سياسة الخصوصية Privacy policy

1. المسؤول عن البيانات

المسؤول عن معالجة البيانات الشخصية في تطبيق «لمّة» هو «لمّة»، الخدمة التي تقف وراء التطبيق، ويمكن التواصل معها عبر lammma.app@gmail.com أو من مركز المساعدة داخل التطبيق. تشرح هذه السياسة ما نجمعه، ولماذا وعلى أي أساس، ومن يراه، وأين تتم معالجته، ومتى نحذفه.

2. البيانات التي نجمعها

• بيانات الحساب: الاسم ورقم الهاتف المحمول والبريد الإلكتروني وصورة الحساب. وحيثما يتيح التطبيق تسجيل الدخول بحساب Google أو Apple ويختاره المستخدم، يصلنا الاسم والبريد الإلكتروني اللذان يشاركهما مزود الخدمة، ونحفظ معرّف الحساب لدى المزود لتسجيل الدخول هذا. وحيثما يُتاح تسجيل الدخول بحساب Apple ويُستخدم، نحتفظ أيضًا على خوادمنا برمز تحديث من Apple، لا يُستخدم إلا لإلغاء وصول «لمّة» لدى Apple عند حذف الحساب. ويبقى رقم الهاتف المحمول مطلوبًا لكل حساب، أيًّا كانت طريقة إنشائه.
• الموقع: تُحفظ على الحساب النقطة الدقيقة التي تحددها خدمة الموقع في الهاتف، أو النقطة المختارة على الخريطة. نستخدمها لعرض المطابخ القريبة منها، وحساب المسافات والتوصيل، وللإخطار بافتتاح مطبخ في منطقة لا يخدمها مطبخ بعد (وتحتفظ قائمة الانتظار بالنقطة نفسها). ولا يرى أي مستخدم آخر هذه النقطة.
• موقع المطبخ: تُحفظ النقطة الدقيقة لكل مطبخ وعنوانه. ولا يرى المستخدمون الآخرون إلا نقطة عامة تبعد نحو 0.6 إلى 1 كم عن المطبخ، لا النقطة الدقيقة، إلا في طلب الاستلام كما يبين البند 4.
• العناوين المحفوظة لأغراض التوصيل.
• الطلبات: محتوياتها وأسعارها وحالتها وطريقة الدفع.
• سجلات التسليم وعدم الحضور: عندما يحدد الشيف أن الطلب سُلِّم أو وصل، نسجّل رد المستخدم («استلمت» أو «ماستلمتش»)، أو أن الطلب اكتمل تلقائيًا لعدم وصول رد في الوقت المحدد. ونسجّل كذلك عندما يحدد الشيف أن المستخدم لم يحضر لاستلام طلب جاهز (عدم الحضور).
• الإنذارات والدفع المسبق: كل عدم حضور يضيف إنذارًا إلى حساب المستخدم. وبعد إنذارين خلال 60 يومًا، لا يمكن الطلب من هذا الحساب بالدفع نقدًا لمدة 30 يومًا بعد الإنذار الثاني، ويكون الدفع بالتحويل بدلًا من ذلك (الدفع المسبق). ونلغي الإنذار إذا ثبت لنا بلاغ المستخدم بأنه حضر.
• مشكلات الطلبات: المشكلة التي يبلغ عنها المستخدم في طلب (السبب، وملاحظة اختيارية، وصورة اختيارية)، ورد المطبخ، وهل حُلّت مع المطبخ أم أُحيلت إلينا.
• الاسترداد: عندما يرد المطبخ مبلغًا عن طلب، نسجّل المبلغ، وصورة التحويل التي يرفقها الشيف، وهل أكد المستخدم وصول المبلغ.
• التزام المطبخ: لكل مطبخ أرقام تُحسب من طلباته في آخر 60 يومًا (عدد ما قبله، وعدد ما ألغاه بعد القبول، والمشكلات المبلَّغ عنها). وهذه الأرقام خاصة: انظر البند 4.
• إيصالات التحويل التي يرفعها المستخدم.
• التحويلات الواردة لشحن الرصيد: الإشعارات التي ترسلها المحافظ وحساب إنستا باي التي تستقبل الشحن (المبلغ والرقم المرجعي والتاريخ والوقت واسم المرسل أو رقمه)، وتُطابق بعمليات الشحن لكشف الإيصالات غير الصحيحة.
• رصيد الشيف: الرصيد وسجله (الشحن والرسوم والتسويات)، وفي كل شحن صورة الإيصال التي يرفعها الشيف وما يُقرأ منها (المبلغ ورقم المرجع والتاريخ والوقت والحالة، وأسماء المرسل والمستلم وعناوين إنستا باي أو أرقام هواتفهما)، ونتيجة كل فحص تلقائي، وبصمة للصورة نكشف بها استخدام الإيصال مرتين، وأي تنبيه أو إجراء بسبب إساءة استخدام الرصيد.
• سجلات الموافقة: كل اختيار بخصوص التحليلات وتقارير الأعطال والتسويق وقراءة الإيصالات بخدمة آلية، مع تاريخه ونسخة النص المعروض واللغة وإصدار التطبيق. تُضاف هذه السجلات ولا تُعدَّل، لنتمكن من إثبات ما تم الاتفاق عليه، وتبقى دون اسم بعد حذف الحساب.
• سجل الدخول: عندما تفتح «لمّة» عنصرًا حساسًا (إيصالًا أو ملف محادثة) نسجّل ما فُتح ومتى، ونحتفظ بالسجل 180 يومًا.
• المحادثات: النصوص والصور والرسائل الصوتية والتفاعلات، والبلاغات التي يرسلها المستخدمون.
• سجلات الفلتر: قبل ظهور أي رسالة أو تعليق على ستوري أو تقييم، يفحصه الفلتر الآلي للكلمات (الشروط والأحكام، البند 11)، فقد يستبدل بعض الكلمات بنجوم، وفي بعض الكلمات يسجّل الحساب والكلمة والعنصر والوقت لنطّلع عليه.
• بيانات الشيف: اسم المطبخ ووصفه وصوره، وبيانات حساب التحويل الذي يحدده.
• لا نطلب من أي مستخدم أو شيف بطاقة شخصية ولا صورة بطاقة ولا صورة شخصية للتحقق ولا أي مستند هوية.
• بيانات الجهاز: رمز الإشعارات، ونوع النظام (أندرويد أو iOS)، ولغة التطبيق. ولا نجمع المعرّف الإعلاني للهاتف (معرّف الإعلانات في أندرويد أو IDFA في آيفون).
• مُحيل التثبيت (أندرويد، حيثما يُتاح): عند تثبيت التطبيق من رابط مطبخ، يقرأ التطبيق مُحيل التثبيت من Google Play مرة واحدة لفتح المطبخ الذي أشار إليه الرابط. ولا يُحفظ إلا معرّف المطبخ، على الهاتف.
• أحداث الاستخدام: الشاشات التي تُفتح (نوع الشاشة، لا ما يظهر فيها) ومدة بقائها مفتوحة، والخطوات الرئيسية في التطبيق (مثل فتح مطبخ أو الإضافة إلى السلة أو إرسال طلب)، وجلسات استخدام التطبيق وأوقات التحميل، مع تفاصيل فنية مثل طراز الهاتف وإصدار النظام وإصدار التطبيق. وترتبط في PostHog بمعرّف الحساب وبمعرّف عشوائي يُنشأ للتطبيق على ذلك الهاتف، أما في قاعدة بياناتنا فلا تُحفظ إلا مجاميع يومية، مع معرّف التثبيت العشوائي لعدّ الأجهزة (انظر البندين 5 و7). ولا تتضمن أبدًا الرسائل أو العناوين أو أرقام الهواتف أو الإيصالات أو أي شيء مكتوب.
• التقييمات: التقييم والتعليق والصورة التي يتركها المستخدم لمطبخ بعد الطلب. ويراها المستخدمون الآخرون مع الاسم الأول لصاحب التقييم. ويمكن للشيف نشر رد واحد على التقييم، يراه المستخدمون الآخرون تحته.
• تقارير الأعطال: التفاصيل الفنية للعطل، والمدة التي يستغرقها تشغيل التطبيق وبعض الشاشات، مرتبطة بمعرّف الحساب. وقبل أن يغادر التقرير الهاتف نزيل منه ما نستطيع التعرف عليه من أسماء وأرقام هواتف وعناوين بريد إلكتروني، ولا يحمل صورة للشاشة.

3. لماذا نستخدم البيانات وعلى أي أساس

• لتقديم الخدمة التي يطلبها المستخدم (الحساب، ومنه تسجيل الدخول بحساب Google أو Apple حيثما يُتاح، والطلبات والمحادثات والتواصل بين المستخدم والشيف وإشعارات الطلبات): تنفيذًا لاتفاقنا مع المستخدم بموجب الشروط والأحكام.
• لإرسال الإشعارات إلى الهاتف: بإذن المستخدم على هاتفه فقط، ويمكن سحب هذا الإذن في أي وقت (البند 6).
• لفحص شحن رصيد الشيف ومنع تكرار استخدام الإيصالات أو تعديلها، ومنه مطابقتها بالتحويلات الواردة: لمصلحتنا المشروعة في سوق عادلة، ولاتفاقنا مع الشيف بموجب الشروط والأحكام (البنود 7 إلى 9).
• لإرسال صورة إيصال الشيف إلى خدمة ذكاء اصطناعي لقراءة النصوص عبر OpenRouter لقراءتها آليًا: بموافقة الشيف التي تُطلب في التطبيق قبل إرسال أول صورة، ومجددًا إذا تغير الغرض. ومن لا يوافق لا تُرسل صورته إلى هذه الخدمة، ويذهب الشحن إلى مراجعة يدوية منا تستغرق وقتًا أطول، ولا يتغير شيء آخر. ويمكن سحب الموافقة في أي وقت من التطبيق، فتذهب الإيصالات اللاحقة إلى المراجعة اليدوية.
• لتشغيل خطوات التسليم والمشكلات والاسترداد في الطلب، وتطبيق قاعدة الدفع المسبق بعد تكرار عدم الحضور، وإظهار شارة «مطبخ ملتزم» وترتيب المطابخ في القوائم بناءً على أرقام الالتزام: تنفيذًا لاتفاقنا مع المستخدمين بموجب الشروط والأحكام، ولمصلحتنا المشروعة في سوق عادلة يُعتمد عليها.
• لحماية المستخدمين ومنع الاحتيال وإساءة الاستخدام (ومنه الفلتر الآلي للكلمات)، والمساعدة في النزاعات، والرد على طلبات الدعم: لمصلحتنا المشروعة في أن تبقى المنصة آمنة الاستخدام، ولالتزاماتنا القانونية.
• لقياس استخدام التطبيق واكتشاف أعطاله وبطء شاشاته وإصلاحها (أحداث الاستخدام وتقارير الأعطال): لمصلحتنا المشروعة في تطبيق يعمل ويتحسن. وكلاهما **مفعّل افتراضيًا**، ويمكن للمستخدم إيقاف أي منهما في أي وقت من الإعدادات ثم الخصوصية (وكذلك من مركز الخصوصية). وإيقاف أي منهما يوقفه على هذا الهاتف من لحظتها: لا يُجمع شيء بعدها، ولا يُرسل ما كان ينتظر على الهاتف. ولإرسال الرسائل التسويقية: بموافقة المستخدم فقط، والتسويق **متوقف حتى يفعّله المستخدم**. نسجّل كل اختيار، والإعداد الافتراضي، مع تاريخه ونسخة النص المعروض وإصدار التطبيق.
• للامتثال لما يفرضه القانون أو تطلبه جهة مختصة.

لا نبيع البيانات الشخصية.

4. من يرى ماذا

• يمكن لأي مستخدم مسجل الدخول رؤية الاسم الأول لمستخدم آخر وصورة حسابه، مثلًا في المحادثة أو في تقييم أو في بطاقته الشخصية.
• حيثما يتيح التطبيق روابط المطابخ، يعرض الرابط المشارَك اسم المطبخ العام وصورته وتقييمه في معاينة الرابط، لكل من يصله الرابط. وهذه معلومات المطبخ العامة فقط.
• يرى المستخدم اسم المطبخ وصوره ووصفه ونقطته العامة.
• منذ قبول الشيف للطلب وحتى 7 أيام بعد انتهائه، يرى كل طرف رقم هاتف الطرف الآخر: في صفحة الطلب ومن خلال زر الاتصال في المحادثة بينهما. ويرى الشيف الاسم الأول للمستخدم.
• في طلب التوصيل يرى الشيف عنوان التوصيل الذي اختاره المستخدم وموقعه على الخريطة، منذ القبول وحتى 24 ساعة بعد انتهاء الطلب.
• في طلب الاستلام يرى المستخدم العنوان الدقيق للمطبخ وتعليمات الاستلام وموقعه على الخريطة، منذ القبول وحتى 7 أيام بعد انتهاء الطلب.
• يمكن للشيف معرفة المستخدمين الذين شاهدوا الستوري الخاصة به (الاسم الأول وصورة الحساب).
• بلاغ المشكلة في الطلب وصورته ورد المطبخ عليه، والاسترداد وصورة تحويله، يراها المستخدم والمطبخ في هذا الطلب، و«لمّة».
• لا يرى إنذارات المستخدم وفترة الدفع المسبق إلا صاحب الحساب و«لمّة». ولا تراها المطابخ.
• لا يرى أرقام التزام المطبخ إلا الشيف صاحبه و«لمّة». ولا يرى المستخدمون الآخرون إلا شارة «مطبخ ملتزم» على المطبخ الذي يستوفي القاعدة، وتساعد الأرقام في تحديد ترتيب ظهور المطابخ.
• في المحادثة يرى كل طرف الرسائل المتبادلة. وحالة التواجد تظهر لمن بينه وبين الطرف الآخر محادثة، ما لم يكن أحدهما حاظرًا للآخر.
• تستخدم «لمّة» لوحة إدارة مقيّدة الدخول ومحمية بكلمة مرور وبوابة دخول. ولأغراض الدعم والسلامة والبلاغات والنزاعات والالتزامات القانونية، يمكنها الاطلاع على الحسابات والطلبات وتفاصيلها والمحادثات والإيصالات (ومنها إيصالات شحن الشيف، لمراجعة الشحن أو الاطلاع على نزاع) وصور المشكلات وصور تحويلات الاسترداد وأرقام الهواتف والعناوين. ويُسجَّل فتح السجل الكامل لأي طلب في اللوحة في سجل تدقيق داخلي.
• الشيف الذي يطّلع على اسم المستخدم أو رقم هاتفه أو عنوانه من أجل طلب لا يستخدمها إلا لهذا الطلب، وهو المسؤول عن طريقة استخدامه لها.
• يعالج مزودو الخدمات المذكورون في البند 5 البيانات بتكليف منا ولغرض تشغيل الخدمة فقط.

5. مزودو الخدمات ونقل البيانات خارج مصر

قد تكون خوادم هؤلاء المزودين خارج مصر، لذلك تُنقل بيانات شخصية إليهم خارج مصر على النحو التالي.

**لازمة لتشغيل الخدمة.** تُستخدم مع كل من يستخدم التطبيق، لأن التطبيق لا يعمل بدونها:

• Supabase: استضافة قاعدة البيانات وتسجيل الدخول وتخزين الملفات ووظائف الخادم، في لندن، المملكة المتحدة (eu-west-2).
• خدمة إرسال البريد الإلكتروني، لرسائل إنشاء الحساب واسترجاع كلمة المرور.
• Google Play على أندرويد: حيثما يُتاح، مُحيل التثبيت الذي يعرّف التطبيق برابط المطبخ الذي أدى إلى التثبيت (البند 2).
• Google Firebase Cloud Messaging وخدمة إشعارات Apple: توصيل الإشعارات إلى هواتف أندرويد وآيفون.
• Vercel Inc.: استضافة الموقع العام (lammma.app). وتحتفظ بسجلات الطلبات المعتادة، مثل عنوان IP للزيارة، لأغراض الأمان، على خوادم قد تكون خارج مصر، وتمرّر إحصاءات زيارات الموقع إلى PostHog (البند 13). ولا يستخدمها التطبيق نفسه.
• Geoapify: صور الخريطة، وتحويل النقطة على الخريطة إلى عنوان، والبحث عن العناوين. وتصلها النقطة أو النص المبحوث عنه، وترى خوادمها منطقة الخريطة المعروضة.

**مفعّلة افتراضيًا، أو فقط إذا وافقت.** يمكن إيقاف الاثنين المذكور أنهما «مفعّل افتراضيًا» في أي وقت، ولا يُرسل شيء إلى البقية حتى يوافق المستخدم أو يفعّلها. وإيقاف أي منها يوقفه من لحظتها:

• OpenRouter وخدمة الذكاء الاصطناعي لقراءة النصوص التي يمرر إليها الصورة: قراءة صور الإيصالات التي يرفعها الشيف لشحن الرصيد. تُرسل الصورة بموافقة الشيف فقط (البند 3) ولهذا الغرض فقط، لاستخراج الحقول المذكورة في البند 2، وOpenRouter مضبوط على ألا يستخدم إلا خدمات لا تحتفظ بالصورة ولا تتدرب عليها، وتحتفظ خوادمنا بالنتيجة والصورة. ومن يرفض نراجع إيصاله بأنفسنا بدلًا من ذلك.
• PostHog (PostHog Cloud US، على خوادم في الولايات المتحدة): أحداث الاستخدام (البند 2)، مرتبطة بمعرّف الحساب ومعرّف تثبيت عشوائي، مع الدور والمنصة وإصدار التطبيق والمنطقة المختارة. مفعّل افتراضيًا، ويوقفه المستخدم من «إحصاءات الاستخدام» في الإعدادات ثم الخصوصية. لا يصله أبدًا اسم أو رقم هاتف أو بريد إلكتروني أو رسالة أو عنوان أو إيصال، ولا يسجّل فيديو للشاشة إلا إذا فعّلنا ذلك، وعندها تُخفى كل النصوص والصور.
• Sentry: تقارير الأعطال وتشخيصها وأوقات التحميل، بعد الإزالة المذكورة في البند 2، مرتبطة بمعرّف الحساب. مفعّل افتراضيًا، ويوقفه المستخدم من «تقارير الأعطال» في الإعدادات ثم الخصوصية.
• Google (تسجيل الدخول بحساب Google) وApple (تسجيل الدخول بحساب Apple)، حيثما يُتاح: فقط عندما يختار المستخدم تسجيل الدخول بأيهما. ويؤكدان تسجيل الدخول على خوادمهما خارج مصر، ويشاركاننا الاسم والبريد الإلكتروني.

يستند كل نقل من هذه إلى موافقة المستخدم وإلى العقد المبرم بيننا وبين كل مقدم خدمة، والقائمة الكاملة لمقدمي الخدمات هي المذكورة أعلاه.

6. الإشعارات

• لا تُرسل الإشعارات إلا بعد أن يسمح بها المستخدم على هاتفه. وتشمل الطلبات ورسائل المحادثة وافتتاح مطبخ في منطقة انضم المستخدم إلى قائمة انتظارها، وكذلك أخبار المطابخ المحفوظة والعروض والنصائح ما دامت مفعّلة في إعدادات الإشعارات في التطبيق.
• يظهر في إشعار المحادثة اسم المرسل وحتى أول 80 حرفًا من الرسالة النصية. ويمر نص الإشعار عبر Google، وعبر Apple في هواتف آيفون، في طريقه إلى الهاتف.
• قد يعرض الهاتف هذا النص على شاشة القفل. ولإخفائه هناك يمكن إيقاف معاينة الإشعارات على شاشة القفل من إعدادات الهاتف. ويمكن إيقاف إشعارات المحادثة من إعدادات الإشعارات في التطبيق، وإيقاف كل الإشعارات من إعدادات الهاتف. أما إشعارات الطلبات فجزء من الخدمة وتبقى مفعّلة ما دام التطبيق مسموحًا له بالإشعارات.

7. مدة الاحتفاظ

• إيصالات التحويل: تسعون يومًا بعد انتهاء الطلب، أو ثلاثمائة وخمسة وستون يومًا إذا كان الطلب محل نزاع، حتى بعد حذف الحساب.
• صور المشكلات وصور تحويلات الاسترداد: تُحفظ في تخزين خاص وتُحذف بعد تسعين يومًا من إغلاق الطلب ومشكلته أو استرداده، أو ثلاثمائة وخمسة وستين يومًا إذا كان الطلب محل نزاع، حتى بعد حذف الحساب.
• إيصالات شحن الرصيد: تُحفظ في تخزين خاص وتُحذف بعد 60 يومًا. أما سجل الرصيد ونتيجة كل شحن، دون الصورة، فيبقيان كسجلات محاسبة ومنع احتيال بلا اسم ولا رقم هاتف ولا عنوان بعد حذف الحساب.
• رسائل المحادثة وصورها ورسائلها الصوتية: تبقى إلى أن يحذف المرسل الرسالة للطرفين (وهو متاح خلال عشر دقائق من إرسالها) أو يحذف حسابه. ولا يمكن حذف المحادثة نفسها، بل إخفاؤها من قائمة صاحبها فقط. وما أرسله الطرف الآخر يبقى في محادثته بعد حذف الحساب.
• الستوري: تنتهي بعد 24 ساعة، وتُحذف ملفاتها بعد ذلك.
• رموز الإشعارات: تُحذف عند تسجيل الخروج، وتُزال الرموز التي لم تُستخدم لمدة طويلة.
• بيانات مزود تسجيل الدخول (حيثما يُتاح تسجيل الدخول بحساب Google أو Apple ويُستخدم): يُحذف معرّف الحساب لدى المزود من سجلاتنا عند حذف الحساب. أما رمز التحديث من Apple فلا يُستخدم إلا لإلغاء وصول «لمّة» لدى Apple، ويُحذف فور تأكيد Apple للإلغاء، وبحد أقصى بعد 30 يومًا من حذف الحساب إذا تعذّر الوصول إلى Apple.
• تقارير الأعطال: 90 يومًا.
• أحداث الاستخدام: في PostHog، 14 شهرًا. وفي قاعدة بياناتنا يُحذف سجل التثبيتات التي استُخدمت في كل يوم بعد 90 يومًا، والمجاميع اليومية، التي لا تسمّي شخصًا ولا جهازًا، بعد سنتين.
• التقييمات: تبقى ما دام الحساب قائمًا. وعند حذفه يتوقف عرض التقييم على المستخدمين الآخرين ويُزال منه الاسم والصورة، ويبقى التقييم والتعليق في سجلات المطبخ بلا اسم.
• ردود الشيف على التقييمات: تبقى مع التقييم. ويمكن للشيف تعديل الرد أو حذفه في أي وقت، ويُخفى الرد كلما أُخفي تقييمه.
• أرقام التزام المطبخ: تُحسب من جديد كل ليلة من طلبات آخر 60 يومًا، ولا نحتفظ بالأرقام الأقدم.
• الإنذارات: يُحتسب الإنذار في قاعدة الدفع المسبق لمدة 60 يومًا، ويبقى سجله مع سجل الطلب.
• البلاغات: تُحفظ لأغراض السلامة والنزاعات. وعند حذف الحساب الذي أرسل البلاغ يُحذف النص الذي كتبه.
• سجلات الفلتر: 180 يومًا.
• التحويلات الواردة للشحن: سنة واحدة.
• سجلات الطلبات والحسابات المالية، ومنها سجلات التسليم وعدم الحضور والمشكلات والاسترداد في كل طلب: تُحفظ بلا اسم ولا رقم هاتف ولا عنوان بعد حذف الحساب، لأغراض المحاسبة والنزاعات.

8. حذف الحساب

يمكن حذف الحساب من التطبيق من صفحة «حسابي»، أو من تبويب «المطبخ» للشيف. عند الحذف نزيل البيانات الشخصية والملفات المرتبطة بالحساب، باستثناء ما يذكر البند 7 أنه يُحفظ: إيصالات التحويل وصور المشكلات وصور تحويلات الاسترداد وإيصالات شحن الرصيد حتى انتهاء مدتها، وسجلات الرصيد والشحن بلا اسم، والبلاغات، وتقييمات المطابخ وتعليقاتها بلا اسم، وسجلات الطلبات والمحاسبة بلا اسم ولا رقم هاتف ولا عنوان، وأحداث الاستخدام وتقارير الأعطال التي أُرسلت بالفعل حتى انتهاء مددها. لا يتم الحذف ما دام هناك طلب مفتوح أو استرداد لم يُسوَّ بعد أو شحن رصيد لا يزال قيد الفحص. وإذا كان الطلب أو الاسترداد في انتظار إجراء منا، نسجّل نتيجته خلال المدة المبينة في سياسة الاسترداد والنزاعات (البند 1)، ويصبح الحذف ممكنًا بعدها.

9. حقوق أصحاب البيانات

وفقًا لقانون حماية البيانات الشخصية المصري رقم 151 لسنة 2020، لصاحب البيانات الحق في:

• العلم بالبيانات الشخصية التي نحتفظ بها عنه، والاطلاع عليها، والحصول على نسخة منها؛
• تصحيحها أو استكمالها؛
• حذفها أو تقييد معالجتها؛
• الاعتراض على معالجتها، وسحب موافقة سبق منحها (يمكن إيقاف أحداث الاستخدام وتقارير الأعطال، وتفعيل التسويق أو إيقافه، من الإعدادات ثم الخصوصية: البند 3)؛
• العلم بأي خرق يمس بياناته؛
• تقديم شكوى إلى مركز حماية البيانات الشخصية.

تُرسل الطلبات عبر lammma.app@gmail.com، أو من مركز المساعدة داخل التطبيق، ونرد عليها خلال المدة التي يحددها القانون.

10. الأمان

ننقل البيانات بقنوات مشفرة، ونقصر الاطلاع عليها على ما يلزم لتشغيل الخدمة، ونحفظ الملفات الحساسة، مثل إيصالات التحويل وصور المشكلات وصور تحويلات الاسترداد والمحادثات، في تخزين خاص لا يُتاح إلا للأطراف المصرّح لها. لا يوجد نظام آمن تمامًا، ونُبلغ المتضررين والجهات المختصة بأي تسرب في المواعيد التي يحددها القانون.

11. الأطفال

التطبيق غير موجه لمن تقل أعمارهم عن ثماني عشرة سنة. إذا علمنا بحساب لمن هو دون هذه السن نحذفه.

12. التعديل على هذه السياسة

يحمل كل نص رقم إصدار يظهر أعلى الصفحة. عند تعديل هذه السياسة تعديلًا جوهريًا، يعرض التطبيق الإصدار الجديد عند فتح أول إصدار من التطبيق يتضمن النص الجديد، ويطلب قبوله قبل متابعة الاستخدام.

13. هذا الموقع

موقع «لمّة» (lammma.app) لا يضع ملفات تعريف ارتباط، ولا يخزّن شيئًا على جهاز الزائر، ولا يحتوي على نماذج. ويعدّ الزيارات دون ملفات تعريف ارتباط: الصفحات التي تُشاهد ومدة مشاهدتها ومدى التمرير فيها والأزرار التي تُضغط والصفحة التي أدت إلى الزيارة وسرعة تحميل الصفحة. وتمر هذه الإحصاءات عبر نطاقنا إلى PostHog (PostHog Cloud US، البند 5)، ولا ترتبط بأي حساب، ولا تحتفظ بأي معرّف من زيارة إلى أخرى. وتحتفظ الجهة المستضيفة له، وهي Vercel Inc. (البند 5)، بسجلات الطلبات المعتادة، مثل عنوان IP للزيارة، لأغراض الأمان، لمدة قصيرة: 30 يومًا.

14. التواصل

للاستفسار أو لممارسة أي حق: lammma.app@gmail.com، أو من مركز المساعدة داخل التطبيق.

1. Who is responsible for the data

The controller of personal data in the Lammma app is Lammma, the service behind the app, which can be reached through lammma.app@gmail.com or the help centre inside the app. This policy explains what we collect, why and on what basis, who sees it, where it is processed and when we delete it.

2. What we collect

• Account details: name, mobile number, email address and account photo. Where the app offers sign-in with Google or Apple and a user chooses it, we receive the name and email address that the provider shares, and we store the provider's account identifier for that sign-in. Where Sign in with Apple is offered and used, we also keep an Apple refresh token on our servers, used only to revoke Lammma's access at Apple when the account is deleted. A mobile number is still required on every account, whichever way it is created.
• Location: the exact point that the phone's location service detects, or the point picked on the map, is saved on the account. We use it to show the kitchens near that point, to work out distances and delivery, and, where no kitchen serves the area yet, to tell the user when one opens (the waiting list keeps the same point). Other users never see this point.
• A kitchen's location: the exact point and address of each kitchen are saved. Other users see only a public point about 0.6 to 1 km away from the kitchen, never the exact one, except for a pickup order as described in section 4.
• Saved addresses, for delivery.
• Orders: their contents, prices, status and payment method.
• Hand-over and no-show records: when the chef marks an order handed over or delivered, the customer's answer ("Got it" or "Didn't get it"), or that the order was completed automatically because no answer came in time; and when a chef marks that the customer did not come for a ready order (a no-show).
• Strikes and pay first: each no-show adds a strike to the customer's account. After two strikes within 60 days, the account cannot order with cash for 30 days after the second one, and pays by transfer instead (pay first). We remove a strike when we uphold the customer's report that they did come.
• Order problems: a problem a customer reports on an order (the reason, an optional note and an optional photo), the kitchen's reply, and whether it was settled with the kitchen or passed to us.
• Refunds: when a kitchen sends money back for an order, the amount, the screenshot of the transfer that the chef attaches, and whether the customer confirms receiving it.
• Kitchen reliability: for each kitchen, numbers worked out from its orders of the last 60 days (how many it accepted, how many it cancelled after accepting, and the problems reported). They are private: see section 4.
• Transfer receipts that a user uploads.
• Transfers received for top-ups: the notifications that the wallets and InstaPay account receiving top-ups send us (amount, reference, date and time, and the sender's name or number), matched against top-ups to detect false receipts.
• Chef credit: the balance and its ledger (top-ups, fees, adjustments), and for each top-up the receipt screenshot a chef uploads and what is read from it (amount, reference number, date and time, status, and the names, InstaPay addresses or phone numbers of sender and receiver), the result of each automatic check, a fingerprint of the image used to detect a receipt used twice, and any warning or step taken for misuse of credit.
• Consent records: each choice about analytics, crash reports, marketing and the reading of receipts by an automatic service, with its date, the version of the text shown, the language and the app build. These records are only added to, never edited, so that we can show what was agreed; they are kept without a name after an account is deleted.
• Access log: when Lammma opens a sensitive item (a receipt or a chat file), we record what was opened and when, and keep it for 180 days.
• Chats: text, photos, voice notes and reactions, and the reports users send.
• Content filter records: before a message, story caption or review is shown, the automatic word filter (terms, section 11) checks it. It may replace some words with asterisks; for some words it records the account, the word matched, the item and the time, so that we can look at it.
• Chef details: kitchen name, description and photos, and the details of the transfer account the chef sets.
• We do not ask any user or chef for a national ID card, a photo of an ID, a selfie or any other identity document.
• Device details: the push notification token, the platform (Android or iOS) and the app language. We do not collect the phone's advertising ID (Android's advertising ID or Apple's IDFA).
• Install referrer (Android, where offered): when the app is installed from a kitchen link, it reads the Google Play install referrer once, to open the kitchen the link pointed to. Only the kitchen identifier is kept, on the phone.
• Usage events: which screens are opened (the kind of screen, never what is on it), how long they stay open, the main steps taken in the app (such as opening a kitchen, adding to the cart or sending an order), app sessions and loading times, with technical details such as the phone model, system version and app version. In PostHog they are linked to the account id and to a random id made for the app on that phone; in our own database they are kept only as daily totals, with the random install id used to count devices (see sections 5 and 7). They never include messages, addresses, phone numbers, receipts or anything typed.
• Reviews: the rating, comment and photo a user leaves for a kitchen after an order. Other users see them with the reviewer's first name. The chef can write one reply to a review, which other users see under it.
• Crash reports: technical details of a fault, and how long app start-up and some screens take, linked to the account id. Before a report leaves the phone, we remove the names, phone numbers and email addresses that we can detect in it, and it carries no screenshot.

3. Why we use it, and on what basis

• To run the service a user asks for (the account, including sign-in with Google or Apple where offered, orders, chats, contact between the user and the chef, and order notifications): to perform our agreement with the user under the terms of service.
• To send notifications to the phone: only with the permission the user gives on the phone, which can be withdrawn at any time (section 6).
• To check chefs' credit top-ups and prevent receipts being reused or altered, including matching them against the transfers received: our legitimate interest in a fair marketplace, and our agreement with the chef under the terms (sections 7 to 9).
• To send a chef's receipt image to an AI text-reading service through OpenRouter so that it can be read automatically: the chef's consent, asked in the app before the first image is sent, and again if the purpose changes. A chef who declines is not sent to that service: the top-up goes to manual review by us, which takes longer, and nothing else changes. A chef can withdraw consent at any time in the app, and later receipts then go to manual review.
• To run an order's hand-over, problem and refund steps, to apply the pay-first rule after repeated no-shows, and to show the "Reliable kitchen" badge and order kitchens in lists using their reliability numbers: to perform our agreement with users under the terms, and our legitimate interest in a fair and reliable marketplace.
• To protect users, prevent fraud and abuse (including the automatic word filter), help with disputes and answer support requests: our legitimate interest in keeping the platform safe to use, and our legal duties.
• To measure how the app is used and to find and fix its faults and slow screens (usage events and crash reports): our legitimate interest in an app that works and improves. Both are **on by default**, and a user can switch either off at any time in Settings, Privacy (also in the Privacy centre). Switching one off stops it on that phone from that moment: nothing more is collected, and what was waiting on the phone is not sent. To send marketing messages: only with the user's consent; marketing is **off until the user switches it on**. Each choice, and the default, is recorded with its date, the version of the text shown and the app build.
• To comply with the law or a request from a competent authority.

We do not sell personal data.

4. Who sees what

• Any signed-in user can see another user's first name and account photo, for example in a chat, on a review or on their profile card.
• Where the app offers kitchen links, a shared link shows the kitchen's public name, photo and rating in link previews, to anyone the link reaches. This is public kitchen information only.
• A user sees a kitchen's name, photos, description and public point.
• From the moment a chef accepts an order until 7 days after it ends, each side can see the other's mobile number: on the order page and through the call button in their chat. The chef sees the user's first name.
• For a delivery order, the chef sees the delivery address the user chose and its location on the map, from acceptance until 24 hours after the order ends.
• For a pickup order, the user sees the kitchen's exact address, pickup instructions and location on the map, from acceptance until 7 days after the order ends.
• A chef can see which users viewed their stories (first name and account photo).
• A problem report on an order, its photo and the kitchen's reply, and a refund and its transfer screenshot, are seen by the customer and the kitchen of that order, and by Lammma.
• Only the customer and Lammma see the customer's strikes and pay-first period. Kitchens do not see them.
• Only the chef and Lammma see a kitchen's reliability numbers. Other users see only a "Reliable kitchen" badge on a kitchen that meets the rule, and the numbers help decide the order in which kitchens are listed.
• In a chat each side sees the messages exchanged. Online status is visible to someone who has a conversation with that person, unless one of them has blocked the other.
• Lammma uses an access-controlled admin console, protected by a password and an access gateway. To handle support, safety, reports, disputes and legal duties, Lammma can see accounts, orders and their details, chats, receipts (including a chef's top-up receipts, to review a top-up or look at a dispute), problem photos and refund screenshots, phone numbers and addresses. Opening an order's full record in the console is written to an internal audit log.
• A chef who receives a user's name, phone number or address for an order may use it only for that order, and is responsible for how they use it.
• The service providers in section 5 process data on our instructions and only to run the service.

5. Service providers and transfers outside Egypt

Their servers may be outside Egypt, so personal data is transferred outside Egypt to the providers below.

**Needed to run the service.** These are used for everyone who uses the app, because the app cannot work without them:

• Supabase: hosting of the database, sign-in, file storage and server functions, in London, United Kingdom (eu-west-2).
• An email-sending service, for the sign-up and password-reset emails.
• Google Play, on Android: where offered, the install referrer that tells the app which kitchen link led to the install (section 2).
• Google Firebase Cloud Messaging, and Apple Push Notification service: the delivery of notifications to Android phones and to iPhones.
• Vercel Inc.: hosting of the public website (lammma.app). It keeps standard request logs, such as the IP address of a visit, for security, on servers that may be outside Egypt, and passes the website's visit counts on to PostHog (section 13). The app itself does not use it.
• Geoapify: the map pictures, turning a point on the map into an address, and searching addresses. It receives the point or the text searched, and its servers see the area of the map being shown.

**On by default, or only if you agree.** The two marked "on by default" can be switched off at any time, and the others send nothing until a user agrees or switches them on. Switching one off stops it from that moment:

• OpenRouter, and the AI text-reading service it passes the image to: reading the receipt screenshots chefs upload for credit top-ups. The image is sent only with the chef's consent (section 3), for that purpose only, to extract the fields listed in section 2, and OpenRouter is set to use only services that do not keep the image or train on it; our servers keep the result and the image. A chef who declines is checked by us instead.
• PostHog (PostHog Cloud US, servers in the United States): usage events (section 2), linked to the account id and a random install id, with the role, the platform, the app version and the area chosen. On by default; a user switches it off with "Usage analytics" in Settings, Privacy. It never receives a name, phone number, email address, message, address or receipt; it records no screen video unless we turn that on, and then every text and picture is hidden.
• Sentry: crash reports, fault diagnostics and loading times, after the removal described in section 2, linked to the account id. On by default; a user switches it off with "Crash reports" in Settings, Privacy.
• Google (Sign in with Google) and Apple (Sign in with Apple), where offered: only when a user chooses to sign in with them. They confirm the sign-in on their servers outside Egypt and share the name and email address with us.

Each of these transfers rests on the user's consent and on the contract we have with each provider, and the full list of providers is the one above.

6. Notifications

• Notifications are sent only after the user allows them on the phone. They cover orders, chat messages, a kitchen opening in an area whose waiting list the user joined and, while the user keeps them on in the app's notification settings, news from saved kitchens, offers and tips.
• A chat notification shows the sender's name and up to the first 80 characters of a text message. Notification text passes through Google, and through Apple for iPhones, on its way to the phone.
• The phone may show this text on the lock screen. To hide it there, turn off notification previews on the lock screen in the phone's settings. Chat notifications can be turned off in the app's notification settings, and all notifications can be turned off in the phone's settings. Order notifications are part of the service and stay on while the app is allowed to notify.

7. How long we keep it

• Transfer receipts: ninety days after the order ends, or three hundred and sixty-five days if the order was in dispute, even after an account is deleted.
• Problem photos and refund screenshots: kept in private storage and deleted ninety days after the order and its problem or refund are closed, or three hundred and sixty-five days if the order was in dispute, even after an account is deleted.
• Credit top-up receipts: kept in private storage and deleted after 60 days. The ledger entries and the result of each top-up, without the image, are kept as accounting and fraud-prevention records without a name, phone number or address after an account is deleted.
• Chat messages, photos and voice notes: kept until the sender deletes the message for both sides (possible within ten minutes of sending it) or deletes their account. A conversation cannot be deleted, only hidden from one's own list. What the other person sent stays in their chat after an account is deleted.
• Stories: they expire after 24 hours, and their files are then deleted.
• Push tokens: removed at sign-out, and tokens unused for a long time are pruned.
• Sign-in provider details (where sign-in with Google or Apple is offered and used): the provider's account identifier is removed from our records when the account is deleted. The Apple refresh token is used only to revoke Lammma's access at Apple: it is deleted as soon as Apple confirms the revoke, and at the latest 30 days after the account is deleted if Apple cannot be reached.
• Crash reports: 90 days.
• Usage events: in PostHog, 14 months. In our own database, the record of which install was used on a day is deleted after 90 days, and the daily totals, which name no person or device, after two years.
• Reviews: kept while the account exists. When it is deleted, the review is no longer shown to other users and its name and photo are removed; the rating and comment stay in the kitchen's records without a name.
• Chef replies to reviews: kept with the review. The chef can change or remove a reply at any time, and a reply is hidden whenever its review is hidden.
• Kitchen reliability numbers: worked out again every night from the last 60 days of orders. Older numbers are not kept.
• Strikes: a strike counts towards pay first for 60 days. The record stays with the order record.
• Reports: kept for safety and disputes. When the reporting account is deleted, the text it wrote is removed.
• Filter records: 180 days.
• Transfers received for top-ups: 1 year.
• Order and accounting records, including the hand-over, no-show, problem and refund records of an order: kept without a name, phone number or address after an account is deleted, for accounting and disputes.

8. Deleting an account

An account can be deleted in the app from the Me page, or from the Kitchen tab for chefs. On deletion we remove the personal data and files tied to the account, except what section 7 says is kept: transfer receipts, problem photos, refund screenshots and credit top-up receipts until their periods end, credit and top-up records without a name, reports, review ratings and comments without a name, order and accounting records without a name, phone number or address, and the usage events and crash reports already sent, until their periods end. Deletion is not possible while an order is open, a refund is still unpaid or a credit top-up is still being checked. When an order or a refund is waiting for us, we record its outcome within the period in the refunds and disputes policy (section 1), and deletion is then possible.

9. Data subject rights

Under Egypt's Personal Data Protection Law, No. 151 of 2020, a data subject has the right to:

• know what personal data we hold about them, see it and get a copy;
• have it corrected or completed;
• have it deleted, or its use restricted;
• object to its use, and withdraw a consent given before (usage events and crash reports can be switched off, and marketing switched on or off, in Settings, Privacy: section 3);
• be told of a breach that affects them;
• complain to the Personal Data Protection Centre.

Requests go through lammma.app@gmail.com, or the help centre inside the app, and we answer within the time the law sets.

10. Security

We move data over encrypted channels, limit access to what is needed to run the service, and keep sensitive files, such as transfer receipts, problem photos, refund screenshots and chats, in private storage that only the authorised parties can open. No system is perfectly secure. We tell affected people and the competent authorities about any breach within the time the law sets.

11. Children

The app is not meant for anyone under eighteen. If we learn of an account held by someone under that age, we delete it.

12. Changes to this policy

Every text carries a version number, shown at the top of the page. When this policy changes in a material way, the app shows the new version the next time an app version that carries the new text is opened, and asks for it to be accepted before it can be used further.

13. This website

The Lammma website (lammma.app) sets no cookies, stores nothing on the visitor's device and has no forms. It counts visits without cookies: which pages are seen, for how long, how far they are scrolled, which buttons are tapped, the page that led to the visit and how fast the page loads. These counts go through our own domain to PostHog (PostHog Cloud US, section 5), are not linked to any account, and keep no id from one visit to the next. Its host, Vercel Inc. (section 5), keeps standard request logs, such as the IP address of a visit, for security, for a short period: 30 days.

14. Contact

For questions or to use any right: lammma.app@gmail.com, or the help centre inside the app.