Політика конфіденційності

1. Сфера застосування

Ця заява інформує про обробку персональних даних під час використання вебсайту diggai.de, застосунку DiggAI (у браузері, а також як настільний застосунок для Windows і macOS) та пов'язаної служби передавання.

Вона адресована відвідувачам вебсайту, зареєстрованим лікарським практикам і закладам та їхнім працівникам, а також пацієнтам, які користуються службою.

Заява розрізняє обробку, за яку відповідає сама DiggAI, і обробку, яку DiggAI виконує за дорученням зареєстрованої практики або закладу. За медичну допомогу, її фахову оцінку та ведення медичної картки пацієнта завжди відповідає відповідна практика або заклад, і ніколи DiggAI.

2. Контролер даних

Відповідальним за обробку даних у розумінні ст. 4(7) GDPR є:

Товариство перебуває у стадії заснування. До нотаріального посвідчення установчого договору контролером у розумінні ст. 4 (7) GDPR є особисто д-р мед. Christian Klaproth за вказаною вище адресою; після цього — товариство у стадії заснування, яке представляє його директор. Запис до торгового реєстру ще не внесено; після реєстрації цю заяву буде доповнено назвою реєстраційного суду та номером у торговому реєстрі.

3. Контакт із питань захисту даних

З усіх питань захисту даних ви можете звернутися до нас за вказаною вище адресою електронної пошти.

Уповноваженого із захисту даних ми призначаємо із запобіжною метою. Чи існує щодо цього законодавчий обов’язок, залежить від нез’ясованого правового питання — а саме, чи є для нас персональними даними зашифрований пакет, ключем від якого ми не володіємо. Ми не чекаємо на це з’ясування. Щойно призначення відбудеться, ми опублікуємо тут контактні дані та повідомимо наглядовий орган. До того часу надсилайте, будь ласка, свої звернення на зазначену вище адресу — вона перебуває під постійним наглядом.

4. Як працює DiggAI

Розуміння технічної архітектури є суттєвим для цієї заяви, бо саме з неї випливає, які дані взагалі до нас потрапляють, а які залишаються для нас назавжди недоступними.

4.1 Внесення даних на власному пристрої

Пацієнти відкривають застосунок і відповідають там на структуровані запитання. Внесені дані зберігаються в пам'яті використовуваного пристрою і спочатку його не залишають. На одному пристрої можна вести окремі картки, наприклад для дітей або підопічних родичів.

4.2 Два шляхи до практики

Роздрук: внесені дані можна роздрукувати як PDF-документ і подати в практиці. Цим шляхом жодні дані змісту в жодний момент не передаються до наших систем; внесення, зберігання і створення документа відбуваються виключно на пристрої.

Зашифроване передавання: як альтернатива дані можна надіслати до практики або закладу, зареєстрованих у DiggAI. Це передбачає, що відправник свідомо обирає одержувача і прямо підтверджує зашифроване надсилання.

4.3 Шифрування, проміжне зберігання та отримання

Під час надсилання вміст шифрується вже на пристрої відкритим ключем обраного одержувача. Використовуються X25519 для інкапсуляції сеансового ключа та AES-256-GCM для вмісту.

Ми приймаємо виключно зашифрований конверт і зберігаємо його щонайдовше 30 днів, щоб практика могла його отримати. Практика забирає призначені їй відправлення своїм ключем і при цьому їх видаляє. Якщо відправлення не забрано, ми видаляємо його автоматично щонайпізніше зі спливом 30 днів. Після отримання або спливу строку ще 30 днів залишається безвмістовий запис підтвердження, який фіксує лише час і статус доставки і більше не містить жодних даних змісту.

Ми не маємо жодних приватних ключів, жодного головного ключа і жодного технічного «чорного ходу». Тому ми не можемо читати, аналізувати, виправляти, відновлювати чи передавати вміст третім особам — ані протягом строку зберігання, ані на вимогу органів влади.

Щоб конверт дійшов до правильного одержувача, але наша база даних не пов'язувала одержувача з відправленням, зберігається не номер місця провадження практики, а лише контрольне значення, похідне від нього за допомогою секретного ключа. Ані номер місця провадження одержувача, ані IP-адреса відправника не зберігаються і не протоколюються разом із відправленням.

4.4 Зворотний канал до відправника

Якщо практика відповідає, це відбувається тим самим шляхом у зворотному напрямку: практика шифрує відповідь на своєму пристрої для відкритого ключа відповіді, який відправник надіслав разом із відправленням. Цю відповідь ми також зберігаємо лише як зашифрований конверт до отримання, щонайдовше 30 днів. І тут вміст залишається для нас назавжди недоступним.

4.5 Реєстраційний код на роздруку

Роздрукований документ містить машинозчитуваний код, за допомогою якого практика, що ще не користується DiggAI, може розпочати власну реєстрацію. Код не містить жодних даних пацієнта і не дає нам змоги пов'язати суб'єкта даних із практикою.

5. Розподіл ролей

5.1 DiggAI як самостійний контролер

Про цілі та засоби ми вирішуємо самі, зокрема щодо:

• роботи вебсайту та технічно необхідних журналів сервера;
• реєстрації, перевірки особи, облікового запису клієнта, виконання договору та виставлення рахунків практикам і закладам;
• роботи довідника одержувачів і надання відкритих ключів;
• власних журналів безпеки, зловживань і доказів;
• опрацювання контактних, договірних і сервісних запитів.

У цій ролі ми не обробляємо жодних медичних даних пацієнтів.

5.2 DiggAI як процесор

Приймаючи, тимчасово зберігаючи, надаючи для отримання та видаляючи зашифровані відправлення, а також щодо пов'язаних журналів доставки, ми діємо за дорученням практики або закладу-одержувача згідно зі ст. 28 GDPR. У цій частині за мету, зміст, правову підставу та інформування суб'єктів даних відповідає практика або заклад. З кожним клієнтом до активації укладається договір про обробку даних. Ми укладаємо цей договір із запобіжною метою, незалежно від того, як буде вирішено правове питання в наступному абзаці.

Чи є зашифрований пакет для нас персональними даними, у праві оцінюють по-різному: ми не можемо прочитати зміст, не володіємо ключем і не можемо його отримати. Ми не займаємо остаточної позиції, а розглядаємо приймання, зберігання та видалення як оброблення за дорученням — із запобіжною метою, з договором, технічними заходами та уповноваженим із захисту даних. Шифрування при цьому є захисним заходом за ст. 32 GDPR, а не звільненням від відповідальності.

Тому щодо прав, які стосуються медичного змісту або документації практики, звертайтеся, будь ласка, безпосередньо до відповідної практики чи закладу.

5.3 Коло клієнтів

Клієнтами DiggAI є надавачі медичних послуг. Зареєстрованими одиницями є лікарі приватної практики, спільні практики та медичні центри — у кожному випадку щодо окремого місця провадження і з ідентифікацією за номером місця провадження, а також заклади догляду та центри лікування ран, що ідентифікуються за кодом закладу. Обидві групи проходять ту саму процедуру перевірки і вносяться до того самого довідника. Приватні особи не є клієнтами і не реєструються як одержувачі.

6. Правові підстави

Тією мірою, якою ми є контролером, обробка ґрунтується на:

• ст. 6(1)(b) GDPR — для договору, переддоговірних заходів, облікового запису клієнта та узгоджених функцій;
• ст. 6(1)(c) GDPR — для виконання законодавчих обов'язків, зокрема обов'язків зберігання за торговельним і податковим правом;
• ст. 6(1)(f) GDPR — для безпечної та безперебійної роботи, перевірки особи одержувачів, ІТ-безпеки, аналізу помилок, а також заявлення та захисту правових вимог;
• ст. 6(1)(a) GDPR — якщо для необов'язкової мети отримується згода;
• § 25(2) п. 2 TDDDG — для конче необхідного зберігання інформації на кінцевих пристроях і доступу до неї.

Тією мірою, якою медичні дані передаються за дорученням практики чи закладу, правову підставу за ст. 6 і ст. 9 GDPR та за професійним лікарським правом визначає ця сторона як контролер. Ми не використовуємо цей вміст для власних цілей.

7. Вебсайт і журнали сервера

Під час відвідування вебсайту ми обробляємо вашу IP-адресу та технічні дані з’єднання лише тимчасово, поки триває з’єднання, — для доставлення сторінки та захисту від перевантаження й автоматизованих атак. Постійного журналу доступу вебсервера ми не ведемо: викликані адреси, реферер, тип браузера та операційна система не зберігаються. Правова підстава — ст. 6 (1) (f) GDPR.

Постійно протоколюються лише дії, важливі для безпеки, у захищеній зоні — наприклад, коли практика чи установа забирає або видаляє відправлення; при цьому фіксується і її IP-адреса. Ці журнали не містять даних змісту і автоматично видаляються через 90 днів.

Передавання відбувається виключно з шифруванням TLS. У разі конкретного інциденту безпеки відповідні дані можуть зберігатися довше до його з’ясування.

8. Хостинг

Вебсайт, застосунок і база даних працюють у Hetzner Online GmbH, Industriestrasse 25, 91710 Gunzenhausen, Німеччина. Місцем обробки є центр обробки даних у Гельсінкі, Фінляндія. Отже, обробка відбувається повністю в межах Європейського Союзу. З Hetzner укладено договір про обробку даних згідно зі ст. 28 GDPR; наразі його переоформлюють на товариство.

Субпроцесори за межами Європейського Союзу не залучаються.

9. Реєстрація та перевірка особи

Для внесення до довідника отримувачів ми обробляємо: назву та адресу практики чи установи, ідентифікатор місця провадження або установи, відкритий ключ, адресу для сповіщень про надходження, номер телефону для підтвердження, а також час і результат перевірки; крім того, договірні й тарифні дані. Імені або посади окремої особи ми не вимагаємо. Пароля не існує — установа посвідчує себе володінням своїм ключем. Ваш попередній запит через реєстраційну форму (назва практики, місто, електронна пошта, номер телефону та необов’язкове повідомлення) надходить до нас електронною поштою і не зберігається в нашій базі даних.

Перед активацією ми перевіряємо особу. Для цього ми встановлюємо номер телефону з джерела, незалежного від практики чи закладу, і просимо підтвердити реєстрацію та відбиток відкритого ключа цим каналом. Метою є захист пацієнтів від надсилання їхніх даних неправильному одержувачу. Правовими підставами є ст. 6(1)(b) і (f) GDPR. Перевірка протоколюється.

Без обов'язкових даних перевірений обліковий запис створити неможливо.

10. Довідник одержувачів і відкриті ключі

Перевірені практики та заклади вносяться до довідника, щоб відправники могли обрати правильного одержувача і зашифрувати для нього. Обробляються і частково відображаються публічно: назва й адреса, номер місця провадження або код закладу, статус перевірки особи, відкритий ключ та статус його відкликання чи оновлення.

Правовою підставою є ст. 6(1)(b) GDPR для договірно узгодженого внесення до довідника і ст. 6(1)(f) GDPR для надійного довідника одержувачів. У практиках з одним лікарем дані довідника можуть стосуватися ідентифікованої особи.

Приватні ключі в довіднику не зберігаються і нам недоступні. Відкритий ключ є публічним свідомо: він слугує тому, щоб можна було шифрувати для одержувача, і не дає жодних висновків про вміст.

11. Що виникає під час використання пацієнтами

Для користування обліковий запис у DiggAI не потрібен. Пара ключів для зворотного шляху створюється локально на пристрої; пристрій залишає лише відкрита частина.

Під час надсилання у нас виникають:

• зашифрований конверт (вміст для нас нечитабельний);
• надісланий разом відкритий ключ відповіді;
• контрольне значення, похідне від ідентифікатора одержувача (не сам ідентифікатор);
• час надходження та отримання, розмір відправлення, статус доставки;
• випадковий ідентифікатор отримання, який повідомляється виключно відправнику і дозволяє йому дізнатися статус доставки.

Не зберігаються: номер місця провадження одержувача, IP-адреса чи ідентифікатор сеансу відправника, а також його ім'я або контактні дані. Ім'я, дата народження та контактні дані подорожують виключно всередині зашифрованого конверта і нам недоступні.

IP-адреси пристроїв-відправників виникають виключно в загальних журналах сервера та безпеки; ці журнали не пов'язуються з окремими відправленнями.

Користування службою є добровільним. Які інші канали зв'язку вона пропонує, визначає відповідна практика.

12. Функції, що відбуваються виключно на вашому пристрої

Суттєва частина застосунку працює повністю на вашому пристрої. Для всіх названих нижче функцій діє єдине правило: жодний вміст не передається ні нам, ні третім особам, і ми в жодний момент не маємо до нього доступу.

• особиста медична картка з документами та перебігом;
• паспорт невідкладної допомоги з постійними ліками, алергіями, непереносимістю, імплантами та контактами на випадок невідкладної ситуації, включно з друкованою карткою;
• документація щеплень;
• зчитування та аналіз документів (розпізнавання тексту з фотографій і PDF-файлів) для заповнення формулярів;
• мовна підтримка: інтерфейс і наперед задані опитувальники відображаються до тринадцяти мовами за допомогою словника, вбудованого в застосунок. Вільні тексти та додані документи не перекладаються; вони надходять до практики в оригіналі;
• голосове введення та виведення, якщо їх забезпечує ваш пристрій;
• локальні мовні моделі: на продуктивних пристроях підсумок ваших даних може бути створений безпосередньо на пристрої. Потрібну для цього модель одноразово завантажують із нашого сервера — при цьому передаються виключно технічні дані запиту, а не ваші дані. Обчислення відбувається повністю на вашому пристрої.

Ваша відповідальність за локальні дані: приватні ключі та локальні картки належать до вашої сфери відповідальності. Якщо пам'ять пристрою очищено, використано інший пристрій чи браузер або втрачено приватний ключ, відповідні дані стають недоступними. Ми не можемо їх відновити. На пристроях спільного користування треті особи можуть отримати доступ до локально збережених даних.

Застосунок пропонує вам експортувати вашу картку та ваші ключі як файл резервної копії і перенести їх на інший пристрій; цей процес також відбувається без будь-якої участі наших систем.

13. Сповіщення

На бажання практики ми повідомляємо її електронною поштою про надходження нового відправлення. Обробляються збережена практикою адреса отримання і статус доставки. Сповіщення містить лише інформацію про те, що надійшло відправлення, і час його спливу — жодних даних пацієнтів, жодної медичної інформації та жодних змістовних тем листа. Правовою підставою є ст. 6(1)(b) GDPR.

Для надсилання електронної пошти ми залучаємо Brevo (Sendinblue) як процесора. Обробка відбувається в межах Європейського Союзу.

Короткі повідомлення пацієнтам надсилаються — якщо практика користується цією можливістю — безпосередньо з пристрою практики. Постачальник послуг SMS не залучається; номер мобільного телефону нам не передається і нами не зберігається.

14. Контакт, підтримка та відгуки

У разі звернень електронною поштою, телефоном або через формуляр ми обробляємо контактні дані, зміст і час звернення, а за потреби й дані договору. Правовою підставою є ст. 6(1)(b) GDPR за наявності договірного зв'язку, в інших випадках — ст. 6(1)(f) GDPR.

Застосунок надає можливість оцінити службу та залишити вільний текст. Цей відгук надходить до нас у відкритому вигляді і слугує виключно вдосконаленню служби; правовою підставою є ст. 6(1)(f) GDPR. Надання відгуку є добровільним. Автоматизована змістова оцінка відгуку не здійснюється.

Будь ласка, не вказуйте в цьому полі вільного тексту жодних медичних даних і жодних відомостей про себе. Для медичних питань передбачено виключно зашифрований шлях.

У межах усунення несправностей ми отримуємо доступ лише до технічних журналів і даних доставки. Дистанційне обслуговування систем практик не здійснюється, і ми не вимагаємо знімків екрана, що стосуються пацієнтів. Будь ласка, не надсилайте до служби підтримки незашифрованих медичних даних і приватних ключів.

15. Дані безпеки та експлуатації

Для захисту облікових записів, довідника та обміну ключами ми обробляємо час входів, IP-адреси, дані пристроїв і браузерів, невдалі спроби доступу, адміністративні зміни, блокування, зміни ключів, помилки доставки та інші події безпеки. Правовою підставою є ст. 6(1)(f) GDPR, а для передбачених законом підтверджень додатково ст. 6(1)(c) GDPR.

Ці журнали не містять приватних ключів і вмісту повідомлень.

16. Файли cookie та зберігання на кінцевому пристрої

Ми використовуємо виключно технічно необхідні файли cookie та механізми локального зберігання. Технології, що потребують згоди в розумінні § 25(1) TDDDG — зокрема аналітичні, вимірювання охоплення чи рекламні — ми не застосовуємо. Тому банер згоди не потрібен. Підставою доступу є § 25(2) п. 2 TDDDG.

Жодний вміст третіх осіб не вбудовано: жодних зовнішніх шрифтів, карт, рекламних мереж, служб captcha чи формулярів, жодних зовнішніх аналітичних служб.

У сховищі браузера (localStorage) ми зберігаємо: налаштування мови, налаштування відображення та доступності, підтвердження згоди й підпису для поточної справи, чергу ще не надісланих записів, а на пристроях практики — ключ практики.

У базі даних пристрою (IndexedDB) зберігаються: локальна медична картка, документація щеплень, пара ключів пацієнта та її резервна копія, профіль пацієнта, ключі підпису, пакети підтверджень, а на пристроях практики — сховище ключів і локально збережені справи.

Локальна медична картка та приватні ключі зберігаються на пристрої користувача за його прямим бажанням; це технічна передумова наскрізного шифрування. Доступу до цього ми не маємо. Ви можете будь-коли повністю видалити ці дані через налаштування застосунку або через ваш браузер.

17. Одержувачі та процесори

Усередині DiggAI доступ отримують лише особи, яким він потрібен для виконання їхніх завдань. Вони зобов'язані дотримуватися конфіденційності та, як інші залучені особи за § 203(3) реч. 2 Кримінального кодексу Німеччини, зберігати таємницю. Крім того, дані можуть надходити до таких одержувачів:

• Hetzner Online GmbH, Gunzenhausen — хостинг та інфраструктура (центр обробки даних у Фінляндії);
• Brevo (Sendinblue) — надсилання сповіщень про надходження електронною поштою;
• банки та надавачі платіжних послуг, а також податкові та юридичні консультанти — тією мірою, якою це необхідно для договору, оплати чи виконання законодавчих обов'язків;
• органи влади та суди — тією мірою, якою ми зобов'язані за законом або обстоюємо правові вимоги.

Процесори зобов'язуються згідно зі ст. 28 GDPR. Передавання даних для рекламних цілей або продаж даних не відбувається.

18. Передавання до третіх країн

Передавання персональних даних до держав за межами Європейського Союзу та Європейського економічного простору не відбувається.

19. Строк зберігання та видалення

Ми зберігаємо персональні дані лише доти, доки це необхідно для відповідної мети або доки існують законодавчі обов'язки зберігання.

20. Безпека обробки

Ми вживаємо технічних та організаційних заходів згідно зі ст. 25 і ст. 32 GDPR. До них належать зокрема:

• наскрізне шифрування вмісту до того, як він залишає пристрій відправника;
• локальне створення пар ключів, за якого передається виключно відкритий ключ; приватні ключі зберігаються на пристроях практики так, що їх технічно неможливо зчитати;
• зберігання прив'язки до одержувача виключно як криптографічно похідного контрольного значення, щоб база даних не пов'язувала одержувача і відправлення;
• додаткове транспортне шифрування всіх з'єднань;
• рольова модель прав доступу з окремим захистом адміністративних доступів і розділенням орендарів;
• відмова від даних змісту в будь-яких журналах;
• перевірка особи кожного одержувача перед активацією та відображення відбитка ключа перед надсиланням;
• виявлення атак, обмеження доступу та задокументований процес реагування на інциденти безпеки;
• регулярна перевірка безпеки застосунку.

Конкретне оформлення описано в додатку про технічні та організаційні заходи до договору про обробку даних.

21. Автоматизовані рішення, профілювання та штучний інтелект

Рішення, засноване виключно на автоматизованій обробці в розумінні ст. 22 GDPR, не приймається, і профілювання з використанням медичних або комунікаційних даних не здійснюється.

Дані змісту не використовуються для навчання, тонкого налаштування чи оцінювання систем штучного інтелекту. Серверна служба перекладу або штучного інтелекту не застосовується. Тією мірою, якою застосунок пропонує автоматичний підсумок, він обчислюється виключно на вашому власному пристрої.

Необов'язково пропоновані модулі третіх осіб не є частиною DiggAI. За обробку даних у них самостійно відповідає відповідний постачальник, який інформує окремо.

22. Неповнолітні та представництво

На одному пристрої можна вести картки для неповнолітніх або підопічних родичів. Вести їх і надавати доступ можуть лише уповноважені на це особи. Перевірка здатності надавати згоду та повноважень представництва покладається на уповноважену особу і на практику чи заклад, які надають допомогу.

23. Походження даних

Ми отримуємо персональні дані безпосередньо від вас під час відвідування вебсайту, реєстрації, звернення або користування службою, від зареєстрованої практики чи закладу, з публічно доступних довідників у межах перевірки особи, а також автоматично з наших систем і хостингової інфраструктури. Медичний вміст надходить до нас виключно як зашифрований конверт.

24. Обов'язок надання даних

Певні дані необхідні для реєстрації, перевірки особи, укладення договору, виставлення рахунків і безпечної доставки. Без них ми не можемо надати відповідну функцію або не можемо надати її безпечно. Необов'язкові дані позначені як такі. Для користування пацієнтами реєстрація та надання персональних даних DiggAI не потрібні.

25. Ваші права

За умов, передбачених законом, ви маєте право на доступ (ст. 15 GDPR), виправлення (ст. 16), видалення (ст. 17), обмеження обробки (ст. 18), перенесення даних (ст. 20), а також право заперечити з підстав, пов'язаних із вашою особливою ситуацією, проти обробки, що ґрунтується на ст. 6(1)(f) GDPR (ст. 21). Надану згоду ви можете будь-коли відкликати з дією на майбутнє.

Запити щодо обробки, за яку відповідає сама DiggAI, надсилайте, будь ласка, на вказану вище адресу. Щоб уникнути неправомірного розкриття, ми можемо вимагати належного підтвердження особи.

Щодо медичного вмісту та документів практики звертайтеся, будь ласка, до відповідної практики чи закладу. Ми не маємо приватних ключів і не можемо читати, виправляти чи експортувати зашифрований вміст; ми підтримуємо відповідальну сторону в межах наших технічних можливостей.

26. Право на скаргу

Ви можете подати скаргу до наглядового органу із захисту даних. Компетентним за місцем перебування контролера є Незалежний центр захисту даних Шлезвіг-Гольштейну (ULD), Holstenstrasse 98, 24103 Kiel, Німеччина. Ви також можете звернутися до будь-якого іншого наглядового органу, компетентного за ст. 77 GDPR.

27. Обробка на вашому пристрої

Деякі функції виконуються повністю на вашому пристрої, і при цьому жодні дані нам не передаються. До них належать медична картка, яку ви створюєте й ведете локально, а також підготовка запитань за допомогою мовної моделі, що один раз завантажується у ваш браузер і далі працює там.

Щодо цих операцій ми не є контролером у розумінні ст. 4(7) GDPR, оскільки ми не отримуємо, не зберігаємо і не можемо переглянути оброблюваний вміст. Перед першим використанням ви окремою згодою вирішуєте, чи бажаєте користуватися цими функціями; згода фіксується виключно на вашому пристрої.

Лише коли ви вирішите надіслати вміст до практики, застосовується передавання, описане в цій заяві, — і тоді виключно в зашифрованому вигляді, без можливості прочитати вміст з нашого боку.

Те, що залишається на вашому пристрої, ми також не можемо видати чи відновити. Тому збережіть медичну картку файлом самостійно, якщо хочете її зберегти.

28. Зміни цієї заяви

Ми адаптуємо цю заяву, якщо змінюються правове регулювання, послуги, потоки даних, одержувачі або архітектура безпеки. Чинна редакція завжди доступна за адресою diggai.de/datenschutz. Попередні редакції ми зберігаємо із зазначенням номера версії та дати.