1. المقدمة

تلتزم عيادات مترو ميد باحترام خصوصية المرضى والمراجعين والزوار، والمحافظة على سرية بياناتهم الشخصية والصحية، واتخاذ التدابير المناسبة لحمايتها من الوصول أو الاستخدام أو الإفصاح أو التعديل أو الإتلاف غير المصرح به.

توضح هذه السياسة كيفية جمع البيانات الشخصية ومعالجتها واستخدامها ومشاركتها والاحتفاظ بها وإتلافها، وحقوق أصحاب البيانات الشخصية، ووسائل التواصل مع المنشأة بشأن الخصوصية.

تُطبق السياسة وفق نظام حماية البيانات الشخصية السعودي ولوائحه التنفيذية واللوائح ذات الصلة، إضافة إلى الأنظمة والتعليمات الصحية والتأمينية ومعايير الاعتماد التي تنطبق على المنشأة بحسب نشاطها ونطاق اعتمادها.

2. نطاق تطبيق السياسة

تسري هذه السياسة على البيانات التي تجمعها المنشأة أو تعالجها من خلال:

زيارة العيادات والفروع والتعامل المباشر مع الموظفين.

الموقع الإلكتروني والنماذج الإلكترونية.

حجز المواعيد وتعديلها وإلغائها.

مركز الاتصال وخدمة العملاء وقنوات التواصل.

تقديم الخدمات الطبية والتشخيصية والعلاجية.

السجلات الطبية ونتائج المختبرات والأشعة والتقارير الطبية.

التحقق من التأمين الصحي والموافقات والمطالبات والفواتير.

البريد الإلكتروني والرسائل النصية ووسائل التواصل الرقمية.

حملات التسويق والتواصل الترويجي، وفق الضوابط النظامية.

الأنظمة التقنية ومزودي الخدمات الذين يعالجون البيانات نيابة عن المنشأة.

3. أنواع البيانات التي قد تتم معالجتها

بحسب طبيعة الخدمة والحاجة الفعلية والمسوغ النظامي، قد تشمل البيانات ما يلي:

3.1 البيانات الشخصية والتعريفية

الاسم، وتاريخ الميلاد، والجنس عند الحاجة للخدمة، ورقم الهوية أو الإقامة أو جواز السفر عند الحاجة النظامية، ورقم الهاتف، والبريد الإلكتروني، والعنوان أو بيانات التواصل الضرورية.

3.2 البيانات الصحية

التاريخ المرضي، والأعراض، والتشخيصات، والوصفات الطبية، وخطط العلاج، ونتائج الفحوصات المخبرية والأشعة، والتقارير الطبية، والمعلومات الصحية الأخرى اللازمة لتقديم الرعاية.

3.3 بيانات التأمين الصحي

شركة التأمين، ورقم الوثيقة أو العضوية، وحالة الأهلية والتغطية، والموافقات الطبية، والمطالبات، والفواتير والمعلومات اللازمة لمعالجة المعاملات التأمينية.

3.4 بيانات المواعيد والخدمات

التخصص المطلوب، وتاريخ الموعد ووقته، وطلبات التواصل، والشكاوى والملاحظات، وسجل الخدمات المقدمة بالقدر اللازم لإدارة الخدمة.

3.5 البيانات التقنية

قد تتم معالجة بيانات تقنية ضرورية لتشغيل الموقع الإلكتروني وحمايته، مثل سجلات الاستخدام والأمن وبيانات ملفات تعريف الارتباط، وفق طبيعة الأدوات المستخدمة وإشعار الخصوصية وإعدادات الموافقة المنطبقة.

تلتزم المنشأة بقصر جمع البيانات على ما يلزم للغرض المحدد، وعدم جمع معلومات غير ضرورية لمجرد إمكانية جمعها.

4. أغراض جمع البيانات ومعالجتها

تُعالج البيانات، وفق المسوغ النظامي المنطبق، للأغراض التالية:

تسجيل المرضى والتحقق من هويتهم عند الحاجة.

حجز المواعيد وإدارتها والتواصل بشأنها.

تقديم الرعاية الصحية والتشخيص والعلاج والمتابعة.

إنشاء السجلات الطبية وحفظها وإتاحتها للمخولين.

إجراء التحاليل والفحوصات والأشعة وإصدار النتائج والتقارير.

التحقق من التغطية التأمينية والأهلية وطلب الموافقات.

إدارة المطالبات التأمينية والفواتير والمدفوعات.

التعامل مع استفسارات المرضى وشكاواهم وطلباتهم.

تحسين جودة الخدمات وسلامة المرضى وفق الضوابط المنطبقة.

الوفاء بالالتزامات النظامية والصحية والتأمينية.

الاستجابة للطلبات الرسمية المشروعة الصادرة من الجهات المختصة.

حماية الأنظمة ومنع الوصول غير المصرح به والتحقيق في الحوادث الأمنية.

إرسال الرسائل التسويقية عند توافر المسوغ النظامي والموافقات المطلوبة.

5. الأساس النظامي للمعالجة والموافقة

تحدد المنشأة المسوغ النظامي المناسب لكل نشاط معالجة وفق نظام حماية البيانات الشخصية ولوائحه التنفيذية.

عندما تكون الموافقة مطلوبة نظامًا، تُطلب بطريقة واضحة ومحددة، ويُحتفظ بما يثبتها وفق الإجراءات المعتمدة.

لا تُعد الموافقة على تلقي الرعاية الصحية موافقة تلقائية على تلقي رسائل تسويقية مستقلة أو استخدام الصور أو الشهادات أو القصص الطبية لأغراض دعائية.

ولا تعتمد المنشأة على الموافقة باعتبارها المسوغ الوحيد لجميع عمليات المعالجة؛ بل يُحدد المسوغ الصحيح لكل حالة بحسب النظام وطبيعة الخدمة.

6. سرية البيانات الطبية

تُعامل البيانات الصحية باعتبارها بيانات حساسة تستلزم حماية مشددة.

تلتزم المنشأة بما يلي:

قصر الوصول إلى السجلات الطبية على الأشخاص المخولين وفي حدود الحاجة الفعلية لأداء مهامهم.

منع الاطلاع على بيانات المرضى أو استخدامها لأغراض شخصية أو غير مصرح بها.

التحقق من هوية المريض أو الممثل المخول قبل الإفصاح عن المعلومات.

استخدام القنوات المعتمدة لإرسال التقارير والنتائج الطبية.

حماية السجلات الورقية والشاشات والملفات الإلكترونية من الاطلاع غير المصرح به.

عدم الإفصاح عن المعلومات الطبية إلا بمسوغ نظامي مناسب، مع مراعاة الاستثناءات المقررة نظامًا.

مراجعة صلاحيات الوصول وتعديلها أو إلغاؤها عند تغير المسؤوليات أو انتهاء علاقة العمل.

المحافظة على السرية بعد انتهاء علاقة العمل أو التعاقد وفق الالتزامات المنطبقة.

7. بيانات التأمين الصحي والمطالبات

تُستخدم بيانات التأمين الصحي بالقدر اللازم للتحقق من أهلية المستفيد والتغطية والموافقات الطبية والمطالبات والفوترة والتدقيق النظامي.

وتلتزم المنشأة بما يلي:

التحقق من هوية المستفيد والبيانات التأمينية المطلوبة وفق الإجراءات المعتمدة.

قصر المعلومات المقدمة إلى شركة التأمين أو مدير المطالبات على ما يلزم للغرض.

إرسال البيانات عبر الأنظمة والقنوات المصرح بها.

تقييد الوصول إلى بوابات التأمين بحسب المسؤوليات الوظيفية.

منع مشاركة بيانات الدخول بين الموظفين متى أمكن استخدام حسابات فردية.

عدم استخدام التشخيصات أو بيانات المطالبات لأغراض التسويق.

الاحتفاظ بمستندات التأمين وفق المدد والمتطلبات النظامية المنطبقة.

8. مشاركة البيانات مع الجهات الأخرى

قد تُشارك البيانات الشخصية عند وجود مسوغ نظامي مناسب ومع مراعاة مبدأ الحد الأدنى اللازم مع:

شركات التأمين ومديري المطالبات والجهات المعنية بالمعاملات التأمينية.

المختبرات ومقدمي الخدمات الصحية المشاركين في تقديم الرعاية.

مزودي أنظمة الحجز والسجلات الطبية والاستضافة والدعم التقني.

الجهات الحكومية والرقابية والقضائية المختصة عندما يوجب النظام ذلك أو يسمح به.

الجهات الأخرى التي يجيز النظام مشاركة البيانات معها وفق ضوابطه.

تُحدد أغراض المشاركة ونطاق البيانات والصلاحيات والمسؤوليات التعاقدية قبل إتاحة البيانات للأطراف الأخرى، وتُطبق الضوابط المناسبة بحسب دور كل طرف.

لا تُباع البيانات الشخصية للغير لأغراض تجارية.

9. التسويق والتواصل الترويجي

تُفصل بيانات التسويق عن المعلومات السريرية والتأمينية قدر الإمكان، وتُطبق الضوابط التالية:

عدم استخدام التشخيصات أو نتائج التحاليل أو المعلومات الصحية الحساسة لإنشاء جماهير إعلانية.

عدم تصدير قوائم المرضى أو سجلات التأمين إلى منصات الإعلانات دون تقييم نظامي ومسوغ مناسب.

الحصول على الموافقات اللازمة لاستخدام صور المرضى أو شهاداتهم أو قصصهم الطبية.

فصل الموافقة التسويقية عن إجراءات تقديم الرعاية الصحية.

توفير وسيلة مناسبة لإيقاف الرسائل التسويقية عندما يقتضي النظام ذلك.

عدم تضمين تفاصيل طبية حساسة في الرسائل الترويجية.

مراجعة أدوات التحليل والتتبع والإعلانات المستخدمة في الموقع قبل تشغيلها.

قصر وصول فريق التسويق إلى بيانات المرضى على الحد اللازم والمصرح به لأداء المهام.

10. أمن المعلومات وحماية البيانات

تطبق المنشأة تدابير تنظيمية وتقنية مناسبة لطبيعة البيانات ومخاطر المعالجة، وقد تشمل:

إدارة صلاحيات المستخدمين وفق الوظائف والمسؤوليات.

حماية الحسابات ووسائل الدخول إلى الأنظمة.

تحديث الأنظمة ومعالجة الثغرات الأمنية وفق الإجراءات المعتمدة.

حماية النسخ الاحتياطية والسجلات الورقية والإلكترونية.

توعية الموظفين بمتطلبات السرية وحماية البيانات.

إدارة مخاطر الموردين والمتعاقدين الذين يتعاملون مع البيانات.

تسجيل ومراجعة عمليات الوصول إلى الأنظمة الحساسة بحسب إمكانات الأنظمة المعتمدة.

التعامل مع حوادث أمن المعلومات وفق الإجراءات المعتمدة والمتطلبات النظامية.

11. الإبلاغ عن حوادث البيانات

عند الاشتباه في تسرب بيانات أو إرسال معلومات إلى مستلم غير صحيح أو فقدان جهاز يحتوي على بيانات شخصية، يجب إبلاغ الجهة الداخلية المختصة فورًا.

تتخذ المنشأة الإجراءات المناسبة لاحتواء الحادث، وحفظ الأدلة، وتحديد نطاق البيانات والأشخاص المتأثرين، وتقييم المخاطر، وتحديد ما إذا كان يلزم إخطار الجهة المختصة أو أصحاب البيانات ضمن المواعيد النظامية المنطبقة.

تُوثق الحوادث والتحقيقات والإخطارات والإجراءات التصحيحية، بما يضمن إمكانية مراجعتها لاحقًا.

12. الاحتفاظ بالبيانات وإتلافها

تحدد المنشأة مدد الاحتفاظ بكل فئة من البيانات وفق الغرض من جمعها والمتطلبات النظامية والصحية والتأمينية المنطبقة.

عند انتهاء الغرض وانتهاء مدة الاحتفاظ وعدم وجود مسوغ نظامي للاستمرار في الاحتفاظ بالبيانات، تُتلف البيانات أو تُجهل هويتها بطريقة آمنة ومناسبة.

لا تُحذف السجلات الطبية أو غيرها من السجلات الواجب الاحتفاظ بها نظامًا لمجرد انتهاء الغرض التشغيلي.

تُوثق عمليات الإتلاف وفق الإجراء المعتمد، مع مراعاة النسخ الاحتياطية والوسائط التي تقع ضمن نطاق الإتلاف.

13. نقل البيانات خارج المملكة

قبل نقل البيانات الشخصية أو إتاحتها للمعالجة خارج المملكة، تتحقق المنشأة من مواقع التخزين والمعالجة والوصول عن بُعد، وتقيّم متطلبات نقل البيانات الشخصية خارج المملكة والضمانات اللازمة وفق النظام واللوائح المنطبقة.

لا يُعتمد أي نقل أو وصول خارجي قبل استكمال التقييمات والموافقات الداخلية المطلوبة والتحقق من الأساس النظامي والضمانات اللازمة.

14. حقوق أصحاب البيانات الشخصية

مع مراعاة الأحكام والاستثناءات النظامية، يجوز لصاحب البيانات ممارسة الحقوق المقررة له بموجب النظام، بما في ذلك:

العلم بالمسوغ النظامي لجمع بياناته وأغراض معالجتها.

طلب الوصول إلى بياناته وفق الضوابط المنطبقة.

طلب تصحيح البيانات غير الدقيقة أو استكمالها أو تحديثها.

طلب إتلاف البيانات عندما تنتفي الحاجة النظامية إلى الاحتفاظ بها.

الرجوع عن الموافقة عندما تكون المعالجة قائمة على الموافقة، مع مراعاة الأحكام والاستثناءات النظامية.

تتحقق المنشأة من هوية مقدم الطلب أو صفته التمثيلية، وتسجل الطلب وتاريخه والإجراءات المتخذة والرد النهائي.

لا يعني طلب الإتلاف وجوب حذف السجلات التي يلزم الاحتفاظ بها نظامًا، كما لا تُرفض الطلبات إلا وفق مسوغ نظامي مناسب.

15. ملفات تعريف الارتباط وتقنيات الموقع

قد يستخدم الموقع الإلكتروني ملفات تعريف الارتباط والتقنيات الضرورية لتشغيل الموقع وحمايته وتحسين تجربة الاستخدام.

تُراجع أدوات التحليل والتتبع والإعلانات المستخدمة، ويُوضح للمستخدم الغرض منها وخيارات التحكم المناسبة، مع تطبيق الموافقات والضوابط النظامية المطلوبة بحسب طبيعة الأداة والغرض منها.

16. بيانات الأطفال والقُصّر

تُعالج بيانات الأطفال والقُصّر وفق الأحكام النظامية ذات الصلة، مع مراعاة مصلحة الطفل والتحقق من صفة الولي أو الممثل المخول عند الحاجة.

وتُطبق الضوابط المناسبة لحماية سرية المعلومات الطبية وحقوق الطفل بحسب طبيعة الخدمة والمتطلبات النظامية المنطبقة.

17. تعديل السياسة

يجوز تحديث هذه السياسة عند تغير الأنظمة أو الخدمات أو الأنظمة التقنية أو ممارسات معالجة البيانات.

تُنشر النسخة المحدثة على الموقع الإلكتروني مع بيان تاريخ آخر تحديث، وتُراجع داخليًا قبل النشر لضمان اتساقها مع الممارسات الفعلية للمنشأة.

18. التواصل وطلبات الخصوصية

للاستفسارات أو طلبات ممارسة حقوق البيانات الشخصية، يرجى استخدام القنوات المعتمدة التالية:

العنوان: الدمام، المملكة العربية السعودية.

تُعالج الطلبات وفق الإجراءات والمواعيد النظامية المنطبقة.