سياسة الخصوصية

1. مقدمة

في Vera، تُعدّ حماية خصوصيتكم قيمة عليا. توضّح هذه السياسة كيفية جمعنا واستخدامنا وحفظنا وحمايتنا لمعلوماتكم الشخصية والطبية أثناء استخدام تطبيق Vera والموقع الإلكتروني وملصقات QR المادية (المشار إليها مجتمعة فيما يلي بـ "الخدمة").

نعمل وفقًا لقانون حماية الخصوصية (חוק הגנת הפרטיות, התשמ"א-1981) (بما في ذلك التعديل 13، התשפ"ה-2025)، ولوائح حماية الخصوصية (أمن المعلومات) (תקנות הגנת הפרטיות (אבטחת מידע), התשע"ז-2017)، ولائحة GDPR الأوروبية (Regulation 2016/679) بقدر انطباقها على المستخدمين المقيمين في الاتحاد الأوروبي.

نوصي بقراءة هذه السياسة بعناية. يُعدّ استخدام الخدمة موافقةً على جمع ومعالجة المعلومات كما هو مفصّل في هذه السياسة، مع مراعاة آليات الموافقة المخصصة للمعلومات الطبية الحساسة كما هو مفصّل في القسم 7.

صيغت هذه السياسة باللغة العبرية. في حالة وجود أي تعارض بين النسخة العبرية وهذه الترجمة، تكون النسخة العبرية هي السائدة.

2. التعريفات

• "المعلومات الشخصية" — أي معلومات تُحدد هوية شخص أو تُتيح التعرف عليه، وفقًا لتعريفها في قانون حماية الخصوصية.
• "المعلومات الحساسة" (Information of Special Sensitivity / ISS) — المعلومات الطبية والصحية أو أي معلومات مصنفة كذات حساسية خاصة وفقًا للتعديل 13 لقانون حماية الخصوصية، و"Special Category Data" وفقًا للمادة 9 من GDPR.
• "المعالجة" — أي عملية تتم على المعلومات، بما في ذلك الجمع والتخزين والاطلاع والاستخدام والنقل والحذف أو الإتلاف.
• "مالك قاعدة البيانات" (Data Controller) — الجهة التي تحدد أغراض ووسائل معالجة المعلومات — Shalhevet Software Solutions.
• "معالج المعلومات" (Data Processor) — جهة تعالج المعلومات نيابة عن مالك قاعدة البيانات وبتوجيهاته.
• "ملصق QR" — ملصق مادي يحمل رمز QR فريدًا يرتبط بالملف الطبي للمستخدم.
• "المسح" — العملية التي يقوم فيها طرف ثالث بمسح رمز QR والوصول إلى المعلومات الطبية المشاركة.
• "الملف الطبي" — مجموع المعلومات الطبية التي يُدخلها المستخدم في التطبيق.

3. هوية مالك قاعدة البيانات (Data Controller)

تُعدّ Shalhevet Software Solutions مالكة قاعدة البيانات والجهة المسؤولة عن معالجة معلوماتكم الشخصية.

3.1 مسؤول حماية الخصوصية (DPO)

وفقًا للتعديل 13 لقانون حماية الخصوصية، عيّن Vera مسؤولاً لحماية الخصوصية مسؤولاً عن ضمان الامتثال لمتطلبات القانون. للاستفسارات المتعلقة بالخصوصية:

4. أنواع المعلومات التي نجمعها

4.1 المعلومات الشخصية المُعرِّفة

• الاسم الكامل
• تاريخ الميلاد
• رقم الهاتف
• عنوان البريد الإلكتروني
• عنوان الشحن (المدينة، الشارع، الشقة، الرمز البريدي)

4.2 المعلومات الطبية الحساسة

• الأدوية (الأسماء، الجرعات، تكرار التناول)
• الحساسيات والتحسسات
• الأمراض المزمنة والحالات الطبية المستمرة
• فصيلة الدم
• جهات الاتصال في حالات الطوارئ (الأسماء، أرقام الهواتف، صلة القرابة)
• معلومات طبية إضافية يختار المستخدم إدخالها في الملف الشخصي

4.3 معلومات الدفع والمعاملات

• تفاصيل المعاملات (المبلغ، التاريخ، المنتج المُشترى)
• بيانات بطاقة الائتمان — تتم معالجتها مباشرة بواسطة Stripe ولا تُخزَّن في خوادم Vera على الإطلاق
• عنوان الفوترة (إن اختلف عن عنوان الشحن)

4.4 المعلومات التقنية ومعلومات الاستخدام

• عنوان IP
• نوع الجهاز ونظام التشغيل وإصدار المتصفح
• معرّف الجهاز (Device ID) ومعرّف التثبيت (Firebase Installation ID)
• بيانات استخدام التطبيق (الصفحات المعروضة، الإجراءات، أوقات الاستخدام)
• سجلات مسح QR (الطابع الزمني، عنوان IP للماسح، نوع جهاز الماسح)
• تفضيلات اللغة
• تقارير الأعطال والأخطاء (Crash Reports)

4.5 معلومات لا نجمعها

• لا نجمع بيانات الموقع الجغرافي (GPS) من الجهاز.
• لا نجمع معلومات بيومترية (بصمة الإصبع، التعرف على الوجه).
• لا نجمع معلومات من جهات الاتصال المخزنة على الجهاز.

5. كيفية جمع المعلومات

• مباشرة منكم — المعلومات التي تُدخلونها بشكل فعّال: تسجيل الحساب، تعبئة الملف الطبي، إجراء طلب شراء، التواصل مع خدمة العملاء.
• بشكل تلقائي — المعلومات التقنية التي تُجمع تلقائيًا أثناء الاستخدام: عنوان IP، نوع الجهاز، بيانات الاستخدام، سجلات مسح QR.
• من مزودي الخدمة — المعلومات التي يُنشئها مزودو خدماتنا: تفاصيل المعاملات من Stripe، بيانات التحليلات من Firebase.

إلزامية تقديم المعلومات: يُشترط تقديم المعلومات الشخصية الأساسية (الاسم، البريد الإلكتروني، الهاتف) لإنشاء حساب. تقديم المعلومات الطبية طوعي تمامًا لكنه ضروري لاستخدام الميزات الأساسية للخدمة (الملف الطبي، ملصق QR). بدون المعلومات الطبية، لن يكون بالإمكان تفعيل ملصق QR أو استخدام ميزات فحص السلامة.

6. أغراض معالجة المعلومات والأساس القانوني

7. الموافقة وسحب الموافقة

7.1 الموافقة الصريحة على المعلومات الطبية

• تتطلب معالجة المعلومات الطبية موافقة صريحة ومنفصلة وقاطعة ومستنيرة. هذه الموافقة ليست جزءًا من قبول شروط الاستخدام العامة.
• تُطلب الموافقة عند إدخال المعلومات الطبية في التطبيق، مع شرح واضح لكيفية الاستخدام والمشاركة.
• تُسجَّل الموافقة وتُوثَّق لأغراض الامتثال والرقابة.

7.2 سحب الموافقة

• يمكن سحب الموافقة على معالجة المعلومات الطبية في أي وقت من خلال إعدادات التطبيق.
• يؤدي سحب الموافقة إلى تعطيل الملف الطبي وإيقاف مشاركة المعلومات عبر QR وحذف المعلومات الطبية خلال 30 يومًا.
• سحب الموافقة لن يؤثر على قانونية المعالجة التي تمت قبل السحب.
• لن يمنع سحب الموافقة استخدام الميزات التي لا تتطلب معلومات طبية.

7.3 آثار عدم تقديم الموافقة

بدون الموافقة على معالجة المعلومات الطبية، لن يكون بالإمكان: إنشاء ملف طبي، أو تفعيل ملصق QR، أو استخدام ميزات فحص السلامة. تبقى باقي ميزات التطبيق (مثل التذكيرات العامة) متاحة.

8. مشاركة المعلومات عبر QR

8.1 آلية العمل

بتفعيل ملصق QR، يوافق المستخدم صراحةً على أن:

• المعلومات الطبية المحددة للمشاركة ستكون متاحة لأي شخص يمسح رمز QR — دون الحاجة إلى التعريف بالهوية أو تنزيل تطبيق أو الحصول على إذن من المستخدم.
• الهدف من الوصول المفتوح هو إتاحة الوصول السريع للمعلومات الحيوية في حالات الطوارئ، بما في ذلك من قبل المسعفين والأطباء والمارة.
• الأساس القانوني لهذا الوصول هو الموافقة الصريحة (عند تفعيل الملصق) والمصالح الحيوية (Art. 9(2)(c) GDPR) في الحالات التي يكون فيها المستخدم غير قادر على تقديم الموافقة.

8.2 تحكم المستخدم

• يتحكم المستخدم في حقول المعلومات التي تظهر عند مسح QR من خلال إعدادات التطبيق.
• يمكن تعطيل الملصق في أي وقت من خلال التطبيق. بعد التعطيل — لن يعرض مسح الرمز أي معلومات.
• في حالة فقدان أو سرقة الملصق — يجب تعطيله فورًا من خلال التطبيق.

8.3 المخاطر المعلومة

• لا يمكن لـ Vera التحكم في هوية الماسحين أو منع عمليات المسح من قبل جهات غير مصرح لها.
• المعلومات التي اطّلع عليها الماسح لا يمكن "إلغاؤها" بعد الاطلاع.
• يسجّل Vera عمليات المسح (الطابع الزمني، عنوان IP، نوع الجهاز) ويعرض للمستخدم سجل المسح.

9. مشاركة المعلومات مع الأطراف الثالثة

9.1 مزودو الخدمة (Data Processors)

اتفاقيات معالجة البيانات (Data Processing Agreements) مُوقَّعة مع جميع مزودي الخدمة وفقًا لمتطلبات المادة 28 من GDPR والتعديل 13 لقانون حماية الخصوصية.

9.2 السلطات

قد يكشف Vera عن المعلومات الشخصية للسلطات القانونية إذا تطلب ذلك القانون أو أمر المحكمة أو لحماية حقوق أو سلامة أو ممتلكات Vera أو مستخدميه أو الجمهور.

9.3 ما لا نفعله

• لا نبيع المعلومات الشخصية أو الطبية لأطراف ثالثة — أبدًا.
• لا نشارك المعلومات الطبية مع جهات إعلانية أو تسويقية أو وسطاء بيانات.
• لا ننقل المعلومات لشركات التأمين أو أصحاب العمل أو أي جهة تجارية أخرى.
• لا نسمح لمزودي الخدمة بالوصول إلى المعلومات الطبية بما يتجاوز ما هو ضروري لتشغيل الخدمة.

10. النقل الدولي للمعلومات

• تُخزَّن المعلومات في خوادم Firebase / Google Cloud، التي قد تكون موجودة في الولايات المتحدة أو الاتحاد الأوروبي أو مناطق أخرى.
• تُعترف بإسرائيل من قبل الاتحاد الأوروبي كدولة ذات مستوى حماية خصوصية مناسب (Adequacy Decision)، وبالتالي يُسمح بنقل المعلومات بين إسرائيل والاتحاد الأوروبي.
• تتم عمليات نقل المعلومات إلى الولايات المتحدة ودول أخرى وفقًا للبنود التعاقدية النموذجية (Standard Contractual Clauses / SCCs) وشروط معالجة البيانات الخاصة بـ Google.
• تعالج Stripe المدفوعات في خوادم حاصلة على أعلى مستوى من شهادة PCI-DSS وتطبّق البنود التعاقدية النموذجية (SCCs) للنقل الدولي.
• تتم جميع عمليات النقل الدولي للمعلومات وفقًا لاتفاقيات نقل البيانات التي تضمن مستوى حماية مكافئًا للقانون الإسرائيلي ولـ GDPR.

11. فترات الاحتفاظ بالمعلومات

عند انتهاء فترة الاحتفاظ، تُحذف المعلومات بشكل آمن أو تخضع لإخفاء كامل للهوية لا يمكن التراجع عنه.

يُجري Vera مراجعة سنوية للمعلومات المحفوظة للتأكد من الالتزام بفترات الاحتفاظ.

12. أمن المعلومات

• التشفير — تُشفَّر جميع المعلومات أثناء السكون (at rest) وأثناء النقل (in transit) باستخدام بروتوكولات TLS 1.2+ وAES-256.
• التحكم في الوصول — يُقتصر الوصول إلى المعلومات الطبية على الجهات المصرح لها فقط من خلال صلاحيات متدرجة (Role-Based Access Control).
• البنية التحتية الآمنة — تلتزم Firebase / Google Cloud بمعايير SOC 2 Type II وISO 27001 وISO 27017 وISO 27018.
• المراقبة والسجلات — مراقبة مستمرة للوصول إلى قواعد البيانات وتسجيل العمليات واكتشاف الحالات الشاذة.
• PCI-DSS — تُعالَج المدفوعات بواسطة Stripe وفقًا لمعيار PCI-DSS Level 1.
• سياسة أمن معلومات مكتوبة — يحتفظ Vera بسياسة أمن معلومات مكتوبة ومحدّثة كما تقتضي اللوائح.
• المراجعة السنوية — تُراجَع خطة أمن المعلومات وتُحدَّث مرة واحدة في السنة على الأقل.

على الرغم من جهودنا الأمنية، لا توجد طريقة تخزين أو نقل رقمية آمنة بنسبة 100%. نلتزم ببذل العناية المعقولة لحماية معلوماتكم وبإبلاغكم عن أي حدث أمني جوهري وفقًا للقانون.

13. حقوق المستخدم

وفقًا لقانون حماية الخصوصية (بما في ذلك التعديل 13) ولـ GDPR، تتوفر لكم الحقوق التالية:

14. الإخطار بخرق البيانات (Data Breach)

• في حالة وقوع حدث أمني خطير قد يمس بحقوقكم — سنُبلغ هيئة حماية الخصوصية (PPA) دون تأخير لا مبرر له، وفقًا للوائح أمن المعلومات.
• إذا كان الخرق قد يُشكّل خطرًا عاليًا على حقوقكم — سنُبلغكم أيضًا بشكل مباشر (بريد إلكتروني، إشعار في التطبيق).
• فيما يتعلق بالخروقات الخاضعة لـ GDPR — سيُرسل الإخطار لهيئة الرقابة خلال 72 ساعة (المادة 33 من GDPR). يُعتبر خرق المعلومات الطبية في الغالب "خطرًا عاليًا" يستوجب إخطار المتضررين.
• يتضمن الإخطار: وصف الخرق، أنواع المعلومات المكشوفة، الإجراءات المتخذة للحدّ من الضرر، وبيانات الاتصال لمزيد من المعلومات.

15. خصوصية القاصرين والملفات التابعة

15.1 القاصرون

• الخدمة مخصصة للبالغين 18 عامًا فما فوق فقط لإنشاء حساب بشكل مستقل.
• يجوز للقاصرين الذين تتراوح أعمارهم بين 14-17 عامًا استخدام الخدمة بموافقة أحد الوالدين أو الوصي القانوني.
• لا نجمع عن علم معلومات شخصية من قاصرين دون سن 14 عامًا دون موافقة مُوثَّقة من أحد الوالدين.
• إذا علمنا بجمع معلومات قاصر دون الموافقة المناسبة — ستُحذف المعلومات فورًا.
• إذا كنتم والدًا أو وصيًا واكتشفتم أن طفلكم استخدم الخدمة — يُرجى التواصل معنا وسنعالج الأمر فورًا.

15.2 الملفات التابعة (أفراد الأسرة)

• يحق لأصحاب الحسابات إنشاء وإدارة ملفات طبية لأفراد الأسرة المعالين (الأطفال، الوالدين المسنين، الأزواج).
• يتطلب إنشاء ملف لشخص آخر موافقته الصريحة، أو صلاحية قانونية (وصاية، توكيل رسمي).
• يتحمل صاحب الحساب المسؤولية عن دقة المعلومات والحصول على الموافقة المطلوبة.

16. ملفات تعريف الارتباط (Cookies) وتقنيات التتبع

16.1 أنواع ملفات تعريف الارتباط

• ملفات تعريف الارتباط الأساسية — مطلوبة للتشغيل الأساسي للموقع (المصادقة، تفضيلات اللغة، منع CSRF). لا يمكن تعطيلها.
• ملفات تعريف ارتباط التحليلات — لتحليل أنماط الاستخدام وتحسين الخدمة. مبنية على Firebase Analytics. لا تُحدد هوية المستخدمين بشكل شخصي.

16.2 ما لا نستخدمه

• لا نستخدم ملفات تعريف ارتباط إعلانية أو لإعادة الاستهداف.
• لا نستخدم ملفات تعريف ارتباط تتبع من أطراف ثالثة لأغراض تسويقية.
• لا نستخدم Facebook Pixel أو Google Ads أو أدوات إعلانية مشابهة.

16.3 إدارة ملفات تعريف الارتباط

يمكن إدارة تفضيلات ملفات تعريف الارتباط من خلال إعدادات المتصفح. يُرجى ملاحظة أن حظر ملفات تعريف الارتباط الأساسية قد يؤثر على أداء الموقع.

16.4 إشارة Do Not Track

لا يستجيب الموقع والتطبيق لإشارات "Do Not Track" (DNT) من المتصفح، نظرًا لأننا لا نقوم بأي تتبع إعلاني على الإطلاق.

17. اتخاذ القرارات الآلية

• لا يقوم Vera باتخاذ قرارات آلية (Automated Decision-Making) أو تنميط يؤثر بشكل جوهري على المستخدمين.
• فحوصات السلامة الدوائية (التفاعلات بين الأدوية، الحساسيات) مبنية على مقارنة خوارزمية بقواعد بيانات الأدوية وتُعرض للمستخدم كمعلومات فقط — لا تشكّل استشارة طبية ولا تحلّ محل الفحص المهني.
• لا يتم استخدام الذكاء الاصطناعي (AI) لتحليل أو معالجة المعلومات الطبية للمستخدمين.

18. التعديلات على سياسة الخصوصية

• يحق لـ Vera تحديث هذه السياسة من وقت لآخر.
• سيتم إرسال إشعار بالتعديلات الجوهرية (خاصة المتعلقة بمعالجة المعلومات الطبية) في التطبيق أو الموقع أو عبر البريد الإلكتروني قبل 30 يومًا على الأقل.
• ستتطلب التعديلات الجوهرية في طريقة معالجة المعلومات الطبية موافقة متجددة — لن يكون بالإمكان الاستمرار في معالجة المعلومات الطبية دون موافقة فعّالة من طرفكم.
• يُشار إلى تاريخ آخر تحديث في أعلى هذه الوثيقة.

19. اللغة والقانون الواجب التطبيق

• صيغت سياسة الخصوصية هذه باللغة العبرية. في حالة ترجمتها إلى لغات إضافية — تكون النسخة العبرية هي النسخة المُلزمة.
• تخضع هذه السياسة لقوانين دولة إسرائيل.
• ينعقد الاختصاص القضائي الحصري في أي شأن ينشأ عن هذه السياسة للمحاكم المختصة في منطقة تل أبيب-يافا.

20. الاتصال بنا بشأن الخصوصية

للأسئلة أو الاستفسارات أو طلبات ممارسة الحقوق أو الشكاوى المتعلقة بالخصوصية: