YOURHAND — PRIVACY POLICY YOURHAND.CO | Kingdom of Saudi Arabia Last updated: 24 August 2026 | Version 2026-08 If the English and Arabic texts differ, the Arabic text prevails for data subjects in the Kingdom of Saudi Arabia. This policy explains how YOURHAND.CO (“YourHand”, “we”) processes personal data when you use the YourHand website and marketplace. It is intended to meet the Personal Data Protection Law of the Kingdom of Saudi Arabia (PDPL — Royal Decree M/19 dated 9/2/1443H, as amended) and related SDAIA Implementing Regulations, together with the E-Commerce Law disclosure duties. Controller (to be completed on the live storefront): Trade name: YourHand / YOURHAND.CO Website: yourhand.co Commercial Registration (CR) No.: [insert CR number] National address: [insert national address] Privacy contact: support@yourhand.co or via Account settings / in-app assistant 1. DATA WE COLLECT Depending on how you use YourHand, we may process: Account and identity Name, mobile phone number, email (if provided), password (stored hashed), preferred language (English or Arabic), account type (buyer, seller, merchant, admin), city, address, map coordinates (latitude / longitude) and delivery radius, marketplace-disclaimer acceptance time. Verification One-time passcodes sent by SMS or WhatsApp to confirm phone numbers during registration and seller onboarding. Orders and delivery Cart contents, order items, delivery name, phone, address and map pin, buyer notes, invoices, seller responses, courier / express-delivery details, receipt confirmation, ratings and reviews. Payments Payment method, amounts in SAR, Tap customer / charge / refund references, and payment status. Full card numbers are processed by Tap Payments, not stored by YourHand. Optional bank-transfer settings (account name YOURHAND.CO, Al Rajhi Bank, IBAN) if used by the operator. Communications In-app chat, livestream chat, notifications (database, email, WhatsApp), assistant-bot messages and optional lead details (name, email, phone). Seller and merchant profiles Shop name, description, logos, business category and type, fulfilment type, VAT number, commercial details you enter, listing photos/videos, warranty and return notes, livestream recordings/analytics, wholesale company name, origin country/city, bulk listing and order data. Technical data Session cookies, CSRF tokens, locale, city preference for homemade food, approximate device/browser data needed to run the site, and server logs as reasonably required for security. We do not require you to provide more data than needed for the service. Some features (map pin, homemade food, payments) cannot work without the related data. 2. PURPOSES AND LEGAL BASES (PDPL) We process personal data to: - create and secure accounts, and verify phone numbers - operate the marketplace: listings, search, cart, checkout, orders - share delivery details with the relevant seller and courier - process payments and refunds through Tap and record tax-relevant invoices - apply seller response timers, commissions, VAT display, and payouts after the buyer confirms receipt - provide chat, livestreams, reviews, loyalty, surplus reservations, and the wholesale catalog for eligible users - send transactional notices (order status, WhatsApp/email where enabled) - detect fraud, abuse, and security incidents - comply with Saudi law (e-commerce records, tax, lawful authority requests) - improve reliability of the service (limited operational analytics) Legal bases under PDPL typically include: performing a contract with you, complying with a legal obligation, our legitimate operational interest balanced against your rights, and consent where we ask for it (for example marketing or optional location features). You may withdraw consent where processing is based on consent, without affecting prior lawful processing. 3. WHO WE SHARE DATA WITH We do not sell personal data. We share it only as needed: - the seller or merchant fulfilling your order (and their courier) - Tap Payments and its acquiring banks, to charge or refund SAR amounts - WhatsApp / Meta Cloud API (or similar) to deliver OTP and order notices if that channel is enabled - map / geocoding providers used to pin city and delivery location - hosting, email, and infrastructure processors who act on our instructions - platform admins investigating disputes, returns, or abuse - competent Saudi authorities when legally required (Ministry of Commerce, SDAIA, ZATCA, law enforcement, courts) Sellers see buyer delivery data only for orders they must fulfil. Buyers see seller shop and listing information that the seller publishes. 4. CROSS-BORDER TRANSFER Some processors (including payment and messaging providers) may process data on servers outside the Kingdom. Where that occurs, we rely on PDPL rules for cross-border transfer, including appropriate safeguards and any required notices or approvals. Card data is handled under Tap’s own compliance (PCI DSS) as a licensed payment service. 5. COOKIES AND SIMILAR TECHNOLOGIES We use essential cookies and similar storage to keep you logged in, protect forms (CSRF), remember language (English/Arabic RTL), and store your selected city for homemade / local food. These are required for the site to function. We do not run advertising trackers as part of the core product described in this policy. 6. RETENTION We keep account and order data while your account is active and for as long as needed afterwards to complete refunds, disputes, tax and e-commerce record-keeping (invoices are commonly retained for the period required by ZATCA / tax law, often several years), and to establish or defend legal claims. OTP codes are short-lived. You may request deletion as set out below; we may retain limited data where Saudi law requires it. 7. YOUR RIGHTS (PDPL) Subject to PDPL conditions and exceptions, you may: - request access to your personal data - request correction of inaccurate data - request destruction of data that is no longer required - withdraw consent where processing is consent-based - lodge a complaint with the Saudi Data and AI Authority (SDAIA) Use Account settings to update profile and location, or contact support@yourhand.co. We will respond within the periods required by PDPL. You should not use YourHand if you are under 18. 8. SECURITY AND BREACHES We use access controls, hashed passwords, HTTPS, input sanitization, and role-based permissions (buyer, seller, merchant, admin). No method is perfectly secure. If a personal-data incident occurs that PDPL requires us to report, we will notify SDAIA and affected persons as mandated. 9. CHANGES We may update this policy. The date at the top is the current version. Material changes will be posted on the website. العربية — سياسة الخصوصية منصة يور هاند / YOURHAND.CO | المملكة العربية السعودية آخر تحديث: 24 أغسطس 2026 | الإصدار 2026-08 عند الاختلاف بين النصين، يُعتد بالنص العربي تجاه أصحاب البيانات في المملكة. توضح هذه السياسة كيفية معالجة YOURHAND.CO للبيانات الشخصية عند استخدام موقع ومنصة YourHand، وفقاً لنظام حماية البيانات الشخصية (الصادر بالمرسوم الملكي م/19 وتاريخ 9/2/1443هـ وتعديلاته) ولوائح الهيئة السعودية للبيانات والذكاء الاصطناعي (سدايا)، ومتطلبات الإفصاح في نظام التجارة الإلكترونية. المتحكم (يُستكمل على الواجهة الحية): الاسم التجاري: YourHand / YOURHAND.CO الموقع: yourhand.co رقم السجل التجاري: [يُدرج رقم السجل] العنوان الوطني: [يُدرج العنوان الوطني] التواصل للخصوصية: support@yourhand.co أو عبر إعدادات الحساب / المساعد داخل الموقع 1. البيانات التي نجمعها بيانات الحساب والهوية: الاسم، الجوال، البريد إن وُجد، كلمة المرور (مشفّرة)، اللغة المفضلة، نوع الحساب، المدينة والعنوان وإحداثيات الخريطة ونطاق التوصيل، ووقت قبول إخلاء مسؤولية السوق. التحقق: رموز OTP عبر رسالة أو واتساب. الطلبات والتوصيل: محتويات السلة، عناصر الطلب، بيانات المستلم والموقع، الفواتير، ردود البائع، شركة التوصيل، تأكيد الاستلام، التقييمات. المدفوعات: طريقة الدفع والمبالغ بالريال ومراجع Tap. لا نخزّن أرقام البطاقات كاملة؛ تُعالج عبر Tap Payments. التواصل: المحادثات، دردشة البث، الإشعارات، رسائل المساعد وبيانات العملاء المحتملة إن قُدّمت. ملفات البائعين والتجار: بيانات المتجر والرقم الضريبي إن أُدخل، الصور والفيديو، طلبات الجملة، وتحليلات البث. بيانات تقنية: ملفات تعريف الارتباط للجلسة والحماية واللغة والمدينة، وسجلات الخادم اللازمة للأمان. 2. الأغراض والأسس النظامية نعالج البيانات لإنشاء الحساب والتحقق من الجوال وتشغيل السوق والدفع والاسترداد عبر Tap ومشاركة بيانات التوصيل مع البائع والموصل وتطبيق العمولة وضريبة القيمة المضافة وحجز مستحق البائع حتى تأكيد الاستلام، وتقديم الدردشة والبث والولاء وسوق الجملة، وإرسال إشعارات الطلب، ومنع الاحتيال، والامتثال للأنظمة. الأسس تشمل تنفيذ العقد والالتزام النظامي والمصلحة المشروعة المتوازنة مع حقوقك، والموافقة عند طلبها. يمكنك سحب الموافقة متى كان الأساس هو الموافقة. 3. المشاركة لا نبيع البيانات. نشاركها بقدر الحاجة مع البائع/التاجر والموصل، وTap والمصرف المعتمد، وواتساب لإرسال الرموز والإشعارات إن فُعّل، ومزوّدي الخرائط والاستضافة، ومشرفي المنصة عند النزاعات، والجهات السعودية المختصة عند الوجوب النظامي (وزارة التجارة، سدايا، هيئة الزكاة والضريبة والجمارك، الجهات الأمنية والقضائية). 4. النقل خارج المملكة قد يعالج بعض مقدمي الخدمة البيانات خارج المملكة. عند ذلك نلتزم بقواعد النظام بشأن النقل عبر الحدود والضمانات المناسبة. 5. ملفات الارتباط نستخدم ملفات ضرورية لتسجيل الدخول وحماية النماذج وتذكّر اللغة والمدينة. لا تعتمد المنصة الأساسية على متعقبات إعلانية وفق هذه السياسة. 6. الاحتفاظ نحتفظ ببيانات الحساب والطلبات أثناء نشاط الحساب وبعده للمدة اللازمة للاسترداد والنزاعات والالتزامات الضريبية والتجارية، وقد تمتد لسنوات وفق متطلبات هيئة الزكاة والضريبة والجمارك. رموز OTP قصيرة الأمد. قد نحتفظ بحد أدنى من البيانات إذا أوجب النظام ذلك بعد طلب الحذف. 7. حقوقك وفقاً للنظام: الوصول، التصحيح، الإتلاف عند انتهاء الغرض، سحب الموافقة، والتقدم بشكوى إلى سدايا. حدّث بياناتك من إعدادات الحساب أو راسل support@yourhand.co. المنصة غير موجهة لمن هم دون 18 عاماً. 8. الأمن والإبلاغ عن الحوادث نستخدم صلاحيات حسب الدور، وكلمات مرور مشفّرة، واتصال HTTPS. عند وقوع حادث يوجب النظام الإبلاغ عنه، نُخطر سدايا وأصحاب البيانات وفق المدد النظامية. 9. التعديلات قد نحدّث هذه السياسة. تاريخ الأعلى هو النسخة السارية.