Безпека і приватність - двоетапна перевірка, шифрування, GDPR

Найчутливіший запис у програмі для практики належить не вам, а вашому клієнту: історія здоровʼя, вимірювання, нотатки сеансів, контакти. GDPR відносить це до особливої категорії персональних даних, тобто вимагає більшого захисту, ніж звичайна картка покупця.

Ролі розподілені так: ви — контролер цих даних, Vitena — обробник, який діє за вашими вказівками. Ця сторінка окремо описує обидві половини: заходи з нашого боку і те, що залишається за вами. Одне не замінює інше.

Той, хто потрапив до облікового запису практики, бачить усі картки клієнтів у ній. Тому вхідні двері — найцінніша точка всієї системи. Сам лише пароль не міцніший за найнеуважніше місце, де ви його повторно використали, або за найпереконливіший фішинговий лист, що прийде напруженого ранку.

Vitena пропонує двоетапну перевірку за бажанням. Коли вона увімкнена, для входу потрібні дві речі: те, що ви знаєте (пароль), і те, що у вас є (телефон). Шестизначні коди створює будь-який стандартний застосунок-автентифікатор: Google Authenticator, Microsoft Authenticator, Authy, 1Password. Код обчислюється на самому телефоні за його годинником, тож інтернет і покриття не потрібні.

SMS ми свідомо не використовуємо: через підміну SIM-карти код у повідомленні перестав бути надійним другим кроком.

Дані вразливі у двох станах: коли рухаються і коли лежать. Для кожного є свої заходи.

• Шифрування під час передавання: увесь трафік між вашим браузером чи мобільним застосунком і нашими серверами йде через HTTPS (TLS). Навіть у відкритій мережі кафе ніхто посередині його не прочитає.
• Паролі незворотні: паролі зберігаються як хеш bcrypt, ніколи у відкритому вигляді. Той, хто читає базу даних, вашого пароля не побачить, а якщо ви його забули, ми надсилаємо посилання для скидання, а не старий пароль.
• Чутливі ключі мають другий шар: ваш секрет двоетапної перевірки і, якщо ви підключили, токен доступу до Google Календаря шифруються алгоритмом AES-256-GCM перед записом у базу.
• Завантажені файли: документи клієнтів, фотографії лікування та додатки до звітів зберігаються зашифрованими на диску (AES-256). Сховище закрите від інтернету, файли видаються лише за короткоживучими посиланнями для авторизованого сеансу; коли термін посилання минає, воно нічого не відкриває.
• Дані картки до нас не потрапляють: платежі за підписку проходять через платіжну систему з 3D Secure. Номер картки не торкається серверів Vitena.
• Відкликання доступу миттєве: щойно ви архівуєте або призупиняєте користувача, його сеанс завершується, без очікування наступного дня чи наступного входу.

Vitena працює на Amazon Web Services у межах Європейського Союзу, в регіоні Франкфурт (eu-central-1). Сервери застосунку, база даних, сховище файлів, доставка вмісту та вихідна пошта — усе там. Саме там зберігаються картки ваших клієнтів.

• База даних закрита від інтернету: вона в приватному сегменті мережі без шляху ззовні. Дістатися до неї може лише сам застосунок.
• Резервні копії: база копіюється автоматично, і копії залишаються в тому самому регіоні ЄС.
• Субобробники: ми публікуємо кожен задіяний сервіс і мету його використання. Повний перелік: vitena.care/data-protection

Функції штучного інтелекту — окрема тема, і вони вмикаються за вашим бажанням. Текст потрапляє до постачальника моделі лише тоді, коли ви самі запускаєте завдання: чернетка плану, чернетка нотатки, читання документа. Ніщо не переглядає ваші картки у фоні. Ці постачальники розташовані в США і звʼязані стандартними договірними положеннями; що саме надсилає кожна функція, описано на тій самій сторінці про захист даних.

Кожна практика живе у власній схемі бази даних, тож записи двох клінік ніколи не змішуються в одних таблицях. Приналежність запиту до практики визначається на рівні зʼєднання, і якщо визначити її неможливо, запит відхиляється: шляху «не впевнені, але все одно покажемо» не існує.

Другий шар розділення — усередині вашої власної практики:

• Ролі та дозволи: кожен член команди отримує рівно те, що потрібно для роботи. Адміністратор на рецепції бачить запис на прийом, не бачачи нотаток сеансу.
• Портал клієнта: клієнт бачить лише власну картку, власний план і власні візити.
• Екран самореєстрації: кіоск біля входу не містить нічого про сьогоднішніх пацієнтів — ні кількості, ні ініціала. Той, хто знайде його адресу, не дізнається нічого.
• Ті, хто йде з роботи: архівування завершує сеанс миттєво, разом із залишеною відкритою вкладкою.

Юридична конструкція така: контролером даних ваших клієнтів є ви, а Vitena обробляє їх за вашими вказівками. Договір, який це фіксує письмово (ст. 28 GDPR), безкоштовний на всіх тарифах, зокрема на безкоштовному: vitena.care/dpa

Система також робить права ваших клієнтів здійсненними на практиці:

• Право на інформацію: що і для чого обробляється, викладено на vitena.care/privacy.
• Перенесення даних: картку клієнта можна експортувати за кілька кліків.
• Право на видалення: запити на видалення обробляються з перевіркою особи на vitena.care/gdpr-verify.
• Обмеження обробки та згода: записи інформованої згоди зберігаються точно в тому вигляді, в якому їх підписали. Навіть якщо текст згодом зміниться, підписаний рядок лишається недоторканним.

Система міцна настільки, наскільки міцна найслабша ланка, і цією ланкою зазвичай є щоденна звичка, а не рядок коду. Цей список забирає пʼять хвилин і закриває більшу частину того, що справді трапляється в реальних практиках: