1. من نحن

منصة "دكتوري" (Doctori) خدمة رقمية لحجز المواعيد الطبية في جمهورية العراق، تُشغَّل من قِبَل دكتوري (Doctori) ("نحن"، "المنصة"، "دكتوري")، ومقرها بغداد، جمهورية العراق.

نحن المتحكم بالبيانات فيما يخص البيانات التي نجمعها منك مباشرةً، ونعمل مُعالِجاً فيما يخص البيانات الطبية التي يُسجّلها الدكاترة عن مرضاهم.

• البريد العام للخصوصية: [email protected]
• مسؤول حماية البيانات (DPO): [email protected]
• العنوان البريدي: العراق · بغداد
• البريد الإلكتروني للمؤسس: [email protected]

2. البيانات التي نجمعها

2.1 بيانات الحساب (لكل المستخدمين)

• الاسم الكامل، رقم الهاتف، البريد الإلكتروني (اختياري)
• تاريخ الميلاد، الجنس، المحافظة + المدينة
• صورة شخصية (اختيارية)، اللغة المُفضّلة

2.2 بيانات المريض الطبية

• فصيلة الدم، الحساسية، الأمراض المزمنة، الأدوية الحالية
• التاريخ الطبي العائلي، الملاحظات الطبية المُضافة من الدكاترة
• الوصفات الطبية الصادرة، نتائج الفحوصات (اختيارية)

2.3 بيانات أفراد العائلة

• اسم وجنس وتاريخ ميلاد كل فرد، المعلومات الطبية الأساسية
• موافقة الوصي القانوني للأطفال

2.4 بيانات الدكتور

• رقم الترخيص الطبي العراقي، التخصص + التخصصات الفرعية
• العيادات والمستشفيات، ساعات الدوام، رسوم الاستشارة المُعلنة
• السيرة الذاتية والشهادات

2.5 بيانات الحجز

• الدكتور + العيادة + الموعد، حالة الحجز
• ملاحظات المريض، وقت الوصول الفعلي + رقم الطابور

2.6 البيانات المالية (للدكاترة والوكلاء)

• اشتراكات الدكتور، معاملات المحفظة، فواتير الاشتراك، عمولات الوكيل

2.7 بيانات الجهاز والاتصال

• نوع الجهاز ونظام التشغيل، إصدار التطبيق
• FCM token / APNs token، device_id (للأمان فقط)
• عنوان IP — لسجلات التدقيق فقط

2.8 سجلات التدقيق (Audit Logs)

كل عملية حساسة (تسجيل دخول، تعديل ملف طبي، إصدار وصفة، عملية مالية) — الوقت + المستخدم + النوع + النتيجة.

2.9 ما لا نجمعه

• ❌ بيانات الموقع الجغرافي المستمر (GPS tracking)
• ❌ قائمة جهات الاتصال
• ❌ محتوى الرسائل خارج التطبيق
• ❌ معرّفات إعلانية (IDFA / GAID)
• ❌ بيانات سلوكية لأغراض إعلانية
• ❌ بيانات تتبّع من أطراف ثالثة

3. الأساس القانوني للمعالجة

4. كيف نستخدم بياناتك

1. تشغيل الخدمة: المصادقة، البحث عن الدكاترة، الحجز، إدارة الطابور، إصدار الوصفات.
2. الأمان: كشف محاولات الدخول المشبوهة، منع الاحتيال، حماية الحسابات.
3. الاتصال التشغيلي: إشعارات تأكيد الحجز، تذكير بالموعد، إشعار قرب الدور.
4. الاتصالات التسويقية (بموافقتك المنفصلة فقط).
5. التحليلات الداخلية: قياس استخدام الميزات — بدون أدوات تتبّع خارجية.
6. الامتثال القانوني: الاستجابة لأوامر المحاكم، تقارير ضريبية، تحقيقات.

5. مشاركة البيانات مع أطراف ثالثة

لا نبيع بياناتك أبداً. لا نشاركها لأغراض إعلانية أو تسويقية. نشاركها فقط: مع المعالجين الفرعيين أعلاه، استجابةً لأمر قضائي عراقي صحيح، لحماية الحياة، أو بموافقتك الصريحة.

6. النقل العابر للحدود

بياناتك تُخزَّن على بنية Supabase التحتية في فرانكفورت — ألمانيا. هذا يعني أن بياناتك تُنقل من العراق إلى الاتحاد الأوروبي.

سبب الاختيار: غياب مزوّدي قواعد بيانات سحابية ذوي مستوى أمني وتقني مكافئ داخل العراق حالياً، واختيار فرانكفورت لأن ألمانيا تُطبّق GDPR.

الآلية القانونية للنقل:

1. موافقتك الصريحة عند التسجيل.
2. الشروط التعاقدية المعيارية (SCCs) المُوقّعة مع Supabase.
3. تشفير كامل (TLS 1.3 + AES-256 + SQLCipher).

يحقّ لك رفض النقل عبر الحدود — لكن لا يمكننا تقديم الخدمة في تلك الحالة.

7. مدد الاحتفاظ بالبيانات

8. حقوقك (Data Subject Rights)

1. حق الوصول: طلب نسخة من جميع بياناتك.
2. حق التصحيح: تصحيح أي بيانات غير دقيقة.
3. حق المحو: حذف بياناتك (مع استثناءات للسجلات المالية والتدقيق).
4. حق النقل: استلام بياناتك بصيغة JSON.
5. حق الاعتراض: على معالجة معيّنة.
6. حق التقييد: في ظروف معيّنة.
7. حق سحب الموافقة: دون أثر رجعي على المعالجة السابقة.

كيف تُمارس حقوقك:

• داخل التطبيق: الإعدادات → الخصوصية → "طلب بياناتي" أو "حذف حسابي"
• عبر البريد: [email protected]
• نلتزم بالرد خلال 30 يوماً.

9. الأمن

• التشفير أثناء النقل: TLS 1.3.
• التشفير أثناء الراحة: AES-256 + SQLCipher.
• القفل البيومتري: Face ID / Touch ID.
• Row Level Security (RLS).
• سلسلة تدقيق غير قابلة للتعديل.
• مصادقة ثنائية للموظفين والإداريين.
• JIT Elevation: لا صلاحيات دائمة عالية.
• اختبار اختراق ربع سنوي.
• تدريب الفريق على حماية البيانات.

10. الأطفال

🚫 التطبيق غير مُخصّص للاستخدام المباشر من قِبَل الأطفال دون 13 سنة.

نسمح للوالدين بإضافة الأطفال كـ "أفراد عائلة" لحجز مواعيدهم، ويتطلّب ذلك:

1. حساب الوالد/ة المصادَق عليه.
2. موافقة صريحة موثّقة.
3. تخزين الموافقة في consent_records مع الإصدار + الوقت + اللغة.

عند بلوغ 13: نعرض خياراً لإنشاء حساب مستقل. عند بلوغ 18: تدرّج تلقائي مع موافقة المستخدم؛ يفقد الوالد/ة الوصول.

11. الإشعار بخروقات البيانات

• نُخطِرك خلال 72 ساعة عبر Banner داخل التطبيق + بريد + SMS (للحالات الشديدة).
• نُخطِر السلطة العراقية المختصة عند صدور قانون حماية البيانات العراقي.
• نُفصح عن: طبيعة الخرق، البيانات المتأثرة، الإجراءات المتّخذة، توصياتنا لك.

12. ملفات تعريف الارتباط والتتبع

• داخل التطبيق: لا أدوات تتبّع طرف ثالث، لا معرّفات إعلانية، لا SDK تحليلي خارجي.
• الموقع: cookies تقنية أساسية فقط (جلسة تسجيل الدخول).

13. التعديلات على السياسة

• تغييرات جوهرية: إخطار قبل 30 يوماً عبر التطبيق + بريد + SMS.
• يحق لك سحب موافقتك وإغلاق الحساب.
• الإصدار الحالي + تاريخ السريان مُعروضان دائماً.

14. التواصل

• عام/خصوصية: [email protected]
• DPO: [email protected]
• شكاوى رسمية: [email protected]

15. القانون الحاكم وحلّ النزاعات

• قوانين جمهورية العراق.
• وساطة ودّية أولاً، ثم محكمة بغداد التجارية.
• اللغة الرسمية: العربية.

1. Who We Are

The "Doctori" platform is a digital medical appointment booking service in the Republic of Iraq, operated by Doctori (دكتوري) ("we", "the Platform", "Doctori"), headquartered in Baghdad.

We are the Data Controller for data we collect directly from you, and a Data Processor for medical data recorded by doctors about their patients.

• General privacy: [email protected]
• Data Protection Officer (DPO): [email protected]
• Postal address: Iraq · Baghdad
• Founder email: [email protected]

2. Data We Collect

2.1 Account data

Full name, phone number (required), email (optional), date of birth, gender, governorate + city, profile photo (optional), preferred language.

2.2 Patient medical data

Blood type, allergies, chronic conditions, current medications, family medical history, doctor-added notes, prescriptions, uploaded test results (optional).

2.3 Family member data

Name, gender, DOB; basic medical info; legal guardian consent for children.

2.4 Doctor data

Iraqi medical license number, specialty + subspecialty, affiliated clinics, working hours, declared fees, biography and credentials.

2.5 Booking data

Selected doctor + clinic + appointment time, status, patient notes, actual arrival time + queue number.

2.6 Financial data (doctors and agents)

Doctor subscriptions, wallet transactions, invoices, agent commissions.

2.7 Device and connection data

Device type and OS, app version, push tokens (FCM/APNs), device_id (security only), IP address (audit only).

2.8 Audit logs

Every sensitive operation: timestamp + user + type + result.

2.9 What we DO NOT collect

• ❌ Continuous geolocation (GPS tracking)
• ❌ Contact list
• ❌ Off-app message content
• ❌ Advertising identifiers (IDFA / GAID)
• ❌ Behavioral data for advertising
• ❌ Third-party tracking data

3. Lawful Basis for Processing

4. How We Use Your Data

1. Service operation: authentication, doctor search, booking, queue management, prescription issuance.
2. Security: detection of suspicious logins, fraud prevention, account protection.
3. Operational communication: confirmations, reminders, queue-position notifications.
4. Marketing communications (only with separate consent).
5. In-house analytics: feature usage, performance — no external tracking tools.
6. Legal compliance: court orders, tax reports, investigations.

5. Sharing With Third Parties

We never sell your data. We never share for advertising or marketing. We share only: with sub-processors above (under our strict instructions), in response to a valid Iraqi court order, to protect life, or with your prior explicit consent.

6. Cross-Border Transfer

Your data is stored on Supabase infrastructure in Frankfurt, Germany. This means your data is transferred from Iraq to the European Union.

Reason: absence of cloud DB providers of equivalent security/technical level in Iraq currently; Frankfurt chosen because Germany applies GDPR.

Legal mechanism:

1. Your explicit consent at sign-up.
2. Standard Contractual Clauses (SCCs) signed with Supabase.
3. Full encryption (TLS 1.3 + AES-256 + SQLCipher).

You may refuse cross-border transfer — but we cannot then provide the service.

7. Retention Periods

8. Your Rights

1. Right of access — request a copy of all your data.
2. Right of rectification — correct inaccurate data.
3. Right of erasure — delete your data (with exceptions for financial and audit records).
4. Right of portability — receive your data in machine-readable JSON.
5. Right to object.
6. Right to restriction.
7. Right to withdraw consent — without affecting prior lawful processing.

How to exercise:

• In-app: Settings → Privacy → "Request my data" or "Delete my account"
• Email: [email protected]
• We respond within 30 days.

9. Security

• In transit: TLS 1.3.
• At rest: AES-256 server-side + SQLCipher device-side.
• Biometric lock: Face ID / Touch ID.
• Row Level Security (RLS).
• Tamper-evident audit chain.
• Two-factor authentication for staff and admins.
• JIT Elevation — no permanent high privileges.
• Quarterly penetration testing.
• Team training on data protection.

10. Children

🚫 The app is NOT intended for direct use by children under 13.

Parents may add children as "family members" to book appointments. This requires:

1. Authenticated parent account.
2. Explicit documented parental consent.
3. Consent stored in consent_records with version + timestamp + locale.

At age 13: option to create an independent account. At age 18: auto-graduation with user opt-in; parent loses access.

11. Data Breach Notification

• We notify you within 72 hours via in-app banner + email + SMS (severe cases).
• We notify the Iraqi competent authority once Iraq's data protection law is in force.
• We disclose: nature of breach, data affected, remediation taken, recommendations.

12. Cookies and Tracking

• In-app: no third-party tracking, no advertising IDs, no external analytics SDKs.
• Website: essential session cookies only.

13. Changes to This Policy

• Material changes: 30-day advance notice via in-app + email + SMS.
• You may withdraw consent and close your account.
• Current version + effective date always displayed.

14. Contact

• General/privacy: [email protected]
• DPO: [email protected]
• Formal complaints: [email protected]

15. Governing Law and Dispute Resolution

• Laws of the Republic of Iraq.
• Amicable mediation first; then Baghdad Commercial Court.
• Official language: Arabic.