本頁範圍及適用協議
HelloClinic 由 KAKI TECH LIMITED 營運。本頁提供有關本服務安全的一般資訊，並非每項方案、功能或環境所包含控制措施的規格清單。
合約依據
安全義務、服務水平、支援及補救安排，按適用法律及已接受的服務條款、訂單、SOW、服務協議、資料處理條款及 SLA（如適用）規管。該等文件如有衝突，按適用協議所訂的文件優先次序處理。私隱政策說明相關個人資料處理做法。除非本頁獲明確納入協議，否則本頁不會另行產生合約義務或權利。
風險及責任界線
任何系統均不能消除所有安全、中斷或資料遺失風險。本頁不保證服務持續可用、所有漏洞均會被發現或修正，或所有資料均可復原，亦不另設賠償或責任規則。適用的免責、責任限制及補救安排載於規管雙方關係的協議，但法律不容許排除或限制的責任及權利不受影響。
安全安排的更新
我們可因技術、威脅及營運需要的變化，更新供應商、配置及安全措施。本概覽的更新不會修改已簽署協議，亦不會免除適用法律所訂的義務。雙方已約定的變更要求或通知安排仍然適用。
安全措施及存取管理
我們按資料、系統及相關風險採取技術及營運保障措施。個別功能或連線可使用的控制措施，取決於其支援能力及現行配置。
基礎設施及網絡防護
雲端、網絡及安全服務可在已配置的範圍內，支援託管、流量過濾、限速、DDoS 緩解及 Web 應用程式防火牆等控制措施。相關基礎設施供應商負責其本身的實體及平台保障。使用某供應商，不代表 HelloClinic 已包含該供應商提供的所有服務或控制措施。
傳輸及儲存保護
受支援的用戶端與本服務之間的連線使用 TLS 等傳輸加密。儲存加密、密鑰管理及相關控制措施，按資料類型、基礎設施及服務環境而定。除非另有明確約定，這些說明不表示提供端對端加密、客戶專屬密鑰或某一指定加密標準。客戶仍須保護其下載、匯出、列印或以其他方式自行持有的資料副本。
獲授權的營運存取
客戶資料的存取限於有需要為獲准目的而存取的授權人員及供應商，例如支援、維護、保安、事故調查、法律合規或執行已約定的客戶指示，並受適用的保密及存取控制規管。遙距連線或畫面分享須獲客戶明確授權。客戶應在支援連線前移除無關或不必要的敏感資料。
客戶責任
診所客戶控制本服務使用方式的重要部分。客戶須負責其控制範圍內的人員、資料、裝置及流程；我們同時履行適用法律及協議下的責任。
帳戶、裝置及整合
客戶須管理授權用戶及管理員權限、保護登入憑證、避免共用帳戶，並在人員或職務變更時盡快調整存取權。應使用獨有密碼，並在可用情況下啟用多重身份驗證（MFA）。客戶亦須管理其裝置、瀏覽器、網絡、API 憑證及自行選用整合的安全，包括授予外部人士的存取權。
資料管治及處理指示
客戶須負責上載資料的合法性及準確性、所需通知及權限、有文件記錄的處理指示，以及使用本服務的方式是否適合其臨床及監管責任。提供技術平台，不代表診所的專業判斷、病歷保存義務或對病人的責任轉移至 HelloClinic。
持續營運及及時通報
客戶應透過可用的服務功能或雙方約定安排，維持其營運所需的匯出資料、獨立紀錄、備份及應變程序，不應將本服務視為唯一備份或持續營運措施。如懷疑登入資料被濫用、出現未授權存取或安全問題，應盡快通報，並合理協助調查及控制影響。
供應商、備份及資料保留
本服務依賴基礎設施及其他支援服務。供應商安排、資料地點、備份能力及保留要求，按相關配置、適用文件及法律規管。
供應商及認證範圍
我們可使用 Google Cloud、Cloudflare，以及其他託管、儲存、通訊、支援、付款或安全服務供應商，並遵守適用的資料處理及保障要求。資料可能按適用文件所述，在香港或其他地點處理。供應商的認證、報告或合規計劃，只適用於其列明範圍，不會單憑該等安排令 HelloClinic 取得認證，亦不代表客戶已符合其合規要求。
備份及復原界線
如有提供營運備份，其用途是支援相關服務安排，本身並不構成專用封存或為個別客戶提供的資料復原服務。備份頻率、復原點、復原時間及復原協助，須按適用協議及技術能力處理。本頁不承諾某一復原結果或復原期限。
匯出、保留及刪除
客戶應在適用的存取或匯出期限屆滿前完成所需匯出。資料返還、保留及刪除按服務條款、相關私隱政策及適用客戶協議處理。例行備份可保留資料至正常輪換覆寫，而部分紀錄可因合法的保安、帳務、爭議處理或法律目的保留。已刪除資料可能無法復原；本頁不承諾無限期保存或即時清除每一份副本。
安全營運及事故處理
安全工作的優先次序按問題性質、嚴重程度及可能影響釐定。隨着可靠資料逐步取得，調查、控制影響及補救工作可分階段進行。
按風險安排維護
開發及維護活動可包括按相關變更及風險進行的程式碼審查、測試、依賴套件檢視、漏洞評估、日誌記錄、監察及修補。範圍及時間安排取決於證據、影響、依賴項目及適用義務。自動監察不代表持續人手檢視，亦不構成全天候支援承諾。
保護措施
在適用協議及法律允許的範圍內，我們可限制受影響的存取、撤銷憑證、隔離組件或暫時限制功能，以處理安全或可用性風險。如按該等條款有必要採取緊急保護措施，可不作預先通知。客戶可能需要重設憑證、更新配置，或配合其他控制影響的措施。
事故評估及通知
我們會評估懷疑事故，並按適用法律、協議及適用私隱政策的承諾通知相關客戶。如確認涉及客戶資料的事故，且合理地可能對客戶造成重大風險，我們會在沒有不當延誤的情況下通知該客戶。任何要求更早通知的適用義務仍然有效。初步通知可能基於尚未完整的資料，並隨調查進展更新。客戶仍須負責其角色所要求的通知，而我們會按協議提供合理協助。
安全查詢及獲授權測試
安全查詢、檢視及漏洞報告應透過適當渠道進行，並保護機密資料、病人資料及本服務的正常運作。
安全敏感資料
我們可按合理要求提供可取得的安全資料，惟須受身份核實、保密安排及適用義務規限。本頁不授予查閱原始碼、憑證、詳細架構、完整日誌或其他客戶資料的權利。資料披露及審計安排按適用協議及法律要求處理，並須對敏感資料採取適當保障。
測試須獲書面授權
本頁不授權進行滲透測試、漏洞掃描、負載測試或嘗試繞過存取控制。除適用法律另有規定外，測試須事先取得涵蓋範圍、時間、方法及資料處理方式的書面授權。任何已約定的檢視均須保護其他客戶並避免干擾服務。適用協議下已有的審計權利仍按該協議處理。
報告及修補安排
請提供足以識別及重現懷疑問題的資料，並避免取得或披露不必要的個人資料。我們可要求補充資料，並按經核實的嚴重程度、影響及適用義務安排處理次序。除法律或適用協議另有要求外，本頁不承諾固定的確認收件、修補或公開披露時間表，亦不承諾就報告提供獎勵或付款。