长护险台账的数据与合规声明

以下四项为产品设计边界：不接入医保基金结算，不做人脸识别与轨迹追踪，不代办失能等级评估，机构数据相互隔离。相关依据来自《个人信息保护法》与医保部门定点管理、评估管理有关规定。

四条边界

不做	为什么	对应条款
不接医保基金结算	本系统只做机构侧自主留痕，不接入医保基金结算、不代机构申报基金。基金的支付对象与结算主体是定点机构与经办机构，我们不进入这个环节。	21号第32条
不做人脸识别	人脸属敏感个人信息，且护理员为员工，采集生物识别信息需单独同意。我们改用服务对象或家属扫码确认 + 时间戳，效果几乎不损失，合规负担大幅下降。	个保法第28–29条
不做持续轨迹追踪	定位仅在打卡瞬间取点，不记录行程轨迹。行踪轨迹同样是敏感个人信息。	个保法第28条
不代办评估、不承诺结果	不代提交失能评估申请，不承诺评估等级，不介入待遇认定。评估申请主体是参保人或其监护人、委托代理人，机构不是申请主体。	29号第3、19条

存储位置

境内服务器，不跨境传输

机构隔离

多租户硬隔离，机构间数据不可见、不可查、不交叉

照片处理

默认脱敏存储，设置生命周期自动清理，不留原始大图

可用于训练？

不用于任何模型训练

审计日志

谁在什么时间看了哪条记录，全程留痕

数据归属

归机构所有。终止服务时可导出全量数据并删除

服务记录生成后时间戳不可修改，补证仅能追加说明，不改写原始记录。医保办发〔2024〕21号第 40 条第（九）项将“以伪造或者变造的护理服务记录、账目、费用单据、上传数据进行结算”列为解除协议情形。

场景	做法
采集范围	最小必要：服务对象姓名、服务项目、时间、时长、确认方式。不采集身份证号、病历、诊断。
员工信息	护理员实名信息用于第 19 条要求的实名制管理，范围限于执业资质与身份核验必需项。
敏感信息	不采集生物识别信息、行踪轨迹、医疗健康信息。如客户确有需要，须另行取得单独同意并提供替代方案。
共享	不向第三方提供。仅在机构授权并配合监管检查时，由机构自行导出提供。

本页为产品合规说明，不构成法律意见。机构作为个人信息处理者，仍应自行履行告知同意、内部管理制度等法定义务。

核验日期 2026-10-17。