一、适用范围与角色
- 本政策适用于灵柏医智平台（以下简称“本平台”）在提供机构内部医保基金、价格与质控合规自查服务过程中，对个人信息与业务数据的处理。
- 本平台不面向患者提供任何服务，不提供挂号、问诊、处方或诊疗建议；平台用户为医疗机构及其授权的工作人员。
- 机构上传业务数据中的个人信息，使用机构为个人信息处理者，平台为受托处理者，仅按机构指示处理。患者如需行使个人信息权利，应优先向为其提供诊疗服务的医疗机构提出，平台在收到机构转达后配合处理。
- 本政策与《灵柏医智用户协议》共同构成完整约定；两者就个人信息处理事项不一致时，以本政策为准。
二、我们收集哪些信息
为避免混淆，本政策将信息分为三类：账号与机构信息、日志与审计信息、机构上传的业务数据。
1. 账号与机构信息
| 信息项 | 收集场景 | 是否必需 |
|---|---|---|
| 手机号、真实姓名、所属机构、科室 | 注册、机构归属核验、账号审核与开通 | 必需 |
| 登录密码（哈希存储）、短信验证码（一次性） | 注册、登录、找回密码 | 必需 |
| 角色与权限配置、账号启停状态 | 权限分配与账号管理 | 必需 |
| 协议与敏感个人信息单独同意记录（版本、时间、IP） | 注册勾选、首次上传前单独同意 | 必需 |
2. 日志与审计信息
| 信息项 | 收集场景 | 是否必需 |
|---|---|---|
| 登录时间、IP 地址、IP 归属地、设备与浏览器标识、登录结果 | 账号安全、异常登录识别、审计 | 必需 |
| 操作行为记录（上传、导入、查看、导出、规则变更、权限变更等） | 安全审计与责任追溯 | 必需 |
| 患者身份信息的明文查看记录（含查看人、时间、IP） | 敏感操作审计 | 必需 |
日志仅记录操作行为与必要的安全字段，不记录业务明细内容。
3. 机构上传的业务数据
使用机构为开展自查，可能上传结算单、费用明细、病案首页、诊断与手术记录、检查检验等业务数据。上传内容与范围由机构决定，其中可能包含以下敏感个人信息：
- 患者姓名、身份证号、手机号、住址等身份信息；
- 就诊号、病案号、住院号、结算单据号等可关联到个人的标识；
- 诊断、手术、用药、检查检验等医疗健康信息；
- 费用金额、收费日期、科室、开单与执行人员等诊疗结算信息。
平台在处理上传文件时还会形成以下元数据与结果：文件识别码（MD5）、文件名、大小、类型、表头结构、行数、上传时间，以及自查产生的疑点结果（按最小字段集与患者身份密文存储）、任务快照与价格比对结果。
三、收集目的与方式
| 目的 | 涉及信息 | 方式与说明 |
|---|---|---|
| 账号注册、机构归属核验与审核开通 | 手机号、姓名、机构、科室、验证码 | 由用户在注册页主动填写，经平台或机构管理员审核 |
| 账号与系统安全 | 登录日志、设备与浏览器标识、操作日志 | 系统在访问与操作时自动记录 |
| 提供自查服务 | 上传的业务数据、元数据、疑点结果 | 用户主动上传，系统解析并执行规则判定 |
| 审计与责任追溯 | 操作日志、明文查看记录、同意记录 | 系统自动留痕，按权限可查 |
| 客服、投诉与争议处理 | 反馈内容、联系方式、相关记录 | 由用户通过站内“问题反馈”主动提交 |
| 履行法定义务 | 依法需留存或提供的信息 | 按法律法规要求处理 |
处理账号信息主要依据订立与履行合同所必需及履行法定义务；处理机构上传数据中的个人信息，依据机构的委托及机构已取得的个人同意或其他合法依据。平台不基于机构业务数据开展用户画像、营销或二次利用。
四、保存期限
| 信息类别 | 保存期限 | 说明 |
|---|---|---|
| 原始上传文件 | 自查完成后即销毁；未发起自查的默认 24 小时内自动清理 | 服务端不长期保留文件内容；仅保留识别码与元数据 |
| 疑点结果、任务快照、价格比对结果 | 长期留存，系统不自动删除 | 用于机构自查、复核、申诉与多期对比；机构可提出删除申请 |
| 登录日志、操作日志、账号安全日志 | 不少于 6 个月 | 按法律法规要求留存，便于安全审计与责任追溯 |
| 协议与单独同意记录 | 长期保留 | 作为同意与撤回的合规证据，撤回后保留撤回时间与历史版本 |
| 账号信息 | 账号存续期间 | 注销后按法律要求处理，法律另有规定的除外 |
五、共享、委托处理与对外提供
- 不向无关第三方提供：平台不向无关第三方共享、出售、出租或交换机构上传的业务数据。
- 受托处理：平台仅作为受托处理者，按机构指示处理数据，不将数据用于平台自身目的。
- 基础设施受托方：为提供云主机、对象存储、短信等基础能力，可能由相应服务商在其提供服务所必需的范围内处理数据；平台通过合同约束其保密与安全义务，并要求其不得用于其他目的。
- 法定披露：仅在法律法规规定，或司法机关、监管机关依法定程序要求时提供，并在法律允许范围内告知机构。
- 机构内部：机构管理员可在本机构范围内查看成员的操作与账号安全日志；患者身份信息的明文查看需具备相应权限，并全程写入审计记录。
六、存储地点与跨境传输
- 本平台数据存储于中华人民共和国境内的服务器。
- 本平台不涉及个人信息跨境传输，不向境外机构、组织或个人提供境内处理的个人信息。
- 如因业务需要确需跨境传输，平台将依法另行取得单独同意、开展安全评估或采取法律规定的其他措施，并更新本政策。
七、安全措施
- 传输采用 HTTPS；账号密码使用哈希算法存储；患者身份字段以密文存储，不以明文落库。
- 按机构与用户进行数据隔离，跨机构访问一律拒绝；按角色与数据范围实施最小权限控制。
- 登录采用验证码与失败次数限制；关键操作留痕，明文查看患者身份信息写入审计日志。
- 上传文件在临时加密区处理，自查完成后销毁；文件类型与大小按白名单校验。
- 定期备份并开展恢复验证；制定数据安全事件应急预案。
- 发生或可能发生数据安全事件时，平台将按法律要求及时告知机构与有关主管部门，并采取补救措施。
任何技术措施均无法保证绝对安全。平台将按行业通行水平持续改进防护，但不作“绝对不发生安全事件”的承诺。
八、您的权利
您（以及通过机构行权的患者）依法享有以下权利：
- 查阅与复制：查看本人账号信息、协议与同意记录、登录与账号安全记录；需要复制时可通过第十二条渠道提出。
- 更正：对姓名、科室等账号信息申请更正；机构上传数据由机构负责更正。
- 删除：在法定条件满足时申请删除相关数据；原始上传文件已在自查完成后销毁，疑点结果等数据可提出删除申请。
- 撤回同意：可随时撤回敏感个人信息单独同意。撤回后仍可正常使用系统，但不能上传含敏感个人信息的数据；重新同意后可恢复。
- 注销账号：可通过第十二条渠道提出，平台在核验身份与机构交接情况后按流程处理；注销前请完成必要的数据导出。
- 投诉与申诉：通过第十二条渠道提出，平台将在 15 个工作日内答复。
为保障数据安全，平台在处理请求前可能核验您的身份与权限；对无法核验或可能损害他人合法权益的请求，平台将说明理由后不予处理。
九、敏感个人信息与单独同意
机构上传的数据可能包含患者姓名、身份证号、手机号等敏感个人信息。根据《中华人民共和国个人信息保护法》第二十九条，处理敏感个人信息应取得单独同意。
- 单独同意与用户协议分离：首次进入与首次上传前单独提示、单独勾选，默认不勾选，不以总协议代替。
- 同意与撤回均写入数据库并生成安全日志；撤回后保留撤回时间与历史版本。
- 上传接口在受理前校验有效同意，未同意或已撤回的上传请求将被拒绝。
拒绝或撤回单独同意的后果：仍可正常使用系统（规则查看、报告浏览、账号管理等），但不能上传含患者姓名、身份证号、手机号等敏感个人信息的数据；重新单独同意后即可恢复上传。
十、未成年人
本平台面向医疗机构及其工作人员，不面向未成年人提供注册服务。若机构上传的业务数据涉及未成年人患者，机构应确保已取得其监护人同意或其他合法依据；平台按受托处理者身份处理，不主动收集未成年人信息。
十一、政策更新与版本记录
- 本政策自 v1.0 起按版本号逐版递增；更新后将在页面展示版本号与生效日期，并保留历史版本。
- 涉及处理目的、处理范围、处理方式或共享对象的重大变更，平台将提前公示并重新取得同意；不同意的，可停止使用并申请注销账号。
- 历史版本与同意记录均留档可查，可向第十二条渠道索取。
| 版本 | 状态 | 生效日期 | 主要变更 |
|---|---|---|---|
| v1.0 | 首次发布 | 2026-11-08 | 按机构内部合规自查定位重写；明确处理者与受托处理者角色、收集范围、保存期限、共享与委托、不涉及跨境传输、用户权利与投诉渠道。 |
| v1.1 | 预留 | — | 预留版本号，后续更新时填写。 |
当前版本：v1.0 ｜ 生效日期：2026-11-08 ｜ 后续版本：v1.1（预留）
十二、联系我们与投诉
- 运营主体：黑龙江灵柏科技有限公司
- 统一社会信用代码：91230102MAKECHYW6X
- 住所：暂不披露
- 对外联系方式：微信公众号：灵柏智创
- ICP 备案号：黑ICP备2026008875号
- 公安联网备案号：黑公网安备23010202010858号
- 问题反馈（主渠道）：登录后使用页面右下角“问题反馈”入口提交，并在内容中注明“个人信息保护”或“机构事务”（协议、发票、终止等机构事项请注明“机构事务”）；可在“我的反馈”中查看处理进度。涉及患者个人的请求，建议先向为其提供诊疗服务的医疗机构提出，由机构转达平台。
平台将在收到请求后 15 个工作日内完成身份与权限核验并答复；情况复杂需要延长的，将说明原因。