Договір про обробку даних (ст. 28 GDPR)

Цей договір охоплює робочу частину продукту — клієнтів, записи, нотатки, анкети, документи й повідомлення, які ви ведете щодо людей, яким надаєте допомогу. Він не охоплює ваш публічний профіль у каталозі чи запит, який людина надсилає, ще не ставши вашим клієнтом; там Vitena діє як самостійний контролер, як пояснено на сторінці про захист даних.

1. Сторони та ролі

Ви — фахівець або практика, що володіє обліковим записом Vitena, — є контролером відповідно до ст. 4(7) GDPR. Vitena є вашим оператором обробки відповідно до ст. 4(8) і обробляє персональні дані лише для вас і лише для надання сервісу. Vitena не обробляє ваші клінічні дані для власних цілей, не продає їх, не передає іншим фахівцям на платформі й не використовує їх для навчання моделей ШІ.

2. Предмет, характер, мета та строк

Предмет і мета: забезпечення роботи платформи для ведення практики та комунікації з клієнтами від вашого імені. Характер обробки: збирання, зберігання, упорядкування, пошук, відображення, передавання, резервне копіювання, видалення. Строк: доки існує ваш обліковий запис, а також строки видалення, визначені в пункті 10.

3. Категорії суб’єктів даних і персональних даних

Суб’єкти даних: ваші клієнти або пацієнти, люди, які звертаються до вас із запитом чи записуються до вас, а також члени вашої команди, які користуються обліковим записом.

• Ідентифікаційні та контактні дані — ім’я, адреса електронної пошти, номер телефону, дата народження
• Записи про прийоми та надані послуги, статус оплати й рахунки
• Дані про здоров’я (ст. 9 GDPR) — відповіді в анкетах, вимірювання, нотатки сеансів, плани, записи про згоду, завантажені документи й зображення, а також будь-яке персональне резюме, яке ви готуєте
• Повідомлення, якими обмінюються через платформу та портал клієнта
• Технічні дані, потрібні для роботи сервісу, — журнали подій, IP-адреса, відомості про пристрій і браузер

Vitena спроєктовано з розрахунку на те, що в ній будуть дані про здоров’я, які належать до особливих категорій. Визначити правову підставу для їх обробки — ваше завдання як контролера; зазвичай це ст. 9(2)(h) разом із професійними правилами вашої країни. Зобов’язання за цим договором поширюються на всі наведені вище категорії, зокрема на нотатки у вільній формі, внутрішні приватні нотатки й завантажені вами файли, а не лише на структуровані поля анкет.

4. Обробка за вашими інструкціями

Vitena обробляє персональні дані лише за вашими задокументованими інструкціями. Вашими інструкціями є: цей договір, Умови надання послуг, налаштування, які ви обираєте в продукті, і дії, які ви в ньому виконуєте. Vitena повідомить вас, якщо, на її думку, інструкція порушує GDPR. Якщо право ЄС або держави-члена зобов’язує Vitena обробляти дані понад ваші інструкції, вас буде поінформовано до початку обробки, якщо це право цього не забороняє.

Функції ШІ — це інструкція, яку ви даєте, по одній дії за раз. Жоден постачальник ШІ не отримує вміст про клієнтів, якщо ви свідомо не запускаєте дію ШІ — складання чернетки плану, чернетки нотатки чи читання доданого вами документа. Якщо ви ніколи не користуєтеся цими функціями, жодні дані клієнтів ніколи не потрапляють до постачальника ШІ. Жоден постачальник ШІ, перелічений у Додатку B, не навчає моделі на вмісті, надісланому через його API.

5. Конфіденційність

Кожна особа з боку Vitena, яка може мати доступ до персональних даних, зобов’язана дотримуватися конфіденційності, і це зобов’язання діє й після завершення її співпраці; доступ їй надається лише в обсязі, потрібному для роботи, підтримки та захисту сервісу.

6. Безпека обробки (ст. 32)

Vitena підтримує належні технічні та організаційні заходи, повністю викладені в Додатку A. Заходи можуть змінюватися з розвитком технологій за умови, що рівень захисту не знижується.

7. Субпідрядники обробки

Ви надаєте Vitena загальний дозвіл залучати субпідрядників обробки, перелічених у Додатку B. Vitena покладає на кожного з них зобов’язання щодо захисту даних, не менш суворі, ніж за цим договором, і несе перед вами повну відповідальність за їх виконання. Перш ніж додати чи замінити субпідрядника обробки, Vitena повідомить вас щонайменше за 15 днів, щоб ви могли заперечити; якщо ви заперечите з обґрунтованих міркувань захисту даних і рішення не буде знайдено, ви можете відмовитися від відповідної послуги.

8. Допомога у відповідях вашим клієнтам

Vitena, наскільки це можливо, допомагає вам відповідати на запити суб’єктів даних, які реалізують свої права за главою III GDPR, — на доступ, виправлення, видалення, обмеження обробки, перенесення даних і заперечення. Більшість із цього ви можете виконати самостійно в продукті; якщо ні, Vitena допоможе на запит. Якщо суб’єкт даних звертається безпосередньо до Vitena щодо даних у вашому робочому просторі, Vitena не відповідатиме від вашого імені, а перенаправить його до вас.

9. Порушення та допомога щодо ст. 32–36

Vitena повідомляє вас без невиправданої затримки після того, як дізнається про порушення захисту персональних даних, що стосується ваших даних, і надає інформацію, потрібну для вашого власного повідомлення за ст. 33: що сталося, яких категорій і приблизно скількох записів це стосується, ймовірні наслідки та вжиті заходи. Vitena також допомагає вам, з урахуванням характеру обробки та доступної їй інформації, виконувати ваші обов’язки за ст. 32–36, зокрема щодо оцінки впливу на захист даних, якщо вона вам потрібна.

10. Видалення та повернення даних

Поки обліковий запис активний, ви можете будь-коли експортувати свої дані й самостійно видаляти окремі записи. Після припинення договору Vitena видаляє персональні дані, які обробляє для вас, якщо право ЄС або держави-члена не вимагає їх зберігати. Видалення з робочих систем відбувається протягом 30 днів після припинення договору. Резервні копії зберігаються в ковзному вікні й у звичайному порядку перезаписуються, тож видалений запис зникає з резервних копій щонайпізніше в межах цього вікна; чинний строк зберігання вказано в Додатку A. Резервні копії ніколи не використовуються для відновлення даних, які ви свідомо видалили.

11. Право на інформацію та аудит

Vitena надає вам усю інформацію, потрібну для підтвердження дотримання ст. 28, а також уможливлює аудити, зокрема перевірки, які проводите ви або уповноважений вами аудитор, і сприяє їм. Насамперед цю вимогу виконують цей документ, Додаток A і Додаток B. Крім того, ви можете ставити конкретні письмові запитання, і Vitena на них відповість; перевірку на місці можна вимагати, якщо її необхідність підтверджено задокументованою причиною, — з розумним попереднім повідомленням, у робочий час, без порушення роботи й з дотриманням конфіденційності.

12. Місце обробки даних і передавання за межі ЄЕЗ

Дані вашого робочого простору зберігаються в Європейському Союзі, у франкфуртському регіоні AWS (eu-central-1). Існують дві передачі за межі ЄЕЗ, і обидві названо тут прямо, а не залишено на здогад. По-перше, постачальники ШІ, перелічені в Додатку B і розташовані за межами ЄЕЗ (місце розташування кожного зазначено в Додатку B), отримують вміст лише тоді, коли ви свідомо запускаєте дію ШІ. По-друге, компанія, що експлуатує Vitena, зареєстрована в Туреччині, і особа, яка керує сервісом, має доступ до робочих систем, щоб забезпечувати його роботу. Обидві передачі здійснюються на підставі Стандартних договірних положень Європейської комісії; другу повністю, разом з оцінкою, на якій вона ґрунтується, викладено в Додатку C.

13. Строк дії, зміни та пріоритет

Цей договір діє, доки існує ваш обліковий запис Vitena. У разі внесення змін нову версію публікують тут із новим номером версії та датою набрання чинності, а вас повідомляють до того, як вона набере чинності. Уже надані згоди залишаються прив’язаними до версії, чинної на той момент. Якщо цей договір і Умови надання послуг суперечать один одному в питанні захисту даних, переважну силу має цей договір.

Додаток A — Технічні та організаційні заходи (ст. 32)

Описано те, що вже впроваджено, а не те, до чого ми прагнемо. Заходів, яких немає, тут не наведено.

Захист тут багаторівневий і не тримається на якомусь одному засобі контролю. Кожна практика ізольована від усіх інших; доступ усередині практики обмежено ролями; усе, що передається, зашифровано; файли й документи зашифровано там, де вони зберігаються; база даних недоступна з інтернету; а кожна зміна в робочій системі проходить через перевірений автоматизований конвеєр. Слабке місце в одному рівні не відкриває доступу до запису, бо ще треба подолати наступний рівень.

Контроль доступу та розмежування

• Записи кожної практики зберігаються окремо від записів будь-якої іншої практики, і запит, зроблений з обліковими даними одного облікового запису, не може дістатися до даних іншого; якщо рівень даних не може однозначно віднести запит до однієї практики, він відхиляє запит, а не переходить до спільного перегляду
• Дозволи на основі ролей усередині облікового запису, тож асистент не бачить клінічного вмісту автоматично
• Приватні нотатки зберігаються в окремому полі, яке ніколи не надсилається до порталу клієнта
• Паролі зберігаються лише у вигляді односторонніх хешів із сіллю, створених за допомогою усталеного алгоритму хешування паролів (bcrypt), і ніколи в читабельному вигляді; застосовується політика мінімальної довжини та складності
• Сеанси використовують короткочасні підписані токени; посилання на портал і анкети мають одне призначення, спливають і можуть бути відкликані шляхом повторної видачі
• Для власного входу фахівця доступна двофакторна автентифікація (TOTP, RFC 6238), яка вмикається для кожного користувача в налаштуваннях облікового запису й підкріплена одноразовими кодами відновлення; альтернативним другим фактором є вхід через обліковий запис Google із двоетапною перевіркою

Передавання та зберігання

• Увесь трафік між браузером, мобільним застосунком і серверами шифрується за допомогою TLS; звичайний HTTP перенаправляється
• Завантажені файли й документи зберігаються в об’єктному сховищі в ЄС із серверним шифруванням у стані спокою (AES-256) і без публічного доступу; вони надаються лише через короткочасні підписані посилання
• База даних недоступна з інтернету: вона не має публічної адреси й приймає з’єднання лише від самого застосунку
• Секрети й ключі API зберігаються в керованому сховищі параметрів, ніколи у вихідному коді
• Сповіщення електронною поштою складені так, що лише повідомляють про наявність чогось нового й ніколи не містять клінічного вмісту в тексті листа

Доступність і стійкість

• Автоматичне щоденне резервне копіювання бази даних із можливістю відновлення на будь-який момент часу; копії зберігаються 7 днів, а потім перезаписуються
• Захист бази даних від видалення, тож її неможливо видалити внаслідок зміни інфраструктури
• Керований хостинг з автоматичним масштабуванням, моніторингом і сповіщеннями про рівень помилок і ліміти ресурсів

Організаційні заходи

• Доступ до робочих систем обмежено особами, які їх обслуговують, і він надається за умови зобов’язання щодо конфіденційності
• Зміни потрапляють у робоче середовище через перевірений автоматизований конвеєр розгортання, а не вручну на сервері
• Дії в обліковому записі журналюються, тож можна відновити, хто, що й коли зробив
• Експорт даних і видалення облікового запису доступні вам у продукті без звернення до служби підтримки

Прямо кажучи: чого немає

Vitena не має сертифіката ISO 27001 чи SOC 2 і не заявляє про нього. Вона не є HIPAA business associate і не пропонує BAA, оскільки не обслуговує ринок охорони здоров’я Сполучених Штатів. Немає й офіційного звіту про тестування на проникнення, який можна було б передати: безпека перевіряється в межах того, як продукт розробляється й експлуатується, а не сертифікується третьою стороною.

Додаток B — Затверджені субпідрядники обробки

Актуальний перелік — із призначенням кожного з них і місцем, де він обробляє дані, — опубліковано та підтримується в актуальному стані на сторінці про захист даних. Він є частиною цього договору за посиланням, тож зміна переліку не потребує нової версії договору, але все одно надходить вам як повідомлення відповідно до пункту 7.

Додаток C — Доступ із Туреччини та передавання за межі ЄЕЗ

Дані вашого робочого простору зберігаються в Європейському Союзі, у франкфуртському регіоні AWS, і там і залишаються; у Туреччині жодної їх копії не зберігається. Експлуатацію Vitena здійснює індивідуальне підприємство, зареєстроване в Туреччині, і щоб сервіс працював, особа, яка ним керує, повинна мати доступ до робочих систем — для розгортання змін, розслідування збою, про який ви повідомили, відновлення резервної копії чи відповіді на запитання служби підтримки. Цей доступ є віддаленим, його здійснює одна визначена особа, і він може здійснюватися з Туреччини. Оскільки ця особа перебуває за межами ЄЕЗ, надання їй доступу до даних вважається передаванням відповідно до глави V GDPR, хоча самі дані ніколи не залишають Франкфурт. Цей додаток є гарантією для такого передавання, викладеною відкрито, а не залишеною на здогад за адресою компанії.

Чим цей доступ не є: це не доступ інших практик, записи яких розмежовано на рівні даних; це не рутинне читання клінічного вмісту, якого в межах роботи сервісу не відбувається; і це не доступ працівників, бо сьогодні ніхто інший не має доступу до робочих систем. Якщо це зміниться, пункт 5 і Додаток A так само застосовуватимуться до них.

Гарантія: Стандартні договірні положення

Передавання здійснюється на підставі Стандартних договірних положень Європейської комісії, ухвалених Імплементаційним рішенням (ЄС) 2021/914, Модуль 2 (від контролера до оператора обробки). Ці положення включено до цього договору за посиланням, і вони укладаються між вами як експортером даних і Vitena як імпортером даних так само, як і решта цього договору. Якщо положення та цей договір по-різному регулюють питання передавання, переважну силу мають положення.

Варіанти, які положення залишають відкритими, визначено так: застосовується положення про приєднання (Положення 7); щодо субпідрядників обробки діє варіант 2 — загальний письмовий дозвіл із повідомленням щонайменше за 15 днів до додавання чи заміни субпідрядника; необов’язковий незалежний механізм вирішення спорів за Положенням 11 не обрано; а застосовним правом і місцем розгляду спорів є право й суди держави-члена, у якій ви здійснюєте діяльність.

Додатки до положень заповнюються на основі цього договору, а не повторюються: сторонами є ви як контролер і Vitena як оператор обробки за адресою, зазначеною в Умовах; опис передавання (суб’єкти даних, категорії персональних даних, зокрема дані про здоров’я за ст. 9, мета, характер і строк) — той, що наведено в пунктах 2 і 3, із постійною доступністю, але лише епізодичним фактичним доступом, і строками зберігання за пунктом 10; компетентним наглядовим органом є орган держави-члена, у якій ви здійснюєте діяльність; технічними та організаційними заходами є Додаток A разом із наведеними нижче заходами; а переліком субпідрядників обробки є Додаток B.

Оцінка, на якій це ґрунтується

У Туреччині є загальний закон про захист даних — Закон № 6698 (KVKK), створений за зразком попередньої Директиви ЄС 95/46/ЄС, — незалежний орган, а також встановлені законом обов’язки щодо безпеки та повідомлення про порушення. Туреччини немає в переліку країн з адекватним рівнем захисту, затвердженому Європейською комісією, тож це не скасовує потреби в положеннях; проте це впливає на те, наскільки ймовірним і наскільки обмеженим був би запит від державного органу.

Турецький орган може надіслати законне розпорядження підприємству, зареєстрованому в Туреччині. Те, що може бути надано, обмежене тим, до чого має доступ особа, яка керує сервісом: даними, що зберігаються в ЄС на інфраструктурі AWS і доступні лише через робочий застосунок та його адміністративні інтерфейси. Немає ні локальної копії, ні локальної резервної копії, ні сервісу для Туреччини, побудованого на ваших даних. Дотепер Vitena не отримувала жодного запиту щодо даних клієнтів від жодного державного органу — ні в Туреччині, ні деінде.

Додаткові заходи, що діють сьогодні:

• Дані зберігаються в Європейському Союзі за договором з AWS EMEA, а особа, яка керує сервісом, не зберігає локальних копій
• Адміністративний доступ обмежено однією визначеною особою, на яку поширюється обов’язок дотримуватися конфіденційності
• База даних не має публічної адреси й приймає з’єднання лише від самого застосунку
• Адміністративні запити до робочої системи журналюються з позначкою часу, щоб згодом можна було відновити картину адміністративного доступу
• Вхід власника хмарного облікового запису захищено двофакторною автентифікацією
• Трафік шифрується під час передавання, завантажені файли зашифровано в стані спокою, а секрети й ключі зберігаються в керованому сховищі параметрів

Якщо колись надійде обов’язковий до виконання запит, Vitena повідомить вас про нього, якщо це не заборонено законом, а в разі такої заборони — добиватиметься її скасування; оскаржуватиме запит, що видається незаконним чи надмірним, зокрема в апеляційному порядку; розкриватиме лише необхідний мінімум; а також вестиме облік усіх отриманих запитів і надаватиме його вам.

За чинних положень і наведених вище заходів рівень захисту даних, доступ до яких надається з Туреччини, на практиці не знижується. Цю оцінку переглядають, якщо змінюється операційна структура, якщо суттєво змінюється застосовне право, або щонайпізніше — під час публікації нової версії цього договору.

Запитання або копія для ваших документів

Напишіть на info@vitena.care, вказавши назву, під якою ви практикуєте, і країну, де працюєте. Це безкоштовно, і цей договір діє як на безкоштовному, так і на платних тарифах.

Пов’язане: захист даних, хостинг і субпідрядники · GDPR і права ваших клієнтів · Умови надання послуг · Політика конфіденційності