隐私政策

Navelia Health 由在美国设立的运营主体提供。我们协助患者准备病例、整理和翻译医疗资料、组织经授权的专业审核、沟通服务需求，以及协调计划中的中国就医活动。本政策说明我们如何收集、使用、保存、保护和披露个人信息，以及您如何行使有关权利。实际签约主体、公开地址和隐私联系方式将在正式发布版本及适用服务订单中提供。

本政策适用于链接本政策的网站、免费咨询、账户、患者端、病例准备、经授权的沟通及协调服务。具体医疗机构自行提供的诊疗、其独立病历，以及您直接使用的第三方产品，还适用其自身告知与规则。我们的服务条款约定商业与服务关系；本政策不代替特定用途的患者授权、医疗知情同意或适用医疗机构的《隐私惯例告知》（Notice of Privacy Practices，NPP）。阅读或接受本政策本身，不构成对所有医疗信息用途、对外分享、营销或研究的授权。

在代表受 HIPAA 覆盖的医疗机构或其他获授权委托方处理受保护健康信息（PHI）的服务中，Navelia 作为业务伙伴（Business Associate）或适用的下游业务伙伴，遵守适用于该角色的 HIPAA 隐私、安全和泄露通知义务，以及相关业务伙伴协议（BAA）。我们仅按该协议、合法指示及适用法律处理 PHI，不因本政策而取得独立销售、营销、研究或训练模型的权利。发生文件冲突时，适用法律和有效 BAA 对 PHI 的限制优先于一般网站表述。本政策不是将 Navelia 声明为医院或 HIPAA Covered Entity，也不是替委托医疗机构发布 NPP。

医疗健康信息具有敏感性，但某项数据是否属于 HIPAA 的 PHI，取决于其来源、持有方和具体服务关系，而非仅取决于其内容。免费咨询资料、一般网站访问资料或我们直接面向个人提供服务所取得的信息，不会仅因 Navelia 在其他服务中是业务伙伴，就自动成为 PHI。对于不属于 PHI 的个人信息，我们仍按本政策、实际承诺和适用隐私及消费者健康数据法律予以保护。我们会区分这些处理关系，不将业务伙伴身份用作排除其他适用义务的理由。

上表不是一次性收集全部信息的要求。我们按服务阶段取得必要资料，不因浏览网站就要求提供病历、护照、保险信息或详细健康史。公开免费咨询表单不接收医疗文件和详细病史；请在获授权的安全渠道提交。

信息可来自您本人、经核验的授权代表、获准提供资料的医疗机构或委托方，以及使用服务时产生的必要技术记录。我们也会生成病例整理与审核记录。提交他人资料前，您应有相应权限；亲属关系、替他人付款或知道病例编号不自动授予查询或决定权。如资料涉及家族成员，我们仅处理与当前服务必要相关的部分。发现误传、无权提交或错误归属时，请通知我们以便限制使用、核实与纠正。

我们为回复咨询、创建并保护账户、履行明确约定的服务、整理及翻译病例、检查缺项和矛盾、组织专业审核、执行已授权协调、核实费用及退款、处理纠错与投诉、预防滥用和履行法律义务处理信息。我们不会以“改善服务”为由无限扩张健康资料用途。PHI 的用途受 BAA 和委托方合法权限约束；其他信息按适用法律使用相应依据。需要敏感信息同意、对外分享授权或其他特定许可时，我们在有关处理前取得。若依法律允许在无同意情形下处理，我们仅限于该法律允许的目的和范围。

Navelia 平台服务器与由我们控制的业务数据存储设在美国。此安排涵盖平台主数据库、原始上传资料、病例处理及审核记录，以及由我们管理的备份、灾难恢复副本和含个人信息的日志。我们使用 AWS 提供云存储与 AI 服务，并要求有关配置符合美国区域的存储和处理限制；不将“账户在美国”或“入口在美国”视为所有处理均在美国的充分条件。

美国平台存储不表示信息从未被中国的获授权接收人查看或接收。下述中国远程访问、最小资料包，以及中国医院独立形成或依法保留的记录，具有另行说明的处理边界。中国运营合作方不因合作关系取得平台全部数据、备份或管理权限。

对涉及 PHI 的 AWS 服务，我们仅允许在适用 AWS BAA 的覆盖范围内使用具备相应 HIPAA 资格的服务和功能，并承担账户、权限、加密、日志、区域及数据流配置责任。具体存储产品、AI 服务、模型、处理区域及其他接收方应列入受控清单。服务商仅可在获准范围内提供服务，须受适当保密、用途、安全、事件报告及返还或删除义务约束。服务或子处理者变更如影响您的权利、处理地点或授权范围，我们按适用义务告知，并在需要时取得新的许可。

在已获准的服务中，AI 可协助文件提取、翻译、信息整理、摘要、缺项提示及草稿形成。我们限制发送给 AI 的资料，并在任务允许时减少身份字段。去除姓名或以编号替代身份，不当然等于完成 HIPAA 法定去识别化，相关资料仍按其实际敏感程度保护。AI 可能遗漏、误译、误关联或产生不准确内容；系统输出须完成适用人工与医生审核后，才可作为正式面向患者的交付。AI 不自主诊断、开药、决定治疗、保证医院接收或决定患者能否出行。

我们不将病例提交理解为对通用模型训练、微调、公共知识库、广告建档或公开病例的许可。核心服务中的推理、依法或依约进行的安全检测、我们保存的病例草稿及模型训练是不同用途；其数据范围、接收方和保存规则需分别管理。未经核实具体服务与模型，不承诺所有 AI 输入输出都“零留存”或绝无人审阅。对于模型改进、研究、教学、公开病例或营销等独立用途，需另行满足适用法律、委托方 BAA 权限和必要授权；单独勾选也不能突破 BAA 或法律限制。拒绝可选用途不会影响无关的基础服务。

为完成您选择且已授权的协调任务，中国合作方中的具名人员可以在权限范围内远程查看美国平台中的指定病例信息。权限按病例、角色、用途和有效期授予；访问记录可用于安全与合规核查。远程查看本身属于在中国访问和处理信息，即使原始数据仍存储美国。访问授权不包含任意批量搜索、下载、复制其他病例、共享账户或进入数据库与备份的权利。工作人员离岗、任务结束、授权到期或发生安全问题时，我们限制或撤销有关访问。

在具备合法处理权限和所需患者授权后，我们也可以向指定中国合作方或医疗机构发送完成具体任务所需的最小资料包。资料包应明确接收方、目的、选定字段或文件、传输方式、有效期、是否允许受控副本和处理后的返还或删除安排。可能内容包括用于专业预审的经复核病例摘要及相关检查，用于预约的身份核对字段，或用于已确认出行安排的必要联系与行程信息。不能因为一个环节需要某项信息，就向所有合作方开放全部病历。

接收资料包不同于仅远程查看，可能在接收方形成受控副本。未经任务级书面安排，不得建立中国镜像病例库、保留长期业务副本、转发至个人邮箱或聊天账户、上传未经批准的云盘或 AI、用于自主营销，或转交未列明的接收方。需要形成临时副本或医院法定记录的，必须在实际提供前告知相应范围与保留安排。单次授权不能自动延伸至新增医院、用途或资料范围。

我们将按任务减少数据作为对中国协调工作的运营控制。HIPAA 法定 minimum necessary 标准有适用边界和例外，不能表述为其在每一种治疗、个人访问或患者授权披露中均强制适用。即使特定 HIPAA 例外适用，我们仍按已告知的协调范围限制中国运营方访问。资料最小化不得以隐瞒必要病史、过敏或其他关键医疗信息为代价；接诊医生确需更多资料时，应重新确认接收方、必要范围和合法分享权限。

中国医院、医生、检验机构、保险和旅行服务方可能依据自身服务职责独立处理信息。中国运营合作方受托协助 Navelia 时，与医院独立诊疗时的角色不同；我们按实际关系确定委托、BAA 或其他分享文件，不把所有接收方一律称为 HIPAA 业务伙伴。中国医院开展诊疗可能依法在中国形成、保存和管理自己的医疗记录；这不属于 Navelia 美国平台的复制备份承诺。您可以向该机构行使适用权利，我们在权限范围内协助。不能保证第三方持有的信息始终受美国 HIPAA 保护。

我们可能在适用法律及 BAA 允许或要求的范围内向有权机关、专业法律及审计顾问或必要服务商披露信息，例如履行法定报告、处理有效法律程序、防止严重且迫近的伤害、核查安全事件或维护合法权利。我们核实依据和必要范围，并在法律允许及应当通知时提供通知。外国机关的请求本身不会自动产生任意披露权限。发生合并、重组或业务转移时，资料转移仍受适用法律、BAA、保密和用途限制约束，不因此成为可以自由交易的资产。

我们不出售病历或联系方式给广告商、数据经纪，不用病例内容建立广告画像，不因营销报酬决定临床审核结论，也不允许中国合作方将患者资料作为独立客户名单使用。服务必要的供应商处理不等于允许该供应商自用数据。公开患者故事、可识别照片、评价中的临床详情或教学材料须取得适当的单独许可。仅删除直接身份字段的资料仍可能可识别；匿名或去识别化的判断须符合实际适用标准，并受原有合同权限限制。

我们使用服务运行所必要的会话、安全与偏好技术。使用可选统计、广告、第三方嵌入或其他非必要技术前，应在适用技术清单中说明名称、提供方、用途、信息类别和有效期，并依法提供选择。我们不允许将病历、完整病例页面、健康表单输入或认证凭据发送给广告像素、未经批准的会话回放或公共分析服务。技术日志应减少医疗内容。是否识别特定浏览器隐私信号，须按适用法律及实际功能说明，不以本政策笼统代替配置。

已启用的服务通知应按实际用途发送，并尽量使用不含诊断或病历内容的提示，引导您进入安全患者端。选择营销通信与接收必要交易或安全通知是不同事项。请勿向公开表单、普通聊天或未经核验邮箱发送完整病历。若服务包含电话或视频及其录制，我们会在录制前说明是否录制、目的、参与方、保存及选择；不能仅因预约通话就推定您同意录制。录音内容和语音转写也属于本政策管理的信息。任何通信方式的可用性以实际提供的服务为准。

我们采用与信息敏感程度相适应的行政、技术与物理保护，包括按角色和病例限制访问、工作人员身份核验和多因素认证、传输及存储加密、受限文件链接、访问记录、安全监测、权限撤销和受控备份。上传资料需经过安全检查，未经许可的文件或内容可能被隔离或拒绝处理。有关措施应由持续的风险评估、人员培训、供应商管理及恢复验证支持。请保护账户、使用可信设备，并及时报告异常。任何系统均不能承诺绝对无风险；此说明不免除我们的法定或合同义务。

我们按信息类别、服务需要、委托方指示、适用法律及必要保留安排保存信息，期限不超过相应目的所必要的范围。未转为正式病例的免费咨询，从收到之日起 30 天后进入受控保留审查；这是审查时间，不是自动删除承诺。正式病例、医疗审核、财务、授权、审计和备份应分别适用已核定安排。不能将 HIPAA 对部分合规文件的六年要求误写为所有病历统一保存六年，也不能把系统默认归档参数当作法定保留期限。

关闭账户、取消订单或撤回特定同意，不自动删除依法或依有效 BAA 需要保留的资料。必要保留仅用于相应法律、安全、争议或服务目的，不得因此继续营销或未经授权的训练。期满后通过获授权流程删除、返还或按适用标准去识别化；备份按受控周期退出。备份中的待删除信息不得回流至日常使用。正式发布时，分类保留表将载明期限或明确确定标准、起算点与备份处理安排。

依据适用法律和数据关系，您可以请求了解、查阅或复制信息，更正错误，删除或限制部分处理，撤回同意或授权，反对特定处理，以及在适用时获得可携副本或对决定提出申诉。我们会进行合理身份和代理权限核验；核验不得成为无合理理由的拖延。对因安全或法律原因不能通过门户直接展示的信息，我们按适用程序处理请求，而非仅因它是“内部记录”就一概拒绝。拒绝全部或部分请求时，说明适用理由及可用复核途径。

病例请求请优先使用已认证患者端；无账户、无法登录或免费咨询者可通过正式公开的隐私联系方式提出请求，无须重新购买服务。请先提供足以定位请求的非临床信息，不要在首次普通邮件中附病历。我们按照适用时限处理；需合法延长时告知理由和预计完成时间。不同法律请求的时限不同，不将“30 天”当作所有权利的统一期限。

对我们代表受覆盖机构保存的 PHI，该机构的 NPP 与 BAA 决定请求由谁办理；Navelia 根据职责直接协助或及时转交，不通过转交重置法定时间。有关权利可能包括指定记录集的访问及副本、更正、在适用范围内的披露清单、特定使用限制、保密通信、取得 NPP 及投诉。HIPAA 访问请求通常须在收到后 30 个日历日内处理，符合条件且事先书面说明时可延长一次、最多 30 日；适用更短时限的法律仍须遵守。其他权利有独立规则，披露清单也不等于全部技术审计日志。HIPAA 本身不赋予无条件删除所有病历的权利。

您可以按照授权文件中的方法撤回。我们记录生效时间、停止权限范围内尚未发生的相关处理，并通知应采取措施的受托方。撤回通常不影响此前基于有效权限已经进行的处理，也不能保证收回已合法交付给医院并必须保留的记录。如果某项分享是特定协调服务所必需，我们说明受影响的具体步骤和可行替代安排；拒绝分享不会被视为同意，也不会自动失去无关服务或既有资料访问权。依法或依 BAA 必须保留、报告或处理的事项另行说明。

家属或其他代表仅能在核验后的授权范围内提交、查阅或接收资料；我们会区分联系、代办、付款、同意分享与医疗决定权限。代理权限的变更、到期及撤回需及时通知。一般患者账户面向具备签约能力的成年人；为未成年人或无完全决定能力者提供任何个案服务前，须单独确认是否可承接、适用法律和有效监护或代表权限。不能以网页的一般说明推定已接受儿科或监护业务。对法律允许自行同意特定服务的未成年人，按该法律限制代理访问。

美国存储与 HIPAA 业务伙伴安排不排除其他适用法律。若信息来自适用 EEA/英国规则的处理活动，或在中国访问、使用、形成或重新向美国提供，我们按实际主体、地点、信息及行为确认所需依据、告知、保障和授权。受适用美国州隐私或消费者健康数据法律保护的信息，还可能享有额外权利；如需独立消费者健康数据政策，我们另行提供。任何同意、BAA 或最小信息协议均不能授权法律禁止的交易或访问。对无法合法完成的分享，我们暂停该步骤并说明与您服务有关的影响。

发现可能影响个人信息的事件后，我们按职责采取遏制、调查、保全必要证据和补救措施。涉及受托 PHI 时，按适用 BAA 和法律无不合理延迟地通知委托方，并协助识别影响范围及完成所需通知；向个人或监管机构的通知由依法负责的一方或获授权的我们完成。适用 HIPAA 的通知上限不能被理解成可以无故等到最后一天，且合同或其他法律可能要求更早处理。依法应向您通知时，会说明事件、涉及的信息类别、已采取措施、您可采取的步骤和联系方法。提出隐私投诉或行使权利不会导致报复。

正式政策载明生效日期和版本。重要变更通过适当渠道说明；用途、接收方或其他事项变化需要重新授权时，我们先履行相应程序，不以继续浏览代替特定健康信息授权。中英文版本旨在表达一致的权利和义务；出现影响权利的歧义时，我们提供解释并遵守适用强制性法律。您可通过患者端隐私请求入口或正式公开的隐私联系方式联系我们，也可向有关委托医疗机构及适用监管机关投诉。正式发布版本应补齐美国运营主体识别信息、公开邮寄地址、隐私邮箱、无法登录者的请求方式，以及适用 NPP 的获取入口。