سياسة الخصوصية / PRIVACY POLICY
سياسة الخصوصية لصحيفة «AL HAYAT»
الإصدار الأساسي: 1 يناير 2026
آخر تحديث قانوني: 26 أكتوبر 2026
جهة التحكم في البيانات الشخصية
SCANDIC TRUST GROUP LLC
AL HAYAT
IQ Business Centre
Bolsunovska Street 13–15
01014 Kyiv / أوكرانيا
البريد الإلكتروني: [email protected]
الموقع الإلكتروني: www.alHayat.media
تُعدّ SCANDIC TRUST GROUP LLC جهة التحكم في البيانات الشخصية بالنسبة إلى عمليات المعالجة التي تحدد أغراضها وكيفية تنفيذها في إطار خدمات «AL HAYAT». ويمكن إرسال الاستفسارات المتعلقة بالخصوصية وطلبات ممارسة الحقوق إلى البريد الإلكتروني أو العنوان البريدي المبيّن أعلاه.
التنفيذ والدعم التقني
SCANDIC ASSETS FZCO
Dubai Silicon Oasis DDP
Building A1/A2
Dubai — 342001 / الإمارات العربية المتحدة
الهاتف: +971 54 221 5217
تتولى SCANDIC ASSETS FZCO تقديم الخدمات التقنية للموقع. وعندما تعالج بيانات شخصية لمصلحة SCANDIC TRUST GROUP LLC ونيابةً عنها، تخضع هذه المعالجة للتعليمات المشروعة والترتيبات التعاقدية اللازمة لحماية البيانات. وتتحدد مسؤولية كل جهة وفق دورها الفعلي في تحديد أغراض المعالجة ووسائلها، ولا يؤدي إسناد الخدمات التقنية إلى إعفاء جهة التحكم من مسؤولياتها النظامية.
مقدمة ونطاق التطبيق
توضح هذه السياسة كيفية جمع البيانات الشخصية واستخدامها وحفظها والإفصاح عنها وإتلافها عند استخدام موقع «AL HAYAT» وتطبيقاتها وخدماتها، والأغراض والمسوغات النظامية للمعالجة، وحقوق أصحاب البيانات ووسائل ممارستها.
تسري الأحكام المتعلقة بالحسابات والاشتراكات والطلبات والنشرات البريدية والفعاليات والخدمات الإضافية عندما تكون الخدمة المعنية متاحة ويستخدمها الشخص. كما أن الإشارة إلى خدمة تقنية أو منصة خارجية لا تعني أن جميع الخدمات المذكورة مفعّلة على الموقع.
يُطبّق نظام حماية البيانات الشخصية السعودي ولائحته التنفيذية ولائحة نقل البيانات الشخصية إلى خارج المملكة ضمن نطاقها النظامي. ويشمل هذا النطاق معالجة البيانات الشخصية المتعلقة بالأفراد المقيمين في المملكة العربية السعودية بواسطة جهة خارج المملكة، وفق المادة الثانية من النظام. ولا تُعدّ قراءة هذه السياسة أو الاستمرار في تصفح الموقع موافقةً على معالجة تتطلب موافقة مستقلة.
A) معلومات عامة عن معالجة البيانات الشخصية
البيانات الشخصية هي المعلومات التي تتيح التعرف على شخص طبيعي بصورة مباشرة أو غير مباشرة، ومنها الاسم وبيانات الاتصال ومعرّفات الحسابات وعناوين بروتوكول الإنترنت والصور والتسجيلات وبيانات المعاملات والاستخدام المرتبطة بشخص محدد أو قابل للتحديد.
وتظل البيانات التي استُبدلت معرّفاتها برموز بياناتٍ شخصيةً متى أمكن إعادة ربطها بصاحبها باستخدام معلومات إضافية. أما البيانات التي أُخفيت هوية أصحابها بصورة نهائية بحيث يتعذر التعرف عليهم، فلا تُعامل بوصفها بيانات شخصية.
نقتصر على البيانات اللازمة للأغراض المحددة والمعلنة، ونستخدمها بما يتناسب مع تلك الأغراض. ولا يؤدي إمكان الاستفادة التجارية أو الإحصائية من البيانات، بمفرده، إلى إنشاء مسوغ نظامي لمعالجتها.
أغراض المعالجة ومسوغاتها النظامية
- الموافقة: تُستخدم عندما تتطلب المعالجة موافقة صاحب البيانات، بما في ذلك الاشتراك الاختياري في الرسائل التسويقية وأغراض التتبع أو التخصيص التي نعتمد فيها على الموافقة. وتكون الموافقة حرة ومحددة وقابلة للإثبات، مع موافقة مستقلة لكل غرض.
- تنفيذ اتفاق سابق: تُعالج البيانات اللازمة لتنفيذ اتفاق يكون صاحب البيانات طرفاً فيه، مثل تقديم اشتراك أو خدمة طلبها، وفق المادة السادسة من نظام حماية البيانات الشخصية.
- تنفيذ التزام نظامي: تُعالج البيانات عندما تستلزم ذلك أحكام نظامية واجبة التطبيق، مثل الاحتفاظ بالمستندات التي يوجب النظام حفظها أو الاستجابة لطلب ملزم صادر عن جهة مختصة.
- المصالح المشروعة: يمكن الاستناد إليها لحماية الموقع والحسابات ومنع إساءة الاستخدام ومعالجة المراسلات التشغيلية، متى كانت المعالجة ضرورية ولم تُخلّ بحقوق صاحب البيانات أو تتعارض مع مصالحه، ولم تتناول بيانات حساسة.
- المصلحة المتحققة لصاحب البيانات: تُطبق في الحالات التي يجيزها النظام، عندما تكون المعالجة لازمة لتحقيق مصلحة متحققة لصاحب البيانات ويتعذر الاتصال به أو يصعب تحقيق ذلك.
تتحدد المسوغات بحسب عملية المعالجة المعنية، ولا يُستبدل مسوغ الموافقة بمسوغ آخر لمجرد الالتفاف على العدول عنها. ولا تُجعل الموافقة على معالجة غير مرتبطة بالخدمة شرطاً للحصول عليها.
مصادر البيانات والمعالجة الصحفية
قد نحصل على البيانات من صاحبها مباشرةً، أو من المراسلات والاشتراكات والمعاملات والتفاعلات التقنية، أو من مصادر أخرى يجوز الرجوع إليها نظاماً، ومنها المصادر العامة والمواد التي يقدمها أصحابها أو ممثلوهم أو جهات أخرى مخوّلة بذلك.
عند جمع البيانات من غير صاحبها مباشرةً، تُقدّم المعلومات المطلوبة نظاماً دون تأخير غير مبرر وخلال المدة النظامية، التي لا تتجاوز ثلاثين يوماً، ما لم ينطبق استثناء مقرر في اللائحة التنفيذية.
قد تتضمن المواد الصحفية أسماءً وصوراً وتصريحات ومعلومات عن أشخاص. وتخضع معالجة هذه البيانات للمسوغات والقيود النظامية المتعلقة بالجمع والاستخدام والإفصاح والنشر. ولا تُنشئ الصفة الصحفية إعفاءً عاماً من نظام حماية البيانات الشخصية، كما أن إتاحة معلومة للجمهور لا تبيح إعادة استخدامها لأي غرض أو نشرها دون مراعاة حقوق أصحابها.
تُحمى بيانات المصادر والمراسلات الصحفية في الحدود التي تقررها الأنظمة، مع مراعاة الالتزامات النظامية المتعلقة بالسرية والإفصاح. ويمكن إرسال طلبات تصحيح البيانات أو الاعتراض على نشر معلومات شخصية إلى [email protected].
فئات البيانات التقنية
بحسب الخدمة وطريقة الاتصال، قد تشمل البيانات التقنية:
- عنوان بروتوكول الإنترنت، ونوع المتصفح وإصداره، ونظام التشغيل، وبيانات الجهاز اللازمة لتقديم الخدمة.
- الصفحة أو الملف المطلوب، وتاريخ الطلب ووقته، وحجم البيانات المنقولة، وحالة الاستجابة التقنية.
- صفحة الإحالة، إذا أرسلها المتصفح أو التطبيق، وبيانات الاتصال اللازمة لتشخيص الأعطال.
- إعدادات اللغة والجلسة واختيارات الخصوصية، ومعرّفات الحساب عند تسجيل الدخول.
ولا يعني تسجيل هذه البيانات لأغراض التشغيل والأمان جواز استخدامها تلقائياً لبناء ملفات إعلانية أو تتبع الأشخاص عبر مواقع مختلفة.
البيانات الحساسة
تخضع البيانات الحساسة، ومنها البيانات الصحية والوراثية والبيومترية المحددة للهوية والمعتقدات الدينية أو الفكرية أو السياسية والبيانات الأمنية والجنائية، للحماية والقيود الخاصة المقررة نظاماً. ولا تُستخدم المصلحة المشروعة مسوغاً لمعالجة البيانات الحساسة.
عندما تكون الموافقة هي المسوغ النظامي لمعالجة البيانات الحساسة أو البيانات الائتمانية، يجب أن تكون صريحة. ولا نستخدم البيانات الحساسة لأغراض التسويق. ويُرجى عدم إرسال معلومات حساسة أو مستندات هوية ما لم تكن لازمة للغرض المحدد ويكون إرسالها جائزاً نظاماً.
B) التواصل معنا
عند التواصل معنا بالبريد الإلكتروني أو الهاتف أو نموذج الاتصال، نعالج البيانات المقدمة، مثل الاسم ووسيلة الاتصال ومضمون الرسالة ومرفقاتها، لفهم الطلب والرد عليه ومتابعة المسألة المرتبطة به.
قد تستند المعالجة إلى تنفيذ اتفاق سابق، أو التزام نظامي، أو مصلحة مشروعة في إدارة المراسلات، أو الموافقة بحسب طبيعة البيانات والغرض. ولا يُعدّ إرسال استفسار موافقةً على تلقي إعلانات أو نشرات بريدية.
تُحفظ المراسلات طوال المدة اللازمة لمعالجة الطلب. وبعد إغلاقه، لا يستمر الاحتفاظ بها إلا لغرض محدد ومشروع، وبحد أقصى اثني عشر شهراً، ما لم ينطبق التزام نظامي أو استثناء آخر مبيّن في هذه السياسة. وتُتلف قبل ذلك متى انتهت الحاجة المشروعة إليها.
C) الحسابات والاشتراكات والطلبات والخدمات المدفوعة
إذا كانت هذه الخدمات متاحة، نعالج بيانات التعريف والاتصال والحساب والطلب والفوترة والدفع اللازمة لإنشاء الحساب أو تنفيذ الاشتراك أو تقديم الخدمة المطلوبة. وتُبيّن البيانات الإلزامية عند جمعها؛ وقد يؤدي عدم تقديمها إلى تعذر إنشاء الحساب أو تنفيذ الخدمة.
تُستخدم البيانات الاختيارية لأغراضها المعلنة، ولا يُربط الحصول على الخدمة بالموافقة على أغراض تسويقية غير لازمة لها. كما لا تعني عملية الشراء أو إنشاء الحساب الموافقة على تتبع السلوك أو مشاركة البيانات لأغراض إعلانية.
عند الاستعانة بمزود للدفع أو الحجز أو التسليم، تُقدّم المعلومات المتعلقة بدوره والبيانات اللازمة له في سياق الخدمة. ولا يعني استخدام مزود للدفع أن «AL HAYAT» تتلقى جميع بيانات البطاقة أو الحساب المصرفي التي يقدمها المستخدم إلى ذلك المزود.
تُحفظ البيانات اللازمة طوال استمرار العلاقة التعاقدية أو الحساب الفعّال. وبعد انتهائها، يُقتصر على البيانات التي تبقى لازمة لغرض مشروع محدد، بحد أقصى اثني عشر شهراً، مع مراعاة مدد الحفظ النظامية والاستثناءات المبينة أدناه.
D) المستندات المحاسبية والاحتفاظ الإلزامي
تُحفظ المستندات المحاسبية والضريبية والتعاقدية للمدد التي تفرضها الأنظمة الواجبة التطبيق على الجهة والمعاملة المعنيتين. ولا تسري مهلة الاثني عشر شهراً على مستند يجب الاحتفاظ به مدة أطول بموجب التزام نظامي.
عندما تخضع المعاملة لأحكام ضريبة القيمة المضافة السعودية، تقضي المادة السادسة والستون من اللائحة التنفيذية بحفظ الفواتير والسجلات والمستندات المحاسبية ذات الصلة مدة لا تقل عن ست سنوات من نهاية الفترة الضريبية المتعلقة بها، مع أحكام خاصة لبعض السجلات، ومنها سجلات الأصول الرأسمالية.
وتُحفظ سجلات أنشطة معالجة البيانات للمدة النظامية المقررة لها، بما يشمل خمس سنوات بعد انتهاء نشاط المعالجة وفق المادة الثالثة والثلاثين من اللائحة التنفيذية. ولا يترتب على حفظ سجل يصف نشاط المعالجة الاحتفاظ بجميع البيانات الشخصية المستخدمة في ذلك النشاط للمدة نفسها.
يُقيّد استخدام المستندات المحفوظة إلزامياً بالأغراض التي تبرر استمرار الاحتفاظ بها، وتُتلف عند انتهاء المدة والغرض النظاميين.
E) التشغيل التقني وأمان الموقع
تُعالج البيانات التقنية لتوصيل المحتوى المطلوب، وإدارة الجلسات، وحماية الموقع من الهجمات وإساءة الاستخدام، وتشخيص الأعطال، والمحافظة على استقرار الخدمات. وتستند هذه المعالجة إلى المسوغ النظامي المناسب، بما في ذلك المصلحة المشروعة ضمن شروطها أو تنفيذ الخدمة المتفق عليها.
تتولى SCANDIC ASSETS FZCO الدعم التقني، ويقتصر وصولها ووصول مقدمي الاستضافة والصيانة وحماية الأنظمة إلى البيانات على ما يلزم لأداء الخدمات الموكلة إليهم.
تُحفظ السجلات التقنية للمدة اللازمة لغرض التشغيل أو الأمان، وبحد أقصى اثني عشر شهراً من إنشائها. ويُحذف ما تنتهي الحاجة إليه قبل ذلك. وقد يُحتفظ ببيانات حادثة محددة مدة أطول إذا اقتضى ذلك التزام نظامي أو قضية منظورة وفق الشروط النظامية.
موارد الصفحات والخدمات التقنية الخارجية
إذا استُخدمت خدمات مثل Cloudflare أو شبكة cdnjs أو خطوط تُحمّل من خوادم Google، فقد يترتب على تحميل المورد إرسال عنوان بروتوكول الإنترنت ومعلومات الطلب التقنية إلى مزوده. أما الموارد المستضافة محلياً فلا تستلزم اتصال المتصفح بالمزود الخارجي لمجرد تحميلها.
وتتحدد المعالجة بحسب المورد المستخدم فعلياً وطريقة دمجه في الصفحة. ولا يُعامل وصف خدمة بأنها تقنية أو خالية من ملفات تعريف الارتباط بوصفه إعفاءً عاماً من متطلبات حماية البيانات. وتُطبّق على عمليات الإرسال إلى الخارج الأحكام المبينة في القسم G.
F) ملفات تعريف الارتباط وتقنيات التتبع
يمكن أن تستخدم الخدمات ملفات تعريف الارتباط والتخزين المحلي ومعرّفات الأجهزة والبكسلات وغيرها من التقنيات لحفظ معلومات أو قراءتها من جهاز المستخدم. وعندما ترتبط هذه المعلومات بشخص محدد أو قابل للتحديد، تخضع معالجتها لنظام حماية البيانات الشخصية.
نميّز بين الوظائف اللازمة لتقديم الخدمة المطلوبة وبين الأغراض الاختيارية. وتعتمد المعالجة الضرورية على مسوغها النظامي المناسب. أما التتبع الإعلاني والتحليلات الاختيارية والتخصيص القائم على الموافقة، فلا تُفعّل قبل منح الموافقة المتعلقة بها.
الأغراض وفترات الحفظ
- الجلسة والأمان: تمكين تسجيل الدخول واستمرار الجلسة وحماية الطلبات. تُنهى بيانات الجلسة بانتهائها، ما لم تكن هناك حاجة مشروعة ومعلنة إلى حفظ محدد لمدة أخرى.
- تفضيلات اللغة والعرض: حفظ الخيار الذي يحدده المستخدم. وإذا حُفظ بصورة مستمرة، فلا تتجاوز مدة الحفظ التي نحددها اثني عشر شهراً من اختيار التفضيل أو تجديده فعلياً.
- اختيارات الخصوصية: حفظ قرار القبول أو الرفض أو التخصيص، لمدة لا تتجاوز اثني عشر شهراً من الاختيار الفعلي، مع إمكان تغييره قبل ذلك.
- التحليلات والتخصيص والإعلانات الاختيارية: تُبيّن الأداة والمزود والغرض والبيانات ومدة الحفظ قبل تفعيلها. ولا تتجاوز مدة احتفاظنا بالبيانات التي نجمعها لهذه الأغراض اثني عشر شهراً، وتُنهى قبل ذلك عند انتهاء الغرض أو العدول عن الموافقة، ما لم يبقَ مسوغ مستقل ومشروع لبيانات محددة.
يشمل ذلك ملفات حفظ الموافقة أو اللغة، أياً كانت تسميتها التقنية، ومنها laravel_cookie_consent أو language إذا استُخدمت في الخدمة المعنية. ولا يجوز أن تؤدي الزيارة العادية وحدها إلى تمديد اختيار قديم على أنه موافقة جديدة.
تُبيّن مدد ملفات وتقنيات الأطراف المستقلة في المعلومات الخاصة بالخدمة قبل تفعيلها؛ ولا يُفهم حد الاثني عشر شهراً الخاص بمعالجتنا على أنه تعهد بشأن جميع أنظمة الأطراف الأخرى.
اختيار الموافقة والعدول عنها
تُعرض الأغراض الاختيارية بصورة واضحة ومستقلة، ويجوز قبولها أو رفضها أو تعديلها دون استخدام خيارات مضللة. ولا تُعدّ الخانات المحددة مسبقاً أو الصمت أو استمرار التصفح موافقةً على معالجة نطلب لها اختياراً إيجابياً.
يمكن العدول عن الموافقة في أي وقت من خلال إعدادات الخصوصية المتاحة أو عبر [email protected]. وتكون وسيلة العدول مماثلة لوسيلة منح الموافقة أو أسهل منها، وتُوقف المعالجة المبنية عليها دون تأخير غير مبرر.
لا يؤثر العدول على مشروعية المعالجة السابقة، وتُتخذ الإجراءات اللازمة لإبلاغ الجهات التي أُفصح لها عن البيانات وطلب إتلافها وفق الأحكام النظامية. ولا تكفي إزالة ملفات تعريف الارتباط من المتصفح دائماً لإبلاغ جميع الجهات بالعدول.
G) متلقو البيانات والمعالجة خارج المملكة
لا تُتاح البيانات إلى جهة أخرى إلا لغرض محدد وبمسوغ نظامي، وفي الحدود اللازمة لذلك. وقد يشمل المتلقون مقدمي الخدمات التقنية والاستضافة وحماية الأنظمة والدفع والتواصل، والمستشارين الملزمين بالسرية، والجهات المختصة والمحاكم عندما يقتضي النظام ذلك.
تخضع جهات المعالجة التي تعمل نيابةً عنا لترتيبات تحدد الأغراض والمدة ونوع البيانات والتعليمات والسرية والأمان والاستعانة بجهات أخرى وإعادة البيانات أو إتلافها عند انتهاء الخدمة. ولا يجيز عقد المعالجة لمزود الخدمة استخدام البيانات لأغراض مستقلة غير مصرح بها.
وقد تشارك LEGIER Beteiligungs mbH، Kurfürstendamm 14، 10719 Berlin / ألمانيا في معاملات الإعلان والترويج التي تتولاها، وفي حدود البيانات اللازمة لتلك المعاملات. ولا يترتب على هذا التعاون إتاحة بيانات جميع القراء لها.
الدول ومواقع المعالجة
تقع SCANDIC TRUST GROUP LLC في أوكرانيا، وتقع SCANDIC ASSETS FZCO في الإمارات العربية المتحدة. وقد تشمل ترتيبات الاستضافة والدعم ذات الصلة معالجةً في الولايات المتحدة أو ماليزيا أو سويسرا بحسب الخدمة المستخدمة، بما في ذلك البنية التقنية المرتبطة ببوسطن وكوالالمبور وخدمات الاستضافة أو النسخ الاحتياطي ذات الصلة.
وقد تُعدّ إتاحة البيانات لجهة خارج المملكة، بما فيها الوصول عن بُعد، نقلاً أو إفصاحاً خاضعاً للضوابط النظامية. ولا يُسقط تشفير البيانات أو وجود الخادم في دولة معينة متطلبات حماية البيانات أو ضوابط الوصول من دولة أخرى.
المسوغات والضمانات الخاصة بالنقل
عندما تخضع العملية لأحكام نقل البيانات إلى خارج المملكة، يلزم الالتزام بالمادة التاسعة والعشرين من نظام حماية البيانات الشخصية ولائحة النقل النافذة، بما يشمل الغرض المسموح به وشروط الحماية وتقليل البيانات والمتطلبات الأخرى ذات الصلة.
قد يستند النقل إلى مستوى حماية مناسب تقرره الجهة المختصة، أو إلى إحدى حالات الإعفاء المقررة مقرونةً بالضمانات التي تتطلبها تلك الحالة، مثل البنود التعاقدية القياسية أو القواعد المشتركة الملزمة أو شهادة اعتماد مستوفية للمتطلبات السعودية. ولا تكون هذه الوسائل قابلة للاستبدال فيما بينها دون مراعاة شروط كل حالة.
تُقدّم المعلومات المتعلقة بالجهة المستقبلة والدولة والغرض والمسوغ والضمان المطبق في سياق الخدمة المعنية. ويمكن طلب معلومات إضافية عبر [email protected]. ولا يُعدّ ورود أحد أنواع الضمانات في هذه السياسة إثباتاً لإبرام عقد محدد أو الحصول على شهادة اعتماد بعينها.
H) مدة الاحتفاظ بالبيانات وإتلافها
القاعدة العامة هي عدم الاحتفاظ بالبيانات مدة تتجاوز الحاجة المشروعة إليها، مع حد أقصى قدره اثنا عشر شهراً للفئات المبينة أدناه، ما لم ينطبق التزام نظامي أو استثناء محدد.
- المراسلات والاستفسارات: طوال معالجة المسألة، ثم لمدة لا تتجاوز اثني عشر شهراً من إغلاقها، فقط إذا بقي غرض مشروع يستلزم ذلك.
- الحسابات والاشتراكات والمعاملات: طوال استمرار الخدمة أو الاتفاق، ثم لمدة لا تتجاوز اثني عشر شهراً من انتهائهما بالنسبة إلى البيانات التي لا تخضع لاحتفاظ إلزامي وتبقى لازمة لغرض مشروع.
- السجلات التقنية والأمنية: لمدة لا تتجاوز اثني عشر شهراً من إنشائها، مع إتلافها قبل ذلك عند انتهاء الحاجة التشغيلية أو الأمنية إليها.
- التفضيلات واختيارات الخصوصية: لمدة لا تتجاوز اثني عشر شهراً من الاختيار الفعلي، ما لم يغيّر المستخدم اختياره أو تنتهِ الحاجة قبل ذلك.
- أدلة الموافقة والعدول وطلبات الحقوق: بالقدر اللازم لإثبات الاختيار وتنفيذه، وخلال استمرار الغرض المرتبط به، ثم لمدة لا تتجاوز اثني عشر شهراً من انتهائه، مع مراعاة أي التزام نظامي خاص بالحفظ.
- النشرات البريدية: طوال استمرار الاشتراك الصحيح. وبعد إلغائه، تُوقف الإرساليات، ولا يُحتفظ إلا بالحد الأدنى اللازم لاحترام الإلغاء وإثباته ضمن المدد والمسوغات المقررة.
- الوثائق المحفوظة إلزامياً: للمدة التي يفرضها النظام، وفق القسم D. كما تُحفظ البيانات المرتبطة ارتباطاً وثيقاً بقضية منظورة أمام جهة قضائية متى كان الاحتفاظ بها مطلوباً لهذا الغرض.
- المواد والأرشيف الصحفي: بحسب استمرار الغرض المشروع والمحدد من نشر المادة أو أرشفتها، وبما يتفق مع مسوغ المعالجة وحقوق أصحاب البيانات. ولا يُعدّ وصف المادة بأنها أرشيفية مسوغاً مستقلاً للاحتفاظ غير المحدود بها.
يُعمل بالمادة الثامنة عشرة من النظام عند انتهاء الغرض من الجمع، بما يشمل الإتلاف دون تأخير أو إزالة ما يتيح التعرف على صاحب البيانات وفق الشروط النظامية. ولا تُستخدم مدة الاثني عشر شهراً لتأجيل إتلاف أصبح واجباً قبل انتهائها.
يشمل الإتلاف الحذف الآمن أو غيره من الوسائل التي تجعل البيانات غير قابلة للقراءة أو الاسترجاع أو التعرف على صاحبها. وتخضع النسخ الاحتياطية لمدد الحفظ الواجبة التطبيق، مع تقييد الوصول إليها وعدم إعادة استخدام بيانات سبق إتلافها أو تقييدها لمجرد استعادة نسخة احتياطية.
I) حقوق أصحاب البيانات الشخصية
مع مراعاة الشروط والاستثناءات النظامية، تشمل حقوقك:
- الحق في العلم: معرفة المسوغ والغرض من الجمع والمعالجة، والبيانات المطلوبة، وما إذا كان تقديمها إلزامياً أو اختيارياً، والمتلقين، ومدد الحفظ، ووسائل ممارسة الحقوق.
- الحق في الوصول: الاطلاع على بياناتك الشخصية التي نعالجها، ضمن الحدود النظامية.
- الحق في الحصول على نسخة: طلب نسخة من بياناتك بصيغة واضحة ومقروءة، وفق المتطلبات النظامية.
- الحق في التصحيح والإكمال والتحديث: طلب معالجة البيانات غير الصحيحة أو الناقصة أو غير المحدثة.
- الحق في طلب الإتلاف: طلب إتلاف البيانات عند تحقق شروطه، مع مراعاة حالات الاحتفاظ التي يوجبها النظام.
- الحق في العدول عن الموافقة: العدول في أي وقت عن الموافقة التي تستند إليها المعالجة، دون المساس بمشروعية المعالجة السابقة.
- الحق في الشكوى والمطالبة بالتعويض: اللجوء إلى الجهة المختصة والمحكمة المختصة وفق الأحكام والإجراءات النظامية.
تُراعى عند الاستجابة حقوق الآخرين والقيود النظامية المقررة. وإذا تبين أن بيانات غير صحيحة أو غير مكتملة قد تضر بصاحبها، تُوقف المعالجة المتأثرة إلى حين تحديثها أو تصحيحها وفق الأحكام النظامية.
ممارسة الحقوق ومهل الاستجابة
يمكن إرسال الطلب إلى [email protected] أو إلى عنوان جهة التحكم الوارد في بداية هذه السياسة، مع توضيح الحق المطلوب والمعلومات اللازمة لتحديد البيانات ذات الصلة.
تُتخذ وسائل مناسبة للتحقق من هوية مقدم الطلب دون جمع بيانات تتجاوز الحاجة أو مخالفة القيود الخاصة بنسخ الوثائق الرسمية. ولا يُطلب إرسال نسخة كاملة من مستند الهوية بصورة تلقائية.
تُنفّذ الطلبات دون تأخير وخلال مدة لا تتجاوز ثلاثين يوماً. ويجوز تمديدها بما لا يزيد على ثلاثين يوماً إضافية إذا استلزم التنفيذ جهداً إضافياً غير متوقع أو غير معتاد، أو عند تعدد الطلبات من صاحب البيانات، بشرط إبلاغه مسبقاً بالتمديد ومبرراته.
إذا كان الطلب متكرراً بصورة غير مبررة أو استلزم تنفيذه جهداً غير عادي، جاز عدم معالجته في الحدود التي تجيزها اللائحة، مع بيان السبب وإبلاغ صاحب البيانات.
J) أمن البيانات والإشعار بالحوادث
تخضع البيانات لتدابير تنظيمية وإدارية وتقنية تتناسب مع طبيعتها ومخاطر معالجتها، وتشمل تقييد الوصول وحماية النقل والتخزين وإجراءات الاستعادة والإتلاف الآمن بحسب الخدمة. وتُراعى ضوابط الهيئة الوطنية للأمن السيبراني عندما تكون واجبة التطبيق، والمعايير والممارسات الأمنية المناسبة في غير ذلك.
إذا وقعت حادثة تسرب تستلزم إشعار الجهة المختصة وفق المادة الرابعة والعشرين من اللائحة التنفيذية، يُقدّم الإشعار خلال مدة لا تتجاوز اثنتين وسبعين ساعة من العلم بالحادثة، متى كان من شأنها الإضرار بالبيانات الشخصية أو صاحبها أو التعارض مع حقوقه أو مصالحه.
ويُشعَر صاحب البيانات دون تأخير غير مبرر إذا كان من شأن الحادثة الإضرار ببياناته أو التعارض مع حقوقه أو مصالحه، مع بيان طبيعة الحادثة والمخاطر والتدابير ذات الصلة ووسيلة الاتصال والتوصيات المناسبة.
K) الشكاوى ووسائل الانتصاف
يمكن إرسال الشكاوى المتعلقة بمعالجة بياناتك إلى [email protected]. ولا يقيّد التواصل معنا حقك في تقديم شكوى إلى الهيئة السعودية للبيانات والذكاء الاصطناعي «سدايا» عبر القنوات المعلنة في منصة حوكمة البيانات الوطنية.
وفق المادة السابعة والثلاثين من اللائحة التنفيذية، تُقدّم الشكوى إلى الجهة المختصة خلال مدة لا تتجاوز تسعين يوماً من الواقعة أو من العلم بها. وللجهة المختصة تقدير قبول الشكوى بعد ذلك إذا تبيّن وجود أسباب واقعية منعت تقديمها خلال هذه المدة.
وتكفل المادة الأربعون من نظام حماية البيانات الشخصية لمن لحقه ضرر بسبب مخالفة النظام أو لوائحه حق المطالبة أمام المحكمة المختصة بتعويض يتناسب مع الضرر المادي أو المعنوي. ولا تتضمن هذه السياسة تنازلاً عن هذا الحق أو شرط تحكيم إلزامياً.
L) الأنظمة والأحكام القضائية ذات الصلة
تستند هذه السياسة، في نطاق التطبيق النظامي، بوجه خاص إلى:
- نظام حماية البيانات الشخصية: الصادر بالمرسوم الملكي رقم م/19 بتاريخ 9/2/1443هـ، والمعدل بالمرسوم الملكي رقم م/148 بتاريخ 5/9/1444هـ.
- اللائحة التنفيذية لنظام حماية البيانات الشخصية: بما تتضمنه من أحكام العلم والوصول والتصحيح والإتلاف والموافقة وجهات المعالجة والأمان والتسويق المباشر والشكاوى.
- لائحة نقل البيانات الشخصية إلى خارج المملكة: بما تتضمنه من شروط النقل والضمانات والمتطلبات المتعلقة بالنقل اللاحق.
- الأنظمة المكملة بحسب موضوع المعالجة: ومنها الأحكام الواجبة التطبيق على التجارة الإلكترونية والمعاملات والوثائق الضريبية والمحتوى المنشور وحقوق الأشخاص.
حماية الصور والحقوق المرتبطة بالنشر
في الحكم رقم 4430884271 الصادر عن المحكمة التجارية بالرياض في القضية رقم 4470602869 لعام 1444هـ، رُفض الطعن في قرار متعلق بنشر صورة دون الإذن اللازم. وكان النزاع محكوماً بنظام حماية حقوق المؤلف المطبق آنذاك؛ ولا يُقدّم بوصفه حكماً صادراً تطبيقاً لنظام حماية البيانات الشخصية. ويبيّن أن سبق نشر الصورة في صحيفة أخرى لم يكن، في تلك القضية، مسوغاً كافياً لإعادة نشرها. وتُحدّد مشروعية معالجة الصور ونشرها بحسب الوقائع والأحكام النافذة على الحالة المعنية.
M) معلومات إضافية عن خدمات محددة
النشرات البريدية والرسائل التسويقية
عند إتاحة الاشتراك في نشرة بريدية أو رسائل تسويقية، تُبيّن طبيعة الخدمة والغرض من استخدام بيانات الاتصال قبل الاشتراك. ويُراعى الحصول على الموافقة اللازمة وفق المادتين الخامسة والعشرين والسادسة والعشرين من النظام وأحكام اللائحة التنفيذية ذات الصلة.
يُعرّف المرسل بوضوح، وتُتاح وسيلة واضحة لإيقاف الإرسال. ويمكن إلغاء الاشتراك من خلال الرابط المتاح في الرسالة أو عبر [email protected]. ويُوقف التسويق المباشر دون تأخير غير مبرر بعد العدول عن الموافقة.
لا يُعدّ شراء خدمة أو إرسال استفسار أو إنشاء حساب موافقةً على التسويق. كما لا يتضمن الاشتراك في النشرة تلقائياً موافقةً على تتبع فتح الرسائل أو النقر على روابطها؛ وتحتاج هذه الأغراض إلى بيان مستقل والمسوغ والموافقة اللازمين. ولا تُستخدم البيانات الحساسة في التسويق.
المحتوى المضمّن والمنصات الخارجية
قد يترتب على تشغيل فيديو أو مشغّل صوت أو عنصر تفاعلي خارجي إرسال بيانات إلى مزوده، مثل عنوان بروتوكول الإنترنت وبيانات الجهاز والصفحة والتفاعل. وقد يحدث الاتصال عند تحميل العنصر، وليس فقط عند الضغط على زر التشغيل، بحسب طريقة دمجه.
ويختلف ذلك عن الرابط العادي الذي ينقل المستخدم إلى موقع آخر عند تفعيله. كما أن تسجيل الدخول في منصة خارجية لا يشكل موافقةً عامة على إرسال البيانات إليها من موقع «AL HAYAT».
إذا استلزم العنصر موافقة، يُطلب الاختيار قبل تفعيله. وتُبيّن الجهة والغرض والبيانات ومدة الحفظ وأي معالجة خارج المملكة ضمن المعلومات المتعلقة به. ولا تحل سياسة المزود محل التزامات «AL HAYAT» عن المعالجة التي تقررها أو تشارك فيها.
تتوافر معلومات مقدمي الخدمات المحتمل ارتباطها بالمحتوى أو الوظائف الخارجية عبر الروابط الآتية؛ والقائمة مرجعية ولا تعني تفعيل جميع هذه الخدمات:
- Cloudflare: سياسة الخصوصية.
- Google وYouTube وGoogle Play وAndroid TV: سياسة خصوصية Google.
- Facebook وInstagram: خصوصية Facebook وخصوصية Instagram.
- X: سياسة الخصوصية.
- Telegram: سياسة الخصوصية.
- Apple وخدماتها: سياسة الخصوصية.
- Amazon وAlexa وFire TV: معلومات الخصوصية.
- Huawei: معلومات الخصوصية.
- Spotify: سياسة الخصوصية.
- TikTok: سياسات الخصوصية.
المساعدات الصوتية
عند استخدام خدمة صوتية متوافقة، قد يعالج مزودها الصوت أو النص الناتج عنه أو بيانات الطلب وفق الخدمة وإعدادات المستخدم. وتتحدد البيانات التي تصل إلى «AL HAYAT» بحسب التكامل الفعلي. ولا يعني استخدام مساعد صوتي أن تسجيلات المحادثات الكاملة تُرسل إلينا تلقائياً.
الفعاليات والمسابقات والخدمات الإضافية
عند إتاحة فعالية أو مسابقة أو حجز، تُجمع البيانات اللازمة للمشاركة أو تقديم الخدمة، وتُبيّن الشروط والمعلومات الخاصة بالمعالجة عند الجمع. ولا تُطلب تواريخ الميلاد أو بيانات الهوية أو المعلومات الصحية إلا لغرض محدد ومسوغ نظامي مناسب.
إذا شملت الفعالية تصويراً أو تسجيل فيديو أو مراقبة مرئية، تُقدّم المعلومات اللازمة قبل المشاركة أو في موضع الجمع بحسب طبيعة المعالجة، مع مراعاة الموافقات والحقوق والقيود المقررة نظاماً.
التخصيص والقرارات الآلية
قد تتضمن وظائف التخصيص، عند إتاحتها وتفعيلها، استخدام بيانات التفاعل لاستنتاج اهتمامات أو تفضيلات. ويُبيّن الغرض والبيانات المستخدمة والمسوغ ووسيلة إيقاف الوظيفة قبل المعالجة التي تتطلب ذلك.
وتُراعى الأحكام الخاصة بالموافقة الصريحة عندما تُتخذ قرارات مبنية بالكامل على المعالجة الآلية للبيانات الشخصية، وفق المادة الحادية عشرة من اللائحة التنفيذية. ولا تُفسر الموافقة على غرض محدد على أنها موافقة على جميع أشكال التحليل أو التخصيص.
الأطفال ومن لا تتوافر لديهم الأهلية الكاملة
تُراعى الحماية الخاصة للأطفال ولمن لا تتوافر لديهم الأهلية النظامية الكاملة. وعندما تكون المعالجة متوقفة على موافقة لا يستطيع صاحب البيانات منحها بصورة صحيحة، تُطلب موافقة الولي الشرعي وفق النظام واللائحة التنفيذية والمتطلبات ذات الصلة.
ويجوز للولي الشرعي ممارسة الحقوق المقررة نيابةً عن صاحب البيانات بما يحقق مصلحته. ولا تُشترط موافقات تسويقية غير لازمة للحصول على خدمة مخصصة للأطفال، ولا تُجمع بيانات تتجاوز الحاجة المحددة للخدمة.
تعديل سياسة الخصوصية
يمكن تحديث هذه السياسة عند تغير الخدمات أو أغراض المعالجة أو المتطلبات النظامية. ويُبيّن تاريخ التحديث في أعلاها، وتُقدّم المعلومات اللازمة قبل بدء معالجة جديدة أو تغيير جوهري يتطلب إبلاغ صاحب البيانات.
إذا استلزمت المعالجة الجديدة موافقة، تُطلب بصورة مستقلة قبل البدء بها. ولا تُعدّ موافقةً عليها مجردُ مواصلة استخدام الموقع، ولا يقتصر العدول عن الموافقة على مهلة أسبوعين أو أي مهلة مماثلة.
التواصل بشأن حماية البيانات
AL HAYAT
البريد الإلكتروني: [email protected]
الموقع الإلكتروني: www.alHayat.media
© 2026 AL HAYAT — جميع الحقوق محفوظة في الحدود التي يقررها النظام.
════════════════════
Privacy Policy of AL HAYAT
Original issue: 1 January 2026
Last legal update: 26 October 2026
Personal Data Controller
SCANDIC TRUST GROUP LLC
AL HAYAT
IQ Business Centre
Bolsunovska Street 13–15
01014 Kyiv / Ukraine
Email: [email protected]
Website: www.alHayat.media
SCANDIC TRUST GROUP LLC is the controller for personal data processing whose purposes and means it determines in connection with AL HAYAT’s services. Privacy enquiries and requests to exercise data protection rights may be sent to the email or postal address above.
Technical Implementation and Support
SCANDIC ASSETS FZCO
Dubai Silicon Oasis DDP
Building A1/A2
Dubai — 342001 / United Arab Emirates
Telephone: +971 54 221 5217
SCANDIC ASSETS FZCO provides technical services for the website. Where it processes personal data for and on behalf of SCANDIC TRUST GROUP LLC, that processing is subject to lawful instructions and the contractual arrangements required to protect the data. Each entity’s responsibilities depend on its actual role in determining the purposes and means of processing. Outsourcing technical services does not release the controller from its statutory responsibilities.
Introduction and Scope
This policy explains how personal data are collected, used, stored, disclosed and destroyed when you use AL HAYAT’s website, applications and services. It describes the purposes and legal grounds for processing, individuals’ rights and how to exercise them.
Provisions concerning accounts, subscriptions, orders, newsletters, events and additional services apply where the relevant service is available and used. Reference to a technical service or external platform does not mean that every service mentioned is active on the website.
The Saudi Personal Data Protection Law, its Implementing Regulation and the Regulation on Personal Data Transfer outside the Kingdom apply within their statutory scope. Under Article 2 of the Law, this includes processing personal data relating to individuals residing in Saudi Arabia by an entity outside the Kingdom. Reading this policy or continuing to browse the website does not constitute consent to processing requiring a separate consent.
A) General Information about Personal Data Processing
Personal data are information that identifies, or can directly or indirectly identify, an individual. Examples include names, contact details, account identifiers, IP addresses, photographs, recordings, transaction information and usage information linked to an identified or identifiable person.
Data whose identifiers have been replaced with codes remain personal data where additional information can reconnect them to an individual. Data irreversibly anonymised so that individuals cannot be identified are no longer treated as personal data.
We limit processing to data needed for specified, disclosed purposes and use the data proportionately to those purposes. The possibility of obtaining commercial or statistical value from data does not itself establish a lawful ground for processing.
Processing Purposes and Legal Grounds
- Consent: Used where processing requires the individual’s consent, including optional marketing subscriptions and tracking or personalisation purposes for which we rely on consent. Consent must be freely given, specific and capable of being demonstrated, with separate consent for each purpose.
- Performance of a prior agreement: Processing necessary to perform an agreement to which the individual is a party, such as providing a requested subscription or service, in accordance with Article 6 of the Personal Data Protection Law.
- Compliance with a legal obligation: Processing required by applicable legislation, including mandatory document retention or compliance with a binding request from a competent authority.
- Legitimate interests: May support website and account security, prevention of misuse and operational correspondence where processing is necessary, does not prejudice the individual’s rights or conflict with their interests, and does not involve sensitive data.
- Actual interests of the individual: Applies in the circumstances permitted by law where processing is necessary to achieve an actual interest of the individual and contacting that individual is impossible or difficult.
The legal ground depends on the particular processing activity. Consent is not replaced with another ground merely to circumvent its withdrawal. Consent to processing unrelated to a service is not made a condition of obtaining that service.
Data Sources and Journalistic Processing
We may obtain data directly from the individual, through correspondence, subscriptions, transactions and technical interactions, or from other sources that may lawfully be used, including public sources and material supplied by individuals, their representatives or other authorised parties.
Where data are collected indirectly, the required information is provided without undue delay and within the statutory period of no more than thirty days, unless an exception under the Implementing Regulation applies.
Journalistic material may contain names, photographs, statements and other information about individuals. Processing such information is subject to the legal grounds and restrictions governing collection, use, disclosure and publication. Journalistic status does not create a general exemption from the Personal Data Protection Law. Public availability does not permit information to be reused for any purpose or republished without regard to individuals’ rights.
Source information and journalistic correspondence are protected within the limits established by law, taking account of applicable confidentiality and disclosure obligations. Requests to correct personal data or raise concerns about their publication may be sent to [email protected].
Categories of Technical Data
Depending on the service and connection, technical data may include:
- IP address, browser type and version, operating system and device information required to provide the service.
- The requested page or file, request date and time, volume of data transmitted and technical response status.
- Referring page information, where transmitted by the browser or application, and connection information needed to diagnose faults.
- Language and session settings, privacy choices and account identifiers when signed in.
Recording these data for operation and security does not automatically authorise their use to create advertising profiles or track individuals across different websites.
Sensitive Data
Sensitive data, including health, genetic and identifying biometric data, religious, intellectual or political beliefs, and security or criminal data, are subject to specific statutory safeguards and restrictions. Legitimate interests are not used as a ground for processing sensitive data.
Where consent is the legal ground for processing sensitive or credit data, that consent must be explicit. We do not use sensitive data for marketing. Please do not send sensitive information or identity documents unless they are necessary for the stated purpose and may lawfully be provided.
B) Contacting Us
When you contact us by email, telephone or a contact form, we process the information you provide, such as your name, contact details, message and attachments, to understand and answer your request and deal with the related matter.
Depending on the data and purpose, processing may rely on performance of a prior agreement, a legal obligation, legitimate interests in handling correspondence, or consent. Sending an enquiry does not constitute consent to advertising or newsletters.
Correspondence is retained for as long as necessary to deal with the request. After closure, it is retained only for a specific lawful purpose and for no more than twelve months, unless a statutory obligation or another exception described in this policy applies. It is destroyed earlier when the lawful need for it ends.
C) Accounts, Subscriptions, Orders and Paid Services
Where these services are available, we process the identification, contact, account, order, billing and payment information necessary to create an account, perform a subscription or provide the requested service. Required information is identified when collected; withholding it may prevent account creation or service delivery.
Optional information is used for its disclosed purposes. Access to a service is not made conditional on consent to unrelated marketing. Purchasing a service or creating an account does not constitute consent to behavioural tracking or advertising disclosures.
Where a payment, booking or delivery provider is involved, information about its role and the data it needs is provided in the context of the service. Using a payment provider does not mean that AL HAYAT receives all card or bank account details supplied to that provider.
Necessary data are retained while the contractual relationship or active account continues. Afterwards, retention is limited to data still needed for a specific lawful purpose, for no more than twelve months, subject to statutory retention periods and the exceptions below.
D) Accounting Documents and Mandatory Retention
Accounting, tax and contractual documents are retained for the periods required by the legislation applicable to the relevant entity and transaction. The twelve-month limit does not apply to a document that must legally be retained for longer.
Where Saudi VAT requirements apply, Article 66 of the VAT Implementing Regulations requires relevant invoices, records and accounting documents to be retained for at least six years from the end of the relevant tax period, with specific requirements for certain records, including capital asset records.
Records of personal data processing activities are kept for their statutory retention period, including five years after the processing activity ends under Article 33 of the Implementing Regulation. Retaining a record describing an activity does not require all personal data used in that activity to be kept for the same period.
Use of documents retained under a legal obligation is restricted to the purposes justifying their continued retention. They are destroyed when the applicable statutory period and purpose have ended.
E) Technical Operation and Website Security
Technical data are processed to deliver requested content, manage sessions, protect the website against attacks and misuse, diagnose faults and maintain service stability. Processing relies on the appropriate legal ground, including legitimate interests where their conditions are met or performance of the agreed service.
SCANDIC ASSETS FZCO provides technical support. Its access, and that of hosting, maintenance and security providers, is limited to what is necessary for the services entrusted to them.
Technical logs are retained for the period necessary for their operational or security purpose, for no more than twelve months after creation. Data no longer needed are deleted earlier. Information concerning a specific incident may be retained longer where a statutory obligation or pending judicial proceedings require this under the applicable conditions.
Page Resources and External Technical Services
Where services such as Cloudflare, the cdnjs network or fonts loaded from Google servers are used, loading the resource may transmit an IP address and technical request information to its provider. Locally hosted resources do not require the browser to contact the external provider merely to load them.
Processing depends on the resource actually used and how it is integrated into the page. Describing a service as technical or cookieless does not create a general exemption from data protection requirements. Transmissions abroad are subject to the provisions in Section G.
F) Cookies and Tracking Technologies
Services may use cookies, local storage, device identifiers, pixels and other technologies to store information on, or retrieve information from, a user’s device. Where that information relates to an identified or identifiable individual, its processing falls within the Personal Data Protection Law.
We distinguish functions necessary to provide the requested service from optional purposes. Necessary processing relies on its appropriate legal ground. Advertising tracking, optional analytics and consent-based personalisation are not activated before the relevant consent is given.
Purposes and Retention Periods
- Session and security: Enabling sign-in, maintaining sessions and protecting requests. Session information ends with the session unless a lawful, disclosed need justifies a specified different retention period.
- Language and display preferences: Remembering a choice made by the user. Where stored persistently, the period we set does not exceed twelve months from the choice or its actual renewal.
- Privacy choices: Remembering acceptance, refusal or customisation for no more than twelve months from the actual choice, which may be changed sooner.
- Optional analytics, personalisation and advertising: The tool, provider, purpose, data and retention period are identified before activation. Our retention of data collected for these purposes does not exceed twelve months and ends sooner when the purpose ends or consent is withdrawn, unless an independent lawful ground remains for specific data.
This includes consent or language preference files regardless of their technical name, including laravel_cookie_consent or language where used in the relevant service. An ordinary visit alone must not extend an earlier choice as though new consent had been given.
Retention periods for independent third-party technologies are disclosed in the relevant service information before activation. The twelve-month limit for our processing is not a promise about every system operated by another party.
Giving and Withdrawing Consent
Optional purposes are presented clearly and separately. Users can accept, refuse or adjust them without misleading choices. Preselected boxes, silence and continued browsing do not constitute consent to processing for which we request an affirmative choice.
Consent may be withdrawn at any time through the available privacy settings or by emailing [email protected]. Withdrawal must be as easy as, or easier than, giving consent. Processing based on that consent stops without undue delay.
Withdrawal does not affect the lawfulness of earlier processing. Necessary steps are taken to notify recipients and request destruction in accordance with the applicable requirements. Deleting cookies in a browser does not always communicate withdrawal to every recipient.
G) Recipients and Processing outside Saudi Arabia
Data are made available to another entity only for a specified purpose, on a lawful ground and to the extent necessary. Recipients may include technical, hosting, security, payment and communications providers, advisers subject to confidentiality obligations, and competent authorities or courts where legally required.
Processors acting on our behalf are subject to arrangements covering purposes, duration, data categories, instructions, confidentiality, security, further outsourcing and return or destruction when the service ends. A processing agreement does not authorise a provider to use data for unauthorised independent purposes.
LEGIER Beteiligungs mbH, Kurfürstendamm 14, 10719 Berlin / Germany, may be involved in advertising and promotional transactions it handles, limited to the information necessary for those transactions. This cooperation does not provide access to every reader’s data.
Countries and Processing Locations
SCANDIC TRUST GROUP LLC is located in Ukraine, and SCANDIC ASSETS FZCO is located in the United Arab Emirates. Relevant hosting and support arrangements may involve processing in the United States, Malaysia or Switzerland, depending on the service used, including infrastructure associated with Boston and Kuala Lumpur and related hosting or backup services.
Making data available to an entity outside Saudi Arabia, including through remote access, may constitute a transfer or disclosure subject to statutory controls. Encryption or locating a server in a particular country does not remove data protection obligations or requirements governing access from another country.
Transfer Grounds and Safeguards
Where an activity is subject to Saudi international transfer requirements, it must comply with Article 29 of the Personal Data Protection Law and the applicable Transfer Regulation, including permitted purposes, protection requirements, data minimisation and other relevant conditions.
A transfer may rely on an appropriate level of protection determined by the competent authority, or a permitted exemption accompanied by the safeguards required for that exemption, such as standard contractual clauses, binding common rules or an accreditation certificate meeting Saudi requirements. These mechanisms are not interchangeable without regard to the conditions governing each case.
Information about the recipient, country, purpose, legal ground and applicable safeguard is provided in the context of the relevant service. Further information may be requested from [email protected]. Mentioning a type of safeguard in this policy does not establish that a particular agreement has been executed or a particular certificate obtained.
H) Retention and Destruction
The general rule is to retain personal data only for as long as lawfully needed, with a maximum of twelve months for the categories and starting points specified below, unless a statutory obligation or a defined exception applies.
- Correspondence and enquiries: During handling of the matter, followed by no more than twelve months after closure, and only where a continuing lawful purpose requires retention.
- Accounts, subscriptions and transactions: While the service or agreement continues, followed by no more than twelve months after it ends for data that remain necessary for a lawful purpose and are not subject to mandatory retention.
- Technical and security logs: No more than twelve months after creation, with earlier destruction when the operational or security need ends.
- Preferences and privacy choices: No more than twelve months after the actual choice, unless the user changes it or the need ends sooner.
- Consent, withdrawal and rights-request evidence: Only to the extent necessary to demonstrate and implement the choice, while the associated purpose continues, followed by no more than twelve months after it ends, subject to any specific statutory retention obligation.
- Newsletters: While a valid subscription continues. After cancellation, messages stop and only the minimum information needed to respect and demonstrate cancellation is retained within the applicable periods and legal grounds.
- Documents subject to mandatory retention: For the legally required period described in Section D. Data closely connected with a case pending before a judicial authority are also retained where required for that purpose.
- Journalistic material and archives: According to the continuing specific, lawful purpose of publication or archiving, consistent with the processing ground and individuals’ rights. Describing material as archival is not an independent justification for unlimited retention.
Article 18 of the Law applies when the collection purpose ends, including destruction without delay or removal of identifying information under the statutory conditions. The twelve-month limit is not used to postpone destruction that becomes legally necessary sooner.
Destruction includes secure deletion or other measures making data unreadable, irretrievable or incapable of identifying the individual. Backups remain subject to applicable retention requirements, with restricted access. Restoring a backup does not authorise renewed use of information previously destroyed or restricted.
I) Individuals’ Rights
Subject to the applicable statutory conditions and exceptions, your rights include:
- The right to be informed: To know the legal ground and purpose of collection and processing, required data, whether provision is mandatory or optional, recipients, retention periods and how to exercise your rights.
- The right of access: To access your personal data that we process, within the applicable statutory limits.
- The right to obtain a copy: To request your personal data in a clear, readable format in accordance with statutory requirements.
- The right to correction, completion and updating: To request changes to inaccurate, incomplete or outdated data.
- The right to request destruction: To request destruction where its conditions are met, subject to legally required retention.
- The right to withdraw consent: To withdraw consent at any time where processing relies on it, without affecting the lawfulness of earlier processing.
- The right to complain and seek compensation: To approach the competent authority and competent court under the applicable requirements and procedures.
Responses take account of other individuals’ rights and statutory restrictions. Where inaccurate or incomplete data could harm the individual, affected processing is stopped until the data are updated or corrected as required by law.
Exercising Rights and Response Periods
Requests may be sent to [email protected] or the controller’s postal address at the beginning of this policy. Please identify the right you wish to exercise and provide the information necessary to locate the relevant data.
Appropriate identity verification is used without collecting excessive information or disregarding restrictions on copying official documents. A complete copy of an identity document is not requested automatically.
Requests are handled without delay and within thirty days. This may be extended by no more than a further thirty days where fulfilment requires unexpected or unusual additional effort or where the individual submits multiple requests, provided that the individual is notified in advance of the extension and its reasons.
An unjustifiably repetitive request, or one requiring unusual effort, may be declined within the limits permitted by the Implementing Regulation, with reasons communicated to the individual.
J) Data Security and Incident Notifications
Data are subject to organisational, administrative and technical safeguards appropriate to their nature and processing risks. These include access restrictions, protection during transmission and storage, recovery arrangements and secure destruction as relevant to the service. National Cybersecurity Authority controls are followed where binding; otherwise, appropriate security standards and practices apply.
Where a personal data breach requires notification under Article 24 of the Implementing Regulation, the competent authority is notified within seventy-two hours of becoming aware of the incident, where it could harm personal data or the individual or conflict with their rights or interests.
Affected individuals are notified without undue delay where the incident could harm their data or conflict with their rights or interests. The notification describes the incident, relevant risks and measures, contact details and appropriate recommendations.
K) Complaints and Remedies
Complaints about the processing of your data may be sent to [email protected]. Contacting us does not restrict your right to complain to the Saudi Data and Artificial Intelligence Authority, SDAIA, through the channels published on the National Data Governance Platform.
Under Article 37 of the Implementing Regulation, a complaint should be submitted to the competent authority within ninety days of the incident or of becoming aware of it. The authority may accept a later complaint where actual circumstances prevented submission within that period.
Article 40 of the Personal Data Protection Law entitles a person harmed by a violation of the Law or its regulations to seek proportionate compensation for material or moral damage before the competent court. This policy does not waive that right or impose mandatory arbitration.
L) Relevant Legislation and Judicial Decisions
Within their respective scope, this policy is based particularly on:
- The Personal Data Protection Law: Issued by Royal Decree No. M/19 dated 9/2/1443 AH and amended by Royal Decree No. M/148 dated 5/9/1444 AH.
- The Implementing Regulation of the Personal Data Protection Law: Including provisions on information, access, correction, destruction, consent, processors, security, direct marketing and complaints.
- The Regulation on Personal Data Transfer outside the Kingdom: Including transfer conditions, safeguards and onward-transfer requirements.
- Supplementary legislation relevant to the processing: Including applicable requirements concerning electronic commerce, transactions, tax documents, published content and individuals’ rights.
Photographs and Rights Associated with Publication
In judgment 4430884271, issued by the Commercial Court in Riyadh in case 4470602869 of 1444 AH, the court rejected a challenge to a decision concerning publication of a photograph without the required permission. The dispute was governed by the Copyright Protection Law applicable at the time; it is not presented as a judgment applying the Personal Data Protection Law. It illustrates that prior publication in another newspaper did not, in that case, sufficiently justify republication. Whether processing or publishing a photograph is lawful depends on the facts and legislation applicable to the particular case.
M) Additional Information about Specific Services
Newsletters and Marketing Messages
Where a newsletter or marketing subscription is offered, the service and the intended use of contact details are explained before subscription. Required consent is obtained in accordance with Articles 25 and 26 of the Law and the relevant Implementing Regulation provisions.
The sender is clearly identified, and a clear method of stopping messages is provided. You may unsubscribe through the link in the message or by contacting [email protected]. Direct marketing stops without undue delay after consent is withdrawn.
Purchasing a service, submitting an enquiry or creating an account does not constitute marketing consent. Newsletter subscription does not automatically include consent to tracking message openings or link clicks; those purposes require separate information and the necessary legal ground and consent. Sensitive data are not used for marketing.
Embedded Content and External Platforms
Activating an external video, audio player or interactive element may transmit data to its provider, including an IP address, device information and information about the page and interaction. Depending on integration, the connection may occur when the element loads, rather than only when playback begins.
This differs from an ordinary link that takes the user to another website when selected. Being signed in to an external platform does not constitute general consent to data being transmitted to it from AL HAYAT.
Where an element requires consent, a choice is requested before activation. Its provider, purpose, data, retention and any processing outside Saudi Arabia are described in the relevant information. The provider’s policy does not replace AL HAYAT’s responsibilities for processing it determines or participates in.
Information from providers potentially associated with external content or functions is available through the following links. This is a reference list and does not mean that every listed service is active:
- Cloudflare: Privacy Policy.
- Google, YouTube, Google Play and Android TV: Google Privacy Policy.
- Facebook and Instagram: Facebook Privacy Policy and Instagram Privacy Policy.
- X: Privacy Policy.
- Telegram: Privacy Policy.
- Apple and its services: Privacy Policy.
- Amazon, Alexa and Fire TV: Privacy Information.
- Huawei: Privacy Information.
- Spotify: Privacy Policy.
- TikTok: Privacy Policies.
Voice Assistants
When a compatible voice service is used, its provider may process audio, transcripts or request information according to the service and user settings. The data received by AL HAYAT depend on the actual integration. Using a voice assistant does not mean that complete conversation recordings are automatically transmitted to us.
Events, Competitions and Additional Services
Where an event, competition or booking service is offered, information necessary for participation or delivery is collected, and the specific conditions and processing information are provided when data are collected. Dates of birth, identity information and health information are requested only for a defined purpose supported by an appropriate legal ground.
Where an event involves photography, video recording or video surveillance, necessary information is provided before participation or at the collection location, depending on the processing, with respect for applicable consent requirements, rights and restrictions.
Personalisation and Automated Decisions
Where available and activated, personalisation functions may use interaction information to infer interests or preferences. The purpose, data, legal ground and means of stopping the function are explained before processing where required.
The specific requirements for explicit consent are observed where decisions are based entirely on automated processing of personal data, in accordance with Article 11 of the Implementing Regulation. Consent to one purpose is not interpreted as consent to every form of analysis or personalisation.
Children and Individuals without Full Legal Capacity
Particular protection is provided for children and individuals who do not have full legal capacity. Where processing depends on consent that the individual cannot validly provide, consent is obtained from the legal guardian in accordance with the Law, the Implementing Regulation and other applicable requirements.
A legal guardian may exercise the individual’s rights on their behalf in their interests. Unnecessary marketing consent is not required to access a service intended for children, and information exceeding the defined needs of that service is not collected.
Changes to this Privacy Policy
This policy may be updated when services, processing purposes or legal requirements change. The revision date appears at the beginning. Necessary information is provided before new processing or a material change requiring notification begins.
Where new processing requires consent, it is requested separately before that processing starts. Continued use of the website does not constitute that consent. Withdrawal of consent is not restricted to two weeks or any similar period.
Data Protection Contact
AL HAYAT
Email: [email protected]
Website: www.alHayat.media
© 2026 AL HAYAT — All rights reserved to the extent permitted by law.