keran.app — شروط الاستخدام (اتفاقية الخدمة B2B)

هذه اتفاقية خدمة بين منصة «قِران» (keran.app) ومكاتب ومواقع الزواج، وتنظّم علاقة تقنية بحتة: المكتب هو «المتحكم» والمنصة «معالج».

الباب الأول: التعريفات ونطاق الاتفاقية

مادة (1) – التعريفات

يكون للألفاظ الآتية المعنى المبيّن قرين كل منها، ويُرجع فيما لم يرد به تعريف إلى المادة (1) من قانون حماية البيانات الشخصية رقم 151 لسنة 2020:

1. المنصة / قِران: البرنامج المُشغَّل تحت النطاق keran.app لإدارة ملفات المتقدّمين للزواج وتشفيرها، بما فيه لوحات المكاتب ونماذج التسجيل التابعة لها.
2. مقدم الخدمة: الكيان القانوني المبيّن في بيانات الإصدار، ويُشار إليه بـ«المنصة» حيثما ورد.
3. الشركة الأم: الشركة المسجّلة في الولايات المتحدة الأمريكية التي تتبعها المنصة وهي شركة Marovent.
4. العميل: الشخص الطبيعي أو الاعتباري الذي يمارس نشاط الوساطة أو التوفيق بغرض الزواج، عبر مكتب أو موقع إلكتروني، ويشترك في المنصة.
5. لوحة المكتب: النسخة المستقلة من المنصة المخصّصة للعميل على نطاق فرعي بصيغة officename.keran.app، بتطبيق وقاعدة بيانات ومفتاح تشفير منفصلة عن سائر العملاء.
6. المستخدم المفوَّض: كل من يمنحه العميل حسابًا على لوحة المكتب بأحد الأدوار الثلاثة: «مالك المكتب» (صلاحية كاملة)، أو «موظف الاستقبال» (إضافة وتعديل دون كشف البيانات السرية)، أو «مسؤول الامتثال» (قراءة وتدقيق وكشف مسجَّل).
7. المتقدّم / صاحب البيانات: الشخص الطبيعي المقبل على الزواج الذي تُدخَل بياناته في لوحة المكتب، ومن في حكمه ممن ترد بياناته في ملفه كوليّ الأمر.
8. بيانات المتقدّمين: كل بيان شخصي يُدخله العميل أو المتقدّم في لوحة المكتب، ويشمل الاسم والهاتف والرقم القومي وبيانات وليّ الأمر والملاحظات السرية والمستندات ومحاضر اللقاءات وسجل الموافقة ومرحلة الملف والدفعات والترشيحات.
9. البيانات الحساسة: ما عرّفته المادة (1) من القانون رقم 151 لسنة 2020 بهذا الوصف، ويدخل فيها بوجه خاص ما قد يرد في ملف الزواج من بيانات عن المعتقد الديني أو الحالة الصحية أو البدنية أو النفسية أو البيانات المالية، وكل بيانات الأطفال.
10. الترشيح: اقتراح العميل متقدّمًا على متقدّم آخر بغرض التعارف تمهيدًا للزواج، وهو قرار يتخذه العميل وحده.
11. التواصل المحمي: خاصية عرض رقم هاتف المتقدّم مُقنّعًا، وعدم إظهاره إلا بعد إدخال سبب يُسجَّل باسم المستخدم ووقت الكشف.
12. سجل الوصول: السجل الذي يقيّد كل كشف لبيان سرّي: من كشفه ومتى ولماذا، برقم الملف دون الأسماء.
13. المفتاح الرئيسي ومفاتيح البيانات: المفتاح الرئيسي هو المفتاح المحفوظ في ملف إعدادات لوحة المكتب على الخادم، ووظيفته قفل مفاتيح البيانات؛ ومفاتيح البيانات هي التي تشفّر بيانات المتقدّمين وتُحفظ مقفولة داخل قاعدة البيانات.
14. النسخة الاحتياطية المشفّرة: ملف بامتداد .kbk ينشئه مالك المكتب من اللوحة، مقفول بعبارة مرور يختارها لا تقل عن 12 حرفًا، ويحتوي قاعدة البيانات والملفات المرفوعة وإعدادات المكتب بما فيها المفتاح الرئيسي.
15. المركز: مركز حماية البيانات الشخصية المنشأ بموجب القانون رقم 151 لسنة 2020.
16. اللائحة التنفيذية: اللائحة التنفيذية للقانون رقم 151 لسنة 2020 الصادرة بقرار وزير الاتصالات وتكنولوجيا المعلومات رقم 816 لسنة 2025، المنشور في الوقائع المصرية بالعدد 244 تابع (أ) بتاريخ 1 نوفمبر 2025، والمعمول به اعتبارًا من 2 نوفمبر 2025.
17. خرق البيانات: كل وصول غير مرخّص به إلى بيانات المتقدّمين أو إفشاء أو تعديل أو إتلاف لها، بالمعنى الوارد في المادة (1) من القانون رقم 151 لسنة 2020.
18. فترة الاشتراك: المدة المدفوعة المسجّلة للوحة المكتب، ومرحلة القراءة فقط هي الحالة التي تُتاح فيها القراءة والتصدير والنسخ الاحتياطي دون إضافة أو تعديل.

مادة (2) – نطاق الاتفاقية وترتيب الوثائق

1. تسري هذه الاتفاقية على اشتراك العميل في المنصة واستخدام مستخدميه المفوَّضين لها، وتُكمّلها سياسة الخصوصية وملحق اتفاقية معالجة البيانات ونموذج الاشتراك.
2. عند التعارض فيما يخص معالجة بيانات المتقدّمين يُقدَّم ملحق اتفاقية معالجة البيانات، وفيما عدا ذلك تُقدَّم هذه الاتفاقية، ثم نموذج الاشتراك.
3. لا تنشئ هذه الاتفاقية أي علاقة تعاقدية بين المنصة والمتقدّمين، وتظل علاقة المتقدّم قائمة مع العميل وحده.

مادة (3) – الإبرام والقبول الإلكتروني

1. تنعقد الاتفاقية بقبول مالك المكتب لها إلكترونيًا عند أول دخول إلى لوحة المكتب، وتقيّد المنصة بيانات القبول: هوية الحساب، ورقم الإصدار، ووقت القبول بالتوقيت العالمي، وعنوان IP، وبيانات المتصفح.
2. يُقر العميل بأن هذا القيد محرّر إلكتروني له حجية في الإثبات وفقًا للمادة (15) من القانون رقم 15 لسنة 2004، وبأن الاتفاقية عمل تجاري بين تاجرين يجوز إثباته بكافة الطرق وفقًا للمادة (69) من قانون التجارة رقم 17 لسنة 1999.
3. يُقر من يقبل الاتفاقية نيابة عن العميل بأن له صفة تمثيله، ويلتزم العميل بآثار القبول في جميع الأحوال.
4. يُطلب من كل مستخدم مفوَّض قبول الإصدار الساري عند دخوله، ويُعدّ قبوله إقرارًا بقواعد الاستخدام لا يجعله طرفًا في الاتفاقية.
5. يُقر العميل بأنه اطّلع على الاتفاقية قبل القبول، وكان له طلب التفاوض على أي بند كتابةً عبر support@keran.app، وبأن الخدمة متاحة في سوق به بدائل.

الباب الثاني: طبيعة الخدمة وتوزيع الأدوار

مادة (4) – وصف الخدمة

1. تُتيح المنصة للعميل لوحة مكتب مستقلة تشغيليًا: تطبيق منفصل، وقاعدة بيانات منفصلة، ومفتاح تشفير منفصل، ومستخدم تشغيل مستقل على الخادم لا يملك الوصول إلى مجلدات غيره من المكاتب. ولا توجد لوحة مركزية تجمع بيانات المكاتب.
2. تشمل وظائف اللوحة: إدارة ملفات المتقدّمين مشفّرة، والتواصل المحمي، وسجل الوصول، وتسجيل الموافقات وسحبها، وطلبات الحذف والنسخ مع عدّ مهلة الرد، وقواعد الاحتفاظ، وسجل الحوادث الأمنية مع عدّ مهلة الـ 72 ساعة، وإدارة مفاتيح البيانات وتدويرها، والنسخ الاحتياطي المشفّر، وتصدير ملفات المتقدّمين بصيغة مقروءة، ودفتر دفعات المتقدّمين للمكتب.
3. الوظائف المذكورة أدوات تمكّن العميل من الوفاء بالتزاماته كمتحكم، ولا يُعدّ مجرد توفيرها وفاءً من المنصة بهذه الالتزامات نيابةً عن العميل.

مادة (5) – ما لا تقدّمه المنصة

المنصة ليست موقع زواج ولا وسيطًا في الزواج، وبناءً عليه لا تقوم بأيّ مما يلي:

1. الترشيح أو التوفيق بين المتقدّمين، أو التوصية بشخص بعينه.
2. التواصل المباشر مع المتقدّمين أو أولياء أمورهم.
3. التحقق من صحة هوية المتقدّمين أو أعمارهم أو حالتهم الاجتماعية أو صحة المستندات المرفوعة.
4. نشر ملفات المتقدّمين للعامة أو إتاحتها لمكتب آخر.
5. تحصيل مقابل من المتقدّمين؛ فقسم الاشتراكات في اللوحة دفتر يسجّل فيه العميل ما يحصّله بنفسه، ولا يتضمن بوابة دفع.
6. توثيق عقود الزواج أو الإشهاد عليها أو المشاركة في أي إجراء من إجراءاتها.

مادة (6) – الصفة القانونية للطرفين

1. يُعدّ العميل «متحكمًا» وفقًا للمادة (1) من القانون رقم 151 لسنة 2020، لأنه يحدّد الغرض من جمع بيانات المتقدّمين ويقرّر ما يُجمع ومن يُرشَّح ومتى يُحذف.
2. تُعدّ المنصة «معالجًا» وفقًا للمادة ذاتها، وتلتزم بما تفرضه المادة (5) من القانون على المعالج، ولا تعالج بيانات المتقدّمين إلا بناءً على تعليمات العميل.
3. تُعدّ تعليمات موثّقة من العميل: هذه الاتفاقية وملحقها، وكل عملية ينفّذها مستخدم مفوَّض من خلال لوحة المكتب، وكل طلب مكتوب يرسله مالك المكتب من بريده المسجّل.
4. تلتزم المنصة بإخطار العميل إذا رأت أن تعليمة ما تخالف القانون رقم 151 لسنة 2020، ولها الامتناع عن تنفيذها.
5. إذا حدّدت المنصة بنفسها غرضًا لمعالجة بيانات المتقدّمين خارج تعليمات العميل، تحمّلت وحدها مسؤولية المتحكم عن تلك المعالجة.

مادة (7) – حصر مسؤولية المنصة في المعالجة التقنية

1. تنحصر مسؤولية المنصة في: تشغيل لوحة المكتب، وتشفير البيانات وحفظها، وتطبيق التدابير الأمنية المبيّنة في المادة (17)، والوفاء بالتزامات المعالج المنصوص عليها في المادة (5) من القانون رقم 151 لسنة 2020.
2. لا تسأل المنصة عن: مشروعية جمع البيانات، وصحتها، وقرارات الترشيح، وسلوك موظفي العميل مع المتقدّمين، وما يجري في اللقاءات أو المكالمات أو المراسلات خارج المنصة، وما يترتب على الزواج أو عدم إتمامه.
3. خاصية «التواصل المحمي» تقلّل تسريب الأرقام وتوثّق كشفها، لكنها لا تمنع موظفًا كشف الرقم من إساءة استخدامه، وتبقى هذه الإساءة مسؤولية العميل عن تابعيه وفقًا للمادة (174) من القانون المدني.
4. التزام المنصة بأمن البيانات التزام ببذل عناية الشخص المعتاد وفقًا للمادة (211) من القانون المدني، مع مراعاة المعايير التي تضعها اللائحة التنفيذية، ولا يُعدّ التزامًا بتحقيق نتيجة بعدم وقوع أي خرق.

مادة (8) – تسليم لوحة المكتب

1. تُنشئ المنصة لوحة المكتب وحساب المالك الأول ببريد العميل الإلكتروني وكلمة مرور مؤقتة، وترسل اسم المستخدم بالبريد وكلمة المرور على قناة مستقلة.
2. تُلزِم اللوحة المالك بتغيير كلمة المرور المؤقتة عند أول دخول، ولا تقبل أي عملية أخرى قبل ذلك. ويبدأ انفراد العميل بالتحكم في الحساب من لحظة هذا التغيير.
3. يُوصى العميل بإنشاء حساب مالك ثانٍ لمدير المكتب، لأن النسخ الاحتياطي والمفاتيح والتصدير مقصورة على دور المالك، وغياب المالك الوحيد يعطّلها.

مادة (9) – توافر الخدمة والنسخ الاحتياطي

1. تبذل المنصة عناية معقولة لإبقاء لوحة المكتب متاحة، ولا تضمن نسبة توافر محددة.
2. لكل لوحة مكتب شهادة أمان مستقلة تُجدَّد تلقائيًا، ويُقر العميل بأن نطاق .app لا يعمل دون شهادة صالحة، وأن تعذّر التجديد لسبب خارجي قد يوقف الوصول مؤقتًا.
3. النسخ الاحتياطي مسؤولية العميل: يُنشئ مالك المكتب النسخ الاحتياطية يدويًا من اللوحة، ولا توفّر المنصة حاليًا نسخًا احتياطية دورية مؤتمتة. ويلتزم العميل بإنشاء نسخة أسبوعيًا على الأقل وبعد كل إدخال كبير، وتنزيلها فورًا وحفظها في مكانين خارج الخادم، وحفظ عبارة المرور منفصلة عن الملف.
4. لا تسأل المنصة عن فقد بيانات كان يمكن استردادها لو التزم العميل بالفقرة السابقة، إعمالًا للمادة (216) من القانون المدني بشأن اشتراك الدائن بخطئه في إحداث الضرر، ما لم يكن الفقد ناتجًا عن غش المنصة أو خطئها الجسيم.

الباب الثالث: التزامات العميل والاستخدام المحظور

مادة (10) – مسؤولية مشروعية البيانات والموافقة

1. يُقر العميل بصفته «المتحكم» بأنه المسؤول منفردًا عن الحصول على موافقة كل متقدّم الصريحة والموثّقة قبل إدخال بياناته، أو عن توافر سند مشروع آخر من المنصوص عليها في المادتين (2) و(6) من القانون رقم 151 لسنة 2020.
2. تشمل الموافقة بيانات وليّ الأمر الواردة في الملف، ومشاركة ملخّص الملف مع الطرف المرشَّح، وحفظ البيانات لدى معالج ونقلها خارج مصر وفقًا للمادة (20).
3. يلتزم العميل بتسجيل كل موافقة في قسم «الموافقات» (الطريقة، التاريخ، من أخذها)، وبتسجيل سحبها فور حدوثه. ولا يُغني التسجيل في اللوحة عن احتفاظ العميل بدليل الموافقة ذاته.
4. الموافقة الشفهية لا تكفي لإدخال أي بيان حساس، إذ تشترط المادة (12) من القانون موافقة كتابية ورقية أو إلكترونية.
5. يلتزم العميل بتعويض المنصة عن أي مطالبة أو ضرر ينشأ عن إخلاله بهذه المادة، وفقًا للمادة (25).

مادة (11) – البيانات الحساسة وترخيص مركز حماية البيانات

1. لا يُدخِل العميل بيانات حساسة، كالمعتقد الديني أو الأمراض أو الإعاقة أو القدرة على الإنجاب أو الوضع المالي، إلا إذا توافرت ثلاثة شروط مجتمعة:
   1. حصول العميل على ترخيص سارٍ من المركز يغطي معالجة البيانات الحساسة وفقًا للمادتين (12) و(26) من القانون واللائحة التنفيذية.
   2. حصوله على موافقة المتقدّم الكتابية الصريحة على هذا البيان بعينه.
   3. ضرورة البيان لغرض التوفيق المعلن للمتقدّم، تطبيقًا لمبدأ التناسب الوارد في المادة (3) من القانون.
2. لا تُدوَّن البيانات الحساسة في خانات الملاحظات الحرة إلا بالقدر اللازم، ويُحظر رفع تقارير طبية كاملة متى كفى إقرار المتقدّم.
3. يلتزم العميل باستيفاء ترخيص المتحكم من مركز حماية البيانات قبل انتهاء مهلة توفيق الأوضاع المقررة في المادة (6) من مواد إصدار القانون، وهي سنة من صدور اللائحة التنفيذية في 1 نوفمبر 2025، أي في موعد أقصاه 1 نوفمبر 2026، وبتقديم صورة منه للمنصة عند الطلب.
4. تلتزم المنصة بالحصول على ما يُشترط قانونًا من تراخيص أو تصاريح لمباشرة نشاطها كمعالج، في المواعيد التي يحددها القانون واللائحة التنفيذية.
5. لا تلتزم المنصة بالتحقق من حيازة العميل للتراخيص، ويجوز لها دون أن تلتزم تطبيق المادة (27) إذا علمت أن العميل يعالج بيانات حساسة دون ترخيص.

مادة (12) – التحقق من السن وحظر ملفات القُصّر

1. يلتزم العميل بالتحقق من بلوغ كل متقدّم ثماني عشرة سنة ميلادية كاملة من أصل بطاقة الرقم القومي أو وثيقة رسمية معادلة، قبل إتاحة ملفه للترشيح، وذلك استنادًا إلى المادة (31 مكررًا) من قانون الأحوال المدنية رقم 143 لسنة 1994 التي تحظر توثيق عقد زواج من لم يبلغ هذه السن، والمادة (2) من قانون الطفل رقم 12 لسنة 1996.
2. يُحظر إنشاء ملف بغرض الزواج لمن لم يبلغ ثماني عشرة سنة، ولو بموافقة وليّ أمره، ولا يُستثنى من ذلك «ملف انتظار» حتى بلوغ السن.
3. إذا تبيّن للعميل أن متقدّمًا قاصر، التزم خلال يوم عمل واحد بإيقاف الترشيحات وحذف الملف عبر إجراء الحذف في اللوحة، وإخطار المنصة.
4. للمنصة إذا وردها بلاغ جدّي بوجود ملف لقاصر أن تطلب من العميل إثبات التحقق من السن خلال يومي عمل، وإلا جاز لها تطبيق المادة (27) دون الاطلاع على محتوى الملف.

مادة (13) – الاستخدام المحظور

يُحظر على العميل ومستخدميه المفوَّضين استخدام المنصة أو بياناتها في أيّ مما يلي:

1. الاتجار بالبشر: التوسط في زواج يتخذ ستارًا للاستغلال الجنسي أو الخدمة القسرية أو الزواج المؤقت مقابل مال، أو أي فعل مؤثّم بالقانون رقم 64 لسنة 2010 بشأن مكافحة الاتجار بالبشر.
2. الابتزاز: استغلال الصور أو الملاحظات السرية أو محاضر اللقاءات أو الحالة الاجتماعية لتهديد متقدّم أو أسرته، أو التشهير به، وفقًا للمادتين (25) و(26) من القانون رقم 175 لسنة 2018 والمادة (327) من قانون العقوبات.
3. الاحتيال: إنشاء ملفات متقدّمين وهميين أو انتحال صفة شخص لتحصيل اشتراكات أو مبالغ، وفقًا للمادة (336) من قانون العقوبات والمادة (24) من القانون رقم 175 لسنة 2018.
4. التواصل مع قُصّر: إدخال بيانات من هم دون ثماني عشرة سنة بغرض الزواج، أو استخدام بيانات المنصة للتواصل معهم.
5. المتاجرة بالبيانات: بيع ملفات المتقدّمين أو أرقام هواتفهم أو ملف «التصدير الكامل» أو إتاحتها لمكتب آخر أو للتسويق دون موافقة مستقلة، وفقًا للمادتين (2) و(17) من القانون رقم 151 لسنة 2020.
6. المساس بالمنصة: محاولة الوصول إلى لوحة مكتب آخر، أو تجاوز الصلاحيات، أو رفع ملفات تحمل شيفرة ضارة، أو إجراء اختبارات اختراق دون إذن كتابي، وفقًا للمواد (14) و(15) و(17) و(18) و(22) من القانون رقم 175 لسنة 2018.
7. كشف أرقام الهواتف عبر «التواصل المحمي» بسبب غير حقيقي، أو تسليم رقم متقدّم للطرف المرشَّح دون موافقته.

مادة (14) – حسابات الموظفين والصلاحيات

1. يُنشئ العميل حسابات موظفيه بنفسه، ويختار لكل حساب أقل دور يكفي لعمله، ويسأل عنهم مسؤولية المتبوع عن أعمال تابعه (المادة 174 من القانون المدني).
2. يلتزم العميل بإيقاف حساب كل موظف تنتهي علاقته به في يوم انتهائها، ومراجعة الجلسات المفتوحة وإغلاقها.
3. يُحظر مشاركة حساب واحد بين أكثر من شخص، لأن ذلك يُفرغ سجل الوصول من قيمته كدليل.
4. يُقر العميل بأن «تأكيد الهوية» يتم بكلمة مرور الدخول، وأن عبارة مرور النسخة الاحتياطية مستقلة عنها، وأن فقدها يجعل النسخة غير قابلة للاسترجاع.
5. لأن ملف النسخة الاحتياطية يحتوي المفتاح الرئيسي، يُعدّ كل من يحوز الملف وعبارة مروره حائزًا لكل بيانات المكتب، ويسأل العميل عن تأمين النسخ بعد تنزيلها.

مادة (15) – ترحيل البيانات السابقة

عند إتاحة استيراد بيانات المتقدّمين من مصدر خارجي، يدخل كل ملف مستورد بحالة «بانتظار التحقق – بدون موافقة مسجّلة»، ويُسجَّل عليه اسم الموظف المسؤول والمصدر والتاريخ، ولا يُتاح للترشيح حتى يُسجّل العميل موافقة صاحبه. ويبقى العميل مسؤولًا عن مشروعية المصدر الذي استورد منه.

مادة (16) – إعلام المتقدّمين

يلتزم العميل بإعلام المتقدّمين، قبل جمع بياناتهم، بهويته كمتحكم، وبأغراض المعالجة، وباستعانته بمعالج تقني، وبمكان حفظ البيانات، وبمدد الاحتفاظ، وبطريقة ممارسة حقوقهم، وفقًا للمادتين (2) و(4) من القانون رقم 151 لسنة 2020.

الباب الرابع: أمن البيانات وخرقها ونقلها خارج مصر

مادة (17) – التدابير الأمنية التي تلتزم بها المنصة

تطبّق المنصة، تنفيذًا للمادة (5) من القانون رقم 151 لسنة 2020 والمادة (2) من القانون رقم 175 لسنة 2018، التدابير المبيّنة تفصيلًا في الملحق (ب) من اتفاقية معالجة البيانات، وأهمها:

1. تشفير بيانات المتقدّمين بمفاتيح بيانات مقفولة بمفتاح رئيسي محفوظ خارج قاعدة البيانات، ومفتاح رئيسي مختلف لكل مكتب.
2. عزل كل مكتب بمستخدم تشغيل مستقل على الخادم، لا يملك تعديل شيفرة التطبيق ولا قراءة ملفات المكاتب الأخرى.
3. اتصال مشفّر بشهادة مستقلة لكل مكتب، وجدار حماية لا يفتح إلا منافذ الويب والإدارة الآمنة، ودخول إداري إلى الخادم بالمفاتيح فقط دون كلمات مرور.
4. تخزين كلمات المرور مُهشَّرة، وإنهاء الجلسة بعد 12 ساعة خمول، وقفل الدخول بعد محاولات خاطئة متكررة، وإلزام تغيير كلمة المرور المؤقتة.
5. اشتراط «تأكيد الهوية» قبل العمليات الحساسة: إنشاء نسخة أو تنزيلها أو حذفها، وتدوير المفاتيح، وإضافة الموظفين أو تعديلهم، والتصدير الكامل، والحذف المجمّع وفق سياسة الاحتفاظ.
6. حماية الطلبات المغيّرة للبيانات من الورود من نطاق مكتب آخر.

وللمنصة تطوير هذه التدابير دون إنقاص مستواها الإجمالي.

مادة (18) – التزامات العميل الأمنية

يلتزم العميل بالمحافظة على سرية كلمات المرور وعبارات مرور النسخ، وتأمين الأجهزة التي تُفتح منها اللوحة، وعدم فتح روابط مجهولة أثناء الجلسة، وتدوير مفاتيح البيانات كل ستة أشهر وفور أي شبهة، مع إكمال «إعادة التشفير» ثم إنشاء نسخة جديدة ثم إتلاف النسخ السابقة أو تأمينها، لأن التدوير لا يحمي النسخ المأخوذة قبله.

مادة (19) – الإخطار بخرق البيانات

1. تُخطر المنصة العميل بأي خرق يقع في البنية التي تديرها ويمس بيانات مكتبه دون تأخير، وفي موعد أقصاه 24 ساعة من علمها به، على البريد المسجّل لمالك المكتب.
2. يتضمن الإخطار ما توفّر وقته: طبيعة الخرق، وفئات البيانات وعدد الملفات التقريبي، وما إذا كانت البيانات المكشوفة مشفّرة، والإجراءات المتخذة، واسم مسؤول التواصل. ويُستكمل الناقص على دفعات.
3. يلتزم العميل بإخطار المركز خلال 72 ساعة من علمه بالخرق، وفورًا إذا تعلّق بالأمن القومي، وبإخطار المتقدّمين المتضررين خلال ثلاثة أيام عمل من إخطار المركز، وفقًا للمادة (7) من القانون رقم 151 لسنة 2020 واللائحة التنفيذية.
4. لا يُسقط إخطارُ العميل التزامَ المنصة بإخطار المركز متى فرضه القانون على المعالج، وتنسّق المنصة مع العميل محتوى إخطارها متى سمح الوقت بذلك.
5. الخرق الذي يقع داخل المكتب، كإرسال صورة بطاقة إلى رقم خاطئ أو سرقة جهاز موظف أو سرقة نسخة منزّلة، خرقٌ مسؤوليةُ إخطاره ومعالجته على العميل، ويُسجَّل في قسم «الحوادث الأمنية».
6. لا يُعدّ إخطار المنصة بالخرق إقرارًا بالخطأ أو بالمسؤولية.

مادة (20) – نقل البيانات خارج مصر

1. تُحفظ لوحات المكاتب وقواعد بياناتها وملفاتها المرفوعة ونسخها الموجودة على الخادم على خادم افتراضي خاص مستأجر من شركة Hostinger في مدينة مانشستر بالمملكة المتحدة.
2. يُقر العميل بأن الخادم المبيّن في البند (1) يقع خارج جمهورية مصر العربية، وأن موظفي المنصة أو الشركة الأم قد يديرونه من خارج مصر، ويُعدّ اشتراكه تعليمة موثّقة منه بصفته المتحكم بحفظ بيانات مكتبه على هذا الخادم. ويتم هذا النقل استنادًا إلى الأسس التي تجيزها المواد (14) و(15) و(16) من القانون رقم 151 لسنة 2020 ولائحته التنفيذية، ومنها الموافقة الصريحة لصاحب البيانات والترخيص أو التصريح من مركز حماية البيانات، بحسب ما ينطبق.
3. تلتزم المنصة بالحصول على ما يُشترط قانونًا من تراخيص أو تصاريح للنقل عبر الحدود بصفتها معالجًا، ويلتزم العميل في جميع الأحوال بالحصول على موافقة المتقدّمين الصريحة على حفظ بياناتهم خارج مصر، ضمن الموافقة المنصوص عليها في المادة (10).
4. لا تنقل المنصة بيانات المتقدّمين إلى مستودع الشيفرة المصدرية (GitHub)، إذ لا يحتوي المستودع إلا شيفرة التطبيق. وتقتصر رسائل البريد الصادرة من support@keran.app على بيانات المستخدمين المفوَّضين كروابط استرجاع كلمة المرور.
5. الأطراف الثالثة التي تستعين بها المنصة مبيّنة في الملحق (ج) من اتفاقية معالجة البيانات، ولا تُضاف جهة جديدة تصل إلى بيانات المتقدّمين إلا بعد إخطار العميل وفق ما يقرره الملحق.

الباب الخامس: المقابل المالي وحدود المسؤولية والتعويض

مادة (21) – الاشتراك والتجديد والقراءة فقط

1. يُسدَّد الاشتراك مقدّمًا عن مدة شهر أو ثلاثة أو ستة أو اثني عشر شهرًا وفق نموذج الاشتراك، وتُسجّل المنصة تاريخ انتهائه في إعدادات لوحة المكتب بتوقيت القاهرة.
2. يظهر لمالك المكتب تنبيه قبل الانتهاء بأربعة عشر يومًا، وتلي الانتهاءَ مهلةُ سماح مدتها سبعة أيام يستمر فيها العمل مع تنبيه لجميع المستخدمين، ثم تتحوّل اللوحة إلى مرحلة «القراءة فقط».
3. في مرحلة القراءة فقط لا تُحذف أي بيانات بسبب عدم السداد، ويبقى متاحًا للعميل: الدخول، والقراءة، وكشف البيانات بسبب مسجّل، والنسخ الاحتياطي وتنزيله، ووظائف الامتثال بما فيها التصدير الكامل وتنفيذ طلبات الحذف، وإيقاف حسابات الموظفين. وهذا تطبيق للدفع بعدم التنفيذ الوارد في المادة (161) من القانون المدني بقدر لا يُعطّل حقوق المتقدّمين.
4. يُحتسب التجديد المبكر أو المتأخر أقل من أربعة عشر يومًا من تاريخ الانتهاء السابق، والتجديد بعد ذلك اشتراكٌ جديد من تاريخ السداد.
5. يلتزم مقدم الخدمة، بصفته شركة مسجّلة في الولايات المتحدة الأمريكية، بتقديم إقراراته الضريبية السنوية والوفاء بالتزاماته الضريبية وفق القوانين الأمريكية. ولا يُعدّ مقدم الخدمة مسؤولًا عن أي التزامات ضريبية تخص العميل أو نشاطه، ويتحمّل العميل وحده ما يُفرض عليه من ضرائب أو رسوم وفق القوانين السارية عليه، ويجوز لمقدم الخدمة إضافة أي ضريبة يُلزمه القانون بتحصيلها إلى المقابل.

مادة (22) – الملكية واستخدام البيانات

1. المنصة وشيفرتها وتصميمها واسم «قِران» ملك لمقدم الخدمة أو الشركة الأم، ويحصل العميل على حق استخدام غير حصري وغير قابل للتنازل طوال فترة الاشتراك.
2. بيانات المتقدّمين وشعار المكتب تبقى تحت سيطرة العميل. ولا تستخدم المنصة بيانات المتقدّمين لأي غرض خاص بها، بما في ذلك التسويق أو التحليل أو تدريب النماذج، ولا تجمعها مع بيانات مكاتب أخرى.

مادة (23) – السرية

يلتزم موظفو المنصة ممن يملكون صلاحية إدارة الخادم بتعهد مكتوب بالسرية، ولا يطّلعون على بيانات متقدّم مفكوكة التشفير إلا بطلب مكتوب من العميل لإصلاح عطل، أو تنفيذًا لأمر قضائي أو إلزام قانوني، وفقًا للمادة (5) من القانون رقم 151 لسنة 2020 والمادة (2) من القانون رقم 175 لسنة 2018. ويُقر العميل بأن إدارة الخادم تمنح قدرة تقنية على الوصول، وأن الالتزام هنا التزام تعاقدي وتنظيمي.

مادة (24) – حدود مسؤولية المنصة

1. استنادًا إلى المادة (217/2) من القانون المدني التي تجيز الاتفاق على تخفيف المسؤولية العقدية، لا يجاوز إجمالي مسؤولية المنصة العقدية عن كل المطالبات الناشئة عن هذه الاتفاقية مجتمعةً ما دفعه العميل فعليًا عن الأشهر الثلاثة السابقة على الواقعة المنشئة للمسؤولية.
2. لا تسأل المنصة إلا عن الضرر المباشر الذي كان يمكن توقعه عادةً وقت التعاقد وفقًا للمادة (221/2) من القانون المدني، ولا تسأل عن: فوات عمولات التوفيق، أو انصراف متقدّمين، أو فشل خطبة أو زواج، أو المساس بالسمعة التجارية الناشئ عن فعل العميل أو الغير.
3. لا يسري الحد الأقصى ولا الاستثناءات السابقة في الحالات الآتية، التزامًا بالمادتين (217/2) و(225) من القانون المدني:
   1. الغش أو الخطأ الجسيم من المنصة.
   2. إفشاء المنصة أو أحد موظفيها بيانات المتقدّمين عمدًا.
   3. معالجة المنصة بيانات المتقدّمين لغرض خاص بها خلافًا للمادة (22).
   4. المسؤولية التقصيرية التي يقع باطلًا كل شرط يُعفي منها وفق المادة (217/3).
4. لا تحول هذه المادة دون حق المتقدّم المضرور في مطالبة من تسبّب في الضرر، ولا تُسقط مسؤولية جنائية أو إدارية شخصية.

مادة (25) – التزام العميل بتعويض المنصة

1. يلتزم العميل بتعويض المنصة والشركة الأم وموظفيهما عن كل ضرر وكل مبلغ يُحكم به أو يُدفع صلحًا بموافقة العميل، وأتعاب المحاماة المعقولة، متى نشأ ذلك عن:
   1. إدخال بيانات دون موافقة أو سند مشروع، أو بيانات حساسة دون ترخيص وموافقة كتابية.
   2. إدخال بيانات قاصر أو الإخلال بالمادة (12).
   3. أي استخدام محظور بالمادة (13) من العميل أو أحد مستخدميه.
   4. عدم إخطار المركز أو المتقدّمين بخرق في الموعد القانوني بعد إخطار المنصة له.
   5. عدم الاستجابة لطلبات المتقدّمين المحالة إليه وفق سياسة الخصوصية.
2. شرط التعويض: إخطار المنصة العميل كتابةً بالمطالبة خلال مدة معقولة، وتمكينه من المشاركة في الدفاع، وعدم الصلح على حسابه دون موافقته.
3. لا يشمل التعويض الغرامات الجنائية المحكوم بها على المنصة بذاتها، لشخصية العقوبة (المادة 95 من الدستور)، ويبقى للمنصة الرجوع على العميل بالتعويض المدني عن الضرر الذي أصابها من خطئه وفق القواعد العامة، ويشمل ذلك الغرامات والجزاءات الإدارية التي تُفرض على المنصة بسبب خطأ العميل، في الحدود التي يجيزها القانون.
4. تلتزم المنصة بالمقابل بتعويض العميل عن الضرر الناشئ عن إخلالها بالتزامات المعالج، في حدود المادة (24).

مادة (26) – القوة القاهرة

لا يُسأل أي طرف عن تأخر أو تعذّر يرجع إلى سبب أجنبي لا يد له فيه وفقًا للمادتين (165) و(373) من القانون المدني، ومنه توقف مزوّد الاستضافة أو انقطاع الاتصالات أو قرار سلطة عامة. ولا يُعدّ من القوة القاهرة هجومٌ إلكتروني كان يمكن تفاديه بالتدابير المبيّنة في المادة (17).

الباب السادس: التعليق والإنهاء ومصير البيانات

مادة (27) – التعليق الفوري

1. يجوز للمنصة تعليق الوصول إلى لوحة المكتب كليًا أو جزئيًا دون إنذار مسبق في الحالات الآتية:
   1. قيام دلائل جدية على استخدام محظور بالمادة (13)، أو على وجود ملفات لقُصّر مع امتناع العميل عن تطبيق المادة (12).
   2. الاشتباه في اختراق حساب مالك المكتب أو وجود تهديد وشيك لبيانات العميل أو باقي المكاتب.
   3. صدور أمر مسبب من جهة التحقيق المختصة وفقًا للمادة (6) من القانون رقم 175 لسنة 2018، أو قرار من المركز.
2. يكون التعليق بأضيق قدر يزيل الخطر (مثل إنهاء الجلسات أو إيقاف حساب بعينه)، وتُخطر المنصة العميل بسببه خلال يوم عمل واحد ما لم يحظر القانون ذلك.
3. لا يترتب على التعليق حذف أي بيانات، وتحتفظ المنصة بها كما هي لحين زوال سببه أو صدور أمر من الجهة المختصة.
4. عدم السداد لا يُعدّ سببًا للتعليق، ويخضع لمرحلة القراءة فقط الواردة في المادة (21).

مادة (28) – الإنهاء

1. للعميل إنهاء الاتفاقية بعدم التجديد، أو بإخطار كتابي في أي وقت دون استرداد ما دُفع عن الفترة الجارية ما لم تنص سياسة الاسترداد على خلاف ذلك.
2. لكل طرف إنهاء الاتفاقية إذا أخلّ الآخر بالتزام جوهري ولم يُصلحه خلال خمسة عشر يومًا من إعذاره كتابةً، وفقًا للمادة (157) من القانون المدني.
3. شرط فاسخ صريح: تُعدّ الاتفاقية مفسوخة من تلقاء نفسها دون حاجة إلى حكم قضائي ودون حاجة إلى إعذار، بمجرد إخطار كتابي من المنصة، إذا ثبت استخدام المنصة في الاتجار بالبشر أو الابتزاز أو الاحتيال أو إدراج ملفات لقُصّر بغرض الزواج، إعمالًا للمادة (158) من القانون المدني.
4. لا يخلّ الإنهاء بحق المنصة في التعويض ولا بالتزامات المادة (29).

مادة (29) – إرجاع البيانات وحذفها بعد انتهاء التعاقد

تطبيقًا للمادة (5) من القانون رقم 151 لسنة 2020 التي تلزم المعالج بمحو البيانات بانقضاء الغرض أو تسليمها للمتحكم، يُحتسب الجدول التالي من تاريخ انتهاء الاشتراك دون تجديد:

1. يحصل العميل على بياناته بطريقتين: ملف «التصدير الكامل» بصيغة CSV المقروءة لكل ملفات المتقدّمين، وملف النسخة الاحتياطية المشفّرة الذي يشمل كل البيانات والمستندات. ولأن ملف التصدير لا يشمل حاليًا جداول الموافقات والدفعات والترشيحات والمستندات، تلتزم المنصة بتسليمها للعميل بصيغة مقروءة بناءً على طلب كتابي يصل قبل اليوم 90، دون مقابل.
2. عند الحذف النهائي تُصدِر المنصة للعميل عند طلبه إقرارًا كتابيًا بتاريخه. ولا يشمل الحذف النسخ التي نزّلها العميل بنفسه والتي تبقى في عهدته ومسؤوليته.
3. تحتفظ المنصة بعد الحذف بسجلات قبول الشروط وبيانات الفوترة فقط، وبما تلزمها به المادة (2) من القانون رقم 175 لسنة 2018 من بيانات استخدام لمدة 180 يومًا.
4. إذا كان الإنهاء بسبب استخدام محظور أو ورد أمر من جهة مختصة، جاز للمنصة تأجيل الحذف بالقدر اللازم لحفظ الدليل، مع إخطار العميل ما لم يُحظر ذلك.

الباب السابع: القانون الواجب التطبيق وتسوية النزاعات والأحكام الختامية

مادة (30) – القانون الواجب التطبيق

تخضع هذه الاتفاقية وتُفسَّر وفقًا للقانون المصري، إعمالًا لحرية اختيار القانون المقررة في المادة (19) من القانون المدني والمادة (39) من قانون التحكيم رقم 27 لسنة 1994. وتسري أحكام القانون رقم 151 لسنة 2020 على معالجة بيانات المتقدّمين بوصفها قواعد آمرة لا يجوز الاتفاق على مخالفتها.

مادة (31) – تسوية النزاعات

1. يسعى الطرفان إلى حل أي نزاع وديًا خلال ثلاثين يومًا من إخطار كتابي به.
2. إذا تعذّر الحل الودي، يُحسم النزاع بالتحكيم وفقًا لقواعد مركز القاهرة الإقليمي للتحكيم التجاري الدولي، وتكون القاهرة مقرًا للتحكيم والعربية لغته، وينظره محكّم فرد ما لم تجاوز قيمة النزاع مليوني جنيه مصري (2,000,000 ج.م) فتشكّل هيئة من ثلاثة محكّمين.
3. يُعدّ هذا الشرط اتفاق تحكيم مكتوبًا وفقًا للمادة (12) من قانون التحكيم، ويُثبت بسجل القبول المبيّن في المادة (3) وبنموذج الاشتراك الموقّع.
4. لكل طرف طلب التدابير الوقتية من القضاء المصري المختص وفقًا للمادة (14) من قانون التحكيم، ومنها وقف استخدام البيانات في غرض محظور.
5. لا يشمل التحكيم المسؤولية الجنائية ولا قرارات المركز الإدارية، لكونها مما لا يجوز فيه الصلح وفقًا للمادة (11) من قانون التحكيم.
6. إذا قُضي ببطلان شرط التحكيم، يختص بالنزاع القضاء المصري بمحاكم القاهرة، بما في ذلك المحكمة الاقتصادية بالقاهرة فيما يدخل في اختصاصها وفق القانون رقم 120 لسنة 2008 والمادة (5) من مواد إصدار القانون رقم 151 لسنة 2020.

مادة (32) – أثر وجود الشركة الأم في الولايات المتحدة

1. تبعية المنصة لشركة أم أمريكية لا تغيّر القانون الواجب التطبيق ولا جهة فضّ النزاع، ولا تُخرج معالجة بيانات المتقدّمين من نطاق القانون رقم 151 لسنة 2020 الذي تسري أحكامه الجزائية وفق المادة (2) من مواد إصداره على غير المصريين خارج مصر متى كان الفعل معاقبًا عليه في الدولة التي وقع فيها وتعلّقت البيانات بمصريين أو بأجانب مقيمين في مصر.
2. قد تخضع الشركة الأم لإجراءات قانونية أمريكية تطلب الإفصاح عن بيانات في حيازتها أو تحت سيطرتها ولو كانت مخزّنة خارج الولايات المتحدة، وفق المادة (2713) من الباب (18) من مدونة القوانين الأمريكية المضافة بقانون CLOUD Act لسنة 2018، التي تُلزم مقدمي خدمات الحوسبة عن بُعد بالإفصاح عمّا في حيازتهم أو تحت سيطرتهم أيًا كان مكان تخزينه. وفي هذه الحالة تلتزم المنصة والشركة الأم بما يلي:
   1. إخطار العميل فورًا ما لم يحظر القانون ذلك.
   2. الطعن في الطلب متى كان متعارضًا مع القانون المصري أو مجاوزًا للنطاق اللازم.
   3. الإفصاح بالحد الأدنى الملزم فقط، وعدم الإفصاح الطوعي لأي جهة أجنبية.
3. اطّلاع موظفي الشركة الأم من خارج مصر على بيانات المتقدّمين يخضع للمادة (20).
4. يكون حكم التحكيم قابلًا للتنفيذ في الولايات المتحدة بموجب اتفاقية نيويورك لسنة 1958 التي تنضم إليها الدولتان.
5. يجوز لمقدم الخدمة حوالة الاتفاقية إلى الشركة الأم أو إحدى شركاتها بإخطار العميل قبل ثلاثين يومًا، بشرط التزام المحال إليه بهذه الاتفاقية وملحقها وحصوله على التراخيص اللازمة، وللعميل الإنهاء دون جزاء خلال هذه المدة.

مادة (33) – الإخطارات

تتم الإخطارات كتابةً بالبريد الإلكتروني: من المنصة إلى بريد مالك المكتب المسجّل، ومن العميل إلى support@keran.app، وتنتج أثرها من وقت وصولها وفقًا للمادة (91) من القانون المدني، ويُعدّ وصولها إلى البريد المسجّل قرينة على العلم بها، ولها حجية المحرّر الإلكتروني وفق المادة (15) من القانون رقم 15 لسنة 2004. ويلتزم العميل بتحديث بريد المالك، إذ هو الطريق الوحيد لاسترجاع الحساب.

مادة (34) – تعديل الشروط

1. يحمل كل تعديل جوهري رقم إصدار جديدًا، ويُطلب قبوله عند أول دخول بعد نشره، ويُخطَر به العميل قبل سريانه بثلاثين يومًا ما لم يكن التعديل مفروضًا بنص قانوني أو قرار من المركز.
2. للعميل الذي يرفض التعديل إنهاء الاتفاقية واسترداد مقابل المدة غير المنتفَع بها، مع تطبيق المادة (29).

مادة (35) – أحكام متفرقة

1. بطلان أي بند لا يبطل سائر الاتفاقية وفقًا للمادة (143) من القانون المدني، ويُستبدل بالبند المشروع الأقرب إلى قصد الطرفين.
2. تُفسَّر بنود الاتفاقية وفقًا للمادة (150) من القانون المدني، مع مراعاة طبيعة بيانات الزواج الحساسة.
3. لا يُعدّ تأخر أي طرف في استعمال حق تنازلًا عنه.
4. يسري بعد الإنهاء ما تقتضي طبيعته ذلك، ومنه المواد (23) و(24) و(25) و(29) و(31).
5. النص العربي هو المعتمد عند الاختلاف.

English Translation – Terms of Service (B2B Service Agreement)

This translation is for reference; the Arabic text prevails (Article 35). Version 1.1 (27 September 2026).

Chapter One: Definitions and Scope

Article (1) – Definitions. Terms not defined here carry the meaning given in Article (1) of Personal Data Protection Law No. 151 of 2020 (the "PDPL").

1. Platform / Keran (قِران): the software operated under keran.app for managing and encrypting the files of marriage applicants, including office dashboards and their registration forms.
2. Service Provider: Marovent, a US company in the State of Wyoming, as named in the version data, referred to as "the Platform".
3. Parent Company: the US-registered company owning the Platform, namely Marovent.
4. Client: the natural or legal person conducting marriage brokerage or matchmaking through an office or website and subscribing to the Platform.
5. Office Dashboard: the Client's independent instance at officename.keran.app, with an application, database and encryption key separate from all other clients.
6. Authorized User: anyone the Client grants an account in one of three roles: Office Owner (full rights), Reception Officer (add/edit without revealing confidential data), Compliance Officer (read, audit and logged reveal).
7. Applicant / Data Subject: the natural person seeking marriage whose data is entered in the Office Dashboard, and anyone whose data appears in that file as a guardian (wali).
8. Applicant Data: all personal data entered by the Client or the Applicant, including name, phone, national ID number, guardian data, confidential notes, documents, meeting minutes, consent records, file stage, payments and matches.
9. Sensitive Data: as defined in Article (1) PDPL, particularly religious belief, physical, mental or psychological health, financial data, and all children's data.
10. Match: the Client's proposal of one Applicant to another for acquaintance towards marriage; a decision taken by the Client alone.
11. Protected Contact: the feature displaying an Applicant's phone number masked, revealed only after a reason is entered and logged with the user's name and time.
12. Access Log: the record of every reveal of confidential data – who, when and why – by file number, without names.
13. Master Key and Data Keys: the Master Key is stored in the Office Dashboard's configuration file on the server and locks the Data Keys; Data Keys encrypt Applicant Data and are stored locked inside the database.
14. Encrypted Backup: a .kbk file created by the Office Owner from the dashboard, locked with a passphrase of at least 12 characters, containing the database, uploaded files and office configuration including the Master Key.
15. Center: the Personal Data Protection Center established under the PDPL.
16. Executive Regulations: the PDPL Executive Regulations issued by Minister of Communications and Information Technology Decree No. 816 of 2025, published in the Official Gazette (Al-Waqa'i al-Misriyya) Issue 244 (supplement A) on 1 November 2025 and effective from 2 November 2025.
17. Data Breach: any unauthorized access to, disclosure, alteration or destruction of Applicant Data as defined in Article (1) PDPL.
18. Subscription Period: the paid period recorded for the dashboard; Read-Only Stage: the state allowing reading, export and backup without adding or editing.

Article (2) – Scope and Order of Documents. (1) This Agreement governs the subscription and use by Authorized Users, supplemented by the Privacy Policy, the Data Processing Agreement (DPA) and the Order Form. (2) On processing of Applicant Data the DPA prevails, then this Agreement, then the Order Form. (3) No contractual relationship arises between the Platform and Applicants; their relationship is with the Client alone.

Article (3) – Formation and Electronic Acceptance. (1) The Agreement is concluded by the Office Owner's electronic acceptance at first login; the Platform records account identity, version number, UTC time, IP address and browser data. (2) The Client acknowledges this record is an electronic document with evidentiary force under Article (15) of Law No. 15 of 2004, and that the Agreement is a commercial transaction between merchants provable by all means under Article (69) of Commercial Law No. 17 of 1999. (3) The person accepting warrants authority to bind the Client. (4) Each Authorized User accepts the current version at login; this is an acknowledgment of usage rules and does not make them a party. (5) The Client confirms it reviewed the Agreement, could request negotiation in writing via support@keran.app, and that alternatives exist in the market.

Chapter Two: Nature of the Service and Allocation of Roles

Article (4) – Service Description. (1) Each Office Dashboard is operationally independent: separate application, database, encryption key and operating-system user that cannot access other offices' folders; there is no central dashboard aggregating offices' data. (2) Functions: encrypted applicant files, Protected Contact, Access Log, consent and withdrawal records, deletion and copy requests with response-deadline tracking, retention rules, a security-incident log with a 72-hour counter, data-key management and rotation, encrypted backup, readable export of applicant files, and a ledger of applicant payments to the office. (3) These are tools enabling the Client to meet its controller obligations; providing them is not performance of those obligations on the Client's behalf.

Article (5) – What the Platform Does Not Do. The Platform is not a marriage site or intermediary and does not: (1) match or recommend individuals; (2) contact Applicants or guardians; (3) verify identity, age, marital status or documents; (4) publish files or share them with another office; (5) collect money from Applicants – the subscriptions section is a ledger without a payment gateway; (6) register, witness or take part in marriage contracts.

Article (6) – Legal Capacity of the Parties. (1) The Client is the Controller under Article (1) PDPL, as it determines the purpose, what is collected, who is matched and when data is deleted. (2) The Platform is a Processor, bound by Article (5) PDPL, processing Applicant Data only on the Client's instructions. (3) Documented instructions are: this Agreement and its annexes, every action by an Authorized User through the dashboard, and written requests from the Owner's registered email. (4) The Platform will notify the Client of any instruction it considers unlawful and may refuse it. (5) If the Platform determines a purpose of its own, it alone bears controller liability for that processing.

Article (7) – Limitation to Technical Processing. (1) The Platform's responsibility is limited to operating the dashboard, encrypting and storing data, applying Article (17) measures, and processor duties under Article (5) PDPL. (2) It is not liable for lawfulness or accuracy of data, matching decisions, conduct of Client staff, meetings, calls or messages outside the Platform, or the outcome of any marriage. (3) Protected Contact reduces and documents number disclosure but cannot prevent misuse by a staff member who reveals a number; such misuse is the Client's vicarious liability under Article (174) of the Civil Code. (4) The security obligation is one of due care of an ordinary person under Article (211) of the Civil Code, observing Executive Regulations standards, not a guarantee that no breach occurs.

Article (8) – Handover. (1) The Platform creates the dashboard and first Owner account with the Client's email and a temporary password, sending the username by email and the password via a separate channel. (2) The dashboard forces a change of the temporary password at first login and blocks all other actions until then; exclusive Client control begins at that change. (3) A second Owner account for the office manager is recommended, since backups, keys and export are restricted to Owners.

Article (9) – Availability and Backup. (1) The Platform uses reasonable care to keep the dashboard available without guaranteeing a specific uptime. (2) Each dashboard has its own automatically renewed certificate; the .app domain does not load without a valid certificate, and renewal failure for an external cause may interrupt access temporarily. (3) Backup is the Client's responsibility: the Owner creates backups manually; the Platform does not currently provide automated periodic backups. The Client shall back up at least weekly and after any major entry, download immediately, store in two places off the server, and keep the passphrase separate. (4) The Platform is not liable for data loss that compliance with (3) would have prevented, under Article (216) of the Civil Code, unless caused by its fraud or gross fault.

Chapter Three: Client Obligations and Prohibited Use

Article (10) – Lawfulness and Consent. (1) As Controller, the Client is solely responsible for obtaining each Applicant's express, documented consent before entering data, or another lawful basis under Articles (2) and (6) PDPL. (2) Consent covers guardian data in the file, sharing a file summary with the proposed match, storage with a processor, and transfer abroad under Article (20). (3) The Client records each consent in the Consents section (method, date, collector) and any withdrawal immediately; this record does not replace the Client's retention of the consent evidence itself. (4) Oral consent is insufficient for any Sensitive Data; Article (12) PDPL requires written consent, paper or electronic. (5) The Client indemnifies the Platform for any claim or damage from breach of this Article under Article (25).

Article (11) – Sensitive Data and Data Protection Center Licensing. (1) The Client shall not enter Sensitive Data (religion, illnesses, disability, fertility, financial status) unless all three conditions are met: (a) a valid Center licence covering Sensitive Data under Articles (12) and (26) PDPL and the Executive Regulations; (b) the Applicant's express written consent to that specific item; (c) necessity for the declared matchmaking purpose, per the proportionality principle of Article (3). (2) Sensitive Data goes into free-text notes only to the extent necessary; full medical reports shall not be uploaded where the Applicant's declaration suffices. (3) The Client shall obtain its controller licence before the compliance deadline under Article (6) of the PDPL promulgation law, being one year from issuance of the Executive Regulations on 1 November 2025, i.e. no later than 1 November 2026, and provide a copy on request. (4) The Platform shall obtain such licences or permits as the law requires for its activity as processor, within the periods set by the law and the Executive Regulations. (5) The Platform has no duty to verify the Client's licences; it may, without being obliged to, apply Article (27) if it becomes aware that the Client processes Sensitive Data without a licence.

Article (12) – Age Verification and Minors. (1) The Client shall verify that each Applicant is a full 18 Gregorian years old from the original national ID card or equivalent official document before making the file available for matching, based on Article (31 bis) of Civil Status Law No. 143 of 1994 (prohibiting registration of marriage below that age) and Article (2) of Child Law No. 12 of 1996. (2) No marriage file may be created for anyone under 18, even with guardian consent, including a "waiting file" until majority. (3) On discovering a minor's file, the Client shall within one working day stop matches, delete the file through the dashboard's deletion procedure and notify the Platform. (4) On a credible report, the Platform may require proof of age verification within two working days, failing which it may apply Article (27) without viewing file contents.

Article (13) – Prohibited Use. The Client and its users shall not use the Platform or its data for: (1) human trafficking – brokering marriages used as cover for sexual exploitation, forced service or paid temporary marriage, or any act criminalised by Law No. 64 of 2010; (2) extortion – using photos, confidential notes, meeting minutes or marital status to threaten or defame an Applicant or family, under Articles (25) and (26) of Law No. 175 of 2018 and Article (327) of the Penal Code; (3) fraud – fictitious files or impersonation to collect fees, under Article (336) of the Penal Code and Article (24) of Law No. 175 of 2018; (4) contact with minors – entering data of persons under 18 for marriage or using Platform data to contact them; (5) data trading – selling files, phone numbers or the full export, or giving them to another office or for marketing without separate consent, under Articles (2) and (17) PDPL; (6) attacks on the Platform – accessing another office's dashboard, bypassing permissions, uploading malicious code or penetration testing without written permission, under Articles (14), (15), (17), (18) and (22) of Law No. 175 of 2018; (7) revealing numbers via Protected Contact for a false reason, or handing an Applicant's number to a match without consent.

Article (14) – Staff Accounts and Permissions. (1) The Client creates staff accounts itself, assigns the least role sufficient, and is vicariously liable for them (Article 174 Civil Code). (2) It shall deactivate a departing employee's account on the day of departure and close open sessions. (3) Account sharing is prohibited as it voids the Access Log's evidentiary value. (4) Identity Confirmation uses the login password; the backup passphrase is separate and its loss makes the backup unrecoverable. (5) Because a backup contains the Master Key, whoever holds the file and passphrase holds all office data; the Client is responsible for securing downloaded backups.

Article (15) – Migration of Existing Data. When import is available, each imported file enters as "Pending verification – no recorded consent", tagged with the responsible employee, source and date, and is barred from matching until the Client records the Applicant's consent. The Client remains responsible for the lawfulness of the source.

Article (16) – Notice to Applicants. Before collection, the Client shall inform Applicants of its identity as Controller, the purposes, its use of a technical processor, where data is stored, retention periods and how to exercise their rights, under Articles (2) and (4) PDPL.

Chapter Four: Security, Breach and Transfers Outside Egypt

Article (17) – Platform Security Measures. Under Article (5) PDPL and Article (2) of Law No. 175 of 2018, the Platform applies the measures detailed in Annex (B) of the DPA, chiefly: (1) encryption of Applicant Data with Data Keys locked by a Master Key held outside the database, with a different Master Key per office; (2) isolation of each office under its own server operating-system user that cannot modify application code or read other offices' files; (3) encrypted connections with a separate certificate per office, a firewall opening only web and secured administration ports, and key-only (password-less) administrative server login; (4) hashed password storage, session expiry after 12 hours of inactivity, lockout after repeated failed attempts, and forced change of temporary passwords; (5) Identity Confirmation before sensitive operations: creating, downloading or deleting a backup, key rotation, adding or editing staff, full export, and bulk deletion under the retention policy; (6) blocking data-changing requests originating from another office's domain. The Platform may upgrade these measures without lowering their overall level.

Article (18) – Client Security Obligations. The Client shall keep passwords and backup passphrases confidential, secure devices used to open the dashboard, avoid opening unknown links during a session, and rotate Data Keys every six months and immediately on any suspicion – completing Re-encryption, then taking a new backup, then destroying or securing earlier backups, because rotation does not protect backups taken before it.

Article (19) – Breach Notification. (1) The Platform notifies the Client of any breach in infrastructure it operates affecting the Client's data without delay and within 24 hours of becoming aware, to the Owner's registered email. (2) The notice includes, as available: nature of the breach, data categories and approximate number of files, whether exposed data was encrypted, measures taken, and a contact person; missing information follows in phases. (3) The Client notifies the Center within 72 hours of awareness, immediately if national security is involved, and affected Applicants within three working days of notifying the Center, under Article (7) PDPL and the Executive Regulations. (4) The Client's notice does not discharge the Platform's own duty to notify the Center where the law imposes it on processors; the Platform coordinates content with the Client where time allows. (5) Breaches inside the office – an ID image sent to a wrong number, a stolen staff device, a stolen downloaded backup – are the Client's to notify and handle, and are logged in the Security Incidents section. (6) Notification by the Platform is not an admission of fault or liability.

Article (20) – Transfer Outside Egypt. (1) Dashboards, databases, uploaded files and on-server backups are held on a virtual private server leased from Hostinger in Manchester, United Kingdom. (2) The Client acknowledges that the server in (1) is outside Egypt and that Platform or Parent Company staff may administer it from outside Egypt; its subscription constitutes its documented instruction, as Controller, to store its office data on that server. This transfer relies on the grounds permitted by Articles (14), (15) and (16) PDPL and the Executive Regulations, including the data subject's express consent and a licence or permit from the Data Protection Center, as applicable. (3) The Platform obtains such cross-border transfer licences or permits as the law requires of it as processor; the Client in all cases obtains Applicants' express consent to storage of their data outside Egypt, as part of the consent under Article (10). (4) The Platform does not transfer Applicant Data to the source-code repository (GitHub), which holds application code only; emails from support@keran.app carry Authorized User data such as password-reset links only. (5) Third parties used by the Platform are listed in Annex (C) of the DPA; no new party with access to Applicant Data is added without notice to the Client as that Annex provides.

Chapter Five: Fees, Limitation of Liability and Indemnity

Article (21) – Subscription, Renewal and Read-Only. (1) Fees are paid in advance for 1, 3, 6 or 12 months per the Order Form; the end date is recorded in the dashboard configuration in Cairo time. (2) The Owner sees a warning 14 days before expiry; a 7-day grace period follows with a banner for all users, after which the dashboard enters the Read-Only Stage. (3) No data is deleted for non-payment during Read-Only; login, reading, logged reveal, backup and download, compliance functions including full export and deletion requests, and staff deactivation remain available – an application of the non-performance defence (Article 161 Civil Code) that does not impair Applicants' rights. (4) Early renewal or renewal less than 14 days late runs from the previous end date; later renewal is a new subscription from payment date. (5) As a company registered in the United States, the Service Provider files its annual tax returns and meets its tax obligations under US law. The Service Provider is not responsible for any tax obligations of the Client or its business; the Client alone bears any taxes or fees imposed on it under the laws applicable to it, and the Service Provider may add to the fees any tax it is legally required to collect.

Article (22) – Ownership and Use of Data. (1) The Platform, its code, design and the name Keran belong to the Service Provider or Parent Company; the Client receives a non-exclusive, non-transferable right of use during the Subscription Period. (2) Applicant Data and the office logo remain under the Client's control. The Platform does not use Applicant Data for any purpose of its own, including marketing, analytics or model training, and does not combine it with other offices' data.

Article (23) – Confidentiality. Platform staff with server administration rights sign written confidentiality undertakings and do not view decrypted Applicant Data except on the Client's written request to fix a fault, or under a judicial order or legal obligation, per Article (5) PDPL and Article (2) of Law No. 175 of 2018. The Client acknowledges that server administration confers technical ability to access, and that this obligation is contractual and organisational.

Article (24) – Limitation of Platform Liability. (1) Under Article (217/2) of the Civil Code, which permits agreements lightening contractual liability, the Platform's aggregate contractual liability for all claims under this Agreement shall not exceed the amounts actually paid by the Client for the three months preceding the event giving rise to liability. (2) The Platform is liable only for direct damage normally foreseeable at contracting (Article 221/2 Civil Code), not for lost matchmaking commissions, loss of Applicants, failed engagements or marriages, or reputational harm caused by the Client or third parties. (3) Neither the cap nor the exclusions apply, per Articles (217/2) and (225) of the Civil Code, to: (a) the Platform's fraud or gross fault; (b) intentional disclosure of Applicant Data by the Platform or its staff; (c) processing for the Platform's own purposes contrary to Article (22); (d) tort liability, any exemption from which is void under Article (217/3). (4) This Article does not bar an injured Applicant's claim against whoever caused the damage, nor waive personal criminal or administrative liability.

Article (25) – Client Indemnity. (1) The Client shall indemnify the Platform, the Parent Company and their staff for all damage, amounts awarded or paid in settlement with the Client's approval, and reasonable legal fees arising from: (a) entering data without consent or lawful basis, or Sensitive Data without licence and written consent; (b) entering a minor's data or breaching Article (12); (c) any use prohibited by Article (13) by the Client or its users; (d) failing to notify the Center or Applicants of a breach within the legal deadline after the Platform notified it; (e) failing to act on Applicant requests forwarded to it under the Privacy Policy. (2) Conditions: prompt written notice of the claim, allowing the Client to participate in the defence, and no settlement at the Client's cost without its consent. (3) Indemnity does not cover criminal fines imposed on the Platform itself, given the personal nature of penalties (Article 95 of the Constitution); the Platform retains its civil recourse for damage caused by the Client's fault under general rules, including administrative fines and sanctions imposed on the Platform due to the Client's fault, to the extent permitted by law. (4) The Platform in turn compensates the Client for damage from its breach of processor obligations, within Article (24).

Article (26) – Force Majeure. Neither party is liable for delay or failure due to an external cause beyond its control under Articles (165) and (373) of the Civil Code, including hosting-provider outage, telecom interruption or a public-authority decision. A cyber-attack that the Article (17) measures could have prevented is not force majeure.

Chapter Six: Suspension, Termination and Fate of Data

Article (27) – Immediate Suspension. (1) The Platform may suspend access wholly or partly without prior notice where: (a) there is serious evidence of use prohibited by Article (13), or of minors' files with the Client refusing to apply Article (12); (b) the Owner account is suspected compromised or there is an imminent threat to the Client's or other offices' data; (c) an order is issued by the competent investigative authority under Article (6) of Law No. 175 of 2018, or a Center decision. (2) Suspension is as narrow as needed to remove the risk (e.g. ending sessions or disabling one account), and the Platform informs the Client of the reason within one working day unless the law prohibits it. (3) Suspension deletes no data; data is kept as-is until the cause ends or the competent authority orders otherwise. (4) Non-payment is not a ground for suspension; it leads to the Read-Only Stage under Article (21).

Article (28) – Termination. (1) The Client may terminate by not renewing, or by written notice at any time without refund for the current period unless the refund policy provides otherwise. (2) Either party may terminate for the other's uncured material breach 15 days after written notice, under Article (157) of the Civil Code. (3) Express resolutory clause: the Agreement is deemed rescinded automatically, without court judgment and without formal notice (iʿdhār), upon written notice from the Platform if the Platform is proven used for human trafficking, extortion, fraud or entering minors' files for marriage, under Article (158) of the Civil Code. (4) Termination does not affect the Platform's right to compensation or the obligations of Article (29).

Article (29) – Return and Deletion of Data After Termination. Applying Article (5) PDPL, which requires a processor to erase data once the purpose ends or deliver it to the controller, the following schedule runs from expiry without renewal:

(1) The Client obtains its data via the readable CSV full export of all applicant files and via the encrypted backup containing all data and documents. As the export currently excludes the consents, payments and matches tables and the documents, the Platform will deliver them in a readable format free of charge on a written request received before day 90. (2) On final deletion the Platform issues a dated written confirmation on request; deletion does not cover backups the Client downloaded, which remain in its custody and responsibility. (3) After deletion the Platform keeps only terms-acceptance records and billing data, plus usage data it must keep for 180 days under Article (2) of Law No. 175 of 2018. (4) If termination is for prohibited use or a competent authority orders it, the Platform may defer deletion as needed to preserve evidence, informing the Client unless prohibited.

Chapter Seven: Governing Law, Disputes and Final Provisions

Article (30) – Governing Law. This Agreement is governed by and construed under Egyptian law, applying the freedom of choice in Article (19) of the Civil Code and Article (39) of Arbitration Law No. 27 of 1994. The PDPL applies to processing of Applicant Data as mandatory rules that cannot be contracted out of.

Article (31) – Dispute Resolution. (1) The parties shall seek amicable settlement within 30 days of written notice. (2) Failing that, disputes are finally resolved by arbitration under the Rules of the Cairo Regional Centre for International Commercial Arbitration (CRCICA), seated in Cairo, in Arabic, before a sole arbitrator unless the amount exceeds EGP 2,000,000, in which case three arbitrators. (3) This is a written arbitration agreement under Article (12) of the Arbitration Law, evidenced by the acceptance record in Article (3) and the signed Order Form. (4) Either party may seek interim measures from the competent Egyptian court under Article (14) of the Arbitration Law, including stopping use of data for a prohibited purpose. (5) Arbitration does not cover criminal liability or the Center's administrative decisions, which are not subject to settlement under Article (11). (6) If the clause is held void, the Cairo courts have jurisdiction, including the Cairo Economic Court for matters within its jurisdiction under Law No. 120 of 2008 and Article (5) of the PDPL promulgation law.

Article (32) – Effect of the US Parent Company. (1) Ownership by a US parent does not change the governing law or forum, and does not remove processing of Applicant Data from the PDPL, whose penal provisions, under Article (2) of its promulgation law, extend to non-Egyptians abroad where the act is also punishable in the State where it occurred and the data concerns Egyptians or foreigners resident in Egypt. (2) The Parent Company may be subject to US legal process requiring disclosure of data in its possession, custody or control even if stored outside the US, under 18 U.S.C. § 2713 as added by the CLOUD Act of 2018, which requires providers of remote computing services to disclose data within their possession, custody or control regardless of where it is stored. In that case the Platform and Parent Company shall: (a) notify the Client immediately unless legally prohibited; (b) challenge the request where it conflicts with Egyptian law or exceeds what is necessary; (c) disclose only the minimum compelled and make no voluntary disclosure to any foreign authority. (3) Access by Parent Company staff from outside Egypt is subject to Article (20). (4) An arbitral award is enforceable in the US under the 1958 New York Convention, to which both States are party. (5) The Service Provider may assign the Agreement to the Parent Company or an affiliate on 30 days' notice, provided the assignee is bound by this Agreement and its annexes and holds the required licences; the Client may terminate without penalty during that period.

Article (33) – Notices. Notices are given in writing by email: from the Platform to the Owner's registered email, from the Client to support@keran.app. They take effect on arrival under Article (91) of the Civil Code, arrival at the registered email being presumptive evidence of knowledge, and have the force of an electronic document under Article (15) of Law No. 15 of 2004. The Client shall keep the Owner email current, as it is the only account-recovery route.

Article (34) – Amendments. (1) Each material amendment carries a new version number, must be accepted at first login after publication, and is notified 30 days before taking effect unless required by law or a Center decision. (2) A Client rejecting an amendment may terminate and recover fees for the unused period, with Article (29) applying.

Article (35) – Miscellaneous. (1) Invalidity of any clause does not invalidate the rest (Article 143 Civil Code); it is replaced by the lawful clause closest to the parties' intent. (2) Clauses are interpreted under Article (150) of the Civil Code, having regard to the sensitivity of marriage data. (3) Delay in exercising a right is not a waiver. (4) Provisions that by nature survive termination survive, including Articles (23), (24), (25), (29) and (31). (5) The Arabic text prevails in case of discrepancy.