Які дані ми зберігаємо і де

Heltio зберігає медичну документацію, тож питання «що ви про мене знаєте і де це лежить» є виправданим — його ставить і пацієнт, і заклад, що довіряє нам свої дані. Ця сторінка відповідає на нього стисло і вказує документи, у яких стоїть повна, обов'язкова версія.

Що ми зберігаємо

• Дані, що ідентифікують пацієнта — ім'я, прізвище, PESEL, дата народження, контактні та адресні дані.
• Медичну документацію — візити, клінічні нотатки, плани лікування, оцінки та вимірювання, програми вправ, підсумки візитів, вкладення, завантажені закладом, коди ICD-10, ICD-9 та ICF.
• Розрахункові дані — рахунки-фактури, чеки, абонементи, історію платежів.
• Дані облікового запису — адресу e-mail та ідентичність входу. Паролів ми не зберігаємо; ними опікується постачальник автентифікації.
• Згоди та запити — запис про те, на що пацієнт дав згоду і коли, а також запити, подані на підставі GDPR.
• Аудиторський слід — хто, коли і чого торкнувся.

Де це лежить

Уся інфраструктура даних розташована в Європейському Союзі. База даних і файли стоять у постачальника хостингу у Франкфурті, ключі шифрування — у службі керування ключами в тому самому регіоні, транзакційна пошта і SMS — у постачальників із Союзу, платежі — у польського оператора.

Найчутливіші поля — зокрема номер PESEL, номер рахунку і текст клінічної нотатки — додатково шифруються на рівні колонки, окремим ключем для кожного закладу. Витік самої лише копії бази не розкрив би їхнього змісту.

Повний, актуальний перелік суб'єктів, яким ми доручаємо обробку, разом із розташуванням і категорією даних, стоїть у договорі про обробку. Зміна цього переліку потребує завчасного попередження закладу і дає йому право заперечити.

Як довго

Строки зберігання випливають із приписів, а не з рішення Heltio:

• Медична документація — 20 років від останнього запису, з винятками, передбаченими законом про права пацієнта (довше для документації дітей, коротше для частини результатів і знімків).
• Рахунки-фактури і розрахункові дані — 5 років від кінця податкового року.
• Аудиторський слід — 5 років.

Заклад встановлює свій строк зберігання в Налаштуваннях → GDPR і конфіденційність, у межах від 6 до 99 років; типово 20. Після спливу строку дані видаляються автоматично, якщо на них не діє юридичне блокування. Подробиці та підстави: зберігання даних.

Як вимагати своїх даних

Пацієнт із доступом до порталу робить це сам: меню під аватаром, Конфіденційність і згоди, кнопка Завантажити мої дані. Heltio готує копію, а посилання на завантаження дійсне кілька хвилин — ти можеш повернутися за новим будь-коли.

Без порталу запит подається безпосередньо в закладі. Адресу для звернень щодо GDPR заклад зазначає у своїй політиці конфіденційності; він встановлює її в Налаштуваннях → GDPR і конфіденційність у полі Контактна електронна пошта GDPR.

Заклад бачить усі запити в одному місці, із законним строком біля кожного. Обслуговуються всі права зі статей від 15 до 22 GDPR — доступ, виправлення, видалення, обмеження, перенесення і заперечення. Повний опис: права суб'єкта даних.

Пов'язані

• Договір про обробку і субобробники — обов'язковий перелік постачальників.
• Шифрування та резидентність даних — як саме ми захищаємо дані.
• Права суб'єкта даних — як подати запит і чого очікувати.
• Як повідомити про порушення — коли щось пішло не так.