Bezpieczeństwo danych w MentAI

W gabinecie zaufanie to połowa pracy — dlatego opisujemy zabezpieczenia wprost, bez marketingowych skrótów. Jeśli po lekturze zostanie jakiekolwiek pytanie, napisz: rodo@mentai.pl.

Gdzie mieszkają dane

Cały system działa na infrastrukturze AWS (Amazon Web Services) w regionie Unii Europejskiej (Frankfurt), a kopie zapasowe trafiają dodatkowo do drugiego regionu UE (Sztokholm). Infrastruktura AWS posiada certyfikaty m.in. ISO 27001, ISO 27017, ISO 27018 oraz SOC 2.

Szyfrowanie

• Transmisja: całość ruchu przez szyfrowane połączenia HTTPS.
• Dane w spoczynku: szyfrowane na poziomie magazynów danych.
• Moduł kliniczny (opcjonalny): dokumentacja trafia do osobnego, szyfrowanego magazynu z dedykowanym kluczem (AWS KMS, region UE — Frankfurt), innym niż pozostałe dane systemu.

Logowanie i dostęp

• Logowanie dwuskładnikowe (2FA) z aplikacji uwierzytelniającej — obowiązkowe dla każdego konta. Przez 7 dni od pierwszego logowania panel przypomina o nim z licznikiem dni, potem bez 2FA otwiera się tylko ekran jego włączenia. Moduł kliniczny wymaga 2FA od pierwszego dnia, a Administrator gabinetu może jednym przełącznikiem wymagać go od całego zespołu od razu. Gdy ktoś zgubi telefon, Administrator resetuje mu 2FA w ustawieniach zespołu.
• Każde konto jest imienne i ma jedną aktywną sesję — logowanie na nowym urządzeniu kończy poprzednią.
• Dostęp do treści klinicznych mają wyłącznie terapeuci prowadzący klienta (także administrator gabinetu widzi tylko klientów, których sam prowadzi). Recepcja nie widzi treści klinicznych.
• Wgląd w dokumentację zostawia ślad w dzienniku dostępu (kto i kiedy — bez treści).

Zasada minimum danych

Dokumentacja kliniczna ma w MentAI osobny moduł: oddzielny magazyn szyfrowany dedykowanym kluczem, dziennik dostępu, włączenie wyłącznie przez administratora gabinetu z weryfikacją dwuetapową (regulamin, sekcje 3–3d). Bez tego modułu MentAI pracuje bez danych klinicznych: kartoteka wizyt przechowuje wyłącznie dane organizacyjne (terminy, statusy, rozliczenia).

AI z granicami

• Treści z Twojego gabinetu nie są używane do trenowania modeli AI.
• Szkice AI nie są zapisywane ani logowane — do dokumentacji trafia wyłącznie to, co zatwierdzi specjalista. AI nie prowadzi terapii, nie diagnozuje i nie podejmuje decyzji klinicznych.
• Transkrypcja sesji (moduł opcjonalny): nagranie i surowa transkrypcja zostają w magazynie klinicznym do pobrania najdłużej 24 godziny od nagrania, a potem są usuwane automatycznie (automat sprząta magazyn co 15 minut); nie trafiają do kopii zapasowych, a terapeuta może je usunąć wcześniej przyciskiem „Usuń teraz”. Szkic notatki powstaje na życzenie terapeuty albo sam po transkrypcji, jeśli gabinet włączy tę opcję. Wyjątek: transkrypt nagrania telewizyty (moduł telewizyt) jest zapisywany w dokumentacji wizyty obok nagrania, pod tą samą zgodą klienta, i usuwany razem z nagraniem przez gabinet. Przetwarzanie: Amazon Transcribe i Amazon Bedrock, oba w regionie UE.
• Nagranie sesji można rozpocząć dopiero po odnotowaniu zgody każdego uczestnika.

Ochrona przed atakami

• Zapora aplikacyjna (WAF) z limitami zapytań i blokadą znanych źródeł skanowania.
• Całodobowe, automatyczne alarmy bezpieczeństwa (nietypowe logowania, zmiany uprawnień, sabotaż mechanizmów ochronnych, nietypowo dużo odczytów dokumentacji klinicznej, skoki ruchu i bardzo duże odpowiedzi API). Każde zapytanie do API trafia do dziennika bez treści, przechowywanego 90 dni.
• Eksport dokumentacji klinicznej do PDF jest ograniczony do 10 na godzinę na konto; po przekroczeniu limitu właściciel gabinetu dostaje powiadomienie.
• Cotygodniowy automatyczny przegląd bezpieczeństwa konfiguracji.

Kopie zapasowe

Bazy danych mają włączone automatyczne kopie z odtwarzaniem punkt-w-czasie (dowolny moment z ostatnich 35 dni), a magazyny plików — wersjonowanie. Dodatkowo co noc pełna kopia baz i magazynu klinicznego trafia do drugiego regionu Unii Europejskiej (Sztokholm), do osobnego sejfu z własnym kluczem szyfrującym, do którego aplikacja nie ma prawa zapisu — awaria całego regionu ani błąd po stronie systemu nie zabiera kopii. Kopie w obu sejfach są zablokowane: aplikacja ani konta techniczne nie mogą ich usunąć ani skrócić ich przechowywania — może to zrobić tylko właściciel konta chmury, świadomie zdejmując blokadę. W razie awarii utrata danych ogranicza się co najwyżej do ostatnich minut przed zdarzeniem; tylko przy awarii całego regionu chmury odtwarzamy dane z ostatniej nocnej kopii w Sztokholmie (do 24 godzin wstecz). 9 października 2026 przećwiczyliśmy odtworzenie z tej kopii. Cała infrastruktura jest opisana kodem, więc da się ją odtworzyć w innym miejscu bez ręcznej konfiguracji. Procedurę odtworzenia ćwiczymy w praktyce: 8 września 2026 postawiliśmy kopię całego systemu od zera z kopii zapasowych w 8 minut. Deklarowany czas przywrócenia pracy: cel 4 godziny robocze, zobowiązanie: do 24 godzin, poza awarią całego regionu chmury i siłą wyższą. Po zakończeniu dostępu gabinet ma 30 dni na eksport, a po usunięciu danych kopie wygasają samoczynnie w ciągu 35 dni. Usunięte przez gabinet nagranie albo plik znika z magazynu po 7 dniach, a z kopii zapasowych — w ciągu 35 dni.

Płatności

Płatności obsługuje operator płatności Tpay. Nie przechowujemy danych Twojej karty — abonament nie odnawia się automatycznie, każdą płatność inicjujesz samodzielnie w panelu, a przed końcem opłaconego okresu dostajesz przypomnienia (14, 7 i 1 dzień przed oraz w dniu końca); po końcu okresu konto pracuje jeszcze 7 dni karencji. Płatności Twoich klientów za wizyty trafiają na konto Twojego gabinetu u operatora płatności — my w nich nie pośredniczymy. Szczegóły: regulamin, sekcje 3e i 5c.

RODO

• Administratorem danych klientów pozostaje Twój gabinet; operator MentAI (Understand sp. z o.o., Poznań, KRS 0000266342) przetwarza je w Twoim imieniu jako podmiot przetwarzający.
• Akceptacja regulaminu oznacza zawarcie umowy powierzenia przetwarzania danych — jej treść i rejestr czynności przetwarzania (art. 30 RODO) wygenerujesz w panelu (Ustawienia → RODO).
• W każdej chwili możesz otrzymać eksport danych gabinetu albo ich trwałe usunięcie. Po zakończeniu dostępu konto działa jeszcze 30 dni w trybie tylko do odczytu i eksportu (z dwoma przypomnieniami), potem dane są trwale usuwane, a kopie zapasowe wygasają w ciągu kolejnych 35 dni; pisemne potwierdzenie usunięcia wystawiamy na życzenie.
• Szczegóły: polityka prywatności · kontakt: rodo@mentai.pl.

Chcesz porównać systemy?

Napisaliśmy przewodnik: siedem pytań o dane, które warto zadać każdemu systemowi do gabinetu — zadaj je też nam.

Coś Cię zaniepokoiło?

Dziwne zachowanie systemu, mail podszywający się pod MentAI, miejsce, w którym dane wydają się słabo chronione — napisz na kontakt@mentai.pl. Odpowiadamy i traktujemy każde zgłoszenie poważnie.