تُعد هذه الاتفاقية جزءًا من شروط الاستخدام، وتنظّم معالجة الشركة لبيانات مرضى العميل وموظفيه نيابةً عنه، وفقًا لقانون حماية البيانات الشخصية رقم 151 لسنة 2020 ولائحته التنفيذية.
1. الأطراف والأدوار
- المتحكم: العميل، أي العيادة أو الطبيب المشترك. يحدد أغراض معالجة بيانات مرضاه ووسائلها.
- المعالج: [الاسم القانوني للشركة]. يعالج البيانات نيابةً عن المتحكم وبناءً على تعليماته، لتشغيل نظام إدارة العيادة.
2. موضوع المعالجة وطبيعتها
- الغرض: تشغيل نظام العيادة، بما فيه:
- تسجيل المرضى وملفاتهم، وحجز المواعيد وتذكيرهم بها؛
- الأنظمة الغذائية والجلسات والروشتات والمستندات الطبية؛
- الفواتير والمدفوعات والتقارير؛
- رسائل واتساب التي يقرر المتحكم إرسالها.
- أصحاب البيانات: مرضى العميل، ومستخدمو العيادة من دكاترة وموظفين.
- فئات البيانات:
- بيانات تعريفية وبيانات تواصل؛
- بيانات صحية: القياسات، والتشخيصات والملاحظات، والأنظمة الغذائية، وخطط الجلسات، والروشتات والمستندات؛
- بيانات مالية خاصة بالفواتير والمدفوعات.
- المدة: طوال مدة اشتراك العميل، ثم مدة التصدير والحذف الواردة في البند 7.
3. التزامات المعالج
- معالجة البيانات وفق تعليمات المتحكم الموثقة فقط، وهي استخدامه للنظام وإعداداته، وعدم استخدامها لأي غرض آخر.
- إلزام كل من يطّلع على البيانات من فريقه بالسرية، وقصر الاطلاع على من يحتاجه لتقديم الخدمة أو الدعم.
- تطبيق التدابير الأمنية الواردة في الملحق، ومراجعتها دوريًا.
- إخطار المتحكم دون تأخير غير مبرر عند العلم بأي خرق للبيانات، وفي موعد أقصاه [72 ساعة]، مع المعلومات المتاحة لمساعدته على الوفاء بالتزاماته تجاه مركز حماية البيانات الشخصية والمرضى.
- مساعدة المتحكم، بقدر ما تسمح به طبيعة الخدمة، في الاستجابة لطلبات أصحاب البيانات: الاطلاع، والتصحيح، والحذف، والاعتراض.
- إتاحة ما يلزم لإثبات الالتزام بهذه الاتفاقية عند الطلب المعقول.
4. المعالجون الفرعيون
يوافق المتحكم على استعانة المعالج بالمعالجين الفرعيين التاليين، على أن يلتزم كل منهم بحماية لا تقل عن هذه الاتفاقية:
- خوادم الاستضافة التي تديرها الشركة.
- Cloudflare: الحماية والتوصيل الآمن.
- WhatsApp.sog.eg: رسائل واتساب، إن فعّلها المتحكم.
- بوابات الدفع (مثل Fawaterk وGeidea): مدفوعات المرضى، إن فعّلها المتحكم.
- Google Drive: النسخ الاحتياطية.
يخطر المعالج المتحكم قبل إضافة أي معالج فرعي جديد، وللمتحكم الاعتراض لأسباب معقولة.
5. النقل خارج جمهورية مصر العربية
قد يعالج بعض المعالجين الفرعيين البيانات خارج مصر، ولا يتم ذلك إلا وفق الضوابط والتراخيص التي يتطلبها القانون رقم 151 لسنة 2020 ولائحته التنفيذية.
6. التزامات المتحكم
- الحصول على موافقة المرضى، وأي ترخيص أو تصريح لازم لمعالجة بياناتهم الصحية، وإبلاغهم بكيفية معالجتها.
- صحة البيانات التي يدخلها، ومشروعية الرسائل التي يرسلها.
- إدارة حسابات مستخدميه وصلاحياتهم، وحماية بيانات الدخول.
7. انتهاء الخدمة
- عند انتهاء الاشتراك، يتيح المعالج للمتحكم تصدير بياناته خلال [30 يومًا].
- بعد تلك المدة يحذف قاعدة بيانات العيادة نهائيًا.
- تُحذف النسخ الاحتياطية بانتهاء أجلها المعتاد، بحد أقصى [12 أسبوعًا].
- يُستثنى ما يلزم القانون بالاحتفاظ به.
ملحق: التدابير الأمنية
- قاعدة بيانات مستقلة لكل عيادة، بمستخدم قاعدة بيانات خاص بها.
- اتصال مشفّر (HTTPS)، وحماية الموقع عبر Cloudflare.
- تشفير كلمات المرور ومفاتيح التكامل المخزنة.
- صلاحيات حسب الدور داخل كل عيادة، وسجل لنشاط المستخدمين.
- التحقق بخطوتين وقفل الحساب عند تكرار المحاولات لفريق المنصة.
- نسخ احتياطي يومي مع تجربة استرجاع دورية، ومراقبة مستمرة وتنبيهات للأعطال.
- تحديث مستمر للبرمجيات وإصلاح الثغرات.