كيف نحمي بيانات عيادتك

يعمل تطبيق فيرتوايز (app.vertowise.com) على خوادم Netlify في منطقة شرق الولايات المتحدة (أوهايو، us-east-2). وقاعدة بياناته PostgreSQL تستضيفها Supabase على خوادم أمازون (AWS) في المنطقة نفسها. أما الملفات التي ترفعها فتُحفظ في مساحة تخزين خاصة غير عامة لدى Supabase ضمن المشروع نفسه.

أي إن بيانات عيادتك محفوظة في الولايات المتحدة، لا في الأردن. وهذا الموقع (vertowise.com) مستضاف أيضًا على Netlify ولا يحتوي أي بيانات للمرضى.

كل اتصال بالتطبيق يتم عبر HTTPS (TLS) بشهادات تصدر من خلال Netlify. ويرسل التطبيق ترويسة Strict-Transport-Security، فيرفض المتصفح الذي زاره الاتصال به دون تشفير مدة سنة. والاتصال بين التطبيق وقاعدة بياناته مشفّر كذلك.

كل سجل يتبع عيادة واحدة، وكل طلب يجيب عنه التطبيق محصور في عيادة الشخص الذي سجّل دخوله. هذه القاعدة مكتوبة في شيفرة مشتركة تمرّ بها كل الصفحات والعمليات، لا مكرّرة يدويًا في كل مكان، وفي عملية تطويرنا فحص آلي ينبّه إلى أي استعلام على بيانات العيادات لا يحصر نتائجه في عيادة واحدة.

يدخل كل شخص بحسابه الخاص وبدور محدد: مالك، أو أخصائي علاج طبيعي، أو موظف استقبال، أو موظف استقبال وأخصائي علاج طبيعي.

• لا يستطيع موظف الاستقبال فتح السجلات السريرية: التقييمات وملاحظات الجلسات والتقدّم والنتائج، ولا يعرض له المساعد الذكي أي بيانات سريرية.
• لا يرى الأخصائي الفوترة ولا العملاء المحتملين ولا التقارير ولا التسويق.
• المالك وحده يدعو أفراد الفريق.

تُفحص هذه الحدود على الخادم مع كل طلب، ولا يقتصر الأمر على إخفائها من القائمة.

• لا تُحفظ كلمات المرور إلا مشفّرة تشفيرًا أحادي الاتجاه (bcrypt)، فلا يمكن قراءتها.
• يؤكد كل حساب جديد بريده الإلكتروني برمز من ٤ أرقام.
• محاولات الدخول المتكرّرة محدودة العدد لكل بريد ولكل شبكة.
• تنتهي الجلسة بعد ٢٤ ساعة، وتغيير كلمة المرور يُخرج كل الجلسات الأخرى.
• الدخول عبر Google اختياري.

التحقق بخطوتين (رمز إضافي عند الدخول) غير متاح بعد.

لا تحصل الملفات المرفوعة على رابط عام أبدًا: يعرض التطبيق كل ملف بعد التأكد من أن طالبه مسموح له برؤية السجلات السريرية.

فتح سجلات المريض وتعديلها وتصديرها وطباعتها يُكتب في سجل الوصول الخاص بالعيادة: من ومتى وأي سجل، دون نسخ أي بيانات للمريض إلى السجل نفسه.

يستطيع المالك تصدير المرضى والجلسات والمواعيد والفواتير والدفعات ومطالبات التأمين ملفات CSV من صفحة التقارير. أرشفة المريض يمكن التراجع عنها، أما حذفه نهائيًا فإجراء منفصل. وإذا أغلقت حسابك نحذف بيانات عيادتك خلال ٣٠ يومًا من طلبك المكتوب، إلا ما يُلزمنا القانون بالاحتفاظ به (انظر شروط الخدمة).

الإملاء الصوتي والصياغة بالذكاء الاصطناعي يرسلان الصوت أو النص المعني إلى مزوّد خارجي للذكاء الاصطناعي. الذكاء الاصطناعي يصوغ ويقترح فقط، ولا يشخّص، ولا يُنفَّذ شيء يقترحه قبل أن تؤكده أنت. وتذكر سياسة خصوصية التطبيق أسماء المزوّدين وما قد يحتفظون به. وإلى أن تقول غير ذلك، لا تُملِ أسماء المرضى أو أي تفاصيل تكشف هويتهم في هذه المزايا.

لا تحمل فيرتوايز شهادة أمان مستقلة (مثل ISO 27001 أو SOC 2)، ولا ندّعي الامتثال لقانون HIPAA الأمريكي. ولن ننشر هنا جدول النسخ الاحتياطي قبل أن نتأكد منه مع مزوّد الاستضافة.

إذا ظننت أنك وجدت مشكلة أمنية فراسلنا على abdulkareem@vertowise.com واكتب «Security» في العنوان. أخبرنا بما وجدت، والصفحة أو العنوان المعني، وكيف نكرّر المشكلة. نرد خلال يوم عمل واحد.

نرجو ألا تفتح بيانات عيادات أخرى، أو تغيّر أو تحذف أي شيء، أو تعطّل الخدمة أثناء الفحص. ويذكر ملف security.txt عنوان التواصل نفسه.