隐私政策

根据欧盟2016/679号条例（GDPR）第13至14条作出的告知。最后修订：2026年10月16日。

1. 数据控制者

数据控制者为 Ri-Hub S.r.l. Società tra Professionisti，注册地位于意大利。如需行使GDPR项下的权利或提出任何请求，请发送邮件至 privacy@ri-hub.it。

数据保护官（DPO）。我们正在与律师评估是否任命数据保护官（GDPR第37条）。在此期间，如对您的数据有任何疑问，请发送邮件至 privacy@ri-hub.it：将由数据控制者直接答复您。

Legal identification: Ri-Hub S.r.l. Società tra Professionisti — Registered office: Corso Assarotti 19/1, 16043 Chiavari (GE), Italy — VAT/Tax ID (P.IVA/C.F.): 02992670998 — REA GE-525421 — Share capital: €10,000 fully paid up — PEC: ri-hub@pec.it

2. 健康数据的处理（GDPR第9条）

Ri-Hub 是一个在线物理治疗平台：在您使用本服务的过程中，我们收集并处理与健康相关的数据（属于GDPR第9条规定的特殊类别），主要包括：病史采集问卷的回答、疼痛等级、症状描述、治疗目标、治疗方案。视频问诊为实时进行，不以任何音频或视频形式录制或保存。

法律依据。我们处理您的健康数据是为了为您提供治疗（评估、治疗课程、治疗计划、与物理治疗师的消息往来），因为这是您向我们申请的医疗服务所必需的，并由负有职业保密义务的专业人员负责（GDPR第9条第2款(h)项及第3款）。依照意大利数据保护机构的指引（2019年3月7日第55号决定），我们不会为此类处理向您征求隐私同意：您在治疗课程前签署的知情同意书针对的是您接受治疗的决定，而非数据的使用。任何不用于为您治疗的数据使用（例如第5.2节所述的广告活动衡量），都只有在获得您明确且单独的同意（GDPR第9条第2款(a)项）后才会进行；该同意是自愿的，可随时撤回，且不会对您的治疗产生任何影响。没有治疗所需的数据，就无法提供该服务。

远程医疗。线上治疗课程遵循意大利《远程医疗服务提供国家指引》（2020年12月17日国家—大区协议）以及卫生部长2022年9月21日法令（远程医疗服务指南）。在处理健康数据时，我们遵守意大利数据保护机构2019年3月7日第55号决定。

禁止传播和二次使用。健康数据仅用于每位患者的治疗、诊断及康复过程管理。除第6节明确列出的授权方（指定的物理治疗师以及被指定为数据处理者的技术提供商）外，Ri-Hub 不会向第三方传播、转让、出售或提供健康数据。临床内容（病史、疼痛、症状、治疗计划、治疗课程、消息）绝不用于广告、用户画像或营销目的。为衡量我们的广告效果，我们只会在获得您明确且单独的同意后，使用您已预约或已完成就诊以及您首次购买这一事实，并按照第5.2节所述传送给 Google Ads。

数据存放在哪里。我们保存的健康数据（问卷、病历、治疗计划、消息）存放在位于欧洲经济区（EEA）的云基础设施上，传输中（TLS 1.3）和静态存储时均经过加密。而视频治疗课程的音频和视频则实时经过视频通话提供商的服务器，这些提供商是总部位于美国的公司（第6节）：这些音视频不会被录制或保存，但无法排除这些数据被传输至欧盟以外的可能。其他欧盟以外的提供商（例如负责支付的 Stripe）只处理行政和会计数据，从不处理健康数据，其依据是欧盟委员会批准的标准合同条款（GDPR第46条）。

职业保密义务。访问健康数据的物理治疗师均为在册执业人员，依据意大利刑法典第622条、意大利刑事诉讼法典第200条以及职业道德守则负有职业保密义务。健康数据的访问仅限于被分配的患者（最小化原则，GDPR第5.1.c条），并记录于不可篡改的审计日志中。

假名化与最小化。在技术可行的情况下，健康数据在应用层进行假名化或加密处理。供内部使用或提供给签约诊所/企业的统计数据仅以匿名和聚合形式提供，无法重新识别单个患者。

3. 处理的个人数据类别

身份识别数据：姓名、税号、出生日期、地址、联系方式。
身份证件（影像件）。
认证凭据：电子邮箱、以哈希形式存储的密码、通过OAuth登录时的Google令牌。
健康数据：病史采集、疼痛、症状、治疗方案、评估问卷结果。视频问诊不进行录制。
支付数据：由Stripe服务商管理（我们不存储银行卡数据）。
技术数据：IP地址、访问日志、设备标识符（如安装了Capacitor）。
使用数据（浏览的页面、点击的按钮），与浏览器的随机标识符相关联：仅在您接受统计分析 Cookie 的情况下。
广告来源数据：ri_utm Cookie 中的来源、推广活动和点击标识符（例如 gclid、fbclid）（第5.4节）。
Google 广告的点击代码，用于广告活动测量：gclid、gbraid 或 wbraid，仅在您通过 Google 的某个广告来到我们这里、并给予了第5.2节所述的明示同意时，才会发送至 Google Ads。绝不包括电子邮箱、电话、姓名或健康数据。

4. 处理目的

提供在线物理治疗服务（依据：合同；对于健康数据，为负有职业保密义务的治疗目的，GDPR第9条第2款(h)项及第3款，第2节）。
行政与会计管理（依据：法定义务）。
应用安全、欺诈预防与诊断（依据：合法利益）。
服务通知及预约相关通知（依据：合同）。
营销和新闻通讯仅在您于注册阶段单独表示同意时进行（依据：可随时撤回的同意）。
网站和应用的使用统计（统计分析），仅在您接受统计分析 Cookie 的情况下进行（依据：同意，可随时通过“管理 Cookie”链接撤回）。
通过 Meta 和 TikTok 的像素，衡量网站上不涉及健康内容的页面的访问情况，仅在您在 Cookie 横幅中接受了“营销”类别的情况下进行（依据：同意，可通过“管理 Cookie”链接撤回，见第5.1节）。我们不会从应用向像素发送任何事件。
我们的服务器向 Google Ads 衡量免费问诊的预约及完成情况，以及首次购买情况，仅在您通过 Google 广告来到我们这里、并在应用内给予了明示的可选同意的情况下进行（依据：同意，包括根据第9条作出的明示同意，见第5.2节）。
关于网站和应用访问量的聚合、匿名内部统计，以便了解访客来源（无需同意，不构成个人数据处理，见第5.3节）。

5. 广告及广告活动的测量

本节将与我们的Cookie政策分开说明：我们使用哪些工具来了解广告是否有效、基于何种同意、发送何种数据以及发送给谁。各项Cookie清单（名称、有效期）请参阅我们的 Cookie政策。

5.1 网站上的 Meta 和 TikTok 像素（仅在横幅中给予“营销”同意，且仅限于不涉及健康内容的页面）

在 ri-hub.it 网站上，我们仅在您于 Cookie 横幅中接受了“营销”类别时，并且仅在不涉及健康内容的页面上，加载 Meta（Meta Platforms Ireland Ltd.）和 TikTok（TikTok Technology Limited）的像素：首页、关于我们、运作方式、服务形式与价格、加入我们、联系方式以及法律页面。在这些页面上，我们向像素仅发送页面访问，不发送任何其他事件；涉及健康内容的页面（文章、病症、练习、服务、创作者页面以及其他所有页面）不会向 Meta 或 TikTok 发送任何内容。如果您选择“仅必要”，或在自定义时排除“营销”，像素将不会加载。我们不会从应用向 Meta、TikTok 或 Google 的像素发送任何事件，连页面访问也不发送；网站上也不使用 Google Ads 像素。这些像素仅用于衡量我们广告的效果：我们不会用它们向您展示第三方个性化广告，也不会为衡量以外的目的对您进行画像。

法律依据：您的同意（GDPR第6条第1款(a)项），您可随时通过每个页面底部的“管理 Cookie”链接自由撤回，且不影响撤回前已进行之衡量的合法性。向欧盟以外地区的传输：Meta 也依据EU-US Data Privacy Framework在美国处理这些数据；TikTok 依据标准合同条款（GDPR第46条）进行传输，但其像素收集的数据也可能被从中国访问（见第6节）。

5.2 我们的服务器向Google Ads的测量（在应用内给予的特定可选同意）

对于三个真正重要的时刻——免费问诊的预约、实际完成的问诊和首次购买——我们的服务器可以将这一事实告知 Google Ads（Google Ireland Limited），以便平台了解哪些广告带来了真实的结果，而不仅仅是一次点击。只有在两个条件同时满足时我们才会这样做：您是通过点击 Google 广告来到我们这里的（最多在90天之前），并且您在应用内给予了明示、具体且可选的同意——注册时（或在初始问卷中）一个未预先勾选的复选框，或一个您可以随时在应用隐私设置中打开或关闭的开关——与 Cookie 同意相互独立。如果您不是通过 Google 广告来的，即使您已给予同意，我们也不会发送任何内容。Meta 和 TikTok 不会从我们的服务器接收任何事件。

我们发送的内容（仅限必要内容）：将您带到我们这里的 Google 广告的点击代码（gclid、gbraid 或 wbraid：Google 为该次点击生成的代码，用于将事件与广告关联）；该事件对应三个时刻中的哪一个；日期和时间；一个仅用于避免同一事件被重复计算的随机代码；对于首次购买，发送实际支付的金额（对于已完成的问诊，我们使用一个对所有人都相同的固定约定数值）。此外，我们会告知 Google，这些数据不得用于个性化广告。我们绝不会发送：您的姓名、电子邮箱或电话（即使是加密形式也不发送）、您的 IP 地址、有关您健康的数据、治疗或消息的内容。子女档案（Ri-Hub Junior）绝不会产生这些事件，无论家长账户的同意情况如何。

法律依据。此项处理基于您的同意（GDPR第6.1.a条）；由于您已在某物理治疗平台预约或完成问诊这一事实本身就可能揭示有关您健康状况的信息，我们还依赖特殊类别数据所要求的明示同意（GDPR第9.2.a条）。您可以随时在应用隐私设置中撤回此同意：自撤回之时起，将不再发送任何新事件，且已在等待发送的事件将被取消。

发送记录的保存。点击代码由我们在发送时从与您账户一同保存的来源信息中获取（见第5.4节）。若某事件在6天内未能发送，将被取消。关于已发送内容的记录——平台、事件类型、日期、结果、发送了哪些字段（绝不记录具体值）——将被保存，以便证明发送符合您所给予的同意，其保存期限与第8节所述的账户数据相同。

5.3 匿名访问计数器（无需同意）

我们还会对网站和应用的访问量进行内部计数，以了解有多少人来访、来自哪个渠道以及哪个广告活动，且不识别任何个人身份：不使用Cookie，不保存IP地址，不使用任何个人或设备标识符。我们仅按天（罗马时区）、网站、渠道、广告活动、广告及页面类型统计汇总数字——例如"周二来自广告活动X的230次访问"。IP地址仅在瞬间被用于计算一个技术指纹，以防止异常请求流被多次计数，且绝不会被保存。由于这不构成个人数据处理，该计数器无需同意：其目的纯粹是出于Ri-Hub内部统计。

5.4 您的来源（`ri_utm` Cookie）

当您通过广告或带有广告活动参数的链接到达时，我们会记住您此次到达的来源、媒介、广告活动和点击标识符（例如 gclid、fbclid、ttclid）。仅在您于 Cookie 横幅中接受了“统计分析”或“营销”类别时，我们才会将其保存在名为 ri_utm 的第一方 Cookie 中，最长90天，该 Cookie 由 ri-hub.it 与 app.ri-hub.it 共用；如未获同意，这些信息仅在您访问期间保存在浏览器标签页的内存中，绝不会变成 Cookie。如果您撤回这两项同意，该 Cookie 将被删除。这一规则同时适用于网站和应用。我们借此了解是哪个广告渠道把您带到我们这里，即使您在几天后才注册或预约。当您注册或预约时，您此次访问的来源会与您的账户一同保存，用于我们关于哪些渠道有效的内部统计；Google Ads 只会收到点击代码，并且仅在第5.2节规定的条件下。

6. 数据接收方与外部数据处理者

以下列出的所有各方均已通过专门合同被指定为GDPR第28条规定的数据处理者。此名单以外的任何人都无法访问您的数据。所保存的健康数据仅供指定的物理治疗师访问；视频通话提供商实时传输治疗课程的音频和视频，但不保存；其他所有提供商只处理纯技术或行政数据。

签约物理治疗师：仅可访问被分配患者的健康数据以提供服务。其均为在册执业人员，依据意大利刑法典第622条负有职业保密义务。任何物理治疗师不得查看未被分配给本人的患者的数据。
欧盟云托管（位于欧洲经济区的数据中心）：应用基础设施和数据库，健康数据保存在此。传输中采用 TLS 加密，存储卷采用静态加密。
Stripe（爱尔兰 + 美国）：支付管理。仅处理行政数据（金额、电子邮箱、开票信息）。绝不处理健康数据。任何欧盟外传输均基于GDPR第46条标准合同条款。
Google LLC：仅在您使用Google账户登录（OAuth范围限于电子邮箱+个人资料）或物理治疗师启用了自己的Google日历同步功能（范围 calendar.events，读写权限仅限于Ri-Hub创建的事件）的情况下使用。绝不涉及患者的健康数据。任何欧盟外传输均基于标准合同条款。
PostHog（欧盟云，eu.i.posthog.com）：网站和应用的使用统计，与浏览器的随机标识符相关联，仅在您于 Cookie 横幅中同意“统计分析”后进行。已关闭会话录制（session replay）；我们要求不在事件中保存 IP 地址。从不涉及健康数据。
Brevo (Sendinblue)：发送事务性邮件和新闻通讯。服务器位于欧盟。仅处理电子邮箱+姓名。
LiveKit（LiveKit, Inc.，美国，LiveKit Cloud 服务）：目前是视频治疗课程的主要提供商。其服务器实时转发物理治疗师与患者之间的音频和视频，传输中经过加密，通常经由离参与者最近的服务器。视频治疗课程不会被录制或保存。
Twilio（Twilio Inc.，美国）：当我们的 LiveKit 套餐所含月流量用尽时，通过 Twilio Video 提供备用视频治疗课程，保障措施相同（传输中加密，不录制）；发送服务类 WhatsApp 消息，例如预约提醒。LiveKit 和 Twilio 均总部位于美国：我们无法排除治疗课程的音频、视频和技术数据经过美国或可从美国访问的可能。我们正在与两家提供商核实服务器所在区域以及传输的保障措施（数据隐私框架或标准合同条款，GDPR第45—46条）。
Apple Inc.（美国）：仅在您通过"Sign in with Apple"使用Apple ID登录时使用。仅处理Apple标识符 + 电子邮箱（可选匿名relay）。绝不涉及健康数据。任何欧盟外传输均基于标准合同条款。
Firebase Cloud Messaging（Google LLC，美国）：用于Android和iOS应用上的推送通知。仅处理不透明的设备token。payload中绝不包含健康数据。任何欧盟外传输均基于标准合同条款。
MinIO（自托管对象存储，欧盟区域）：保存已签署的知情同意文件（PDF + 身份证正反面）。Ri-Hub内部服务器，访问权限仅限于授权技术人员和被分配的物理治疗师。卷级静态加密。
Ri-Hub内部CRM（自托管欧盟服务器，域名 crm.ri-hub.it）：患者档案管理系统，仅供受职业保密义务和保密协议约束的Ri-Hub临床/行政人员访问。接收事件的自动同步：注册、已预约的问诊、已签署的同意、购买疗程、已完成疗程。
Calendly（美国）：仅在物理治疗师为同步Ri-Hub之外的可用时段而连接其Calendly账户时使用。仅处理时段元数据（日期/时间），不处理任何临床数据。任何欧盟外传输均基于标准合同条款。
Google Analytics 4（Google LLC，美国）：聚合使用指标，仅在通过Cookie横幅取得明示同意后使用。IP匿名化处理，广告个性化默认关闭。绝不涉及健康数据。标准合同条款。
Ahrefs Web Analytics（Ahrefs Pte. Ltd.，新加坡）：统计网站页面的访问量及其来源，仅在 Cookie 横幅中同意“统计分析”后进行。根据我们的检查，它不会在设备上写入 Cookie，但会接收访问的技术数据（页面、来源网站、IP 地址）。从不涉及健康数据。依据标准合同条款向欧盟以外传输（GDPR第46条）。
Meta Platforms Ireland Ltd.（爱尔兰 + 美国）：网站上的广告像素，仅在通过 Cookie 横幅给予“营销”同意时，且仅限于不涉及健康内容的页面，从这些页面仅接收页面访问。用于衡量 Facebook 和 Instagram 上广告的效果。不会从应用或我们的服务器接收任何事件（见第5.1节、第5.2节）。绝不涉及健康数据。向欧盟以外地区的传输依据 EU-US Data Privacy Framework。
TikTok Technology Limited（爱尔兰）：网站上的广告像素，仅在通过 Cookie 横幅给予“营销”同意时，且仅限于不涉及健康内容的页面，从这些页面仅接收页面访问。不会从应用或我们的服务器接收任何事件（见第5.1节、第5.2节）。绝不涉及健康数据。向欧盟以外地区的传输依据标准合同条款；这些数据也可能被 TikTok 集团人员从中国访问：2025年5月，爱尔兰数据保护机构（Data Protection Commission）正是因为此类传输对 TikTok 处以5.3亿欧元罚款。
Google Ireland Limited — Google Ads：仅针对通过 Google 广告到达、并在应用内给予了明示可选同意的人，从我们的服务器接收免费问诊预约、问诊完成和首次购买事件：广告的点击代码（gclid、gbraid 或 wbraid）、事件类型、日期，以及对于已完成的问诊和首次购买，一个以欧元计的数值；绝不包括电子邮箱、电话、姓名、健康数据或治疗与消息的内容。我们在网站上不使用 Google Ads 像素，也不会从应用向其发送事件。向欧盟以外地区的传输依据 EU-US Data Privacy Framework。详情：见第5.2节。

7. 您的权利（GDPR第15至22条）

您有权：访问您的数据、更正您的数据、请求删除（"被遗忘权"）、限制处理、以可携带格式接收、反对处理、随时撤回所作出的同意（包括分析类Cookie和营销同意），以及在应用内给予的广告活动测量特定同意（见第5.2节），且不影响撤回前基于同意所进行处理的合法性。

您还可以向意大利个人数据保护局（Garante）提起申诉（www.garanteprivacy.it）。

如需行使权利，请发送邮件至 privacy@ri-hub.it。从应用中注销账户将在30天内删除个人数据；出于税务和合同义务，部分记录（如开票、预约）将以假名化形式保留至法律规定的期限。

8. 保存期限

账户和健康数据：在整个服务关系存续期间以及关系结束后最长10年内保存。原因是保护您和我们的权利：10年是意大利法律规定的普通诉讼时效（意大利《民法典》第2946条），在此期间可就医疗服务提出可能的索赔（第24/2017号法律）。税务和会计文件按法律规定的期限保存。
认证令牌：刷新令牌于每次访问时更新，最长有效期为365天不活跃。
统计分析数据（PostHog）：12个月。
安全技术日志：6个月。
广告活动测量（见第5.2节）：6天内未发送的事件将被取消；关于发送了什么、何时发送以及结果如何的记录（绝不记录具体值）与本表中的账户数据保存期限相同。
ri_utm 归因Cookie（见第5.4节）：90天。
匿名访问计数器（见第5.3节）：按天汇总的计数，不含任何个人数据；由于不构成个人数据处理，不适用保存期限。

9. 安全措施

我们根据GDPR第32条采取与风险相适应的技术和组织措施：

传输中加密：在应用/网站与后端之间的所有连接强制采用TLS 1.3，无任何明文通信。
静态加密：存放健康数据的卷在磁盘层加密；OAuth令牌及更敏感的数据在应用层进行额外加密。
认证：使用SHA-256哈希并自动轮换的刷新令牌；密码绝不以明文存储（采用PBKDF2/argon2标准算法进行哈希）。
广告活动测量中的数据最小化：我们只向 Google Ads 发送广告的点击代码，绝不发送电子邮箱、电话或姓名，即使是加密形式也不发送（见第5.2节）；我们不会从服务器或应用向 Meta 和 TikTok 发送任何内容。
访问控制（RBAC）：患者 / 物理治疗师 / 管理员角色相互独立，遵循最小权限原则；物理治疗师仅可查看分配给本人的患者数据。
审计日志：对健康数据的访问进行不可变的记录，出于安全目的保存6个月。
备份：加密、版本化的备份，存储于欧盟区域，并定期进行测试。
欧盟境内存放：我们保存的健康数据存放在位于欧洲经济区的云基础设施上。视频治疗课程的音频和视频实时经过视频通话提供商（第6节），不会被保存。
服务商安全标准：所使用的托管和云供应商均通过ISO 27001 / SOC 2认证并符合GDPR要求。
培训与流程：员工接受隐私+安全培训；制定数据泄露管理计划，包括72小时内向Garante通报（GDPR第33条）以及在高风险情况下通知数据主体（第34条）。

10. 未成年人

未成年人不能自行创建Ri-Hub账户：账户始终属于成年人。行使父母责任的父母、法院指定的监护人或寄养监护人可以在自己的账户中添加未成年子女的档案，该子女将按照Ri-Hub Junior格式接受照护。

在首次治疗前，父母需在应用内代表子女签署物理治疗知情同意书，以及一份替代声明（总统令445/2000号第46-47条），说明另一方父母是否已知情并同意，或说明本人作为唯一行使父母责任者独自决定。仅在存在疑虑、意见不一致或经医疗总监要求的情况下，我们才会要求另一方父母签字：缺少必要签字，治疗将不会开始。

子女的健康数据由负有职业保密义务的物理治疗师处理，仅用于提供所申请的医疗服务（GDPR第9.2.h条及第9.3条），绝不用于营销、画像或广告。行使父母责任的另一方父母，在身份核实后，有权获知治疗进展并要求暂停治疗。儿童档案（Ri-Hub Junior）始终被排除在第5节所述的广告活动测量之外：无论父母账户给予何种同意，任何事件都绝不会涉及他们。

意大利个人数据保护法典第2-quinquies条（196/2003号立法令，经101/2018号立法令修订）涉及直接向未成年人提供的信息社会服务：对于此类服务，自14周岁起，未成年人本人的同意即可有效，无需父母同意。这不适用于Ri-Hub：我们的医疗服务并非直接向未成年人提供，账户始终属于成年父母、监护人或寄养监护人。如果您怀疑有未成年人以自己的名义、虚假声明已成年而创建了账户，请发送邮件至 privacy@ri-hub.it，以申请核实并可能予以删除。

有关 Cookie 使用（必要、统计分析、营销）以及应用技术数据的详细信息，请参阅我们的 Cookie 政策。您可以随时通过每个页面底部的“管理 Cookie”链接更改您的选择（在应用中：设置 → 隐私与数据）。ri_utm 归因 Cookie 和广告活动的衡量在本政策第5节中说明。

12. 修订

本告知可能进行更新。当前版本发布于 ri-hub.it/zh/privacy，并镜像至应用 app.ri-hub.it/privacy，以确保在Capacitor离线模式下也可访问。最后修订：2026年10月16日。