Безопасность данных

Где хранятся данные

Все персональные и медицинские данные хранятся на серверах в Казахстане: база данных, файлы и аудио приёмов, резервные копии и журналы.

Резервные копии зашифрованы и тоже хранятся в Казахстане. Восстановление из копии проверяется ежемесячно.

Где работает AI

Собственных AI-серверов в Казахстане у dodoc пока нет. Распознавание речи, языковую модель и синтез речи мы используем у зарубежных провайдеров, а данные и результаты храним в Казахстане. Поиск по базе знаний клиники работает на сервере в Казахстане.

Данные уходят провайдерам только с согласия. Клиника даёт его в соглашении об обработке данных, пациент отдельно: в WhatsApp или на приёме у врача. Без согласия пациента AI для него не работает: врач заполняет запись сам, диалог в WhatsApp ведёт администратор. Опасные симптомы бот распознаёт всегда и направляет в 103 или 112.

Перед отправкой имена, телефоны, ИИН, даты рождения и адреса в тексте заменяются метками и восстанавливаются после ответа уже в Казахстане. Аудио так обезличить нельзя, и это прямо сказано в тексте согласия.

Обработку AI полностью в Казахстане мы рассматриваем как вариант на будущее. Сейчас такого режима нет.

Кто обрабатывает данные для AI

Anthropic PBC, США: языковая модель Claude. Готовит черновики записей приёмов, сверяет назначения с расшифровкой, отвечает пациентам и разбирает заявки на бирже врачей. Получает текст без имён, телефонов, ИИН и адресов.

Soniox, США: распознавание речи, разделение говорящих и синтез речи голосового бота. Получает аудио приёма и диктовки, голосовые сообщения, речь пациента в звонке и текст ответа, который бот произносит. Аудио обезличить нельзя.

Хостинг в Казахстане: серверы, на которых хранятся база данных, файлы, резервные копии и журналы и работает поиск по базе знаний.

По коммерческим условиям Anthropic данные, переданные через API, не используются для обучения моделей. Условия всех провайдеров, включая сроки хранения, приведены в соглашении об обработке данных; его текст сейчас проверяет юрист.

Каналы связи

Сообщения WhatsApp по своей природе проходят через инфраструктуру Meta, а звонки через облачного провайдера телефонии проходят через его серверы. Мы честно пишем об этом в политике конфиденциальности, в соглашении с клиникой и в согласии пациента на переписку. Для телефонии мы предпочитаем местного SIP-оператора.

Шифрование

В канале: TLS 1.2 и выше, предпочтительно 1.3, и HSTS. Мобильное приложение работает только по HTTPS.

При хранении: шифрование дисков и шифрование на уровне приложения с отдельным ключом каждой клиники. У каждого аудиофайла свой ключ. Ключи меняются без остановки сервиса.

Изоляция клиник

Каждая клиника видит только свои данные. Изоляция работает на уровне базы данных и в сервисах, а автотесты пытаются прочитать и изменить данные чужой клиники через каждый адрес API.

Медицинские данные разных клиник не объединяются. Если врач работает в двух клиниках, он входит один раз, но записи клиник не смешиваются.

Кто видит данные

Доступ определяется ролью и проверяется на сервере при каждом запросе. Врач видит свои приёмы, главврач видит записи и журнал правок врачей клиники. Собственник видит количество приёмов, но не текст записей.

Для собственника, главврача, бухгалтера и HR вход обязательно подтверждается вторым фактором. Врачи и администраторы входят по коду и PIN или биометрии в приложении. Когда сотрудник уходит из клиники, доступ к её данным закрывается сразу.

Журнал аудита

В журнал попадает каждое открытие записи приёма, расшифровки и аудио, каждая выгрузка, смена ролей и доступ поддержки dodoc. Журнал только пополняется: записи связаны цепочкой хэшей, поэтому незаметно изменить их нельзя.

Аудио приёма

Аудио удаляется через 7 дней после подтверждения записи. Клиника может выбрать срок от 0 до 30 дней.

На телефоне врача аудио хранится только внутри приложения в зашифрованном виде, не попадает в галерею и облачные копии и удаляется после подтверждённой загрузки на сервер.

AI готовит, врач решает

Результат AI в dodoc называется черновиком или подсказкой. Запись подтверждает и подписывает врач. Поле без источника в разговоре остаётся пустым, назначения сверяются с расшифровкой.

AI-администратор не даёт медицинских советов. При опасных симптомах он направляет пациента в 103 или 112 и передаёт диалог дежурному администратору с высшим приоритетом.

Чьи это данные

Записи приёмов, карточки пациентов и диалоги принадлежат клинике. dodoc обрабатывает их по поручению клиники на основании соглашения об обработке данных (DPA).

Собственник может выгрузить все данные клиники. После окончания договора данные удаляются из базы, хранилища и резервных копий, клиника получает акт об удалении.

Безопасная разработка

Разработка ведётся по OWASP ASVS уровня 2. При каждом изменении автоматически проверяются код, зависимости, контейнеры и утечки секретов. Перед запуском в продакшен запланирован внешний тест на проникновение.