This notice is provided in full in English and Ukrainian. The Slovak and Chinese versions state the same commitments in shorter form; in case of any discrepancy, the English version is authoritative.

1. Introduction

JS KOLIBRI (the "Service") is a medical records application operated from Ukraine at js.kolibri.one ("the Company", "We", "Us", "Our"). It is intended for medical staff, clinics and clinical-trial teams who record and review patient examinations — not for patients entering their own data.

This Notice explains what the Service does with data, in which role, and what You are declaring before You use it. It supplements Our Privacy Policy, which is the fuller document and governs in case of doubt.

2. Two different roles

The Company plays two distinct roles, and it matters which data You mean:

• Controller — for Your account data. Your login credentials, contact details and usage logs are processed by Us, for Our own purposes of running the Service. Here You deal with Us directly.
• Processor — for patient data. When You enter a patient record, test results (blood count, blood biochemistry, ECG, PPG), doctor notes or files, We process them on behalf of the medical institution You act for. That Institution remains the Controller of those data and decides why and how they are processed. We act on its documented instructions under Art. 28 GDPR.

This is why the form below does not ask You to consent to the processing of patient data: You cannot give that consent, and We do not rely on it. It asks You to declare that the Institution has its own lawful basis.

3. Patient data — whose responsibility

The lawful basis for processing patient data is the Institution's to establish, under the law that applies to it — typically Art. 9(2)(h) GDPR (provision of health care by professionals bound by confidentiality), or the patient's explicit consent obtained by the Institution, or an equivalent national rule.

If You are a patient whose record appears in the Service, please direct any request about it to the institution that entered it. We assist that institution in answering such requests, as Art. 28 GDPR requires, but We cannot decide them ourselves.

4. Your account data — what We process and why

As Controller of Your account data, We process: Your username and email, Your hashed password, Your access level, timestamps of Your activity, and technical information such as browser and device type. We do this to authenticate You, to enforce access levels, to secure the Service and to meet Our legal obligations. The legal bases are Art. 6(1)(b) GDPR (performance of Our agreement with You), Art. 6(1)(f) (Our legitimate interest in operating and securing the Service) and, where You give it below, Your consent.

5. What You declare when entering patient data

If You tick "I am entering patient data on behalf of a medical institution", You represent and warrant that:

• the Institution has a lawful basis for the data You enter, and has obtained any patient consents or authorisations its own law requires;
• the Institution is entitled to place those data in this Service;
• the Institution complies with the privacy and healthcare rules that apply to it, including HIPAA where relevant;
• You are authorised to accept this Notice on its behalf.

If any of this does not hold, do not enter patient data.

6. What is stored, and for how long

Be aware of what the Service actually keeps — this is not a transient tool:

• Patient records and test results are stored in the Service's database and remain available until deleted.
• Uploaded signal files are stored on Our server and are not deleted after processing. When You create an ECG or PPG test You upload a signal file; that file is written to the server's storage and its location is kept in the database, so that the record can be re-opened, re-analysed and downloaded later from the Service. Timestamp files You create are stored in the same way.
• PDF files You load are not stored. The PDF-loading feature reads the file in Your browser and extracts its text; the file itself is not uploaded or retained. The values recognised from it are saved only once You save the record.
• Backups. The database is dumped daily and each dump is kept for 30 days, so deleted data may persist in backups for up to that period.

Retention of patient data is decided by the Institution as Controller, in line with the arrangement described in Our Privacy Policy. Account data is retained for the life of the account and a reasonable period afterwards.

7. Security

We apply measures appropriate to the sensitivity of health data: encrypted transport (TLS), hashed credential storage, access levels enforced on every request, hardening of the server and reverse proxy, and regular backups. Access to the Service requires an active account with a verified email address.

No method of transmission or storage is completely secure, and We do not claim otherwise. If a breach likely to risk people's rights occurs, We notify the competent supervisory authority within 72 hours as Art. 33 GDPR requires, and We inform the affected Institutions without undue delay.

8. Your rights

In relation to Your own account data, for which We are Controller, You may ask Us to give You access to it, correct it, erase it, restrict or object to its processing, or provide it in a portable form; You may withdraw the consent given below at any time; and You may complain to a supervisory authority — in the EU/EEA to the authority of Your residence or workplace, or in Ukraine to the Parliament Commissioner for Human Rights. Withdrawal does not affect processing already carried out.

In relation to patient data, the rights are exercised against the Institution that entered the record, not against Us — see Section 3.

9. Withdrawing your declaration, and contact

You may withdraw this declaration at any time using the button on this page, or by writing to Us. Because the Service must not process medical data about other people without it, withdrawing means You can no longer use the Service until You provide it again. Data already stored is handled under the retention rules in Section 6.

• Controller (account data) / privacy contact: JS KOLIBRI, Ukraine — bioluch@gmail.com (please mark Your message "Data Protection")
• EU Representative (Art. 27 GDPR): ONKOCET Ltd., 47 Pribisova str., 84105 Bratislava, Slovakia — onkocet@gmail.com, tel. +421 (2) 44 64 09 77
• Data processing agreement / BAA requests: bioluch@gmail.com

Це повідомлення подано повністю англійською та українською. Словацька і китайська версії викладають ті самі зобов’язання стисло; у разі розбіжностей переважає англійська версія.

1. Вступ

JS KOLIBRI («Сервіс») — застосунок медичних записів, що працює з України за адресою js.kolibri.one («Компанія», «ми», «нас», «наш»). Він призначений для медичного персоналу, клінік і команд клінічних випробувань, які вносять і переглядають обстеження пацієнтів, — а не для пацієнтів, що вносять власні дані.

Це Повідомлення пояснює, що Сервіс робить з даними, у якій ролі, і що саме ви підтверджуєте перед початком роботи. Воно доповнює нашу Політику конфіденційності, яка є повнішим документом і має перевагу в разі сумніву.

2. Дві різні ролі

Компанія виступає у двох різних ролях, і важливо, про які дані йдеться:

• Контролер — щодо даних вашого акаунта. Ваші облікові дані, контакти та журнали використання ми обробляємо самі й для власних цілей роботи Сервісу. Тут ви маєте справу безпосередньо з нами.
• Процесор — щодо даних пацієнтів. Коли ви вносите картку пацієнта, результати тестів (загальний аналіз, біохімія, ЕКГ, ФПГ), примітки лікаря чи файли, ми обробляємо їх від імені медичного закладу, за який ви дієте. Саме Заклад лишається Контролером цих даних і вирішує, навіщо і як їх обробляти. Ми діємо за його задокументованими вказівками згідно зі ст. 28 GDPR.

Тому форма нижче не просить у вас згоди на обробку даних пацієнтів: ви не можете дати таку згоду, і ми на неї не спираємось. Вона просить підтвердити, що Заклад має власну правову підставу.

3. Дані пацієнтів — чия відповідальність

Правову підставу для обробки даних пацієнтів встановлює Заклад — за правом, яке до нього застосовується: зазвичай це ст. 9(2)(h) GDPR (надання медичної допомоги фахівцями, зобов’язаними до таємниці), або явна згода пацієнта, отримана Закладом, або рівнозначна національна норма.

Якщо ви пацієнт, чия картка є в Сервісі, звертайтесь із запитом до закладу, який її вніс. Ми допомагаємо закладу відповідати на такі запити, як вимагає ст. 28 GDPR, але не можемо вирішувати їх самостійно.

4. Дані вашого акаунта — що і навіщо

Як Контролер даних вашого акаунта ми обробляємо: ім’я користувача та пошту, хеш пароля, рівень доступу, час вашої активності й технічні відомості на кшталт типу браузера та пристрою. Це потрібно, щоб автентифікувати вас, застосовувати рівні доступу, убезпечувати Сервіс і виконувати наші юридичні обов’язки. Правові підстави — ст. 6(1)(b) GDPR (виконання домовленості з вами), ст. 6(1)(f) (наш законний інтерес у роботі та безпеці Сервісу) і, де ви її надаєте нижче, ваша згода.

5. Що ви підтверджуєте, вносячи дані пацієнтів

Якщо ви відмічаєте «Я вношу дані пацієнтів від імені медичного закладу», ви заявляєте і гарантуєте, що:

• Заклад має правову підставу для даних, які ви вносите, і отримав усі згоди чи дозволи пацієнтів, яких вимагає його право;
• Заклад має право розміщувати ці дані в цьому Сервісі;
• Заклад дотримується правил конфіденційності та охорони здоров’я, які до нього застосовуються, включно з HIPAA, де це доречно;
• ви уповноважені прийняти це Повідомлення від його імені.

Якщо щось із цього не так — не вносьте дані пацієнтів.

6. Що зберігається і як довго

Зверніть увагу, що саме Сервіс насправді зберігає — це не інструмент разової обробки:

• Картки пацієнтів і результати тестів зберігаються у базі даних Сервісу й лишаються доступними, доки їх не видалять.
• Завантажені файли сигналів зберігаються на нашому сервері й не видаляються після обробки. Створюючи тест ЕКГ або ФПГ, ви завантажуєте файл сигналу; він записується у сховище сервера, а його розташування зберігається в базі — щоб запис можна було відкрити, переаналізувати й завантажити пізніше. Створені вами файли часових міток зберігаються так само.
• Файли PDF, які ви завантажуєте, не зберігаються. Функція завантаження з PDF читає файл у вашому браузері й витягує текст; сам файл не вивантажується й не зберігається. Розпізнані значення потрапляють у базу лише коли ви збережете запис.
• Резервні копії. База щодня вивантажується в дамп, і кожен дамп зберігається 30 днів — тож видалені дані можуть лишатися в копіях до цього строку.

Строк зберігання даних пацієнтів визначає Заклад як Контролер, відповідно до домовленості, описаної в нашій Політиці конфіденційності. Дані акаунта зберігаються протягом його існування і розумний строк потому.

7. Безпека

Ми застосовуємо заходи, співмірні з чутливістю медичних даних: шифрований транспорт (TLS), зберігання паролів у вигляді хешів, перевірку рівня доступу на кожному запиті, посилення сервера та зворотного проксі, регулярні резервні копії. Доступ до Сервісу потребує активного акаунта з підтвердженою поштою.

Жоден спосіб передавання чи зберігання не є цілком безпечним, і ми не стверджуємо протилежного. Якщо станеться порушення, що ймовірно загрожує правам людей, ми повідомимо компетентний наглядовий орган протягом 72 годин, як вимагає ст. 33 GDPR, і без невиправданої затримки поінформуємо відповідні Заклади.

8. Ваші права

Щодо даних вашого акаунта, для яких ми Контролер, ви можете вимагати доступу до них, виправлення, видалення, обмеження чи заперечення проти обробки, а також надання їх у придатному для перенесення форматі; ви можете будь-коли відкликати згоду, надану нижче; і ви можете подати скаргу до наглядового органу — в ЄС/ЄЕЗ за місцем проживання чи роботи, а в Україні до Уповноваженого Верховної Ради з прав людини. Відкликання не впливає на обробку, здійснену раніше.

Щодо даних пацієнтів права реалізуються щодо Закладу, який вніс запис, а не щодо нас — див. Розділ 3.

9. Відкликання підтвердження та контакти

Ви можете відкликати це підтвердження будь-коли кнопкою на цій сторінці або листом до нас. Оскільки без нього Сервіс не повинен обробляти медичні дані інших людей, відкликання означає, що ви більше не зможете користуватися Сервісом, доки не надасте його знову. Уже збережені дані обробляються за правилами Розділу 6.

• Контролер (дані акаунта) / контакт з питань приватності: JS KOLIBRI, Україна — bioluch@gmail.com (позначте лист «Data Protection»)
• Представник в ЄС (ст. 27 GDPR): ONKOCET Ltd., 47 Pribisova str., 84105 Bratislava, Словаччина — onkocet@gmail.com, тел. +421 (2) 44 64 09 77
• Угода про обробку даних / запити BAA: bioluch@gmail.com

Toto oznámenie je v plnom znení k dispozícii v angličtine a ukrajinčine. Slovenská a čínska verzia uvádzajú tie isté záväzky v skrátenej forme; v prípade rozporu je rozhodujúca anglická verzia.

1. Kto sme a v akej úlohe

JS KOLIBRI („Služba“) je aplikácia zdravotných záznamov prevádzkovaná z Ukrajiny na js.kolibri.one. Je určená zdravotníckemu personálu, klinikám a tímom klinických skúšaní — nie pacientom, ktorí by zadávali vlastné údaje.

Spoločnosť vystupuje v dvoch úlohách: pri údajoch vášho účtu (prihlasovacie údaje, kontakty, záznamy o používaní) je Prevádzkovateľom; pri údajoch pacientov, ktoré zadávate, je Sprostredkovateľom konajúcim v mene zdravotníckeho zariadenia — Prevádzkovateľom týchto údajov zostáva Zariadenie (čl. 28 GDPR). Preto vás formulár nižšie nežiada o súhlas so spracúvaním údajov pacientov: taký súhlas dať nemôžete a my sa oň neopierame. Žiada vás potvrdiť, že Zariadenie má vlastný právny základ — zvyčajne čl. 9(2)(h) GDPR alebo súhlas pacienta získaný Zariadením.

Ak ste pacient, ktorého záznam je v Službe, obráťte sa na zariadenie, ktoré ho zadalo.

2. Čo sa ukladá

• Záznamy pacientov a výsledky testov sa ukladajú v databáze Služby a zostávajú dostupné, kým ich niekto nevymaže.
• Nahraté súbory signálov (EKG, PPG) sa ukladajú na našom serveri a po spracovaní sa nemažú — aby sa záznam dal znovu otvoriť, analyzovať a stiahnuť. Rovnako sa ukladajú súbory časových značiek.
• Súbory PDF sa neukladajú: funkcia načítania z PDF číta súbor vo vašom prehliadači a extrahuje z neho text.
• Zálohy: databáza sa denne zálohuje a každá záloha sa uchováva 30 dní.

Dobu uchovávania údajov pacientov určuje Zariadenie ako Prevádzkovateľ. Údaje účtu uchovávame počas trvania účtu a primeranú dobu potom.

3. Bezpečnosť a vaše práva

Používame šifrovaný prenos (TLS), heslá len hashované, kontrolu úrovne prístupu pri každej požiadavke, zabezpečenie servera a pravidelné zálohy. Prístup vyžaduje aktívny účet s overeným e-mailom. Žiadny spôsob prenosu ani ukladania nie je úplne bezpečný. Pri porušení ochrany údajov informujeme dozorný orgán do 72 hodín (čl. 33 GDPR).

Vo vzťahu k údajom vášho účtu máte právo na prístup, opravu, vymazanie, obmedzenie, námietku a prenosnosť, právo kedykoľvek odvolať nižšie udelený súhlas a právo podať sťažnosť dozornému orgánu. Vo vzťahu k údajom pacientov sa práva uplatňujú voči Zariadeniu, nie voči nám.

4. Odvolanie vyhlásenia a kontakt

Vyhlásenie môžete kedykoľvek odvolať tlačidlom na tejto stránke. Bez neho Služba nesmie spracúvať zdravotné údaje iných osôb, takže odvolanie znamená, že Službu nebudete môcť používať, kým ho neposkytnete znova.

• Prevádzkovateľ (údaje účtu) / kontakt: JS KOLIBRI, Ukrajina — bioluch@gmail.com
• Zástupca v EÚ (čl. 27 GDPR): ONKOCET Ltd., 47 Pribisova str., 84105 Bratislava, Slovensko — onkocet@gmail.com, tel. +421 (2) 44 64 09 77

本告知的完整版本以英文和乌克兰文提供。斯洛伐克文和中文版本以简短形式陈述相同的承诺；如有差异，以英文版本为准。

1. 我们是谁，以及以何种身份

JS KOLIBRI（“本服务”）是一款自乌克兰运营的医疗记录应用，网址为 js.kolibri.one。它面向医疗人员、诊所和临床试验团队，而非由患者录入自身数据。

本公司具有两种身份：对于您的账户数据（登录凭据、联系方式、使用日志），本公司是控制者；对于您录入的患者数据，本公司是代表医疗机构行事的处理者——该机构仍是这些数据的控制者（GDPR 第 28 条）。因此，下方表单不会请求您同意处理患者数据：您无权作出该同意，我们也不以此为依据。表单请您确认机构自身具有合法依据——通常是 GDPR 第 9(2)(h) 条，或由机构取得的患者同意。

若您是记录出现在本服务中的患者，请联系录入该记录的机构。

2. 存储哪些内容

• 患者记录和检验结果会被存储在本服务的数据库中，在被删除之前一直保留。
• 上传的信号文件（心电图、脉搏波）保存在我们的服务器上，处理后不会删除——以便日后重新打开、分析和下载。您创建的时间戳文件同样保存。
• PDF 文件不会被存储：从 PDF 载入功能在您的浏览器中读取文件并提取其文本。
• 备份：数据库每日转储，每份备份保留 30 天。

患者数据的保留期限由作为控制者的机构决定。账户数据在账户存续期间及此后合理期限内保留。

3. 安全措施与您的权利

我们采用加密传输（TLS）、仅存储密码哈希、对每个请求校验访问级别、服务器加固以及定期备份。访问需要已启用且邮箱已验证的账户。任何传输或存储方式都不是绝对安全的。发生数据泄露时，我们将依 GDPR 第 33 条在 72 小时内通知监管机构。

就您的账户数据而言，您享有访问、更正、删除、限制、反对和可携带权，可随时撤回下方给予的同意，并有权向监管机构投诉。就患者数据而言，相关权利应向机构行使，而非向我们。

4. 撤回声明与联系方式

您可随时通过本页按钮撤回声明。没有该声明，本服务不得处理他人的医疗数据，因此撤回意味着您将无法使用本服务，直至重新提供。

• 控制者（账户数据）/ 联系方式：JS KOLIBRI, Ukraine — bioluch@gmail.com
• 欧盟代表（GDPR 第 27 条）：ONKOCET Ltd., 47 Pribisova str., 84105 Bratislava, Slovakia — onkocet@gmail.com，电话 +421 (2) 44 64 09 77