--- title: "信任中心｜Hanah（英国和欧盟）" description: "Hanah 信任中心（英国和欧盟）：英国诊所的患者记录存储在英国。了解英国部署的安全与隐私控制措施及服务提供商，该部署也为欧盟诊所提供服务。" source: https://hanah.health/zh/uk/trust/ --- # 信任中心 面向临床医生、诊所负责人和机构采购方的透明度信息。本页面概述 Hanah 如何处理健康信息、哪些服务提供商属于 生产部署的范围，以及每项安全控制措施的实施方式。状态标记是临时的编辑辅助手段，待每一项均在生产环境中核实后将会移除。 ✅ 已完成 🔧 定制实现 概览 控制措施 服务提供商 资源 **适用对象：**对 Hanah 进行尽职调查的诊所、医疗网络、隐私官和 IT 安全团队。**概览：**本信任中心概述 Hanah 的安全控制措施，以及属于 生产部署范围的服务提供商。临床记录存储在。语音识别和 AI 起草由区域外（主要在美国）的专业服务提供商执行，其条款禁止使用您的内容进行训练。更深入的证据载于我们的《安全与运营手册》；**控制措施**标签页说明了每项控制措施的实施方式。 ### 安全控制措施 加密、访问控制、网络隔离、日志、备份/灾难恢复，以及 AI 专项防护措施，每一项都如实标明状态。 查看控制措施 → ### 服务提供商 哪些类别的服务提供商会处理数据、用于什么目的、保留哪些数据，以及在哪里处理。 查看服务提供商 → ### 资源与后续步骤 服务状态，以及如何在签署保密协议（NDA）后索取完整的政策文件包。 查看资源 →[ ### 验证方法 我们如何衡量转录准确率和文书幻觉：一套测试框架、一个语料库、两个评估层（WER + LLM 评审团）。每个公开数字都依据这些规则评分。 阅读测评方法 →](https://hanah.health/zh/uk/trust/wer-methodology/)[ ### 验证透明度 逐条录音的转录稿、生成的文档，以及每个 LLM 评审模型对照权威标准参照语料库给出的判定。提供完整数据，而不只是标题数字。 查看报告 →](https://hanah.health/zh/uk/trust/transparency/) 每一行都是通常 ISO 意义上的一项控制措施：**政策**（治理和书面程序）、**技术**（由系统和配置执行）或**供应商**（合同和子处理方保证）。标签显示主要的证据类型；许多行兼具多种类型。详细内容可追溯到我们内部的**《安全与运营手册》**。 技术 系统与平台控制措施：基础设施、应用、加密、自动化。 政策 组织层面的治理：问责、已签署的政策、风险登记册、程序性证据。 供应商 对第三方的依赖：DPA 条款、子处理方清单、供应商认证。 ## 基础设施与平台 基础设施安全 说明 Hanah 在区域部署中运行于何处、生产环境如何与运维环境隔离，以及加密如何在临床医生、我们的技术栈和 AI 子处理方之间保护客户数据。这些主要是技术控制措施，并由《安全与运营手册》中的管理规定提供支撑。 - ✅ 技术 政策 **生产工作负载驻留在区域内** 部署的主应用服务器、数据库、对象存储和备份均位于该区域内。管理记录说明了区域划分和变更审批；技术部署将资源固定在该区域的项目中。 - ✅ 技术 **传输加密** 公网入口采用现代 TLS（传输层安全协议）。发往语音识别和 AI 模型提供商的流量，均使用 TLS 连接各提供商配置的端点。这是一项技术控制措施，已在架构审查和部署配置中核实。 - ✅ 技术 政策 **静态加密** 数据库、对象存储和备份对象采用行业标准算法（例如 AES-256-GCM）加密，密钥按我们的加密政策管理。WAL-G 备份在存储到异地之前还会进行客户端加密。 - ✅ 技术 供应商 **边缘 DDoS 防护与 WAF** 托管的边缘层位于公共主机名之前，吸收流量型攻击，并应用 WAF（Web 应用防火墙）规则应对常见的网络滥用。在边缘层之后，提供商级防护和严格的防火墙策略依然有效。 - ✅ 技术 政策 **入侵检测** 分层检测：托管平台提供网络层 IDS（入侵检测系统），每台虚拟机运行 fail2ban（防止 SSH 暴力破解）、采用默认拒绝策略的 UFW，以及无人值守的安全更新。来自身份验证代理的身份验证和访问事件会发送到集中的 Loki/Grafana 技术栈，使异常登录模式在仪表板和告警中显现。政策规定了告警触发时由谁负责分诊。面向容器的内核级运行时 IDS 是在此基线之上计划中的增强措施。 ## 产品与应用 产品安全 用户如何进行身份验证、产品和 API 层如何执行授权，以及我们如何构建和发布软件。兼具技术执行（JWT、RBAC）与管理层面的 SDLC（软件开发生命周期）和审查要求。 - ✅ 技术 供应商 **身份验证与会话** 临床医生通过托管的身份提供商（OIDC/OAuth 类流程）进行身份验证；每条 API 路径都会验证身份。会话时长和锁定行为与我们的访问控制政策一致。 - ✅ 技术 政策 **基于角色的访问控制** 临床医生、患者和管理员的权限在数据模型和 GraphQL 层中相互分离，因此默认即为最小权限。角色定义和审查周期以管理文件形式记录。 - ✅ 技术 政策 **特权路径强制启用 MFA** 对于可以更改安全敏感设置或访问高风险数据的账户，我们通过身份提供商强制执行多重身份验证（MFA）。 - ✅ 技术 政策 **安全开发生命周期** 变更须经过源代码控制、审查和固定版本的依赖项。对于实质性功能，安全影响评估是一道管理关口；技术工具（Dependabot 等）支持日常的安全维护。 - ✅ 技术 政策 **软件物料清单（SBOM）** 每个版本都附带机器可读的依赖项清单，用于漏洞响应。SBOM 导出已接入 CI，是我们供应链保障计划的一部分。 ## 数据与隐私 数据与隐私 数据保留、删除、数据主体权利，以及安全相关事件的可见性。这些控制措施将产品和数据库中的自动执行，与管理程序（数据主体访问请求处理、数据泄露通报、季度报告）结合起来。 - ✅ 技术 政策 **环境录音相关数据的保留与删除** 音频和转录材料默认采用较短的保留期，并自动删除；临床病历遵循各机构的保留政策。与您的病历系统集成后，权威的临床记录仍归您所有。 - ✅ 技术 政策 **防篡改删除日志与季度报告** 由保留政策触发的删除记录在 `deletion_log` 中，这是一张只能追加的 Postgres 表，没有向任何角色授予 `UPDATE` 或 `DELETE` 权限。每一行都通过 SHA-256 哈希链（`row_hash = sha256(prev_hash ‖ canonical(metadata))`）与上一行相连，因此修改或删除任何较早的行都会破坏其后的每一个哈希值，并会被数据库内的校验函数 `hanah_verify_deletion_chain()` 检测到。配套的审计表（`ai_audit`、`secret_access_audit`）同样只能追加。面向客户的季度汇总由 `hanah_deletion_report_quarter(year, quarter)` 生成。 - ✅ 政策 技术 **数据主体访问与更正** 个人可以申请访问或更正其个人信息；Hanah 记录了处理时限、格式（JSON 及人类可读的导出文件）和升级路径。对于存储在 Hanah 系统中的数据，相关工具支持导出。 - 🔧 技术 政策 **统一的审计可见性** 安全相关事件（身份验证、特权使用、配置变更）可供机构客户查询，并可在合同约定的情况下转发到您的 SIEM（安全信息和事件管理系统，例如 Microsoft Sentinel）。按客户单独配置。 ## AI 与临床安全 AI 安全与合规 针对环境 AI 的控制措施：不将健康数据二次用于训练、临床依赖前须经人工监督、衡量质量（WER），以及防滥用的提示设计。结合了第三方合同控制与产品工作流程和临床治理。 - ✅ 供应商 政策 技术 **不将数据二次用于模型训练** 我们的语音识别和 AI 模型提供商的条款禁止使用客户内容进行训练；只要提供商支持，请求在发送时都会关闭提供商端存储。Hanah 不运行任何基于您健康数据的内部训练流程。管理层面的供应商审查为这一说法提供支撑。 - ✅ 政策 技术 **临床依赖前须经人工审核** 生成的病历必须经过临床医生明确审阅并确认定稿后，才会被视为临床记录的一部分。这既是一项产品控制措施（工作流程关口），也是 PIA（隐私影响评估）中的政策承诺。 - ✅ 政策 技术 **WER 测评方法与已公布的队列结果** 一套测试框架、两个评估层，在每次评分时运行：对照逐字标准参照转录稿计算**词错误率**（A 层），以及由 **LLM 评审团**同时衡量_覆盖率_（病历是否涵盖每一项预先登记的预期内容？）和_幻觉_（病历是否包含转录稿不支持的陈述，即模型编造的内容？）。[完整测评方法](https://hanah.health/zh/uk/trust/wer-methodology/)已公开，[实时结果](https://hanah.health/zh/uk/trust/transparency/)直接根据测试框架的汇总输出呈现。语料库将继续从 v1（合成）→ v2（角色扮演）→ v3（基于知情同意的真实录音）→ v4（与医疗系统合作伙伴共建）逐步升级。 - ✅ 技术 政策 **提示注入与不安全输出监控** 系统提示由服务器控制，输入受临床工作流程限定（没有自由对话界面）。每次生成都会运行提供商的安全分类器；一旦触发，数据流会返回内容过滤的结束原因，并记录在每次调用对应的 `ai_audit` 行中，同时记录标准的 `ai.content_policy` 错误代码、延迟、token 数和 Tempo 追踪 ID。异常模式会通过基于该审计表的仪表板显现。针对滥用模式的跨调用行为异常检测，是在此基线之上计划中的增强措施。 - ✅ 技术 政策 **产品内的多方知情同意确认** 临床医生点击录音时，产品会打开知情同意对话框，要求明确确认已获得患者及本次就诊中其他所有参与者的同意。在确认之前无法开始录音；该确认会与本次诊疗绑定，并与隐私影响评估中引用的诊所政策一同记录。 ## 组织与第三方 组织安全 Hanah 公司如何治理安全：问责、政策、独立保证，以及与客户安全工具的集成。这些主要是管理控制措施；其中一些有技术交付物（例如 SIEM 连接器）。 - ✅ 政策 **安全治理与风险登记册** 由一名指定的高管对信息安全负责；风险会登记负责人和目标日期，并按固定周期审查。即使以我们目前的规模，这也符合买方通常对 ISO 式管理体系的期望。 - ✅ 政策 **经董事会批准的政策文件包** 正式政策涵盖访问、加密、事件响应、供应商和变更管理。该文件包经董事会批准并纳入版本控制；签署保密协议后可获取完整内容。 - 🔧 政策 技术 **客户 SIEM 转发（例如 Sentinel）** 在合同约定的情况下，来自 Hanah 控制系统的安全事件会转发到您的 Sentinel 工作区（或同类系统），以便共同监控。按机构客户单独配置。 以下是在我们 生产架构中**可能处理或存储 Hanah 客户数据**的服务提供商类别、各自处理的内容、保留的数据，以及数据处理所在的地点。每家提供商都受合同约束，必须保护客户数据，且均不得用其训练模型。临床医生登录使用全球身份基础设施，其中**不保存任何患者健康信息**。这些类别同样构成我们[数据处理协议](https://hanah.health/dpa/#annex-c)的附件 C。 | 服务类别 | 用途 | 处理的数据 | 保留期限 | 处理区域 | | --- | --- | --- | --- | --- | 运营透明度：公开的**状态**页面（正常运行时间和事件）与我们自身监控所用的生产环境 `/healthz` 就绪端点并列提供。 [服务状态](https://hanah.health/zh/uk/trust/status/ "英国部署的各组件健康状况、90 天正常运行时间和事件历史。") [签署保密协议后索取完整安全文件包](mailto:security@hanah.health?subject=Trust%20%2F%20security%20pack%20request) [返回 hanah.health](https://hanah.health/zh/) PhysiPal Pty Ltd（以 Hanah 名义经营）—— 。本信任中心为概要性说明。合同承诺以及签约时有效的数据处理条款优先于本页面。状态表情标记（✅ 🔧）为临时标记，将在每一行经过独立核实后移除。