1. Who we are

Dallal ("we") operates a loyalty and rewards platform connecting salon brands in the Kingdom of Saudi Arabia with their customers. We are the data controller for personal data processed on the platform, under the Saudi Personal Data Protection Law (PDPL). Contact: support@dallal.life.

2. What we collect

• Customers: first name, phone number, city, email address (from Google sign-in), and your visit and reward history at partner branches.
• Brand managers: account email, brand and branch business details.
• Cashiers: cashiers sign in with their own customer account (Google); the brand links that account to its branch, and the visits and rewards they record at the terminal are logged against it.
• Technical: security logs (sign-in attempts, approvals) and, if enabled, anonymous product analytics.

3. Why we process it

• Operating the loyalty program: recording visits, computing reward eligibility, processing claims (performance of our service).
• Letting partner branches recognise you at checkout by phone number (with your consent, given at onboarding).
• Sending you service messages about your account and rewards.
• If you opt in, sending you marketing about offers and promotions by email or SMS — this is optional, based on your consent, and withdrawable anytime (see our Marketing & Communications Consent).
• Billing partner brands, including VAT invoicing required by Saudi law.
• Security, fraud prevention, and audit trails (legitimate interest).

4. Sharing

Partner brands see your first name and phone number only for visits at their own branches. We use processors to run the service: hosting (Vercel), database (Supabase), authentication (Clerk/Google), payments (Moyasar — brand invoices and optional Faazzaa fees; we never see card numbers), email (Resend), SMS verification codes (Unifonic), error monitoring (Sentry), product analytics if enabled (PostHog), and infrastructure (Upstash). Some processors store data outside Saudi Arabia; we rely on PDPL-permitted transfers with appropriate safeguards. We do not sell personal data.

5. Retention

Your profile is kept while your account is active. Visit records are kept for partner accounting; when you delete your account they are permanently anonymized (detached from any identity).

6. Your rights (PDPL)

• Access / portability: download everything we hold about you from Profile → "Download my data".
• Correction: edit your name, phone, and city in Profile.
• Erasure: Profile → "Delete my account" removes your personal data and sign-in immediately.
• Withdraw consent / complain: email support@dallal.life. You may also lodge a complaint with the Saudi Data & AI Authority (SDAIA).

7. Breach notification

If a data breach affects your rights, we will notify the competent authority and affected users as required by the PDPL.

سياسة الخصوصية

١. من نحن

تشغّل دلال («نحن») منصة ولاء ومكافآت تربط العلامات التجارية للصالونات في المملكة العربية السعودية بعملائها. نحن المتحكم في البيانات الشخصية المعالَجة على المنصة وفق نظام حماية البيانات الشخصية السعودي (PDPL). للتواصل: support@dallal.life.

٢. ما نجمعه

• العملاء: الاسم الأول ورقم الجوال والمدينة والبريد الإلكتروني (من تسجيل الدخول عبر Google) وسجل زياراتك ومكافآتك لدى الفروع الشريكة.
• مديرو العلامات التجارية: البريد الإلكتروني للحساب وبيانات العلامة التجارية والفروع.
• الكاشير: يسجّل الكاشير الدخول بحساب العميل الخاص به (Google)؛ وتربط العلامة التجارية هذا الحساب بفرعها، وتُسجَّل عليه الزيارات والمكافآت التي يدوّنها في جهاز الفرع.
• بيانات تقنية: سجلات أمنية (محاولات تسجيل الدخول والاعتمادات)، وتحليلات منتج مجهولة الهوية إن كانت مفعّلة.

٣. لماذا نعالجها

• تشغيل برنامج الولاء: تسجيل الزيارات واحتساب أهلية المكافآت ومعالجة طلبات الاستبدال (تنفيذ خدمتنا).
• تمكين الفروع الشريكة من التعرف عليك عند الدفع برقم جوالك (بموافقتك الممنوحة عند التسجيل).
• إرسال رسائل الخدمة المتعلقة بحسابك ومكافآتك.
• إذا وافقت، إرسال عروض وترويجات تسويقية عبر البريد أو الرسائل النصية — اختياري ومبني على موافقتك وقابل للسحب في أي وقت (انظر الموافقة على التسويق والاتصالات).
• إصدار فواتير للعلامات التجارية الشريكة، بما يشمل فواتير ضريبة القيمة المضافة التي يوجبها النظام السعودي.
• الأمن ومنع الاحتيال وسجلات التدقيق (مصلحة مشروعة).

٤. المشاركة

ترى العلامات التجارية الشريكة اسمك الأول ورقم جوالك فقط للزيارات في فروعها. نستخدم معالجين لتشغيل الخدمة: الاستضافة (Vercel) وقاعدة البيانات (Supabase) والمصادقة (Clerk/Google) والمدفوعات (Moyasar — فواتير العلامات التجارية ورسوم الفزعة الاختيارية؛ لا نطّلع على أرقام البطاقات أبدًا) والبريد (Resend) ورموز التحقق عبر الرسائل النصية (Unifonic) ومراقبة الأخطاء (Sentry) وتحليلات المنتج عند تفعيلها (PostHog) والبنية التحتية (Upstash). يخزّن بعض المعالجين البيانات خارج المملكة؛ ونعتمد في ذلك على عمليات النقل المسموح بها وفق النظام مع ضمانات مناسبة. لا نبيع البيانات الشخصية.

٥. الاحتفاظ

نحتفظ بملفك الشخصي ما دام حسابك نشطًا. وتُحفظ سجلات الزيارات لأغراض محاسبة الشركاء؛ وعند حذف حسابك تُجهَّل نهائيًا (تُفصل عن أي هوية) ولا يمكن التراجع عن ذلك.

٦. حقوقك (نظام حماية البيانات الشخصية)

• الاطلاع / نقل البيانات: نزّل كل ما نحتفظ به عنك من الملف الشخصي ← «تنزيل بياناتي».
• التصحيح: عدّل اسمك ورقم جوالك ومدينتك من الملف الشخصي.
• الحذف: الملف الشخصي ← «حذف حسابي» يزيل بياناتك الشخصية وتسجيل دخولك فورًا.
• سحب الموافقة / الشكوى: راسلنا على support@dallal.life، ويمكنك أيضًا تقديم شكوى لدى الهيئة السعودية للبيانات والذكاء الاصطناعي (سدايا).

٧. الإشعار بالاختراق

إذا وقع اختراق للبيانات يمس حقوقك فسنبلّغ الجهة المختصة والمستخدمين المتأثرين وفق ما يوجبه نظام حماية البيانات الشخصية.