合规 - Mirobody

Mirobody Platform 在中国大陆与美国分别独立运营。两个集群完全独立 —— 账号、文件、健康数据不会跨境复制，每个集群按所在司法辖区的法律设计、运营、审计。

两个集群都按 HIPAA 健康级隐私 标准设计；美国侧另外接受第三方持续审计。中国集群依法遵循 PRC 隐私与数据安全法律，并主动对齐 HIPAA 设计原则。

核心承诺

健康档案隐私化

遵循”最小必要”原则。健康指标 / 文件 / 日记按用户维度隔离；分析层面只接触必要字段，敏感字段静态加密存储；服务运维人员不接触明文 PHI。

中间过程不留存

LLM 调用走 BYOK 协议 —— 合作伙伴的 LLM Key 永不入库、永不入日志，请求结束即丢弃。上游 LLM 的中间推理 / 工具调用 trace 不持久化；仅在用户自己的会话历史中保留可见的对话内容。

加密保护

传输层强制 TLS 1.2+（HTTPS / WSS）；静态存储采用行业领先标准的加密；用户敏感字段在入库前另作字段级加密。

不出售用户数据

我们绝不将用户健康数据用于销售、广告投放或第三方变现。

用户权利

账号注销（POST /user/del 触发软删除）；数据导出（健康档案 / 日记 / 文件 / 对话历史均可经 API 自取）。

已上线 · 遵循 PRC 法律 + 对齐 HIPAA 设计原则

HIPAA day one · 第三方持续审计 · 欧盟用户对齐 GDPR

框架	适用范围	官方原文 / 凭证
HIPAA	美国市场	HHS HIPAA Hub · Theta Vanta Trust Report
GDPR	欧盟 / EEA 用户	EUR-Lex 32016R0679
BAA（业务伙伴协议）	HIPAA covered entity 接入	发送邮件至 Mirobody 支持启动签署流程

合规问卷、数据处理协议（DPA）、HIPAA BAA、SOC 2 / Vanta 审计报告等正式文件，请发送邮件至 Mirobody 支持。