---
title: "مركز الثقة — Hanah (المملكة المتحدة والاتحاد الأوروبي)"
description: "مركز الثقة في Hanah (المملكة المتحدة والاتحاد الأوروبي): تُخزَّن سجلات مرضى العيادات البريطانية في المملكة المتحدة. ضوابط الأمان والخصوصية، ومزوّدو الخدمة لنشر المملكة المتحدة، الذي يخدم أيضًا عيادات في الاتحاد الأوروبي."
source: https://hanah.health/ar/uk/trust/
---

# مركز الثقة

الشفافية للممارسين الصحيين ومالكي العيادات والمشترين المؤسسيين. تلخّص هذه الصفحة كيف تتعامل Hanah مع المعلومات الصحية، ومزوّدي الخدمة المشمولين في نشر الإنتاج في ، وكيف يُنفَّذ كل ضابط من ضوابط الأمان. ورموز الحالة أداة تحريرية مؤقتة وستُزال بعد التحقق من كل بند في بيئة الإنتاج.

✅ مُنجَز 🔧 مُنفَّذ بحل مخصص

نظرة عامة الضوابط مزوّدو الخدمة الموارد

**لمن هذه الصفحة:** العيادات، والشبكات الصحية، ومسؤولو الخصوصية، وفرق أمن تقنية المعلومات التي تجري العناية الواجبة بشأن Hanah. **نظرة سريعة:** يلخّص مركز الثقة هذا ضوابط الأمان في Hanah ومزوّدي الخدمة المشمولين في نشر الإنتاج في . وتُخزَّن السجلات السريرية في . ويعمل التعرّف على الكلام والصياغة بالذكاء الاصطناعي لدى مزوّدين متخصصين خارج المنطقة، في الولايات المتحدة أساسًا، بموجب شروط تحظر التدريب على محتواكم. وتوجد أدلة أعمق في دليل الأمان والعمليات (Security & Operations Handbook) لدينا؛ ويصف تبويب **«الضوابط»** كيف يُنفَّذ كل ضابط.

### ضوابط الأمان

التشفير، والتحكم في الوصول، وتقسيم الشبكة، وتسجيل الأحداث، والنسخ الاحتياطي والتعافي من الكوارث، والضمانات الخاصة بالذكاء الاصطناعي، مع حالة صريحة لكل بند.

عرض الضوابط ←

### مزوّدو الخدمة

فئات المزوّدين الذين يتعاملون مع البيانات، والغرض من ذلك، وما يحتفظون به، وأين يعالجونها.

عرض مزوّدي الخدمة ←

### الموارد والخطوات التالية

حالة الخدمة، وكيفية طلب حزم السياسات الكاملة بموجب اتفاقية عدم إفصاح (NDA).

عرض الموارد ←[

### منهجية التحقق

كيف نقيس دقة تحويل الكلام إلى نص والهلوسة في التوثيق: منظومة اختبار واحدة، ومجموعة تسجيلات مرجعية واحدة، وطبقتا تقييم (WER + لجنة تحكيم من النماذج اللغوية). وهي القواعد التي يُقيَّم بها كل رقم ننشره.

قراءة المنهجية ←](https://hanah.health/ar/uk/trust/wer-methodology/)[

### شفافية التحقق

التفريغات النصية لكل تسجيل، والمستندات المُنشأة، وأحكام كل مُحكِّم من النماذج اللغوية مقابل مجموعة تسجيلات مرجعية موثوقة من المرجع الصحيح. البيانات كاملة، لا الأرقام الرئيسية فقط.

عرض التقرير ←](https://hanah.health/ar/uk/trust/transparency/)

كل صف ضابط بالمعنى المعتاد في معايير ISO: **السياسات** (الحوكمة والإجراءات الموثّقة)، أو **التقنية** (تفرضها الأنظمة والإعدادات)، أو **المورّدون** (الضمانات التعاقدية وضمانات المعالجين الفرعيين). وتُظهر الوسوم نوع الدليل الغالب؛ ويجمع كثير من الصفوف أكثر من نوع. وترتبط التفاصيل **بدليل الأمان والعمليات** الداخلي لدينا.

التقنية ضوابط النظام والمنصة: البنية التحتية، والتطبيق، والتشفير، والأتمتة. السياسات الحوكمة على مستوى المؤسسة: المساءلة، والسياسات الموقّعة، وسجل المخاطر، والأدلة الإجرائية. المورّدون الاعتماد على أطراف ثالثة: شروط اتفاقية معالجة البيانات (DPA)، وقائمة المعالجين الفرعيين للبيانات، وشهادات المورّدين.

## البنية التحتية والمنصة

أمن البنية التحتية

يحدد أين تعمل Hanah في النشر الإقليمي، وكيف تُفصل بيئة الإنتاج عن بيئة العمليات، وكيف يحمي التشفير بيانات العملاء بين الممارسين الصحيين وأنظمتنا والمعالجين الفرعيين للذكاء الاصطناعي. وهي في معظمها ضوابط تقنية تدعمها إجراءات إدارية في دليل الأمان والعمليات (Security & Operations Handbook).

-   ✅
    
    التقنية السياسات
    
    **أحمال عمل الإنتاج مقيمة داخل المنطقة**
    
    تقع خوادم التطبيق الرئيسية وقواعد البيانات وتخزين الكائنات والنسخ الاحتياطية الخاصة بالنشر في داخل المنطقة. تصف السجلات الإدارية المناطق وموافقات التغيير، ويثبّت النشر التقني الموارد في المشروع الإقليمي.
    
-   ✅
    
    التقنية
    
    **التشفير أثناء النقل**
    
    تستخدم نقاط الدخول العامة إصدارات حديثة من TLS. وتستخدم الحركة المتجهة إلى مزوّدي التعرّف على الكلام ونماذج الذكاء الاصطناعي بروتوكول TLS إلى نقاط النهاية المهيّأة لكل مزوّد. وهذا ضابط تقني يُتحقق منه في مراجعات البنية وإعدادات النشر.
    
-   ✅
    
    التقنية السياسات
    
    **التشفير أثناء التخزين**
    
    تستخدم قواعد البيانات وتخزين الكائنات وكائنات النسخ الاحتياطي خوارزميات معيارية في القطاع (مثل AES-256-GCM)، بمفاتيح تُدار وفق سياسة التشفير لدينا. وتضيف النسخ الاحتياطية عبر WAL-G تشفيرًا من جهة العميل قبل التخزين خارج الموقع.
    
-   ✅
    
    التقنية المورّدون
    
    **الحماية من هجمات DDoS وجدار حماية تطبيقات الويب (WAF) على الحافة**
    
    تقف طبقة حافة مُدارة أمام أسماء المضيفين العامة، فتمتص الهجمات الحجمية وتطبق قواعد WAF للتصدي لأشكال إساءة الاستخدام الشائعة على الويب. وتبقى الحمايات على مستوى المزوّد وإعدادات جدار الحماية المحكمة قائمة خلف الحافة.
    
-   ✅
    
    التقنية السياسات
    
    **كشف التسلل**
    
    كشف متعدد الطبقات: توفّر منصة الاستضافة نظام كشف التسلل (IDS) على مستوى الشبكة، بينما يشغّل كل خادم افتراضي fail2ban (لمنع هجمات التخمين على SSH)، و UFW برفض افتراضي، وتحديثات أمنية تلقائية. وتُرسل أحداث المصادقة والوصول من وكيل المصادقة إلى منظومة مركزية من Loki و Grafana، فتظهر أنماط تسجيل الدخول غير الاعتيادية في لوحات المعلومات والتنبيهات. وتحدد السياسات المسؤول عن الفرز عند إطلاق التنبيهات. ويُعدّ نظام كشف التسلل أثناء التشغيل على مستوى النواة للحاويات تحسينًا مخططًا فوق هذا الأساس.
    

## المنتج والتطبيق

أمن المنتج

كيف يصادق المستخدمون على هوياتهم، وكيف تُفرض الصلاحيات في طبقة المنتج وواجهة API، وكيف نبني البرمجيات ونطلقها. تجمع بين الفرض التقني (JWT و RBAC) ومتطلبات إدارية لدورة حياة تطوير البرمجيات (SDLC) والمراجعة.

-   ✅
    
    التقنية المورّدون
    
    **المصادقة والجلسات**
    
    يصادق الممارسون الصحيون على هوياتهم عبر مزوّد هوية مُدار (تدفقات بأسلوب OIDC/OAuth)؛ ويتحقق كل مسار في واجهة API من الهوية. وتتوافق مدة الجلسة وسلوك قفل الحساب مع سياسة التحكم في الوصول لدينا.
    
-   ✅
    
    التقنية السياسات
    
    **التحكم في الوصول القائم على الأدوار**
    
    تُفصل صلاحيات الممارس الصحي والمريض والمسؤول في نموذج البيانات وطبقة GraphQL، بحيث يكون مبدأ الحد الأدنى من الصلاحيات هو الوضع الافتراضي. وتُوثَّق تعريفات الأدوار ووتيرة مراجعتها إداريًا.
    
-   ✅
    
    التقنية السياسات
    
    **المصادقة متعددة العوامل (MFA) إلزامية للمسارات ذات الصلاحيات المرتفعة**
    
    تُفرض المصادقة متعددة العوامل إلزاميًا، عبر مزوّد الهوية لدينا، على الحسابات التي يمكنها تغيير الإعدادات الحساسة أمنيًا أو الوصول إلى بيانات عالية المخاطر.
    
-   ✅
    
    التقنية السياسات
    
    **دورة حياة التطوير الآمن**
    
    تمر التغييرات عبر نظام التحكم في المصدر والمراجعة والاعتماديات مثبّتة الإصدار. ويُنظر في الأثر الأمني للميزات الجوهرية كبوابة إدارية؛ وتدعم الأدوات التقنية (Dependabot وغيرها) السلامة المستمرة للشيفرة.
    
-   ✅
    
    التقنية السياسات
    
    **قائمة مكوّنات البرمجيات (SBOM)**
    
    يحمل كل إصدار جردًا للاعتماديات قابلًا للقراءة آليًا، للاستجابة للثغرات. وتصدير SBOM مدمج في التكامل المستمر (CI) ضمن برنامجنا لضمان سلسلة الإمداد.
    

## البيانات والخصوصية

البيانات والخصوصية

الاحتفاظ والحذف وحقوق أصحاب البيانات وإمكانية رؤية الأحداث ذات الصلة بالأمان. تجمع هذه الضوابط بين الفرض الآلي في المنتج وقاعدة البيانات وإجراءات إدارية (معالجة طلبات DSAR للوصول إلى البيانات، والإخطار بخروقات البيانات، والتقارير الفصلية).

-   ✅
    
    التقنية السياسات
    
    **الاحتفاظ بمواد التسجيل المحيطي وحذفها**
    
    تخضع المواد الصوتية والتفريغات النصية افتراضيًا لفترة احتفاظ قصيرة مع حذف آلي؛ وتتبع الملاحظات السريرية سياسة الاحتفاظ لدى كل مؤسسة. وبعد التكامل مع نظام سجلاتكم، يبقى السجل السريري المرجعي ملكًا لكم.
    
-   ✅
    
    التقنية السياسات
    
    **سجل حذف يكشف التلاعب وتقارير فصلية**
    
    تُسجَّل عمليات الحذف الناتجة عن سياسة الاحتفاظ في `deletion_log`، وهو جدول Postgres للإضافة فقط، لا يمنح أي دور صلاحيات `UPDATE` أو `DELETE`. ويرتبط كل صف بالصف السابق عبر سلسلة تجزئة SHA-256 (`row_hash = sha256(prev_hash ‖ canonical(metadata))`)، لذا فإن تعديل أي صف سابق أو حذفه يكسر كل التجزئات اللاحقة، ويكشفه المُتحقِّق داخل قاعدة البيانات `hanah_verify_deletion_chain()`. والجداول التدقيقية المرافقة (`ai_audit` و `secret_access_audit`) للإضافة فقط أيضًا. وتُنتَج الملخصات الفصلية الموجّهة للعملاء عبر `hanah_deletion_report_quarter(year, quarter)`.
    
-   ✅
    
    السياسات التقنية
    
    **وصول أصحاب البيانات إليها وتصحيحها**
    
    يمكن للأفراد طلب الوصول إلى معلوماتهم الشخصية أو تصحيحها؛ وتوثّق Hanah المُهل الزمنية والصيغ (JSON إضافة إلى نسخ مُصدَّرة سهلة القراءة) ومسارات التصعيد. وتدعم الأدوات التصدير حيث تكون البيانات في أنظمة Hanah.
    
-   🔧
    
    التقنية السياسات
    
    **رؤية موحّدة لسجلات التدقيق**
    
    الأحداث ذات الصلة بالأمان (المصادقة، واستخدام الصلاحيات، وتغييرات الإعدادات) قابلة للاستعلام للعملاء المؤسسيين، ويمكن تحويلها إلى نظام SIEM لديكم (مثل Microsoft Sentinel) حيث يُتفق على ذلك تعاقديًا. وتُهيّأ لكل عميل على حدة.
    

## الذكاء الاصطناعي والسلامة السريرية

أمن الذكاء الاصطناعي والامتثال

ضوابط خاصة بالذكاء الاصطناعي المحيطي: لا استخدام ثانويًا للبيانات الصحية في التدريب، وإشراف بشري قبل الاعتماد السريري، وقياس الجودة (WER)، وصياغة تعليمات مقاومة لإساءة الاستخدام. وتجمع بين ضوابط تعاقدية على الأطراف الثالثة وسير العمل في المنتج والحوكمة السريرية.

-   ✅
    
    المورّدون السياسات التقنية
    
    **لا استخدام ثانويًا لتدريب النماذج**
    
    تحظر شروط مزوّدي التعرّف على الكلام ونماذج الذكاء الاصطناعي لدينا التدريب على محتوى العملاء، وتُرسل الطلبات مع إيقاف التخزين لدى المزوّد حيثما يتيح المزوّد ذلك. ولا تُشغّل Hanah أي مسار تدريب داخلي على بياناتكم الصحية. وتدعم مراجعات المورّدين الإدارية هذا الادعاء.
    
-   ✅
    
    السياسات التقنية
    
    **إشراك الإنسان قبل الاعتماد السريري**
    
    تتطلب الملاحظات المُنشأة مراجعة صريحة من الممارس الصحي واعتمادها قبل أن تُعامل كجزء من السجل السريري. وهذا ضابط في المنتج (بوابات في سير العمل) والتزام في تقييم الأثر على الخصوصية (PIA) معًا.
    
-   ✅
    
    السياسات التقنية
    
    **منهجية WER ونتائج المجموعات المنشورة**
    
    منظومة اختبار واحدة وطبقتا تقييم، تعملان في كل جولة تقييم: **معدل خطأ الكلمات** مقابل تفريغات نصية حرفية من المرجع الصحيح (الطبقة A)، و**لجنة تحكيم من النماذج اللغوية** تقيس كلًّا من _التغطية_ (هل تتضمن الملاحظة كل توقّع مُسجَّل مسبقًا؟) و_الهلوسة_ (هل تحتوي الملاحظة على ادعاءات لا يدعمها التفريغ النصي، أي محتوى اختلقه النموذج؟). [المنهجية الكاملة](https://hanah.health/ar/uk/trust/wer-methodology/) منشورة، و[النتائج المباشرة](https://hanah.health/ar/uk/trust/transparency/) تُعرض مباشرة من المخرجات المجمّعة لمنظومة الاختبار. وتواصل مجموعة التسجيلات المرجعية تطورها من v1 (اصطناعية) إلى v2 (تمثيل أدوار) إلى v3 (حقيقية بموافقة المشاركين) إلى v4 (بالشراكة مع أنظمة صحية).
    
-   ✅
    
    التقنية السياسات
    
    **مراقبة حقن التعليمات والمخرجات غير الآمنة**
    
    يتحكم الخادم في تعليمات النظام، وتقتصر المدخلات على سير العمل السريري (لا توجد واجهة دردشة حرة). وتعمل مصنِّفات السلامة لدى المزوّد على كل عملية إنشاء؛ وعند تفعيلها، يُظهر البث سبب إنهاء بفعل مرشّح المحتوى، يُسجَّل في صف `ai_audit` الخاص بكل استدعاء إلى جانب رمز خطأ معياري `ai.content_policy`، وزمن الاستجابة، وعدد الرموز (tokens)، ومعرّف تتبع Tempo. وتظهر الأنماط غير الاعتيادية في لوحات معلومات مبنية على جدول التدقيق هذا. ويُعدّ كشف الشذوذ السلوكي عبر الاستدعاءات لرصد أنماط إساءة الاستخدام تحسينًا مخططًا فوق هذا الأساس.
    
-   ✅
    
    التقنية السياسات
    
    **تسجيل موافقة جميع الأطراف داخل المنتج**
    
    عندما يضغط الممارس الصحي زر التسجيل، يفتح المنتج نافذة موافقة تتطلب تأكيدًا صريحًا بأن الموافقة قد أُخذت من المريض ومن أي مشاركين آخرين في الجلسة. ولا يمكن بدء التسجيل حتى يُقَرّ بهذا التحقق، ويُربط التأكيد بالمقابلة السريرية إلى جانب سياسة العيادة المشار إليها في تقييم الأثر على الخصوصية.
    

## المؤسسة والأطراف الثالثة

الأمن المؤسسي

كيف تدير شركة Hanah حوكمة الأمان: المساءلة، والسياسات، والضمان المستقل، والتكامل مع أدوات الأمان لدى العملاء. وهي في الأساس ضوابط إدارية؛ ولبعضها مخرجات تقنية (مثل موصلات SIEM).

-   ✅
    
    السياسات
    
    **حوكمة الأمان وسجل المخاطر**
    
    يتولى مسؤول تنفيذي محدد بالاسم المساءلة عن أمن المعلومات؛ وتُسجَّل المخاطر مع أصحابها وتواريخها المستهدفة، وتُراجع وفق وتيرة ثابتة. وهذا يطابق ما يتوقعه المشترون عادة من نظام إدارة على غرار ISO، حتى بحجمنا الحالي.
    
-   ✅
    
    السياسات
    
    **حزمة سياسات معتمدة من مجلس الإدارة**
    
    تغطي السياسات الرسمية الوصول، والتشفير، والاستجابة للحوادث، والمورّدين، وإدارة التغيير. والحزمة معتمدة من مجلس الإدارة ومحفوظة تحت نظام التحكم في الإصدارات؛ ويتاح محتواها الكامل بموجب اتفاقية عدم إفصاح (NDA).
    
-   🔧
    
    السياسات التقنية
    
    **تحويل الأحداث إلى نظام SIEM لدى العميل (مثل Sentinel)**
    
    تُحوَّل أحداث الأمان من الأنظمة التي تتحكم بها Hanah إلى مساحة عمل Sentinel لديكم (أو ما يعادلها) للمراقبة المشتركة حيث يُتفق على ذلك تعاقديًا. وتُهيّأ لكل عميل مؤسسي على حدة.
    

هذه هي فئات مزوّدي الخدمة التي **قد تعالج بيانات عملاء Hanah أو تخزّنها** في بنية الإنتاج الخاصة بنا في ، وما يتولاه كل منها، وما يحتفظ به، وأين يعالج البيانات. ويلتزم كل مزوّد تعاقديًا بحماية بيانات العملاء، ولا يجوز لأي منهم تدريب النماذج عليها. ويستخدم تسجيل دخول الممارسين الصحيين بنية هوية عالمية **لا تحتوي على أي معلومات صحية للمرضى**. وتشكّل الفئات نفسها الملحق C من [اتفاقية معالجة البيانات](https://hanah.health/dpa/#annex-c) لدينا.

| فئة الخدمة | الغرض | البيانات المعالَجة | الاحتفاظ | منطقة المعالجة |
| --- | --- | --- | --- | --- |

الشفافية التشغيلية: صفحة **حالة الخدمة** عامة (مدة التشغيل والحوادث) إلى جانب نقطة الجاهزية `/healthz` في بيئة الإنتاج التي تستخدمها أنظمة المراقبة لدينا.

[حالة الخدمة](https://hanah.health/ar/uk/trust/status/ "حالة كل مكوّن، ومدة التشغيل خلال ٩٠ يومًا، وسجل الحوادث لنشر المملكة المتحدة.") [طلب حزمة الأمان الكاملة بموجب اتفاقية عدم إفصاح](mailto:security@hanah.health?subject=Trust%20%2F%20security%20pack%20request) [العودة إلى hanah.health](https://hanah.health/ar/)

شركة PhysiPal Pty Ltd (التي تعمل باسم Hanah)، . مركز الثقة هذا ملخص عام، وتسود الالتزامات التعاقدية وشروط معالجة البيانات السارية عند التوقيع على ما في هذه الصفحة. ورموز الحالة التعبيرية (✅ 🔧) مؤقتة وستُزال بعد التحقق المستقل من كل صف.