--- title: "信任中心（美国）｜Hanah" description: "Hanah 信任中心（美国）：患者记录存储在美国。介绍美国部署的安全与隐私控制措施及服务提供商。" source: https://hanah.health/zh/us/trust/ --- # 信任中心 面向临床医生、诊所负责人和机构采购方的透明度说明。本页概述 Hanah 如何处理健康信息、哪些服务提供商属于生产部署的范围，以及每项安全控制措施与 HIPAA 安全规则、隐私规则和泄露通知规则的对应关系。状态标记是临时的编辑辅助，待每一项都完成生产环境验证后即会移除。 ✅ 已完成 🔧 定制实现 概览 控制措施 框架对照 服务提供商 资源 **适用对象：**对 Hanah 进行尽职调查的诊所、医疗网络、隐私官和 IT 安全团队。**概览：**本信任中心概述 Hanah 的安全控制措施，以及属于生产部署范围的服务提供商。临床记录存储在。语音识别由美国的一家专业服务提供商运行，AI 起草则由位于美国及其设有设施的其他国家的服务提供商运行，相关条款禁止使用您的内容进行训练。更详细的证据见我们的《安全与运营手册》；**「控制措施」**标签页说明了每项控制措施的实现方式。 ### 安全控制措施 加密、访问控制、网络隔离、日志、备份/灾难恢复，以及 AI 专项防护措施，每一项都如实标明状态。 查看控制措施 → ### HIPAA 与 GDPR、ISO 和 SOC 2 的对照 每项 HIPAA 要求，与澳大利亚、GDPR、新西兰、ISO/IEC 27001 和 SOC 2 中的对应条款，以及满足该要求的 Hanah 控制措施并列。 查看对照 → ### 服务提供商 哪些类别的服务提供商会处理数据、用于什么目的、保留哪些数据，以及在哪里处理。 查看服务提供商 → ### 资源与后续步骤 服务状态，以及如何在签署保密协议（NDA）后索取完整的政策文件包。 查看资源 →[ ### 验证方法 我们如何衡量转录准确率和文书幻觉：一套测试框架、一个语料库、两个评估层（WER + LLM 评审团）。每个公开数字都依据这些规则评分。 阅读测评方法 →](https://hanah.health/zh/us/trust/wer-methodology/)[ ### 验证透明度 逐条录音的转录稿、生成的文档，以及每个 LLM 评审模型对照权威标准参照语料库给出的判定。提供完整数据，而不只是标题数字。 查看报告 →](https://hanah.health/zh/us/trust/transparency/)[ ### 历次结果 我们发布过的每一次基准测试，以及与上一次结果相比的变化。数字完全保留测量当天的结果，包括评分小组本身此后已有变化的情况。 对比历次结果 →](https://hanah.health/zh/us/trust/benchmarks/) 每一行都是通常 ISO 意义上的一项控制措施：**政策**（治理和书面程序）、**技术**（由系统和配置强制执行）或**供应商**（合同及子处理方保证）。标签显示主要的证据类型；许多行结合了不止一种。详细内容可追溯至我们内部的**《安全与运营手册》**。每行下方的说明列出该控制措施所对应的 HIPAA 条款（45 CFR），仅供参考，不能替代法律意见。 **法律依据：**[HIPAA 行政简化法规](https://www.hhs.gov/hipaa/for-professionals/index.html)，45 CFR 第 164 部分：C 子部分（安全规则）、D 子部分（泄露通知规则）和 E 子部分（隐私规则）。 技术 系统与平台控制措施：基础设施、应用、加密、自动化。 政策 组织层面的治理：问责、已签署的政策、风险登记册、程序性证据。 供应商 对第三方的依赖：DPA 条款、子处理方清单、供应商认证。 ## 基础设施与平台 基础设施安全 说明 Hanah 在区域部署中运行于何处、生产环境如何与运维环境隔离，以及加密如何在临床医生、我们的技术栈和 AI 子处理方之间保护客户数据。这些主要是技术控制措施，并由《安全与运营手册》中的管理规定提供支撑。 - ✅ 技术 政策 **生产工作负载驻留在区域内** 部署的主应用服务器、数据库、对象存储和备份均位于该区域内。管理记录说明了区域划分和变更审批；技术部署将资源固定在该区域的项目中。 **HIPAA 对应：**§164.308(a)(1)(ii)(A)–(B) 风险分析与风险管理；§164.310(a)(1) 设施访问控制，由托管服务提供商负责。记录存储在美国；服务提供商的处理活动列在「服务提供商」下。 - ✅ 技术 **传输加密** 公网入口采用现代 TLS（传输层安全协议）。发往语音识别和 AI 模型提供商的流量，均使用 TLS 连接各提供商配置的端点。这是一项技术控制措施，已在架构审查和部署配置中核实。 **HIPAA 对应：**§164.312(e)(1) 传输安全；§164.312(e)(2)(ii) 加密。 - ✅ 技术 政策 **静态加密** 数据库、对象存储和备份对象采用行业标准算法（例如 AES-256-GCM）加密，密钥按我们的加密政策管理。WAL-G 备份在存储到异地之前还会进行客户端加密。 **HIPAA 对应：**§164.312(a)(2)(iv) 加密与解密；§164.308(a)(7)(ii)(A) 数据备份计划。 - ✅ 技术 供应商 **边缘 DDoS 防护与 WAF** 托管的边缘层位于公共主机名之前，吸收流量型攻击，并应用 WAF（Web 应用防火墙）规则应对常见的网络滥用。在边缘层之后，提供商级防护和严格的防火墙策略依然有效。 **HIPAA 对应：**§164.306(a)(1) 电子受保护健康信息的可用性；§164.308(a)(7) 应急计划。 - ✅ 技术 政策 **入侵检测** 分层检测：托管平台提供网络层 IDS（入侵检测系统），每台虚拟机运行 fail2ban（防止 SSH 暴力破解）、采用默认拒绝策略的 UFW，以及无人值守的安全更新。来自身份验证代理的身份验证和访问事件会发送到集中的 Loki/Grafana 技术栈，使异常登录模式在仪表板和告警中显现。政策规定了告警触发时由谁负责分诊。面向容器的内核级运行时 IDS 是在此基线之上计划中的增强措施。 **HIPAA 对应：**§164.308(a)(1)(ii)(D) 信息系统活动审查；§164.308(a)(6) 安全事件程序；§164.312(b) 审计控制。 ## 产品与应用 产品安全 用户如何进行身份验证、产品和 API 层如何执行授权，以及我们如何构建和发布软件。兼具技术执行（JWT、RBAC）与管理层面的 SDLC（软件开发生命周期）和审查要求。 - ✅ 技术 供应商 **身份验证与会话** 临床医生通过托管的身份提供商（OIDC/OAuth 类流程）进行身份验证；每条 API 路径都会验证身份。会话时长和锁定行为与我们的访问控制政策一致。 **HIPAA 对应：**§164.312(d) 个人或实体身份验证；§164.312(a)(2)(iii) 自动注销。 - ✅ 技术 政策 **基于角色的访问控制** 临床医生、患者和管理员的权限在数据模型和 GraphQL 层中相互分离，因此默认即为最小权限。角色定义和审查周期以管理文件形式记录。 **HIPAA 对应：**§164.312(a)(1) 访问控制；§164.308(a)(4) 信息访问管理；§164.502(b) 最少必要原则。 - ✅ 技术 政策 **特权路径强制启用 MFA** 对于可以更改安全敏感设置或访问高风险数据的账户，我们通过身份提供商强制执行多重身份验证（MFA）。 **HIPAA 对应：**§164.312(d) 个人或实体身份验证。 - ✅ 技术 政策 **安全开发生命周期** 变更须经过源代码控制、审查和固定版本的依赖项。对于实质性功能，安全影响评估是一道管理关口；技术工具（Dependabot 等）支持日常的安全维护。 **HIPAA 对应：**§164.308(a)(1)(ii)(B) 风险管理；§164.308(a)(8) 评估。 - ✅ 技术 政策 **软件物料清单（SBOM）** 每个版本都附带机器可读的依赖项清单，用于漏洞响应。SBOM 导出已接入 CI，是我们供应链保障计划的一部分。 **HIPAA 对应：**§164.308(a)(1)(ii)(B) 风险管理；§164.308(a)(5)(ii)(B) 防范恶意软件。 ## 数据与隐私 数据与隐私 数据保留、删除、数据主体权利，以及安全相关事件的可见性。这些控制措施将产品和数据库中的自动执行，与管理程序（数据主体访问请求处理、数据泄露通报、季度报告）结合起来。 - ✅ 技术 政策 **环境录音相关数据的保留与删除** 音频和转录材料默认采用较短的保留期，并自动删除；临床病历遵循各机构的保留政策。与您的病历系统集成后，权威的临床记录仍归您所有。 **HIPAA 对应：**§164.310(d)(2)(i) 处置；§164.502(b) 最少必要原则。 - ✅ 技术 政策 **防篡改删除日志与季度报告** 由保留政策触发的删除记录在 `deletion_log` 中，这是一张只能追加的 Postgres 表，没有向任何角色授予 `UPDATE` 或 `DELETE` 权限。每一行都通过 SHA-256 哈希链（`row_hash = sha256(prev_hash ‖ canonical(metadata))`）与上一行相连，因此修改或删除任何较早的行都会破坏其后的每一个哈希值，并会被数据库内的校验函数 `hanah_verify_deletion_chain()` 检测到。配套的审计表（`ai_audit`、`secret_access_audit`）同样只能追加。面向客户的季度汇总由 `hanah_deletion_report_quarter(year, quarter)` 生成。 **HIPAA 对应：**§164.312(b) 审计控制；§164.312(c)(1) 完整性；§164.316(b) 文档记录。 - ✅ 政策 技术 **数据主体访问与更正** 个人可以申请访问或更正其个人信息；Hanah 记录了处理时限、格式（JSON 及人类可读的导出文件）和升级路径。对于存储在 Hanah 系统中的数据，相关工具支持导出。 **HIPAA 对应：**§164.524 访问权；§164.526 修订。Hanah 协助诊所作出回应。 - 🔧 技术 政策 **统一的审计可见性** 安全相关事件（身份验证、特权使用、配置变更）可供机构客户查询，并可在合同约定的情况下转发到您的 SIEM（安全信息和事件管理系统，例如 Microsoft Sentinel）。按客户单独配置。 **HIPAA 对应：**§164.312(b) 审计控制；§164.308(a)(1)(ii)(D) 信息系统活动审查。 ## AI 与临床安全 AI 安全与合规 针对环境 AI 的控制措施：不将健康数据二次用于训练、临床依赖前须经人工监督、衡量质量（WER），以及防滥用的提示设计。结合了第三方合同控制与产品工作流程和临床治理。 - ✅ 供应商 政策 技术 **不将数据二次用于模型训练** 我们的语音识别和 AI 模型提供商的条款禁止使用客户内容进行训练；只要提供商支持，请求在发送时都会关闭提供商端存储。Hanah 不运行任何基于您健康数据的内部训练流程。管理层面的供应商审查为这一说法提供支撑。 **HIPAA 对应：**§164.502(a) 使用和披露，仅限于诊所委托 Hanah 的目的；服务提供商受合同约束，不得使用内容进行训练，也不得超出「服务提供商」下所示条款保留内容。 - ✅ 政策 技术 **临床依赖前须经人工审核** 生成的病历必须经过临床医生明确审阅并确认定稿后，才会被视为临床记录的一部分。这既是一项产品控制措施（工作流程关口），也是 PIA（隐私影响评估）中的政策承诺。 **HIPAA 对应：**§164.312(c)(1) 完整性；§164.526 修订。 - ✅ 政策 技术 **WER 测评方法与已公布的队列结果** 一套测试框架、两个评估层，在每次评分时运行：对照逐字标准参照转录稿计算**词错误率**（A 层），以及由 **LLM 评审团**同时衡量_覆盖率_（病历是否涵盖每一项预先登记的预期内容？）和_幻觉_（病历是否包含转录稿不支持的陈述，即模型编造的内容？）。[完整测评方法](https://hanah.health/zh/us/trust/wer-methodology/)已公开，[实时结果](https://hanah.health/zh/us/trust/transparency/)直接根据测试框架的汇总输出呈现。语料库将继续从 v1（合成）→ v2（角色扮演）→ v3（基于知情同意的真实录音）→ v4（与医疗系统合作伙伴共建）逐步升级。 **HIPAA 对应：**§164.312(c)(1) 完整性；§164.308(a)(8) 评估。 - ✅ 技术 政策 **提示注入与不安全输出监控** 系统提示由服务器控制，输入受临床工作流程限定（没有自由对话界面）。每次生成都会运行提供商的安全分类器；一旦触发，数据流会返回内容过滤的结束原因，并记录在每次调用对应的 `ai_audit` 行中，同时记录标准的 `ai.content_policy` 错误代码、延迟、token 数和 Tempo 追踪 ID。异常模式会通过基于该审计表的仪表板显现。针对滥用模式的跨调用行为异常检测，是在此基线之上计划中的增强措施。 **HIPAA 对应：**§164.308(a)(1)(ii)(D) 信息系统活动审查；§164.308(a)(5)(ii)(B) 防范恶意软件。 - ✅ 技术 政策 **产品内的多方知情同意确认** 临床医生点击录音时，产品会打开知情同意对话框，要求明确确认已获得患者及本次就诊中其他所有参与者的同意。在确认之前无法开始录音；该确认会与本次诊疗绑定，并与隐私影响评估中引用的诊所政策一同记录。 **HIPAA 对应：**§164.506(b) 治疗用途的同意。各州的录音法律同样适用：包括加利福尼亚州和佛罗里达州在内的若干州，要求录音须经每一方同意。 ## 组织与第三方 组织安全 Hanah 公司如何治理安全：问责、政策、独立保证，以及与客户安全工具的集成。这些主要是管理控制措施；其中一些有技术交付物（例如 SIEM 连接器）。 - ✅ 政策 **安全治理与风险登记册** 由一名指定的高管对信息安全负责；风险会登记负责人和目标日期，并按固定周期审查。即使以我们目前的规模，这也符合买方通常对 ISO 式管理体系的期望。 **HIPAA 对应：**§164.308(a)(2) 指定安全责任人；§164.308(a)(1) 安全管理流程。 - ✅ 政策 **经董事会批准的政策文件包** 正式政策涵盖访问、加密、事件响应、供应商和变更管理。该文件包经董事会批准并纳入版本控制；签署保密协议后可获取完整内容。 **HIPAA 对应：**§164.316 政策、程序和文档记录。 - 🔧 政策 技术 **客户 SIEM 转发（例如 Sentinel）** 在合同约定的情况下，来自 Hanah 控制系统的安全事件会转发到您的 Sentinel 工作区（或同类系统），以便共同监控。按机构客户单独配置。 **HIPAA 对应：**§164.308(a)(6) 安全事件程序；§164.312(b) 审计控制；支持诊所根据 §164.402 进行泄露评估。 在美国，尽职调查问卷通常按照 HIPAA 编写，有时也按照 ISO/IEC 27001 或 SOC 2。本表从每项 HIPAA 要求出发，列出澳大利亚隐私原则、GDPR、新西兰《隐私法》、ISO/IEC 27001 和 SOC 2 中最接近的条款，并指出满足该要求的 Hanah 控制措施。 对应关系仅供参考，不构成法律意见。 | HIPAA 要求 | 澳大利亚隐私原则 | GDPR / 英国 GDPR | 新西兰《2020 年隐私法》/ HIPC 2020 | ISO/IEC 27001:2022 | SOC 2（TSC 2017） | Hanah 如何满足要求 | | --- | --- | --- | --- | --- | --- | --- | | §164.530(a)、(i)：隐私负责人、政策和程序 | APP 1 公开透明的管理 | 第 5(2) 条问责；第 24、30 条 | 第 201 条隐私官 | 第 5.2 条款方针；A.5.1 | CC1.1–CC1.3；CC2.3 | 指定的问责高管、风险登记册、经董事会批准的政策文件包，以及本信任中心。 | | §164.520：隐私实践通知 | APP 5 收集通知 | 第 13–14 条 应提供的信息 | IPP 3；HIPC 规则 3 | A.5.34 | P1.1 告知 | 产品内的知情同意步骤；隐私政策列明了数据处理所在的国家。 | | §164.502(b)、§164.514(d)：最少必要原则 | APP 3 收集主动索取的信息 | 第 5(1)(b)–(c) 条目的限制和数据最小化 | IPP 1、2、4；HIPC 规则 1、2、4 | A.5.34 | P3.1–P3.2 收集 | 收集仅限于临床医生发起的那次诊疗，并在每次录音前确认已获同意。 | | §164.502(a)、§164.506：允许的使用和披露 | APP 6 使用或披露 | 第 5(1)(b) 条 目的限制；第 28 条 处理者条款 | IPP 10、11；HIPC 规则 10、11 | A.5.34；A.5.10 可接受使用 | P4.1 使用；P6.1 向第三方披露 | 仅按诊所的指示处理；不做二次使用，也不用于模型训练。 | | §164.508(a)(3)：营销授权 | APP 7 直接营销 | 第 21(2)–(3) 条 反对直接营销的权利 | 无直接对应条款（《2007 年非应邀电子信息法》） | 无直接对应条款 | P2.1 | 患者信息绝不用于营销；只有当临床医生发送内容时，患者才会收到诊所的消息。 | | §164.502(e)、§164.504(e)、§164.308(b)：业务伙伴和分包商 | APP 8 跨境披露 | 第 28 条处理者；第五章第 44–49 条国际传输 | IPP 12；HIPC 规则 12 | A.5.19–A.5.22 供应商关系 | CC9.2 供应商风险；P6.4 | 记录存储在美国。服务提供商按国家列在「服务提供商」下，并有合同约定的禁止训练和保留期限限制。 | | §164.312(c)：完整性 | APP 10 个人信息质量 | 第 5(1)(d) 条 准确性 | IPP 8；HIPC 规则 8 | A.5.34 | P7.1 质量 | 病历定稿前由临床医生审阅；公开发布准确率与幻觉测量结果。 | | §164.308、§164.310、§164.312：管理、物理和技术保障措施 | APP 11.1 个人信息安全 | 第 32 条 处理的安全性 | IPP 5；HIPC 规则 5 | A.5.15、A.8.5 访问与身份验证；A.8.24 加密；A.8.13 备份；A.8.15–A.8.16 日志与监控 | CC6 逻辑访问；CC7 系统运营；CC8 变更管理 | 传输加密和静态加密、基于角色的访问控制、特权路径的 MFA、入侵检测、加密备份。 | | §164.310(d)(2)(i)：处置 | APP 11.2 销毁或去标识化；APP 4 非主动索取的信息 | 第 5(1)(e) 条 存储限制；第 17 条 删除权 | IPP 9；HIPC 规则 9 | A.8.10 信息删除 | C1.2 处置；P4.3 | 转录稿生成后即删除原始音频；音频和转录稿会被自动删除，并记录在防篡改的删除日志中。 | | §164.524：访问权 | APP 12 访问 | 第 15 条 访问权；第 20 条 可携带权 | IPP 6；HIPC 规则 6 | A.5.34 | P5.1 访问 | 提供 JSON 和人类可读格式的导出，协助诊所作出回应。 | | §164.526：修订 | APP 13 更正 | 第 16 条 更正权 | IPP 7；HIPC 规则 7 | A.5.34 | P5.2 更正 | 临床医生编辑病历并重新确认定稿；修订请求遵循书面程序。 | | §164.400–414：泄露通知规则 | 第 IIIC 部分应通报数据泄露计划 | 第 33–34 条 数据泄露通报 | 第 6 部分 应通报的隐私泄露 | A.5.24–A.5.27 事件管理 | CC7.3–CC7.5 事件响应 | 事件响应政策、集中安全日志，并支持诊所进行风险评估和通报。 | 以下是在我们生产架构中**可能处理或存储 Hanah 客户数据**的服务提供商类别，以及每类处理什么、保留什么、在哪里处理数据。每家服务提供商都受合同约束保护客户数据，且均不得用这些数据训练模型。临床医生登录使用全球身份基础设施，其中**不含任何患者健康信息**。 | 服务类别 | 用途 | 处理的数据 | 保留期限 | 处理区域 | | --- | --- | --- | --- | --- | 运营透明度：公开的**状态**页面（正常运行时间和事件）与我们自身监控所用的生产环境 `/healthz` 就绪端点并列提供。 [服务状态](https://hanah.health/zh/us/trust/status/ "美国部署的各组件健康状况、90 天可用率和事件历史。") [签署保密协议后索取完整安全文件包](mailto:security@hanah.health?subject=Trust%20%2F%20security%20pack%20request) [返回 hanah.health](https://hanah.health/zh/) PhysiPal Pty Ltd（以 Hanah 名义经营）—— 。本信任中心为概要性说明。合同承诺以及签约时有效的数据处理条款优先于本页面。状态表情标记（✅ 🔧）为临时标记，将在每一行经过独立核实后移除。