Privacy notice for patients

मरीज़ों के लिए गोपनीयता सूचना
For patients of labs that use LabOS · Version of 12 Nov 2026

English

This notice is given by the lab where you registered for tests (“the lab”). The lab uses LabOS, software provided by MedOS, to keep its records.

1. Who is responsible

Under the Digital Personal Data Protection Act, 2023 (DPDP Act), the lab is the Data Fiduciary: it decides how your data is used, and you contact it about your data. MedOS (LabOS) is its Data Processor: it processes your data only for the lab and on its instructions.

To reach the lab about your data, use the phone number or email on your receipt or report, or ask at the counter.

2. What the lab keeps

  • Your name, age or date of birth, sex and mobile number, and your email and address if you give them.
  • If the lab records them: your ABHA number, Aadhaar (only the last 4 digits are shown) or other ID or insurance numbers.
  • The tests you take, your samples, results and reports, the doctor's notes, and documents you hand over (such as a prescription or an ID proof).
  • The doctor or organisation that sent you, and your bills, payments and price estimates.
  • When and how you gave or withdrew consent, and the messages and report links sent to you.

3. Why, and on what basis

  • To register you, collect your samples, do your tests, give you your report and bill you. You give your details for this purpose (DPDP Act, section 7(a)); the lab may also ask you to sign its own form for the tests.
  • To give your report to the doctor, hospital or organisation that sent you for the tests, as part of that referral: they can see the reports of the tests they ordered in their LabOS portal and, while your consent below is on file, get them by message.
  • For quality checks, and to keep the medical and billing records the law and the lab's accreditation (such as NABL) require.
  • Only with your consent: to send your reports, bills and payment reminders to you by WhatsApp, SMS or email.

LabOS does not sell your data or use it for advertising.

4. Your consent, and how to withdraw it

At registration the lab asks whether you agree to get your reports, bills and payment reminders by WhatsApp, SMS or email. The box is never ticked for you. If you don't agree, you can still have your tests and collect a printed report. If you agreed before 12 Nov 2026, you agreed to reports by WhatsApp or SMS; the lab asks you again before sending email, bills or reminders.

To withdraw your consent, tell the lab at the counter, by phone or in writing. Then messages to you by WhatsApp, SMS and email stop, LabOS stops sending your report to your doctor or organisation by message, report links already sent stop working, and your email address is removed. Your doctor or organisation can still see the reports of tests they ordered in their portal, and the lab keeps the records the law requires. Withdrawing does not undo what was done before.

5. Children, and people who have a guardian

For a patient under 18, a parent or lawful guardian gives consent and can use these rights for the child. The same applies to a person with a disability who has a lawful guardian.

6. Where your data is kept

The LabOS app and database run in Mumbai. Uploaded files (such as a photo of a prescription) are kept in Cloudflare's Asia-Pacific storage, which may be outside India. Messages go through SMS, WhatsApp and email services, which may process them outside India. Cloudflare keeps a log of each request to LabOS for up to 7 days, which can include a name or mobile number lab staff type into a search; this may also be outside India. If the lab uses AI features, the AI gets your age, sex and test results (with earlier results and the sample type) and symptoms staff type, never your name, mobile, email or ID numbers; this may also happen outside India. The law allows this when it is needed to provide the service and the data is protected to the same standard.

7. Who else may receive it

  • Your doctor, or the hospital or company that sent you (section 3).
  • Anyone you, or the lab at your request, give your report link to.
  • The services that run LabOS: Cloudflare (hosting, file storage, AI) and Turso (database).
  • The services that deliver messages: MSG91 (SMS), Meta (WhatsApp) and Resend (email).
  • Google, if the lab collects your sample at home: its staff may open directions to your address in Google Maps.
  • Government authorities, when the law requires it (for example, reporting certain diseases).

8. How long

The lab keeps your records for as long as the law and its accreditation rules require. Report links stop working after the time the lab sets; the record of when a link was made and opened is kept for a year after that, without your mobile number.

9. Your rights

Under the DPDP Act you can ask the lab:

  • for a summary of your data, how it is used and who it has been shared with (the lab can give you a copy: your details, visits, tests and results, consent history and who your data went to);
  • to correct, complete or update it;
  • to erase it (except records the law requires the lab to keep);
  • to stop using it, by withdrawing your consent;
  • to note a person you nominate to use these rights for you if you die or cannot act;
  • to answer your complaint (grievance).

Contact the lab for any of these. If you are not satisfied with the lab's answer, you can complain to the Data Protection Board of India.

10. Your report link

A report link asks for a password: your date of birth or the last 4 digits of your mobile, as the message says. It locks after 5 wrong tries. Share it only with people you want to see your report.

11. Questions about LabOS

Write to privacy@med-os.in. The lab decides on your requests; with your permission we will pass yours on to the lab.

मरीज़ों के लिए गोपनीयता सूचना (हिन्दी)

यह सूचना उस लैब की ओर से है जहाँ आपने जाँच के लिए पंजीकरण कराया है (“लैब”)। लैब अपने रिकॉर्ड रखने के लिए LabOS का उपयोग करती है, जो MedOS का सॉफ़्टवेयर है।

1. ज़िम्मेदार कौन है

डिजिटल व्यक्तिगत डाटा संरक्षण अधिनियम, 2023 (DPDP अधिनियम) के तहत लैब डाटा न्यासी (Data Fiduciary) है: वही तय करती है कि आपकी जानकारी का उपयोग कैसे होगा, और अपनी जानकारी के बारे में आप उसी से संपर्क करते हैं। MedOS (LabOS) उसका डाटा प्रसंस्करणकर्ता (Data Processor) है: वह आपकी जानकारी केवल लैब के लिए और उसके निर्देश पर प्रोसेस करता है।

अपनी जानकारी के बारे में लैब से संपर्क करने के लिए अपनी रसीद या रिपोर्ट पर दिया फ़ोन नंबर या ईमेल इस्तेमाल करें, या काउंटर पर पूछें।

2. लैब कौन-सी जानकारी रखती है

  • आपका नाम, उम्र या जन्मतिथि, लिंग और मोबाइल नंबर; और अगर आप दें तो ईमेल और पता।
  • अगर लैब दर्ज करे: आपका ABHA नंबर, आधार (केवल आख़िरी 4 अंक दिखते हैं) या कोई और पहचान या बीमा नंबर।
  • आपकी जाँचें, सैंपल, परिणाम और रिपोर्ट, डॉक्टर के नोट्स, और आपके दिए दस्तावेज़ (जैसे पर्चा या पहचान पत्र)।
  • आपको भेजने वाले डॉक्टर या संस्था, और आपके बिल, भुगतान और ख़र्च के अनुमान (एस्टिमेट)।
  • आपने सहमति कब और कैसे दी या वापस ली, और आपको भेजे गए संदेश और रिपोर्ट लिंक।

3. किसलिए, और किस आधार पर

  • आपका पंजीकरण करने, सैंपल लेने, जाँच करने, रिपोर्ट देने और बिल बनाने के लिए। आप अपनी जानकारी इसी काम के लिए देते हैं (DPDP अधिनियम, धारा 7(क)); लैब जाँच के लिए अपने फ़ॉर्म पर भी आपके हस्ताक्षर ले सकती है।
  • आपको जाँच के लिए भेजने वाले डॉक्टर, अस्पताल या संस्था को रिपोर्ट देने के लिए, उसी रेफ़रल के हिस्से के रूप में: वे अपनी करवाई जाँचों की रिपोर्ट अपने LabOS पोर्टल में देख सकते हैं, और जब तक नीचे वाली आपकी सहमति दर्ज है, संदेश से भी पा सकते हैं।
  • गुणवत्ता जाँच के लिए, और क़ानून व लैब की मान्यता (जैसे NABL) के लिए ज़रूरी मेडिकल और बिल के रिकॉर्ड रखने के लिए।
  • केवल आपकी सहमति से: आपकी रिपोर्ट, बिल और भुगतान के रिमाइंडर आपको WhatsApp, SMS या ईमेल से भेजने के लिए।

LabOS आपकी जानकारी न बेचता है, न विज्ञापन के लिए उपयोग करता है।

4. आपकी सहमति, और उसे वापस लेना

पंजीकरण के समय लैब पूछती है कि क्या आप अपनी रिपोर्ट, बिल और भुगतान के रिमाइंडर WhatsApp, SMS या ईमेल से पाना चाहते हैं। बॉक्स आपकी ओर से पहले से कभी टिक नहीं होता। सहमति न देने पर भी आपकी जाँच हो सकती है और आप छपी हुई रिपोर्ट ले सकते हैं। अगर आपने 12 नवंबर 2026 से पहले सहमति दी थी, तो वह WhatsApp या SMS से रिपोर्ट के लिए थी; ईमेल, बिल या रिमाइंडर भेजने से पहले लैब आपसे फिर पूछेगी।

सहमति वापस लेने के लिए लैब को काउंटर पर, फ़ोन पर या लिखकर बताएँ। तब WhatsApp, SMS और ईमेल से आपको संदेश बंद हो जाएँगे, LabOS आपकी रिपोर्ट आपके डॉक्टर या संस्था को संदेश से भेजना बंद कर देगा, पहले भेजे गए रिपोर्ट लिंक काम करना बंद कर देंगे, और आपका ईमेल पता हटा दिया जाएगा। आपके डॉक्टर या संस्था अपनी करवाई जाँचों की रिपोर्ट अपने पोर्टल में फिर भी देख सकेंगे, और क़ानून के अनुसार ज़रूरी रिकॉर्ड लैब रखेगी। सहमति वापस लेने से पहले हुआ काम नहीं बदलता।

5. बच्चे, और जिनके अभिभावक हैं

18 साल से कम उम्र के मरीज़ के लिए माता-पिता या क़ानूनी अभिभावक सहमति देते हैं और बच्चे की ओर से ये अधिकार इस्तेमाल कर सकते हैं। यही बात उस दिव्यांग व्यक्ति पर भी लागू होती है जिसका कोई क़ानूनी अभिभावक है।

6. जानकारी कहाँ रखी जाती है

LabOS का ऐप और डेटाबेस मुंबई में चलते हैं। अपलोड की गई फ़ाइलें (जैसे पर्चे की फ़ोटो) Cloudflare के एशिया-प्रशांत स्टोरेज में रखी जाती हैं, जो भारत के बाहर भी हो सकता है। संदेश SMS, WhatsApp और ईमेल सेवाओं के ज़रिए जाते हैं, जो उन्हें भारत के बाहर भी प्रोसेस कर सकती हैं। Cloudflare, LabOS पर आने वाले हर अनुरोध का लॉग 7 दिन तक रखता है, जिसमें लैब स्टाफ़ द्वारा खोज में लिखा नाम या मोबाइल नंबर हो सकता है; यह भी भारत के बाहर हो सकता है। अगर लैब AI सुविधाएँ इस्तेमाल करती है, तो AI को आपकी उम्र, लिंग और जाँच के परिणाम (पिछले परिणाम और सैंपल के प्रकार के साथ) और स्टाफ़ द्वारा लिखे लक्षण भेजे जाते हैं, आपका नाम, मोबाइल, ईमेल या पहचान नंबर कभी नहीं; यह भी भारत के बाहर हो सकता है। क़ानून इसकी अनुमति देता है जब यह सेवा देने के लिए ज़रूरी हो और जानकारी उसी स्तर पर सुरक्षित रखी जाए।

7. जानकारी और किसे मिल सकती है

  • आपके डॉक्टर, या आपको भेजने वाला अस्पताल या कंपनी (भाग 3)।
  • वह कोई भी व्यक्ति जिसे आप, या आपके कहने पर लैब, आपका रिपोर्ट लिंक दे।
  • LabOS चलाने वाली सेवाएँ: Cloudflare (होस्टिंग, फ़ाइल स्टोरेज, AI) और Turso (डेटाबेस)।
  • संदेश पहुँचाने वाली सेवाएँ: MSG91 (SMS), Meta (WhatsApp) और Resend (ईमेल)।
  • Google, अगर लैब घर से सैंपल लेती है: उसका स्टाफ़ आपके पते का रास्ता Google Maps में खोल सकता है।
  • सरकारी विभाग, जब क़ानून ऐसा माँगे (जैसे कुछ बीमारियों की सूचना देना)।

8. कितने समय तक

लैब आपके रिकॉर्ड तब तक रखती है जब तक क़ानून और उसकी मान्यता के नियम माँगते हैं। रिपोर्ट लिंक लैब द्वारा तय समय के बाद काम करना बंद कर देते हैं; लिंक कब बना और कब खोला गया, इसका रिकॉर्ड उसके बाद एक साल तक, आपके मोबाइल नंबर के बिना, रखा जाता है।

9. आपके अधिकार

DPDP अधिनियम के तहत आप लैब से माँग सकते हैं:

  • अपनी जानकारी का सार, उसका उपयोग कैसे होता है और वह किसके साथ साझा हुई (लैब आपको इसकी कॉपी दे सकती है: आपका ब्योरा, विज़िट, जाँचें और परिणाम, सहमति का इतिहास और जानकारी किसे गई);
  • जानकारी ठीक करना, पूरी करना या अपडेट करना;
  • जानकारी मिटाना (जो रिकॉर्ड क़ानून के अनुसार लैब को रखने ज़रूरी हैं, उन्हें छोड़कर);
  • सहमति वापस लेकर जानकारी का उपयोग रुकवाना;
  • किसी व्यक्ति को नामित करना, जो आपकी मृत्यु या असमर्थता पर आपकी ओर से ये अधिकार इस्तेमाल करे;
  • आपकी शिकायत का जवाब।

इनमें से किसी के लिए लैब से संपर्क करें। अगर लैब के जवाब से आप संतुष्ट नहीं हैं, तो आप भारतीय डाटा संरक्षण बोर्ड (Data Protection Board of India) में शिकायत कर सकते हैं।

10. आपका रिपोर्ट लिंक

रिपोर्ट लिंक पासवर्ड माँगता है: आपकी जन्मतिथि या मोबाइल नंबर के आख़िरी 4 अंक, जैसा संदेश में लिखा हो। 5 बार ग़लत पासवर्ड डालने पर लिंक बंद हो जाता है। लिंक सिर्फ़ उन्हीं को दें जिन्हें आप अपनी रिपोर्ट दिखाना चाहते हैं।

11. LabOS के बारे में सवाल

privacy@med-os.in पर लिखें। आपके अनुरोधों पर फ़ैसला लैब करती है; आपकी अनुमति से हम आपका अनुरोध लैब तक पहुँचा देंगे।