اتفاق المعالجة من الباطن

الموضوع

يؤطّر هذا الاتفاق («الاتفاق») معالجةَ المعطيات ذات الطابع الشخصي التي تُجريها AnzarSeha («المعالِج من الباطن») لحساب المؤسسة أو الطبيب المستعمِل («المسؤول عن المعالجة»)، في إطار الخدمة. وهو يستوفي متطلبات المادة 28 من النظام الأوروبي العام لحماية البيانات والالتزامات المكافئة في القانون المغربي 09.08.

ويُكمّل شروط الخدمة؛ وفي حال وجود تعارض بشأن معالجة بيانات المرضى، يسري الاتفاق.

التعاريف

تُفهَم عبارات «المعطى ذو الطابع الشخصي» و«المعالجة» و«المسؤول عن المعالجة» و«المعالِج من الباطن» و«خرق البيانات» و«الشخص المعني» بمدلولها في القانون 09.08 والنظام الأوروبي. ويقصد بـ«الشخص المعني» أساسًا المريض الذي تُعالَج بياناته في دراسةٍ ما.

أدوار الأطراف

نطاق المعالجة

التعليمات الموثَّقة

لا تعالج AnzarSeha البيانات إلّا بناءً على تعليمات موثَّقة من المسؤول، بما في ذلك عمليات النقل، إلّا في حال التزام قانوني تخضع له (وفي هذه الحالة تُخبر المسؤول، ما لم يمنع القانون ذلك). وتشكّل معاملاتُ الدراسة وقفلُ البروتوكول وتجميدُ القاعدة وقراراتُ الموافقة تعليماتٍ من هذا القبيل.

السرّية

تحرص AnzarSeha على أن يلتزم الأشخاص المخوَّل لهم معالجة البيانات بالسرّية وأن يكونوا مقيَّدين بالتزام ملائم. والولوج الداخلي إلى البيانات محصور فيما هو ضروري لا غير.

تدابير الأمن

تُطبّق AnzarSeha التدابير التقنية والتنظيمية التالية، الملائمة للخطر الذي تمثّله البيانات الصحية:

• العزل — أمنٌ على مستوى الصفوف مغلقٌ افتراضيًّا؛ كلّ دراسة معزولة؛ وواجهة التطبيق (API) هي الباب الوحيد للولوج؛ ولا يحوز المتصفّح أيّ مفتاح.
• التعمية — أثناء النقل (HTTPS) وعند السكون على مستوى البنية التحتية.
• التتبُّع — سجلّ تدقيق مُسلسَل بالبصمات: أيّ تحوير لقيدٍ سابق قابلٌ للكشف (سلامة من نوع ALCOA+).
• الاستيثاق — حسابات اسمية، وتأكيد بالبريد، ومصادقة إدارية، وتحديد محاولات الاتصال.
• التقليص — إخفاء هوية المعرِّفات المباشرة قبل أيّ معالجة خارجية.
• الاستضافة — بيانات مُقيمة على بنية تحتية داخل الاتحاد الأوروبي.

المعالِجون اللاحقون

يأذن المسؤولُ لـ AnzarSeha باللجوء إلى المعالِجين اللاحقين المذكورين أدناه. وتفرض عليهم AnzarSeha التزامات حماية مكافئة، وتُخبر المسؤول بأيّ تغيير مُعتزَم، تاركةً له إمكانية الاعتراض عليه لسبب مشروع.

النقل الدولي

يُؤطَّر أيُّ نقل خارج المغرب أو الاتحاد الأوروبي بضمانات ملائمة (بنود تعاقدية نموذجية أو آلية مكافئة). وتُقيم بيانات المرضى داخل الاتحاد الأوروبي؛ ولا يجوز أن تُرسَل إلى نموذج ذكاء اصطناعي خارج الاتحاد، وبموافقة، سوى مقتطفاتٍ مُخفاة الهوية.

المعالجة بالذكاء الاصطناعي

عندما تستعين وظيفة استخراج بنموذج خارجي:

• يُخفى النصُّ الهوية مسبقًا — تُزال المعرِّفات المباشرة؛
• تسبق كلَّ طلبٍ بوّابةُ موافقة مُسجَّلة في السجلّ؛
• لا تُعتمَد أيّ قيمة ينتجها نموذجٌ دون تحقُّق بشري ودون اقتباس مُتحقَّق منه لمصدرها؛
• لا تُستعمل البيانات المُرسَلة لتدريب نماذج المزوّدين، مع مراعاة التزاماتهم التعاقدية.

مساعدة المسؤول عن المعالجة

نظرًا لطبيعة المعالجة، تساعد AnzarSeha المسؤولَ في:

• الاستجابة لطلبات ممارسة حقوق الأشخاص المعنيين (الولوج، التصحيح، المحو، قابلية النقل) بواسطة وظائف التصدير والتدبير؛
• الأمن، والإخطار بالخروق، وعند الاقتضاء دراسة الأثر المتعلقة بحماية البيانات؛
• إتاحة المعلومات اللازمة لإثبات احترام التزاماته.

الإخطار بالخرق

في حال وقوع خرق للمعطيات ذات الطابع الشخصي يمسّ البيانات المعالَجة لحساب المسؤول، تُخبر AnzarSeha المسؤولَ دون تأخير غير مبرَّر بعد علمها به، مع العناصر المفيدة لتمكينه، عند الاقتضاء، من إخطار سلطة المراقبة داخل الآجال المطبَّقة (72 ساعة بمقتضى النظام الأوروبي).

مصير البيانات

عند انتهاء العلاقة، وحسب اختيار المسؤول، تُعيد AnzarSeha البياناتِ بصيغة مفتوحة قابلة للاستثمار، أو تحذفها مع نسخها الموجودة، إلّا في حال التزام قانوني بالحفظ. ويستند الإرجاع إلى وظائف التصدير في الخدمة.

التدقيق

تضع AnzarSeha رهن إشارة المسؤول المعلوماتِ اللازمة لإثبات احترام هذا الاتفاق، وتتيح إجراء عمليات تدقيق، بما في ذلك المعاينات، من طرف المسؤول أو غيرٍ مفوَّض، ضمن شروط معقولة تحفظ أمن وسرّية باقي العملاء.

الخصوصيات المغربية (CNDP)

تخضع معالجة البيانات الصحية بالمغرب لـالإذن المسبق من CNDP. ويقع هذا الالتزام على عاتق المسؤول عن المعالجة. وتمتثل AnzarSeha، بوصفها معالِجًا من الباطن، لالتزاماتها الخاصة بالتصريح، وتزوّد المسؤولَ بالعناصر التقنية المفيدة لمسعاه. ولا تحلّ AnzarSeha محلّ المسؤول في الحصول على هذا الإذن.