安全与合规
本页只列出系统已经实现、可以核验的措施；没有证据的事项写明“以实际部署配置为准”。更新：2026 年 10 月 17 日
1) 数据存在哪里
网站页面、账户认证、登记数据库、附件与备份均部署在阿里云中国境内（上海）区域的服务器上，即
登记数据存储在中国境内。2026 年 10 月 17 日已从境外云服务整体迁入并核验；迁移前的境外环境在观察期后删除，迁移记录见
隐私政策第六部分。录入真实研究数据前，机构仍应按隐私政策完成授权与评估。
2) 数据最小化
研究数据以项目、中心代码和研究编号区分；请勿录入患者姓名、联系方式、病案号、身份证号或身份对照表。系统对常见的直接身份信息格式做录入检查，但检查只能减少误录，不能替代研究团队的管理。以研究编号登记的数据仍可能与个人关联，应按研究方案与敏感个人信息保护要求管理。
3) 项目角色与访问控制
权限按项目分配，数据库对每一次读取和写入都按行检查项目归属与角色：
- 负责人：管理项目设置与成员，录入、更正，发放和撤销随访链接，生成冻结数据版本并导出。
- 录入协作人：录入、批量导入、带原因更正，发放和撤销随访链接；不能导出。
- 分析协作人：查看数据，生成冻结数据版本并导出；不能修改数据。
- 只读协作人：只能查看。
不同项目之间的数据互相隔离；同一研究者可被授权访问多个项目。成员使用各自已验证邮箱的账户，由负责人添加和移除。导出权限与查看权限分开控制，但查看权限无法阻止手工抄录或截图，机构仍需约定数据使用范围。移除录入协作人或把其改为其他角色时，系统会让该项目现有的有效随访链接失效，操作前会提示。
4) 随访链接
每条随访链接只对应一个研究编号，只能提交该研究编号的随访；链接有有效期，可随时撤销。自本次升级起，数据库只保存链接的不可逆校验摘要，不保存链接原文；链接原文只在生成时显示一次，丢失后需要重新生成。升级前生成的链接继续有效（摘要一致），升级前的数据库备份仍含旧链接原文，按迁移规程限期销毁。
5) 审计记录
基线、随访和检验记录的每次修改由数据库逐字段写入审计记录，包含修改前后的值、操作者和时间；删除时记录操作者、时间和原记录的校验指纹；通过更正功能修改时必须填写原因。成员变更、随访链接的发放与撤销、导出都留有记录。冻结数据版本保存同一时点的数据副本及 SHA-256 校验值，可以重新下载核对。审计和导出记录也应纳入机构的保留与删除规则。
6) 传输、加密与备份
全站通过 HTTPS 访问。数据库与附件每日自动备份一次，备份加密保存于境内服务器，保留 30 天，每次备份自动核对关键表是否齐全。存储层静态加密、异地备份副本、可接受数据损失时间和恢复服务时间，以实际部署配置为准，本页不作具体承诺；机构评估时可向我们索取对应项目的配置与恢复演练记录。网页文件的备份不能替代数据库备份。
7) 我们没有声明的事项
本页没有声明已完成网络安全等级保护定级备案、第三方渗透测试、临床试验电子数据系统相关的合规验证，也没有声明已取得任何伦理批准。机构需要的证明材料，应在合作前以可核验的文件提供；没有文件的，以“尚未提供”对待。
支持与服务
- 联系方式：邮箱 china@kidneysphere.com，微信 GlomConChina1。
- 响应：工作日内回复；问题需要排查时，我们会在回复中说明处理进度。我们目前不提供书面的服务等级承诺（SLA），机构如有要求请在合同中约定。
- 报告安全问题或疑似数据泄露：请发邮件并在标题注明“安全问题”，写明发现时间、涉及的项目和现象，不要在邮件中附带患者数据。
- 数据导出与删除：负责人和分析协作人可在工作台随时导出；删除账户或项目数据请发邮件申请，核验身份与权限后处理并反馈结果。
院内评估常用材料
- 数据最小化说明（研究编号登记，不录入直接身份信息）
- 项目角色与访问控制说明
- 审计记录说明
- 数据存储位置、备份范围与恢复安排（以实际部署配置为准）
- 私有化或院内部署边界说明
- 数据处理协议、个人信息保护影响评估、事件响应联系人等核验清单