欧盟以外的隐私法律 #

我们的隐私文档是围绕 GDPR 编写的，因为这是我们所遵循的法律。其他国家的客户经常询问同样的答案是否适用于 POPIA、CCPA、HIPAA 及类似的制度。本页面针对我们被问及最多的几项法律，给出了诚实的立场说明。

这些承诺本身不会因国家/地区而异。 无论您的业务位于何处，您都将获得相同的服务：您的数据存储在德国的专用服务器上；在更改子处理方列表前会提前 14 天发布通知；合同承诺您的数据绝不会用于训练 AI 模型，也绝不会被出售；在 24 小时内通知数据泄露；以及发布保留时间表。这些内容详见 数据存储位置。

无论您处于何种司法管辖区，我们能为您提供什么 #

GDPR 和英国 GDPR #

完全覆盖。我们的 DPA 是符合第 28 条的处理者协议，EEA 以外的数据传输遵循欧盟委员会的标准合同条款（在适用情况下包含英国附录），并且我们已发布了保留计划。我们条款的第 14 节本身就是一份 DPA，且已适用于您的账户，因此即使在您下载签署副本之前，您也已受到保护。

CCPA / CPRA（加利福尼亚州） #

这个问题背后的核心通常是“你们是否出售或共享个人信息？” 不。 我们不出售您的数据，也不会将其与已发布的子处理者列表之外的任何人共享。这是我们条款中的合同承诺，而不是我们可以悄悄更改的政策。

我们作为服务提供商，根据您的指示处理数据。您的审核员所需的内容正是我们提供的 DPA、子处理者列表和安全页面；我们不会发布单独的加州特定附录。

POPIA（南非）及其他国家隐私法律 #

我们不发布针对特定国家的附录。我们只有一份 DPA，它是按照 GDPR 标准编写的，这是我们被问及的所有制度中最严格的。实际上，POPIA 运营商协议或同等国家要求所要求的实质内容，正是 DPA、子处理者列表和安全页面已经记录的内容：数据存储位置、谁在处理数据、数据保留时长、如何报告泄露，以及承诺数据不会被用于其他用途。

If your legal team needs specific wording added for a national requirement, email support with the clause and we will tell you whether we can sign it.

HIPAA（美国医疗保健） #

本平台不符合 HIPAA 合规要求，我们也不签署商业伙伴协议 (BAA)。

这不仅是我们自己的立场。消息传递渠道本身无法做到符合 HIPAA 标准：Meta 不会为 WhatsApp、Instagram 或 Messenger 签署 BAA（商业伙伴协议），因此受保护的健康信息根本不应通过这些渠道传输，无论使用何种软件发送。

医疗保健客户的做法以及我们的建议是：

• 仅将该平台用于漏斗顶部：回答咨询、资格预审和预约咨询。
• 请勿在聊天中包含受保护的健康信息。配置您的智能体（Agent）指令，将任何临床或记录保存相关的对话转移到您自己的患者门户或记录系统中。
• 将该平台与专为此设计的医疗记录系统配合使用，并让该系统存储临床数据。

认证 #

我们未获得 SOC 2 或 ISO 27001 认证。 这些是审计项目，我们目前团队规模尚未进行此类审计，我们宁愿坦诚相告，也不愿让审查者产生误解。我们的安全页面明确说明了这一点，同时也列出了我们已获得的认证。

后续步骤 #

• 数据存储位置：托管、子处理方、保留期限和违规通知。
• 获取已签署的 DPA：在大约一分钟内获得一份经双方签署的第 28 条协议。
• 下载您的数据：获取您账户的可移植副本。