Try it free in the sandbox · first FHIR call in 5 minutesFree · 30 synthetic patients · no card
Zabezpečení, soukromí a rezidence dat
Jak jsou data pacienta chráněna: rezidence dat v EU, izolace projektů, párové ID, přihlašovací údaje, souhlas, původ dat, audit viditelný pacientovi a limity soukromé bety.
Lékařská data jsou nejcitlivějšími daty, která může aplikace uchovávat. Tato stránka uvádí, jak je Anpheros Platform dnes chrání – pouze to, co je implementováno – a co je během soukromé bety stále omezeno.
Rezidence dat
- Všechna data platformy jsou ukládána a zpracovávána v Evropské unii: služba a její databáze v Google Cloud
europe-west4(Nizozemsko), fronta pro doručování webhooků veurope-west3(Frankfurt) a neměnný export přístupového protokolu v lokalitě BigQuery EU. - Datová oblast USA: k dispozici na vyžádání pro produkční zákazníky v rámci dohody o obchodním partnerství HIPAA (viz níže); data pacientů z USA pak nikdy neopustí oblast USA.
- Dokumenty jsou ukládány v úložném koši EU šifrovaném pomocí klíče pro šifrování spravovaného zákazníkem (CMEK). Originály jsou po finalizaci neměnné; jejich kontrolní součet SHA-256 a velikost jsou zaznamenány.
Izolace mezi aplikacemi
- Každý API klíč patří k jednomu projektu. Projekt vidí pouze pacienty, které vytvořil – v sandboxu, včetně vlastní kopie syntetických pacientů, kterou žádný jiný projekt nevidí.
- Párové identifikátory: každý projekt obdrží své vlastní ID pro stejnou osobu; interní ID nikdy neopustí platformu, takže ID nelze korelovat mezi aplikacemi.
- Záznam, ke kterému nemáte přístup, odpovídá
404, nikdy403, takže nelze zkoumat existenci pacienta. - Sandbox a produkční prostředí jsou oddělené databáze. Sandbox klíč (
sk_test_) se fyzicky nemůže dostat k reálným pacientům. - Se souhlasem pacienta organizace čte celý záznam, včetně toho, co napsaly jiné organizace, ale může změnit nebo smazat pouze to, co napsala sama.
Přihlašovací údaje
- API klíče se zobrazují pouze jednou a ukládají se pouze jako hash SHA-256. Klíče mají
read/writescopes a nikdy nepřekračují své prostředí. - OAuth 2.1 s povinným PKCE (S256);
redirect_urimusí být registrován přesně. Přístupové tokeny platí 30 minut, obnovovací tokeny 30 dní a rotují při každém použití. - Detekce opětovného použití obnovovacího tokenu: předložení již použitého obnovovacího tokenu zruší celý řetězec tokenů.
- Odpovědi tokenů nesou
Cache-Control: no-store. OpenID Connectid_tokens jsou podepsány pomocí RS256; veřejné klíče jsou publikovány na/oauth/jwks.
Souhlas, původ a audit
- Pacient udělí aplikaci přístup na hostované stránce souhlasu, přičemž zvolí záznam a dobu trvání (30, 90, 180 nebo 365 dní). Rozsahy jsou pro každý typ zdroje a akci, volitelně filtrované podle kategorie. Každé udělení je zrcadleno jako FHIR
Consentzdroj. - Odvolání nabývá účinnosti při dalším požadavku; aplikace se nemůže znovu obnovit.
- Každý zápis vytváří
Provenancezdroj: kdo jej provedl (pacient, praktik, zařízení, import nebo AI), pro kterou organizaci, z jakého zdrojového systému. - Každé čtení je zaznamenáno a viditelné pro pacienta, včetně čtení provedených pomocí vlastního API klíče projektu a včetně kontextu vytvořeného pro modely AI.
Zabezpečení přenosu a webu
- Pouze HTTPS s HTTP Strict Transport Security. Odpovědi API obsahují restriktivní Content-Security-Policy,
X-Content-Type-Options: nosniff,X-Frame-Options: DENYa striktní referrer policy. - Doručování webhooků je podepsáno pomocí HMAC-SHA256 nad časovým razítkem a tělem; příjemci by měli odmítnout podpisy starší než 5 minut. Události obsahují ID a verze, nikdy klinický obsah.
- Omezení rychlosti: 600 požadavků za minutu na přihlašovací údaje a na IP; těla JSON do 2 MiB; dokumenty do 25 MiB.
Vyhledávače a AI prohledávače
Veřejné stránky (anpheros.com, prezentace platformy a tato dokumentace) jsou přístupné vyhledávačům a AI prohledávačům. API, dashboard, stránky OAuth a souhlasu a klientská aplikace (app.anpheros.com) jsou vyloučeny pravidly noindex a robots.txt; žádná z nich nevrací data pacienta bez autentizace.
HIPAA (kliniky v USA)
Pro kliniku ve Spojených státech je Anpheros Business Associate. Níže je uvedeno, jak jsou požadavky HIPAA Security Rule splněny:
| Safeguard | Jak Anpheros zajišťuje |
|---|---|
| Assigned responsibility, risk analysis, written policies (§164.308) | Jmenovaný bezpečnostní důstojník; roční analýza rizik; deset písemných zásad (přístup, šifrování, logování, reakce na incidenty, oznámení o narušení, uchovávání a zálohování, školení, zařízení, nouzový přístup, dodavatelé), uchovávané šest let |
| Unique user identification, access control (§164.312(a)) | Každý klíč, token a osoba má svou vlastní identitu; projekty vidí pouze své vlastní pacienty; rozsahy souhlasu vynuceny při každém čtení; MFA nebo SSO vyžadováno pro organizace s produkčním projektem; automatické odhlášení z dashboardu |
| Audit controls (§164.312(b)) | Každé čtení a zápis je logováno, hashováno, exportováno jako append-only; viditelné pro pacienta |
| Integrity (§164.312(c)) | Verzionované zdroje, provenance při každém zápisu, neměnné dokumenty s SHA-256 |
| Transmission security (§164.312(e)) | TLS 1.2+, HSTS, podepsané webhuky, doručování pouze přes HTTPS |
| Encryption at rest | Databáze a zálohy šifrovány; dokumenty pod klíčem spravovaným zákazníkem |
| Contingency plan (§164.308(a)(7)) | Denní zálohy, obnova k určitému bodu v čase, cvičení obnovy každých 90 dní se zaznamenanými časy |
| Breach notification (§164.410) | Covered Entity je informována do 5 pracovních dnů naším BAA (60 dnů dle zákona) |
| Business associate chain (§164.308(b)) | Google Cloud pod svým BAA; seznam subzpracovatelů je v příloze BAA |
Business Associate Agreement a US data region jsou k dispozici na vyžádání pro produkční zákazníky (pište na [email protected]); produkce pro data amerických pacientů se otevře po podpisu BAA. Sandbox obsahuje pouze syntetické pacienty, takže vývojáři v USA mohou vyvíjet již dnes bez BAA. Anpheros není certifikován podle SOC 2 nebo HITRUST; audit SOC 2 Type II je plánován, jakmile si jej vyžádá zákazník z řad nemocnic.
Aktuální omezení (privátní beta)
- Jednozónové hostování bez automatického převzetí služeb při selhání; zatím bez smluvní SLA.
- Produkční klíče jsou vydávány ověřeným organizacím s podepsanou dohodou o zpracování dat; beta partneři začínají se syntetickými daty.
- Spuštění SMART EHR a parametr OpenID
noncezatím nejsou podporovány.
Související
- GDPR a zdravotní data pro vývojáře
- Vysvětlení původu zdravotních dat: kdo co zapsal a jak to zaznamenat
- Model souhlasu a přístupu
- Autentizace a OAuth
- Limity a omezení rychlosti
- Spolehlivost, stav a incidenty: monitorování, zálohování, komunikace o incidentech
- Architektura
- Evropský prostor pro zdravotní data (EHDS) pro vývojáře
Try it free in the sandbox · first FHIR call in 5 minutesFree · 30 synthetic patients · no card