سياسة الخصوصية وحماية البيانات الشخصية

1. مقدمة

تولي Minasoft («الشركة» أو «نحن») أهمية كبيرة لحماية البيانات الشخصية أثناء تطوير منصة ZenPACS للتصوير الطبي وإعداد التقارير وتشغيلها وتقديمها.

توضّح سياسة الخصوصية هذه، بموجب القانون رقم 6698 لحماية البيانات الشخصية («KVKK») والتشريعات ذات الصلة، أغراض معالجة البيانات الشخصية وأسسها القانونية وطرق جمعها وشروط نقلها وحقوق أصحاب البيانات. وتشمل المستشفيات ومراكز الأشعة والمؤسسات الصحية التي تستخدم ZenPACS وموظفيها والمرضى الذين تُقدَّم لهم الخدمة.

2. المتحكم في البيانات

الكيان: Minasoft Sağlık Teknoloji Yazılım Danışmanlık Ltd. Şti.

العنوان: Emrah Mah. General Dr. Tevfik Sağlam Cad. No:2/67 باب رقم 101/B كَتشيورين/أنقرة، تركيا

البريد: info@minasoft.com.tr · الهاتف: ‎+90 532 587 08 64

يعمل ZenPACS بمعمارية متعددة المستأجرين. كل مؤسسة صحية متحكم مستقل في بياناتها؛ وتعمل Minasoft كمعالِج للبيانات بصفتها مزوّد المنصة.

3. البيانات الشخصية المعالَجة

تُعالَج بيانات المرضى (بما فيها البيانات الصحية الحساسة) وبيانات المستخدمين:

• بيانات الهوية: الاسم واللقب والرقم الوطني وتاريخ الميلاد والجنس ومعرّف المريض
• بيانات التواصل: الهاتف والبريد الإلكتروني
• البيانات الصحية: صور DICOM (CT، MR، CR، DX، US، MG وغيرها)، تقارير الأشعة، النتائج السريرية، التشخيصات
• البيانات السريرية: رسائل HL7 للطلب/النتيجة، الطبيب المُحيل، ملاحظات الطوارئ والمقارنة
• بيانات الفحص الوصفية: معرّفات الدراسة/السلسلة/النسخة، رقم الوصول، الطريقة، التاريخ/الوقت
• بيانات المستخدم: الاسم، اللقب، اسم المستخدم، كلمة مرور مجزّأة، الدور، المستشفيات المسندة، IBAN (لأطباء الأشعة فقط)، سجلات الوصول (IP، الجلسة، آخر دخول)

4. الأساس القانوني للمعالجة

تُعالَج البيانات استنادًا إلى المواد ذات الصلة في KVKK:

• المادة 5/2(أ) النص الصريح في القانون — حفظ السجلات الطبية وفق التشريعات الصحية
• المادة 5/2(ج) تنفيذ العقد — إدارة حسابات المستخدمين والوصول إلى المنصة
• المادة 5/2(چ) الالتزام القانوني — سجلات التدقيق وحفظ البيانات
• المادة 5/2(و) المصلحة المشروعة — أمن المعلومات وجودة الخدمة
• المادة 6/3 البيانات الحساسة — معالجة البيانات الصحية لأغراض الصحة العامة

5. طرق الجمع

• أجهزة التصوير الطبي: تلقائيًا عبر بروتوكول DICOM
• أنظمة معلومات المستشفيات (HIS): عبر مراسلة HL7 v2
• تطبيق الويب: عبر إدخال المستخدم في واجهة ZenPACS
• إجراءات المسؤول: إنشاء المستخدمين ومنح الصلاحيات
• EdgeServer: تلقائيًا عبر مستقبِل DICOM لكل مستشفى

6. تدابير أمن البيانات

التدابير التقنية:

• جميع الاتصالات الخارجية مشفّرة بـ HTTPS/TLS
• كلمات المرور مجزّأة بـ bcrypt ولا تُخزَّن كنص صريح
• رموز وصول محدودة زمنيًا بـ AES-256-GCM؛ إدارة الجلسات بـ JWT (HMAC-SHA256)
• استعلامات بمعاملات عبر SQLC (منع حقن SQL)
• عزل البيانات على مستوى الصف في المعمارية متعددة المستأجرين
• تحكم في الوصول قائم على الأدوار من 6 مستويات (RBAC)
• تجزئة الشبكة عبر جدار حماية؛ وصول مُتحكَّم به لـ DICOM عبر روابط موقّعة مسبقًا؛ مصادقة متعددة العوامل TOTP
• إداريًا: ISO 27001، SPICE المستوى 2، اتفاقيات سرية للموظفين، تدريبات أمنية سنوية، إلغاء الوصول عند المغادرة

7. مدد حفظ البيانات

• السجلات الطبية وصور DICOM: طوال مدة الحفظ القانونية (20 سنة كحد أدنى وفق التشريعات)، ثم إخفاء الهوية/الحذف الآمن
• تقارير الأشعة: طوال مدة الحفظ القانونية
• حالات المرضى النشطة: 60 يومًا بعد الإغلاق (قابل للضبط)
• بيانات حساب المستخدم: طوال نشاط الحساب + سنة بعد انتهاء العقد
• سجلات التدقيق: 365 يومًا · النسخ الاحتياطية: 3-7 أيام · رموز إعادة التعيين: 3 دقائق · رموز الجلسة: 24 ساعة (ويب)

8. نقل البيانات

محليًا: تبادل البيانات السريرية مع HIS عبر HL7، ونقل مشفّر للبيانات الوصفية من EdgeServer إلى المركز عبر NATS، ونسخ احتياطي داخل الشبكة الخاصة نفسها.

دوليًا: لا تُنقل بيانات المرضى والصور الطبية إلى الخارج. تُستضاف كل البنية الحرجة على خوادم الشركة. تُستخدم فقط بيانات تشغيلية غير حساسة: Mailjet (عناوين البريد فقط)، Cloudflare (DNS فقط)، GitHub (الكود/الصور)، Let's Encrypt (TLS). ولا تُنقل أي بيانات مرضى عبر هذه الخدمات.

9. إخفاء هوية البيانات

يوفّر ZenPACS إخفاء هوية شاملًا عبر مكتبة Gordion DICOM الخاصة بالشركة: إزالة معرّفات المرضى، وإعادة توليد كل معرّفات DICOM، وإزاحة التواريخ، وتنظيف النص الحر، وإزالة وسوم المورّدين، و5 ملفات تعريف جاهزة لإخفاء الهوية. وهو قابل للضبط على مستوى المستشفى ويمكن تطبيقه اختياريًا عند التصدير.

10. حقوق صاحب البيانات

بموجب المادة 11 من KVKK، يحق لأصحاب البيانات معرفة ما إذا كانت بياناتهم تُعالَج، وطلب المعلومات، ومعرفة الغرض والأطراف الثالثة المنقول إليها، وطلب التصحيح/المحو، والاعتراض على التحليل الآلي، والمطالبة بالتعويض.

• البريد: kvkk@minasoft.com.tr
• طلب كتابي: Emrah Mah. Gen. Dr. Tevfik Sağlam Cad. No:2/67/101/B كَتشيورين/أنقرة (عبر كاتب عدل أو بريد مسجّل)
• تُنجَز الطلبات مجانًا خلال 30 يومًا كحد أقصى.

11. سياسة ملفات تعريف الارتباط

يستخدم ZenPACS ملفات تعريف ارتباط محدودة: المصادقة (الجلسة)، تفضيل اللغة وتفضيل السمة (دائمة). ولا تُستخدم ملفات تحليلات أو إعلانات أو تتبّع من أطراف ثالثة.

12. تغييرات السياسة

قد تُحدَّث هذه السياسة وفق المتطلبات القانونية أو التطورات التقنية أو تغييرات الخدمة. ويتم إخطار التغييرات المهمة عبر المنصة و/أو البريد الإلكتروني.

13. التواصل

المتحكم في البيانات: Minasoft Sağlık Teknoloji Yazılım Danışmanlık Ltd. Şti. · KVKK: kvkk@minasoft.com.tr · الأمن: tech@minasoft.com.tr · عام: info@minasoft.com.tr · www.minasoft.com.tr · ISO 27001 | SPICE المستوى 2