شروط الاستخدام واتفاقية الاشتراك

1.1. تنظم هذه الشروط استخدام منصة سمايل آيلاند، وهي خدمة سحابية لإدارة عيادات الأسنان تقدمها الشركة عبر الموقع الإلكتروني وتطبيق الويب المتاح على العنوان app.votechx.com أو أي عنوان لاحق تعلنه الشركة.

1.2. تُعد الوثائق التالية جزءاً لا يتجزأ من هذه الاتفاقية، وتُقرأ معها كوحدة واحدة:

• سياسة الخصوصية وحماية البيانات.
• ملحق معالجة البيانات (الوارد في الجزء الأخير من هذه الصفحة).
• نموذج الطلب أو عرض السعر الموقع بين الطرفين، إن وجد (ويشار إليه فيما بعد بـ «نموذج الطلب»).

1.3. عند التعارض بين هذه الوثائق، تسري الأولوية بالترتيب التالي: نموذج الطلب، ثم ملحق معالجة البيانات فيما يخص معالجة البيانات الشخصية، ثم هذه الشروط، ثم سياسة الخصوصية.

1.4. تُقدم المنصة للأعمال والمنشآت الطبية المرخصة فقط، ولا تُقدم للمستهلكين بالمعنى الوارد في قانون حماية المستهلك رقم 181 لسنة 2018. وعليه لا تسري أحكام ذلك القانون على هذه الاتفاقية.

يكون للمصطلحات التالية، أينما وردت في هذه الشروط وملاحقها، المعاني المبينة قرين كل منها:

• الشركة أو نحن: شركة VOTECHX (فوتيكس)، المبينة بياناتها في مقدمة هذه الوثيقة، وهي مالكة المنصة ومشغلتها.
• المنصة: نظام سمايل آيلاند لإدارة عيادات الأسنان بجميع مكوناته، بما فيها الموقع الإلكتروني العام، وتطبيق الويب، وواجهات البرمجة، وقواعد البيانات، والوثائق، وأي تحديث أو تطوير لاحق.
• العيادة: الشخص الاعتباري أو الطبيب المرخص له بمزاولة مهنة طب الأسنان الذي يتعاقد مع الشركة على استخدام المنصة، سواء لعيادة واحدة أو لعدة فروع، ويشمل ذلك من يمثله قانوناً.
• المستخدم: كل شخص طبيعي تمنحه العيادة حساباً للدخول إلى المنصة، مثل المالك، والمدير، وموظف الاستقبال، والطبيب، وموظف المخزن.
• حساب العيادة أو المستأجر: البيئة المنفصلة المخصصة للعيادة داخل المنصة، بقاعدة بياناتها الخاصة وإعداداتها ومستخدميها.
• بيانات العيادة: جميع البيانات والمحتويات التي تدخلها العيادة أو مستخدموها إلى المنصة أو تُنشأ لحسابها، وتشمل بيانات المرضى، والبيانات المالية، وبيانات العاملين، وبيانات المخزون، والإعدادات.
• بيانات المرضى: البيانات الشخصية المتعلقة بمرضى العيادة، بما فيها البيانات الصحية مثل التشخيصات، والعلاجات، ومخططات الأسنان، والملاحظات السريرية، وسجلات المواعيد، والمدفوعات.
• البيانات الشخصية، البيانات الشخصية الحساسة، المتحكم، المعالج، صاحب البيانات، المعالجة: يكون لها المعاني المبينة في قانون حماية البيانات الشخصية رقم 151 لسنة 2020 ولائحته التنفيذية. وتُعد البيانات الصحية من البيانات الشخصية الحساسة.
• المركز: مركز حماية البيانات الشخصية المنشأ بموجب القانون رقم 151 لسنة 2020.
• ملحق معالجة البيانات أو الملحق: الاتفاق المنظم لمعالجة الشركة بيانات المرضى لحساب العيادة، المشار إليه في البند 1.2.
• فترة التجربة: المدة المجانية التي تتيح فيها الشركة المنصة للعيادة لتقييمها قبل الاشتراك المدفوع.
• الاشتراك: الحق في استخدام المنصة مقابل الرسوم المتفق عليها في نموذج الطلب وللمدة المحددة فيه.
• الرسوم: المبالغ المستحقة للشركة مقابل الاشتراك أو أي خدمات إضافية، كما هي مبينة في نموذج الطلب.
• يوم عمل: أي يوم من الأحد إلى الخميس عدا العطلات الرسمية في جمهورية مصر العربية.

3.1. لا يجوز التعاقد على استخدام المنصة إلا للعيادات والمنشآت الطبية المرخصة بمزاولة مهنة طب الأسنان في جمهورية مصر العربية وفقاً لقانون مزاولة مهنة الطب رقم 415 لسنة 1954 وقانون المنشآت الطبية والقوانين المكملة لهما، أو للأشخاص الاعتبارية التي تدير مثل تلك المنشآت.

3.2. يقر الشخص الذي يوافق على هذه الشروط نيابة عن العيادة بأنه بالغ لا يقل عمره عن 18 عاماً، وكامل الأهلية القانونية، ومخول بإلزام العيادة بهذه الاتفاقية.

3.3. يجب ألا يقل عمر أي مستخدم عن 18 عاماً. وتلتزم العيادة بعدم منح حساب لأي شخص دون هذه السن.

3.4. يحق للشركة أن تطلب من العيادة، في أي وقت، ما يثبت ترخيصها أو صفة ممثلها، وأن ترفض الطلب أو توقف الحساب إذا لم يُقدم الإثبات خلال مدة معقولة.

4.1. تنشئ الشركة حساب العيادة بناءً على طلبها، وتسلم بيانات الدخول الأولى للممثل المخول. ويُطلب من كل مستخدم عند أول تسجيل دخول تغيير كلمة المرور المؤقتة والموافقة على هذه الشروط.

4.2. تكون كلمات المرور وبيانات الدخول سرية وشخصية لكل مستخدم. وتلتزم العيادة ومستخدموها بما يلي:

• عدم مشاركة بيانات الدخول مع أي شخص آخر، حتى داخل العيادة.
• استخدام كلمات مرور قوية وتغييرها فوراً عند الاشتباه في تسربها.
• تسجيل الخروج من الأجهزة المشتركة أو العامة بعد الاستخدام.
• إخطار الشركة دون تأخير عند فقدان بيانات الدخول أو الاشتباه في أي دخول غير مصرح به.

4.3. تتحمل العيادة المسؤولية الكاملة عن كل ما يتم عبر حسابات مستخدميها، سواء كان بعلمها أو بغير علمها، إلى أن تُخطر الشركة كتابةً بالاشتباه في الاختراق وتتخذ الشركة ما يلزم لتعطيل الحساب المعني.

4.4. تعتمد المنصة جلسات دخول مؤمنة عبر ملفات تعريف ارتباط (Cookies) من نوع httpOnly تنتهي تلقائياً بعد مدة محددة، ولا تستخدم أي ملفات تعريف ارتباط للإعلان أو التتبع.

5.1. تعمل المنصة بنظام أدوار وصلاحيات يحدد ما يمكن لكل مستخدم رؤيته أو تعديله (مثل: مدير، استقبال، طبيب، موظف مخزن). وتقرر العيادة وحدها من تمنحه أي دور.

5.2. تلتزم العيادة بأن تدير مستخدميها بعناية، وعلى الأخص:

• منح كل مستخدم أدنى الصلاحيات اللازمة لعمله.
• تعطيل حساب أي مستخدم فور انتهاء علاقته بالعيادة أو تغير مهامه.
• مراجعة قائمة المستخدمين وصلاحياتهم دورياً.
• التحقق من أن كل مستخدم يتعامل مع بيانات المرضى ملتزم بواجب السرية المهنية المقرر في قانون مزاولة مهنة الطب رقم 415 لسنة 1954 وقانون العقوبات.

5.3. تُعد العيادة مسؤولة أمام الشركة وأمام الغير عن تصرفات مستخدميها على المنصة، وعن أي إخلال منهم بهذه الشروط.

5.4. تسجل المنصة، لأغراض التدقيق، هوية المستخدم الذي أجرى كل عملية مالية وتاريخها وطبيعة التغيير. ويحق للعيادة الاطلاع على هذا السجل ضمن صلاحيات الأدوار المخصصة لذلك.

6.1. تلتزم العيادة ومستخدموها باستخدام المنصة للأغراض المشروعة المتصلة بإدارة العيادة فقط، ووفقاً للقوانين المصرية المعمول بها، وعلى الأخص قانون حماية البيانات الشخصية رقم 151 لسنة 2020، وقانون مكافحة جرائم تقنية المعلومات رقم 175 لسنة 2018، وقانون مزاولة مهنة الطب رقم 415 لسنة 1954.

6.2. يحظر على العيادة ومستخدميها، على سبيل المثال لا الحصر:

• إدخال بيانات لا تملك العيادة أساساً قانونياً لجمعها أو معالجتها، أو بيانات تخص مرضى لم تحصل العيادة على موافقتهم حيث تكون الموافقة مطلوبة.
• محاولة الدخول إلى حساب عيادة أخرى أو إلى أي جزء من المنصة غير مخصص للعيادة.
• تجاوز أو تعطيل أي إجراء أمني أو تقني في المنصة، أو فحص المنصة أو اختبار اختراقها دون إذن كتابي مسبق من الشركة.
• نسخ المنصة أو أي جزء منها، أو الهندسة العكسية لها، أو محاولة استخراج شفرتها المصدرية، أو إنشاء أعمال مشتقة منها.
• استخدام المنصة لبناء منتج منافس، أو لتقديم خدمة لعيادات أخرى دون اتفاق مكتوب مع الشركة.
• إدخال برمجيات خبيثة، أو تنفيذ أحمال مفرطة تضر بتوافر المنصة للعيادات الأخرى.
• استخدام المنصة لإرسال رسائل غير مرغوب فيها أو لأي غرض مخالف للنظام العام أو الآداب.
• إعارة الحساب أو تأجيره أو إتاحة المنصة لأي طرف ثالث.

6.3. يحق للشركة، عند رصد استخدام مخالف، أن تعلق الحساب المعني أو حساب العيادة بأكمله بعد إخطار العيادة، ما لم تستدعِ خطورة المخالفة التعليق الفوري لحماية المنصة أو العيادات الأخرى أو أصحاب البيانات، وفي هذه الحالة تُخطر العيادة في أقرب وقت ممكن.

7.1. تظل بيانات العيادة، بما فيها بيانات المرضى، ملكاً للعيادة. ولا تكتسب الشركة أي حق فيها سوى الحق المحدود في معالجتها لتقديم المنصة وفقاً لهذه الشروط والملحق.

7.2. فيما يخص بيانات المرضى، تكون العيادة هي المتحكم بالمعنى الوارد في القانون رقم 151 لسنة 2020، لأنها تحدد أغراض المعالجة ووسائلها، وتكون الشركة هي المعالج الذي يعالج تلك البيانات لحساب العيادة وبناءً على تعليماتها الموثقة. وينظم ملحق معالجة البيانات تفاصيل هذه العلاقة.

7.3. تظل العيادة وأطباؤها مسؤولين مسؤولية كاملة عن سرية بيانات المرضى وفقاً لقانون مزاولة مهنة الطب رقم 415 لسنة 1954 وقواعد آداب المهنة، وعن الحصول على الموافقات اللازمة من المرضى، وعن مشروعية جمع البيانات الصحية ومعالجتها بوصفها بيانات شخصية حساسة. واستخدام المنصة لا ينقل أياً من هذه الالتزامات إلى الشركة.

7.4. لا تطلع الشركة على بيانات المرضى ولا تعالجها إلا بالقدر اللازم لتشغيل المنصة وصيانتها، أو لتقديم الدعم الفني بناءً على طلب العيادة، أو لتنفيذ التزام قانوني، ولا تستخدمها لأي غرض آخر، ولا تبيعها أو تشاركها مع أي طرف ثالث.

7.5. لا تستخدم الشركة، في تاريخ هذا الإصدار، أي معالجة آلية بتقنيات الذكاء الاصطناعي على بيانات المرضى. وإذا قررت الشركة مستقبلاً إدخال ميزة من هذا النوع، فلن يجري ذلك إلا بعد تعديل الملحق وإخطار العيادة وحصول العيادة على خيار قبول الميزة أو رفضها.

8.1. المنصة، بما فيها الشفرة المصدرية، والتصميم، والواجهات، والعلامات، والشعارات، والوثائق، وقواعد البيانات من حيث بنيتها، وأي تحسين أو تطوير عليها، ملك خالص للشركة ومحمية بقانون حماية حقوق الملكية الفكرية رقم 82 لسنة 2002 والاتفاقيات الدولية.

8.2. تمنح الشركة العيادة، طوال مدة سريان هذه الاتفاقية، حقاً محدوداً، غير حصري، غير قابل للتنازل أو الترخيص من الباطن، في استخدام المنصة عبر مستخدميها المصرح لهم لأغراض إدارة العيادة فقط.

8.3. لا يمنح استخدام المنصة العيادة أو مستخدميها أي حق في المنصة يتجاوز ما هو مبين صراحةً في هذه الشروط. وتحتفظ الشركة بجميع الحقوق غير الممنوحة صراحةً.

8.4. إذا قدمت العيادة أو مستخدموها اقتراحات أو ملاحظات لتحسين المنصة، يحق للشركة استخدامها دون قيد ودون مقابل، ولا يترتب على ذلك أي حق للعيادة في المنصة أو تطويراتها.

8.5. يحق للعيادة أن تشير إلى أنها تستخدم المنصة. ويجوز للشركة أن تذكر اسم العيادة ضمن قائمة عملائها بعد الحصول على موافقتها الكتابية، ولا يشمل ذلك أي إفصاح عن بيانات العيادة أو مرضاها.

9.1. فترة التجربة. يجوز للشركة أن تتيح المنصة للعيادة مجاناً لمدة تحددها الشركة عند قبول طلب التجربة. ولا تُطلب بطاقة ائتمان أو بيانات دفع لبدء التجربة. وتسري جميع أحكام هذه الشروط والملحق على فترة التجربة.

9.2. يحق للشركة خلال فترة التجربة أن تحد من بعض الميزات أو من حجم البيانات أو عدد المستخدمين، وأن تنهي التجربة في أي وقت بإخطار العيادة، مع منحها مهلة لا تقل عن 7 أيام لتصدير بياناتها.

9.3. الاشتراك المدفوع. يبدأ الاشتراك المدفوع بتوقيع الطرفين نموذج الطلب أو بقبول العيادة عرض السعر كتابةً (بما في ذلك البريد الإلكتروني). ويحدد نموذج الطلب الرسوم، ومدة الاشتراك، وعدد المستخدمين أو الفروع، وأي خدمات إضافية مثل نقل البيانات أو التدريب.

9.4. لا تُعلن الشركة أسعاراً عامة على الموقع، وتُتفق الأسعار مع كل عيادة حسب حجمها واحتياجاتها. ولا يُعد أي سعر ملزماً للشركة ما لم يرد في نموذج الطلب.

9.5. يتجدد الاشتراك تلقائياً لمدد مماثلة ما لم يخطر أحد الطرفين الآخر كتابةً برغبته في عدم التجديد قبل انتهاء المدة الجارية بـ 30 يوماً على الأقل، ما لم ينص نموذج الطلب على غير ذلك.

9.6. يحق للشركة تعديل الرسوم عند التجديد بإخطار العيادة كتابةً قبل انتهاء المدة الجارية بـ 45 يوماً على الأقل. وإذا لم توافق العيادة على الرسوم الجديدة، يحق لها عدم التجديد وفقاً للبند 9.5.

10.1. تصدر الشركة فاتورة بالرسوم وفقاً للدورية المبينة في نموذج الطلب (شهرياً أو سنوياً أو غير ذلك). وتُستحق الفاتورة خلال 14 يوماً من تاريخ إصدارها ما لم يُتفق على خلاف ذلك.

10.2. تُسدد الرسوم بالجنيه المصري وبوسائل الدفع التي تحددها الشركة، وتكون شاملة أو غير شاملة لضريبة القيمة المضافة حسب ما ينص عليه نموذج الطلب. وتتحمل العيادة أي رسوم تحويل بنكي.

10.3. إذا تأخرت العيادة في السداد عن الموعد المستحق، تخطرها الشركة كتابةً بالتأخر وتمنحها مهلة 15 يوماً للسداد. وإذا انقضت المهلة دون سداد، يحق للشركة تعليق الوصول إلى حساب العيادة حتى تمام السداد، مع إبقاء بيانات العيادة محفوظة طوال مدة التعليق.

10.4. إذا استمر عدم السداد لمدة 60 يوماً من تاريخ الاستحقاق، يحق للشركة إنهاء الاتفاقية وفقاً للبند 18، وتسري عندئذ أحكام البند 13 بشأن تصدير البيانات وحذفها.

10.5. لا يُعفي التعليق العيادة من سداد الرسوم المستحقة عن مدة التعليق، ولا يُعد التعليق إنهاءً للاتفاقية.

10.6. لا تُرد الرسوم المسددة إلا في الأحوال المنصوص عليها صراحةً في هذه الشروط أو في نموذج الطلب.

11.1. تبذل الشركة العناية المعقولة لإتاحة المنصة على مدار الساعة طوال أيام الأسبوع، وتستهدف نسبة توافر شهرية لا تقل عن 99% خارج نوافذ الصيانة المعلنة. غير أن هذا الهدف ليس ضماناً، ولا يترتب على عدم بلوغه أي تعويض أو خصم ما لم ينص نموذج الطلب صراحةً على اتفاقية مستوى خدمة.

11.2. يحق للشركة إجراء صيانة مجدولة تؤدي إلى توقف مؤقت للمنصة، على أن تخطر العيادة بها قبل 48 ساعة على الأقل، وأن تجريها قدر الإمكان خارج ساعات العمل المعتادة للعيادات في مصر.

11.3. يحق للشركة إجراء صيانة طارئة دون إخطار مسبق عند الضرورة لحماية أمن المنصة أو سلامة البيانات، على أن تخطر العيادة بأسرع ما يمكن.

11.4. لا تشمل حسابات التوافر أي انقطاع ناتج عن سبب خارج عن السيطرة المعقولة للشركة، مثل أعطال شبكة الإنترنت لدى العيادة، أو أعطال مزود الاستضافة، أو الهجمات الإلكترونية، أو القوة القاهرة.

12.1. تأخذ الشركة نسخة احتياطية يومية على الأقل من قاعدة بيانات كل عيادة، وتحتفظ بها للمدة المبينة في ملحق معالجة البيانات.

12.2. تُستخدم النسخ الاحتياطية لاستعادة الخدمة عند وقوع خلل تقني أو فقدان للبيانات، ولا تُستخدم لأي غرض آخر.

12.3. لا تحل النسخ الاحتياطية للشركة محل واجب العيادة في الاحتفاظ بسجلاتها الطبية والمالية وفقاً للقوانين المنظمة لذلك. ويحق للعيادة طلب نسخة من بياناتها في أي وقت وفقاً للبند 13.

13.1. يحق للعيادة، في أي وقت خلال سريان الاتفاقية، أن تطلب نسخة كاملة من بيانات العيادة بصيغة إلكترونية شائعة قابلة للقراءة الآلية (مثل CSV أو Excel أو JSON). وتقدم الشركة النسخة خلال 10 أيام عمل من الطلب. ويجوز أن تُفرض رسوم معقولة إذا تكرر الطلب أكثر من مرة في الشهر الواحد.

13.2. عند إنهاء الاتفاقية لأي سبب، تُمنح العيادة مهلة 30 يوماً من تاريخ الإنهاء لطلب تصدير بياناتها. وخلال هذه المهلة تحفظ الشركة بيانات العيادة دون إتاحة المنصة للاستخدام.

13.3. بعد انقضاء مهلة الثلاثين يوماً، تحذف الشركة بيانات العيادة نهائياً من الأنظمة الحية خلال 30 يوماً، وتُتلف من النسخ الاحتياطية وفق دورة الاحتفاظ بها المبينة في الملحق. وتؤكد الشركة الحذف كتابةً بناءً على طلب العيادة.

13.4. يجوز للشركة الاحتفاظ بما يلزم من البيانات، بعد الحذف، للوفاء بالتزام قانوني، أو لإثبات الحقوق في نزاع قائم، أو لأغراض المحاسبة، وذلك في أضيق الحدود ولأقصر مدة يستلزمها القانون.

14.1. يلتزم كل طرف بالمحافظة على سرية المعلومات غير العلنية التي يطلع عليها من الطرف الآخر بمناسبة هذه الاتفاقية، وعدم الإفصاح عنها لأي طرف ثالث أو استخدامها لغير أغراض الاتفاقية.

14.2. تشمل المعلومات السرية للشركة المنصة وشفرتها وبنيتها وأسعارها وخططها. وتشمل المعلومات السرية للعيادة بيانات العيادة وبيانات المرضى وبياناتها المالية.

14.3. لا يسري الالتزام بالسرية على المعلومات التي تصبح علنية دون إخلال من الطرف المتلقي، أو التي يثبت أنها كانت في حوزته قبل الإفصاح، أو التي يُلزم بالإفصاح عنها بموجب قانون أو أمر قضائي أو طلب من جهة مختصة، وفي هذه الحالة الأخيرة يخطر الطرف المتلقي الطرف الآخر متى كان ذلك جائزاً قانوناً.

14.4. يستمر الالتزام بالسرية لمدة 5 سنوات بعد انتهاء الاتفاقية، ويستمر بلا حد زمني فيما يخص بيانات المرضى.

15.1. تُقدم المنصة «بحالتها» و«حسب توافرها». وباستثناء ما ورد صراحةً في هذه الشروط أو نموذج الطلب، لا تقدم الشركة أي ضمان صريح أو ضمني بشأن المنصة، بما في ذلك ضمانات الصلاحية لغرض معين أو الخلو من الأخطاء أو الانقطاع.

15.2. المنصة أداة إدارية ولا تقدم مشورة طبية أو محاسبية أو ضريبية أو قانونية. وتظل العيادة وحدها مسؤولة عن قراراتها السريرية والمالية والقانونية، وعن صحة البيانات المدخلة، وعن مراجعة التقارير والمخرجات قبل الاعتماد عليها.

15.3. لا تضمن الشركة أن المنصة تفي بمتطلبات قانونية أو تنظيمية خاصة بالعيادة لم تُذكر صراحةً في نموذج الطلب.

16.1. لا تكون الشركة مسؤولة، بأي حال، عن أي خسارة غير مباشرة أو تبعية، ولا عن فوات الكسب، أو خسارة الأعمال، أو خسارة السمعة، أو خسارة البيانات الناتجة عن إخلال العيادة بواجباتها في إدارة مستخدميها أو حفظ سجلاتها.

16.2. يقتصر الحد الأقصى لمجموع مسؤولية الشركة تجاه العيادة، عن جميع المطالبات الناشئة عن هذه الاتفاقية أو المتصلة بها في أي سنة تعاقدية، على مجموع الرسوم التي سددتها العيادة فعلياً للشركة خلال الاثني عشر شهراً السابقة على الواقعة المنشئة للمطالبة. وإذا لم تكن العيادة قد سددت أي رسوم (كما في فترة التجربة)، تكون مسؤولية الشركة محدودة بالقدر الذي يسمح به القانون.

16.3. لا يسري أي مما ورد في هذا البند على استبعاد أو تحديد مسؤولية الشركة عن الغش أو الخطأ الجسيم أو سوء السلوك المتعمد، وهي مسؤولية لا يجوز الاتفاق على الإعفاء منها وفقاً للمادة 217 من القانون المدني المصري، ولا على أي مسؤولية أخرى لا يجيز القانون استبعادها.

16.4. تسري القيود الواردة في هذا البند على المسؤولية العقدية والتقصيرية على السواء، وأياً كان الأساس القانوني للمطالبة.

17.1. تلتزم العيادة بتعويض الشركة ودفع الضرر عنها وعن مديريها وموظفيها، عن أي مطالبة أو دعوى أو غرامة أو خسارة أو مصروفات (بما فيها أتعاب المحاماة المعقولة) تنشأ عن:

• بيانات أدخلتها العيادة أو مستخدموها إلى المنصة دون أساس قانوني، أو دون الحصول على الموافقات اللازمة من أصحابها، أو بالمخالفة للقانون رقم 151 لسنة 2020.
• إخلال العيادة أو مستخدميها بواجب السرية المهنية تجاه المرضى.
• استخدام العيادة أو مستخدميها للمنصة بالمخالفة لهذه الشروط أو للقانون.
• أي نزاع بين العيادة ومرضاها أو عامليها أو مورديها.

17.2. تخطر الشركة العيادة بأي مطالبة من هذا القبيل خلال مدة معقولة، وتتيح لها المشاركة في الدفاع، ولا تقر الشركة بأي مسؤولية باسم العيادة دون موافقتها الكتابية إلا حيث يقتضي القانون ذلك.

18.1. تسري هذه الاتفاقية من تاريخ موافقة العيادة عليها، وتستمر طوال فترة التجربة ثم مدة الاشتراك وأي تجديد لها، إلى أن تُنهى وفقاً لهذا البند.

18.2. يحق للعيادة إنهاء الاتفاقية في أي وقت بإخطار كتابي، ويسري الإنهاء بنهاية مدة الاشتراك الجارية ما لم ينص نموذج الطلب على غير ذلك، ولا تُرد الرسوم المسددة عن المدة المتبقية.

18.3. يحق لأي من الطرفين إنهاء الاتفاقية فوراً بإخطار كتابي إذا أخل الطرف الآخر إخلالاً جوهرياً بها ولم يصحح الإخلال خلال 30 يوماً من إخطاره به، أو إذا صار الطرف الآخر معسراً أو صدر حكم بإشهار إفلاسه أو تصفيته.

18.4. يحق للشركة إنهاء الاتفاقية فوراً إذا فقدت العيادة ترخيص مزاولة المهنة، أو استخدمت المنصة بما يهدد أمنها أو سلامة بيانات العيادات الأخرى، أو استمر عدم السداد وفقاً للبند 10.4.

18.5. يحق للشركة إيقاف تقديم المنصة نهائياً بإخطار كتابي لا تقل مدته عن 90 يوماً، وفي هذه الحالة ترد للعيادة الرسوم المسددة مقدماً عن المدة غير المستخدمة.

18.6. عند الإنهاء، يتوقف حق العيادة في استخدام المنصة، وتسري أحكام البند 13 بشأن تصدير البيانات وحذفها. وتظل البنود التي تقتضي طبيعتها البقاء سارية بعد الإنهاء، وعلى الأخص البنود 7، و8، و13، و14، و15، و16، و17، و22.

19.1. يحق للشركة تعديل هذه الشروط أو أي من الوثائق المكملة لها. وتُخطر الشركة العيادة بأي تعديل جوهري قبل سريانه بـ 30 يوماً على الأقل، عبر البريد الإلكتروني المسجل أو عبر إشعار داخل المنصة.

19.2. عند سريان تعديل جوهري، تطلب المنصة من كل مستخدم إعادة الموافقة على الشروط عند تسجيل الدخول التالي، ولا يتاح استخدام المنصة إلا بعد الموافقة. وتُحدد كل نسخة برقم إصدار وتاريخ سريان معلنين في أعلى الوثيقة.

19.3. إذا لم توافق العيادة على التعديل، يحق لها إنهاء الاتفاقية بإخطار كتابي قبل تاريخ سريان التعديل، وتُرد لها الرسوم المسددة مقدماً عن المدة المتبقية بعد تاريخ الإنهاء.

19.4. لا تُعد التعديلات التي تفرضها تغييرات في القانون، أو التي لا تنقص من حقوق العيادة، أو التي تقتصر على التوضيح، تعديلات جوهرية، وتسري من تاريخ نشرها.

20.1. لا يُعد أي من الطرفين مخلاً بالاتفاقية إذا تعذر عليه الوفاء بالتزاماته (عدا الالتزام بالسداد) بسبب حدث خارج عن سيطرته المعقولة ولم يكن في الإمكان توقعه أو دفعه، مثل الكوارث الطبيعية، أو الحروب، أو الاضطرابات، أو الأوبئة، أو القرارات الحكومية، أو انقطاع شبكات الاتصالات أو الكهرباء على نطاق واسع، أو أعطال مزود الاستضافة الخارجة عن سيطرة الشركة.

20.2. يخطر الطرف المتأثر الطرف الآخر بالحدث في أقرب وقت ممكن، ويبذل جهداً معقولاً لتقليل أثره. وإذا استمر الحدث أكثر من 60 يوماً، يحق لأي من الطرفين إنهاء الاتفاقية بإخطار كتابي.

21.1. تُرسل الإخطارات إلى الشركة على عنوانها المبين في مقدمة هذه الوثيقة أو على بريدها الإلكتروني info@votechx.com، وتُرسل الإخطارات إلى العيادة على البريد الإلكتروني المسجل لممثلها في حساب العيادة أو على عنوانها المبين في نموذج الطلب.

21.2. يُعد الإخطار بالبريد الإلكتروني واصلاً في يوم العمل التالي لإرساله ما لم يرد إشعار بتعذر التسليم. ويُعد الإخطار داخل المنصة واصلاً عند عرضه للمستخدم عند تسجيل الدخول.

21.3. تلتزم العيادة بتحديث بيانات التواصل الخاصة بها، وتتحمل نتائج عدم وصول الإخطارات بسبب بيانات غير محدثة.

22.1. تخضع هذه الاتفاقية وجميع الوثائق المكملة لها، وكل ما ينشأ عنها أو يتصل بها، لقوانين جمهورية مصر العربية، بما فيها القانون المدني فيما يخص انعقاد العقد وتفسيره وتنفيذه.

22.2. يحاول الطرفان تسوية أي نزاع ودياً خلال 30 يوماً من إخطار أحدهما الآخر به كتابةً. وإذا تعذرت التسوية، تختص محاكم الإسماعيلية بجميع درجاتها دون غيرها بالفصل في النزاع، مع عدم الإخلال بحق الشركة في اللجوء إلى أي محكمة مختصة لاستصدار تدابير وقتية أو تحفظية.

22.3. تقر العيادة بأن الموافقة الإلكترونية على هذه الشروط عبر خانة الموافقة في المنصة تُنشئ عقداً صحيحاً وملزماً وفقاً لأحكام القانون المدني بشأن الإيجاب والقبول، وقانون تنظيم التوقيع الإلكتروني رقم 15 لسنة 2004، وأن سجلات المنصة الخاصة بتاريخ الموافقة ورقم الإصدار وهوية المستخدم تُعد دليلاً على تلك الموافقة.

23.1. حُررت هذه الشروط باللغة العربية، وهي النص الملزم. وأي ترجمة إلى لغة أخرى، بما فيها الملخص الإنجليزي الوارد في نهاية هذه الوثيقة، تُقدم للتيسير فقط، وعند أي تعارض يسود النص العربي.

24.1. الاتفاق الكامل. تمثل هذه الشروط والوثائق المكملة لها كامل الاتفاق بين الطرفين بشأن موضوعها، وتحل محل أي اتفاق أو تفاهم سابق.

24.2. استقلال البنود. إذا قُضي ببطلان أي بند من هذه الشروط أو عدم قابليته للتنفيذ، يظل باقي البنود نافذاً، ويُستبدل بالبند الباطل بند صحيح يحقق أقرب أثر اقتصادي وقانوني له.

24.3. عدم التنازل. لا يُعد تأخر أي طرف في ممارسة حق من حقوقه أو عدم ممارسته تنازلاً عنه.

24.4. التنازل عن الاتفاقية. لا يجوز للعيادة التنازل عن الاتفاقية أو أي من حقوقها بموجبها دون موافقة كتابية من الشركة. ويحق للشركة التنازل عن الاتفاقية إلى خلف قانوني أو إلى شركة تستحوذ على المنصة، بإخطار العيادة، بشرط التزام الخلف بجميع أحكام الاتفاقية والملحق.

24.5. العلاقة بين الطرفين. لا تنشئ هذه الاتفاقية أي شراكة أو وكالة أو علاقة عمل بين الطرفين.

24.6. العناوين. عناوين البنود للتيسير فقط ولا تؤثر في تفسيرها.

هذا الملحق جزء لا يتجزأ من شروط الاستخدام واتفاقية الاشتراك الخاصة بمنصة سمايل آيلاند، ويسري تلقائياً على كل عيادة توافق على تلك الشروط، سواء في فترة التجربة أو في الاشتراك المدفوع، دون حاجة إلى توقيع منفصل. ويجوز للطرفين توقيعه كوثيقة مستقلة إذا طلبت العيادة ذلك. ويُقرأ مع سياسة الخصوصية وحماية البيانات.

1.1. المعالج: شركة VOTECHX (فوتيكس)، الإسماعيلية، جمهورية مصر العربية، سجل تجاري رقم 11284، وهي مشغلة منصة سمايل آيلاند (ويشار إليها فيما بعد بـ «الشركة» أو «المعالج»).

1.2. المتحكم: العيادة أو المنشأة الطبية المرخصة التي تتعاقد على استخدام المنصة، كما هي محددة في نموذج الطلب أو في حساب العيادة (ويشار إليها فيما بعد بـ «العيادة» أو «المتحكم»).

1.3. الغرض من هذا الملحق هو تنظيم معالجة الشركة للبيانات الشخصية، وعلى الأخص بيانات المرضى بوصفها بيانات شخصية حساسة، لحساب العيادة وبناءً على تعليماتها، وفقاً لقانون حماية البيانات الشخصية رقم 151 لسنة 2020 ولائحته التنفيذية (ويشار إليه فيما بعد بـ «القانون»).

2.1. يكون للمصطلحات المعرفة في القانون وفي شروط الاستخدام المعاني ذاتها في هذا الملحق. وبالإضافة إلى ذلك:

• البيانات المعالجة: البيانات الشخصية التي تعالجها الشركة لحساب العيادة بموجب هذا الملحق، كما هي مبينة في الملحق الأول.
• المعالج من الباطن: أي طرف ثالث تستعين به الشركة لمعالجة البيانات المعالجة أو جزء منها لحساب العيادة.
• خرق البيانات: أي إخلال بالأمن يؤدي، عرضاً أو عمداً، إلى إتلاف البيانات المعالجة أو فقدها أو تعديلها أو الإفصاح عنها أو الوصول إليها دون تصريح.
• تعليمات موثقة: التعليمات الواردة في شروط الاستخدام وهذا الملحق ونموذج الطلب، وأي تعليمات كتابية لاحقة تصدرها العيادة عبر ممثلها المخول أو عبر الإجراءات المتاحة داخل المنصة.

3.1. تقر العيادة بأنها المتحكم في البيانات المعالجة، لأنها تحدد أغراض المعالجة ووسائلها، وتقر الشركة بأنها المعالج الذي يعالج البيانات لحساب العيادة.

3.2. أما بيانات حسابات المستخدمين وسجلات الدخول، بالقدر اللازم لتأمين المنصة وتنفيذ العقد، فتكون الشركة متحكماً مستقلاً فيها وفقاً لسياسة الخصوصية، ولا يخل ذلك بالتزاماتها بموجب هذا الملحق.

3.3. لا يجوز للشركة أن تعالج البيانات المعالجة لأي غرض خاص بها، أو أن تحدد بنفسها أغراض معالجتها.

تلتزم الشركة بما يلي:

4.1. التقيد بالتعليمات. ألا تعالج البيانات المعالجة إلا بناءً على التعليمات الموثقة الصادرة من العيادة، ما لم يُلزمها القانون بخلاف ذلك، وفي هذه الحالة تُخطر العيادة بذلك الالتزام قبل المعالجة ما لم يحظر القانون الإخطار. وإذا رأت الشركة أن تعليماً ما يخالف القانون، تُخطر العيادة فوراً وتُرجئ تنفيذه إلى حين التوضيح.

4.2. السرية. أن تضمن أن الأشخاص المصرح لهم بمعالجة البيانات المعالجة ملتزمون بالسرية بموجب عقد أو التزام قانوني، وأن يقتصر وصولهم على ما يلزم لأداء مهامهم.

4.3. الأمن. أن تطبق التدابير التقنية والتنظيمية المبينة في الملحق الثالث، وأن تراجعها وتحدثها بما يتناسب مع المخاطر ومع تطور التقنية، وألا تخفضها خلال مدة الاتفاقية.

4.4. المعالجون من الباطن. ألا تستعين بمعالج من الباطن إلا وفقاً للقسم 6.

4.5. المساعدة في حقوق أصحاب البيانات. أن تساعد العيادة، بالوسائل التقنية المتاحة في المنصة وبقدر معقول، في الرد على طلبات المرضى وغيرهم من أصحاب البيانات لممارسة حقوقهم في العلم والاطلاع والتصحيح والمحو والاعتراض والرجوع عن الموافقة، وأن تحيل إلى العيادة، دون تأخير، أي طلب يصلها مباشرة من صاحب بيانات دون البت فيه.

4.6. المساعدة في الامتثال. أن تساعد العيادة، في حدود ما تملكه من معلومات، في الوفاء بالتزاماتها القانونية المتعلقة بأمن المعالجة والإخطار بالخرق وتقييم أثر المعالجة والتعامل مع المركز.

4.7. الحذف والإعادة. أن تحذف البيانات المعالجة أو تعيدها عند انتهاء الخدمات وفقاً للقسم 11.

4.8. إتاحة المعلومات والتدقيق. أن تتيح للعيادة المعلومات اللازمة لإثبات الامتثال لهذا الملحق، وأن تتيح التدقيق وفقاً للقسم 10.

4.9. الإخطار بالخرق. أن تُخطر العيادة بأي خرق للبيانات وفقاً للقسم 8 والملحق الرابع.

4.10. السجلات. أن تحتفظ بسجل لأنشطة المعالجة التي تجريها لحساب العيادة بالقدر الذي يوجبه القانون.

4.11. الذكاء الاصطناعي. ألا تُخضع البيانات المعالجة لأي معالجة آلية بتقنيات الذكاء الاصطناعي أو لتدريب أي نماذج، ما لم يُتفق على ذلك كتابةً في تعديل لهذا الملحق مع بيان طبيعة المعالجة وضماناتها، ويكون للعيادة خيار القبول أو الرفض.

تلتزم العيادة بما يلي:

5.1. المشروعية. أن تضمن أن جمعها للبيانات المعالجة ونقلها إلى المنصة يستند إلى أساس قانوني صحيح، وأن تحصل على الموافقة الصريحة من المرضى على معالجة بياناتهم الصحية بوصفها بيانات شخصية حساسة حيث يستلزم القانون ذلك، وأن تحتفظ بما يثبت هذه الموافقة.

5.2. الشفافية. أن تُعلم مرضاها، بالوسيلة التي تراها مناسبة، بأنها تستخدم نظاماً إلكترونياً لإدارة ملفاتهم، وبهوية الشركة بوصفها معالجاً، وبمكان تخزين البيانات المبين في الملحق الثاني.

5.3. الدقة. أن تكون مسؤولة عن دقة البيانات المعالجة واكتمالها وتحديثها.

5.4. حقوق أصحاب البيانات. أن تكون الجهة المختصة بتلقي طلبات المرضى والبت فيها، وأن تستخدم أدوات المنصة أو تطلب من الشركة المساعدة عند الحاجة.

5.5. التعليمات. أن تُصدر تعليماتها كتابةً عبر ممثلها المخول، وأن تضمن مطابقتها للقانون.

5.6. إدارة المستخدمين. أن تدير حسابات مستخدميها وصلاحياتهم وفقاً لشروط الاستخدام، إذ إن أي وصول إلى البيانات المعالجة عبر حساب مستخدم صحيح يُعد تصرفاً من العيادة لا من الشركة.

5.7. الامتثال التنظيمي. أن تفي بما يفرضه القانون عليها بوصفها متحكماً، بما في ذلك أي ترخيص أو تصريح أو تسجيل أو تعيين مسؤول حماية بيانات يستلزمه المركز.

5.8. السرية المهنية. أن تظل هي وأطباؤها ملتزمين بواجب السرية الطبية المقرر في قانون مزاولة مهنة الطب رقم 415 لسنة 1954 وقانون العقوبات، وأن استخدام المنصة لا ينقل هذا الواجب إلى الشركة.

6.1. تأذن العيادة للشركة، إذناً عاماً، بالاستعانة بالمعالجين من الباطن المدرجين في الملحق الثاني.

6.2. تُخطر الشركة العيادة كتابةً (بالبريد الإلكتروني أو بإشعار داخل المنصة) قبل إضافة أو استبدال أي معالج من الباطن بمدة لا تقل عن 30 يوماً، مع بيان هويته وخدمته وموقعه.

6.3. يحق للعيادة الاعتراض على المعالج من الباطن الجديد لأسباب معقولة تتصل بحماية البيانات خلال مهلة الإخطار. وإذا لم يتوصل الطرفان إلى حل مقبول خلال 30 يوماً من الاعتراض، يحق للعيادة إنهاء الاتفاقية بإخطار كتابي، وتُرد لها الرسوم المسددة مقدماً عن المدة المتبقية.

6.4. تُلزم الشركة كل معالج من الباطن، بموجب عقد كتابي، بالتزامات لحماية البيانات لا تقل عن تلك المقررة في هذا الملحق، وتظل الشركة مسؤولة أمام العيادة عن تصرفات معالجيها من الباطن.

7.1. تقر العيادة بعلمها بأن البيانات المعالجة تُخزن على خوادم مستضافة لدى مزود استضافة داخل الاتحاد الأوروبي كما هو مبين في الملحق الثاني، وبأن رسائل البريد الإلكتروني التشغيلية (التي لا تتضمن بيانات مرضى) تمر عبر مزود خدمة في الولايات المتحدة الأمريكية.

7.2. تلتزم الشركة بألا تنقل البيانات المعالجة إلى أي دولة أخرى غير المبينة في الملحق الثاني إلا بعد إخطار العيادة قبل النقل بمدة لا تقل عن 30 يوماً، وبمراعاة أن يكون مستوى الحماية في دولة المقصد غير أدنى من المستوى المقرر في القانون.

7.3. تلتزم الشركة بالوفاء بمتطلبات النقل عبر الحدود المقررة في القانون ولائحته التنفيذية، بما في ذلك الحصول على أي ترخيص أو تصريح يستلزمه المركز فور تفعيل آليات إصداره، وتُخطر العيادة بحالة هذا الامتثال بناءً على طلبها.

8.1. تُخطر الشركة العيادة بأي خرق للبيانات المعالجة دون تأخير غير مبرر، وبحد أقصى 48 ساعة من علمها به، وذلك لتمكين العيادة، بوصفها المتحكم، من إخطار المركز خلال 72 ساعة من العلم وفقاً للقانون.

8.2. يتضمن الإخطار، بقدر ما يكون متاحاً وقت إرساله، المعلومات المبينة في الملحق الرابع، وتستكمل الشركة ما ينقص منها على مراحل دون تأخير.

8.3. تتخذ الشركة فوراً ما يلزم لاحتواء الخرق والحد من آثاره، وتتعاون مع العيادة ومع المركز في التحقيق، وتوثق الواقعة وما اتُخذ بشأنها.

8.4. لا تُخطر الشركة المرضى أو المركز مباشرة بخرق يمس البيانات المعالجة إلا بطلب من العيادة أو إذا ألزمها القانون بذلك، وفي الحالة الأخيرة تُخطر العيادة بما أرسلته.

9.1. تتيح المنصة للعيادة الاطلاع على بيانات كل مريض وتصحيحها وتصديرها ضمن صلاحيات المستخدمين، وتساعد الشركة العيادة في حذف بيانات مريض بعينه بناءً على طلب كتابي إذا لم تتوفر أداة ذاتية لذلك، وذلك خلال 10 أيام عمل.

9.2. تقر العيادة بأن حذف بيانات مريض قد يتعارض مع واجبها القانوني في الاحتفاظ بالسجلات الطبية للمدد المقررة، وبأن تقدير ذلك مسؤوليتها وحدها بوصفها المتحكم.

10.1. تقدم الشركة للعيادة، بناءً على طلب كتابي وبما لا يزيد على مرة واحدة في السنة، تقريراً مكتوباً عن التدابير الأمنية والتنظيمية المطبقة وعن الامتثال لهذا الملحق، وترد على الأسئلة المعقولة.

10.2. إذا لم يكفِ التقرير المكتوب بشكل معقول، أو وقع خرق للبيانات، أو طلب المركز ذلك، يحق للعيادة أو لمدقق مستقل تعينه، بعد إخطار كتابي لا تقل مدته عن 30 يوماً، إجراء تدقيق على امتثال الشركة لهذا الملحق، وذلك خلال ساعات العمل، وبما لا يعطل تشغيل المنصة، ومع مراعاة سرية بيانات العيادات الأخرى ومعلومات الشركة السرية، وعلى نفقة العيادة ما لم يكشف التدقيق عن إخلال جوهري.

10.3. يلتزم المدقق باتفاق سرية مقبول للشركة قبل بدء التدقيق.

11.1. عند انتهاء الاتفاقية لأي سبب، تُمنح العيادة مهلة 30 يوماً من تاريخ الإنهاء لطلب إعادة البيانات المعالجة، وتُسلَّم لها خلال هذه المهلة بصيغة إلكترونية شائعة قابلة للقراءة الآلية (مثل CSV أو Excel أو JSON) دون رسوم إضافية.

11.2. بعد انقضاء مهلة الثلاثين يوماً، تحذف الشركة البيانات المعالجة نهائياً من الأنظمة الحية خلال 30 يوماً، وتُتلف من النسخ الاحتياطية وفق دورة الاحتفاظ بها المبينة في الملحق الثالث، وتؤكد الحذف كتابةً بناءً على طلب العيادة.

11.3. يجوز للشركة الاحتفاظ بما يلزم من البيانات، في أضيق الحدود ولأقصر مدة، للوفاء بالتزام قانوني أو لإثبات الحقوق في نزاع قائم، مع استمرار سريان التزامات السرية والأمن على تلك البيانات.

12.1. تخضع مسؤولية كل طرف تجاه الآخر بموجب هذا الملحق لأحكام تحديد المسؤولية والتعويض الواردة في شروط الاستخدام، مع مراعاة أنه لا يجوز استبعاد أو تحديد المسؤولية عن الغش أو الخطأ الجسيم أو سوء السلوك المتعمد.

12.2. يظل كل طرف مسؤولاً تجاه أصحاب البيانات والمركز عما يفرضه عليه القانون مباشرةً بوصفه متحكماً أو معالجاً.

13.1. يسري هذا الملحق طوال مدة شروط الاستخدام، ويستمر بعد انتهائها إلى أن تُحذف جميع البيانات المعالجة أو تُعاد وفقاً للقسم 11.

13.2. عند التعارض بين هذا الملحق وشروط الاستخدام أو سياسة الخصوصية فيما يخص معالجة البيانات المعالجة، يسود هذا الملحق. وعند التعارض بينه وبين نموذج الطلب، يسود نموذج الطلب فقط إذا نص صراحةً على تعديل بند بعينه من هذا الملحق.

13.3. تعدل الشركة هذا الملحق عند تغير القانون أو لائحته التنفيذية أو تعليمات المركز، وتُخطر العيادة بالتعديل وفقاً لإجراء تعديل الشروط، ويُطلب من المستخدمين إعادة الموافقة عند التعديل الجوهري.

14.1. يخضع هذا الملحق لقوانين جمهورية مصر العربية، وتختص محاكم الإسماعيلية دون غيرها بأي نزاع ينشأ عنه.

14.2. حُرر هذا الملحق باللغة العربية، وهي النص الملزم. والملخص الإنجليزي الوارد في نهايته للتيسير فقط.

لا يُعد أي مزود آخر معالجاً من الباطن في تاريخ هذا الإصدار. ويُستخدم واتساب للتواصل بين العيادة والشركة لأغراض المبيعات والدعم فقط بمبادرة من العيادة، ولا تُرسل عبره بيانات مرضى.

أ. الوصول والمصادقة

• مصادقة بالبريد الإلكتروني وكلمة المرور، وتخزين كلمات المرور بصورة مجزأة بخوارزمية معتمدة.
• كلمة مرور مؤقتة عند إنشاء الحساب يُلزم المستخدم بتغييرها عند أول تسجيل دخول.
• جلسات مؤمنة بملفات تعريف ارتباط httpOnly مقيدة بالاتصال المشفر وتنتهي تلقائياً بعد مدة محددة.
• نظام أدوار وصلاحيات (مدير، استقبال، طبيب، موظف مخزن) يقصر وصول كل مستخدم على ما يلزمه؛ فالطبيب مثلاً لا يصل إلى البيانات المالية.
• حماية حسابات المسؤولين الأعلى من التعديل أو الحذف من قبل غيرهم.

ب. عزل البيانات

• قاعدة بيانات منفصلة لكل عيادة، وربط كل طلب بحساب العيادة الصحيح على مستوى الخادم.
• فصل بيئة الإنتاج عن بيئات التطوير والاختبار.

ج. التشفير

• تشفير الاتصال بين متصفح المستخدم والمنصة عبر HTTPS/TLS بشهادات سارية.
• تشفير الاتصال بين مكونات المنصة الداخلية حيثما تجاوز الاتصال حدود الخادم الواحد.

د. التسجيل والمراقبة

• سجل تدقيق لكل تغيير مالي يتضمن هوية المستخدم ووقت التغيير وطبيعته، لا يمكن للمستخدمين تعديله.
• تسجيل أحداث الدخول والخروج ومحاولات الدخول الفاشلة.
• إقفال الفترات المالية بحيث لا يمكن تعديل أرقامها بأثر رجعي دون تسجيل تصحيح صريح.
• مراقبة توافر الخدمة واستهلاك الموارد.

هـ. النسخ الاحتياطي والاستعادة

• نسخة احتياطية يومية على الأقل من قاعدة بيانات كل عيادة.
• الاحتفاظ بالنسخ الاحتياطية لمدة 14 يوماً، ثم تُتلف تلقائياً.
• اختبار الاستعادة من النسخ الاحتياطية دورياً.

و. التشغيل والتنظيم

• قصر وصول فريق التشغيل إلى خوادم الإنتاج على الحد الأدنى اللازم، بمفاتيح وصول فردية، مع التزامهم بالسرية.
• بناء البرمجيات ونشرها عبر خط نشر آلي موثق، دون تعديل يدوي على خوادم الإنتاج.
• تحديث البرمجيات والاعتماديات دورياً لمعالجة الثغرات المعلنة.
• عدم استخدام بيانات الإنتاج في بيئات التطوير أو الاختبار.
• تقييم أمني لأي معالج من الباطن جديد قبل اعتماده.

1. الرصد والاحتواء. عند الاشتباه في خرق للبيانات، يتخذ فريق التشغيل فوراً ما يلزم لاحتوائه (مثل تعطيل الحسابات المتأثرة، أو تدوير مفاتيح الوصول، أو عزل النظام المتأثر) ويبدأ التحقيق.
2. الإخطار الأولي للعيادة (خلال 48 ساعة من العلم). تُرسل الشركة إلى ممثل العيادة المخول، على بريده الإلكتروني المسجل، إخطاراً يتضمن بقدر ما يكون متاحاً: وصف طبيعة الخرق ووقت وقوعه ووقت اكتشافه؛ وفئات أصحاب البيانات والبيانات المتأثرة وعددها التقريبي؛ والآثار المحتملة على أصحاب البيانات؛ والتدابير المتخذة أو المقترحة لمعالجة الخرق والحد من آثاره؛ وبيانات جهة الاتصال في الشركة لمتابعة الواقعة.
3. الإخطارات التكميلية. تستكمل الشركة المعلومات الناقصة على مراحل دون تأخير كلما توفرت.
4. إخطار المركز. تتولى العيادة، بوصفها المتحكم، إخطار المركز خلال 72 ساعة من علمها بالخرق وفقاً للقانون، وتقدم لها الشركة كل مساعدة معقولة في إعداد الإخطار. وإذا مس الخرق بيانات تكون الشركة متحكماً فيها، تُخطر الشركة المركز بنفسها.
5. إخطار أصحاب البيانات. تقرر العيادة، بالتشاور مع الشركة، ما إذا كان الخرق يستلزم إخطار المرضى المتأثرين، وتتولى ذلك الإخطار، وتساعدها الشركة في تحديد المتأثرين وإعداد الرسالة.
6. التوثيق والدروس المستفادة. توثق الشركة الواقعة وأسبابها وآثارها والإجراءات المتخذة، وتقدم للعيادة تقريراً ختامياً خلال 30 يوماً من احتواء الخرق، وتحدث تدابيرها الأمنية بما يمنع تكرار الواقعة.