زفّة · Zaffah

سياسة الخصوصية

آخر تحديث: 16 أكتوبر 2026 · يسري من 16 أكتوبر 2026 · English below

من نحن

«زفّة» (بالإنجليزية Zaffah) منصّة سعودية لتنظيم حفلات الزفاف وحجز القاعات وخدمات الأعراس، مقرّها الرياض. المسؤول عن بياناتك الشخصية («جهة التحكم») هو فريق زفّة المؤسِّس، وتنتقل هذه المسؤولية تلقائيًا إلى الكيان النظامي لزفّة فور اكتمال تأسيسه، دون أي تغيير في التزاماتنا تجاهك. نلتزم بنظام حماية البيانات الشخصية السعودي ولوائحه التنفيذية، تحت إشراف الهيئة السعودية للبيانات والذكاء الاصطناعي (سدايا).

للتواصل في كل ما يخص الخصوصية: [email protected]

ما الذي نجمعه

نجمع فقط ما يحتاجه المنتج فعليًا:

الحساب والدخول: رقم جوالك، للتحقق برمز يُرسل برسالة نصية، واسمك ومدينتك.
رحلة الزفاف: تاريخ الزفاف، قائمة المهام، وبنود الميزانية التي تدوّنها.
قائمة الضيوف: أسماء مدعوّيك وأرقام جوالاتهم إن أضفتها. هذه بيانات أشخاص آخرين تُدخلها أنت؛ لذلك نطلب منك ألّا تضيف إلا من تنوي دعوته فعلًا، ونتيح لأي مدعوّ طلب حذف بياناته (انظر «خصوصية المدعوّين وحقوقهم»).
ردود المدعوّين: ما يسجّله المدعوّ على رابط دعوته: حضوره أو اعتذاره، وعدد الكبار والأطفال معه، وكلمة اختيارية يكتبها للعروسين. هذه بيانات شخص آخر يقدّمها بنفسه ليصل ردّه إليك، وتظهر باسمه في قائمة ضيوفك. لا يراها شريك ولا مدعوّ آخر، ولا يقرؤها من فريق زفّة أحد في المسار المعتاد، ويطّلع عليها عدد محدود منّا في حالتين: بلاغ عن كلمة مسيئة، أو طلب دعم منك، وكل اطّلاع مسجَّل في سجل التدقيق لدينا. وللمدعوّ أن يعدّل ردّه أو يمسح كلمته من الرابط نفسه ما دام باب الرد مفتوحًا. ويُحفظ الرد مع دعوته (انظر «مدد الاحتفاظ»).
الدعوات: نص الدعوة واسما العروسين وتاريخ ومكان الحفل، وما تضيفه من عنوان القاعة أو دبوس تضعه على الخريطة أو رابط خرائط تلصقه، وترسلها أنت إلى ضيوفك برابط عبر واتساب من جوالك، ونحتسب عدد مرات فتح الرابط. وموقع القاعة الذي تضيفه مكان تختاره لضيوفك، لا موقعك أنت، ويظهر لكل من يفتح رابط دعوتك ما دام ساريًا.
صورة الغلاف وفيديو الترحيب: ما ترفعه من صورة أو فيديو ليظهر في دعوتك. قد تظهر فيهما وجوه وأصوات، وقد تكون لأشخاص غيرك، لذلك لا ترفع إلا ما يرضى عنه من فيه: أنت من يقرّر الرفع، وأنت المسؤول عن أخذ رضا من يظهر فيهما، ونحن نعرضهما تنفيذًا لطلبك بإظهار دعوتك. ونزيل عن كل صورة نحفظها البيانات المرافقة لها، ومنها الموقع الجغرافي الذي تسجّله الكاميرا، فلا يصل موقع التصوير إلى أحد. ونحفظ الصورة بالمقاس الذي أرسلته، ومعها نسخًا أصغر للعرض. أما الفيديو فنحوّله عند تجهيزه إلى نسخة واحدة مضغوطة بمقاس الجوال، وتُزال بياناته المرافقة في الخطوة نفسها، ويُحذف التسجيل الذي رفعته فور توفّر تلك النسخة. ويظهر الغلاف والفيديو لكل من يفتح رابط الدعوة ما دام الرابط ساريًا، فإن سحبتَ الرابط أو انتهت صلاحيته توقّف عرضهما معه. ويظهران لك في حسابك، ولفريق زفّة عند النظر في بلاغ أو طلب إزالة. ومن فتح الدعوة قبل ذلك قد يكون احتفظ بنسخة على جهازه، وهذه خارج متناولنا. ولمن ظهر فيهما أن يطلب الإزالة (انظر «حقوق من يظهرون في الصور»).
المحادثات: رسائلك النصية وصورك المتبادلة مع الشركاء. تُفحص الرسائل آليًا لحجب مشاركة قنوات التواصل خارج المنصّة (أرقام الجوال والبريد وحسابات التواصل)، حفاظًا على المحادثة داخل زفّة، والكلمة التي تكتبها مع الصورة رسالة مثل غيرها يسري عليها الفحص نفسه. أمّا الرسالة التي تحمل لفظًا مسيئًا فلا تُرسل ولا نحفظها، ويبقى نصّها عندك لتعدّله. وحين ترسل صورة من التطبيق يُزال عنها سجلّ الكاميرا على جهازك قبل رفعها: الموقع الجغرافي الذي تسجّله الكاميرا، وتاريخ الالتقاط ووقته، ونوع الجهاز أو الكاميرا. فلا يصل موقع التصوير إلينا أصلًا. ولا يرافق الصورة إلا ما تحتاجه لتُعرض كما رأيتها، مثل الجهة التي تُعرض بها حتى لا تصل مقلوبة، وملف الألوان المرافق لها. أمّا الصور المتحركة (GIF) فلا تحمل سجلّ كاميرا من هذا النوع، فتُرسل كما هي. وما لا نستطيع قراءته من الملفات لا نرسله أصلًا. ولا يمكن سحب رسالة بعد إرسالها، وقد يكون الشريك حفظ نسخة من الصورة على جهازه، وهذه خارج متناولنا. وعند حذف حسابك تُحذف صورك من كل المحادثات، ويبقى نص الرسائل بلا اسمك ولا رقمك. أمّا بيانات الدفع البنكية (مثل الآيبان) فمشاركتها متاحة حتى تدبّروا الدفع بينكم وبين الشريك مباشرة: زفّة ليست طرفًا في تلك المدفوعات ولا تتحمّل مسؤوليتها.
الحجوزات والتقييمات: طلبات الحجز التي ترسلها، وتقييماتك المنشورة بعد المراجعة. وتمرّ التقييمات على الفحص الآلي نفسه: التقييم الذي يحمل لفظًا مسيئًا لا يُقبل ولا نحفظه، ويبقى نصّه عندك لتعدّله.
البلاغات والحظر: إن أبلغت عن رسالة أو تقييم حفظنا مع البلاغ السبب الذي تختاره، وملاحظة تكتبها إن شئت، ونسخة من نص الرسالة أو التقييم كما كان ساعة البلاغ، ومن أبلغ ومتى. ونحفظ تلك النسخة ليبقى البلاغ قابلًا للمراجعة ولو عُدّل الأصل أو حُذف. ولا يطّلع على البلاغ إلا فريق الإشراف في زفّة، ولا نستخدمه إلا لمراجعة المخالفة واتخاذ ما يلزم بشأنها. وإن حظرت منشأة أُغلقت محادثاتك معها، ولا تُتبادل بينكما رسائل في أي محادثة، ولو فتحها طلب حجز لاحق، حتى ترفع الحظر، ولك رفعه متى شئت. ولا نخبر المنشأة بأنك حظرتها، وإنما ترى أن محادثاتها معك أُغلقت. ويبقى ما بينكما من حجز أو طلب حجز كما هو، فالحظر يوقف الرسائل وحدها. ونحفظ الحظر لنطبّقه. ويشمل «تصدير بياناتي» البلاغات التي أرسلتها والمنشآت التي حظرتها. وعند حذف حسابك يُحذف الحظر، وتُفصل البلاغات عنك (انظر «مدد الاحتفاظ»).
الملاحظات: ما ترسله إلينا من داخل التطبيق (رسالة قصيرة وتصنيفها) مع رقم إصدار التطبيق، نستخدمه فقط لمعالجة الأعطال وتحسين المنتج. ما دام حسابك قائمًا تبقى الملاحظة مرتبطة بك لنتابع معك، وعند حذف حسابك نحتفظ بها بصيغة مجهّلة فقط.
الشركاء (قاعات، مكاتب تنظيم، استوديوهات تصوير): بيانات حسابات المنشأة وموظفيها وصلاحياتهم، ومنها البريد الإلكتروني الذي يدخل به صاحب كل حساب، وإليه يصل رمز الدخول، وصور القاعات والأسعار والتقويم. ويرى العرسان في تقويم الشريك أن يومًا قادمًا غير متاح، لا أكثر: لا سبب عدم الإتاحة، ولا ساعات اليوم، ولا أي بيان عمّن حجز، ولا الأيام الماضية. ويظهر ذلك لمن يفتح صفحة الشريك في التطبيق دون تسجيل دخول. والأمر خيار في يد الشريك: مفعّل من البداية، وله إيقافه متى شاء من صفحة التقويم، فإن أوقفه لم يظهر شيء من أيامه للعرسان.
معارض الأعمال: صور من مناسبات سابقة يرفعها الشريك في ملفه، وقد تظهر فيها وجوه أشخاص؛ برفعها يقرّ الشريك بأن لديه إذنًا موثَّقًا ممن يظهرون فيها بالنشر، وتُراجع الصور قبل ظهورها في التطبيق، ولأي شخص ظهرت صورته طلب إزالتها (انظر «حقوق من يظهرون في الصور»).
الإشعارات: رموز الأجهزة واشتراكات إشعارات الويب لإيصال التنبيهات.
قياس استخدام التطبيق: نقيس بأنفسنا كيف يُستخدم تطبيق العرسان، لنحسّن جودته وموثوقيته، ونسجّل ذلك تحت معرّف عشوائي يخصّ نسخة التطبيق المثبّتة على جهازك، لا تحت اسمك ولا رقم جوالك ولا حسابك. ولا نسجّل إلا أحداثًا من سجل معتمد ومغلق لدينا، مثل فتح التطبيق، والتنقّل بين شاشاته، واكتمال خطوات التسجيل، وإرسال طلب حجز. ولا يحمل الحدث الواحد إلا اسمه ووقت وقوعه، وتفصيلًا واحدًا على الأكثر من قائمة محدّدة سلفًا، كالشاشة، أو خطوة التسجيل، أو القاعة التي فُتحت صفحتها، أو عدد الضيوف الذين أُرسلت إليهم دعوة، رقمًا لا اسم فيه. ويرافقه رقم إصدار التطبيق، ونظام التشغيل، ولغة الجهاز، وذلك المعرّف العشوائي نفسه، ويُنشأ على جهازك. وهذا المعرّف ليس حسابك ولا اسمك ولا رقم جوالك، ولا نحفظ ما يربطه بأيٍّ منها، ولا نبني صلة كهذه أبدًا. ولا نسجّل اسمًا ولا رقم جوال ولا عنوان IP ولا موقعًا جغرافيًا ولا شيئًا مما يكتبه أحد، ولا شيئًا من قائمة ضيوفك أو ميزانيتك أو محادثاتك أو دعواتك. وتُحفظ هذه البيانات على خوادمنا داخل المملكة، وأداة القياس أداتنا نحن، ولا تتلقّاها أي جهة خارجية لأغراضها الخاصة، وإنما تمرّ في طريقها إلينا عبر مزوّد الشبكة الذي يوصل اتصالاتنا نيابةً عنّا (انظر «التخزين ونظام حماية البيانات الشخصية»). أساسها النظامي المصلحة المشروعة (انظر «لماذا نجمعها»). والقياس جزء من التطبيق نفسه، فليس فيه مفتاح لإيقافه، ولا سبيل إلى إيقافه على جهازٍ إلا حذف التطبيق منه (انظر «حقوقك»). ولا نقيس شيئًا في بوابات الشركاء ولا في تطبيقاتهم.
أعداد صفحة الدعوة: في الصفحة التي يفتحها المدعوّ من رابط دعوته نحصي أربعة أشياء لا غير، أعدادًا لا تحمل هوية أحد، على مستوى المنصّة كلها: فتح الدعوة، وإرسال الرد، وفتح الاتجاهات إلى القاعة، وإضافة الموعد إلى التقويم. ونعدّ الرد ردًّا واحدًا، حضورًا كان أم اعتذارًا، فلا يحمل العدد جواب أحد. ولا نحفظ لأيٍّ منها سجلًا بمفرده، وإنما نزيد عدّاد ذلك اليوم واحدًا، فلا يبقى لدينا إلا اليوم، واسم الحدث، والعدد، ولا شيء أدقّ من اليوم. ولا تضع الصفحة ملفات تعريف ارتباط، ولا تحفظ شيئًا في متصفح المدعوّ، ولا ترسل مع العدّ معرّفًا ولا رابط الدعوة ولا رمزها. ولا نحفظ عنوان IP ولا بيانات المتصفح أو الجهاز، ولا يرتبط العدد بالمدعوّ ولا بالعروسين ولا بالزفاف ولا بالدعوة. وهذه الأعداد منفصلة عن عدد مرات فتح الرابط الذي نحتسبه لكل دعوة (انظر «الدعوات»)، ولا نصل بينهما. وما دام هذا العدّ موقوفًا من خوادمنا لا ترسل الصفحة شيئًا أصلًا.
قائمة الانتظار (zaffahapp.com): رقم جوالك واسمك الأول، واسم عائلتك اختياريًا، بموافقة صريحة تمنحها عبر خانة موافقة في النموذج، لغرض وحيد هو إشعارك بالإطلاق ومخاطبتك باسمك في تلك الرسالة، ومعها بيانات تقنية موجزة لمنع الإرسال الآلي (لغة الصفحة ومعرّف المتصفح).
سجلّ شراكات مقدّمي خدمات الأعراس: اسم المنشأة ونوع خدمتها (قاعة، تصوير، ضيافة، تنسيق، أو غير ذلك) والمدينة ورقم تواصل المنشأة، وبريدها أو حسابها في إنستقرام اختياريًا، سواء أرسلتها المنشأة عبر نموذج «سجّلوا خدمتكم» في zaffahapp.com أو دوّنها فريقنا عند تواصلٍ مباشر أو من قنوات المنشأة العامة، لغرض وحيد هو التواصل بشأن الشراكة ومتابعتها، مع تدوين مصدر كل سجل، ومعها بيانات تقنية موجزة لمنع الإرسال الآلي (لغة الصفحة ومدّة تعبئة النموذج).
موقع القاعة على الخريطة: إحداثيات دبوس القاعة وعلامة قريبة يكتبها الشريك، بيانات منشأة يقدّمها الشريك بنفسه ويراجعها فريقنا قبل ظهورها، لغرض وحيد هو إرشاد العرسان وضيوفهم إلى القاعة. خرائط زفّة مستضافة على خوادمنا بالكامل، فتصفّح الخريطة لا يرسل شيئًا لأي مزوّد خرائط، ولا نطلب موقعك الجغرافي أبدًا.
سجلات تقنية: سجلات تشغيل وتدقيق أساسية لأمن المنصّة وتتبّع الأعطال وكشف الاحتيال والفصل في النزاعات، أساسها المصلحة المشروعة (انظر «مدد الاحتفاظ»).

لا نعالج أي مدفوعات أو عربونات في هذه النسخة من المنتج.

لماذا نجمعها (الأساس النظامي)

نعالج بياناتك لتنفيذ الخدمة التي طلبتها (إنشاء الحساب، تنظيم زفافك، التواصل مع القاعات، إتمام طلبات الحجز)، وبموافقتك حيثما يتطلب النظام ذلك (مثل قائمة الانتظار والإشعارات). لا نبيع بياناتك ولا نستخدمها لأغراض دعائية لجهات أخرى. ومن ذلك أن نراسلك بشأن حجزك إذا توقّف الشريك عن العمل معنا أو أُوقف حسابه، وأن يتابع فريق زفّة معك، في حالة الإيقاف وحدها، شأن موعدك مع ذلك الشريك. هذه رسائل خدمة تخصّ حجزك، لا رسائل تسويق، وأساسها تنفيذ الخدمة التي طلبتها لا موافقة تسويقية.

أمّا ردّ المدعوّ على دعوته، بما فيه الكلمة التي يكتبها، فيقدّمه بمحض اختياره ونعالجه لغرض واحد هو إيصال ردّه إلى من دعاه، استنادًا إلى المصلحة المشروعة لطرفَي الدعوة. لا نستخدمه لغير ذلك، ولا نستعمله لمراسلة المدعوّ. ولا يخرج ردّ المدعوّ من هذا الغرض. غير أننا نحصي على مستوى المنصّة كلها عدد الردود بالقبول والاعتذار ومتوسط زمن الرد، أرقامًا مجمّعة لا اسم فيها ولا رقم ولا كلمة مكتوبة، ولا نفصّلها على زفاف بعينه ولا على مدعوّ بعينه، لنعرف هل تصل الدعوات وتُقرأ. ومن هذا الباب عدّ الردود في «أعداد صفحة الدعوة». ولا نعطي شيئًا من هذه الأرقام لأي جهة خارجية.

وأساس قياس الاستخدام، في التطبيق وفي صفحة الدعوة، هو المصلحة المشروعة، لغرض واحد: أن نحسّن جودة زفّة وموثوقيتها، فنعرف هل يكتمل التسجيل، وهل تعمل الخطوات الأساسية في منظّم الزفاف كما ينبغي، وهل تصل الدعوات إلى المدعوّين وتُفتح. هذا هو الغرض كلّه. لا نستخدم هذه البيانات للإعلان ولا للتسويق ولا لتكوين ملفات تعريفية عن أحد، ولا نبني عليها أي قرار يخصّك أنت. وقد بنيناه ليعمل دون اسمك ولا رقمك ولا حسابك. ولأي سؤال عنه أو اعتراض عليه راسلنا على [email protected] (انظر «حقوقك»).

من يطّلع على بياناتك

الشركاء (القاعة أو المكتب أو الاستوديو): يرون فقط ما يلزم لطلبك، اسمك وتاريخ الحفل وتفاصيل الطلب ورسائلك لهم. لا يرون قائمة ضيوفك ولا ردود مدعوّيك ولا ميزانيتك أبدًا. ويبقى وصول الشريك إلى حجزك ومحادثته معك ما دام الحجز قائمًا. وإن توقّف الشريك عن العمل معنا بقي وصوله إلى حجزك وحده حتى يمرّ موعدك وأربعة عشر يومًا بعده، ثم ينقطع من تلقاء نفسه، ولا يصله بعد التوقّف طلب جديد منك أو من غيرك. أمّا إن أُوقف حسابه فينقطع وصوله في حينه.
فريق زفّة: لا نقرأ محادثاتك مع الشريك في المسار المعتاد، والفحص الذي يحجب قنوات التواصل خارج المنصّة آليّ. ويطّلع عدد محدود من فريقنا على محادثة بعينها في حالات محصورة: بلاغ إساءة أو مخالفة، أو طلب دعم منك، أو إيقاف حساب شريك له زفّات مؤكَّدة قادمة، فنتابع معك شأن موعدك. ويكون واضحًا في كل رسالة تصلك منّا أن المتحدث فريق زفّة لا الشريك. وكل اطّلاع من هذا النوع مقصور على أصحاب الصلاحية ومسجَّل في سجل التدقيق لدينا.
معالجون نيابة عنّا: مزوّد رموز التحقق Authentica (يرسل رموز التحقق بالرسائل النصية، ويرسل رمز الدخول بالبريد الإلكتروني لحسابات الشركاء وفريق زفّة، فيتلقّى لهذا الغرض وحده عنوان بريد الحساب)، ومزوّد الاستضافة Oracle Cloud Infrastructure، ونستخدم خوادمه في منطقة جدة داخل المملكة، ومزوّد الإشعارات Google عبر خدمة Firebase Cloud Messaging (انظر «التخزين ونظام حماية البيانات الشخصية»)، ومزوّد الشبكة Cloudflare، الذي يستضيف صفحات zaffahapp.com ومنها هذه الصفحة، وتمرّ عبره صفحة الدعوة وكل ما يُرسل منها، ومنه ردود المدعوّين، ويمرّ عبره كذلك اتصال التطبيق وبوابات الشركاء بخوادمنا حين تُفتح للعموم (انظر «التخزين ونظام حماية البيانات الشخصية»). يعملون بعقود تلزمهم بحماية بياناتك، ولا نشارك معهم إلا الحد الأدنى اللازم.
إحصاءات الاستخدام، ومنها أعداد صفحة الدعوة: لا يطّلع عليها إلا عدد محدود من فريق زفّة من أصحاب الصلاحية، وبصورة أرقام مجمّعة لا سجلات فردية، وكل اطّلاع مسجَّل في سجل التدقيق لدينا.
البلاغات: لا يطّلع عليها إلا فريق الإشراف في زفّة، ومعها نسخة الرسالة أو التقييم المُبلَّغ عنه (انظر «البلاغات والحظر»).
زر «افتحوا الاتجاهات»: عند ضغطه ينقلك جهازك بقرارك إلى تطبيق الخرائط الذي تختاره (مثل خرائط Google أو خرائط Apple) ومعه اسم القاعة وإحداثياتها فقط، وتسري حينها سياسة ذلك التطبيق. وثمة حالة أخرى واحدة تمسّ مزوّد خرائط: حين تلصق أنت أو يلصق الشريك رابطًا من خرائط Google لتحديد موقع القاعة، تفتح خوادمنا ذلك الرابط لدى Google لتقرأ منه الإحداثيات. ولا يحمل هذا الطلب إلا الرابط نفسه، لا اسمك ولا رقمك ولا حسابك ولا شيئًا عن جهازك، ويصدر من خوادمنا لا من جوالك. وفيما عدا هاتين الحالتين لا نتصل بأي مزوّد خرائط.
لا نفصح عن بياناتك لأي جهة أخرى إلا بمقتضى نظامي.

المكتب الخلفي للقاعات. نتيح لشركاء القاعات مكتبًا خلفيًا لإدارة حجوزاتهم وعروض أسعارهم وعقودهم وفواتيرهم وسندات القبض ومشترياتهم وتقاريرهم. وبالنسبة للبيانات التي تدخلها القاعة هناك (عملاؤها، ومنهم من لم يستخدم تطبيق زفّة، ومورّدوها، وسجلاتها المالية، ومعرّفاتها الضريبية مثل الرقم الضريبي والسجل التجاري، وأي صور مستندات ترفعها)، فالقاعة هي جهة التحكم وزفّة معالِج نيابةً عنها: القاعة تقرّر ما يُدخل وتتحمّل مسؤوليته، ونعالجه وفق تعليماتها فقط لتقديم خدمة المكتب. لا نبيع هذه البيانات، ولا نستخدمها لأي غرض آخر، ولا نضيف عليها أي تحليلات أو تتبّع.

المدفوعات تبقى خارج زفّة. تسجيل دفعة في المكتب قيدٌ محاسبي تجريه القاعة عن مبلغ استلمته مباشرة. وزفّة ليست طرفًا في أي دفعة، ولا تحتفظ بأي مبلغ ولا تحرّكه.

حين تحجزون لدى قاعة تستخدم المكتب. قد تحتفظ القاعة باسمكم ورقم جوالكم بوصفه سجل عميل خاصًا بها، وقد تُدرج حجزكم لديها في عرض سعر أو عقد أو فاتورة تصدرها. ولا ترى غير ذلك: لا قائمة ضيوفكم ولا ردودهم، ولا ميزانيتكم، ولا نشاطكم في التطبيق، ولا شيئًا عن أي قاعة أخرى. ولأن هذه المستندات سجلات تجارية وضريبية للقاعة، تحتفظ بها القاعة، وبسجل العميل الذي تستند إليه، وفق مدة الاحتفاظ أدناه، حتى بعد حذفكم لحسابكم في زفّة.

ممارسة حقوقكم على سجلات القاعة. بالنسبة لأي سجل تحتفظ به القاعة في مكتبها، فالقاعة هي جهة التحكم: توجَّه طلبات الاطلاع أو التصحيح أو الحذف إليها، وتساعدها زفّة بصفتها معالِجًا. ويبقى لحسابكم في زفّة مساراه المستقلان داخل التطبيق: «تصدير بياناتي» و«حذف الحساب نهائياً».

الإخطار بالتسريب. إذا وقع تسريب لبيانات شخصية يمسّ بيانات المكتب، نُخطر القاعة المعنية دون تأخير غير مبرر لتفي بواجب الإخطار الخاص بها تجاه سدايا، ونُخطر سدايا مباشرة حين يكون الواجب واجبنا.

التخزين ونظام حماية البيانات الشخصية

تُخزَّن بياناتك لدى مزوّد استضافة يخضع لضوابطنا الأمنية، ونلتزم بنظام حماية البيانات الشخصية ولائحة نقل البيانات في أي قرار يتعلق بمكان التخزين أو أي نقل خارج المملكة. تنبيه صريح: قائمة الانتظار تُحفظ مؤقتًا في أداة جداول سحابية قد تكون خوادمها خارج المملكة؛ نُبقيها في أضيق نطاق، وسنرحّلها إلى أنظمتنا قبل الإطلاق.

وتمرّ عبر Cloudflare الاتصالات بيننا وبين العموم، وهو مزوّد شبكة لا يعمل نيابةً عنّا إلا لإيصال الخدمة. فهو يستضيف صفحات zaffahapp.com، ويوصل إلى خوادمنا طلبات صفحة الدعوة، ثم طلبات التطبيق وبوابات الشركاء حين تُفتح للعموم. ويفكّ تشفير الاتصال عند أقرب نقطة من شبكته إليك، ثم يحمله إلى خوادمنا في نفق مشفّر، فيمرّ عبره الطلب نفسه بما فيه، ومعه عنوان IP وبيانات المتصفح أو الجهاز. وقد تقع تلك النقطة، وتُعالج فيها هذه البيانات، خارج المملكة.

أحداث قياس الاستخدام وأعداد صفحة الدعوة تُحفظ على خوادمنا داخل المملكة، ولا نحفظها في أي مكان خارجها. وأداة القياس أداتنا نحن، ولا تتلقّى هذه البيانات أي جهة خارجية لأغراضها الخاصة، وإنما تمرّ الطلبات التي تحملها عبر Cloudflare في طريقها إلينا، كما وصفنا.

ونقول بصراحة كذلك إن إيصال الإشعارات يقتضي نقلًا خارج المملكة. فإن سمحت بالإشعارات سجّل التطبيق جهازك لدى خدمة Firebase Cloud Messaging التابعة لشركة Google، وهي التي تُصدر رمز الجهاز الذي نصل به إليك. ولذلك ترسل برمجيات Google المضمّنة في التطبيق إلى Google طلب الرمز ومعه طراز جهازك ولغته ومنطقته الزمنية وإصدار نظام تشغيله وإصدار التطبيق، وترى Google عنوان IP لجهازك. وحين نرسل إليك تنبيهًا تسلّمه خوادمنا إلى Google، فتوصله إلى أجهزة آيفون عبر خدمة الإشعارات من Apple، وإلى أجهزة أندرويد بنفسها، وخوادم هاتين الخدمتين خارج المملكة. ولا يحمل ما نرسله اسمك ولا رقم جوالك، وإنما الرمز والسطر الذي يظهر لك على شاشتك، ومع بعض التنبيهات مرجع داخلي يفتح به التطبيق الصفحة المعنية. وتعمل Google في ذلك نيابةً عنّا بموجب شروط معالجة البيانات لديها. وقد قيّمنا هذا النقل وفق نظام حماية البيانات الشخصية ولائحة نقل البيانات، ووثّقنا ضرورته ومخاطره والضمان النظامي المطبّق عليه. وإن لم تسمح بالإشعارات لم يسجّل التطبيق جهازك لدى Google أصلًا، وإن أوقفتها لاحقًا من إعدادات جهازك توقّف هذا النقل من أول فتح للتطبيق بعدها، وحذفنا الرمز من سجلاتنا.

مدد الاحتفاظ

بيانات الحساب ورحلة الزفاف: ما دام حسابك قائمًا، وتُحذف عند حذفه.
ردود المدعوّين: مع الدعوة التي تخصّها، ما دام حسابك قائمًا، وتُحذف بحذفه. وحين تحذف مدعوًّا من قائمتك يُسحب رابطه ويُحذف ردّه وكلمته واسمه معه، فلا يبقى من دعوته إلا أنها أُرسلت. ولمن كتب ردًّا أن يطلب حذفه قبل ذلك (انظر «خصوصية المدعوّين وحقوقهم»).
الملاحظات: مرتبطة بك ما دام حسابك قائمًا لنتابع معك. وعند حذف حسابك نزيل صلتها بهويتك ونحتفظ فقط بالرسالة المجهّلة وتصنيفها ورقم إصدار التطبيق، لمعالجة الأعطال وتحسين المنتج، دون أن نستطيع ربطها بك.
رموز التحقق: تنتهي صلاحية الرمز خلال دقائق، ويُحذف سجلّه آليًا خلال ساعات.
المحادثات: مرتبطة بك ما دام حسابك قائمًا. وعند حذف حسابك يبقى نص رسائلك مع القاعة في محادثتها بعد إزالة اسمك وبيانات حسابك منها. أمّا الصور التي أرسلتها فتُحذف هي ونسخها، لأن الصورة لا يمكن تجهيلها، ويبقى مكانها في المحادثة سطرًا يقول إنها حُذفت.
رسائل الخدمة بشأن حجزك، وأثر اطّلاع فريقنا على محادثة: يُحفظ سجل الإرسال والاطّلاع ضمن سجلات التشغيل والتدقيق حتى خمس سنوات. أمّا ما يُكتب منها داخل المحادثة نفسها فتسري عليه مدة المحادثات أعلاه.
البلاغات: تبقى ما دام البلاغ قيد المراجعة، ثم 12 شهرًا بعد البتّ فيه. بعدها نحذف نسخة الرسالة أو التقييم، وملاحظتك وملاحظة فريقنا، وكل ما يدلّ عليك أو على الرسالة أو التقييم، فلا يبقى إلا سجل مجرّد بسبب البلاغ وما انتهى إليه، ومعه المنشأة المعنيّة إن كان البلاغ عن رسالة منها، لا يرتبط بأي شخص. وإن حذفت حسابك قبل ذلك فصلنا بلاغاتك عنك في حينه: نحذف ارتباطها بحسابك، ونحذف ملاحظتك إن كان البلاغ قد بُتّ فيه، وإن كان لا يزال قيد المراجعة أزلنا منها أي رقم أو بريد أو رابط ليُكمل فريقنا مراجعة المحتوى المُبلَّغ عنه. والحظر: يبقى ما دام حسابك قائمًا، ويُحذف مع حسابك.
قائمة الانتظار: حتى الإطلاق، ثم تُحذف ما لم تُنشئ حسابًا.
صورة الغلاف وفيديو الترحيب: ما دامت الدعوة قائمة في حسابك. تُحذف حين تزيلها بنفسك أو تستبدلها، وتُحذف مع حسابك عند حذفه، ولا نحتفظ بتسجيل الفيديو الأصلي بعد تهيئته للعرض. وعند طلب من ظهر فيهما نزيلهما من الدعوة ونحذف الملف ونسخه خلال 24 ساعة كحد أقصى.
صور معارض الأعمال: ما دام حساب الشريك قائمًا. عند طلب من تظهر صورته نسحبها من العرض خلال 24 ساعة كحد أقصى، وعند حذف حساب الشريك تُحذف الصور، وتزول النسخ الاحتياطية خلال دورة النسخ المعتادة.
سجلّ الشراكات: ما دام التواصل قائمًا؛ وإذا لم تكتمل الشراكة تُحذف البيانات أو تُجهَّل خلال 12 شهرًا من إغلاق السجل. وعند طلب الحذف نحذفها ونُبقي فقط إشارة منع تواصل مختصرة حتى لا نعاود الاتصال بمن طلب ذلك.
سجلات المكتب (عروض الأسعار المُرسلة والعقود والفواتير والإشعارات الدائنة وسندات القبض وفواتير المشتريات وصور المستندات المرفقة بها وسجل العميل الصادرة باسمه): عشر سنوات من نهاية السنة المالية التي صدر فيها المستند، لأن الأنظمة السعودية تُلزم القاعة بحفظ دفاترها التجارية ومراسلاتها ومستنداتها المؤيدة عشر سنوات على الأقل، وسجلاتها الضريبية ست سنوات على الأقل. نحفظها للقاعة بصفتنا معالِجًا طوال تلك المدة، سواء بقي حساب القاعة أو حساب العميل في زفّة قائمًا أو لم يبقَ. أما سجلات العملاء والمسودات التي لم يصدر عنها أي مستند فتُحذف أو تُجهَّل بعد 24 شهرًا من آخر نشاط، أو متى طلبت القاعة ذلك، أيّهما أسبق.
سجلات التشغيل والتدقيق: حتى خمس سنوات، لحماية المنصّة وكشف الاحتيال والفصل في النزاعات، ثم تُحذف أو تُجهَّل. وحيث يحدّد بندٌ أعلاه مدةً أقصر لما يسجّله السجل، كالبلاغات، تسري تلك المدة.
أحداث قياس الاستخدام: تُحذف الأحداث الخام بعد 90 يومًا من وقوعها، وتزول نسخها الاحتياطية خلال دورة النسخ المعتادة. ولا يبقى بعدها إلا أرقام مجمّعة: ليس فيها معرّف نسخة التطبيق ولا أي معرّف آخر، ولا نحفظ ما يصلها بأي شخص، ولا نبني صلة كهذه أبدًا.
أعداد صفحة الدعوة: لا سجلات خام لها أصلًا، فهي أعداد منذ البداية، تُحفظ في عدّاد لكل يوم ولا شيء أدقّ من اليوم. وتُحذف هذه العدّادات اليومية بعد 90 يومًا على الأكثر، وتزول نسخها الاحتياطية خلال دورة النسخ المعتادة، ويبقى مجموع كل يوم ضمن أرقام المنصّة المجمّعة، ولا معرّف فيه.
النسخ الاحتياطية: نحفظ داخل المملكة نسخًا مشفّرة من قاعدة بياناتنا نستعيد بها بياناتنا إن طرأ عطل، فنسخة كل ساعة تبقى ستة أيام، ونسخة كل أسبوع تبقى 90 يومًا، ثم تُحذف. وهذه هي دورة النسخ المعتادة التي يشير إليها هذا القسم. وما تحذفه لا يبقى إلا فيها حتى تنقضي مدتها، ولا نعود إليها أبدًا لنسترجع ما حذفته. ولا تدخل أحداث قياس الاستخدام ولا أعداد صفحة الدعوة في النسخ الأسبوعية، ولا تدخلها الصور والفيديو أبدًا، فلها نسخة يومية مستقلة تبقى يومًا واحدًا.

حذف حسابكم في زفّة: يُحذف حسابكم ورحلتكم وقائمة ضيوفكم ودعواتكم وردود مدعوّيكم عليها وميزانيتكم وطلبات الحجز والمنشآت التي حظرتموها، وتُفصل عنكم البلاغات التي أرسلتموها (انظر «مدد الاحتفاظ»). وقد تبقى السجلات الآتية وفق ما نوضحه. أولًا: نص رسائلكم مع القاعة يبقى في محادثتها بعد إزالة أسمائكم وبيانات حسابكم منها، أمّا الصور التي أرسلتموها فتُحذف هي ونسخها. ثانيًا: إذا أصدرت لكم قاعة حجزتم لديها فعلًا عرض سعر أو عقدًا أو فاتورة من مكتبها، فإن تلك القاعة تحتفظ بالمستند وبسجل العميل المسمّى فيه، ويشمل اسمكم ورقم جوالكم، بوصفه سجلًا تجاريًا وضريبيًا لها للمدة المذكورة أعلاه، ويُحفظ سجل الحجز الذي تستند إليه تلك المستندات بعد فصل ارتباطه بحسابكم. ثالثًا: سجلات التشغيل والتدقيق التي تسجّل ما جرى على حسابكم تبقى للمدة المذكورة في «مدد الاحتفاظ»، ثم تُحذف أو تُجهَّل. ويؤدي حذف الحساب أيضًا إلى حذف أحداث القياس المرسَلة من نسختكم المثبّتة، ويُنشئ التطبيق معرّفًا عشوائيًا جديدًا لنسخته وينسى القديم. فإن أبقيتم التطبيق على جهازكم بعد ذلك عاد القياس تحت المعرّف الجديد، ولا يبقى ما يصل ما سُجّل قبل الحذف بما يُسجَّل بعده. وتبقى الأرقام المجمّعة المحسوبة من قبل، ولا معرّف فيها. ولا يبقى لدى القاعة عنكم شيء غير ما وصفناه.

حقوقك

لك الاطّلاع على بياناتك وتصديرها وتصحيحها وحذفها. عمليًا: من داخل التطبيق تجد تصدير بياناتي وحذف الحساب نهائياً (يحذف حسابك ورحلتك وضيوفك ودعواتك وردودهم عليها وميزانيتك وطلبات حجزك والمنشآت التي حظرتها، ويفصل عنك البلاغات التي أرسلتها. انظر «مدد الاحتفاظ» لما يبقى ولماذا)، ولتصحيح أي بيانات أو لأي طلب آخر راسلنا على [email protected] ونستجيب خلال المدد النظامية.

تشمل حقوقك العلم بالمعالجة، والوصول إلى بياناتك والحصول على نسخة منها، وتصحيحها أو إكمالها أو تحديثها، وطلب إتلافها. أمّا قياس الاستخدام فلا يرتبط بحسابك ولا باسمك ولا برقم جوالك، فلا نستطيع أن نبحث فيه باسمك أو برقمك، ولا نستطيع أن نعرف أيّ نسخة مثبّتة هي نسختك. ولا سبيل إلى إيقاف القياس على جهازٍ إلا حذف التطبيق منه. أما «حذف الحساب نهائياً» فيسلّمنا فيه التطبيق نفسه معرّف نسخته، لنحذف ما أُرسل تحته من أحداث القياس، وإن لم يصلنا طلبه حُذفت تلك الأحداث على أي حال خلال 90 يومًا. وإن أبقيت التطبيق على جهازك بعد ذلك عاد القياس تحت معرّف جديد لا صلة له بالقديم. ولك أن تسألنا عن هذا القياس أو تعترض عليه متى شئت على [email protected]، ونجيبك خلال المدد النظامية. ولك تقديم شكوى إلى الجهة المختصة بحماية البيانات الشخصية في المملكة.

خصوصية المدعوّين وحقوقهم

إن وصلتك دعوة عبر زفّة، فردّك عليها، حضورًا أو اعتذارًا، وعدد الكبار والأطفال معك، والكلمة التي تكتبها للعروسين إن شئت، تقدّمها أنت ليصل جوابك إلى من دعاك، ونعالجها لهذا الغرض وحده. يصل ردّك وكلمتك إلى العروسين باسمك، ولا يراهما شريك ولا مدعوّ آخر، ولا يطّلع عليهما من فريقنا أحد إلا في الحالتين المذكورتين في «ردود المدعوّين»، ولا نستعملهما لمراسلتك. ويُحفظ الرد مع دعوته ما دام حساب العروسين قائمًا، ويُحذف بحذفه، وإن حذفك العروسان من قائمتهما حُذف ردّك وكلمتك واسمك معك (انظر «مدد الاحتفاظ»).

ولك أن تعدّل ردّك أو تمسح كلمتك بنفسك من رابط دعوتك ما دام باب الرد مفتوحًا. وإن أضاف أحدهم اسمك أو رقمك إلى قائمة ضيوفه لدينا، يحق لك طلب حذفهما بمراسلتنا على [email protected]، وسنحذفهما دون أن نطلب منك إنشاء حساب، ويشمل ذلك ردّك على الدعوة والكلمة التي كتبتها معه. ويكفي أن ترفق رابط الدعوة حتى نصل إلى ما تطلب حذفه.

وإلى جانب ذلك تحصي صفحة الدعوة أربعة أشياء، أعدادًا مجمّعة لكل يوم على مستوى المنصّة كلها، لا تحمل اسمك ولا جوابك ولا شيئًا من دعوتك (انظر «أعداد صفحة الدعوة»). وتمرّ الصفحة وكل ما يُرسل منها عبر Cloudflare، مزوّد الشبكة الذي يصل بينك وبيننا نيابةً عنّا (انظر «التخزين ونظام حماية البيانات الشخصية»).

حقوق من يظهرون في الصور

إن ظهرت صورتك أو صوتك في معرض أعمال أحد الشركاء، أو في غلاف دعوة أو فيديو ترحيب على زفّة، يحق لك طلب الإزالة بمراسلتنا على [email protected]، وسنزيلها خلال 24 ساعة كحد أقصى من وصول طلبك، دون أن نطلب منك إنشاء حساب. ويكفي أن ترفق رابط الدعوة أو ما يدلّ على موضع الصورة حتى نصل إليها. ولأن الإزالة تمسّ دعوة شخص آخر، قد نسألك عمّا يطمئننا أنك من يظهر فيها، لكن ذلك لا يؤخّر الإزالة عن 24 ساعة: إن لم يكتمل التحقق خلالها أزلناها أولًا.

ملفات تعريف الارتباط والتحليلات

صفحة zaffahapp.com التعريفية لا تستخدم ملفات تعريف ارتباط تتبّعية ولا أي أداة قياس خارجية. وصفحة الدعوة التي يفتحها المدعوّ لا تضع ملفات تعريف ارتباط، ولا تحفظ شيئًا في متصفحه، ولا تستعين بأي أداة قياس خارجية، ولا ترسل من القياس إلا الأعداد الأربعة الموصوفة في «أعداد صفحة الدعوة». أمّا القياس داخل تطبيق العرسان فهو قياسنا نحن، يُحفظ على خوادمنا داخل المملكة، ولا تتلقّى منه أي جهة خارج زفّة شيئًا لأغراضها الخاصة (وعن مرور الاتصالات عبر Cloudflare انظر «التخزين ونظام حماية البيانات الشخصية»). ولا نجمع إلا الأحداث المعتمدة في سجل الأحداث لدينا، وهو سجل مغلق لا يتّسع لنص حر.

التغييرات

عند أي تعديل جوهري سنشعرك داخل التطبيق أو بالبريد قبل سريانه، مع تاريخ آخر تحديث أعلى هذه الصفحة.

وهذا التحديث جوهري. فالدخول إلى بوابات الشركاء وبوابة فريق زفّة يتطلّب، متى فعّلنا هذه الخطوة، بعد كلمة المرور رمزًا من ست خانات يصل إلى البريد الإلكتروني المسجّل للحساب، يرسله Authentica، مزوّد رموز التحقق الذي نستعين به للرسائل النصية، فيتلقّى عنوان ذلك البريد لهذا الغرض وحده. وصحّحنا في «مدد الاحتفاظ» ما قلناه عن رموز التحقق كلها، ومنها رموز الرسائل النصية التي تصل العرسان: تنتهي صلاحية الرمز خلال دقائق، ويبقى سجلّه حتى يُحذف آليًا خلال ساعات، بعد أن ذكرنا أنه يُحذف خلال دقائق. ومدّدنا حفظ سجلات التشغيل والتدقيق من 12 شهرًا إلى خمس سنوات على الأكثر، لحماية المنصّة وكشف الاحتيال والفصل في النزاعات، ثم تُحذف أو تُجهَّل. ولا يغيّر هذا التحديث شيئًا آخر في بيانات العرسان ولا المدعوّين. وصدر قبل أن يكون لزفّة مستخدمون من خارج فريقنا، لا في التطبيق ولا في البوابات، ويسري من 16 أكتوبر 2026.

وكان تحديث 4 أكتوبر 2026 جوهريًا أيضًا: صرنا نسمّي المزوّدين الذين يعملون نيابةً عنّا، ومنهم Google، إذ توصل خدمتها Firebase Cloud Messaging الإشعارات إلى أجهزة آيفون وأندرويد، ونصف ما يرسله التطبيق إلى Google حين تسمح بالإشعارات. ونصف كذلك الطلب الوحيد الذي ترسله خوادمنا إلى خرائط Google لقراءة الإحداثيات من رابط خرائط تلصقه أنت أو يلصقه الشريك، وموقع القاعة الذي يمكنك إضافته إلى دعوتك. وأضفنا أدوات الإبلاغ والحظر في التطبيق، وما يحفظه البلاغ ومدة الاحتفاظ به، والفحص الآلي الذي يردّ الرسائل والتقييمات التي تحمل ألفاظًا مسيئة، وصرنا نزيل ما يُطلب إزالته من صور ومقاطع خلال 24 ساعة بعد أن كانت المهلة 72 ساعة. وصدر ذلك التحديث قبل أن يكون للتطبيق مستخدمون من خارج فريقنا، وسرى من 4 أكتوبر 2026.

وكان تحديث 26 سبتمبر 2026 جوهريًا أيضًا: صرنا نحفظ بأنفسنا نسخًا احتياطية مشفّرة من قاعدة بياناتنا داخل المملكة، نسخة كل ساعة تبقى ستة أيام ونسخة كل أسبوع تبقى 90 يومًا، كما يصفها بند «النسخ الاحتياطية» في «مدد الاحتفاظ». فما تحذفه قد يبقى في نسخة أسبوعية حتى 90 يومًا، بعد أن كانت النسخ الاحتياطية تزول خلال سبعة أيام، ولا نعود إليها أبدًا لنسترجع ما حذفته. وصدر قبل أن يكون للتطبيق مستخدمون من خارج فريقنا، وسرى من 26 سبتمبر 2026.

وكان تحديث 24 سبتمبر 2026 جوهريًا أيضًا: صار قياس الاستخدام جزءًا من التطبيق نفسه كما تصفه هذه السياسة، فأزلنا من التطبيق مفتاح الإحصاءات وإشعار أول تشغيل وزرّ حذف بيانات الاستخدام، وعاد القياس إلى العمل في كل نسخة مثبّتة كان قد أُوقف فيها، فلم يبقَ سبيل إلى إيقاف القياس على جهازٍ إلا حذف التطبيق منه. وما زال حذف الحساب يحذف أحداث القياس المرسَلة من نسختك المثبّتة، ويمنح نسختك معرّفًا جديدًا يعود القياس تحته إن أبقيت التطبيق. وصارت صفحة الدعوة تحصي أربعة أعداد لا تحمل هوية أحد، مجاميع يومية للمنصّة كلها، لا أدقّ من اليوم، ولا نفرّق فيها بين الحضور والاعتذار. وأضفنا Cloudflare، مزوّد الشبكة الذي تمرّ عبره صفحاتنا واتصالاتنا، إلى «معالجون نيابة عنّا». وصارت إحصاءاتنا الداخلية تعرض الأرقام كما هي ولو كانت صغيرة. وسرى من 24 سبتمبر 2026.

وكان تحديث 19 سبتمبر 2026 جوهريًا أيضًا: حذفنا فيه أداة التحليلات الخارجية الاختيارية التي كانت مذكورة هنا ولم نفعّلها قط، ووضعنا مكانها قياس الاستخدام الذي نجريه بأنفسنا على خوادمنا داخل المملكة، وأضفنا إفصاحًا صريحًا عن رمز الجهاز الذي يخرج من المملكة لإيصال الإشعارات. وقد صدر قبل أن يكون للتطبيق مستخدمون نشطون، وكان إشعاره يظهر داخل التطبيق من أول تشغيل.

التواصل

فريق زفّة، الرياض، المملكة العربية السعودية · [email protected]

Zaffah · زفّة

Privacy Policy

Last updated: 16 October 2026 · In effect from 16 October 2026

Who we are

Zaffah (زفّة) is a Saudi platform for wedding planning and for booking venues and wedding services, based in Riyadh. The data controller is the Zaffah founding team; upon completion of our company registration, this responsibility passes automatically to the registered Zaffah entity, with no change to our obligations to you. We comply with the Saudi Personal Data Protection Law (PDPL) and its Implementing Regulations, under the supervision of the Saudi Data & AI Authority (SDAIA).

Privacy contact: [email protected]

What we collect

Only what the product actually needs:

Account & sign-in: your mobile number (verified by an SMS one-time code), your name and city.
Wedding journey: your wedding date, checklist tasks, and budget items you record.
Guest list: the names and phone numbers of your guests, if you add them. This is other people’s data entered by you: add only people you genuinely intend to invite. Anyone on a guest list may ask us to remove their details (see "Guests' privacy and rights").
Guest replies: what a guest records on their own invitation link: whether they are coming, how many adults and children are with them, and an optional note they write to the couple. This is another person's data, given by them so their answer reaches you, and it appears under their name in your guest list. No partner and no other guest sees it, nobody at Zaffah reads it in the ordinary course, and a small number of our team may see one in two cases only: a report about an abusive note, or a support request from you, with every such access recorded in our audit log. A guest may change their answer, or clear their note, from the same link while the RSVP window is open. A reply is kept with the invitation it belongs to (see Retention).
Invitations: the invitation text, couple names, date and venue, and, if you add them, the venue's address, a pin you place on the map or a maps link you paste, which you send to your guests as a link over WhatsApp from your own phone; we count link opens. The venue location you add is a place you choose for your guests, never your own location, and it is visible to anyone who opens your invitation link while it is live.
Cover photo & welcome video: the photo or video you upload to appear on your invitation. It may show faces and carry voices, and they may not be only yours, so upload only what the people in it would be happy with: you decide to upload it, you are responsible for having the agreement of the people who appear, and we display it to carry out your request to publish your invitation. We take the embedded metadata off every photo we keep, including the location the camera records, so where a photo was taken does not travel with it. We keep the photo at the size you sent it, along with smaller copies for display. A video is converted, when we prepare it, into a single compressed copy sized for a phone, its metadata dropped in the same step, and the recording you uploaded is deleted as soon as that copy exists. The cover and the video are visible to anyone who opens your invitation link, for as long as that link is live: revoke it or let it expire and they stop being shown with it. They are also visible to you in your account, and to the Zaffah team when we look into a report or a removal request. Someone who opened the invitation earlier may have kept a copy on their own device, which is beyond our reach. Anyone who appears in them may ask us to remove them (see "Rights of people who appear").
Chat: text and images exchanged with partners. Messages are automatically scanned to block the sharing of off-platform contact details (phone numbers, email addresses, messaging or social handles), to keep the conversation on Zaffah, and a caption you type with a photo is message text like any other, scanned the same way. A message containing offensive language is not sent and not stored; its text stays with you to edit. When you send a photo from the app, the camera's own record is removed from it on your phone, before the photo is uploaded: the location it was taken, the date and time, and the camera or phone it was taken on. Where a photo was taken never reaches us at all. What travels with the picture is the display information it needs to be shown as you saw it, such as which way up it is and its colour profile. An animated GIF carries no camera record of this kind, so it is sent exactly as it is. A file we cannot read, we do not send at all. A sent message cannot be taken back, and the partner may have saved a copy of a photo on their own device, which is beyond our reach. When you delete your account, your photos are removed from every conversation; the message text remains, without your name or number. Bank and payment details (such as IBANs) may be shared so you and the partner can arrange payment directly: Zaffah is not a party to those payments and is not responsible for them.
Reservations & reviews: booking requests you send, and reviews published after moderation. Reviews pass through the same automatic check: a review containing offensive language is not accepted and not stored, and its text stays with you to edit.
Reports and blocking: when you report a message or a review, we keep with the report the reason you choose, a note if you write one, a copy of the message or review text as it stood when you reported it, who reported it and when. We keep that copy so the report can still be reviewed if the original is edited or deleted. Only the Zaffah moderation team sees a report, and we use it only to review the breach and act on it. When you block a business, your conversations with it close and no messages pass between you in any conversation, even one a later booking request opens, until you lift the block, which you can do at any time. We do not tell the business you blocked it; it sees only that its conversations with you are closed. Any booking or booking request between you stays as it is: a block stops messages, nothing else. We keep the block so we can apply it. Export my data includes the reports you sent and the businesses you blocked. When you delete your account, your blocks are deleted and your reports are detached from you (see Retention).
Feedback: notes you send us from within the app (a short message and its category), with the app version, used only to fix issues and improve the product. While your account exists, a note stays linked to you so we can follow up with you; after you delete your account we keep it in anonymised form only.
Partners (venues, planning offices, photo studios): organisation and staff account details, including the email address used to sign in to each account, where its sign in code is also sent, roles and resource access, venue photos, prices, and calendars. Couples see in the partner's calendar that an upcoming day is unavailable, and that is all they see: not the reason, not the hours, nothing about who booked, and never a past day. It is visible to anyone who opens the partner's page in the app, without signing in. It stays the partner's choice: on from the start, switched off at any time from the calendar page, and once it is off couples see nothing of the partner's days.
Portfolios: photos from past events uploaded by a partner to its profile, which may show people's faces. By uploading, the partner attests it has the documented permission of the people who appear in them, photos are reviewed before they appear in the app, and anyone appearing in a photo may ask us to remove it (see "Portfolio subjects' rights").
Notifications: device tokens and web-push subscriptions used to deliver alerts.
App usage measurement: we measure, ourselves, how the couples' app is used, to improve its quality and reliability, and we record it under a random identifier tied to the copy of the app installed on your device, never under your name, your number or your account. We record only events from a closed register of approved events we keep, such as opening the app, moving between its screens, completing a sign up step, or sending a booking request. A single event carries only its name, the time it happened, and at most one detail from a fixed list, such as the screen, the sign up step, the venue whose page was opened, or how many guests an invitation went to: a number, never a name. With it travel the app version, the platform, the device language, and that same random identifier, created on your device. That identifier is not your account, not your name and not your phone number, we store nothing that links it to any of them, and we never build such a link. We record no name, no phone number, no IP address, no location and nothing anyone types, and nothing from your guest list, your budget, your chats or your invitations. This data is stored on our own servers inside the Kingdom, the measurement tool is our own, and no outside party receives it for its own purposes; on its way to us it passes through the network provider that carries our connections for us (see "Storage & PDPL"). Its legal basis is legitimate interest (see "Why we collect it"). Measurement is part of the app itself, so the app has no switch for it: the only way to stop it on a device is to uninstall the app (see "Your rights"). We measure nothing on the partner portals or in the partner apps.
Invitation page counts: on the page a guest opens from their invitation link, we count four things and nothing else, as anonymous totals for the whole platform: an invitation opened, a reply sent, directions to the venue opened, and the date added to a calendar. A reply counts as one reply whether it accepts or declines, so no count carries anyone's answer. We keep no record of any single one. Each simply adds one to the counter for that day, so all we hold is the day, the event and the count, and nothing finer than the day. The page sets no cookies, stores nothing in the guest's browser, and sends no identifier, no invitation link and no token with a count. We keep no IP address and no browser or device details, and a count is tied to no guest, no couple, no wedding and no invitation. These totals are separate from the link opens we count for each invitation (see Invitations), and the two are never joined. While we have this counting switched off on our servers, the page sends nothing at all.
Waitlist (zaffahapp.com): your phone number and first name, plus your family name if you choose to share it, with your explicit consent given through a checkbox on the form, solely to notify you at launch and address you by name in that message, along with minimal technical data to prevent automated submissions (page language and browser identifier).
Wedding-service partnership records: the establishment's name, its service type (venue, photography, catering, styling, or other), city and contact number, plus optionally its email or Instagram handle, whether submitted by the establishment through the "Register your service" form on zaffahapp.com or recorded by our team from direct contact or the establishment's public channels, used solely to communicate about and follow up the partnership, with the source of every record noted, along with minimal technical data to prevent automated submissions (page language and form fill time).
Venue map location: the venue's pin coordinates and a nearby-landmark line written by the partner, business data the partner provides itself and our team reviews before it appears, used solely to guide couples and their guests to the venue. Zaffah's maps are hosted entirely on our own servers, so browsing the map sends nothing to any map provider, and we never ask for your device location.
Technical logs: basic operational and audit logs for platform security, troubleshooting, fraud detection and resolving disputes, on the basis of our legitimate interest (see Retention).

We do not process any payments or deposits in this version of the product.

Why we collect it (legal basis)

We process your data to perform the service you asked for, creating your account, organising your wedding, messaging venues, handling booking requests, and with your consent where the law requires it (such as the waitlist and notifications). We do not sell your data or use it for third-party advertising. This includes messaging you about your booking if a partner stops working with us or their account is suspended, and, in the suspension case only, the Zaffah team following up with you about your date with that partner. These are service messages about your booking, not marketing, and their basis is performing the service you asked for rather than any marketing consent.

A guest's reply to their invitation, including any note they write, is given by the guest of their own choice and processed for one purpose, delivering their answer to the couple who invited them, on the basis of the legitimate interest of both sides of that invitation. We do not use it for anything else, and we never use it to message the guest. A guest's reply is not used beyond that purpose. We do count, across the whole platform, how many replies accept and how many decline and how long a reply takes on average: aggregate figures carrying no name, no number and no written note, never broken down by wedding or by guest, so we can tell whether invitations are arriving and being read. The reply count under "Invitation page counts" is the same kind of figure. We give none of these figures to any outside party.

Usage measurement, in the app and on the invitation page, rests on our legitimate interest, for one purpose: improving the quality and reliability of Zaffah. That means knowing whether sign up is completing, whether the core organiser steps are working as they should, and whether invitations are reaching guests and being opened. That is the whole of it. We do not use this data for advertising, for marketing, or to build profiles, and we make no decision about you on the strength of it. We built it to work without your name, your number or your account. For any question about it, or any objection to it, write to us at [email protected] (see "Your rights").

Who sees your data

Partners (the venue, office, or studio) see only what your request needs: your name, event date, request details, and your messages to them. They never see your guest list, what your guests replied, or your budget. A partner keeps access to your booking and to their conversation with you for as long as the booking stands. If a partner stops working with us, their access narrows to that booking alone until your date has passed and fourteen days after it, then ends by itself, and no new request from you or anyone else reaches them after they stop. If their account is suspended, their access ends at once.
The Zaffah team: we do not read your conversations with a partner in the ordinary course, and the check that blocks off platform contact details is automatic. A small number of our team may read a specific conversation in defined cases only: a report of abuse or a breach, a support request from you, or the suspension of a partner account with confirmed weddings ahead, where we follow up with you about your date. Any message you receive from us makes clear that it is the Zaffah team speaking, not the partner. Every such access is limited to authorised staff and recorded in our audit log.
Processors acting for us: our verification code and SMS provider, Authentica (to send verification codes by SMS, and the sign in codes it emails to partner and Zaffah team accounts, for which it receives that account's email address); our hosting provider, Oracle Cloud Infrastructure, whose servers we use in its Jeddah region inside the Kingdom; our push notification provider, Google, through Firebase Cloud Messaging (see "Storage & PDPL"); and our network provider, Cloudflare, which hosts the zaffahapp.com pages, this one included, carries the invitation page and everything sent from it, guests' replies included, and carries the connection from the app and the partner portals to our servers as each opens to the public (see "Storage & PDPL"). They work under contracts that bind them to protect your data, and receive only the minimum necessary.
Usage statistics, invitation page counts included: only a limited number of authorised people at Zaffah see them, as aggregate figures rather than individual records, and every such access is recorded in our audit log.
Reports: only the Zaffah moderation team sees them, along with the copy of the reported message or review (see "Reports and blocking").
The "Open directions" button: tapping it is your choice to hand off to the maps app you use (such as Google or Apple Maps), carrying only the venue's name and coordinates; that app's own policy applies from there. One other case touches a maps provider: when you or a partner paste a Google Maps link to set a venue's location, our servers open that link with Google to read the coordinates from it. That request carries the link itself and nothing about you, not your name, your number, your account or your device, and it comes from our servers, not from your phone. Apart from these two cases, we never call any maps provider.
We disclose data to no one else except where the law requires.

Venue back office. We give venue partners a back office to run their own bookings, quotes, contracts, invoices, receipts, purchases and reports. For the data a venue enters there (its own customers, including people who never used the Zaffah app, its suppliers, its financial records, its tax identifiers such as VAT and commercial registration numbers, and any document scans it uploads), the venue is the controller and Zaffah acts as its processor: the venue decides what to enter and is responsible for it, and we process it only on the venue's instructions to provide the office service. We do not sell it, we do not use it for any other purpose, and we add no analytics or tracking to it.

Payments stay outside Zaffah. Recording a payment in the office is a bookkeeping entry the venue makes about money it received directly. Zaffah is still not a party to any payment, and still holds and moves no money.

When you book a venue that uses the office. The venue may hold your name and phone number as its own customer record, and may place the booking you made with it on a quote, contract or invoice it issues. It sees nothing else: not your guest list or what your guests replied, not your budget, not your activity in the app, and nothing about any other venue. Because those documents are the venue's commercial and tax records, the venue keeps them, and the customer record behind them, for the period below, even after you delete your Zaffah account.

Exercising your rights over a venue's records. For a record a venue holds in its office, the venue is the controller: address access, correction and deletion requests to that venue, and Zaffah will assist it as processor. Your own Zaffah account keeps its separate in app export and delete.

Breach notification. If a personal data breach affects office data, we notify the affected venue without undue delay so it can meet its own notification duty to SDAIA, and we notify SDAIA directly where the duty is ours.

Storage & PDPL

Your data is stored with a hosting provider under our security controls, and every storage-location or cross-border decision is made in compliance with the PDPL and the Data Transfer Regulations. Plain-language caveat: the launch waitlist is temporarily held in a cloud spreadsheet tool whose servers may be outside Saudi Arabia; we keep it to the minimum and will migrate it into our own systems before launch.

Connections between us and the public pass through Cloudflare, a network provider that acts for us only to deliver the service. It hosts the zaffahapp.com pages, and it carries requests to our servers for the invitation page, and for the app and the partner portals as each opens to the public. It decrypts each connection at the point of its network nearest you, then carries it on to our servers through an encrypted tunnel, so the request itself passes through it with everything in it, along with your IP address and your browser or device details. That point, and the processing of this data there, may be outside the Kingdom.

Usage measurement events and invitation page counts are stored on our own servers inside the Kingdom, and we store them nowhere outside it. The measurement tool is our own, and no outside party receives this data for its own purposes; the requests that carry it pass through Cloudflare on their way to us, as described above.

Another transfer out of the Kingdom we should state plainly: notifications. If you allow notifications, the app registers your device with Firebase Cloud Messaging, a Google service, which issues the device token we use to reach you. To do this, the Google software inside the app sends Google the token request along with your device model, its language and time zone, and the versions of its operating system and of the app, and Google sees your device's IP address. When we send you an alert, our servers hand it to Google, which delivers it to iPhones through Apple's notification service and to Android phones itself; both services run on servers outside Saudi Arabia. Nothing we send carries your name or your phone number: only the token, the line you see on your screen, and, for some alerts, an internal reference that lets the app open the right page. Google acts for us in this under its data processing terms. We have assessed this transfer under the PDPL and the Data Transfer Regulations, and documented its necessity, its risks and the safeguard applied to it. If you do not allow notifications, the app does not register your device with Google at all; if you turn them off later in your device settings, the transfer stops from the next time you open the app, and we delete the token from our records.

Retention

Account and wedding data: as long as your account exists; deleted when you delete it.
Guest replies: kept with the invitation they belong to, for as long as your account exists, and deleted with it. When you remove a guest from your list, their link is revoked and their reply, their note and their name are deleted with them; all that remains of their invitation is that it was sent. The guest who wrote one may ask us to delete it before then (see "Guests' privacy and rights").
Feedback: linked to you while your account exists, so we can follow up. When you delete your account, we remove the link to your identity and keep only the anonymised message, its category and the app version, to fix issues and improve the product; we can no longer connect it to you.
Verification codes: a code expires within minutes, and its record is purged automatically within hours.
Chat: linked to you while your account exists. When you delete your account, the text of your messages stays in the partner's conversation with your name and account details removed. The photos you sent are deleted, along with their copies, because a photograph cannot be anonymised; their place in the conversation is kept as a line saying the photo is gone.
Service messages about your booking, and the record of our team reading a conversation: the sending and access record is kept in our operational and audit logs for up to five years. Anything written inside the conversation itself follows the chat retention above.
Reports: kept while the report is under review, then for 12 months after it is resolved. After that we delete the copy of the message or review, your note, our team's note and anything that points to you or to the message or review; all that remains is a bare record of the reason and the outcome, with the business concerned when the report was about its message, linked to no person. If you delete your account sooner, your reports are detached from you at once: the link to your account goes, your note is deleted if the report has been resolved, and if it is still under review any number, email or link is removed from it so our team can finish reviewing the reported content. Blocks: kept while your account exists, and deleted with your account.
Waitlist: until launch, then deleted unless you create an account.
Cover photo and welcome video: as long as the invitation exists in your account. Deleted when you remove or replace it, and deleted with your account; we do not keep the original video recording once its display copy exists. On a request from someone who appears in it, we remove it from the invitation and delete the file and its copies within at most 24 hours.
Portfolio photos: as long as the partner's account exists. When a subject asks, we take the photo down within at most 24 hours; when the partner account is deleted the photos are deleted, and backup copies expire within the normal backup cycle.
Partnership records: while the conversation is live; if a partnership does not go ahead, the details are deleted or anonymised within 12 months of the record closing. On a deletion request we delete the record and keep only a minimal do-not-contact marker so we never approach the requester again.
Office records (sent quotes, contracts, invoices, credit notes, receipts, purchase bills, the document scans attached to them, and the customer record each is issued to): 10 years from the end of the financial year in which the document was issued, because Saudi law obliges the venue to keep its commercial books, correspondence and supporting documents for at least ten years, and its VAT records for at least six. We hold them for the venue as its processor for that period, whether or not the venue's account or the customer's Zaffah account is still open. Customer records and drafts that never produced an issued document are deleted or anonymised 24 months after the last activity, or on the venue's instruction, whichever comes first.
Operational and audit logs: up to five years, to protect the platform, detect fraud and resolve disputes, then deleted or anonymised. Where an item above sets a shorter period for what a log records, such as reports, that shorter period applies.
Usage measurement events: raw events are deleted 90 days after they happen, and their backup copies expire within the normal backup cycle. All that remains after that is aggregate figures: they carry no app installation identifier and no other identifier, we keep no link from them to any person, and we never build one.
Invitation page counts: there are no raw records at all, since they are counts from the start, kept in one counter for each day and nothing finer. These daily counters are deleted after 90 days at most, and their backup copies expire within the normal backup cycle; each day's total stays on in the platform's aggregate figures, and it carries no identifier.
Backups: we keep encrypted copies of our database inside the Kingdom so we can recover from a failure. Hourly copies are kept for 6 days and weekly copies for 90 days, and then they are deleted. This is the normal backup cycle referred to in this section. Anything you delete stays in these copies only until they expire, and we never use them to bring back what you deleted. Usage measurement events and invitation page counts are left out of the weekly copies, and photos and videos are never in them: they have their own daily copy, kept for one day.

Deleting your Zaffah account: your account, wedding journey, guest list, invitations and the replies your guests left on them, budget, booking requests and the businesses you blocked are deleted, and the reports you sent are detached from you (see Retention). The following records may remain as described here. First, the text of your messages stays in the venue's conversation with your name and account details removed; the photos you sent are deleted, along with their copies. Second, if a venue you actually booked issued you a quote, contract or invoice from its office, that venue keeps that document and the customer record named on it, including your name and phone number, as its own commercial and tax record for the period above, and the booking row those documents rest on is kept with its link to your account removed. Third, the operational and audit logs that record actions on your account stay for the period set in Retention, then are deleted or anonymised. Deleting your account also deletes the usage events sent from your app installation and regenerates its random identifier, the old one forgotten. If you keep the app on your phone after that, measurement resumes under the new identifier, and nothing is kept that connects what was recorded before the deletion to anything recorded after it. Aggregate figures already computed remain, and they carry no identifier. Nothing else about you stays with the venue beyond what we have described.

Your rights

You may access, export, correct, and delete your data. In practice: the app includes Export my data and Delete my account (this deletes your profile, wedding journey, guests, invitations and the replies left on them, budget, booking requests and blocks, and detaches from you the reports you sent; see Retention for what may remain and why). For corrections or anything else, email [email protected]; we respond within the statutory timelines.

Your rights include being informed, accessing your data and obtaining a copy, correcting, completing or updating it, and requesting its destruction. Usage measurement is different: it is not linked to your account, your name or your number, so we cannot look anything up in it by your name or your number, and we cannot tell which installation is yours. The only way to stop measurement on a device is to uninstall the app. When you use Delete my account, the app itself hands us its identifier so we can erase the usage events sent under it; if that request does not reach us, those events are deleted anyway within 90 days. If you keep the app after that, it is measured again under a fresh identifier with no link to the old one. You may ask us about this measurement, or object to it, at any time at [email protected], and we will answer within the statutory timelines. You may also complain to the competent Saudi personal data protection authority.

Guests' privacy and rights

If you received an invitation through Zaffah, your reply to it, whether you are coming, how many adults and children are with you, and any note you choose to write to the couple, is given by you so your answer reaches the people who invited you, and we process it for that purpose alone. Your reply and your note reach the couple under your name. No partner and no other guest sees them, nobody on our team looks at them except in the two cases described under "Guest replies", and we never use them to message you. A reply is kept with its invitation for as long as the couple's account exists and is deleted with it, and if the couple remove you from their list, your reply, your note and your name are deleted with you (see Retention).

While the RSVP window is open you can change your reply or clear your note yourself, from your invitation link. If someone added your name or number to their guest list on Zaffah, email [email protected] and we will remove your details, no account required, and that covers your reply to the invitation and any note you wrote with it. Sending us the invitation link is enough for us to find what you are asking us to delete.

Apart from your reply, the invitation page counts four things as daily totals for the whole platform, carrying neither your name, nor your answer, nor anything from your invitation (see "Invitation page counts"). The page, and everything sent from it, passes through Cloudflare, the network provider that carries it between you and us on our behalf (see "Storage & PDPL").

Rights of people who appear

If your image or your voice appears in a partner's portfolio, or in an invitation cover photo or welcome video on Zaffah, email [email protected] and we will take it down within at most 24 hours of your request reaching us, no account required. Sending us the invitation link, or anything that identifies where it appears, is enough for us to find it. Because removal changes someone else's invitation, we may ask for enough to satisfy us that you are the person who appears, but that never delays removal beyond 24 hours: if the check is not complete by then, we remove it first.

Cookies & analytics

The zaffahapp.com landing page uses no tracking cookies and no outside analytics tool. The invitation page a guest opens sets no cookies, stores nothing in the guest's browser and uses no outside analytics tool, and the only measurement it sends is the four counts described under "Invitation page counts". The measurement inside the couples' app is our own, stored on our own servers inside the Kingdom, and no party outside Zaffah receives any of it for its own purposes (on connections passing through Cloudflare, see "Storage & PDPL"). We collect only the events approved in our register, and that register is closed: it has no room for free text.

Changes

We will notify you in-app or by email before any material change takes effect, with the last-updated date shown above.

This update is a material change. Once we switch this step on, signing in to the partner portals and the Zaffah team portal asks, after the password, for a six digit code sent to the account's registered email address by Authentica, the verification code provider we already use for SMS, which receives that address for this purpose alone. We have also corrected what Retention says about every verification code, the SMS codes couples receive included: a code expires within minutes, and its record stays until it is purged automatically within hours, where we used to say minutes. We have also extended how long we keep operational and audit logs, from 12 months to at most five years, to protect the platform, detect fraud and resolve disputes, after which they are deleted or anonymised. Nothing else changes for couples' or guests' data. This update was published before Zaffah had any users outside our team, in the app or on the portals, and it takes effect on 16 October 2026.

The update of 4 October 2026 was also a material change. We began to name the providers that act for us, among them Google, whose Firebase Cloud Messaging service delivers notifications to iPhones as well as Android phones, and we describe what the app sends Google when you allow notifications. We also describe the one request our servers make to Google Maps, to read coordinates from a maps link you or a partner paste, and the venue location you can add to your invitation. We have added the in app report and block tools, what a report keeps and for how long, and the automatic check that turns back messages and reviews containing offensive language, and we now take down photos and videos we are asked to remove within 24 hours, where the limit used to be 72 hours. That update was published before the app had any users outside our team, and it took effect on 4 October 2026.

The update of 26 September 2026 was also a material change. We began keeping our own encrypted backups of the database inside the Kingdom, hourly copies for 6 days and weekly copies for 90 days, as the "Backups" item under Retention describes. Something you delete can therefore stay in a weekly copy for up to 90 days, where backups used to expire within 7 days, and we never use these copies to bring back what you deleted. It was published before the app had any users outside our team, and it took effect on 26 September 2026.

The update of 24 September 2026 was also a material change. Usage measurement is now part of the app, as this policy describes it: we have removed the statistics switch, the first launch notice and the button that deleted usage data, and measurement resumed on any installation where it had been switched off, so uninstalling the app is now the only way to stop measurement on a device. Deleting your account still deletes the usage events sent from your installation and gives your installation a fresh identifier, under which measurement resumes if you keep the app. The invitation page now keeps four anonymous counts, daily totals for the whole platform, nothing finer than the day, with no split between accepting and declining. We have added Cloudflare, the network provider our pages and connections pass through, to "Processors acting for us". And our internal statistics now show figures as they are, even when they are small. It took effect on 24 September 2026.

The update of 19 September 2026 was also a material change. It removed the optional outside analytics tool this policy used to name and that we never switched on, put in its place the usage measurement we run ourselves on our own servers inside the Kingdom, and added a plain disclosure of the device token that leaves the Kingdom to deliver notifications. It was published before the app had any active users, and its notice then appeared in the app from the first launch.

Contact

Zaffah team, Riyadh, Saudi Arabia · [email protected]