Twoje dane pod ochroną,
której możesz zaufać.
Dane pacjentów wymagają szczególnej ochrony. Poniżej opisujemy szyfrowanie, kontrolę dostępu, minimalizację identyfikatorów oraz ograniczenia tych mechanizmów.
W aplikacji są dostępne: DPA, eksport danych konta, zlecenie usunięcia, historia dostępu, 2FA i ustawienia prywatności. Te funkcje wspierają ochronę danych; nie zastępują obowiązków administratora ani oceny całego procesu przetwarzania.
Sześć warstw między dyktowaniem
a bazą danych.
Nie musisz trzymać danych na własnym serwerze w gabinecie, żeby były bezpieczne — oto ile warstw ochrony przechodzi jedno dyktowanie, zanim spocznie w bazie.
- 1
Dyktujesz — audio trafia do transkrypcji
Usługa transkrypcji używa regionalnego endpointu Google w UE. Część ścieżek może korzystać z bufora Google Cloud Storage; kasowanie obiektu nie potwierdza usunięcia wszystkich wersji i kopii dostawcy.
- 2
Imię pacjenta zamienione na token
Ograniczamy znane aplikacji dane identyfikacyjne w tekście. Mechanizm może nie rozpoznać literówek, odmian nazw i dodatkowych danych wpisanych w notatce. Treść medyczna nadal wymaga ochrony.
- 3
Model AI w regionie UE
Zapytania tekstowe do modeli AI obsługuje Google Cloud Vertex AI w regionie europe-west4 (Holandia, UE). W umowie powierzenia (DPA, § 1) zobowiązujemy się nie wykorzystywać powierzonych danych, w tym nagrań, transkrypcji i treści planów, do trenowania ani ulepszania modeli AI, własnych ani podmiotów trzecich.
- 4
Szyfrowanie przed zapisem
Wybrane pola medyczne planów szyfrujemy przed zapisem w bazie. Odszyfrowanie przez uprawniony backend jest potrzebne do edycji, generowania dokumentów i innych zamówionych operacji.
- 5
Izolacja gabinetów (RLS)
Kontrole w API uwzględniają właściciela i uprawnienia do gabinetu. RLS w bazie jest dodatkową warstwą. Role serwisowe i administracyjne podlegają osobnym kontrolom.
- 6
Dostęp pod kontrolą i w dzienniku
Po włączeniu TOTP operacje wrażliwe wymagają drugiego składnika, a administrator musi go skonfigurować. Historia dostępu pokazuje rejestrowane operacje w aplikacji; nie zastępuje rejestru czynności przetwarzania.
Szyfrowanie AES-128
Wybrane pola medyczne planów szyfrujemy za pomocą Fernet przed zapisem w bazie. Uprawniony backend odszyfrowuje je do obsługi usługi; nie jest to szyfrowanie end-to-end.
Izolacja danych (RLS)
API sprawdza właściciela i uprawnienia do gabinetu oraz planu. Polityki RLS w bazie stanowią dodatkową warstwę; dostęp administracyjny i serwisowy wymaga osobnej kontroli.
Pseudonimizacja PII
Przed zapytaniem tekstowym ograniczamy znane imię i nazwisko oraz wykryte identyfikatory. Swobodna notatka może nadal identyfikować osobę. Dane o zdrowiu nie stają się anonimowe.
Ograniczanie retencji nagrań
Audio trafia do usługi transkrypcji, a obsługiwana ścieżka używa bufora w chmurze. Kod zleca jego usunięcie po przetworzeniu. Lokalna kopia do odzyskania pracy wygasa po godzinie, a nagranie z trybu kieszonkowego, którego nie udało się zapisać na serwerze, po 24 godzinach; po zamknięciu przeglądarki aplikacja usuwa je przy ponownym uruchomieniu.
Dziennik dostępu (RODO)
Historia dostępu pokazuje operacje rejestrowane przez aplikację, ich czas i dane techniczne. Nie jest pełnym zapisem dostępu administracyjnego ani rejestrem czynności przetwarzania z art. 30 RODO.
Narzędzia ochrony danych
DPA, eksport danych konta, obsługa żądań usunięcia i ustawienia prywatności wspierają organizację ochrony danych. Ich obecność nie stanowi certyfikacji zgodności.
Bezpieczny transport
Połączenie z aplikacją korzysta z HTTPS. Nagłówki HSTS, CSP i X-Frame-Options ograniczają wybrane klasy ataków.
Prawo do usuwania danych
W Ustawieniach pobierzesz eksport i zlecisz usunięcie konta. Usuwanie obejmuje powiązane zasoby według harmonogramu; obowiązki prawne i kopie zapasowe mogą wymagać odrębnego postępowania.
Standardy bezpieczeństwa
Zakres zabezpieczeń, dostawców i ograniczeń opisujemy w Polityce Prywatności.
Podwykonawcy przetwarzania danych
Część infrastruktury i dostawców przetwarza dane poza UE. Opis lokalizacji oraz status weryfikacji dokumentów znajdziesz w Polityce prywatności oraz w umowie powierzenia danych (DPA).
Masz pytania dotyczące bezpieczeństwa?
Napisz do nas — chętnie odpowiemy na pytania dotyczące ochrony danych i zgodności z RODO.