Privacy Policy

2. Scope

This policy covers the Thageel mobile app. It does not cover third-party apps you might sync with HealthKit or Health Connect (like MyFitnessPal) — those have their own privacy policies. It also doesn't cover our marketing website, which has a separate Cookie Policy.

3. What We Collect

Account information. Name, email address, and basic profile details you provide when creating an account (such as age, biological sex, height, and weight, where you choose to enter them for training and calorie calculations).

Health and fitness data. With your explicit, separate opt-in consent (see Section 4), we access:

• Workout and activity data (exercise sessions, steps, active energy) via Apple HealthKit or Android Health Connect
• Nutrition logs that you or another app (like MyFitnessPal) have synced into HealthKit/Health Connect
• Other health metrics you choose to share through those platforms (e.g., heart rate, sleep), if and only if you grant permission for that specific data type

You control exactly which HealthKit/Health Connect data categories Thageel can read, through your device's own permission system — you can revoke any category at any time in your phone's settings.

AI coach conversations. The messages you send to your AI coach, and the responses you receive, including any health, goal, or lifestyle information you choose to share in that conversation.

Subscription and billing data. If you subscribe to Premium, Apple or Google handles the actual payment — we never see your card details. We receive your subscription status, tier, and a transaction identifier from Apple/Google so we know your account is entitled to Premium features.

Technical data. App version, device type and OS, crash logs, language setting (Arabic/English), and IP address, used for security, debugging, and making sure the app works properly on your device.

Support communications. If you contact us for help, we keep a record of that conversation to resolve your issue and improve support quality.

We do not collect location data, contacts, photos, or microphone/camera access beyond what's needed for basic app functionality (if any), and we never use health data for advertising purposes.

4. Health Data Is Sensitive — and We Treat It That Way

Your fitness and health data is sensitive personal data. We do not bundle consent to process it into general account creation or acceptance of these Terms. Instead:

• The first time the app requests HealthKit/Health Connect access, you'll see a separate, specific consent screen explaining what will be read and why
• You can decline HealthKit/Health Connect access and still use core parts of Thageel, though some coaching features will be more limited without activity data
• You can withdraw this consent at any time — either through your device's permission settings or by contacting us — and we'll stop pulling new data immediately

5. Why We Process Your Data

We rely primarily on your consent — freely given, specific, and revocable — for health and fitness data, and for AI chat processing. For basic account functionality (like keeping you logged in and managing your subscription), we rely on the necessity of processing to perform our contract with you. For essential security and fraud prevention, we rely on our legitimate interest in keeping the Service safe, balanced against your rights. Where local law requires it, we also process data to meet legal obligations (for example, tax recordkeeping for subscription payments).

6. Who We Share Data With

We don't sell or rent your data to anyone, and we don't share it with advertisers. We do work with the following processors, each of whom is contractually required to protect your data and use it only for the purpose we specify:

• Anthropic (Claude API): Your AI chat messages, and relevant fitness context needed to generate a coaching response — Powers the AI coach. Under Anthropic's standard commercial API terms, data submitted through the API is not used to train Anthropic's underlying models.
• Cloudflare: Account data, workout/nutrition data, and chat history, as stored and processed infrastructure — Hosting, database, and backend infrastructure that runs the app
• Nutritionix: Only your food search queries (e.g., "grilled chicken breast") — never your identity, account, or logs — Food-item lookup database, used to return nutritional information for items you search
• Apple / Google: Subscription status and transaction data — Handles in-app billing for Premium subscriptions

We may also disclose data where required by law, to respond to valid legal process, or to protect the rights, safety, or property of Thageel, our users, or the public.

7. Where Your Data Goes (Cross-Border Transfers)

Because Anthropic and Cloudflare operate global infrastructure, your data may be processed outside the country you're using Thageel in — including, in some cases, outside Jordan, Saudi Arabia, or Egypt. When that happens, we require our processors to maintain security and confidentiality obligations equivalent to what's required under applicable data protection law, through contractual safeguards (data processing agreements) with each provider, and we limit what's transferred to what's actually needed to provide the Service.

We recognize that Jordan's PDPL, Saudi Arabia's PDPL, and Egypt's PDPL each impose their own specific cross-border transfer requirements, and we review our transfer mechanisms as we launch in each market to keep pace with local requirements. See Section 12 for country-specific detail.

8. How Long We Keep Your Data

• Account and health data: retained while your account is active, so the AI coach can maintain useful context over time
• After account deletion: we delete your personal data within 30 days, except where we're required to retain limited records for longer (for example, transaction records for tax/accounting purposes, typically retained for the period required under applicable commercial law)
• AI chat logs: retained on the same basis as your account, deleted on the same schedule as above
• Aggregated or anonymized data (data that can no longer identify you) may be retained for product improvement and research

9. Your Rights

Subject to the specific law that applies to you, you generally have the right to:

• Access the personal data we hold about you
• Correct inaccurate or incomplete data
• Delete your data (subject to the retention exceptions in Section 8)
• Withdraw consent for health data processing or AI chat processing at any time, without affecting the lawfulness of processing before withdrawal
• Port your data — request an export in a common, machine-readable format
• Object to processing based on our legitimate interest

To exercise any of these, use the relevant control in Settings → Privacy in the app, or email privacy@thageel.com. We aim to respond within 30 days.

10. Marketing Communications

We'll only send you marketing emails or notifications if you opt in. Every marketing email includes an unsubscribe link, and you can also turn off marketing notifications anytime in Settings → Notifications. Opting out of marketing doesn't affect essential service communications (like billing notices or security alerts).

11. Children

Thageel isn't directed at children, and you must be at least 16 to create an account (see our Terms of Service). We don't knowingly collect personal data from anyone under 16. If we learn we have, we'll delete it and terminate the associated account.

12. Country-Specific Notices

Jordan. We process your data in accordance with Personal Data Protection Law No. 24 of 2023. This includes obtaining your explicit consent for sensitive data, limiting processing to the purposes described here, applying cross-border transfer safeguards, and notifying affected individuals of any data breach that poses a risk to your rights.

Saudi Arabia. We process your data in accordance with the Saudi PDPL. Health data is treated as sensitive personal data with heightened protection, consent is our primary legal basis for processing it, and we're committed to notifying the Saudi Data & Artificial Intelligence Authority (SDAIA) within 72 hours of becoming aware of a breach that requires notification, and to notifying affected individuals where required.

Egypt. We process your data in accordance with Personal Data Protection Law No. 151/2020 and its Executive Regulations. Where our processing activities require licensing as a data controller/processor, or specific licenses for cross-border transfer or electronic marketing, we obtain and maintain those licenses, and we process your data on a consent basis under the oversight of Egypt's Personal Data Protection Centre.

Iraq. Iraq does not yet have a comprehensive data protection law in force. In the meantime, we honor the privacy protections in the Iraqi Constitution (Articles 17 and 40) and the obligations under the 2025 Electronic Trade Regulation, including securing your personal data and letting you access and update your information. We've built this policy to be consistent with the draft Iraqi Personal Data Protection Law currently under consultation, so that your rights won't need to change materially once it takes effect.

13. Security

We protect your data using encryption in transit (TLS) and at rest, access controls that limit who inside our organization and our processors can see your data, and regular review of our infrastructure. No system is perfectly secure, and we can't guarantee absolute security — but if something goes wrong, we'll notify affected users and the relevant authority as required by applicable law.

14. Changes to This Policy

We'll update this policy as our practices, or the law, evolve. For material changes, we'll notify you in-app or by email before they take effect.

15. Contact / Data Protection Queries

For any question, request, or concern about how we handle your data, contact us at privacy@thageel.com.

٢. النطاق

تغطي هذه السياسة تطبيق ثقيل للهواتف المحمولة. وهي لا تغطي تطبيقات الطرف الثالث التي قد تُزامنها مع HealthKit أو Health Connect (مثل MyFitnessPal) — فتلك لها سياسات خصوصية خاصة بها. كما أنها لا تغطي موقعنا التسويقي الإلكتروني، الذي له سياسة ملفات تعريف ارتباط منفصلة.

٣. ما الذي نجمعه

معلومات الحساب. الاسم، البريد الإلكتروني، وتفاصيل الملف الشخصي الأساسية التي تقدّمها عند إنشاء حساب (مثل العمر، والجنس البيولوجي، والطول، والوزن، عندما تختار إدخالها لأغراض حساب التدريب والسعرات الحرارية).

البيانات الصحية والرياضية. بموافقتك الصريحة والمنفصلة (انظر القسم ٤)، نصل إلى:

• بيانات التمارين والنشاط (جلسات التمرين، الخطوات، الطاقة النشطة) عبر Apple HealthKit أو Android Health Connect
• سجلات التغذية التي قمت أنت أو تطبيق آخر (مثل MyFitnessPal) بمزامنتها مع HealthKit/Health Connect
• مقاييس صحية أخرى تختار مشاركتها عبر تلك المنصات (مثل معدل ضربات القلب، النوم)، فقط إذا وحينما تمنح إذنًا لتلك الفئة المحددة من البيانات

أنت من يتحكم بالضبط في فئات بيانات HealthKit/Health Connect التي يمكن لثقيل قراءتها، من خلال نظام الأذونات في جهازك — ويمكنك إلغاء أي فئة في أي وقت من إعدادات هاتفك.

محادثات المدرب بالذكاء الاصطناعي. الرسائل التي ترسلها لمدربك بالذكاء الاصطناعي، والردود التي تتلقاها، بما يشمل أي معلومات صحية أو متعلقة بالأهداف أو نمط الحياة تختار مشاركتها في تلك المحادثة.

بيانات الاشتراك والفوترة. إذا اشتركت في بريميوم، تتولى Apple أو Google عملية الدفع الفعلية — نحن لا نرى تفاصيل بطاقتك أبدًا. نتلقى من Apple/Google حالة اشتراكك، ومستواه، ومعرّف المعاملة حتى نعرف أن حسابك مؤهل لميزات بريميوم.

البيانات التقنية. إصدار التطبيق، نوع الجهاز ونظام التشغيل، سجلات الأعطال، إعداد اللغة (عربي/إنجليزي)، وعنوان IP، وتُستخدم للأمان، وتصحيح الأخطاء، والتأكد من أن التطبيق يعمل بشكل صحيح على جهازك.

تواصل الدعم. إذا تواصلت معنا للحصول على مساعدة، نحتفظ بسجل لتلك المحادثة لحل مشكلتك وتحسين جودة الدعم.

نحن لا نجمع بيانات الموقع، أو جهات الاتصال، أو الصور، أو نصل إلى الميكروفون/الكاميرا بما يتجاوز ما هو ضروري لوظائف التطبيق الأساسية (إن وُجد)، ولا نستخدم البيانات الصحية أبدًا لأغراض إعلانية.

٤. البيانات الصحية حساسة — ونتعامل معها على هذا الأساس

تُعتبر بياناتك الصحية والرياضية بيانات شخصية حساسة. نحن لا ندمج الموافقة على معالجتها ضمن إنشاء الحساب العام أو الموافقة على هذه الشروط. بدلاً من ذلك:

• في المرة الأولى التي يطلب فيها التطبيق الوصول إلى HealthKit/Health Connect، ستظهر لك شاشة موافقة منفصلة ومحددة توضح ما سيتم قراءته ولماذا
• يمكنك رفض الوصول إلى HealthKit/Health Connect والاستمرار في استخدام الأجزاء الأساسية من ثقيل، رغم أن بعض ميزات التدريب ستكون أكثر محدودية دون بيانات النشاط
• يمكنك سحب هذه الموافقة في أي وقت — إما من خلال إعدادات الأذونات في جهازك أو بالتواصل معنا — وسنتوقف عن سحب بيانات جديدة على الفور

٥. لماذا نعالج بياناتك

نعتمد بشكل أساسي على موافقتك — الحرة والمحددة والقابلة للسحب — بالنسبة للبيانات الصحية والرياضية، ولمعالجة محادثات الذكاء الاصطناعي. أما بالنسبة للوظائف الأساسية للحساب (مثل إبقائك مسجّل الدخول وإدارة اشتراكك)، فنعتمد على ضرورة المعالجة لتنفيذ عقدنا معك. وبالنسبة للأمان الأساسي ومنع الاحتيال، نعتمد على مصلحتنا المشروعة في الحفاظ على أمان الخدمة، موازنة مع حقوقك. وحيثما يتطلب القانون المحلي ذلك، نعالج البيانات أيضًا للوفاء بالالتزامات القانونية (مثل السجلات الضريبية لمدفوعات الاشتراك).

٦. مع من نشارك البيانات

نحن لا نبيع بياناتك أو نؤجرها لأي جهة، ولا نشاركها مع المعلنين. نتعامل مع مُعالِجي البيانات التالية أسماؤهم، وكل منهم ملزم تعاقديًا بحماية بياناتك واستخدامها فقط للغرض الذي نحدده:

• Anthropic (واجهة Claude API): رسائل محادثتك مع الذكاء الاصطناعي، وسياق رياضي ذو صلة لازم لتوليد رد تدريبي — يشغّل المدرب بالذكاء الاصطناعي. وبموجب شروط Anthropic التجارية القياسية لواجهة API، لا تُستخدم البيانات المُرسلة عبر الواجهة لتدريب نماذج Anthropic الأساسية.
• Cloudflare: بيانات الحساب، وبيانات التمارين والتغذية، وسجل المحادثات، كبنية تحتية للتخزين والمعالجة — استضافة، وقاعدة بيانات، وبنية تحتية خلفية تُشغّل التطبيق
• Nutritionix: فقط استفسارات البحث عن الطعام (مثل "صدر دجاج مشوي") — لا يتلقى أبدًا هويتك أو حسابك أو سجلاتك — قاعدة بيانات للبحث عن عناصر الطعام، تُستخدم لإرجاع المعلومات الغذائية للعناصر التي تبحث عنها
• Apple / Google: حالة الاشتراك وبيانات المعاملة — يتولى الفوترة داخل التطبيق لاشتراكات بريميوم

قد نفصح أيضًا عن البيانات حيثما يقتضي القانون ذلك، للاستجابة لإجراء قانوني صحيح، أو لحماية حقوق أو سلامة أو ممتلكات ثقيل أو مستخدمينا أو الجمهور.

٧. إلى أين تذهب بياناتك (النقل عبر الحدود)

نظرًا لأن Anthropic وCloudflare تُشغّلان بنية تحتية عالمية، قد تُعالَج بياناتك خارج البلد الذي تستخدم فيه ثقيل — بما يشمل، في بعض الحالات، خارج الأردن أو السعودية أو مصر. عندما يحدث ذلك، نُلزم مُعالِجي بياناتنا بالحفاظ على التزامات أمان وسرية معادلة لما يقتضيه قانون حماية البيانات المعمول به، من خلال ضمانات تعاقدية (اتفاقيات معالجة بيانات) مع كل مزوّد، ونحدّ مما يُنقل بما هو ضروري فعليًا لتقديم الخدمة.

نُدرك أن قانون حماية البيانات الأردني، والسعودي، والمصري، يفرض كل منها متطلبات نقل عبر الحدود خاصة به، ونراجع آليات النقل لدينا مع إطلاقنا في كل سوق لمواكبة المتطلبات المحلية. انظر القسم ١٢ للتفاصيل الخاصة بكل بلد.

٨. إلى متى نحتفظ ببياناتك

• بيانات الحساب والبيانات الصحية: تُحفظ طالما كان حسابك نشطًا، حتى يتمكّن المدرب بالذكاء الاصطناعي من الحفاظ على سياق مفيد عبر الوقت
• بعد حذف الحساب: نحذف بياناتك الشخصية خلال ٣٠ يومًا، باستثناء الحالات التي نكون فيها مُلزمين بالاحتفاظ بسجلات محدودة لفترة أطول (مثل سجلات المعاملات لأغراض ضريبية/محاسبية، وتُحفظ عادة للمدة التي يقتضيها القانون التجاري المعمول به)
• سجلات محادثات الذكاء الاصطناعي: تُحفظ على نفس أساس حسابك، وتُحذف وفق نفس الجدول أعلاه
• البيانات المجمّعة أو مجهولة الهوية (البيانات التي لم تعد تحدد هويتك) قد تُحفظ لأغراض تحسين المنتج والبحث

٩. حقوقك

بموجب القانون المحدد الذي ينطبق عليك، لديك عمومًا الحق في:

• الوصول إلى البيانات الشخصية التي نحتفظ بها عنك
• تصحيح البيانات غير الدقيقة أو الناقصة
• حذف بياناتك (مع مراعاة استثناءات الاحتفاظ الواردة في القسم ٨)
• سحب الموافقة على معالجة البيانات الصحية أو معالجة محادثات الذكاء الاصطناعي في أي وقت، دون التأثير على شرعية المعالجة قبل السحب
• نقل بياناتك — طلب تصدير بصيغة شائعة وقابلة للقراءة آليًا
• الاعتراض على المعالجة القائمة على مصلحتنا المشروعة

لممارسة أي من هذه الحقوق، استخدم عنصر التحكم المعني في الإعدادات ← الخصوصية داخل التطبيق، أو راسلنا على privacy@thageel.com. نهدف إلى الرد خلال ٣٠ يومًا.

١٠. الاتصالات التسويقية

سنُرسل لك رسائل تسويقية عبر البريد الإلكتروني أو الإشعارات فقط إذا اخترت ذلك. تتضمن كل رسالة تسويقية رابط إلغاء اشتراك، ويمكنك أيضًا إيقاف إشعارات التسويق في أي وقت من الإعدادات ← الإشعارات. إلغاء الاشتراك في التسويق لا يؤثر على اتصالات الخدمة الأساسية (مثل إشعارات الفوترة أو تنبيهات الأمان).

١١. الأطفال

ثقيل غير موجّه للأطفال، ويجب أن يكون عمرك ١٦ عامًا على الأقل لإنشاء حساب (انظر شروط الخدمة الخاصة بنا). نحن لا نجمع عن قصد بيانات شخصية من أي شخص دون سن ١٦ عامًا. إذا علمنا أننا فعلنا ذلك، سنحذفها وننهي الحساب المرتبط بها.

١٢. إشعارات خاصة بكل بلد

الأردن. نعالج بياناتك وفقًا لقانون حماية البيانات الشخصية رقم ٢٤ لسنة ٢٠٢٣. يشمل ذلك الحصول على موافقتك الصريحة للبيانات الحساسة، وتقييد المعالجة بالأغراض الموضحة هنا، وتطبيق ضمانات النقل عبر الحدود، وإخطار الأفراد المتأثرين بأي خرق للبيانات يشكّل خطرًا على حقوقهم.

المملكة العربية السعودية. نعالج بياناتك وفقًا لنظام حماية البيانات الشخصية السعودي. تُعامل البيانات الصحية كبيانات شخصية حساسة تتمتع بحماية معززة، والموافقة هي أساسنا القانوني الأساسي لمعالجتها، ونلتزم بإخطار الهيئة السعودية للبيانات والذكاء الاصطناعي (SDAIA) خلال ٧٢ ساعة من علمنا بأي خرق يتطلب الإخطار، وبإخطار الأفراد المتأثرين حيثما يقتضي ذلك.

مصر. نعالج بياناتك وفقًا لقانون حماية البيانات الشخصية رقم ١٥١ لسنة ٢٠٢٠ ولائحته التنفيذية. وحيثما تتطلب أنشطة معالجتنا ترخيصًا كمتحكم/معالج بيانات، أو تراخيص محددة للنقل عبر الحدود أو التسويق الإلكتروني، فإننا نحصل على تلك التراخيص ونحافظ عليها، ونعالج بياناتك على أساس الموافقة تحت إشراف المركز القومي لحماية البيانات الشخصية في مصر.

العراق. لا يوجد في العراق حتى الآن قانون شامل لحماية البيانات نافذ. في هذه الأثناء، نلتزم بحماية الخصوصية الواردة في الدستور العراقي (المادتان ١٧ و٤٠) والالتزامات بموجب نظام التجارة الإلكترونية لعام ٢٠٢٥، بما يشمل تأمين بياناتك الشخصية والسماح لك بالوصول إلى معلوماتك وتحديثها. لقد صممنا هذه السياسة لتكون متوافقة مع مسودة قانون حماية البيانات الشخصية العراقي قيد المشاورة حاليًا، بحيث لا تحتاج حقوقك للتغيير جوهريًا بمجرد دخوله حيّز التنفيذ.

١٣. الأمان

نحمي بياناتك باستخدام التشفير أثناء النقل (TLS) وفي حالة التخزين، وضوابط وصول تحد ممن يمكنه داخل مؤسستنا ومؤسسات مُعالِجينا رؤية بياناتك، ومراجعة منتظمة لبنيتنا التحتية. لا يوجد نظام آمن تمامًا، ولا يمكننا ضمان أمان مطلق — لكن إذا حدث خطأ ما، سنُخطر المستخدمين المتأثرين والجهة المعنية وفقًا لما يقتضيه القانون المعمول به.

١٤. التغييرات على هذه السياسة

سنُحدّث هذه السياسة مع تطور ممارساتنا أو القانون. بالنسبة للتغييرات الجوهرية، سنُخطرك داخل التطبيق أو عبر البريد الإلكتروني قبل سريانها.

١٥. التواصل / استفسارات حماية البيانات

لأي سؤال أو طلب أو مخاوف حول كيفية تعاملنا مع بياناتك، تواصل معنا على privacy@thageel.com.