Try it free in the sandbox · first FHIR call in 5 minutesFree · 30 synthetic patients · no card

Souhlas a model přístupu

Kdo vidí co: izolace projektů, párové ID, udělení, vlastnictví zápisu, původ a co pacient vidí o každé aplikaci s přístupem.

Pravidlo: se souhlasem pacienta organizace vidí celý záznam — včetně toho, co napsaly jiné kliniky — ale může měnit nebo mazat pouze to, co napsala sama. Každá verze každého zdroje zaznamenává projekt, který jej zapsal, a organizaci, jejímž jménem byl zapsán.

Kdo co vidí

• Projekt (API klíč) vidí pacienty, které vytvořil. V rámci grantu (OAuth token) aplikace vidí přesně jednoho pacienta napříč všemi zapisovateli, omezeno na udělené rozsahy (scopes) a filtry kategorií. Vše ostatní vrací 404, nikdy 403, takže ID nelze zkoumat.
• Párová ID: každý projekt obdrží své vlastní ID pro stejnou osobu; interní ID nikdy neopustí platformu. Odkazy na pacienty mimo váš rozsah jsou maskovány neprůhledným, per-projektovým tokenem.
• Adresář (Organization, Practitioner, PractitionerRole): čitelný podle ID napříč celou platformou, aby se odkazy vyřešily; prohledávatelný pouze v rámci vašeho projektu; použitelný jako X-Anpheros-Acting-As / X-Anpheros-On-Behalf-Of pouze tehdy, pokud je váš.
• Sandbox a produkce jsou různé databáze. Sandbox klíč se fyzicky nemůže dostat k reálným pacientům.

Zápisy a vlastnictví

• project_id u každé verze zdroje = zapisovatel. Aktualizace/smazání jiným projektem → 403 s vysvětlením; zapište si vlastní zdroj.
• Provenance.agent.onBehalfOf = klinika/organizace v době zápisu: X-Anpheros-On-Behalf-Of, jinak organizace aktuálně působícího PractitionerRole, jinak organizace projektu.
• Každý zápis vytváří zdroj Provenance a řádek auditu (kdo, co, kdy, pod jakým grantem, jakou aplikací, z jakého otisku zdroje).

Co vidí pacient

/me/patients/{id}/grants vypisuje každou aplikaci s přístupem, její rozsahy (scopes) a datum vypršení platnosti; …/access-log vypisuje, co každá aplikace přečetla nebo zapsala — pod souhlasem a s vlastním klíčem projektu. Odvolání má účinnost při dalším požadavku; aplikace se nemůže znovu obnovit. S format=fhir se protokol přístupu vrací jako Bundle zdrojů FHIR R4 AuditEvent, tvarovaný podle IHE Basic Audit Log Patterns (typ rest, interakce jako podtyp, aplikace a osoba jednající skrze ni jako agenti, pacient a zdroj jako entity, žádná klinická data), takže jiný systém jej může sloučit do pohledu osoby na to, kdo přistupoval k jejímu záznamu.

Co zaznamenává každý zdroj Provenance a jak jej nastavit: Vysvětlení původu lékařských dat.

SMART Health Links (sdílení pomocí QR kódu nebo odkazu)

Osoba může sdílet svůj záznam bez zprostředkování aplikace: POST /me/patients/{id}/shl vytvoří SMART Health Link pro nouzovou podmnožinu (alergeny, léky, problémy, imunizace – žádné výsledky ani historie) nebo úplný International Patient Summary, s volitelným heslem a expirací. Odpověď nese shlink:/… URI (pro QR kód) a adresu prohlížeče na /shl/view, která jej otevře v libovolném prohlížeči. Kdokoli jej naskenuje, odešle požadavek na manifest URL a obdrží souhrn jako JWE (dir + A256GCM) šifrovaný klíčem uvnitř odkazu; funguje jakýkoli čtečka SMART Health Link.

• Obsah je generován při každém otevření (příznak L, stav can-change), takže karta uložená v telefonu zůstává aktuální.
• Heslo (příznak P) je kontrolováno na serveru; po 10 nesprávných pokusech odkaz přestane fungovat.
• GET /me/patients/{id}/shl vypisuje odkazy s informací, jak často a kdy byl každý otevřen; …/shl/{link}/revoke okamžitě jeden deaktivuje. Každé otevření je v přístupovém logu.
• Interní ID osoby nikdy neopustí platformu: dokument je pojmenovává pseudonymem odkazu.

AI agent navrhuje, člověk rozhoduje

Podle souhlasu osoby, zápis provedený AI agentem (aplikace registrovaná jako agent, například asistent připojený přes MCP) nebo jakýkoli zápis s author_type ai se neprovede okamžitě. Platforma jej validuje a odpoví 202 Accepted s ID návrhu (hlavička Anpheros-Proposal); v záznamu se nic nezmění. Osoba ji vidí v GET /me/patients/{id}/proposals — co to je, která aplikace to poslala — a přijme nebo odmítne (…/proposals/{proposal}/accept nebo …/reject). Přijatý návrh se zapíše přesně tak, jak byl odeslán, označen jako napsaný AI (HL7 AI Transparency). Projekty, které vidí záznam, obdrží tenký proposal.created webhook. Zápisy provedené s vlastním klíčem projektu, na záznamech, které projekt vytvořil, nejsou zadržovány.

Try it free in the sandbox · first FHIR call in 5 minutesFree · 30 synthetic patients · no card