Privacy Policy · سياسة الخصوصية

1. Data we collect

Account & identity: your email, name, employee code, job title, department, provided by your employer to give you access.

Authentication: a secure session token stored only in your device's encrypted keychain (iOS Keychain / Android Keystore). We do not store your password on the device.

Location, on the attendance and punch confirmation screens only: the app reads your device's location while the attendance and punch confirmation screens are open. On the attendance screen it reads first the position the device last recorded, if it is recent, then a fresh reading, to show whether you are inside your workplace area; on the punch confirmation screen it reads it again, if the earlier reading has become old, for the clock-in or clock-out you confirm. The position sent with a punch is stored with it. The app never reads your location in the background, on any other screen, or while it is closed; background location is blocked in the app.

Address on the punch screen: to show a readable address before you confirm a punch away from a named workplace, the app passes the punch coordinates to your phone's built-in geocoding service (Apple on iOS, Google Play services on Android), which may send them to that platform provider. The address is shown on your phone only and is not sent to us.

Camera / photo (optional, consent-gated): a confirmation selfie is captured only if you explicitly grant the selfie consent. A punch never requires a photo, and you can withdraw this consent at any time.

Punch verification (only if your employer turns it on: phone fingerprint / Face ID, or a selfie): the fingerprint / Face ID check runs entirely on your phone and your fingerprint or face never leaves the device. Your punch is always recorded. Only the outcome is stored with it (passed, failed, cancelled, unavailable, not set up on the phone, or not done); a punch without verification is marked "not verified" for HR to review. If you have not given (or withdrew) the selfie consent, your punches are never marked for that.

Punch notes: a note you add to a punch is stored with it and visible to HR.

Device identifier (app punches): each punch from the phone app carries a non-reversible identifier of your device (a one-way hash, not the phone's serial number or any of its contents), with the platform and model. It is used to prevent punching on someone else's behalf and is visible to HR, who can approve or remove a device.

Notifications (if you allow them): a notification token for your device is stored to send attendance reminders and updates on your requests.

Feedback you send (optional): the note, any screenshot you choose to attach from your photos (you see it before sending; the app receives only the image you pick), and the app version, device model, system and screen you sent it from. It reaches the app team only.

Attendance, leave & payroll data: punches, leave requests and balances, any document you attach to a leave request, and your payslip, to provide the self-service features.

Punches recorded without a connection are kept on your phone until they are sent.

The app contains no advertising, analytics or crash-reporting software, and it does not track you across other apps or websites.

2. How we use it

Strictly to operate the service: verify attendance within the workplace area, process leave requests, display your payslip, and keep your session secure. We do not sell your data, use it for advertising, or profile you.

3. Legal basis (Egypt PDPL, Law 151/2020)

Processing is based on your employment relationship and the Company's legitimate HR administration, plus your explicit consent for the optional selfie. Location is processed under data minimisation: only while the attendance and punch confirmation screens are open, never in the background.

4. Data sharing and third parties

Your data is visible to your employer's authorised HR/admin users and is hosted on the Company's tenant, isolated from other companies by row-level security. We share with infrastructure sub-processors (hosting and database) only as needed to run the service, under contract.

Notifications are delivered through Expo's push service and then Apple (iOS) or Google (Android); they receive the notification token and the notification text.

Address lookup: see section 1; the coordinates go to your phone platform's geocoding service only when the punch screen shows an address.

Team map (only for users whose role shows it): the map images are loaded from a map tile provider (OpenStreetMap by default, or the provider named on the map). Like any web map, the provider receives your device's IP address and the map area you are viewing; the employee names and positions are drawn inside the app and are not sent to it. The map code itself is part of the app and is not loaded from any other site.

4a. AI features (sub-processor: Anthropic)

Some features your employer may enable in the HR web system (the smart assistant, CV screening, letter drafting, summaries) send only the text needed for the request to the AI model provider Anthropic to generate a response, under contract.

Under Anthropic's commercial terms, this data is not used to train its models. These features are not part of the phone app, and no photos, fingerprint or face data, or location coordinates are sent to Anthropic. If your Company does not enable these features, no data is sent to Anthropic.

5. Retention

Confirmation selfies: deleted 30 days after the punch (the default period), and at once when you withdraw the selfie consent.

Precise punch coordinates: removed 90 days after the punch (the default period); the attendance record itself (times, status, workplace) stays.

Feedback screenshots: deleted 90 days after the note is marked as handled, and in any case 180 days after it was sent; an upload that never completed is deleted after 1 day. The feedback text stays with the app team.

Leave attachments: kept under your employer's setting, by default for 5 years after your employment ends, or 3 years after the leave year if the employer chooses that setting. The attachment of a request cancelled before approval is deleted at once.

Attendance, leave and payroll records: kept for the period required by Egyptian labour and tax law and the Company's policy.

While an employee is under a legal hold (a court dispute), these time-based deletions are paused for that employee.

6. Security

Encrypted transport (HTTPS), tokens stored in the device's secure storage, server-side row-level isolation per company, and least-privilege access controls.

7. Your rights

Under the PDPL you may request access to, correction of, or deletion of your personal data, and withdraw consent for optional processing (e.g. the selfie). Requests go to your employer (the controller); we assist them as processor.

8. Children

The app is for employed adults only and is not directed at children.

9. Changes

We may update this policy; the "Last updated" date will change and material updates will be communicated through the app or your employer.

10. Contact

Tenebra Studio: tenebra.studio.apps@gmail.com. For employment-data requests, contact your employer's HR department first.

1. البيانات التي نجمعها

الحساب والهوية: بريدك الإلكتروني، واسمك، وكود الموظف، والمسمّى الوظيفي، والقسم، ويوفّرها صاحب العمل لمنحك صلاحية الدخول.

المصادقة: رمز جلسة آمن يُحفظ فقط في سلسلة المفاتيح المشفّرة بجهازك (iOS Keychain / Android Keystore). لا نحفظ كلمة المرور على الجهاز.

الموقع، في شاشتي تسجيل الحضور وتأكيد التسجيل فقط: يقرأ التطبيق موقع جهازك أثناء فتح شاشتي تسجيل الحضور وتأكيد التسجيل. في شاشة تسجيل الحضور يقرأ أولًا آخر موقع سجّله الجهاز إن كان حديثًا، ثم قراءة جديدة، ليُظهر لك هل أنت داخل نطاق العمل؛ وفي شاشة تأكيد التسجيل يقرؤه مرة أخرى إذا أصبحت القراءة السابقة قديمة، للحضور أو الانصراف الذي تؤكّده. ويُحفظ الموقع المرسَل مع التسجيل. لا يقرأ التطبيق موقعك في الخلفية، ولا في أي شاشة أخرى، ولا وهو مغلق، وتتبّع الموقع في الخلفية محجوب تقنيًا في التطبيق.

العنوان في شاشة التسجيل: لعرض عنوان مقروء قبل تأكيد تسجيل خارج موقع عمل مسمّى، يمرّر التطبيق إحداثيات التسجيل إلى خدمة تحويل الإحداثيات إلى عناوين المدمجة في هاتفك (Apple في iOS، وخدمات Google Play في Android)، وقد ترسلها هذه الخدمة إلى مزوّد المنصة. يظهر العنوان على هاتفك فقط ولا يُرسَل إلينا.

الكاميرا / الصورة (اختيارية، بموافقة صريحة): تُلتقط صورة تأكيد (selfie) فقط إذا منحت موافقتك الصريحة على الصورة الذاتية. لا يتطلّب التسجيل صورة أبدًا، ويمكنك سحب الموافقة في أي وقت.

تأكيد تسجيل الحضور (فقط إذا فعّله صاحب العمل: بصمة الهاتف / Face ID أو صورة ذاتية): يجري التحقق ببصمة الهاتف / Face ID بالكامل على هاتفك، ولا تغادر بصمة إصبعك أو صورة وجهك الجهاز أبدًا. يُسجَّل حضورك دائمًا، ولا يُحفظ معه إلا النتيجة (نجح، أو فشل، أو أُلغي، أو غير متاح، أو غير مُعدّ على الهاتف، أو لم يُجرَ)؛ ويُعلَّم التسجيل غير المؤكَّد بعبارة "لم يُتحقق منه" لتراجعه الموارد البشرية. وإذا لم توافق على الصورة الذاتية (أو سحبت موافقتك)، فلن تُعلَّم تسجيلاتك لهذا السبب أبدًا.

ملاحظات تسجيل الحضور: تُحفظ الملاحظة التي تكتبها مع تسجيل الحضور، وتطّلع عليها الموارد البشرية.

معرّف الجهاز (التسجيل من التطبيق): يُحفظ مع كل تسجيل من تطبيق الهاتف معرّف لجهازك لا يمكن استرجاع أصله (قيمة تجزئة أحادية الاتجاه، وليس الرقم التسلسلي للهاتف ولا أيًّا من محتوياته)، مع نوع النظام وطراز الجهاز. يُستخدم لمنع تسجيل الحضور نيابةً عن شخص آخر، وتطّلع عليه الموارد البشرية التي تستطيع اعتماد الجهاز أو إزالته.

الإشعارات (إذا سمحت بها): يُحفظ رمز إشعارات لجهازك لإرسال تذكيرات الحضور وتحديثات طلباتك.

الملاحظات التي ترسلها (اختيارية): نص الملاحظة، وأي صورة شاشة تختار إرفاقها من صورك (وتراها قبل الإرسال، ولا يصل إلى التطبيق إلا الصورة التي تختارها)، وإصدار التطبيق وطراز الجهاز ونظامه والشاشة التي أُرسلت منها. تصل إلى فريق التطبيق فقط.

بيانات الحضور والإجازات والراتب: التسجيلات، وطلبات الإجازات وأرصدتها، وأي مستند ترفقه بطلب إجازة، وقسيمة راتبك، لتوفير خصائص الخدمة الذاتية.

التسجيلات التي تتم دون اتصال تُحفظ على هاتفك إلى أن تُرسَل.

لا يحتوي التطبيق على برامج إعلانات أو تحليلات أو تقارير أعطال، ولا يتتبّعك عبر التطبيقات أو المواقع الأخرى.

2. كيف نستخدمها

حصرًا لتشغيل الخدمة: التحقق من الحضور داخل نطاق العمل، ومعالجة طلبات الإجازة، وعرض قسيمة الراتب، وتأمين جلستك. لا نبيع بياناتك، ولا نستخدمها في الإعلانات، ولا ننشئ لك ملفًا تعريفيًا (profiling).

3. الأساس القانوني (قانون حماية البيانات الشخصية المصري 151/2020)

تقوم المعالجة على علاقة العمل والإدارة المشروعة للموارد البشرية من قِبل الشركة، إضافةً إلى موافقتك الصريحة على الصورة الاختيارية. ويُعالَج الموقع وفق مبدأ تقليل البيانات: أثناء فتح شاشتي تسجيل الحضور وتأكيد التسجيل فقط، وليس في الخلفية أبدًا.

4. مشاركة البيانات والأطراف الأخرى

تظهر بياناتك لمستخدمي الموارد البشرية والإدارة المصرّح لهم في شركتك، وتُستضاف في مساحة الشركة معزولةً عن باقي الشركات بتقنية row-level security. نشاركها مع مزوّدي بنية تحتية فرعيين (الاستضافة وقاعدة البيانات) بالقدر اللازم لتشغيل الخدمة وبموجب عقد.

تُرسَل الإشعارات عبر خدمة الإشعارات من Expo ثم Apple (في iOS) أو Google (في Android)، ويصل إليها رمز الإشعارات ونص الإشعار.

البحث عن العنوان: راجع البند 1؛ تُرسَل الإحداثيات إلى خدمة تحويل العناوين في منصة هاتفك فقط عندما تعرض شاشة التسجيل عنوانًا.

خريطة الفريق (للمستخدمين الذين يتيح لهم دورهم عرضها فقط): تُحمَّل صور الخريطة من مزوّد خرائط (OpenStreetMap افتراضيًا، أو المزوّد المذكور على الخريطة). وكما في أي خريطة على الإنترنت، يصل إلى المزوّد عنوان IP لجهازك ونطاق الخريطة الذي تعرضه، أما أسماء الموظفين ومواقعهم فتُرسَم داخل التطبيق ولا تُرسَل إليه. وشيفرة الخريطة نفسها جزء من التطبيق ولا تُحمَّل من أي موقع آخر.

4أ. مزايا الذكاء الاصطناعي (مُعالِج فرعي: Anthropic)

ترسل بعض المزايا التي قد يفعّلها صاحب العمل في نظام الموارد البشرية على الويب (المساعد الذكي، وفرز السير الذاتية، وصياغة الخطابات، والملخّصات) النص اللازم للطلب فقط إلى مزوّد نماذج الذكاء الاصطناعي Anthropic لتوليد الرد، وبموجب تعاقد.

وبموجب الشروط التجارية لـ Anthropic، لا تُستخدم هذه البيانات في تدريب نماذجها. وهذه المزايا ليست جزءًا من تطبيق الهاتف، ولا تُرسَل إلى Anthropic أي صور، ولا بيانات بصمة الإصبع أو الوجه، ولا إحداثيات الموقع. وإذا لم تفعّل شركتك هذه المزايا، فلا تُرسَل أي بيانات إلى Anthropic.

5. مدة الاحتفاظ

صور التأكيد الذاتية: تُحذف بعد 30 يومًا من التسجيل (المدة الافتراضية)، وفور سحب موافقتك على الصورة الذاتية.

الإحداثيات الدقيقة للتسجيل: تُحذف بعد 90 يومًا من التسجيل (المدة الافتراضية)، ويبقى سجل الحضور نفسه (الأوقات والحالة وموقع العمل).

صور الشاشة المرفقة بالملاحظات: تُحذف بعد 90 يومًا من اعتبار الملاحظة منتهية، وفي كل الأحوال بعد 180 يومًا من إرسالها، ويُحذف الرفع الذي لم يكتمل بعد يوم واحد. ويبقى نص الملاحظة لدى فريق التطبيق.

مرفقات الإجازات: تُحفظ وفق إعداد صاحب العمل، افتراضيًا 5 سنوات بعد انتهاء خدمتك، أو 3 سنوات بعد سنة الإجازة إذا اختار صاحب العمل هذا الإعداد. ويُحذف مرفق الطلب الذي أُلغي قبل اعتماده فورًا.

سجلات الحضور والإجازات والرواتب: تُحفظ للمدة التي يتطلّبها قانون العمل وقانون الضرائب المصريان وسياسة الشركة.

أثناء خضوع موظف لحجز قانوني (نزاع قضائي)، يتوقف الحذف المرتبط بالمدة بالنسبة لهذا الموظف.

6. الأمان

نقل مشفّر (HTTPS)، ورموز محفوظة في التخزين الآمن بالجهاز، وعزل على مستوى الصفوف (row-level) لكل شركة على الخادم، وصلاحيات بأقل امتياز.

7. حقوقك

بموجب قانون حماية البيانات، يحق لك طلب الاطّلاع على بياناتك الشخصية أو تصحيحها أو حذفها، وسحب الموافقة على المعالجة الاختيارية (مثل الصورة). تُوجَّه الطلبات إلى صاحب العمل (المتحكّم)، ونساعده بصفتنا مُعالِجًا.

8. الأطفال

التطبيق مخصّص للموظفين البالغين فقط، وغير موجّه للأطفال.

9. التغييرات

قد نحدّث هذه السياسة؛ وسيتغيّر تاريخ «آخر تحديث»، وسنبلّغ بالتحديثات الجوهرية عبر التطبيق أو صاحب العمل.

10. التواصل

Tenebra Studio: tenebra.studio.apps@gmail.com. لطلبات بيانات العمل، تواصل أولًا مع قسم الموارد البشرية في شركتك.