Согласие на обработку данных о состоянии здоровья

Результаты анализов — специальная категория персональных данных, и согласие на их обработку даётся отдельно от всех остальных. Документ описывает, что именно обрабатывается, что и в каком виде передаётся внешнему обработчику и как отозвать согласие.

1. Предмет согласия

Настоящее согласие даётся Оператору — физическому лицу со статусом индивидуального предпринимателя, реквизиты которого приведены на странице «Контакты», — на обработку данных о состоянии здоровья пользователя.

Данные о состоянии здоровья относятся к специальной категории персональных данных (статья 10 Федерального закона от 27.07.2006 № 152-ФЗ). Их обработка допускается только с предварительного согласия субъекта, выраженного отдельным действием. Именно поэтому настоящее согласие оформлено самостоятельным документом и не объединено ни с согласием на обработку иных персональных данных, ни с принятием публичной оферты.

Согласие даётся свободно, своей волей и в своём интересе. Отметка о согласии не является предустановленной: без вашего действия она остаётся непроставленной, а загрузка бланка отклоняется — это проверяется не только на странице, но и на сервере.

2. Что не поступает к нам вовсе

Перед отправкой сервис показывает шаг «закройте личные данные»: поверх снимка уже стоит рамка в том месте, где на бланке обычно напечатана шапка. Закрашивание выполняется в вашем браузере и меняет сами точки изображения — на наш сервер уходит уже закрашенный файл, а исходный не покидает устройство. Закрытое таким образом Оператором не обрабатывается и внешнему обработчику не передаётся.

Рамку можно сдвинуть, добавить вторую или снять совсем. Если вы её сняли, снимок уходит как есть.

Шаг работает только для снимков и фотографий. Для файлов PDF и в браузерах, которые не умеют обрабатывать изображение на стороне пользователя, он не показывается вовсе, и файл отправляется в исходном виде — вместе с шапкой, если она в нём есть.

3. Какие данные обрабатываются

• файл с результатами лабораторных исследований — изображение или PDF — в том виде, в каком он отправлен с вашего устройства;
• сведения, напечатанные в этом файле: наименования показателей, их числовые значения и единицы измерения, результаты, напечатанные словом, референсные интервалы, наименование лаборатории и дата исследования;
• фамилия, имя, отчество, дата рождения, номер полиса, номер заказа и штрих-код — только в составе изображения бланка и только если они на нём остались; отдельными полями сервис их не запрашивает и не хранит;
• пол и возраст, а также, при добровольном указании, факт беременности и её срок — эти сведения нужны для подбора референсных интервалов;
• отпечаток содержимого файла, по которому видно, что прислана та же бумага повторно;
• подготовленный по результатам обработки отчёт, включая его PDF-версию;
• записи журнала обращений: дата, действие, идентификатор разбора и сетевой адрес, с которого пришло обращение. Значений показателей и содержимого бланка в журнале нет.

4. Цели обработки

• распознавание содержимого загруженного бланка;
• повторное чтение того же бланка и сверка двух чтений между собой — ради точности прочитанных чисел;
• сопоставление значений показателей с референсными интервалами по полу, возрасту и лаборатории;
• подготовка информационно-справочного отчёта и его PDF-версии;
• сравнение показателей между бланками разных дат, загруженными в одном обращении;
• предоставление доступа к отчёту по персональной ссылке в течение срока его хранения;
• направление отчёта на указанный адрес электронной почты, а также в Telegram или MAX, если вы сами привязали бота;
• исполнение договора оказания информационно-справочных услуг.

5. Действия с данными

Согласие даётся на сбор, запись, систематизацию, накопление, хранение, уточнение, извлечение, использование, обезличивание, блокирование, удаление и уничтожение указанных данных, а также на их передачу лицам, перечисленным в разделах о передаче.

Обработка ведётся преимущественно автоматизированными средствами. Решений, порождающих юридические последствия, на основании исключительно автоматизированной обработки не принимается: отчёт носит информационно-справочный характер и не является медицинским документом.

6. Передача провайдеру языковой модели

Раздел раскрывает факт и объём передачи данных внешнему обработчику. Мы описываем это прямо, а не общей формулировкой, потому что речь идёт о специальной категории данных и о трансграничной передаче.

Для распознавания бланка и подготовки текстовых пояснений Оператор использует внешнего поставщика языковой модели. Передача происходит сразу после загрузки файла — до оплаты и независимо от неё: бесплатный разбор устроен так же, как платный.

В действующей конфигурации сервиса используется зарубежный поставщик: обработка происходит на серверах за пределами Российской Федерации, что является трансграничной передачей персональных данных. Соединение с поставщиком может проходить через промежуточный сервер, настроенный Оператором; содержимое такого соединения защищено шифрованием и промежуточному серверу не раскрывается.

Обезличивание на нашей стороне — удаление персонифицирующей части бланка перед передачей — сервисом предусмотрено, но в настоящее время выключено. Это значит, что сервер из вашего файла ничего не вырезает: поставщику уходит ровно то изображение, которое к нам поступило. Если шапка с фамилией, датой рождения, номером полиса, номером заказа или штрих-кодом на нём осталась, она уходит вместе с бланком.

Бланк передаётся не однажды. Он читается дважды — целым кадром и по полосам, — а если два чтения назвали разные числа, то и третий раз. Это сделано ради точности распознавания, и каждое чтение является отдельной передачей того же изображения.

На этапе подготовки текстовых пояснений изображение бланка не передаётся вовсе: обрабатываются только названия показателей, их значения и единицы измерения, напечатанные интервалы, вычисленные статусы, пол и возраст.

7. Передача иным лицам

Данные о состоянии здоровья не передаются платёжному агрегатору: для проведения платежа содержимое бланка не требуется. Ему уходят сумма, назначение платежа, служебный номер заказа и контакт для кассового чека — адрес электронной почты либо номер телефона, как того требует законодательство о применении контрольно-кассовой техники.

• хостинг-провайдер, на сервере которого работает сервис, — обеспечивает размещение баз данных и файлов бланков;
• поставщик услуг электронной почты — доставляет письмо, в котором перечислены показатели вне нормы с их значениями, приведена ссылка на отчёт и вложен PDF-файл отчёта;
• оператор мессенджера Telegram или MAX — если вы сами привязали бота: в чат уходят краткая сводка по отчёту, ссылка и тот же PDF-файл. Серверы Telegram расположены за пределами Российской Федерации, то есть это тоже трансграничная передача, и происходит она только по вашей инициативе;
• иным лицам — только в случаях, прямо предусмотренных законом.

8. Сроки хранения

• исходный файл бланка удаляется автоматически в течение 47 часов после его загрузки;
• распознанные значения показателей и отчёт удаляются автоматически по истечении срока хранения: неоплаченный разбор — через 30 суток после загрузки, оплаченный — через 90 дней после оплаты. Дата удаления указана в письме и на странице отчёта;
• отзыв согласия и требование об удалении исполняются раньше этого срока: дожидаться его истечения не нужно;
• удаление по требованию пользователя необратимо: стираются исходный файл, распознанные значения, отчёт и его PDF-версия. В журнале обращений остаётся запись о самом факте удаления — без содержимого бланка и без значений показателей; журнал хранится не дольше года.

9. Меры защиты

• передача данных по защищённому протоколу TLS: сайт доступен только по HTTPS, обращения по незащищённому протоколу переадресуются;
• загруженный файл проверяется антивирусом до постановки в разбор; если проверка не состоялась, это записывается в журнал обращений вместе с причиной;
• файлы бланков лежат в каталоге, доступном только процессу самого сервиса; шифрования файлов на диске сервера не производится, и мы не утверждаем обратного. При работе сервиса на объектном хранилище дополнительно включается шифрование на его стороне;
• журнал обращений к данным о состоянии здоровья: в нём записано, кто, когда и к какому разбору обращался и по какому каналу отчёт покидал сервис, — без содержимого бланка и без значений показателей;
• доступ к служебной панели закрыт паролем, а неудачные попытки входа наращивают паузу перед следующей;
• исключение значений показателей, содержимого бланков и адресов файлов в хранилище из технических журналов;
• на экране загрузки бланка и на странице отчёта счётчик веб-аналитики не подключается вовсе, поэтому записывать там нечего.

10. Срок действия и отзыв

Согласие действует до достижения целей обработки либо до его отзыва.

Отзыв производится направлением обращения на адрес komyaka@ya.ru с адреса электронной почты, использованного при работе с сервисом. Объяснение причин не требуется. К обращению нужно приложить ссылку на отчёт: учётных записей у сервиса нет, и эта ссылка — единственное, чем ваш разбор опознаётся.

Обращение исполняет сотрудник Оператора: самостоятельной кнопки удаления в сервисе нет. Ответ предоставляется в срок, установленный Федеральным законом № 152-ФЗ.

После отзыва обработка данных о состоянии здоровья прекращается, а сами данные уничтожаются. Уже переданные внешнему обработчику сведения возврату не подлежат — это ограничение технологии, и мы указываем его прямо, а не умалчиваем. То же относится к письму и сообщению в мессенджере, если отчёт уже был отправлен: их дальнейшая судьба определяется вашим почтовым ящиком и вашим мессенджером.

11. Подтверждения пользователя

Давая согласие, пользователь подтверждает, что:

• достиг возраста 18 лет и действует в отношении собственных результатов исследований либо от имени лица, законным представителем которого является;
• ознакомлен с информационно-справочным характером услуги и понимает, что отчёт не является медицинским документом и не заменяет консультацию врача;
• ознакомлен с фактом и объёмом трансграничной передачи сведений, включая передачу шапки бланка с фамилией и иными идентифицирующими сведениями, если они остались на изображении, — как описано в разделе выше;
• понимает, что передача поставщику языковой модели происходит уже при загрузке бланка, до оплаты и независимо от неё;
• ознакомлен с правами субъекта персональных данных и с порядком отзыва согласия.