Договор поручения обработки (DPA) требуется статьёй 28(3) GDPR всегда, когда контролёр данных пользуется услугами обработчика. Heltio является таким обработчиком по отношению к учреждению, а перечисленные ниже поставщики — обработчиками по отношению к Heltio.
Где это найти
Три страницы, все публичные и все с баннером Черновик — документы ожидают заключения польской юридической фирмы:
/podprocesorzy— перечень поставщиков с регионом, категорией данных, сроком хранения и ссылкой на договор поставщика./dpa— образцовый договор поручения обработки между учреждением и Heltio./processor-agreement— краткое изложение этого договора, принимаемое при регистрации учреждения.
Принятие договора при регистрации сохраняется как отдельная запись согласия учреждения: вид документа, его версия, момент принятия, IP-адрес и идентификатор браузера.
Перечень поставщиков
Состояние считано из реестра в коде страницы /podprocesorzy.
Активные (10):
| Поставщик | Для чего | Регион | Данные |
|---|---|---|---|
| Supabase | База данных, файлы, синхронизация | Франкфурт | персональные, о здоровье |
| Clerk | Вход, сессии, двухфакторная аутентификация | ЕС (требует подтверждения) | персональные |
| AWS KMS | Управление ключами | Франкфурт | нет |
| PowerSync | Офлайн-работа в мобильном приложении | ЕС | персональные, о здоровье |
| MailerSend | Транзакционная и маркетинговая почта | ЕС | персональные |
| SMSAPI (LINK Mobility) | SMS | Польша | персональные |
| Przelewy24 (PayPro) | Платежи пациента и подписка Heltio | Польша | персональные, финансовые |
| Better Stack | Мониторинг доступности | ЕС | операционные |
| Центр электронного здравоохранения (P1) | Медицинские события, EDM | Польша | персональные, о здоровье |
| DeepL | Перевод сообщений | Германия | персональные |
Запланирован (1): Sentry — мониторинг ошибок, запись ждёт включения региона ЕС.
Отмечены как отключённые (3): Anthropic, OpenAI, Google Calendar.
Центр электронного здравоохранения не является классическим обработчиком — это отдельный публичный контролёр, действующий на основании закона о системе информации в здравоохранении. Учреждение не поручает ему данные в порядке ст. 28; оно передаёт их, потому что так предписывает закон.
Расхождение, о котором нужно знать
Похожим образом AWS KMS фигурирует как активный поставщик управления ключами, а в коде главный ключ берётся из переменной среды — слой KMS подготовлен, но не используется. Подробности: Шифрование и резидентность данных.
Изменение перечня
Смена поставщика — это изменение реестра в коде страницы /podprocesorzy и выкатка. Сегодня в приложении нет механизма, который автоматически уведомляет учреждения об изменении перечня или отсчитывает срок на возражение — предыдущая версия этой страницы описывала такой механизм вместе с журналом изменений; в схеме базы соответствующей таблицы нет. Уведомление приходится отправлять вручную.
После завершения сотрудничества
Учреждение может выгрузить свои данные из панели — см. Экспорт данных кабинета. Сроки удаления данных после расторжения договора регулирует текст договора поручения обработки на /dpa, а не отдельный механизм в приложении.
Связанное
- GDPR в Heltio — разделение ролей и четыре заслона перед отправкой чего-либо в ИИ.
- Согласия на обработку с помощью ИИ — как выглядит принятие раскрытия на практике.
- P1 и EDM — единственный получатель, которого нельзя отключить решением учреждения.
- Шифрование и резидентность данных