سياسة الخصوصية — بلسم
آخر تحديث: ٧ تشرين الأول ٢٠٢٦ · تسري من تاريخ نشرها
تشرح هذه السياسة أيَّ بياناتٍ يعالجها تطبيق بلسم وأنظمتُه
(تطبيق الهاتف، وأنظمة سطح المكتب للعيادات والصيدليات والمختبرات، وموقع بلسم)،
ولأيّ غرض، ومَن يطّلع عليها، وكم تُحفظ، وما حقوقُك فيها. وتسري على جميع
المستخدمين: المرضى، والأطباء، والصيادلة، والمختبرات، والكادر التمريضي،
وسكرتارية العيادات، والإداريين.
باختصار: لا نبيع بياناتك ولا نؤجّرها، ولا نعرض إعلانات، ولا نتتبّعك
عبر تطبيقاتٍ أو مواقعَ أخرى. بياناتك الصحية لا يراها إلّا أنت ومزوّدُ الرعاية الذي
تتعامل معه وبالقدر اللازم للخدمة. الدخول برقم الهاتف وحدَه، بلا بريدٍ ولا كلمة مرور.
١. مَن نحن وصفتُنا
بلسم منصّةٌ تقنيّة تربط المرضى بمزوّدي رعايةٍ صحية مرخّصين (أطباء، صيدليات،
مختبرات، كادر تمريضي)، وتوفّر لهؤلاء أنظمةً لإدارة أعمالهم. ونحن — مالكُ خدمة بلسم ومشغّلُها — «المتحكّم بالبيانات»
في ما يخصّ حسابك واستعمالك للتطبيق. أمّا البيانات السريرية التي يُدخلها مزوّدُ
الرعاية (كالتشخيص والوصفة ونتيجة الفحص) فيُدخلها تحت مسؤوليته المهنية، ونحفظها
ونعالجها نيابةً عنه ولأجل رعايتك.
٢. البيانات التي نجمعها
أ. بيانات الحساب والتواصل
- الاسم الكامل، رقم الهاتف (وهو هويّةُ الدخول الوحيدة)، الجنس، تاريخ الميلاد، المحافظة،
والعنوان عند طلب خدمةٍ منزلية، وصورة الملف الشخصي (اختيارية).
- رمز الدخول لمرّةٍ واحدة (OTP): يُرسَل إلى هاتفك عبر واتساب أو رسالة نصّية، ولا نحفظ
إلّا ما يلزم للتحقّق منه ولمنع إساءة الاستعمال (عدّاداتُ محاولاتٍ مؤقّتة).
ب. بيانات الطلبات والمواعيد
- حجوزات الأطباء ومواعيدها وحالتها، ورقمك في الدور، وتسجيل الحضور في العيادة.
- طلبات الرعاية المنزلية (الخدمة، العنوان، الوقت، الملاحظات)، والمرفقات التي ترفعها
معها (صور، تقارير، وصفات ورقية).
- طلبات الفحوصات المخبرية (انظر القسم ٥).
ج. المحادثات والإشعارات
- الرسائل والصور المتبادلة داخل التطبيق بينك وبين مزوّد الخدمة المرتبط بطلبك أو
عيادتك، وتُحفظ لتقديم الخدمة وحلّ الخلافات.
- الإشعارات المرسَلة إليك وسجلّ قراءتها. نصُّ الإشعار قصيرٌ ويُصاغ بأقلّ قدرٍ
من التفاصيل الطبية لأنه قد يظهر على شاشة القفل.
د. البيانات المالية
- مبالغ الخدمات والفواتير، وطريقة الدفع (نقدي)، والخصومات، وأكواد الخصم، ونقاط
الولاء والمكافآت والإحالات.
- لا نجمع أرقام البطاقات المصرفية ولا الحسابات البنكية: الدفع يتمّ
مباشرةً بينك وبين مزوّد الخدمة.
هـ. التقييمات
- تقييمك وتعليقك على طبيبٍ أو مختبرٍ أو كادر أو ساحب عيّنات، وردّ المزوّد عليه.
تخضع التعليقات لإشرافٍ لمنع الإساءة.
و. البيانات التقنية
- معرّف الإشعارات (Firebase Cloud Messaging token)، نوع الجهاز ونظام التشغيل، إصدار
التطبيق، لغة الواجهة.
- تقارير الأعطال والأداء عبر Sentry، ونُقلّل ما فيها من بياناتٍ شخصية قدر الإمكان.
- سجلّات أمنية وتدقيقية (مَن فعل ماذا ومتى) لحماية الحسابات والتحقيق في الإساءة.
ز. ما لا نجمعه
- بريداً إلكترونياً أو كلمة مرورٍ للدخول (الدخول برقم الهاتف ورمزٍ لمرّةٍ واحدة). إلّا أن تراسلنا بالبريد
فنحتفظ برسالتك للردّ عليها؛ ورمزُ PIN القصير الذي تضعه الصيدلية أو المختبر للتبديل بين الحسابات على
جهازٍ مشترك يُحفظ مُجزَّأً (hash) لا يمكن استرجاعه.
- الصوت أو الفيديو: لا يصل التطبيق إلى الميكروفون، والكاميرا تُستعمل فقط حين تمسح رمزاً أو تلتقط
صورةً تختار رفعها.
- بيانات Apple Health (HealthKit) أو Google Health Connect: لا يقرؤها التطبيق ولا يكتب فيها، ولا
يحفظ بياناتك الصحية في iCloud.
- أرقام البطاقات المصرفية والحسابات البنكية وأرقام جوازات السفر.
- جهات الاتصال في هاتفك، والصور خارج ما تختاره أنت للرفع، والموقع في الخلفية.
- معرّف الإعلانات (Advertising ID)؛ فلا إعلانات ولا تتبّعٌ عبر التطبيقات.
استثناءٌ صريح: رقم البطاقة الوطنية/الهوية لا نطلبه منك
في التطبيق، لكنّ الصيدلية قد تسجّله عند صرف وصفةٍ إذا اختار الصيدلي التحقّق من هويّتك
بالبطاقة، وتسجّله وجوباً عند صرف دواءٍ خاضعٍ للرقابة (انظر القسم ٤).
٣. السجلات الطبية والصحية
تُعدّ هذه البيانات «بيانات صحية حسّاسة»، ونعالجها لتقديم الرعاية لك فقط:
- سجلّ الزيارات: التشخيص ورموز ICD-10، والملاحظات السريرية التي يكتبها
الطبيب، والعلامات الحيوية، والفحوصات المطلوبة.
- الملف الصحي: فصيلة الدم، الحساسيّات، الأمراض المزمنة.
- بطاقة الطوارئ: الحساسيّات والأمراض المزمنة وجهة اتصال الطوارئ.
- زرّ الطوارئ (SOS): عند ضغطه يُرسَل موقعك الدقيق ورسالتك ووقت الطلب
إلى فريق الدعم في بلسم لمساعدتك، ويُحفظ سجلّ متابعته. وهو ليس بديلاً عن الإسعاف.
- المتابعات الصحية (اختيارية): متابعة الحمل (تاريخ آخر دورة، الموعد
المتوقّع، الوزن، الملاحظات)، وجدول لقاحات الأطفال.
- أفراد العائلة والمعالون: ما تُدخله عنهم (الاسم، صلة القرابة،
الجنس، تاريخ الميلاد، فصيلة الدم، الحساسيّات، الملاحظات) تحت مسؤوليتك وبتفويضٍ منهم
أو بولايتك عليهم.
- أذونات الاطّلاع: سجلُّ الأطباء الذين منحتَهم حقّ الاطّلاع على ملفّك
وتواريخ المنح والسحب، ويمكنك سحب الإذن في أيّ وقت.
٤. الوصفات الطبية وصرفُها
المبدأ: الوصفة في بلسم يكتبها الطبيبُ المعالِج المرخَّص وحدَه،
وهو الذي يحدّد الدواءَ وجرعتَه وطريقةَ استعماله ومدّتَه. بلسم لا يكتب وصفاتٍ ولا يعدّلها
ولا يقترح أدويةً ولا يشخّص، ولا يبيع الأدوية ولا يقبض ثمنها ولا يوصلها. الصرفُ يتمّ
حضورياً في صيدليةٍ مرخّصة بعد تحقّق الصيدلي من هويّتك.
أ. ما تتضمّنه الوصفة
- هويّة الطبيب المُصدِر، وتاريخ الإصدار، والزيارة المرتبطة بها.
- لكلّ دواء: الاسم، الشكل الصيدلاني، الجرعة، عدد المرّات، المدّة، طريقة الاستعمال،
وملاحظات الطبيب.
- التعليمات العامة للمريض، وتاريخ انتهاء صلاحية الوصفة.
- عددُ مرّات الصرف المسموح بها والمدّة بين كلّ صرفٍ وآخر (للأدوية المتكرّرة)، كما
يحدّدها الطبيب.
- رمزٌ فريد (باركود/QR) يعرّف الوصفة. وهو مرجعٌ لها لا يحوي محتواها الطبي.
ب. «وصفاتي» في تطبيق المريض
تعرض لك وصفاتك وحالة صرف كلٍّ منها (لم تُصرف، صُرف جزءٌ منها، الدفعة الحالية،
موعد الدفعة التالية، منتهية الصلاحية، ملغاة). ويظهر رمز QR للوصفة قبل صرفها فقط،
لتُبرزه للصيدلي. لا تشارك هذا الرمز إلّا مع الصيدلي الذي ستصرف منه.
ج. ما يُسجَّل عند الصرف
- الصيدلية والصيدلي الذي صرف، وتاريخ الصرف ووقته، والأدوية التي صُرفت (كاملةً أو
جزئياً)، وملاحظات الصرف.
- طريقة التحقّق من هويّتك التي اختارها الصيدلي (مطابقة الهاتف، البطاقة الوطنية،
الصورة، مرافق المريض، أخرى)، ورقم البطاقة إن كانت هي الطريقة.
- نتيجة فحص السلامة: يقارن النظام أدوية الوصفة بالحساسيّات والأدوية المسجّلة لك
ويعرض تحذيراتٍ على الطبيب عند الكتابة وعلى الصيدلي عند الصرف. القرار المهني لهما،
وصرفُ وصفةٍ عليها تحذيرٌ خطير يستلزم أن يكتب الصيدلي سبباً يُحفظ في السجل.
- فاتورة البيع المرتبطة، إن وُجدت.
د. الأدوية الخاضعة للرقابة
تخضع لقيودٍ أشدّ: لا تُكرَّر، وتنتهي صلاحية وصفتها بعد ١٤ يوماً من إصدارها، ولا تُصرف
إلّا مرتبطةً بفاتورة بيع. وتسجّل الصيدلية في «سجلّ المواد الخاضعة للرقابة» —
التزاماً بالقانون — اسمَ المريض ورقمَ بطاقته ورقمَ هاتفه، والدواءَ
وكميّته، واسمَ الطبيب ورقمَ الوصفة وتاريخها، والصيدليَّ الذي صرف. ويُحتفظ بهذا السجل
المدّةَ التي يفرضها القانون حتّى بعد حذف حسابك (انظر القسم ١٢).
هـ. مَن يرى وصفتك
- أنت، والطبيب الذي أصدرها.
- الصيدلية التي تمسح رمز وصفتك، ولا تراها إلّا بعد المسح. والصيدلية التي صرفت
تبقى ترى ما صرفته.
- فريق إدارة بلسم، عند الحاجة فقط للدعم الفني أو الالتزام القانوني أو التحقيق في
إساءة.
- لا أحد غيرهم، ولا تُستعمل الوصفات للتسويق أو الإعلان أو بيعها لأيّ طرف.
٥. الفحوصات المخبرية والسحب المنزلي
- الطلب: الفحوصات المطلوبة، ونوع السحب (في المختبر أو في المنزل)،
والموعد المفضّل، والمبالغ والخصومات.
- السحب المنزلي: يطّلع المختبر والساحب المكلَّف على اسمك ورقم هاتفك
وعنوانك وإحداثيات موقعك والفحوصات المطلوبة، ليصل إليك. وقبل أن يقبل الساحبُ المهمّة
يرى المنطقةَ والفحوصاتِ وأجرتَه فقط، دون هويّتك.
- تأكيد السحب: يظهر لك رمزٌ تُمليه على الساحب لتأكيد أنّ العيّنة
سُحبت منك أنت. ويُسجَّل وقت التحرّك والوصول والسحب، والمبلغ النقدي الذي استلمه الساحب.
- النتائج: يُدخلها المختبر ويعتمدها مختصٌّ فيه، وتظهر لك، ولطبيبك إن
كان الطلب منه أو منحتَه الإذن.
٦. الموقع الجغرافي
- نستعمل موقعك الدقيق (GPS) فقط والتطبيق مفتوحٌ أمامك: عند طلب خدمةٍ
منزلية أو سحبٍ منزلي، وعند البحث عن مزوّدٍ قريب، وعند ضغط زرّ الطوارئ، وعند إكمال
الملف (لتحديد منطقتك).
- أثناء تنفيذ خدمةٍ منزلية قد يُشارك موقعُ الكادر معك وموقعُك معه، ويتوقّف ذلك بانتهاء
الخدمة أو بإيقافك له.
- لا نطلب الموقع في الخلفية ولا نتتبّعك والتطبيق مغلق. ويمكنك سحب
إذن الموقع من إعدادات هاتفك في أيّ وقت؛ فتتعطّل الميزات التي تحتاجه فقط.
٧. بيانات مزوّدي الرعاية والصيدليات
- الأطباء والكادر والمختبرات والصيادلة: الاسم، الهاتف، الجنس،
التخصّص، المؤهّلات، صورة شخصية، ووثائق التحقّق (الهوية، الترخيص، الشهادات، الرقم
الوظيفي) للتحقّق من الأهليّة فقط، ووسائل التواصل التي يختارون عرضها للمرضى،
وساعات العمل، والتقييمات، وإحصاءات العمل والأرباح والعمولات، وموقع الكادر أثناء
تنفيذ الخدمة.
- الصيدليات: المخزون والأسعار، والفواتير والمبيعات، وبيانات زبائن
الصيدلية (الاسم والهاتف وتاريخ الشراء والأرصدة الآجلة)، وسجلّ المواد الخاضعة للرقابة،
وإقفال اليوم. وهي بيانات الصيدلية وتحت مسؤوليتها، معزولةٌ عن غيرها من الصيدليات.
- المختبرات: الفحوصات وأسعارها، والتقارير والنتائج، والموظّفون
وصلاحيّاتهم، والساحبون وحساباتهم النقدية والتسويات.
- العيادات: سكرتارية العيادة (بتفويضٍ من الطبيب) ترى حجوزات الطبيب
وأسماء المرضى وأرقامهم لتنظيم الدور. وشاشةُ الانتظار في العيادة تعرض رقمَ الدور مع
الاسم الثنائيّ أو الثلاثيّ، أو الرقمَ وحده — بحسب ما يختاره الطبيب.
٨. أغراضُ المعالجة وأساسُها القانوني
| الغرض | الأساس |
|---|
| إنشاء حسابك وتسجيل دخولك وحمايته | تنفيذ الخدمة التي طلبتها |
| ربطك بالطبيب والصيدلية والمختبر والكادر، وتنفيذ الحجوزات والطلبات والوصفات | تنفيذ الخدمة · موافقتك الصريحة على معالجة البيانات الصحية |
| فحص السلامة الدوائية والتحقّق من الهويّة عند الصرف | حماية صحّتك · الالتزام القانوني |
| سجلّ المواد الخاضعة للرقابة والفواتير | الالتزام القانوني والمحاسبي |
| زرّ الطوارئ | حماية مصالحك الحيوية |
| الإشعارات الخدمية | تنفيذ الخدمة (ويمكنك إيقافها من إعدادات الهاتف) |
| منع الاحتيال والإساءة، وإصلاح الأعطال، وتحسين الأداء | مصلحتنا المشروعة في خدمةٍ آمنةٍ وعاملة |
لا نستعمل بياناتك للإعلان ولا للتسويق المخصّص، ولا نبني منها ملفّاتٍ تعريفية،
ولا نبيعها. ولا تُتّخذ عنك أيّ قراراتٍ طبيةٍ آليّة: كلّ قرارٍ سريريّ لمزوّدٍ بشريٍّ مرخَّص.
٩. مَن يطّلع على بياناتك
- مزوّد الرعاية الذي تتعامل معه، بالقدر اللازم للخدمة فقط (كما فُصّل
في الأقسام ٣–٧).
- فريق إدارة بلسم، بصلاحيّاتٍ محدّدة وسجلّ تدقيقٍ لكلّ وصول، للدعم
والتحقّق من المزوّدين وحلّ الشكاوى والطوارئ.
- مزوّدو الخدمة التقنية (القسم ١٠)، نيابةً عنّا وبتعليماتنا فقط، ويلتزمون — بالتعاقد أو
بشروطهم المعلنة — بحمايةٍ لبياناتك مساويةٍ لما في هذه السياسة، ولا يجوز لهم بيعها ولا استعمالها
للإعلان أو لأغراضهم الخاصّة.
- الجهات الرسمية، عند طلبٍ قانونيٍّ ملزِم فقط، وبأقلّ قدرٍ لازم.
١٠. مزوّدو الخدمة التقنية
| المزوّد | الغرض | ما يصله |
|---|
| IQ Hosting | استضافة الخوادم التي تعمل عليها قاعدة بيانات بلسم وملفّاته | جميع بيانات الخدمة (مخزّنة لديه، بتشغيلنا نحن) |
| Cloudflare | إدارة النطاق، وحفظ النسخ الاحتياطية خارج الخادم | النسخ الاحتياطية مشفّرةً قبل إرسالها، فلا يستطيع قراءتها |
| OTPIQ | إرسال رمز الدخول عبر واتساب أو رسالة نصّية | رقم هاتفك ورمز الدخول |
| Google — Firebase Cloud Messaging | إيصال الإشعارات إلى هاتفك | معرّف الإشعارات ونصّ الإشعار القصير |
| Sentry | تقارير الأعطال والأداء | بيانات تقنية عن العطل، مع تقليل البيانات الشخصية |
| OpenStreetMap · OSRM · OpenRouteService · BigDataCloud | عرض الخرائط، وحساب المسار، وتحويل الإحداثيات إلى اسم منطقة | إحداثيات الموقع فقط، بلا اسمك ولا رقمك |
| Apple · Google (خدمة الموقع المدمجة في هاتفك) | تحويل إحداثيات موقعك إلى اسم المنطقة أو العنوان عند إكمال ملفّك أو طلب خدمةٍ أو سحبٍ منزليّ | إحداثيات الموقع فقط |
| Google Fonts | تنزيل الخطوط المستعملة في الواجهة والطباعة | بيانات تقنية للاتصال فقط |
| Apple App Store · Google Play | توزيع التطبيق وتحديثه | وفق سياساتهما |
وإن اخترتَ «فتح الموقع في خرائط Google» أو الاتصال أو واتساب من داخل التطبيق، تنتقل
إلى تطبيقٍ خارجيٍّ تسري عليه سياسته هو.
١١. مكانُ التخزين والنقل عبر الحدود
تُخزَّن بيانات بلسم على خوادم مخصّصة لبلسم لدى مزوّد الاستضافة IQ Hosting في
فرنسا (الاتحاد الأوروبي). وقد تمرّ الإشعارات عبر خوادم Google. ونحمي كلّ نقلٍ بتشفير
TLS 1.2 أو أعلى. وباستعمالك التطبيق من العراق أو غيره فإنك تفهم أنّ بياناتك تُعالج
في هذه المواقع.
١٢. مدّة الاحتفاظ
| البيانات | المدّة |
|---|
| بيانات الحساب والسجلات الطبية والوصفات والطلبات والمحادثات | طوال بقاء حسابك، وتُحذف بعد ٣٠ يوماً من طلب حذفه (القسم ١٥) |
| سجلّ المواد الخاضعة للرقابة لدى الصيدلية | المدّة التي يفرضها القانون (عادةً ٧ سنوات)، ولا يُحذف بحذف حسابك |
| فواتير الصيدليات والمختبرات وقيودها المحاسبية | المدّة التي يفرضها القانون المحاسبي والضريبي |
| النسخ الاحتياطية المشفّرة | حتّى ١٤ يوماً على الخادم و٣٠ يوماً خارجه، ثمّ تُمحى تلقائياً |
| سجلّات الأمان والتدقيق (مَن فعل ماذا ومتى) | حتّى ٧ سنوات. وعند حذف حسابك تُمحى منها بياناتك الشخصية والصحية، ويبقى أنّ العملية وقعت ومتى فقط |
| تقارير الأعطال | وفق إعدادات Sentry، بحدٍّ أقصى ٩٠ يوماً |
١٣. الأمان
- كلّ الاتصالات مشفّرة (HTTPS/TLS 1.2+)، ويتحقّق التطبيق من شهادة خادم بلسم.
- عزلٌ على مستوى قاعدة البيانات (Row Level Security) على كلّ جدول: لا يقرأ أحدٌ إلّا
ما يخصّه، والعمليات الحسّاسة تمرّ بدوالّ تتحقّق من الصلاحية على الخادم.
- جلسة الدخول محفوظة في المخزن الآمن للجهاز (Keychain / Keystore)، والنسخ الاحتياطي
التلقائي لبيانات التطبيق في الهاتف معطّل.
- النسخ الاحتياطية تُشفَّر قبل خروجها من الخادم. ونسخ الصيدليات والأطباء في أجهزتهم مشفّرة
بمفتاحٍ يبقى عندهم (عبارةُ استرجاعٍ يحفظونها) ولا نملكه.
- وصول فريق الإدارة محدود بالصلاحيات ومسجَّل.
- لا يوجد نظامٌ آمنٌ مطلقاً؛ وإن وقع خرقٌ يمسّ بياناتك أبلغناك والجهات المختصّة وفق
القانون.
١٤. حقوقك
- الاطّلاع على بياناتك والحصول على نسخةٍ منها.
- التصحيح من داخل التطبيق أو بطلبٍ إلينا. والبيانات السريرية يصحّحها
المزوّد الذي أدخلها.
- الحذف (القسم ١٥)، مع الاستثناءات القانونية في القسم ١٢.
- سحب الموافقة على أذونات الاطّلاع والموقع والإشعارات في أيّ وقت.
- الاعتراض على معالجةٍ قائمةٍ على مصلحتنا المشروعة.
- الشكوى إلينا، أو إلى الجهة الرقابية المختصّة في بلدك.
نردّ على طلبك خلال ٣٠ يوماً، وقد نطلب التحقّق من هويّتك برمز يصل إلى هاتفك.
١٥. حذف الحساب
- من التطبيق: حسابي ← حذف الحساب. يُجمَّد حسابك فوراً: تخرج من كلّ
أجهزتك، ويختفي ملفّك أو منشأتك من البحث، وتُلغى المواعيد والطلبات التي لم تبدأ.
وبعد ٣٠ يوماً يُحذف تلقائياً حسابك وبيانات ملفّك وسجلاتك الطبية
ووصفاتك وطلباتك ومحادثاتك من قاعدة البيانات، ويصلك إشعارٌ بذلك، ثمّ تُمحى من النسخ
الاحتياطية خلال مدّتها (القسم ١٢).
- الاسترجاع: خلال الـ٣٠ يوماً تسترجع حسابك بتسجيل الدخول برقمك والضغط
على «استرجاع حسابي»، فيعود كما كان — عدا المواعيد والطلبات التي أُلغيت عند الطلب.
- من الموقع: صفحة حذف الحساب والبيانات.
- سجلّ التدقيق: يبقى فيه أنّ حساباً حُذف ومتى، دون اسمك أو بياناتك الصحية.
- ما يبقى بحكم القانون: سجلّ المواد الخاضعة للرقابة لدى الصيدلية
(ومنه اسمك ورقم بطاقتك ورقم هاتفك إن صُرف لك دواءٌ خاضعٌ للرقابة)، وفواتير المزوّدين
المحاسبية.
١٦. القاصرون والأطفال
إنشاء الحساب للبالغين (١٨ سنة فأكثر) فقط. لا نسمح للقاصرين بإنشاء حسابات، وإن علمنا
بحسابٍ لقاصرٍ حذفناه. أمّا بيانات الأطفال الصحية (كجدول اللقاحات، أو طفلٍ مضافٍ كفردٍ
من العائلة) فيُدخلها الوالد أو الوليّ البالغ لرعايتهم، وتُعامل بالحماية نفسها، وتُحذف
بحذف حسابه.
١٧. تغييرات السياسة
قد نحدّث هذه السياسة. ونُعلن أيّ تغييرٍ جوهريٍّ داخل التطبيق قبل سريانه بـ ٣٠ يوماً،
وإن كان التغيير يوسّع استعمال بياناتك الصحية طلبنا موافقتك من جديد. ويُذكر تاريخ آخر
تحديث أعلى الصفحة. وعند اختلاف النصّين العربيّ والإنجليزيّ يُعتمد النصّ العربيّ.
Privacy Policy — Balsam
Last updated: 7 October 2026 · Effective on publication
This policy explains what data Balsam and its systems (the mobile app,
the desktop systems for clinics, pharmacies and laboratories, and the Balsam website)
process, why, who can see it, how long it is kept, and your rights. It applies to every
user: patients, doctors, pharmacists, laboratories, nursing staff, clinic secretaries and
administrators.
In short: we do not sell or rent your data, we show no ads, and we do not
track you across other apps or websites. Your health data is visible only to you and to the
care provider you deal with, to the extent the service requires. Sign-in uses your phone
number only — no email and no password.
1. Who we are
Balsam is a technology platform that connects patients with licensed healthcare providers
(doctors, pharmacies, laboratories and nursing staff) and gives those providers systems to
run their work. We — the owner and operator of the Balsam service — are the data controller for your account and your use of the app.
Clinical data entered by a provider (such as a diagnosis, a prescription or a test result)
is entered under that provider's professional responsibility; we store and process it on
their behalf and for your care.
2. Data we collect
a. Account and contact data
- Full name, phone number (your only sign-in identity), gender, date of birth,
governorate, address when you request a home service, and an optional profile photo.
- One-time sign-in codes (OTP), delivered by WhatsApp or SMS. We keep only what is
needed to verify them and to prevent abuse (temporary attempt counters).
b. Orders and appointments
- Doctor bookings, their time and status, your queue number and clinic check-in.
- Home-care requests (service, address, time, notes) and the attachments you upload
with them (photos, reports, paper prescriptions).
- Laboratory test requests (see section 5).
c. Messages and notifications
- In-app messages and images exchanged with the provider linked to your request or
clinic, kept to deliver the service and resolve disputes.
- Notifications sent to you and whether you read them. Notification text is short and
kept to a minimum of medical detail because it may appear on your lock screen.
d. Financial data
- Service and invoice amounts, payment method (cash), discounts, promo codes, loyalty
points, rewards and referrals.
- We do not collect card numbers or bank accounts: payment is made
directly between you and the provider.
e. Reviews
- Your rating and comment about a doctor, laboratory, nurse or sample collector, and the
provider's reply. Comments are moderated to prevent abuse.
f. Technical data
- Notification token (Firebase Cloud Messaging), device type and operating system, app
version and interface language.
- Crash and performance reports through Sentry, with personal data minimised.
- Security and audit logs (who did what and when) to protect accounts and investigate
abuse.
g. What we do not collect
- An email address or password for signing in (sign-in is by phone number and a one-time code).
Exceptions: if you email us, we keep your message to answer it; and the short PIN a pharmacy or
laboratory sets for switching accounts on a shared device is stored only as an irreversible hash.
- Audio or video: the app does not access the microphone, and the camera is used only when you
scan a code or take a photo you choose to upload.
- Apple Health (HealthKit) or Google Health Connect data: the app neither reads nor writes it,
and does not store your health data in iCloud.
- Card numbers, bank accounts or passport numbers.
- Your phone contacts, photos other than those you choose to upload, or background
location.
- The advertising identifier: there are no ads and no cross-app tracking.
Explicit exception: we never ask for your national ID card
number in the app, but a pharmacy may record it when dispensing a prescription if
the pharmacist verifies your identity with your ID card. It is recorded mandatorily when a
controlled medicine is dispensed (see section 4).
3. Medical and health records
This is sensitive health data, processed only to provide your care:
- Visit records: diagnoses and ICD-10 codes, the doctor's clinical
notes, vital signs and requested tests.
- Health profile: blood type, allergies and chronic conditions.
- Emergency card: allergies, chronic conditions and an emergency
contact.
- SOS button: when pressed, your precise location, your message and the
time are sent to Balsam's support team so they can help you, and the follow-up is
recorded. It is not a substitute for emergency services.
- Health trackers (optional): pregnancy tracking (last period, due date,
weight, notes) and children's vaccination schedules.
- Family members and dependants: what you enter about them (name,
relationship, gender, date of birth, blood type, allergies, notes), under your
responsibility and with their authorisation or your guardianship.
- Access consents: a record of the doctors you allowed to view your file
and when access was granted or revoked. You can revoke access at any time.
4. Prescriptions and dispensing
Principle: in Balsam a prescription is written only by the licensed
treating doctor, who decides the medicine, its dose, how to use it and for how long.
Balsam does not write, change or suggest prescriptions, does not diagnose, and does not sell,
charge for or deliver medicines. Medicines are dispensed in person at a licensed
pharmacy after the pharmacist verifies your identity.
a. What a prescription contains
- The issuing doctor, the date of issue and the related visit.
- For each medicine: name, dosage form, dose, frequency, duration, directions for use,
and the doctor's notes.
- General instructions for the patient and the prescription's expiry date.
- For repeat prescriptions: how many times it may be dispensed and the interval between
dispensings, as set by the doctor.
- A unique code (barcode/QR) that identifies the prescription. It is a reference only and
does not contain the medical content.
b. "My prescriptions" in the patient app
Shows your prescriptions and the dispensing status of each (not dispensed, partly
dispensed, current round, next round date, expired, cancelled). The prescription's QR code
is shown only before it is dispensed, so you can present it to the pharmacist.
Do not share this code with anyone other than the pharmacist you are
dispensing from.
c. What is recorded at dispensing
- The pharmacy and pharmacist, the date and time, the medicines dispensed (fully or
partly), and dispensing notes.
- How the pharmacist verified your identity (phone match, national ID card, photo,
accompanying person, other), and the ID number when the ID card is used.
- The safety check: the system compares the prescribed medicines with your recorded
allergies and medicines and shows warnings to the doctor when prescribing and to the
pharmacist when dispensing. The professional decision is theirs; dispensing a prescription
that carries a serious warning requires the pharmacist to write a reason, which is
logged.
- The linked sale invoice, if any.
d. Controlled medicines
Stricter rules apply: they cannot be repeated, their prescription expires 14 days after
issue, and they can only be dispensed linked to a sale invoice. To comply with the law, the
pharmacy records in its controlled-substances register the patient's name, ID number and
phone number, the medicine and quantity, the prescribing doctor, the prescription number
and date, and the dispensing pharmacist. This register is kept for the period required by
law, even after you delete your account (see section 12).
e. Who can see your prescription
- You, and the doctor who issued it.
- The pharmacy that scans your prescription code, and only after scanning it. A pharmacy
that dispensed it keeps seeing what it dispensed.
- Balsam's administrators, only when needed for technical support, legal compliance or
investigating abuse.
- No one else. Prescriptions are never used for marketing or advertising, and never sold.
5. Laboratory tests and home sample collection
- The request: the tests requested, collection type (at the lab or at
home), preferred time, amounts and discounts.
- Home collection: the laboratory and the assigned collector see your
name, phone number, address, location coordinates and the requested tests so they can
reach you. Before accepting the task, a collector sees only the area, the tests and their
fee — not your identity.
- Confirming the collection: the app shows you a code that you read out
to the collector, confirming the sample was taken from you. The departure, arrival and
collection times are recorded, along with any cash the collector received.
- Results: entered by the laboratory and verified by a qualified person
there; visible to you, and to your doctor if the doctor requested the test or you granted
access.
6. Location
- We use your precise (GPS) location only while the app is open in front of
you: when requesting a home service or home sample collection, when searching
for a nearby provider, when you press the SOS button, and when completing your profile
(to determine your area).
- During a home service, the staff member's location may be shared with you and yours
with them; this stops when the service ends or when you turn it off.
- We never request background location and never track you while the app is
closed. You can revoke location permission in your phone settings at any time;
only the features that need it will stop working.
7. Provider and pharmacy data
- Doctors, nursing staff, laboratories and pharmacists: name, phone,
gender, specialty, qualifications, photo, and verification documents (ID, licence,
certificates, employee number) used only to verify eligibility; the contact methods they
choose to show patients; working hours; reviews; work statistics, earnings and
commissions; and the staff member's location while performing a service.
- Pharmacies: stock and prices, invoices and sales, the pharmacy's
customers (name, phone, purchase date, credit balances), the controlled-substances
register and day closings. This is the pharmacy's own data, under its responsibility, and
isolated from every other pharmacy.
- Laboratories: tests and prices, reports and results, staff and
permissions, sample collectors with their cash accounts and settlements.
- Clinics: the clinic secretary (authorised by the doctor) sees the
doctor's bookings and patients' names and numbers to manage the queue. The waiting-room
screen shows the queue number with the patient's first two or three names, or the
number alone — as the doctor chooses.
8. Purposes and legal bases
| Purpose | Legal basis |
|---|
| Creating, signing in to and protecting your account | Performing the service you requested |
| Connecting you with doctors, pharmacies, laboratories and staff; bookings, orders and prescriptions | Performing the service · your explicit consent to health-data processing |
| Medication safety checks and identity verification at dispensing | Protecting your health · legal obligation |
| Controlled-substances register and invoices | Legal and accounting obligation |
| SOS button | Protecting your vital interests |
| Service notifications | Performing the service (you can disable them in your phone settings) |
| Preventing fraud and abuse, fixing faults, improving performance | Our legitimate interest in a safe, working service |
We do not use your data for advertising or targeted marketing, we do not build
profiles from it, and we do not sell it. No automated medical decisions are made
about you: every clinical decision belongs to a licensed human provider.
9. Who can see your data
- The care provider you deal with, only to the extent the service
requires (as detailed in sections 3–7).
- Balsam's administrators, with limited permissions and an audit trail
for every access, for support, provider verification, complaints and emergencies.
- Technical service providers (section 10), on our behalf and only on our
instructions; they are bound — by contract or by their published terms — to protect your data at
a level equal to this policy, and may not sell it or use it for advertising or their own purposes.
- Authorities, only in response to a binding legal request, and only to
the minimum extent needed.
10. Technical service providers
| Provider | Purpose | What it receives |
|---|
| IQ Hosting | Hosting the servers that run Balsam's database and files | All service data (stored there, operated by us) |
| Cloudflare | Domain management and off-server backup storage | Backups encrypted before upload, which it cannot read |
| OTPIQ | Delivering sign-in codes by WhatsApp or SMS | Your phone number and the sign-in code |
| Google — Firebase Cloud Messaging | Delivering notifications to your phone | Notification token and the short notification text |
| Sentry | Crash and performance reports | Technical crash data, with personal data minimised |
| OpenStreetMap · OSRM · OpenRouteService · BigDataCloud | Map display, route calculation and converting coordinates to an area name | Location coordinates only, without your name or number |
| Apple · Google (your phone's built-in location service) | Converting your location coordinates to an area or address name when completing your profile or requesting a home service or sample collection | Location coordinates only |
| Google Fonts | Downloading the fonts used on screen and in printing | Technical connection data only |
| Apple App Store · Google Play | Distributing and updating the app | Under their own policies |
If you choose to open a location in Google Maps, or to call or WhatsApp someone from the app,
you move to an external app governed by its own policy.
11. Storage location and cross-border transfer
Balsam's data is stored on servers dedicated to Balsam at the hosting provider IQ Hosting in
France (European Union).
Notifications may pass through Google's servers. Every transfer is protected with TLS 1.2 or
higher. By using the app from Iraq or elsewhere, you understand that your data is processed
in these locations.
12. Retention
| Data | Period |
|---|
| Account data, medical records, prescriptions, orders and messages | For as long as your account exists; deleted 30 days after you ask to delete it (section 15) |
| A pharmacy's controlled-substances register | The period required by law (typically 7 years); not deleted with your account |
| Invoices of pharmacies and laboratories and their accounting entries | The period required by accounting and tax law |
| Encrypted backups | Up to 14 days on the server and 30 days off-server, then erased automatically |
| Security and audit logs (who did what and when) | Up to 7 years. When you delete your account, your personal and health data is erased from them; only the fact that an operation happened, and when, remains |
| Crash reports | According to Sentry's retention settings, up to 90 days |
13. Security
- All connections are encrypted (HTTPS/TLS 1.2+), and the app verifies the Balsam
server's certificate.
- Database-level isolation (Row Level Security) on every table: nobody can read anything
that is not theirs, and sensitive operations go through server functions that check
permissions.
- Your session is kept in the device's secure storage (Keychain / Keystore), and automatic
backup of the app's data on the phone is disabled.
- Backups are encrypted before they leave the server. Pharmacy and doctor backups on
their own devices are encrypted with a key that stays with them (a recovery phrase they
keep) and that we do not hold.
- Administrator access is permission-limited and logged.
- No system is perfectly secure; if a breach affects your data, we will notify you and the
competent authorities as the law requires.
14. Your rights
- Access your data and obtain a copy.
- Correction inside the app or by request. Clinical data is corrected by
the provider who entered it.
- Deletion (section 15), subject to the legal exceptions in section 12.
- Withdraw consent to access permissions, location and notifications at
any time.
- Object to processing based on our legitimate interest.
- Complain to us, or to the competent supervisory authority in your
country.
We answer requests within 30 days and may verify your identity with a code sent to your phone.
15. Account deletion
- In the app: My account → Delete account. Your account is frozen right
away: you are signed out on all devices, your profile or business disappears from search,
and appointments and requests that have not started are cancelled. After
30 days your account, profile, medical records, prescriptions, orders and
messages are deleted from the database automatically and you are notified; they are then
erased from backups within their retention period (section 12).
- Restoring: during those 30 days you can restore your account by signing
in with your number and tapping “Restore my account”; it comes back as it was, except for
appointments and requests cancelled at the time of the request.
- On the web: the Account and data deletion
page.
- Audit log: keeps only the fact that an account was deleted and when,
without your name or health data.
- What the law requires us to keep: a pharmacy's controlled-substances
register (including your name, ID number and phone number if a controlled medicine was
dispensed to you) and providers' accounting invoices.
16. Minors and children
Accounts are for adults (18 years or older) only. Minors may not create accounts, and if we
learn of a minor's account we delete it. Children's health data (such as a vaccination
schedule, or a child added as a family member) is entered by an adult parent or guardian for
their care, receives the same protection, and is deleted when that adult's account is
deleted.
17. Changes to this policy
We may update this policy. We announce any material change in the app 30 days before it
takes effect, and if a change widens the use of your health data we ask for your consent
again. The date of the last update is shown at the top of this page. If the Arabic and English versions differ, the Arabic version prevails.
© ٢٠٢٦ بلسم · Balsam. جميع الحقوق محفوظة.