隐私政策约束

生效日期：2026年7月11日

介绍

欢迎使用 Bloodsense！ Smart Medical Care SAS （"我们"、"我方"）致力于保护用户（"您"）个人数据的隐私与安全。Bloodsense 是 Smart Medical Care SAS 旗下的服务。本隐私政策说明了当您使用我们的网站 bloodsense.ai（"本网站"）及我们帮助您了解和解读实验室检测结果的 AI 驱动服务（"服务"）时，我们如何收集、使用、共享、保留和保护您的个人数据。本政策还告知您享有的数据保护权利及可用的救济途径。使用我们的服务即表示您已阅读本政策。对您健康数据的处理基于您单独提供的明确同意。

纯信息服务。 Bloodsense 是一项信息与教育服务，旨在帮助您理解检测结果。它是专业医疗护理的补充，而非替代，且不提供诊断。Bloodsense 不是医疗器械：法国国家药品和健康产品安全局（ANSM — 参考编号 GIO 23593272，档案号 2500297）已确认其底层服务不属于医疗器械。

1. 数据控制者及隐私联系方式

您个人数据的控制者为：

• 公司： Smart Medical Care SAS（在法国注册成立的简化股份公司 / société par actions simplifiée）
• 注册地址： 37 Avenue Maréchal Foch, 06000 Nice, France
• 工商注册信息： RCS Nice 932 924 194
• 联系邮箱： contact@bloodsense.ai

您的隐私联系人。 如对本政策、您的个人数据有任何疑问，或希望行使您的权利，请联系我们的隐私负责人 Julien P.，邮箱： contact@bloodsense.ai.

数据保护官（DPO）。 目前，Smart Medical Care SAS 尚未依据《通用数据保护条例》（GDPR）第 37 至 39 条的规定任命数据保护官，因为其业务活动不触发强制任命的条件。Julien P. 担任所有数据保护事务的主要联系人。

健康数据托管于法国。 无论您身处何地，通过 Bloodsense 处理的所有健康数据均专门托管于 位于法国的 Google Cloud 服务器，已获得健康数据托管认证（Hébergement de Données de Santé — HDS）。您的账户健康数据及报告不会托管于欧盟以外的地区。根据法国《公共卫生法典》第 L1111-8 条，本托管服务在您知情并 除非您以正当理由提出反对；该权利可在以下地址行使： contact@bloodsense.ai （但行使该权利可能会影响我们向您提供相关服务）。 唯一例外情况（出于质量控制目的）： 假名化处理 解读结果（看板上不含直接身份标识；我们的医生无法访问我们的数据库，也无法重新识别您的身份）可能会由我们科学与伦理委员会的医生通过 Trello（Atlassian）进行审核，该平台托管于美国，并受数据处理协议（标准合同条款及数据隐私框架）的约束。

2. 我们收集的个人数据

• 身份和联系方式： 姓名、姓氏、电子邮件地址。您的姓名和姓氏用于在AI处理前对您的报告进行假名化（去标识化）；您的电子邮件用于向您发送生成的AI报告。
• 健康与背景数据（特殊类别）： 您以PDF格式上传的实验室检测报告（血液、尿液、粪便），以及您提供的背景信息（年龄、性别、身高、体重、个人及家族病史、过敏情况、生活方式），用于生成更具针对性的解读。
• 交易数据： 与您购买相关的信息，由我们的支付服务商Stripe直接处理（我们不存储您的完整银行卡信息）；您与我们的交易记录。
• 技术使用数据： 您与本网站的交互方式，在您同意的前提下通过Google Analytics收集（IP地址，尽可能匿名化处理、浏览器类型、访问页面、停留时长、浏览路径）。
• 通信数据： 您在联系我们的客服或提交反馈时所提供的任何信息。

3. 我们如何使用您的数据（目的与法律依据）

我们仅在符合GDPR（及英国GDPR）相应法律依据的情况下处理您的数据：

• 为提供Bloodsense服务 （分析您的报告并生成AI解读）：您对健康数据的 明确同意 （第9(2)(a)条），通过在任何处理开始前的强制勾选框收集，以及针对非敏感数据的合同履行（第6(1)(b)条）。
• 为对您的报告进行假名化处理 （在AI分析前移除您的直接标识信息）：合同履行（第6(1)(b)条），在基于您明确同意的处理范围内（第9(2)(a)条）。
• 为向您发送生成的AI报告： 合同履行（第6(1)(b)条）。
• 为管理客户关系及处理付款 （通过Stripe）：合同履行（第6(1)(b)条）。
• 为分析网站使用情况并确保其安全 （通过Google Analytics）：您对非必要Cookie的 同意 （第6(1)(a)条）；我们出于安全目的的 合法利益 （第6(1)(f)条）。
• 回应您的请求： 合同履行（第6(1)(b)条）或合法利益（第6(1)(f)条）。
• 为发送营销通讯 （如适用）：仅基于您单独提供的特定选择加入同意，该同意须单独征得，且不得推定（第6(1)(a)条）。
• 为履行我们的法律及监管义务： 法律义务（第6(1)(c)条）。

假名化与AI改进

我们的内部工具会在进行任何AI分析之前，从您的PDF报告中移除您的直接标识信息（姓名和姓氏）。这构成GDPR第4(5)条意义上的假名化：您的健康数据不再具有直接识别性，但 仍属于个人数据 只要能通过您的电子邮件地址将其与您关联，而该地址单独存储。我们不会创建所谓的匿名数据集并无限期保留。

我们 不会使用您的数据训练AI模型 。我们通过专有的 知识库来提升解读质量，该知识库以 假名化处理 由我们科学与伦理委员会的医生对解读报告进行审核，这些医生无法访问我们的数据库，也无法重新识别您的身份。由于这些报告仍属于 健康数据，您可以 反对（选择退出） 随时通过写信至以下地址提出此审核异议： contact@bloodsense.ai.

无自动化决策

对您检测结果的AI解读，并非《通用数据保护条例》（GDPR）第22条所指的、仅基于自动化处理且对您产生法律效力或类似重大影响的决定。BloodSense报告是一份信息性和教育性文件：它不提供任何诊断，也不作出任何医疗决定，旨在与医疗专业人员共同探讨。该解读由大型语言模型（Anthropic的Claude）根据您的报告及背景数据生成；您可随时通过发送邮件向我们寻求说明、表达您的观点或对输出结果提出异议。 contact@bloodsense.ai.

提供数据的必要性

提供您的检测报告、背景数据及明确同意，是使用本服务的必要条件：若缺少上述内容，我们将无法为您生成AI报告。这并非法定或合同义务，完全取决于您的自主决定；您有权选择不提供，但在此情况下，本服务将无法交付。

4. 共享您的个人数据

我们不出售您的个人数据。我们仅与提供服务所必需的数据处理方共享，并采取适当的保障措施：

• 托管： Google Cloud — 您的健康数据托管于位于法国的HDS认证服务器上。
• AI基础设施： OpenRouter, Inc.（美国），通过安全方式与AI模型（Anthropic的Claude）对接，以生成您的报告。仅传输 经过严格假名化处理 的数据（已去除您的直接身份标识符）；这些服务提供商无法获取您的身份信息，且不得将您的数据用于任何其他目的，包括训练其模型。
• 付款处理： Stripe, Inc.（美国），安全处理您的支付信息。
• 事务性电子邮件： SendGrid（Twilio Inc.），仅为路由和发送AI报告之目的，临时处理您的电子邮件地址及报告内容。
• 受众分析： Google LLC（Google Analytics），须经您的Cookie同意。
• 质量控制（科学与伦理委员会）： Atlassian, Inc.（Trello，美国）——托管委员会医生审核所用的看板 假名化AI解读结果 （不含直接身份标识）以核实其准确性。不会向其共享任何可识别身份的数据，也不会共享任何实验室报告。

在法律要求的情况下，我们也可能向主管机关披露您的数据；或在发生合并、收购或资产出售时，在承担同等保密义务的前提下，将数据转移至收购方。

5. 国际数据传输

您的健康数据托管于法国，不会为存储目的而转移至欧洲经济区（EEA）以外。我们的部分数据处理方（OpenRouter、Stripe、Google、Twilio、Atlassian）在美国设立或运营。凡涉及向EEA/英国以外地区的数据传输，我们均通过以下方式之一确保充分的保护水平：

• 欧盟-美国数据隐私框架及其英国延伸协议，适用于已获认证的企业（Stripe、Google、Twilio、Atlassian）。
• 欧盟委员会批准的标准合同条款（以及适用于英国传输的英国国际数据传输附录），并在必要时进行传输影响评估。
• 在向AI服务提供商发送数据前进行假名化处理，在任何传输发生前移除您的直接身份标识符。

6. 数据安全

我们采取适当的技术和组织措施，防止您的数据丢失、被未经授权访问、篡改或泄露，具体包括：

• 托管于法国持有HDS认证的服务器（Google Cloud，已通过ISO/IEC 27001和SOC 2认证）。
• 在AI处理前对报告进行假名化处理（去除您的直接身份标识符）。
• 传输中数据加密（TLS）及静态数据加密（AES-256）。
• 基于最小权限原则的严格访问控制；多因素身份验证（MFA）正在部署中，访问权限每月审查一次。
• 个人数据泄露管理及通知程序，符合GDPR第33条和第34条的规定。

7. 数据保留

我们仅在实现数据收集目的所必要的期限内保留您的数据，包括履行我们的法律、会计及报告义务：

• 原始检测报告（PDF）： 在AI报告生成并交付后最多保留90天，随后安全删除（数据最小化原则，第5(1)(c)条）。
• 账户、联系方式及背景数据，以及生成的AI报告： 在账户有效期内保留，账户停用或最后一次互动后最多保留3年，之后永久删除。在安全患者门户正式上线之前，该数据与您的电子邮件地址关联，并在您最后一次使用后最多保留3年。
• 交易数据： 保留6年，发票及会计记录自开具之日起最多保留10年，符合《法国商法典》（第L123-22条）及适用税法的规定。
• 分析类Cookie（Google Analytics）： 最多14个月（CNIL建议）。
• 同意Cookie： 最多6个月（CNIL建议）。
• 服务器日志（IP地址）： 最多90天（合法利益——安全目的）。

提交永久删除请求后，上述所有数据将被清除，但法律要求我们保留的数据除外（尤其是交易数据）。

8. 您的数据保护权利

根据GDPR（及英国GDPR），您享有以下权利： 访问权; 更正权; 删除权 （“被遗忘权”），须受我们法律义务的限制； 限制 处理权； 反对权 （包括对我们科学与伦理委员会通过选择退出方式审核您的假名化解读结果，以及直接营销）； 数据可携带权；以及 撤回同意权 ，可随时行使，且不影响撤回前处理行为的合法性。

我们将在一个月内回复您的请求，复杂请求可延长两个月，免费处理，除非请求明显无根据或过于繁琐。

美国用户。 根据您所在州的法律（例如加利福尼亚州的CCPA/CPRA），您可能享有了解、访问、更正和删除个人数据的权利，以及选择退出个人数据"出售"或"共享"的权利。 我们不出售您的个人数据。 如需行使上述权利，请通过以下地址联系我们；我们不会因您行使这些权利而对您进行任何歧视性对待。

如何行使您的权利。 请致函 contact@bloodsense.ai。患者门户（正在开发中）上线后，您也可以直接在个人在线设置中进行账户停用和永久删除操作。

9. 儿童及未成年人

我们的服务不面向18岁以下人士。付款前需确认年龄（至少18岁）。我们不会有意收集未成年人的个人数据；一旦发现此类情况，我们将立即予以删除。

10. Cookie（网站小型文本文件）

我们使用严格必要的Cookie（用于网站正常运行）以及分析类Cookie（Google Analytics），后者仅在您通过横幅提示给予同意后方可启用。我们不使用广告类Cookie。如需了解更多信息或管理您的偏好设置，请参阅我们的 Cookie 政策.

11. 本政策的变更

我们可能会不时更新本政策。最新更新日期显示在本页顶部。如发生重大变更，我们将通过适当方式通知您。

12. 投诉权利

如果您对我们处理数据的方式有任何疑虑，我们建议您首先通过以下方式联系我们的隐私保护负责人： contact@bloodsense.ai。您也有权向监管机构提出投诉：

• 法国（主管机构）： 法国国家信息与自由委员会（CNIL）—— www.cnil.fr
• 英国： 信息专员办公室（ICO）—— www.ico.org.uk
• 其他欧洲经济区国家： 您所在国家/地区的数据保护机构。