Ця сторінка пояснює обробку даних про стан здоров'я — особливої категорії персональних даних — коли ви вводите коди МКХ-10 чи показники або завантажуєте медичні документи. Вона доповнює Політику конфіденційності й формулює зміст вашої згоди перед завантаженням документів.
1. Які дані обробляються
- Коди МКХ-10 та клінічні показники, які ви вводите.
- Текст діагнозів і висновків ВЛК.
- Зображення медичних документів (фото/скани виписок, результатів обстежень) — лише якщо ви їх завантажуєте й даєте на це згоду.
2. Зміст вашої згоди
Завантаження документа можливе лише після того, як ви поставите окрему позначку згоди (кнопка завантаження неактивна без неї). Надаючи згоду, ви підтверджуєте:
- що погоджуєтеся на обробку даних про стан здоров'я (особлива категорія) з метою аналізу проти Розкладу хвороб;
- що завантажуваний документ — ваш, або ви маєте згоду особи, якої він стосується;
- що ознайомлені з тим, кому й куди передається зображення на крок розпізнавання (нижче);
- що погоджуєтеся на можливу разову транскордонну передачу зображення до країни без рішення про адекватність рівня захисту (США), якщо спрацьовує резервний шлях розпізнавання (нижче).
Правова підстава — ваша явна (однозначна) згода (ст. 7, ч. 2, п. 1 Закону України «Про захист персональних даних»; для користувачів із ЄС — ст. 9(2)(a) GDPR). Згода добровільна: завжди доступне ручне введення без передачі зображень.
3. Межі обробки й передачі
- Де обробляються дані. Застосунок, база даних, сервіс знеособлення й зашифровані резервні копії розміщені на орендованих нами серверах Hetzner Online GmbH у Німеччині (ЄС). Туди надходить усе, що ви вводите чи завантажуєте; фото чи скан там лише транзитно обробляється і видаляється після розпізнавання. Німеччина як держава — учасниця Європейського економічного простору визнається такою, що забезпечує належний рівень захисту персональних даних (абзац другий частини 3 статті 29 Закону України «Про захист персональних даних»), тож окремої згоди на це не потрібно.
- Розпізнавання — один крок, зовнішній сервіс. Зображення передається на розпізнавання сервісу AWS Bedrock (регіон ЄС, Франкфурт) — або, як резерв, іншому сервісу (Google Document AI, ЄС; OpenAI, США). Це єдиний випадок, коли зображення виходить за нашу інфраструктуру, і лише на цей крок.
- Транскордонна передача (резервний шлях). Основний шлях розпізнавання працює в ЄС. Якщо спрацьовує резервний шлях, зображення може передаватися до OpenAI (США) — країни без рішення про адекватність рівня захисту. Підставою такої разової передачі є ваша явна згода (ст. 29 Закону України «Про захист персональних даних»; для користувачів із ЄС — ст. 49(1)(a) GDPR). Обравши ручне введення, ви повністю уникаєте цієї передачі.
- Без навчання на ваших даних. Постачальники розпізнавання працюють у режимі, що забороняє навчання на ваших даних, і не зберігають скан понад обробку запиту (на резервному шляху можливе короткочасне технічне зберігання для отримання результату).
- Знеособлення до відправки — на вашому пристрої. Перед розпізнаванням ви обовʼязково переглядаєте кожну сторінку й можете замалювати персональні дані (ПІБ, дату народження, адресу, номери документів чи військової частини) інструментом редагування просто на сайті; наприкінці підтверджуєте перегляд окремою відміткою. Замальоване вписується в самі пікселі, а не накладається зверху: сторінка перемальовується у вашому браузері, і за межі пристрою виходить лише перемальована копія — оригінальний файл не надсилається ніколи. Файли PDF перетворюються на зображення теж локально, тому під замальованим не лишається прихованого текстового шару, а сервер приймає виключно зображення. Саме замальовування — на ваш розсуд; ми чесно зазначаємо, що це зниження ризику, а не гарантія: пропущені дані потраплять у розпізнавання, і саме тому діють наступні два запобіжники.
- Мінімізація на виході. Модель розпізнавання має інструкцію повертати лише медичні факти (коди, формулювання діагнозів, показники) і заборону повертати ідентифікатори особи (ПІБ, дату народження, адресу, номери документів чи військової частини).
- Аналіз — без ідентифікаторів. Подальший аналіз працює лише зі знеособленим змістом і кодами; вашого імені та інших ідентифікаторів аналітичні моделі не отримують.
4. Технічні та організаційні заходи захисту
- Перед передачею зображення нормалізується, а метадані (EXIF/GPS) видаляються.
- Скан обробляється транзитно й видаляється після розпізнавання; у постійне сховище не записується ніколи.
- Звіт шифрується та відкривається лише за номером і кодом доступу; файли при цьому не зберігаються.
- Готовий звіт зберігається 72 години від завершення аналізу, після чого медичні дані з нього стираються автоматично. Видалити його раніше можна кнопкою на сторінці звіту (потрібен код доступу), а зберегти собі — завантаживши PDF.
- Доступ до даних обмежений; технічні журнали не містять сирого діагнозу, прив'язаного до особи.
5. Право відкликати згоду
Ви можете відкликати згоду в будь-який момент — це не впливає на законність обробки до відкликання. Після відкликання ми припиняємо відповідну обробку; ви також можете будь-коли видалити свій звіт кнопкою на його сторінці. Факт надання згоди фіксується (дата й версія документа) для цілей підзвітності.
6. Що варто зважити
Сервери Сервісу розташовані в Німеччині (ЄС), а частина сервісів розпізнавання — компанії за межами України, зокрема зі США. Ручне введення кодів і показників дозволяє повністю уникнути передачі зображення сервісам розпізнавання, але введені вами дані все одно обробляються на наших серверах у Німеччині. Якщо для вас неприйнятна будь-яка обробка даних про стан здоров'я за межами України, не вводьте їх для аналізу. Довідник Розкладу хвороб доступний без введення будь-яких персональних даних.
Див. також: Політика конфіденційності та Умови використання.