# Bezpečnosť, ochrana súkromia a lokalita údajov

> Ako sú chránené údaje pacienta: lokalita údajov v EÚ, izolácia projektov, párové ID, poverenia, súhlas, pôvod, audit viditeľný pre pacienta a obmedzenia súkromnej beta verzie.

Source: https://developers.anpheros.com/sk/guides/security

Lekárske údaje sú najcitlivejšie údaje, ktoré môže aplikácia uchovávať. Táto stránka uvádza, ako ich Anpheros Platform dnes chráni — iba to, čo je implementované — a čo je počas súkromnej beta verzie stále obmedzené.

## Rezidencia údajov

- Všetky údaje platformy sú uložené a spracované v Európskej únii: služba a jej databázy v Google Cloud `europe-west4` (Holandsko), fronta na doručovanie webhookov v `europe-west3` (Frankfurt) a export prístupového denníka iba na pridávanie v lokalite BigQuery EU.
- **Dátová oblasť USA:** dostupná na požiadanie pre produkčných zákazníkov na základe dohody o obchodnom partnerstve HIPAA (pozri nižšie); údaje pacienta z USA potom nikdy neopustia oblasť USA.
- Dokumenty sú uložené v úložnom koši EÚ šifrovanom kľúčom na šifrovanie spravovaným zákazníkom (CMEK). Originály sú po finalizácii nemenné; ich kontrolný súčet SHA-256 a veľkosť sú zaznamenané.

## Izolácia medzi aplikáciami

- Každý API kľúč patrí jednému **projektu**. Projekt vidí iba pacientov, ktorých vytvoril — v sandboxe, vrátane vlastnej kópie syntetických pacientov, ktorú žiadny iný projekt nevidí.
- **Párové identifikátory:** každý projekt dostane vlastné ID pre tú istú osobu; interné ID nikdy neopustia platformu, takže ID sa nedajú korelovať medzi aplikáciami.
- Záznam, ku ktorému sa nedostanete, odpovedá `404`, nikdy `403`, takže existenciu pacienta nemožno skúmať.
- **Sandbox a produkcia sú oddelené databázy.** Sandbox kľúč (`sk_test_`) sa fyzicky nedostane k reálnym pacientom.
- So súhlasom pacienta organizácia číta celý záznam, vrátane toho, čo napísali iné organizácie, ale môže zmeniť alebo vymazať iba to, čo napísala sama.

## Prihlasovacie údaje

- API kľúče sa zobrazujú raz a ukladajú sa iba ako SHA-256 hash. Kľúče majú rozsahy `read` / `write` a nikdy neprekračujú svoje prostredie.
- OAuth 2.1 s povinným PKCE (S256); `redirect_uri` musí byť presne zaregistrovaný. Prístupové tokeny platia 30 minút, obnovovacie tokeny 30 dní a rotujú pri každom použití.
- **Detekcia opätovného použitia obnovovacieho tokenu:** predloženie už použitého obnovovacieho tokenu zruší celý reťazec tokenov.
- Tokenové odpovede nesú `Cache-Control: no-store`. OpenID Connect `id_token` sú podpísané pomocou RS256; verejné kľúče sú publikované na `/oauth/jwks`.

## Súhlas, pôvod a audit

- Pacient udeľuje aplikácii prístup na hostovanej stránke súhlasu, pričom vyberá záznam a dobu trvania (30, 90, 180 alebo 365 dní). Rozsahy sú na typ zdroja a akciu, voliteľne filtrované podľa kategórie. Každé udelenie je zrkadlené ako FHIR `Consent` zdroj.
- Odvolanie nadobúda účinnosť pri nasledujúcom požiadavke; aplikácia sa nemôže obnoviť späť.
- **Každý zápis** produkuje `Provenance` zdroj: kto ho vykonal (pacient, praktikant, zariadenie, import alebo AI), pre ktorú organizáciu, z ktorého zdrojového systému.
- **Každé čítanie je zaznamenané a viditeľné pre pacienta**, vrátane čítaní vykonaných pomocou vlastného API kľúča projektu a vrátane kontextu vytvoreného pre modely AI.

## Bezpečnosť prenosu a webu

- Iba HTTPS, s HTTP Strict Transport Security. Odpovede API nesú reštriktívnu politiku Content-Security-Policy, `X-Content-Type-Options: nosniff`, `X-Frame-Options: DENY` a striktnú politiku referrer.
- Doručovanie webhookov je podpísané pomocou HMAC-SHA256 nad časovou značkou a telom; prijímače by mali odmietnuť podpisy staršie ako 5 minút. Udalosti nesú ID a verzie, nikdy klinický obsah.
- Limity rýchlosti: 600 požiadaviek za minútu na poverenia a na IP; JSON telá do 2 MiB; dokumenty do 25 MiB.

## Vyhľadávacie nástroje a AI prehľadávače

Verejné stránky (anpheros.com, prezentácia platformy a táto dokumentácia) sú otvorené pre vyhľadávacie nástroje a AI prehľadávače. API, dashboard, stránky OAuth a súhlasu a klientska aplikácia (`app.anpheros.com`) sú vylúčené pravidlami `noindex` a `robots.txt`; žiadna z nich nevracia dáta pacienta bez autentifikácie.

## HIPAA (americké kliniky)

Pre kliniku v Spojených štátoch je Anpheros **Business Associate**. Čo je zavedené, mapované na HIPAA Security Rule:

| Safeguard | Ako to Anpheros robí |
|---|---|
| Pridelená zodpovednosť, analýza rizík, písomné politiky (§164.308) | Menovaný bezpečnostný dôstojník; ročná analýza rizík; desať písomných politík (prístup, šifrovanie, logovanie, reakcia na incidenty, oznámenie o narušení, uchovávanie a zálohovanie, školenie, zariadenia, núdzový prístup, dodávatelia), uchovávané šesť rokov |
| Jedinečná identifikácia používateľa, kontrola prístupu (§164.312(a)) | Každý kľúč, token a osoba má svoju vlastnú identitu; projekty vidia iba svojich vlastných pacientov; obmedzenia súhlasu vynucované pri každom čítaní; MFA alebo SSO vyžadované pre organizácie s produkčným projektom; automatické odhlásenie na dashboarde |
| Auditné kontroly (§164.312(b)) | Každé čítanie a zápis je logované, hashované, exportované ako append-only; viditeľné pre pacienta |
| Integrita (§164.312(c)) | Verziované zdroje, pôvod pri každom zápise, nemenné dokumenty s SHA-256 |
| Bezpečnosť prenosu (§164.312(e)) | TLS 1.2+, HSTS, podpísané webhooks, doručovanie iba cez HTTPS |
| Šifrovanie v pokoji | Databáza a zálohy šifrované; dokumenty pod kľúčom spravovaným zákazníkom |
| Plán obnovy po havárii (§164.308(a)(7)) | Denné zálohy, obnova k určitému bodu v čase, cvičenie obnovy každých 90 dní so zaznamenanými časmi |
| Oznámenie o narušení (§164.410) | Covered Entity je informovaná do 5 pracovných dní naším BAA (60 dní podľa zákona) |
| Reťazec Business Associate (§164.308(b)) | Google Cloud pod svojím BAA; zoznam subprocesorov je v prílohe BAA |

**Dohoda o Business Associate** a **americký dátový región** sú k dispozícii na požiadanie pre produkčných zákazníkov (píšte na platform@anpheros.com); produkcia pre americké údaje pacientov sa otvorí po podpísaní BAA. Sandbox obsahuje iba syntetických pacientov, takže vývojári v USA môžu vyvíjať už dnes bez BAA. Anpheros nie je certifikovaný podľa SOC 2 alebo HITRUST; audit SOC 2 Type II je plánovaný, keď si ho vyžiada nemocničný zákazník.

## Aktuálne obmedzenia (súkromná beta)

- Jednozónové hostovanie bez automatického prepínania pri zlyhaní; zatiaľ žiadna zmluvná SLA.
- Produkčné kľúče sa vydávajú overeným organizáciám s podpísanou dohodou o spracovaní údajov; beta partneri začínajú so syntetickými údajmi.
- Spustenie SMART EHR a parameter OpenID `nonce` zatiaľ nie sú podporované.

## Súvisiace

- [GDPR a zdravotné údaje pre vývojárov](https://developers.anpheros.com/sk/guides/gdpr-health-data-developers)
- [Vysvetlenie pôvodu lekárskych údajov](https://developers.anpheros.com/sk/guides/medical-data-provenance): kto čo zapísal a ako to zaznamenať
- [Model súhlasu a prístupu](https://developers.anpheros.com/sk/guides/consent)
- [Autentifikácia a OAuth](https://developers.anpheros.com/sk/guides/authentication)
- [Limity a obmedzenia rýchlosti](https://developers.anpheros.com/sk/guides/limits)
- [Spoľahlivosť, stav a incidenty](https://developers.anpheros.com/sk/guides/reliability): monitorovanie, zálohovanie, komunikácia pri incidentoch
- [Architektúra](https://developers.anpheros.com/sk/guides/architecture)
- [Európsky priestor pre zdravotné údaje (EHDS) pre vývojárov](https://developers.anpheros.com/sk/guides/ehds-for-developers)