سياسة الخصوصية

من يدير نروق؟

يدير نروق Khalid Alwayli بصفته فردًا. للتواصل بشأن الخصوصية أو الدعم أو إساءة الاستخدام: Nrouqsupport@gmail.com.

المعلومات التي نستخدمها ولماذا

نستخدم الاسم الذي تدخله، وعنوان الطلعة وموعدها والأماكن المختارة وأسماء المشاركين وأصواتهم، لتشغيل الدعوات والتصويت والتأكيد. الاسم مطلوب للمشاركة؛ يمكنك استخدام اسم مستعار. إنشاء طلعة يتطلب عنوانًا وموعدًا وأماكن مختارة. لا يلزم إرسال بريدك أو رقم هاتفك لإنشاء طلعة ضيف أو الانضمام إليها. لا تستخدم معلومات حساسة أو معلومات شخص آخر دون إذنه.

الكشتة والتجهيزات والمصاريف

يمكنك تحديد نقطة تجمع يدويًا على الخريطة. يرى حامل رابط الضيف وصف النقطة وإحداثياتها قبل الانضمام؛ لا تستخدم موقع منزل خاص دون إذن. لا نطلب موقع جهازك. يرى المشاركون المنضمون أسماء مسؤولي الأغراض وحالتها وكمياتها والمصاريف والمستفيدين وحصصهم والتحويلات المسجلة. نحتفظ بهذه البيانات ضمن الطلعة حتى حذفها أو انتهائها. إذا حُذف مشارك مرتبط بمصروف أو تحويل، يُمسح سجل المصاريف والتحويلات للجميع لتجنب حساب ديون غير صحيحة؛ تبقى الالتزامات والتحويلات الفعلية خارج نروق. تظهر رسالة توضح إعادة الضبط. تُحفظ طلبات التغيير غير المؤكدة في سلسلة مفاتيح التطبيق أو تخزين جلسة تبويب المتصفح حتى تأكيد النتيجة؛ قد تبقى محليًا بعد حذف السجل من الخادم. تُحفظ بصمات طلبات التغيير المحدودة لمنع التكرار وسجلات حذف مجزأة لمنع إحياء سجلات محذوفة من النسخ الاحتياطية.

أساس المعالجة والحماية

تستند معالجة بيانات الطلعة والمشاركة والحساب والملف وعلاقات المعارف إلى تنفيذ الخدمة التي تطلبها وفق اتفاق استخدامها، ومعالجة بيانات الاتصال اللازمة لحماية الخدمة إلى مصلحة مشروعة لا تتغلب على حقوقك. لا نستخدم هذه الأسس لمعالجة بيانات حساسة. أي استخدام آخر يتطلب موافقة مستقلة لن يبدأ قبل الحصول عليها. نستخدم اتصال HTTPS وصلاحيات جلسة وقيود وصول للخادم؛ لا يمكن ضمان أمان مطلق. عند وقوع حادث متعلق بالبيانات، يتولى المشغّل تقييمه وإشعار الجهة المختصة والأشخاص المتأثرين عندما يلزم نظامًا.

الأطفال

نروق غير موجّه للأطفال ولا يتحقق من العمر. لا تُدخل بيانات طفل يفتقر إلى الأهلية النظامية للموافقة دون دور وليه النظامي. تواصل معنا إذا أُرسلت بيانات طفل دون سند مناسب.

من يستطيع الاطلاع؟

كل من يملك رابط الدعوة يستطيع الاطلاع على تفاصيل الطلعة وأسماء المشاركين والأصوات، وقد يعيد مشاركة الرابط أو يحتفظ بنسخة. روابط الضيف منفصلة عن طلعات الحساب المقيّدة بالأشخاص المختارين. احتفظ بصلاحيات المنظّم لنفسك. يمكن للمنظّم استبدال الدعوة أو إزالة مشارك. لا يمكن لنروق حذف صور الشاشة أو النسخ التي احتفظ بها آخرون.

الحساب الاختياري والمعارف

عند توفر الدخول، يمكنك استخدام Google أو Apple إذا كان المزوّد مفعّلًا. لا يلزم حساب لاستخدام دعوة ضيف. تستخدم Firebase Authentication التابعة لـGoogle معرّف الحساب والبريد وبيانات الاتصال اللازمة للمصادقة، وكذلك الاسم ورابط الصورة إذا أعادهما المزوّد. لا نحصل على كلمة مرور Google أو Apple. تُحفظ جلسة الدخول لدى حزمة Firebase في سلسلة مفاتيح الجهاز. يستخدم خادم نروق إثبات دخول قصير العمر للتحقق من الحساب؛ لا نحفظ رموز المزوّد في قاعدة بيانات الطلعات.

يحفظ نروق اسم الملف الذي تختاره ومرجع الحساب وعلاقات المعارف المقبولة. دعوة المعارف تحتاج موافقة الطرف الآخر وتنتهي إن لم تُستخدم خلال 24 ساعة؛ لا نرفع دفتر جهات اتصالك. طلعة الحساب تصل إلى صندوق دعوات الأشخاص المختارين، ولا ينضم أحد أو يصوّت تلقائيًا. يرى المنظّم أسماء المدعوين وحالة استجابتهم. يرى المشاركون المنضمون أسماء بعضهم وأصواتهم، حتى إن لم يكونوا معارف متصلين ببعضهم. قد يُحفظ الاسم الذي أُرسلت به الدعوة حتى انتهاء الطلعة؛ تعديل اسم الملف لا يغيّر كل الدعوات السابقة. لا تُعد الدعوة إشعارًا فوريًا أو رسالة WhatsApp.

حذف الحساب واسترداد الطلب

حذف الحساب من التطبيق يتطلب تحققًا حديثًا وموافقة صريحة. يزيل ملف نروق وعلاقات المعارف وطلعات الحساب التي تنظمها واسمك وصوتك من طلعات الحساب الأخرى، ثم يطلب حذف هوية Firebase عند الدخول باستخدام Google. عند استخدام Apple، يحتاج حذف هوية الدخول وإلغاء صلاحية التطبيق إلى تأكيد ثانٍ؛ تبقى الهوية إلى أن تكتمل هذه الخطوة. لا يحذف هذا حسابك لدى Google أو Apple، ولا يحذف مشاركات الضيف المنفصلة. قد تكون نتيجة خطوة الحذف غير مؤكدة عند انقطاع الاتصال. نحتفظ بسجل استرداد لهذا الطلب على الجهاز، وقد يلزم التواصل مع الدعم؛ تسجيل دخول جديد ليس دليلًا على اكتمال حذف الحساب السابق. سجلات الاسترداد لا تنتقل إلى جهاز جديد. لا ترسل كلمات مرور أو رموز تحقق إلى الدعم.

يُحفظ ملف الحساب وعلاقات المعارف حتى الحذف، ولا توجد إزالة تلقائية لمجرد عدم النشاط. نحتفظ دون مدة محددة بمعرّفات للحساب وطلب حذفه بصيغة تجزئة (hashed) لمنع إعادة بياناته عند الاستعادة؛ لا تتضمن هذه السجلات اسمك أو بريدك، لكنها قد تظل قابلة للربط بك. تُحفظ إيصالات عمليات الحساب الأخرى بصيغة تجزئة (hashed) 400 يوم على الأقل، وقد تبقى أطول إلى أن تنفّذ صيانة يدوية آمنة. حذف Firebase منفصل عن حذف بيانات نروق: تصف Google إزالة معلومات المصادقة من الأنظمة الحية والنسخ الاحتياطية خلال 180 يومًا بعد طلب حذف المستخدم. راجع خصوصية Firebase.

البيانات على جهازك والاتصال بالخدمة

يحفظ التطبيق التفضيلات والأماكن المختارة والطلعات محليًا، ويحفظ صلاحيات الجلسة في سلسلة مفاتيح الجهاز. يستخدم المتصفح ملف تعريف ارتباط ضروريًا للجلسة لمدة تصل إلى 30 يومًا، وقد تنتهي صلاحية المشاركة قبل ذلك. تستقبل خدمتنا عنوان IP لمعالجة الاتصال وتحديد معدل الطلبات مؤقتًا في الذاكرة؛ سجلات الوصول إلى مسارات نروق معطّلة. تُدوّر رسائل التشغيل الخاصة بنروق تلقائيًا ويُجدول حذفها خلال 30 يومًا. رسائل مدير الخدمات العامة خارج هذا الجدول وقد تبقى مدة أطول وفق الإعدادات الافتراضية للخادم. رسائل التطبيق مصمّمة لاستبعاد الأسماء ومحتوى الطلعات وروابط الدعوة. لا يتضمن نروق إعلانات أو حزم تحليلات خارجية، ولا يطلب جهات اتصالك أو موقع جهازك الدقيق.

الأماكن والصور وGoogle

عند استخدام البحث عن الأماكن أو عرض تفاصيلها وصورها، ترسل خدمتنا إلى Google استعلام البحث ولغته ونطاق الرياض أو معرّف المكان وطلب الصورة. لا نرسل أسماء المشاركين أو الأصوات أو عنوان الطلعة إلى Places API. يرى Google عنوان اتصال خادمنا؛ وعند فتح روابط Google أو روابط أصحاب الصور تتصل بهم مباشرة. تُعرض تفاصيل Google وصوره مؤقتًا؛ لا ننشئ مكتبة صور أو نحفظ محتواها ضمن أرشيف الطلعات. نحفظ معرّف المكان ومرجعًا خاصًا بنروق لاستخدامه لاحقًا. تتضمن هذه السياسة سياسة خصوصية Google فيما يتعلق بمعالجته للبيانات. قد تستخدم المسارات القديمة Apple MapKit وفق خصوصية Apple.

المزوّدون والمعالجة خارج المملكة

تُستضاف خدمة مشاركة نروق لدى Hetzner في ألمانيا، خارج المملكة العربية السعودية، لتخزين بيانات الطلعات والمشاركة والملفات والمعارف وسجلات الحذف والإيصالات بصيغة تجزئة وتشغيلها. يوفّر Hetzner البنية التحتية، ويتحكم المشغّل في قاعدة بيانات نروق وصلاحياتها. راجع معلومات خصوصية Hetzner. توضح Google أن Firebase Authentication تعالج بيانات المصادقة في الولايات المتحدة. تُستخدم Google للأماكن وGmail عند مراسلة الدعم؛ وقد تعالج Google وApple البيانات خارج المملكة وفق سياساتهما. تخضع المعالجة والنقل عبر الحدود للمتطلبات النظامية المنطبقة.

مدة الاحتفاظ والحذف

تنتهي الطلعة بعد 30 يومًا من موعدها، ويُحذف سجلها من قاعدة البيانات النشطة عند فحص الانتهاء، الذي يعمل عند بدء الخدمة وكل ساعة. تُزال البلاغات من القاعدة النشطة بعد 30 يومًا من تقديمها أو عند انتهاء الطلعة، أيهما أسبق. قد يبقى بلاغ عن محتوى قائم بعد مغادرة مقدّمه، مع فصل مرجع المبلّغ. يمكن للمشارك المغادرة وحذف اسمه وصوته، ويمكن للمنظّم حذف الطلعة. إزالة التطبيق أو نسخة محلية لا تحذف مشاركة الخادم. لا يمكننا حذف النسخ المحلية التي يحتفظ بها المشاركون. تُنشأ نسخ استعادة مشفّرة كل ساعة، ويُفحص حذف نسخ الخادم المُدارة التي تجاوز عمرها سبعة أيام كل ساعة. يحتفظ جهاز المشغّل، الذي يحتفظ وحده بمفتاح فك التشفير، بنسخ مشفّرة أيضًا. يعمل فحص انتهاء نسخه قبل كل عملية سحب مجدولة عندما يكون الجهاز مستيقظًا وبجلسة مفتوحة، حتى عند تعذّر الاتصال بالشبكة. قد تبقى النسخ أكثر من سبعة أيام عندما يتعذّر تشغيل هذه المهمة. تُحفظ النسخة التالفة أو غير المتطابقة للمراجعة الآمنة بدلًا من حذفها تلقائيًا، لذا قد تبقى أكثر من سبعة أيام. نحتفظ بسجلات حذف وإلغاء صلاحيات بصيغة تجزئة (hashed) لمنع عودة البيانات المحذوفة أثناء الاستعادة؛ وهي ليست مجهولة الهوية بالضرورة. سجلات إغلاق الحساب الدائمة مستثناة من الإزالة. سجلات الحذف والإلغاء الأخرى لا تُزال تلقائيًا؛ وقد يزيلها المشغّل يدويًا فقط بعد انتهاء نسخ الاستعادة الأقدم أو إبطالها والتحقق من مسار استعادة آمن.

حقوقك وطلباتك

يمكنك طلب معرفة طريقة استخدام بياناتك، والوصول إليها والحصول على نسخة مقروءة، وتصحيحها أو إتلافها، وسحب الموافقة حيث تكون أساس المعالجة، وفق النظام المنطبق. تواصل مع المشغّل عبر البريد أعلاه؛ قد نحتاج إثباتًا متناسبًا لارتباطك بالمشاركة، ولا نطلب كلمة مرور جهازك أو صلاحيات المنظّم بالبريد؛ لا ترسلها إلينا. يمكنك أيضًا تقديم شكوى إلى الجهة المختصة بحماية البيانات الشخصية عبر منصة حوكمة البيانات الوطنية. لا توجد استعادة تلقائية لصلاحية منظّم ضيف مفقودة، ولا يضمن الاسم المستعار إثبات هوية صاحب السجل. يمكن لصاحب الحساب طلب الوصول أو النسخ أو التصحيح من الدعم عبر بريد الدخول، وقد نحتاج تحققًا إضافيًا متناسبًا من الملكية.

البلاغات والمراسلات والتغييرات

يتضمن البلاغ مرجع الطلعة أو المشارك والسبب ووقت الإرسال ومرجع جلسة المبلّغ. لا يظهر البلاغ لبقية المشاركين، ولا يحفظ البلاغ نسخة من اسم المشارك المبلّغ عنه؛ عند حذفه تُحذف البلاغات الموجّهة إليه. إرسال البلاغ لا يزيل المحتوى تلقائيًا ولا يضمن استجابة فورية؛ الخدمة ليست للطوارئ. تستخدم مراسلات الدعم لمعالجة طلبك لدى المشغّل وGoogle Gmail؛ تتضمن إجراءات المشغّل مراجعة مراسلات الدعم وحذفها خلال 90 يومًا من إغلاق الطلب، ما لم يلزم الاحتفاظ بها لالتزام نظامي أو نزاع قائم. هذه مراجعة يدوية لدى المشغّل وليست قاعدة حذف آلية في Gmail. يتولى المشغّل الدعم بنفسه؛ لا تُضمن أوقات الاستجابة. ستُحدّث هذه الصفحة بتاريخ واضح عند اعتماد تغييرات. لا تستند أي معالجة جديدة غير مرتبطة بالخدمة إلى مجرد استمرار الاستخدام.

Privacy Policy

Who operates Nrouq?

Nrouq is operated by Khalid Alwayli as an individual. For privacy, support or abuse concerns: Nrouqsupport@gmail.com.

Information and purpose

We use the name you enter, outing title and date, selected places, participant names and votes to provide invitations, voting and confirmation. A name is required to participate; a nickname is sufficient. Creating an outing requires a title, date and selected places. Guest outings do not require an email address or phone number. Do not enter sensitive information or another person’s information without permission.

Kashta, preparation and expenses

You can manually choose a meeting pin. Holders of a guest invitation can see its label and coordinates before joining; do not disclose a private home without permission. Device location is not requested. Joined participants can see item owners, quantities and readiness, expenses, beneficiaries, shares and recorded repayments. These records belong to the outing and expire or are erased with it. Removing a participant with financial references resets all shared expense and repayment records to avoid incorrect debts; real-world obligations and bank transfers remain unchanged. A reset notice is displayed. Unresolved changes are retained in the app Keychain or browser tab session storage until acknowledged, and local copies may remain after server erasure. Bounded request hashes prevent duplicate changes; hashed deletion records prevent erased entries returning through recovery.

Processing basis and protection

We process outing, participation, account, profile and connection data to perform the service you request under its usage agreement, and necessary connection data to protect the service on a legitimate-interest basis that does not override your rights. These bases do not authorize sensitive-data processing. A different use requiring separate consent will not begin before that consent is obtained. We use HTTPS, session capabilities and server access controls; absolute security cannot be guaranteed. The operator will assess a data incident and notify the authority and affected people where legally required.

Children

Nrouq is not directed at children and does not verify age. Do not enter data about a child who lacks legal capacity to consent without their legal guardian’s role. Contact us if a child’s data was submitted without an appropriate basis.

Who can see an outing?

Anyone holding the invitation link can view its details, participant names and votes, and can forward the link or keep copies. Guest links are separate from account outings restricted to selected people. Keep organizer access private. Organizers can replace an invitation or remove a participant. Nrouq cannot remove other people’s screenshots or retained copies.

Optional accounts and saved people

When sign-in is available, you can use Google or Apple if that provider is enabled. A guest invitation does not require an account. Google Firebase Authentication processes the account identifier, email, provider name/photo URL when returned, and connection data needed for authentication. We do not receive your Google or Apple password. Firebase stores its sign-in session in the device Keychain. Nrouq’s server uses short-lived sign-in proof to verify your account; provider tokens are not stored in the outing database.

Nrouq keeps your chosen profile name, account reference and mutually accepted connections. A connection invitation requires the other person’s approval and expires unused after 24 hours; we do not upload your contacts. An account outing appears in the selected recipients’ invitation inbox. Nobody joins or votes automatically. The organizer sees invitees’ names and response status. Joined participants see each other’s names and votes, even when they are not connected to each other. The name used when an invitation was sent may remain until the outing expires; editing a profile does not update every earlier invitation. Delivery does not mean a push notification or WhatsApp message.

Account deletion and request recovery

In-app account deletion requires recent identity verification and explicit confirmation. It removes your Nrouq profile, connections, account outings you organize, and your name/vote in other account outings, then requests deletion of the Firebase identity for Google sign-in. For Apple, deleting the sign-in identity and revoking this app’s authorization require a second confirmation; the identity remains until that step completes. This does not delete your external Google or Apple account or separate guest participation. A connection failure can leave a deletion step unconfirmed. A device recovery record is retained, and support may be needed; a new sign-in is not proof that the earlier identity was deleted. Recovery records do not migrate to a new device. Never send passwords or verification codes to support.

Profiles and connections remain until deletion; inactivity alone does not automatically delete them. Hashed account/deletion-request identifiers are retained indefinitely to prevent restored data reappearing. They contain no name or email but may still be linkable to you. Other hashed account-operation receipts are retained for at least 400 days and may remain longer until safe manual maintenance. Firebase deletion is separate from Nrouq data deletion: Google describes removing authentication information from live and backup systems within 180 days after user deletion is requested. See Firebase privacy information.

Device storage and connections

The app keeps preferences, selected places and outing archives on your device, with session capabilities in the device Keychain. The browser uses an essential session cookie lasting up to 30 days; participation may expire sooner. Our service receives your IP address for connections and temporary in-memory rate limiting. Access logs for Nrouq routes are disabled. Dedicated Nrouq operational logs rotate automatically and are scheduled to expire within 30 days. General service-manager messages are outside this schedule and may be kept longer under the host’s default settings. App operational messages are designed to exclude names, outing content and invitation URLs. Nrouq has no advertising or third-party analytics SDKs and does not request contacts or precise device location.

Places, photos and Google

When you search or view venue details/photos, our server sends Google the search query, language and Riyadh bounds, or the place identifier and photo request. We do not send participant names, votes or outing titles to Places API. Google sees our server’s connection address; opening Google or photo-author links connects you to those services directly. Google details and photos are displayed transiently, without building a photo library or storing that content in outing archives. We retain place identifiers and Nrouq’s own lookup references. This policy incorporates the Google Privacy Policy for Google’s processing. Existing legacy paths may use Apple MapKit under Apple’s privacy policy.

Providers and processing outside Saudi Arabia

Nrouq’s sharing service is hosted with Hetzner in Germany, outside Saudi Arabia, to store and operate outings, participation, profiles, connections and hashed deletion/receipt records. Hetzner provides infrastructure; the operator controls Nrouq’s database and access. See Hetzner’s privacy information. Google states that Firebase Authentication processes authentication data in the United States. Google provides Places and Gmail when you email support; Google and Apple may process information outside Saudi Arabia under their policies. Processing and international transfers remain subject to applicable requirements.

Retention and deletion

An outing expires 30 days after its scheduled date and is removed from the active database by expiry checks at service startup and hourly. Reports are removed from the active database 30 days after submission or on outing expiry, whichever comes first. A report about remaining content may outlive its reporter’s participation, with the reporter reference detached. Guests can leave and erase their name/vote; organizers can delete the whole outing. Removing the app or a local copy does not erase server participation. We cannot remove participants’ retained local copies. Encrypted recovery snapshots are created hourly. Managed server copies older than seven days are checked for deletion hourly. The operator’s computer, which alone holds the decryption key, also holds encrypted copies. Its expiry check runs before each scheduled pull while the computer is logged in and awake, including when the network connection fails. Copies may remain longer than seven days while this job cannot run. A damaged or mismatched copy is kept for safe review instead of being deleted automatically, so it may outlast the seven-day rule. We retain hashed deletion/revocation records to prevent erased data returning after recovery; they are not necessarily anonymous. Permanent account-closure barriers are excluded from retirement. Other deletion/revocation records are not retired automatically. The operator may retire those other records manually only after older recovery copies have expired or been invalidated and a safe recovery path has been verified.

Your requests and rights

Subject to applicable law, you can request information about processing, access and a readable copy, correction or destruction, and withdrawal of consent where processing relies on it. Contact the operator above. We may need proportionate proof that a participation belongs to you; we do not ask for your device password or organizer capabilities by email, and you must not send them. You may also complain to the competent personal-data authority through SDAIA’s National Data Governance Platform. Lost guest-organizer access has no automatic recovery, and a nickname alone does not establish ownership. Account holders can request access, copies or correction through support using their sign-in email; proportionate additional ownership verification may be needed.

Reports, email and changes

Reports contain an outing/member reference, reason, submission time and reporter-session reference. Other participants cannot see a report. Reports do not keep a snapshot of a reported member’s name; removing that member erases reports targeting them. Reporting does not automatically remove content or guarantee an immediate response; Nrouq is not an emergency service. Support email is processed by the operator and Google Gmail to address your request; the operator’s procedure is to review and delete support correspondence within 90 days after closing the request, unless a legal obligation or ongoing dispute requires retention. This is a manual operator procedure, not an automatic Gmail deletion rule. Support is handled personally by the operator; response times are not guaranteed. This page will show a clear date when changes are adopted. Continued use alone is not consent to new unrelated processing.