Try it free in the sandbox · first FHIR call in 5 minutesFree · 30 synthetic patients · no card

Безпека, конфіденційність та місцезнаходження даних

Як захищені дані пацієнта: розміщення даних в ЄС, ізоляція проєктів, парні ідентифікатори, облікові дані, згода, походження даних, аудит, видимий пацієнту, та обмеження приватного бета-тестування.

Медичні дані є найбільш чутливими даними, які може зберігати застосунок. Ця сторінка перелічує, як Anpheros Platform захищає їх сьогодні — лише те, що реалізовано — та що ще обмежено під час закритого бета-тестування.

Розташування даних

• Усі дані платформи зберігаються та обробляються в Європейському Союзі: сервіс та його бази даних у Google Cloud europe-west4 (Нідерланди), черга доставки вебхуків у europe-west3 (Франкфурт) та незмінний експорт журналу доступу в локації BigQuery EU.
• Регіон даних США: доступний за запитом для виробничих клієнтів відповідно до угоди про ділових партнерів HIPAA (див. нижче); дані пацієнтів США тоді ніколи не залишають регіон США.
• Документи зберігаються у сховищі EU, зашифрованому ключем шифрування, керованим клієнтом (CMEK). Оригінали є незмінними після завершення; їх контрольна сума SHA-256 та розмір записуються.

Ізоляція між додатками

• Кожен API-ключ належить одному проєкту. Проєкт бачить лише пацієнтів, яких він створив — у пісочниці, включаючи власну копію синтетичних пацієнтів, яку жоден інший проєкт не може бачити.
• Парні ідентифікатори: кожен проєкт отримує власний ідентифікатор для однієї й тієї ж особи; внутрішні ідентифікатори ніколи не залишають платформу, тому ідентифікатори не можуть бути корельовані між додатками.
• Запис, до якого ви не можете отримати доступ, відповідає 404, ніколи 403, тому існування пацієнта не може бути перевірено.
• Пісочниця та продакшн — це окремі бази даних. Ключ пісочниці (sk_test_) фізично не може отримати доступ до реальних пацієнтів.
• За згодою пацієнта організація читає весь запис, включаючи те, що написали інші організації, але може змінювати або видаляти лише те, що написала сама.

Облікові дані

• Ключі API відображаються один раз і зберігаються лише як хеш SHA-256. Ключі мають read / write областей дії (scopes) і ніколи не виходять за межі свого середовища.
• OAuth 2.1 з обов'язковим PKCE (S256); redirect_uri має бути зареєстровано точно. Токени доступу діють 30 хвилин, токени оновлення – 30 днів і обертаються при кожному використанні.
• Виявлення повторного використання токена оновлення: пред'явлення токена оновлення, який вже був використаний, анулює весь ланцюжок токенів.
• Відповіді токенів містять Cache-Control: no-store. Токени OpenID Connect id_token підписуються за допомогою RS256; публічні ключі опубліковані за адресою /oauth/jwks.

Згода, походження та аудит

• Пацієнт надає додатку доступ на розміщеній сторінці згоди, обираючи запис та тривалість (30, 90, 180 або 365 днів). Області дії (scopes) є для кожного типу ресурсу та дії, опціонально фільтруються за категорією. Кожне надане право відображається як ресурс FHIR Consent.
• Відкликання набуває чинності при наступному запиті; додаток не може оновити доступ.
• Кожен запис (write) створює ресурс Provenance: хто його створив (пацієнт, практикуючий лікар, пристрій, імпорт або ШІ), для якої організації, з якої вихідної системи.
• Кожне читання (read) реєструється та є видимим для пацієнта, включаючи читання, зроблені за допомогою власного ключа API проєкту, та включаючи контекст, створений для моделей ШІ.

Транспорт та веб-безпека

• Тільки HTTPS, з HTTP Strict Transport Security. Відповіді API містять обмежувальну політику Content-Security-Policy, X-Content-Type-Options: nosniff, X-Frame-Options: DENY та сувору політику referrer.
• Доставлення вебхуків підписується за допомогою HMAC-SHA256 з використанням часової мітки та тіла; отримувачі повинні відхиляти підписи, старші за 5 хвилин. Події містять ідентифікатори та версії, але ніколи клінічний вміст.
• Обмеження швидкості: 600 запитів на хвилину на облікові дані та на IP; тіла JSON до 2 MiB; документи до 25 MiB.

Пошукові системи та AI-краулери

Публічні сторінки (anpheros.com, презентація платформи та ця документація) відкриті для пошукових систем та AI-краулерів. API, панель керування, сторінки OAuth та згоди, а також додаток для пацієнтів (app.anpheros.com) виключені правилами noindex та robots.txt; жоден з них не повертає дані пацієнта без автентифікації.

HIPAA (Клініки США)

Для клініки в Сполучених Штатах Anpheros є Діловим партнером. Ось що впроваджено, відповідно до Правила безпеки HIPAA:

Угода про ділове партнерство та регіон даних США доступні за запитом для виробничих клієнтів (пишіть на [email protected]); виробництво для даних пацієнтів США відкривається після підписання BAA. Пісочниця містить лише синтетичних пацієнтів, тому розробники в США можуть працювати вже сьогодні без BAA. Anpheros не сертифікований за SOC 2 або HITRUST; аудит SOC 2 Type II заплановано, коли цього вимагатиме клієнт-лікарня.

Поточні обмеження (закрита бета-версія)

• Однозонний хостинг без автоматичного відмовостійкого переключення; договір SLA ще не укладено.
• Ключі для виробничого середовища видаються перевіреним організаціям з підписаною угодою про обробку даних; бета-партнери починають з синтетичними даними.
• Запуск SMART EHR та параметр OpenID nonce наразі не підтримуються.

Пов'язане

• GDPR та медичні дані для розробників
• Пояснення походження медичних даних: хто що написав і як це записати
• Модель згоди та доступу
• Автентифікація та OAuth
• Обмеження та ліміти запитів
• Надійність, статус та інциденти: моніторинг, резервне копіювання, комунікація щодо інцидентів
• Архітектура
• Європейський простір даних охорони здоров'я (EHDS) для розробників

Try it free in the sandbox · first FHIR call in 5 minutesFree · 30 synthetic patients · no card