفرق العمل، تُتاح عبر تطبيق ويب وتطبيقَي iOS وأندرويد. وتوضّح هذه السياسة ما نجمعه من بيانات شخصية عند استخدامك موقعنا ومنتجنا وتطبيقاتنا، ولماذا نجمعه، وما لك من حقوق عليه. وللاستفسارات المتعلقة بالخصوصية، تواصل معنا عبر support@flowx.ninja.

ينطبق دوران اثنان. فبالنسبة للمحتوى داخل مساحة العمل، تقرّر مؤسسة العميل ما يُخزَّن ولماذا — فهي المتحكم، ونحن نعالج ذلك المحتوى بناءً على تعليماتها. أما بيانات الحساب والموقع والفوترة والأمن، فنحدد نحن أغراض معالجتها ونعمل بصفتنا المتحكم. وإذا كنت عضواً في مساحة عمل تابعة لجهة أخرى، فوجّه طلباتك المتعلقة بمحتوى مساحة العمل إلى مسؤول مساحة عملك أولاً.

2. البيانات التي نجمعها

• بيانات الحساب — الاسم وبريد العمل الإلكتروني وكلمة المرور (تُخزَّن كبصمة bcrypt فقط) واسم مساحة العمل والمسمّى الوظيفي والصورة الشخصية والدور والصلاحيات وتفضيلات اللغة والمنطقة الزمنية.
• محتوى مساحة العمل — المهام والطلبات والموافقات والمشاريع والأعمال الدورية والتعليقات والمستندات والمرفقات والرسائل الصوتية مع تفريغها النصي. وتتحكم مؤسستك في هذا المحتوى.
• بيانات الاستخدام والأمن — أوقات تسجيل الدخول وعناوين IP وتفاصيل المتصفح والجهاز والإجراءات المسجّلة في سجل التدقيق الخاص بمساحة عملك (وهو ميزة أساسية في المنتج).
• بيانات الأجهزة — رموز الإشعارات للمتصفحات والأجهزة المحمولة التي تفعّل الإشعارات عليها، وما يرتبط بها من إعدادات إشعارات لكل جهاز.
• المراسلات — رسائل البريد الإلكتروني التي نرسلها إليك (رموز التحقق والدعوات والإشعارات والفواتير)، والرسائل الواردة إلى عنوان استقبال البريد الخاص بمساحة عملك مع مرفقاتها وبيانات مُرسِليها، وتذاكر الدعم التي ترفعها — بما في ذلك لقطة الشاشة الاختيارية والصفحة التي كنت فيها ومعرّف متصفحك.
• بيانات الفوترة — جهة اتصال الفوترة وبيانات الشركة والعنوان والرقم الضريبي والباقة وعدّادات المقاعد والاستخدام والفواتير الصادرة عنها.
• بيانات التشخيص — تقارير الأعطال وقياسات الأداء من تطبيقات الجوال (طراز الجهاز ونظام التشغيل وإصدار التطبيق والتفاصيل التقنية للخطأ)، والتحليلات القائمة على الموافقة الموضّحة في البند 9.

لا نستلم بيانات بطاقتك كاملة ولا نخزّنها إطلاقاً. فبيانات البطاقة تذهب مباشرة إلى مزوّد الدفع الذي يعالج عمليتك، بموجب امتثاله الخاص لمعيار PCI-DSS — راجع البند 6.

3. أسباب المعالجة

• لتقديم الخدمة: المصادقة ووظائف مساحة العمل والموافقات ومؤقتات مستوى الخدمة والإشعارات وسجلات التدقيق.
• لتأمين الخدمة: منع إساءة الاستخدام وتحديد معدل الطلبات والحماية بإقفال الحساب وتسجيل الأحداث الأمنية.
• للتواصل: رموز التحقق والدعوات وإشعارات الخدمة والفوترة وردود الدعم.
• للفوترة: احتساب المقاعد والتخزين والاستخدام، وإصدار الفواتير وتحصيل المدفوعات، والوفاء بالالتزامات الضريبية والفوترة الإلكترونية.
• لتحسين الخدمة: قياس الاستخدام بشكل إجمالي، وتشخيص الأعطال والطلبات البطيئة.
• للامتثال للالتزامات النظامية المنطبقة علينا.

لا نبيع البيانات الشخصية ولا نستخدم محتوى مساحة عملك في الإعلانات. ولا نستخدم محتوى مساحة العمل في تدريب نماذج الذكاء الاصطناعي، ولا نرسله إلى مزوّدي ذكاء اصطناعي خارجيين — راجع البند 7.

4. الأسس النظامية (اللائحة العامة لحماية البيانات) والتوافق مع نظام حماية البيانات الشخصية

حيثما تنطبق اللائحة العامة لحماية البيانات الأوروبية، نستند إلى تنفيذ العقد (تقديم الخدمة التي اشتركت فيها)، والمصالح المشروعة (أمن الخدمة وتشخيصها وتحسينها)، والالتزام النظامي (السجلات الضريبية والمحاسبية)، والموافقة حيثما تُشترط — والتحليلات أوضح مثال على ذلك. وحيثما ينطبق نظام حماية البيانات الشخصية السعودي، نعالج البيانات الشخصية بعلمك للأغراض الموضّحة هنا ونحترم الحقوق التي يمنحك إياها. ويمكنك سحب موافقتك في أي وقت دون أن يؤثر ذلك في المعالجة التي تمت قبل السحب.

5. أين تُحفظ بياناتك وكيف تُحمى

• تُستضاف بيانات مساحة العمل على خدمات أمازون ويب في منطقة الاتحاد الأوروبي (فرانكفورت)، ما لم تنص استمارة طلبك على منطقة أخرى.
• تُعزل بيانات كل مساحة عمل عن باقي العملاء على مستوى قاعدة البيانات (أمن على مستوى الصف)، ويُطبَّق ذلك على كل استعلام لا على مستوى التطبيق وحده.
• تُشفَّر البيانات أثناء النقل (TLS). وتُشفَّر الملفات والمرفقات أثناء التخزين في وحدة تخزين الكائنات بمفاتيح تديرها AWS، أو بمفتاح KMS خاص بالعميل حيثما جرى إعداده.
• الوصول إلى بيانات الإنتاج مقصور على المشغّلين الذين يحتاجونه، ويجري بمصادقة منفصلة عن حسابات العملاء، ويُسجَّل في سجل تدقيق خاص بالمشغّلين.
• تُؤخذ النسخ الاحتياطية وفق جدول دوري وتُحمى بالمستوى ذاته المطبّق على النظام الحيّ.

6. المشاركة والمعالجون من الباطن

لا نشارك البيانات الشخصية إلا مع المعالجين اللازمين لتشغيل الخدمة:

• خدمات أمازون ويب — الاستضافة وقاعدة البيانات وتخزين الملفات والنسخ الاحتياطية.
• Microsoft — تسليم رسائل البريد الإلكتروني الخدمية، وتسجيل الدخول عبر Microsoft حيثما تستخدمه مساحة عملك.
• Google (Firebase) — الإشعارات الفورية على أندرويد والويب، وتقارير الأعطال في تطبيقات الجوال، وتقارير الأداء على الجوال والويب، والتحليلات القائمة على الموافقة، وتسجيل الدخول عبر Google حيثما تستخدمه مساحة عملك.
• Apple — تسليم الإشعارات الفورية إلى أجهزة iOS.
• مزوّدو الدفع — بحسب بلد الفوترة الخاص بك، إمّا بوابة الدفع لدينا (وتكون FlowX هي البائع)، أو تاجر مسجّل يكون هو البائع في تلك المعاملة ويعالج الدفع وفق سياسة الخصوصية الخاصة به.

وحيثما تربط مساحة عملك الدخول الموحّد أو صندوق بريد لاستقبال الرسائل، تنتقل البيانات أيضاً من وإلى المزوّد الذي اخترته، بموجب اتفاقك أنت معه.

قد نُفصح عن البيانات متى طلبت ذلك جهة مختصة بموجب النظام. ولا نمنح أي مزوّد الحق في استخدام بياناتك لأغراضه الخاصة.

7. المعالجة الآلية داخل المنتج

• قد تُفرَّغ الرسائل الصوتية نصياً بشكل آلي. وتعمل خدمة التفريغ على بنيتنا التحتية — فلا يُرسَل الصوت إلى أي مزوّد ذكاء اصطناعي خارجي، ولا يُستخدم أي منه في تدريب النماذج.
• يدفع المنتج العمل إلى الأمام تلقائياً: تغييرات الحالة وتوجيه الموافقات ومؤقتات مستوى الخدمة والتصعيدات والتذكيرات. وتتبع هذه العمليات قواعد تضبطها مساحة عملك، لا تصنيفاً للأفراد.
• لا نتخذ بشأنك قرارات آلية تترتب عليها آثار نظامية أو آثار مماثلة في أهميتها.

8. مدد الاحتفاظ

• يُحتفَظ ببيانات مساحة العمل ما دامت مساحة عملك نشطة. ويُحتفَظ بسجل التدقيق طوال المدة التي توفّرها باقتك (من 30 إلى 365 يوماً).
• إذا أُغلقت مساحة العمل، يُحتفَظ بالبيانات ليتمكن الدعم من التراجع عن الإغلاق، ولا تُحذَف تلقائياً. يمكن للمسؤول أن يطلب منا محوها، ونقوم بذلك عند الطلب. أما النسخ الاحتياطية فتنتهي صلاحيتها وفق دورتها الخاصة.
• يُحتفَظ بالفواتير وسجلات الفوترة المرتبطة بها طوال المدة التي تقتضيها الأنظمة الضريبية والمحاسبية، حتى بعد إغلاق مساحة العمل.
• يمكنك تصدير بيانات مساحة عملك في أي وقت من الإعدادات ← النظام.

9. ملفات تعريف الارتباط والتحليلات والتخزين المحلي

• الضرورية بالكامل: ملف تعريف ارتباط لجلسة المصادقة (httpOnly، وSameSite=Lax، ولا يُرسَل إلا عبر HTTPS في بيئة الإنتاج) وتفضيلات واجهتك (السمة واللغة) المخزّنة في متصفحك.
• التحليلات: نستخدم Google Analytics لعدّ الزيارات ومعرفة الصفحات والشاشات المستخدمة. ولا يُحمَّل شيء ولا يُكتَب أي ملف تعريف ارتباط تحليلي قبل قبولك للإشعار، ويُحفَظ الرفض فلا نكرّر السؤال، والتحليلات معطّلة تماماً خارج بيئة الإنتاج.
• وداخل المنتج وتطبيقات الجوال تكون القواعد أكثر صرامة: لا نرسل مطلقاً اسمك أو بريدك أو معرّف المستخدم أو معرّفات مساحة العمل؛ وتُستبدل معرّفات السجلات في الروابط بعنصر نائب قبل أي إرسال؛ وتُحذف سلاسل الاستعلام كلياً لأنها قد تتضمّن عبارات البحث.
• تقارير الأعطال مفعّلة في الإصدارات المنشورة من تطبيق الجوال، وتقارير الأداء على تطبيقات الجوال والويب، كي نتمكن من إصلاح الأخطاء والصفحات البطيئة. وكلاهما يحمل بيانات تشخيصية تقنية، لا محتوى مساحة عملك.
• لا نستخدم أي ملفات تعريف ارتباط للإعلانات أو للتتبع عبر المواقع في أي من منصاتنا.

10. أمن حسابك

تُخزَّن كلمات المرور كبصمات bcrypt فقط ولا يمكن استرجاعها كنص صريح إطلاقاً. ويمكنك حماية حسابك بالتحقق بخطوتين أو بمفتاح مرور أو عبر الدخول الموحّد لمؤسستك، ويجوز للمسؤولين اشتراط التحقق بخطوتين على مستوى مساحة العمل. وتُحفظ الجلسات في ملف تعريف ارتباط httpOnly لا تستطيع الأكواد البرمجية في الصفحة قراءته، ويؤدي تغيير كلمة المرور أو إلغاء الجلسة إلى إبطال الرموز الصادرة قبله. أبلغنا فوراً إذا اشتبهت في وصول غير مصرّح به؛ وعند وقوع تسريب لبيانات شخصية يُرجَّح أن يمسّك، نُشعر العملاء المتأثرين والجهة المختصة ضمن المهل التي يحددها النظام.

11. النقل خارج الحدود

تُستضاف بيانات مساحة العمل في الاتحاد الأوروبي، ويعمل بعض معالجينا — ولا سيما مزوّدو الإشعارات الفورية والتحليلات — خارجه. وحيثما تُنقل بيانات شخصية عبر الحدود، نستند إلى الضمانات التي يوفّرها النظام المعمول به، بما في ذلك الشروط التعاقدية النموذجية وضوابط النقل الواردة في نظام حماية البيانات الشخصية السعودي. وتتوفر التفاصيل الخاصة بعقدك عند الطلب.

12. حقوقك

وفقاً للنظام المعمول به (نظام حماية البيانات الشخصية / اللائحة العامة لحماية البيانات)، يجوز لك طلب الاطلاع على بياناتك الشخصية أو تصحيحها أو حذفها أو الحصول على نسخة منها، كما يجوز لك الاعتراض على معالجات معيّنة أو تقييدها. وينبغي على أعضاء مساحة العمل توجيه طلباتهم إلى مسؤول مساحة عملهم أولاً، بما أن مؤسسة العميل هي التي تتحكم في محتوى مساحة العمل؛ وحيثما نعمل بصفتنا معالجاً، نساعد تلك المؤسسة في الرد عليك. ويمكنك أيضاً التواصل معنا مباشرة، ونردّ خلال المدة التي يتيحها النظام المعمول به. وإن لم تكن راضياً، فلك التقدّم بشكوى إلى الجهة الرقابية المختصة — وفي المملكة العربية السعودية هي الهيئة السعودية للبيانات والذكاء الاصطناعي (سدايا).

13. الأطفال

FlowX أداة عمل تُباع للمؤسسات. وهي غير موجّهة للأطفال، ولا نجمع عن علم بيانات شخصية لمن هم دون 18 عاماً. وإذا كنت تعتقد أن بيانات طفل قد وصلت إلينا، فتواصل معنا وسنحذفها.

14. التعديلات

سننشر أي تعديلات على هذه السياسة في هذه الصفحة ونحدّث التاريخ الموضّح أعلاه. وسيتم إبلاغ مسؤولي مساحات العمل بالتعديلات الجوهرية عبر البريد الإلكتروني قبل سريانها.

15. التواصل

للاستفسارات المتعلقة بالخصوصية أو لتقديم طلب بشأن بياناتك: support@flowx.ninja. أما الشروط التي تحكم استخدام الخدمة فترد في شروط الخدمة.