Who we are

Tamoora is a product of Tokra, LLC (“we”, “our”, “us”), a Delaware limited liability company in the United States. Tokra, LLC is the data controller for the personal data described here, and the operator of Tamoora under the U.S. Children’s Online Privacy Protection Act.

This policy covers tamoora.com, the Tamoora app on it, and any Tamoora app we publish later. It is published in English and Arabic; the English text is the controlling version and the Arabic is provided for convenience.

What we collect

From the parent or guardian

• Your email address and a password. We keep only a one-way scrypt hash of the password, never the password itself.
• The name you give for yourself and for your family, and your language.
• Your country as our network reports it (a two-letter code), and your time zone if your browser shares it.
• Other adults you invite to your family: their email address, name and role.
• A parents’ PIN, if you set one, kept only as a hash.

About each child, entered by you

• A display name (a first name or a nickname is enough), an age band, and, if you choose, a school grade and an avatar.

What a child does in the app

• The child’s progress and app state: lessons and activities done, answers inside activities, rewards, and the settings and choices made in the app — for example the companion character the child picks and the name the child gives it.
• The app keeps this on the child’s own device and in your family account. We also keep up to 20 earlier copies, taken at most every 6 hours, and up to 5 copies you choose to keep, so a child’s progress can be restored.

Each child’s own device and time

• Each child uses Tamoora on one device that you link to them. For that device we keep a random device key (only as a hash), a short label made from its browser and device type (such as “Safari · iPad”), the browser’s name and version, a keyed one-way hash of its IP address, its time zone, and when it was linked and last used. The code you make to link a device is kept only as a hash and works once, within 10 minutes.
• For each child and each day: the minutes the app was open, how many of them a video played, and any time you added. And the choices you set: the daily time, the video time and a pause.
• When the parents’ PIN is given on a child’s device, it opens the parents’ actions there for 10 minutes; we record until when.

The academy’s AI teacher

The academy has an AI teacher that explains, asks and corrects as a child learns. It is a computer program, and the classroom says so. It talks with a child only on the child’s own device, and only after a parent has turned it on for that child — in the parent area, or on the child’s device with the parents’ PIN; you can turn it off at any time. For each turn, the child’s device sends our server the lesson’s words: what the child writes or chooses with the teacher and the last turns of that lesson. Before anything leaves our server, we take out the names of the child and the family as they are written in your account and in the academy (for the region’s common names, also the spellings we list for them in the other alphabet, Arabic or English letters; a nickname or a spelling we do not list can still get through), email addresses, links and social-media handles, and any long number that could be a phone number (a sum, a decimal, a date, years in order, a round number, a number written with commas, or a row of numbers that counts on by one step or grows by one factor stays, so the lesson’s arithmetic is kept). A number of fewer than eight digits, or an address or a number written in an unusual way, can still get through. We add only the lesson’s place in the curriculum (the grade, the subject and the objective), the child’s age band, the language and which of our teachers is teaching. We send this to Anthropic, PBC, the AI company that runs the teacher for us (below), and pass its answer back to the child. Anthropic does not use it to train its models, and deletes it within 30 days, unless its automated safety systems flag a conversation, when it may keep it for up to 2 years to enforce its usage policy, or where the law requires. Of the conversation, we keep only the last turns of each lesson, in the child’s saved progress in your family account (with its earlier copies), so a lesson goes on where it stopped; of the teacher itself, we keep only how many turns each child had each day and what they cost.

Tamoora, the companion

Tamoora, the app’s companion character, stands small in the corner of a child’s pages; a tap opens a talk with her, and the child can hide her in the app’s companion page and bring her back there. She is a computer program too, and, in a family’s account, talks with a child only where the academy’s teacher may: on the child’s own device, after a parent said yes for that child (the same yes as the teacher’s, given since it named her), and within the same turns a day. For each turn, the child’s device sends our server what the child writes or taps and the last turns of the talk; before anything leaves our server, we take out the same names, email addresses, links, handles and numbers as for the teacher, and we add only the child’s age band, the language of the talk and which page of the app the child is on. We send this to Anthropic, PBC, as for the teacher, and pass her answer back to the child. We keep nothing of the talk: it stays on that page of the app until it closes; of her we keep only how many turns each child had each day and what they cost, counted with the teacher’s.

Talking by voice

In a family’s account, a child can also talk by voice with Tamoora, or with the academy’s teacher they choose, after a parent said yes for that child (the same yes, given since it named the voice), when our team has turned the voice on, and for a few minutes a day. A call starts only when the child taps for it, and the device asks for the microphone first. During the call, the child’s voice goes from the device straight to OpenAI OpCo, LLC, the AI company that runs the voice for us (below), over an encrypted connection, and the spoken answer comes back the same way; OpenAI therefore also receives the device’s IP address. Our server only opens the call: it gives OpenAI the call’s instructions — who is speaking (Tamoora or which teacher), the language, the child’s age band and, in a lesson, the lesson’s objective — and never the child’s name or the family’s details. We ask OpenAI not to keep the conversation; OpenAI does not use what it receives through its business services to train its models, and may keep it for up to 30 days to detect and prevent abuse, or longer where the law requires. No recording of the call is made or kept, on the device or with us. What the child said, as the voice service heard it, and the answers show as words on the screen during the call; in a lesson they join the lesson’s turns, kept as above, and with Tamoora they stay on that page until it closes. Of the calls we keep, for each child and each day, how many there were, their minutes and what they cost, and, for each call, whose it was, who spoke, the language and its length, for 7 days.

Trying Tamoora without an account

A visitor can try the app with a sample child and no account (the visitor’s tour), and can take a lesson by voice on tamoora.com/learn. In the tour, Tamoora answers in writing and by voice only after the visitor agrees on the screen that says so; a lesson by voice starts only when the visitor taps to start it, on a page that says it uses the microphone and where the voice goes. For each turn of her chat, the device sends our server what the visitor writes or taps and the last turns of the talk; we take out the same email addresses, links, handles and numbers as for a child, and send it to Anthropic, PBC, as for the teacher. During a call or a lesson by voice, the visitor’s voice goes from the device straight to OpenAI OpCo, LLC, as described under “Talking by voice”. We keep no words and no recording of a visitor: only a random number for the visit, a one-way code made from that day’s network address (so that one address cannot use up the day’s share), and how many turns, calls and seconds the visit used and what they cost, for 30 days; the record of each call, for 7 days.

Records that keep the account safe

• Sign-in sessions: a random token kept only as a hash, your browser’s name and version, and a keyed one-way hash of your IP address. We do not store IP addresses themselves.
• A log of account actions (such as signing in, adding or removing a child, linking or stopping a child’s device, changing a child’s time, or changing the PIN), with the same IP hash.
• When a child’s device saves a change to a setting only parents may change (such as what the child may open) without the parents’ PIN, the family’s own setting is kept, and the log notes which settings — never their content — at most once an hour.
• A record of what you agreed to: which document, which version, when, the IP hash and the browser.

What we do not collect

• No photos, videos or voice recordings, no precise location, no contacts and no advertising identifiers (a call by voice, above, is heard during the call and not recorded). Tamoora on tamoora.com does not ask for your location. It asks for the camera only when a parent chooses to photograph the school timetable, or when a child photographs their homework after a parent has allowed it in the parent area; the picture stays in the browser on that device and is never sent to us or to anyone. It asks for the microphone only when a child taps to talk by voice with Tamoora or a teacher (above), or to record their own voice in the academy’s speaking practice, which a parent can turn off in the academy’s parent area; a practice recording stays on the device, to play back, and is never sent to us or to anyone.
• No advertising, and no tracking by us or for us, on any Tamoora page. We count visits to our public pages only as daily totals (below). The one outside service a child can reach is YouTube, and only after you open videos for that child (below).

Visits to our public pages

To know how many people visit tamoora.com and how they arrive, we count visits to our public pages — the home page, the pages for signing in, signing up, confirming an email, recovering an account and joining a family, and these legal pages — in daily totals: the page, how the visit arrived (a search engine, a social network, another site, a campaign link, or directly), the type of device (phone, tablet or computer) and the country as our network reports it. We use no cookie or identifier for this, and we keep no IP address, no browser name and not the address of the site you came from; nothing is counted in the parent area or in the child’s app. Each family account that starts a trial adds one to that day’s count of trials, by device type and country, with no link to the family.

Videos from YouTube

Videos are closed for a child until you open them for that child: in the parent area (also when you add the child), or in the app’s own parent screen with the parents’ PIN; you can close them again at any time. Once they are open, a child can watch videos from YouTube channels our team has chosen for the child’s age, and from up to three channels you add for your family, within your plan’s video time and the times you set. Our server reads those channels’ public video lists through YouTube’s official API and keeps only facts about each video, such as its length and whether it is made for children; a video shows only if it passes the team’s rules for the age, your own words and our filters (no shorts, no live videos, nothing age-restricted). A child’s search runs on our server, over those videos; where our team allows it for the child’s age, a few searches a day may also go from our server to YouTube’s search, with the search words only and nothing about the child, the family or the device. On the child’s device, the videos’ pictures load from YouTube’s servers, and a video plays in YouTube’s own player, in its privacy-enhanced mode (youtube-nocookie.com). So YouTube (Google LLC) receives the device’s IP address and browser information and may store its own cookies or similar data on the device, under YouTube’s Terms and Google’s Privacy Policy. We send YouTube no account, child or progress information. Nothing is loaded from YouTube until videos are open for a child and the child goes to them.

Payments

Payments on the web are processed by Stripe, Inc., on Stripe’s own secure pages. To open them we give Stripe only the account owner’s email address, the family’s internal ID and the plan chosen — never anything about a child. There you give Stripe your card or other payment details, and the name and billing address it may ask for; Stripe handles them under Stripe’s Privacy Policy, including for its own fraud prevention and legal duties. From Stripe we receive and keep its references, the state of your plan, and for each payment the invoice number, the plan and period, the amounts paid or refunded, and the kind of payment method: a card, a wallet such as Apple Pay or Google Pay, or a bank debit. We never see your full card number. Stripe’s replies to our service can include your billing name and address and, for a bank debit, part of your bank details; we use only the kind of payment method and never store the rest.

Inside Tamoora’s iPhone and iPad app, a subscription is bought from Apple, on Apple’s own payment sheet, and paid from your Apple Account; Apple handles it under Apple’s Privacy Policy. Apple gives us nothing of your Apple Account — no name, email address or payment details. With the purchase, the app gives Apple only a random number we make for your family, so that Apple’s record of it comes back to your family account. From Apple we receive and keep, for each subscription, Apple’s signed record of it: its transaction numbers, the plan, the billing period and the number of children, when it was bought and when its period ends, whether it will renew, any grace period Apple gives after a renewal it could not charge, any refund or revocation, and whether it was a test purchase. We check each record against Apple’s own certificate before we use it. Purchases inside a Tamoora app from Google Play are processed by Google Play.

When you write to us

If you email us, we keep your message and our reply so we can help you.

How we use it

• To run your family account: signing in, your children’s profiles, saving each child’s progress from their device to your account, and restoring earlier copies.
• To apply the controls you set: one device for each child, the daily time and the video time, the pause, and keeping the family’s own settings in the child’s app.
• To let the academy’s AI teacher and Tamoora talk with a child whose parent said yes, in writing and by voice, within a number of turns and minutes a day.
• To bill the plan you choose, through Stripe or Apple, and to keep the payment records the law requires.
• To keep the service and your account secure: limits on repeated attempts, a 15-minute lock after 8 failed sign-ins, and the action log.
• To keep a record of the consents you gave, to answer your requests, and to meet legal obligations.
• To know how many people visit our public pages and how they arrive, from daily totals that identify no one.

We do not use any information for advertising, we do not build marketing profiles, we do not sell or rent it, and we do not use children’s information to train artificial-intelligence models; nor do the AI companies that run the teacher, Tamoora and the voice. We make no automated decisions about you or your children that have legal or similarly significant effects.

Legal bases (GDPR)

• Contract: to provide the family account you asked for, and the plan you buy (Article 6(1)(b)).
• Consent: the parent’s or guardian’s consent for each child’s data, and their separate yes to the AI teacher, Tamoora and the voice for each child (Articles 6(1)(a) and 8). You can withdraw it at any time by turning it off, erasing the child or deleting the account.
• Legitimate interests: to keep the service secure and prevent abuse, and to count visits to our public pages in daily totals (Article 6(1)(f)).
• Legal obligation: where a law requires us to keep or disclose information, such as payment records (Article 6(1)(c)).

Where your data is kept and who helps us

Your family account is stored in Frankfurt, Germany. We use these service providers, each under a written agreement that lets them process data only on our instructions:

We do not sell or share personal information, and we do not give it to anyone for their own purposes. We disclose information only to the providers above, when the law requires it, or to protect a child’s safety. If Tokra, LLC is ever involved in a merger or sale, family accounts would move only with the protections of this policy, and we would tell you first.

International transfers

Your data is stored in the European Union. Some of the providers above are based in, or may process data in, the United States. Where data leaves the European Economic Area, the United Kingdom or Switzerland, we rely on the European Commission’s Standard Contractual Clauses, the EU–U.S. Data Privacy Framework where the provider is certified, or another lawful safeguard.

How long we keep it

• Your family account, your children’s profiles and their progress: for as long as the account exists.
• A child you remove from your list stays saved, so you can bring them back, until you erase that child or delete the account.
• When you erase a child or delete the account, the data is deleted from our live database at once, with the child’s earlier copies. The account action log then keeps only that actions happened, with no name, email or IP hash, and the payment records below stay. Our encrypted backups are replaced on a rolling basis, so deleted data is gone from them within 35 days.
• Payment records — the invoice number, the plan and period, the amounts paid or refunded, and the kind of payment method: 10 years from the end of the year of the payment, as tax and accounting laws require, also after the account is deleted. They hold no name, email address or card number. Deleting the account also deletes your customer record at Stripe, at once or, if Stripe cannot be reached at that moment, as soon as it can; Stripe keeps its own records of past payments as the law requires of it. The notices Stripe sends us about payments: 90 days.
• Apple’s records of a subscription bought in the app: for as long as the account exists. When the account is deleted, they are kept with no link to any family until 90 days after the subscription’s last period ends, so a parent can restore it to a new family account, and are then deleted. The notices Apple sends us about subscriptions: 90 days.
• A sign-in session lasts 30 days and is extended while you use Tamoora; ended sessions are removed 30 days later. Sign-in and password links are removed 7 days after they expire, and the counters that limit repeated attempts after 2 days.
• Each child’s minutes for a day, the turns with the AI teacher and Tamoora and their cost for a day, and the calls by voice, their minutes and their cost for a day: 90 days. The record of each call: 7 days. A child’s device you stopped: 90 days after it stopped. A code to link a device: one day after it expires.
• The words of a lesson with the AI teacher: with us, only its last turns, in the child’s saved progress and its earlier copies, for as long as they are kept; at Anthropic, as described above.
• A talk with Tamoora: nothing, with us; at Anthropic, as described above. A call by voice: no recording, on the device or with us; its words in a lesson, as above; at OpenAI, as described above.
• A visitor trying Tamoora without an account: no words and no recording, with us; the visit’s random number, the code made from the network address and its counts, 30 days; the record of each call, 7 days.
• The daily visit totals: up to 400 days.

Security

Every connection is encrypted (HTTPS, with HSTS). Passwords and PINs are stored as scrypt hashes and IP addresses as keyed hashes, and backups are encrypted before they are stored. Access to the systems that run Tamoora is limited to the people who run it. No system is perfectly secure; if a breach affects your data, we will tell you and the authorities as the law requires.

Your rights and choices

• See and take your data: in your family’s Settings, “Download a copy of your family’s data” gives you one file with your family, its adults, its children with their saved progress, their devices, their time and their days with the AI teacher, Tamoora and the voice, your consents, your plan and your payments.
• Correct it: change names and details in Settings.
• Delete it: erase a child, or delete the whole family account, in Settings — or write to privacy@tamoora.com.
• Withdraw consent or stop further collection: turn the AI teacher (with Tamoora and the voice) off for a child at any time, even without a plan; or erase the child or delete the account, and nothing more is collected for them.
• You may also object to or restrict processing, and complain to a data protection authority.

We answer within 30 days, or sooner where your law requires it. So that only a parent can act on a child’s data, we may ask you to make or confirm a request from your signed-in family account. We will not treat you differently for using your rights.

Regional notes

• European Economic Area, United Kingdom and Switzerland: you have the rights above under the GDPR and the UK GDPR, and you may complain to your local data protection authority.
• United States: we follow the Children’s Online Privacy Protection Act (see the Children’s Privacy Notice). Under California and other state privacy laws, we do not sell or share personal information and do not use it for targeted advertising; Global Privacy Control signals are respected, though there is nothing to opt out of.
• Saudi Arabia and the Gulf: we process data under the Personal Data Protection Law, with a guardian’s consent for children.
• Everywhere else: you have at least the rights above.

Cookies and storage

Tamoora uses only the cookies and browser storage it needs to work; YouTube may set its own once videos are open for a child and the child goes to them. See the Cookies and Storage policy.

Children

Tamoora is made for children and used through a parent. How we treat children’s information is set out in the Children’s Privacy Notice, which is part of this policy.

Changes to this policy

If we change this policy, we will post the new version here with its date. If a change is significant, or affects children’s information, we will tell you in advance and ask for your agreement again where the law requires.

من نحن

تمّورة منتج لشركة Tokra, LLC («نحن»)، وهي شركة ذات مسؤولية محدودة في ولاية ديلاوير بالولايات المتحدة الأمريكية. وTokra, LLC هي المتحكّم في البيانات الشخصية الموصوفة هنا، والجهة المشغّلة لتمّورة بموجب قانون حماية خصوصية الأطفال على الإنترنت الأمريكي (COPPA).

تشمل هذه السياسة موقع tamoora.com، وتطبيق تمّورة عليه، وأي تطبيق لتمّورة ننشره لاحقًا. وهي منشورة بالإنجليزية والعربية؛ والنص الإنجليزي هو المعتمد، والعربي للتيسير.

ما نجمعه

من الوالد أو الوليّ

• بريدك الإلكتروني وكلمة مرور. لا نحفظ كلمة المرور نفسها أبدًا، بل بصمة لها باتجاه واحد (scrypt) لا تُعاد إلى أصلها.
• الاسم الذي تختاره لنفسك ولعائلتك، ولغتك.
• بلدك كما تُبلغ عنه شبكتنا (رمز من حرفين)، ومنطقتك الزمنية إن أتاحها متصفحك.
• البالغون الآخرون الذين تدعوهم إلى عائلتك: بريدهم واسمهم ودورهم.
• رقم الوالدين السري إن وضعته، ولا يُحفظ إلا بصمةً.

عن كل طفل، بإدخالك أنت

• اسم للعرض (يكفي الاسم الأول أو اسم تدليل)، وفئة عمرية، وإن شئت الصف الدراسي وصورة رمزية.

ما يفعله الطفل في التطبيق

• تقدّم الطفل وحالة التطبيق: الدروس والأنشطة التي أنجزها، وإجاباته داخل الأنشطة، ومكافآته، والإعدادات والاختيارات داخل التطبيق — ومنها مثلًا الرفيق الذي يختاره الطفل والاسم الذي يسمّيه به.
• يحفظ التطبيق ذلك على جهاز الطفل الخاص به وفي حساب عائلتك. ونحفظ أيضًا حتى 20 نسخة سابقة، تُؤخذ مرة كل 6 ساعات على الأكثر، وحتى 5 نسخ تختار أنت الاحتفاظ بها، ليمكن استعادة تقدّم الطفل.

جهاز كل طفل ووقته

• يستخدم كل طفل تمّورة على جهاز واحد تربطه أنت به. ونحفظ لذلك الجهاز مفتاحًا عشوائيًا (بصمةً فقط)، ووصفًا قصيرًا من اسم متصفحه ونوع الجهاز (مثل «Safari · iPad»)، واسم المتصفح وإصداره، وبصمة مفتاحية باتجاه واحد لعنوان IP، ومنطقته الزمنية، ووقت ربطه وآخر استخدام له. والرمز الذي تصنعه لربط جهاز لا يُحفظ إلا بصمةً، ويعمل مرة واحدة خلال 10 دقائق.
• لكل طفل في كل يوم: دقائق فتح التطبيق، وكم منها شُغّل فيه فيديو، وأي وقت أضفته. والاختيارات التي تضعها: الوقت اليومي، ووقت الفيديو، والإيقاف المؤقت.
• حين يُدخَل رقم الوالدين السري على جهاز طفل، يفتح إجراءات الوالدين عليه 10 دقائق؛ ونسجّل حتى متى.

المعلّم الذكي في الأكاديمية

في الأكاديمية معلّم ذكي يشرح ويسأل ويصحّح أثناء تعلّم الطفل. وهو برنامج حاسوبي، والفصل يقول ذلك. ولا يتحدث مع طفل إلا على جهاز الطفل الخاص به، وبعد أن يفتحه أحد الوالدين لذلك الطفل — من مساحة ولي الأمر، أو على جهاز الطفل برقم الوالدين السري؛ ويمكنك إيقافه في أي وقت. ولكل دور يرسل جهاز الطفل إلى خادمنا كلمات الدرس: ما يكتبه الطفل أو يختاره مع المعلّم، وآخر أدوار ذلك الدرس. وقبل أن يخرج أي شيء من خادمنا نحذف منه اسم الطفل واسم العائلة كما كُتبا في حسابك وفي الأكاديمية (وللأسماء الشائعة في المنطقة أيضًا ما نُدرجه لها من طرق الكتابة بالأبجدية الأخرى، العربية أو الإنجليزية؛ وقد يمرّ اسم دلع أو كتابة لا نُدرجها)، وعناوين البريد الإلكتروني، والروابط، ومعرّفات الحسابات على الشبكات الاجتماعية، وكل رقم طويل قد يكون رقم هاتف (ويبقى المجموع، والكسر العشري، والتاريخ، والسنوات المتتالية، والعدد المدوّر، والعدد المكتوب بالفواصل، وصفّ الأعداد الذي يتزايد بخطوة ثابتة أو بمضاعف ثابت، ليبقى حساب الدرس كما هو). وقد يمرّ رقم أقل من ثماني خانات، أو عنوان أو رقم كُتب بطريقة غير معتادة. ولا نضيف إليه إلا موضع الدرس من المنهج (الصف والمادة والهدف)، والفئة العمرية للطفل، واللغة، وأيّ معلّمينا يدرّس. ونرسل ذلك إلى Anthropic, PBC، شركة الذكاء الاصطناعي التي تشغّل المعلّم لحسابنا (انظر أدناه)، ونعيد جوابها إلى الطفل. ولا تستخدمه Anthropic لتدريب نماذجها، وتحذفه خلال 30 يومًا، إلا إذا رصدت أنظمة السلامة الآلية لديها محادثةً، فقد تحتفظ بها حتى سنتين لتطبيق سياسة الاستخدام لديها، أو حيث يوجب القانون ذلك. ولا نحفظ من المحادثة إلا آخر أدوار كل درس، في تقدّم الطفل المحفوظ في حساب عائلتك (مع نسخه السابقة)، ليكمل الدرس من حيث توقف؛ ولا نحفظ من المعلّم نفسه إلا عدد أدوار كل طفل في كل يوم وكلفتها.

تمّورة، الرفيقة

تمّورة، شخصية الرفيقة في التطبيق، تقف صغيرة في زاوية صفحات الطفل؛ ولمسها يفتح حديثًا معها، ويستطيع الطفل إخفاءها من صفحة الرفيق في التطبيق وإعادتها من هناك. وهي برنامج حاسوبي أيضًا، ولا تتحدث مع طفل في حساب العائلة إلا حيث يجوز ذلك للمعلّم في الأكاديمية: على جهاز الطفل الخاص به، بعد أن يوافق أحد الوالدين لذلك الطفل (الموافقة نفسها التي للمعلّم، مُعطاةً منذ أن ذكرتها)، وضمن عدد الأدوار نفسه في اليوم. وفي كل دور يرسل جهاز الطفل إلى خادمنا ما يكتبه الطفل أو يلمسه وآخر أدوار الحديث؛ وقبل أن يخرج أي شيء من خادمنا نحذف منه الأسماء وعناوين البريد والروابط والمعرّفات والأرقام نفسها التي نحذفها للمعلّم، ولا نضيف إلا الفئة العمرية للطفل ولغة الحديث والصفحة التي فيها الطفل من التطبيق. ونرسل ذلك إلى Anthropic, PBC كما في المعلّم، ونعيد جوابها إلى الطفل. ولا نحفظ شيئًا من الحديث: يبقى في تلك الصفحة من التطبيق حتى تُغلق؛ ولا نحفظ منها إلا عدد أدوار كل طفل في كل يوم وكلفتها، محسوبةً مع أدوار المعلّم.

الحديث بالصوت

وفي حساب العائلة يستطيع الطفل أيضًا أن يتحدث بالصوت مع تمّورة، أو مع المعلّم الذي يختاره في الأكاديمية، بعد أن يوافق أحد الوالدين لذلك الطفل (الموافقة نفسها، مُعطاةً منذ أن ذكرت الصوت)، وحين يكون فريقنا قد فتح الصوت، ولدقائق معدودة في اليوم. ولا تبدأ المكالمة إلا حين يلمس الطفل زرّها، ويطلب الجهاز الميكروفون أولًا. وأثناء المكالمة يذهب صوت الطفل من جهازه مباشرة إلى OpenAI OpCo, LLC، شركة الذكاء الاصطناعي التي تشغّل الصوت لحسابنا (أدناه)، عبر اتصال مشفّر، ويعود الجواب المنطوق بالطريق نفسه؛ ولذلك تتلقّى OpenAI أيضًا عنوان IP للجهاز. ولا يفعل خادمنا إلا أن يفتح المكالمة: يعطي OpenAI تعليمات المكالمة — من يتحدث (تمّورة أو أيّ معلّم)، واللغة، والفئة العمرية للطفل، وفي الدرس هدف الدرس — ولا يعطيها أبدًا اسم الطفل ولا تفاصيل العائلة. ونطلب من OpenAI ألا تحفظ المحادثة؛ ولا تستخدم OpenAI ما يصلها عبر خدماتها للأعمال لتدريب نماذجها، وقد تحتفظ به حتى 30 يومًا لكشف إساءة الاستخدام ومنعها، أو مدةً أطول حيث يوجب القانون ذلك. ولا يُصنع للمكالمة تسجيل ولا يُحفظ، لا على الجهاز ولا لدينا. وما قاله الطفل كما سمعته خدمة الصوت، والأجوبة، تظهر كلماتٍ على الشاشة أثناء المكالمة؛ وفي الدرس تنضم إلى أدوار الدرس وتُحفظ كما سبق، ومع تمّورة تبقى في تلك الصفحة حتى تُغلق. ونحفظ من المكالمات، لكل طفل في كل يوم، عددها ودقائقها وكلفتها، ولكل مكالمة صاحبها ومن تحدّث فيها ولغتها ومدتها، لمدة 7 أيام.

تجربة تمّورة بلا حساب

يستطيع الزائر أن يجرّب التطبيق بطفل نموذجي ودون حساب (جولة الزائر)، وأن يأخذ درسًا بالصوت في tamoora.com/learn. وفي الجولة لا تجيب تمّورة كتابةً ولا صوتًا إلا بعد أن يوافق الزائر على الشاشة التي تبيّن ذلك؛ ولا يبدأ الدرس بالصوت إلا حين يلمس الزائر زرّ بدئه، في صفحة تبيّن أنه يستعمل الميكروفون وإلى أين يذهب الصوت. وفي كل دور من حديثها يرسل الجهاز إلى خادمنا ما يكتبه الزائر أو يلمسه وآخر أدوار الحديث؛ فنحذف منه عناوين البريد والروابط والمعرّفات والأرقام نفسها التي نحذفها للطفل، ونرسله إلى Anthropic, PBC كما في المعلّم. وأثناء المكالمة أو الدرس بالصوت يذهب صوت الزائر من جهازه مباشرة إلى OpenAI OpCo, LLC كما هو مبيَّن في «الحديث بالصوت». ولا نحفظ للزائر كلماتٍ ولا تسجيلًا: نحفظ فقط رقمًا عشوائيًا للزيارة، ورمزًا باتجاه واحد مصنوعًا من عنوان الشبكة في ذلك اليوم (حتى لا يستنفد عنوان واحد حصة اليوم)، وعدد الأدوار والمكالمات والثواني التي استعملتها الزيارة وكلفتها، لمدة 30 يومًا؛ وسجل كل مكالمة لمدة 7 أيام.

سجلات تحفظ أمان الحساب

• جلسات الدخول: رمز عشوائي لا يُحفظ إلا بصمةً، واسم متصفحك وإصداره، وبصمة مفتاحية باتجاه واحد لعنوان IP. لا نحفظ عناوين IP نفسها.
• سجلّ لما يجري في الحساب (مثل الدخول، أو إضافة طفل أو إزالته، أو ربط جهاز طفل أو إيقافه، أو تغيير وقت طفل، أو تغيير الرقم السري)، مع البصمة نفسها.
• حين يحفظ جهاز طفل تغييرًا في إعداد لا يغيّره إلا الوالدان (مثل ما يُسمح للطفل بفتحه) دون رقم الوالدين السري، يبقى إعداد العائلة نفسه، ويسجّل السجلّ أي الإعدادات كانت — دون محتواها أبدًا — مرة في الساعة على الأكثر.
• سجلّ بما وافقت عليه: أي وثيقة، وأي نسخة، ومتى، مع بصمة IP والمتصفح.

ما لا نجمعه

• لا صور ولا فيديو ولا تسجيلات صوتية، ولا موقع دقيق، ولا جهات اتصال، ولا معرّفات إعلانية (والمكالمة بالصوت، أعلاه، تُسمع أثناءها ولا تُسجَّل). ولا تطلب تمّورة على tamoora.com موقعك. ولا تطلب الكاميرا إلا حين يختار أحد الوالدين تصوير جدول المدرسة، أو حين يصوّر الطفل واجبه بعد أن يسمح بذلك أحد الوالدين من مساحة الأهل؛ وتبقى الصورة في المتصفح على ذلك الجهاز، ولا تُرسل إلينا ولا إلى أحد. ولا تطلب الميكروفون إلا حين يضغط الطفل ليتحدث بالصوت مع تمّورة أو مع معلّم (أعلاه)، أو ليسجّل صوته في تدريب المحادثة في الأكاديمية، ويستطيع الوالدان إيقاف ذلك من مساحة الأهل في الأكاديمية؛ ويبقى تسجيل التدريب على الجهاز ليُستمع إليه، ولا يُرسل إلينا ولا إلى أحد.
• لا إعلانات، ولا تتبّع منّا أو لحسابنا، في أي صفحة من صفحات تمّورة. ولا نعدّ زيارات صفحاتنا العامة إلا مجاميعَ يومية (انظر أدناه). والخدمة الخارجية الوحيدة التي قد يصل إليها الطفل هي YouTube، وذلك بعد أن تفتح الفيديو لذلك الطفل فقط (انظر أدناه).

زيارات صفحاتنا العامة

لنعرف كم شخصًا يزور tamoora.com وكيف وصل إليه، نعدّ زيارات صفحاتنا العامة — الصفحة الرئيسية، وصفحات الدخول والتسجيل وتأكيد البريد واستعادة الحساب والانضمام إلى عائلة، وهذه الصفحات القانونية — مجاميعَ يومية: الصفحة، وطريقة الوصول (محرّك بحث، أو شبكة اجتماعية، أو موقع آخر، أو رابط حملة، أو مباشرة)، ونوع الجهاز (جوال أو جهاز لوحي أو حاسوب)، والدولة كما تُبلغ عنها شبكتنا. ولا نستخدم لذلك أي ملف تعريف ارتباط أو معرّف، ولا نحفظ عنوان IP ولا اسم المتصفح ولا عنوان الموقع الذي جئت منه؛ ولا يُعدّ شيء في مساحة ولي الأمر ولا في تطبيق الطفل. وكل حساب عائلة يبدأ تجربة يضيف واحدًا إلى عدد بدايات التجربة في ذلك اليوم، بحسب نوع الجهاز والدولة، دون أي ربط بالعائلة.

الفيديو من YouTube

الفيديو مغلق للطفل حتى تفتحه أنت لذلك الطفل: من مساحة ولي الأمر (ومنها حين تضيف الطفل)، أو من شاشة الأهل في التطبيق برقم الوالدين السري؛ ويمكنك إغلاقه من جديد في أي وقت. وبعد أن يُفتح يستطيع الطفل مشاهدة فيديوهات من قنوات YouTube اختارها فريقنا لعمر الطفل، ومن ثلاث قنوات على الأكثر تضيفها أنت لعائلتك، ضمن وقت الفيديو في اشتراكك والأوقات التي تضعها. ويقرأ خادمنا قوائم الفيديو العامة لتلك القنوات عبر واجهة YouTube الرسمية، ولا يحفظ عن كل فيديو إلا حقائق عنه، مثل مدته وهل صُنع للأطفال؛ ولا يظهر فيديو إلا إذا اجتاز قواعد الفريق لذلك العمر، وكلماتك أنت، ومرشّحاتنا (لا مقاطع قصيرة، ولا بثّ مباشر، ولا شيء مقيّد بالعمر). ويجري بحث الطفل على خادمنا، في تلك الفيديوهات؛ وحيث يسمح فريقنا بذلك لعمر الطفل قد تذهب بضع عمليات بحث في اليوم أيضًا من خادمنا إلى بحث YouTube، بكلمات البحث وحدها، دون أي شيء عن الطفل أو العائلة أو الجهاز. وعلى جهاز الطفل تُحمَّل صور الفيديوهات من خوادم YouTube، ويُعرض الفيديو في مشغّل YouTube نفسه، في وضع الخصوصية المحسّنة (youtube-nocookie.com). ولذلك تتلقّى YouTube (التابعة لشركة Google LLC) عنوان IP للجهاز ومعلومات المتصفح، وقد تحفظ ملفات تعريف ارتباط خاصة بها أو بيانات مشابهة على الجهاز، وفق شروط YouTube وسياسة خصوصية Google. ولا نرسل إلى YouTube أي معلومات عن الحساب أو الطفل أو تقدّمه. ولا يُحمَّل شيء من YouTube قبل أن يُفتح الفيديو للطفل ويذهب الطفل إليه.

المدفوعات

تعالج Stripe, Inc. المدفوعات على الويب، في صفحاتها الآمنة الخاصة بها. ولفتحها لا نعطي Stripe إلا البريد الإلكتروني لصاحب الحساب، والمعرّف الداخلي للعائلة، والاشتراك المختار — ولا شيء عن أي طفل أبدًا. وهناك تعطي Stripe بيانات بطاقتك أو وسيلة دفعك الأخرى، والاسم وعنوان الفوترة إن طلبتهما؛ وتعالجها Stripe وفق سياسة خصوصية Stripe، ومن ذلك منع الاحتيال والوفاء بالتزاماتها القانونية. ويصلنا من Stripe ونحفظ: مراجعها، وحالة اشتراكك، ولكل دفعة رقم الفاتورة، والاشتراك ومدته، والمبالغ المدفوعة أو المستردّة، ونوع وسيلة الدفع: بطاقة، أو محفظة مثل Apple Pay أو Google Pay، أو خصم مصرفي. ولا نرى رقم بطاقتك كاملًا أبدًا. وقد تحمل ردود Stripe إلى خدمتنا اسمك وعنوان الفوترة، وجزءًا من بياناتك المصرفية في الخصم المصرفي؛ ولا نستعمل منها إلا نوع وسيلة الدفع، ولا نحفظ الباقي أبدًا.

وفي تطبيق تمّورة على iPhone وiPad يُشترى الاشتراك من Apple، في نافذة الدفع الخاصة بها، ويُدفع من حساب Apple الخاص بك؛ وتعالجه Apple وفق سياسة خصوصية Apple. ولا تعطينا Apple شيئًا من حساب Apple الخاص بك — لا اسمًا ولا بريدًا إلكترونيًا ولا بيانات دفع. ومع الشراء لا يعطي التطبيقُ Apple إلا رقمًا عشوائيًا نصنعه لعائلتك، ليعود سجلّ Apple للشراء إلى حساب عائلتك. ويصلنا من Apple ونحفظ لكل اشتراك سجلّه الموقَّع من Apple: أرقام معاملاته، والاشتراك ومدة الفوترة وعدد الأطفال، ومتى اشتُري ومتى تنتهي مدته، وهل سيتجدّد، وأي مهلة تمنحها Apple بعد تجديد تعذّر خصمه، وأي استرداد أو إلغاء، وهل كان شراءً تجريبيًا. ونتحقق من كل سجلّ بشهادة Apple الخاصة قبل أن نستعمله. أما المشتريات داخل تطبيق تمّورة من Google Play فتعالجها Google Play.

حين تراسلنا

إذا راسلتنا بالبريد نحفظ رسالتك وردّنا عليها لنتمكّن من مساعدتك.

كيف نستخدمها

• لتشغيل حساب عائلتك: الدخول، وملفات أطفالك، وحفظ تقدّم كل طفل من جهازه في حسابك، واستعادة النسخ السابقة.
• لتطبيق ما تضعه من ضوابط: جهاز واحد لكل طفل، والوقت اليومي ووقت الفيديو، والإيقاف المؤقت، وإبقاء إعدادات العائلة نفسها في تطبيق الطفل.
• ليتحدث المعلّم الذكي في الأكاديمية وتمّورة مع الطفل الذي وافق له أحد والديه، كتابةً وصوتًا، ضمن عدد من الأدوار والدقائق في اليوم.
• لفوترة الاشتراك الذي تختاره عبر Stripe أو Apple، والاحتفاظ بسجلات الدفع التي يوجبها القانون.
• لحفظ أمان الخدمة وحسابك: حدود للمحاولات المتكررة، وإيقاف الدخول 15 دقيقة بعد 8 محاولات فاشلة، وسجلّ ما يجري في الحساب.
• للاحتفاظ بسجلّ ما منحته من موافقات، والرد على طلباتك، والوفاء بالالتزامات القانونية.
• لنعرف كم شخصًا يزور صفحاتنا العامة وكيف يصل إليها، من مجاميع يومية لا تحدّد هوية أحد.

لا نستخدم أي معلومة للإعلان، ولا نبني ملفات تسويقية، ولا نبيعها ولا نؤجّرها، ولا نستخدم معلومات الأطفال لتدريب نماذج الذكاء الاصطناعي، ولا تستخدمها لذلك شركتا الذكاء الاصطناعي اللتان تشغّلان المعلّم وتمّورة والصوت. ولا نتخذ بشأنك أو بشأن أطفالك قرارات آلية لها آثار قانونية أو آثار مماثلة في أهميتها.

الأسس القانونية (اللائحة الأوروبية GDPR)

• العقد: لتقديم حساب العائلة الذي طلبته، والاشتراك الذي تشتريه (المادة 6(1)(ب)).
• الموافقة: موافقة الوالد أو الوليّ على بيانات كل طفل، وموافقته المستقلة على المعلّم الذكي وتمّورة والصوت لكل طفل (المادتان 6(1)(أ) و8). ويمكنك سحبها في أي وقت بإيقافها، أو بحذف الطفل نهائيًا، أو بحذف الحساب.
• المصالح المشروعة: لحفظ أمان الخدمة ومنع إساءة استخدامها، ولعدّ زيارات صفحاتنا العامة مجاميعَ يومية (المادة 6(1)(و)).
• الالتزام القانوني: حين يُلزمنا القانون بالاحتفاظ بمعلومات أو الإفصاح عنها، كسجلات الدفع (المادة 6(1)(ج)).

أين تُحفظ بياناتك ومن يساعدنا

يُحفظ حساب عائلتك في فرانكفورت بألمانيا. ونستعين بمقدّمي الخدمات التالين، وكلٌّ منهم بموجب اتفاق مكتوب لا يتيح له معالجة البيانات إلا بتعليماتنا:

لا نبيع المعلومات الشخصية ولا نشاركها، ولا نعطيها لأحد لأغراضه الخاصة. ولا نُفصح عنها إلا لمقدّمي الخدمات أعلاه، أو حين يوجب القانون ذلك، أو لحماية سلامة طفل. وإذا دخلت Tokra, LLC يومًا في اندماج أو بيع، فلن تنتقل حسابات العائلات إلا مع ضمانات هذه السياسة، وسنخبرك أولًا.

نقل البيانات بين الدول

تُحفظ بياناتك داخل الاتحاد الأوروبي. وبعض مقدّمي الخدمات أعلاه مقرّهم الولايات المتحدة أو قد يعالجون البيانات فيها. وحين تخرج البيانات من المنطقة الاقتصادية الأوروبية أو المملكة المتحدة أو سويسرا، نعتمد على البنود التعاقدية القياسية الصادرة عن المفوضية الأوروبية، أو إطار خصوصية البيانات بين الاتحاد الأوروبي والولايات المتحدة إذا كان مقدّم الخدمة معتمدًا فيه، أو ضمانة نظامية أخرى.

مدة الاحتفاظ

• حساب عائلتك، وملفات أطفالك، وتقدّمهم: ما دام الحساب قائمًا.
• الطفل الذي تزيله من قائمتك يبقى محفوظًا لتتمكّن من إعادته، إلى أن تحذفه نهائيًا أو تحذف الحساب.
• حين تحذف طفلًا نهائيًا أو تحذف الحساب، تُحذف البيانات من قاعدة بياناتنا العاملة فورًا مع نسخ الطفل السابقة. ثم لا يحتفظ سجلّ الحساب إلا بأن إجراءات قد جرت، بلا اسم ولا بريد ولا بصمة IP، وتبقى سجلات الدفع المبيّنة أدناه. ونسخنا الاحتياطية المشفّرة تُستبدل تباعًا، فتزول منها البيانات المحذوفة خلال 35 يومًا.
• سجلات الدفع — رقم الفاتورة، والاشتراك ومدته، والمبالغ المدفوعة أو المستردّة، ونوع وسيلة الدفع: 10 سنوات من نهاية سنة الدفعة، كما توجب قوانين الضرائب والمحاسبة، وحتى بعد حذف الحساب. ولا تحمل اسمًا ولا بريدًا إلكترونيًا ولا رقم بطاقة. وحذف الحساب يحذف أيضًا سجلّك لدى Stripe، فورًا، أو حين يمكن الوصول إلى Stripe إن تعذّر ذلك لحظتها؛ وتحتفظ Stripe بسجلاتها الخاصة للمدفوعات السابقة كما يوجب عليها القانون. والإشعارات التي ترسلها إلينا Stripe عن المدفوعات: 90 يومًا.
• سجلات Apple لاشتراك اشتُري في التطبيق: ما دام الحساب قائمًا. وعند حذف الحساب تُحفظ دون ربط بأي عائلة حتى مرور 90 يومًا على نهاية آخر مدة للاشتراك، ليتمكّن أحد الوالدين من استعادته في حساب عائلة جديد، ثم تُحذف. والإشعارات التي ترسلها إلينا Apple عن الاشتراكات: 90 يومًا.
• تدوم جلسة الدخول 30 يومًا وتُمدّد ما دمت تستخدم تمّورة؛ والجلسات المنتهية تُزال بعد 30 يومًا. وروابط الدخول وكلمة المرور تُزال بعد 7 أيام من انتهائها، وعدّادات المحاولات المتكررة بعد يومين.
• دقائق كل طفل في اليوم، وأدواره مع المعلّم الذكي وتمّورة وكلفتها في اليوم، ومكالماته بالصوت ودقائقها وكلفتها في اليوم: 90 يومًا. وسجل كل مكالمة: 7 أيام. وجهاز الطفل الذي أوقفته: 90 يومًا بعد إيقافه. ورمز ربط الجهاز: يومًا واحدًا بعد انتهاء مدته.
• كلمات الدرس مع المعلّم الذكي: لدينا آخر أدواره فقط، في تقدّم الطفل المحفوظ ونسخه السابقة، ما دامت محفوظة؛ ولدى Anthropic كما سبق بيانه.
• الحديث مع تمّورة: لا شيء لدينا؛ ولدى Anthropic كما سبق بيانه. المكالمة بالصوت: لا تسجيل، لا على الجهاز ولا لدينا؛ وكلماتها في الدرس كما سبق؛ ولدى OpenAI كما سبق بيانه.
• الزائر الذي يجرّب تمّورة بلا حساب: لا كلمات ولا تسجيل لدينا؛ ورقم الزيارة العشوائي والرمز المصنوع من عنوان الشبكة وأعدادها: 30 يومًا؛ وسجل كل مكالمة: 7 أيام.
• مجاميع الزيارات اليومية: حتى 400 يوم.

الأمان

كل اتصال مشفّر (HTTPS مع HSTS). وتُحفظ كلمات المرور والأرقام السرية بصماتِ scrypt، وعناوين IP بصماتٍ مفتاحية، وتُشفّر النسخ الاحتياطية قبل تخزينها. ويقتصر الوصول إلى الأنظمة التي تشغّل تمّورة على من يشغّلونها. ولا يوجد نظام آمن تمامًا؛ وإذا أصاب اختراق بياناتك فسنخبرك ونخبر الجهات المختصة كما يوجب القانون.

حقوقك وخياراتك

• الاطّلاع على بياناتك وأخذها: في إعدادات عائلتك يعطيك «تنزيل نسخة من بيانات العائلة» ملفًا واحدًا فيه عائلتك، والبالغون فيها، وأطفالها مع تقدّمهم المحفوظ وأجهزتهم ووقتهم وأيامهم مع المعلّم الذكي وتمّورة والصوت، وموافقاتك، واشتراكك، ومدفوعاتك.
• تصحيحها: غيّر الأسماء والتفاصيل من الإعدادات.
• حذفها: احذف طفلًا نهائيًا، أو احذف حساب العائلة كله، من الإعدادات — أو راسل privacy@tamoora.com.
• سحب الموافقة أو إيقاف أي جمع لاحق: أوقف المعلّم الذكي (ومعه تمّورة والصوت) لأي طفل في أي وقت، ولو دون اشتراك؛ أو احذف الطفل نهائيًا أو احذف الحساب، فلا يُجمع له شيء بعدها.
• ولك أيضًا الاعتراض على المعالجة أو طلب تقييدها، وتقديم شكوى إلى جهة حماية البيانات.

نردّ خلال 30 يومًا، أو أقرب إن أوجب قانونك ذلك. ولكي لا يتصرّف في بيانات الطفل إلا والده، قد نطلب أن يُقدَّم الطلب أو يُؤكَّد من حساب العائلة بعد تسجيل الدخول. ولن نعاملك بشكل مختلف لأنك استعملت حقوقك.

ملاحظات بحسب المنطقة

• المنطقة الاقتصادية الأوروبية والمملكة المتحدة وسويسرا: لك الحقوق أعلاه بموجب اللائحة العامة لحماية البيانات (GDPR) ونظيرتها البريطانية، ولك تقديم شكوى إلى جهة حماية البيانات المحلية.
• الولايات المتحدة: نلتزم بقانون حماية خصوصية الأطفال على الإنترنت (انظر إشعار خصوصية الأطفال). وبموجب قوانين الخصوصية في كاليفورنيا والولايات الأخرى، لا نبيع المعلومات الشخصية ولا نشاركها ولا نستخدمها للإعلانات الموجّهة؛ ونحترم إشارات Global Privacy Control، وإن لم يكن هناك ما يُنسحب منه.
• المملكة العربية السعودية ودول الخليج: نعالج البيانات وفق نظام حماية البيانات الشخصية، وبموافقة الوليّ فيما يخص الأطفال.
• وفي كل مكان آخر: لك على الأقل الحقوق المذكورة أعلاه.

ملفات تعريف الارتباط والتخزين

لا تستخدم تمّورة إلا ملفات تعريف الارتباط وتخزين المتصفح اللازمة لعملها؛ وقد تضع YouTube ملفاتها الخاصة بعد أن يُفتح الفيديو للطفل ويذهب الطفل إليه. انظر سياسة ملفات تعريف الارتباط والتخزين.

الأطفال

تمّورة مصمّمة للأطفال وتُستخدم عن طريق أحد الوالدين. وطريقة تعاملنا مع معلومات الأطفال مبيّنة في إشعار خصوصية الأطفال، وهو جزء من هذه السياسة.

التغييرات على هذه السياسة

إذا غيّرنا هذه السياسة ننشر النسخة الجديدة هنا مع تاريخها. وإذا كان التغيير جوهريًا أو يمسّ معلومات الأطفال فسنخبرك مسبقًا ونطلب موافقتك من جديد حيث يوجب القانون ذلك.