Jakie dane przechowujemy i gdzie

Heltio przechowuje dokumentację medyczną, więc pytanie „co o mnie wiecie i gdzie to leży” jest uzasadnione — zadaje je i pacjent, i gabinet, który powierza nam swoje dane. Ta strona odpowiada na nie w skrócie i wskazuje dokumenty, w których stoi pełna, wiążąca wersja.

Co przechowujemy

• Dane identyfikujące pacjenta — imię, nazwisko, PESEL, data urodzenia, dane kontaktowe i adresowe.
• Dokumentację medyczną — wizyty, notatki kliniczne, plany terapeutyczne, oceny i pomiary, programy ćwiczeń, podsumowania wizyt, załączniki wgrane przez gabinet, kody ICD-10, ICD-9 i ICF.
• Dane rozliczeniowe — faktury, paragony, karnety, historia płatności.
• Dane konta — adres e-mail i tożsamość logowania. Hasła nie przechowujemy; obsługuje je dostawca uwierzytelniania.
• Zgody i wnioski — zapis, na co pacjent wyraził zgodę i kiedy, oraz wnioski złożone na podstawie RODO.
• Ślad audytowy — kto, kiedy i czego dotknął.

Gdzie to leży

Cała infrastruktura danych mieści się w Unii Europejskiej. Baza danych i pliki stoją u dostawcy hostingu we Frankfurcie, klucze szyfrowania w usłudze zarządzania kluczami w tym samym regionie, poczta transakcyjna i SMS-y u dostawców z Unii, płatności u polskiego operatora.

Najwrażliwsze pola — między innymi numer PESEL, numer rachunku i treść notatki klinicznej — są dodatkowo szyfrowane na poziomie kolumny, osobnym kluczem dla każdego gabinetu. Wyciek samej kopii bazy nie ujawniłby ich treści.

Pełna, aktualna lista podmiotów, którym powierzamy przetwarzanie, wraz z lokalizacją i kategorią danych, stoi w powierzeniu przetwarzania. Zmiana tej listy wymaga uprzedzenia gabinetu z wyprzedzeniem i daje mu prawo sprzeciwu.

Jak długo

Okresy przechowywania wynikają z przepisów, nie z decyzji Heltio:

• Dokumentacja medyczna — 20 lat od ostatniego wpisu, z wyjątkami przewidzianymi w ustawie o prawach pacjenta (dłużej dla dokumentacji dzieci, krócej dla części wyników i zdjęć).
• Faktury i dane rozliczeniowe — 5 lat od końca roku podatkowego.
• Ślad audytowy — 5 lat.

Gabinet ustawia swój okres przechowywania w Ustawieniach → RODO i prywatność, w zakresie od 6 do 99 lat; domyślnie 20. Po upływie okresu dane są usuwane automatycznie, chyba że obowiązuje na nich blokada prawna. Szczegóły i podstawy: retencja danych.

Jak zażądać swoich danych

Pacjent z dostępem do portalu robi to sam: menu pod awatarem, Prywatność i zgody, przycisk Pobierz moje dane. Heltio przygotowuje kopię, a odnośnik do pobrania jest ważny kilka minut — możesz wrócić po nowy w każdej chwili.

Bez portalu wniosek składa się bezpośrednio w gabinecie. Adres do zgłoszeń RODO gabinet podaje w swojej polityce prywatności; ustawia go w Ustawieniach → RODO i prywatność w polu E-mail kontaktowy RODO.

Gabinet widzi wszystkie wnioski w jednym miejscu, z terminem ustawowym przy każdym z nich. Obsługiwane są wszystkie prawa z artykułów od 15 do 22 RODO — dostęp, sprostowanie, usunięcie, ograniczenie, przenoszenie i sprzeciw. Pełny opis: prawa podmiotu danych.

Powiązane

• Powierzenie przetwarzania i podprocesorzy — wiążąca lista dostawców.
• Szyfrowanie i rezydencja danych — jak dokładnie chronimy dane.
• Prawa podmiotu danych — jak złożyć wniosek i czego się spodziewać.
• Jak zgłosić naruszenie — gdy coś poszło nie tak.