سياسة الخصوصية

من نحن

يشغّل جليس [الاسم النظامي للجهة المشغّلة، وعنوانها، ورقم سجلها التجاري]. للتواصل في شؤون الخصوصية: [بريد الخصوصية].

في هذه السياسة، «نحن» تعني جليس، و«أنتم» تعني أحد الوالدين أو وليّ الأمر الذي يستخدم التطبيق مع أطفاله.

باختصار

• لا إعلانات في جليس، ولا أدوات تحليل أو تتبّع من أطراف أخرى.
• لا نبيع البيانات ولا نؤجّرها، ولا نستخدمها للإعلان.
• يُشترى اشتراك جليس من App Store أو Google Play، ويتولّى المتجر الدفع: لا تصلنا بيانات بطاقتكم، ونتلقى منه حالة الاشتراك لنفتح الحكايات.
• دون حساب، تبقى ملفات الأطفال وقراءة كل منهم على الجهاز ولا تصل إلينا.
• يرسل التطبيق إلينا إحصاءات استخدام لا تحمل اسمًا ولا تُربط بحساب الأسرة، لنحسّن بها التطبيق، ويستطيع أحد الوالدين إيقافها من منطقة الأهل.
• لا يرسل التطبيق تقارير أعطال إلى جليس. وقد تصل بيانات أعطاله إلى خدمات التشخيص لدى Apple أو Google إذا اختار صاحب الجهاز ذلك في إعداداته، ومنها نعرف ما نعرفه عن أعطاله.
• مع حساب الأسرة، تُحفظ بيانات القراءة على خوادمنا لتظهر على كل أجهزة الأسرة.
• من منطقة الأهل في التطبيق يستطيع أحد الوالدين الحصول على نسخة من بيانات الأسرة، وحذف طفل مع بياناته، وحذف الحساب كله.
• وللأسر خارج المملكة العربية السعودية، ومنها أسر الاتحاد الأوروبي والمملكة المتحدة والولايات المتحدة، حقوق تبيّنها أقسامها أدناه.

دون حساب

يعمل التطبيق دون حساب، وعندها يحفظ على الجهاز نفسه فقط:

• أسماء الأطفال كما تكتبونها، وأعمارهم، والصور الرمزية التي تختارونها من رسوم التطبيق؛
• موضع القراءة في كل حكاية، والحكايات المكتملة وتاريخ إكمالها، والإجابات عن أسئلة نهاية الحكاية؛
• أيام القراءة: عدد الصفحات ومدة القراءة لكل طفل في كل يوم، لآخر ٩١ يومًا قرأ فيها الطفل؛
• إعدادات القراءة: حجم النص وسرعة القراءة الصوتية.

لا يُرسَل شيء من ذلك إلينا. ويحذفه «مسح بيانات هذا الجهاز» في منطقة الأهل، ويُحذف كذلك بحذف التطبيق من الجهاز. على Android لا يُنسخ إلى النسخ الاحتياطية للجهاز، أما على iPhone وiPad فقد تتضمنه النسخ الاحتياطية التي يصنعها الجهاز بحسب إعداداتكم.

ولكي يعرف التطبيق هل ما زال إصداره صالحًا للعمل، يسأل خادمنا عن ذلك عند فتحه ومن حين إلى آخر، ولا يرسل إلا نوع النظام (iOS أو Android) وإصدار التطبيق. لا يسجّل خادم جليس هذا الطلب، لكنه يحمل مثل كل طلب عنوان IP، وقد تحتفظ به سجلات تشغيل مزوّد الاستضافة مدة [تُحدَّد مع مزوّد الاستضافة].

وإلى جانب ذلك يرسل التطبيق إلينا إحصاءات استخدام للجهاز كله، لا تحمل اسمًا ولا تخص طفلًا بعينه، ما لم يوقفها أحد الوالدين (انظروا «إحصاءات الاستخدام»).

إذا أنشأتم حساب الأسرة لاحقًا، يعرض التطبيق نقل الأطفال وبياناتهم من الجهاز إلى الحساب، وتختارون من يُنقل منهم.

وإذا كتبتم إلينا دون حساب من «أبلغ عن مشكلة»، يفتح التطبيق بريدكم الإلكتروني برسالة جاهزة إلى [بريد الدعم]، فيها السبب وتعليقكم واسم الحكاية ورقم الصفحة وإصدار التطبيق ونظام الجهاز، ولا اسم لأي طفل فيها. لا يُرسَل شيء حتى ترسلوا الرسالة بأنفسكم، فتصلنا رسالة بريد عادية فيها عنوان بريدكم.

ما نحفظه مع حساب الأسرة

حين ينشئ أحد الوالدين حساب الأسرة، نحفظ ما يلي:

• تسجيل الدخول: رقم الجوال (برمز يصل في رسالة نصية) أو البريد الإلكتروني (برمز يصل بالبريد)، أو الدخول بحساب Apple أو Google. على iPhone وiPad نطلب من Apple البريد الإلكتروني فقط، وقد يكون عنوانًا بديلًا تنشئه Apple لإخفاء بريدكم. وعلى Android يجري الدخول بحساب Apple في المتصفح عبر خدمة الدخول، وقد تطلب معه الاسم [يُتحقق منه في إعداد خدمة الدخول]، فتحفظه مع هوية الدخول ولا يستخدمه جليس. ومن Google تتلقى خدمة الدخول عنوان البريد، وقد يرسل Google معه الاسم والصورة، ولا يستخدمهما جليس. ولكل حساب معرّف داخلي.
• الأطفال: الاسم كما تكتبونه (يكفي الاسم الأول أو اسم التدليل)، والعمر (من ٣ إلى ١٢ سنة)، وصورة رمزية تختارونها من رسوم جاهزة في التطبيق. لا نطلب صور الأطفال ولا تواريخ ميلادهم. ويتسع الحساب لـ ١٢ طفلًا.
• القراءة: موضع القراءة في كل حكاية (الصفحة والموضع في القراءة الصوتية)، والحكايات المكتملة وتاريخ أول إكمال، والإجابات عن أسئلة نهاية الحكاية (الاختيار أو التخطي)، وأيام القراءة (عدد الصفحات والثواني لكل طفل في كل يوم).
• الموافقة: قبل أن يحفظ الحساب بيانات أي طفل يوافق أحد الوالدين على ذلك مرة واحدة، فنحفظ سجل الموافقة: رقم نسختها ووقتها، ومعرّف الحساب الذي وافق، وإصدار التطبيق.
• منطقة الأهل: هل اختير رمز الأهل، ورقم نسخته. أما الرمز نفسه فلا نحفظه، بل بصمة أحادية الاتجاه منه تُشتق بملح عشوائي ومفتاح سرّي على الخادم، ولا تُرسَل إلى أي جهاز. ويحفظ كل جهاز قيمة تحقّق خاصة به ليعمل الرمز دون اتصال.
• الاشتراك: إن اشتركتم، نحفظ ما يلزم لربط الشراء بحساب الأسرة والتحقق منه، كما في «الاشتراك وبيانات الشراء».
• الدعم: حين ترسلون بلاغًا أو سؤالًا من التطبيق نحفظ السبب وتعليقكم، والحكاية والصفحة التي توقفت عندها القراءة إن كان البلاغ عن حكاية، وإصدار التطبيق، ونوع النظام (iOS أو Android) وإصداره، وبريد التواصل، وردود فريق الدعم، ورقم البلاغ وتواريخه. بريد التواصل هو بريد الحساب، وإن لم يكن للحساب بريد فالبريد الذي تكتبونه في البلاغ إن شئتم. لا يضيف التطبيق إلى البلاغ اسم أي طفل، إلا ما تكتبونه أنتم في التعليق. وحين يصل بلاغ جديد نرسل إلى بريد فريق الدعم تنبيهًا بوصوله، فيه رقمه ونوعه وسببه، والحكاية إن كان عنها، وإصدار التطبيق ونظام الجهاز، ووقت فتحه، ورابط إليه في أداة الفريق؛ ولا يحمل التنبيه تعليقكم ولا بريدكم ولا حسابكم، ولا الصفحة، ولا شيئًا عن أطفالكم.
• المزامنة: لئلا يتكرر تغيير يعيد الجهاز إرساله، نحفظ لكل تغيير إيصالًا مدة ٣٠ يومًا، ونستعمل وقت الجهاز عند الإرسال لترتيب التغييرات.
• الاتصال: كل طلب يصل إلى خوادمنا يحمل بطبيعته عنوان IP وبيانات اتصال مشابهة. لا يسجّلها خادم جليس في سجلاته، لكن خدمة الدخول تحفظ عنوان IP ووصف التطبيق أو المتصفح مع جلسات الدخول. ويحفظ سجلُّ عمليات الدخول لديها عنوانَ IP ورقمَ الجوال أو البريد مدة [مدة سجل خدمة الدخول بحسب خطة الاستضافة، مثل ٧ أيام] ثم يُحذف، ولا نحفظ منه نسخة في قاعدة البيانات. وقد يحتفظ مزوّدو الاستضافة بسجلات تشغيل معتادة، مدة [تُحدَّد مع مزوّدي الخدمة].

لا نجمع الموقع الجغرافي، ولا جهات الاتصال، ولا الصور، ولا تسجيلات الصوت (لا يطلب التطبيق إذن الميكروفون)، ولا معرّف الإعلانات، ولا معرّفات الجهاز التي يتيحها نظامه. وإعدادات القراءة تبقى على الجهاز.

الحكايات المنزّلة: حكايات الاشتراك لا تأتي مع التطبيق. حين تُفتح إحداها أول مرة على جهاز، ينزّل التطبيق نصها ورسومها وقراءتها الصوتية من خادمنا، ويحفظها في مساحة التطبيق على ذلك الجهاز لتُقرأ بعدها دون اتصال. هذه ملفات الحكاية نفسها، لا بيانات عن الأسرة. يحمل كل طلب رمز دخول الحساب ليتحقق الخادم من الاشتراك، ولا يسجّل خادم جليس أي الحكايات نزّلتها الأسرة، لكن سجلات تشغيل مزوّد الاستضافة قد تحفظ مع عنوان IP مسارَ الطلب، وفيه معرّف الحكاية أو الملف، مدة [تُحدَّد مع مزوّد الاستضافة، ١٤ يومًا على الأكثر].

الاشتراك وبيانات الشراء

يُشترى اشتراك جليس، ومعه أول ١٤ يومًا منه دون دفع، من داخل التطبيق عبر App Store، أو Google Play حيث يُتاح التطبيق فيه، في صفحة الاشتراك خلف بوابة الأهل، ويلزم له حساب الأسرة. يتولّى المتجر الدفع والفوترة والتجديد والإلغاء والاسترداد وفق شروطه وسياسة الخصوصية الخاصة به، ولا تصلنا منه بيانات بطاقتكم، ولا اسمكم أو عنوانكم لديه.

لنربط الشراء بحساب الأسرة ونتحقق منه، نحفظ ما يلي:

• رمز ربط مشتقًا من معرّف الحساب، يعطيه التطبيقُ المتجرَ مع الشراء، ولا يدل عليكم بذاته؛
• ومن المتجر: اسمه، ومعرّف المعاملة، والخطة (شهرية أو سنوية)، وتاريخ نهاية المدة الجارية، ووقت آخر تغيير في الاشتراك، وحالته (مثل: تجربة، أو سارٍ، أو أُلغي تجديده، أو انتهى، أو استُرِدّ ثمنه) وهل يتجدد، وهل كان شراءً اختباريًا بحساب اختبار لدى المتجر؛
• وسجل إشعارات المتجر: يخبرنا المتجر بكل تجديد أو إلغاء أو استرداد، فنحفظ نوع كل إشعار ووقت وصوله.

نتحقق من كل شراء لدى المتجر نفسه، ولا نأخذ بما يقوله التطبيق وحده. ونستعمل هذه البيانات لنعرف أي الحكايات تُفتح للأسرة، وللرد على أسئلة الاشتراك في الدعم (انظروا «مع من نشارك البيانات»)، [وللوفاء بما تفرضه أنظمة الضريبة والمحاسبة إن لزم]، لا للإعلان ولا للتسويق.

ويحفظ التطبيق على كل جهاز آخر ما أجاب به خادمنا عن الاشتراك ووقت تلك الإجابة، وآخر وقت رآه على ساعة الجهاز، ليعرف هل تُفتح حكايات الاشتراك دون اتصال، كما تبيّن شروط الاستخدام. ولا يرسل ذلك إلى أحد.

نحفظ بيانات الاشتراك ما دام الحساب قائمًا، ونحذفها معه [ما لم يُلزمنا نظام بالاحتفاظ بشيء منها مدة أطول]. ويحتفظ المتجر بسجل مشترياتكم لديه وفق سياسته. وحذف الحساب في جليس لا يلغي الاشتراك (انظروا «أين تُحفظ البيانات ومتى تُحذف»).

إحصاءات الاستخدام

ليعرف فريق جليس كيف يُستعمل التطبيق فيحسّنه، يرسل التطبيق إلى خادمنا من حين إلى آخر إحصاءات استخدام، مع حساب الأسرة أو دونه. وهي أعداد وأوقات يجمعها التطبيق على الجهاز لكل يوم:

• كم مرة استُعمل التطبيق، وكم بقي مفتوحًا، ومدة القراءة، ومدة الاستماع إلى القراءة الصوتية؛
• كم مرة فُتحت حكاية وكم مرة اكتملت، وكم صفحة عُرضت، وكم سؤالًا من أسئلة نهاية الحكاية أُجيب عنه، دون الإجابات نفسها؛
• ولكل حكاية فُتحت: معرّفها، وكم مرة فُتحت واكتملت، وأبعد صفحة وصلت إليها القراءة، وكم صفحة منها عُرضت، ومدة الاستماع إليها؛
• إصدار التطبيق ورقم نسخته، ونوع النظام (iOS أو Android) وإصداره، ونوع الجهاز (هاتف أو جهاز لوحي)، ولغة واجهة التطبيق، وهل على الجهاز حساب أسرة مسجّل الدخول (نعم أو لا فقط)؛
• ومعرّفًا عشوائيًا لنسخة التطبيق على هذا الجهاز، يُنشئه التطبيق لهذه الإحصاءات وحدها. ليس معرّف الإعلانات ولا معرّفًا يتيحه نظام الجهاز، ولا نربطه بحساب الأسرة.

لا تحمل هذه الإحصاءات اسمًا ولا بريدًا ولا رقم جوال، ولا اسم طفل أو عمره أو ما يخص طفلًا بعينه، ولا نصًا يكتبه أحد، ولا الموقع؛ فهي للجهاز كله لا لكل طفل. ويحمل كل إرسال، مثل أي طلب، عنوان IP، لا يحفظه خادم جليس، وقد تحتفظ به سجلات تشغيل مزوّد الاستضافة مدة [تُحدَّد مع مزوّد الاستضافة].

نستعملها لتحسين التطبيق فقط: لنعرف مثلًا كم جهازًا يعود إلى جليس، وكم يُقرأ فيه، وأي الحكايات تكتمل وأيها تُترك قبل نهايتها. ويراها فريق جليس في أداته مجاميعَ ومعدّلاتٍ لكل الأجهزة معًا، لا سجلَّ جهاز بعينه ولا معرّفه. ولا نستعملها للإعلان، ولا نربطها بحساب الأسرة أو ببياناتها، ولا يعالجها غيرنا إلا مزوّدو الخدمة الذين يستضيفون خوادمنا وقاعدة بياناتنا.

تعمل إحصاءات الاستخدام ما لم يوقفها أحد الوالدين من منطقة الأهل. وعند إيقافها يتوقف الإرسال من هذا الجهاز، ويطلب التطبيق من خادمنا حذف كل ما وصله من إحصاءات هذا الجهاز، ويطلب ذلك أيضًا عند «مسح بيانات هذا الجهاز» وعند حذف الحساب من هذا الجهاز. أما إن حُذف التطبيق قبل ذلك، فيبقى ما وصلنا حتى تنتهي مدته، لأننا لا نعرف لأي جهاز أو أسرة هو.

نحفظ إحصاءات الاستخدام ٤٠٠ يوم على الأكثر، ثم تُحذف تلقائيًا.

رأيكم في التطبيق

بعد أن يكمل الأطفال بعض الحكايات، قد يسألكم التطبيق في منطقة الأهل عن رأيكم في جليس: تقييم من نجمة إلى خمس نجوم، وتعليق اختياري (١٠٠٠ حرف على الأكثر). ويُرسَل معهما إصدار التطبيق ورقم نسخته، ونوع النظام وإصداره، ونوع الجهاز، ولغة الواجهة، وكم حكاية اكتملت على الجهاز. ولا يُرسَل معهما أي معرّف، ولا حتى المعرّف العشوائي الموصوف في «إحصاءات الاستخدام».

لا نربط رأيكم بحساب الأسرة ولا نطلب معه اسمًا أو بريدًا، فلا نستطيع الرد عليه؛ ومن أراد ردًا فليكتب إلينا من «المساعدة». ونرجو ألا تكتبوا في التعليق أسماء أو معلومات شخصية. يقرأ فريق جليس الآراء في أداته ليحسّن بها التطبيق، ولا نربطها بإحصاءات الاستخدام. ونحفظ الآراء سنتين على الأكثر، ثم تُحذف تلقائيًا.

وعلى iPhone وiPad، بعد تقييم بأربع نجوم أو خمس، قد يقترح التطبيق تقييم جليس في App Store بنافذة Apple نفسها. يجري ذلك التقييم بينكم وبين Apple ووفق سياستها، ولا يصلنا منه إلا ما ينشره المتجر.

أعطال التطبيق

لا يرسل التطبيق تقارير أعطال إلى جليس، ولا يحفظها على الجهاز، ولا يحتوي على خدمة لتقارير الأعطال ولا على أداة لها من شركة أخرى.

إذا اخترتم في إعدادات iPhone أو iPad مشاركة بيانات التحليل مع مطوّري التطبيقات، تتيح لنا Apple في أدواتها للمطوّرين تقارير الأعطال التي يجمعها نظام الجهاز عن جليس. وعلى Android قد يعرض علينا Google Play بيانات الأعطال التي يجمعها من الأجهزة التي اختار أصحابها مشاركة بيانات الاستخدام والتشخيص مع Google. تجمع Apple وGoogle هذه البيانات بحسب إعداداتكم وسياساتهما، لا بأداة في التطبيق، ونستعملها لإصلاح الأعطال فقط.

لماذا نستخدم البيانات

• لتقديم الخدمة: تسجيل الدخول، وحفظ قراءة كل طفل ومزامنتها بين أجهزة الأسرة، والعودة إلى موضع القراءة، وعرض «ملخّص القراءة» للوالدين.
• لتحديد الحكايات التي تُفتح: بحسب وجود حساب واشتراك سارٍ (ومنه أيامه الأولى دون دفع)، وللتحقق من الاشتراك لدى المتجر.
• للدعم: للرد على البلاغات والأسئلة، وللعثور على حساب الأسرة ببريد التواصل في أحد بلاغاتها، ولإرسال بريد يؤكد وصول البلاغ وبريد عند كل رد أو عند إغلاقه، ولتنبيه فريق الدعم ببريد عند وصول كل بلاغ جديد. لا يكرر هذا البريد تعليقكم ولا يذكر أسماء الأطفال.
• لتشغيل الخدمة: لإصلاح الأعطال، ولمنع إساءة الاستخدام، مثل الحد اليومي للبلاغات.
• لتحسين التطبيق: من إحصاءات الاستخدام، ومن آرائكم إن أرسلتموها.

لا نستخدم بيانات الأسرة ولا إحصاءات الاستخدام للإعلان، ولا لبناء ملفات تسويقية، ولا لتدريب نماذج الذكاء الاصطناعي، ولا نتخذ بها قرارات آلية تؤثر فيكم.

الأساس النظامي للمعالجة: [يحدّده المراجع القانوني لكل غرض وفق نظام حماية البيانات الشخصية، مثل موافقة وليّ الأمر وتقديم الخدمة التي طلبها]. وللأسر في الاتحاد الأوروبي والمملكة المتحدة، الأساس النظامي لكل غرض في قسمها أدناه.

بيانات الأطفال ودور الوالدين

• جليس مصمّم للقراءة مع الأطفال، لكن الحساب لأحد الوالدين أو وليّ الأمر. الطفل لا ينشئ حسابًا، ولا نطلب منه بريدًا أو رقم جوال.
• يضيف أحد الوالدين الأطفال بنفسه ويختار الاسم الذي يظهر، ويستطيع تعديله أو حذف الطفل في أي وقت.
• منطقة الأهل خلف بوابة: مع الحساب رمز من ٤ أرقام يختاره أحد الوالدين، ودون حساب سؤال مكتوب بالكلمات عن ناتج ضرب عددين من ٣ إلى ٩. البوابة تُبقي الأطفال خارج منطقة الأهل، وليست وسيلة لتأمين الحساب.
• تسجيل الدخول، والاشتراك، والإعدادات، والحذف، كلها في منطقة الأهل وحدها، والبلاغات وطلبات الدعم في «المساعدة» خلف البوابة نفسها. وحين يلمس الطفل «أبلغ عن مشكلة» أو «المساعدة» تظهر له البوابة أولًا. وفي منطقة الأهل وحدها كذلك إيقاف إحصاءات الاستخدام، وسؤالكم عن رأيكم في التطبيق، واقتراح تقييمه في App Store. ولا يرى الطفل سعرًا ولا يستطيع أن يشتري: صفحة الاشتراك وأسعارها والشراء كلها خلف البوابة.
• لا يُعرض شيء من قراءة أطفالكم على أسر أخرى: لا محادثات في التطبيق، ولا صفحات عامة، ولا مشاركة بين الأسر. و«ملخّص القراءة» للوالدين وحدهم، طفلًا واحدًا في كل مرة، دون ترتيب أو مقارنة.
• إذا علمتم أن طفلًا أرسل إلينا بيانات دون علم أحد والديه، راسلونا على [بريد الخصوصية] لنحذفها.

موافقة وليّ الأمر

قبل أن يحفظ حساب الأسرة أي شيء عن الأطفال، يعرض التطبيق على أحد الوالدين، بعد تسجيل الدخول واختيار رمز الأهل، ما نحفظه لكل طفل وعن الوالدين، ولماذا، ومن يراه، وأين يجد خياراته، ويطلب موافقته مرة واحدة: «أنا وليّ أمر هؤلاء الأطفال وأوافق على حفظ بياناتهم في حساب الأسرة».

• دون هذه الموافقة لا تقبل خوادمنا إضافة طفل إلى الحساب، ولا تعديل بياناته، ولا نقل الأطفال إليه من الجهاز.
• من يختار «ليس الآن» تبقى ملفات أطفاله وقراءتهم على جهازه وحده، ويمكنه الموافقة لاحقًا من منطقة الأهل.
• إذا غيّرنا ما نطلب الموافقة عليه تغييرًا جوهريًا طلبناها مرة أخرى. يستمر الأطفال الذين في الحساب في القراءة، ولا يُضاف طفل ولا تُعدّل بياناته حتى الموافقة الجديدة.
• نحفظ سجل الموافقة ما دام الحساب قائمًا، ويظهر في نسخة بيانات الأسرة، ويُحذف مع الحساب.
• لسحب الموافقة: احذفوا الطفل أو الحساب كله من منطقة الأهل، أو راسلونا على [بريد الخصوصية].

مع من نشارك البيانات

لا نبيع البيانات ولا نؤجّرها، ولا نشاركها مع معلنين.

نستعين بمزوّدي خدمة يعالجون البيانات نيابة عنا ووفق تعليماتنا فقط:

• Supabase: قاعدة البيانات وتسجيل الدخول وتخزين الملفات، في فرانكفورت بألمانيا (الاتحاد الأوروبي).
• Google Cloud: استضافة خادم جليس وأداة فريقه والموقع، في فرانكفورت بألمانيا [وقد تُحفظ سجلات التشغيل لديها في مناطق أخرى: يُتحقَّق من ذلك قبل النشر].
• Resend، في الولايات المتحدة: إرسال البريد الإلكتروني لرموز الدخول ورسائل الدعم، ومنها تنبيه فريق الدعم بكل بلاغ جديد [تُتحقَّق منطقة الإرسال لديها قبل النشر].
• مزوّد صندوق بريد فريق الدعم، الذي تصل إليه رسائلكم بالبريد وتنبيهات البلاغات: [يُحدَّد لاحقًا].
• مزوّد الرسائل النصية لرموز الدخول: [يُحدَّد لاحقًا].

ويُلزم كلًّا منهم عقدُه معنا بأن يحفظ سرية البيانات، وألا يستعملها إلا لتقديم خدمته لنا، وأن يحميها حمايةً لا تقل عما تصفه هذه السياسة.

Apple وGoogle:حين تختارون الدخول بحسابكم لديهما، وحين تشترون عبر متجريهما ونتحقق لديهما من الشراء، وحين يُحذف حساب يدخل بحساب Apple (لإنهاء ربطه بجليس، كما في «أين تُحفظ البيانات ومتى تُحذف»). تخضع البيانات لديهما لسياسات الخصوصية الخاصة بهما.

فريق جليس: يقرأ فريق الدعم البلاغات ليرد عليها، ويصل إلى بريده تنبيه بكل بلاغ جديد كما في «ما نحفظه مع حساب الأسرة». لا تعرض أداة الفريق عنوان بريدكم، ولا تعرض من قراءة الأطفال إلا الحكاية والصفحة المرفقتين بالبلاغ. وللرد على أسئلة الاشتراك تعرض الأداة اشتراك الأسرة كما نحفظه: المتجر، والخطة، والحالة، والتواريخ، وهل كان الشراء اختباريًا، وآخر إشعار من المتجر، وآخر أحرف مرجع المتجر؛ وتُسجَّل كل مرة يُعرض فيها في سجلنا الداخلي. وتعرض الأداة لفريقي الدعم والإدارة قائمة بحسابات الأسر: معرّف الحساب وتاريخ إنشائه، وهل له اشتراك سارٍ ومن أي متجر وحتى متى، وعدد بلاغاته، دون أسماء أو أطفال أو قراءة. ويمكن البحث فيها ببريد التواصل في أحد بلاغات الأسرة إذا كُتب كاملًا، ولا تعرض الأداة البريد. وتُسجَّل كل قائمة تُعرض في سجلنا الداخلي مع الحسابات التي عرضتها، ويُسجَّل كل بحث مع الحسابات التي عرضها وبصمة أحادية الاتجاه (SHA-256) من البريد المبحوث عنه، لا البريد نفسه أبدًا؛ وحين تحذف أسرة حسابها يُستبدل معرّفها في هذه السجلات كما في غيرها، وتُحذف تلك البصمة. وتعرض الأداة لفريقي الدعم والإدارة إحصاءات الاستخدام مجاميعَ ومعدّلاتٍ لكل الأجهزة معًا، لا سجلَّ جهاز بعينه، وآراءكم في التطبيق كما وصلت، دون حساب أو معرّف. ولا يصل إلى قاعدة البيانات مباشرة إلا المسؤولون عن تشغيلها، عند الحاجة لتشغيل الخدمة وإصلاحها.

الجهات الرسمية: إذا ألزمنا بذلك نظام نافذ أو أمر من جهة مختصة.

أين تُحفظ البيانات ومتى تُحذف

تُحفظ بيانات الحساب لدى Supabase في فرانكفورت بألمانيا، في الاتحاد الأوروبي، وتعمل خوادم جليس لدى Google Cloud في المدينة نفسها. فهي تُحفظ خارج المملكة العربية السعودية، ويصل إليها فريق جليس من المملكة، ويمرّ البريد عبر Resend في الولايات المتحدة. [يوضح المراجع القانوني ضوابط نقل البيانات خارج المملكة وفق نظام حماية البيانات الشخصية ولائحته]. ولأسر الاتحاد الأوروبي والمملكة المتحدة، ضمانات النقل في قسمها أدناه.

• بيانات الحساب والأطفال والقراءة: ما دام الحساب قائمًا.
• الطفل الذي تحذفونه: يُحذف من الحساب مع كل بياناته، ولا يبقى إلا معرّفه الداخلي، حتى لا يعيده جهاز لم يعلم بالحذف.
• البلاغات وردودها: ما دام الحساب قائمًا، أو حتى تحذفوا البلاغ من «المساعدة» [أو مدة أقصر تُحدَّد لاحقًا]. وبعد حذف بلاغ يبقى في سجلنا الداخلي، مرتبطًا بالحساب، رقمُه والسبب الذي اختير له من القائمة وهل كان عن حكاية (دون تسميتها)، وما جرى عليه ومتى (تغيّر حالته، وإلغاؤه أو أرشفته، وما فعله فريق الدعم به، وحذفه)، ولا يبقى فيه تعليقكم ولا الردود ولا بريد التواصل.
• إيصالات المزامنة: ٣٠ يومًا.
• إحصاءات الاستخدام: ٤٠٠ يوم على الأكثر، أو حتى يوقفها أحد الوالدين، أو يُستعمل «مسح بيانات هذا الجهاز»، أو يُحذف الحساب من هذا الجهاز. ولأنها لا تُربط بالحساب فلا نستطيع أن نجدها به.
• آراؤكم في التطبيق: سنتان على الأكثر.
• سجلات الاشتراك: ما دام الحساب قائمًا [ما لم تُلزمنا أنظمة الضريبة أو المحاسبة بالاحتفاظ بشيء منها مدة أطول].
• رسائل الدعم التي تصل بالبريد دون حساب، وتنبيهات البلاغات في بريد فريق الدعم: [مدة تُحدَّد لاحقًا].
• النسخ الاحتياطية لقاعدة البيانات: قد تبقى البيانات المحذوفة فيها حتى [مدة تُحدَّد مع مزوّد الاستضافة]، ثم تزول.
• على الجهاز: تُحذف بيانات الحساب منه عند الخروج من الحساب، وتبقى بيانات الأطفال المحفوظة دون حساب حتى «مسح بيانات هذا الجهاز» أو حذف التطبيق. ويحتفظ الجهاز بآخر ٩١ يومًا قرأ فيها كل طفل.
• الحكايات المنزّلة على الجهاز: حتى الخروج من الحساب أو حذفه أو «مسح بيانات هذا الجهاز» أو حذف التطبيق، أو حتى يزيلها أحد الوالدين من «الحكايات على هذا الجهاز» في منطقة الأهل. وحين يجيب خادمنا بأن الاشتراك انتهى، يزيل التطبيق حكايات الاشتراك المنزّلة من الجهاز في الحال. وإن أقفلها التطبيق وهو دون اتصال (كما تبيّن شروط الاستخدام)، بقيت على الجهاز مقفلة ٣٠ يومًا على الأقل من حين أقفلها، ثم يزيلها التطبيق أول مرة يُشغَّل بعدها، ما لم يتأكد الاشتراك قبل ذلك. ولا تُنسخ إلى النسخ الاحتياطية للجهاز.

حذف الحساب: يُحذف أولًا كل ما يخص الأسرة من بياناتنا: الأطفال، والقراءة، والإجابات، وأيام القراءة، والبلاغات وردودها، ورسائل البريد التي لم تُرسل بعد، وسجلات الاشتراك ورمز الربط بالمتجر، ورمز الأهل، وسجل الموافقة، وإيصالات المزامنة. ثم يُحذف حساب الدخول (رقم الجوال أو البريد) من خدمة الدخول، ويعاد الحذف تلقائيًا إن تعذّر؛ ولا يبقى الرقم أو البريد بعدها إلا في سجل عمليات الدخول لدى خدمة الدخول حتى تنتهي مدته المذكورة في «ما نحفظه مع حساب الأسرة». وإن كان الحساب يدخل بحساب Apple، نطلب من Apple أيضًا إنهاء ربط جليس بـ«تسجيل الدخول باستخدام Apple»، بالرمز الذي أعطته Apple للتطبيق عند آخر تأكيد للدخول بها، ولا نحتفظ بهذا الرمز؛ وإن تعذّر ذلك يشرح التطبيق كيف تُزال جليس من إعدادات حساب Apple. بعد الحذف نحتفظ ببصمة أحادية الاتجاه من معرّف الحساب تمنع إعادة إنشائه من جهاز قديم، ويبقى سجل العمليات الداخلي مرتبطًا بهذه البصمة بدل المعرّف.

حذف الحساب في جليس لا يلغي الاشتراك لدى App Store أو Google Play؛ يُلغى الاشتراك من إعدادات المتجر.

خياراتكم وحقوقكم

من منطقة الأهل في التطبيق يستطيع أحد الوالدين:

• رؤية «ملخّص القراءة» لكل طفل؛
• تعديل اسم الطفل وعمره وصورته الرمزية، أو حذف الطفل مع بياناته؛
• الحصول على نسخة من بيانات الأسرة في ملف (JSON) من «مشاركة بيانات الأسرة»: الحساب والأطفال والقراءة والإجابات وأيام القراءة والبلاغات وسجلات الاشتراك وسجل الموافقة؛
• حذف بلاغ أو سؤال نهائيًا مع ردوده، أو إلغاؤه أو أرشفته، من «المساعدة» خلف البوابة نفسها؛
• إزالة الحكايات المنزّلة من هذا الجهاز؛
• مسح بيانات هذا الجهاز، والخروج من الحساب؛
• إيقاف إحصاءات الاستخدام، فيُحذف ما وصلنا منها من هذا الجهاز؛
• حذف الحساب كله.

ولأن هذه الخطوات تمسّ بيانات الأسرة كلها، قد يطلب التطبيق قبلها تأكيد الدخول من جديد، برمز جديد أو بحساب Apple أو Google؛ فخوادمنا لا تقبل الحصول على نسخة البيانات، ولا حذف طفل أو الحساب، ولا تغيير رمز الأهل، إلا خلال ١٠ دقائق من تسجيل الدخول.

ولكم أن تطلبوا منا الاطلاع على بياناتكم أو تصحيحها أو حذفها أو الحصول على نسخة منها، أو أن تسحبوا موافقتكم، بالكتابة إلى [بريد الخصوصية]. نرد خلال [المدة النظامية]. [يستكمل المراجع القانوني قائمة الحقوق وفق نظام حماية البيانات الشخصية ولائحته التنفيذية، وحق تقديم شكوى إلى الهيئة السعودية للبيانات والذكاء الاصطناعي].

وللأسر خارج المملكة الحقوق التي تمنحها أنظمة بلدانها، كما في الأقسام التالية.

للأسر خارج المملكة العربية السعودية

نتيح جليس لأسر في بلدان كثيرة خارج المملكة العربية السعودية. وتنطبق هذه السياسة كلها أينما كنتم، وقد تمنحكم أنظمة بلدكم حقوقًا أكثر مما فيها، فنلتزم بها حيث تنطبق.

يبيّن القسمان التاليان ما يضيفه النظام الأوروبي العام لحماية البيانات ونظيره في المملكة المتحدة، وقانون حماية خصوصية الأطفال على الإنترنت في الولايات المتحدة. وفي البلدان الأخرى، راسلونا على [بريد الخصوصية] لتمارسوا ما تمنحكم أنظمتها من حقوق، ونرد وفق ما تفرضه.

وأينما كنتم تبقى الضوابط نفسها: لا إعلانات، ولا تتبّع، ولا بيع للبيانات، والحساب لأحد الوالدين، وكل ما يخص الحساب والشراء خلف بوابة الأهل.

في الاتحاد الأوروبي والمنطقة الاقتصادية الأوروبية والمملكة المتحدة

إن كنتم في الاتحاد الأوروبي أو المنطقة الاقتصادية الأوروبية، ينطبق على بياناتكم النظام الأوروبي العام لحماية البيانات (GDPR)، وإن كنتم في المملكة المتحدة فنظيره فيها (UK GDPR). المسؤول عن معالجة بياناتكم (المتحكّم) هو [الاسم النظامي للجهة المشغّلة]، [العنوان]، المملكة العربية السعودية، وللتواصل: [بريد الخصوصية].

ممثلنا في الاتحاد الأوروبي: [يُعيَّن لاحقًا]. وممثلنا في المملكة المتحدة: [يُعيَّن لاحقًا]. ويمكنكم مراسلة أيٍّ منهما بدلًا منا في كل ما يخص بياناتكم.

الأساس النظامي لكل غرض [يؤكده المراجع القانوني]:

• تقديم الخدمة التي طلبتموها (الحساب، وحفظ القراءة ومزامنتها، و«ملخّص القراءة»، والحكايات المنزّلة، وتحديد ما يُفتح منها): تنفيذ العقد معكم.
• بيانات الأطفال في حساب الأسرة: موافقة أحد الوالدين، يعطيها في التطبيق قبل أن يحفظ الحساب بيانات أي طفل، ويستطيع سحبها في أي وقت (انظروا «موافقة وليّ الأمر»).
• الاشتراك والتحقق منه لدى المتجر: تنفيذ العقد معكم؛ وما تفرضه أنظمة الضريبة والمحاسبة من احتفاظ، إن وُجد: الالتزام النظامي.
• الدعم (الرد على البلاغات، ورسائل تأكيدها، وتنبيه فريق الدعم بها، والعثور على الحساب ببريد التواصل): تنفيذ العقد معكم، ومصلحتنا المشروعة في الرد على الأسر في حينه.
• إحصاءات الاستخدام: مصلحتنا المشروعة في معرفة كيف يُستعمل التطبيق لنحسّنه، مع مفتاح في منطقة الأهل يوقفها ويحذف ما وصلنا منها [أو موافقة أحد الوالدين قبل تشغيلها، إن رأى المراجع القانوني أن ذلك يلزم].
• رأيكم في التطبيق: موافقتكم، إذ ترسلونه باختياركم.
• تشغيل الخدمة ومنع إساءة استخدامها (الحدود اليومية، وسجلات التشغيل، وسجل العمليات الداخلي): مصلحتنا المشروعة.
• الاستجابة لما يلزمنا به نظام نافذ أو أمر من جهة مختصة: الالتزام النظامي.

حقوقكم: الاطلاع على بياناتكم والحصول على نسخة منها؛ وتصحيحها؛ وحذفها؛ وتقييد معالجتها؛ ونقلها، إذ تعطيكم «مشاركة بيانات الأسرة» نسخة منها في ملف منظّم (JSON)؛ والاعتراض على ما نعالجه لمصلحتنا المشروعة، ومنه إحصاءات الاستخدام؛ وسحب موافقتكم في أي وقت، دون أن يمسّ ذلك ما جرى قبل السحب. اكتبوا إلى [بريد الخصوصية]، ونرد خلال شهر، يجوز أن يمتد شهرين آخرين حين تكثر الطلبات أو تتعقّد، ونخبركم بذلك. ولكم أن تشتكوا إلى سلطة حماية البيانات في بلد إقامتكم أو عملكم أو حيث وقعت المخالفة، وفي المملكة المتحدة إلى مكتب مفوّض المعلومات (ICO).

أين تُحفظ بياناتكم، ونقلها: تُحفظ بيانات الحساب لدى Supabase، وتعمل خوادم جليس لدى Google Cloud، وكلاهما في فرانكفورت بألمانيا. لكن فريق جليس يصل إليها من المملكة العربية السعودية، ويمرّ البريد عبر Resend في الولايات المتحدة، وقد تُحفظ سجلات التشغيل لدى Google في مناطق أخرى. فحين تنتقل بياناتكم إلى بلد لم يُقرَّر أنه يكفل لها حماية كافية، نستند إلى الضمانات التي يجيزها النظام، مثل البنود التعاقدية القياسية التي أصدرتها المفوضية الأوروبية وملحق المملكة المتحدة بها، أو إطار خصوصية البيانات بين الاتحاد الأوروبي والولايات المتحدة إن كان المستلم منضمًا إليه [يحدّد المراجع القانوني الآلية لكل نقل]. ولكم أن تطلبوا نسخة من هذه الضمانات على [بريد الخصوصية].

الأطفال ودور الوالدين: جليس مصمّم للقراءة مع الأطفال، والحساب لأحد الوالدين أو وليّ الأمر. وكل الأطفال في جليس (من ٣ إلى ١٢ سنة) دون السن التي تشترط هذه البلدان دونها موافقة من له الولاية على الطفل (بين ١٣ و١٦ سنة بحسب البلد)، فلا يحفظ الحساب بيانات أي طفل قبل موافقة أحد الوالدين (انظروا «موافقة وليّ الأمر»)، ويمارس الوالد حقوق طفله نيابة عنه. ونراعي مصلحة الطفل الفضلى في تصميم التطبيق: لا إعلانات، ولا تتبّع، ولا ملفات تسويقية، ولا مشاركة بين الأسر، ولا قرارات آلية تؤثر فيكم أو في أطفالكم.

في الولايات المتحدة

جليس موجّه إلى الأطفال، فينطبق عليه في الولايات المتحدة قانون حماية خصوصية الأطفال على الإنترنت (COPPA) وقاعدة لجنة التجارة الفيدرالية المنفّذة له. وهذا القسم، مع بقية هذه السياسة، إشعارنا للوالدين بموجبهما. الجهة المشغّلة: [الاسم النظامي للجهة المشغّلة]، [العنوان]، [رقم الهاتف]، [بريد الخصوصية].

ما نجمعه عن الأطفال: لا يطلب جليس من الطفل أي معلومات، ولا يستطيع الطفل أن ينشئ حسابًا، ولا أن يكتب إلينا أو إلى أحد، ولا أن ينشر شيئًا. ما يخص الطفل يُدخله أحد الوالدين: الاسم الأول أو اسم التدليل، والعمر، وصورة رمزية من رسوم التطبيق؛ ويحفظ التطبيق قراءته وإجاباته. ومع حساب الأسرة نحفظها لدينا بعد موافقة أحد الوالدين، كما في «ما نحفظه مع حساب الأسرة». ويرسل التطبيق من كل جهاز، ومنها أجهزة يستعملها الأطفال، إحصاءات الاستخدام بمعرّف عشوائي لنسخة التطبيق، لا نستعملها إلا لتشغيل التطبيق وتحسينه [ويؤكد المراجع القانوني أنها من «دعم العمليات الداخلية» الذي تجيزه القاعدة دون موافقة مسبقة].

موافقة الوالدين: أحد الوالدين هو من ينشئ حساب الأسرة، بعد بوابة الأهل وتسجيل الدخول، ثم يوافق صراحةً قبل أن نحفظ في الحساب بيانات أي طفل، ولا تقبل خوادمنا إضافة طفل قبل ذلك. [يحدّد المراجع القانوني هل تكفي هذه الموافقة وفق القاعدة، أم تلزم طريقة أخرى للتحقق من أن الموافق أحد الوالدين].

لا نعرض إعلانات، ولا نستعمل بيانات الأطفال ولا الوالدين للإعلان السلوكي أو لبناء ملفات عنهم، ولا يحتوي التطبيق على أداة تحليل أو إعلان أو تتبّع من شركة أخرى. ولا نكشف بيانات الأطفال لأحد إلا لمزوّدي الخدمة الذين يعالجونها نيابة عنا ووفق تعليماتنا، أو حين يلزمنا بذلك القانون (انظروا «مع من نشارك البيانات»)، ولا نشترط لاستعمال أي جزء من التطبيق أن يُعطى عن الطفل أكثر مما يلزم له.

حقوق الوالدين: يستطيع أحد الوالدين في أي وقت أن يراجع ما نحفظه عن طفله (في «ملخّص القراءة» وفي نسخة بيانات الأسرة)، وأن يحذف الطفل مع بياناته أو الحساب كله، وأن يمنع أن نجمع عن طفله شيئًا بعد ذلك أو نستعمله، بسحب موافقته وإيقاف إحصاءات الاستخدام. ويمكنه أن يطلب ذلك بالكتابة إلى [بريد الخصوصية]، فنتحقق أنه أحد الوالدين قبل أن ننفّذ الطلب.

نحتفظ ببيانات الطفل ما دامت لازمة للغرض الذي جُمعت له فقط، ثم نحذفها، بالمدد المذكورة في «أين تُحفظ البيانات ومتى تُحذف».

في كاليفورنيا: لا نبيع المعلومات الشخصية ولا «نشاركها» بالمعنى الذي يقصده قانون خصوصية المستهلك في كاليفورنيا (CCPA)، أي للإعلان السلوكي عبر السياقات. ولسكان كاليفورنيا أن يطلبوا معرفة ما نحفظه عنهم وتصحيحه وحذفه بالكتابة إلى [بريد الخصوصية]، ولا نعاملهم معاملة مختلفة لأنهم طلبوا ذلك. [يؤكد المراجع القانوني هل ينطبق هذا القانون علينا، وما يلزم من أنظمة الولايات الأخرى].

حذف الحساب دون التطبيق

إذا لم يعد التطبيق على أجهزتكم، يمكنكم تثبيته من جديد وحذف الحساب من منطقة الأهل، أو الكتابة إلى [بريد الخصوصية] من بريد الحساب أو مع رقم الجوال المسجّل فيه. نتحقق أن الطلب من صاحب الحساب [طريقة التحقق: تُحدَّد لاحقًا]، ثم نحذف البيانات كما في «أين تُحفظ البيانات ومتى تُحذف».

كيف نعتني بالبيانات

• الاتصال بخوادمنا مشفّر (HTTPS)، ونسخ الإصدار من التطبيق لا تقبل اتصالًا غير مشفّر.
• صُمّمت قواعد الوصول في قاعدة البيانات، على مستوى الصفوف، لتفصل بيانات كل أسرة عن بيانات الأسر الأخرى.
• رمز الأهل محفوظ ببصمة أحادية الاتجاه كما سبق، وبعد ٥ محاولات خاطئة يتوقف قبول الرمز مدة تطول مع كل محاولة.
• جلسة الدخول على الجهاز في التخزين المشفّر للنظام (Keychain في iOS، وKeystore في Android).
• على Android لا يُنسخ ما يحفظه التطبيق إلى النسخ الاحتياطية السحابية للجهاز.
• لا يصل فريق جليس إلى البلاغات إلا بأدوار محددة (الدعم والإدارة)، وتُسجَّل عمليات الفريق في سجل داخلي.

لا يخلو نظام من المخاطر. إن وقع حادث يمسّ بياناتكم، نخطركم ونخطر الجهات المختصة وفق النظام.

موقع جليس

لا يطلب موقع جليس تسجيل دخول ولا يجمع بيانات شخصية. لا يستخدم ملفات تعريف الارتباط (الكوكيز) ولا أدوات تحليل، ولا يحمّل خطوطًا أو ملفات من مواقع أخرى. وقد يحتفظ مزوّد استضافة الموقع بسجلات تشغيل معتادة فيها عنوان IP مدة [تُحدَّد لاحقًا].

تغيير هذه السياسة

إذا غيّرنا هذه السياسة ننشر النسخة الجديدة هنا مع تاريخ سريانها، ونخبركم في التطبيق قبل أي تغيير جوهري [ونطلب موافقتكم حين يلزم ذلك نظامًا].

التواصل

[الاسم النظامي للجهة المشغّلة]، [العنوان]. بريد الخصوصية: [بريد الخصوصية]. [مسؤول حماية البيانات الشخصية، إن لزم تعيينه].

ولأسر الاتحاد الأوروبي والمملكة المتحدة أن تراسل ممثلينا المذكورين في قسمها.

Who we are

Jalees is operated by [legal name of the operating entity, its address and commercial registration number]. For privacy matters, write to [privacy email].

In this policy, "we" means Jalees, and "you" means the parent or guardian who uses the app with their children.

In short

• There are no ads in Jalees, and no third-party analytics or tracking tools.
• We do not sell or rent data, and we do not use it for advertising.
• The Jalees subscription is bought through the App Store or Google Play, and the store takes the payment: your card details never reach us, and the store tells us the subscription's status so that the stories open.
• Without an account, the children's profiles and each child's reading stay on the device and never reach us.
• The app sends us usage statistics that carry no name and are not linked to the family account, so that we can improve it; a parent can turn them off in the parent area.
• The app sends no crash reports to Jalees. Its crash data may be shared with Apple's or Google's diagnostics when the device's owner chose that in its settings, and what we learn about its crashes comes from there.
• With a family account, reading data is kept on our servers so that it appears on every device of the family.
• From the parent area of the app, a parent can get a copy of the family's data, remove a child with their data, and delete the whole account.
• Families outside Saudi Arabia, including those in the European Union, the United Kingdom and the United States, have the rights set out in their own sections below.

Without an account

The app works without an account. It then keeps, on the device only:

• the children's names as you type them, their ages, and the avatars you choose from the app's drawings;
• the reading position in each story, finished stories and when they were finished, and answers to the questions at the end of a story;
• reading days: the number of pages and the reading time for each child on each day, for the child's last 91 reading days;
• reading settings: text size and narration speed.

None of this is sent to us. "Erase this device's data" in the parent area removes it, and so does deleting the app. On Android it is not copied into the device's backups; on iPhone and iPad, backups made by the device may include it, depending on your settings.

So that the app knows whether its version still works, it asks our server when it opens and from time to time, sending only the system (iOS or Android) and the app version. The Jalees server keeps no record of this request, but like any request it carries an IP address, which the hosting provider's operating logs may keep for [period to be set with the hosting provider].

Separately, the app sends us usage statistics for the device as a whole, with no name and nothing about any one child, unless a parent turns them off (see "Usage statistics").

If you later create a family account, the app offers to move the children and their data from the device into the account, and you choose which children move.

If you write to us without an account from "Report a problem", the app opens your email app with a prepared message to support_jalees@elementum.com.sa containing the reason, your comment, the story's name, the page number, the app version and the device's system, and no child's name. Nothing is sent until you send it yourself; we then receive an ordinary email with your address.

What we keep with a family account

When a parent creates a family account, we keep:

• Sign-in: a mobile number (with a code sent by text message) or an email address (with a code sent by email), or sign-in with Apple or Google. On iPhone and iPad we ask Apple only for the email address, which may be a relay address Apple creates to hide yours. On Android, sign-in with Apple runs in the browser through the sign-in service, which may also ask Apple for your name [to be checked in the sign-in service's settings]; it keeps it with the sign-in identity, and Jalees does not use it. From Google, the sign-in service receives the email address; Google may also send a name and picture, which Jalees does not use. Each account has an internal identifier.
• Children: the name as you type it (a first name or nickname is enough), the age (3 to 12 years), and an avatar you choose from ready-made drawings in the app. We do not ask for children's photos or dates of birth. An account holds up to 12 children.
• Reading: the reading position in each story (the page and the point in the narration), finished stories and the date of the first finish, answers to the end-of-story questions (the choice, or that it was skipped), and reading days (pages and seconds for each child on each day).
• Consent: before the account keeps any child's data, a parent agrees to it once, and we keep the consent record: its version number and time, the identifier of the account that agreed, and the app version.
• Parent area: whether a parent PIN has been chosen, and its version number. We do not keep the PIN itself, only a one-way fingerprint of it derived with a random salt and a secret key on the server, which is never sent to any device. Each device keeps its own check value so that the PIN works offline.
• Subscription: if you subscribe, we keep what is needed to link the purchase to the family account and verify it, as described in "The subscription and purchase data".
• Support: when you send a report or a question from the app, we keep the reason and your comment, the story and the page where the reading stopped (for a report about a story), the app version, the system (iOS or Android) and its version, the contact email, the support team's replies, and the ticket's number and dates. The contact email is the account's email; if the account has none, it is the email you type in the report, if you choose to. The app adds no child's name to a report, other than anything you write in the comment yourselves. When a new report arrives, we email an alert to the support team's inbox, with its number, kind and reason, the story if it is about one, the app version and the device's system, when it was opened, and a link to it in the team's tool; the alert never carries your comment, your email address or your account, the page, or anything about your children.
• Sync: so that a change the device sends again is not applied twice, we keep a receipt for each change for 30 days, and we use the device's time at sending to order changes.
• Connection: every request to our servers carries, by its nature, an IP address and similar connection data. The Jalees server does not record them in its logs, but the sign-in service keeps the IP address and a description of the app or browser with sign-in sessions. Its log of sign-ins holds the IP address and the mobile number or email for [the sign-in service's log period under the hosting plan, for example 7 days], then deletes them; we keep no copy of that log in our database. Hosting providers may keep ordinary operating logs, for [period to be set with the service providers].

We do not collect location, contacts, photos or voice recordings (the app does not ask for the microphone), the advertising identifier, or the identifiers the device's system provides. Reading settings stay on the device.

Downloaded stories: subscription stories do not come with the app. When one is first opened on a device, the app downloads its text, pictures and narration from our server and keeps them in the app's storage on that device, so that it then reads without a connection. These are the story's own files, not data about the family. Each request carries the account's sign-in token so that the server can check the subscription; the Jalees server keeps no record of which stories a family downloads, but the hosting provider's operating logs may keep each request's path, which names the story or file, with the IP address, for [period to be set with the hosting provider, at most 14 days].

The subscription and purchase data

The Jalees subscription, with its first 14 days without payment, is bought in the app through the App Store, or Google Play where the app is offered there, on the subscription page behind the parent gate, and it needs a family account. The store handles payment, billing, renewal, cancellation and refunds under its own terms and privacy policy; your card details, and your name or address with the store, never reach us.

To link the purchase to the family account and verify it, we keep:

• a linking token derived from the account's identifier, which the app gives the store with the purchase and which does not identify you by itself;
• from the store: its name, the transaction identifier, the plan (monthly or yearly), the end of the current period, when the subscription last changed, its status (for example trial, active, renewal cancelled, expired or refunded), whether it renews, and whether it was a test purchase made with a store test account;
• the history of the store's notices: the store tells us of each renewal, cancellation and refund, and we keep the type of each notice and when it arrived.

We verify each purchase with the store itself, never on the app's word alone. We use these data to decide which stories open for the family, to answer questions about the subscription in support (see "Who we share data with") [and to meet tax and accounting rules, where they apply]; never for advertising or marketing.

On each device, the app keeps our server's latest answer about the subscription, when it came, and the latest time it has seen on the device's clock, so that it knows whether subscription stories open without a connection, as the Terms of Use explain. It sends this to no one.

We keep the subscription data for as long as the account exists and delete it with the account [unless a law requires keeping some of it longer]. The store keeps its own record of your purchases under its policy. Deleting the Jalees account does not cancel the subscription (see "Where data is kept and when it is deleted").

Usage statistics

So that the Jalees team knows how the app is used and can improve it, the app sends our server usage statistics from time to time, with or without a family account. They are counts and times the app adds up on the device for each day:

• how many times the app was used, how long it stayed open, how long stories were read, and how long narration was listened to;
• how many times a story was opened and finished, how many pages were shown, and how many end-of-story questions were answered, without the answers themselves;
• for each story opened: its identifier, how many times it was opened and finished, the furthest page reached, how many of its pages were shown, and how long its narration was listened to;
• the app's version and build number, the system (iOS or Android) and its version, the kind of device (phone or tablet), the language of the app's interface, and whether a family account is signed in on the device (only yes or no);
• a random identifier for this installation of the app, which the app creates for these statistics alone. It is not the advertising identifier or an identifier the device's system provides, and we do not link it to the family account.

These statistics carry no name, email address or mobile number, no child's name or age or anything about any one child, no text anyone types, and no location: they cover the device as a whole, not each child. Like any request, each sending carries an IP address, which the Jalees server does not keep; the hosting provider's operating logs may keep it for [period to be set with the hosting provider].

We use them only to improve the app: for example, to learn how many devices come back to Jalees, how much is read on them, and which stories are finished and which are left before the end. The Jalees team sees them in its tool as totals and averages across all devices, never one device's record or identifier. We do not use them for advertising or link them to the family account or its data, and no one else handles them except the service providers who host our servers and database.

Usage statistics are on unless a parent turns them off in the parent area. Turning them off stops this device sending them, and the app asks our server to delete everything it received from this device; it asks the same when "Erase this device's data" is used and when the account is deleted from this device. If the app is deleted before any of these, what we received stays until its period ends, because we cannot tell which device or family it came from.

We keep usage statistics for at most 400 days; then they are deleted automatically.

Your view of the app

Once the children have finished a few stories, the app may ask for your view of Jalees in the parent area: a rating from one to five stars and an optional comment (at most 1,000 characters). With them go the app's version and build number, the system and its version, the kind of device, the interface language and how many stories were finished on the device. No identifier goes with them, not even the random identifier described in "Usage statistics".

We do not link your view to the family account or ask for a name or email address with it, so we cannot reply to it; to get a reply, write to us from "Help". Please do not include names or personal details in the comment. The Jalees team reads the views in its tool to improve the app, and we do not link them to the usage statistics. We keep views for at most 2 years; then they are deleted automatically.

On iPhone and iPad, after a rating of four or five stars, the app may offer Apple's own sheet for rating Jalees on the App Store. That rating is between you and Apple, under its policy, and reaches us only as the App Store publishes it.

App crashes

The app sends no crash reports to Jalees, keeps none on the device, and contains no crash-reporting service or other company's tool for them.

If you choose, in the settings of your iPhone or iPad, to share analytics with app developers, Apple makes the crash reports the system collects about Jalees available to us in its developer tools. On Android, Google Play may show us crash data it collects from devices whose owners chose to share usage and diagnostics data with Google. Apple and Google collect this data under your settings and their own policies, not through any tool in the app, and we use it only to fix crashes.

Why we use the data

• To provide the service: signing in, keeping each child's reading and syncing it across the family's devices, returning to the reading position, and showing parents the "Reading summary".
• To decide which stories open: according to whether there is an account and an active subscription (its first days without payment included), and to verify the subscription with the store.
• For support: to answer reports and questions, to find a family's account by the contact email of one of its reports, to send an email confirming that a report arrived and another with each reply or when it is closed, and to alert the support team by email when each new report arrives. These emails do not repeat your comment or name any child.
• To run the service: to fix faults and to prevent misuse, such as the daily limit on reports.
• To improve the app: from the usage statistics, and from your views if you send them.

We do not use family data or usage statistics for advertising, to build marketing profiles, or to train artificial intelligence models, and we make no automated decisions about you with them.

Legal basis for processing: [to be set by the legal reviewer for each purpose under the Personal Data Protection Law, for example the guardian's consent and providing the service they asked for]. For families in the European Union and the United Kingdom, the legal basis for each purpose is in their section below.

Children's data and the parents' role

• Jalees is made for reading with children, but the account belongs to a parent or guardian. A child does not create an account, and we do not ask a child for an email address or a mobile number.
• A parent adds the children and chooses the name that appears, and can change it or remove the child at any time.
• The parent area is behind a gate: with an account, a 4-digit PIN the parent chooses; without one, a question written out in words: the product of two numbers from 3 to 9. The gate keeps children out of the parent area; it is not a security measure for the account.
• Sign-in, the subscription, settings and deletion are all in the parent area only, and reports and support requests are in "Help", behind the same gate. When a child taps "Report a problem" or "Help", the gate appears first. Turning off usage statistics, the request for your view of the app and the offer to rate it on the App Store are in the parent area only too. A child sees no price and cannot buy: the subscription page, its prices and the purchase are all behind the gate.
• Nothing of your children's reading is shown to other families: there is no chat in the app, no public page and no sharing between families. The "Reading summary" is for parents only, one child at a time, with no ranking or comparison.
• If you learn that a child has sent us data without a parent's knowledge, write to [privacy email] and we will delete it.

The guardian's consent

Before the family account keeps anything about the children, the app shows a parent, after signing in and choosing the parent PIN, what we keep for each child and about the parents, why, who sees it and where the choices are, and asks for their agreement once: «أنا وليّ أمر هؤلاء الأطفال وأوافق على حفظ بياناتهم في حساب الأسرة» ("I am these children's guardian and I agree to keeping their data in the family account").

• Without this consent our servers accept no child added to the account, no change to a child's details, and no move of children into it from the device.
• A parent who chooses "Not now" keeps the children and their reading on that device only, and can agree later from the parent area.
• If we change in substance what we ask consent for, we ask again. Children already in the account keep reading, and no child is added or changed until the new consent.
• We keep the consent record for as long as the account exists; it is in the copy of the family's data and is deleted with the account.
• To withdraw consent: remove the child or the whole account from the parent area, or write to [privacy email].

Who we share data with

We do not sell or rent data, and we do not share it with advertisers.

We use service providers who process data on our behalf and only on our instructions:

• Supabase: database, sign-in and file storage, in Frankfurt, Germany (European Union).
• Google Cloud: hosting of the Jalees server, the team's tool and the website, in Frankfurt, Germany [its operating logs may be kept in other regions: to be checked before publication].
• Resend, in the United States: email delivery for sign-in codes and support messages, including the alert to the support team for each new report [its sending region to be checked before publication].
• The provider of the support team's mailbox, where your emails and the report alerts arrive: [to be decided].
• Text-message provider for sign-in codes: [to be decided].

Each of them is bound by its contract with us to keep the data confidential, to use it only to provide its service to us, and to protect it at least as well as this policy describes.

Apple and Google:when you choose to sign in with your account with them, when you buy through their stores and we verify the purchase with them, and when an account that signs in with Apple is deleted (to end its link with Jalees, as described in "Where data is kept and when it is deleted"). Data held by them is governed by their own privacy policies.

The Jalees team: the support team reads reports to answer them, and an alert of each new report reaches its inbox, as described in "What we keep with a family account". The team's tool does not show your email address, and of the children's reading it shows only the story and page attached to a report. To answer questions about the subscription, the tool shows the family's subscription as we hold it: the store, plan, status, dates, whether it was a test purchase, the latest store notice and the last characters of the store reference; each time it is shown is recorded in our internal log. For the support and administration teams, the tool also lists family accounts: the account identifier and when it was created, whether a subscription is active, from which store and until when, and how many reports it has; no names, children or reading. The list can be searched by the contact email of one of the family's reports, typed in full; the tool never shows the address. Each list shown is recorded in our internal log with the accounts it showed, and each search is recorded with the accounts it showed and a one-way fingerprint (SHA-256) of the address searched for, never the address itself; when a family deletes its account, its id in those records is replaced as elsewhere and the fingerprint is removed. For the support and administration teams, the tool also shows the usage statistics as totals and averages across all devices, never one device's record, and your views of the app as they arrived, with no account or identifier. Direct access to the database is limited to the people who operate it, when needed to run and repair the service.

Authorities: when a law in force or an order from a competent authority requires it.

Where data is kept and when it is deleted

Account data is kept with Supabase in Frankfurt, Germany, in the European Union, and the Jalees servers run on Google Cloud in the same city. So it is kept outside the Kingdom of Saudi Arabia; the Jalees team reaches it from the Kingdom, and email passes through Resend in the United States. [The legal reviewer sets out the rules for transferring data outside the Kingdom under the Personal Data Protection Law and its regulations]. For families in the European Union and the United Kingdom, the safeguards for transfers are in their section below.

• Account, children and reading data: for as long as the account exists.
• A child you remove: removed from the account with all their data; only the internal identifier remains, so that a device that missed the removal cannot bring the child back.
• Reports and replies: for as long as the account exists, or until you delete the report in "Help" [or a shorter period to be decided]. After a report is deleted, our internal log still holds, linked to the account, its number, the reason chosen for it from the list, whether it was about a story (not which one), and what happened to it and when (its state changes, your cancelling or archiving, what the support team did with it, and the deletion); never your comment, the replies or the contact email.
• Sync receipts: 30 days.
• Usage statistics: at most 400 days, or until a parent turns them off, uses "Erase this device's data" or deletes the account from this device. They are not linked to the account, so we cannot find them through it.
• Your views of the app: at most 2 years.
• Subscription records: for as long as the account exists [unless tax or accounting rules require keeping some of them longer].
• Support emails received without an account, and report alerts in the support team's mailbox: [period to be decided].
• Database backups: deleted data may remain in them for up to [period to be set with the hosting provider], then disappears.
• On the device: account data is removed when you sign out; children kept without an account remain until "Erase this device's data" or until the app is deleted. The device keeps each child's last 91 reading days.
• Stories downloaded to the device: until you sign out, delete the account, use "Erase this device's data" or delete the app, or until a parent removes them in "Stories on this device" in the parent area. When our server answers that the subscription has ended, the app removes the downloaded subscription stories from the device at once. If the app locked them while offline (as the Terms of Use explain), they stay on the device, locked, for at least 30 days from when it locked them, and the app removes them the first time it starts after that, unless the subscription is confirmed first. They are not copied into the device's backups.

Deleting the account: first, everything we hold for the family is deleted: the children, their reading, answers and reading days, reports and replies, emails not yet sent, subscription records and the store linking token, the parent PIN, the consent record and sync receipts. Then the sign-in account (the mobile number or email) is deleted from the sign-in service, and the deletion is retried automatically if it fails; after that the number or email remains only in the sign-in service's log of sign-ins, until the period given in "What we keep with a family account" ends. For an account that signs in with Apple, we also ask Apple to end Jalees's Sign in with Apple link, using the code Apple gave the app at the latest Apple confirmation, and we keep neither that code nor Apple's token; if that is not possible, the app explains how to remove Jalees in the Apple ID settings. After deletion we keep a one-way fingerprint of the account identifier so that an old device cannot recreate the account, and our internal operations log refers to that fingerprint instead of the identifier.

Deleting a Jalees account does not cancel a subscription with the App Store or Google Play; the subscription is cancelled in the store's settings.

Your choices and rights

From the parent area of the app, a parent can:

• see each child's "Reading summary";
• change a child's name, age and avatar, or remove the child with their data;
• get a copy of the family's data as a file (JSON) with "Share the family's data": the account, children, reading, answers, reading days, reports and subscription records, and the consent record;
• delete a report or question for good with its replies, or cancel or archive it, in "Help", behind the same gate;
• remove the downloaded stories from this device;
• erase this device's data, and sign out;
• turn off usage statistics, which deletes those we received from this device;
• delete the whole account.

Because these steps touch all of the family's data, the app may ask you to confirm your sign-in again before them, with a new code or with Apple or Google: our servers accept getting a copy of the data, removing a child or the account, and changing the parent PIN only within 10 minutes of a sign-in.

You may also ask us to access, correct, delete or give you a copy of your data, or withdraw your consent, by writing to [privacy email]. We answer within [the statutory period]. [The legal reviewer completes the list of rights under the Personal Data Protection Law and its Implementing Regulations, and the right to complain to the Saudi Data and AI Authority].

Families outside the Kingdom also have the rights their own countries' laws give them, as the next sections set out.

Families outside Saudi Arabia

We offer Jalees to families in many countries outside Saudi Arabia. This whole policy applies wherever you are, and the laws of your country may give you more rights than it sets out; where they apply, we follow them.

The next two sections set out what the EU's General Data Protection Regulation, its United Kingdom counterpart and the US Children's Online Privacy Protection Act add. In other countries, write to [privacy email] to use the rights your country's laws give you, and we will answer as they require.

Wherever you are, the same rules hold: no ads, no tracking, no sale of data, the account belongs to a parent, and everything about the account and purchases is behind the parent gate.

In the European Union, the EEA and the United Kingdom

If you are in the European Union or the European Economic Area, the General Data Protection Regulation (GDPR) applies to your data; in the United Kingdom, the UK GDPR. The controller of your data is [legal name of the operating entity], [address], Kingdom of Saudi Arabia; contact: [privacy email].

Our representative in the European Union: [to be appointed]. Our representative in the United Kingdom: [to be appointed]. You may write to either of them instead of us about anything to do with your data.

The legal basis for each purpose [to be confirmed by the legal reviewer]:

• Providing the service you asked for (the account, keeping and syncing reading, the "Reading summary", downloaded stories and deciding which stories open): performance of our contract with you.
• Children's data in the family account: a parent's consent, given in the app before the account keeps any child's data, which can be withdrawn at any time (see "The guardian's consent").
• The subscription and its verification with the store: performance of our contract with you; any keeping that tax and accounting rules require: legal obligation.
• Support (answering reports, their confirmation emails, alerting the support team, finding the account by the contact email): performance of our contract with you, and our legitimate interest in answering families promptly.
• Usage statistics: our legitimate interest in learning how the app is used so that we can improve it, with a switch in the parent area that turns them off and deletes what we received [or a parent's consent before they start, if the legal reviewer finds it is needed].
• Your view of the app: your consent, since you choose to send it.
• Running the service and preventing its misuse (daily limits, operating logs, the internal operations log): our legitimate interest.
• Responding to a law in force or an order of a competent authority: legal obligation.

Your rights: to access your data and get a copy of it; to have it corrected; to have it erased; to restrict its processing; to data portability, since "Share the family's data" gives you a copy in a structured file (JSON); to object to what we process for our legitimate interests, the usage statistics included; and to withdraw your consent at any time, without affecting what was done before. Write to [privacy email]; we answer within one month, which may be extended by two further months when requests are many or complex, and we will tell you if so. You may also complain to the data protection authority where you live or work or where an infringement took place, and in the United Kingdom to the Information Commissioner's Office (ICO).

Where your data is kept, and transfers: account data is kept with Supabase, and the Jalees servers run on Google Cloud, both in Frankfurt, Germany. But the Jalees team reaches it from Saudi Arabia, email passes through Resend in the United States, and Google's operating logs may be kept in other regions. When your data goes to a country that has not been found to give it adequate protection, we rely on the safeguards the law allows, such as the standard contractual clauses adopted by the European Commission and the United Kingdom's addendum to them, or the EU-US Data Privacy Framework where the recipient takes part in it [the legal reviewer sets the mechanism for each transfer]. You may ask for a copy of these safeguards at [privacy email].

Children and the parents' role: Jalees is made for reading with children, and the account belongs to a parent or guardian. Every child in Jalees (3 to 12 years) is below the age under which these countries require the consent of the holder of parental responsibility (between 13 and 16, depending on the country), so the account keeps no child's data before a parent's consent (see "The guardian's consent"), and the parent exercises the child's rights on the child's behalf. We design the app in the child's best interests: no ads, no tracking, no marketing profiles, no sharing between families, and no automated decisions about you or your children.

In the United States

Jalees is directed to children, so in the United States it is subject to the Children's Online Privacy Protection Act (COPPA) and the Federal Trade Commission's COPPA Rule. This section, with the rest of this policy, is our notice to parents under them. The operator: [legal name of the operating entity], [address], [telephone number], [privacy email].

What we collect about children: Jalees asks a child for no information, and a child cannot create an account, write to us or anyone, or post anything. What concerns a child is entered by a parent: a first name or nickname, the age, and an avatar from the app's drawings; the app keeps the child's reading and answers. With a family account we keep them after a parent's consent, as set out in "What we keep with a family account". From every device, including devices children use, the app sends the usage statistics under a random install identifier, which we use only to run and improve the app [the legal reviewer confirms that this is the "support for the internal operations" the Rule allows without prior consent].

Parental consent: a parent creates the family account, past the parent gate and the sign-in, and then agrees explicitly before we keep any child's data in the account; our servers accept no child before that. [The legal reviewer decides whether this consent is enough under the Rule, or whether another method is needed to verify that the person agreeing is a parent].

We show no ads, use neither children's nor parents' data for behavioural advertising or to build profiles of them, and the app contains no other company's analytics, advertising or tracking tool. We disclose children's data to no one except the service providers who process it on our behalf and on our instructions, or where the law requires it (see "Who we share data with"), and no part of the app requires more information about a child than it needs.

Parents' rights: a parent can at any time review what we keep about their child (in the "Reading summary" and in the copy of the family's data), delete the child with their data or the whole account, and stop any further collection or use of their child's information by withdrawing consent and turning off usage statistics. A parent can also ask for any of this by writing to [privacy email]; we check that the request comes from a parent before acting on it.

We keep a child's data only for as long as it is needed for the purpose it was collected for, then delete it, within the periods in "Where data is kept and when it is deleted".

In California: we do not sell personal information or "share" it as the California Consumer Privacy Act (CCPA) uses that word, that is, for cross-context behavioural advertising. California residents may ask to know, correct or delete what we keep about them by writing to [privacy email], and we will not treat them differently for asking. [The legal reviewer confirms whether this law applies to us, and what other states' laws require].

Deleting the account without the app

If the app is no longer on your devices, you can install it again and delete the account from the parent area, or write to [privacy email] from the account's email address or with the mobile number registered to it. We check that the request comes from the account holder [verification method: to be decided], then delete the data as described in "Where data is kept and when it is deleted".

How we look after data

• Connections to our servers are encrypted (HTTPS), and release builds of the app refuse unencrypted connections.
• The database's row-level access rules are designed to keep each family's data apart from every other family's.
• The parent PIN is kept as a one-way fingerprint, as above; after 5 wrong attempts, the PIN is not accepted for a period that grows with each further attempt.
• The sign-in session on the device is kept in the system's encrypted storage (the Keychain on iOS, the Keystore on Android).
• On Android, what the app keeps is not copied into the device's cloud backups.
• The Jalees team reaches reports only through specific roles (support and administration), and the team's actions are recorded in an internal log.

No system is free of risk. If an incident affects your data, we will notify you and the competent authorities as the law requires.

The Jalees website

The Jalees website asks for no sign-in and collects no personal data. It uses no cookies and no analytics tools, and loads no fonts or files from other sites. The website's hosting provider may keep ordinary operating logs, including IP addresses, for [period to be decided].

Changes to this policy

If we change this policy, we will publish the new version here with its effective date, and tell you in the app before any material change [and ask for your consent where the law requires it].

Contact

[Legal name of the operating entity], [address]. Privacy email: [privacy email]. [Data protection officer, if one must be appointed].

Families in the European Union and the United Kingdom may also write to our representatives named in their section.