اتفاقية معالجة البيانات

اتفاقية قياسية | wise-doctor.com | الإصدار 1.0 | تاريخ النفاذ: 9 تشرين الثاني 2026

تشكّل اتفاقية معالجة البيانات هذه ("الاتفاقية") جزءاً من شروط الخدمة ("الشروط") ومُدمَجةً فيها بالإحالة، وهي مبرمة بين شركة وايز دكتور ش.م.م. (شريك وحيد)، المسجّلة في السجل التجاري في بعبدا تحت الرقم 2075408، الزلقا – شارع رولكس – بناية القديسة ريتا، الطابق الأول، لبنان ("وايز دكتور" أو "المعالِج") ومقدّم الرعاية الصحية أو العيادة أو العميل الآخر الذي يقبل الشروط ("مقدّم الرعاية" أو "المسؤول عن البيانات"). وتسري من تاريخ قبول مقدّم الرعاية للشروط، ويشكّل هذا القبول موافقةً على هذه الاتفاقية وتوقيعاً عليها، بما في ذلك البنود التعاقدية النموذجية حيث تنطبق. ويُسمّى كل من وايز دكتور ومقدّم الرعاية "طرفاً".

مقدّمو الرعاية الذين أبرموا اتفاق معالجة بيانات مفاوَضاً عليه ومنفصلاً مع وايز دكتور يحكمهم ذلك الاتفاق لا هذه الاتفاقية.

1. التعريفات

1.1 يُقصد بـ"قانون حماية البيانات المعمول به" لائحة GDPR (اللائحة (الاتحاد الأوروبي) 2016/679) وأي قانون وطني ينفّذها أو يكمّلها، بالقدر الذي تنطبق فيه على المسؤول عن البيانات أو على المعالجة، وأي قانون آخر لحماية البيانات ينطبق على المعالجة، بما في ذلك القانون اللبناني رقم 81 تاريخ 10 تشرين الأول 2018 المتعلق بالمعاملات الإلكترونية والبيانات ذات الطابع الشخصي ونصوصه التطبيقية، وقانون الآداب الطبية رقم 288 لعام 1994 والقانون رقم 574 لعام 2004 المتعلق بحقوق المرضى والموافقة المستنيرة. وللمصطلحات "البيانات الشخصية" و"المعالجة" و"المسؤول عن البيانات" و"المعالِج" و"صاحب البيانات" و"سلطة الإشراف" و"خرق البيانات الشخصية" المعاني الواردة في GDPR. ويُقصد بـ"بيانات العميل الشخصية" البيانات الشخصية، بما فيها البيانات الصحية، التي تعالجها وايز دكتور نيابةً عن المسؤول عن البيانات بموجب الشروط. وبـ"المعالِج من الباطن" أي طرف ثالث تستعين به وايز دكتور لمعالجة بيانات العميل الشخصية. وبـ"البنود النموذجية" البنود التعاقدية النموذجية الملحقة بقرار المفوضية التنفيذي (الاتحاد الأوروبي) 2021/914. وبـ"النقل المقيَّد" نقل بيانات العميل الشخصية الخاضعة لـGDPR إلى بلد خارج المنطقة الاقتصادية الأوروبية لا يشمله قرار كفاية.

2. النطاق والأدوار وترتيب الأسبقية

2.1 المسؤول عن البيانات هو مقدّم الرعاية، ووايز دكتور هي المعالِج لبيانات العميل الشخصية. ويرد موضوع المعالجة ومدتها وطبيعتها والغرض منها وأنواع البيانات الشخصية وفئات أصحاب البيانات في الملحق I. وحين تعالج وايز دكتور بيانات أصحاب الحسابات الشخصية لأغراضها الخاصة (مثل الفوترة والأمن) فإنها تفعل ذلك بصفة مسؤول مستقل عن البيانات كما هو موضّح في سياسة الخصوصية، ولا تنطبق هذه الاتفاقية على تلك المعالجة.

2.2 يتحمّل المسؤول عن البيانات مسؤولية ضمان وجود أساس قانوني لديه (بما في ذلك شرط المادة 9(2) من GDPR للبيانات الصحية) وتقديم جميع الإشعارات والحصول على جميع الموافقات المطلوبة للمعالجة ولمعالجة وايز دكتور نيابةً عنه، وضمان أن تعليماته تتوافق مع قانون حماية البيانات المعمول به.

2.3 عند التعارض يسري ترتيب الأسبقية الآتي: (أ) البنود النموذجية (حيث تنطبق)؛ (ب) هذه الاتفاقية؛ (ج) الشروط وسياسة الخصوصية.

3. التزامات وايز دكتور بصفتها معالِجاً

3.1 التعليمات. لا تعالج وايز دكتور بيانات العميل الشخصية إلا بناءً على تعليمات المسؤول عن البيانات الموثّقة، وهي الشروط وهذه الاتفاقية وإعدادات المسؤول عن البيانات واستخدامه للمنصّة، ما لم يوجب القانون خلاف ذلك، وفي هذه الحالة تُعلم وايز دكتور المسؤول عن البيانات مسبقاً ما لم يحظر القانون ذلك. وتُعلم وايز دكتور المسؤول عن البيانات إذا رأت أن تعليمة ما تخالف قانون حماية البيانات المعمول به.

3.2 السرية. تضمن وايز دكتور أن الأشخاص المخوَّلين بمعالجة بيانات العميل الشخصية ملزمون بواجبات السرية (تعاقدية أو قانونية) ولا يدخلون إليها إلا بالقدر اللازم لأداء الخدمات.

3.3 الأمن. تطبّق وايز دكتور وتحافظ على التدابير التقنية والتنظيمية الواردة في الملحق II بما يلائم المخاطر، مع مراعاة حساسية البيانات الصحية (المادة 32 من GDPR). ويجوز لوايز دكتور تحديث التدابير شريطة ألا تخفّض مستوى الحماية الإجمالي تخفيضاً جوهرياً.

3.4 ميزات الذكاء الاصطناعي. تعالج وايز دكتور بيانات العميل الشخصية عبر ميزات الذكاء الاصطناعي لتقديم الوظائف التي يطلبها المسؤول عن البيانات فقط. ولن تستخدم وايز دكتور بيانات العميل الشخصية لتدريب نماذج تُتاح لعملاء آخرين أو لأطراف ثالثة أو لتحسينها، وستلزم مزوّدي نماذج الذكاء الاصطناعي العاملين بصفة معالِجين من الباطن بعدم الاحتفاظ ببيانات العميل الشخصية لأغراضهم الخاصة أو لتدريب النماذج. ومخرجات الذكاء الاصطناعي لدعم القرار فقط وتخضع دائماً لمراجعة الطبيب المعالج. وتُحذف المعرّفات المباشرة (الأسماء وبيانات الاتصال وأرقام التعريف) أو تُستبدل قبل إرسال أي نص إلى مزوّد نموذج ذكاء اصطناعي، ويُشترط في كل طلب عدم الاحتفاظ بالبيانات.

3.5 السجلات. تحتفظ وايز دكتور بسجلات أنشطة المعالجة التي تجريها نيابةً عن المسؤول عن البيانات وفق المادة 30(2) من GDPR.

3.6 السر الطبي والتتبّع. تعامل وايز دكتور بيانات العميل الشخصية على أنها مشمولة بالسر الطبي. ويُسجَّل كل اطلاع على سجل طبي؛ ويُسجَّل الوصول الطارئ ("كسر الزجاج") ويُبلَّغ به المريض؛ ولا تُمحى الملاحظات الطبية بل تُعدَّل. ولا تستخدم وايز دكتور بيانات العميل الشخصية لأغراض إعلانية: فلا يُعرض المحتوى المموَّل أبداً في الشاشات السريرية ولا يُختار أبداً بالاستناد إلى البيانات الصحية.

4. المعالجون من الباطن

4.1 يمنح المسؤول عن البيانات تفويضاً عاماً لوايز دكتور بالاستعانة بمعالجين من الباطن، بمن فيهم المدرجون في الملحق III. وتفرض وايز دكتور على كل معالِج من الباطن، بموجب عقد خطي، التزامات لحماية البيانات لا تقل حمايةً عن التزامات هذه الاتفاقية، وتبقى مسؤولة تجاه المسؤول عن البيانات عن أداء المعالِج من الباطن.

4.2 تُخطر وايز دكتور المسؤول عن البيانات قبل 30 يوماً على الأقل (بالبريد الإلكتروني أو عبر المنصّة أو صفحة المعالِجين من الباطن) بأي إضافة أو استبدال مزمع. ويجوز للمسؤول عن البيانات الاعتراض لأسباب معقولة تتعلق بحماية البيانات خلال 15 يوماً من الإخطار؛ ويتشاور الطرفان حينئذٍ بحسن نية، وإذا لم يُتوصَّل إلى حل جاز للمسؤول عن البيانات إنهاء الخدمة المتأثرة واسترداد الرسوم المدفوعة مقدماً عنها بنسبة المدة المتبقية.

5. حقوق أصحاب البيانات

5.1 مع مراعاة طبيعة المعالجة، تساعد وايز دكتور المسؤول عن البيانات، قدر الإمكان، بتدابير تقنية وتنظيمية ملائمة في الرد على طلبات ممارسة حقوق أصحاب البيانات (الوصول والتصحيح والمحو والتقييد وقابلية النقل والاعتراض). وتوفّر المنصّة أدوات خدمة ذاتية لهذا الغرض.

5.2 إذا تلقّت وايز دكتور طلباً مباشرةً من صاحب بيانات يتعلق ببيانات العميل الشخصية، فلا تردّ عليه إلا بتوجيهه إلى المسؤول عن البيانات، وتُخطر المسؤول عن البيانات دون تأخير غير مبرَّر.

6. خرق البيانات الشخصية

6.1 تُخطر وايز دكتور المسؤول عن البيانات دون تأخير غير مبرَّر، وفي كل الأحوال خلال 48 ساعة من علمها بخرق بيانات شخصية يمسّ بيانات العميل الشخصية، وتقدّم المعلومات المتاحة لها بصورة معقولة لتمكين المسؤول عن البيانات من الوفاء بواجبات الإخطار (المادتان 33–34 من GDPR): طبيعة الخرق وفئات المتأثرين وأعدادهم التقريبية والنتائج المحتملة والتدابير المتخذة أو المقترحة. وتتخذ وايز دكتور خطوات معقولة لاحتواء الخرق ومعالجته والتعاون مع المسؤول عن البيانات. ولا يُعدّ الإخطار إقراراً بخطأ أو مسؤولية.

7. المساعدة والتدقيق والمعلومات

7.1 تقدّم وايز دكتور مساعدة معقولة في تقييمات الأثر على حماية البيانات والتشاور المسبق مع سلطات الإشراف حيثما يلزم (المادتان 35–36 من GDPR)، بحسب المعلومات المتاحة لديها.

7.2 تتيح وايز دكتور للمسؤول عن البيانات المعلومات اللازمة لإثبات الامتثال لهذه الاتفاقية، بما فيها وثائقها الأمنية الحالية، وتقارير التدقيق المستقلة أو الشهادات عند توافرها. وإذا لم يكف ذلك، جاز للمسؤول عن البيانات، مرةً واحدة في السنة كحد أقصى (أو بعد خرق للبيانات الشخصية)، بإشعار مدته 30 يوماً، خلال ساعات العمل ومع التزام السرية ودون تعطيل العمليات أو المساس ببيانات عملاء آخرين، إجراء تدقيق بنفسه أو بواسطة مدقّق مستقل ملزم بالسرية. ويتحمّل كل طرف تكاليفه ما لم يكشف التدقيق عن عدم امتثال جوهري.

8. عمليات النقل الدولية والبنود التعاقدية النموذجية

8.1 يأذن المسؤول عن البيانات بنقل بيانات العميل الشخصية ومعالجتها في البلدان التي تعمل فيها وايز دكتور ومعالجوها من الباطن، كما هي مدرجة في الملحق III، مع مراعاة هذا البند.

8.2 حيث ينطبق GDPR على معالجة المسؤول عن البيانات ويشكّل النقل إلى وايز دكتور نقلاً مقيَّداً، يبرم الطرفان بموجب هذا البند البنود النموذجية، الوحدة الثانية (من مسؤول عن البيانات إلى معالِج)، وتُدمَج بالإحالة في هذه الاتفاقية وتُستكمل وفق ما ورد في الملحق IV، ويكون المسؤول عن البيانات "المصدِّر" ووايز دكتور "المستورِد". وتُعدّ ملاحق هذه الاتفاقية الملاحق I.أ–I.ج وII وIII من البنود النموذجية.

8.3 عمليات النقل اللاحقة إلى المعالجين من الباطن خارج المنطقة الاقتصادية الأوروبية تتم بموجب الوحدة الثالثة من البنود النموذجية (من معالِج إلى معالِج) أو بموجب آلية نقل صحيحة أخرى تُبرَم بين وايز دكتور والمعالِج من الباطن.

8.4 حين لا يكون المسؤول عن البيانات خاضعاً لـGDPR لا تنطبق البنود النموذجية وتعمل هذه الاتفاقية بوصفها اتفاق معالجة البيانات بموجب قانون حماية البيانات المعمول به. وإذا أُبطلت آلية نقل أو استُبدلت، يتعاون الطرفان لاعتماد بديل. وإذا اعتمدت المفوضية الأوروبية أو أقرّت بنوداً جديدة أو معدَّلة تنطبق على الطرفين فتُعدّ بديلاً عن البنود النموذجية من تاريخ سريانها.

9. الإعادة والحذف

9.1 عند إنهاء الخدمات أو انتهائها، وبحسب اختيار المسؤول عن البيانات، تتيح وايز دكتور بيانات العميل الشخصية للتصدير مدة 30 يوماً ثم تحذفها أو تعيدها، وتحذف النسخ القائمة خلال 90 يوماً، ما لم يوجب القانون استمرار التخزين، وعندها تحميها ولا تعالجها إلا لذلك الغرض. وبناءً على طلب خطي تؤكد وايز دكتور الحذف خطياً. وتُستبدل النسخ الاحتياطية في سياق العمل المعتاد خلال 30 يوماً.

10. المسؤولية والمدة والقانون الواجب التطبيق

10.1 تخضع مسؤولية كل طرف بموجب هذه الاتفاقية لاستثناءات وقيود الشروط (البند 14) بالقدر الذي يسمح به قانون حماية البيانات المعمول به. وليس في هذه الاتفاقية ما يحدّ من المسؤولية تجاه أصحاب البيانات بموجب البنود النموذجية أو GDPR أو أي مسؤولية لا يجوز الحد منها قانوناً.

10.2 تبقى هذه الاتفاقية نافذة طالما عالجت وايز دكتور بيانات العميل الشخصية. ويجوز لوايز دكتور تحديثها بإشعار مدته 30 يوماً لتعكس تغيّر القانون أو الخدمات، شريطة ألا تنخفض الحماية انخفاضاً جوهرياً؛ ولا يجوز تعديل البنود النموذجية إلا بالقدر الذي تسمح به.

10.3 مع مراعاة البنود النموذجية (التي تخضع للقانون والمحاكم المحدّدين في الملحق IV)، تخضع هذه الاتفاقية للقانون اللبناني وتنطبق عليها أحكام حل النزاعات الواردة في البند 17 من الشروط.

الملحق I – تفاصيل المعالجة

الملحق II – التدابير التقنية والتنظيمية

الملحق III – المعالجون من الباطن المعتمدون

القائمة الحالية محدَّثة على https://www.wise-doctor.com/legal/subprocessors. المعالِجون من الباطن المعتمدون في تاريخ النفاذ:

الملحق IV – تفاصيل البنود التعاقدية النموذجية (الوحدة الثانية)