سياسة الخصوصية
وفقاً لنظام حماية البيانات الشخصية الصادر بالمرسوم الملكي م/19 (1443هـ) — المملكة العربية السعودية
1. هوية المتحكم في البيانات
الكيان القانوني: بيربل تكنيكس المحدودة (Purple Techniques Ltd)
رقم السجل التجاري: 7054976373
البريد الإلكتروني لحماية البيانات (DPO): Info@Purqle.com
عنوان التواصل: الرياض، المملكة العربية السعودية
الدور: متحكم في البيانات بموجب نظام PDPL
يعمل TowTurk بوصفه منصة وساطة تجمع بين طالبي خدمات السطحة والمساعدة على الطريق ومقدمي هذه الخدمات الموثقين.
2. البيانات الشخصية المجمعة
تختلف البيانات المجمعة بحسب نوع المستخدم:
أ. العملاء (طالبو الخدمة)
| فئة البيانات | البيانات المحددة | الغرض من الجمع |
|---|---|---|
| الهوية | الاسم الأول، اسم العائلة | إنشاء الحساب، التحقق من الهوية |
| التواصل | رقم الهاتف، البريد الإلكتروني (اختياري) | المصادقة، إشعارات الخدمة |
| الموقع الجغرافي | إحداثيات GPS، عنوان الاستلام، وجهة السحب | تحديد الموقع وإسناد الخدمة |
| بيانات المركبة | لوحة الترقيم، نوع المركبة | تحديد نوع الخدمة المطلوبة |
| بيانات الدفع | بيانات الدفع عبر Stripe (معالجة آمنة) | إتمام المعاملة المالية |
| بيانات الاستخدام | سجل الطلبات، التقييمات | تحسين الخدمة، حل النزاعات |
ب. مقدمو الخدمة (السائقون / مشغلو السطحة)
| فئة البيانات | البيانات المحددة | الغرض من الجمع |
|---|---|---|
| الهوية | الاسم الكامل، صورة رخصة القيادة، صورة الهوية الوطنية | التحقق من الأهلية واشتراطات الترخيص |
| التواصل | رقم الهاتف، البريد الإلكتروني | المصادقة، التنسيق التشغيلي |
| الموقع الجغرافي الدقيق | إحداثيات GPS في الوقت الفعلي | إسناد الوظائف القريبة |
| بيانات المركبة | لوحة الترقيم، نوع السطحة، شهادة التأمين | التحقق من الأهلية، مطابقة نوع الخدمة |
| بيانات الربط المالي | حساب Stripe Connect، IBAN (اختياري) | صرف المستحقات |
| بيانات التشغيل | حالة التوفر، سجل الوظائف، التقييمات | إدارة المنصة، تحسين الجودة |
| بيانات مستخرجة بالذكاء الاصطناعي | الحقول المستخرجة من المستندات (الاسم، رقم الوثيقة، الصلاحية) | التحقق الآلي من المستندات |
ج. مشغلو المنصة (المسؤولون)
بيانات الهوية والتواصل الضرورية لإدارة المنصة والعمليات.
3. الأساس القانوني لكل عملية معالجة
| نشاط المعالجة | الأساس القانوني (PDPL) | التفصيل |
|---|---|---|
| إنشاء الحساب والمصادقة | تنفيذ العقد (م.8) | ضروري لإتاحة الخدمة |
| تحديد الموقع وإسناد الطلب | تنفيذ العقد (م.8) | جوهر الخدمة المطلوبة |
| معالجة الدفع | تنفيذ العقد (م.8) | إتمام المعاملة المالية |
| التحقق من المستندات (AI) | الموافقة الصريحة (م.7) + التزام قانوني (م.8) | اشتراطات الترخيص والسلامة |
| الموقع الجغرافي الدقيق للسائق (مستمر) | الموافقة الصريحة (م.7) | يُطلب إذن منفصل عند تفعيل الخدمة |
| إشعارات الخدمة | المصلحة المشروعة (م.8) | تشغيل الخدمة بفاعلية |
| التسويق المباشر | الموافقة الصريحة (م.7) | يمكن السحب في أي وقت |
| الاحتفاظ بسجلات الضرائب | الالتزام القانوني (م.8) | نظام ضريبة القيمة المضافة السعودي (7 سنوات) |
| حل النزاعات والامتثال القانوني | المصلحة المشروعة والالتزام القانوني (م.8) | الدفاع القانوني، الامتثال التنظيمي |
4. القرارات الآلية — التحقق من المستندات بالذكاء الاصطناعي
يستخدم TowTurk نظام ذكاء اصطناعي (GPT-4 Vision من OpenAI) لمراجعة مستندات مقدمي الخدمة تلقائياً (رخص القيادة، شهادات التأمين وغيرها). يستخرج النظام الحقول النصية الرئيسية ويُصنّف الوثيقة بدرجة ثقة بين 0 و100%.
- البيانات المعالجة: صور المستندات المرفوعة، والحقول المستخرجة (الاسم، رقم الوثيقة، تاريخ الانتهاء).
- أثر القرار: قد يُوقف الحساب مؤقتاً أو يُرفض الطلب بناءً على نتيجة التحقق.
- الرقابة البشرية: تُراجع جميع الحالات التي تُعلَّم تلقائياً من قِبل مشرف بشري قبل اتخاذ أي إجراء نهائي.
- طلب المراجعة اليدوية: يحق لكل مقدم خدمة طلب إعادة فحص مستنداته يدوياً عبر privacy@towturk.com.
5. مشاركة البيانات ونقلها عبر الحدود
| الجهة المتلقية | الدولة | فئة البيانات | الغرض | آلية الحماية | سياسة الخصوصية |
|---|---|---|---|---|---|
| Stripe, Inc. | الولايات المتحدة | بيانات الدفع، هوية السائق (Stripe Identity) | معالجة الدفع، التحقق من الهوية | بنود العقد المعيارية، شهادة PCI DSS | stripe.com/privacy |
| Google Firebase (Google LLC) | الولايات المتحدة | بيانات المصادقة، إشعارات الدفع | المصادقة، إشعارات FCM | بنود معالجة البيانات من Google، بنود العقد المعيارية | firebase.google.com/privacy |
| OpenAI, LLC | الولايات المتحدة | صور المستندات، البيانات المستخرجة | التحقق الآلي من المستندات | اتفاقية معالجة البيانات مع OpenAI، بنود العقد المعيارية | openai.com/privacy |
| Resend, Inc. | الولايات المتحدة | عنوان البريد الإلكتروني، محتوى الرسالة | إرسال رسائل التحقق والإشعارات بالبريد الإلكتروني | بنود العقد المعيارية | resend.com/privacy |
| Twilio, Inc. | الولايات المتحدة | رقم الهاتف، رمز التحقق OTP | إرسال رسائل SMS للتحقق | بنود العقد المعيارية | twilio.com/privacy |
| Wise (Wise Payments Limited) | المملكة المتحدة / بلجيكا | اسم السائق، رقم IBAN، مبالغ المدفوعات | مدفوعات مقدمي الخدمة | بنود العقد المعيارية | wise.com/privacy-policy |
| MaxMind, Inc. | الولايات المتحدة | عنوان IP (مجهول الهوية) | تحديد البلد لتطبيق اشتراطات PDPL | بنود معالجة بيانات MaxMind | maxmind.com/privacy |
لا تُنقل البيانات الشخصية خارج المملكة العربية السعودية إلا عند توافر ضمانات حماية كافية وفق المادة 29 من نظام PDPL، شاملةً بنود العقود المعيارية المعتمدة أو قرارات الكفاءة الصادرة عن SDAIA.
6. جدول مدد الاحتفاظ بالبيانات
| فئة البيانات | مدة الاحتفاظ | المبرر |
|---|---|---|
| بيانات الحساب النشط (الاسم، الهاتف، البريد) | حتى حذف الحساب + 30 يوماً | تنفيذ العقد |
| سجلات الموقع الجغرافي للسائق | 7 أيام متجددة | تشغيل الخدمة، حل النزاعات قصيرة المدى |
| سجلات الطلبات المكتملة/الملغاة | 3 سنوات من تاريخ الإغلاق | حل النزاعات، الامتثال القانوني |
| سجلات الدفع والفواتير | 7 سنوات | نظام ضريبة القيمة المضافة السعودي (اللائحة التنفيذية المادة 66) |
| البيانات المستخرجة من المستندات بالذكاء الاصطناعي | تُحذف عند حذف الحساب | الموافقة الصريحة — لا غرض مستمر بعد إنهاء العلاقة |
| صور المستندات الأصلية | مدة علاقة مقدم الخدمة + 12 شهراً | الامتثال التنظيمي والتدقيق |
| سجلات الموافقة | 5 سنوات من تاريخ التسجيل | إثبات الامتثال لنظام PDPL |
| سجلات سحب الموافقة | 5 سنوات من تاريخ السحب | إثبات الامتثال لنظام PDPL |
| رسائل الدردشة داخل الخدمة | 3 سنوات من إغلاق الطلب | حل النزاعات |
| سجلات تسجيلات الدخول والجلسات | 90 يوماً | الأمن السيبراني والتدقيق |
| سجل التدقيق الإداري | 5 سنوات | نظام ZATCA م. 66 (التدقيق المالي) / PDPL م. 18 |
| معرّفات روابط المقاولين من الباطن | 3 سنوات بعد الانتهاء؛ أو سنة بعد إغلاق الطلب المرتبط | PDPL م. 18 — إخفاء الهوية فقط (لا حذف) |
| تدقيق ازدواجية المدفوعات | سنتان | PDPL م. 18 — نافذة النزاعات والاسترداد |
| الحسابات غير النشطة بلا سجل مالي | سنتان من آخر تسجيل دخول | PDPL م. 18 — لا غرض من الاحتفاظ بعد سنتين من الخمول |
عند انقضاء هذه المدد، تُحذف البيانات بصورة آمنة أو تُجهَّل وفق أفضل الممارسات التقنية.
7. حقوق أصحاب البيانات بموجب نظام PDPL
يكفل نظام PDPL (المواد 4–9 و14) الحقوق الآتية لكل صاحب بيانات:
| الحق | الوصف | كيفية الممارسة | مدة الاستجابة |
|---|---|---|---|
| الوصول (م.4) | الاطلاع على البيانات المحتفظ بها وطريقة معالجتها | البريد: privacy@towturk.com | 30 يوماً |
| التصحيح (م.5) | تصحيح البيانات غير الدقيقة أو المنقوصة | إعدادات التطبيق أو البريد | 30 يوماً |
| الحذف (م.6) | طلب حذف البيانات عند انتفاء الغرض | التطبيق: الملف الشخصي ← حذف الحساب، أو البريد | 30 يوماً |
| قابلية النقل (م.7) | الحصول على نسخة قابلة للقراءة آلياً من البيانات | البريد: privacy@towturk.com | 30 يوماً |
| تقييد المعالجة (م.8) | تقييد المعالجة في ظروف معينة | البريد: privacy@towturk.com | 30 يوماً |
| الاعتراض (م.9) | الاعتراض على المعالجة لأغراض التسويق المباشر أو المصلحة المشروعة | إعدادات التطبيق أو البريد | فوري (تسويق) / 30 يوماً (غيره) |
| سحب الموافقة | سحب الموافقة في أي وقت دون تأثير على ما سبق معالجته | إعدادات التطبيق ← الخصوصية ← إدارة الموافقة | فوري |
| تقديم شكوى (م.24) | الشكوى إلى الهيئة السعودية للبيانات والذكاء الاصطناعي (SDAIA) | انظر الرابط أدناه | — |
لممارسة أي من هذه الحقوق، تواصل معنا على: privacy@towturk.com
8. تقديم شكاوى إلى SDAIA
إذا كنت ترى أن حقوقك بموجب نظام PDPL قد انتُهكت، يحق لك تقديم شكوى مباشرةً إلى الهيئة السعودية للبيانات والذكاء الاصطناعي (SDAIA):
الموقع الرسمي لـ SDAIA — sdaia.gov.sa
9. التدابير الأمنية (م.19 PDPL)
- تشفير TLS 1.2+ لكل البيانات أثناء النقل.
- تشفير قواعد البيانات في حالة التخزين.
- التحكم في الوصول وفق مبدأ الحد الأدنى من الصلاحيات.
- مراجعة أمنية دورية للبنية التحتية.
- إجراءات معتمدة للإبلاغ عن خروقات البيانات وفق متطلبات PDPL.
10. الأطفال
خدماتنا غير موجهة لمن هم دون سن 18 عاماً. لا نجمع بيانات الأطفال عن قصد. إذا علمت أن طفلاً قدّم بياناته، يُرجى التواصل معنا فوراً على privacy@towturk.com.
11. تحديثات هذه السياسة
نحتفظ بحق تحديث هذه السياسة لمواكبة التغييرات التنظيمية أو التشغيلية. يُشار إلى رقم الإصدار وتاريخه أعلى الصفحة. سيُبلَّغ المستخدمون بالتغييرات الجوهرية عبر التطبيق أو البريد الإلكتروني.
12. التواصل والاستفسارات
مسؤول حماية البيانات (DPO): privacy@towturk.com
الموقع الإلكتروني: towturk.com/privacy-sa
تاريخ السريان: يوليو 2026
رقم الإصدار: 1.0
© 2026 TowTurk. جميع الحقوق محفوظة. هذه الوثيقة قابلة للمراجعة القانونية من قِبل محامٍ مرخص في المملكة العربية السعودية.
Privacy Notice — Saudi Arabia
In compliance with Saudi Arabia's Personal Data Protection Law (PDPL), Royal Decree M/19 (1443 AH)
1. Data Controller Identity
Legal Entity: Purple Techniques Ltd
Commercial Registration: CR# 7054976373
Data Protection Officer (DPO) Email: Info@Purqle.com
Contact Address: Riyadh, Kingdom of Saudi Arabia
Role: Data Controller under PDPL
TowTurk operates as an intermediary platform connecting customers seeking towing and roadside assistance with verified service providers.
2. Personal Data Collected
Data collected varies by user type:
A. Customers (Service Requesters)
| Data Category | Specific Data | Purpose |
|---|---|---|
| Identity | First name, last name | Account creation, identity verification |
| Contact | Phone number, email address (optional) | Authentication, service notifications |
| Location | GPS coordinates, pickup address, destination | Location determination and service dispatch |
| Vehicle Data | License plate, vehicle type | Service type identification |
| Payment Data | Payment data processed by Stripe (secure) | Completing financial transactions |
| Usage Data | Service request history, ratings | Service improvement, dispute resolution |
B. Service Providers (Drivers / Tow Truck Operators)
| Data Category | Specific Data | Purpose |
|---|---|---|
| Identity | Full name, driver's licence image, national ID image | Eligibility and licensing verification |
| Contact | Phone number, email address | Authentication, operational coordination |
| Precise Location | Real-time GPS coordinates | Dispatching nearby jobs |
| Vehicle Data | Plate number, tow truck type, insurance certificate | Eligibility verification, service matching |
| Financial / Payout | Stripe Connect account, IBAN (optional) | Earnings disbursement |
| Operational Data | Availability status, job history, ratings | Platform management, quality improvement |
| AI-Extracted Data | Fields extracted from documents (name, document number, expiry) | Automated document verification |
C. Platform Operators (Admins)
Identity and contact data necessary for platform management and operations.
3. Legal Basis for Each Processing Activity
| Processing Activity | Legal Basis (PDPL) | Details |
|---|---|---|
| Account creation & authentication | Contract performance (Art. 8) | Necessary to provide the service |
| Location & job dispatch | Contract performance (Art. 8) | Core of the requested service |
| Payment processing | Contract performance (Art. 8) | Completing financial transactions |
| Document verification (AI) | Explicit consent (Art. 7) + legal obligation (Art. 8) | Licensing requirements & safety |
| Driver precise location (ongoing) | Explicit consent (Art. 7) | Separate permission requested when activating service |
| Service notifications | Legitimate interest (Art. 8) | Effective service operation |
| Direct marketing | Explicit consent (Art. 7) | Withdrawable at any time |
| Tax record retention | Legal obligation (Art. 8) | Saudi VAT law (7 years) |
| Dispute resolution & compliance | Legitimate interest & legal obligation (Art. 8) | Legal defence, regulatory compliance |
4. Automated Decision-Making — AI Document Verification
TowTurk uses an AI system (OpenAI GPT-4 Vision) to automatically review service provider documents (driver's licences, insurance certificates, etc.). The system extracts key text fields and classifies the document with a confidence score of 0–100%.
- Data processed: Uploaded document images and extracted fields (name, document number, expiry date).
- Impact of decision: An account may be temporarily suspended or an application rejected based on the verification result.
- Human oversight: All cases flagged automatically are reviewed by a human supervisor before any final action is taken.
- Requesting manual review: Every service provider has the right to request a manual re-examination of their documents by emailing privacy@towturk.com.
5. Data Sharing and Cross-Border Transfers
| Recipient | Country | Data Category | Purpose | Transfer Mechanism | Privacy Policy |
|---|---|---|---|---|---|
| Stripe, Inc. | United States | Payment data, driver identity (Stripe Identity) | Payment processing, identity verification | Standard Contractual Clauses; PCI DSS | stripe.com/privacy |
| Google Firebase (Google LLC) | United States | Authentication data, push notification tokens | Authentication, FCM notifications | Google Data Processing Terms; SCCs | firebase.google.com/privacy |
| OpenAI, LLC | United States | Document images, extracted data | Automated document verification | OpenAI Data Processing Agreement; SCCs | openai.com/privacy |
| Resend, Inc. | United States | Email address, message content | Sending verification & notification emails | Standard Contractual Clauses | resend.com/privacy |
| Twilio, Inc. | United States | Phone number, OTP code | SMS verification | Standard Contractual Clauses | twilio.com/privacy |
| Wise (Wise Payments Limited) | United Kingdom / Belgium | Driver name, IBAN, payout amounts | Provider payouts | Standard Contractual Clauses | wise.com/privacy-policy |
| MaxMind, Inc. | United States | IP address (anonymised) | Country determination for PDPL compliance | MaxMind Data Processing Terms | maxmind.com/privacy |
Personal data is transferred outside the Kingdom of Saudi Arabia only where adequate protections are in place as required by PDPL Article 29, including Standard Contractual Clauses or SDAIA adequacy decisions.
6. Data Retention Schedule
| Data Category | Retention Period | Justification |
|---|---|---|
| Active account data (name, phone, email) | Until account deletion + 30 days | Contract performance |
| Driver location logs | 7-day rolling window | Service operation, short-term dispute resolution |
| Closed/cancelled service request records | 3 years from closure date | Dispute resolution, legal compliance |
| Payment records & invoices | 7 years | Saudi VAT Implementing Regulations (Art. 66) |
| AI-extracted document data | Deleted upon account deletion | Explicit consent — no ongoing purpose after relationship ends |
| Original document images | Duration of provider relationship + 12 months | Regulatory compliance and audit |
| Consent records | 5 years from registration | PDPL compliance evidence |
| Consent withdrawal records | 5 years from withdrawal date | PDPL compliance evidence |
| In-service chat messages | 3 years from request closure | Dispute resolution |
| Login & session logs | 90 days | Security and audit |
| Admin audit log | 5 years | ZATCA Art. 66 (financial audit) / PDPL Art. 18 |
| Subcontractor link identifiers | 3 years after expiry; or 1 year after linked job closes | PDPL Art. 18 — anonymised only (not deleted) |
| Payment deduplication audit | 2 years | PDPL Art. 18 — chargeback / dispute horizon |
| Inactive accounts with no financial history | 2 years since last login | PDPL Art. 18 — no purpose served after 2 years of dormancy |
At the end of these periods, data is securely deleted or anonymised in accordance with technical best practices.
7. Data Subject Rights under PDPL
PDPL (Articles 4–9 and 14) guarantees every data subject the following rights:
| Right | Description | How to Exercise | Response Time |
|---|---|---|---|
| Access (Art. 4) | View the data held about you and how it is processed | Email: privacy@towturk.com | 30 days |
| Correction (Art. 5) | Correct inaccurate or incomplete data | App settings or email | 30 days |
| Erasure (Art. 6) | Request deletion when the purpose no longer applies | App: Profile → Delete Account, or email | 30 days |
| Data Portability (Art. 7) | Receive a machine-readable copy of your data | Email: privacy@towturk.com | 30 days |
| Restriction (Art. 8) | Restrict processing in certain circumstances | Email: privacy@towturk.com | 30 days |
| Objection (Art. 9) | Object to direct marketing or legitimate-interest processing | App settings or email | Immediate (marketing) / 30 days (other) |
| Withdraw Consent | Withdraw consent at any time without affecting prior processing | App: Settings → Privacy → Manage Consent | Immediate |
| Complaint (Art. 24) | Lodge a complaint with SDAIA | See link below | — |
To exercise any of the above rights, contact us at: privacy@towturk.com
8. Lodging Complaints with SDAIA
If you believe your PDPL rights have been violated, you may lodge a complaint directly with the Saudi Data & AI Authority (SDAIA):
SDAIA Official Portal — sdaia.gov.sa
9. Security Measures (PDPL Art. 19)
- TLS 1.2+ encryption for all data in transit.
- Database encryption at rest.
- Role-based access control (principle of least privilege).
- Regular infrastructure security reviews.
- Approved breach notification procedures in line with PDPL requirements.
10. Children
Our services are not intended for persons under 18 years of age. We do not knowingly collect children's data. If you become aware that a child has submitted their data, please contact us immediately at privacy@towturk.com.
11. Updates to This Notice
We reserve the right to update this notice to reflect regulatory or operational changes. The version number and date are shown at the top of the page. Users will be notified of material changes via the app or email.
12. Contact
Data Protection Officer (DPO): privacy@towturk.com
Website: towturk.com/privacy-sa
Effective Date: July 2026
Version: 1.0
© 2026 TowTurk. All rights reserved. This document is structured for review by a licensed Saudi Arabian attorney.