How CareLayer Protects Patient Data

Last updated: 13 October 2026

In short:

Hidden before the AI sees it. Before a chat message is sent to an AI service, our system replaces names, phone numbers, email addresses, ID numbers, dates of birth and common health words with placeholders. The AI writes its reply using the placeholders, and the real details are put back on our own server.
The clinic gets a “bell”, not the details. When a patient asks to be called, the clinic is told by email and a phone notification to open the CareLayer app. No name, number, treatment or message is in them. The details are shown only inside the app, after the clinic's staff log in.
Team chat never sees patients. Our internal team chat (Slack) never receives patient details.
No chat history in our automation system. The content of conversations is not kept in its run history.
Not perfect, and not a certificate. The hiding is automatic and can miss things (see section 3). It is a technical safeguard — it does not by itself make a clinic compliant with UAE health-data rules.

1. The journey of one patient message

Step	What happens	What is hidden or left out
1. The patient types in the chat	The message travels to our server over an encrypted (HTTPS) connection. Cloudflare delivers the website and blocks abuse, so the encrypted traffic passes through it.	—
2. Our server cleans the text	Names, phone numbers, email addresses, ID / passport / insurance numbers, dates of birth and common health words are replaced with placeholders such as `[NAME_1]`, `[PHONE_1]`, `[HEALTH_1]`. The whole conversation is cleaned again each time it is sent.	The real values stay on our server.
3. A last check	If a phone number or email address still appears in what is about to be sent, the request is stopped. Nothing goes to the AI and the patient gets a safe, generic reply.	Nothing is sent when the check fails.
4. The AI writes a reply	The AI model (Anthropic) receives only the cleaned text.	It never receives the real name, number or email.
5. The reply is put back together	Placeholders in the reply are replaced with the real details on our server, so the patient reads a normal answer.	—
6. The clinic is notified	An email and a phone notification say: open the CareLayer app. They contain the clinic's name, the time and a reference number.	No name, phone number, treatment, message, attachment or link.
7. Clinic staff open the app	After entering the clinic's access code, staff see the name, number, messages and any file the patient attached.	Details are shown only here.
8. Calendar (only if the clinic uses it)	The clinic's Google Calendar shows the time and “CareLayer lead #123”.	No name, phone number or treatment.
9. Knowledge search (only if the clinic uses it)	The patient's question, already cleaned, is turned into a search code by OpenAI and may be re-worded by the AI model.	Only cleaned text is sent.
10. Technical alerts	Our team chat receives only technical alerts (for example a failed calendar sync), naming the clinic and a reference number. Automatic error alerts are reduced to generic technical words.	Never patient details.
11. Run history	The automation system that runs the chat does not store the content of conversations. The short-lived technical records it creates while handling a message are deleted automatically within minutes.	No conversation history is kept there.

2. How we tested it

We tested the cleaning step with more than 150 example messages in English, Arabic, Urdu, Hindi and Roman-Urdu / Arabizi — including messy, mixed-language messages, numbers spoken as words (“zero five zero…”) and Arabic-Indic digits. We then tested the live system from start to finish with made-up patients and inspected what actually left our server.

Phone numbers, email addresses and ID numbers: none got through in our tests.
Names: these are the hard part. On a brand-new set of messy messages, our first attempt caught roughly three names in four. We fixed every case that failed and tested again, but a name written in an unexpected way can still slip through.
Health words: we hide a list of common conditions and medicines (for example diabetes, blood pressure, pregnancy, allergies, heart disease, cancer). It is a best-effort list, not every possible description.

We do not claim 100%. We keep adding cases whenever we find something that was missed.

3. Where the limits are

A name that is not introduced as a name — for example inside a sentence about someone else — can slip through.
The reason for the visit (for example “cleaning” or “tooth pain”) is not hidden, because the assistant needs it to help. It reaches the AI without a name or number attached.
Files a patient attaches (an X-ray or insurance card) are never opened or read by the assistant. The AI is told only that a file was attached, under a generic name such as “attachment.pdf”, never the file itself or its original name.
This protects what is sent to outside AI services. The servers and database that store the enquiry are currently located outside the UAE. A clinic that needs enquiry records stored inside the UAE should talk to us before going live.
Anyone who has a clinic's app access code can open that clinic's enquiries, so the clinic should share it carefully.
This page describes technical safeguards. It is not legal advice and not a certification or approval by any UAE authority. Each clinic remains responsible for its own legal obligations.

4. Who receives what

Provider	Used for	What it can see
Anthropic	The AI model that writes the replies	Cleaned chat text only
OpenAI	Knowledge-base search (only for clinics that use it)	Cleaned question only
Resend	Sending the notification email	Clinic name, time, reference number — no patient details
Google (Firebase)	Phone notifications to clinic staff	Generic text and a reference number
Google (Calendar)	Only if the clinic uses calendar booking	The time and “CareLayer lead #123”
Slack	Technical alerts to our team	Clinic name and a reference number — no patient details
Cloudflare	Delivering the website, blocking abuse	Encrypted chat traffic passes through it
Our hosting provider	Running our servers and database	Stores the enquiry records (outside the UAE)

5. How long we keep it

Enquiry records are deleted automatically once there has been no activity for 12 months. A clinic can ask us for a shorter period. A record is also deleted on request, from the patient or the clinic.
The cleaned question text kept for the knowledge-base search is deleted after 90 days.
Deleted records can remain in our encrypted backups for up to about 90 more days, then those copies are overwritten.
Visitor IP addresses used for abuse protection are deleted after 30 days.
The automation system does not keep conversation content in its run history.

6. Questions or concerns

Email [email protected]. The full privacy notice for the chat assistant is here.

كيف نحمي بيانات المرضى

آخر تحديث: ١٣ أكتوبر ٢٠٢٦

ماذا يحدث لاسم المريض ورقم هاتفه وتفاصيله الصحية عندما يتحدث مع مساعد المحادثة CareLayer الخاص بعيادة — ما الذي نُخفيه، ومن يتلقى ماذا، وأين حدود هذه الحماية.

باختصار:

تُخفى التفاصيل قبل أن يراها الذكاء الاصطناعي. قبل إرسال رسالة المحادثة إلى خدمة الذكاء الاصطناعي، يستبدل نظامنا الأسماء وأرقام الهواتف وعناوين البريد الإلكتروني وأرقام الهوية وتواريخ الميلاد والكلمات الصحية الشائعة برموز بديلة. يكتب الذكاء الاصطناعي ردّه باستخدام هذه الرموز، ثم تُعاد التفاصيل الحقيقية على خادمنا نحن.
تصل العيادةَ «جرسُ تنبيه» لا التفاصيل. عندما يطلب المريض أن يُتَّصل به، تُبلَّغ العيادة برسالة بريد إلكتروني وإشعار على الهاتف يطلبان منها فتح تطبيق CareLayer. ولا يتضمن أيٌّ منهما اسماً أو رقماً أو علاجاً أو نصّ الرسالة. وتظهر التفاصيل داخل التطبيق فقط، بعد تسجيل دخول موظفي العيادة.
قناة فريقنا الداخلية لا ترى المرضى. قناة المراسلة الداخلية لدينا (Slack) لا تستقبل تفاصيل المرضى أبداً.
لا سجلّ لمحتوى المحادثات في نظام الأتمتة. لا يُحفظ محتوى المحادثات في سجلّ التشغيل.
ليس مثالياً، وليس شهادة. الإخفاء آلي وقد يفوته بعض التفاصيل (انظر القسم ٣). إنه إجراء حماية تقني، ولا يجعل العيادة وحده ملتزمةً بقواعد البيانات الصحية في دولة الإمارات.

١. رحلة رسالة مريض واحدة

الخطوة	ماذا يحدث	ما الذي يُخفى أو يُستبعد
١. يكتب المريض في المحادثة	تنتقل الرسالة إلى خادمنا عبر اتصال مشفّر (HTTPS). تقدّم Cloudflare الموقع وتحجب الإساءة، لذلك تمرّ حركة البيانات المشفّرة عبرها.	—
٢. ينظّف خادمنا النص	تُستبدل الأسماء وأرقام الهواتف وعناوين البريد الإلكتروني وأرقام الهوية وجواز السفر والتأمين وتواريخ الميلاد والكلمات الصحية الشائعة برموز مثل `[NAME_1]` و`[PHONE_1]` و`[HEALTH_1]`. وتُنظَّف المحادثة بأكملها من جديد في كل مرة تُرسَل فيها.	تبقى القيم الحقيقية على خادمنا.
٣. فحص أخير	إذا ظهر رقم هاتف أو بريد إلكتروني ضمن ما هو على وشك الإرسال، يُوقَف الطلب. لا يُرسَل شيء إلى الذكاء الاصطناعي، ويتلقى المريض رداً عاماً آمناً.	لا يُرسَل شيء عند فشل الفحص.
٤. يكتب الذكاء الاصطناعي رداً	يتلقى نموذج الذكاء الاصطناعي (Anthropic) النص المنظَّف فقط.	لا يتلقى الاسم أو الرقم أو البريد الحقيقي أبداً.
٥. يُعاد تركيب الرد	تُستبدل الرموز في الرد بالتفاصيل الحقيقية على خادمنا، فيقرأ المريض إجابة عادية.	—
٦. تُبلَّغ العيادة	رسالة بريد إلكتروني وإشعار على الهاتف يطلبان فتح تطبيق CareLayer. يتضمنان اسم العيادة والوقت ورقماً مرجعياً.	لا اسم ولا رقم هاتف ولا علاج ولا رسالة ولا مرفق ولا رابط.
٧. يفتح موظفو العيادة التطبيق	بعد إدخال رمز الدخول الخاص بالعيادة، يرى الموظفون الاسم والرقم والرسائل وأي ملف أرفقه المريض.	التفاصيل لا تظهر إلا هنا.
٨. التقويم (فقط إذا كانت العيادة تستخدمه)	يعرض تقويم Google الخاص بالعيادة الوقت وعبارة «CareLayer lead #123».	لا اسم ولا رقم هاتف ولا علاج.
٩. البحث في قاعدة المعرفة (فقط إذا كانت العيادة تستخدمها)	يُحوَّل سؤال المريض، بعد تنظيفه، إلى رمز بحث بواسطة OpenAI، وقد يعيد نموذج الذكاء الاصطناعي صياغته.	لا يُرسَل إلا النص المنظَّف.
١٠. التنبيهات التقنية	تتلقى قناة فريقنا الداخلية تنبيهات تقنية فقط (مثل فشل مزامنة التقويم)، تذكر اسم العيادة ورقماً مرجعياً. وتُختزل تنبيهات الأخطاء التلقائية إلى كلمات تقنية عامة.	لا تفاصيل المرضى أبداً.
١١. سجلّ التشغيل	نظام الأتمتة الذي يشغّل المحادثة لا يخزّن محتوى المحادثات. أما السجلات التقنية القصيرة التي ينشئها أثناء معالجة الرسالة فتُحذف تلقائياً خلال دقائق.	لا يُحتفظ هناك بسجلّ للمحادثات.

٢. كيف اختبرناه

اختبرنا خطوة التنظيف بأكثر من ١٥٠ رسالة نموذجية بالإنجليزية والعربية والأردية والهندية والأردية المكتوبة بالحروف اللاتينية / العربيزي، منها رسائل فوضوية ومختلطة اللغات، وأرقام منطوقة ككلمات («zero five zero…») وأرقام هندية-عربية. ثم اختبرنا النظام الحي من البداية إلى النهاية بمرضى وهميين، وفحصنا ما غادر خادمنا فعلاً.

أرقام الهواتف وعناوين البريد وأرقام الهوية: لم يتسرّب أي منها في اختباراتنا.
الأسماء: هي الجزء الصعب. على مجموعة جديدة كلياً من الرسائل الفوضوية، التقطت محاولتنا الأولى نحو ثلاثة أسماء من كل أربعة. أصلحنا كل حالة فشلت وأعدنا الاختبار، لكن اسماً مكتوباً بطريقة غير متوقعة قد يفلت مع ذلك.
الكلمات الصحية: نُخفي قائمة بالأمراض والأدوية الشائعة (مثل السكري وضغط الدم والحمل والحساسية وأمراض القلب والسرطان). هي قائمة بأقصى جهد ممكن، لا تشمل كل وصف محتمل.

لا ندّعي ١٠٠٪. ونواصل إضافة الحالات كلما وجدنا ما فاتنا.

٣. أين حدود هذه الحماية

اسم لا يُقدَّم على أنه اسم — مثلاً داخل جملة عن شخص آخر — قد يفلت.
سبب الزيارة (مثل «تنظيف» أو «ألم في السن») لا يُخفى، لأن المساعد يحتاجه ليساعد. ويصل إلى الذكاء الاصطناعي دون اسم أو رقم مرتبط به.
الملفات التي يرفقها المريض (أشعة أو بطاقة تأمين) لا يفتحها المساعد ولا يقرؤها أبداً. يُخبَر الذكاء الاصطناعي فقط بأن ملفاً أُرفق، باسم عام مثل «attachment.pdf»، لا بالملف نفسه ولا باسمه الأصلي.
هذا يحمي ما يُرسَل إلى خدمات الذكاء الاصطناعي الخارجية. أما الخوادم وقاعدة البيانات التي تخزّن الاستفسار فتقع حالياً خارج دولة الإمارات. وعلى العيادة التي تحتاج إلى حفظ سجلات الاستفسارات داخل الإمارات أن تتحدث إلينا قبل الإطلاق.
أي شخص لديه رمز دخول التطبيق الخاص بالعيادة يستطيع فتح استفسارات تلك العيادة، لذا ينبغي للعيادة أن تشاركه بحذر.
تصف هذه الصفحة إجراءات حماية تقنية. وهي ليست مشورة قانونية، وليست شهادة أو اعتماداً من أي جهة في دولة الإمارات. وتبقى كل عيادة مسؤولة عن التزاماتها القانونية.

٤. من يتلقى ماذا

المزوّد	الاستخدام	ما يمكنه رؤيته
Anthropic	نموذج الذكاء الاصطناعي الذي يكتب الردود	نص المحادثة المنظَّف فقط
OpenAI	البحث في قاعدة المعرفة (للعيادات التي تستخدمها فقط)	السؤال المنظَّف فقط
Resend	إرسال رسالة التنبيه بالبريد الإلكتروني	اسم العيادة والوقت والرقم المرجعي — دون أي تفاصيل عن المريض
Google (Firebase)	إشعارات الهاتف لموظفي العيادة	نص عام ورقم مرجعي
Google (Calendar)	فقط إذا كانت العيادة تستخدم الحجز عبر التقويم	الوقت وعبارة «CareLayer lead #123»
Slack	تنبيهات تقنية لفريقنا	اسم العيادة ورقم مرجعي — دون تفاصيل المريض
Cloudflare	تقديم الموقع وحجب الإساءة	تمرّ عبره حركة المحادثة المشفّرة
مزوّد الاستضافة لدينا	تشغيل خوادمنا وقاعدة بياناتنا	يخزّن سجلات الاستفسارات (خارج دولة الإمارات)

٥. كم من الوقت نحتفظ بها

تُحذف سجلات الاستفسارات تلقائياً عندما تمضي ١٢ شهراً دون أي نشاط. ويمكن للعيادة أن تطلب منا مدة أقصر. ويُحذف السجل أيضاً بناءً على طلب المريض أو العيادة.
يُحذف نص السؤال المنظَّف المحفوظ للبحث في قاعدة المعرفة بعد ٩٠ يوماً.
وقد تبقى السجلات المحذوفة في نسخنا الاحتياطية المشفَّرة لمدة تصل إلى نحو ٩٠ يوماً إضافية، ثم تُستبدل هذه النسخ.
تُحذف عناوين IP للزوار المستخدمة لحماية الموقع من الإساءة بعد ٣٠ يوماً.
لا يحتفظ نظام الأتمتة بمحتوى المحادثات في سجلّ التشغيل.

٦. أسئلة أو ملاحظات

راسلنا على [email protected]. الإشعار الكامل للخصوصية الخاص بمساعد المحادثة هنا.

تصف هذه الصفحة إجراءات الحماية التقنية في مساعد المحادثة CareLayer. وهي ليست مشورة قانونية.

© 2026 Ahsomatic · CareLayer — AI Web Receptionist for dental & health clinics.
This page describes technical safeguards of the CareLayer chat assistant. It is not legal advice.