# Zabezpečení, ochrana soukromí a rezidence dat

> Jak jsou chráněna data pacientů: rezidence dat v EU, izolace projektů, párové identifikátory, přihlašovací údaje, souhlas, původ dat, audit viditelný pro pacienta a omezení soukromé bety.

Source: https://developers.anpheros.com/cs/guides/security

Lékařská data jsou nejcitlivějšími daty, která může aplikace uchovávat. Tato stránka uvádí, jak je Anpheros Platform dnes chrání – pouze to, co je implementováno – a co je během soukromé bety stále omezeno.

## Rezidence dat

- Všechna data platformy jsou ukládána a zpracovávána v Evropské unii: služba a její databáze v Google Cloud `europe-west4` (Nizozemsko), fronta pro doručování webhooků v `europe-west3` (Frankfurt) a neměnný export přístupového protokolu v lokalitě BigQuery EU.
- **Datová oblast USA:** k dispozici na vyžádání pro produkční zákazníky v rámci dohody o obchodním partnerství HIPAA (viz níže); data pacientů z USA pak nikdy neopustí oblast USA.
- Dokumenty jsou ukládány v úložném koši EU šifrovaném pomocí klíče pro šifrování spravovaného zákazníkem (CMEK). Originály jsou po finalizaci neměnné; jejich kontrolní součet SHA-256 a velikost jsou zaznamenány.

## Izolace mezi aplikacemi

- Každý API klíč patří k jednomu **projektu**. Projekt vidí pouze pacienty, které vytvořil – v sandboxu, včetně vlastní kopie syntetických pacientů, kterou žádný jiný projekt nevidí.
- **Párové identifikátory:** každý projekt obdrží své vlastní ID pro stejnou osobu; interní ID nikdy neopustí platformu, takže ID nelze korelovat mezi aplikacemi.
- Záznam, ke kterému nemáte přístup, odpovídá `404`, nikdy `403`, takže nelze zkoumat existenci pacienta.
- **Sandbox a produkční prostředí jsou oddělené databáze.** Sandbox klíč (`sk_test_`) se fyzicky nemůže dostat k reálným pacientům.
- Se souhlasem pacienta organizace čte celý záznam, včetně toho, co napsaly jiné organizace, ale může změnit nebo smazat pouze to, co napsala sama.

## Přihlašovací údaje

- API klíče se zobrazují pouze jednou a ukládají se pouze jako hash SHA-256. Klíče mají `read` / `write` scopes a nikdy nepřekračují své prostředí.
- OAuth 2.1 s povinným PKCE (S256); `redirect_uri` musí být registrován přesně. Přístupové tokeny platí 30 minut, obnovovací tokeny 30 dní a rotují při každém použití.
- **Detekce opětovného použití obnovovacího tokenu:** předložení již použitého obnovovacího tokenu zruší celý řetězec tokenů.
- Odpovědi tokenů nesou `Cache-Control: no-store`. OpenID Connect `id_token`s jsou podepsány pomocí RS256; veřejné klíče jsou publikovány na `/oauth/jwks`.

## Souhlas, původ a audit

- Pacient udělí aplikaci přístup na hostované stránce souhlasu, přičemž zvolí záznam a dobu trvání (30, 90, 180 nebo 365 dní). Rozsahy jsou pro každý typ zdroje a akci, volitelně filtrované podle kategorie. Každé udělení je zrcadleno jako FHIR `Consent` zdroj.
- Odvolání nabývá účinnosti při dalším požadavku; aplikace se nemůže znovu obnovit.
- **Každý zápis** vytváří `Provenance` zdroj: kdo jej provedl (pacient, praktik, zařízení, import nebo AI), pro kterou organizaci, z jakého zdrojového systému.
- **Každé čtení je zaznamenáno a viditelné pro pacienta**, včetně čtení provedených pomocí vlastního API klíče projektu a včetně kontextu vytvořeného pro modely AI.

## Zabezpečení přenosu a webu

- Pouze HTTPS s HTTP Strict Transport Security. Odpovědi API obsahují restriktivní Content-Security-Policy, `X-Content-Type-Options: nosniff`, `X-Frame-Options: DENY` a striktní referrer policy.
- Doručování webhooků je podepsáno pomocí HMAC-SHA256 nad časovým razítkem a tělem; příjemci by měli odmítnout podpisy starší než 5 minut. Události obsahují ID a verze, nikdy klinický obsah.
- Omezení rychlosti: 600 požadavků za minutu na přihlašovací údaje a na IP; těla JSON do 2 MiB; dokumenty do 25 MiB.

## Vyhledávače a AI prohledávače

Veřejné stránky (anpheros.com, prezentace platformy a tato dokumentace) jsou přístupné vyhledávačům a AI prohledávačům. API, dashboard, stránky OAuth a souhlasu a klientská aplikace (`app.anpheros.com`) jsou vyloučeny pravidly `noindex` a `robots.txt`; žádná z nich nevrací data pacienta bez autentizace.

## HIPAA (kliniky v USA)

Pro kliniku ve Spojených státech je Anpheros **Business Associate**. Níže je uvedeno, jak jsou požadavky HIPAA Security Rule splněny:

| Safeguard | Jak Anpheros zajišťuje |
|---|---|
| Assigned responsibility, risk analysis, written policies (§164.308) | Jmenovaný bezpečnostní důstojník; roční analýza rizik; deset písemných zásad (přístup, šifrování, logování, reakce na incidenty, oznámení o narušení, uchovávání a zálohování, školení, zařízení, nouzový přístup, dodavatelé), uchovávané šest let |
| Unique user identification, access control (§164.312(a)) | Každý klíč, token a osoba má svou vlastní identitu; projekty vidí pouze své vlastní pacienty; rozsahy souhlasu vynuceny při každém čtení; MFA nebo SSO vyžadováno pro organizace s produkčním projektem; automatické odhlášení z dashboardu |
| Audit controls (§164.312(b)) | Každé čtení a zápis je logováno, hashováno, exportováno jako append-only; viditelné pro pacienta |
| Integrity (§164.312(c)) | Verzionované zdroje, provenance při každém zápisu, neměnné dokumenty s SHA-256 |
| Transmission security (§164.312(e)) | TLS 1.2+, HSTS, podepsané webhuky, doručování pouze přes HTTPS |
| Encryption at rest | Databáze a zálohy šifrovány; dokumenty pod klíčem spravovaným zákazníkem |
| Contingency plan (§164.308(a)(7)) | Denní zálohy, obnova k určitému bodu v čase, cvičení obnovy každých 90 dní se zaznamenanými časy |
| Breach notification (§164.410) | Covered Entity je informována do 5 pracovních dnů naším BAA (60 dnů dle zákona) |
| Business associate chain (§164.308(b)) | Google Cloud pod svým BAA; seznam subzpracovatelů je v příloze BAA |

**Business Associate Agreement** a **US data region** jsou k dispozici na vyžádání pro produkční zákazníky (pište na platform@anpheros.com); produkce pro data amerických pacientů se otevře po podpisu BAA. Sandbox obsahuje pouze syntetické pacienty, takže vývojáři v USA mohou vyvíjet již dnes bez BAA. Anpheros není certifikován podle SOC 2 nebo HITRUST; audit SOC 2 Type II je plánován, jakmile si jej vyžádá zákazník z řad nemocnic.

## Aktuální omezení (privátní beta)

- Jednozónové hostování bez automatického převzetí služeb při selhání; zatím bez smluvní SLA.
- Produkční klíče jsou vydávány ověřeným organizacím s podepsanou dohodou o zpracování dat; beta partneři začínají se syntetickými daty.
- Spuštění SMART EHR a parametr OpenID `nonce` zatím nejsou podporovány.

## Související

- [GDPR a zdravotní data pro vývojáře](https://developers.anpheros.com/cs/guides/gdpr-health-data-developers)
- [Vysvětlení původu zdravotních dat](https://developers.anpheros.com/cs/guides/medical-data-provenance): kdo co zapsal a jak to zaznamenat
- [Model souhlasu a přístupu](https://developers.anpheros.com/cs/guides/consent)
- [Autentizace a OAuth](https://developers.anpheros.com/cs/guides/authentication)
- [Limity a omezení rychlosti](https://developers.anpheros.com/cs/guides/limits)
- [Spolehlivost, stav a incidenty](https://developers.anpheros.com/cs/guides/reliability): monitorování, zálohování, komunikace o incidentech
- [Architektura](https://developers.anpheros.com/cs/guides/architecture)
- [Evropský prostor pro zdravotní data (EHDS) pro vývojáře](https://developers.anpheros.com/cs/guides/ehds-for-developers)