سياسة الخصوصية

آخر تحديث: ١٣ تشرين الأول ٢٠٢٦

«مشغولات» سوق للمشغولات اليدوية في العراق. هذه الصفحة تشرح، بلغة واضحة، ما الذي نجمعه وما الذي نفعله به. كتبناها لتكون دقيقة لا مطمئِنة: إن كان هناك ما يبقى بعد حذفك، فهو مكتوب هنا.

من يجب أن يستخدم التطبيق

هذا التطبيق لمن أتمّ ١٨ سنة. فيه بيع وشراء ودفع نقدي عند الباب وتبادل عناوين، وهذه ليست أمورًا نطلبها من الأطفال. لا نجمع بيانات الأطفال عن قصد، وإن علمنا بحساب لطفل حذفناه.

ما نجمعه

الحساب: رقم الموبايل، فالحسابات الجديدة تُفتح به وحده، واسمك (أو اسم ورشتك). والحسابات القليلة التي فُتحت بالبريد الإلكتروني قبل ذلك يبقى بريدها وسيلة الدخول إليها. وإن استُعملت كلمة مرور فلا نراها ولا نحتفظ بها — تحفظها Supabase كبصمة مشفّرة باتجاه واحد لا يمكن ردّها إلى كلمة المرور.
طلب الحساب: الحسابات تُفتح بطلب. في التطبيق، زر «الدخول عبر واتساب» يفتح واتساب برسالة جاهزة إلى رقم الدخول الخاص بنا، فيها رمز قصير. والرقم الذي تصل منه الرسالة هو رقم الحساب: يعطينا إياه واتساب، ولا يُكتب في التطبيق. وإن لم يكن الرقم مقبولًا بعد، صار طلبَ حساب. نحتفظ مع الطلب بالرقم، وبأوقات إرسال الرسالة وعدد مراتها، وبما يُكتب في التطبيق إن كُتب: للبيع أم للشراء، وسطر واحد يذكر الصفحة أو المتجر الذي دلّ على مشغولات. ولا نحتفظ باسم واتساب ولا بصورته ولا بأي نص آخر، ولا بعنوان الإنترنت. وإن ذُكر متجر، فقد نسأل ذلك المتجر إن كان يعرف صاحب الطلب. يراجع فريقنا الطلب في التطبيق، ويبقى الطلب إلى الموافقة، ثم يُحذف بعد يوم، ولا يبقى من الموافقة إلا أنها جاءت بطلب على واتساب، وللبيع أم للشراء. ويُحذف بعد ثلاثين يومًا من الرفض، أو بعد ثلاثين يومًا دون قرار ودون رسالة جديدة.

لا نرسل رمزًا إلى أحد: وصول الرسالة من الرقم نفسه هو ما يثبت الرقم. ثم يُنشئ Supabase رمز دخول لمرة واحدة يبقى لدينا مشفّرًا عشر دقائق على الأكثر، حتى يأخذه التطبيق الذي بدأ الدخول وحده، ثم يُمحى. ونحتفظ بسجلّ لكل محاولة دخول: الرمز القصير، وعنوان الإنترنت الذي بدأت منه، وأوقاتها، والرقم الذي وصلت منه رسالتها، ثلاثين يومًا؛ والمحاولة التي لم تصلها رسالة تبقى يومين.

ونرسل في المحادثة ردًّا قصيرًا يقول إن الرسالة وصلت وإن الدخول يكتمل في التطبيق، ومعه زر «لم أكن أنا». هذا الزر يُخرج كل الهواتف من الحساب خلال ساعة، ويوقف الدخول إليه تلك الساعة، ويحذف ما أُضيف إلى الحساب منذ ذلك الدخول من طرق الدخول: كلمة المرور والبريد الإلكتروني إن لم يكن للحساب بريد قبل ذلك الدخول، وأي تغيير معلّق للبريد أو للرقم أو لكلمة المرور، وأي طريقة تحقق إضافية أُضيفت بعده. وعند الضغط عليه، أو حين تصل رسالة الدخول نفسها من رقم ثانٍ بعد اكتمال الدخول، نحتفظ بالرقم والحساب وعنوان الإنترنت الذي بدأت منه محاولة الدخول تسعين يومًا.

والهاتف الذي لا واتساب عليه يطلب برسالة نصية إلى رقمنا. بعد الموافقة يُنشئ خادمنا رمز دخول من ثمانية أرقام، يُرسَل برسالة نصية من هاتف مشغولات إلى الرقم الذي جاء منه الطلب، ويُكتب في التطبيق بعد «عندي رمز». ولا يحفظ خادمنا الرمز إلا مشفّرًا باتجاه واحد لا يمكن ردّه إلى الرمز. ونسجّل كل رمز خاطئ يُكتب: الرقم وعنوان الإنترنت، دون الرمز، يومين.

أما محادثات واتساب مع رقم المساعدة، +964 776 226 2909، وهو غير رقم الدخول، فيظهر لنا فيها اسم ملفك على واتساب وصورته، كما في أي محادثة واتساب. نحتفظ بمحادثات الطلب ورسائل الرمز على هاتف مشغولات ستة أشهر ثم نحذفها. وإن حُذف الحساب، حُذف معه في اللحظة نفسها كل ما سبق: رقمه من قائمة الأرقام المقبولة، وسجلّ محاولاته، وطلبه، ورمزه، والرموز الخاطئة على رقمه، وما سُجّل بزر «لم أكن أنا».

ويحفظ التطبيق على الهاتف نفسه، في خزنة الهاتف الآمنة، مفتاحَ الطلب إن صار الرقم طلبًا: رقمًا يعرّف الطلب، وسرًّا لا يعرفه غير هذا الهاتف، وآخر رقمين من رقم الهاتف، لا الرقم كله. ويُمحى بعد الدخول، أو بعد ثلاثين يومًا. ويحفظ كذلك محاولةَ الدخول الجارية إلى أن يكتمل الدخول. ولا يشملهما النسخ الاحتياطي ولا يُنقلان إلى هاتف آخر. ويمحوهما حذف التطبيق على أندرويد؛ أما على آيفون فتبقيهما خزنة الهاتف إلى أن يُثبَّت التطبيق من جديد، فيمحوهما.
المحل الذي دلّ عليك: إن وصلت إلى مشغولات من رابط محل، أو أضفت كود محل في أول أسبوع بعد فتح حسابك، سجّلنا أي محل دلّك علينا ومتى، مرة واحدة لحسابك، لنعرف أي المحلات تجلب زبائن جدد، وتُحسب للمحل أول ثلاثة طلبات لك خلال تسعين يومًا من فتح حسابك، وما سُلِّم منها وقيمته. يرى فريقنا هذه الأعداد، وقد يُخبَر بها المحل مجموعةً دون أي اسم، ولا تُحسب له قبل أن يدلّ على ثلاثة أشخاص. لا يرى المحل من دلّ عليه، ولا شيء عنك. وهذا غير سطر طلب الحساب أعلاه، الذي يُحذف بعد يوم. ويحفظ التطبيق على الهاتف نفسه، في تفضيلاته لا في الخزنة، كود الرابط الذي فُتح أولًا، إلى أن يُسجَّل بعد الدخول أو تمضي ثلاثون يومًا؛ ولا يُنقل إلى هاتف آخر، ويمحوه حذف التطبيق.
المتجر: منشوراتك أنت — المنتجات وصورها وأسعارها ووصف متجرك ومدينتك.
الهاتف والعنوان: يلزمان لإتمام أي طلب، لا لتصفّح السوق. عند الطلب تُنسخ المدينة والمنطقة وأقرب نقطة دالة ورقم الهاتف على الطلب نفسه، لأن البائع يحتاجها للتوصيل. تبقى هذه النسخة على الطلب حتى لو غيّرت عنوانك لاحقًا — فالطلب سجلّ لما حدث وقتها.
نشاطك: الطلبات، والتقييمات، والرسائل بينك وبين الطرف الآخر في الطلب، والمحفوظات (القطع المحفوظة)، ومن حظرتهم، والإشعارات، والبلاغات المقدَّمة منك — والبلاغات التي تُقدَّم عنك، ونصّ أي اعتراض منك إن جرى تعليق حسابك.
بيانات تقنية: كأي خدمة على الإنترنت، تسجّل خوادمنا عنوان IP ونوع الجهاز وإصدار التطبيق وأوقات الطلبات ومحاولات تسجيل الدخول، ويبقى عنوان الإنترنت ووصف الجهاز لكل جلسة تسجيل دخول في قاعدة بياناتنا حتى تنتهي الجلسة. نستخدمها لتشغيل الخدمة وتشخيص الأعطال ومنع إساءة الاستخدام، لا لتتبّعك.
تقارير الأعطال والأخطاء: حين يتعطّل شيء في التطبيق، يرسل تقريرًا إلى Google (خدمة Firebase Crashlytics) لنعرف العطل ونصلحه. يذكر التقرير نوع الخطأ وموضعه في التطبيق. وقبل أن يغادر التقرير هاتفك، يحذف التطبيق من وصف الخطأ أرقامَ الهواتف وعناوينَ البريد الإلكتروني وعناوينَ الإنترنت والمعرّفات، ويختصر الروابط إلى اسم الموقع. والاستثناء الوحيد عطلٌ يُغلق التطبيق فجأة: هذا يُرسَل كما سجّله الهاتف. ويحمل التقرير كذلك إصدار التطبيق وحال الهاتف لحظتها: طرازه والشركة المصنّعة، ونظام تشغيله ومعالجه، ومستوى البطارية وهل كان قيد الشحن، واتجاه الشاشة، والذاكرة والمساحة المتاحتين، وهل أُزيلت قيود نظامه (root أو jailbreak). ويحمل رقمًا عشوائيًا يمثّل تثبيت التطبيق هذا، يمكن مطابقته بعنوان الإشعارات الذي نحفظه مع حسابك إن سمحت بالإشعارات. ويرسل التطبيق أيضًا إشارة قصيرة كلما فُتح، بالرقم العشوائي نفسه وطراز الهاتف ونظام تشغيله ونوع الاتصال. وترى Google عنوان الإنترنت الذي يصل منه التقرير. لا يُوسَم التقرير بحسابك، وتحتفظ به Google مدة ٩٠ يومًا.
صورك: يطلب التطبيق الإذن للوصول إلى مكتبة الصور ليتيح لك اختيار صور منتجاتك. لا نطلب الكاميرا ولا الموقع ولا جهات الاتصال.

ما هو علني

بعض ما سبق يراه أي زائر، حتى غير المسجَّل. وهذا هو بالتحديد:

منتجاتك وصورها وأسعارها ووصف متجرك ومدينتك واسم متجرك — عرضها هو الغرض منها.
تقييماتك باسمك. النجوم والكلام في تقييمك لمتجر يظهران على صفحته مقرونين باسم حسابك، وهذا يكشف أنك اشتريت منه. أما نجوم القطعة الواحدة فلا تظهر باسم أحد: صفحة القطعة تعرض معدّلها وعدد تقييماتها فقط.
ما إذا كان متجرك جديدًا وبانتظار المراجعة — تظهر عليه علامة «متجر جديد»، وهذا مقصود ليعرف المشتري مع من يتعامل.

رقم هاتفك وعنوانك وبريدك الإلكتروني ورسائلك ليست علنية أبدًا.

ما لا نفعله

لا إعلانات، ولا شيء في التطبيق يتتبّعك لأغراض إعلانية. وما يرسله التطبيق إلى طرف ثالث لتشخيص الأعطال — تقارير الأعطال، وإشارة كلما فُتح — مشروح تحت «ما نجمعه»، ويذهب إلى Google وحدها.
لا نبيع بياناتك ولا نشاركها مع أي جهة تسويقية.
لا نعالج مدفوعات ولا نحتفظ ببيانات بطاقات — الدفع نقدًا عند الاستلام.

أين تُحفظ البيانات

نستخدم مزوّدين لتشغيل الخدمة، ولا يحقّ لهم استخدام بياناتك لأغراضهم:

Supabase — قاعدة البيانات والصور وتسجيل الدخول، في فرانكفورت بألمانيا.
Resend — رسائل البريد الخاصة بالحساب (التأكيد واستعادة كلمة المرور) للحسابات التي تدخل بالبريد، وتسلّمها عبر Amazon SES في الولايات المتحدة.
Meta (واتساب) — عبره تصل رسائل الدخول وطلبات الحسابات، وعبره يُرسل الرد القصير الذي يقول إن الرسالة وصلت، ومعه زر «لم أكن أنا»، وتسري عليه سياسة الخصوصية الخاصة بواتساب. وما يصلنا منه مشروح تحت «ما نجمعه».
Cloudflare — هذا الموقع، وكذلك تمرّ عبره طلبات التطبيق وتنزيل الصور. ويعدّ زيارات صفحات هذا الموقع، كم مرة فُتحت كل صفحة، من دون ملفات تعريف (كوكيز) ومن دون أن يعرف من الزائر؛ وهذا للموقع وحده، لا للتطبيق. ومنه يقرأ التطبيق إشعار الأعطال عند تعذّر الوصول إلى خدمتنا، من دون أي بيانات عن الحساب أو الهاتف. ويحفظ أيضًا نسختنا الاحتياطية مشفّرةً بحيث لا يقرؤها أحد سوانا، داخل الاتحاد الأوروبي، مدة ٣٠ يومًا.
Porkbun — يستضيف نطاقنا ويحوّل بريد support@mashghoulat.com، فتمرّ عبره رسائلك إلينا على هذا العنوان.
Google (Firebase) — تقارير الأعطال والأخطاء كما شُرحت أعلاه، وإيصال الإشعارات. تحتفظ Google بعنوان لهاتفك كي يصله الإشعار — مباشرةً على أندرويد، وعن طريق Apple على آيفون. يحمل الإشعار جملة ثابتة مثل «وصلتك رسالة بخصوص أحد طلباتك» ورقمًا مرجعيًا للطلب، ولا يحمل أبدًا نصّ الرسالة ولا اسمًا ولا ما طُلب.
Apple — إيصال تلك الإشعارات إلى أجهزة آيفون.

جميع هؤلاء خارج العراق، أي أن بياناتك تُعالَج خارج البلد. واستخدامك التطبيق موافقةٌ على ذلك.

الرسائل والإشراف

الرسائل داخل التطبيق مرتبطة دائمًا بطلب بينك وبين الطرف الآخر، ولا يمكن مراسلة شخص دون طلب يجمعكما. يمكنك حظر أي متجر، فتتوقف المراسلة بينكما.

الإشراف ليس ردّ فعل فقط: كل متجر جديد يمرّ على مراجعة بعد ظهور منتجاته، إلى جانب مراجعة البلاغات. عند الإبلاغ عن رسالة تُنسَخ الرسالة نصًّا إلى سجلّ البلاغ ليقرأها المشرف، وتبقى هذه النسخة حتى لو حُذفت المحادثة.

إن عُلِّق حسابك أو حُظر أو رُفض متجرك، نحتفظ بسبب القرار الذي كتبه المشرف وتاريخه. وإن قدّمت اعتراضًا، نحتفظ بنصّه وبقرارنا وسببه. يمكنك قراءة هذا كلّه داخل التطبيق. ويُحذف مع حسابك، إلّا قرار إيقاف الحساب والبلاغات المقدَّمة عنه — وشرحهما في الفقرات التالية.

قرار الإشراف عنك يبقى بعد رحيلك. إن بُلِّغ عنك وأوقف مشرف حسابك، ثم حذفت حسابك، لا يُحذف القرار معك. نحتفظ به مربوطًا بقيمة محسوبة من رقم موبايلك ومن بريدك الإلكتروني — لا باسمك ولا بالرقم ولا بالبريد نفسه — حتى إذا فُتح حساب جديد بالرقم ذاته أو البريد ذاته عرفنا أن ثمّة قرارًا سابقًا. ويبقى معه البلاغ نفسه، ونسخة الرسالة المُبلَّغ عنها كما كُتبت.

وينطبق الشيء نفسه على أي بلاغ قُدِّم عنك ولو لم يتبعه قرار: يبقى البلاغ بعد حذف حسابك مربوطًا بتلك القيمة المحسوبة، كي لا يُمحى بالخروج ثم العودة.

القيمة تُحسب بمفتاح سرّي عندنا، ولا تظهر في التطبيق، ولا تُقرأ رجوعًا إلى الرقم. لكن من يملك المفتاح يستطيع أن يجرّب رقمًا يشكّ فيه ويرى إن كان هو. نقولها كما هي: هذا يجعل الوصول إلى الرقم أصعب، لا مستحيلًا.

وهذا ليس بابًا مغلقًا، ولا ندّعي أنه كذلك. الحساب الجديد في «مشغولات» يُفتح برقم موبايل وحده، وبعد مراجعة الطلب، فالعودة تحتاج شريحة جديدة وطلبًا جديدًا، والشريحة ليست غالية. أما الحسابات القليلة التي فُتحت بالبريد الإلكتروني قبل ذلك فيبقى الدخول إليها بالبريد، ولا يُفتح حساب جديد ببريد. ما يفعله هذا السجلّ أنه يحفظ القرار ويجعل العودة بالرقم نفسه أو البريد نفسه معروفة لنا. هو احتفاظ بالسجلّ وعائقٌ أمام العودة السهلة، لا منعٌ للعودة.

يُحفظ السجلّ اثني عشر شهرًا ثم يُحذف. وإن أوقفنا حسابًا جديدًا للشخص نفسه، بدأت مدّة جديدة من تاريخ ذلك القرار. ومجرّد محاولة الدخول برقم مُعلَّم لا تمدّد المدّة.

وإن كان الرقم جديدًا عليك — يحدث أن يُعاد بيع رقم تخلّى عنه صاحبه — فسيُفتح حسابك موقوفًا ويصلك إشعار بذلك. الاعتراض متاح من داخل التطبيق وسنراجعه، ولن نُطلعك على قرارٍ يخصّ شخصًا آخر.

الحظر لا يبقى بعد حذف المحظور لحسابه. إن حظرت شخصًا ثم حذف هو حسابه، زال الحظر معه؛ فإن عاد بحساب جديد لم يعد محظورًا عندك، ولن نخبرك بذلك — لأننا لا نربط الحظر برقم أحد. تبقى المراسلة مستحيلة بلا طلب يجمعكما، ويمكنك حظره من جديد والإبلاغ عنه. نكتب هذا لأنه نقص حقيقي، لا لنطمئنك.

حذف حسابك

من داخل التطبيق: حسابي ← الملف الشخصي ← حذف الحساب. وهذا ما يحدث فعلًا:

لن يتم الحذف ما دام هناك طلب جارٍ — لك أو عليك — حتى يُسلَّم أو يُلغى. هذا حمايةٌ للطرف الآخر.
يُحذف حسابك ومتجرك ومنتجاتك، وتُحذف صورك من مخزننا فلا تعود مفتوحة لأي رابط قديم. ويُحذف معها تسجيل المحل الذي دلّ عليك، وتُحذف معه أرقام من دللت عليهم إن كان لك محل.
إن كنت قد اشتريت: يبقى الطلب المُسلَّم عند البائع سجلًّا عن صفقة تمّت فعلًا — ما اشتُري، وبكم، ومتى، وأنه سُلِّم، وإلى أي محافظة. ويُمحى من حقول الطلب ما يدلّ عليك: اسمك ورقم هاتفك ومنطقتك وأقرب نقطة دالة. تبقى المحافظة وحدها — وفيها ملايين — لأنها سجلّ البائع عن وجهة ما أرسل. لكن ما كتبته أنت بيدك يبقى كما كتبته: رسائل الطلب، وأي ملاحظة كتبتها على قطعة مصنوعة على الطلب. إن كنت قد وضعت فيها عنوانك أو رقمك، بقي ذلك مكتوبًا هناك، وشرحُه في البند التالي. أما الطلبات الملغاة فتُحذف كاملة ومعها رسائلها. وفي التقييم الذي كتبته تبقى النجمة وحدها، بلا كلماتك وبلا اسمك. ويبقى أن البائع رأى تفاصيلك يوم التوصيل، وما دوّنه عنده عندئذٍ خارج أيدينا.
إن كنت قد بعت: تبقى الطلبات عند المشتري كإيصال له، مع اسم متجرك وأسماء القطع كما كانت وقت الشراء.
الرسائل في طلب باقٍ تبقى كما كُتبت. لا نحذف نصّها ولا نغيّره: هي الدليل الوحيد على ما اتُّفق عليه، ويحتاجه الطرفان إن اختلفا. يُمحى اسم من كتبها، أمّا النصّ فيبقى بحروفه — وكذلك أي ملاحظة كتبتها على قطعة مصنوعة على الطلب، لأنها مواصفات البضاعة نفسها. إن كنت قد كتبت فيها رقمك أو عنوانك أو موعدًا أو أي شيء عن نفسك، بقي ذلك مكتوبًا. لا نسمّي هذا إخفاءً للهوية، لأنه ليس كذلك: الطرف الآخر يعرف من كتبها، لأن الحديث كان معه.
التنبيهات التي وصلت غيرك قبل الحذف — أن طلبًا قد قُدّم، أو أن قطعة قُيّمت — تبقى في قائمة تنبيهاتهم، بلا اسمك.
تقارير الأعطال التي أُرسلت إلى Google تبقى حتى تحذفها Google بعد ٩٠ يومًا. لا تحمل اسم حسابك، فلا نستطيع تمييزها لحذفها؛ لكن حذف حسابك يحذف عنوان الإشعارات الذي قد يربطها بك، وبعدها لا يبقى لدينا ما يربطها بك.
إن كنت من فريق الإشراف: تبقى القرارات التي اتخذتها مع سجلّاتها، لأن تلك السجلّات تخصّ الشخص المُبلَّغ عنه لا تخصّك، ويُمحى اسمك منها.

كم نحتفظ بالبيانات

نحتفظ ببيانات حسابك ما دام حسابك قائمًا، وتُحذف عند حذفه كما وُصف أعلاه. تبقى الطلبات لدى الطرف الآخر كإيصال له. تبقى سجلّات الإشراف ما دام الحساب المعني قائمًا، إلّا قرار إيقاف الحساب والبلاغات المقدَّمة عنه فيبقيان بعده كما شُرح في فقرة الإشراف: القرار اثني عشر شهرًا، والبلاغ ما دام البلاغ نفسه موجودًا، مربوطًا بالقيمة المحسوبة لا بالرقم ولا بالبريد. أما السجلّات التقنية فتُحفظ لدى مزوّدينا لمدد قصيرة ضمن سياساتهم، ويبقى عنوان الإنترنت ووصف الجهاز لكل جلسة تسجيل دخول في قاعدة بياناتنا نحن حتى تنتهي تلك الجلسة. ومحادثات طلب الحساب على واتساب تبقى ستة أشهر ثم تُحذف. وسجلّ محاولات الدخول يبقى ثلاثين يومًا، والمحاولة التي لم تصلها رسالة يومين. وطلب الحساب يبقى إلى يوم بعد الموافقة، أو ثلاثين يومًا بعد الرفض أو دون قرار. والرموز الخاطئة تبقى يومين، وما سُجّل بزر «لم أكن أنا» تسعين يومًا. والمحل الذي دلّ عليك يبقى ما دام حسابك قائمًا، ويُحذف معه. وتحتفظ النسخ الاحتياطية بنسخة من بياناتك مدة أقصاها ٣٠ يومًا بعد الحذف، ثم تُحذف هي أيضًا.

حين يطلبها القانون

قد نكشف بيانات إذا ألزمنا القانون، أو للتحقيق في احتيال أو إساءة استخدام، أو لحماية سلامة شخص. لا نفعل ذلك طواعية خارج هذه الحالات.

الأمان

الاتصال بالتطبيق مشفَّر، وقواعد الوصول مفروضة في قاعدة البيانات نفسها لا في التطبيق وحده، فلا يستطيع أحد قراءة ما ليس له. لا توجد حماية كاملة؛ وإن حدث تسريب يمسّ بياناتك سنُعلمك ونشرح ما جرى.

تغييرات هذه الصفحة

إن تغيّر شيء جوهري سنحدّث التاريخ أعلاه ونذكر التغيير داخل التطبيق. استمرارك في الاستخدام بعد ذلك يعني قبولك بالنسخة الجديدة.

التواصل

لأي سؤال عن الخصوصية، أو لطلب نسخة من بياناتك أو حذفها: support@mashghoulat.com

Privacy Policy

Last updated: 13 October 2026

Mashghoulat is a marketplace for handmade goods in Iraq. This page explains, in plain language, what we collect and what we do with it. It is written to be accurate rather than reassuring: if something survives your deletion, you will find it written here.

Who should use this app

This app is for people aged 18 or over. It involves buying, selling, cash changing hands at your door, and exchanging addresses — not things we ask of children. We do not knowingly collect data from children, and if we learn of a child's account we delete it.

What we collect

Account: your mobile number, which is the only way a new account is opened, and your name (or workshop name). The few accounts opened with an email address before that keep signing in with it. If a password is used, we never see or store it — Supabase keeps a one-way hash of it, which cannot be turned back into the password.
Asking for an account: accounts are opened on request. In the app, the Sign in with WhatsApp button opens WhatsApp with a ready message to our sign-in number, carrying a short code. The number the message comes from is the account's number: WhatsApp gives it to us, and nobody types it into the app. If the number is not approved yet, it becomes a request for an account. With a request we keep the number, when and how often the message was sent, and what is written in the app, if anything: to sell or to buy, and one line naming the page or shop that pointed to Mashghoulat. We keep no WhatsApp name, no photo, no other text, and no internet address. If a shop is named, we may ask that shop whether it knows the person asking. Our team reviews the request in the app. It stays until it is approved, and goes a day later; of the approval we keep only that it came as a WhatsApp request, to sell or to buy. It goes thirty days after a decline, or after thirty days with no decision and no new message.

We send no code to anyone: the message arriving from the number itself is what proves the number. Supabase then makes a one-time sign-in code, which waits with us, encrypted, for ten minutes at most, until the app that started the sign-in, and only that app, collects it; then it is gone. We keep a record of each sign-in attempt (the short code, the internet address it started from, its times, and the number its message came from) for thirty days; an attempt no message reached, for two days.

In the chat we send a short reply saying the message has arrived and the sign-in finishes in the app, with an «It wasn't me» button. That button signs every phone out of the account within an hour, stops signing in to it for that hour, and takes away the ways in added to the account since that sign-in: the password and the email address, if the account had no email address before that sign-in; any pending change of email, number or password; and any extra verification method added since. When it is pressed, or when the same sign-in message arrives from a second number after the sign-in finished, we keep the number, the account and the internet address the attempt started from for ninety days.

A phone without WhatsApp asks by text message to our number. Once the request is approved, our server makes an eight-digit sign-in code, which is sent by text message from Mashghoulat's phone to the number the request came from, and is typed into the app after «I have a code». Our server keeps the code only as a one-way hash, which cannot be turned back into the code. Each wrong code typed is recorded as the number and the internet address, never the code, for two days.

Chats on WhatsApp with our help number, +964 776 226 2909, which is not the sign-in number, still show us your WhatsApp profile name and photo, as any WhatsApp chat does. We keep request chats and code messages on Mashghoulat's phone for six months, then delete them. When an account is deleted, all of the above goes with it at once: its number from our list of approved numbers, its record of attempts, its request, its code, the wrong codes on its number, and what «It wasn't me» recorded.

The app keeps, on the phone itself and in the phone's secure keystore, a request key if the number became a request: an id for the request, a secret only this phone knows, and the last two digits of the number, never the whole number. It is forgotten after signing in, or after thirty days. The app also keeps a sign-in in progress, until the sign-in finishes. Neither is backed up or carried to another phone. Deleting the app removes them on Android; on iPhone, the phone's keychain keeps them until the app is installed again, which clears them.
The shop that brought you: if you came to Mashghoulat from a shop's link, or added a shop's code in the first week after opening your account, we record which shop brought you and when, once per account, so we know which shops bring new customers, and your first three orders within ninety days of opening your account are counted for the shop, with how many were delivered and their value. Our team sees these numbers, and the shop may be told them as totals, never a name; they are not counted for it before it has brought three people. The shop does not see whom it brought, nor anything about you. This is separate from the line on an account request above, which goes a day later. The app keeps, on the phone itself and in its preferences rather than the keystore, the code of the link opened first, until it is recorded after signing in or thirty days pass; it is not carried to another phone, and deleting the app removes it.
Shop: what you publish yourself — items, photos, prices, your shop story and your city.
Phone and address: required to complete an order, not to browse. When you order, your city, district, nearest landmark and phone number are copied onto the order itself, because the seller needs them to deliver. That copy stays on the order even if you later change your address — the order is a record of what happened at the time.
Your activity: orders, reviews, messages between you and the other party of an order, saved items, who you have blocked, notifications, reports you file — and reports filed about you, and the text of any appeal you write if your account is suspended.
Technical data: like any internet service, our servers log IP address, device type, app version, request times and sign-in attempts, and each sign-in session's internet address and device description sit in our database until the session ends. We use these to run the service, diagnose faults and prevent abuse — not to track you.
Crash and error reports: when something in the app fails, it sends a report to Google (Firebase Crashlytics) so that we can find and fix the fault. A report says what kind of error it was and where in the app. Before a report leaves your phone, the app removes phone numbers, email addresses, internet addresses and identifiers from its description, and cuts web links down to the site's name. The one exception is a crash that closes the app outright: that is sent as the phone recorded it. A report also carries the app's version and the state of the phone at that moment: its model and maker, operating system and processor, battery level and whether it was charging, which way the screen was turned, free memory and storage, and whether it has been rooted or jailbroken. It carries a random number standing for this installation of the app, which could be matched to the notification address we keep with your account if you allow notifications. The app also sends a short note each time it is opened, with that same random number, your phone's model and operating system, and the kind of connection. Google sees the internet address a report arrives from. A report is not tagged with your account, and Google keeps it for 90 days.
Your photos: the app asks permission to reach your photo library so you can choose pictures of your items. We do not ask for the camera, your location or your contacts.

What is public

Some of the above is visible to any visitor, even one who is not signed in. It matters that you know exactly what:

Your items, their photos and prices, your shop story, your city and your shop name — showing them is their purpose.
Your reviews, under your name. The stars and words of your review of a shop appear on that shop's page next to your account name, which also shows that you bought from it. Stars you give a single item are not shown with your name: the item's page shows only its average and how many ratings it has.
Whether a shop is new and awaiting review — it carries a "new seller" badge, deliberately, so buyers know who they are dealing with.

Your phone number, address, email and messages are never public.

What we do not do

No ads, and nothing in the app that tracks you for advertising. What the app does send to a third party to diagnose faults — crash reports, and a note each time it is opened — is described under “What we collect”, and goes to Google alone.
We do not sell your data or share it with marketers.
We process no payments and hold no card details — payment is cash on delivery.

Where data lives

We use providers to run the service. They may not use your data for their own purposes:

Supabase — the database, the photos, and sign-in, in Frankfurt, Germany.
Resend — account email (confirmation and password reset) for the accounts that sign in by email, delivered through Amazon SES in the United States.
Meta (WhatsApp) — sign-in messages and requests for an account come through it, and the short reply saying the message arrived, with its «It wasn't me» button, goes through it, under WhatsApp's own privacy policy. What reaches us that way is described under “What we collect”.
Cloudflare — this website, and also the path the app's own requests and photo downloads travel over. It counts this website's page views, how many times each page was opened, without cookies and without knowing who the visitor is; that is the website only, not the app. The app also reads our outage notice from it when our service cannot be reached, sending nothing about the account or the phone. It also keeps our backup copy, encrypted so that only we can read it, in the European Union, for 30 days.
Porkbun — hosts our domain and forwards support@mashghoulat.com, so anything you email us passes through them.
Google (Firebase) — crash and error reports, as described above; and delivering notifications. Google holds an address for your phone so that a notification can reach it — on Android directly, and on an iPhone by way of Apple. A notification carries a fixed sentence, such as “a message arrived about one of your orders”, and an order's reference number: never the message itself, a name, or what was ordered.
Apple — delivering those notifications to iPhones.

All of these are outside Iraq, so your data is processed abroad. By using the app you agree to that.

Messages and moderation

In-app messages are always attached to an order between you and the other party; nobody can message you without an order between you. You can block any shop, which stops messaging both ways.

Moderation is not only reactive: every new shop is reviewed after its items appear, alongside the review of reports. When you report a message, the message is copied verbatim into the report record so a moderator can read it, and that copy remains even if the conversation is deleted.

If your account is suspended or banned, or your shop rejected, we keep the reason the moderator wrote and the date of the decision. If you appeal, we keep what you wrote, our decision and its reason. You can read all of this inside the app. It is deleted with your account, except a decision to stop the account and the reports filed about it — the paragraphs below explain those.

A moderation decision about you outlives your account. If you are reported and a moderator stops your account, and you then delete it, the decision is not deleted with you. We keep it tied to a value computed from your mobile number and from your email address — not to your name, and not to the number or the address themselves — so that if a new account is opened with that same number or that same address, we know there is an earlier decision. The report itself stays with it, and so does the copy of any reported message, as written.

The same holds for any report filed about you even when no decision followed it: the report stays after your account is deleted, tied to that computed value, so that a case cannot be erased by leaving and coming back.

The value is computed with a secret key we hold. It is shown nowhere in the app and cannot be read back into a number. But anyone holding that key can test a number they already suspect and see whether it matches. We would rather say that plainly: it makes the number harder to recover, not impossible.

This is not a closed door, and we do not claim it is. A new account at Mashghoulat is opened with a mobile number only, after we check the request, so coming back takes a new SIM card and a new request — and a SIM card is not expensive. The few accounts opened with an email address before that still sign in with it, but no new account can be opened with one. What this record does is keep the decision, and make a return on the same number or the same address known to us. It is a record and a piece of friction, not a barrier.

The record is kept for twelve months and then deleted. If we stop a new account belonging to the same person, a fresh twelve months runs from that decision. Simply trying to sign in with a marked number does not extend it.

If the number is new to you — numbers abandoned by their owners are resold — your account will open in a stopped state and you will be told so. Send an appeal from inside the app and we will review it; we will not show you a decision that concerns someone else.

A block does not survive the blocked person deleting their account. If you block someone and they then delete their account, the block goes with them; if they come back with a new account they are no longer blocked by you, and we will not tell you. That is because we do not tie a block to anyone's number. Messaging still requires an order between you, and you can block them again and report them. We write this down because it is a real gap, not to reassure you.

Deleting your account

Inside the app: Profile → My profile → Delete account. Here is what actually happens:

Deletion is refused while an order is still in flight — yours or one placed with you — until it is delivered or cancelled. That protects the other party.
Your account, shop and items are deleted, and your photos are removed from our storage, so an old link no longer opens them. The record of the shop that brought you goes with them, and so do the figures of whom you brought, if you had a shop.
If you were the buyer: a delivered order stays with the seller as the record of a sale that really happened — what was bought, for how much, when, that it was delivered, and to which governorate. What points to you is erased from the order's own fields: your name, your phone number, your district and your nearest landmark. The governorate alone stays — it holds millions of people — because it is the seller's record of where they sent something. But whatever you typed yourself stays as you typed it: the messages on the order, and any note you wrote on a made-to-order piece. If you put your address or your number into one of those, it stays written there; the next bullet explains that. Cancelled orders are deleted in full, together with their messages. In a rating you left, the star stays, without your words and without your name. And the seller saw your details on the day of delivery; whatever they wrote down then is outside our reach.
If you were the seller: orders stay with the buyer as their receipt, carrying your shop name and the item names as they were at purchase.
Messages on an order that survives keep what was typed. We do not delete or alter the text: it is the only evidence of what was agreed, and either party may need it if they disagree. The name above a message is removed; the words are not — and neither is any note you wrote on a made-to-order piece, because that note is the specification of the goods. If you typed your number, your address, a time to meet, or anything else about yourself, that stays written there. We do not call this anonymised, because it is not: the other party knows who wrote them, since the conversation was with them.
Notices that already reached other people before you deleted — that an order was placed, that a piece was rated — stay in their notification list, without your name.
Crash reports already sent to Google stay until Google deletes them, after 90 days. They are not tagged with your account, so we cannot pick them out to delete; deleting your account does delete the notification address that could connect them to you, and after that nothing we hold connects them to you.
If you were a moderator reviewing reports: the decisions you made stay with the records they belong to, because those records are about the person who was reported rather than about you. Your name is removed from them.

How long we keep things

We keep your account data for as long as your account exists, and delete it on deletion as described above. Orders remain with the other party as their receipt. Moderation records are kept while the account they concern exists, except a decision to stop the account and the reports filed about it, which stay after it as the moderation section explains: the decision for twelve months, a report for as long as the report itself exists, tied to the computed value and not to the number or the address. Technical logs are held by our providers for short periods under their own policies, and each sign-in session's internet address and device description sit in our own database until that session ends. WhatsApp chats asking for an account are kept for six months and then deleted. The record of sign-in attempts is kept for thirty days, and an attempt no message reached for two. A request for an account is kept until a day after approval, or thirty days after a decline or without a decision. Wrong codes are kept for two days, and what «It wasn't me» recorded for ninety. The shop that brought you is kept for as long as your account exists, and deleted with it. Backups keep a copy of your data for up to 30 days after deletion, and are then deleted in turn.

When the law asks

We may disclose data if the law compels us, to investigate fraud or abuse, or to protect someone's safety. We do not do so voluntarily outside those cases.

Security

Traffic to the app is encrypted, and access rules are enforced in the database itself rather than in the app alone, so nobody can read what is not theirs. No protection is absolute; if a breach affects your data we will tell you and explain what happened.

Changes to this page

If something material changes we will update the date above and mention it in the app. Continuing to use the app after that means you accept the new version.

Contact

Any question about privacy, or to request a copy of your data or its deletion: support@mashghoulat.com