隐私政策

《通用数据保护条例》（DSGVO／GDPR）意义上的控制者为：

BGGI GmbH Rostocker Straße 43 53117 Bonn 德国

电子邮件：datenschutz@bggi.de · 电话：+49 228 50446780

有关数据保护的询问，请发送至上述地址或电子邮件地址。此外，您还可以在门户的“隐私保护”中使用数据导出和删除申请功能。

基本数据：姓名、电子邮件地址、电话号码、出生日期、国籍、地址。

健康数据（GDPR 第 9 条）：您上传的医疗文件以及病例、预约和治疗信息。

使用数据：IP 地址、登录时间、日志数据（防篡改审计日志）。

结算数据：费用估算、发票、付款。

通讯和翻译数据：病例中的消息、其原始语言以及机器翻译；原文和译文分开存储。

语音和声音数据：AI 口译中的语音片段、从中识别出的文本、其译文以及由此生成的语音（第 13 节）。

位置数据：在服务进行期间，派出的口译员或司机可以传送自己的位置（第 14 节）。

证明文件：医生、诊所、药房以及配送和快递服务的执业许可、经营许可和执照证明；患者及陪同人员的护照、签证和身份证件。

付款和银行数据：用于付款和退款的银行账户、转账通知和收款记录。

订单和配送数据：处方、药房订单、配送地址和投递状态。

员工数据：管理部门员工的工作时间数据（第 12 节）。

设备和会话数据：每次登录一行，包括设备名称、浏览器标识、应用程序（患者应用、合作方应用、管理应用或普通浏览器）、截短的 IP 地址、登录时间、最后使用时间以及可能的撤销记录（第 19 节）。

扫描数据：用相机拍摄的资料页面、由此生成的 PDF 文件、在您设备上识别出的页面文本、从中读取的信息（发件人、收件人、日期、发票号、客户号和档案编号、金额和币种、银行账户、电子邮件地址、电话号码、地址）以及机器分类结果（类型、标题、日期、签发者、语言）——第 20 节。

订阅数据：通过 Apple App Store 或 Google Play 订阅时，包括交易或购买标识、产品标识、已付费期间的开始和结束、订阅状态、环境（正式运行或测试环境）以及一个假名化的账户标识——第 21 节。我们不会从应用商店获得付款数据。

协调国际医疗服务（病例管理、与合适的医生和诊所进行匹配、预约安排）。

账户管理和身份验证，包括可选的双重身份验证。

结算以及履行法定保存义务。

安全、错误分析和防止滥用。

履行合同——GDPR 第 6 条第 1 款 b 项（Art. 6 Abs. 1 lit. b DSGVO）。

对处理健康数据的明确同意——GDPR 第 9 条第 2 款 a 项（Art. 9 Abs. 2 lit. a DSGVO）。

法律义务（例如商法和税法规定的保存义务）——GDPR 第 6 条第 1 款 c 项（Art. 6 Abs. 1 lit. c DSGVO）。

维护平台安全的正当利益——GDPR 第 6 条第 1 款 f 项（Art. 6 Abs. 1 lit. f DSGVO）。

负责治疗的诊所和医生只有在您的病例被分配后才能访问您的病例数据，且仅限于 BGGI 放行的文件范围。

我们根据 GDPR 第 28 条（Art. 28 DSGVO）使用以下数据处理者： • Google Cloud EMEA Ltd.（爱尔兰）——运行应用程序、数据库和文件存储，数据中心位于美因河畔法兰克福（europe-west3），包括作为分发层的 Firebase Hosting。 • Stripe Payments Europe Ltd.（爱尔兰）——处理付款以及向医生支付款项；银行卡数据仅保存在 Stripe。 • Resend（美国）——通过其 SMTP 接入发送和接收交易电子邮件及病例电子邮件；发件域名为我们的医疗子域名（欧盟标准合同条款）。 • Daily.co（美国）——视频问诊；媒体服务器位于欧盟区域（eu-central-1），不进行录制（欧盟标准合同条款）。 • Anthropic（美国）——借助 AI 对提交的资料进行预分析、对扫描资料进行分类（类型、标题、日期、签发者、语言），以及对消息、文本和 AI 口译进行机器翻译，均仅在您另行同意后进行；结果由 BGGI 工作人员审核（欧盟标准合同条款）。 • ElevenLabs（美国）——为 AI 口译和朗读功能提供语音识别和语音输出（欧盟标准合同条款）。 • Sentry（Functional Software, Inc.，美国）——技术错误诊断；个人信息和医疗内容在传输前会被自动删除或遮蔽（欧盟标准合同条款）。 • Lexoffice（德国）——将发票凭证转交给我们的财务部门；传输的内容为发票收件人的姓名和国家以及发票数据，不包括健康数据。

只有在具备 GDPR 第 44 条及以下各条（Art. 44 ff. DSGVO）规定的适当保障措施（特别是欧盟标准合同条款），或您已明确同意（GDPR 第 49 条第 1 款 a 项，Art. 49 Abs. 1 lit. a DSGVO）的情况下，才会向欧盟／欧洲经济区以外的第三国传输数据。

位置解析（仅在您于地址表单中明确点击按钮时进行）：Google Ireland Ltd.——将您设备的坐标转换为地址，以便填写相应字段。坐标通过我们的服务器传输，不会被存储，也不会用于其他目的。

我们在计算病人转运距离时，也使用同样的坐标与地址转换。

数据处理委托关系之外的其他接收方——均仅在必要范围内，且仅在与您的病例建立关联之后：负责治疗的诊所和医生、合作药房、配送和快递服务（仅限投递数据，不含处方内容、诊断或价格）、口译员、司机、合作代理机构，以及——如您希望——保险公司和驻外代表机构（用于邀请函和签证材料）。这些接收方自行负责处理您的数据。

税务咨询和法律咨询：我们委托负有职业保密义务的外部专业人员进行财务处理和法律审查。税务顾问拥有独立的只读访问权限，可查看发票、付款、病例现金日记账、向财务部门移交的状态以及 BGGI 银行账户的简略信息；关于您，该访问权限仅包含病例编号和国家——不含姓名、诊断和医疗资料。法律顾问仅能查看本平台的法律文本并予以确认；不会获得任何个人数据。法律依据为我们的法律义务（GDPR 第 6 条第 1 款 c 项，Art. 6 Abs. 1 lit. c DSGVO）以及我们获得妥善咨询的正当利益（GDPR 第 6 条第 1 款 f 项，Art. 6 Abs. 1 lit. f DSGVO）；受委托人员须遵守其各自的职业保密义务。

Apple 和 Google（在手机应用中订阅会员）：如果您在我们的手机应用中订阅会员，购买将通过 Apple App Store 或 Google Play 进行。这些公司自行负责处理付款；我们不会从它们那里获得付款数据。我们与应用商店之间传输的内容包括：一个假名化的账户标识（根据您的用户标识计算得出、不可逆的字符串）、交易或购买标识、产品标识、已付费期间的开始和结束、订阅状态以及环境。您的姓名、电子邮件地址和健康数据不会传输给应用商店。

推送通知：如果您允许推送通知，这些通知将通过您的浏览器或操作系统的推送服务（Apple、Google、Mozilla 或 Microsoft）发送。传输的内容为您设备的投递地址和加密的消息内容。就此而言，这些服务的运营方为独立的控制者。

账户数据：直至您的账户被删除或删除申请处理完毕。

发票和会计数据：根据《德国税收通则》第 147 条（§ 147 AO，GoBD）保存 10 年。

审计日志：以不可更改、防篡改的方式存储。

病例数据和医疗文件：在病例处理期间保存，之后按照法定的治疗资料保存义务保存（通常为 10 年，参照 § 630f BGB）；之后删除或匿名化。

与诊所的通信（电子邮件／门户）：与病例数据相同——它是病例档案的一部分。

同意证明：保存至撤回或账户删除后 3 年（证明义务，GDPR 第 7 条第 1 款，Art. 7 Abs. 1 DSGVO）。

服务器日志和安全日志：最长 90 天，除非发生与安全相关的事件而需要更长时间保存。

每日加密数据库备份：30 天（每日备份）或 12 个月（每月备份），存储位置仅限法兰克福区域。

员工的工作时间数据：保存至 BGGI 规定的期限届满（默认 400 天，第 12 节）；之后自动删除。

合作系统接口的访问日志：保存至 BGGI 规定的期限届满（默认 400 天）；之后自动删除。

服务的位置信息：仅在服务进行期间传输和显示。最后报告的位置点保存在该服务记录中，并随相关病例一并删除。

视频问诊：视频室仅在预约时间段内开放（从开始前 15 分钟到计划结束后 30 分钟），之后失效。不录制声音和图像；预约信息作为病例档案的一部分予以保存。

AI 口译的字幕：仅在另行同意时保存；撤回同意后立即删除。

病例中的机器文本翻译（包括生成的语音输出）：作为病例档案的一部分，并随其一并删除。

药房的处方访问权限：自订单转交之日起 30 天；处方记录本身仍是病例档案的一部分。

取消会员资格后的可见性：您的数据在 BGGI 规定的期限内（默认两年）仍在门户中可见。在此期间不会删除任何内容；适用上述保存期限。

门户中的已读通知：180 天。

登录：一次登录最长有效 90 天，每次使用后自动延长；如未使用，则在 90 天后失效。注销后——无论是您本人、管理部门注销，还是在更改密码或更改第二重验证因素之后——登录最迟在五分钟后失效。

设备列表：每次登录的记录行随您的账户保存，并随账户一并删除；已注销的设备将继续标记为已撤销。列表显示最近的 50 行记录。

扫描的资料：各张相机照片在合并为 PDF 文件后不会单独保存；PDF 文件与其他上传的文件一样保存。识别出的文本和从中读取的信息属于该文件，并随其一并删除。

会员资格相关事件：支付渠道和应用商店发出的每条通知均会连同时间、类型、结果以及通知前后的状态一并记录，并与会员资格一起保存（作为结算凭证）。

您享有查阅权（第15条）、更正权（第16条）、删除权（第17条）、限制处理权（第18条）、数据可携权（第20条）和反对权（《通用数据保护条例》（DSGVO）第21条）。

您可以随时撤回已作出的同意，撤回自撤回之时起对将来生效。

您可以直接在门户的“数据保护”栏目中导出数据和提交删除申请。

投诉权：北莱茵-威斯特法伦州数据保护与信息自由专员（LDI NRW）。

TLS传输加密、敏感机密信息加密（AES-256-GCM）、Argon2id密码哈希、可选的双因素身份验证、基于角色的访问控制以及防篡改的审计日志——即依据《通用数据保护条例》（DSGVO）第32条采取的技术和组织措施。

我们使用技术上必要的Cookie，用于登录和会话、表单保护、语言设置、保存您的Cookie选择，以及记录您使用的是我们哪款应用程序和哪种手机外壳应用。这些Cookie是平台运行所必需的（TDDDG第25条第2款；DSGVO第6条第1款b项和f项）。包含名称、用途和有效期的完整列表载于Cookie声明中。此外，浏览器会在本地存储中以“lyl-theme”条目保存您选择的配色方案（浅色、深色或跟随系统）——仅在您自行选择时保存，不涉及个人身份，且不会离开您的设备。

可选Cookie（例如统计类）仅在您通过Cookie横幅同意后才会设置（DSGVO第6条第1款a项）。您的选择有效期为12个月，可随时通过页脚的“Cookie设置”进行更改。如果您选择“全部接受”，一个Cookie将在30天内记住您是通过哪家代理机构的推广链接来到我们这里的；未经此同意则不会设置该Cookie。我们目前不使用统计或营销类Cookie。

本平台的目的是组织和协调在德国以及Love your life与医生、诊所和医院合作的其他国家进行的医疗治疗。应您的要求，病例数据可以传输给欧盟/欧洲经济区以外的治疗诊所或医生（例如在您的祖国或您选择的治疗国家）。

此类传输仅基于您的明确同意（DSGVO第9条第2款a项、第49条第1款a项）进行，且仅限于您已授权的文件范围。第三国的数据保护水平可能与欧盟不相当；我们会在每次传输前就此提示您。

您可以随时撤回您的同意，撤回自撤回之时起对将来生效（门户 → 数据保护）。已经完成的传输不受影响。

为进行结算，我们针对每个病例处理费用估算单、发票、收款（金额、日期、付款用途）、实际治疗费用和退款。这些数据会在遵守约定费用范围所必需的范围内向医生及治疗机构显示（法律依据：履行合同，DSGVO第6条第1款b项）。一旦与我们会计系统（Lexoffice，依据DSGVO第28条的数据处理者）的对接启用，相关凭证将传送至该系统。

对于管理部门和办公系统的员工，我们在其登录管理区域期间记录工作时间数据：会话的开始和结束、每分钟所访问的区域或病例（仅标识符，不含内容）、最近一分钟内是否有输入，以及浏览器标识。键盘输入、文字、点击目标以及病例、消息或文件的内容均不会被保存。

目的是证明工作时间（《工作时间法》第16条）、为结算将工作时间分配到各治疗病例，以及由管理层按日、周和月进行分析。法律依据为DSGVO第6条第1款b项和c项，并结合BDSG第26条第1款。

在设置中规定的短暂休息时长（默认五分钟）以内的短暂不活动视为工作时间；如果超过设定的会话间隔（默认三十分钟）没有任何信号，会话将自动结束。接收方仅为所有者和管理部门；不会向第三方传递。

数据会在设置中规定的期限（默认400天）届满后自动删除。每位员工均可随时在“我的工时”中查看其账户下记录的数据；DSGVO第15至21条规定的权利不受任何限制地适用。

为便于沟通，我们使用机器翻译：用于病例中的消息、可单独预订的文本翻译（可选语音输出）以及视频通话中的AI口译。

AI口译的流程：您的麦克风音频在您的浏览器中按说话停顿切分为短片段——静音部分不会离开您的设备。每个片段经由我们的服务器发送至ElevenLabs进行语音识别，识别出的文本发送至Anthropic进行翻译，译文再发回ElevenLabs进行语音输出。在此过程中录音不会被保存；它仅在处理相应片段期间存在。

原文和译文在通话期间以字幕形式显示。只有在您另行单独同意后才会保存；撤回同意将删除已保存的片段。

对于可单独预订的文本翻译，原文、译文以及——如果您选择语音输出——生成的音频文件将保存在您的病例档案中。该音频文件只能通过一个与您账户绑定的短期有效地址获取。

翻译消息时，原始措辞会被保留；译文单独存储，并标注为机器翻译。

法律依据为您对处理健康数据的明确同意（DSGVO第9条第2款a项），并结合履行合同（DSGVO第6条第1款b项）。如无有效同意，则不进行机器翻译。

口译员和司机可以在服务进行期间传输其位置，以便患者跟踪行程。该传输由服务提供者本人开启，并在关闭或离开页面时结束。

仅传输和保存最近一次上报的位置点（地理纬度和经度）及其时间，并与该服务关联。不会在服务以外形成移动轨迹；服务结束后不再显示位置。

位置仅向相关病例的患者以及BGGI管理部门显示。法律依据为履行与服务提供者以及与患者之间的合同（DSGVO第6条第1款b项）。

医生、诊所、药房以及配送和快递服务在注册时须证明其执业许可或经营许可。我们保存证明编号、上传的文件，以及——如有规定——审核记录。目的是确保只有获得许可的机构开展业务（DSGVO第6条第1款b项和f项）。

为进行付款和退款，我们处理银行账户信息（账户持有人、IBAN、BIC、银行）。BGGI账户及医生收款账户的IBAN以加密方式保存（AES-256-GCM）；仅显示缩略形式。

向医生的付款还可以通过我们的支付服务商办理。收款人本人在该处存储的信息由支付服务商自行负责处理。

上传的文件存放在我们位于法兰克福地区的存储中。它们只能通过与已登录账户绑定的短期有效地址获取，并在存储前经过恶意软件检查。

如果您通过平台订购药品，我们会向负责的合作药房传输处理所需的信息，并在限期30天的时间内向其提供处方。药房对处方的每次访问均会被记录。

我们仅向受托的配送或快递服务传输配送数据（姓名、地址、联系方式、取件地和目的地、配送状态）。其不会获得处方内容、诊断和价格。

法律依据为履行合同（DSGVO第6条第1款b项）以及您对处理健康数据的明确同意（DSGVO第9条第2款a项）；处方始终属于健康数据。

为与我们自己的合作伙伴系统协作，设有一个只读接口。通过该接口仅提供少量字段：关于个人的名、姓、出生日期、国籍、首选语言、电话号码、电子邮件地址以及未结病例的案卷号；关于病例的案卷号、状态、专科、创建日期、主治医生及治疗机构、预约（含时间、类型、状态和地点）、行程数据，以及是否有未付款项。

不会提供的内容包括：诊断、检查结果、医疗摘要、文件、消息、处方、费用估算单、金额、地址、护照数据以及病例中自由填写的主题。

访问需要一个分配的密钥，系统仅保存该密钥的哈希值。每次访问都会被记录——包括时间、端点、响应状态、发送方地址和浏览器标识；对于搜索词，只保存其哈希值，绝不保存搜索词本身。

法律依据为履行合同（DSGVO第6条第1款b项）以及我们在自有系统之间有序协作方面的正当利益（DSGVO第6条第1款f项）。

如果您需要后续治疗、辅助器具或乘飞机的患者转运，我们会向经过审核的医疗服务合作伙伴询价：康复机构、医疗用品店或医疗救援飞行服务。

在此过程中，仅传输报价所需的信息——病例编号、文字形式的询价内容，以及涉及处方或医嘱时的相关内容。只有在您接受委托且服务正在执行时，合作伙伴才会获得您的姓名和地址。

法律依据为履行与您的合同（DSGVO第6条第1款b项）；如询价中包含健康数据，还另以DSGVO第9条第2款h项为依据。这些合作伙伴在注册时同样须证明其许可资质（如其所在国家有此要求）。

为了让您不必每次访问都重新登录，登录状态最长保持90天，并随每次使用而延长。每次登录都会在您的设备列表中占一行。

每行保存：根据浏览器标识生成的名称（例如“iPhone · Love your life App”）、缩短形式的浏览器标识本身、所用的应用程序、缩短的IP地址（IPv4去掉最后一段，IPv6缩短为前四组）、登录时间以及最后使用时间。

您可以单独注销每台设备——也可以从另一台设备操作，例如在设备丢失或被盗时——或者一次注销所有设备。注销最迟在五分钟后生效。审计日志中只记录设备标识和名称，绝不记录浏览器标识和地址。

法律依据为履行合同（DSGVO第6条第1款b项）以及我们在账户安全方面的正当利益（DSGVO第6条第1款f项）。

当您用相机拍摄文件时，纸张会在您的设备上被识别、校正并提高可读性。在手机应用中由设备自带的文档扫描功能完成，在浏览器中则由我们自己的扫描功能完成。之后页面才会传输到我们的服务器；在服务器上，页面会经过检查和恶意软件扫描，并合并为一个PDF文件。之后不会单独保留各张拍摄图像。

如果您的设备提供文字识别功能，页面上的文字会在您的设备上读取——在您的设备上，而不是在我们这里。文字会与页面一起传输，以不可见的方式嵌入PDF文件以便搜索，并从中提取以下信息：发件人、收件人、日期、发票号、客户号和案卷号、金额和币种、银行账户信息，以及电子邮件地址、电话号码和地址（如文件上载有）。文字和提取的信息属于该文件的一部分，并随文件一同删除。

为对文件进行分类——类型、标题、日期、出具方和语言——我们会向我们的数据处理者Anthropic传输相关信息。如果在您的设备上已识别出文字，则仅传输这些文字，不会传输页面图像。否则我们最多传输四页图像，始终包括第一页和最后一页。该模型不作任何医学评估，仅进行分类和描述。结果在文件上始终标注为机器生成，并且可以修改。

如果模型未识别出文件，则不保存任何内容。

如果您在Android手机应用中拍摄，应用会使用一个一次性、15分钟后失效的密钥将页面传给我们的服务器，再由网页从服务器取回；之后页面即被删除。之所以需要这样做，是因为Android应用无法将页面直接传递给网页。

法律依据为履行合同（DSGVO第6条第1款b项）；如文件包含健康数据，处理还另以您的明确同意为依据（DSGVO第9条第2款a项）。

在我们的手机应用中，会员资格只能通过Apple App Store或Google Play订阅。为了将订阅归属到您的账户而不是设备，我们会向应用商店提供一个假名化的账户标识。该标识由您的用户标识计算得出，无法反推出用户标识；您的姓名和电子邮件地址不会传输给应用商店。

应用商店会向我们通知购买、续订、取消、付款故障、到期和退款。为此，我们在事件日志中保存交易或购买标识、产品标识、付费期间的开始和结束、状态、环境、通知时间以及通知内容。我们不会获得付款数据——银行卡、账单地址、应用商店的金额。

法律依据为履行合同（DSGVO第6条第1款b项）以及我们在商法和税法上的记录义务（DSGVO第6条第1款c项）。

应您的要求，AI口译可以以逼真的人脸形象（“数字人”）呈现。该人脸由受托服务商生成；它会根据平台事先生成的语音移动嘴唇。

传输给该服务商的仅有该语音以及所用人脸的标识。不会传输：参与者的图像和声音、字幕、文字、姓名以及有关病例的其他信息。

不进行任何录制。通话结束后，服务商处的会话即告结束。服务商的访问密钥不会离开服务器；浏览器只获得一个短期有效的会话令牌。

如果人脸展示的是真实人物，则仅在其同意的情况下使用；姓名、日期和声明会被记录。

数字人是语音的附加功能。如果数字人不可用或未开启，语音口译会继续进行。

BGGI的员工并不能看到所有事务。除角色和部门外，适用范围也起决定作用：它要么是全球范围，要么限于特定国家。

以事务所属国家为准：对于患者，以其居住地为准，其次为国籍；对于病例和发票，以相关患者的国家为准；对于医生和医疗机构，以其所在国家为准。

如果某人未被分配任何国家，则其看不到任何内容。空字段表示“尚未分配”，而不是“全部”。数据库只有一个；这种划分是一种视图，而非第二套系统。

访问会被记录。对适用范围的更改会连同操作人、时间和范围一并记录。

医生、诊所和医院可以同意在Love your life的公开首页上以合作伙伴卡片的形式展示。卡片仅显示已授权的主图、名称、专科和国家。电话号码、电子邮件地址、地址和网站绝不会公开显示；其他信息仅对已登录用户可见。

法律依据为相关合作伙伴的同意（DSGVO第6条第1款a项），该同意在其个人资料中作出，并可随时在该处撤回，撤回自撤回之时起对将来生效。同意和撤回的时间会记录在审计日志中。撤回后，卡片将在下一次访问首页时消失；已经发送的图片可能在缓存中最多保留一小时。

如果管理部门开启公开评价，卡片还会显示已登录患者在门户中给出的评价的平均分和数量。评价本身、评价者及自由文本不会公开。

合作伙伴卡片和评价是否公开显示，由管理部门通过开关决定，这些开关出厂时均为关闭状态。各国医生和诊所的数量仅根据实际已获批准的条目计算，绝不估算。