RXTHUKHA TELEHEALTH & CLINIC BOOKING PLATFORM — PRIVACY POLICY

ကိုယ်ရေးအချက်အလက် လုံခြုံရေးနှင့် ထိန်းသိမ်းစောင့်ရှောက်မှု မူဝါဒ

Effective Date / အာဏာသက်ရောက်သည့် ရက်စွဲ: November 1, 2026 (၂၀၂၆ ခုနှစ်၊ နိုဝင်ဘာလ ၁ ရက်)
Data Controller / စီမံခန့်ခွဲသည့် အဖွဲ့အစည်း: RXTHUKHA COMPANY LIMITED (Registration No. 147149190, incorporated under the Myanmar Companies Law 2017)
Digital Platform / ဝဘ်ဆိုက်နှင့် မိုဘိုင်းအက်ပလီကေးရှင်း: https://rxthukha.com and all associated web portals, subdomains, mobile applications, and clinical service integrations.

PART I: မြန်မာဘာသာ (MYANMAR VERSION)

၁.၁ ရည်ရွယ်ချက်နှင့် အကျုံးဝင်မှုနယ်ပယ် (Purpose & Scope): ၂၀၁၇ ခုနှစ် မြန်မာနိုင်ငံကုမ္ပဏီများဥပဒေအရ တရားဝင်ဖွဲ့စည်းတည်ထောင်ထားသော RXTHUKHA COMPANY LIMITED (ကုမ္ပဏီမှတ်ပုံတင်အမှတ်- ၁၄၇၁၄၉၁၉၀) (နောင်တွင် “ကုမ္ပဏီ” သို့မဟုတ် “Rxthukha”) သည် Rxthukha.com တယ်လီကျန်းမာရေးနှင့် ဆေးခန်းရက်ချိန်းရယူသည့် ပလက်ဖောင်း၊ ဆက်စပ် Sub-domain များနှင့် မိုဘိုင်းအက်ပလီကေးရှင်းများ (ခြုံငုံ၍ “ပလက်ဖောင်း”) ကို အသုံးပြုကြသော လူနာများ (“Patients”) နှင့် ကျန်းမာရေးစောင့်ရှောက်သူများ/မိတ်ဖက်ဆေးခန်းများ (“Providers”) (ခြုံငုံ၍ “သုံးစွဲသူများ” သို့မဟုတ် “သင်”) ၏ ကိုယ်ရေးအချက်အလက်နှင့် ကျန်းမာရေးမှတ်တမ်းများ လုံခြုံရေးကို အလေးထား ကာကွယ်ပေးပါသည်။

၁.၂ လိုက်နာကျင့်သုံးသည့် ဥပဒေများ (Applicable Statutory Framework): ဤကိုယ်ရေးအချက်အလက် လုံခြုံရေးနှင့် ထိန်းသိမ်းစောင့်ရှောက်မှု မူဝါဒ (“မူဝါဒ”) ကို ပြည်ထောင်စုသမ္မတမြန်မာနိုင်ငံတော်၏ တည်ဆဲဥပဒေများဖြစ်သော အီလက်ထရွန်နစ် ဆက်သွယ်ဆောင်ရွက်ရေးဥပဒေ (၂၀၀၄ နှင့် ၂၀၂၁ ပြင်ဆင်ချက် - ပုဂ္ဂိုလ်ဆိုင်ရာအချက်အလက် ကာကွယ်ရေးပြဋ္ဌာန်းချက်များ)၊ ပုဂ္ဂိုလ်ဆိုင်ရာလွတ်လပ်မှုနှင့် ပုဂ္ဂိုလ်ဆိုင်ရာလုံခြုံမှုကို အကာအကွယ်ပေးရေးဥပဒေ (၂၀၁၇)၊ စားသုံးသူကာကွယ်ရေးဥပဒေ (၂၀၁၉)၊ ကလေးသူငယ်အခွင့်အရေးများဆိုင်ရာဥပဒေ (၂၀၁၉)၊ အီလက်ထရွန်နစ်ကုန်သွယ်မှု လမ်းညွှန်ချက်များ (၂၀၂၃) နှင့် ဆိုက်ဘာလုံခြုံရေးဥပဒေ (၂၀၂၅) တို့နှင့်အညီ ရေးဆွဲပြဋ္ဌာန်းထားပါသည်။

၁.၃ သဘောတူညီချက် (Binding Consent): ပလက်ဖောင်းတွင် အကောင့်မှတ်ပုံတင်ခြင်း၊ “Accept” (သဘောတူပါသည်) ကို နှိပ်ခြင်း သို့မဟုတ် ဝန်ဆောင်မှုကို ရယူအသုံးပြုခြင်းဖြင့် သင်၏ ကိုယ်ရေးအချက်အလက်နှင့် ကျန်းမာရေးမှတ်တမ်းများကို ဤမူဝါဒနှင့် ကုမ္ပဏီ၏ စည်းမျဉ်းများနှင့် ဝန်ဆောင်မှုဆိုင်ရာ သဘောတူညီချက်များ (Terms of Service) ပါ စည်းကမ်းချက်များအတိုင်း စုဆောင်းခြင်း၊ သိမ်းဆည်းခြင်း၊ အသုံးပြုခြင်း၊ စီမံဆောင်ရွက်ခြင်းနှင့် ထိန်းသိမ်းခြင်းတို့ကို ရှင်းလင်းစွာ သဘောတူညီပြီး ဖြစ်သည်။

အပိုဒ် ၂။ ကောက်ယူစုဆောင်းသည့် အချက်အလက် အမျိုးအစားများ (CATEGORIES OF INFORMATION COLLECTED)

Rxthukha သည် ပလက်ဖောင်းဝန်ဆောင်မှုများ ပေးအပ်ရန် လိုအပ်သည့် အောက်ပါ အချက်အလက်များကိုသာ ကောက်ယူစုဆောင်းပါသည်-

၂.၁ လူနာများ (Patients) ထံမှ ကောက်ယူသော အချက်အလက်များ (Patient Data):

(က) အခြေခံ ကိုယ်ရေးအချက်အလက်များ (Identity & Contact Data): အမည်၊ မွေးသက္ကရာဇ်/အသက်၊ ကျား/မ၊ ဖုန်းနံပါတ်၊ အီးမေးလ်လိပ်စာနှင့် နေရပ်လိပ်စာ (သို့မဟုတ် အသက်မပြည့်သေးသူ/မှီခိုသူအတွက် ရက်ချိန်းရယူရာတွင် မိဘ သို့မဟုတ် တရားဝင်အုပ်ထိန်းသူ၏ အမည်၊ တော်စပ်ပုံနှင့် ဆက်သွယ်ရန် အချက်အလက်များ)။
(ခ) ကျန်းမာရေးဆိုင်ရာ အချက်အလက်များ (Protected Health Information - “PHI”): ရောဂါလက္ခဏာများ၊ ယခင်ဆေးကုသမှု ရာဇဝင်များ၊ ဓာတ်ခွဲခန်းနှင့် ဆေးစစ်ချက်အဖြေများ၊ ဆေးဘက်ဆိုင်ရာ ပုံရိပ်များ၊ ဓာတ်မတည့်မှုမှတ်တမ်းများ၊ ဆေးခန်းရက်ချိန်းမှတ်တမ်းများ၊ ဆရာဝန်နှင့် အွန်လိုင်း/ဆေးခန်းတွင်း ဆွေးနွေးမှုမှတ်တမ်းများ (အသံ/ဗီဒီယိုနှင့် စာသားမှတ်တမ်းများ အပါအဝင်) နှင့် အီလက်ထရွန်နစ် ဆေးစာများ (E-Prescriptions)။

၂.၂ ကျန်းမာရေးစောင့်ရှောက်သူများနှင့် မိတ်ဖက်ဆေးခန်းများ (Providers/Clinics) ထံမှ ကောက်ယူသော အချက်အလက်များ (Provider Data):

(က) အသက်မွေးဝမ်းကျောင်းနှင့် လိုင်စင်အချက်အလက်များ (Credentials & Licensing Data): အမည်၊ နိုင်ငံသားစိစစ်ရေးကတ်ပြားအမှတ် (NRC)၊ မြန်မာနိုင်ငံဆေးကောင်စီမှ ထုတ်ပေးသော ဆေးကုသခွင့်လိုင်စင် (SAMA) အမှတ်နှင့် သက်တမ်း၊ ပုဂ္ဂလိကကျန်းမာရေးလုပ်ငန်း လိုင်စင်အမှတ် (၂၀၀၇ နှင့် ၂၀၂၆ ပြင်ဆင်ချက်ဥပဒေအရ) နှင့် ဆရာဝန်၏ ဒစ်ဂျစ်တယ်ထိုးမြဲလက်မှတ် ပုံစံများ (E-Prescription ထုတ်ပေးရန်အတွက်သာ)။
(ခ) ငွေကြေးလွှဲပြောင်းမှုဆိုင်ရာ အချက်အလက်များ (Financial Settlement Data): ပြသခနှုန်းထားများ၊ ဘဏ်စာရင်းအချက်အလက်များ သို့မဟုတ် မိုဘိုင်းငွေပေးချေမှု အကောင့်နံပါတ်များ (ပြသခ Payout လွှဲပြောင်းပေးရန်နှင့် သတ်မှတ်ထားသော ပလက်ဖောင်းဝန်ဆောင်ခ စာရင်းရှင်းလင်းရန်)။

၂.၃ နည်းပညာ၊ စက်ပစ္စည်း ခွင့်ပြုချက်နှင့် အလိုအလျောက် ကောက်ယူသော အချက်အလက်များ (Technical, Device Permission & Usage Data):

(က) စနစ်နှင့် ကွန်ရက်အချက်အလက်များ: IP Address၊ အသုံးပြုသည့် စက်ပစ္စည်းအမျိုးအစား (Device ID/Model/OS)၊ ဘရောက်ဆာအမျိုးအစား၊ ဝင်ရောက်အသုံးပြုသည့် အချိန်မှတ်တမ်းများ (System Audit Logs) နှင့် Cookies အချက်အလက်များ။
(ခ) စက်ပစ္စည်း ခွင့်ပြုချက်များနှင့် အသိပေးချက် တိုကင်များ (Device Permissions & Push Tokens): အွန်လိုင်း ဗီဒီယို/အသံ ဆွေးနွေးမှုများ ပြုလုပ်ရန်နှင့် ဆေးစစ်ချက်အဖြေ/ဆေးစာပုံများ ပေးပို့ရန်အတွက် သုံးစွဲသူ၏ ခွင့်ပြုချက်ဖြင့် ကင်မရာ (Camera)၊ မိုက်ခရိုဖုန်း (Microphone) နှင့် ဖိုင်သိမ်းဆည်းမှု (Photo Library/Storage) အသုံးပြုခွင့်များ၊ ထို့အပြင် ရက်ချိန်းနှင့် စနစ်အသိပေးချက်များ ပေးပို့ရန် Push Notification Registration Tokens (ဥပမာ- Firebase Cloud Messaging tokens) များကို ရယူအသုံးပြုပါသည်။

၂.၄ ငွေပေးချေမှုဆိုင်ရာ အချက်အလက်များ (Payment Transaction Data):
In-App Payment သို့မဟုတ် Direct Clinic Payment ပြုလုပ်ရာတွင် ငွေပေးချေမှု အထောက်အထား (Transaction ID၊ ငွေပမာဏ၊ ငွေပေးချေသည့် နည်းလမ်းနှင့် အချိန်နာရီ) ကိုသာ သိမ်းဆည်းပါသည်။ Rxthukha သည် သုံးစွဲသူများ၏ ဘဏ်ကတ်နံပါတ်အပြည့်အစုံ၊ လျှို့ဝှက်နံပါတ် (PIN/CVV/OTP) သို့မဟုတ် မိုဘိုင်းပိုက်ဆံအိတ် စကားဝှက်များကို လုံးဝ သိမ်းဆည်းခြင်း မပြုပါ။ အီလက်ထရွန်နစ် ငွေပေးချေမှုအားလုံးကို မြန်မာနိုင်ငံတော်ဗဟိုဘဏ် (CBM) မှ ခွင့်ပြုထားသော တတိယပုဂ္ဂိုလ် ငွေပေးချေမှုစနစ်များ (ဥပမာ- MMQR, KBZPay, WavePay) မှတစ်ဆင့်သာ ဆောင်ရွက်ပါသည်။

အပိုဒ် ၃။ အချက်အလက်များကို အသုံးပြုသည့် ရည်ရွယ်ချက် (PURPOSES OF DATA PROCESSING)

Rxthukha သည် စုဆောင်းရရှိသော အချက်အလက်များကို အောက်ပါ တရားဝင် ရည်ရွယ်ချက်များအတွက်သာ အသုံးပြုပါသည်-

(က) ဆေးခန်းရက်ချိန်းနှင့် တယ်လီကျန်းမာရေး ချိတ်ဆက်ပေးခြင်း (Service Facilitation): လူနာနှင့် သက်ဆိုင်ရာ ဆရာဝန်/မိတ်ဖက်ဆေးခန်းအကြား ဆေးခန်းသို့ လူကိုယ်တိုင် သွားရောက်ပြသရန် (In-Clinic) သို့မဟုတ် အွန်လိုင်းမှတစ်ဆင့် ဆွေးနွေးကုသမှု ခံယူရန် (Telehealth) ရက်ချိန်းရယူခြင်း၊ ဆေးမှတ်တမ်းနှင့် ဆေးစာများ လွှဲပြောင်းပေးပို့ခြင်းနှင့် ရက်ချိန်းအသိပေးချက်များ ပေးပို့ခြင်း။
(ခ) လိုင်စင်နှင့် ကျင့်ဝတ်လိုက်နာမှု စိစစ်ခြင်း (Credential Verification): Provider များနှင့် မိတ်ဖက်ဆေးခန်းများ၏ ဆေးကုသခွင့်လိုင်စင် (SAMA) နှင့် ဆေးခန်းလိုင်စင်များ တရားဝင်သက်တမ်းရှိကြောင်း စိစစ်အတည်ပြုခြင်း။
(ဂ) ငွေကြေးစာရင်းရှင်းလင်းခြင်း (Financial Settlement & Accounting): ပြသခများ လက်ခံခြင်း၊ Provider ထံသို့ သတ်မှတ်ပြသခ အပြည့်အဝ ပြန်လည်လွှဲပြောင်းပေးခြင်း (Payout)၊ သတ်မှတ်ထားသော ပလက်ဖောင်းဝန်ဆောင်ခ (Platform Service Fee) တွက်ချက်ကောက်ခံခြင်း သို့မဟုတ် ခုနှိမ်ဖြတ်တောက်ခြင်း (Set-off) နှင့် ရက်ချိန်းပယ်ဖျက်မှုအတွက် ငွေပြန်အမ်းခြင်း (Refunds)။
(ဃ) စနစ်လုံခြုံရေး၊ အငြင်းပွားမှုဖြေရှင်းရေးနှင့် ဥပဒေလိုက်နာမှု (Security, Dispute Resolution & Compliance): အကောင့်လုံခြုံရေး စောင့်ကြည့်ခြင်း၊ မသမာမှုများကို ကာကွယ်ခြင်း၊ သုံးစွဲသူများအကြား ဖြစ်ပေါ်လာနိုင်သည့် အငြင်းပွားမှုများကို စိစစ်ဖြေရှင်းခြင်းနှင့် ၂၀၂၅ ခုနှစ် ဆိုက်ဘာလုံခြုံရေးဥပဒေအရ လိုအပ်သော လုံခြုံရေးမှတ်တမ်းများ ထားရှိခြင်း။

အပိုဒ် ၄။ ကျန်းမာရေးအချက်အလက် (PHI) လုံခြုံရေး၊ မှတ်တမ်းတင်ခြင်းနှင့် ဆက်သွယ်ရေး ကန့်သတ်ချက်များ (PHI SECURITY, RECORDING & COMMUNICATION RESTRICTIONS)

၄.၁ ကုဒ်ဝှက်စနစ်ဖြင့် ပေးပို့ခြင်းနှင့် အငြင်းပွားမှုဖြေရှင်းရန် မူသေမှတ်တမ်းတင်ထားရှိခြင်း (Encrypted Channels & Default Recording for Dispute Resolution): လူနာ၏ ကျန်းမာရေးမှတ်တမ်းများ (PHI)၊ စာသားဆွေးနွေးမှုများနှင့် ဗီဒီယို/အသံ ဆွေးနွေးမှုများအားလုံးကို ပလက်ဖောင်းအတွင်းရှိ လုံခြုံသော ကုဒ်ဝှက်စနစ် (Encrypted Channels) မှတစ်ဆင့်သာ ပေးပို့ဆောင်ရွက်ပါသည်။ ပလက်ဖောင်းပေါ်တွင် ပြုလုပ်သော အွန်လိုင်း ဆွေးနွေးမှုများ (ဗီဒီယို၊ အသံနှင့် စာသားဆွေးနွေးမှုများ အပါအဝင်) ကို စနစ်မှ အလိုအလျောက် မူသေမှတ်တမ်းတင် သိမ်းဆည်းထားမည် (Recorded by Default) ဖြစ်ပြီး၊ အဆိုပါ မှတ်တမ်းများကို အငြင်းပွားမှု ဖြေရှင်းရန် (Dispute Resolution)၊ ဝန်ဆောင်မှု အထောက်အထား စိစစ်ရန်နှင့် ဥပဒေအရ တာဝန်ခံမှုရှိစေရန် ရည်ရွယ်ချက်ဖြင့်သာ တင်းကြပ်စွာ လျှို့ဝှက်ထိန်းသိမ်း အသုံးပြုမည်ဖြစ်သည်။

၄.၂ ပြင်ပချန်နယ်များတွင် PHI ပေးပို့မှု တားမြစ်ချက် (Prohibition on Unencrypted External Channels): Terms of Service အပိုဒ် (၃.၆) နှင့်အညီ လူနာများနှင့် Provider များသည် လူနာ၏ အမည်၊ ရောဂါအမည်၊ ဆေးစစ်ချက်အဖြေ စသည့် ကျန်းမာရေးအချက်အလက်များကို လုံခြုံမှုမရှိသော ပြင်ပဆက်သွယ်ရေးလမ်းကြောင်းများ (ဥပမာ- ကုမ္ပဏီ၏ အထွေထွေ Customer Support အီးမေးလ်၊ လူမှုကွန်ရက် စာမျက်နှာ သို့မဟုတ် အများသုံး ဖုန်းလိုင်းများ) သို့ တိုက်ရိုက်ပေးပို့ခြင်း လုံးဝမပြုရပါ။

၄.၃ ဆေးကုသမှုမှတ်တမ်းများအပေါ် ကုမ္ပဏီ၏ ကန့်သတ်ချက် (Intermediary Hosting Role): Rxthukha သည် နည်းပညာကြားခံပလက်ဖောင်းသာ ဖြစ်သဖြင့် လူနာနှင့် ဆရာဝန်အကြား ဆွေးနွေးသည့် ဆေးဘက်ဆိုင်ရာ အချက်အလက်များကို စနစ်လည်ပတ်ရန်၊ လူနာ/ဆရာဝန်မှ ပြန်လည်ကြည့်ရှုနိုင်ရန်နှင့် အငြင်းပွားမှု ဖြေရှင်းရန်အတွက်သာ နည်းပညာအရ သိမ်းဆည်းပေးခြင်းဖြစ်ပြီး၊ ဆေးကုသမှုဆိုင်ရာ ဆုံးဖြတ်ချက်များတွင် ဝင်ရောက်စွက်ဖက်ခြင်း မပြုပါ။

၅.၁ စီးပွားဖြစ် ရောင်းချမှု တားမြစ်ချက် (No Commercial Sale of Data): Rxthukha သည် သင်၏ ကိုယ်ရေးအချက်အလက်နှင့် ကျန်းမာရေးမှတ်တမ်းများကို ပြင်ပအဖွဲ့အစည်းများသို့ ရောင်းချခြင်း၊ ငှားရမ်းခြင်း သို့မဟုတ် ကြော်ငြာလုပ်ငန်းများအတွက် လွှဲပြောင်းပေးခြင်း လုံးဝမပြုပါ။

၅.၂ ခွင့်ပြုထားသော အချက်အလက် မျှဝေမှုများ (Permitted Disclosures): အောက်ပါ အခြေအနေများတွင်သာ လိုအပ်သလောက် မျှဝေပါသည်-

(က) ရွေးချယ်ထားသော Provider/မိတ်ဖက်ဆေးခန်းများနှင့် မျှဝေခြင်း: လူနာကိုယ်တိုင် ရက်ချိန်းရယူထားသော သက်ဆိုင်ရာ ဆရာဝန် သို့မဟုတ် မိတ်ဖက်ဆေးခန်းသို့သာ လူနာ၏ ကျန်းမာရေးမှတ်တမ်းများကို ပေးပို့ပါသည်။ မိတ်ဖက်ဆေးခန်းနှင့် Provider များသည် ၎င်းတို့ လက်ခံရရှိသော လူနာအချက်အလက်များကို မြန်မာနိုင်ငံဆေးပညာကျင့်ဝတ်များ (Myanmar Medical Ethics) နှင့် တည်ဆဲဥပဒေများအရ သီးခြားလွတ်လပ်စွာ လျှို့ဝှက်ထိန်းသိမ်းရန် တာဝန်ရှိသည်။
(ခ) ငွေပေးချေမှုနှင့် Cloud နည်းပညာ မိတ်ဖက်များ (Payment & Cloud Infrastructure Partners): ငွေပေးချေမှု ဆောင်ရွက်ပေးသော ဗဟိုဘဏ်ခွင့်ပြုချက်ရ Payment Gateways များနှင့် လုံခြုံရေးအဆင့်မြင့် Cloud Server၊ ဒေတာဘေ့စ်နှင့် သိမ်းဆည်းမှု ဝန်ဆောင်မှုပေးသူများ (တင်းကြပ်သော လျှို့ဝှက်ထိန်းသိမ်းရေး သဘောတူညီချက်ဖြင့်သာ)။
(ဂ) နယ်စပ်ဖြတ်ကျော် Cloud ဆာဗာ သိမ်းဆည်းမှု သဘောတူညီချက် (Cross-Border Cloud Hosting Consent): ပလက်ဖောင်း၏ လုံခြုံရေး၊ မြန်ဆန်မှုနှင့် ဒေတာမပျောက်ပျက်စေရေးအတွက် သုံးစွဲသူအချက်အလက်များကို မြန်မာနိုင်ငံပြင်ပရှိ လုံခြုံရေးအဆင့်မြင့် ကုဒ်ဝှက်ထားသော နိုင်ငံတကာ Cloud Server များနှင့် ဒေတာစင်တာများတွင် သိမ်းဆည်းဆောင်ရွက်နိုင်ပြီး၊ သုံးစွဲသူသည် အဆိုပါ နည်းပညာဆိုင်ရာ သိမ်းဆည်းမှုနှင့် လွှဲပြောင်းဆောင်ရွက်မှုကို ရှင်းလင်းစွာ သဘောတူခွင့်ပြုပါသည်။
(ဃ) တရားဥပဒေအရ တောင်းဆိုမှုများ (Lawful Statutory Disclosure): ၂၀၂၁ ခုနှစ် အီလက်ထရွန်နစ် ဆက်သွယ်ဆောင်ရွက်ရေးဥပဒေနှင့် ၂၀၂၅ ခုနှစ် ဆိုက်ဘာလုံခြုံရေးဥပဒေတို့အရ တရားရုံး၏ အမိန့်ဝရမ်း သို့မဟုတ် သက်ဆိုင်ရာ တရားဝင်အာဏာပိုင်အဖွဲ့အစည်းများက ဥပဒေနှင့်အညီ စာဖြင့် တောင်းဆိုလာသည့် အခြေအနေများ။

အပိုဒ် ၆။ ကလေးသူငယ်များ၏ ဒေတာ အကာအကွယ်ပေးရေး (PROTECTION OF MINORS’ DATA)

၆.၁ တိုက်ရိုက်စုဆောင်းမှု ကန့်သတ်ချက် (Restriction on Direct Collection): ၂၀၁၉ ခုနှစ် ကလေးသူငယ်အခွင့်အရေးများဆိုင်ရာဥပဒေအရ အသက် (၁၈) နှစ်မပြည့်သေးသော ကလေးသူငယ်များထံမှ ကိုယ်ရေးအချက်အလက်များကို တိုက်ရိုက် ရယူစုဆောင်းခြင်း မပြုပါ။

၆.၂ အုပ်ထိန်းသူ၏ သဘောတူညီချက် (Verifiable Guardian Consent): အသက် (၁၈) နှစ်အောက် လူနာများအတွက် ကျန်းမာရေးဆွေးနွေးမှု သို့မဟုတ် ဆေးခန်းရက်ချိန်း ရယူလိုပါက မိဘ သို့မဟုတ် တရားဝင်အုပ်ထိန်းသူ၏ အကောင့်နှင့် တရားဝင် သဘောတူညီချက် (Verifiable Guardian Consent) ဖြင့်သာ အချက်အလက်များကို ပေးပို့သိမ်းဆည်းရမည်။ အုပ်ထိန်းသူ၏ ခွင့်ပြုချက်မပါဘဲ ကလေးသူငယ်၏ ဒေတာများ ဝင်ရောက်နေကြောင်း စစ်ဆေးတွေ့ရှိပါက ချက်ချင်း ဖျက်သိမ်းသွားမည် ဖြစ်သည်။

အပိုဒ် ၇။ ဒေတာသိမ်းဆည်းမှု သက်တမ်းနှင့် ပယ်ဖျက်ခြင်း (DATA RETENTION & DELETION)

၇.၁ ဥပဒေအရ သိမ်းဆည်းရမည့် ကာလ (Statutory Retention Period): ၂၀၂၃ ခုနှစ် အီလက်ထရွန်နစ်ကုန်သွယ်မှု လမ်းညွှန်ချက်များ၊ တည်ဆဲအခွန်ဥပဒေများနှင့် ၂၀၂၅ ခုနှစ် ဆိုက်ဘာလုံခြုံရေးဥပဒေတို့အရ အရောင်းအဝယ်နှင့် ငွေပေးချေမှုမှတ်တမ်းများ၊ စနစ်လုံခြုံရေး မှတ်တမ်းများ (System Audit Logs) နှင့် ဆေးကုသမှုဆိုင်ရာ မှတ်တမ်းများကို အနည်းဆုံး (၃) နှစ် (သို့မဟုတ် သက်ဆိုင်ရာ ဆေးဘက်ဆိုင်ရာ ဥပဒေများက သတ်မှတ်ထားသည့် ကာလအထိ) လုံခြုံစွာ ထိန်းသိမ်းထားရှိမည် ဖြစ်သည်။

၇.၂ အကောင့်ဖျက်သိမ်းပြီးနောက် သိမ်းဆည်းမှုနှင့် အပြီးတိုင်ဖျက်ဆီးခြင်း (Post-Closure Archiving & Anonymization): သုံးစွဲသူ သို့မဟုတ် Provider မှ အကောင့်ဖျက်သိမ်းရန် တောင်းဆိုသည့်အခါ အသုံးပြုသူ၏ အကောင့်ကို ပိတ်သိမ်းပေးမည်ဖြစ်သော်လည်း၊ ဥပဒေအရ မဖြစ်မနေ ထိန်းသိမ်းရမည့် မှတ်တမ်းများ၊ အငြင်းပွားမှုဖြေရှင်းရေး မှတ်တမ်းများနှင့် ငွေကြေးစာရင်းရှင်းတမ်းများကို သတ်မှတ်ကာလ ပြည့်မြောက်သည်အထိ သီးခြားလုံခြုံစွာ သိမ်းဆည်းထားပြီးနောက် ပြန်လည်ဖော်ထုတ်၍ မရနိုင်အောင် အပြီးတိုင် ဖျက်ဆီးခြင်း သို့မဟုတ် အမည်ဝှက်ပြောင်းလဲခြင်း (Permanently Deleted or Anonymized) ပြုလုပ်သွားမည်ဖြစ်သည်။

အပိုဒ် ၈။ ဒေတာလုံခြုံရေး အစီအမံများ၊ သုံးစွဲသူတာဝန်နှင့် အရေးပေါ်တုံ့ပြန်မှု (DATA SECURITY, USER RESPONSIBILITY & BREACH RESPONSE)

၈.၁ ကုမ္ပဏီ၏ လုံခြုံရေးစနစ် (Technical & Organizational Measures): Rxthukha သည် သင်၏ ဒေတာများကို ခွင့်ပြုချက်မရှိဘဲ ဝင်ရောက်ကြည့်ရှုခြင်း၊ ပေါက်ကြားခြင်း၊ ပြုပြင်ပြောင်းလဲခြင်း သို့မဟုတ် ပျက်စီးဆုံးရှုံးခြင်းမှ ကာကွယ်ရန် TLS/SSL ကုဒ်ဝှက်စနစ်၊ Role-Based Access Control (RBAC)၊ ကုဒ်ဝှက်ထားသော ဒေတာဘေ့စ်နှင့် Firewall လုံခြုံရေးစနစ်များကို အသုံးပြုထားပါသည်။

၈.၂ သုံးစွဲသူနှင့် Provider ၏ လုံခြုံရေးတာဝန် (User & Provider Security Hygiene): Terms of Service အပိုဒ် (၆.၃) အရ Provider နှင့် လူနာများသည် မိမိတို့၏ အကောင့်စကားဝှက်များနှင့် OTP ကုဒ်များကို လျှို့ဝှက်ထိန်းသိမ်းရန်၊ အကောင့်မျှဝေသုံးစွဲခြင်း မပြုရန်နှင့် အများပြည်သူဆိုင်ရာ နေရာများတွင် လူနာအချက်အလက်များ ပေါက်ကြားမှုမရှိစေရန် မိမိကိုယ်တိုင် တာဝန်ယူရမည်။ သုံးစွဲသူ သို့မဟုတ် Provider ၏ ပေါ့ဆမှုကြောင့် ဖြစ်ပေါ်လာသော ဒေတာပေါက်ကြားမှုအတွက် ကုမ္ပဏီတွင် တာဝန်မရှိပါ။

၈.၃ ဒေတာလုံခြုံရေး ချိုးဖောက်ခံရမှု တုံ့ပြန်ဆောင်ရွက်ခြင်း (Security Incident & Breach Notification): အင်တာနက်အခြေပြု စနစ်များသည် ရာနှုန်းပြည့် လုံခြုံမှု အာမခံချက် မပေးနိုင်သော်လည်း၊ အကယ်၍ သုံးစွဲသူ၏ ကိုယ်ရေးအချက်အလက် သို့မဟုတ် ကျန်းမာရေးမှတ်တမ်းများ (PHI) အပေါ် ထိခိုက်စေသည့် လုံခြုံရေးကျိုးပေါက်မှု (Data Breach) ဖြစ်ပေါ်ခဲ့ပါက Rxthukha သည် ချက်ချင်း စုံစမ်းစစ်ဆေး ထိန်းချုပ်မည်ဖြစ်ပြီး၊ ၂၀၂၅ ခုနှစ် ဆိုက်ဘာလုံခြုံရေးဥပဒေနှင့်အညီ သက်ဆိုင်ရာ သုံးစွဲသူများနှင့် တာဝန်ရှိအဖွဲ့အစည်းများထံ အချိန်မီ အသိပေး အကြောင်းကြားသွားမည် ဖြစ်သည်။

အပိုဒ် ၉။ သုံးစွဲသူများ၏ ဒေတာဆိုင်ရာ အခွင့်အရေးများ (DATA SUBJECT RIGHTS)

သုံးစွဲသူ (Patients နှင့် Providers) များသည် မိမိတို့၏ ကိုယ်ရေးအချက်အလက်များနှင့် ပတ်သက်၍ အောက်ပါအခွင့်အရေးများ ရှိပါသည်-

(က) ကြည့်ရှုခွင့်နှင့် ရယူခွင့် (Right to Access & Portability): မိမိ၏ အကောင့်အချက်အလက်နှင့် ကျန်းမာရေးမှတ်တမ်းများကို ကြည့်ရှုခွင့်နှင့် မိတ္တူတောင်းခံခွင့်။
(ခ) ပြင်ဆင်မွမ်းမံခွင့် (Right to Rectification): မှားယွင်းနေသော သို့မဟုတ် ပြောင်းလဲသွားသော ကိုယ်ရေးအချက်အလက်နှင့် လိုင်စင်အချက်အလက်များကို ပြင်ဆင်မွမ်းမံခွင့်။
(ဂ) သဘောတူညီချက် ရုပ်သိမ်းခွင့်နှင့် အကောင့်ပိတ်သိမ်းခွင့် (Right to Withdraw Consent & Account Deletion): အချက်အလက် ဆက်လက်အသုံးပြုမှုကို ရပ်ဆိုင်းရန်နှင့် အကောင့်ပိတ်သိမ်းရန် အပိုဒ် (၁၀.၃) ပါ ဆက်သွယ်ရန်လိပ်စာသို့ တောင်းဆိုခွင့် (သို့ရာတွင် အပိုဒ် ၇ အရ ဥပဒေအရ မဖြစ်မနေ သိမ်းဆည်းရန် လိုအပ်သော မှတ်တမ်းများ မပါဝင်ပါ)။

အပိုဒ် ၁၀။ မူဝါဒ ပြင်ဆင်ခြင်း၊ ဘာသာစကားနှင့် ဆက်သွယ်ရန် လိပ်စာ (AMENDMENTS, LANGUAGE & CONTACT INFORMATION)

၁၀.၁ မူဝါဒ ပြင်ဆင်ခြင်း (Policy Amendments): Rxthukha သည် ပလက်ဖောင်း ဝန်ဆောင်မှုအသစ်များ၊ လုပ်ငန်းလည်ပတ်မှု ပြောင်းလဲခြင်းများ သို့မဟုတ် တည်ဆဲဥပဒေ ပြောင်းလဲမှုများနှင့်အညီ ဤ Privacy Policy ကို အခါအားလျော်စွာ ပြင်ဆင်ပိုင်ခွင့်ရှိသည်။ အဓိကကျသော ပြင်ဆင်ချက်များ ပြုလုပ်ပါက အာဏာမသက်ရောက်မီ အနည်းဆုံး (၁၄) ရက် ကြိုတင်၍ အီးမေးလ် သို့မဟုတ် အက်ပလီကေးရှင်းမှတစ်ဆင့် အသိပေးမည်ဖြစ်သည်။

၁၀.၂ ဘာသာစကား အလေးသာမှု (Prevailing Language): ဤမူဝါဒကို မြန်မာဘာသာနှင့် အင်္ဂလိပ်ဘာသာ (၂) မျိုးဖြင့် ရေးသားထားပြီး အဓိပ္ပာယ်ကွဲလွဲမှု တစ်စုံတစ်ရာ ပေါ်ပေါက်ပါက မြန်မာဘာသာ မူရင်း ကိုသာ အတည်ပြုရမည်။

၁၀.၃ ဆက်သွယ်ရန် (Data Protection Contact): ကိုယ်ရေးအချက်အလက် လုံခြုံရေးနှင့် ပတ်သက်၍ မေးမြန်းလိုပါက သို့မဟုတ် အကောင့်ဖျက်သိမ်းလိုပါက အောက်ပါလိပ်စာသို့ ဆက်သွယ်နိုင်ပါသည် (မှတ်ချက် - ဤအီးမေးလ်သို့ လူနာ၏ ရောဂါမှတ်တမ်းများ တိုက်ရိုက် မပေးပို့ရန် မေတ္တာရပ်ခံပါသည်)-

ကုမ္ပဏီအမည်: RXTHUKHA COMPANY LIMITED (Registration No. 147149190)
ဝဘ်ဆိုက်: https://rxthukha.com
အီးမေးလ်: support@rxthukha.com
ရုံးချုပ်လိပ်စာ: အခန်းအမှတ် (၂၀၃)၊ တိုက် (E)၊ ၂ လွှာ၊ ကွန်းခြံ ၇ လမ်း၊ (၄) ရပ်ကွက်၊ ကမာရွတ်မြို့နယ်၊ ရန်ကုန်မြို့၊ ၁၁၀၄၁။

PART II: ENGLISH VERSION

1.1 Purpose and Scope. RXTHUKHA COMPANY LIMITED (Registration No. 147149190, incorporated under the Myanmar Companies Law 2017) (hereinafter referred to as “the Company”, “Rxthukha”, “we”, “us”, or “our”) is committed to safeguarding the privacy, confidentiality, and security of personal data and health records belonging to Patients (“Patients”) and Healthcare Providers/Partner Clinics (“Providers”) (collectively, “Users” or “You”) accessing the rxthukha.com telehealth and clinic booking platform, associated subdomains, and mobile applications (collectively, the “Platform”).

1.2 Applicable Statutory Framework. This Privacy Policy (“Policy”) is formulated and enforced in compliance with the prevailing laws of the Republic of the Union of Myanmar, including the Electronic Transactions Law (2004, as amended 2021 — Personal Data Protection Provisions), the Law Protecting the Privacy and Security of Citizens (2017), the Consumer Protection Law (2019), the Child Rights Law (2019), the Ministry of Commerce E-Commerce Guidelines (2023), and the Cybersecurity Law (2025).

1.3 Binding Consent. By registering an account, clicking “Accept”, or utilizing any service on the Platform, you explicitly consent to the collection, storage, processing, transmission, and retention of your personal information and Protected Health Information (“PHI”) in accordance with this Policy and our Terms of Service.

SECTION 2. CATEGORIES OF INFORMATION COLLECTED

Rxthukha adheres to data minimization principles and collects only the categories of data strictly necessary to operate the Platform:

2.1 Information Collected from Patients.

(a) Identity and Contact Data: Full name, date of birth/age, gender, telephone number, email address, and residential address (or, where booking on behalf of a minor or dependent, the custodial parent or legal guardian’s full name, relationship, and verifiable contact details).
(b) Protected Health Information (“PHI”): Reported symptoms, medical history, laboratory and diagnostic test results, clinical images, allergy records, appointment logs, in-clinic and telehealth consultation records (including recorded video/audio streams and chat transcripts), and electronic prescriptions (“E-Prescriptions”).

2.2 Information Collected from Healthcare Providers and Partner Clinics.

(a) Professional Credentials and Licensing Data: Full name, National Registration Card (NRC) number, Myanmar Medical Council medical practice license (SAMA) number and validity dates, Private Health Care Services operating license number (issued pursuant to the 2007 Law and Law No. 7/2026), and digitized signature specimens used strictly for authenticated prescription generation.
(b) Financial Settlement Data: Designated Consultation Fee schedules, corporate or personal bank account details, and authorized mobile wallet account numbers required for disbursing consultation payouts and settling applicable Platform Service Fees.

2.3 Technical, Device Permission, and Usage Data.

(a) System and Network Logs: Internet Protocol (IP) address, device identifiers (Device ID, hardware model, operating system version), browser type, access timestamps, system audit logs (“System Audit Logs”), and session cookies.
(b) Device Permissions and Push Notification Tokens: With your explicit system permission, the Platform accesses your device’s Camera, Microphone, and Photo Library/File Storage strictly as needed to conduct live telehealth consultations and upload clinical documents or diagnostic images. We also collect Push Notification Registration Tokens (such as Firebase Cloud Messaging tokens) to deliver real-time appointment alerts, consultation reminders, and security notices.

2.4 Payment Transaction Data.
Whether a booking is settled via In-App Electronic Settlement or Direct In-Clinic Settlement, Rxthukha stores only transaction metadata (Transaction ID, monetary amount, payment channel, and timestamp). Rxthukha never collects or stores full bank card numbers, card verification values (CVV), secret PINs, OTP codes, or mobile wallet passwords. All electronic payment transactions are processed exclusively through third-party payment gateways regulated and authorized by the Central Bank of Myanmar (“CBM”) (e.g., MMQR, KBZPay, WavePay).

SECTION 3. PURPOSES OF DATA PROCESSING

Rxthukha processes collected data strictly for the following legitimate operational and legal purposes:

(a) Facilitating Telehealth and In-Clinic Bookings: Scheduling in-person clinic visits and online telehealth consultations between Patients and selected Providers/Partner Clinics, routing PHI and E-Prescriptions, and sending automated appointment notifications.
(b) Credential and Regulatory Verification: Auditing and confirming the active status and authenticity of Providers’ SAMA registrations and Partner Clinics’ operating permits.
(c) Financial Settlement and Accounting: Processing consultation payments, remitting net Consultation Fees to Providers in accordance with the Payout Schedule, calculating, collecting, or setting off applicable Platform Service Fees, and processing eligible patient refunds.
(d) System Security, Dispute Resolution, and Statutory Compliance: Monitoring platform integrity, detecting fraud, resolving clinical or billing disputes between Users, and maintaining mandatory security audit logs pursuant to the Cybersecurity Law (2025).

SECTION 4. SECURITY OF PROTECTED HEALTH INFORMATION (PHI), RECORDING, AND COMMUNICATION RESTRICTIONS

4.1 Transmission via Encrypted Channels and Default Recording for Dispute Resolution. All Patient medical records (PHI), chat communications, and video/audio consultations are transmitted and conducted exclusively through secure, encrypted channels within the Platform. Online consultations (including video, audio, and text sessions) conducted through the Platform are recorded and archived by default. Such recordings are strictly confidential and are accessed and utilized solely for the purposes of formal dispute resolution, verification of service delivery, and legal/regulatory compliance.

4.2 Prohibition on Sending PHI via Unencrypted External Channels. Pursuant to Section 3.6 of the Terms of Service, Patients and Providers are strictly prohibited from transmitting PHI—including patient names paired with diagnoses, lab reports, or clinical photos—across unencrypted external channels (such as generic customer support emails, public social media pages, or standard telephone hotlines).

4.3 Intermediary Hosting Role and Non-Interference. Rxthukha operates strictly as a technology intermediary. PHI and consultation records are hosted and stored solely to enable system functionality, continuity of care between Patient and Provider, and dispute resolution. Rxthukha does not alter clinical notes or interfere in independent medical decision-making.

5.1 Strict Prohibition on Commercial Sale. Rxthukha never sells, rents, trades, or commercially licenses your personal information or medical records to third-party marketers or data brokers.

5.2 Permitted Disclosures. We disclose personal data and PHI strictly on a need-to-know basis under the following circumstances:

(a) Selected Providers and Partner Clinics: A Patient’s PHI is shared exclusively with the specific Provider or Partner Clinic with whom the Patient schedules an appointment. Partner Clinics and Providers act as independent data fiduciaries with respect to clinical records accessed during care and are independently bound by the Myanmar Medical Ethics and statutory confidentiality laws.
(b) Payment Gateways and Cloud Infrastructure Providers: With CBM-authorized payment processors and enterprise-grade cloud hosting, database, and storage providers operating under strict data processing and confidentiality agreements.
(c) Cross-Border Cloud Hosting and Data Transfer: To ensure high availability, low-latency performance, and disaster recovery resilience, User data and encrypted PHI may be hosted, routed, or backed up on secure cloud servers and data centers located outside the Republic of the Union of Myanmar. By using the Platform, you explicitly consent to such cross-border transmission and secure cloud storage.
(d) Lawful Statutory Disclosure: Where compelled by a valid court warrant, subpoena, or formal written directive issued by a competent regulatory authority pursuant to the Electronic Transactions Law (as amended 2021) and the Cybersecurity Law (2025).

SECTION 6. PROTECTION OF MINORS’ DATA

6.1 Restriction on Direct Collection from Minors. Pursuant to the Child Rights Law (2019), the Platform does not knowingly collect personal information directly from individuals under eighteen (18) years of age.

6.2 Verifiable Parental or Guardian Consent. Any appointment booking or submission of PHI for a patient under eighteen (18) years of age must be executed exclusively through the account of a custodial parent or legal guardian with verifiable guardian consent. If Rxthukha discovers that personal data of a minor has been submitted without verifiable guardian authorization, such data will be promptly purged from active systems.

SECTION 7. DATA RETENTION AND POST-CLOSURE ARCHIVING

7.1 Statutory Retention Period. In compliance with the Ministry of Commerce E-Commerce Guidelines (2023), applicable tax statutes, and the Cybersecurity Law (2025), financial transaction records, System Audit Logs, and medical consultation records shall be securely retained for a minimum statutory period of three (3) years (or such longer duration as mandated by applicable medical record regulations).

7.2 Post-Deletion Archiving and Anonymization. Upon receiving a verified account deletion request from a Patient or Provider, Rxthukha will deactivate the account from active use. However, records required for statutory compliance, tax audits, or pending dispute resolution shall be isolated in restricted, encrypted archival storage until the expiration of the mandatory retention window, after which they shall be permanently destroyed or irreversibly anonymized.

SECTION 8. DATA SECURITY MEASURES, USER RESPONSIBILITY, AND BREACH RESPONSE

8.1 Technical and Organizational Safeguards. Rxthukha implements industry-standard security controls—including Transport Layer Security (TLS/SSL) encryption in transit, encryption at rest, strict Role-Based Access Control (RBAC), and enterprise firewalls—to protect data against unauthorized access, alteration, disclosure, or destruction.

8.2 User and Provider Security Responsibility. Pursuant to Section 6.3 of the Terms of Service, Patients and Providers are solely responsible for maintaining the confidentiality of their login credentials and OTP codes, refraining from account sharing, and preventing unauthorized viewing of PHI in public settings. Rxthukha shall not be liable for unauthorized data exposure resulting from User negligence or compromised user devices.

8.3 Security Incident and Data Breach Notification. While Rxthukha deploys rigorous safeguards, no electronic transmission or cloud storage system is completely immune to sophisticated cyber threats. In the event of a confirmed security breach resulting in unauthorized access to personal data or PHI, Rxthukha shall promptly execute incident containment protocols and notify affected Users and competent regulatory authorities in accordance with the Cybersecurity Law (2025).

SECTION 9. DATA SUBJECT RIGHTS

Users (both Patients and Providers) may exercise the following rights with respect to their personal data:

(a) Right to Access and Portability: The right to inspect and request an electronic copy of your account profile and historical consultation records.
(b) Right to Rectification: The right to correct, amend, or update inaccurate or outdated personal identity or professional licensing information.
(c) Right to Withdraw Consent and Account Deletion: The right to submit a written request to Customer Support to withdraw prospective processing consent and close your account, subject to the mandatory statutory retention obligations set forth in Section 7.

SECTION 10. POLICY AMENDMENTS, CONTROLLING LANGUAGE, AND CONTACT DETAILS

10.1 Amendments and Advance Notice. Rxthukha reserves the right to modify or update this Privacy Policy to reflect new platform features, operational changes, or revisions in applicable laws. Material changes will be communicated via email or in-app notification at least fourteen (14) calendar days prior to taking effect. Continued use of the Platform following the notice period constitutes acceptance of the revised Policy.

10.2 Controlling Language. This Privacy Policy is executed in both Myanmar and English. In the event of any discrepancy, ambiguity, or conflict in interpretation between the two versions, the Myanmar version shall govern and prevail.

10.3 Data Protection Contact Information. For inquiries regarding data privacy, exercising your data rights, or requesting account deletion, please contact our Data Protection & Support team (Important: Do not transmit sensitive medical records or PHI via unencrypted email):

Corporate Entity: RXTHUKHA COMPANY LIMITED (Registration No. 147149190)
Platform URL: https://rxthukha.com
Support Email: support@rxthukha.com
Registered Office Address: Room No. (203), Building (E), 2nd Floor, Kyun Chan 7th Street, Ward (4), Kamayut Township, Yangon, 11041, Myanmar.