Политика конфиденциальности

Контролёром данных в значении GDPR является:

BGGI GmbH Rostocker Straße 43 53117 Bonn Германия

Эл. почта: datenschutz@bggi.de · Телефон: +49 228 50446780

Запросы по защите данных направляйте, пожалуйста, по этому почтовому адресу или на этот адрес электронной почты. Экспорт данных и заявление об удалении дополнительно доступны в портале в разделе «Защита данных».

Основные данные: имя, адрес электронной почты, номер телефона, дата рождения, гражданство, адрес.

Данные о здоровье (ст. 9 GDPR): загружаемые вами медицинские документы, а также сведения о случае лечения, записях на приём и лечении.

Данные об использовании: IP-адрес, отметки времени входа, журнальные данные (защищённый от подделки журнал аудита).

Расчётные данные: сметы расходов, счета, платежи.

Коммуникационные и переводческие данные: сообщения в деле, их исходный язык, а также машинные переводы; оригинал и перевод хранятся раздельно.

Речевые и голосовые данные: произнесённые фрагменты в ИИ-переводчике, распознанный из них текст, его перевод и созданный на его основе голос (раздел 13).

Данные о местоположении: во время текущего задания привлечённый переводчик или водитель может передавать собственное местоположение (раздел 14).

Подтверждающие документы: свидетельства о допуске, разрешении и лицензии врачей, клиник, аптек, а также служб доставки и курьерских служб; паспорта, визы и удостоверения личности пациенток, пациентов и сопровождающих.

Платёжные и банковские данные: банковские реквизиты для выплат и возвратов, объявления о переводах и поступления платежей.

Данные о заказах и доставке: рецепты, аптечные заказы, адрес доставки и состояние вручения.

Данные работников: данные о рабочем времени сотрудников администрации (раздел 12).

Данные об устройствах и сессиях: по одной записи на каждый вход с обозначением устройства, идентификатором браузера, приложением (приложение для пациентов, приложение для сотрудников, приложение администрации или обычный браузер), сокращённым IP-адресом, моментом входа, моментом последнего использования и, при наличии, отзывом (раздел 19).

Данные сканирования: снятые камерой страницы документов, созданный из них файл PDF, распознанный на вашем устройстве текст страниц, считанные из него данные (отправитель, получатель, дата, номера счёта, клиента и дела, сумма и валюта, банковские реквизиты, адрес эл. почты, номер телефона, адрес) и машинная классификация (вид, заголовок, дата, выдавший орган, язык) — раздел 20.

Данные о подписке: при оформлении через Апп Стор (Apple) или через Гугл Плей — идентификатор транзакции или покупки, идентификатор продукта, начало и окончание оплаченного периода, состояние подписки, среда (рабочая или тестовая) и псевдонимный идентификатор учётной записи — раздел 21. Платёжные данные от магазинов мы не получаем.

Координация международного медицинского лечения (ведение случая, подбор клиник и врачей, планирование приёмов).

Управление учётной записью и аутентификация, включая опциональную двухфакторную аутентификацию.

Выставление счетов и выполнение установленных законом обязанностей по хранению.

Безопасность, анализ ошибок и предотвращение злоупотреблений.

Исполнение договора — ст. 6 (1) (b) GDPR.

Явное согласие на обработку данных о здоровье — ст. 9 (2) (a) GDPR.

Правовая обязанность (например, торговые и налоговые обязанности по хранению) — ст. 6 (1) (c) GDPR.

Законный интерес в обеспечении безопасности платформы — ст. 6 (1) (f) GDPR.

Лечащие клиники и врачи получают доступ к данным вашего случая только после передачи им вашего случая и только в объёме документов, разрешённых к передаче BGGI.

Мы привлекаем следующих обработчиков в соответствии со ст. 28 GDPR: • Google Cloud EMEA Ltd. (Ирландия) — работа приложения, база данных и хранилище файлов, центр обработки данных во Франкфурте-на-Майне (europe-west3), включая Firebase Hosting как уровень доставки. • Stripe Payments Europe Ltd. (Ирландия) — обработка платежей и выплаты врачам; данные карт остаются исключительно у Stripe. • Resend (США) — отправка и приём транзакционных и связанных с делом писем через их SMTP-доступ; домен отправителя — наш медицинский поддомен (стандартные договорные положения ЕС). • Daily.co (США) — видеоконсультации; медиасерверы в регионе ЕС (eu-central-1), без записи (стандартные договорные положения ЕС). • Anthropic (США) — предварительный анализ поданных документов с помощью ИИ, классификация отсканированных документов (вид, заголовок, дата, выдавший орган, язык), а также машинный перевод сообщений, текстов и в ИИ-переводчике, каждый раз только после вашего отдельного согласия; результаты проверяются персоналом BGGI (стандартные договорные положения ЕС). • ElevenLabs (США) — распознавание речи и синтез речи для ИИ-переводчика и функции чтения вслух (стандартные договорные положения ЕС). • Sentry (Functional Software, Inc., США) — техническая диагностика ошибок; персональные и медицинские данные автоматически удаляются или маскируются перед передачей (стандартные договорные положения ЕС). • Lexoffice (Германия) — передача документов по счетам в нашу бухгалтерию; передаются имя и страна получателя счёта, а также данные счёта, без данных о здоровье.

Передача данных в третьи страны за пределами ЕС/ЕЭЗ осуществляется только при наличии надлежащих гарантий согласно ст. 44 и след. GDPR (в частности, стандартных договорных положений ЕС) либо при вашем явном согласии (ст. 49 (1) (a) GDPR).

Определение адреса по местоположению (только при вашем явном нажатии кнопки в форме адреса): Google Ireland Ltd. — преобразование координат вашего устройства в адрес для заполнения полей. Координаты передаются через наши серверы, не сохраняются и не используются в иных целях.

То же преобразование координат и адресов мы используем для расчёта расстояний при медицинских перевозках.

Прочие получатели вне обработки по поручению — каждый раз только в необходимом объёме и только после отнесения к вашему делу: лечащие клиники и врачи, аптеки-партнёры, службы доставки и курьерские службы (только данные вручения, без содержания рецептов, диагнозов и цен), переводчики, водители, посредничающие агентства, а также — если вы того желаете — страховщики и зарубежные представительства для приглашений и визовых документов. Эти получатели обрабатывают ваши данные под собственную ответственность.

Данные учётной записи: до удаления вашей учётной записи или до выполнения запроса на удаление.

Счета и бухгалтерские данные: 10 лет согласно § 147 AO (немецкие правила GoBD).

Журналы аудита: хранятся в неизменяемом и защищённом от подделки виде.

Данные случая и медицинские документы: на время ведения случая и далее в соответствии с установленными законом сроками хранения медицинской документации (как правило, 10 лет, по аналогии с § 630f Гражданского уложения Германии); затем удаление или анонимизация.

Переписка с клиниками (эл. почта/портал): как данные случая — она входит в состав дела.

Записи о согласиях: до 3 лет после отзыва согласия или удаления учётной записи (подотчётность, ст. 7 (1) GDPR).

Серверные журналы и журналы безопасности: не более 90 дней, если инцидент безопасности не требует более длительного хранения.

Ежедневные зашифрованные резервные копии базы данных: 30 дней (ежедневные состояния) и 12 месяцев (ежемесячные состояния), хранятся исключительно в регионе Франкфурта.

Данные о рабочем времени сотрудников: до истечения установленного BGGI срока (по умолчанию 400 дней, раздел 12); затем автоматическое удаление.

Протокол доступа интерфейса для партнёрских систем: до истечения установленного BGGI срока (по умолчанию 400 дней); затем автоматическое удаление.

Сведения о местоположении в задании: они передаются и отображаются только во время текущего задания. Последняя переданная точка остаётся сохранённой при задании и удаляется вместе с соответствующим делом.

Видеоконсультации: доступ к видеокомнате существует только во временном окне приёма (с 15 минут до начала и до 30 минут после запланированного окончания) и затем прекращается. Звук и изображение не записываются; сведения о приёме остаются сохранёнными как часть дела.

Субтитры ИИ-переводчика: сохраняются только при отдельном согласии; отзыв согласия немедленно их удаляет.

Машинные переводы текстов в деле, включая созданный голосовой вывод: как часть дела и удаляются вместе с ним.

Доступ аптеки к рецепту: 30 дней с момента передачи заказа; сама запись о рецепте остаётся частью дела.

Видимость после расторжения членства: ваши данные остаются видимыми в портале в течение установленного BGGI срока (по умолчанию два года). При этом ничего не удаляется; действуют указанные выше сроки хранения.

Вы имеете право на доступ (ст. 15), исправление (ст. 16), удаление (ст. 17), ограничение обработки (ст. 18), переносимость данных (ст. 20) и возражение (ст. 21 GDPR).

Вы можете в любой момент отозвать данное вами согласие с действием на будущее.

Экспорт данных и запросы на удаление доступны непосредственно в портале в разделе «Конфиденциальность».

Право на подачу жалобы: Уполномоченный по защите данных и свободе информации земли Северный Рейн-Вестфалия (LDI NRW).

Шифрование при передаче (TLS), шифрование чувствительных секретов (AES-256-GCM), хеширование паролей Argon2id, опциональная двухфакторная аутентификация, ролевая модель доступа и защищённый от подделки журнал аудита — технические и организационные меры согласно ст. 32 GDPR.

Мы используем технически необходимые файлы cookie для входа и сессии, для защиты форм, для языковой настройки, для сохранения вашего выбора в отношении cookie, а также для того, чтобы знать, какое из наших приложений и какую телефонную оболочку вы используете. Они необходимы для работы платформы (§ 25 (2) TDDDG; ст. 6 (1) (b) и (f) GDPR). Полный перечень с названиями, целью и сроком действия приведён в декларации о файлах cookie.

Необязательные файлы cookie (например, для статистики) устанавливаются только с вашего согласия через баннер cookie (ст. 6 (1) (a) GDPR). Ваш выбор действует 12 месяцев и может быть изменён в любой момент через «Настройки cookie» в нижней части страницы. Если вы выбираете «Принять все», один файл cookie в течение 30 дней запоминает, по какой рекламной ссылке агентства вы пришли к нам; без этого согласия он не устанавливается. В настоящее время мы не используем статистические или маркетинговые файлы cookie.

Назначение платформы — организация медицинского лечения, преимущественно в Германии. По вашему запросу данные случая могут также передаваться лечащим клиникам или врачам за пределами ЕС/ЕЭЗ (например, в вашей стране проживания).

Такая передача осуществляется исключительно на основании вашего явного согласия (ст. 9 (2) (a), ст. 49 (1) (a) GDPR) и только в объёме разрешённых вами документов. Третьи страны могут не обеспечивать уровень защиты данных, эквивалентный уровню ЕС; мы указываем на это перед каждой передачей.

Вы можете в любой момент отозвать своё согласие с действием на будущее (портал → конфиденциальность). Это не затрагивает уже осуществлённые передачи.

Для целей расчётов мы обрабатываем по каждому случаю сметы расходов, счета, поступившие платежи (сумма, дата, назначение), фактические расходы на лечение и возвраты средств. Эти данные показываются врачам и лечебным учреждениям в объёме, необходимом для соблюдения согласованных стоимостных рамок (правовое основание: исполнение договора, ст. 6 (1) (b) GDPR). После активации подключения к нашей бухгалтерской системе (Lexoffice, обработчик данных согласно ст. 28 GDPR) соответствующие документы будут передаваться в неё.

Для сотрудников администрации и офисной системы мы во время входа в административную область фиксируем данные о рабочем времени: начало и окончание сеанса, ежеминутно — открытый раздел или случай (только идентификатор, без содержимого), был ли в течение последней минуты произведён ввод данных, а также идентификатор браузера. Нажатия клавиш, тексты, цели кликов и содержимое случаев, сообщений или документов не сохраняются.

Целями являются подтверждение рабочего времени (§ 16 Закона о рабочем времени Германии), отнесение рабочего времени к случаям лечения для целей расчётов, а также анализ руководством по дням, неделям и месяцам. Правовым основанием является ст. 6 абз. 1 лит. b и c GDPR (DSGVO) в сочетании с § 26 абз. 1 BDSG.

Кратковременное бездействие вплоть до установленного в настройках короткого перерыва (по умолчанию пять минут) считается рабочим временем; если дольше установленного в настройках интервала завершения сеанса (по умолчанию тридцать минут) не поступает ни одного сигнала, сеанс завершается автоматически. Получателями являются исключительно владелец и администрация; передача третьим лицам не производится.

Данные автоматически удаляются по истечении установленного в настройках срока (по умолчанию 400 дней). Каждый сотрудник может в любое время просмотреть данные, зафиксированные по его учётной записи, в разделе «Моё время»; права согласно ст. 15–21 GDPR (DSGVO) действуют без ограничений.

Для взаимопонимания мы применяем машинный перевод: для сообщений в деле, для отдельно заказываемого перевода текста с необязательным голосовым выводом и для ИИ-переводчика в видеоконсультации.

Как работает ИИ-переводчик: ваш микрофон в вашем браузере нарезается на короткие фрагменты по паузам в речи — тишина не покидает ваше устройство. Каждый фрагмент через наш сервер поступает в ElevenLabs для распознавания речи, распознанный текст — в Anthropic для перевода, а перевод возвращается в ElevenLabs для синтеза речи. Звуковая запись при этом не сохраняется; она существует лишь на время обработки соответствующего фрагмента.

Оригинал и перевод появляются во время разговора в виде субтитров. Они сохраняются только в том случае, если вы дали на это дополнительное и отдельное согласие; отзыв согласия удаляет сохранённые фрагменты.

При отдельно заказываемом переводе текста исходный текст, перевод и — если вы выбираете голосовой вывод — созданный звуковой файл сохраняются в вашем деле. Звуковой файл доступен только по краткоживущему адресу, привязанному к вашей учётной записи.

При переводе сообщений исходная формулировка остаётся сохранённой; перевод хранится отдельно и помечен как машинный.

Правовое основание — ваше явное согласие на обработку данных о здоровье (ст. 9 (2) (a) GDPR) в сочетании с исполнением договора (ст. 6 (1) (b) GDPR). Без действующего согласия машинный перевод не выполняется.

Переводчики и водители могут во время текущего задания передавать своё местоположение, чтобы пациентка или пациент могли следить за поездкой. Передачу включает сама оказывающая услугу персона, и она прекращается при выключении или при уходе со страницы.

Передаются и сохраняются исключительно последняя переданная точка (географическая широта и долгота) и её время, связанные с заданием. Профиль перемещений вне задания не создаётся; после завершения задания местоположение больше не отображается.

Местоположение отображается только пациентке или пациенту соответствующего дела, а также администрации BGGI. Правовое основание — исполнение договора с оказывающей услугу персоной и с пациенткой или пациентом (ст. 6 (1) (b) GDPR).

Врачи, клиники, аптеки, а также службы доставки и курьерские службы подтверждают при регистрации свой допуск или разрешение. Мы сохраняем номер подтверждения, загруженный документ и — где это предусмотрено — отметку о проверке. Цель — обеспечить, чтобы действовали только допущенные субъекты (ст. 6 (1) (b) и (f) GDPR).

Для выплат и возвратов мы обрабатываем банковские реквизиты (владелец счёта, IBAN, BIC, банк). IBAN счетов BGGI и счетов для выплат врачам хранится в зашифрованном виде (AES-256-GCM); отображается только сокращённая форма.

Выплаты врачам могут дополнительно проводиться через нашего поставщика платёжных услуг. Данные, внесённые там самим получателем, поставщик платёжных услуг обрабатывает под собственную ответственность.

Загруженные документы хранятся в нашем хранилище в регионе Франкфурта-на-Майне. Они доступны только по краткоживущим адресам, привязанным к вошедшей учётной записи, и перед сохранением проверяются на вредоносное ПО.

Если вы заказываете лекарственное средство через платформу, мы передаём ответственной аптеке-партнёру сведения, необходимые для обработки, и предоставляем ей рецепт на срок, ограниченный 30 днями. Каждый доступ аптеки к рецепту протоколируется.

Привлечённой службе доставки или курьерской службе мы передаём исключительно данные вручения (имя, адрес, способ связи, место получения и назначения, состояние вручения). Содержание рецептов, диагнозы и цены она не получает.

Правовое основание — исполнение договора (ст. 6 (1) (b) GDPR), а также ваше явное согласие на обработку данных о здоровье (ст. 9 (2) (a) GDPR); рецепт всегда является данными о здоровье.

Для взаимодействия с нашими собственными партнёрскими системами существует исключительно читающий интерфейс. Через него выдаются лишь немногие поля: о человеке — имя, фамилия, дата рождения, гражданство, предпочитаемый язык, номер телефона, адрес электронной почты и номера открытых дел; о деле — номер дела, состояние, отделение, дата создания, лечащий врач и лечебное учреждение, приёмы с временем, видом, состоянием и местом, даты поездки, а также указание, есть ли открытые платежи.

Не выдаются диагнозы, результаты обследований, медицинские заключения, документы, сообщения, рецепты, сметы расходов, суммы, адреса, паспортные данные и свободно сформулированная тема дела.

Доступ требует выданного ключа, от которого хранится только хеш-значение. Каждый доступ протоколируется — со временем, конечной точкой, состоянием ответа, адресом отправителя и идентификатором браузера; от поискового запроса хранится только хеш-значение, никогда сам запрос.

Правовое основание — исполнение договора (ст. 6 (1) (b) GDPR), а также наш законный интерес в упорядоченном взаимодействии наших собственных систем (ст. 6 (1) (f) GDPR).

Если вам нужны долечивание, вспомогательное средство или перевозка санитарным самолётом, мы обращаемся к проверенному партнёру: реабилитационному учреждению, магазину медицинских изделий или службе санитарной авиации.

Передаётся только то, что нужно для сообщения цены, — номер дела, запрос словами и, если речь о рецепте или назначении, его содержание. Ваше имя и адрес партнёр получает лишь после того, как вы приняли заказ и услуга выполняется.

Правовое основание — исполнение договора с вами (ст. 6(1)(b) GDPR); если запрос содержит данные о здоровье, дополнительно применяется ст. 9(2)(h) GDPR. Эти партнёры также подтверждают допуск при регистрации, если он в их стране предусмотрен.

Чтобы вам не приходилось входить заново при каждом обращении, вход сохраняется до 90 дней и продлевается при каждом использовании. Каждый вход получает собственную запись в вашем списке устройств.

По каждой записи сохраняются: обозначение, выведенное из идентификатора браузера (например, «iPhone · Love your life App»), сам идентификатор браузера в сокращённой форме, использованное приложение, сокращённый IP-адрес (для IPv4 — без последнего поля, для IPv6 — усечённый до первых четырёх групп), момент входа и момент последнего использования.

Вы можете выполнить выход для каждого устройства по отдельности — в том числе с другого устройства, например при утере или краже, — или для всех устройств сразу. Выход вступает в силу не позднее чем через пять минут. В журнал аудита при этом попадают только идентификатор устройства и обозначение, никогда — идентификатор браузера и никогда — адрес.

Правовым основанием является исполнение договора (ст. 6 (1) (b) GDPR), а также наш законный интерес в безопасности учётных записей (ст. 6 (1) (f) GDPR).

Если вы снимаете документы камерой, лист распознаётся, выравнивается и делается более читаемым на вашем устройстве. В телефонных приложениях это делает сканер документов самого устройства, в браузере — наш собственный. Только после этого страницы передаются на наш сервер; там они проверяются, сканируются на вредоносное ПО и объединяются в ОДИН файл PDF. Отдельные снимки после этого отдельно не хранятся.

Если ваше устройство предлагает распознавание текста, текст страниц считывается там — на вашем устройстве, а не у нас. Он передаётся вместе со страницами, невидимо помещается в файл PDF, чтобы по файлу можно было выполнять поиск, и из него считываются данные: отправитель, получатель, дата, номера счёта, клиента и дела, сумма и валюта, банковские реквизиты, а также адрес эл. почты, номер телефона и адрес, если они указаны в документе. Текст и считанные данные относятся к документу и удаляются вместе с ним.

Для классификации документа — вид, заголовок, дата, выдавший орган и язык — мы передаём данные нашему обработчику Anthropic. Если на вашем устройстве был распознан текст, это исключительно этот текст; изображения страниц тогда не передаются. В противном случае мы передаём не более четырёх страниц в виде изображения, всегда первую и последнюю. Модель не даёт медицинской оценки; она только классифицирует и описывает. Результат остаётся помеченным на документе как созданный машиной и может быть изменён.

Если модель не распознаёт документ, ничего не сохраняется.

Если вы снимаете в приложении для телефонов Android, страницы передаются приложением на наш сервер с одноразовым ключом, срок действия которого истекает через 15 минут, и забираются там веб-страницей; после этого они удаляются. Это необходимо, потому что приложение для Android не может передать страницы непосредственно веб-странице.

Правовым основанием является исполнение договора (ст. 6 (1) (b) GDPR); если документ содержит данные о здоровье, обработка дополнительно основывается на вашем явном согласии (ст. 9 (2) (a) GDPR).

В наших телефонных приложениях членство оформляется исключительно через Апп Стор (Apple) или через Гугл Плей. Чтобы подписку можно было отнести к вашей учётной записи, а не к устройству, мы передаём магазину псевдонимный идентификатор учётной записи. Он вычисляется из вашего идентификатора пользователя и не может быть обратно преобразован в него; ваше имя и ваш адрес электронной почты магазину не передаются.

Магазин сообщает нам о покупке, продлении, отмене, сбое платежа, истечении срока и возврате средств. Мы сохраняем при этом идентификатор транзакции или покупки, идентификатор продукта, начало и окончание оплаченного периода, состояние, среду и момент уведомления, а также содержание уведомления в журнале событий. Платёжные данные — карту, платёжный адрес, суммы магазина — мы не получаем.

Правовым основанием является исполнение договора (ст. 6 (1) (b) GDPR), а также наша обязанность ведения учёта по торговому и налоговому праву (ст. 6 (1) (c) GDPR).

По желанию ИИ-переводчик появляется в виде фотореалистичного лица («цифровой человек»). Лицо создаёт привлечённый поставщик; оно двигает губами в такт звуку, который платформа создала ранее.

Этому поставщику передаётся исключительно этот звук, а также идентификатор используемого лица. Не передаются: изображение и звук участников, субтитры, тексты, имена и прочие сведения по делу.

Запись не производится. Сеанс у поставщика завершается после разговора. Ключ доступа поставщика не покидает сервер; браузер получает лишь краткоживущий токен сеанса.

Если лицо изображает реального человека, оно используется только с его согласия; имя, дата и заявление фиксируются.

Цифровой человек является дополнением к звуку. Если он недоступен или не включён, голос продолжает переводить.

Сотрудники BGGI видят не все операции. Помимо роли и отдела решающее значение имеет сфера действия: она либо всемирная, либо ограничена определёнными странами.

Определяющей является страна операции: у пациентов — место жительства, в противном случае — гражданство; у дел и счетов — страна соответствующего пациента; у врачей и учреждений — их страна.

Если лицу не присвоена ни одна страна, оно ничего не видит. Пустое поле означает «ещё не присвоено», а не «все». Существует лишь один массив данных; разделение — это представление, а не вторая система.

Обращения к данным протоколируются. Изменения сферы действия фиксируются с указанием лица, момента и объёма.