«دوام | Dawam» خدمة تجهّز وتشغّل موظف استقبال آليًا على WhatsApp للعيادات ومكاتب العقار والمتاجر الإلكترونية. يرد المساعد على عملاء كل نشاط عن خدمات ذلك النشاط ومعلوماته فقط، ويحجز المواعيد، ويحوّل المحادثة إلى موظفي النشاط عند الحاجة.
المسؤول عن بياناتك (جهة التحكم): ابراهيم سليمان فالح البعيجي، فرد يعمل بموجب وثيقة العمل الحر الحكومية في المملكة العربية السعودية، ويمارس نشاطه باسم «دوام | Dawam». «دوام» اسم تجاري لهذا النشاط الفردي، وليس شركة مستقلة.
المدينة: حفر الباطن، المنطقة الشرقية، المملكة العربية السعودية.
البريد الإلكتروني:info@dawamhq.com، ويستقبل أيضًا طلبات الخصوصية والحذف.
جهة تحكم: لبيانات زوار موقعنا، ومن يتواصل معنا أو يجرّب الخدمة، والأنشطة التجارية التي نتواصل معها لعرض خدماتنا، وعملائنا من الأنشطة التجارية وممثليهم. في هذه الحالات نحدد نحن الغرض من المعالجة وطريقتها.
جهة معالجة (مقدم خدمة): لمحادثات عملاء كل نشاط يستخدم دوام، مثل مراجعي العيادة أو عملاء المتجر أو المهتمين بعقار. هنا النشاط التجاري هو جهة التحكم: هو الذي يقرر لماذا تُجمع البيانات وكم تُحفظ. نحن نعالجها نيابة عنه وبتعليماته فقط، ولا نستخدمها لأي غرض خاص بنا.
إذا راسلت نشاطًا تجاريًا يستخدم دوام: إشعار الخصوصية الخاص بذلك النشاط هو مرجعك الأول، ويرسل المساعد رابطه في أول رد متى وفّره النشاط. لأي طلب يخص بياناتك (الاطلاع أو التصحيح أو الحذف) تواصل مع النشاط مباشرة، أو راسلنا وسنحيل طلبك إليه ونساعده في تنفيذه. التفاصيل في قسم «كيف تمارس حقوقك» وفي صفحة حذف البيانات.
بيانات تقنية تعالجها Cloudflare لعرض الموقع وحمايته: عنوان IP، ونوع المتصفح والجهاز، ووقت الطلب والصفحة المطلوبة. لا نشغّل أدوات تحليلات أو إعلانات أو تتبع.
يحمّل الموقع خطوطه من Google Fonts، فيصل عنوان IP لمتصفحك إلى Google عند تحميلها.
تفضيل اللغة والمظهر (فاتح أو داكن) يُحفظ في متصفحك فقط ولا يصلنا.
نموذج «اطلب عرضك التوضيحي المجاني» لا يرسل بياناتك إلى أي خادم. يجهّز على جهازك رسالة WhatsApp فيها اسمك واسم نشاطك ونوعه ودولتك ورقمك ولغة البوت، ولا تصلنا إلا إذا أرسلتها أنت.
(ب) التجربة الحية على الموقع (تظهر بعلامة «ذكاء اصطناعي حقيقي»)
ما تكتبه في نافذة التجربة، ومعرّف جلسة عشوائي تنشئه الصفحة. لا نطلب رقمك أبدًا، ولا نطلب اسمًا إلا إذا جرّبت حجزًا تجريبيًا، ويمكنك استخدام أي اسم. ونرجو ألا تكتب بيانات شخصية أو صحية.
عنوان IP: نستخدمه في ذاكرة الخادم فقط لحدود الاستخدام ومنع الإساءة، ولا نحفظه في قاعدة البيانات ولا في السجلات.
نتيجة فحص Cloudflare Turnstile، إن كان مفعّلًا، للتأكد أن المستخدم إنسان.
إذا لم تظهر علامة «ذكاء اصطناعي حقيقي»، فالتجربة تعمل بردود مكتوبة مسبقًا داخل متصفحك ولا يُرسل منها شيء.
(ج) من يتواصل معنا أو يجرّب الأنشطة التجريبية على WhatsApp
اسمك الظاهر في WhatsApp ورقمك، ونص رسائلك، وما تذكره عن نشاطك (الاسم والنوع والمدينة أو الدولة والبريد).
إذا جرّبت الأنشطة التجريبية عبر رقم دوام: رسائلك وردود المساعد، والنشاط التجريبي الذي اخترته، ولغتك.
الرسائل التي ترسلها إلى بريدنا.
(د) الأنشطة التجارية التي نعرض عليها خدماتنا
بيانات تواصل منشورة للنشاط: اسمه ونوعه، والمدينة والحي والعنوان، ورقم الهاتف المنشور، والموقع الإلكتروني، والحسابات العامة على شبكات التواصل، والبريد المنشور، وأوقات العمل.
مصادرها: خرائط مفتوحة مثل OpenStreetMap وOverture Maps، والموقع الإلكتروني للنشاط نفسه، وبحثنا اليدوي في المصادر العامة.
ملاحظاتنا عن التواصل: متى راسلنا النشاط وما الرد، واسم صاحب النشاط إذا ذكره لنا، وحالة المتابعة.
قائمة «عدم التواصل»: الرقم أو البريد أو الموقع أو الحساب لمن طلب ألا نراسله.
(هـ) عملاؤنا من الأنشطة التجارية
بيانات الممثلين: الاسم والصفة ورقم WhatsApp والبريد.
معلومات النشاط التي يجيب منها المساعد: الخدمات والأسعار والأوقات والفروع والسياسات والأسئلة الشائعة.
بيانات الربط مع Meta (انظر قسم «البيانات التي نتلقاها من Meta»)، وبيانات ربط يختارها العميل: مجموعة Telegram لفريقه، وجدول Google Sheets الخاص به، وبيانات الوصول إلى متجره.
الفواتير والمدفوعات: المبلغ والتاريخ وطريقة الدفع. لا نستلم أرقام البطاقات ولا نحفظها.
مراسلات الدعم.
(و) عملاء الأنشطة الذين يراسلونها على WhatsApp (نحن جهة معالجة)
رقم WhatsApp أو معرّف مستخدم WhatsApp، والاسم الظاهر في الملف الشخصي، ولغة التواصل، وأوقات التواصل.
محتوى الرسائل: النص، والاختيار من الأزرار والقوائم، والموقع إذا أرسلته، والتعليق المرفق مع الوسائط. لا ننزّل الصور أو الرسائل الصوتية أو الملفات ولا نحفظها؛ نحفظ نوع الرسالة والتعليق فقط.
تفاصيل الحجز: الاسم الذي تعطيه، والخدمة، والفرع، والموعد، وملاحظة إدارية قصيرة، ورقم العقار في حجز المعاينة.
للعقار: الاهتمام والميزانية والتوقيت.
للمتاجر: رقم الطلب الذي تكتبه للاستعلام عن حالته. وإذا كان المتجر يستخدم تذكير السلات المتروكة: رقمك واسمك الأول ورابط السلة وإجماليها وعملتها، وهل وافقت على رسائل العروض كما يبلّغنا المتجر. لا نرسل تذكير السلة إلا لمن يبلّغنا المتجر بموافقته على رسائل العروض، ولا نرسله أبدًا لمن أوقف الرسائل.
علامة إيقاف الرسائل، ووقت إرسال إشعار الخصوصية والتذكيرات.
عند التحويل لموظف: سبب التحويل، وملخص يكتبه المساعد، ورسائلك أثناء التحويل، وردود الموظفين.
بيانات صحية محتملة: في العيادات قد تكون بيانات الحجز نفسها، أو ما يكتبه المراجع طوعًا عن حالته، بيانات صحية حساسة. انظر قسم «البيانات الحساسة والعيادات».
المصلحة المشروعة في تشغيل الموقع وأمن المعلومات، دون معالجة بيانات حساسة
تشغيل التجربة الحية ومنع إساءة استخدامها
(ب) نص التجربة الحية ومعرّف الجلسة
موافقتك باستخدام التجربة، والمصلحة المشروعة في أمن الخدمة
الرد على استفساراتك وإرسال العرض التوضيحي والأسعار التي تطلبها
(ج) بيانات من يتواصل معنا أو يجرّب الأنشطة التجريبية
موافقتك وطلبك عند تواصلك معنا
إعداد قائمة بالأنشطة التجارية التي قد تفيدها خدمتنا
(د) بيانات الأنشطة التي نعرض عليها خدماتنا
المصلحة المشروعة في التعرف على الأنشطة المناسبة لخدمتنا، مقصورة على بيانات التواصل التي ينشرها النشاط نفسه لأعماله، ودون أي بيانات حساسة
رسائل دوام الترويجية، ومنها التعريف بخدماتنا لنشاط تجاري
بيانات التواصل من (ج) و(د)
موافقتك المسبقة متى كانت الرسالة إلى وسيلة تواصل شخصية، مثل رقم جوال شخصي أو بريد إلكتروني شخصي أو شخص محدد باسمه، فلا نرسل إليها أي رسالة ترويجية دون هذه الموافقة. أما وسائل التواصل التجارية التي ينشرها النشاط لعملائه، مثل هاتفه الثابت أو بريده العام أو رقم WhatsApp الذي ينشره للتواصل مع النشاط، فنراسلها استنادًا إلى مصلحتنا المشروعة في التعريف بخدمة تخص نشاطه. وفي كل رسالة طريقة للإيقاف، ونتوقف فور طلبك
تقديم الخدمة لعملائنا وإدارة حساباتهم ودعمهم
(هـ) بيانات عملائنا من الأنشطة التجارية
تنفيذ الاتفاق المبرم مع العميل
الفوترة وحفظ السجلات المالية
الفواتير والمدفوعات من (هـ)
تنفيذ الاتفاق، والالتزام بالأنظمة المعمول بها
الرد على عملاء الأنشطة وحجز مواعيدهم وتذكيرهم وتحويلهم لموظف
(و) بيانات عملاء الأنشطة على WhatsApp
نعالجها بتعليمات النشاط (جهة التحكم)، وهو المسؤول عن تحديد المسوغ النظامي وإبلاغ عملائه به
حماية الخدمة ومعالجة الأعطال ومنع الإساءة
سجلات تشغيل بلا نص رسائل
المصلحة المشروعة في أمن الشبكات والمعلومات
الاستجابة لطلبات الجهات المختصة
بحسب الطلب
الوفاء بالتزام نظامي
البيانات الإلزامية والاختيارية:
التجربة الحية على الموقع: لا يلزم تقديم أي بيانات شخصية.
التواصل معنا: يلزم رقم WhatsApp أو بريد إلكتروني نرد عليك من خلاله، وما عدا ذلك من معلومات عن نشاطك اختياري.
عملاؤنا من الأنشطة: يلزم اسم الممثل ووسيلة تواصل معه، ومعلومات النشاط، وربط حساب WhatsApp Business، لأن الخدمة لا تعمل دونها. أما ربط Telegram وGoogle Sheets والمتجر فاختياري بحسب المزايا التي يختارها العميل.
عملاء الأنشطة: يلزم للحجز الاسم والخدمة والموعد، ورقم للتواصل إذا لم يكن رقم WhatsApp معروفًا، ويلزم رقم الطلب للاستعلام عن حالته، ويلزم ما تطلبه في العقار لتسجيل اهتمامك. أما الميزانية والتوقيت والملاحظات فاختيارية.
إذا لم تقدم البيانات الإلزامية لغرض ما، فقد لا نستطيع الرد عليك أو تقديم الخدمة لهذا الغرض. لا نستخدم بياناتك لغرض يختلف عن الغرض الذي جُمعت من أجله. وإذا احتجنا غرضًا جديدًا نبلغك قبله، ونطلب موافقتك متى لزمت.
يكتب المساعد ردوده باستخدام نماذج Claude من شركة Anthropic، وهي مقدم خدمة لنا. تخزّن Anthropic بيانات الخدمة في الولايات المتحدة، وقد تجري المعالجة التي تولّد الرد في دول أخرى تعمل فيها Anthropic.
ما يُرسل لتوليد الرد: نص المحادثة وتاريخها، والاسم الظاهر في WhatsApp، وتفاصيل الحجز أو الطلب المذكورة في المحادثة، ومعلومات النشاط. لا نضيف رقم WhatsApp للعميل إلى السياق، ولا بيانات التواصل المسجّلة في طلبات المتجر. أما الرقم أو البريد الذي يكتبه العميل في المحادثة، مثل رقم للحجز أو بريد للاستعلام عن طلب، فهو جزء من نص المحادثة ويُرسل معه.
لا تدريب: لا نستخدم محادثاتك ولا بيانات عملائنا لتدريب أي نموذج ذكاء اصطناعي أو تحسينه. وبموجب الشروط التجارية لـ Anthropic لا يحق لها تدريب نماذجها على المحتوى الذي نرسله، وهي تحذف مدخلات الخدمة ومخرجاتها عادة خلال 30 يومًا وفق سياستها المنشورة، إلا ما يلزم الاحتفاظ به نظامًا أو لإنفاذ سياسات الاستخدام.
لا بيع ولا إعلانات: لا نبيع البيانات، ولا نستخدمها للإعلانات أو لبناء ملفات تسويقية عن الأشخاص.
مساعد خاص بكل نشاط: يجيب عن خدمات النشاط ومعلوماته التي اعتمدها فقط، ويعتذر عن الأسئلة الخارجة عنها. وهو ليس مساعدًا عامًا للأسئلة المفتوحة.
لا قرارات آلية مؤثرة: لا نتخذ بشأنك قرارًا له أثر نظامي أو أثر مماثل بناءً على المعالجة الآلية وحدها. يقتصر المساعد على الإجابة، وعرض المواعيد المتاحة والحجز وفق قواعد النشاط، والتحويل إلى موظف. ولا يُستخدم لتقييم أهلية أحد للسكن أو التمويل أو التوظيف أو التأمين.
موظف بشري متاح: يمكنك طلب موظف في أي وقت، ويوضح المساعد أنه مساعد آلي إذا سألته. قد تكون الردود الآلية غير دقيقة أحيانًا، فتأكد من النشاط مباشرة في الأمور المهمة.
قد تُعد بيانات الحجز في عيادة، مثل نوع الخدمة المرتبط باسم شخص، بيانات صحية، وهي من البيانات الحساسة في نظام حماية البيانات الشخصية. لذلك:
نعالجها بصفتنا جهة معالجة، وبتعليمات العيادة فقط، وللأغراض التي حددتها: الرد والحجز والتذكير والتحويل لموظف.
نقلل البيانات: يطلب المساعد من المراجع عدم إرسال تفاصيل طبية أو صور في المحادثة، ويكتفي بالاسم والخدمة والموعد. ولا يشخّص ولا يقترح علاجًا، ويوجّه الحالات الطارئة إلى الطوارئ.
لا نطلب رقم الهوية أو الإقامة أو بطاقة التأمين أو صورها، ولا أرقام البطاقات البنكية.
إذا كتب المراجع معلومات صحية من تلقاء نفسه، تصبح جزءًا من المحادثة: تُرسل إلى مزود الذكاء الاصطناعي لتوليد الرد. وإذا حُوّلت المحادثة إلى موظف يُرسل ملخص إلى قناة الموظفين التي اختارتها العيادة (مجموعة Telegram)، وقد يذكرها الملخص الذي يكتبه المساعد. أما رسائل المراجع نفسها أثناء التحويل فلا تُرسل إلى تلك القناة افتراضيًا: يظهر فيها تنبيه بوصول رسالة جديدة فقط، ويبقى نصها في أنظمتنا، ما لم تختر العيادة استلام الرسائل كما كتبها المراجع. وتُحذف من أنظمتنا مع المحادثة عند انتهاء مدة الحفظ، ولا تُستخدم لغير الرد على المراجع وخدمته.
لا نستخدم البيانات الصحية للتسويق إطلاقًا، ولا لأي غرض خاص بنا، ولا نعالجها استنادًا إلى المصلحة المشروعة.
العيادة بصفتها جهة التحكم مسؤولة عن المسوغ النظامي لهذه البيانات، ومنه الحصول على الموافقة الصريحة متى اشترطها النظام، وعن إبلاغ مراجعيها بإشعار الخصوصية الخاص بها.
لكل رسالة: رقم المرسل أو معرّف مستخدم WhatsApp، والاسم الظاهر في ملفه، ومحتوى الرسالة، ومعرّفها ووقتها، وحالات التسليم والقراءة.
إذا اختار النشاط الاستمرار في استخدام تطبيق WhatsApp Business على نفس الرقم (ميزة Coexistence من Meta): قد تشارك Meta جهات الاتصال، ونسخًا من الرسائل التي يرسلها الموظفون من التطبيق، وسجل المحادثات السابقة حتى 180 يومًا إذا وافق النشاط على مشاركته. لا نحفظ جهات الاتصال ولا سجل المحادثات السابقة الذي تشاركه Meta، ونكتفي بعدّاد يبيّن تقدّم المزامنة. أما ردود الموظفين من التطبيق فنحفظها مؤقتًا ليعرف المساعد ما قيل عند عودته: ما يستخدمه المساعد يصبح جزءًا من المحادثة بمدة حفظها نفسها، وما لا يُستخدم نحذفه بعد 24 ساعة من انتهاء إيقاف المساعد.
لا نصل إلى ملفك الشخصي في Facebook، ولا إلى أصدقائك أو منشوراتك أو حساباتك الإعلانية.
كيف نستخدمها: فقط لتقديم الخدمة للنشاط الذي ربط حسابه وبتعليماته: توجيه الرسائل، وكتابة الردود، والحجز، والتذكير، والتحويل لموظف، والتقارير، وحساب الاستخدام. نفصل بيانات كل نشاط عن غيره، ولا نخلط بيانات الأنشطة، ولا نبيعها، ولا نستخدمها للإعلانات أو لتدريب نماذج الذكاء الاصطناعي. ولا نشاركها إلا مع مقدمي الخدمة المذكورين في هذه السياسة بالقدر اللازم، أو بطلب صريح من النشاط، أو بإلزام نظامي. وإذا وصلنا من Meta ما يخص طلبًا من أحد المستخدمين بشأن بياناته، نبلغ النشاط المعني دون تأخير.
حذف البيانات: يحق لكل شخص طلب حذف بياناته، والخطوات في صفحة حذف البيانات.
لا نبيع البيانات الشخصية ولا نؤجرها، ولا نشاركها لأغراض تسويق جهات أخرى. نشاركها بالقدر اللازم فقط مع:
الجهة
دورها وما تتلقاه
الموقع
متى
Meta Platforms (منصة WhatsApp Business)
مقدم خدمة لإرسال الرسائل واستقبالها. تحتفظ Meta بالرسائل على منصتها مدة أقصاها 30 يومًا وفق وثائقها
مراكز بيانات Meta خارج المملكة
دائمًا لتشغيل الخدمة
Anthropic
مقدم خدمة لتوليد الردود الآلية، ولمساعدتنا أحيانًا في صياغة رسائل تعريفية للأنشطة التجارية
التخزين في الولايات المتحدة، وقد تجري المعالجة في دول أخرى تعمل فيها Anthropic
دائمًا لتشغيل الخدمة
Cloudflare
استضافة الموقع وحمايته، وتمرير الاتصال إلى خادمنا، وفحص Turnstile، وتوجيه بريدنا الإلكتروني
شبكة عالمية
دائمًا
DigitalOcean
مزود استضافة خادم الخدمة وقاعدة بياناته ونسخها الاحتياطية
فرانكفورت، ألمانيا
دائمًا
Google
بريدنا (Gmail) الذي يستقبل الرسائل المرسلة إلى info@dawamhq.com، وخطوط الموقع (Google Fonts)
مراكز بيانات Google حول العالم
دائمًا
Telegram (مجموعة فريق العميل)
إذا ربط العميل مجموعة Telegram لفريقه: ملخصات التحويل لموظف (الاسم الظاهر والرقم والرسائل أثناء التحويل وردود الموظفين؛ وللعيادات افتراضيًا تنبيه بوصول رسالة بدل نص رسائل المراجع)، وتنبيهات الحجوزات والعملاء المحتملين. تمر هذه الرسائل عبر بوت دوام على Telegram، فتعالجها Telegram لنا أيضًا
خارج المملكة
باختيار العميل
Telegram (محادثة دوام الداخلية)
تنبيهات الحجوزات والعملاء المحتملين، وتنبيهات الأعطال (دون اسم العميل أو رقمه)، وملخصات التحويل لموظف مع الرسائل أثناء التحويل (الاسم الظاهر والرقم ونص الرسائل؛ وللعيادات تنبيه بدل نص الرسائل)، للأنشطة التجريبية على رقم دوام، ولعميل لم يربط مجموعة Telegram خاصة به فقط إذا وافق على ذلك
خارج المملكة
للأنشطة التجريبية؛ ولعميل بلا قناة خاصة فقط بموافقته
Google Sheets (جدول العميل)
إذا ربط العميل جدول Google خاصًا به: تنبيهات الحجوزات والعملاء المحتملين (الاسم والرقم وتفاصيل الطلب)
حساب Google الخاص بالعميل
باختيار العميل
Google Sheets (جدول دوام)
تنبيهات الحجوزات والعملاء المحتملين (الاسم والرقم وتفاصيل الطلب) للأنشطة التجريبية على رقم دوام، ولعميل لم يربط جدولًا خاصًا به فقط إذا وافق على ذلك
مراكز بيانات Google خارج المملكة
للأنشطة التجريبية؛ ولعميل بلا قناة خاصة فقط بموافقته
منصة متجر العميل (سلة، زد، Shopify، WooCommerce)
نستعلم منها عن حالة الطلب برقمه، ونستقبل منها السلات المتروكة
بحسب المنصة
للمتاجر فقط وبطلب العميل
مزودو الدفع (STC Pay، PayPal)
معالجة مدفوعات عملائنا لدوام، وكل منهم مسؤول عن بياناته وفق شروطه
بحسب المزود
عند الدفع
الجهات الحكومية المختصة
عند وجود إلزام نظامي فقط (انظر «طلبات الجهات العامة»)
المملكة العربية السعودية
عند الطلب
مقدمو الخدمة الرئيسيون لدينا، وهم Meta وAnthropic وCloudflare وDigitalOcean، يلتزمون بشروط مكتوبة لمعالجة البيانات تقصر استخدامها على تقديم الخدمة وتلزمهم بحمايتها. أما بريدنا (Gmail) وGoogle Fonts وGoogle Sheets وTelegram فتعالج البيانات وفق شروطها وسياساتها العامة، ولا تربطنا بها اتفاقية خاصة لمعالجة البيانات. والنسخ الموجودة في مجموعة Telegram أو جدول Google Sheets أو منصة المتجر الخاصة بالعميل تخضع لتحكمه، ويديرها بنفسه.
معظم مقدمي الخدمة لدينا خارج المملكة: Anthropic تخزّن البيانات في الولايات المتحدة وقد تعالجها في دول أخرى، وخادمنا لدى DigitalOcean في ألمانيا، وMeta وCloudflare وGoogle وTelegram في مراكز بيانات خارج المملكة. لذلك تُنقل البيانات وتُعالج خارج المملكة، ومنها محادثات عملاء الأنشطة، وقد تتضمن بيانات صحية في العيادات.
خيار التخزين المحلي في منصة WhatsApp Cloud API لا يشمل المملكة حاليًا.
يخضع هذا النقل للمادة (29) من نظام حماية البيانات الشخصية ولائحة نقل البيانات الشخصية إلى خارج المملكة (الإصدار 2.0). ونعمل على استكمال الضمانات التي تشترطها اللائحة له، ومنها تقييم مكتوب لمخاطر النقل، وبخاصة النقل المستمر للبيانات الحساسة، ونقصر النقل على الحد الأدنى اللازم لتقديم الخدمة.
نقلل البيانات المنقولة: لا نضيف رقم WhatsApp للعميل إلى السياق الذي نرسله إلى مزود الذكاء الاصطناعي، أما الرقم أو البريد الذي يكتبه العميل في المحادثة (مثلًا للحجز أو للاستعلام عن طلب) فهو جزء من نص المحادثة. ولا ننزّل الصور أو الرسائل الصوتية.
لا يُنقص النقل من حقوقك الواردة في هذه السياسة. ولمزيد من التفاصيل راسلنا على info@dawamhq.com.
نحتفظ بالبيانات أقل مدة يحتاجها الغرض، ثم نحذفها أو نزيل منها كل ما يحدد هويتك:
البيانات
المدة
محادثات عملاء الأنشطة (الرسائل وسجل المحادثة)
تُحذف تلقائيًا بعد 180 يومًا من آخر نشاط في المحادثة، أو بعد المدة التي يحددها النشاط في اتفاقه معنا. المحادثة التي ما زالت لدى موظف لا تُحذف حتى تعود للمساعد
سجل عميل النشاط (الاسم الظاهر والرقم واللغة)
يُحذف بعد 180 يومًا من آخر رسالة (أو مدة النشاط). إذا أوقف العميل الرسائل نُبقي رقمه مع علامة الإيقاف فقط ما دام النشاط يستخدم دوام، حتى لا يُراسَل مجددًا، ثم نحذفه مع بيانات النشاط عند انتهاء اشتراكه
الحجوزات والعملاء المحتملون لدى النشاط
نزيل الاسم والرقم والملاحظات وتفاصيل الاهتمام بعد 180 يومًا (للحجز: من تاريخ الموعد). ويبقى بعدها لأغراض الإحصاء سجل بلا اسم أو رقم، فيه الخدمة والفرع والموعد. ولأن النشاط قد يستطيع ربطه بسجلاته، نعامله كبيانات شخصية بالحماية نفسها، ونحذفه مع بيانات النشاط عند انتهاء اشتراكه
السلات المتروكة
تُحذف بعد 180 يومًا من آخر تحديث
بيانات التحويل لموظف والرسائل المؤقتة المرتبطة به
تُحذف أو تُزال منها الهوية بعد 180 يومًا
أعداد المحادثات للفوترة وأعداد استهلاك الذكاء الاصطناعي
تبقى أعدادًا بلا هوية
معرّفات الرسائل المستخدمة لمنع التكرار
8 أيام
التجربة الحية على الموقع
تُحذف تلقائيًا بعد نحو 24 ساعة. ولا يُحفظ عنوان IP
محادثات الأنشطة التجريبية عبر رقم دوام على WhatsApp
180 يومًا من آخر رسالة
التنبيهات في محادثة دوام على Telegram وجدول دوام على Google Sheets
نحذفها خلال 180 يومًا من إرسالها، أو قبل ذلك مع بيانات صاحبها عند طلب الحذف
رسائل من يتواصل معنا (WhatsApp والبريد)
حتى 12 شهرًا من آخر تواصل، ما لم تصبح عميلًا
بيانات الأنشطة التي نعرض عليها خدماتنا
حتى 12 شهرًا من جمعها أو من آخر تواصل، أيهما أحدث، ما لم تصبح عميلًا. أما قائمة «عدم التواصل» فنحتفظ بها دائمًا لاحترام طلبك
بيانات حسابات عملائنا وممثليهم
مدة الاشتراك و12 شهرًا بعد انتهائه، أو أقل إذا طلب العميل الحذف
بيانات عملاء النشاط عند انتهاء اشتراكه
نسلّم العميل نسخة منها إذا طلبها خلال 14 يومًا من انتهاء الاشتراك، ثم نحذفها خلال 30 يومًا من انتهائه
رمز الوصول ومعرّفات حساب Meta
حتى فصل الربط أو انتهاء الاشتراك، ثم نحذف رمز الوصول خلال 7 أيام، ومعرّفات الحساب خلال 60 يومًا
الفواتير والسجلات المالية
المدة التي توجبها الأنظمة، ثم تُحذف
سجل طلبات الحقوق والحذف
سنتان من إغلاق الطلب، لإثبات تنفيذه
النسخ الاحتياطية
نسخة ليلية تُحفظ على خادمنا وتُحذف بعد 7 أيام. وقد نحتفظ بنسخة منها على جهاز يتحكم فيه المؤسس، وتُحذف خلال 14 يومًا من إنشائها
سجلات التشغيل (بلا نص رسائل)
تُدوَّر تلقائيًا وتُحذف القديمة منها
نسخ Meta وAnthropic
Meta: حتى 30 يومًا. Anthropic: عادة خلال 30 يومًا، وفق سياسة كل منهما
النسخ في مجموعة Telegram أو جدول Google Sheets أو الأنظمة الخاصة بالعميل
يتحكم فيها العميل ويحذفها وفق سياسته
الإتلاف: حين نحذف البيانات من قواعد بياناتنا يُكتب فوقها، ولا تُعلَّم كمحذوفة فقط، فلا تبقى في ملفات قواعد البيانات. وتبقى في النسخ الاحتياطية المأخوذة قبل الحذف حتى تُحذف تلك النسخ (بعد 7 أيام على خادمنا، وخلال 14 يومًا على جهاز المؤسس). بعض عمليات الحذف تلقائية، مثل حذف المحادثات بعد مدة الحفظ، وبيانات الأنشطة التي نعرض عليها خدماتنا بعد 12 شهرًا. وبعضها ينفذه فريقنا بأداة تحذف كل بيانات النشاط دفعة واحدة، مثل حذفها بعد انتهاء اشتراكه، أو بيانات شخص عند طلبه، ونسجلها في سجل حتى تتم خلال المدد المذكورة. وحين نُبقي سجلًا لأغراض الإحصاء نزيل منه الاسم والرقم وكل ما يحدد هويتك مباشرة.
بصفتنا جهة تحكم: نبلغ الهيئة السعودية للبيانات والذكاء الاصطناعي (سدايا) خلال 72 ساعة من علمنا بأي حادثة قد تُلحق ضررًا بالبيانات أو بأصحابها، ونبلغ المتأثرين دون تأخير غير مبرر متى لزم، مع ما يساعدهم على حماية أنفسهم.
بصفتنا جهة معالجة: نبلغ النشاط المعني دون تأخير غير مبرر، وخلال 24 ساعة من تأكدنا من الحادثة، ونزوده بما يحتاجه للوفاء بالتزاماته.
نبلغ Meta بأي حادثة تخص بيانات منصتها وفق شروطها، ونبدأ المعالجة فورًا.
اذكر نوع طلبك، والرقم أو البريد المرتبط ببياناتك، واسم النشاط التجاري إذا كانت بياناتك لدى نشاط يستخدم دوام.
التحقق من الهوية: نتحقق قبل التنفيذ بأقل قدر من البيانات، مثل تأكيد الطلب من رقم WhatsApp نفسه أو من البريد المسجل لدينا. لا نطلب صورة الهوية.
المدة: نؤكد استلام طلبك خلال 3 أيام عمل، وننفذه خلال 30 يومًا. وقد نمددها مرة واحدة 30 يومًا أخرى إذا تطلب التنفيذ جهدًا غير متناسب أو تعددت طلباتك، ونبلغك بالسبب قبل ذلك.
تقديم الطلب مجاني. وقد نرفض الطلب المتكرر أو الذي لا أساس له أو غير المتناسب بوضوح، مع بيان السبب.
إذا كانت بياناتك لدى نشاط يستخدم دوام: نحيل طلبك إلى النشاط خلال 3 أيام عمل لأنه جهة التحكم، ونساعده في تنفيذه. وبموجب شروط الخدمة التي يلتزم بها النشاط، ننفذ طلبات الحذف التي تصلنا منك مباشرة خلال 30 يومًا، ما لم يبلغنا النشاط بسبب نظامي يوجب الاحتفاظ بجزء منها، وعندها نخبرك بذلك.
في محادثة أي نشاط يستخدم دوام: أرسل كلمة «إيقاف» أو STOP في رسالة مستقلة لإيقاف رسائل التذكير والعروض والسلات المتروكة (وتُقبل أيضًا «ايقاف» وUNSUBSCRIBE). وأرسل «تشغيل» أو START لإعادتها. يؤكد المساعد ذلك فورًا، ويستمر في الرد عليك متى راسلته.
خدماتنا موجهة للأنشطة التجارية، ولا تستهدف من هم دون 18 عامًا، ولا نجمع عن قصد بيانات الأطفال لأغراضنا. قد يراسل وليّ أمر عيادةً أو نشاطًا لحجز موعد لطفله، وقد يراسله قاصر. في هذه الحالة يعالج النشاط البيانات بصفته جهة التحكم وعلى مسؤوليته النظامية، ونعالجها نحن بتعليماته وبالقيود نفسها الواردة في هذه السياسة. ويمارس الولي حقوق من لا يملك الأهلية الكاملة نيابة عنه.
إذا كانت لديك شكوى بخصوص بياناتك، راسلنا أولًا على info@dawamhq.com، ونرد عليك خلال 15 يومًا. ويحق لك في كل الأحوال تقديم شكوى إلى الهيئة السعودية للبيانات والذكاء الاصطناعي (سدايا) عبر قنواتها الرسمية على sdaia.gov.sa، خلال المدة التي تحددها اللائحة التنفيذية لنظام حماية البيانات الشخصية (90 يومًا من تاريخ الواقعة أو من تاريخ علمك بها).
The Arabic version above is the authoritative text: العربية
1Who we are and how to contact us
"Dawam | دوام" sets up and runs an automated front-desk assistant on WhatsApp for clinics, real-estate offices and online stores. The assistant answers each business's customers about that business's own services and information only, books appointments, and hands the chat to the business's staff when needed.
Who is responsible for your data (the controller): IBRAHIM SULAIMAN FALEH ALBAIJI (in Arabic: ابراهيم سليمان فالح البعيجي), an individual working under a Saudi government Freelance Document (وثيقة العمل الحر) and trading as "Dawam | دوام". Dawam is the trading name of this individual business, not a separate company.
City: Hafar Al-Batin, Eastern Province, Saudi Arabia.
Email:info@dawamhq.com, which also receives privacy and deletion requests.
We process personal data in two different capacities:
As a controller: for the data of visitors to our website, people who contact us or try the service, businesses we contact to offer our service, and our business clients and their representatives. Here we decide why and how the data is processed.
As a processor (service provider): for the chats of the customers of each business that uses Dawam, such as a clinic's patients, a store's shoppers or people interested in a property. Here the business is the controller: it decides why the data is collected and how long it is kept. We process it on the business's behalf and on its instructions only, and never for our own purposes.
If you message a business that uses Dawam: that business's own privacy notice is your first reference, and the assistant sends its link in the first reply whenever the business has provided one. For any request about your data (access, correction or deletion), contact the business directly, or contact us and we will pass your request to the business and help carry it out. See "How to exercise your rights" and our Data Deletion page.
Technical data that Cloudflare processes to serve and protect the site: IP address, browser and device type, time of the request and the page requested. We run no analytics, advertising or tracking tools.
The site loads its fonts from Google Fonts, so your browser's IP address reaches Google when they load.
Your language and theme (light or dark) preference is saved in your browser only and never reaches us.
The "Get your free demo" form does not send your data to any server. On your device it prepares a WhatsApp message with your name, business name and type, country, number and bot language, and it only reaches us if you send it yourself.
(b) The live demo on the website (marked "Real AI")
What you type in the demo window, and a random session ID created by the page. We never ask for your number, and we ask for a name only if you try a demo booking; you may use any name. Please do not type personal or health details.
IP address: used only in the server's memory for usage limits and abuse prevention. It is not saved in our database or logs.
The result of a Cloudflare Turnstile check, when enabled, to confirm the user is a person.
If the "Real AI" mark is not shown, the demo runs on pre-written replies inside your browser and sends nothing.
(c) People who contact us or try the demo businesses on WhatsApp
Your WhatsApp display name and number, the text of your messages, and what you tell us about your business (name, type, city or country, email).
If you try the demo businesses through Dawam's number: your messages and the assistant's replies, the demo business you chose, and your language.
Messages you send to our email address.
(d) Businesses we contact to offer our service
Published business contact data: business name and type, city, district and address, published phone number, website, public social media accounts, published email and opening hours.
Sources: open maps such as OpenStreetMap and Overture Maps, the business's own website, and our own manual research in public sources.
Our outreach notes: when we contacted the business and its reply, the owner's name if they gave it to us, and the follow-up status.
A "do not contact" list: the number, email, website or account of anyone who asked us not to contact them.
(e) Our business clients
Representatives' details: name, role, WhatsApp number and email.
The business information the assistant answers from: services, prices, hours, branches, policies and FAQs.
Meta connection data (see "Data we receive from Meta"), and connections the client chooses: its team's Telegram group, its own Google Sheet, and access details for its online store.
Invoices and payments: amount, date and payment method. We never receive or store card numbers.
Support messages.
(f) Customers who message a business on WhatsApp (we are the processor)
WhatsApp number or WhatsApp user ID, profile display name, language and contact times.
Message content: text, button and list choices, location if you share it, and captions sent with media. We do not download or keep images, voice notes or files; we keep only the message type and the caption.
Booking details: the name you give, the service, branch, time, a short administrative note, and the property reference for a viewing.
For real estate: your interest, budget and timeline.
For stores: the order number you type to check its status. If the store uses abandoned-cart reminders: your number, first name, cart link, cart total and currency, and whether you agreed to receive offers, as the store reports it. We send a cart reminder only to shoppers the store reports as having agreed to offers, and never to anyone who opted out.
Your opt-out flag, and when the privacy notice and reminders were sent.
On a handover to staff: the reason, a summary written by the assistant, your messages during the handover, and staff replies.
Possible health data: at clinics, the booking itself, or what a patient chooses to write about their condition, may be sensitive health data. See "Sensitive data and clinics".
Directly from you: through WhatsApp, email or the demo window.
Automatically: when you browse the site (through Cloudflare) or use the live demo.
From Meta: when a business connects its WhatsApp Business account to Dawam, and when its customers' messages arrive through the WhatsApp Business Platform.
From our clients: their business information, and data from their online store platform (Salla, Zid, Shopify or WooCommerce) at their request.
From public sources: published business contact data, as in item (d) above.
Legitimate interest in running the site and in information security, with no sensitive data
Run the live demo and prevent abuse
(b) Live demo text and session ID
Your consent by using the demo, and legitimate interest in service security
Answer your questions and send the demo and prices you ask for
(c) Data of people who contact us or try the demo businesses
Your consent and request when you contact us
Build a list of businesses that may benefit from our service
(d) Data about businesses we contact
Legitimate interest in identifying businesses relevant to our service, limited to the contact details a business publishes for its business, and with no sensitive data
Dawam's promotional messages, including introducing our service to a business
Contact details from (c) and (d)
Your prior consent whenever the message goes to a personal means of contact, such as a personal mobile number, a personal email address or a named individual; we send no promotional message there without that consent. Business contact channels that a business publishes for its customers, such as its landline, its general email or the WhatsApp number it publishes for the business, we contact on the basis of our legitimate interest in introducing a service relevant to that business. Every message includes a way to stop, and we stop as soon as you ask
Provide, manage and support our clients' service
(e) Our business clients' data
Performance of our agreement with the client
Invoicing and financial records
Invoices and payments from (e)
Performance of the agreement, and compliance with applicable law
Answer a business's customers, book and remind them, and hand them to staff
(f) Data of a business's customers on WhatsApp
Processed on the instructions of the business (the controller), which is responsible for the legal basis and for informing its customers
Protect the service, fix faults and prevent abuse
Operational logs without message text
Legitimate interest in network and information security
Respond to requests from competent authorities
As requested
Legal obligation
Required and optional data:
Live demo on the website: no personal data is required.
Contacting us: a WhatsApp number or email address we can reply to is required; anything else about your business is optional.
Our business clients: a representative's name and contact details, the business information and the WhatsApp Business account connection are required, because the service cannot run without them. Connecting Telegram, Google Sheets or a store is optional, depending on the features the client chooses.
A business's customers: a booking needs a name, the service and the time, plus a contact number if the WhatsApp number is not known; an order status check needs the order number; a real-estate enquiry needs what you are looking for. Budget, timeline and notes are optional.
If you do not provide the required data for a purpose, we may not be able to reply to you or provide the service for that purpose. We do not use your data for a purpose different from the one it was collected for. If we need a new purpose, we will tell you first and ask for your consent where required.
The assistant writes its replies using Claude models from Anthropic, a service provider of ours. Anthropic stores service data in the United States, and the processing that generates a reply may run in other countries where Anthropic operates.
What is sent to generate a reply: the chat text and history, the WhatsApp display name, booking or order details mentioned in the chat, and the business's information. We do not add the customer's WhatsApp number to the context, nor the contact details stored in store orders. A number or email the customer types in the chat, for example to book or to check an order, is part of the chat text and is sent with it.
No training: we do not use your chats or our clients' data to train or improve any AI model. Under Anthropic's commercial terms, Anthropic may not train its models on the content we send, and under its published policy it normally deletes API inputs and outputs within 30 days, except what must be kept by law or to enforce its usage policies.
No sale, no advertising: we do not sell data, and we do not use it for advertising or to build marketing profiles of people.
An assistant for each business: it answers only about the business's services and the information the business approved, and politely declines unrelated questions. It is not a general-purpose assistant for open-ended questions.
No significant automated decisions: we do not make decisions with legal or similarly significant effects about you based solely on automated processing. The assistant only answers, offers available times and books under the business's rules, and hands over to staff. It is not used to assess anyone's eligibility for housing, finance, employment or insurance.
A person is available: you can ask for a staff member at any time, and the assistant says it is an automated assistant if you ask. Automated replies can sometimes be inaccurate, so check important matters with the business directly.
Booking data at a clinic, such as a type of service linked to a person's name, may be health data, which is sensitive data under the Personal Data Protection Law. Therefore:
We process it as a processor, on the clinic's instructions only, and for the purposes the clinic set: answering, booking, reminders and handing over to staff.
We minimise data: the assistant asks patients not to send medical details or images in the chat and collects only the name, service and time. It does not diagnose or suggest treatment, and it directs emergencies to emergency services.
We do not ask for national ID, residence permit (iqama) or insurance card numbers or photos, or bank card numbers.
If a patient writes health information on their own, it becomes part of the chat: it is sent to our AI provider to generate replies. If the chat is handed to staff, a summary goes to the staff channel the clinic chose (a Telegram group), and the summary the assistant writes may mention it. The patient's own messages during the handover are not sent to that channel by default: it only gets a notice that a new message arrived, and the text stays in our systems, unless the clinic chooses to receive the messages as the patient wrote them. It is deleted from our systems with the chat when the retention period ends, and is used only to reply to and serve the patient.
We never use health data for marketing or for any purpose of our own, and we do not process it on the basis of legitimate interest.
The clinic, as the controller, is responsible for the legal basis for this data, including explicit consent where the law requires it, and for giving its patients its own privacy notice.
We use Meta's official WhatsApp Business Platform (Cloud API) to send and receive messages on each business's own number. Dawam is an independent service and is not affiliated with Meta.
When a business connects its WhatsApp Business account to Dawam through Meta, we receive only what is needed to run the service for that business:
Account identifiers: the Meta business portfolio ID, WhatsApp Business Account ID, phone number ID, display phone number and business display name.
An access token that Meta issues for that business, used only to send and receive its messages and manage its message templates.
Message templates and their approval status, and account and quality notifications.
For each message: the sender's number or WhatsApp user ID, their profile display name, the message content, its ID and time, and delivery and read statuses.
If the business chooses to keep using the WhatsApp Business app on the same number (Meta's Coexistence feature): Meta may share contacts, copies of messages staff send from the app, and up to 180 days of earlier chat history if the business agrees to share it. We do not store the contacts or the earlier chat history Meta shares; we keep only a counter of sync progress. Replies staff send from the app are kept temporarily so the assistant knows what was said when it resumes: what the assistant uses becomes part of the conversation, with the same retention period, and anything unused is deleted 24 hours after the assistant's pause ends.
We do not access your personal Facebook profile, friends, posts or ad accounts.
How we use it: only to provide the service to the business that connected its account, on its instructions: routing messages, writing replies, booking, reminders, handing over to staff, reports and usage counts. We keep each business's data separate, do not combine data across businesses, do not sell it, and do not use it for advertising or to train AI models. We share it only with the service providers listed in this policy as far as needed, at the business's express request, or where the law requires. If Meta sends us anything about a user's request concerning their data, we tell the business concerned without delay.
Data deletion: everyone has the right to ask for their data to be deleted. The steps are on our Data Deletion page.
We do not sell or rent personal data, and we do not share it for other parties' marketing. We share it only as far as needed with:
Recipient
Role and what it receives
Location
When
Meta Platforms (WhatsApp Business Platform)
Service provider for sending and receiving messages. Meta keeps messages on its platform for up to 30 days according to its documentation
Meta data centers outside Saudi Arabia
Always, to run the service
Anthropic
Service provider for generating automated replies, and sometimes to help us draft introduction messages to businesses
Stored in the United States; processing may run in other countries where Anthropic operates
Always, to run the service
Cloudflare
Website hosting and protection, passing traffic to our server, Turnstile checks, and routing our email
Global network
Always
DigitalOcean
Hosting provider for the service's server, database and backups
Frankfurt, Germany
Always
Google
Our mailbox (Gmail), which receives messages sent to info@dawamhq.com, and the website fonts (Google Fonts)
Google data centers worldwide
Always
Telegram (the client's team group)
If the client connects a Telegram group for its team: handover summaries (display name, number, messages during the handover and staff replies; for clinics, by default a notice that a message arrived instead of the patient's messages) and booking and lead alerts. These messages go through Dawam's Telegram bot, so Telegram also processes them for us
Outside Saudi Arabia
Client's choice
Telegram (Dawam's internal chat)
Booking and lead alerts, error alerts (without the customer's name or number), and handover summaries with the messages sent during the handover (display name, number and message text; for clinics, a notice instead of the message text), for the demo businesses on Dawam's number, and for a client that has not connected its own Telegram group only if that client agrees
Outside Saudi Arabia
For the demo businesses; for a client without its own channel, only with its agreement
Google Sheets (the client's sheet)
If the client connects its own Google Sheet: booking and lead alerts (name, number and request details)
The client's own Google account
Client's choice
Google Sheets (Dawam's sheet)
Booking and lead alerts (name, number and request details) for the demo businesses on Dawam's number, and for a client that has not connected its own sheet only if that client agrees
Google data centers outside Saudi Arabia
For the demo businesses; for a client without its own channel, only with its agreement
The client's store platform (Salla, Zid, Shopify, WooCommerce)
We look up an order's status by its number and receive abandoned carts from it
Depends on the platform
Stores only, at the client's request
Payment providers (STC Pay, PayPal)
Processing our clients' payments to Dawam; each is responsible for its own data under its own terms
Depends on the provider
When paying
Competent government authorities
Only where the law requires it (see "Requests from public authorities")
Saudi Arabia
On request
Our main service providers, Meta, Anthropic, Cloudflare and DigitalOcean, are bound by written data-processing terms that limit use of the data to providing the service and require them to protect it. Our mailbox (Gmail), Google Fonts, Google Sheets and Telegram process data under their own general terms and policies; we have no separate data-processing agreement with them. Copies in the client's own Telegram group, Google Sheet or store platform are under the client's control, and the client manages them.
Most of our service providers are outside Saudi Arabia: Anthropic stores data in the United States and may process it in other countries, our server is with DigitalOcean in Germany, and Meta, Cloudflare, Google and Telegram use data centers outside the Kingdom. Data is therefore transferred and processed outside Saudi Arabia, including the chats of a business's customers, which at clinics may include health data.
The local-storage option of the WhatsApp Cloud API does not currently include Saudi Arabia.
These transfers are subject to Article 29 of the Personal Data Protection Law and the Regulation on Personal Data Transfer outside the Kingdom (Version 2.0). We are working to put in place the safeguards the Regulation requires for them, including a written transfer risk assessment, in particular for any continuous transfer of sensitive data, and we limit transfers to the minimum needed to provide the service.
We minimise what is transferred: we do not add a customer's WhatsApp number to the context we send to our AI provider, although a number or email the customer types in the chat (for example to book or to check an order) is part of the chat text. We do not download images or voice notes.
Transfers do not reduce your rights under this policy. For more detail, email info@dawamhq.com.
We keep data for the shortest time the purpose needs, then delete it or remove everything that identifies you:
Data
Period
Chats of a business's customers (messages and chat record)
Deleted automatically 180 days after the last activity in the chat, or after the period the business sets in its agreement with us. A chat that is still with a staff member is not deleted until it returns to the assistant
A business's customer record (display name, number, language)
Deleted 180 days after the last message (or the business's period). If the customer opted out, we keep only the number with the opt-out flag while the business uses Dawam, so they are never messaged again, and delete it with the business's data when its subscription ends
Bookings and leads held for a business
Name, number, notes and interest details are removed after 180 days (for bookings, counted from the appointment date). A record without name or number then remains for statistics, with the service, branch and appointment time. Because the business may be able to link it to its own records, we treat it as personal data with the same protection, and delete it with the business's data when its subscription ends
Abandoned carts
Deleted 180 days after the last update
Handover data and the temporary messages linked to it
Deleted or de-identified after 180 days
Conversation counts for billing and AI usage counts
Kept as anonymous counts
Message IDs used to prevent duplicates
8 days
Live demo on the website
Deleted automatically after about 24 hours. IP addresses are not stored
Chats with the demo businesses on Dawam's WhatsApp number
180 days after the last message
Alerts in Dawam's Telegram chat and Dawam's Google Sheet
Deleted within 180 days of being sent, or earlier with the person's other data when they ask for deletion
Messages from people who contact us (WhatsApp and email)
Up to 12 months after the last contact, unless you become a client
Data about businesses we contact to offer our service
Up to 12 months after it was collected or after the last contact, whichever is later, unless you become a client. The "do not contact" list is kept permanently so we can honour your request
Our clients' account and representative data
The subscription term plus 12 months after it ends, or less if the client asks for deletion
A business's customer data when its subscription ends
We give the client a copy if it asks within 14 days after the end, then delete the data within 30 days after the end
Meta access token and account identifiers
Until the connection is removed or the subscription ends; the access token is then deleted within 7 days, and the account identifiers within 60 days
Invoices and financial records
For the period required by law, then deleted
Log of rights and deletion requests
2 years after the request is closed, to prove it was handled
Backups
A nightly copy kept on our server and deleted after 7 days. We may also keep a copy on a computer controlled by the founder, deleted within 14 days of its creation
Operational logs (no message text)
Rotated automatically; older entries are deleted
Copies held by Meta and Anthropic
Meta: up to 30 days. Anthropic: normally within 30 days, under each provider's own policy
Copies in the client's own Telegram group, Google Sheet or systems
Controlled and deleted by the client under its own policy
Destruction: when we delete data from our databases, it is overwritten, not just marked as deleted, so it does not stay in the database files. It stays in backups taken before the deletion until those backups are deleted (after 7 days on our server, and within 14 days on the founder's computer). Some deletions are automatic, such as deleting chats after the retention period and data about businesses we contact after 12 months. Others are carried out by our team with a tool that deletes all of a business's data at once, such as when its subscription ends, or a person's data when they ask; we record them in a log so they happen within the periods above. Where we keep a record for statistics, we remove the name, number and everything else that directly identifies you.
Encrypted connections (HTTPS/TLS) between browsers or Meta, our servers and our service providers.
Every message from Meta, and every store notification, is checked for a valid signature.
Our server accepts web traffic only through Cloudflare; administrative access is over SSH with keys only (no passwords), behind a firewall.
Access keys and tokens are kept in server settings outside the code and are never written to logs.
Access to data is limited to the founder, to the minimum needed, and each business's data is kept separate.
Operational logs contain no message text, and we keep no access log of IP addresses on our server.
Backups have restricted permissions, and are deleted from the server after 7 days and from the founder's computer within 14 days.
We minimise data: we do not download media and we do not ask for ID or card numbers.
We are guided by the Essential Cybersecurity Controls of Saudi Arabia's National Cybersecurity Authority and by recognised best practice. We do not claim any certification.
No system is perfectly secure. If you find a security vulnerability in our service, please report it to info@dawamhq.com.
As a controller: we notify the Saudi Data & AI Authority (SDAIA) within 72 hours of becoming aware of any incident that may harm the data or the people it concerns, and we notify affected people without undue delay where required, with advice to help them protect themselves.
As a processor: we notify the business concerned without undue delay, and within 24 hours of confirming the incident, and give it what it needs to meet its own obligations.
We report any incident involving Meta platform data to Meta as its terms require, and start fixing it immediately.
Saudi Arabia's Personal Data Protection Law gives you these rights:
To be informed: to know how and why we process your data and the legal basis, as this policy explains.
Access: to see the data we hold about you.
A copy: to get a copy of your data in a clear, readable and commonly used electronic format.
Correction: to have your data corrected, completed or updated.
Destruction: to ask for your data to be deleted when it is no longer needed or at your request, subject to legal obligations.
Withdraw consent: at any time where processing is based on your consent, without affecting what happened before.
Object: to stop marketing messages at any time, and to ask us to stop processing based on our legitimate interest where the law allows.
Complain: to the Saudi Data & AI Authority (SDAIA).
Compensation: to claim compensation before the competent judicial authority for damage caused by a breach of the law.
The right to request deletion is available to everyone who uses our services or whose data reaches us, including the customers of businesses that use Dawam.
Tell us the type of request, the number or email linked to your data, and the business name if your data is held for a business that uses Dawam.
Identity check: before acting, we verify your identity with as little data as possible, for example by confirming the request from the same WhatsApp number or from the email we have on file. We do not ask for a photo of your ID.
Timing: we confirm receipt within 3 business days and complete your request within 30 days. We may extend this once by up to 30 more days if the request needs disproportionate effort or you send several requests, and we will tell you why beforehand.
There is no charge. We may refuse requests that are repetitive, unfounded or clearly disproportionate, and we will give the reason.
If your data is held for a business that uses Dawam: we pass your request to the business within 3 business days, because it is the controller, and help it carry the request out. Under our Terms of Service, which the business accepts, we act on deletion requests you send us directly within 30 days unless the business tells us of a legal reason to keep part of the data, in which case we let you know.
To ask for deletion specifically, follow the steps on our Data Deletion page.
In the chat of any business that uses Dawam: send «إيقاف» or STOP as a message on its own to stop reminders, offers and abandoned-cart messages («ايقاف» and UNSUBSCRIBE also work). Send «تشغيل» or START to turn them back on. The assistant confirms straight away and still replies whenever you message it.
Stopping messages does not delete your data. To delete it, see our Data Deletion page.
If Dawam has contacted you and you do not want to hear from us again, reply «إيقاف» or STOP, or tell us in any words, and we will add you to our "do not contact" list without delay.
Withdrawing consent is as easy as giving it, and we stop the processing based on it without undue delay.
We set no cookies of our own, and we use no analytics, advertising or tracking tools.
We save only your language and theme choice in your browser (local storage); it is never sent to us, and you can clear it in your browser settings.
Cloudflare may use strictly necessary files to protect the site from attacks and bots, and Cloudflare Turnstile runs a check in the live demo when it is enabled.
The site loads its fonts from Google Fonts, so your browser connects to Google's servers.
Our services are aimed at businesses, are not directed to anyone under 18, and we do not knowingly collect children's data for our own purposes. A parent or guardian may message a clinic or other business to book for their child, and a minor may message a business. In that case the business processes the data as the controller and under its own legal responsibility, and we process it on its instructions and under the same limits set out in this policy. A legal guardian exercises the rights of a person who lacks full legal capacity.
If you have a complaint about your data, please contact us first at info@dawamhq.com; we reply within 15 days. You may in any case complain to the Saudi Data & AI Authority (SDAIA) through its official channels at sdaia.gov.sa, within the period set by the Implementing Regulation of the Personal Data Protection Law (90 days from the incident or from when you became aware of it).