सुरक्षा

टेनेंट-अलगाव डेटा-परत पर केंद्रीय रूप से लागू है — हर क्वेरी पर अलग से लगाए जाने वाले किसी फ़िल्टर से नहीं, जिसे कोई लिखना भूल सकता है। क्लिनिकल रिकॉर्ड की हर पढ़त और लिखत डेटाबेस तक पहुँचने से पहले ही साइन-इन डॉक्टर तक सीमित हो जाती है, और किसी दूसरे क्लिनिक के रिकॉर्ड तक पहुँचने की कोशिश डेटा लौटाने के बजाय विफल होती है।

पासवर्ड सिर्फ़ bcrypt हैश के रूप में रखे जाते हैं — हम आपका पासवर्ड नहीं पढ़ सकते, और डेटाबेस पा लेने वाला भी नहीं पढ़ सकता। पासवर्ड-रीसेट लिंक एक ही बार चलते हैं, एक घंटे में समाप्त होते हैं, और स्वयं भी सिर्फ़ हैश के रूप में रखे जाते हैं। पासवर्ड रीसेट करने पर मोबाइल/API सेशन रद्द हो जाते हैं — इस मान्यता पर कि रीसेट किसी सेंध के बाद भी हो सकता है।

रिसेप्शन स्टाफ़ अपने ही यूज़रनेम से साइन इन करता है। वे अपॉइंटमेंट देख और बुक कर सकते हैं, बस — न मरीज़ की फ़ाइलें, न कंसल्टेशन, न प्रिस्क्रिप्शन, न सेटिंग्स। रिसेप्शनिस्ट को हटाते ही उसकी पहुँच तुरंत समाप्त हो जाती है।

किसने कौन-सा मरीज़ रिकॉर्ड कब खोला या बदला — आपके रिसेप्शन स्टाफ़ की गतिविधि समेत — यह दर्ज होता है और account menu → Activity log में आपको दिखता है। प्रविष्टियाँ ऐप के भीतर से न संपादित हो सकती हैं न हटाई जा सकती हैं, और जिस रिकॉर्ड का वे वर्णन करती हैं उसके हटने के बाद भी बनी रहती हैं; जो ऑडिट ट्रेल मिटाई जा सके, वह ऑडिट ट्रेल नहीं।

लॉग यह दर्ज करता है कि रिकॉर्ड खोला गया — उसकी क्लिनिकल सामग्री कभी नहीं।

मरीज़ों के रिकॉर्ड Mumbai, India में संग्रहीत और संसाधित होते हैं। सारा ट्रैफ़िक HTTPS पर चलता है। मरीज़ों के दस्तावेज़ और जाँच रिपोर्टें भारत में ऐसे निजी स्टोरेज में रहती हैं जिसे सिर्फ़ यह ऐप पढ़ सकता है; वे सिर्फ़ उनके डॉक्टर को, ऐप के ज़रिए और यह जाँचने के बाद कि कौन माँग रहा है, दी जाती हैं, और कभी सार्वजनिक पते पर नहीं रखी जातीं।

डेटाबेस का बैकअप रोज़, घूमते क्रम पर बनता है, और ऑफ़-साइट प्रतियाँ भी — ताकि एक मशीन के फ़ेल होने से आपके रिकॉर्ड न चले जाएँ।

हर बदलाव मर्ज होने से पहले स्वचालित टाइप-चेक, टेस्ट और सुरक्षा-स्कैन से गुज़रता है। निर्भरता-चेतावनियाँ हर पुल-रिक्वेस्ट पर एक स्पष्ट सूची के विरुद्ध जाँची जाती हैं, ताकि कोई नई कमज़ोरी चुपचाप न निकल जाए, और हर कमिट पर सीक्रेट-स्कैनिंग चलती है।

वैकल्पिक सहायताएँ आपके सामने खुले लक्षण-पाठ को मॉडल प्रदाता के पास सिर्फ़ रेपर्टरी खोज-वाक्यांश बनाने भेजती हैं। आपको दिखाए जाने वाले रुब्रिक्स हमेशा हमारे डेटाबेस से आते हैं, इसलिए कोई सुझाव ऐसा रुब्रिक नहीं हो सकता जो मौजूद ही न हो — और मॉडल न कभी आपकी मरीज़-सूची देखता है, न कोई रेमेडी सुझाता है। फ़ीचर बंद रखिए, तो कुछ भी नहीं भेजा जाता।

केस रिपोर्ट में AI सहायता आपके लिखे पेपर की भाषा पर काम करती है। उसे केस पहचान हटाकर भेजा जाता है — उम्र, लिंग, पेशा और क्लिनिकल रिकॉर्ड, जिसमें तारीख़ों की जगह पहली विज़िट से बीता समय होता है — और साथ में आपके अपने नोट्स; नाम, फ़ोन नंबर, पता या जन्मतिथि कभी नहीं। वह कोई तथ्य या संदर्भ नहीं जोड़ती, हर उपयोग पेपर के आख़िरी पन्ने पर दर्ज होता है, और जब तक आप न माँगें, कुछ नहीं भेजा जाता।

हम HIPAA-अनुपालन का दावा नहीं करते। HIPAA अमेरिकी क़ानून है और भारतीय क्लिनिक पर लागू नहीं होता; जो सॉफ़्टवेयर भारतीय डॉक्टरों को यह शब्द बेचता है, वह प्रायः वह कह रहा है जिसकी उसकी कोई ऑडिट नहीं हुई। हम भारत के डिजिटल व्यक्तिगत डेटा संरक्षण अधिनियम और नियमों के अनुरूप बने हैं, और गोपनीयता नीति ठीक-ठीक बताती है कैसे।

स्वतंत्र सुरक्षा-ऑडिट अभी पूरा नहीं हुआ है। जब होगा, इसी पृष्ठ पर उसका नाम होगा।

संविदात्मक स्थिति — भूमिकाएँ, उप-प्रोसेसर, उल्लंघन-सूचना और विलोपन — के लिए डेटा प्रोसेसिंग परिशिष्ट और उप-प्रोसेसर सूची देखें।

कोई कमज़ोरी मिले तो सार्वजनिक करने से पहले कृपया हमें contact@hpills.com पर बताइए। हम एक कार्य-दिवस के भीतर पावती देंगे, आपको सूचित रखेंगे, और चाहें तो श्रेय भी देंगे।