PsyFlow 隐私政策
运营主体：广州弗诺科技有限公司（下称「我们」「平台」）
产品：PsyFlow 白标 SaaS 心理咨询执业管理平台
官方域名：psyflow.cn
写在前面：PsyFlow 处理的是心理咨询执业中最敏感的信息——来访者的档案、会谈记录、量表结果、心理健康状况。这份政策用尽量平实的语言，把我们收集哪些信息、为什么收集、放在哪里、谁能看、你如何行使权利逐条讲清楚。我们的承诺不依赖于「相信我们的人品」，而是落在可验证、可行使的机制上。本政策与《用户协议》《数据处理协议（DPA）》配套适用，涉及个人信息处理事项，如有不一致，以对个人信息主体更有利的条款为准。
一、引言与适用范围
1.1 本政策适用于谁
PsyFlow 平台上存在两类个人信息主体，本政策同时适用，但权利义务不同：
- 咨询师 / 租户：在平台开通账户、使用咨询师后台开展执业管理的心理咨询师或咨询机构。对咨询师/租户而言，平台是 SaaS 服务提供者，咨询师/租户是平台服务的用户。
- 来访者：由咨询师/租户邀请、在来访者端（小程序 / H5）登记并接受咨询服务的个人。来访者的个人信息由其咨询师/租户决定如何处理。
1.2 平台的两重角色（务必理解）
- 对咨询师/租户的账户信息，平台是个人信息处理者（PIPL 项下的「个人信息处理者」），按本政策直接处理。
- 对来访者的个人信息，平台是 受托处理者（受托处理人）。决定来访者个人信息处理目的与方式的，是咨询师/租户本人（个人信息处理者 / handler），不是平台。 平台仅按照咨询师/租户的委托、本政策及双方服务协议的约定处理来访者信息，不超出委托范围、不擅自变更处理目的与方式（参照 PIPL 第 21 条受托处理规定）。
通俗地说：来访者的档案「属于」其咨询师，平台只是替咨询师安全地保管和处理这些数据的工具。来访者如需行使权利，一般向其咨询师/租户提出，平台提供技术协助（详见第八章）。
1.3 白标说明
PsyFlow 为白标产品。来访者在使用咨询师对外提供的官网 / 小程序 / H5 时，看到的是咨询师/租户的品牌，平台名称（PsyFlow / 广州弗诺科技有限公司）默认不向来访者展示。本政策作为底层数据处理规则仍然适用。
二、我们收集哪些个人信息
我们遵循「最小必要」原则，仅收集为提供服务所必需的信息。下表按类别列出，并区分收集方式（咨询师主动录入 / 来访者本人填写 / 系统自动生成）。
2.1 账户信息（咨询师/租户）
| 信息 | 收集方式 | 目的 |
|---|---|---|
| 手机号、姓名、机构名称 | 注册时由咨询师填写 | 账户创建、登录、身份识别 |
| 执业资质相关信息（如填写） | 咨询师主动提供 | 资质展示、合规 |
| 登录凭证 | 系统生成 | 账户安全 |
2.2 来访者档案（敏感个人信息）
以下信息属于 PIPL 项下的敏感个人信息（涉及心理健康、医疗健康等），处理需取得单独同意（详见第三章）。
| 信息 | 收集方式 | 目的 |
|---|---|---|
| 心理健康信息、主诉、会谈记录 | 咨询师录入 / 来访者填写 | 咨询执业管理、咨询连续性 |
| 量表测评结果（分数、严重度） | 来访者填写 / 系统计算 | 评估与跟踪 |
| 出生日期 | 来访者 / 咨询师填写 | 年龄识别（涉及未成年人保护门槛）、档案管理 |
| 手机号 | 来访者填写 | 预约通知、身份识别 |
| 紧急联系人信息 | 来访者填写 | 危机情形下的联络（详见第十一章） |
| 监护人信息（未成年来访者） | 监护人填写 | 未成年监护同意（监护人字段加密存储） |
2.3 预约 / 会谈 / 量表过程数据
预约时间、会谈排期、会谈次数、量表填写记录等，由咨询师与来访者在使用过程中产生，用于执业管理。
2.4 支付信息
订阅、收款相关的交易记录与台账。我们不直接存储完整的银行卡 / 支付账户密码等支付凭据。当前版本：来访者通过咨询师自有收款渠道（如咨询师本人收款码）直接向咨询师付款，平台不经手资金、不参与资金归集，仅记录订单与收据台账（详见《用户协议》第 3.5 条防二清说明）；后续版本如上线微信支付服务商 / 子商户模式，资金直清至咨询师子商户，平台仍不持有、不结算，届时另行说明。
2.5 设备与日志信息
为保障服务安全与排障，系统自动记录必要的设备信息（如设备型号、操作系统）、访问日志、操作审计日志。
三、敏感个人信息的单独同意
来访者的心理健康信息、会谈记录、量表结果、出生日期、紧急联系人、未成年监护人信息等属于敏感个人信息。根据 PIPL（参照第 28、29 条），处理敏感个人信息须具有特定目的和充分必要性，并取得个人信息主体的单独同意。
3.1 处理的必要性
这些信息是开展心理咨询执业管理的核心：没有会谈记录无法保证咨询连续性，没有量表结果无法评估与跟踪，没有出生日期无法识别未成年人并触发监护同意机制，没有紧急联系人无法在危机情形下履行辅助提醒义务。
3.2 单独同意的实现机制
平台已实现电子知情同意机制，用于获取来访者（或其监护人）对处理敏感个人信息的单独同意：
- 版本化：知情同意书内容变更时升级版本，要求重新签署；
- 可撤回：来访者可随时撤回同意（系统提供 consent.revoke 撤回能力），撤回不影响撤回前已进行处理的效力；
- 未成年监护门槛：以 14 岁为门槛，14 岁以下来访者需由监护人签署同意（详见第九章），监护人字段在数据库中加密存储。
3.3 对个人权益的影响告知
处理上述敏感信息可能带来的影响主要为：信息一旦泄露或被滥用，可能涉及来访者的心理健康隐私。我们通过字段级加密、默认无人可看、访问审计等措施降低该风险（详见第十章）。
四、我们如何使用信息
- 我们仅为向咨询师/租户提供心理咨询执业管理服务而使用上述信息，包括账户管理、预约排期、会谈与量表记录、收入台账、品牌配置等。
- 我们不将信息用于与服务无关的用途，不向来访者推送与咨询无关的商业广告。
- 不用于模型训练：无论现在还是将来，来访者与咨询师的数据永远不会被用于训练任何 AI 模型（我们自己的或第三方的）。
- 当前版本零 AI：本平台当前版本不包含任何 AI 功能，不存在 AI 读取、分析、摘要会谈记录的环节。未来如推出 AI 辅助功能，将遵循《数据处理协议（DPA）》第 4.7 条的边界（不用于模型训练；如涉及来访者个人信息处理，须经委托方与来访者双重重新授权后方可启用）。
五、Cookie 与同类技术
平台使用 Cookie、本地存储等同类技术，仅用于维持登录状态、保障会话安全、记住必要的偏好设置。我们不使用上述技术进行跨站追踪或定向广告投放。你可以通过浏览器 / 客户端设置管理或清除本地存储，但清除后可能影响登录与部分功能的正常使用。
六、信息的存储
6.1 存储地点（不出境）
平台全部生产数据（数据库、备份、文件存储）均存储于中华人民共和国境内的服务器与云服务设施。我们不向境外传输来访者个人信息。如未来确需数据出境，将另行取得单独同意并满足 PIPL 关于个人信息出境的全部要求（参照 PIPL 第 38—39 条）。
6.2 加密存储
来访者的手机号、出生日期、紧急联系人、监护人信息、会谈记录等敏感字段，在数据库中以字段级加密存储，落库即密文。即使有人直接接触数据库文件，看到的也是密文。
6.3 留存期限与销毁规则
- 在为提供服务所必需、以及法律法规要求的最短期限内留存个人信息。
- 操作审计日志保留不少于 3 年。
- 停止服务时，依《数据处理协议（DPA）》第 12.1/12.2 条：提前 90 天书面通知付费租户并保持数据导出通道开放；数据交还后 30 天内从生产数据库、备份和日志中彻底删除全部来访者数据（法律法规要求强制留存的除外）。
- 来访者行使删除权时，对应数据按第八章执行物理删除、不可恢复。
七、信息的共享、转让、公开披露
7.1 受托处理者关系
如第 1.2 条所述，对来访者个人信息，平台是受托处理者。平台在咨询师/租户的委托范围内处理数据，不构成对外共享。咨询师/租户作为个人信息处理者，对其处理目的与方式承担相应责任。
7.2 默认不共享
除以下情形外，我们不向任何第三方共享、转让或公开披露来访者个人信息：
- 为完成服务所必需的合规基础设施服务商（如境内云服务、短信通道、支付渠道），且仅在最小必要范围内、受保密与数据处理协议约束；
- 取得相应个人信息主体单独同意的情形；
- 法律法规规定或主管机关、司法机关依法定程序调取的情形（我们将在法律允许范围内第一时间告知相关方）。
7.3 停服 / 主体变更
依《数据处理协议（DPA）》第 12.4/12.5 条：来访者数据在任何情况下（包括公司清算、资产处置）不出售、不转让。如发生合并、分立、被收购等主体变更，承继方必须原样继承相关处理与保护义务，否则应先行删除（视同停服并按交还流程处理数据）。
八、您的个人权利
我们保障个人信息主体依法享有的下列权利（参照 PIPL 第四章）：
- 查阅、复制：查阅与复制自身个人信息；
- 可携带性导出：平台提供一键全量导出（结构化 JSON、解密明文）能力，支持数据可携带；
- 删除：来访者行使删除权时，可由其咨询师/租户对该来访者执行「销毁」——档案及全部衍生数据（预约、会谈记录、量表）被物理删除、不可恢复，销毁动作本身留下审计记录（仅记录删除类别与条数，不记录内容）；
- 更正、补充：更正不准确的个人信息；
- 撤回同意：随时撤回此前作出的同意（consent.revoke），撤回不影响撤回前已进行处理的效力；
- 注销账户：咨询师/租户可注销账户。
8.1 行权渠道（受托处理者定位下的特别说明）
由于来访者个人信息的处理者是咨询师/租户，来访者一般应向其咨询师/租户提出查阅、复制、删除、更正等请求，由咨询师/租户在平台上操作完成；平台提供技术协助（如导出、销毁等功能支撑）。咨询师/租户应在合理期限内响应来访者的权利请求。如来访者无法联系到其咨询师/租户，可通过第十三章渠道联系平台寻求协助。
九、未成年人保护
我们高度重视未成年人个人信息保护（参照《未成年人保护法》及 PIPL 第 31 条）：
- 14 岁以下：处理不满十四周岁未成年人的个人信息，须取得其父母或其他监护人的单独同意。平台以 14 岁为门槛，14 岁以下来访者的登记与敏感信息处理需由监护人签署电子知情同意，监护人字段加密存储。
- 14—18 岁：处理已满十四周岁未满十八周岁未成年人个人信息的，按法律要求取得相应有效同意。
- 监护人有权查阅、复制、更正、删除被监护未成年人的相关个人信息，行权渠道同第八章。
十、我们如何保护信息
- 加密存储：敏感字段字段级加密（见 6.2）。
- 默认无人可看：平台员工（含创始人、运维）在日常工作中没有任何入口查看来访者档案明文；运营后台只能看到租户级汇总数字（账号数、订阅状态等），看不到任何来访者内容明文。
- 最小必要的例外接触与审批：仅在咨询师/租户书面（含线上工单）明确授权的故障排查 / 数据修复，或法律法规要求且程序合法的调取情形下，指定技术负责人方可在最小必要范围内接触解密数据。
- 操作留痕与审计：所有对档案的查看、导出、修改、删除（含我方运维操作）写入审计日志，保留不少于 3 年。
- 不出境：见 6.1。
- 不用于模型训练：见第四章。
如发生个人信息安全事件，我们将依法及时采取补救措施，并按规定向监管部门报告、向受影响的个人信息主体（经由咨询师/租户）告知。
十一、危机情形的特别说明
- 心理咨询非医疗诊断与治疗：本平台是心理咨询执业管理工具，所承载的咨询服务不构成医疗诊断或治疗。
- 危机预警为辅助手段：平台可能提供的危机预警仅为辅助提示，不替代咨询师的专业判断，亦不保证识别所有风险情形。
- 导向专业求助资源：在识别到可能的危机信号时，平台倾向于引导联系 12356 心理援助热线 及 110 / 120 等紧急求助渠道。
- 不承担医疗责任：平台对咨询服务结果及任何危机干预后果不承担医疗责任；紧急情况下应第一时间拨打 110 / 120 或前往医疗机构。
十二、政策的更新与变更
- 本政策可能因法律法规、业务或技术变化而更新。更新后我们将通过站内信、官网公告或预留联系方式予以通知。
- 涉及收紧个人信息主体权利、或扩大信息处理范围的实质性变更，将提前通知，并在涉及敏感个人信息时重新取得单独同意。
- 你可在官方渠道查阅最新版本及历史版本。
十三、如何联系我们
- 运营主体：广州弗诺科技有限公司
- 产品 / 域名：PsyFlow / psyflow.cn
- 个人信息保护负责人（DPO）：【占位 —— 姓名 / 职务 / 联系方式待补】
- 行权与投诉渠道：来访者请优先通过其咨询师/租户行使权利；咨询师/租户及需平台协助者，可通过后台工单或下列官方联系方式与我们联络：【占位 —— 联系邮箱 / 电话 / 通信地址待补】
如你认为我们的个人信息处理行为损害了你的合法权益，可向网信、市场监管等主管部门投诉、举报。