شفايا هيلث («نحن»)، أحد منتجات يونيون فارماسيوتيكال (القاهرة، مصر)، يقدّم تطبيقًا لدعم القرار الإكلينيكي بالذكاء الاصطناعي موجَّهًا لمزاولي المهن الصحية المرخَّصين والطلاب، ويشغّل هذا الموقع الإلكتروني. وتوضّح هذه السياسة ما نجمعه وكيف نتعامل معه. للاستفسار: zeyad@shifaia.com.
١. بيانات المريض تبقى معك
الطبيب المعالِج هو المتحكّم في بيانات مرضاه. والتطبيق مصمَّم بحيث تبقى المعلومات المحدِّدة لهوية المريض على جهازك؛ ولا تُخزَّن سحابيًا إلا البيانات الإكلينيكية مجهّلة الهوية (مثل السن والنوع والأعراض والتشخيصات والأدوية)، ولا تُرسَل أي بيانات هوية للمريض إلى نماذج الذكاء الاصطناعي التي تساعد في توليد التقييمات. ولا تستخدم خصائص الإرسال (مثل إرسال الروشتة عبر واتساب) إلا بموافقة المريض، واحصل على أي موافقة يقتضيها القانون.
١أ. صفتنا نحن، بوضوح
تختلف صفتنا باختلاف البيانات المقصودة، والإجابة الصادقة أنها ثلاث إجابات مختلفة:
- بيانات حسابك المهني — نحن المتحكّم. اسمك وبريدك الإلكتروني وفئتك المهنية وبيانات ترخيصك بيانات نحتفظ بها نحن. ونحن من يقرّر لماذا وكيف تُعالَج، والالتزامات المتعلّقة بها تقع علينا.
- أي بيانات مريض تصل إلينا — نحن معالِج، نعمل بناءً على تعليماتك. وتظل أنت المتحكّم. نحن لا نقرّر ما يُفعل ببيانات مرضاك؛ بل ننفّذ ما يُطلب من التطبيق فعله بها، ولا شيء غير ذلك.
- البيانات الإكلينيكية مجهّلة الهوية — في رأينا لا تنطبق عليها أي من الصفتين، لأن البيانات التي لا تحدّد هوية شخص ليست بيانات شخصية. ونحن لا نستند إلى هذه الحجة وحدها: فالضمانات الواردة في البنود ٤ و٥ و٩ تسري على تلك البيانات أيًّا كان تكييفها.
٢. المعلومات التي نجمعها
- بيانات الحساب المهني: اسمك، وبريدك الإلكتروني، وفئتك المهنية، وبيانات القيد بالنقابة أو الترخيص (أو الجامعة والكلية والفرقة الدراسية للطلاب)، وإقرارك بأن عمرك ١٨ عامًا أو أكثر، لإنشاء حسابك وتسجيل الأهلية التي تقرّ بها.
- البيانات الإكلينيكية مجهّلة الهوية: حقول إكلينيكية خالية من بيانات هوية المريض المباشرة، تُستخدم في إنتاج دعم القرار وتحسينه.
- بلاغات مخرجات الذكاء الاصطناعي: عندما تختار الإبلاغ عن مخرج غير آمن أو غير صحيح، نجمع سبب البلاغ وأي ملاحظة تكتبها، مرتبطة بحسابك ومرجع محلي للاستشارة. لا يُرفق التقييم أو بيانات المريض تلقائيًا؛ فلا تكتب بيانات تحدد هوية المريض في الملاحظة.
- الإدخال الصوتي: يستخدم التطبيق التعرف على الكلام بدون إنترنت عند توفر النموذج المضمّن. وإذا استخدم خدمة التعرف على الكلام التي يحددها جهاز أندرويد كبديل، فقد يعالج مزود تلك الخدمة الصوت وفق إعدادات جهازك ومزود الخدمة.
- بيانات الموقع: زيارات الموقع. وقد أُوقِف نموذج قائمة الانتظار (الوصول المبكّر)؛ ويُحتفظ بالبريد الذي أُرسل عبره سابقًا حتى يُطلب حذفه فقط.
- البيانات التقنية: معلومات أساسية عن الجهاز والاستخدام لازمة لتشغيل الخدمة وتأمينها.
٣. كيف نستخدم المعلومات
لتقديم الخدمة وتأمينها؛ وتشغيل فحوص السلامة؛ والتحقّق من الأهلية المهنية؛ وتحسين الجودة الإكلينيكية والأداء؛ والتواصل معك بشأن الوصول والتحديثات.
كما نحتفظ بسجلات تشغيلية لكل حساب — أعداد الاستشارات، واستخدام الميزات، والأزمنة، وتقارير الأعطال — لتشغيل الخدمة وتأمينها وتحسينها. وهي سجلات تشغيلية لا إكلينيكية، ويجوز لفريق إكلينيكي صغير الاطّلاع عليها إلى جانب السجلات مجهّلة الهوية الموصوفة في البند ٣أ. ولا تُرفَق بها بيانات هوية للمريض بحكم التصميم.
نحن لا نبيع بياناتك الشخصية، ولا نبيع أو نشارك البيانات الإكلينيكية في أي صورة يمكن ربطها بك أو بمريض بعينه. وقد ننشر أو نشارك أو نرخّص مستقبلًا مجموعات بيانات مجمَّعة أو مجهّلة الهوية بالكامل — مثل أنماط وصف الدواء، وإحصاءات التداخلات الدوائية، والاتجاهات الوبائية — بحيث لا يمكن تتبّعها إلى أي شخص. وإذا فعلنا، فسنذكر ذلك هنا أولًا.
٣أ. هل ندرّب الذكاء الاصطناعي على بياناتك؟ لا.
نحن لا نستخدم بياناتك الإكلينيكية، ولا بيانات مرضاك، في تدريب أي نموذج ذكاء اصطناعي أو ضبطه أو تطويره — لا نماذجنا ولا نماذج غيرنا. ونحن لا نشغّل نماذج مدرَّبة خاصة بنا؛ فالتطبيق يعمل بإرسال تعليمات مُحكَمة الصياغة إلى نموذج عام الغرض، وتحسين التطبيق يعني تحسين تلك التعليمات، لا التعلّم من حالاتك.
ومزوّدو الذكاء الاصطناعي لدينا يقدّمون التعهّد نفسه من جانبهم: تُصرّح مايكروسوفت بأن البيانات المُرسَلة إلى Azure OpenAI لا تُستخدم في تدريب نماذجها، وتُصرّح جوجل بالمثل بشأن الاستخدام المدفوع لواجهة Gemini.
وهناك أمر واحد نفعله بالفعل، ونفضّل أن نذكره لك بدلًا من أن تكتشفه. نحن نقرأ بأنفسنا سجلات الاستشارات مجهّلة الهوية — أي أن يفتح أحد المؤسّسين أو مراجع إكلينيكي سجلًا مخزَّنًا ليتحقّق مما إذا كان التطبيق قد قدّم مشورة جيدة، وليصلح التعليمات إذا لم يفعل. وهذه مراجعة جودة بشرية لبيانات مجهّلة الهوية. وهي ليست تدريبًا لنموذج، وليست آلية، وهي الطريقة التي تُجعل بها أداة لدعم القرار آمنة لا مجرّد مقنعة. وإذا كنت تفضّل استبعاد سجلاتك من هذه المراجعة، فراسلنا وسنستبعدها.
٤. معالجة الذكاء الاصطناعي
تُولَّد مخرجات دعم القرار جزئيًا بنماذج الذكاء الاصطناعي. ولا تُرسَل للمعالجة إلا المُدخلات الإكلينيكية مجهّلة الهوية. وتُستبعد هوية المريض بطريقتين مستقلّتين: فحقول الاسم ورقم الملف والهاتف ليست جزءًا أبدًا من الحمولة التي يرسلها التطبيق، ومنذ أغسطس ٢٠٢٦ تعمل كذلك عملية حذف آلية تزيل الأسماء وأرقام الهواتف وأرقام الرقم القومي وأرقام الملفات من حقول النص الحر — وصف الأعراض، وخطابات التحويل المنسوخة، والملاحظات المُملاة — قبل إرسال أي شيء.
٥. أين تُخزَّن البيانات وتُعالَج
تُستضاف بيانات الحساب والبيانات الإكلينيكية مجهّلة الهوية لدى مزوّد البنية التحتية لدينا (Supabase) داخل الاتحاد الأوروبي (فرانكفورت، ألمانيا).
وتجري معظم معالجة الذكاء الاصطناعي على Microsoft Azure OpenAI / AI Foundry في منطقة السويد الوسطى (الاتحاد الأوروبي). وبموجب المراقبة القياسية لإساءة الاستخدام لدى Azure، قد تحتفظ مايكروسوفت بالنص مجهّل الهوية المُرسَل للمعالجة مدة تصل إلى ثلاثين يومًا لتتمكّن الأنظمة الآلية — ومراجعون مصرَّح لهم من مايكروسوفت عند ظهور مؤشّر إساءة استخدام — من فحص إساءة الاستخدام؛ ثم يُحذف. وتُصرّح مايكروسوفت بأن البيانات المُرسَلة إلى Azure OpenAI لا تُستخدم في تدريب نماذجها.
وتجري بعض المعالجة على واجهة Google Gemini API، وهي غير مثبَّتة جغرافيًا داخل الاتحاد الأوروبي وقد تعالج البيانات في دول أخرى، من بينها الولايات المتحدة.
وهذه المواقع خارج مصر. وبالنسبة للبيانات الإكلينيكية مجهّلة الهوية نرى أنه لا يقع نقل عابر للحدود لبيانات شخصية، لأن البيانات التي لا تحدّد هوية شخص ليست بيانات شخصية. أما بيانات حسابك المهني، وهي محدَّدة الهوية، فيتم نقلها بناءً على موافقتك التي تمنحها عند التسجيل. وفي الحالتين يلتزم مزوّدونا بشروط حماية البيانات التعاقدية الخاصة بهم.
والقائمة الكاملة بمن يتلقّى ماذا موجودة في صفحة المعالِجين من الباطن، والملخّص الموجَّه للمتحكّمين في صفحة المتحكّمين في البيانات.
٦. المشاركة
لا نشارك البيانات إلا مع مزوّدي الخدمات الذين يساعدوننا في تشغيل التطبيق (مثل الاستضافة ومعالجة الذكاء الاصطناعي)، بموجب شروط سرية وحماية بيانات مناسبة، وحيثما يقتضي القانون ذلك.
٧. مدة الاحتفاظ
- سجلات الاستشارات: اثنا عشر شهرًا. تُحذف سجلات الاستشارات مجهّلة الهوية تلقائيًا بعد اثني عشر شهرًا من إنشائها، بمهمة مجدولة تعمل ليليًا.
ولماذا اثنا عشر شهرًا لا أقل؟ لأن سجل استشاراتك يعيش على جهازك، والنسخة السحابية موجودة كي يبقى السجل إذا ضاع الهاتف أو سُرق أو استُبدل. ولكي يكون لذلك قيمة، يجب أن تتجاوز المدة الفجوة بين فقدك للجهاز واستبداله، وأن تغطي سنة كاملة من الرعاية — بما في ذلك شكوى تتكرّر موسميًا، ومتابعة محجوزة بعد شهور. وبعد عام، لا تبقى لسجل دعم القرار قيمة إكلينيكية تُذكر، ويصبح الاحتفاظ به عبئًا على خصوصية مرضاك لا فائدة لرعايتهم. واثنا عشر شهرًا هي النقطة التي يتقاطع عندها الخطّان. - سجلات تدقيق الوصفات: اثنا عشر شهرًا. سجل التدقيق الذي يربط كل روشتة مُنشأة ببصمة لا رجعة فيها لاسم المريض (مشفَّرة بمفتاح لا يغادر جهازك) يُحذف بعد اثني عشر شهرًا من إنشاء كل قيد، بالمهمة المجدولة نفسها.
- بيانات الحساب: يُحتفظ بها ما دام حسابك نشطًا، وتُحذف عند حذفك لحسابك.
- بريد قائمة الانتظار (أُوقِف النموذج): يُحتفظ به حتى يُطلب حذفه فقط.
وشفايا ليس السجل الطبي. هو أداة لدعم القرار، والسجل الذي يحفظه هو سجل لدعم القرار الذي قدّمه لك. ويظل ملف المريض لديك هو السجل الطبي، وأي التزام يقع عليك بحفظه — وقد يكون أطول كثيرًا من اثني عشر شهرًا — لا يتأثر بشيء مما ورد هنا ويبقى التزامًا عليك أنت.
٨. حقوقك، ومنها الحذف
اتساقًا مع قانون حماية البيانات الشخصية المصري (القانون رقم ١٥١ لسنة ٢٠٢٠)، يجوز لك طلب الاطّلاع على بياناتك الشخصية أو تصحيحها أو حذفها، كما يجوز لك سحب موافقتك.
احذف حسابك وكل ما فيه من داخل التطبيق: الإعدادات ← حذف الحساب وجميع البيانات. فوري ونهائي، ويزيل استشاراتك وروشتاتك وملفات الـPDF، وملفك الشخصي، وبيانات دخولك، والسجل المحلي على هذا الجهاز.
كيف يعمل الحذف →٩. الأمان
نستخدم التشفير أثناء النقل وأثناء التخزين، وضوابط وصول على مستوى الصف تقصر كل سجل على الحساب الذي أنشأه، وسجل تدقيق غير قابل للتعديل للروشتات، وتسجيلًا للمراجعة. وحيثما يلزم اسم المريض لربط قيود تدقيق الروشتات، فإنه لا يُخزَّن إلا كبصمة HMAC-SHA256 مُملَّحة لا يغادر مفتاحُها جهازَك، فلا يمكن استرجاع الاسم من خوادمنا. والتطبيق مستبعَد كذلك من النسخ الاحتياطي لنظام أندرويد، فلا يُنسخ السجل المحلي المتضمّن بيانات هوية المرضى خارج جهازك.
ولا يوجد نظام آمن تمامًا؛ فنرجو الحفاظ على حماية جهازك وبيانات دخولك.
١٠. ليس للمرضى ولا للأطفال
التطبيق موجَّه لمزاولي المهن المرخَّصين وللطلاب المقيَّدين — لا للمرضى ولا لعامة الجمهور — وهو غير مُعدّ لمن هم دون الثامنة عشرة.
١١. التعديلات
قد نحدّث هذه السياسة؛ ويعكس تاريخ السريان أعلاه أحدث إصدار. وسيُخطَر بالتعديلات الجوهرية داخل التطبيق أو بالبريد الإلكتروني.
١٢. لغة هذه السياسة
تُنشر هذه السياسة باللغتين العربية والإنجليزية. والنص العربي هو النص المعتمد وهو الذي يُعتدّ به؛ أما النص الإنجليزي فيُقدَّم للتيسير فقط. وعند اختلاف المعنى بين النصّين، يُعتدّ بالنص العربي.