Who is responsible for your data

The shop decides what is recorded — whether to take a customer’s name or phone number, for example — and is responsible for it. EasyAI supplies the software and runs the shop’s back office on a server it rents for that shop, so EasyAI holds the shop’s data on the shop’s behalf. EasyAI does not use it for anything else, and does not sell or share it.

If you are a customer of a shop and want your details seen, corrected or removed, ask that shop. The shop decides; EasyAI acts on what the shop asks.

Where the data is kept

The back office runs on a server EasyAI hosts for the shop, with Railway, in the European Union. The shop’s records are kept there in a database: the catalogue, staff, settings, and every branch’s sales, refunds, customers and stock, which each till sends to it. The shop and its staff reach it in a web browser at the shop’s own address, always over an encrypted (https) connection.

Each till keeps a working copy on the shop’s own device, so it can keep selling when the internet is down: the catalogue, prices, staff and settings it needs, and every sale it takes, which it also sends to the back office. A tablet that sells while it cannot reach the till computer keeps the sales it takes, with a copy of the menu, the prices and who is signed in, in its own browser storage; a sale leaves the tablet only once the till has it.

Copies. The server copies the back office’s database every night and after each day close, on the same server, and keeps the last seven of each. Every night it also sends an encrypted copy to Cloudflare R2, in a storage bucket held in the European Union, and keeps the newest 30. Those copies are encrypted (AES-256-GCM) before they leave the server, with a passphrase EasyAI keeps; Cloudflare stores them and cannot read them. The till computer copies its own database every night on its own disk.

Where the till runs in the EasyAI POS app on a Windows PC, the app also copies the till’s database once a day, on each day the PC is switched on, into a folder of its own on that PC, and keeps the newest 14 copies. There the copy is encrypted if the shop has set a backup passphrase. If the owner picks another folder instead, such as a USB stick or a OneDrive folder, the copies there are always encrypted.

There is no tracking, no analytics, no crash reporting and no advertising, and the pages load no fonts or scripts from anywhere else.

What it records

About a shop’s customers, if the shop records them

• name, phone number and delivery address, to attach an order to the customer and deliver it;
• what they bought and when, so the shop can see a returning customer’s orders and reprint a receipt;
• if the shop lets customers pay later on account: what each one owes, and every sale and payment on their account, which makes up their statement;
• if the shop runs a loyalty card: the customer’s points or stamps, kept against their phone number, and what each sale earned or spent.

Phone numbers are written in international format so a returning customer’s orders are linked together. That link is what the shop’s repeat-customer figures count.

The self-order kiosk asks a customer nothing about themselves: an order there is a number until it is paid at the counter.

About the shop’s staff

• name, username and role;
• a password, stored only as a one-way hash that nobody, including the shop’s owner and EasyAI, can read back;
• which orders, refunds, expenses and stock changes each person recorded;
• for each sign-in, the server’s log notes the username and the internet address it came from, to spot someone guessing passwords.

What it does not record

The software does not ask for a national ID number, a date of birth, health details or a bank card number. The shop should not type any of these into a note.

A card payment is recorded as “card”; the card itself is handled by the card terminal, not by this software. Where a terminal is connected to the till, the till also keeps what the terminal reports, for the receipt and to match the bank’s statement: the card’s network (Visa, for example), its last four digits and the approval code. These stay on the till; the back office is not sent them. The software never receives or keeps the full card number. For a card run on a terminal by itself while a tablet cannot reach the till computer, the cashier types in the approval code.

Who can see it

• The shop’s staff, each only what their role allows. The server enforces it: a cashier’s screen is never sent cost or profit figures.
• EasyAI, which runs the server: to keep it running, to put a copy back when something goes wrong, and to help when the shop asks. EasyAI does not read the shop’s records for any other reason.
• Railway and Cloudflare store the data for EasyAI: Railway runs the server and its disk, Cloudflare keeps the encrypted copies. Neither is given the passphrase the copies are encrypted with.

What else leaves the shop, and only when switched on

Three things are off until they are switched on:

• The Inventory System link sends a branch’s sales and stock changes to the address the owner entered. Nothing else.
• Notifications to the owner’s phone or computer pass through the push service of that device’s browser (Google, Apple or Mozilla). Each message is encrypted for that device before it leaves, so the push service cannot read it. It holds one alert’s sentence, or the line that a branch closed its day and what it sold, and a link. The back office keeps the address the browser gave it for each device, until that device is removed.
• The stock assistant’s wording sends the figures a weekly note is built from, the item names in them, and any question typed, to the language-model provider the owner chose. It never sends customers, phone numbers, staff names or individual sales. A provider’s free tier may keep what is sent or train on it; that is the provider’s policy, which is why this ships switched off.

How it is protected

• The back office is reached only over https, and each till signs in to it with a key of its own.
• Each person sees only what their role allows, and the server enforces it.
• Changing a password signs out every other session issued under the old one.
• Sign-in is limited to a few attempts a minute from one address.
• The nightly copies that leave the server are encrypted (AES-256-GCM) before they leave it.

How long it is kept

The shop’s records are kept until the shop removes them, for as long as EasyAI runs its back office; when a shop leaves, see “Having it deleted” below. The shop can choose a period after which old orders are moved out of the working records into an archive. The archive is kept in the same database: archived orders are not deleted.

Something removed from the records is still in the copies made before it was removed, until each copy is replaced by newer ones:

• on the server, the nightly copies after seven nights, and the copies taken at each day close after seven more day closes;
• at Cloudflare, the encrypted nightly copies once 30 newer ones have been made, which is 30 days when every night’s copy goes through;
• on the till computer, its own nightly copies after seven nights;
• in the EasyAI POS app’s folder, its daily copies once 14 newer ones have been made, which is 14 days when the PC is switched on every day.

The server and the till computer also take a copy just before an update changes how their database is laid out. Those copies are not replaced by later ones: they stay until they are removed by hand.

Having it deleted

A customer or a member of staff asks the shop, which removes what it can from the back office.

A shop that leaves asks EasyAI to delete its back office. EasyAI then deletes the server, its disk and the encrypted copies at Cloudflare, and tells the shop when it is done. The data on the shop’s own tills and computers is the shop’s to delete. Before anything is deleted, the shop can ask for a copy of its data.

Your rights

Under Jordan’s Personal Data Protection Law (No. 24 of 2023) you have the right to know what data is held about you and get a copy of it, to have it corrected, to have it erased, to withdraw your consent, and to object to how it is used. It costs you nothing.

Ask the shop that holds your data: it decides, and answers you. Where finding or removing something needs the server, EasyAI does it for the shop. If you are not satisfied with the shop’s answer, you may complain to the Personal Data Protection Directorate at the Ministry of Digital Economy and Entrepreneurship: PDP@modee.gov.jo, +962 6 580 5700.

Changes

This page is part of the software, at the same address as the shop’s back office. When it changes, the date at the top changes with it.

من المسؤول عن بياناتك

المحل هو من يقرر ما يُسجَّل — كأن يأخذ اسم الزبون أو رقم هاتفه — وهو المسؤول عنه. أما إيزي AI فتورّد البرنامج وتشغّل إدارة المحل على خادم تستأجره لذلك المحل، فتحتفظ ببيانات المحل نيابةً عنه. ولا تستخدمها إيزي AI لأي غرض آخر، ولا تبيعها ولا تشاركها.

إذا كنت زبونًا لدى محل وتريد الاطلاع على بياناتك أو تصحيحها أو حذفها، فاطلب ذلك من المحل نفسه. فالمحل هو من يقرر، وإيزي AI تنفّذ ما يطلبه المحل.

أين تُحفَظ البيانات

تعمل الإدارة على خادم تستضيفه إيزي AI للمحل، لدى Railway، داخل الاتحاد الأوروبي. وتُحفَظ سجلات المحل هناك في قاعدة بيانات: الأصناف والموظفون والإعدادات، ومبيعات كل فرع ومرتجعاته وزبائنه ومخزونه التي ترسلها إليها كل نقطة بيع. ويدخل المحل وموظفوه إليها من المتصفح على عنوان المحل الخاص، دائمًا عبر اتصال مشفّر (https).

وتحتفظ كل نقطة بيع بنسخة عاملة على جهاز المحل نفسه، لتبقى تبيع حين ينقطع الإنترنت: الأصناف والأسعار والموظفون والإعدادات التي تحتاجها، وكل بيعة تأخذها، وترسلها أيضًا إلى الإدارة. والتابلت الذي يبيع وهو منقطع عن جهاز الكاشير يحفظ البيعات التي يأخذها، ومعها نسخة من القائمة والأسعار ومن سجّل الدخول، في ذاكرة المتصفح على التابلت نفسه؛ ولا تخرج البيعة من التابلت إلا بعد أن يستلمها جهاز الكاشير.

النسخ الاحتياطية. ينسخ الخادم قاعدة بيانات الإدارة كل ليلة وبعد كل إقفال يوم، على الخادم نفسه، ويحتفظ بآخر سبع نسخ من كلٍّ منهما. ويرسل كل ليلة أيضًا نسخة مشفّرة إلى Cloudflare R2، في مساحة تخزين داخل الاتحاد الأوروبي، ويحتفظ بأحدث 30 نسخة. تُشفَّر هذه النسخ (AES-256-GCM) قبل أن تخرج من الخادم، بكلمة مرور تحتفظ بها إيزي AI؛ فتخزّنها Cloudflare ولا تستطيع قراءتها. وينسخ جهاز الكاشير قاعدة بياناته كل ليلة على قرصه.

وحين يعمل الكاشير داخل تطبيق EasyAI POS على حاسوب ويندوز، ينسخ التطبيق أيضًا قاعدة بيانات الكاشير مرة في اليوم، في كل يوم يكون فيه الحاسوب مشغّلًا، إلى مجلد خاص به على ذلك الحاسوب، ويحتفظ بأحدث 14 نسخة. وتكون النسخة هناك مشفّرة إذا ضبط المحل كلمة مرور للنسخ الاحتياطية. وإذا اختار صاحب المحل مجلدًا آخر بدلًا منه، كذاكرة USB أو مجلد OneDrive، فالنسخ فيه مشفّرة دائمًا.

لا تتبّع، ولا تحليلات، ولا تقارير أعطال، ولا إعلانات، ولا تُحمَّل الصفحات أي خطوط أو برامج من مكان آخر.

ما الذي يسجّله

عن زبائن المحل، إن اختار المحل تسجيلها

• الاسم ورقم الهاتف وعنوان التوصيل، لربط الطلب بالزبون وتوصيله؛
• ما اشتراه ومتى، ليرى المحل طلبات الزبون العائد ويعيد طباعة الإيصال؛
• إن كان المحل يبيع على الدفتر: المبلغ المستحق على كل زبون، وكل بيعة ودفعة على حسابه، ومنها يتكوّن كشف حسابه؛
• إن كان المحل يستخدم بطاقة الولاء: نقاط الزبون أو أختامه، محفوظة على رقم هاتفه، وما كسبته كل بيعة أو صرفته منها.

تُكتَب أرقام الهواتف بالصيغة الدولية حتى تُربَط طلبات الزبون العائد ببعضها، وعلى هذا الربط تقوم أرقام الزبائن المتكرّرين في تقارير المحل.

كشك الطلب الذاتي لا يسأل الزبون عن أي شيء يخصّه: الطلب هناك مجرد رقم إلى أن يُدفَع على الكاشير.

عن موظفي المحل

• الاسم واسم المستخدم والدور؛
• كلمة المرور، وتُحفَظ مشفّرة تشفيرًا باتجاه واحد لا يستطيع أحد قراءته، ولا حتى صاحب المحل ولا إيزي AI؛
• الطلبات والمرتجعات والمصاريف وتعديلات المخزون التي سجّلها كل شخص؛
• عند كل تسجيل دخول، يدوّن سجل الخادم اسم المستخدم وعنوان الإنترنت الذي جاء منه، لكشف من يحاول تخمين كلمات المرور.

ما لا يسجّله

لا يطلب البرنامج رقمًا وطنيًا ولا تاريخ ميلاد ولا معلومات صحية ولا رقم بطاقة بنكية. وعلى المحل ألّا يكتب شيئًا من ذلك في الملاحظات.

الدفع بالبطاقة يُسجَّل على أنه «بطاقة»، أما البطاقة نفسها فيتعامل معها جهاز الدفع لا هذا البرنامج. وحين يكون جهاز الدفع موصولًا بالكاشير، يحفظ الكاشير أيضًا ما يرسله الجهاز، للإيصال ولمطابقة كشف البنك: نوع البطاقة (فيزا مثلًا)، وآخر أربعة أرقام منها، ورقم الموافقة. وتبقى هذه على الكاشير ولا تُرسَل إلى الإدارة. ولا يستلم البرنامج رقم البطاقة كاملًا ولا يحفظه أبدًا. وإذا مُرّرت البطاقة على جهاز الدفع وحده والتابلت منقطع عن جهاز الكاشير، يكتب الكاشير رقم الموافقة بيده.

من يستطيع الاطلاع عليها

• موظفو المحل، كلٌّ بحسب ما يسمح به دوره فقط. والخادم هو من يفرض ذلك: شاشة الكاشير لا تصلها أبدًا أرقام الكلفة أو الربح.
• إيزي AI، التي تشغّل الخادم: لتُبقيه يعمل، ولتُرجع نسخة حين يحدث خلل، وللمساعدة حين يطلب المحل. ولا تقرأ إيزي AI سجلات المحل لأي سبب آخر.
• Railway وCloudflare تخزّنان البيانات لصالح إيزي AI: Railway تشغّل الخادم وقرصه، وCloudflare تحتفظ بالنسخ المشفّرة. ولا تُعطى أيٌّ منهما كلمة المرور التي تُشفَّر بها النسخ.

ما الذي يخرج أيضًا من المحل، وفقط عند تفعيله

ثلاثة أمور تبقى معطّلة إلى أن تُفعَّل:

• الربط مع نظام المخزون: يرسل مبيعات الفرع وتعديلات مخزونه إلى العنوان الذي أدخله صاحب المحل، ولا شيء غير ذلك.
• الإشعارات إلى هاتف صاحب المحل أو حاسوبه تمرّ عبر خدمة الإشعارات التابعة لمتصفح ذلك الجهاز (Google أو Apple أو Mozilla). تُشفَّر كل رسالة لذلك الجهاز قبل خروجها، فلا تستطيع خدمة الإشعارات قراءتها. وتحمل الرسالة جملة التنبيه، أو سطرًا يقول إن فرعًا أقفل يومه وكم باع، ورابطًا فقط. وتحتفظ الإدارة بالعنوان الذي أعطاها إياه المتصفح لكل جهاز، إلى أن يُزال الجهاز.
• صياغة مساعد المخزون: يرسل الأرقام التي تُبنى منها الملاحظة الأسبوعية، وأسماء الأصناف فيها، وأي سؤال يُكتَب، إلى مزوّد النموذج اللغوي الذي اختاره صاحب المحل. ولا يرسل أبدًا بيانات الزبائن أو أرقام الهواتف أو أسماء الموظفين أو المبيعات المفردة. قد تحتفظ الباقة المجانية لدى المزوّد بما يُرسَل إليها أو تدرّب عليه، وهذه سياسة المزوّد، ولهذا تأتي الميزة معطّلة.

كيف تُحمى البيانات

• لا يُدخَل إلى الإدارة إلا عبر https، وكل نقطة بيع تتصل بها بمفتاح خاص بها.
• يرى كل شخص ما يسمح به دوره فقط، والخادم هو من يفرض ذلك.
• تغيير كلمة المرور يُخرج كل الجلسات الأخرى التي فُتحت بالكلمة القديمة.
• محاولات تسجيل الدخول محدودة ببضع محاولات في الدقيقة من العنوان نفسه.
• النسخ الليلية التي تخرج من الخادم مشفّرة (AES-256-GCM) قبل أن تخرج منه.

مدة الاحتفاظ

تبقى سجلات المحل إلى أن يحذفها المحل، طوال مدة تشغيل إيزي AI لإدارته؛ وعند مغادرة المحل، انظر «طلب الحذف» أدناه. ويستطيع المحل تحديد مدة تُنقَل بعدها الطلبات القديمة من السجلات العاملة إلى أرشيف. ويبقى الأرشيف في قاعدة البيانات نفسها: الطلبات المؤرشفة لا تُحذَف.

وما يُحذَف من السجلات يبقى في النسخ التي صُنعت قبل حذفه، إلى أن تحلّ محلّ كل نسخة نسخٌ أحدث منها:

• على الخادم، النسخ الليلية بعد سبع ليالٍ، والنسخ التي تُؤخَذ عند كل إقفال يوم بعد سبعة إقفالات أخرى؛
• لدى Cloudflare، النسخ الليلية المشفّرة بعد أن تُصنَع 30 نسخة أحدث منها، أي 30 يومًا حين تنجح نسخة كل ليلة؛
• على جهاز الكاشير، نسخه الليلية بعد سبع ليالٍ؛
• في مجلد تطبيق EasyAI POS، نسخه اليومية بعد أن تُصنَع 14 نسخة أحدث منها، أي 14 يومًا حين يُشغَّل الحاسوب كل يوم.

ويأخذ الخادم وجهاز الكاشير أيضًا نسخة قبل أي تحديث يغيّر ترتيب قاعدة بياناتهما مباشرة. هذه النسخ لا تحلّ محلّها نسخ لاحقة: تبقى إلى أن تُحذَف يدويًا.

طلب الحذف

الزبون أو الموظف يطلب ذلك من المحل، فيحذف المحل ما يمكن حذفه من الإدارة.

المحل الذي يغادر يطلب من إيزي AI حذف إدارته. فتحذف إيزي AI الخادم وقرصه والنسخ المشفّرة لدى Cloudflare، وتُبلغ المحل حين تنتهي. أما البيانات على أجهزة المحل ونقاط البيع فحذفها للمحل. وقبل أي حذف، يستطيع المحل أن يطلب نسخة من بياناته.

حقوقك

بموجب قانون حماية البيانات الشخصية الأردني رقم 24 لسنة 2023، يحق لك أن تعرف ما يُحفَظ عنك من بيانات وأن تحصل على نسخة منها، وأن تطلب تصحيحها أو محوها، وأن تسحب موافقتك، وأن تعترض على طريقة استخدامها، دون أي كلفة عليك.

اطلب ذلك من المحل الذي يحتفظ ببياناتك: هو من يقرر ويردّ عليك. وحين يحتاج إيجاد شيء أو حذفه إلى الخادم، تقوم به إيزي AI للمحل. وإن لم تقتنع بردّ المحل، يمكنك تقديم شكوى إلى مديرية حماية البيانات الشخصية في وزارة الاقتصاد الرقمي والريادة: PDP@modee.gov.jo، +962 6 580 5700.

التغييرات

هذه الصفحة جزء من البرنامج، على العنوان نفسه الذي تعمل عليه إدارة المحل. وعند تغييرها يتغيّر التاريخ في أعلاها.