Warunki korzystania z usługi, zasady dotyczące danych i deweloperów w Google Fit i wytyczne dla deweloperów mają na celu ochronę prywatności i bezpieczeństwo, a także ułatwiają prowadzenie badań związanych ze zdrowiem i aktywnością fizyczną. Z interfejsów Google Fit API można korzystać tylko w badaniach stanu zdrowia, nazywanych nimi „badaniami zdrowotnymi”, tylko wtedy, gdy badania te są weryfikowane lub zatwierdzone przez niezależny organ, który: 1) ma za zadanie chronić prawa, bezpieczeństwo i zdrowie uczestników; 2) ma uprawnienia do kontrolowania, modyfikowania, zatwierdzania lub odrzucania badań z udziałem osób. Są to m.in.Instytutowa Rada ds. Recenzji (IRB) opisana w punkcie 46.101–115 komisji etycznej, wymieniony w dyrektywie 2001/20/WE, lub dyrektywa 2005/28/WE lub inny podmiot zgodny z zasadniczo podobnymi wymaganiami („Review Board”).
Aplikacje i usługi internetowe zatwierdzone przez Google Fit, które korzystają z interfejsów API Google Fit do przeprowadzania badań zdrowotnych, będą oznaczone jako „Aplikacje do prowadzenia badań zdrowotnych” i „Usługi internetowe dotyczące badań zdrowotnych”. Zbiorczo nazywamy nimi „aplikacje do badań zdrowotnych i usługi internetowe”. W przypadku konfliktu między tą zasadą a pozostałymi warunkami dotyczącymi dostępu do danych użytkownika niniejsze zasady dotyczące badań stanu zdrowia dotyczą aplikacji badawczych stanu zdrowia lub usług internetowych.
Aplikacje i usługi internetowe do prowadzenia badań zdrowotnych:
- są odpowiedzialni za uzyskanie zgody lub zrzeczenie się przez zespół ds. recenzji;
- Musi być zgodna z poniższymi zasadami oraz zasadami Google Play dla deweloperów i danych użytkownika, z wyjątkiem przypadków opisanych w niniejszych zasadach i innych obowiązujących zasadach Google, w tym Warunkach korzystania z interfejsów API Google, Warunkach korzystania z Google Fit dla deweloperów i Zasadach OAuth 2.0.
- Wymagana jest zgodność ze wszystkimi obowiązującymi przepisami prawa, w tym kalifornijską ustawą o ochronie prywatności konsumentów (California Consumer Privacy Act), HIPAA, RODO (UE i Wielkiej Brytanii), DPA z 2018 r., Wspólną regułą, rozporządzeniem FDA o ochronie osób.
Twoim obowiązkiem jest regularne monitorowanie zgodności z tymi warunkami. Jeśli w którymkolwiek momencie nie uda Ci się spełnić tych warunków (lub gdy istnieje wysokie ryzyko, że ich nie spełnisz), musisz natychmiast przestać korzystać z naszych usług. Zastrzegamy sobie również prawo do odrzucenia lub wycofania upoważnienia do prowadzenia badań zdrowotnych, jeśli nie przestrzegamy tych zasad lub mamy uzasadnione powody, aby przestrzegać tych zasad.
Atest badawczy dotyczący zdrowia
W procesie przesyłania zgłoszeń do programu Badania stanu zdrowia i usługi internetowe wybierz opcję „Badania stanu”. Aplikacje i usługi internetowe do prowadzenia badań zdrowotnych muszą zawierać:
- Wypełniony formularz przyjmowania
- Pismo zatwierdzające IRB/EC (lub równoważne odpowiednik poświadczenie)
- Akredytacja w ramach IRB/EC (lub podobnego odpowiednika)
- Dokładne dane i uzasadnienie potrzeby do wykorzystania
Ustal, czy kwalifikujesz się do badań zdrowotnych
Przed uzyskaniem świadomej zgody i uzyskaniem zgody na dostęp do danych uczestnika konieczne jest potwierdzenie statusu Uczestnika i Usług internetowych.
Przejrzyste i precyzyjne metody powiadamiania o zdrowiu i kontroli nad nimi
Po potwierdzeniu, że spełniasz wymagania, musisz przestrzegać sekcji Przejrzyste i dokładne zasady dotyczące przejrzystych i precyzyjnych informacji o deweloperach i zasadach dotyczących danych w Google Fit.
Oprócz tego Aplikacje badawcze w zakresie zdrowia i usługi internetowe muszą zawierać informacje na ten temat w oknie lub przyrostowym oknie dialogowym, które zawierają:
- charakter, cel i czas trwania badania;
- ryzyko i korzyści dla uczestnika;
- działania związane z ochroną prywatności, bezpieczeństwem i przetwarzaniem danych;
- adres kontaktowy w przypadku wszelkich pytań;
- okresy przechowywania danych zebranych w ramach badania;
- Jak zrezygnować z udziału w badaniu;
- dowiedzieć się, jak usunąć dane z badania przez cały cykl życia badania, w tym dotyczące tego, czy zezwalasz na usunięcie danych po ich udostępnieniu publicznie;
- Wszelkie inne odpowiednie dokumenty lub informacje wymagane przez IRB/EC.
Musisz też zapewnić uczestnikom możliwość zapisania, zapisania lub wysłania powyżej powyższych informacji, dokumentów związanych ze świadomą zgodą i innych dokumentów wymaganych przez IRB/EC. Przed rozpoczęciem badania każdy uczestnik musi podpisać i przesłać wymagane oświadczenia i zgody. Kopia wszystkich podpisanych dokumentów musi zostać wysłana do uczestnika.
Aplikacje i usługi do prowadzenia badań zdrowotnych są zgodne z obowiązującymi w FDA informacjami i odpowiedziami na pytania o zgodę na wykorzystanie danych elektronicznych lub na podstawie podobnych standardów. Na przykład używaj diagramów lub infografiki w prostym języku. Poprosimy uczestników o prawidłowe odpowiedzi na pytania dotyczące badania przed rejestracją.
Ograniczone wykorzystanie danych użytkownika w badaniach zdrowotnych
Aplikacje służące do badania stanu zdrowia lub usługi internetowe muszą spełniać poniższe wymagania. Dotyczą one zarówno danych uczestników, w tym nieprzetworzonych danych uzyskanych z interfejsów Google Fit API, jak i danych zbiorczych, zanonimizowanych lub uzyskanych z danych uczestników lub nieprzetworzonych danych.
- Ogranicz wykorzystanie danych uczestnika do wyznaczonego celu.
- Natychmiast deidentyfikuj dane uczestników w możliwie najszerszym zakresie na potrzeby badania.
- Nie wolno wykorzystywać ani udostępniać danych osobom trzecim na potrzeby nowych badań lub w innym celu niż w pierwotnym celu badania, bez uzyskania osobnej świadomej zgody, chyba że IRB w sposób jednoznaczny zrezygnuje z uzyskania oddzielnej zgody.
- Nie używaj ani nie udostępniaj danych członkom swojego zespołu, którzy nie mają autentycznych potrzeb.
- Dane uczestników można przekazywać osobom trzecim wyłącznie w tych przypadkach:
- jeśli jest to konieczne do zrealizowania oryginalnego celu badawczego, a osoby trzecie są zobowiązane do ograniczenia dostępu i wykorzystywania danych uczestnika do realizacji tego celu;
- jeśli uczestnik wyraził zgodę na udostępnianie określonych danych, na przykład w podpisanym dokumencie podpisanej zgody,
- jeśli jest to niezbędne ze względów bezpieczeństwa (na przykład do badania przypadków nadużyć);
- w celu zapewnienia zgodności z obowiązującymi przepisami.
Wszelkie inne przypadki przekazywania, wykorzystywania lub sprzedawania danych uczestników są wyraźnie zabronione, w tym:
- przekazywanie, sprzedawanie lub wykorzystywanie danych uczestnika do wyświetlania reklam, w tym reklam kontekstowych, retargetowanych, spersonalizowanych lub opartych na zainteresowaniach;
- przekazywanie lub sprzedawanie danych uczestnika osobom trzecim, na przykład platformom reklamowym, brokerom danych czy jakimkolwiek innym podmiotom zajmującym się handlem danymi;
- przekazywanie, sprzedawanie lub wykorzystywanie danych uczestnika do określenia zdolności kredytowej lub na inne potrzeby związane z udzielaniem pożyczek;
- przekazywanie, sprzedawanie lub wykorzystywanie danych uczestnika na potrzeby innego produktu lub usługi, które mogą kwalifikować się jako urządzenie medyczne według definicji w sekcji 201(h) Federalnej ustawy o żywności, lekach i kosmetykach (Federal Food Drug &Cosmetic, FD&C), jeśli dane uczestnika będą używane przez urządzenie medyczne do wykonywania certyfikowanej funkcji.
- przekazywanie, sprzedawanie lub wykorzystywanie danych uczestnika do jakiegokolwiek celu lub w jakikolwiek sposób związany z chronionymi informacjami zdrowotnymi (PHI, zgodnie z definicją HIPAA), chyba że otrzymano od Ciebie autoryzację na mocy ustawy HIPAA, która została zweryfikowana przez IRB lub EC (w stosownych przypadkach).
Potwierdzenie, że korzystanie z danych jest zgodne z interfejsami Google Fit API for Health Research. Ograniczenia dotyczące korzystania z danych należy zamieścić w aplikacji bądź na stronie internetowej powiązanej z usługą bądź aplikacją internetową. Może to być na przykład akapit w dokumencie dotyczącym świadomej zgody, link na stronie głównej lub polityka prywatności, który brzmi: „Korzystanie z danych przez Google Fit musi być zgodne z tymi zasadami, ale z zachowaniem zgodności z tymi zasadami w Usłudze, które podlegają Zasadom korzystania z usługi” Użytkownikowi. Włączenie tej opcji może wydłużyć czas sprawdzania aplikacji.
Rekomendacje dotyczące bezpiecznego przetwarzania danych
Aplikacje i usługi internetowe związane ze badaniami zdrowia muszą być zgodne z sekcją Bezpieczne korzystanie z danych użytkownika i zasad dla deweloperów w Google Fit.
Polecane są też aplikacje i usługi internetowe związane ze zdrowiem, które są stosowane zgodnie ze sprawdzonymi metodami założonymi przez Departament Zdrowia i Opieki Społecznej Stanów Zjednoczonych, amerykańskie Ministerstwo Zdrowia i leków lub wytyczne dotyczące postępowania klinicznego (Dobrej jakości Klinika), które pozwalają na ochronę danych przed nieuprawnionymi ujawnianiem osobom trzecim.
Publikowanie danych
Aplikacje i usługi internetowe do prowadzenia badań zdrowotnych mogą publikować wyniki swoich badań, ale mogą nie sugerować, że Google zatwierdza projekt badawczy, prawdziwość wyników badań czy w inny sposób popiera wyniki tych badań na piśmie, jeśli nie jest to pisemnie Google. W przypadku planowanych publikacji lub udostępniania ich w dowolnej formie należy stosować się do odpowiednich przepisów i regulacji prawnych, a także przestrzegać podanych niżej przepisów i regulacji prawnych:
- Zgłoś badanie do publicznego rejestru, na przykład clinicaltrials.gov.
- musi powiadomić Google Fit o uwzględnieniu badania w bibliotece publikacji Google Fit;
- publicznie ujawnić źródło informacji;
- Nie publikuj danych, które można zidentyfikować, i zmniejsz ryzyko ryzyka ponownej identyfikacji. Oto kilka sprawdzonych metod ograniczających ryzyko ponownej identyfikacji:
- Gdy tylko jest to możliwe, podawaj dane zbiorcze na poziomie podsumowania zamiast danych deidentyfikowanych przez poszczególnych użytkowników.
- Jeśli musisz udostępniać dane zdeidentyfikowane na poziomie poszczególnych użytkowników, zamiast publikować je publicznie, możesz udostępnić je wybiórczo innym osobom tylko w celu ponownego sprawdzenia, zgodnie z umowami odbiorcy bez ujawniania tych danych lub próby ich ponownego identyfikowania.
- Jeśli chcesz publikować dane deidentyfikujące na poziomie poszczególnych użytkowników, musisz to robić zgodnie ze wszystkimi obowiązującymi przepisami. Co najmniej raz musisz użyć akceptowanej metody deidentyfikacji, np. aby zachować prywatność użytkowników, lub uzyskać fachową decyzję dotyczącą ponownego ustalenia tożsamości.