医疗健康服务合同协议（2025年隐私保护条款）

医疗健康服务合同协议（2025年隐私保护条款）医疗健康服务合同协议（隐私保护条款）第一条定义在本协议中，下列词语具有以下含义：（一）"医疗服务提供方"指提供约定医疗健康服务的医疗机构或其授权的医务人员。（二）"医疗服务接收方"指接受医疗健康服务的患者或其合法授权代表。（三）"个人信息"指以电子或者其他方式记录的与已识别或者可识别的自然人有关的各种信息，不包括匿名化处理后的信息。（四）"敏感个人信息"指一旦泄露或者非法使用，容易导致自然人的人格尊严受到侵害或者人身、财产安全受到危害的个人信息，具体包括：生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹等信息，以及不满十四周岁未成年人的个人信息。（五）"处理"指对个人信息进行收集、存储、使用、加工、传输、提供、公开、删除等操作。（六）"存储"指保存个人信息。（七）"传输"指将个人信息转移至中国境内以外的境内机构或者境外个人。（八）"目的限制"指个人信息处理应当具有明确、合理的目的，并应当与处理目的直接相关，采取对个人信息主体权益影响最小的方式。（九）"最小必要原则"指收集个人信息应当限于实现处理目的的最小范围，不得过度收集。（十）"匿名化"指通过对个人信息的技术处理，使得个人信息主体无法被识别，且处理后的信息不能被复原。第二条适用范围本协议项下的隐私保护条款适用于医疗服务提供方为提供本合同约定的医疗健康服务而收集、处理、使用、传输、提供、公开、删除医疗服务接收方及其相关的个人信息的行为，以及医疗服务接收方对个人信息相关权利的行使。本协议项下的隐私保护条款同时适用于所有处理个人信息的工作人员以及根据协议或合同处理个人信息的第三方服务商。第三条信息收集与告知（一）医疗服务提供方为提供和完成本合同约定的医疗健康服务，可能需要收集医疗服务接收方以下类型的个人信息：1.个人身份信息：包括但不限于姓名、身份证号码、护照号码、手机号码、电子邮箱地址、住址、联系方式等。2.健康信息：包括但不限于既往病史、过敏史、遗传信息、当前诊断、健康状况、症状描述、医疗建议、治疗方案、用药记录、健康检查结果（包括检验报告、影像资料等）、疫苗接种记录、手术记录、心理评估信息等。3.保险信息：包括但不限于保险公司名称、保险单号、保险计划详情等，如医疗服务接收方选择使用医疗保险进行支付。4.支付信息：包括但不限于支付方式、支付账户信息等。5.位置信息：在提供紧急医疗服务或特定诊疗服务时，可能需要获取医疗服务接收方的位置信息。6.其他为提供特定医疗服务所必需的信息。（二）收集个人信息的目的是为了：1.提供和完成本合同约定的医疗健康服务，包括但不限于问诊、检查、治疗、康复、健康咨询等。2.保障医疗服务接收方及他人的健康和安全。3.进行临床研究、医学教育、质量控制与改进，但进行此类活动前将另行征得医疗服务接收方的明确同意。4.履行法律法规规定的义务，如报告法定传染病、参与公共卫生应急响应等。5.获得医疗服务接收方的同意后，用于健康管理、疾病预防、客户服务、沟通联络等。6.处理保险理赔事宜。（三）医疗服务提供方将通过以下方式向医疗服务接收方告知本协议项下的隐私保护条款及个人信息处理规则：1.在签订本合同前提供清晰的隐私政策说明。2.在医疗服务提供方的官方网站、APP或其他服务渠道公示隐私政策。3.在提供特定医疗服务前，就特定的信息处理活动进行单独告知。（四）医疗服务提供方仅收集实现处理目的所必需的最少个人信息。第四条个人信息的处理、使用与共享（一）医疗服务提供方将依法、正当、必要地处理医疗服务接收方的个人信息，并确保处理活动符合本协议约定及法律法规要求。（二）医疗服务提供方在处理个人信息时，将遵循目的限制原则，仅将个人信息用于本协议第三条所述的目的，或获得医疗服务接收方另行同意的目的。（三）除本协议另有约定或法律法规另有规定外，医疗服务提供方不得将医疗服务接收方的个人信息共享、转让或提供给任何第三方。1.获得医疗服务接收方明确同意：医疗服务提供方如需将个人信息用于本协议第三条所述目的之外的其他用途，或共享、转让给第三方，必须获得医疗服务接收方以书面、电子签名或明确指令等可验证方式出具的明确同意。2.法律法规要求或协助执行：如接到有关部门依法作出的指令或协助执行通知书，医疗服务提供方将按照要求提供相应的个人信息。3.为医疗服务接收方利益所必需：如为抢救生命垂危的患者等紧急情况，无法取得患者或其近亲属意见时，为抢救该患者而必要的诊疗活动，医疗服务提供方可依据法律法规和诊疗规范进行处理，并应尽可能通知患者或其近亲属。在转诊、会诊、保险理赔等情况下，如为提供必要的医疗服务所必需，且无法获得患者同意，医疗服务提供方可以将相关信息提供给相应的接收方或机构，并提前告知患者。4.合并或收购：如医疗服务提供方发生合并、分立、收购或资产转让等情况，接收方同意将其个人信息权益一并转让给承继其权利义务的第三方，医疗服务提供方在此类情况下应提前通知医疗服务接收方。5.提供医疗服务所必需：如需委托第三方服务商（如检验机构、影像中心、信息系统集成商、咨询公司等）提供辅助服务，医疗服务提供方应与该等第三方服务商签订协议，明确其仅为履行协议约定而处理个人信息，并承担相应的保密义务，确保其处理活动符合本协议及法律法规的要求。（四）在共享、转让或提供给第三方个人信息时，医疗服务提供方将确保仅提供实现约定目的所必需的最少信息，并要求接收方或第三方对个人信息进行安全保护。（五）如需将个人信息传输至中国境内以外的境内机构或境外个人，医疗服务提供方将确保：1.接收方所在国家或地区提供与中华人民共和国法律、行政法规具有同等效力的个人隐私保护水平；或2.采取有效的合同措施（如标准合同条款），或具有约束力的公司规则，或获得医疗服务接收方的明确同意等保障措施。第五条信息安全保护（一）医疗服务提供方将采取必要的技术和管理措施，保障个人信息的安全，防止未经授权的访问、泄露、篡改、丢失。所述措施包括但不限于：1.采取加密技术存储和传输个人信息。2.严格限制对个人信息的访问权限，遵循最小权限原则。3.定期进行安全风险评估、漏洞扫描和风险评估。4.建立健全内部管理制度和操作规程，对接触个人信息的工作人员进行保密教育和培训。5.对存储个人信息的介质（如硬盘、服务器、纸质文档）进行安全管理和处置。6.建立个人信息安全事件应急预案，并在发生安全事件时按照法律法规和本协议约定采取补救措施并及时通知相关个人和监管机构。（二）如医疗服务提供方委托第三方处理个人信息，医疗服务提供方应要求该第三方采取不低于本协议规定的安全保护措施，并对其进行监督和管理。（三）任何工作人员知悉个人信息的，应当对其保密，对在履行职责过程中获知的个人信息负有保密义务，不得非法向他人提供、出售或公开个人信息。第六条患者权利保障医疗服务接收方对其个人信息享有以下权利：（一）有权访问其个人信息：医疗服务接收方有权查询其个人信息的处理情况，并可要求医疗服务提供方提供其个人信息的副本。医疗服务提供方应在收到请求后合理期限内响应。（二）有权更正其不准确的个人信息：如发现其个人信息存在错误或不完整，有权要求医疗服务提供方及时更正。（三）有权删除其个人信息：在符合以下情形之一时，有权要求医疗服务提供方删除其个人信息：1.个人信息处理目的已实现，或者处理期限已届满；2.医疗服务接收方撤回同意；3.个人信息处理违反法律法规或者本协议约定；4.个人信息已泄露、篡改或丢失，可能对个人信息主体权益造成损害。医疗服务提供方应在收到删除请求后，根据法律法规和本协议约定执行删除操作。（四）有权限制或拒绝处理其个人信息：在符合以下情形之一时，有权要求医疗服务提供方限制或拒绝处理其个人信息：1.个人信息处理不符合法律法规或者本协议约定；2.个人信息处理目的已实现、不再需要，或者以处理目的实现所需的最少处理量处理已足够；3.个人信息处理依赖于个人信息主体的同意，而个人信息主体撤回了同意；4.个人信息处理侵犯个人信息主体的合法权益。医疗服务提供方应在收到限制或拒绝处理请求后，根据法律法规和本协议约定执行。（五）有权撤回其同意：对于基于同意的处理活动，医疗服务接收方有权撤回其同意。撤回同意不影响处理前基于同意已进行的必要处理。（六）有权就其信息保护问题投诉：医疗服务接收方有权就其个人信息保护问题向医疗服务提供方提出投诉，医疗服务提供方应建立相应的投诉处理机制。（七）有权向有关部门投诉或举报：医疗服务接收方有权就医疗服务提供方违反个人信息保护法律、行政法规的行为向有关监管部门投诉或举报。（八）有权要求对个人信息的处理进行可携带：在特定情况下，医疗服务接收方有权要求医疗服务提供方以可理解格式获取其个人信息，并用于向另一个提供者或接收者转移。（九）行使权利的方式：医疗服务接收方可以通过书面、电子邮件、电话或医疗服务提供方指定的其他合法途径行使上述权利。医疗服务提供方应在收到请求后，根据法律法规和本协议约定，在合理期限内响应并处理。第七条信息存储期限（一）医疗服务提供方将按照法律法规的规定以及为实现处理目的所必需的最短时间存储个人信息。（二）对于为提供特定医疗服务所必需的个人信息，如诊断记录、治疗记录等，将至少保存至医疗服务接收方去世后三十年，或根据法律法规、合同约定以及医疗质量控制要求需要更长时间保存的，按其规定执行。（三）对于超过保存期限的个人信息，医疗服务提供方将采取安全匿名化处理或进行安全销毁，确保个人信息无法被复原识别。（四）如因法律诉讼、行政调查等需要，存储期限可能根据相关要求顺延。第八条跨境传输如本协议第四条所述，涉及将个人信息传输至中国境内以外的境内机构或境外个人时，医疗服务提供方承诺将严格遵守《中华人民共和国个人信息保护法》等相关法律法规关于跨境传输的规定，采取必要的保护措施，并确保接收方或境外个人履行与在中国境内处理个人信息同等程度的保护义务。第九条国际学生/海外人士特别规定（如适用）对于国际学生或海外人士，医疗服务提供方在收集、处理、使用、存储和共享其个人信息时，除遵守本协议约定外，还将遵守其来源国和居住国关于个人信息保护的法律法规要求。如需额外授权，将另行通知并征得其同意。第十条法律合规与审计（一）医疗服务提供方承诺其个人信息处理活动将始终遵守所有适用于其运营所在地的现行有效的个人信息保护法律、行政法规及政策要求，包括但不限于《中华人民共和国个人信息保护法》、《中华人民共和国网络安全法》、《中华人民共和国数据安全法》以及2025年可能实施的最新法律法规。（二）医疗服务提供方同意接受相关监管部门对其个人信息处理活动的监督检查，并配合进行必要的审计。第十一条协议的变更、终止与影响（一）医疗服务提供方可能根据法律法规变化、业务发展或监管要求等，对本协议项下的隐私保护条款进行修订。修订后的条款将在修订通知发布之日起生效。如修订内容对医疗服务接收方权益有重大影响的，医疗服务提供方将另行通知并征得其同意。（二）本协议的终止不影响隐私保护条款的持续效力。即使医疗服务