Соглашение об обработке персональных данных (DPA)
Черновик для юриста. Документ не опубликован официально и не создаёт юридических обязательств.
Версия 0.2.0 · 25.09.2026 · Приложение к договору (публичной оферте) на доступ к сервису dodoc.kz
Стороны: [название клиники], БИН [БИН клиники] (далее — «Клиника»), — собственник и оператор базы персональных данных пациентов; [наименование юрлица dodoc, БИН] (далее — «dodoc») — лицо, обрабатывающее персональные данные по поручению Клиники (обработчик).
1. Предмет
1.1. Клиника поручает, а dodoc осуществляет обработку персональных данных, в том числе сведений, составляющих врачебную тайну, исключительно для предоставления Клинике сервиса dodoc.kz по договору и по документированным указаниям Клиники (настройки Клиники в Сервисе считаются такими указаниями).
1.2. dodoc не использует данные Клиники в собственных целях, не продаёт и не передаёт их третьим лицам, кроме случаев, указанных в разделе 6 и в законе.
2. Субъекты, данные, операции
| Субъекты | Категории данных | Операции |
|---|---|---|
| Пациенты Клиники и их законные представители | ФИО, дата рождения, телефон, ИИН (если включено Клиникой), записи о визитах, жалобы, аудио и расшифровки приёмов, медицинские записи, назначения, переписка и звонки с AI-администратором, согласия | Сбор, запись, хранение, распознавание речи, разделение говорящих, составление черновиков, поиск, передача пациенту по команде врача, передача субпроцессорам для AI-обработки (раздел 7), выгрузка, удаление |
| Сотрудники Клиники | ФИО, телефон, e-mail, роли, журнал действий | Обеспечение доступа и журнала аудита |
3. Размещение данных
3.1. Данные Клиники хранятся на серверах в Республике Казахстан: базы данных, файловое хранилище (включая аудиозаписи приёмов), резервные копии, журналы. Поиск по базе знаний Клиники выполняется на сервере в РК.
3.2. AI-обработка (распознавание речи, языковая модель, синтез речи) выполняется субпроцессорами за пределами РК по правилам раздела 7. Результаты обработки возвращаются и хранятся в РК.
3.3. Иные случаи, прямо принимаемые Клиникой:
- WhatsApp: сообщения пациентов и ответы AI-администратора проходят через инфраструктуру Meta Platforms и провайдера доступа к WhatsApp Business API, серверы которых могут находиться за пределами РК. Клиника получает согласия пациентов на переписку с раскрытием этого факта.
- Push-уведомления (Expo, Google, Apple) — без персональных и медицинских данных.
4. Меры защиты
dodoc применяет меры, описанные в политике ИБ dodoc, в том числе: шифрование при передаче (TLS 1.2+) и при хранении, отдельный ключ шифрования Клиники и отдельный ключ для каждого аудиофайла; изоляцию данных клиник на уровне базы данных; разграничение доступа по ролям; обязательную двухфакторную аутентификацию сотрудников dodoc; неизменяемый журнал аудита открытий записей, расшифровок, аудио, выгрузок, смены ролей и доступа поддержки; отсутствие персональных и медицинских данных в журналах приложений; резервное копирование в РК с ежемесячной проверкой восстановления; регулярные проверки безопасности и внешний тест на проникновение.
5. Доступ сотрудников dodoc
5.1. Поддержка. Сотрудник dodoc видит данные Клиники только при наличии активного обращения в поддержку и явного согласия Клиники на доступ; доступ ограничен сроком (по умолчанию 24 часа) и записывается в журнал аудита, который видит Клиника.
5.2. Контроль качества AI. Для контроля качества AI сотрудники dodoc с ролью контроля качества получают без обращения в поддержку обезличенные выборки (случайные, с низкой уверенностью AI, с правками врачей, с жалобами): имена, телефоны, ИИН, даты рождения, адреса в них замаскированы. Доступ к необезличенным данным — только по п. 5.1. Клиника даёт согласие на такую обработку, подписывая DPA.
5.3. Все сотрудники dodoc с доступом к данным обязаны соблюдать конфиденциальность и врачебную тайну по договору с dodoc.
6. Субподрядчики (субпроцессоры)
6.1. Список субпроцессоров на дату редакции:
| Субпроцессор | Цель | Категории данных | Обезличивание | Где | Хранение у субпроцессора |
|---|---|---|---|---|---|
| Хостинг-провайдер в РК [наименование — указать после выбора площадки] | Размещение серверов dodoc: базы данных, файлы, резервные копии, журналы, поиск по базе знаний | Все данные Клиники в зашифрованном виде | Не требуется: данные не покидают РК | РК | Весь срок договора; удаление по разделу 12 |
| Anthropic PBC | Языковая модель Claude: черновики записей приёмов, сверка назначений с расшифровкой, ответы AI-администратора, разбор заявок на бирже врачей | Текст расшифровок приёмов, сообщений пациентов, заявок Клиники | Имена, телефоны, ИИН, даты рождения и адреса заменяются метками (п. 7.4) | США | Данные API не используются для обучения моделей; срок хранения — по политике Anthropic [юрист: проверить по действующей политике] |
| Soniox Inc. | Распознавание речи, разделение говорящих и синтез речи голосового бота | Аудиозаписи приёмов и диктовок, голосовые сообщения, речь пациента в звонках голосового бота; текст ответа бота, который нужно произнести | Невозможно: аудио и текст для синтеза передаются как есть | США [юрист и Tech Flow: регион обработки — США или ЕС] | Потоковое распознавание и синтез у Soniox не хранятся; файлы для распознавания dodoc удаляет сразу после получения результата (без удаления Soniox удаляет их через 30 дней); по условиям Soniox данные не используются для обучения моделей [юрист: проверить по DPA Soniox] |
| Провайдер WhatsApp Business API [наименование BSP] и Meta Platforms | Доставка сообщений WhatsApp | Сообщения в WhatsApp | Не применяется | Инфраструктура Meta, в том числе за пределами РК | По условиям Meta и BSP |
| Оператор связи (SIP-транк) [наименование] — для голосового бота | Приём и перевод звонков | Голос звонков | Не применяется | РК | По договору с оператором |
| SMS-провайдер [наименование] | Коды входа и напоминания | Телефон, текст кода или напоминания | Не применяется | РК | По договору с провайдером |
| Expo, Google, Apple | Доставка push-уведомлений | Токен устройства и текст push без персональных данных | Персональных данных нет | За пределами РК | По условиям провайдеров |
6.2. dodoc передаёт субпроцессору только данные, необходимые для конкретной задачи, и заключает с ним договор, обязывающий соблюдать конфиденциальность и меры защиты [юрист и Tech Flow: договоры и DPA dodoc с Anthropic, Soniox].
6.3. dodoc уведомляет Клинику о новом субпроцессоре не менее чем за [30] дней; Клиника вправе возразить и расторгнуть договор без штрафов, если возражение не урегулировано.
7. AI-обработка у зарубежных субпроцессоров
7.1. На дату редакции собственных AI-моделей в РК у dodoc нет: распознавание речи, языковая модель и синтез речи выполняются субпроцессорами из раздела 6 за пределами РК. Обработка полностью в РК может быть предложена Клинике дополнительно, когда dodoc разместит модели на серверах в РК; до этого она не предоставляется.
7.2. Согласие Клиники. Принимая DPA и документ «Согласие пациента на трансграничную обработку данных AI-сервисами» (раздел «Для Клиники»), Клиника поручает dodoc трансграничную передачу данных субпроцессорам раздела 6 для AI-обработки и подтверждает, что получает согласия пациентов по п. 7.3. Принятие фиксируется в Сервисе (дата, редакция документа, кто принял, способ: код или ЭЦП). Клиника вправе отозвать это согласие; после отзыва данные Клиники субпроцессорам для AI-обработки не передаются, а AI-функции Клинике недоступны, пока не будет доступна обработка в РК.
7.3. Согласие пациента. Данные конкретного пациента передаются субпроцессорам только при его согласии на трансграничную обработку (документ «Согласие пациента на трансграничную обработку данных AI-сервисами»). Согласие фиксируется в Сервисе: в переписке — ответом пациента AI-ассистенту; на приёме — отметкой врача со слов пациента или по подписанному бланку. Отзыв согласия действует сразу.
7.4. Без согласия пациента AI-функции для него не используются: скрайб для приёма недоступен, врач заполняет запись вручную; AI-ассистент не обрабатывает сообщения и звонки пациента и передаёт диалог сотруднику Клиники. Признаки угрозы жизни распознаются всегда: без согласия — по встроенному словарю тревожных признаков на сервере dodoc в РК, без передачи субпроцессорам; пациенту направляется сообщение с номерами 103 и 112, диалог передаётся сотруднику с высшим приоритетом.
7.5. Обезличивание. Перед отправкой текста имена, телефоны, ИИН, даты рождения и адреса автоматически заменяются метками и восстанавливаются после ответа на сервере dodoc в РК. Автоматическое обезличивание может не распознать нестандартную запись таких данных [юрист: оценить формулировку]. Аудиозапись так обезличить нельзя — это указано в согласии пациента. Текст для синтеза речи передаётся без обезличивания.
7.6. Использование данных для обучения моделей субпроцессоров: Anthropic — данные, переданные через API, не используются по коммерческим условиям Anthropic; Soniox — по условиям Soniox данные не используются для обучения и улучшения моделей [юрист: подтвердить по DPA Soniox].
8. Инциденты
dodoc уведомляет Клинику о нарушении безопасности, затрагивающем её данные, без неоправданной задержки, не позднее 24 часов с момента обнаружения, сообщая известные сведения: характер нарушения, категории и примерный объём данных, принятые меры, контактное лицо. dodoc содействует Клинике в уведомлении уполномоченного органа и субъектов в сроки, установленные законом. [Юрист: сроки уведомления уполномоченного органа.]
9. Права субъектов
dodoc помогает Клинике исполнять запросы пациентов (доступ, исправление, удаление, отзыв согласия) средствами Сервиса и в течение [5] рабочих дней по запросу Клиники. Отзыв согласия, отмеченный в Сервисе, действует сразу и останавливает связанную обработку.
10. Сроки хранения
По настройкам Клиники в Сервисе; по умолчанию: аудио — 7 дней после подтверждения записи; переписка — 3 года; записи звонков — 90 дней; журнал аудита — 3 года; подтверждённые записи — срок договора. Клиника самостоятельно устанавливает сроки хранения медицинской документации, предусмотренные законом. Данные, переданные субпроцессорам для AI-обработки, хранятся у них по срокам, указанным в разделе 6.
11. Проверки
Клиника вправе раз в год запросить у dodoc сведения о мерах защиты (политики, результаты последних проверок безопасности и восстановления) и провести проверку за свой счёт с уведомлением за [30] дней без доступа к данным других клиник.
12. Возврат и удаление
При прекращении договора Клиника выгружает данные (ПОРТ-50). После подтверждения собственником Клиники dodoc удаляет данные из базы и хранилища, уничтожает ключи шифрования Клиники (после этого данные в резервных копиях нечитаемы), копии удаляются по графику ротации не позднее 30 дней; Клиника получает акт об удалении. Данные, переданные субпроцессорам для AI-обработки, удаляются у них по их условиям хранения (раздел 6).
13. Срок действия
DPA действует, пока действует договор и пока dodoc хранит данные Клиники.
Клиника: [название клиники] · dodoc: [реквизиты]