Політика конфіденційності

1. Хто ми і про що ця Політика

Ця Політика пояснює, які персональні дані обробляє сервіс RadVoice (https://radvoice.com.ua), з якою метою, на якій підставі, кому вони передаються, як довго зберігаються і які права ви маєте. Політика є невід’ємною частиною Договору публічної оферти (https://radvoice.com.ua/terms).

Володілець персональних даних: фізична особа – підприємець Березовський Олександр Вікторович, РНОКПП 3114619894, Україна (далі — «ми», «RadVoice»). Електронна пошта з питань персональних даних: berezovskiy.a@gmail.com.

Відповідальна особа з питань захисту персональних даних (ст. 24 Закону України «Про захист персональних даних»): Березовський Олександр Вікторович особисто. Окремий інспектор із захисту даних (DPO) за GDPR не призначався, оскільки обробка не має масштабного характеру у розумінні ст. 37 GDPR.

Політика написана для двох аудиторій: лікарів та інших користувачів, які створюють обліковий запис (розділи 3–13), і пацієнтів, чиї дані можуть потрапити до звітів (розділ 14).

2. Дві ролі: ваші дані і дані пацієнтів

Щодо даних вашого облікового запису та даних про використання сервісу ми є володільцем персональних даних і самостійно визначаємо мету й засоби обробки.

Щодо клінічного змісту ваших звітів, транскриптів і диктовок, який може містити дані про пацієнтів, володільцем є ви або заклад охорони здоров’я, від імені якого ви працюєте. Ми виступаємо розпорядником: обробляємо такі дані лише за вашим дорученням, лише для роботи сервісу і не використовуємо їх для власних цілей. Обов’язки розпорядника закріплені в розділі 10 Договору публічної оферти.

Ми не вимагаємо і не рекомендуємо вводити прямі ідентифікатори пацієнтів. Сервіс повноцінно працює зі знеособленими звітами.

3. Які дані ми збираємо

Дані облікового запису: адреса електронної пошти; ім’я (необов’язково); хеш пароля (сам пароль ми не зберігаємо); при вході через Google — ваш ідентифікатор Google та адреса пошти й ім’я з профілю Google (фото та інші поля профілю ми не отримуємо); статус підтвердження пошти; секрет двофакторної автентифікації, якщо ви її увімкнули; дата створення, останнього входу та останньої активності.

Робочі дані (клінічний контент): тексти звітів, у тому числі всі розділи шаблону, які ви заповнили; очищений і дослівний транскрипт диктовки; історія версій звіту; повідомлення в чаті-асистенті; пояснення для пацієнта простою мовою; ваші власні шаблони; налаштування робочого простору. Якщо ви заповнили в шаблоні поля «ПІБ пацієнта», «дата народження», «ідентифікатор» або продиктували їх, ці дані зберігаються у складі звіту на сервері.

Аудіо: за замовчуванням аудіозапис диктовки передається на розпізнавання, обробляється в пам’яті та не зберігається ні на нашому сервері, ні у вашому пристрої після отримання тексту. Виняток — добровільна програма покращення розпізнавання (розділ 6).

Дані про використання: кількість створених, фіналізованих і скопійованих звітів, хвилини диктовки (для обліку лімітів тарифу), назва використаного шаблону, тривалість диктовки, обраний тариф. Ці дані не містять тексту звітів.

Платіжні дані: ідентифікатор і статус рахунку в платіжному сервісі, суму, дату, назву тарифу, номер фіскального чека, а також токен збереженої картки, якщо ви погодилися на автоматичне продовження. Повний номер картки, CVV і термін дії ми не отримуємо і не зберігаємо.

Технічні дані: IP-адреса та заголовки запиту потрапляють у короткострокові журнали сервера (розділ 9) і використовуються для обмеження частоти запитів і захисту від зловживань; при надсиланні зворотного зв’язку зберігаються адреса сторінки та рядок браузера (user-agent). Ми не зберігаємо IP-адреси в профілі користувача і не ведемо історію ваших входів за IP.

Зворотний зв’язок: текст повідомлення, категорія і ваша адреса пошти.

Дані у вашому браузері: чернетки, останній шаблон, налаштування інтерфейсу та до п’яти останніх адрес, на які ви надсилали звіти, зберігаються локально у вашому браузері (розділ 11).

Ми не збираємо дані з інших джерел, не використовуємо системи веб-аналітики, рекламні ідентифікатори, пікселі соцмереж чи інструменти запису сесій.

4. Мета і правові підстави обробки

Надання сервісу: створення облікового запису, автентифікація, розпізнавання мовлення, структурування і збереження звітів, синхронізація між пристроями, надсилання звітів на пошту за вашою командою. Підстава — укладення та виконання договору з вами (п. 5 ч. 1 ст. 11 Закону України «Про захист персональних даних»; ст. 6(1)(b) GDPR). Щодо даних пацієнтів — ваше доручення як володільця (розділ 2).

Облік лімітів і платежі: контроль квот тарифу, виставлення рахунків, підтвердження оплати, фіскалізація, повернення коштів. Підстава — виконання договору та виконання обов’язків, покладених на нас законом (податкове законодавство, законодавство про розрахункові операції).

Безпека: захист від несанкціонованого доступу, зловживань, шахрайства; журналювання адміністративних дій; перевірка пароля на компрометацію. Підстава — наш законний інтерес у безпеці сервісу та захисті користувачів (п. 6 ч. 1 ст. 11 Закону; ст. 6(1)(f) GDPR).

Комунікація: сервісні листи (підтвердження пошти, скидання пароля, зміни умов, повідомлення про списання), відповіді на звернення. Підстава — виконання договору. Маркетингових розсилок ми не робимо; якщо почнемо, попросимо окрему згоду.

Покращення розпізнавання української медичної мови: збереження аудіо та дослівного транскрипту. Підстава — виключно ваша окрема явна згода, яку можна відкликати (розділ 6).

Транскордонна передача даних субпроцесорам поза межами України: ваша однозначна згода, надана при акцепті Договору, і необхідність передачі для виконання договору з вами (п. 1, 2 ч. 3 ст. 29 Закону).

5. Штучний інтелект і знеособлення

Розпізнавання мовлення виконує зовнішня модель перетворення мовлення в текст. Разом з аудіо їй передається підказка зі спеціалізованою термінологією шаблону та вашого словника, щоб підвищити точність. Аудіо, що містить продиктовані ідентифікатори пацієнта, знеособити неможливо — тому ми просимо їх не диктувати.

Структурування тексту у звіт, очищення транскрипту, формування висновку, перевірка безпеки та чат-асистент виконуються великими мовними моделями через шлюз OpenRouter (моделі Google Gemini, OpenAI та інші, які ви можете обирати в налаштуваннях). Перед відправленням у модель для основних операцій — заповнення шаблону, очищення транскрипту, перевірки Safety Gate і RadGuard — з тексту автоматично вилучаються дати та фрагменти, позначені як ПІБ і дата народження пацієнта; чат-асистент не отримує розділ «Дані пацієнта» і дослівний транскрипт. Для окремих допоміжних операцій (формування висновку, пояснення для пацієнта, редагування окремого поля голосом, майстер шаблонів) текст передається без такого фільтра, тому не додавайте до нього ідентифікатори пацієнтів.

Ми не навчаємо власних моделей на ваших звітах. За договірними умовами наших субпроцесорів дані, надіслані через API, не використовуються ними для навчання їхніх моделей.

Жодне рішення щодо пацієнта не приймається автоматизовано: сервіс лише готує чернетку тексту, яку лікар перевіряє і затверджує особисто.

6. Добровільна програма покращення розпізнавання (зберігання диктовок)

Після першого входу ми один раз запитуємо, чи дозволяєте ви зберігати ваші диктовки. Опція вимкнена за замовчуванням і вмикається лише вашою явною дією. Поточна версія тексту згоди — від 2 серпня 2026 р.; ми зберігаємо дату вашого рішення та версію згоди.

Якщо ви погодилися, для кожної диктовки ми зберігаємо: аудіофайл у захищеному об’єктному сховищі, дослівний розпізнаний текст до автовиправлення, фінальний текст поля після вашого редагування, тривалість, мову, модель розпізнавання, назву шаблону, модальність та назву поля. Мета — виключно покращення якості розпізнавання української медичної мови. Ці записи не передаються стороннім організаціям, окрім постачальника сховища, і не використовуються для реклами чи профілювання.

Ви можете відкликати згоду будь-коли листом на berezovskiy.a@gmail.com (перемикач у налаштуваннях сервісу — у розробці). Після відкликання нові записи не зберігаються, а раніше збережені аудіо та транскрипти ми видаляємо протягом 30 днів з дня отримання запиту й підтверджуємо це листом.

Не диктуйте ПІБ, дату народження та інші дані пацієнта. З тексту ми вилучаємо їх автоматично там, де це технічно можливо, з аудіозапису — ні.

7. Кому передаються дані (субпроцесори)

Ми не продаємо персональні дані і не передаємо їх для реклами. Дані отримують лише постачальники, без яких сервіс не працює, і лише в обсязі, необхідному для їхньої функції. Кожен з них зв’язаний договором про обробку даних або умовами використання, що забороняють використання даних для власних цілей. Актуальний перелік:

• Railway Corp. (США): хостинг сервера застосунку та основної бази даних PostgreSQL, регіон us-west2 (США). Отримує всі дані розділу 3, крім аудіо.
• Vercel Inc. (США): хостинг веб-інтерфейсу. Отримує технічні дані запитів до сайту.
• OpenAI, L.L.C. (США): розпізнавання мовлення. Отримує аудіозапис диктовки, підказку з термінологією та код мови. Аудіо не зберігається нами після отримання тексту.
• OpenRouter, Inc. (США) та постачальники моделей через нього (Google LLC, OpenAI, Anthropic PBC та інші, відповідно до обраної моделі): структурування тексту, очищення транскрипту, висновок, перевірки, чат. Отримують текст транскрипта і звіту після знеособлення, описаного в розділі 5.
• ElevenLabs Inc. (США): альтернативний рушій розпізнавання мовлення; застосовується лише якщо його увімкнено адміністратором сервісу. Отримує аудіозапис диктовки.
• Cloudflare, Inc. (США, глобальна мережа): об’єктне сховище R2 для аудіозаписів учасників програми покращення розпізнавання (розділ 6). Отримує лише аудіофайли, і лише за вашою згодою.
• Resend, Inc. (США): надсилання електронних листів — підтвердження пошти, скидання пароля, звіти, які ви надсилаєте на пошту за власною командою (у такому разі отримує текст звіту та адресу отримувача), сервісні повідомлення.
• Google LLC (США): вхід через обліковий запис Google, якщо ви його обрали. Отримує факт вашого входу в RadVoice; ми отримуємо ваші ідентифікатор, пошту та ім’я.
• АТ «Універсал Банк», платіжний сервіс plata by mono (Україна): приймання оплати, фіскалізація, повернення коштів. Отримує суму, назву тарифу, ідентифікатор рахунку та внутрішній ідентифікатор користувача; вашу пошту та зміст звітів не отримує.
• Functional Software, Inc. (Sentry, США): моніторинг помилок сервера та інтерфейсу. Персональні ідентифікатори, cookies, тіла запитів та поля, схожі на дані пацієнтів, вилучаються перед відправленням; записи сесій вимкнені.
• Telegram Messenger Inc. (ОАЕ/Велика Британія): службові сповіщення адміністратору сервісу про нову реєстрацію (пошта, ім’я, тариф), надісланий зворотний зв’язок (пошта, категорія, перші 120 символів тексту) та факт фіналізації або копіювання звіту (пошта, назва шаблону, тривалість). Текст звітів у Telegram не передається.
• Have I Been Pwned (Superlative Enterprises Pty Ltd, Австралія): при реєстрації та зміні пароля надсилаються перші 5 символів хешу SHA-1 вашого пароля для перевірки, чи не потрапив він у відомі витоки. Сам пароль або його повний хеш не передаються.

Крім того, дані можуть бути розкриті державним органам на їхню законну вимогу в порядку, встановленому законодавством України, або для захисту наших прав у суді. Про такі запити ми повідомляємо вас, якщо закон не забороняє.

Про заміну або додавання субпроцесора, який обробляє клінічний контент, ми повідомляємо в оновленій редакції цієї Політики та електронною поштою не менш ніж за 10 днів.

8. Транскордонна передача та місце зберігання

Основна база даних сервісу, включно з текстами звітів, розміщена на серверах у Сполучених Штатах Америки (розділ 7). Розпізнавання мовлення, мовні моделі та поштовий сервіс також працюють у США. Отже, ваші персональні дані та дані пацієнтів у складі ваших звітів передаються за межі України до держави, яка не входить до переліку держав із належним рівнем захисту за ст. 29 Закону України «Про захист персональних даних».

Підставою такої передачі є ваша однозначна згода, надана при акцепті Договору публічної оферти, та необхідність передачі для виконання договору з вами. Щодо даних пацієнтів ви як володілець доручаєте нам таку передачу, приймаючи Договір; ви маєте право не вводити ідентифікуючі дані пацієнтів у сервіс.

Для користувачів з Європейської економічної зони передача до США здійснюється на підставі стандартних договірних положень Європейської комісії (SCC), включених до договорів з нашими постачальниками, та/або їхньої сертифікації за EU-U.S. Data Privacy Framework.

Ми розглядаємо перенесення основної бази даних до Європейського Союзу; про таке перенесення повідомимо оновленням цієї Політики.

9. Строки зберігання

• Дані облікового запису: до видалення облікового запису на ваш запит або за неактивності понад 24 місяці на безкоштовному тарифі (з попередженням за 30 днів).
• Звіти, транскрипти, історія версій, чат: до видалення вами в інтерфейсі (звіт переміщується до видалених і остаточно стирається протягом 30 днів) або до видалення облікового запису. Ми не встановлюємо примусового строку зберігання ваших звітів; ви самостійно вирішуєте, як довго вони потрібні відповідно до вимог до медичної документації.
• Аудіо за замовчуванням: не зберігається. Аудіо учасників програми покращення розпізнавання: до відкликання згоди або запиту на видалення (розділ 6).
• Сесії входу: до 30 днів без активності; прострочені сесії автоматично видаляються щодня.
• Журнали сервера (містять IP-адреси і технічні дані запитів): близько 7 днів у постачальника хостингу.
• Журнал адміністративних дій та події використання (без тексту звітів): 3 роки для цілей безпеки та обліку.
• Зворотний зв’язок: до вирішення питання, але не довше 2 років.
• Платіжні документи (рахунки, фіскальні чеки, підтвердження оплати): не менше 3 років з дати операції відповідно до ст. 44 Податкового кодексу України, а у випадках, передбачених законодавством, — довше.
• Резервні копії бази даних: автоматичні щоденні копії зберігаються 7 днів і потім перезаписуються; дані, видалені з основної бази, зникають з резервних копій протягом цього строку.
• Дані у вашому браузері: до натискання «Вийти» (робочі дані очищаються) або до очищення даних сайту вами вручну (розділ 11).

10. Безпека

Усі з’єднання з сервісом захищені TLS (HTTPS); для домену увімкнено HSTS.

Паролі зберігаються лише у вигляді хешу Argon2id і не можуть бути відновлені; при реєстрації пароль перевіряється на наявність у відомих витоках. Доступна двофакторна автентифікація (TOTP); для адміністративних дій вона обов’язкова.

Сесія входу реалізована короткоживучими маркерами (15 хвилин) з ротацією маркера оновлення; при виході всі сесії користувача завершуються, а локальні дані у браузері очищаються.

Доступ до сервера обмежено перевіркою походження запитів, обмеженням частоти запитів, суворою політикою безпеки вмісту (CSP) та забороною вбудовування сайту в чужі сторінки.

База даних та сховище файлів шифруються на рівні дисків постачальниками хостингу. Шифрування окремих полів звітів на рівні застосунку наразі не застосовується; ми не заявляємо про нього і працюємо над його впровадженням.

Дії адміністраторів сервісу журналюються. Доступ адміністратора до текстів звітів можливий лише для технічної підтримки на ваш запит або для розслідування інцидентів безпеки.

Жодна система не є абсолютно захищеною. Ми не можемо гарантувати неможливість несанкціонованого доступу, але зобов’язуємося невідкладно реагувати на інциденти (розділ 13).

11. Cookies та локальне сховище браузера

Сервіс використовує лише два строго необхідних cookie-файли для входу: «sid» (маркер доступу, 15 хвилин) і «rid» (маркер оновлення сесії, до 30 днів). Обидва є httpOnly та secure, недоступні скриптам сторінки і не використовуються для відстеження. Оскільки інших cookie немає, банер згоди на cookie не показується.

Веб-застосунок зберігає у локальному сховищі вашого браузера (localStorage та IndexedDB) чернетки звітів, транскрипти, обраний шаблон, розкладку розділів, мову й тему інтерфейсу, а також до п’яти останніх адрес отримувачів звітів. Ці дані не залишають ваш пристрій і потрібні для роботи без втрати чернеток. При натисканні «Вийти» або вході іншого користувача робочі дані (чернетки, транскрипти, шаблони) очищаються автоматично; налаштування інтерфейсу та останні адреси отримувачів зберігаються до очищення даних сайту у налаштуваннях браузера.

На спільному комп’ютері завжди натискайте «Вийти» після роботи.

12. Ваші права

Відповідно до ст. 8 Закону України «Про захист персональних даних» (а для резидентів ЄС — ст. 15–22 GDPR) ви маєте право: знати про обробку своїх даних; отримати доступ до них і копію; вимагати виправлення неточних даних; вимагати видалення (з урахуванням строків, встановлених законом); вимагати обмеження обробки; заперечувати проти обробки на підставі законного інтересу; відкликати згоду (це не впливає на законність обробки до відкликання); отримати дані у машиночитному форматі; не підпадати під автоматизовані рішення; звернутися зі скаргою до Уповноваженого Верховної Ради України з прав людини (https://ombudsman.gov.ua) або до наглядового органу держави ЄС, а також до суду.

Ім’я та пароль ви можете змінити в налаштуваннях сервісу. Звіти можна видаляти самостійно в архіві. Для інших запитів (доступ, копія, експорт, видалення облікового запису, відкликання згоди на зберігання диктовок) напишіть на berezovskiy.a@gmail.com з адреси, зазначеної у вашому обліковому записі. Ми відповідаємо протягом 30 календарних днів; видалення облікового запису виконуємо протягом 30 днів з дня запиту та підтверджуємо листом. Кнопка самостійного видалення облікового запису в налаштуваннях — у розробці.

Для захисту ваших даних ми можемо попросити підтвердити особу (наприклад, відповісти з адреси облікового запису або увійти в сервіс).

13. Повідомлення про порушення захисту даних

У разі інциденту, що призвів до несанкціонованого доступу, втрати або розкриття персональних даних, ми повідомляємо постраждалих користувачів електронною поштою без невиправданої затримки і не пізніше 72 годин з моменту виявлення, із зазначенням характеру інциденту, ймовірних наслідків і вжитих заходів. Якщо інцидент стосується даних пацієнтів у ваших звітах, ми надаємо вам інформацію, необхідну для повідомлення пацієнтів і органів, як того вимагає законодавство від вас як володільця.

Про підозру на вразливість або інцидент пишіть на berezovskiy.a@gmail.com з темою «Security».

14. Інформація для пацієнтів

Якщо ваш лікар використовує RadVoice, текст вашого медичного висновку міг бути підготовлений за допомогою цього сервісу. Володільцем ваших даних є ваш лікар або медичний заклад; RadVoice обробляє дані лише за їхнім дорученням і не приймає жодних рішень щодо вашого здоров’я — висновок готує і підписує лікар.

Ми не маємо змоги ідентифікувати вас у звітах і не зіставляємо звіти з іншими джерелами. Для реалізації своїх прав (доступ, виправлення, видалення) звертайтеся до свого лікаря або медичного закладу; ми надаємо їм для цього всю необхідну технічну допомогу. Якщо ви не знаєте, до кого звернутися, напишіть на berezovskiy.a@gmail.com — ми допоможемо перенаправити запит.

15. Діти

Сервіс призначений для медичних фахівців віком від 18 років. Ми свідомо не створюємо облікові записи для осіб молодших 18 років; якщо такий обліковий запис буде виявлено, ми його видалимо. Дані пацієнтів-дітей можуть оброблятися у складі звітів лікаря на підставах, за які відповідає лікар.

16. Зміни до Політики

Чинна редакція публікується за адресою https://radvoice.com.ua/privacy із зазначенням номера редакції та дати. Про суттєві зміни (нові категорії даних, нові субпроцесори клінічного контенту, зміна місця зберігання, зміна строків) ми повідомляємо електронною поштою або повідомленням у сервісі не менш ніж за 10 днів до набрання чинності. Попередні редакції надаються на запит.

17. Контакти

Фізична особа – підприємець Березовський Олександр Вікторович, РНОКПП 3114619894, Україна.

Електронна пошта з усіх питань щодо персональних даних: berezovskiy.a@gmail.com.

Сайт: https://radvoice.com.ua. Договір публічної оферти: https://radvoice.com.ua/terms.