مركز الثقة
الشفافية للممارسين الصحيين ومالكي العيادات والمشترين المؤسسيين. تلخّص هذه الصفحة كيف تتعامل Hanah مع المعلومات الصحية، ومن هم مزوّدو الخدمة المشمولون في بيئة الإنتاج في ، وكيف يرتبط كل ضابط من ضوابط الأمان بقواعد الأمان والخصوصية والإخطار بالخروقات في HIPAA. مؤشرات الحالة أداة تحريرية مؤقتة وستُزال بعد التحقق من كل بند في بيئة الإنتاج.
لمن هذه الصفحة: العيادات والشبكات الصحية ومسؤولو الخصوصية وفرق أمن تقنية المعلومات الذين يُجرون العناية الواجبة على Hanah. نظرة سريعة: يلخّص مركز الثقة هذا ضوابط الأمان في Hanah ومزوّدي الخدمة المشمولين في بيئة الإنتاج في . تُخزَّن السجلات السريرية في . ويجري التعرّف على الكلام لدى مزوّد متخصص في الولايات المتحدة، والصياغة بالذكاء الاصطناعي لدى مزوّدين في الولايات المتحدة ودول أخرى يشغّلون فيها منشآت، بموجب شروط تحظر التدريب على محتواكم. وتوجد أدلة أعمق في دليل الأمان والعمليات الخاص بنا، ويصف تبويب الضوابط كيف يُطبَّق كل ضابط.
منهجية التحقق
كيف نقيس دقة تحويل الكلام إلى نص والهلوسة في التوثيق: منظومة اختبار واحدة، ومجموعة تسجيلات مرجعية واحدة، وطبقتا تقييم (WER + لجنة تحكيم من النماذج اللغوية). وهي القواعد التي يُقيَّم بها كل رقم ننشره.
قراءة المنهجية ←شفافية التحقق
التفريغات النصية لكل تسجيل، والمستندات المُنشأة، وأحكام كل مُحكِّم من النماذج اللغوية مقابل مجموعة تسجيلات مرجعية موثوقة من المرجع الصحيح. البيانات كاملة، لا الأرقام الرئيسية فقط.
عرض التقرير ←النتائج السابقة
كل اختبار معياري نشرناه، مع التغيّر مقارنة بالجولة التي سبقته. تُترك الأرقام تمامًا كما قيست في يومها، بما في ذلك الحالات التي تغيّرت فيها لجنة التقييم نفسها منذ ذلك الحين.
مقارنة النتائج ←كل صف ضابط بالمعنى المعتاد في معايير ISO: سياسة (الحوكمة والإجراءات الموثّقة)، أو تقني (تفرضه الأنظمة والإعدادات)، أو مورّد (ضمانات تعاقدية وضمانات المعالجين الفرعيين للبيانات). وتُظهر الوسوم نوع الدليل الغالب، وتجمع صفوف كثيرة أكثر من نوع. وتعود التفاصيل إلى دليل الأمان والعمليات الداخلي لدينا. ويذكر السطر أسفل كل صف أحكام HIPAA (٤٥ CFR) التي يقابلها ذلك الضابط، وهو إرشادي فقط ولا يغني عن الاستشارة القانونية.
المرجع: لوائح التبسيط الإداري في HIPAA، ٤٥ CFR الجزء ١٦٤: القسم الفرعي C (قاعدة الأمان)، والقسم الفرعي D (قاعدة الإخطار بالخروقات)، والقسم الفرعي E (قاعدة الخصوصية).
البنية التحتية والمنصة
أمن البنية التحتية
يحدد أين تعمل Hanah في النشر الإقليمي، وكيف تُفصل بيئة الإنتاج عن بيئة العمليات، وكيف يحمي التشفير بيانات العملاء بين الممارسين الصحيين وأنظمتنا والمعالجين الفرعيين للذكاء الاصطناعي. وهي في معظمها ضوابط تقنية تدعمها إجراءات إدارية في دليل الأمان والعمليات (Security & Operations Handbook).
-
✅
التقنية السياساتأحمال عمل الإنتاج مقيمة داخل المنطقة
تقع خوادم التطبيق الرئيسية وقواعد البيانات وتخزين الكائنات والنسخ الاحتياطية الخاصة بالنشر في داخل المنطقة. تصف السجلات الإدارية المناطق وموافقات التغيير، ويثبّت النشر التقني الموارد في المشروع الإقليمي.
المواءمة مع HIPAA: §١٦٤.٣٠٨(a)(١)(ii)(A)–(B) تحليل المخاطر وإدارتها؛ §١٦٤.٣١٠(a)(١) ضوابط الوصول إلى المنشآت، ويتولاها مزوّد الاستضافة. تُخزَّن السجلات في الولايات المتحدة؛ والمعالجة لدى المزوّدين مدرجة تحت «مزوّدو الخدمة».
-
✅
التقنيةالتشفير أثناء النقل
تستخدم نقاط الدخول العامة إصدارات حديثة من TLS. وتستخدم الحركة المتجهة إلى مزوّدي التعرّف على الكلام ونماذج الذكاء الاصطناعي بروتوكول TLS إلى نقاط النهاية المهيّأة لكل مزوّد. وهذا ضابط تقني يُتحقق منه في مراجعات البنية وإعدادات النشر.
المواءمة مع HIPAA: §١٦٤.٣١٢(e)(١) أمن النقل؛ §١٦٤.٣١٢(e)(٢)(ii) التشفير.
-
✅
التقنية السياساتالتشفير أثناء التخزين
تستخدم قواعد البيانات وتخزين الكائنات وكائنات النسخ الاحتياطي خوارزميات معيارية في القطاع (مثل AES-256-GCM)، بمفاتيح تُدار وفق سياسة التشفير لدينا. وتضيف النسخ الاحتياطية عبر WAL-G تشفيرًا من جهة العميل قبل التخزين خارج الموقع.
المواءمة مع HIPAA: §١٦٤.٣١٢(a)(٢)(iv) التشفير وفك التشفير؛ §١٦٤.٣٠٨(a)(٧)(ii)(A) خطة النسخ الاحتياطي للبيانات.
-
✅
التقنية المورّدونالحماية من هجمات DDoS وجدار حماية تطبيقات الويب (WAF) على الحافة
تقف طبقة حافة مُدارة أمام أسماء المضيفين العامة، فتمتص الهجمات الحجمية وتطبق قواعد WAF للتصدي لأشكال إساءة الاستخدام الشائعة على الويب. وتبقى الحمايات على مستوى المزوّد وإعدادات جدار الحماية المحكمة قائمة خلف الحافة.
المواءمة مع HIPAA: §١٦٤.٣٠٦(a)(١) إتاحة المعلومات الصحية المحمية الإلكترونية؛ §١٦٤.٣٠٨(a)(٧) خطة الطوارئ.
-
✅
التقنية السياساتكشف التسلل
كشف متعدد الطبقات: توفّر منصة الاستضافة نظام كشف التسلل (IDS) على مستوى الشبكة، بينما يشغّل كل خادم افتراضي fail2ban (لمنع هجمات التخمين على SSH)، و UFW برفض افتراضي، وتحديثات أمنية تلقائية. وتُرسل أحداث المصادقة والوصول من وكيل المصادقة إلى منظومة مركزية من Loki و Grafana، فتظهر أنماط تسجيل الدخول غير الاعتيادية في لوحات المعلومات والتنبيهات. وتحدد السياسات المسؤول عن الفرز عند إطلاق التنبيهات. ويُعدّ نظام كشف التسلل أثناء التشغيل على مستوى النواة للحاويات تحسينًا مخططًا فوق هذا الأساس.
المواءمة مع HIPAA: §١٦٤.٣٠٨(a)(١)(ii)(D) مراجعة نشاط نظام المعلومات؛ §١٦٤.٣٠٨(a)(٦) إجراءات الحوادث الأمنية؛ §١٦٤.٣١٢(b) ضوابط التدقيق.
المنتج والتطبيق
أمن المنتج
كيف يصادق المستخدمون على هوياتهم، وكيف تُفرض الصلاحيات في طبقة المنتج وواجهة API، وكيف نبني البرمجيات ونطلقها. تجمع بين الفرض التقني (JWT و RBAC) ومتطلبات إدارية لدورة حياة تطوير البرمجيات (SDLC) والمراجعة.
-
✅
التقنية المورّدونالمصادقة والجلسات
يصادق الممارسون الصحيون على هوياتهم عبر مزوّد هوية مُدار (تدفقات بأسلوب OIDC/OAuth)؛ ويتحقق كل مسار في واجهة API من الهوية. وتتوافق مدة الجلسة وسلوك قفل الحساب مع سياسة التحكم في الوصول لدينا.
المواءمة مع HIPAA: §١٦٤.٣١٢(d) مصادقة الشخص أو الجهة؛ §١٦٤.٣١٢(a)(٢)(iii) تسجيل الخروج التلقائي.
-
✅
التقنية السياساتالتحكم في الوصول القائم على الأدوار
تُفصل صلاحيات الممارس الصحي والمريض والمسؤول في نموذج البيانات وطبقة GraphQL، بحيث يكون مبدأ الحد الأدنى من الصلاحيات هو الوضع الافتراضي. وتُوثَّق تعريفات الأدوار ووتيرة مراجعتها إداريًا.
المواءمة مع HIPAA: §١٦٤.٣١٢(a)(١) التحكم في الوصول؛ §١٦٤.٣٠٨(a)(٤) إدارة الوصول إلى المعلومات؛ §١٦٤.٥٠٢(b) الحد الأدنى الضروري.
-
✅
التقنية السياساتالمصادقة متعددة العوامل (MFA) إلزامية للمسارات ذات الصلاحيات المرتفعة
تُفرض المصادقة متعددة العوامل إلزاميًا، عبر مزوّد الهوية لدينا، على الحسابات التي يمكنها تغيير الإعدادات الحساسة أمنيًا أو الوصول إلى بيانات عالية المخاطر.
المواءمة مع HIPAA: §١٦٤.٣١٢(d) مصادقة الشخص أو الجهة.
-
✅
التقنية السياساتدورة حياة التطوير الآمن
تمر التغييرات عبر نظام التحكم في المصدر والمراجعة والاعتماديات مثبّتة الإصدار. ويُنظر في الأثر الأمني للميزات الجوهرية كبوابة إدارية؛ وتدعم الأدوات التقنية (Dependabot وغيرها) السلامة المستمرة للشيفرة.
المواءمة مع HIPAA: §١٦٤.٣٠٨(a)(١)(ii)(B) إدارة المخاطر؛ §١٦٤.٣٠٨(a)(٨) التقييم.
-
✅
التقنية السياساتقائمة مكوّنات البرمجيات (SBOM)
يحمل كل إصدار جردًا للاعتماديات قابلًا للقراءة آليًا، للاستجابة للثغرات. وتصدير SBOM مدمج في التكامل المستمر (CI) ضمن برنامجنا لضمان سلسلة الإمداد.
المواءمة مع HIPAA: §١٦٤.٣٠٨(a)(١)(ii)(B) إدارة المخاطر؛ §١٦٤.٣٠٨(a)(٥)(ii)(B) الحماية من البرمجيات الخبيثة.
البيانات والخصوصية
البيانات والخصوصية
الاحتفاظ والحذف وحقوق أصحاب البيانات وإمكانية رؤية الأحداث ذات الصلة بالأمان. تجمع هذه الضوابط بين الفرض الآلي في المنتج وقاعدة البيانات وإجراءات إدارية (معالجة طلبات DSAR للوصول إلى البيانات، والإخطار بخروقات البيانات، والتقارير الفصلية).
-
✅
التقنية السياساتالاحتفاظ بمواد التسجيل المحيطي وحذفها
تخضع المواد الصوتية والتفريغات النصية افتراضيًا لفترة احتفاظ قصيرة مع حذف آلي؛ وتتبع الملاحظات السريرية سياسة الاحتفاظ لدى كل مؤسسة. وبعد التكامل مع نظام سجلاتكم، يبقى السجل السريري المرجعي ملكًا لكم.
المواءمة مع HIPAA: §١٦٤.٣١٠(d)(٢)(i) التخلص؛ §١٦٤.٥٠٢(b) الحد الأدنى الضروري.
-
✅
التقنية السياساتسجل حذف يكشف التلاعب وتقارير فصلية
تُسجَّل عمليات الحذف الناتجة عن سياسة الاحتفاظ في
deletion_log، وهو جدول Postgres للإضافة فقط، لا يمنح أي دور صلاحياتUPDATEأوDELETE. ويرتبط كل صف بالصف السابق عبر سلسلة تجزئة SHA-256 (row_hash = sha256(prev_hash ‖ canonical(metadata)))، لذا فإن تعديل أي صف سابق أو حذفه يكسر كل التجزئات اللاحقة، ويكشفه المُتحقِّق داخل قاعدة البياناتhanah_verify_deletion_chain(). والجداول التدقيقية المرافقة (ai_auditوsecret_access_audit) للإضافة فقط أيضًا. وتُنتَج الملخصات الفصلية الموجّهة للعملاء عبرhanah_deletion_report_quarter(year, quarter).المواءمة مع HIPAA: §١٦٤.٣١٢(b) ضوابط التدقيق؛ §١٦٤.٣١٢(c)(١) السلامة؛ §١٦٤.٣١٦(b) التوثيق.
-
✅
السياسات التقنيةوصول أصحاب البيانات إليها وتصحيحها
يمكن للأفراد طلب الوصول إلى معلوماتهم الشخصية أو تصحيحها؛ وتوثّق Hanah المُهل الزمنية والصيغ (JSON إضافة إلى نسخ مُصدَّرة سهلة القراءة) ومسارات التصعيد. وتدعم الأدوات التصدير حيث تكون البيانات في أنظمة Hanah.
المواءمة مع HIPAA: §١٦٤.٥٢٤ حق الوصول؛ §١٦٤.٥٢٦ التعديل. وتدعم Hanah استجابة العيادة.
-
🔧
التقنية السياساترؤية موحّدة لسجلات التدقيق
الأحداث ذات الصلة بالأمان (المصادقة، واستخدام الصلاحيات، وتغييرات الإعدادات) قابلة للاستعلام للعملاء المؤسسيين، ويمكن تحويلها إلى نظام SIEM لديكم (مثل Microsoft Sentinel) حيث يُتفق على ذلك تعاقديًا. وتُهيّأ لكل عميل على حدة.
المواءمة مع HIPAA: §١٦٤.٣١٢(b) ضوابط التدقيق؛ §١٦٤.٣٠٨(a)(١)(ii)(D) مراجعة نشاط نظام المعلومات.
الذكاء الاصطناعي والسلامة السريرية
أمن الذكاء الاصطناعي والامتثال
ضوابط خاصة بالذكاء الاصطناعي المحيطي: لا استخدام ثانويًا للبيانات الصحية في التدريب، وإشراف بشري قبل الاعتماد السريري، وقياس الجودة (WER)، وصياغة تعليمات مقاومة لإساءة الاستخدام. وتجمع بين ضوابط تعاقدية على الأطراف الثالثة وسير العمل في المنتج والحوكمة السريرية.
-
✅
المورّدون السياسات التقنيةلا استخدام ثانويًا لتدريب النماذج
تحظر شروط مزوّدي التعرّف على الكلام ونماذج الذكاء الاصطناعي لدينا التدريب على محتوى العملاء، وتُرسل الطلبات مع إيقاف التخزين لدى المزوّد حيثما يتيح المزوّد ذلك. ولا تُشغّل Hanah أي مسار تدريب داخلي على بياناتكم الصحية. وتدعم مراجعات المورّدين الإدارية هذا الادعاء.
المواءمة مع HIPAA: §١٦٤.٥٠٢(a) الاستخدامات والإفصاحات، مقصورة على الغرض الذي تعاقدت العيادة مع Hanah من أجله؛ والمزوّدون ملزمون تعاقديًا بعدم التدريب على المحتوى وعدم الاحتفاظ به بما يتجاوز الشروط المبيّنة تحت «مزوّدو الخدمة».
-
✅
السياسات التقنيةإشراك الإنسان قبل الاعتماد السريري
تتطلب الملاحظات المُنشأة مراجعة صريحة من الممارس الصحي واعتمادها قبل أن تُعامل كجزء من السجل السريري. وهذا ضابط في المنتج (بوابات في سير العمل) والتزام في تقييم الأثر على الخصوصية (PIA) معًا.
المواءمة مع HIPAA: §١٦٤.٣١٢(c)(١) السلامة؛ §١٦٤.٥٢٦ التعديل.
-
✅
السياسات التقنيةمنهجية WER ونتائج المجموعات المنشورة
منظومة اختبار واحدة وطبقتا تقييم، تعملان في كل جولة تقييم: معدل خطأ الكلمات مقابل تفريغات نصية حرفية من المرجع الصحيح (الطبقة A)، ولجنة تحكيم من النماذج اللغوية تقيس كلًّا من التغطية (هل تتضمن الملاحظة كل توقّع مُسجَّل مسبقًا؟) والهلوسة (هل تحتوي الملاحظة على ادعاءات لا يدعمها التفريغ النصي، أي محتوى اختلقه النموذج؟). المنهجية الكاملة منشورة، والنتائج المباشرة تُعرض مباشرة من المخرجات المجمّعة لمنظومة الاختبار. وتواصل مجموعة التسجيلات المرجعية تطورها من v1 (اصطناعية) إلى v2 (تمثيل أدوار) إلى v3 (حقيقية بموافقة المشاركين) إلى v4 (بالشراكة مع أنظمة صحية).
المواءمة مع HIPAA: §١٦٤.٣١٢(c)(١) السلامة؛ §١٦٤.٣٠٨(a)(٨) التقييم.
-
✅
التقنية السياساتمراقبة حقن التعليمات والمخرجات غير الآمنة
يتحكم الخادم في تعليمات النظام، وتقتصر المدخلات على سير العمل السريري (لا توجد واجهة دردشة حرة). وتعمل مصنِّفات السلامة لدى المزوّد على كل عملية إنشاء؛ وعند تفعيلها، يُظهر البث سبب إنهاء بفعل مرشّح المحتوى، يُسجَّل في صف
ai_auditالخاص بكل استدعاء إلى جانب رمز خطأ معياريai.content_policy، وزمن الاستجابة، وعدد الرموز (tokens)، ومعرّف تتبع Tempo. وتظهر الأنماط غير الاعتيادية في لوحات معلومات مبنية على جدول التدقيق هذا. ويُعدّ كشف الشذوذ السلوكي عبر الاستدعاءات لرصد أنماط إساءة الاستخدام تحسينًا مخططًا فوق هذا الأساس.المواءمة مع HIPAA: §١٦٤.٣٠٨(a)(١)(ii)(D) مراجعة نشاط نظام المعلومات؛ §١٦٤.٣٠٨(a)(٥)(ii)(B) الحماية من البرمجيات الخبيثة.
-
✅
التقنية السياساتتسجيل موافقة جميع الأطراف داخل المنتج
عندما يضغط الممارس الصحي زر التسجيل، يفتح المنتج نافذة موافقة تتطلب تأكيدًا صريحًا بأن الموافقة قد أُخذت من المريض ومن أي مشاركين آخرين في الجلسة. ولا يمكن بدء التسجيل حتى يُقَرّ بهذا التحقق، ويُربط التأكيد بالمقابلة السريرية إلى جانب سياسة العيادة المشار إليها في تقييم الأثر على الخصوصية.
المواءمة مع HIPAA: §١٦٤.٥٠٦(b) الموافقة على الاستخدامات لأغراض العلاج. وتنطبق أيضًا قوانين التسجيل في الولايات: إذ تشترط عدة ولايات، منها كاليفورنيا وفلوريدا، موافقة جميع الأطراف على التسجيل.
المؤسسة والأطراف الثالثة
الأمن المؤسسي
كيف تدير شركة Hanah حوكمة الأمان: المساءلة، والسياسات، والضمان المستقل، والتكامل مع أدوات الأمان لدى العملاء. وهي في الأساس ضوابط إدارية؛ ولبعضها مخرجات تقنية (مثل موصلات SIEM).
-
✅
السياساتحوكمة الأمان وسجل المخاطر
يتولى مسؤول تنفيذي محدد بالاسم المساءلة عن أمن المعلومات؛ وتُسجَّل المخاطر مع أصحابها وتواريخها المستهدفة، وتُراجع وفق وتيرة ثابتة. وهذا يطابق ما يتوقعه المشترون عادة من نظام إدارة على غرار ISO، حتى بحجمنا الحالي.
المواءمة مع HIPAA: §١٦٤.٣٠٨(a)(٢) إسناد مسؤولية الأمان؛ §١٦٤.٣٠٨(a)(١) عملية إدارة الأمان.
-
✅
السياساتحزمة سياسات معتمدة من مجلس الإدارة
تغطي السياسات الرسمية الوصول، والتشفير، والاستجابة للحوادث، والمورّدين، وإدارة التغيير. والحزمة معتمدة من مجلس الإدارة ومحفوظة تحت نظام التحكم في الإصدارات؛ ويتاح محتواها الكامل بموجب اتفاقية عدم إفصاح (NDA).
المواءمة مع HIPAA: §١٦٤.٣١٦ السياسات والإجراءات والتوثيق.
-
🔧
السياسات التقنيةتحويل الأحداث إلى نظام SIEM لدى العميل (مثل Sentinel)
تُحوَّل أحداث الأمان من الأنظمة التي تتحكم بها Hanah إلى مساحة عمل Sentinel لديكم (أو ما يعادلها) للمراقبة المشتركة حيث يُتفق على ذلك تعاقديًا. وتُهيّأ لكل عميل مؤسسي على حدة.
المواءمة مع HIPAA: §١٦٤.٣٠٨(a)(٦) إجراءات الحوادث الأمنية؛ §١٦٤.٣١٢(b) ضوابط التدقيق؛ ويدعم تقييم العيادة للخرق بموجب §١٦٤.٤٠٢.
تصل استبيانات العناية الواجبة في الولايات المتحدة عادةً مكتوبة وفق HIPAA، وأحيانًا وفق ISO/IEC 27001 أو SOC 2. يبدأ هذا الجدول من كل متطلب من متطلبات HIPAA، ويذكر أقرب حكم يقابله في مبادئ الخصوصية الأسترالية و GDPR وقانون الخصوصية النيوزيلندي و ISO/IEC 27001 و SOC 2، ويسمّي ضابط Hanah الذي يستوفيه.
أوجه التكافؤ إرشادية وليست استشارة قانونية.
| متطلب HIPAA | مبادئ الخصوصية الأسترالية | GDPR / UK GDPR | قانون الخصوصية النيوزيلندي لعام ٢٠٢٠ / مدونة HIPC 2020 | ISO/IEC 27001:2022 | SOC 2 (TSC 2017) | كيف تلبّيه Hanah |
|---|---|---|---|---|---|---|
| §١٦٤.٥٣٠(a) و(i): مسؤول الخصوصية والسياسات والإجراءات | APP 1 الإدارة المفتوحة والشفافة | المادة ٥(٢) المساءلة؛ المادتان ٢٤ و٣٠ | المادة ٢٠١ مسؤول الخصوصية | البند ٥.٢ السياسة؛ A.5.١ | CC1.١–CC1.٣؛ CC2.٣ | مسؤول تنفيذي محدد بالاسم، وسجل للمخاطر، وحزمة سياسات معتمدة من مجلس الإدارة، ومركز الثقة هذا. |
| §١٦٤.٥٢٠: إشعار ممارسات الخصوصية | APP 5 الإشعار بالجمع | المادتان ١٣–١٤: المعلومات الواجب تقديمها | المبدأ IPP 3؛ وقاعدة HIPC 3 | A.5.٣٤ | الإشعار P1.١ | خطوة موافقة داخل المنتج؛ وتذكر سياسة الخصوصية البلدان التي تُعالج فيها البيانات. |
| §١٦٤.٥٠٢(b) و §١٦٤.٥١٤(d): الحد الأدنى الضروري | APP 3 جمع المعلومات المطلوبة | المادة ٥(١)(b)–(c) تحديد الغرض وتقليل البيانات | مبادئ IPP 1 و ٢ و ٤؛ وقواعد HIPC 1 و ٢ و ٤ | A.5.٣٤ | P3.١–P3.٢ الجمع | يقتصر الجمع على اللقاء الذي يبدؤه الممارس، مع تأكيد الموافقة قبل كل تسجيل. |
| §١٦٤.٥٠٢(a) و §١٦٤.٥٠٦: الاستخدامات والإفصاحات المسموح بها | APP 6 الاستخدام أو الإفصاح | المادة ٥(١)(b): تحديد الغرض؛ والمادة ٢٨: شروط المعالج | مبادئ IPP 10 و ١١؛ وقواعد HIPC 10 و ١١ | البند A.5.٣٤؛ والبند A.5.١٠: الاستخدام المقبول | الاستخدام P4.١؛ والإفصاح لأطراف ثالثة P6.١ | المعالجة تجري فقط بناءً على تعليمات العيادة؛ لا استخدام ثانوي ولا تدريب للنماذج. |
| §١٦٤.٥٠٨(a)(٣): تفويض التسويق | APP 7 التسويق المباشر | المادة ٢١(٢)–(٣): الحق في الاعتراض على التسويق المباشر | لا يوجد مقابل مباشر (قانون الرسائل الإلكترونية غير المرغوب فيها لعام ٢٠٠٧، Unsolicited Electronic Messages Act ٢٠٠٧) | لا يوجد مقابل مباشر | P2.١ | لا تُستخدم معلومات المرضى للتسويق أبدًا؛ ولا يتلقى المرضى رسائل من العيادة إلا حين يرسل الممارس شيئًا. |
| §١٦٤.٥٠٢(e) و §١٦٤.٥٠٤(e) و §١٦٤.٣٠٨(b): شركاء الأعمال والمتعاقدون من الباطن | APP 8 الإفصاح عبر الحدود | المادة ٢٨ المعالجون؛ الفصل الخامس، المواد ٤٤–٤٩ عمليات النقل الدولية | المبدأ IPP 12؛ وقاعدة HIPC 12 | البنود A.5.١٩–A.5.٢٢: العلاقات مع المورّدين | مخاطر المورّدين CC9.٢؛ و P6.٤ | تُخزَّن السجلات في الولايات المتحدة. ويُدرج المزوّدون حسب الدولة تحت «مزوّدو الخدمة»، مع حظر تعاقدي للتدريب وحدود للاحتفاظ. |
| §١٦٤.٣١٢(c): السلامة | APP 10 جودة المعلومات الشخصية | المادة ٥(١)(d): الدقة | المبدأ IPP 8؛ وقاعدة HIPC 8 | A.5.٣٤ | الجودة P7.١ | مراجعة الممارس الصحي قبل اعتماد الملاحظة؛ وقياس منشور للدقة والهلوسة. |
| §١٦٤.٣٠٨ و §١٦٤.٣١٠ و §١٦٤.٣١٢: الضمانات الإدارية والمادية والتقنية | APP 11.١ أمن المعلومات الشخصية | المادة ٣٢: أمن المعالجة | المبدأ IPP 5؛ وقاعدة HIPC 5 | البندان A.5.١٥ و A.8.٥: الوصول والمصادقة؛ والبند A.8.٢٤: التشفير؛ والبند A.8.١٣: النسخ الاحتياطي؛ والبندان A.8.١٥–A.8.١٦: تسجيل الأحداث والمراقبة | الوصول المنطقي CC6؛ وعمليات النظام CC7؛ وإدارة التغيير CC8 | التشفير أثناء النقل وأثناء التخزين، والوصول القائم على الأدوار، والمصادقة متعددة العوامل للمسارات ذات الصلاحيات المرتفعة، وكشف التسلل، والنسخ الاحتياطية المشفّرة. |
| §١٦٤.٣١٠(d)(٢)(i): التخلص | APP 11.٢ الإتلاف أو إزالة ما يحدد الهوية؛ APP 4 المعلومات غير المطلوبة | المادة ٥(١)(e): تقييد التخزين؛ والمادة ١٧: المحو | المبدأ IPP 9؛ وقاعدة HIPC 9 | البند A.8.١٠: حذف المعلومات | الإتلاف C1.٢؛ و P4.٣ | يُحذف الصوت الخام فور إنتاج التفريغ النصي؛ ويُحذف الصوت والتفريغات النصية تلقائيًا ويُسجَّل ذلك في سجل حذف يكشف أي عبث. |
| §١٦٤.٥٢٤: حق الوصول | APP 12 الوصول | المادة ١٥: الوصول؛ والمادة ٢٠: قابلية نقل البيانات | المبدأ IPP 6؛ وقاعدة HIPC 6 | A.5.٣٤ | الوصول P5.١ | تصدير بصيغة JSON وبصيغ يقرؤها البشر لدعم استجابة العيادة. |
| §١٦٤.٥٢٦: التعديل | APP 13 التصحيح | المادة ١٦: التصحيح | المبدأ IPP 7؛ وقاعدة HIPC 7 | A.5.٣٤ | التصحيح P5.٢ | يعدّل الممارسون الملاحظات ويعيدون اعتمادها؛ وتتبع طلبات التعديل إجراءً موثّقًا. |
| §١٦٤.٤٠٠–٤١٤: قاعدة الإخطار بالخروقات | الجزء IIIC نظام الإبلاغ الإلزامي عن خروقات البيانات | المادتان ٣٣–٣٤: الإخطار بالخروقات | الجزء ٦: خروقات الخصوصية واجبة الإخطار | البنود A.5.٢٤–A.5.٢٧: إدارة الحوادث | الاستجابة للحوادث CC7.٣–CC7.٥ | سياسة للاستجابة للحوادث، وتسجيل أمني مركزي، ودعم لتقييم العيادة للمخاطر وللإخطار. |
هذه فئات مزوّدي الخدمة التي قد تعالج بيانات عملاء Hanah أو تخزّنها في بنية الإنتاج لدينا في ، وما يتولاه كل منها، وما يحتفظ به، وأين يعالج البيانات. كل مزوّد ملزم تعاقديًا بحماية بيانات العملاء، ولا يجوز لأي منهم تدريب النماذج عليها. ويستخدم تسجيل دخول الممارسين بنية هوية عالمية لا تحتفظ بأي معلومات صحية للمرضى.
| فئة الخدمة | الغرض | البيانات المعالَجة | الاحتفاظ | منطقة المعالجة |
|---|
الشفافية التشغيلية: صفحة حالة الخدمة عامة (مدة التشغيل والحوادث) إلى جانب نقطة الجاهزية /healthz في بيئة الإنتاج التي تستخدمها أنظمة المراقبة لدينا.
شركة PhysiPal Pty Ltd (التي تعمل باسم Hanah)، . مركز الثقة هذا ملخص عام، وتسود الالتزامات التعاقدية وشروط معالجة البيانات السارية عند التوقيع على ما في هذه الصفحة. ورموز الحالة التعبيرية (✅ 🔧) مؤقتة وستُزال بعد التحقق المستقل من كل صف.