عافية · إشعار السياسة · 29 أكتوبر 2026
حوكمة الخصوصية والمساءلة.
تحتاج الخصوصية إلى مسؤولية واضحة وأدلة ومراجعة طوال دورة حياة الخدمة. تحدّد هذه السياسة متطلبات فرق عافية ومعالجيها.
جارٍ تحديد تفضيل البلد…
المسؤولية والمراجعة المستقلة
تتحمل Ironleaf Group FZE مسؤولية المعالجة التي تتحكم بها. ويجب تعيين مسؤولين عن الخصوصية والأمن والمنتج والشؤون السريرية في السجل الداخلي. ولا يجوز لشخص يجمع أدواراً أن يعتمد عمله عالي المخاطر دون مراجعة مستقلة. ويجب أن يتمتع مسؤول حماية البيانات أو الممثل المطلوب قانوناً بالاستقلالية ووسائل الاتصال اللازمة، ولا ينشئ هذا الإشعار تعيينات أو حدوداً قانونية مفترضة لعدد الموظفين.
السجلات والأسس القانونية والخصوصية في التصميم
وثّق لكل معالجة الغرض وفئة البيانات والأساس القانوني والمستلم والموقع وقاعدة الاحتفاظ والمسؤول. واقتصر افتراضياً على الحد الأدنى من الحقول والصلاحيات. وتكون الموافقة محدّدة وقابلة للسحب عند الاستناد إليها؛ ولا تُعرض ضرورات العقد أو القانون أو أساس مسموح آخر كموافقة اختيارية. وتتطلب البيانات الصحية والحساسة الشرط الإضافي والأذونات المطبّقة محلياً.
المعالجة عالية المخاطر وضبط التغيير
قيّم مخاطر الخصوصية والسلامة السريرية والأمن قبل استخدام صحي جديد أو ميزة ذكاء اصطناعي مؤثّرة أو استنتاج حساس أو تصدير لشريك أو تغيير جوهري لمورّد. وأكمل تقييم أثر حماية البيانات عند اللزوم، واستشر مراجعين مؤهلين، واحصل على أي موافقة تنظيمية مطلوبة قبل المعالجة. ووثّق الأدلة والمعالجات والمخاطر المتبقية وقرار الإتاحة، وكرّر المراجعة بعد التغييرات الجوهرية أو الحوادث.
المعالجون ونقل البيانات
اعتمد مقدّمي الخدمة للنطاق والبيانات الفعلية بعد التحقق المناسب واتفاق ملزم يحدّد التعليمات والسرية والأمن والمعالجين الفرعيين والمساعدة والإبلاغ عن الحوادث والحذف أو الإرجاع. ويتطلب النقل آلية قانونية خاصة به وأي إذن صحي محلي، ولا تكفي شهرة المورّد أو عنوان تخزين داخل الخليج. ويلزم اتفاق شريك أعمال بموجب HIPAA عندما ينطبق ذلك الدور القانوني فقط.
الحقوق والحوادث والأدلة
احتفظ بسجل طلبات الحقوق وأدلة الموافقة وسجلات الاحتفاظ والحذف ومراجعات الوصول وقرارات الحوادث دون محتوى صحي غير لازم. وطبّق شرط الإبلاغ وموعده القانونيين للاختصاص المعني بدلاً من افتراض قاعدة عالمية واحدة مدتها 72 ساعة. ودرّب العاملين على أدوارهم، واقصر الوصول على المؤهلين، وراجع السياسة سنوياً على الأقل وعند تغيّر جوهري للقانون أو الخدمة. وتتطلب الاستثناءات مسؤولاً وسبباً وضوابط وموعد انتهاء.
الأسئلة والشكاوى
تواصل مع privacy@getafiyah.com بشأن الخصوصية والصلاحيات والحذف والمخاوف الأمنية، ومع contact@getafiyah.com لشكاوى الخدمة. أرفق وصفاً موجزاً ومرجعاً آمناً، ولا ترسل سجلات صحية أو وثائق هوية أو كلمات مرور أو بيانات بطاقات في الرسالة الأولى. نتحقق من الهوية والصلاحية قبل الإفصاح عن بيانات شخصية أو تعديلها. ويجوز لك تقديم شكوى للجهة الرقابية أو المحكمة المختصة دون التنازل عن أي حق قانوني.
الإمارات العربية المتحدة: قانون حماية البيانات الشخصية
تلتزم عافية، حيث ينطبق ذلك، بالمرسوم بقانون اتحادي رقم 45 لسنة 2021 بشأن حماية البيانات الشخصية، بما يشمل قواعد المعالجة المشروعة والإشعارات الواضحة والموافقة والأمن وحقوق الأفراد ونقل البيانات دولياً. ولا يُشكّل التسجيل في منطقة حرة وحده إعفاءً؛ ولا يسري نظام مستقل لحماية البيانات في منطقة حرة إلا إذا كانت المعالجة تدخل فعلياً في نطاقه. وتخضع البيانات الصحية الشخصية التي ينظّمها تشريع خاص لذلك التشريع القطاعي، بما فيه القانون الاتحادي الإماراتي رقم 2 لسنة 2019 وقواعده التنفيذية المطبّقة. راجع المعلومات الصحية. حماية مرتبطة بالغرض. وبياناتك. حقوق عملية..
المملكة العربية السعودية: نظام حماية البيانات الشخصية
تلتزم عافية، حيث ينطبق ذلك، بنظام حماية البيانات الشخصية السعودي الصادر بالمرسوم الملكي م/19 والمعدّل بالمرسوم الملكي م/148، ولائحته التنفيذية ولائحة نقل البيانات الشخصية إلى خارج المملكة، وتعديلاتها. ويشمل نطاقه معالجة بيانات الأفراد المقيمين في المملكة بواسطة جهات خارجها. نحدّد الغرض والمسوّغ النظامي قبل الجمع، ونميّز المعلومات الإلزامية من الاختيارية، ونحدّ من الجمع والاحتفاظ، ونمكّن الأفراد من حقوقهم المطبّقة. ولا تصلح المصلحة المشروعة مسوّغاً لمعالجة البيانات الحساسة بموجب النظام السعودي؛ إذ تتطلب معالجة البيانات الصحية مسوّغاً نظامياً مستقلاً وضمانات مناسبة.
ضمانات نقل البيانات دولياً في الإمارات والسعودية
يُقيّم كل نقل وفق القانون الذي يحكم الشخص والخدمة والبيانات المعنية. ويتطلب النقل الخاضع لقانون حماية البيانات الإماراتي الاتحادي آلية تجيزها المادتان 22 أو 23. ويتطلب النقل السعودي استيفاء شروط المادة 29 من النظام ولائحة النقل السارية، بما يشمل أساس كفاية منطبقاً أو ضمانات مناسبة أو استثناءً جائزاً، وتقييم المخاطر عند وجوبه. وتشمل المراجعة النقل اللاحق والوصول للدعم من الخارج. واستفسارات الموقع المعالجة في الولايات المتحدة وسجلات التطبيق في الخليج مساران منفصلان، ولكل منهما مراجعته. ولا يمنح اختيار البلد أو قبول ملفات الارتباط أو اختيار خادم خليجي، بذاته، إذناً بالنقل. ولا يجوز بدء المعالجة عند غياب الآلية أو الإذن القطاعي المطلوب.
الإبلاغ عن خروقات البيانات في الإمارات والسعودية
في المعالجة الخاضعة للنظام السعودي، يُبلّغ سدايا خلال 72 ساعة من العلم بالخَرْق عند تحقق موجب الإبلاغ في المادة 24 من اللائحة التنفيذية، ويُبلّغ الأشخاص المتضررون دون تأخير غير مبرّر عند تحقق معيار الضرر أو المساس بالحقوق المنطبق. ويُوثّق التقييم وتُستكمل المعلومات الناقصة مع بيان أسباب أي تأخير. أما الإبلاغ الإماراتي فيتبع موجب الإبلاغ والجهة والمهلة المحدّدة في القواعد الاتحادية أو الصحية المطبّقة؛ ولا تستبدل هذه السياسة القواعد الإماراتية بمهلة عامة قدرها 72 ساعة. ويجب أن تتيح عقود المعالجين التصعيد في الوقت المناسب إلى جهة التحكم المسؤولة.