FyzioPlan Vyzkoušet zdarma

Trust Center

Bezpečnost a soulad

Bezpečnost zdravotních údajů je hlavní slib FyzioPlanu. Proto tu uvádíme jen to, co je zavedené a doložené.

Co to znamená pro vaši praxi

  • Vidíte jen data své praxe. Nikdo z jiné praxe je nevidí a vy nevidíte jejich.
  • Majitel a správce se přihlašují dvoufázově – kódem z aplikace v telefonu. Bez něj aplikace žádná data neukáže.
  • Podepsaný zápis nejde změnit ani smazat. Oprava je nová verze a změny se zapisují do auditu.
  • Data leží jen v Evropské unii.
  • Žádné reklamní ani sledovací skripty. Ověříte sami v prohlížeči (Nástroje pro vývojáře → Síť).
  • Všechna data praxe si kdykoli stáhnete jedním krokem a zpracovatelská smlouva je v ceně.

Opatření podrobně

Data v EU

Zavedeno

Databáze a soubory aplikace leží jen v datacentrech v Evropské unii.

Jak to ověřujeme: Nastavení databáze i úložiště souborů je pevně v regionu EU; to samé platí pro zálohy.

Aktualizováno:

Izolace praxí a šifrování

Zavedeno

Každá praxe vidí jen svá data: izolaci vynucuje databáze pravidly na každé tabulce (Row Level Security) a testy izolace běží při každé změně. Rodné číslo, číslo pojištěnce a kontakty z online rezervací jsou šifrované na úrovni sloupce.

Jak to ověřujeme: Při každé změně kódu automaticky pouštíme testy, které ověřují, že praxe A nikdy neuvidí data praxe B; bez zelených testů se změna nepřijme.

Aktualizováno:

Přihlášení s dvoufázovým ověřením

Zavedeno

Majitel a správce praxe bez dvoufázového ověření nevidí žádná data – vynucuje to databáze, ne obrazovka. Klinika se zakládá až po jeho nastavení.

Jak to ověřujeme: Pravidlo je v databázi a hlídá ho automatický test; zkoušíme i to, že obejít ho přes aplikaci nejde.

Aktualizováno:

Žádné sledování

Zavedeno

V aplikaci, na rezervační stránce ani ve widgetu nejsou reklamní ani analytické skripty třetích stran; bezpečnostní hlavičky (CSP) cizí skripty nepustí. Tento web nepoužívá cookies ani analytiku. Ověříte to sami v nástrojích pro vývojáře v prohlížeči.

Jak to ověřujeme: Automatický test při každé změně hlídá, že aplikace ani web nenačítají nic cizího a nenastavují cookies.

Aktualizováno:

GDPR: kdo je kdo

Zavedeno

Praxe je správcem údajů svých pacientů, provozovatel FyzioPlanu (Relentra s.r.o.) je zpracovatelem. Zpracovatelská smlouva se přijímá při registraci a je v ceně. Souhlasy pacientů, audit čtení dokumentace a export pro pacienta jsou v aplikaci. Text zpracovatelské smlouvy ke stažení připravujeme.

Jak to ověřujeme: Role správce a zpracovatele a postup se souhlasy máme sepsané; audit čtení dokumentace zapisuje databáze automaticky.

Aktualizováno:

Zdravotnická dokumentace

Zavedeno

Podepsaný zápis nejde změnit ani smazat: oprava znamená zneplatnění a novou verzi. Každou změnu dat zapisuje do auditu databáze sama. Integritu zápisů lze ověřit v aplikaci.

Jak to ověřujeme: Ochranu podepsaných zápisů a audit zajišťuje databáze sama a hlídají ji automatické testy; integritu si praxe ověří v aplikaci.

Aktualizováno:

Incidenty a hlášení zranitelností

Zavedeno

Máme sepsaný postup při bezpečnostním incidentu: dotčenou praxi informujeme bez zbytečného odkladu (cíl do 24 hodin) a předáme jí podklady pro její hlášení. Bezpečnostní chyby nám můžete nahlásit e-mailem (viz konec stránky).

Jak to ověřujeme: Postup máme sepsaný a obsahuje kontakty, lhůty i podklady pro dotčenou praxi; zranitelnosti přijímáme na jedné e-mailové adrese.

Aktualizováno:

Zálohy a obnova

Zavedeno

Šifrovaná záloha mimo databázového dodavatele, oddělená úschova klíčů a obnova do prázdné databáze s kontrolou otisků jsou součástí provozních postupů.

Jak to ověřujeme: Obnovu zálohy do prázdné databáze si pravidelně zkoušíme na cvičení a kontrolujeme, že data sedí do posledního bajtu.

Aktualizováno:

AI asistent zápisu: zásady

Zavedeno

AI asistent zápisu pomáhá s diktováním zápisu a navrhuje jeho strukturu; nediagnostikuje a nedoporučuje léčbu pacientovi, rozhoduje a podepisuje vždy terapeut. Návrh je označený jako návrh AI. Data se nepoužijí k tréninku modelů, rodné číslo se do AI neposílá, nahrávku lze smazat, každé volání se zapíše do auditu a poskytovatel má zpracovatelskou smlouvu a region EU.

Jak to ověřujeme: Zásady máme sepsané předem a platí pro každou funkci s AI; dodržování hlídá audit každého volání.

Aktualizováno:

Co netvrdíme

  • Nemáme penetrační test nezávislou firmou a netvrdíme, že proběhl.
  • Nemáme certifikaci ISO 27001 ani jinou certifikaci a netvrdíme, že ji máme.
  • FyzioPlan není zdravotnický prostředek.

Technická dokumentace

Technickou dokumentaci (architektonická rozhodnutí, provozní postupy, výsledky testů) poskytneme klinikám na vyžádání. Napište nám.

Našli jste bezpečnostní chybu? Napište na info@fyzioplan.cz s předmětem „Bezpečnost“.