信任中心
面向临床医生、诊所负责人和机构采购方的透明度说明。本页概述 Hanah 如何处理健康信息、哪些服务提供商属于生产部署的范围，以及每项安全控制措施与《1988 年隐私法》（澳大利亚隐私原则）的对应关系。状态标记是临时的编辑辅助，待每一项都完成生产环境验证后即会移除。
适用对象：对 Hanah 进行尽职调查的诊所、医疗网络、隐私官和 IT 安全团队。概览：本信任中心概述 Hanah 的安全控制措施，以及属于生产部署范围的服务提供商。临床记录存储在。语音识别和 AI 起草由区域外（主要在美国）的专业服务提供商运行，相关条款禁止使用您的内容进行训练。更详细的证据见我们的《安全与运营手册》；「控制措施」标签页说明了每项控制措施的实现方式。
每一行都是通常 ISO 意义上的一项控制措施：政策（治理和书面程序）、技术（由系统和配置强制执行）或供应商（合同及子处理方保证）。标签显示主要的证据类型；许多行结合了不止一种。详细内容可追溯至我们内部的《安全与运营手册》。每行下方的说明列出该控制措施所支持的澳大利亚隐私原则，仅供参考，不能替代法律意见。
法律依据：《1988 年隐私法》（联邦）附表 1（澳大利亚隐私原则）和第 IIIC 部分（应通报数据泄露）。
基础设施与平台
基础设施安全
说明 Hanah 在区域部署中运行于何处、生产环境如何与运维环境隔离，以及加密如何在临床医生、我们的技术栈和 AI 子处理方之间保护客户数据。这些主要是技术控制措施，并由《安全与运营手册》中的管理规定提供支撑。
-
✅
技术 政策生产工作负载驻留在区域内
部署的主应用服务器、数据库、对象存储和备份均位于该区域内。管理记录说明了区域划分和变更审批；技术部署将资源固定在该区域的项目中。
APP 对应：APP 11.1（个人信息安全）；APP 8：记录存储在澳大利亚，使境外披露仅限于「服务提供商」下列出的处理活动。
-
✅
技术传输加密
公网入口采用现代 TLS（传输层安全协议）。发往语音识别和 AI 模型提供商的流量，均使用 TLS 连接各提供商配置的端点。这是一项技术控制措施，已在架构审查和部署配置中核实。
APP 对应：APP 11.1（防止干扰、滥用和未经授权的访问）。
-
✅
技术 政策静态加密
数据库、对象存储和备份对象采用行业标准算法（例如 AES-256-GCM）加密，密钥按我们的加密政策管理。WAL-G 备份在存储到异地之前还会进行客户端加密。
APP 对应：APP 11.1；APP 11.2：加密备份在按计划销毁之前始终受到保护。
-
✅
技术 供应商边缘 DDoS 防护与 WAF
托管的边缘层位于公共主机名之前，吸收流量型攻击，并应用 WAF（Web 应用防火墙）规则应对常见的网络滥用。在边缘层之后，提供商级防护和严格的防火墙策略依然有效。
APP 对应：APP 11.1（防止干扰和丢失）。
-
✅
技术 政策入侵检测
分层检测：托管平台提供网络层 IDS（入侵检测系统），每台虚拟机运行 fail2ban（防止 SSH 暴力破解）、采用默认拒绝策略的 UFW，以及无人值守的安全更新。来自身份验证代理的身份验证和访问事件会发送到集中的 Loki/Grafana 技术栈，使异常登录模式在仪表板和告警中显现。政策规定了告警触发时由谁负责分诊。面向容器的内核级运行时 IDS 是在此基线之上计划中的增强措施。
APP 对应：APP 11.1；支持根据应通报数据泄露计划（第 IIIC 部分）对疑似合格数据泄露进行 30 天评估。
产品与应用
产品安全
用户如何进行身份验证、产品和 API 层如何执行授权，以及我们如何构建和发布软件。兼具技术执行（JWT、RBAC）与管理层面的 SDLC（软件开发生命周期）和审查要求。
-
✅
技术 供应商身份验证与会话
临床医生通过托管的身份提供商（OIDC/OAuth 类流程）进行身份验证；每条 API 路径都会验证身份。会话时长和锁定行为与我们的访问控制政策一致。
APP 对应：APP 11.1（防止未经授权的访问）。
-
✅
技术 政策基于角色的访问控制
临床医生、患者和管理员的权限在数据模型和 GraphQL 层中相互分离，因此默认即为最小权限。角色定义和审查周期以管理文件形式记录。
APP 对应：APP 11.1；APP 6：访问权限仅限于为收集目的而使用该信息的人员。
-
✅
技术 政策特权路径强制启用 MFA
对于可以更改安全敏感设置或访问高风险数据的账户，我们通过身份提供商强制执行多重身份验证（MFA）。
APP 对应：APP 11.1（防止未经授权的访问）。
-
✅
技术 政策安全开发生命周期
变更须经过源代码控制、审查和固定版本的依赖项。对于实质性功能，安全影响评估是一道管理关口；技术工具（Dependabot 等）支持日常的安全维护。
APP 对应：APP 11.1；APP 1.2（确保合规的做法和系统）。
-
✅
技术 政策软件物料清单（SBOM）
每个版本都附带机器可读的依赖项清单，用于漏洞响应。SBOM 导出已接入 CI，是我们供应链保障计划的一部分。
APP 对应：APP 11.1（采取合理措施，防止通过第三方代码造成的干扰）。
数据与隐私
数据与隐私
数据保留、删除、数据主体权利，以及安全相关事件的可见性。这些控制措施将产品和数据库中的自动执行，与管理程序（数据主体访问请求处理、数据泄露通报、季度报告）结合起来。
-
✅
技术 政策环境录音相关数据的保留与删除
音频和转录材料默认采用较短的保留期，并自动删除；临床病历遵循各机构的保留政策。与您的病历系统集成后，权威的临床记录仍归您所有。
APP 对应：APP 11.2（销毁或去标识化不再为任何允许目的所需的信息）。
-
✅
技术 政策防篡改删除日志与季度报告
由保留政策触发的删除记录在
deletion_log中，这是一张只能追加的 Postgres 表，没有向任何角色授予UPDATE或DELETE权限。每一行都通过 SHA-256 哈希链（row_hash = sha256(prev_hash ‖ canonical(metadata))）与上一行相连，因此修改或删除任何较早的行都会破坏其后的每一个哈希值，并会被数据库内的校验函数hanah_verify_deletion_chain()检测到。配套的审计表（ai_audit、secret_access_audit）同样只能追加。面向客户的季度汇总由hanah_deletion_report_quarter(year, quarter)生成。APP 对应：APP 11.2；APP 1.2：证明销毁已经发生且未被篡改。
-
✅
政策 技术数据主体访问与更正
个人可以申请访问或更正其个人信息；Hanah 记录了处理时限、格式（JSON 及人类可读的导出文件）和升级路径。对于存储在 Hanah 系统中的数据，相关工具支持导出。
APP 对应：APP 12（访问）；APP 13（更正）。
-
🔧
技术 政策统一的审计可见性
安全相关事件（身份验证、特权使用、配置变更）可供机构客户查询，并可在合同约定的情况下转发到您的 SIEM（安全信息和事件管理系统，例如 Microsoft Sentinel）。按客户单独配置。
APP 对应：APP 11.1；支持根据第 IIIC 部分进行合格数据泄露的评估和通报。
AI 与临床安全
AI 安全与合规
针对环境 AI 的控制措施：不将健康数据二次用于训练、临床依赖前须经人工监督、衡量质量（WER），以及防滥用的提示设计。结合了第三方合同控制与产品工作流程和临床治理。
-
✅
供应商 政策 技术不将数据二次用于模型训练
我们的语音识别和 AI 模型提供商的条款禁止使用客户内容进行训练；只要提供商支持，请求在发送时都会关闭提供商端存储。Hanah 不运行任何基于您健康数据的内部训练流程。管理层面的供应商审查为这一说法提供支撑。
APP 对应：APP 6（仅为主要目的使用和披露）；APP 8：境外接收方受合同约束，不得使用内容进行训练，也不得超出「服务提供商」下所示条款保留内容。
-
✅
政策 技术临床依赖前须经人工审核
生成的病历必须经过临床医生明确审阅并确认定稿后，才会被视为临床记录的一部分。这既是一项产品控制措施（工作流程关口），也是 PIA（隐私影响评估）中的政策承诺。
APP 对应：APP 10（个人信息质量：准确、最新、完整且相关）。
- ✅
-
✅
技术 政策提示注入与不安全输出监控
系统提示由服务器控制，输入受临床工作流程限定（没有自由对话界面）。每次生成都会运行提供商的安全分类器；一旦触发，数据流会返回内容过滤的结束原因，并记录在每次调用对应的
ai_audit行中，同时记录标准的ai.content_policy错误代码、延迟、token 数和 Tempo 追踪 ID。异常模式会通过基于该审计表的仪表板显现。针对滥用模式的跨调用行为异常检测，是在此基线之上计划中的增强措施。APP 对应：APP 11.1（防止滥用和干扰）。
-
✅
技术 政策产品内的多方知情同意确认
临床医生点击录音时，产品会打开知情同意对话框，要求明确确认已获得患者及本次就诊中其他所有参与者的同意。在确认之前无法开始录音；该确认会与本次诊疗绑定，并与隐私影响评估中引用的诊所政策一同记录。
APP 对应：APP 3.3（收集敏感信息须经同意）；APP 5（收集通知）。
组织与第三方
组织安全
Hanah 公司如何治理安全：问责、政策、独立保证，以及与客户安全工具的集成。这些主要是管理控制措施；其中一些有技术交付物（例如 SIEM 连接器）。
-
✅
政策安全治理与风险登记册
由一名指定的高管对信息安全负责；风险会登记负责人和目标日期，并按固定周期审查。即使以我们目前的规模，这也符合买方通常对 ISO 式管理体系的期望。
APP 对应：APP 1.2（确保合规的做法、程序和系统）；APP 11.1。
-
✅
政策经董事会批准的政策文件包
正式政策涵盖访问、加密、事件响应、供应商和变更管理。该文件包经董事会批准并纳入版本控制；签署保密协议后可获取完整内容。
APP 对应：APP 1.2；APP 11.1。
-
🔧
政策 技术客户 SIEM 转发（例如 Sentinel）
在合同约定的情况下，来自 Hanah 控制系统的安全事件会转发到您的 Sentinel 工作区（或同类系统），以便共同监控。按机构客户单独配置。
APP 对应：APP 11.1；支持根据第 IIIC 部分进行联合泄露评估。
尽职调查问卷往往是按照 HIPAA、GDPR、ISO/IEC 27001 或 SOC 2 编写的。在澳大利亚，Hanah 受《1988 年隐私法》管辖，因此本表从每条澳大利亚隐私原则出发，列出上述每个框架中最接近的条款，并指出满足该原则的 Hanah 控制措施。您可以用它把问卷中的问题对应到这里适用的原则。
对应关系仅供参考，不构成法律意见。
| 澳大利亚隐私原则 | HIPAA（美国） | GDPR / 英国 GDPR | 新西兰《2020 年隐私法》/ HIPC 2020 | ISO/IEC 27001:2022 | SOC 2（TSC 2017） | Hanah 如何满足要求 |
|---|---|---|---|---|---|---|
| APP 1：公开透明的管理 | §164.520 隐私实践通知；§164.530(a)、(i) 隐私负责人、政策和程序 | 第 5(2) 条问责；第 12–14 条透明度；第 24、30 条 | 第 201 条隐私官；公开的隐私声明 | 第 5.2 条款方针；A.5.1、A.5.34 | CC1.1–CC1.3；CC2.3；P1.1 | 指定的问责高管、风险登记册、经董事会批准的政策文件包，以及本信任中心。 |
| APP 2：匿名和化名 | 无直接对应条款；§164.514(a)–(b) 中的去标识化标准 | 第 25 条设计保护数据；第 4(5) 条假名化 | 无直接对应条款 | A.8.11 数据脱敏 | 无直接对应条款 | 由诊所决定，诊所决定患者是否可以匿名或使用化名与其往来。 |
| APP 3：收集主动索取的信息（敏感信息须经同意） | §164.502(b) 最少必要原则 | 第 5(1)(b)–(c) 条目的限制和数据最小化；第 6、9 条健康数据的合法依据 | IPP 1、2、4；HIPC 规则 1、2、4 | A.5.34 | P2.1 选择与同意；P3.1–P3.2 收集 | 每次录音前都确认已获同意；收集仅限于临床医生发起的那次诊疗。 |
| APP 4：非主动索取的信息 | 无直接对应条款 | 第 5(1)(c) 条数据最小化；第 5(1)(e) 条存储限制 | 无直接对应条款 | A.5.34 | P3.1 | 转录稿生成后即删除原始音频；转录稿遵循较短的默认保留期限。 |
| APP 5：收集通知 | §164.520 隐私实践通知 | 第 13–14 条 应提供的信息 | IPP 3；HIPC 规则 3 | A.5.34 | P1.1 告知 | 产品内的知情同意步骤；隐私政策列明了数据处理所在的国家。 |
| APP 6：使用或披露 | §164.502(a)、§164.506 允许的用途；§164.502(e)、§164.504(e) 业务伙伴合同 | 第 5(1)(b) 条 目的限制；第 28 条 处理者条款 | IPP 10、11；HIPC 规则 10、11 | A.5.34；A.5.10 可接受使用 | P4.1 使用；P6.1 向第三方披露 | 仅根据数据处理协议（DPA）按诊所的指示处理；不做二次使用，也不用于模型训练。 |
| APP 7：直接营销 | §164.508(a)(3) 营销授权 | 第 21(2)–(3) 条 反对直接营销的权利 | 无直接对应条款（《2007 年非应邀电子信息法》） | 无直接对应条款 | P2.1 | 患者信息绝不用于营销；只有当临床医生发送内容时，患者才会收到诊所的消息。 |
| APP 8：跨境披露 | 无地域限制；接收方通过业务伙伴合同受约束 | 第五章第 44–49 条国际传输（英国：IDTA 或英国附录） | IPP 12；HIPC 规则 12 | A.5.19–A.5.22 供应商关系 | CC9.2 供应商风险；P6.4 | 记录存储在澳大利亚。境外处理按国家列在「服务提供商」下，并有合同约定的禁止训练和保留期限限制。 |
| APP 9：政府相关标识符 | 无直接对应条款 | 第 87 条国家身份号码 | IPP 13；HIPC 第 13 条规则唯一标识符 | 无直接对应条款 | 无直接对应条款 | Hanah 不采用 Medicare 号码或其他政府标识符作为自己的标识符。 |
| APP 10：个人信息质量 | §164.312(c) 完整性 | 第 5(1)(d) 条 准确性 | IPP 8；HIPC 规则 8 | A.5.34 | P7.1 质量 | 病历定稿前由临床医生审阅；公开发布准确率与幻觉测量结果。 |
| APP 11.1：个人信息安全 | 安全规则 §164.308、§164.310、§164.312 管理、物理和技术保障措施 | 第 32 条 处理的安全性 | IPP 5；HIPC 规则 5 | A.5.15、A.8.5 访问与身份验证；A.8.24 加密；A.8.13 备份；A.8.15–A.8.16 日志与监控 | CC6 逻辑访问；CC7 系统运营；CC8 变更管理 | 传输加密和静态加密、基于角色的访问控制、特权路径的 MFA、入侵检测、加密备份。 |
| APP 11.2：销毁或去标识化 | §164.310(d)(2)(i) 处置 | 第 5(1)(e) 条 存储限制；第 17 条 删除权 | IPP 9；HIPC 规则 9 | A.8.10 信息删除 | C1.2 处置；P4.3 | 自动删除音频和转录稿，并记录在防篡改的删除日志中。 |
| APP 12：访问个人信息 | §164.524 访问 | 第 15 条 访问权；第 20 条 可携带权 | IPP 6；HIPC 规则 6 | A.5.34 | P5.1 访问 | 提供 JSON 和人类可读格式的导出，协助诊所作出回应。 |
| APP 13：更正个人信息 | §164.526 修订 | 第 16 条 更正权 | IPP 7；HIPC 规则 7 | A.5.34 | P5.2 更正 | 临床医生编辑病历并重新确认定稿；更正请求遵循书面程序。 |
| 第 IIIC 部分：应通报数据泄露计划 | 泄露通知规则 §164.400–414 | 第 33–34 条 数据泄露通报 | 第 6 部分 应通报的隐私泄露 | A.5.24–A.5.27 事件管理 | CC7.3–CC7.5 事件响应 | 事件响应政策、集中安全日志，并支持诊所进行 30 天评估。 |
以下是在我们 生产架构中可能处理或存储 Hanah 客户数据的服务提供商类别、各自处理的内容、保留的数据，以及数据处理所在的地点。每家提供商都受合同约束，必须保护客户数据，且均不得用其训练模型。临床医生登录使用全球身份基础设施，其中不保存任何患者健康信息。这些类别同样构成我们数据处理协议的附件 C。
| 服务类别 | 用途 | 处理的数据 | 保留期限 | 处理区域 |
|---|
运营透明度：公开的状态页面（正常运行时间和事件）与我们自身监控所用的生产环境 /healthz 就绪端点并列提供。
PhysiPal Pty Ltd（以 Hanah 名义经营）—— 。本信任中心为概要性说明。合同承诺以及签约时有效的数据处理条款优先于本页面。状态表情标记（✅ 🔧）为临时标记，将在每一行经过独立核实后移除。