اعتماد، امنیت و حاکمیت
برای DrPal
تاریخ اجرا: ۱۷ آوریل ۲۰۲۶
ما چه کسانی هستیم
DRPAL GMBH
Dammstrasse 16
6300 Zug
سوئیس
وب‌سایت: drpal.org
تماس حریم خصوصی: [email protected]
مسئول منصوب حفاظت از داده: میسا حیالی (Meisa Hayali)
رویکرد حاکمیت ما
DrPal بر اصول حریم خصوصی از مرحله طراحی، امنیت از مرحله طراحی و حاکمیت مسئولانه هوش مصنوعی بنا شده است. چون پلتفرم ممکن است اطلاعات سلامت و دیگر داده‌های حساس را پردازش کند، هدف ما اعمال کنترل‌های مبتنی بر ریسک، متناسب با ماهیت داده و خدمات است.
مدل حاکمیت ما بر این موارد تمرکز دارد:
• مسئولیت‌پذیری داخلی روشن در حریم خصوصی و امنیت؛
• قواعد مستند نگهداری و حذف داده؛
• کنترل دسترسی بر اساس نقش و دسترسی محدود به داده؛
• حاکمیت تأمین‌کنندگان و پردازشگران فرعی؛
• بررسی گردش کار پُرریسک‌تر داده و هوش مصنوعی؛
• شفافیت درباره استفاده از داده و حفاظت از آن.
حریم خصوصی و حفاظت از داده
برنامه حریم خصوصی DrPal برای پشتیبانی از رعایت تعهدات قابل اعمال حفاظت از داده طراحی شده است؛ از جمله شفافیت، رسیدگی به حقوق، حاکمیت نگهداری و کنترل انتقال فرامرزی مطابق اصول GDPR.
برنامه حریم خصوصی ما در موارد قابل اعمال شامل این موارد است:
• سوابق فعالیت‌های پردازش؛
• حاکمیت نگهداری و حذف؛
• روند رسیدگی به درخواست حقوق صاحبان داده؛
• بررسی پردازشگر فرعی و کنترل قراردادی؛
• کنترل مدیریت دسترسی؛
• بررسی حریم خصوصی در فعالیت پردازشی جدید یا تغییرکرده؛
• ارزیابی ریسک و اثرات در پردازش‌های پُرریسک‌تر.
کنترل‌های امنیتی
DrPal تدابیر فنی و سازمانی برای حفاظت از محرمانگی، یکپارچگی و دسترس‌پذیری داده‌های شخصی اعمال می‌کند.
این تدابیر ممکن است شامل موارد زیر باشند:
• رمزنگاری هنگام انتقال؛
• رمزنگاری هنگام ذخیره‌سازی؛
• کنترل دسترسی با حداقل مجوز و بر اساس نقش؛
• کنترل احراز هویت و امنیت حساب؛
• ثبت و پایش امنیتی؛
• پشتیبان‌گیری و بازیابی؛
• روند پاسخ به رخداد؛
• بررسی امنیت تأمین‌کننده و کنترل قراردادی؛
• بررسی پیکربندی و مدیریت تغییر.
جایگاه HIPAA
DrPal می‌کوشد تدابیری هماهنگ با انتظارهای شناخته‌شده حریم خصوصی و امنیت سلامت حفظ کند. بااین‌حال HIPAA در زمینه‌های حقوقی خاص، از جمله نهادهای تحت پوشش و همکاران تجاری، اعمال می‌شود. هر اپلیکیشن سلامت در همه شرایط خودبه‌خود مشمول HIPAA نیست.
در همکاری‌های سازمانی یا سلامت، DrPal می‌تواند بررسی کند که آیا توافق‌نامه همکار تجاری یا تدابیر قراردادی معادل برای استقرار مشخص مناسب است.
حاکمیت هوش مصنوعی
DrPal برای پشتیبانی از مسئولیت‌پذیری، قابلیت اطمینان و مدیریت کنترل‌شده اطلاعات حساس، تدابیر حاکمیت را بر گردش کار مبتنی بر هوش مصنوعی اعمال می‌کند.
اصول حاکمیت هوش مصنوعی ما شامل این موارد است:
• هدف مشخص برای موارد استفاده هوش مصنوعی؛
• بررسی جریان داده‌های حساس؛
• محدودیت دسترسی به محتوای سلامت؛
• نظارت بر تأمین‌کننده و محرمانگی قراردادی؛
• مستندسازی ریسک، تدابیر حفاظتی و نظارت داخلی؛
• بررسی موارد استفاده پُرریسک‌تر هوش مصنوعی؛
• اطلاع‌رسانی به کاربر درباره نقش و محدودیت خروجی هوش مصنوعی.
در موارد قابل اعمال، DrPal می‌کوشد استفاده از داده سلامتِ قابل شناسایی را در ارزیابی داخلی کاهش دهد و در همکاری با ارائه‌دهندگان خدمات از حذف شناسه، کمینه‌سازی داده و محدودیت قراردادی استفاده کند.
تداوم زمانی سوابق سلامت
تداوم اطلاعات در طول زمان، بخشی اصلی از معماری DrPal است. پرسش‌ها، گزارش‌های بارگذاری‌شده، اسناد به‌اشتراک‌گذاشته‌شده و تعامل‌های ثبت‌شده ممکن است زمان‌گذاری و به ترتیب زمانی سامان‌دهی شوند تا سامانه از مرور ساختاریافته سابقه، تداوم و بینش بلندمدت سلامت بهتر پشتیبانی کند.
این طراحی سابقه کاربر را منسجم‌تر می‌کند و ممکن است توانایی پلتفرم در یافتن الگوها، روندها و نشانه‌های پیشگیرانه را در طول زمان بهبود دهد.
حاکمیت تأمین‌کنندگان و پردازشگران فرعی
DrPal ارائه‌دهندگان شخص ثالث را با فرایند حاکمیتی مدیریت می‌کند که ممکن است شامل این موارد باشد:
• ارزیابی دقیق امنیت و حریم خصوصی؛
• تعهد قراردادی حفاظت از داده؛
• الزامات محرمانگی؛
• مجوز دسترسی با دامنه محدود؛
• بررسی دوره‌ای ضرورت و ریسک.
حاکمیت نگهداری و حذف داده
DrPal شیوه‌های نگهداری و حذف داده را برای هماهنگی مدت ذخیره‌سازی با نیاز خدمات، قابلیت‌های تداوم، تعهدات قانونی و حقوق کاربر حفظ می‌کند. این کار شامل حاکمیت محتوای کاربر، گزارش‌ها، سوابق پشتیبانی و سوابق مالی یا تراکنشی است.
نقشه راه انطباق و اطمینان‌بخشی
DrPal فعالانه در حال توسعه و رسمی‌سازی وضعیت اطمینان‌بخشی و حاکمیت خود است؛ از جمله تلاش برای آمادگی و دریافت گواهی چارچوب‌های امنیت، حریم خصوصی و هوش مصنوعی مسئولانه.
برنامه‌های فعلی ممکن است شامل موارد زیر باشند:
• فرایند آمادگی / گواهی اطمینان SOC 2
• فرایند آمادگی / دریافت گواهی ISO/IEC 27001
• فرایند آمادگی / هماهنگی حاکمیت ISO/IEC 42001
اشاره به این برنامه‌ها بیانگر وضعیت فعلی آن‌هاست و نباید به‌معنای دریافت گواهی نهایی تلقی شود، مگر صریحاً گفته شود.
تماس
برای پرسش درباره حریم خصوصی، امنیت یا حاکمیت با ما تماس بگیرید:
[email protected]
