التعامل مع البيانات

آخر تحديث: 2026-08-20

سياسة الخصوصية تشرح حقوقك. هذه الوثيقة تشرح ما هو مبنيّ فعلاً: أين تُخزَّن البيانات، ومن يستطيع قراءتها تقنياً، وما الذي يسجّله سجل التدقيق وما الذي يمتنع عن تسجيله عمداً.

نكتبها لأن العبارات العامة عن «أمان بياناتك» لا تعني شيئاً. كل ما هو مذكور هنا قابل للتحقق.

١ · أين تُخزَّن البيانات

كل شيء في قاعدة بيانات واحدة لدى Supabase (PostgreSQL) في منطقة eu-north-1 — Stockholm, Sweden، عدا المستندات المرفوعة فهي في خزنة تخزين خاصة لدى المزوّد نفسه.

صفحات الموقع نفسها ملفات ثابتة على Hostinger في Cloudflare Pages — global edge network. هذه الصفحات لا تحتوي على أي بيانات مرضى؛ المتصفح يجلبها من قاعدة البيانات بعد تسجيل دخولك.

٢ · ما الذي يُخزَّن، بالتحديد

الفئة	المحتوى
الحساب	البريد الإلكتروني، وعامل المصادقة الثاني لحسابات العاملين. لا كلمات مرور.
الملف الطبي	الاسم (بالعربية والإنجليزية)، الموبايل، تاريخ الميلاد، فصيلة الدم، الحساسية، الأمراض المزمنة، جهة اتصال الطوارئ
أفراد العائلة	الاسم، صلة القرابة، الموبايل، تاريخ الميلاد، فصيلة الدم، الحساسية
المواعيد	التاريخ والوقت والحالة، اسم وموبايل وتاريخ ميلاد المريض، الرسوم وطريقة الدفع، سبب الإلغاء
ملاحظات الزيارة	نص حر يكتبه الطبيب، مرتبط بموعد واحد
ملاحظات الطبيب الخاصة	نص حر عن المريض، لا يُعرض للمريض ولا للاستقبال
الوصفات	رقم مرجعي، التشخيص، الأدوية بجرعاتها ومددها وتعليماتها، الحالة وتاريخ الإصدار
المستندات	الملفات التي ترفعها، في مجلد باسم حسابك داخل خزنة خاصة
الإشعارات	عنوان ونص الإشعار بالعربية والإنجليزية، وحالة القراءة
سجل التدقيق	راجع القسم ٥

لا نجمع موقعك الجغرافي، ولا جهات اتصالك، ولا أي بيان من جهازك خارج ما ذُكر أعلاه.

٣ · من يستطيع قراءة ماذا

الصلاحيات مطبَّقة على مستوى الصف داخل قاعدة البيانات (Row-Level Security)، لا في الواجهة. هذا يعني أن الرفض يحدث في قاعدة البيانات نفسها، حتى لو تجاوز أحدهم الواجهة تماماً واستدعى الخادم مباشرة.

البيان	المريض	الزائر	الاستقبال	الطبيب
مواعيده هو	نعم	نعم	الكل	الكل
ملفه الطبي	نعم	لا	لا	الكل
أفراد عائلته	نعم	لا	الأسماء فقط	الكل
ملاحظات الزيارة	لا	لا	لا	نعم
ملاحظات الطبيب الخاصة	لا	لا	لا	نعم
الوصفات	لا	لا	لا	نعم
المستندات	ملفاته هو	لا	لا	الكل
سجل التدقيق	لا	لا	لا	قراءة فقط

الجداول التي تحمل الوصفات وملاحظات الزيارة والملاحظات الخاصة ليس لها سياسة وصول للمريض ولا للاستقبال على الإطلاق — ليست سياسة مقيَّدة، بل لا توجد سياسة، وقاعدة البيانات ترفض بشكل افتراضي.

حسابات العاملين تتطلب تطبيق مصادقة (TOTP) إلزامياً. رمز البريد وحده لا يكفي للوصول إلى أي بيان مريض.

٤ · الأطراف التي تصلها بيانات

الجهة	الغرض	ما يصلها	الموقع
Supabase	قاعدة البيانات، الدخول، التخزين	كل ما ورد في القسم ٢	eu-north-1 — Stockholm, Sweden
Hostinger	استضافة الصفحات	عنوان IP ونوع المتصفح والصفحة المطلوبة	Cloudflare Pages — global edge network
Supabase Auth	إرسال رمز الدخول	بريدك الإلكتروني والرمز	eu-north-1 — Stockholm, Sweden
OneSignal	إشعارات المتصفح	معرّف جهاز، ومعرّف حسابك لدينا. لا يُرسل إلا إذا سمحت بالإشعارات	الولايات المتحدة
Google Fonts	الخطوط	عنوان IP فقط	شبكة عالمية
jsDelivr	مكتبة برمجية	عنوان IP فقط	شبكة عالمية
MyMemory	ترجمة الأسماء	معطّل حالياً. لو فُعِّل، يصلها الاسم الأول فقط	خارج مصر

لا توجد أي أداة تحليلات أو تتبّع أو إعلانات في المنصة.

٥ · سجل التدقيق

كل تغيير على سجل طبي يُسجَّل تلقائياً. السجل يحفظ: اسم الجدول، نوع العملية، معرّف الصف، من أجراها، ومتى.

ما لا يُحفظ فيه عمداً — محتوى ما تغيّر. الحقول التالية تُستبدل بعلامة تقول إنها تغيّرت وكم كان طولها، لا بقيمتها:

ملاحظات الزيارة · ملاحظات الطبيب · التشخيص · الحساسية · الأمراض المزمنة · فصيلة الدم · جهة اتصال الطوارئ · الجرعات والمدد وتعليمات الدواء · أرقام الموبايل · سبب الإلغاء.

السبب مباشر: سجل التدقيق يجب أن يُثبت أن تغييراً حدث ومن أجراه، لا أن يصنع نسخة ثانية من السجل الطبي في مكان آخر.

لا أحد يستطيع الكتابة في هذا السجل أو حذفه عبر الواجهة البرمجية — ولا الطبيب نفسه. الكتابة فيه تتم من داخل قاعدة البيانات فقط، والطبيب يملك صلاحية القراءة لا غير.

يُحتفظ به ٣٦٥ يوماً ثم يُحذف تلقائياً.

٦ · إجراءات الحماية المطبَّقة

TLS/HTTPS على كل اتصال؛ الترويسات الأمنية تمنع تضمين الصفحات داخل مواقع أخرى.
لا كلمات مرور مخزَّنة. الدخول برمز لمرة واحدة، وللعاملين تطبيق مصادقة إلزامي.
سياسة محتوى صارمة (CSP) تمنع تشغيل أي سكربت غير مُصرَّح به.
خزنة المستندات خاصة ومقسَّمة بمعرّف الحساب؛ رابط العرض المؤقت صالح ١٢٠ ثانية فقط.
الملف المرفوع يُفحص بـ«بصمته» الثنائية لا بامتداده، فلا يمكن تمرير ملف تنفيذي باسم PDF.
لا توجد أي واجهة في المنصة تبني HTML من نص يُدخله المستخدم، فلا يوجد مسار لحقن سكربت.
الوصفة تُجمَّد فور إصدارها؛ التعديل مرفوض من قاعدة البيانات، والتصحيح وصفة جديدة تحل محلها.
خضع النظام لمراجعة أمنية مع مجموعة اختبارات آلية تُشغَّل مقابل حدود الصلاحيات.

هذه إجراءات مطبَّقة، وليست شهادة امتثال. لا ندّعي حصولنا على أي اعتماد لم نحصل عليه فعلاً.

٧ · مدد الاحتفاظ والحذف

البيان	المدة	ماذا يحدث بعدها
السجل الطبي والوصفات	10 سنة	حذف أو فصل عن البيانات التعريفية
المواعيد والبيانات المالية	10 سنة	حذف
سجل التدقيق	٣٦٥ يوماً	حذف تلقائي مجدول
حسابات الزوّار	فترة قصيرة من عدم الاستخدام	حذف تلقائي مجدول
رمز نقل حجوزات الزائر	ساعة واحدة	ينتهي ويُحذف؛ يُستخدم مرة واحدة فقط
روابط عرض المستندات	١٢٠ ثانية	تنتهي صلاحيتها
المستندات المرفوعة	حتى تحذفها	حذف فوري ونهائي

٨ · في حال وقوع اختراق

إن وقع حادث يمس بياناتك الشخصية: نوقف السبب فوراً، ونقيّم ما تأثر، ونُخطر الجهة الرقابية المختصة والمتأثرين وفق ما يوجبه القانون. الإخطار يوضّح ما حدث، وما البيانات المعنية، وما الذي ننصحك بفعله.

٩ · طلب بياناتك أو حذفها

راسلنا على privacy@example.com من البريد المسجَّل في حسابك. نردّ خلال 30 يوماً بنسخة من بياناتك بصيغة قابلة للقراءة، أو بتأكيد الحذف وما تعذّر حذفه ولماذا.

١٠ · تحديث هذه الوثيقة

تُراجَع هذه الوثيقة كلما تغيّر ما تصفه — إضافة مزوّد خدمة جديد، أو تغيير مدة احتفاظ، أو تعديل في الصلاحيات. تاريخ آخر تحديث في أعلى الصفحة.

How We Handle Data

Last updated: 2026-08-20

The Privacy Policy explains your rights. This document explains what is actually built: where data is stored, who can technically read it, and what the audit trail records — and what it deliberately refuses to record.

We write it because general statements about "your data is secure" mean nothing. Everything stated here is checkable.

1 · Where data is stored

Everything sits in a single Supabase PostgreSQL database in the eu-north-1 — Stockholm, Sweden region, except uploaded documents, which are in a private storage bucket with the same provider.

The website's own pages are static files on Hostinger in Cloudflare Pages — global edge network. Those pages contain no patient data; your browser fetches it from the database after you sign in.

2 · Exactly what is stored

Category	Contents
Account	Email address, plus the second factor for staff accounts. No passwords.
Medical profile	Name (Arabic and English), mobile, date of birth, blood type, allergies, chronic conditions, emergency contact
Family members	Name, relationship, mobile, date of birth, blood type, allergies
Appointments	Date, time and status, patient name, mobile and date of birth, fee and payment method, cancellation reason
Visit notes	Free text written by the doctor, attached to one appointment
Doctor's private notes	Free text about the patient, shown to neither the patient nor reception
Prescriptions	Reference number, diagnosis, drugs with dose, duration and instructions, status and issue date
Documents	Files you upload, in a folder named for your account inside a private bucket
Notifications	Title and body in Arabic and English, and whether it has been read
Audit trail	See section 5

We do not collect your location, your contacts, or anything else from your device beyond what is listed above.

3 · Who can read what

Permissions are enforced row by row inside the database (Row-Level Security), not in the interface. That means the refusal happens in the database itself, even if someone bypasses the interface entirely and calls the server directly.

Data	Patient	Guest	Reception	Doctor
Their own appointments	Yes	Yes	All	All
Their medical profile	Yes	No	No	All
Their family members	Yes	No	Names only	All
Visit notes	No	No	No	Yes
Doctor's private notes	No	No	No	Yes
Prescriptions	No	No	No	Yes
Documents	Their own	No	No	All
Audit trail	No	No	No	Read only

The tables holding prescriptions, visit notes and private notes have no access policy for patients or reception at all — not a restricted one; none, so the database denies by default.

Staff accounts require an authenticator app (TOTP). An emailed code alone is not enough to reach any patient data.

4 · Third parties that receive data

Provider	Purpose	What reaches them	Location
Supabase	Database, sign-in, storage	Everything in section 2	eu-north-1 — Stockholm, Sweden
Hostinger	Page hosting	IP address, browser type, page requested	Cloudflare Pages — global edge network
Supabase Auth	Delivering sign-in codes	Your email address and the code	eu-north-1 — Stockholm, Sweden
OneSignal	Browser notifications	A device identifier and your account identifier with us. Sent only if you allow notifications	United States
Google Fonts	Typefaces	IP address only	Global network
jsDelivr	A software library	IP address only	Global network
MyMemory	Name translation	Currently disabled. If enabled, a single given name	Outside Egypt

There is no analytics, tracking or advertising tooling anywhere in the platform.

5 · The audit trail

Every change to a medical record is logged automatically. The log keeps: the table name, the type of operation, the row identifier, who performed it, and when.

What it deliberately does not keep — the content of what changed. The following fields are replaced with a marker saying they changed and how long they were, not with their value:

visit notes · doctor's notes · diagnosis · allergies · chronic conditions · blood type · emergency contact · drug dose, duration and instructions · mobile numbers · cancellation reason.

The reason is straightforward: an audit trail should prove that a change happened and who made it, not create a second copy of the medical record somewhere else.

Nobody can write to or delete this log through the API — not even the doctor. Writes happen only from inside the database, and the doctor holds read permission and nothing more.

It is kept for 365 days and then deleted automatically.

6 · Security measures in place

TLS/HTTPS on every connection; security headers prevent the pages being embedded in other sites.
No stored passwords. Sign-in is a one-time code, and staff additionally require an authenticator app.
A strict Content Security Policy prevents any unapproved script from running.
The document vault is private and partitioned by account identifier; a temporary viewing link is valid for 120 seconds only.
Uploaded files are checked by their binary signature, not their filename, so an executable cannot be passed off as a PDF.
No screen in the platform builds HTML out of text a user typed, so there is no script-injection path.
A prescription freezes the moment it is issued; edits are refused by the database, and a correction is a new prescription that replaces it.
The system has been through a security review with an automated test suite that runs against the permission boundaries.

These are measures in place, not a compliance certification. We do not claim any accreditation we have not actually obtained.

7 · Retention and deletion

Data	Kept for	What happens then
Clinical record and prescriptions	10 years	Deleted or separated from identifying details
Appointments and financial records	10 years	Deleted
Audit trail	365 days	Scheduled automatic deletion
Guest accounts	A short period of inactivity	Scheduled automatic deletion
Guest booking-transfer token	One hour	Expires and is deleted; single use only
Document viewing links	120 seconds	Expire
Uploaded documents	Until you delete them	Deleted immediately and permanently

8 · If there is a breach

If an incident affects your personal data, we stop the cause immediately, assess what was affected, and notify the competent supervisory authority and the people affected as the law requires. The notification states what happened, which data was involved, and what we advise you to do.

9 · Requesting or deleting your data

Write to privacy@example.com from the address registered on your account. We respond within 30 days with a copy of your data in a readable format, or with confirmation of deletion and a note of anything that could not be deleted and why.

10 · Updating this document

This document is reviewed whenever what it describes changes — a new service provider, a changed retention period, or an adjustment to permissions. The last-updated date is at the top of the page.