資安與供應商

您診所的資料庫位於加拿大蒙特婁，放在屬於您診所的帳戶中。MyTCM 依據 PIPEDA 與卑詩省 PIPA 的十項原則設計。我們沒有取得任何隱私認證，也不會聲稱有。

哪些公司替我們處理資料

• Supabase

  存放您診所的資料庫。

  加拿大蒙特婁（ca-central-1）。Supabase 是美國公司。

• Amazon Web Services（S3）

  存放您附加的患者檔案。

  蒙特婁，並在卡加利有備份副本，靜態資料已加密。AWS 是美國公司。

• Cloudflare

  網站託管、電郵轉送與 Workers。

  美國公司，網路遍布全球，並不保證資料留在加拿大。

• Deepgram

  語音輸入。

  美國。

• Twilio

  簡訊提醒與確認。

  美國。

• Google

  日曆同步、Gmail 轉寄，以及存放在診所自己雲端硬碟的每晚加密備份。

  美國。

• Resend

  電郵提醒、收據與職員通知。

  美國公司，我們正在核實處理地區。

完整名單，包括收款、翻譯、日曆與備份供應商，請見隱私影響評估（英文）。

供應商公開的資料

Cloudflare 在其Trust Hub公開自己的安全認證，例如 SOC 2 Type II 與 ISO 27001，並提供資料處理附錄。 這些是 Cloudflare 自己的認證，並不是 MyTCM 的。

我們如何保護資料

• 資料在傳輸時加密，患者檔案在儲存時加密。
• 每間診所各有自己的資料庫，不與其他診所共用。
• 保險公司通知由我們自己程式中的固定規則讀取，並非由 AI 讀取。
• NTL 保管營運每間診所所需的技術憑證，憑證以加密方式儲存，更新、維修等管理動作會記錄在操作紀錄中。
• 相關條款載於資料處理協議（英文）。

什麼是 CIPP/C，我們為什麼提到它

CIPP/C 全名為 Certified Information Privacy Professional / Canada（加拿大認證資訊隱私專業人員），由獨立的專業組織 IAPP（國際隱私專業人員協會）頒發。加拿大版本涵蓋加拿大的隱私法律，包括 PIPEDA、卑詩省 PIPA 及其他省份的隱私法，以及機構在實務上應如何處理個人資料，其中包括健康資料。

MyTCM 創辦人 Oscar Poon 正在考取這項認證。他尚未通過考試，所以 MyTCM 目前並未持有這項認證，也不會聲稱持有。

這對您的診所意味著什麼。負責設計及管理 MyTCM 如何處理您患者資料的人，正在有系統地學習加拿大隱私法，而不是憑猜測。但這並不代表 MyTCM 已合規、已獲認證或獲任何監管機構認可，也不能保證不會發生資料外洩。診所仍須依法為自己的患者同意書和記錄負責。

為什麼誰來處理資料很重要。法律並未要求軟體公司必須持有這項資格，但要求問責：要有人為個人資料的處理方式負責，並且在發生嚴重外洩時有通報義務。處理患者資料的人若不了解這些規則，可能造成實際的傷害，例如記錄被交給錯誤的人、資料保存超過應有的時間，或外洩未能及時通報。受影響的首先是患者，其次是您的診所。

持有認證不等於只有認證者能接觸資料。代表 NTL 處理您診所系統的任何人，都受資料處理協議約束，管理動作會記錄在操作紀錄中。

如有疑問，請聯絡 support@mytcm.ca。