Try it free in the sandbox · first FHIR call in 5 minutesFree · 30 synthetic patients · no card

安全、隐私和数据驻留

患者数据如何得到保护：欧盟数据驻留、项目隔离、成对 ID、凭证、同意管理、数据溯源、患者可见的审计以及私有测试版的限制。

医疗数据是应用程序可以持有的最敏感数据。本页列出了 Anpheros Platform 目前如何保护这些数据——仅限于已实现的功能——以及在私有测试版期间仍然存在的限制。

数据驻留

所有平台数据均存储和处理于欧盟境内：服务及其数据库位于 Google Cloud europe-west4（荷兰），Webhook 传递队列位于 europe-west3（法兰克福），访问日志的追加式导出位于 BigQuery 欧盟区域。
美国数据区域： 生产客户可根据 HIPAA 业务伙伴协议（见下文）申请使用；届时美国患者数据将始终保留在美国区域内。
文档存储在欧盟存储桶中，并使用客户管理的加密密钥 (CMEK) 进行加密。原始文档在最终确定后不可变；其 SHA-256 校验和和大小将被记录。

应用程序之间的隔离

每个 API 密钥都属于一个项目。一个项目只能看到它创建的患者 — 在沙盒环境中，包括它自己的合成患者副本，这是其他项目无法看到的。
成对标识符：每个项目都会为同一个人接收自己的 ID；内部 ID 永远不会离开平台，因此 ID 无法在应用程序之间进行关联。
您无法访问的记录会返回 404，永远不会返回 403，因此无法探测患者的存在。
沙盒和生产环境是独立的数据库。沙盒密钥 (sk_test_) 在物理上无法访问真实患者。
在获得患者同意的情况下，一个组织可以读取整个记录，包括其他组织写入的内容，但只能更改或删除它自己写入的内容。

凭证

API 密钥仅显示一次，并仅以 SHA-256 哈希形式存储。密钥具有 read / write 范围，并且绝不会跨越其环境。
OAuth 2.1 强制使用 PKCE (S256)；redirect_uri 必须精确注册。访问令牌有效期为 30 分钟，刷新令牌有效期为 30 天，并在每次使用时轮换。
刷新令牌重用检测： 提交已被使用的刷新令牌将撤销整个令牌链。
令牌响应携带 Cache-Control: no-store。OpenID Connect id_tokens 使用 RS256 签名；公钥发布在 /oauth/jwks。

同意、溯源和审计

患者在托管的同意页面上授予应用程序访问权限，选择记录和时长（30、90、180 或 365 天）。范围按资源类型和操作划分，并可按类别进行可选过滤。每次授权都会被镜像为一个 FHIR Consent 资源。
撤销在下次请求时生效；应用程序无法重新刷新。
每次写入都会生成一个 Provenance 资源：谁写入的（患者、执业医师、设备、导入或 AI），为哪个组织，来自哪个源系统。
每次读取都会被记录并对患者可见，包括使用项目自己的 API 密钥进行的读取，以及为 AI 模型构建的上下文。

传输和 Web 安全

仅限 HTTPS，并支持 HTTP 严格传输安全。API 响应携带限制性的 Content-Security-Policy，X-Content-Type-Options: nosniff，X-Frame-Options: DENY 和严格的 referrer policy。
Webhook 递送使用 HMAC-SHA256 对时间戳和正文进行签名；接收者应拒绝超过 5 分钟的签名。事件携带 ID 和版本，但不包含临床内容。
速率限制：每个凭证和每个 IP 每分钟 600 个请求；JSON 正文最大 2 MiB；文档最大 25 MiB。

搜索引擎和 AI 爬虫

公共页面（anpheros.com、平台介绍和本文档）对搜索引擎和 AI 爬虫开放。API、仪表板、OAuth 和同意页面以及患者应用（app.anpheros.com）通过 noindex 和 robots.txt 规则排除在外；在未经身份验证的情况下，它们都不会返回患者数据。

HIPAA (美国诊所)

对于美国的诊所，Anpheros 是一个业务伙伴。以下是根据 HIPAA 安全规则所采取的措施：

保障措施	Anpheros 的实现方式
指定责任、风险分析、书面政策 (§164.308)	指定了安全官；每年进行风险分析；十项书面政策（访问、加密、日志记录、事件响应、违约通知、保留和备份、培训、设备、紧急访问、供应商），保存六年
唯一用户识别、访问控制 (§164.312(a))	每个密钥、令牌和人员都有其身份；项目只能查看自己的患者；每次读取都强制执行同意范围；生产项目组织需要 MFA 或 SSO；仪表板自动注销
审计控制 (§164.312(b))	每次读取和写入都进行日志记录、哈希链式记录、以追加模式导出；患者可见
完整性 (§164.312(c))	版本化资源、每次写入都有出处、SHA-256 不可变文档
传输安全 (§164.312(e))	TLS 1.2+、HSTS、签名 Webhook、仅限 HTTPS 的交付
静态加密	数据库和备份已加密；客户管理的密钥下的文档
应急计划 (§164.308(a)(7))	每日备份、时间点恢复、每 90 天进行一次恢复演练并记录时间
违约通知 (§164.410)	根据我们的 BAA，在 5 个工作日内通知覆盖实体（法律规定为 60 天）
业务伙伴链 (§164.308(b))	Google Cloud 根据其 BAA 提供服务；子处理器列表在 BAA 附件中

业务伙伴协议和美国数据区域可应生产客户的要求提供（请发送邮件至 [email protected]）；签署 BAA 后，美国患者数据的生产环境将启用。沙盒仅包含合成患者，因此美国开发者无需 BAA 即可立即进行开发。Anpheros 未通过 SOC 2 或 HITRUST 认证；计划在医院客户需要时进行 SOC 2 Type II 审计。

当前限制（私有 Beta 版）

单区域托管，无自动故障转移；尚无合同 SLA。
生产密钥将颁发给已签署数据处理协议的已验证组织；Beta 版合作伙伴将从合成数据开始。
尚不支持 SMART EHR 启动和 OpenID nonce 参数。