隐私与数据说明
最后更新：2026-11-12
⚠️ 本工具为文书辅助工具，不用于诊断、分诊或治疗决策。请勿在本系统中录入超出文书生成所必需的患者身份信息。所有病历内容须经执业医师审核签署后方可使用。
一、我们处理哪些信息
- 录音音频：您主动录制或上传的问诊音频，用于当次语音转写。此外，为支持「溯源核对·回听此处」，本机浏览器会留存最近 5 条问诊录音、且超过 7 天自动删除——这部分只存在您自己的设备上，不上传服务器、不参与账号同步、换设备不会带过去。
- 对话文字：您粘贴或输入的问诊内容，以及转写得到的文字，仅用于当次文书生成。
- 技术日志：为保障安全与排障，系统记录审计日志（事件类型、时间、数据规模等元数据），不记录音频内容。
- 浏览器标识：为提供试用额度管理，系统为本浏览器签发随机令牌（不包含个人身份信息）。
二、数据如何流转
- 音频与文字通过加密连接（HTTPS）传输到本站自建服务器。
- 音频原文出站明示（2026-11-12 更新）：为完成语音转写，服务器会把问诊音频原文通过加密连接调用阿里云智能语音服务（阿里云计算有限公司）进行识别，识别得到的文字仅在脱敏后才会用于后续文书生成；音频本身不做长期存储，转写完成后即释放。配套的图片识别（检验单/报告照片）同理：图片原文交由阿里云视觉智能服务识别。私有化部署场景可用
EGRESS_MODE=local-only 一键阻断全部云端出站（此时语音/图片识别需自行接入本机模型）。
- 为完成转写与文书生成，服务器会将脱敏后的文字内容调用大模型接口（默认为阿里云百炼服务）。
- 发送前系统自动脱敏：中国大陆手机号、身份证号、座机号、门诊号/病历号等敏感字段会被替换为占位符。
- 「医患分角色整理」与病历生成一样，均在脱敏后的文字上进行；临床计算器为纯本机计算，数据不上传。
- 服务器端的录音临时数据不做长期存储；生成完成后即释放。
- 本机留存的录音（见第一条）：存储在您设备的浏览器 IndexedDB 中，最多 5 条、超过 7 天自动删除；「本地设置」面板可查看占用并一键清除，登出账号时也会询问是否清除。
- 共用设备请特别注意：同一浏览器打开本系统的任何人（包括下一位使用者）都能看到这些录音的存在并点开回听，直到被自动清理或您手动清除。共用电脑建议每次用完清除录音，或改用个人手机。
三、您的控制权
- 生成的病历草稿由您自主编辑、复制与删除；
- 如需清除本机留存的问诊录音，请打开「本地设置 → 本机留存的就诊录音 → 清除本机全部录音」（推荐，干净彻底）；也可清除浏览器站点数据一并清除；
- 如需清除本浏览器的试用令牌，清除浏览器站点数据即可；
- 机构管理员可通过系统设置关闭云端调用或调整脱敏策略。
四、免责与合规提示
- 本系统是开源文书辅助软件，不是医疗器械，未经过任何临床验证或监管认证；
- AI 可能出错，生成内容仅供起草参考，必须由执业医师审核修改并签署；
- 机构在生产环境使用前，应依据《个人信息保护法》《数据安全法》及医疗卫生相关规定完成合规评估；
- 严禁录入法律法规划定需特别保护的数据类别，除非您所在机构已完成相应合规流程。