მონაცემთა დამუშავების ხელშეკრულება

არ არის სამედიცინო მოწყობილობა და არასოდეს არის გადაუდებელი დახმარების სამსახური

Unicorn Care არის პოსტოპერაციული დახმარების ინსტრუმენტი. იგი არავის უსვამს დიაგნოზს, არავის მკურნალობს, არ ახდენს ტრიაჟს და არავის აკვირდება. ის არ არის დიაგნოსტიკური მოწყობილობა, არ არის კლინიკური გადაწყვეტილების მხარდაჭერის სისტემა და არ არის არცერთი კლასის სამედიცინო მოწყობილობა.

არაფერი, რასაც პლატფორმა აგზავნის — შეხსენება ან დაცვის მაჩვენებელი — არ არის სამედიცინო რჩევა და არ ანაცვლებს ექიმთან კონსულტაციას. „ჯანმრთელობის დაცვის შესახებ“ საქართველოს კანონის შესაბამისად ყოველი კლინიკური გადაწყვეტილება რჩება კლინიკის პასუხისმგებლობად.

პლატფორმაზე რეალურ დროში მეთვალყურეობა არ ხორციელდება და მასზე დაყრდნობა გადაუდებელ შემთხვევაში დაუშვებელია. პაციენტმა, რომელსაც გადაუდებელი მდგომარეობა აქვს, უნდა დარეკოს 112-ზე, ან იმ ქვეყნის გადაუდებელი დახმარების ნომერზე, სადაც იმყოფება, ან მიმართოს უახლოეს გადაუდებელი დახმარების განყოფილებას. ამ პლატფორმით გაგზავნილ შეტყობინებებს მიღებისთანავე ექიმი არ ეცნობა და შესაძლოა საერთოდ არ წაიკითხოს.

როლები და განმარტებები

აქ გამოყენებული, მაგრამ განუმარტავი ტერმინები გაიგება იმ მნიშვნელობით, რომელიც მათ „პერსონალურ მონაცემთა დაცვის შესახებ“ საქართველოს კანონით ენიჭებათ.

„პერსონალური მონაცემი“ არის ნებისმიერი ინფორმაცია, რომელიც უკავშირდება იდენტიფიცირებულ ან იდენტიფიცირებად ფიზიკურ პირს. „განსაკუთრებული კატეგორიის მონაცემები“ მოიცავს ჯანმრთელობის შესახებ მონაცემებს — სწორედ მათ ატარებს ეს პლატფორმა და სწორედ მათ უწესებს კანონი უფრო მკაცრ პირობებს. „დამმუშავებელი“ არის კლინიკა. „უფლებამოსილი პირი“ არის Unicorn Care. „მონაცემთა სუბიექტი“ არის პაციენტი. „პერსონალურ მონაცემთა დაცვის სამსახური“ არის ამავე კანონით შექმნილი საზედამხედველო ორგანო.

კლინიკა ყოველთვის რჩება თავისი პაციენტების მონაცემთა დამმუშავებლად. Unicorn Care არასოდეს განსაზღვრავს დამუშავების მიზნებს, არასოდეს ამუშავებს პაციენტის მონაცემებს საკუთარი მიზნებისთვის და არასოდეს ყიდის ან ავრცელებს მათ სარეკლამო მიზნით.

დამუშავების ფარგლები და კლინიკის მითითებები

Unicorn Care პაციენტის პერსონალურ მონაცემებს ამუშავებს მხოლოდ მომსახურების მიწოდებისთვის: ინახავს კლინიკის მიერ შედგენილ სამკურნალო გეგმას, აყალიბებს მის მიერ დანიშნულ შეხსენებებს, აწვდის მათ პაციენტს და კლინიკას აჩვენებს, რა შესრულდა.

დამუშავება ხდება მხოლოდ კლინიკის დოკუმენტირებული მითითებით, რისი ჩანაწერიცაა ეს ხელშეკრულება და კლინიკის მიერ პლატფორმის გამოყენება. თუ Unicorn Care კანონით იქნება ვალდებული, მონაცემები სხვაგვარად დაამუშაოს, ამის შესახებ კლინიკას წინასწარ აცნობებს, გარდა იმ შემთხვევისა, როცა ასეთ შეტყობინებას კანონი კრძალავს.

ჯანმრთელობის შესახებ მონაცემები მუშავდება მონაცემთა სუბიექტის მკაფიო თანხმობის საფუძველზე, რომელსაც კლინიკა იღებს და რომლის ფლობასაც იგი იძლევა გარანტიას. პლატფორმის მეშვეობით მიღებული თანხმობები აღირიცხება დროის აღნიშვნით, ნაჩვენები ტექსტის ვერსიით, თანხმობის წყაროთი და გამოხმობის მომენტით, ასეთის არსებობის შემთხვევაში.

პერსონალურ მონაცემებზე წვდომის უფლების მქონე პერსონალი ვალდებულია დაიცვას კონფიდენციალურობა, რაც მათი საქმიანობის დასრულების შემდეგაც ძალაში რჩება.

დამუშავების უსაფრთხოება

Unicorn Care იყენებს რისკის შესაბამის ორგანიზაციულ და ტექნიკურ ზომებს, როგორც ამას „პერსონალურ მონაცემთა დაცვის შესახებ“ საქართველოს კანონი მოითხოვს განსაკუთრებული კატეგორიის მონაცემების დამმუშავებელი უფლებამოსილი პირისგან.

პრაქტიკაში ეს ნიშნავს: პერსონალური მონაცემები შენახვისას დაშიფრულია AES-256 ალგორითმით მონაცემთა ბაზისა და ფაილების შენახვის პროვაიდერებთან; პლატფორმისკენ მიმავალი ყველა მიმოცვლა, პაციენტის პორტალის ბმულების ჩათვლით, ხორციელდება TLS 1.3 პროტოკოლით, HTTP Strict Transport Security-ის სავალდებულო გამოყენებით; წვდომა შემოსაზღვრულია ისე, რომ კლინიკამ მხოლოდ საკუთარი ჩანაწერები შეძლოს წაკითხვა; პაციენტის პორტალზე შესვლა ხდება ერთჯერადი, ვადიანი ბმულებით და არა საერთო პაროლებით; პაროლები ინახება ჰეშის სახით და არასოდეს — აღდგენად ფორმაში.

მესამე მხარის სერვისები იღებენ მხოლოდ იმ მინიმალურ მონაცემებს, რაც მათი ფუნქციის შესასრულებლადაა საჭირო. ელფოსტის პროვაიდერი იღებს მიმღების მისამართს და შეტყობინებას; push-სერვისი იღებს არაიდენტიფიცირებად მისამართს და დაშიფრულ შიგთავსს. შეტყობინების ტექსტი არ შეიცავს დიაგნოზს, პროცედურის დასახელებას ან თავისუფალი ტექსტის კლინიკურ მითითებას, რადგან ჩაკეტილ ეკრანზე გამოჩენილი ტექსტი ხელმისაწვდომია ყველასთვის, ვისაც ტელეფონი ხელში უჭირავს.

საწარმოო მონაცემებზე წვდომა შემოსაზღვრულია იმ პერსონალით, რომელსაც ის მომსახურების ფუნქციონირებისთვის სჭირდება, და ექვემდებარება ზემოთ აღნიშნულ კონფიდენციალურობის ვალდებულებებს.

ქვე-უფლებამოსილი პირები და მონაცემთა გადაცემა საზღვარგარეთ

Unicorn Care იყენებს ქვე-უფლებამოსილ პირებს ჰოსტინგისთვის, მონაცემთა ბაზისთვის, ფაილების შენახვისთვის, ელფოსტის მიწოდებისთვის, push-შეტყობინებების მიწოდებისა და გადახდების დამუშავებისთვის. თითოეული წერილობით არის ვალდებული, დაიცვას ამ ხელშეკრულებით გათვალისწინებულზე არანაკლებ მკაცრი პირობები, როგორც ამას კანონი მოითხოვს ნებისმიერი შემდგომი ჩართვისას.

კონფიდენციალურობის პოლიტიკა ასახელებს მოქმედ ქვე-უფლებამოსილ პირებს. კლინიკას, რომელსაც ეს ჩამონათვალი კონკრეტული თარიღისთვის სჭირდება, შეუძლია მოითხოვოს იგი. Unicorn Care კლინიკას წინასწარ აცნობებს ქვე-უფლებამოსილი პირის შეცვლის განზრახვის შესახებ და კლინიკას შეუძლია განაცხადოს პროტესტი.

ზოგიერთი ქვე-უფლებამოსილი პირი მონაცემებს ამუშავებს საქართველოს ფარგლებს გარეთ. „პერსონალურ მონაცემთა დაცვის შესახებ“ საქართველოს კანონის მიხედვით ასეთი გადაცემა დასაშვებია, თუ მიმღები ქვეყანა უზრუნველყოფს სათანადო გარანტიებს ან თუ სახეზეა ამავე კანონით გათვალისწინებული სხვა საფუძველი. Unicorn Care შესაბამისად არჩევს დამუშავების რეგიონებს და თითოეულ მიმღებთან ხელშეკრულებით ითვალისწინებს სათანადო გარანტიებს. კლინიკამ, რომელსაც სჭირდება, რომ მისი მონაცემები კონკრეტული იურისდიქციის ფარგლებში დარჩეს, ეს უნდა დააყენოს მისამართზე privacy@unicorn.care პაციენტის მონაცემების შეყვანამდე.

ინციდენტები და დარღვევის შესახებ შეტყობინება

Unicorn Care კლინიკას აცნობებს პერსონალურ მონაცემთა ნებისმიერი ისეთი დამუშავების შესახებ, რომელიც ამ ხელშეკრულებით დაშვებული არ არის და რომლის შესახებაც მას გახდება ცნობილი, აგრეთვე უსაფრთხოების ნებისმიერი დარღვევის შესახებ, რომელმაც გამოიწვია პერსონალური მონაცემების შემთხვევითი ან უკანონო განადგურება, დაკარგვა, შეცვლა, უნებართვო გამჟღავნება ან მათზე წვდომა.

შეტყობინება გაიგზავნება აღმოჩენიდან დაუყოვნებლივ, კლინიკის ანგარიშზე მითითებულ საკონტაქტო მისამართზე, რათა კლინიკამ დროულად შეასრულოს პერსონალურ მონაცემთა დაცვის სამსახურის წინაშე საკუთარი ვალდებულება. იგი მოიცავს, ცნობილი ინფორმაციის ფარგლებში: რა მოხდა, რომელი მონაცემთა სუბიექტები და მონაცემთა რომელი კატეგორიები იყო ჩართული, რა ღონისძიებები გატარდა და რას ურჩევს Unicorn Care კლინიკას შემდგომი ნაბიჯებისთვის.

უსაფრთხოების წარუმატებელი მოვლენები, რომლებსაც უნებართვო წვდომა არ მოჰყოლია — დაბლოკილი სკანირებები, წარუმატებელი შესვლის მცდელობები, უარყოფილი კავშირები — ცალკეულად კი არა, მოთხოვნის საფუძველზე ეცნობება, რის შესახებაც ეს პუნქტი შეტყობინებას წარმოადგენს.

პერსონალურ მონაცემთა დაცვის სამსახურისთვის და, კანონით გათვალისწინებულ შემთხვევებში, დაზარალებული მონაცემთა სუბიექტებისთვის შეტყობინება კლინიკის, როგორც დამმუშავებლის, ვალდებულებაა. Unicorn Care მიაწვდის კლინიკას ამისთვის საჭირო ინფორმაციას.

მონაცემთა სუბიექტის უფლებების განხორციელებაში დახმარება

„პერსონალურ მონაცემთა დაცვის შესახებ“ და „პაციენტის უფლებების შესახებ“ საქართველოს კანონები პაციენტს ანიჭებს ინფორმაციაზე წვდომის, შესწორებისა და — ქვემოთ მოცემული შეზღუდვების ფარგლებში — წაშლის უფლებას, აგრეთვე თანხმობის ნებისმიერ დროს გამოხმობის უფლებას. მათზე პასუხის გაცემა კლინიკის ვალდებულებაა; Unicorn Care ქმნის ამის საშუალებას.

პაციენტის პორტალი პაციენტს საშუალებას აძლევს, ვინმეს მოლოდინის გარეშე ჩამოტვირთოს ყველაფერი, რაც მასზეა შენახული, სტრუქტურირებული და მანქანურად წაკითხვადი სახით. შესწორებისა და წაშლის მოთხოვნები ივსება პორტალიდან და მიემართება კლინიკას, რომელიც პასუხობს მათ და ინახავს პასუხს.

პაციენტს ნებისმიერ დროს შეუძლია გამოიხმოს თანხმობა ავტომატურ შეტყობინებებზე ან თავად პორტალზე — პორტალიდან ან კლინიკის თანამშრომლისთვის შეტყობინებით, რომელსაც შეუძლია მისი სახელით დააფიქსიროს ეს. გამოხმობა ძალაში დაუყოვნებლივ შედის და აჩერებს შემდგომ ავტომატურ გაგზავნას. იგი არ ცვლის კლინიკურ ჩანაწერს და არც კლინიკის მიერ გაწეულ მკურნალობას.

შენახვის ვადა, წაშლა და ის, რაც აუცილებლად უნდა შენარჩუნდეს

პერსონალური მონაცემები ინახება მხოლოდ იმ ვადით, რაც მიზნის მისაღწევადაა საჭირო, გარდა იმ შემთხვევისა, როცა სხვა კანონი უფრო ხანგრძლივ შენახვას მოითხოვს — კლინიკური ჩანაწერის შემთხვევაში კი სწორედ ასეა.

„ჯანმრთელობის დაცვის შესახებ“ საქართველოს კანონი და მის საფუძველზე დადგენილი ჩანაწერების წარმოების წესები კლინიკურ ჩანაწერებს განსაზღვრული ვადით შენახვას ავალდებულებს. პლატფორმის ნაგულისხმევი ვადაა 15 წელი; კლინიკამ, რომელზეც უფრო ხანგრძლივი დარგობრივი წესი ვრცელდება, ამის შესახებ უნდა აცნობოს Unicorn Care-ს ვადის გასაზრდელად. არცერთი ავტომატური პროცესი ამ ვადის განმავლობაში არ შლის სამკურნალო გეგმას, შეხსენებების ისტორიას, აღდგენის ჩანაწერს ან სიმპტომის შეტყობინებას.

შესაბამისად, წაშლის მოთხოვნას პასუხი ორ ნაწილად ეძლევა. საიდენტიფიკაციო და საკონტაქტო მონაცემები — სახელი, ტელეფონის ნომერი, ელფოსტის მისამართი, თავისუფალი ტექსტის ჩანაწერები — იშლება. კლინიკური ჩანაწერი ინახება კანონით დადგენილი ვადით და გამოეყოფა ამ საიდენტიფიკაციო მონაცემებს. ინახება ის მონაცემები, რაც ექიმს ჩანაწერის უსაფრთხოდ წასაკითხად სჭირდება, მათ შორის აღრიცხული ალერგიები. თუ მოთხოვნის სრულად დაკმაყოფილება შეუძლებელია, კლინიკამ პაციენტს წერილობით უნდა განუმარტოს მიზეზი, რასაც პლატფორმა აღრიცხავს.

ხელშეკრულების შეწყვეტისას, კლინიკის არჩევანის შესაბამისად, Unicorn Care დაუბრუნებს ან წაშლის მის მიერ ამ კლინიკისთვის შენახულ პერსონალურ მონაცემებს, გარდა იმისა, რისი შენახვაც კანონით ევალება. შენარჩუნებული მონაცემები, სანამ ინახება, ექვემდებარება ამ ხელშეკრულებას.

კლინიკის ვალდებულებები

კლინიკა იძლევა გარანტიას, რომ მის მიერ შეყვანილ ყოველ პაციენტის ჩანაწერს აქვს კანონიერი საფუძველი, მათ შორის მონაცემთა სუბიექტის მკაფიო თანხმობა ჯანმრთელობის შესახებ მონაცემების დამუშავებაზე, და რომ მან პაციენტი გააფრთხილა ისე, როგორც ამას „პაციენტის უფლებების შესახებ“ საქართველოს კანონი მოითხოვს.

კლინიკა პასუხისმგებელია შეყვანილი ინფორმაციის სიზუსტეზე, ანგარიშის მონაცემების კონფიდენციალურობაზე, თანამშრომლის წასვლისას მისი წვდომის გაუქმებაზე და მის მიერ შედგენილი ყოველი სამკურნალო გეგმის კლინიკურ შინაარსზე.

კლინიკამ არ უნდა შეიყვანოს ის მონაცემები, რომლებსაც პლატფორმა არ ითხოვს. იგი შექმნილია პოსტოპერაციული შეხსენებებისა და მათ გარშემო არსებული ჩანაწერისთვის; ეს არ არის ზოგადი სამედიცინო ჩანაწერების სისტემა, ხოლო მონაცემთა მინიმიზაცია დამმუშავებლის ვალდებულებაა და მას უფლებამოსილი პირი მის ნაცვლად ვერ შეასრულებს.

აუდიტი და ზედამხედველობა

Unicorn Care კლინიკას მიაწვდის ამ ხელშეკრულების შესრულების დასადასტურებლად გონივრულად აუცილებელ ინფორმაციას და ითანამშრომლებს პერსონალურ მონაცემთა დაცვის სამსახურის ან კლინიკის მიერ უფლებამოსილი აუდიტორის მიერ ჩატარებულ შემოწმებაში.

თუ შემოწმება სხვა კლინიკის მონაცემების გამჟღავნებას გამოიწვევდა, იგი ისე მოეწყობა, რომ ეს არ მოხდეს — საერთო პლატფორმაზე აუდიტის უფლება ვერ გახდება მესამე პირის პაციენტის ჩანაწერებამდე მისასვლელი გზა.

მოქმედების ვადა, განმარტება და ხელმოწერილი ასლი

ეს ხელშეკრულება ძალაში შედის კლინიკის მიერ რეგისტრაციისას მისი მიღების მომენტიდან და მოქმედებს მანამ, სანამ Unicorn Care ამუშავებს პერსონალურ მონაცემებს კლინიკის სახელით. მიღებული ვერსია აღირიცხება კლინიკის ანგარიშზე თარიღითა და წარმოშობის მისამართით.

ნებისმიერი ბუნდოვანება განიმარტება იმ მნიშვნელობით, რომელიც შეესაბამება „პერსონალურ მონაცემთა დაცვის შესახებ“ საქართველოს კანონს, ხოლო ამ კანონის ნორმაზე მითითება ნიშნავს ნორმას მოქმედი რედაქციით. თუ ეს ხელშეკრულება და მომსახურების პირობები პერსონალურ მონაცემთა დამუშავების საკითხში ეწინააღმდეგება ერთმანეთს, უპირატესობა ამ ხელშეკრულებას ენიჭება.

კლინიკას, რომელსაც სჭირდება ორმხრივად ხელმოწერილი ასლი ქაღალდზე, შეუძლია მოითხოვოს იგი მისამართზე privacy@unicorn.care.