Политика за поверителност

1. Обхват

Настоящата декларация информира за обработването на лични данни при използване на уебсайта diggai.de, на приложението DiggAI (в браузър, както и като настолно приложение за Windows и macOS) и на свързаната услуга за предаване.

Тя е насочена към посетителите на уебсайта, към регистрираните лекарски практики и заведения и техния персонал, както и към пациентките и пациентите, които ползват услугата.

Декларацията разграничава обработването, за което отговаря самата DiggAI, от обработването, което DiggAI извършва по поръчение на регистрирана практика или заведение. За медицинската помощ, нейната професионална преценка и воденето на пациентското досие отговаря винаги съответната практика или заведение, но никога DiggAI.

2. Администратор на данни

Администратор на обработването на данни по смисъла на чл. 4, т. 7 от ОРЗД е:

Дружеството е в процес на учредяване. До нотариалното удостоверяване на учредителния договор администратор по смисъла на чл. 4, т. 7 от ОРЗД е лично д-р мед. Christian Klaproth на посочения по-горе адрес; след това — дружеството в учредяване, представлявано от своя управител. Все още не е вписано в търговския регистър; след вписването настоящата декларация ще бъде допълнена със съда по регистрацията и номера в търговския регистър.

3. Контакт по въпроси на защитата на данните

По всички въпроси, свързани със защитата на данните, можете да се свържете с нас на посочения по-горе имейл адрес.

Определяме длъжностно лице по защита на данните предпазно. Дали за това съществува законово задължение зависи от неизяснен правен въпрос: дали криптирана пратка, чийто ключ не притежаваме, представлява за нас лични данни. Не изчакваме това изясняване. Веднага след като определянето приключи, ще публикуваме тук данните за контакт и ще ги съобщим на надзорния орган. Дотогава, моля, отправяйте запитванията си към посочения по-горе адрес, който се следи постоянно.

4. Как работи DiggAI

Разбирането на техническата архитектура е съществено за настоящата декларация, тъй като от нея следва кои данни изобщо достигат до нас и кои остават трайно недостъпни за нас.

4.1 Въвеждане на данни на собственото устройство

Пациентките и пациентите отварят приложението и отговарят там на структурирани въпроси. Въведените данни се съхраняват в паметта на използваното устройство и първоначално не го напускат. На едно устройство могат да се водят отделни досиета, например за деца или за близки, за които се полагат грижи.

4.2 Два пътя към практиката

Разпечатка: въведените данни могат да бъдат отпечатани като PDF документ и представени в практиката. По този път в нито един момент не се предават данни със съдържание към нашите системи; въвеждането, съхранението и създаването на документа се извършват изключително на устройството.

Криптирано предаване: като алтернатива данните могат да бъдат изпратени до практика или заведение, регистрирани в DiggAI. Това предполага изпращащото лице целенасочено да избере получателя и изрично да потвърди криптираното изпращане.

4.3 Криптиране, междинно съхранение и получаване

При изпращане съдържанието се криптира още на устройството с публичния ключ на избрания получател. Използват се X25519 за капсулиране на сесийния ключ и AES-256-GCM за съдържанието.

Приемаме единствено криптирания плик и го съхраняваме най-много 30 дни, за да може практиката да го получи. Практиката изтегля предназначените за нея пратки със своя ключ и при това ги изтрива. Ако дадена пратка не бъде изтеглена, я изтриваме автоматично най-късно с изтичането на 30-те дни. След получаването или изтичането на срока остава още 30 дни лишен от съдържание доказателствен запис, който съдържа само времето и статуса на доставката и вече не съдържа никакви данни със съдържание.

Не разполагаме с никакви частни ключове, с никакъв главен ключ и с никаква техническа задна врата. Затова не можем да четем, анализираме, коригираме, възстановяваме или предаваме съдържанието на трети лица — нито през срока на съхранение, нито по разпореждане на орган на властта.

За да достигне пликът до правилния получател, без нашата база данни да свързва получателя с пратката, не се съхранява идентификационният номер на мястото на дейност, а само контролна стойност, изведена от него с помощта на таен ключ. Нито идентификационният номер на мястото на дейност на получателя, нито IP адресът на изпращащото лице се съхраняват или протоколират заедно с пратката.

4.4 Обратен канал към изпращащото лице

Ако практиката отговори, това става по същия път в обратна посока: практиката криптира отговора на своето устройство за публичния ключ за отговор, който изпращащото лице е предало заедно с пратката. И този отговор съхраняваме само като криптиран плик до получаването му, най-много 30 дни. И тук съдържанието остава трайно недостъпно за нас.

4.5 Регистрационен код върху разпечатката

Отпечатаният документ носи машинночетим код, чрез който практика, която още не използва DiggAI, може да започне собствената си регистрация. Кодът не съдържа никакви данни на пациентката или пациента и не ни позволява да свържем субект на данни с практика.

5. Разпределение на ролите

5.1 DiggAI като самостоятелен администратор

За целите и средствата решаваме сами, по-специално при:

• поддържането на уебсайта и технически необходимите сървърни дневници;
• регистрацията, проверката на самоличността, клиентския профил, изпълнението на договора и фактурирането на практики и заведения;
• поддържането на указателя на получателите и предоставянето на публичните ключове;
• собствените ни дневници за сигурност, злоупотреби и доказателства;
• обработването на запитвания за контакт, договорни и по поддръжката.

В тази роля не обработваме данни за здравето на пациентки и пациенти.

5.2 DiggAI като обработващ лични данни

При приемането, междинното съхранение, предоставянето за получаване и изтриването на криптирани пратки, както и по отношение на свързаните дневници за доставка, действаме по поръчение на приемащата практика или заведение съгласно чл. 28 от ОРЗД. В тази част за целта, съдържанието, правното основание и информирането на субектите на данни отговаря практиката или заведението. С всеки клиент преди активирането се сключва договор за обработване. Сключваме този договор предпазно, независимо от това как ще бъде решен правният въпрос в следващия абзац.

Дали криптираната пратка представлява за нас лични данни, се преценява в правото по различен начин: не можем да прочетем съдържанието, не разполагаме с ключа и не можем да го получим. Не заемаме окончателна позиция по този въпрос, а третираме приемането, съхранението и изтриването предпазно като обработване по възлагане — с договор, технически мерки и длъжностно лице по защита на данните. Криптирането при това е защитна мярка по чл. 32 от ОРЗД, а не освобождаване от отговорност.

Затова за права, които се отнасят до медицинското съдържание или до документацията на практиката, моля обръщайте се непосредствено към съответната практика или заведение.

5.3 Кръг на клиентите

Клиенти на DiggAI са доставчиците на здравни услуги. Регистрирани единици са лекарите със собствена практика, груповите практики и медицинските центрове — във всеки случай отнесени към отделното място на дейност и идентифицирани чрез неговия идентификационен номер — както и заведенията за грижи и центровете за лечение на рани, идентифицирани чрез кода на заведението. И двете групи преминават през една и съща процедура за проверка и се вписват в един и същ указател. Частните лица не са клиенти и не се регистрират като получатели.

6. Правни основания

Доколкото администратор сме самите ние, обработването се основава на:

• чл. 6, пар. 1, буква б) от ОРЗД — за договора, преддоговорните мерки, клиентския профил и договорените функции;
• чл. 6, пар. 1, буква в) от ОРЗД — за законови задължения, по-специално задълженията за съхранение по търговското и данъчното право;
• чл. 6, пар. 1, буква е) от ОРЗД — за сигурна и безпроблемна работа, проверка на самоличността на получателите, ИТ сигурност, анализ на грешки, както и предявяване и защита на правни претенции;
• чл. 6, пар. 1, буква а) от ОРЗД — доколкото за факултативна цел се иска съгласие;
• § 25, ал. 2, т. 2 от TDDDG — за строго необходимото съхранение на информация върху крайни устройства и достъпа до нея.

Доколкото данни за здравето се предават по поръчение на практика или заведение, именно тази страна като администратор определя правното основание съгласно чл. 6 и чл. 9 от ОРЗД и съгласно професионалното лекарско право. Не използваме това съдържание за собствени цели.

7. Уебсайт и сървърни дневници

При посещение на уебсайта обработваме Вашия IP адрес и техническите данни за връзката само преходно, докато трае връзката — за доставяне на страницата и за защита от претоварване и автоматизирани атаки. Не водим постоянен дневник за достъп на уеб сървъра: извикваните адреси, реферерът, видът на браузъра и операционната система не се съхраняват. Правното основание е чл. 6, пар. 1, буква е) от ОРЗД.

Постоянно се протоколират единствено действията от значение за сигурността в защитената зона, например когато практика или институция изтегля или изтрива пратки; при това се записва и нейният IP адрес. Тези протоколи не съдържат данни за съдържание и се изтриват автоматично след 90 дни.

Предаването се извършва изключително с TLS криптиране. При конкретен инцидент със сигурността засегнатите данни могат да се съхраняват по-дълго до неговото изясняване.

8. Хостинг

Уебсайтът, приложението и базата данни се управляват при Hetzner Online GmbH, Industriestrasse 25, 91710 Gunzenhausen, Германия. Мястото на обработване е центърът за данни в Хелзинки, Финландия. По този начин обработването се извършва изцяло в рамките на Европейския съюз. С Hetzner е сключен договор за обработване съгласно чл. 28 от ОРЗД; понастоящем той се преоформя на дружеството.

Не се използват подизпълнители извън Европейския съюз.

9. Регистрация и проверка на самоличността

За вписване в указателя на получателите обработваме: наименование и адрес на практиката или институцията, идентификатора на обекта или институцията, публичния ключ, адрес за известия за постъпване, телефонен номер за потвърждение, както и момента и резултата от проверката; освен това договорни и тарифни данни. Не изискваме име или длъжност на конкретно лице. Парола не съществува — институцията се легитимира чрез притежанието на своя ключ. Предишното Ви запитване през регистрационния формуляр (име на практиката, населено място, електронна поща, телефонен номер и незадължително съобщение) достига до нас по електронна поща и не се съхранява в нашата база данни.

Преди активирането проверяваме самоличността. За целта установяваме телефонния номер от източник, независим от практиката или заведението, и получаваме по този канал потвърждение на регистрацията и на отпечатъка на публичния ключ. Целта е защита на пациентките и пациентите от изпращане на данните им до погрешен получател. Правните основания са чл. 6, пар. 1, букви б) и е) от ОРЗД. Проверката се протоколира.

Без задължителните данни не може да бъде създаден проверен профил.

10. Указател на получателите и публични ключове

Проверените практики и заведения се вписват в указател, за да могат изпращачите да изберат правилния получател и да криптират за него. Обработват се и частично се показват публично: наименование и адрес, идентификационен номер на мястото на дейност или код на заведението, статус на проверката на самоличността, публичният ключ и статусът на неговото отменяне или актуализиране.

Правното основание е чл. 6, пар. 1, буква б) от ОРЗД за договорно уговореното вписване и чл. 6, пар. 1, буква е) от ОРЗД за надежден указател на получателите. При индивидуални практики данните в указателя могат да се отнасят до идентифицируемо лице.

Частните ключове не се съхраняват в указателя и не са достъпни за нас. Публичният ключ е публичен съзнателно: той служи за това да може да се криптира за получателя и не позволява никакви изводи относно съдържанието.

11. Какво възниква при използване от пациентки и пациенти

За използването не е необходим профил в DiggAI. Двойката ключове за обратния път се създава локално на устройството; устройството напуска само публичната част.

При изпращане при нас възникват:

• криптираният плик (съдържанието е нечетимо за нас);
• изпратеният заедно с него публичен ключ за отговор;
• контролна стойност, изведена от идентификатора на получателя (не самият идентификатор);
• моментът на постъпване и на получаване, размерът на пратката, статусът на доставката;
• случаен идентификатор за получаване, който се съобщава изключително на изпращащото лице и му позволява да провери статуса на доставката.

Не се съхраняват: идентификационният номер на мястото на дейност на получателя, IP адресът или идентификаторът на сесията на изпращащото лице, както и неговото име или данни за контакт. Име, дата на раждане и данни за контакт пътуват изключително вътре в криптирания плик и не са достъпни за нас.

IP адресите на изпращащите устройства възникват изключително в общите сървърни дневници и дневниците за сигурност; тези дневници не се свързват с отделни пратки.

Използването на услугата е доброволно. Какви други канали за контакт се предлагат, определя съответната практика.

12. Функции, които се извършват изключително на Вашето устройство

Съществена част от приложението работи изцяло на Вашето устройство. За всички изброени по-долу функции важи еднакво: никакво съдържание не се предава нито на нас, нито на трети лица, и ние в нито един момент нямаме достъп до него.

• личното здравно досие с документи и протичане;
• паспортът за спешни случаи с постоянни медикаменти, алергии, непоносимости, импланти и контакти за спешни случаи, включително картата за печат;
• документацията на имунизациите;
• разчитането и анализът на документи (разпознаване на текст от снимки и PDF файлове) за попълване на формуляри;
• езиковата поддръжка: интерфейсът и предварително зададените въпросници се показват на най-много тринадесет езика чрез речник, вграден в приложението. Свободните текстове и приложените документи не се превеждат; те достигат до практиката в оригинал;
• гласовото въвеждане и възпроизвеждане, доколкото се предоставят от Вашето устройство;
• локалните езикови модели: на производителни устройства обобщение на Вашите данни може да бъде създадено директно на устройството. Необходимият за това модел се изтегля еднократно от нашия сървър — при това се предават изключително технически данни за заявката, никога Вашите данни. Изчислението се извършва изцяло на Вашето устройство.

Вашата отговорност за локалните данни: частните ключове и локалните досиета попадат във Вашата сфера на отговорност. Ако паметта на устройството бъде изчистена, се използва друго устройство или друг браузър, или частният ключ бъде изгубен, засегнатите данни вече не са достъпни. Не можем да ги възстановим. На споделени устройства трети лица могат да получат достъп до локално съхранените данни.

Приложението Ви предлага да експортирате Вашето досие и Вашите ключове като резервен файл и да ги прехвърлите на друго устройство; и този процес протича без каквото и да е участие на нашите системи.

13. Уведомления

По желание на практиката я уведомяваме по имейл за постъпването на нова пратка. Обработват се записаният от практиката адрес за получаване и статусът на доставката. Уведомлението съдържа само информацията, че е постъпила пратка, и момента на нейното изтичане — без данни на пациенти, без здравна информация и без съдържателни теми на съобщението. Правното основание е чл. 6, пар. 1, буква б) от ОРЗД.

За изпращането на имейли използваме Brevo (Sendinblue) като обработващ лични данни. Обработването се извършва в рамките на Европейския съюз.

Кратките съобщения до пациентки и пациенти се изпращат — доколкото практиката използва тази възможност — директно от устройство на практиката. Не е ангажиран доставчик на услуги за кратки съобщения; мобилният номер не ни се предава и не се съхранява от нас.

14. Контакт, поддръжка и обратна връзка

При запитвания по имейл, телефон или чрез формуляр обработваме данни за контакт, съдържанието и момента на запитването, както и при необходимост договорни данни. Правното основание е чл. 6, пар. 1, буква б) от ОРЗД при наличие на договорна връзка, а в останалите случаи чл. 6, пар. 1, буква е) от ОРЗД.

Приложението предлага възможност услугата да бъде оценена и да бъде оставен свободен текст. Тази обратна връзка достига до нас в явен вид и служи изключително за подобряване на услугата; правното основание е чл. 6, пар. 1, буква е) от ОРЗД. Предоставянето ѝ е доброволно. Не се извършва автоматизирана оценка на съдържанието на обратната връзка.

Моля, не въвеждайте в това поле за свободен текст никакви здравни данни и никакви данни за Вашата личност. За медицински въпроси е предвиден изключително криптираният път.

В рамките на отстраняването на неизправности получаваме достъп само до технически дневникови данни и данни за доставка. Не се извършва дистанционна поддръжка на системите на практиките и не изискваме екранни снимки с отношение към пациенти. Моля, не изпращайте на поддръжката некриптирани здравни данни и частни ключове.

15. Данни за сигурност и експлоатация

За защита на профилите, указателя и обмена на ключове обработваме моменти на влизане, IP адреси, данни за устройство и браузър, неуспешни достъпи, административни промени, блокирания, смени на ключове, грешки при доставка и други събития, свързани със сигурността. Правното основание е чл. 6, пар. 1, буква е) от ОРЗД, а при законово изисквани доказателства допълнително чл. 6, пар. 1, буква в) от ОРЗД.

Тези дневници не съдържат частни ключове и съдържание на съобщения.

16. Бисквитки и съхранение върху крайното устройство

Използваме изключително технически необходими бисквитки и механизми за локално съхранение. Не използваме технологии, изискващи съгласие по смисъла на § 25, ал. 1 от TDDDG — по-специално технологии за анализ, измерване на обхват или реклама. Затова банер за съгласие не е необходим. Основанието за достъпа е § 25, ал. 2, т. 2 от TDDDG.

Не е вградено съдържание на трети лица: няма външни шрифтове, карти, рекламни мрежи, услуги captcha или за формуляри, няма външни услуги за анализ.

В паметта на браузъра (localStorage) съхраняваме: езиковата настройка, настройките за изобразяване и достъпност, доказателството за съгласие и подпис по текущия случай, опашката от още неизпратени записи, а на устройствата на практиката — ключа на практиката.

В базата данни на устройството (IndexedDB) се намират: локалното здравно досие, документацията на имунизациите, двойката ключове на пациента и нейното резервно копие, профилът на пациента, ключовете за подпис, доказателствените пакети, а на устройствата на практиката — сейфът за ключове и локално съхранените случаи.

Локалното здравно досие и частните ключове се съхраняват на устройството на ползващото лице по негово изрично желание; това е техническата предпоставка за криптирането от край до край. Нямаме достъп до тях. Можете по всяко време да изтриете напълно тези данни чрез настройките на приложението или чрез Вашия браузър.

17. Получатели и обработващи лични данни

В рамките на DiggAI достъп получават само лицата, на които той е необходим за изпълнение на задачата им. Те са задължени да пазят поверителност, а като други участващи лица съгласно § 203, ал. 3, изр. 2 от германския Наказателен кодекс — да пазят тайна. Освен това данни могат да достигнат до следните получатели:

• Hetzner Online GmbH, Gunzenhausen — хостинг и инфраструктура (център за данни във Финландия);
• Brevo (Sendinblue) — изпращане на уведомленията за постъпване по имейл;
• банки и доставчици на платежни услуги, както и данъчни и правни консултанти — доколкото е необходимо за договора, плащането или законовите задължения;
• органи и съдилища — доколкото сме задължени по закон или защитаваме правни претенции.

Обработващите лични данни се обвързват съгласно чл. 28 от ОРЗД. Не се извършва предаване на данни с рекламна цел, нито продажба на данни.

18. Предаване към трети държави

Не се извършва предаване на лични данни към държави извън Европейския съюз и Европейското икономическо пространство.

19. Срок на съхранение и изтриване

Съхраняваме лични данни само толкова дълго, колкото е необходимо за съответната цел или докато съществуват законови задължения за съхранение.

20. Сигурност на обработването

Предприемаме технически и организационни мерки съгласно чл. 25 и чл. 32 от ОРЗД. Към тях спадат по-специално:

• криптиране от край до край на съдържанието, преди то да напусне изпращащото устройство;
• локално създаване на двойките ключове, при което се предава единствено публичният ключ; частните ключове се съхраняват на устройствата на практиката така, че технически да не могат да бъдат извлечени;
• съхраняване на връзката с получателя единствено като криптографски изведена контролна стойност, така че базата данни да не свързва получателя с пратката;
• допълнително транспортно криптиране на всички връзки;
• права за достъп, основани на роли, с отделна защита на административните достъпи и разделяне на клиентите;
• отказ от данни със съдържание във всички дневници;
• проверка на самоличността на всеки получател преди активирането и показване на отпечатъка на ключа преди изпращане;
• разпознаване на атаки, ограничаване на достъпа и документиран процес при инциденти със сигурността;
• редовна техническа проверка на сигурността на приложението.

Конкретното оформление е описано в приложението относно техническите и организационните мерки към договора за обработване.

21. Автоматизирани решения, профилиране и изкуствен интелект

Не се извършва решение, основано единствено на автоматизирано обработване по смисъла на чл. 22 от ОРЗД, нито профилиране с данни за здравето или комуникацията.

Данните със съдържание не се използват за обучение, фина настройка или оценка на системи с изкуствен интелект. Не се използва сървърна услуга за превод или изкуствен интелект. Доколкото приложението предлага автоматично обобщение, то се изчислява изключително на Вашето собствено устройство.

Предлаганите по избор модули на трети лица не са част от DiggAI. За тяхното обработване на данни отговаря самостоятелно съответният доставчик, който информира отделно.

22. Непълнолетни и представителство

На едно устройство могат да се водят досиета за непълнолетни или за близки, за които се полагат грижи. Те могат да бъдат водени и предоставяни само от лица, оправомощени за това. Проверката на способността за даване на съгласие и на представителната власт е задължение на оправомощеното лице и на практиката или заведението, което полага грижи.

23. Произход на данните

Получаваме лични данни непосредствено от Вас при посещение на уебсайта, регистрация, осъществяване на контакт или използване на услугата, от регистрирана практика или заведение, от публично достъпни указатели в рамките на проверката на самоличността, както и автоматично от нашите системи и от хостинг инфраструктурата. Медицинското съдържание достига до нас изключително като криптиран плик.

24. Задължение за предоставяне на данни

Определени данни са необходими за регистрацията, проверката на самоличността, сключването на договора, фактурирането и сигурната доставка. Без тях не можем да предоставим съответната функция или не можем да я предоставим сигурно. Факултативните данни са обозначени като такива. За използването от пациентки и пациенти не са необходими нито регистрация, нито предоставяне на лични данни на DiggAI.

25. Вашите права

При спазване на законовите предпоставки имате право на достъп (чл. 15 от ОРЗД), коригиране (чл. 16), изтриване (чл. 17), ограничаване на обработването (чл. 18), преносимост на данните (чл. 20), както и правото да възразите по причини, свързани с Вашето особено положение, срещу обработване, основано на чл. 6, пар. 1, буква е) от ОРЗД (чл. 21). Дадено съгласие можете да оттеглите по всяко време с действие занапред.

Молим запитванията относно обработвания, за които DiggAI отговаря самостоятелно, да отправяте на посочения по-горе адрес. За да се избегне неправомерно предоставяне на информация, можем да поискаме подходящо доказателство за самоличност.

За медицинско съдържание и документи на практиката молим обръщайте се към съответната практика или заведение. Не разполагаме с частни ключове и не можем да четем, коригираме или експортираме криптирано съдържание; подпомагаме отговорната страна в рамките на нашите технически възможности.

26. Право на жалба

Можете да подадете жалба до надзорен орган по защита на данните. Компетентен за седалището на администратора е Независимият център за защита на данните на Шлезвиг-Холщайн (ULD), Holstenstrasse 98, 24103 Kiel, Германия. Можете да се обърнете и към всеки друг надзорен орган, компетентен съгласно чл. 77 от ОРЗД.

27. Обработване на вашето устройство

Някои функции се изпълняват изцяло на вашето устройство, без при това да ни се предават данни. Сред тях са здравното досие, което създавате и водите локално, както и подготовката на въпроси с езиков модел, който се изтегля еднократно в браузъра ви и след това изчислява там.

За тези дейности не сме администратор по смисъла на чл. 4, т. 7 от ОРЗД, тъй като не получаваме, не съхраняваме и не можем да преглеждаме обработваното съдържание. Преди първата употреба вие решавате с отделно съгласие дали желаете да ползвате тези функции; съгласието се отбелязва единствено на вашето устройство.

Едва когато решите да изпратите съдържание към практика, се прилага предаването, описано в настоящата декларация — и то изключително в криптиран вид и без ние да можем да прочетем съдържанието.

Онова, което остава на вашето устройство, също не можем да ви предадем или възстановим. Затова запазете здравното си досие сами като файл, ако желаете да го съхраните.

28. Промени в настоящата декларация

Привеждаме настоящата декларация в съответствие, когато се променят правното положение, услугите, потоците от данни, получателите или архитектурата на сигурността. Действащата редакция е достъпна по всяко време на diggai.de/datenschutz. Съхраняваме предишните редакции с номер на версията и дата.