1من نحن

شهاب AI («شهاب» أو «نحن») مساعد ذكي للمطاعم. يربط المطعم صفحته على فيسبوك ورقمه على واتساب للأعمال ودردشة موقعه وصفحة الطلب الإلكتروني بشهاب، فيرد شهاب على زبائن المطعم ويستلم طلباتهم نيابة عنه. موقعنا هو shihab.co.uk، واسم تطبيقنا على منصات Meta هو «Shihab AI».

لأي سؤال أو طلب يخص الخصوصية راسلنا على privacy@shihab.co.uk

2من تشمله هذه السياسة

• المطاعم وموظفوها الذين يستخدمون لوحة تحكم شهاب («مستخدمو الأعمال»). نحن من يقرر كيفية استخدام بيانات هذه الحسابات.
• الأشخاص الذين يراسلون مطعمًا يستخدم شهاب أو يطلبون منه («الزبائن»). المطعم هو الجهة التي تتعامل معها وهو المسؤول عن بياناتك، ويعالجها شهاب لصالح المطعم وبتعليماته بصفته مزوّد خدمة له، وكذلك للأغراض المذكورة في البند 5 ضمن الحدود الموضحة هناك. قد تكون للمطعم سياسة خصوصية خاصة به.
• زوار موقع shihab.co.uk.

3البيانات التي نجمعها

3.1 مستخدمو الأعمال

• بيانات الحساب: الاسم واسم المستخدم والبريد الإلكتروني وكلمة المرور (تُحفظ على شكل تجزئة آمنة فقط، لا نصًا) والدور والمطاعم التي تنتمي إليها.
• بيانات المطعم التي تضيفها: المنيو والأسعار والعروض والفروع وساعات العمل ومناطق التوصيل ورسومها والإعدادات، والربط مع نظام نقاط البيع (الكاشير).
• سجلات الأمان: أوقات تسجيل الدخول، وعنوان IP والمتصفح لكل جلسة، وسجل بأهم الإجراءات في اللوحة (مثل ربط قناة أو فصلها).
• الرسائل التي ترسلها لنا لطلب الدعم.

3.2 من Meta عندما يربط المطعم فيسبوك أو واتساب

عندما يربط مدير صفحةً أو رقم واتساب عبر «تسجيل الدخول بفيسبوك للأعمال» أو «التسجيل المضمّن لواتساب»، تشاركنا Meta بإذن منه:

• معرّف المدير على فيسبوك الخاص بتطبيقنا، والأذونات التي منحها، وموعد انتهاء صلاحية الوصول؛
• الصفحات التي يختار ربطها (معرّف الصفحة واسمها وصورتها) ورمز وصول لكل صفحة؛
• في واتساب: معرّف حساب واتساب للأعمال، ومعرّف رقم الهاتف، والرقم الظاهر واسم النشاط الموثّق، وحالة الرقم وتقييم جودته، ورمز وصول خاصًا بالنشاط التجاري. وعندما نسجّل الرقم نحتفظ أيضًا برمز التحقق بخطوتين (PIN) الخاص به مشفّرًا.

لا نستلم كلمة مرور فيسبوك الخاصة بالمدير أبدًا.

3.3 الزبائن في ماسنجر وإنستغرام وواتساب

عندما تراسل صفحة مطعم على فيسبوك أو رقمه على واتساب وهو يستخدم شهاب، ترسل لنا Meta:

• رسائلك وما يرافقها: النص، والضغط على الأزرار، والتفاعلات، والصور، والرسائل الصوتية، والفيديو، والملفات، والملصقات، وأي موقع أو جهة اتصال تشاركها؛
• في ماسنجر: معرّفًا خاصًا بتلك الصفحة فقط، واسمك الأول واسم العائلة وصورة ملفك كما تتيحها Meta للصفحة؛
• في واتساب: رقم هاتفك واسم ملفك على واتساب؛
• هل وصلت ردودنا وهل قُرئت؛
• الردود التي يكتبها موظفو المطعم من صندوق رسائل الصفحة أو من تطبيق واتساب للأعمال، لتكتمل المحادثة في مكان واحد.

نحتفظ بنسخ من الصور والرسائل الصوتية والفيديو والملفات التي ترسلها، لأن روابط Meta إليها تنتهي صلاحيتها، ونحذف من نسخ الصور بيانات الموقع المضمّنة فيها (مثل GPS).

3.4 الزبائن في دردشة موقع المطعم وصفحة الطلب

• رسائلك، وتفاصيل الطلب أو طلب الحجز: الأصناف والملاحظات والاسم ورقم الهاتف وعنوان التوصيل أو المنطقة والفرع والوقت وعدد الأشخاص؛
• بيانات تقنية عن زيارة الدردشة: عنوان IP والدولة التقريبية والمتصفح والجهاز ونظام التشغيل واللغة والمنطقة الزمنية وحجم الشاشة والصفحة التي راسلت منها والصفحة التي أوصلتك إليها؛
• يحفظ متصفحك رمزًا عشوائيًا في التخزين المحلي لتستكمل محادثتك حين تعود. وتحفظ صفحة الطلب سلّتك في التخزين المحلي ومعرّف زيارة عشوائيًا في تخزين الجلسة، وتعدّ مشاهدات الصفحة والخطوات (مثل «أُضيف إلى السلة») دون عناوين IP ودون بيانات شخصية. لا نستخدم ملفات تعريف الارتباط (الكوكيز) ولا وحدات التتبع في هذه الصفحات.

3.5 بيانات تنشأ أثناء خدمتك

سجلات الطلبات والحجوزات، وملاحظات المطعم عن الزبون (مثل عنوان محفوظ أو عدد الطلبات السابقة)، وملخصات المحادثات وتقييمات جودتها، وسجلات تقنية لكل رد (التوقيت ونموذج الذكاء الاصطناعي المستخدم وأي أخطاء).

3.6 زوار shihab.co.uk

لا يستخدم موقعنا ملفات تعريف الارتباط ولا أدوات التحليل أو الإعلان أو التتبع، ولا يحمّل أي شيء من شركات أخرى. تعالج خوادمنا وشركة Cloudflare، التي توصل الموقع إليك، عنوان IP ونوع المتصفح والصفحات المطلوبة لتقديم الموقع وحمايته. إذا غيّرت اللغة يُحفظ اختيارك في التخزين المحلي لمتصفحك، وإذا راسلتنا بالبريد نستلم عنوان بريدك ورسالتك.

4كيف نستخدم البيانات

لتقديم الخدمة للمطعم

• استقبال رسائل الزبائن والرد عليها نيابة عن المطعم بالمعلومات التي زوّدنا بها (المنيو والأسعار وساعات العمل ومناطق التوصيل والعروض)؛
• استلام الطلبات وطلبات الحجز وتأكيدها مع الزبون وإيصالها إلى المطعم في لوحة التحكم، وإلى نظام نقاط البيع إن ربطه المطعم؛
• تحويل المحادثة إلى موظفي المطعم عند الحاجة، وعرض المحادثات والطلبات وبيانات الزبائن على فريق المطعم؛
• ربط صفحة المطعم ورقم واتساب وفحصهما وفصلهما؛
• تزويد المطعم بتقارير مثل عدد الطلبات وسرعة الرد.

لحماية الخدمة وضمان عملها

• كشف إساءة الاستخدام والرسائل المزعجة والطلبات الوهمية وإيقافها، وحماية الحسابات، وتطبيق حدود الاستخدام؛
• اكتشاف الأخطاء وإصلاحها.

لتحسين الخدمة ونماذج الذكاء الاصطناعي

ضمن الحدود الواردة في البند 5.

لإدارة عملنا

دعم المطاعم، وإبلاغ مستخدمي الأعمال بالتغييرات المهمة، والالتزام بالقانون، وإثبات الحقوق القانونية أو الدفاع عنها.

لا نبيع البيانات الشخصية ولا نؤجرها ولا نتاجر بها، ولا نستخدمها للإعلانات، ولا نرسل للزبائن رسائل تسويقية. يرد شهاب فقط في المحادثات التي بدأها الزبون، وفي واتساب لا نستخدم القوالب المعتمدة إلا لإيصال رد بعد انقضاء نافذة الـ 24 ساعة.

5تحسين خدمتنا ونماذج الذكاء الاصطناعي

قد يستخدم شهاب AI المحادثات والطلبات وبيانات الاستخدام لتشغيل نماذج الذكاء الاصطناعي وخدماته وتقييمها وتحسينها وتدريبها. فمثلًا نعيد تشغيل محادثات سابقة لاختبار نسخة جديدة من شهاب قبل أن تصل إلى الزبائن، ونقيس جودة الردود، ونعلّم نماذجنا منيو المطعم وطريقة كتابة زبائنه.

• حيثما أمكن، نحذف المعرّفات المباشرة (الأسماء وأرقام الهواتف والعناوين) أو نستبدلها برموز مستعارة قبل استخدام البيانات في تدريب النماذج.
• لا نبيع هذه البيانات أبدًا، ولا نشاركها مع شركات أخرى لتدريب نماذجها.
• تخضع البيانات التي تصلنا من Meta (ماسنجر وإنستغرام وواتساب) لقواعد أشد مذكورة في البند 7: فهي تُستخدم فقط لتقديم الخدمة وتحسينها للمطعم الذي جاءت منه. ولا تُستخدم بيانات واتساب لإنشاء نماذج ذكاء اصطناعي أو تدريبها أو تحسينها، إلا لضبط (fine-tuning) نموذج مخصص لذلك المطعم وحده.
• يعالج مزوّد النماذج لدينا، OpenAI، البيانات لصالحنا بصفته مزوّد خدمة وبموجب شروطه التجارية وشروط معالجة البيانات لديه. ولا نبيع البيانات ولا نشاركها مع أي جهة لتدريب نماذجها العامة.
• يستطيع المطعم إيقاف استخدام بياناته في تدريب النماذج بمراسلتنا على privacy@shihab.co.uk، فنؤكد له ذلك كتابيًا ونتوقف عن استخدام بياناته في التدريب من حينها، ويستمر في استخدام الخدمة كالمعتاد.
• يستطيع الزبون الاعتراض على استخدام بياناته في التدريب أو طلب حذفها عبر صفحة حذف البيانات أو بالبريد، فنستثني محادثاته من أي تدريب لاحق.

البيانات التي استُخدمت فعلًا في تدريب نموذج لا يمكن دائمًا إزالتها منه، ولهذا نحذف المعرّفات المباشرة أولًا.

6كيف يستخدم شهاب الذكاء الاصطناعي في الرد

• تكتب ردودَ شهاب تلقائيًا نماذجُ لغوية كبيرة من OpenAI. يستلم النموذج مع كل رد نص المحادثة الأخير ومعلومات المطعم (المنيو والأسعار وساعات العمل ومناطق التوصيل والعروض) والطلب الحالي. ويستطيع موظفو المطعم فتح أي صورة أو رسالة صوتية أو ملف يرسله الزبون.
• قد يقرأ نموذج ذكاء اصطناعي المحادثات المنتهية ليعطيها تقييم جودة يفيد المطعم ويفيدنا.
• قد يخطئ الذكاء الاصطناعي. لذلك يجيب شهاب من معلومات المطعم، ويعرض عليك ملخص كل طلب (الأصناف والمجموع وتفاصيل التوصيل) ويطلب تأكيدك قبل إرساله، ويحوّل الشكاوى والطلبات الخاصة وما لا يستطيع التعامل معه إلى موظفي المطعم. وتستطيع أن تطلب التحدث مع شخص في أي وقت.
• لا يتخذ شهاب قرارات لها آثار قانونية عليك أو آثار مشابهة لها في الأهمية.

7البيانات التي تصلنا من Meta (فيسبوك وماسنجر وإنستغرام وواتساب)

نقصد بـ«بيانات منصة Meta» البيانات التي تصلنا عبر منصات Meta: تسجيل الدخول بفيسبوك للأعمال، ومنصة ماسنجر، ومنصة واتساب للأعمال (البندان 3.2 و3.3).

• نعالجها فقط بالقدر الذي تسمح به شروط منصة Meta وسياسات المطورين لديها وشروط واتساب للأعمال وسياساته، نيابة عن المطعم الذي ربط الصفحة أو الرقم وبتوجيه منه.
• نستخدمها فقط لتقديم الخدمة وحمايتها وتحسينها للمطعم الذي جاءت منه، ونحفظ بيانات كل مطعم منفصلة عن بيانات المطاعم الأخرى.
• لا تُستخدم بيانات واتساب، ولا أي صورة مجهّلة أو مجمّعة أو مشتقة منها، لإنشاء نماذج ذكاء اصطناعي أو تطويرها أو تدريبها أو تحسينها، إلا لضبط نموذج مخصص حصريًا لذلك المطعم.
• لا نبيعها ولا نرخّصها ولا نشتريها، ولا نستخدمها للإعلانات ولا لبناء ملفات تعريفية عن الأشخاص أو إثرائها لأي غرض آخر، ولا نحاول إعادة التعرف على أي شخص، ولا نشاركها مع جهات أخرى لتدريب نماذجها العامة.
• نشاركها فقط مع المطعم المعني، ومع مزوّدي خدمة ملتزمين بعقود مكتوبة بمعالجتها لصالحنا فقط (البند 8)، أو عندما يلزمنا القانون.
• نحذفها عند الطلب، وعندما تطلب Meta ذلك، وعندما لا تعود ضرورية، وعندما يفصل المطعم الصفحة أو الرقم أو يتوقف عن استخدام شهاب، خلال المدد المذكورة في البند 10.
• تخضع معالجة Meta نفسها للبيانات لسياسة الخصوصية الخاصة بـ Meta.

8مع من نشارك البيانات

المطعم الذي راسلته

يرى موظفوه المخوّلون محادثاتك وطلباتك وبياناتك كزبون في لوحة شهاب.

مزوّد نظام نقاط البيع لدى المطعم (مثل Unify)

عندما يربط المطعم نظامه، نرسل تفاصيل الطلب اللازمة لتجهيزه: الأصناف والملاحظات والاسم ورقم الهاتف والعنوان.

Meta

تمر الردود عبر ماسنجر أو منصة واتساب للأعمال التي تديرها Meta وفق شروطها.

OpenAI (الولايات المتحدة)

نماذج الذكاء الاصطناعي التي تكتب الردود وتقيّم المحادثات، وتعمل كمزوّد خدمة لنا.

Cloudflare (شبكة عالمية)

توصل مواقعنا وعنوان الإشعارات (webhooks) وتحميها، وتحوّل الرسائل المرسلة إلى عناويننا البريدية إلى صندوق بريدنا.

السلطات أو غيرها

عندما يلزمنا القانون، أو لحماية حقوق الناس أو المطاعم أو شهاب وسلامتهم وأمنهم.

من يخلفنا

إذا أُعيد تنظيم أعمال شهاب AI أو اندمجت أو بيعت، فبنفس الالتزامات فقط، وسنبلغ مستخدمي الأعمال مسبقًا.

يعمل شهاب على خوادم نديرها بأنفسنا، موجودة حاليًا في المملكة المتحدة، وأدوات المراقبة لدينا مستضافة على خوادمنا أيضًا. لا نشارك البيانات الشخصية مع معلنين أو وسطاء بيانات أو مطاعم أخرى.

9الأسس القانونية

حيث تنطبق قوانين مثل اللائحة الأوروبية العامة لحماية البيانات (GDPR) أو نسختها البريطانية، نعتمد على:

• العقد: لتقديم شهاب للمطعم، ولتنفيذ ما يطلبه الزبون (الإجابة عن أسئلته واستلام طلبه).
• المصلحة المشروعة: لحماية الخدمة ومنع إساءة استخدامها وإصلاح الأخطاء وتحسين الخدمة ونماذج الذكاء الاصطناعي (البند 5)، ولمصلحة المطعم في الرد على الزبائن الذين يراسلونه. ويحق لك الاعتراض في أي وقت (البند 13).
• الموافقة: عندما يربط المدير صفحة أو رقمًا تطلب منه Meta منح كل إذن على حدة، ويستطيع سحبه في أي وقت من إعدادات فيسبوك.
• الالتزام القانوني: عندما يلزمنا القانون بالاحتفاظ ببيانات أو الإفصاح عنها.

وبالنسبة لبيانات الزبائن يحتاج المطعم، بصفته المسؤول عنها، إلى أساس قانوني خاص به، وتُلزمه شروطنا بذلك.

10مدة الاحتفاظ بالبيانات

رموز الوصول إلى فيسبوك وواتساب

حتى فصل الصفحة أو الرقم، أو وصول طلب حذف بيانات، أو إغلاق حساب المطعم. عند الفصل أو طلب الحذف تُحذف فورًا. وإذا أزال أحدهم تطبيقنا من فيسبوك توقف Meta الوصول فورًا.

المحادثات وبيانات الزبائن والطلبات والحجوزات

طوال استخدام المطعم لشهاب، ما لم تُحذف قبل ذلك بطلب من المطعم أو منك. عند فصل صفحة أو رقم تُحذف محادثات ماسنجر أو إنستغرام أو واتساب التي وصلت عبره خلال 90 يومًا، ويُحذف كل شيء خلال 90 يومًا من إغلاق حساب المطعم.

نسخ الصور والرسائل الصوتية والفيديو والملفات

مثل المحادثة التي تنتمي إليها.

البيانات التقنية لدردشة الموقع (عنوان IP والمتصفح والجهاز والصفحات)

90 يومًا من آخر زيارة افتراضيًا، ويستطيع المطعم اختيار مدة أخرى.

النص الكامل لطلبات الذكاء الاصطناعي وردوده المحفوظ لتتبّع الأخطاء

30 يومًا. وتبقى التفاصيل التقنية دون محتوى الرسائل (التوقيت والنموذج والأخطاء) حتى 180 يومًا.

النسخ المستعارة الهوية المستخدمة في تقييم النماذج وتدريبها

تُحذف مع البيانات التي أُخذت منها.

أعداد صفحة الطلب المجهّلة

400 يوم، ولا تحتوي بيانات شخصية.

حسابات مستخدمي الأعمال

طوال نشاط الحساب، وتُحذف خلال 90 يومًا من إغلاقه، باستثناء ما يلزمنا القانون بحفظه مثل الفواتير.

سجلات طلبات حذف البيانات

نحتفظ بها ليبقى رابط حالة الطلب صالحًا ولإثبات تنفيذ الحذف. تحتوي رمز تأكيد ومعرّفات الاتصالات المعنية فقط، لا البيانات المحذوفة.

سجلات الخوادم

لفترة قصيرة لأغراض الأمان وتتبّع الأخطاء، ثم تُستبدل تلقائيًا.

رسائل الدعم بالبريد

ما دامت لازمة لمعالجة طلبك، وبحد أقصى سنتين.

11الأمان

• رموز الوصول ورموز PIN لواتساب محفوظة مشفّرة، ولا تُرسل إلى المتصفحات، ولا تظهر في لوحة التحكم، ولا تُكتب في السجلات.
• كل طلب نرسله إلى Meta موقّع بسرّ تطبيقنا، ونتحقق من توقيع Meta على كل إشعار (webhook) قبل قبوله.
• كل الاتصالات عبر HTTPS. يرى كل مطعم بياناته فقط، وتتحدد الصلاحيات داخل المطعم حسب دور المستخدم، وتقتصر البيانات الحساسة مثل عناوين IP للزوار على المالكين والمديرين مع تسجيل كل اطلاع عليها.
• كلمات المرور محفوظة كتجزئة آمنة فقط، ومحاولات الدخول والعناوين العامة محدودة المعدل، ولا يصل إلى خوادمنا إلا الأشخاص المخوّلون.
• لا يوجد نظام آمن تمامًا. إذا تعرّضت بياناتك لاختراق فسنبلغ المطعم وإياك والجهات المختصة بحسب ما يفرضه القانون.

12نقل البيانات بين الدول

تقع المطاعم التي تستخدم شهاب في فلسطين أساسًا. نعالج البيانات على خوادمنا في المملكة المتحدة، ويعالجها مزوّدو الخدمة لدينا في دول أخرى منها الولايات المتحدة (OpenAI) وعبر شبكة Cloudflare العالمية، وتعالج Meta البيانات وفق شروطها. وحيث يشترط القانون ذلك نحمي هذا النقل بضمانات مناسبة، مثل البنود التعاقدية القياسية أو ملحق نقل البيانات الدولي البريطاني الواردة في شروط معالجة البيانات لدى مزوّدينا.

13حقوقك وخياراتك

بحسب مكان إقامتك، يحق لك أن تطلب منا:

• الاطلاع على بياناتك والحصول على نسخة منها؛
• تصحيحها؛
• حذفها؛
• تقييد استخدامها أو الاعتراض عليه، بما في ذلك استخدامها في تحسين نماذج الذكاء الاصطناعي وتدريبها؛
• نقلها إليك أو إلى خدمة أخرى بصيغة شائعة؛
• سحب أي موافقة منحتها.

ويحق لك أيضًا تقديم شكوى إلى جهة حماية البيانات، مثل مكتب مفوض المعلومات (ICO) في المملكة المتحدة أو الجهة المختصة في بلدك.

لتقديم طلب، راسلنا على privacy@shihab.co.uk واذكر اسم المطعم والقناة (ماسنجر أو إنستغرام أو واتساب أو دردشة الموقع أو صفحة الطلب) والاسم أو رقم الهاتف الذي استخدمته. قد نطلب منك إثبات أن الحساب لك، مثلًا بإرسال رمز من حساب ماسنجر أو إنستغرام أو واتساب نفسه. نرد خلال 30 يومًا ودون أي رسوم. وإذا كنت زبونًا فسنبلغ المطعم أيضًا، وقد نحيل طلبك إليه إن كان القرار له. ويستطيع مستخدمو الأعمال تعديل بيانات حساباتهم من لوحة التحكم.

حذف المحادثة في ماسنجر أو إنستغرام أو واتساب يزيلها من تطبيقك فقط، ولحذف نسختنا اطلب ذلك منا.

14حذف بياناتك

تجد الخطوات بالتفصيل في صفحة حذف البيانات:

• مدير الصفحة أو الرقم: افصل الصفحة أو الرقم من لوحة شهاب، أو أزل تطبيق «Shihab AI» من إعدادات فيسبوك وأرسل طلب حذف، فيصلنا الطلب من Meta ويظهر لك رمز تأكيد.
• الزبون: راسلنا على privacy@shihab.co.uk، فنحذف بياناتك خلال 30 يومًا ونؤكد لك ذلك.

15الأطفال

شهاب خدمة للمطاعم وليس موجّهًا للأطفال، ويجب ألا يقل عمر مستخدمي الأعمال عن 18 عامًا. لا نجمع عن علم بيانات شخصية من أطفال دون 13 عامًا، أو دون السن التي يحددها القانون المحلي (16 عامًا في بعض الدول) دون الموافقة المطلوبة. إذا كنت تعتقد أن طفلًا زوّدنا ببيانات شخصية فراسلنا وسنحذفها.

16التغييرات على هذه السياسة

ننشر أي تغيير في هذه الصفحة مع تاريخ جديد. وإذا كان التغيير جوهريًا نبلغ مستخدمي الأعمال في لوحة التحكم أو بالبريد قبل سريانه، ونوفر النسخ السابقة عند الطلب.

17تواصل معنا

1Who we are

Shihab AI ("Shihab", "we", "us") provides an AI assistant for restaurants. A restaurant connects its Facebook Page, its WhatsApp Business number, its web chat and its online ordering page to Shihab, and Shihab answers the restaurant's customers and takes their orders on the restaurant's behalf. Our website is shihab.co.uk, and our app on Meta's platforms is called "Shihab AI".

For any privacy question or request, email privacy@shihab.co.uk

2Who this policy covers

• Restaurants and their staff who use the Shihab console ("business users"). We decide how this account data is used.
• People who message or order from a restaurant that uses Shihab ("customers"). The restaurant is the business you are dealing with and is responsible for your data. Shihab processes it for the restaurant, on its instructions, as its service provider, and also for the purposes in section 5 within the limits described there. The restaurant may have its own privacy notice.
• Visitors to shihab.co.uk.

3Data we collect

3.1 Business users

• Account details: name, username, email address, password (stored only as a secure hash, never as text), role and the restaurants you belong to.
• Restaurant details you add: menu, prices, offers, branches, opening hours, delivery areas and fees, settings, and the connection to your point-of-sale (POS) system.
• Security records: sign-in times, the IP address and browser of each session, and a log of important actions in the console (for example connecting or disconnecting a channel).
• Messages you send us for support.

3.2 From Meta, when a restaurant connects Facebook or WhatsApp

When a manager connects a Page or a WhatsApp number with Facebook Login for Business or WhatsApp Embedded Signup, Meta shares with us, with the manager's permission:

• the manager's Facebook user ID for our app, the permissions granted and when the access expires;
• the Pages the manager chooses to connect (Page ID, name and picture) and an access token for each Page;
• for WhatsApp: the WhatsApp Business Account ID, the phone number ID, the displayed phone number and verified business name, the number's status and quality rating, and an access token for the business. When we register the number, we also keep its two-step verification PIN, encrypted.

We never receive the manager's Facebook password.

3.3 Customers on Messenger, Instagram and WhatsApp

When you write to a restaurant's Facebook Page or WhatsApp number that uses Shihab, Meta sends us:

• your messages and what comes with them: text, button taps, reactions, photos, voice notes, videos, files, stickers, and any location or contact you share;
• on Messenger: an ID that only works for that Page, and your first name, last name and profile picture as Meta makes them available to the Page;
• on WhatsApp: your phone number and your WhatsApp profile name;
• whether our replies were delivered and read;
• replies the restaurant's staff write in the Page inbox or the WhatsApp Business app, so the conversation is complete in one place.

We keep copies of the photos, voice notes, videos and files you send, because Meta's links to them expire. Location data embedded in photos (such as GPS) is removed from our copies.

3.4 Customers on a restaurant's web chat and ordering page

• your messages, and the details of an order or reservation request: items, notes, name, phone number, delivery address or area, branch, time and number of people;
• technical data about your chat visit: IP address, approximate country, browser, device and operating system, language, time zone, screen size, the page you chatted from and the page that sent you there;
• your browser keeps a random token in local storage so your chat continues when you come back. The ordering page keeps your cart in local storage and a random visit ID in session storage, and counts page views and steps (such as "added to cart") without IP addresses or personal details. We do not use cookies or tracking pixels on these pages.

3.5 Data created while we serve you

Order and reservation records, the restaurant's notes about a customer (for example a saved address or the number of past orders), conversation summaries and quality scores, and technical records of each reply (timings, the AI model used and any errors).

3.6 Visitors to shihab.co.uk

Our website uses no cookies, analytics, advertising or tracking tools, and loads nothing from other companies. Our servers and Cloudflare, which delivers the site, process your IP address, browser type and the pages you request in order to deliver and protect the site. If you switch the language, your choice is kept in your browser's local storage. If you email us, we receive your email address and your message.

4How we use data

To provide the service to the restaurant

• receive customers' messages and answer them on the restaurant's behalf, using the information the restaurant gave us (menu, prices, hours, delivery areas, offers);
• take orders and reservation requests, confirm them with the customer, and pass them to the restaurant in the console and, if the restaurant connected one, to its POS system;
• hand a conversation to the restaurant's staff when needed, and show conversations, orders and customer details to the restaurant's team;
• connect, check and disconnect the restaurant's Page and WhatsApp number;
• give the restaurant reports, such as orders and reply times.

To keep the service safe and working

• detect and stop abuse, spam and fake orders, protect accounts and apply rate limits;
• find and fix errors.

To improve the service and our AI models

Within the limits in section 5.

To run our business

Support restaurants, tell business users about important changes, meet legal obligations, and establish or defend legal claims.

We never sell, rent or trade personal data, never use it for advertising, and never send customers marketing messages. Shihab only replies in conversations the customer started; on WhatsApp, an approved template is used only to deliver a reply after the 24-hour window.

5Improving our service and AI models

Shihab AI may use conversations, orders and usage data to operate, evaluate, improve and train its AI models and services. For example, we replay past conversations to test a new version of Shihab before customers see it, measure the quality of replies, and teach our models a restaurant's menu and the way its customers write.

• Where feasible, we remove or pseudonymise direct identifiers (names, phone numbers, addresses) before data is used to train models.
• We never sell this data, and we do not share it with other companies to train their models.
• Data received from Meta (Messenger, Instagram and WhatsApp) follows stricter rules, described in section 7: it is used only to provide and improve the service for the restaurant it came from. WhatsApp data is not used to create, train or improve AI models, except to fine-tune a model used only for that restaurant.
• Our AI model provider, OpenAI, processes data for us as a service provider, under its business and data processing terms. We do not sell data or share it with anyone to train their general-purpose models.
• Restaurants can opt out of their data being used for model training: email privacy@shihab.co.uk. We confirm in writing and stop using that restaurant's data for training from then on; the service continues as normal.
• Customers can object to the use of their data for training, or ask us to delete it, through the data deletion page or by email. We then exclude your conversations from future training.

Data that has already been used to train a model cannot always be taken out of that model, which is one reason we remove direct identifiers first.

6How Shihab uses AI to reply

• Shihab's replies are written automatically by large language models from OpenAI. For each reply, the model receives the recent conversation text, the restaurant's information (menu, prices, hours, delivery areas, offers) and the current order. The restaurant's staff can open any photo, voice note or file the customer sends.
• An AI model may also read finished conversations to give them a quality score, for the restaurant and for us.
• AI can make mistakes. That is why Shihab answers from the restaurant's information, shows you a summary of each order (items, total and delivery details) and asks you to confirm before sending it, and passes complaints, special requests and anything it cannot handle to the restaurant's staff. You can ask to talk to a person at any time.
• Shihab does not make decisions that have legal or similarly significant effects on you.

7Data we receive from Meta (Facebook, Messenger, Instagram, WhatsApp)

"Meta Platform Data" means the data we receive through Meta's platforms: Facebook Login for Business, the Messenger Platform and the WhatsApp Business Platform (sections 3.2 and 3.3).

• We process it only as permitted by the Meta Platform Terms, Meta's Developer Policies and the WhatsApp Business terms and policies, on behalf of and at the direction of the restaurant that connected the Page or number.
• We use it only to provide, secure and improve the service for the restaurant it came from, and we keep each restaurant's data separate from other restaurants' data.
• WhatsApp data, including any anonymous, aggregate or derived form of it, is not used to create, develop, train or improve AI models, except to fine-tune a model used exclusively for that restaurant.
• We do not sell, license or purchase it; we do not use it for advertising or to build or augment profiles of people for any other purpose; we do not try to re-identify anyone; and we do not share it with third parties to train their general-purpose models.
• We share it only with the restaurant concerned, with service providers bound by written contracts to process it only for us (section 8), or when the law requires.
• We delete it on request, when Meta asks us to, when it is no longer needed, and when the restaurant disconnects the Page or number or stops using Shihab, within the periods in section 10.
• Meta's own use of data is covered by Meta's Privacy Policy.

8Who we share data with

The restaurant you contacted

Its authorised staff see your conversations, orders and customer details in the Shihab console.

The restaurant's POS provider (for example Unify)

When the restaurant connects its POS, we send the order details needed to prepare the order: items, notes, name, phone number and address.

Meta

Replies go through Messenger or the WhatsApp Business Platform, which Meta operates under its own terms.

OpenAI (United States)

AI models that write replies and score conversations, acting as our service provider.

Cloudflare (global network)

Delivers and protects our websites and our webhook address, and forwards email sent to our addresses to our mailbox.

Authorities or others

When the law requires it, or to protect the rights, safety and security of people, restaurants or Shihab.

A successor

If Shihab AI's business is reorganised, merged or sold, only under the same commitments, and we will tell business users first.

Shihab runs on servers we operate ourselves, currently in the United Kingdom, and our monitoring tools are hosted on our own servers too. We do not share personal data with advertisers, data brokers or other restaurants.

9Legal bases

Where laws such as the EU General Data Protection Regulation (GDPR) or the UK GDPR apply, we rely on:

• Contract: to provide Shihab to the restaurant, and to do what a customer asks (answer questions, take an order).
• Legitimate interests: to keep the service secure, prevent abuse, fix errors and improve the service and our AI models (section 5), and, for the restaurant, to answer customers who contact it. You can object at any time (section 13).
• Consent: when a manager connects a Page or number, Meta asks them to grant each permission; it can be removed at any time in Facebook's settings.
• Legal obligation: when the law requires us to keep or disclose data.

For customers' data, the restaurant, as the business responsible, also needs its own legal basis; our terms require it to have one.

10How long we keep data

Facebook and WhatsApp access tokens

Until the Page or number is disconnected, a data deletion request arrives or the restaurant's account closes. On disconnection or a deletion request they are deleted immediately. If someone removes our app in Facebook, Meta stops the access at once.

Conversations, customer details, orders and reservations

While the restaurant uses Shihab, unless deleted earlier at the restaurant's or your request. When a Page or number is disconnected, the Messenger, Instagram or WhatsApp conversations received through it are deleted within 90 days. Everything is deleted within 90 days after the restaurant's account closes.

Copies of photos, voice notes, videos and files

Same as the conversation they belong to.

Web chat technical data (IP address, browser, device, pages)

90 days after your last visit by default; the restaurant can choose another period.

Full text of AI requests and replies, kept for troubleshooting

30 days. Technical details without message content (timings, model, errors) are kept for up to 180 days.

Pseudonymised copies used to evaluate and train models

Deleted together with the data they came from.

Anonymous ordering-page counts

400 days; they contain no personal data.

Business user accounts

While the account is active; deleted within 90 days after it closes, except records we must keep by law, such as invoices.

Records of data deletion requests

Kept so the status link keeps working and to show the deletion was done. They hold a confirmation code and the IDs of the affected connections, not the deleted data.

Server logs

Kept for a short time for security and troubleshooting, then overwritten automatically.

Support emails

As long as needed to deal with your request, and no longer than 2 years.

11Security

• Access tokens and WhatsApp PINs are encrypted at rest, never sent to browsers, never shown in the console and never written to logs.
• Every request we send to Meta is signed with our app secret, and we check Meta's signature on every webhook before accepting it.
• All connections use HTTPS. Each restaurant sees only its own data, access inside a restaurant depends on the user's role, and sensitive data such as visitors' IP addresses is limited to owners and managers, with every view logged.
• Passwords are stored only as secure hashes, sign-ins and public endpoints are rate-limited, and only authorised people can access our servers.
• No system is perfectly secure. If a breach affects your data, we will tell the restaurant, you and the authorities as the law requires.

12International transfers

The restaurants that use Shihab are mainly in Palestine. We process data on our servers in the United Kingdom, and our service providers process it in other countries, including the United States (OpenAI) and across Cloudflare's global network. Meta processes data under its own terms. Where the law requires it, we protect these transfers with appropriate safeguards, such as the standard contractual clauses or the UK International Data Transfer Addendum in our providers' data processing terms.

13Your rights and choices

Depending on where you live, you can ask us to:

• give you access to your data and a copy of it;
• correct it;
• delete it;
• restrict its use or object to it, including its use to improve and train our AI models;
• send it to you or to another service in a common format;
• withdraw any consent you gave.

You can also complain to a data protection authority, such as the Information Commissioner's Office (ICO) in the United Kingdom or the authority where you live.

To make a request, email privacy@shihab.co.uk with the restaurant's name, the channel (Messenger, Instagram, WhatsApp, web chat or ordering page) and the name or phone number you used. We may ask you to show the account is yours, for example by sending a code from the same Messenger, Instagram or WhatsApp account. We answer within 30 days, free of charge. If you are a customer, we will also tell the restaurant, and we may pass your request to it when the decision is the restaurant's. Business users can also change their account details in the console.

Deleting a chat in Messenger, Instagram or WhatsApp only removes it from your own app; to delete our copy, ask us.

14Deleting your data

Step-by-step instructions are on the data deletion page:

• Page or number managers: disconnect the Page or number in the Shihab console, or remove the "Shihab AI" app in Facebook's settings and send a deletion request; Meta passes the request to us and shows you a confirmation code.
• Customers: email privacy@shihab.co.uk. We delete your data within 30 days and confirm it.

15Children

Shihab is a service for restaurants and is not directed to children. Business users must be at least 18. We do not knowingly collect personal data from children under 13, or under the age set by local law (16 in some countries) without the required consent. If you believe a child has given us personal data, email us and we will delete it.

16Changes to this policy

We publish every change on this page with a new date. If a change is significant, we tell business users in the console or by email before it takes effect. Previous versions are available on request.

17Contact us