数据处理条款(DPA)

本条款描述兰杉居家康复(以下简称"兰杉")作为数据处理方,在为你提供服务时如何遵循数据主权、最小必要、可撤销等原则。本条款是《隐私政策》的补充细化,面向合作方(AI 平台、加盟商、企业客户)与关注数据主权的高级用户。

一 · 定义

• 用户 · 兰杉小程序的家属、长者、训练师及授权 AI 平台的最终用户
• 个人信息 · 姓名、手机号、身份证、家庭住址、健康数据等
• 敏感个人信息 · 生物识别信息、健康档案、AFI 评估结果、生命体征等
• 脱敏数据 · 去除身份证/手机号/家庭住址 · 姓名仅保留姓氏首字的数据
• 数据处理 · 收集、存储、使用、加工、传输、提供、公开等操作

二 · 数据处理原则

2.1 用户主权(Data Sovereignty)

2.2 最小必要(Minimum Necessary)

• 只收集完成服务所必需的信息
• AI 授权的 scope 分级 · 用户明确开哪一项才导出哪一项
• PII 与健康数据分表存储 · 不必要的字段不出口给 AI 平台

2.3 目的限定(Purpose Limitation)

• 数据只用于完成用户委托的服务
• 不用于广告投放、精准营销、数据出售
• 研究用途需去标识化 · 聚合后可发布行业报告

2.4 可审计(Auditability)

• 每一次数据访问 · 无论内部员工还是 AI 平台 · 均留操作日志
• 用户可查看关于自己的所有历史访问记录
• 审计日志保留 2 年

三 · 数据分级

P0 · 严格保密

• 身份证号 · 手机号 · 家庭住址 · 紧急联系人电话
• 存储 · AES-256-GCM 加密 · 密钥 KMS 托管
• 访问 · 仅业务代码基于用户请求解密 · 加盟商/训练师看到的是脱敏后的联系方式(遮盖中间 4 位)
• 出口 · 永不出口 AI 平台 · 不出口跨境

P1 · 敏感个人信息

• AFI 评估答题 · 综合分 · 处方 · 训练历史 · 生命体征
• 存储 · 传输 TLS · 数据库连接 SSL
• 访问 · 家属和长者 · 该家庭的训练师和加盟商 · 授权的 AI 平台(经 OAuth)
• 出口 · AI 平台在授权 scope 内可读 · 不含 P0 数据

P2 · 一般个人信息

• 姓氏首字 · 年龄段 · 家庭关系(child/spouse/parent 等标签)
• 脱敏后不构成可识别个人 · 用于 AI 平台的家庭视图

P3 · 匿名聚合

• 加盟商 KPI · 全国 AFI 阶段分布 · 训练依从率等
• 无法回溯到任何个人

四 · AI 平台数据处理协议

4.1 AI 平台的义务

你使用兰杉授权的 AI 平台前 · 该 AI 平台已与兰杉签署合作协议 · 承诺:

• 不将从兰杉获得的数据储存在自己的服务器(仅在会话上下文中使用)
• 不将数据用于训练自己的模型
• 不将数据出售或共享给第三方
• 接受兰杉的定期审计
• 发生数据泄露必须在 24 小时内通知兰杉

4.2 兰杉的义务

• 只审核并接入符合上述条件的 AI 平台
• 发现违规立即禁用该 AI 平台(hq-admin 一键停用 · 已建成)
• 建立异常检测(高频调用 · 跨地区异常访问)
• 用户端提供撤销入口 · 撤销后立即失效

4.3 用户的选择

• 你可选择完全不授权任何 AI 平台 · 兰杉核心功能不受影响
• 你可选择只授权部分 scope · 例如只开 read:afi 不开 read:vitals
• 撤销授权后 · 该 AI 平台无法再读取任何数据 · 已获取的数据由 AI 平台按其自身条款处理(兰杉推动其立即销毁)

五 · 加盟商数据处理

5.1 加盟商能访问

• 归属自己的家庭的完整档案(为完成上门服务)
• 下属训练师的排班和执行数据
• 结算和分账明细

5.2 加盟商不能

• 访问其他加盟商的数据(平台强制隔离)
• 将数据外发或备份到本地
• 与其他机构共享(需经兰杉审核)

5.3 数据交接

• 加盟商合作终止时 · 该加盟商下的家庭档案迁移到兰杉总部或指定新加盟商
• 加盟商需在 30 天内销毁所有本地副本

六 · 数据跨境

七 · 数据泄露应急

如发生数据泄露 · 兰杉承诺:

1. 发现后 24 小时内 启动应急响应
2. 72 小时内 通知网信办及受影响用户(如可能造成较大风险)
3. 启动溯源、堵漏、追责流程
4. 为受影响用户提供必要补救(如强制换 openid · 冻结账户 · 免费法律咨询)

八 · 用户导出与删除

8.1 数据可携权

• 你可发邮件至 youzhaiyang@guri.cc 申请导出完整数据
• 兰杉在 5 工作日内以 JSON 格式发送(不含加密后的 P0 字段 · 只发解密后的可读版)
• 格式遵循开放标准 · 便于你迁移到其他平台

8.2 删除请求

• 用户主动注销账户 · 兰杉 6 个月内保留数据(供咨询、争议解决)· 满 6 个月匿名化
• 如你要求立即删除 · 兰杉在 30 个工作日内完成(法律强制留存的除外)
• 已授权的 AI 平台会同步接收撤销通知

九 · 审计

9.1 用户端审计

• 你可在"我的 → AI 授权管理"查看每一次 AI 调用记录
• 包括时间 · endpoint · 状态码 · 授权的 scope

9.2 内部审计

• 兰杉每季度进行内部数据合规审计
• 年度接受第三方数据安全评估
• 报告不对外公开 · 但接受监管机构调阅

十 · 联系与投诉