الأمان
آخر تحديث:
في هذه الصفحة
سَرد في مرحلة تجريبية ولم يُعتمد بعد لبيانات المرضى الحقيقية. يعمل اليوم على بيانات تجريبية مُصطنعة أو بموافقة صريحة. وما يلي وصفٌ لكيفية بناء المنتج، لا ادّعاءٌ بأن الأسئلة السريرية من خلفه قد حُسمت كلها.
النموذج يعمل على خادمنا، لا في متصفّحك
لا شيء في تطبيق سَرد يتحدّث إلى نموذج لغوي. كل استدعاء يمرّ عبر كود الخادم الخاص بنا، ما يعني أن الطلب مُسجَّل، وكلفته منسوبة إلى صاحبها، وأن التعليمات المعطاة للنموذج ليست موجودة في صفحة يستطيع أي أحد فتحها وقراءتها. مهمة المتصفّح هي تسجيل الزيارة وعرض الملاحظة عليك.
الصوت لا يمرّ عبرنا
يرفع متصفّحك التسجيل مباشرةً إلى التخزين السحابي، عبر رابط يُصدَر لذلك الملف وحده بعد التحقّق من أن الجلسة جلستك وأن الموافقة سُجِّلت لها. ويُسلَّم إلى النموذج بالإشارة إليه. لا يمرّ عبر كود الخادم. أما الرفع الذي ينقطع ولا يكتمل فيترك ما استلمته Google منه في جلسة رفع مفتوحة نحو أسبوع، ونحتفظ نحن بعنوان تلك الجلسة كي لا تضيع زيارةٌ انقطعت في منتصفها. ولا يُسمح لأي متصفّح بقراءته هو الآخر — بحكم القاعدة في القسم التالي، وبالحدّ الوحيد المذكور معها.
كما يُرسَل التسجيل على أجزاء أثناء حديثك، لا دفعةً واحدة في النهاية. وهذا قرارٌ يتعلّق بالسلامة قبل الأداء: زيارةٌ يضيع صوتها لا يمكن إعادتها، لأن المريض قد غادر.
قاعدة البيانات ومخزن الصوت يرفضان المتصفّحات
كلاهما محميّ بقواعد تعمل على جانب Google لا بفحوصٍ داخل تطبيقنا — فهي تصمد سواء جاء الطلب من سَرد أو ممن بحوزته نسخة من إعداداتنا العلنية.
- الصوت: القاعدة ترفض كل قراءة وكتابة من متصفّح، دون استثناء. المدخل الوحيد هو رابط الملف المفرد أعلاه، والمخرج الوحيد هو الإشارة المسلَّمة إلى النموذج. يحرس القاعدةَ ٧ اختبارات، وتسقط هذه الاختبارات فور تخفيفها. وحدٌّ واحد نفضّل أن تسمعه منّا: أيُّ مخزنٍ نُشرت عليه هذه القاعدة أمرٌ مضبوط في لوحة تحكّم Google لا يقرؤه كودنا — فنستطيع أن نُريك القاعدة واختباراتها، لا أن نُثبت لك أنها نافذة على المخزن الذي فيه التسجيلات.
- الزيارات: ١١١ اختباراً. يصل الطبيب إلى جلساته هو دون سواها. ووقت إنشاء الزيارة يختمه الخادم ولا يمكن تعديله بعدها. وهوية المريض تُجمَّد فور ضبطها. ولا يمكن تفريغ النص. ولا يمكن استبدال توقيع بعد كتابته.
الملاحظة الموقَّعة لا تُغيَّر بصمت
متى وقّع الطبيب، ثبتت الملاحظة. وأي تصحيح بعد ذلك يكون تعديلاً: يُضاف إلى السجل بدل أن يحلّ محلّه، ويحمل من أجراه ومتى ولماذا. وهو السبب نفسه الذي يجعل كل جملة مُولَّدة في المسوّدة تُظهر من أين جاءت — فالسجل يجب أن يكون قادراً على قول إن الآلة اقترحت شيئاً وإن إنساناً أخذ به، لأن هذا هو ما حدث.
خدمتان من Google تعرفان أن صفحةً فيها بيانات مرضى قد فُتحت
لا تحليلات، ولا تسجيل للجلسات، ولا خدمة تتبّع أخطاء، ولا أداة دعم أو محادثة، ولا إعلانات، ولا مدير وسوم. ليست مُقلَّلة — بل غائبة. لكن شيئين ليسا غائبين، وصفحةٌ تتحدّث عن الغياب عليها أن تسمّيهما. فـGoogle reCAPTCHA Enterprise تحمّلها مكتبةٌ من Google داخل التطبيق، وهي تعمل داخل الصفحة نفسها لا بجانبها: فإلى جانب إشارات عن الجهاز والمتصفّح، تستطيع قراءة عنوان الصفحة التي تظهر فيها، وعنوان شاشة الملاحظة يحمل معرّف تلك الزيارة. وGoogle Fonts تقدّم الخط، ففتح أي صفحة يرسل إلى Google عنوان IP للقارئ ومتصفّحه وعنوان الموقع، لا عنوان الصفحة. ولا يُرسَل إلى أيٍّ منهما اسم مريض ولا نصّ ملاحظة ولا تسجيل؛ وكلتاهما تعرف أن أحداً فتح الصفحة. وإضافة أي شيء غير هذين إلى شاشة تعرض زيارة تغييرٌ في الموقف لا اعتماد روتيني، وستظهر في قائمة الجهات المعالِجة الفرعية قبل أن تظهر في المنتج.
تسجيل الدخول
الحسابات لدى Google Identity Platform. لا يستلم سَرد كلمة المرور بصورة يمكنه قراءتها، ولا يخزّنها إطلاقاً. أما الحساب المُنشأ عبر «المتابعة بحساب Google» فلا كلمة مرور له لدينا أصلاً. وإن ظننت أن جهازاً لك قد فُقد أو لم يعد لك، ففي إعداداتك زرٌّ ينهي جلستك في كل مكان. تتوقّف الأجهزة الأخرى خلال ساعة، ولا يستطيع أيٌّ منها العودة إلا بتسجيل دخول جديد.
أين توجد البيانات فعلياً
الزيارات في الدمّام، السعودية، والتسجيلات الصوتية في الدوحة، قطر. وليس أيٌّ منهما في الأردن: فالمناطق التي عرضتها لوحة تحكّم Google عند إنشاء هذا المشروع لم يكن فيها شيء داخل البلد، ولم نُسنِد ذلك إلى صفحة منشورة من Google، فاقرأه على أنه ما عُرض علينا لا على أنه حقيقة عن المنصّة. والصوت في بلدٍ ثانٍ لأن إنشاء مخزنه في الدمّام رُفض على أساس الموقع بينما نجح في الدوحة. والمنطقتان تعيشان في لوحة تحكّم Google لا في كودنا، فهذا ما نعتقد أن المشروع مضبوط عليه، لا ما تستطيع هذه الصفحة إثباته لك. ويعمل كود خادمنا نفسه في الدوحة أيضاً، وهذه هي المنطقة الوحيدة في Google Cloud التي يحدّدها كودنا لا لوحة التحكّم. وهو لا يلمس الصوت، لكنّ النصّ واسم المريض ورقمه الوطني وعمره وجنسه تمرّ عبره في الذاكرة أثناء إعداد الملاحظة — فتعبر الزيارة حدوداً بين قاعدة البيانات التي تحفظها والكود الذي يقرؤها. أما النموذج نفسه فيُستدعى على نقطة Vertex AI العالمية، وهذا إعدادٌ اخترناه نحن لا أمرٌ امتنعت Google عن إخبارنا به: ومعناه أن الزيارة قد تُعالَج في أي منطقة تشغّل فيها Google تلك الخدمة. الجدول الكامل هنا، خدمةً خدمة.
الإبلاغ عن مشكلة
اكتب إلى [email protected]، بالعربية أو بالإنجليزية. سنؤكّد الاستلام خلال ثلاثة أيام عمل، ونخبرك بما وجدناه، ونخبرك متى أُصلح. وسياستنا منشورة في /.well-known/security.txt بالصيغة التي تتوقّعها أدوات الأمان.
ونرجو ألا يجري فحصٌ آلي يُضعف الخدمة، وألا يُدخَل إلى حساب ليس حسابك، وألا يُفصح عن شيء قبل أن نجيب. وإن ظننت أنك وصلت إلى بيانات مريض حقيقية، فقُل ذلك في السطر الأول وتوقّف.
ما الذي لم نفعله بعد
هذا هو القسم الذي يقرؤه المراجع الأمني أولاً، ولذلك كُتب له لا حوله. ولا شيء فيه وعدٌ بموعد.
- لا اختبار اختراق خارجي. القواعد أعلاه تحرسها اختباراتنا نحن، وهذا ليس كأن يكون طرفٌ معادٍ قد حاول فعلاً.
- لا SOC 2 ولا ISO 27001 ولا HITRUST. لا نحمل أي شهادة أمنية من أي نوع، ولا ينبغي أن يُستنتج خلاف ذلك من هذه الصفحة.
- لا اتفاقية معالجة بيانات موقَّعة. لا يوجد كيان مسجَّل بعد ليوقّعها. وإلى أن يوجد، لا تستطيع العيادة أن تأخذ منّا العقد الذي يتوقّعه قانون حماية البيانات الشخصية بين المتحكّم والمعالِج.
- لا مدّة احتفاظ منشورة. مدّة بقاء الزيارة قرارٌ له تبعات قانونية ولم يُتّخذ بعد. ونفضّل ترك الخانة فارغة على ملئها برقم لم يوافق عليه أحد.
- لا سبيل لحذف أي شيء مرتبط بمريض من داخل المنتج، لأحد كائناً من كان. لا سجل مريض، ولا زيارة موقَّعة، ولا التسجيل الصوتي، ولا النص ولا مقاطعه، ولا سجل موافقة، ولا تعديل، ولا حساب. ولا شيء داخل سَرد يُنهي صلاحية تسجيل كذلك؛ وأمّا وجود قاعدة كهذه على مخزن الملفات نفسه فأمرٌ مضبوط في لوحة تحكّم Google لا يقرؤه كودنا، فلا نستطيع أن نقول لك إنها موجودة ولا أن نقول إنها غير موجودة.
- لا مسؤول حماية بيانات مُعيَّن. لم نعيّن أحداً لهذه المهمة.
ونفضّل أن تقرأ هذه القائمة هنا على أن تجمعها بنفسك. وإن كان أحد بنودها هو ما يحول بين عيادتك وبين التجربة، فأخبرنا أيّها — [email protected].