سياسة الخصوصية

١. إحنا مين

iClinicOS (يُشار إليها بـ "إحنا" أو "الخدمة") — منصة SaaS لإدارة العيادات الطبية في مصر. مسؤول الحماية: Ibrahim Maher. الإيميل: privacy@iclinicos.com.

٢. البيانات اللي بنجمعها

بيانات حساب الدكتور/العيادة

• الاسم الكامل، الإيميل، رقم الموبايل
• اسم العيادة، التخصص الطبي، العنوان
• كلمة السر (مُشفّرة bcrypt)
• إعدادات العيادة: تليفونات، واتساب، مواعيد العمل، الأسعار

بيانات الاستخدام

• IP address، نوع المتصفح، نظام التشغيل
• أوقات الدخول والخروج
• الصفحات اللي بتزورها داخل النظام
• الإجراءات اللي بتعملها (إضافة مريض، حجز موعد، إلخ)

بيانات التواصل

• رسايل الدعم الفني
• تفضيلات اللغة (عربي/إنجليزي)
• feedback وتقييمات

٣. بيانات المرضى (PHI — Protected Health Information)

بيانات المرضى اللي ممكن تخزّنها في النظام:

• الاسم، العمر، النوع، فصيلة الدم
• التليفون والإيميل
• الأمراض المزمنة، الحساسية، التاريخ المرضي
• تشخيصات، روشتات، تحاليل، علامات حيوية
• ملاحظات الكشف وصور طبية (لو رفعتها)
• مواعيد العيادة ومحادثات البوت الذكي

ضمانات حماية PHI

• تشفير البيانات في النقل (HTTPS/TLS 1.3)
• تشفير كلمات السر والبيانات الحساسة في DB
• Access control صارم — كل عيادة شايفه بس بيانات مرضاها
• Audit logs لكل الإجراءات اللي بتعمل على بيانات المرضى
• Backups يومية مُشفّرة

٤. إزاي بنستخدم البيانات

• تشغيل الخدمة: حجوزات، ملفات مرضى، بوت ذكي، تذكيرات، روشتات إيميل.
• تحسين المنتج: تحليل الاستخدام (anonymized) لفهم المميزات الأكتر استخداماً.
• الدعم الفني: الرد على استفساراتك وحل المشاكل.
• إشعارات: إشعارات الخدمة، تحديثات مهمة، تذكيرات فواتير.
• الامتثال القانوني: الرد على الجهات الرسمية لما يُطلب منا قانونياً.

٥. الأساس القانوني للمعالجة

بنعالج البيانات بناءً على:

• الاتفاقية التعاقدية: عشان نقدم الخدمة اللي اشتركت فيها.
• الموافقة الصريحة: لأي معالجة خارج الضرورة التشغيلية.
• المصلحة المشروعة: تأمين النظام ومنع الاحتيال.
• الالتزام القانوني: حسب قانون حماية البيانات الشخصية المصري (قانون رقم 151 لسنة 2020) وقوانين الممارسة الطبية.

٦. مشاركة البيانات مع أطراف تالتة

مش بنبيع بياناتك لحد. بنشاركها بس مع مزودي خدمات ضروريين للتشغيل:

كل الأطراف دي ملتزمة بمعايير أمان صارمة وDPAs (Data Processing Agreements) معانا.

٧. مدة الاحتفاظ بالبيانات

• بيانات الحساب النشط: طول ما الحساب شغال.
• بيانات المرضى: 7 سنين من آخر نشاط (حسب قوانين السجلات الطبية المصرية).
• بيانات الفواتير: 5 سنين (للامتثال الضريبي).
• Logs ونشاط: 12 شهر.
• Backups: 90 يوم قبل الحذف النهائي.

لما تلغي حسابك، بنحذف بياناتك خلال 30 يوم — ماعدا اللي مطلوب قانونياً الاحتفاظ بيه.

٨. حقوقك

عندك الحق في:

• الوصول: تطلب نسخة من بياناتك في أي وقت.
• التصحيح: تصحح أي بيانات غلط.
• الحذف: تطلب حذف حسابك وبياناتك ("الحق في النسيان").
• التصدير: تصدّر بياناتك بصيغة JSON/CSV في أي وقت.
• تقييد المعالجة: توقف معالجة معينة مؤقتاً.
• الاعتراض: ترفض معالجة بتحصل لأساس المصلحة المشروعة.
• الشكوى: تقدم شكوى للجهات المختصة (مركز حماية البيانات الشخصية).

لممارسة أي حق من دول: privacy@iclinicos.com — هنرد خلال 30 يوم.

٩. إجراءات الأمان

• تشفير TLS 1.3 لكل الـ traffic
• bcrypt لتشفير كلمات السر (cost factor 10)
• JWT tokens بصلاحية محدودة
• Rate limiting على endpoints حساسة
• SQL injection prevention (parameterized queries)
• Firewall (UFW) + fail2ban
• Monitoring وتنبيهات للسلوك المشبوه
• Backups يومية في locations متعددة

١٠. في حالة اختراق البيانات

لو حصل اختراق أمني، هنـ:

1. نبلّغك خلال 72 ساعة من اكتشاف الاختراق.
2. نبلّغ مركز حماية البيانات الشخصية حسب القانون المصري.
3. نحدد البيانات المتأثرة ونبعتلك خطوات الحماية.
4. نحقق في السبب ونطبق إجراءات منع التكرار.

١١. بيانات الأطفال

iClinicOS مش موجه للي عمرهم أقل من 18 سنة كمستخدمين (دكاترة). لكن العيادة ممكن يكون عندها مرضى أطفال — بياناتهم بتتعامل بنفس معايير حماية PHI، مع مسؤولية إضافية على الدكتور للحصول على موافقة ولي الأمر.

١٢. النقل الدولي للبيانات

سيرفراتنا في DigitalOcean (ممكن تكون في EU أو US). لما بيانات تتنقل خارج مصر، بنضمن وجود Standard Contractual Clauses وحماية مكافئة لحماية البيانات المصرية.

١٣. الكوكيز

بنستخدم كوكيز ضرورية فقط (للـ session/JWT/language). مش بنستخدم كوكيز تتبع إعلاني. تفاصيل كاملة في Cookie Notice.

١٤. تعديلات على السياسة

ممكن نعدل السياسة دي. لو التعديلات جوهرية، هنبلغك بالإيميل 30 يوم قبل سريانها. الاستمرار في استخدام النظام بعد التعديلات = موافقة.

١٥. التواصل

Privacy Policy

1. Who we are

iClinicOS ("we", "us", or "the Service") — a SaaS clinic management platform for Egypt. Privacy officer: Ibrahim Maher. Email: privacy@iclinicos.com.

2. Data we collect

Doctor/clinic account data

• Full name, email, mobile number
• Clinic name, medical specialty, address
• Password (bcrypt-hashed)
• Clinic settings: phones, WhatsApp, work hours, prices

Usage data

• IP address, browser type, OS
• Login/logout timestamps
• Pages visited within the system
• Actions performed (add patient, book appointment, etc.)

Communication data

• Support messages
• Language preferences (AR/EN)
• Feedback and ratings

3. Patient Data (PHI — Protected Health Information)

Patient data you may store:

• Name, age, gender, blood type
• Phone and email
• Chronic conditions, allergies, medical history
• Diagnoses, prescriptions, lab results, vitals
• Exam notes and medical images (if uploaded)
• Clinic appointments and AI bot conversations

PHI protection guarantees

• Encryption in transit (HTTPS/TLS 1.3)
• Passwords and sensitive fields encrypted at rest
• Strict access control — each clinic sees only its patient data
• Audit logs for all actions on patient data
• Daily encrypted backups

4. How we use data

• Operating the service: bookings, patient files, AI bot, reminders, email prescriptions.
• Product improvement: anonymized usage analytics to understand feature adoption.
• Support: responding to inquiries and resolving issues.
• Notifications: service notices, important updates, billing reminders.
• Legal compliance: responding to lawful authority requests.

5. Legal basis for processing

• Contract: to deliver the service you subscribed to.
• Explicit consent: for any processing beyond operational necessity.
• Legitimate interest: system security and fraud prevention.
• Legal obligation: Egyptian Personal Data Protection Law (Law 151/2020) and medical practice laws.

6. Data sharing with third parties

We do not sell your data. We share only with essential service providers:

All parties are bound by strict security standards and DPAs (Data Processing Agreements) with us.

7. Data retention

• Active account data: while the account is active.
• Patient data: 7 years from last activity (per Egyptian medical records law).
• Billing data: 5 years (tax compliance).
• Logs and activity: 12 months.
• Backups: 90 days before permanent deletion.

When you cancel your account, we delete your data within 30 days — except what we must legally retain.

8. Your rights

You have the right to:

• Access: request a copy of your data at any time.
• Correction: fix any incorrect data.
• Deletion: request deletion of your account and data ("right to be forgotten").
• Export: export your data in JSON/CSV format any time.
• Restrict processing: temporarily pause certain processing.
• Object: refuse processing based on legitimate interest.
• Complain: file a complaint with the competent authority (Personal Data Protection Center).

To exercise any right: privacy@iclinicos.com — we respond within 30 days.

9. Security measures

• TLS 1.3 encryption for all traffic
• bcrypt password hashing (cost factor 10)
• JWT tokens with limited validity
• Rate limiting on sensitive endpoints
• SQL injection prevention (parameterized queries)
• Firewall (UFW) + fail2ban
• Monitoring and suspicious-behavior alerts
• Daily backups in multiple locations

10. Data breach response

If a security breach occurs, we will:

1. Notify you within 72 hours of discovery.
2. Notify the Personal Data Protection Center per Egyptian law.
3. Identify affected data and send you protective steps.
4. Investigate the cause and apply preventive measures.

11. Children's data

iClinicOS is not intended for users (doctors) under 18. However, clinics may have pediatric patients — their data is handled with the same PHI protection standards, with additional responsibility on the doctor to obtain parental consent.

12. International data transfers

Our servers are on DigitalOcean (may be in EU or US). When data moves outside Egypt, we ensure Standard Contractual Clauses and protections equivalent to Egyptian data protection.

13. Cookies

We use only essential cookies (session/JWT/language). No advertising tracking cookies. Full details in our Cookie Notice.

14. Changes to this policy

We may update this policy. For material changes, we'll notify you by email 30 days before they take effect. Continued use after changes = acceptance.

15. Contact