تحترم شركة آفاق الصحة خصوصية المرضى والمستفيدين والموظفين، وتعالج البيانات الشخصية وفق نظام حماية البيانات الشخصية الصادر بالمرسوم الملكي رقم (م/19) وتعديلاته، ولائحته التنفيذية، والأنظمة الصحية ذات الصلة في المملكة العربية السعودية.
تشرح هذه السياسة ما نجمعه من بيانات، ولماذا وكيف نعالجه ونحميه ونفصح عنه، وحقوق صاحب البيانات وطرق ممارستها. لا تُعد هذه السياسة موافقة مستقلة على معالجة تتطلب موافقة صريحة بموجب النظام؛ وستُطلب تلك الموافقة بصورة منفصلة عند انطباقها.
Health Horizons — Prosthetics & Orthotics Center respects the privacy of patients, beneficiaries, and staff and processes personal data under the Saudi Personal Data Protection Law issued by Royal Decree M/19, as amended, its Implementing Regulations, and applicable Saudi health regulations.
This Policy explains what data we collect, why and how it is processed, protected and disclosed, and how data-subject rights may be exercised. This Policy is not itself a substitute for separate explicit consent where Saudi law requires it; such consent will be requested separately when applicable.
1. بيانات المركز
جهة التحكم هي شركة آفاق الصحة، بصفتها المنشأة التي تدير المركز وهذا النظام الإلكتروني.
1. Center details
The controller is Health Horizons Company, the entity operating the center and this electronic system.
2. نطاق السياسة والبيانات التي نجمعها
- بيانات سجل المستفيد: الاسم، رقم المريض الداخلي، الجنسية، رقم الهاتف، تاريخ الميلاد، الجنس، حالة السجل، والأخصائي المسند عند تحديده.
- بيانات حسابات الموظفين: الاسم، البريد الإلكتروني، اسم المستخدم، رقم الهاتف، الدور الوظيفي وحالة الحساب.
- البيانات الصحية الحساسة: نوع أو مستوى البتر، حالة الجهاز، مرحلة التصنيع والتسليم، الملاحظات والتقارير الطبية، والملفات أو الصور الطبية التي يرفعها الموظفون المخولون إلى سجل المستفيد.
- بيانات الخدمة: المواعيد ونوعها وتاريخها وحالتها وملاحظاتها وفترات توفر الأخصائي.
- بيانات تقنية وأمنية: عنوان IP، وقت الدخول والطلبات، نوع المتصفح، سجلات الأخطاء والأمان، ورمز جلسة حساب الموظف المحفوظ محليًا.
- تفضيلات محلية: اللغة المختارة. لا يستخدم النظام ملفات ارتباط إعلانية أو أدوات تتبع تسويقي بحسب بنائه الحالي.
البيانات المطلوبة لتقديم الخدمة أو تشغيل حساب الموظف إلزامية عند تمييزها كذلك؛ وقد يؤدي عدم تقديمها إلى تعذر تقديم الخدمة أو استخدام الحساب.
2. Scope and data collected
- Beneficiary-record data: name, internal patient number, nationality, phone number, date of birth, gender, record status, and an assigned specialist where one is selected.
- Staff-account data: name, email, username, phone number, role, and account status.
- Sensitive health data: amputation type or level, device status, fabrication and delivery stages, clinical notes, reports, and medical files or images uploaded to the beneficiary record by authorized staff.
- Service data: appointment type, date, status and notes, and specialist availability.
- Technical and security data: IP address, login and request times, browser type, error and security logs, and the locally stored staff-session token.
- Local preferences: selected language. The current system does not use advertising cookies or marketing trackers.
Data marked as required is necessary to provide the service or operate a staff account; failure to provide it may prevent the service or account use.
3. مصادر البيانات وطرق جمعها
تُجمع بيانات المستفيد من المريض أو وليه ضمن إجراءات المركز، ثم يُدخلها الموظفون المخولون في السجل عند توثيق الخدمة والمواعيد والتقارير. وتُجمع بيانات حساب الموظف منه أو من إدارة المركز، كما تُجمع البيانات التقنية تلقائيًا عند الاتصال بالنظام لأغراض التشغيل والأمان. لا نجمع بيانات من مصادر عامة ولا نشتري قوائم بيانات لأغراض تسويقية.
3. Sources and collection methods
Beneficiary data is obtained from the patient or lawful guardian through the center's intake process and entered into the record by authorized staff when services, appointments, and reports are documented. Staff-account data is obtained from the staff member or center administration. Technical data is collected automatically for operation and security. We do not buy marketing lists or collect data from public sources for marketing.
4. أغراض المعالجة والمسوغات النظامية
| الغرض | أمثلة البيانات | المسوغ النظامي المحتمل |
|---|---|---|
| تقديم وإدارة خدمات الأطراف الصناعية والتعويضات | السجلات، المواعيد، البيانات الصحية، مراحل التصنيع والتقارير | تنفيذ الخدمة أو الاتفاق، المصلحة المتحققة لصاحب البيانات، والالتزامات الصحية النظامية |
| سلامة المريض واستمرارية الرعاية | السجل الطبي والملاحظات وحالة التسليم | حماية الصحة والمصالح الحيوية والالتزامات النظامية |
| التواصل بشأن الخدمة | بيانات التواصل والمواعيد | تقديم الخدمة والاستجابة لطلب صاحب البيانات |
| الأمن ومنع إساءة الاستخدام | سجلات الدخول وIP والأخطاء | الالتزامات الأمنية والمصالح المشروعة المسموح بها نظامًا |
| الالتزام بالطلبات النظامية | البيانات التي تحددها الجهة المختصة | التزام نظامي أو قضائي |
عند اشتراط موافقة صريحة لمعالجة محددة، لا نعتمد على مجرد استخدام الموقع، بل نطلبها بصورة منفصلة وواضحة وقابلة للإثبات والعدول وفق النظام.
4. Purposes and legal bases
| Purpose | Data examples | Potential legal basis |
|---|---|---|
| Provide and manage prosthetic and orthotic services | Records, appointments, health data, fabrication stages, reports | Performance of the service/agreement, the data subject's interest, and applicable health-law obligations |
| Patient safety and continuity of care | Clinical record, notes, and delivery status | Protection of health/vital interests and legal obligations |
| Service communications | Contact and appointment data | Providing the service and responding to a data-subject request |
| Security and abuse prevention | Login, IP, and error logs | Security obligations and lawful legitimate interests |
| Compliance with lawful requests | Data specified by the competent authority | Legal or judicial obligation |
Where explicit consent is legally required for a particular activity, we do not treat mere use of the website as that consent; it will be requested separately, clearly, provably, and with a lawful withdrawal mechanism.
5. الاستخدام والإفصاح
يقتصر الوصول الداخلي على الموظفين المخولين بحسب أدوارهم وحاجتهم للعمل. وقد نفصح عن الحد الأدنى اللازم إلى:
- مقدمي الاستضافة والبنية التقنية والبريد الإلكتروني المتعاقد معهم بوصفهم جهات معالجة وتحت التزامات تعاقدية بالسرية والحماية.
- مقدمي الرعاية أو الجهات الصحية عند الضرورة لاستمرارية الخدمة وبما يسمح به النظام.
- وزارة الصحة، سدايا، الجهات الرقابية أو الأمنية أو القضائية عند وجود طلب أو التزام نظامي.
لا نبيع البيانات الشخصية، ولا نستخدم البيانات الصحية للإعلان أو التسويق المباشر.
5. Use and disclosure
Internal access is limited by role and work-related need. The minimum necessary data may be disclosed to:
- Contracted hosting, technical-infrastructure, and email providers acting as processors under confidentiality and protection obligations.
- Healthcare providers or health authorities when necessary for continuity of service and permitted by law.
- The Ministry of Health, SDAIA, regulators, security bodies, or courts where a lawful request or obligation applies.
We do not sell personal data or use health data for advertising or direct marketing.
6. التخزين والنقل خارج المملكة
تُحفظ البيانات في قاعدة بيانات المركز ونسخها الاحتياطية لدى بيئة الاستضافة المعتمدة. يجب إدخال دولة وموقع مركز البيانات واسم مزود الاستضافة قبل اعتماد هذه السياسة.
الأصل هو المعالجة داخل المملكة متى كان ذلك متاحًا. ولا يتم نقل البيانات الشخصية أو إتاحتها خارج المملكة إلا بعد التحقق من مشروعية النقل والالتزام بنظام حماية البيانات الشخصية ولائحة نقل البيانات الشخصية خارج المملكة، وتطبيق الضمانات والتقييمات والموافقات المطلوبة.
6. Storage and international transfers
Data is stored in the center's database and backups within its approved hosting environment. The data-center country/location and hosting provider must be entered before this Policy is approved.
Processing should remain in Saudi Arabia where available. Personal data will not be transferred or made accessible outside Saudi Arabia unless the transfer is verified as lawful under the PDPL and the Regulation on Personal Data Transfer outside the Kingdom, with required safeguards, assessments, and approvals.
7. مدة الاحتفاظ والإتلاف
نحتفظ بالبيانات فقط للمدة اللازمة لتحقيق الغرض أو للمدة التي توجبها الأنظمة الصحية والتنظيمية، أيهما أطول. وتشمل المعايير: استمرار علاقة العلاج أو الخدمة، متطلبات السجلات الطبية، المطالبات والنزاعات، وأمن النظام.
على المركز اعتماد جدول احتفاظ مكتوب يحدد مدة مستقلة لملفات المرضى، المواعيد، التقارير، حسابات الموظفين، سجلات الأمان والنسخ الاحتياطية قبل النشر النهائي. بعد انتهاء المدة، تُحذف البيانات حذفًا آمنًا أو تُخفى هويتها بحيث لا يمكن ربطها بالفرد، ما لم يمنع الإتلاف التزام نظامي أو نزاع قائم.
7. Retention and destruction
Data is kept only as long as necessary for its purpose or as required by applicable health and regulatory laws, whichever is longer. Criteria include the care/service relationship, clinical-record requirements, claims and disputes, and system security.
Before final publication, the center must approve a written schedule with separate periods for patient files, appointments, reports, staff accounts, security logs, and backups. On expiry, data is securely deleted or irreversibly anonymized unless a legal obligation or active dispute prevents destruction.
8. حماية البيانات
نطبق ضوابط فنية وتنظيمية تتناسب مع حساسية البيانات، تشمل صلاحيات مبنية على الدور، المصادقة، تشفير الاتصال عبر HTTPS، عزل قاعدة البيانات عن الإنترنت العام، التسجيل الأمني، النسخ الاحتياطي، تحديث البرمجيات، وتقييد وصول العاملين ومقدمي الخدمة. ومع ذلك لا توجد وسيلة إلكترونية خالية تمامًا من المخاطر، ويجري التعامل مع حوادث التسرب والإبلاغ عنها وفق المتطلبات النظامية.
8. Data security
We apply controls proportionate to data sensitivity, including role-based access, authentication, HTTPS transport encryption, isolation of the database from the public internet, security logging, backups, software updates, and restricted workforce/provider access. No electronic method is entirely risk-free; breaches are handled and notified in accordance with legal requirements.
9. حقوق صاحب البيانات
مع مراعاة القيود والاستثناءات النظامية، يحق لك:
- العلم بالمعالجة ومسوغها وأغراضها.
- الوصول إلى بياناتك والحصول على نسخة واضحة ومقروءة منها.
- طلب تصحيح البيانات غير الدقيقة أو استكمالها أو تحديثها.
- طلب إتلاف البيانات عندما تنطبق شروط الإتلاف ولا يوجد التزام نظامي بالاحتفاظ.
- العدول عن الموافقة عندما تكون الموافقة هي المسوغ النظامي، دون التأثير على المعالجة السابقة أو المعالجة القائمة على مسوغ آخر.
يمكن تقديم الطلب إلى إدارة المركز بعد التحقق من الهوية. لا تُفرض رسوم إلا إذا أجاز النظام ذلك، ويُرد ضمن المدة النظامية المطبقة. يجب اعتماد قناة الطلب ومدة الاستجابة الداخلية قبل النشر.
9. Data-subject rights
Subject to lawful restrictions and exceptions, you may:
- Be informed of the processing, its legal basis, and purposes.
- Access your data and obtain a clear, readable copy.
- Request correction, completion, or updating of inaccurate data.
- Request destruction where deletion conditions apply and no legal retention duty remains.
- Withdraw consent where consent is the legal basis, without affecting prior processing or processing based on another legal basis.
Requests may be submitted to center management after identity verification. No fee is charged unless permitted by law, and requests are answered within the applicable legal period. The request channel and internal response period must be approved before publication.
10. الشكاوى والاعتراضات
ابدأ بتقديم الشكوى إلى إدارة المركز عبر قناة الخصوصية المعتمدة، مع وصف الطلب وبيانات التواصل دون إرسال معلومات طبية غير لازمة. إذا لم تكن راضيًا عن المعالجة أو لم يصلك رد ضمن المدة النظامية، فيمكنك تقديم شكوى إلى الهيئة السعودية للبيانات والذكاء الاصطناعي عبر منصة حوكمة البيانات الوطنية أو الاطلاع على صفحة حماية البيانات الشخصية.
10. Complaints and objections
First submit the complaint through the center's approved privacy channel, describing the request and contact details without sending unnecessary medical information. If you are dissatisfied or receive no response within the applicable legal period, you may complain to the Saudi Data & AI Authority through the National Data Governance Platform or consult SDAIA's Personal Data Protection page.
11. الأطفال وتحديث السياسة
إذا كانت الخدمة موجهة لقاصر أو لشخص غير كامل الأهلية، تُدار بياناته وحقوقه من خلال وليه الشرعي وفق الأنظمة، مع مراعاة مصلحته وحماية بياناته. قد تُحدّث هذه السياسة عند تغير الخدمات أو الأنظمة أو ممارسات المعالجة، ويظهر تاريخ آخر تحديث أعلى الصفحة. وإذا كان التغيير جوهريًا فسيتم إشعار أصحاب البيانات بالطريقة المناسبة قبل سريانه متى تطلب النظام ذلك.
11. Children and Policy updates
Where a service concerns a minor or a person lacking legal capacity, data and rights are managed through the lawful guardian in accordance with applicable law and the person's best interests. This Policy may be updated when services, laws, or processing practices change; the latest-update date appears above. Material changes will be notified by an appropriate method before taking effect where legally required.