Політика конфіденційності

1. Хто ми

ФОП Березовський Олександр Вікторович, РНОКПП 3114619894, дата державної реєстрації 16.09.2025, номер запису в ЄДР 2010350000000877534, КВЕД 86.22 (Спеціалізована медична практика), ліцензія МОЗ № <TBD> на медичну практику за спеціальністю «Радіологія».

2. Які дані ми збираємо

• Ідентифікаційні: ПІБ, дата народження, контакти.
• Технічні: IP, user-agent, Telegram user_id.
• Медичні (special category): висновки, DICOM-зображення, скарги, анамнез.
• Платіжні: токенізовані ідентифікатори транзакцій (саму карту НЕ зберігаємо — у платіжного процесора).

3. Цілі обробки

• Надання консультаційної медичної послуги.
• Виконання податкових та облікових зобов'язань.
• Надсилання сервісних повідомлень (статус замовлення).
• Покращення сервісу (агрегована, anonymized аналітика).

4. Підстави обробки

• Ваша явна згода (Art. 9(2)(a) GDPR / ст. 11 ЗУ 2297-VI).
• Виконання договору (публічна оферта).
• Законні зобов'язання (податкове, медичне законодавство).
• Захист життєво важливих інтересів (Art. 9(2)(c) GDPR — у виняткових випадках).

5. З ким ми ділимось даними

• Платіжний процесор (WayForPay/LiqPay/Stripe) — лише ідентифікатори транзакцій.
• Хостинг-провайдер (Hetzner у Helsinki/Frankfurt) — encrypted at rest.
• AI/STT — тільки self-host, PHI не передається третім особам.

6. Cross-border transfer

• Дані зберігаються в EU (Хетцнер).
• Якщо потрібен transfer в третю країну — використовуємо SCC + supplementary measures.

7. Строки зберігання

• Висновки: 3 роки.
• Сирі DICOM: 30 днів.
• Облікові дані: 5 років (Податковий кодекс).
• Логи доступу: 1 рік.
• Cookies analytics: cookieless або максимум 13 міс.

8. Ваші права

• Доступ до даних.
• Виправлення.
• Видалення (з урахуванням обов'язкових термінів).
• Обмеження обробки.
• Перенесення (data portability).
• Заперечення обробки.
• Відкликання згоди.
• Скарга до Уповноваженого ВРУ з прав людини / DPA країни ЄС.

Запити: berezovskiy.a@gmail.com або /forgetme у боті.

9. Security

• Encryption at-rest (S3-SSE-KMS, LUKS).
• TLS 1.3 in-transit.
• Audit log усіх доступів до PHI.
• Pseudonymisation де можливо.
• Penetration testing раз на рік.

10. Breach notification

• 72 години — повідомити Уповноваженого / DPA.
• Якщо high risk для пацієнта — повідомити Пацієнта без затримки.

11. DPO

• DPO: <призначений / якщо self — вказати>.
• Email DPO: <...>.

12. Зміни до Політики

Чинна версія публікується на сайті. Суттєві зміни — повідомлення користувачам через бот/email.

13. Контакти

• Email: berezovskiy.a@gmail.com
• Tel: <...>
• Юр-адреса: <...>