隐私政策

BONROI（以下简称“我们”或“公司”）运营医疗管家平台 healwith，协助国际患者在大韩民国获得医疗服务。healwith 并非医疗机构，不直接提供诊断或治疗服务。

本政策主要受大韩民国《个人信息保护法》（PIPA）、《医疗法》以及《关于支持医疗海外拓展及吸引外国患者的法律》管辖。在适用情形下，本政策亦遵循您居住国法律的相关要求（例如欧盟《通用数据保护条例》（GDPR）、哈萨克斯坦第94-V ЗРК号法律、俄罗斯联邦第152-ФЗ号法律等）。针对各司法管辖区的具体告知载于下文专门章节。

无论用户的国籍或居住地为何，我们均审慎对待所有用户的个人信息，并依照适用法律予以安全处理。

商号：BONROI（服务名称：healwith）

经营形态：个人经营者

代表人：JUYOUNG KANG

营业执照号：463-35-00902

外国患者招揽机构登记号：A-2026-01-02-06761（有效期 2026-03-11 ~ 2029-03-10，由首尔特别市市长登记）

注册地址：Room 613, 385 Gangseo-ro, Gangseo-gu, Seoul, Republic of Korea

联系方式：+82-10-4772-1075（国际）· 070-7500-7795（韩国境内）

电子邮箱：admin@healwith.co.kr

营业时间：周一至周五 09:00-18:00 KST（韩国法定节假日除外）

【必填项目】

· 姓名、出生日期、性别、国籍、护照号码（用于签证及医院登记）

· 联系方式（电子邮箱、电话、即时通讯账号）

· 居住地址（用于停留支持）

· 监护人/陪同人信息（患者为未成年人或老年人时）

【敏感信息 — 单独同意】

· 诊断名称、治疗史、当前症状、服用药物

· 诊断书、检查结果、影像资料（X 光、CT、MRI 等）

· 医疗保险及旅行保险信息

· 残疾情况（用于无障碍支持）

【自动收集】

· IP 地址、Cookie、会话日志、服务使用记录

· 设备信息（操作系统、浏览器、型号）、大致地理位置（国家级别；精确位置仅在同意时收集）

· 移动应用推送通知的设备令牌（仅在您于应用中允许通知时）

【使用远程协诊（视频咨询）时】

· 语音与影像：仅在通话过程中实时传输，公司不进行录音录像（录制功能目前处于关闭状态，如日后启用将事先取得同意并修订本政策）。

· 字幕及翻译文本：作为咨询记录加密保存。字幕仅在您开启时才会生成。

· 为生成字幕，通话语音会发送至第9条所列受托方进行转写与翻译（若使用浏览器转写，语音也可能发送至您的浏览器厂商）。

【支付相关】

· 公司不向用户直接收取诊疗费或服务费，也不收集或存储卡号等支付信息。诊疗费由用户直接向医疗机构支付。

a. 用户识别及本人确认

b. 医疗机构匹配、就诊预约、签证及停留支持

c. 基于用户同意向医疗机构提供就诊相关信息

d. 口译、交通、住宿等附加服务

e. 诊疗费用报价及结算支持（公司不直接收取用户的诊疗费）

f. 投诉及咨询处理、客户支持

g. 服务质量改进、统计分析、安全事件应对

h. 履行法定义务

i. 发送预约、咨询及办理进度通知（电子邮件，以及在应用中允许时的推送通知）

healwith 处理“与健康有关的信息”，该等信息依据 PIPA §23 构成敏感信息，并依据 GDPR 第9条构成特殊类别个人数据。该等数据仅在获得您明确的单独同意后方予收集和使用。

敏感信息仅用于医疗机构匹配及适当的诊疗协调，并仅在您同意的范围内提供给医疗机构。

您有权拒绝同意敏感信息的处理；如不同意，可能会限制您使用医疗匹配服务。

在收集目的达成后，我们将立即删除个人信息，但法律要求保存的情形除外。

【依法定保存】

· 合同/撤回记录：5 年（《电子商务消费者保护法》§6）

· 消费者投诉及纠纷处理记录：3 年

· 登录记录：3 个月（《通信秘密保护法》§15-2）

· 医院保存的诊疗记录：10 年（《医疗法》§22）。注：原件由医院制作与保管，healwith 不保存其副本。但您本人或代表您的机构为咨询而直接提交给 healwith 的检查资料与影像文件（CT、MRI 等）由本公司保管，保管期限见下方按服务目的的保管。

【按服务目的保存】（存储限制原则——《个人信息保护法》§21、GDPR 第5(1)(e)条：仅在目的所需的期间内保存）

· 账户信息：在会员资格有效期间保存。您注销时，登录方式和联系信息（姓名、电话、邮箱）将立即销毁。您可在服务内「账户与隐私」页面自行注销。

· 长期未使用的账户：本公司不因未使用而自动销毁账户。此前要求如此处理的个人信息有效期制度已于 2023 年 9 月 15 日废止，休眠政策改由各企业自行决定；且癌症诊疗涵盖诊断、治疗与后续管理，历时数年，一段时间未使用并不代表关系已结束。您可随时自行注销；若本公司新设休眠政策，将事先通知。

· 敏感健康信息：在提供服务（包括事前咨询、治疗及后续管理）所需的期间内保存。会员注销或撤回同意时，附于该信息的姓名、电话、邮箱将立即销毁，使其无法再识别到您本人。但已发送至医疗机构的诊疗相关记录及您上传的检查文件，将在上述【依法定保存】所列期间内保留，这些文件中可能写有您的姓名；保存期限届满后立即销毁。注：本方针中“服务完成”指包括后续管理在内的与用户关系的结束，而非一次性诊疗。

· 检查资料与影像文件（含 CT/MRI 影像）：自关系结束之日起保管 3 年后销毁。该期限与消费者投诉及纠纷处理记录的保存期限一致（《电子商务消费者保护法》§6），也是咨询结束后应对再次委托或再次咨询所需的期间。影像原件由主诊医院依《医疗法》另行保管。

· 未进入咨询的问询：仅提交问询而未进入咨询或治疗时，没有关系结束之日，因此自最后一次联系或提交资料等最后活动之日起满 3 年后销毁。在此期间再次联系我们，可从原有问询继续。

· 远程协诊字幕及对话记录：加密保存；在与用户的关系结束或收到删除请求时销毁

· 营销同意信息：至撤回同意为止

基于您的同意，我们向以下第三方提供个人信息：

【医疗机构】

· 提供对象：经您选择并同意的韩国境内医院及诊所

· 目的：诊疗咨询、预约、治疗方案制定

· 提供项目：姓名、出生日期、联系方式、护照号码、诊断名称、症状、医疗记录

· 保存期限：依各机构在医疗法下的保存义务（通常为 10 年）

【签证代办机构】

· 提供对象：合作签证代办机构（经同意）

· 提供项目：护照复印件、邀请函、出行日程

· 目的：医疗签证（C-3-3、G-1）申请代办

【转介患者的海外招揽机构】

· 提供对象：转介您的当地招揽机构（仅限转介该用户的机构）

· 目的：以当地语言传递专科医生意见书与治疗指引、口译，以及诊前·诊后管理联络

· 提供项目：姓名、联系方式、诊断名·症状、专科医生意见书、治疗及日程指引

· 转移国家：用户居住国（如哈萨克斯坦、俄罗斯）

· 保留期限：依各机构自身的隐私政策

· 注：该等机构并非本公司的受托方，而是为自身目的处理个人信息的独立个人信息处理者。

【保险公司】

· 提供对象：旅行/国际保险合作伙伴（经同意）

· 目的：理赔支持

您有权拒绝向第三方提供信息，但相应服务可能因此受限。

鉴于本服务的性质——协助海外患者在韩国获得医疗服务——我们将个人信息从您的居住国转移至大韩民国。部分运营数据亦可能转移至其他司法管辖区。

【接收方及司法管辖区】

· 韩国合作医院（用于医疗目的）

· 云基础设施：Vercel Inc.（美国）、Supabase Inc.（美国——数据存储于首尔（ap-northeast-2）区域）

· 社交登录身份验证：Google LLC（美国）、Apple Inc.（美国）——使用相应登录方式时

· 分析服务：Google Ireland Ltd.（GA4，爱尔兰）

· 邮件发送：Resend Inc.（美国）

· 远程协诊视频通话：LiveKit Inc.（美国）

· AI 聊天机器人、翻译及远程协诊字幕转写：Google LLC（Gemini API，美国——使用相关功能时）

· 应用推送通知：Google LLC（Firebase Cloud Messaging，美国——在应用中允许通知时）

· 转介患者的海外招揽机构（患者居住国，如哈萨克斯坦、俄罗斯）：传递专科医生意见书与治疗指引，并支持诊前·诊后管理 —— 依据第7条向第三方提供；该机构并非我们的受托方，而是为自身目的进行处理的独立个人信息处理者

【目的及项目】

· 医院：与第7条相同

· 云/分析：账户信息、日志、Cookie 标识符

【保存期限】 依各接收方的政策及合同条款。

【您的权利】 您有权拒绝转移，但由于转移对本服务而言不可或缺，拒绝将导致无法使用本服务。

【安全措施】

· 欧盟→韩国转移：根据欧盟委员会于2021年12月作出的韩国充分性决定（Decision 2022/254），在数据于韩国境内并受 PIPC 监管下处理的前提下，此类转移可无需单独的 SCC 即可进行。

· 其他转移：我们通过标准合同条款或与之相当的合同及技术安全措施（加密、假名化）确保接收方履行个人信息保护义务。

· 关于哈萨克斯坦：请参阅第16条有关本地化义务的规定。

我们依合同将个人信息处理业务委托给以下处理者：

· Supabase Inc. — 数据库托管（美国——数据存储于首尔（ap-northeast-2）区域）

· Vercel Inc. — 网络应用托管（美国）

· Google LLC — 身份验证（OAuth）、分析、地图（美国/爱尔兰）

· Apple Inc. — 「通过 Apple 登录」身份验证（美国）

· Resend Inc. — 通知及告知类电子邮件发送（美国）

· LiveKit Inc. — 远程协诊视频通话（美国）

· Google LLC（Gemini API）— AI 聊天机器人应答、翻译及远程协诊字幕转写（使用相关功能时，美国）

· Google LLC（Firebase Cloud Messaging）— 应用推送通知发送（在应用中允许通知时，美国）

合同要求处理者遵守个人信息保护义务、禁止超出既定目的使用，并采取技术及管理保护措施。我们定期对处理者进行监督。

您可以行使以下权利：

· 要求查询个人信息处理现状及要求停止处理（PIPA §35、§37）

· 查阅个人信息（§35）

· 要求更正及删除个人信息（§36）

· 撤回同意（§37）

· 对自动化决定的拒绝权（§37-2）

· 损害赔偿请求权（§39）

您可通过 admin@healwith.co.kr 或本政策第14条个人信息保护负责人（DPO）的联系方式行使上述权利，公司将在 10 日内予以处理。

您可向大韩民国个人信息保护委员会提出申诉及申请纠纷调解：

· 个人信息保护委员会：（免区号）182，www.privacy.go.kr

· 个人信息纠纷调解委员会：1833-6972，www.kopico.go.kr

healwith 可能收到涉及未成年患者（如儿童肿瘤）的管家请求。在此类情形下，我们要求核实法定代理人（父母/监护人）的同意。

法定代理人可随时要求查阅、更正、删除或停止处理未成年人的个人信息，我们将立即予以响应。

我们实施以下保护措施：

· 管理方面：指定个人信息保护负责人、定期培训、最小化访问权限

· 技术方面：加密（传输采用 TLS 1.3，存储采用 AES-256）、入侵防御系统、安全补丁管理

· 物理方面：数据处理区域的出入控制

· 事件应对：发生泄露时，于 72 小时内通知监管机构及信息主体

我们使用 Cookie 用于保持会话、语言设置、安全及使用分析。

您可通过浏览器设置拒绝 Cookie。详情请参阅我们的《Cookie 政策》。

在移动应用中仅使用必要项目，不使用分析类 Cookie。

【移动应用权限（《信息通信网法》§22-2）】

· 相机（可选）：视频咨询、拍摄诊断书及检查结果

· 麦克风（可选）：视频咨询的语音

· 通知（可选）：预约、咨询及办理进度的提醒

· 照片及文件（可选）：上传并保存诊断书及检查结果

没有必需权限。即使不授予上述任何权限也可使用本应用，仅相关功能受限。权限可随时在设备设置中更改。

删除应用后，通知所用的设备令牌即失效，并会从公司服务器中清理。

姓名：JUYOUNG KANG

职务：代表人（兼任 — 依据韩国 PIPA §31 及 GDPR 第37条）

电子邮箱：admin@healwith.co.kr

电话：+82-10-4772-1075（国际）· 070-7500-7795（韩国境内）

您可就个人信息相关的咨询、投诉或权利救济请求直接联系个人信息保护负责人。我们将在 10 个工作日内予以答复。

公司使用基于 AI 的匹配算法为您推荐合适的医疗机构。这可能构成《个人信息保护法》第37条之二所称的“自动化决定”。

【自动化处理项目】

· 基于症状及诊断名称的诊疗科室匹配

· 基于既往治疗案例及语言支持可行性的医院排名推荐

· 根据停留期间及预算自动生成套餐

【您的权利】

· 要求就自动化决定的结果作出说明

· 拒绝自动化决定并要求由人工进行复核

· 上述请求请发送至 admin@healwith.co.kr 或第14条 DPO 联系方式

最终的医疗决定务必取得医疗人员的判断。AI 推荐仅供参考，不构成诊断或治疗。

本节提供哈萨克斯坦共和国《个人数据及其保护法》（第94-V号，2013年，经2015年及2022年修订）及相关实施法规所要求的补充披露。

【对跨境转移的明确同意（第16条）】

鉴于本服务旨在协助海外患者在韩国获得医疗服务，您的个人数据将被转移至大韩民国。哈萨克斯坦法律第16条允许在数据主体明确书面同意的基础上进行跨境转移。在申请使用本服务时，您通过本政策的跨境转移条款及单独的同意勾选框，对以下事项作出明确同意：

· 转移国家：大韩民国

· 接收方：经您选择的韩国合作医院、云服务提供商（Vercel Inc.、Supabase Inc.）

· 转移项目：第3条收集项目及第5条敏感信息

· 转移目的：提供医疗管家服务

【关于本地存储的说明（第12条）】

哈萨克斯坦法律第12条规定哈萨克斯坦公民的个人数据应在哈萨克斯坦境内进行首次存储。目前公司以上述第16条的明确同意机制作为法律依据运营本服务，并将根据服务的发展阶段，研究通过哈萨克斯坦本地云合作伙伴（如 QazCloud、Yandex Cloud Kazakhstan 等）引入本地首次存储架构。如有重大变更，我们将通过更新本政策即时公告。

【敏感（医疗）数据的单独同意（第8条、第9条）】

根据哈萨克斯坦法律，敏感数据要求以可通过书面或电子签名（EDS，与 eGov 集成）核实的方式取得同意。公司将基于电子勾选框的同意连同时间戳、IP 地址及用户标识符一并记录，以确保具有与书面形式相当的证据效力。公司不收集口头同意。

【官方语言】

本政策以哈萨克语（国语）及俄语（官方语言）同时提供。您可选择偏好语言；若各译本之间在解释上存在差异，就大韩民国的法律效力而言，以韩文版本为准。

【监管机构】

· 信息安全委员会（Комитет по информационной безопасности，隶属于国家安全委员会 KNB）

· 数字发展、创新与航空航天工业部（Министерство цифрового развития, инноваций и аэрокосмической промышленности）

【申诉及争议】

您可通过本政策第20条的联系方式与我们联系，或向您居住地的法院或监管机构提起诉讼。

在适用 GDPR 的情形下，保障以下权利：

· 访问权（第15条）、更正权（第16条）、删除权（第17条）、限制权（第18条）、可携权（第20条）、反对权（第21条）及关于自动化决策的权利（第22条）。

· 特殊类别数据（健康，第9条）仅基于明确同意进行处理。

· 跨境转移（第44-49条）在适用情形下依据标准合同条款进行。

· 您可向您所在国的数据保护机构提出投诉。

· 欧盟代表：[如面向欧盟市场，将依据第27条指定]

俄罗斯联邦第152-ФЗ号法律要求俄罗斯公民个人数据的初始收集应在俄罗斯境内进行。

healwith 正在另行评估对该要求的合规方案。通过使用本服务，俄罗斯居民确认并明确同意上述条款。

监管机构：Roskomnadzor（Роскомнадзор）。

重大变更将于生效至少 7 日前（不利变更则为 30 日前）通过服务公告及电子邮件予以通知。

但若实际处理方式并未改变，仅是更正与之不符的表述，为避免错误内容继续公示，该更正将立即生效，并在下方修订摘要中说明更正内容。

当前版本：2.5.0（生效日 2026-09-09）。上一版本 2.4.0（2026-08-21）。

2.5.0 修订摘要：§6 中明确检查资料与影像文件（CT、MRI 等）自关系结束后保管 3 年，并写明这些资料由 healwith 保管。医院制作的诊疗记录原件仍不由本公司保存。

2.4.0 修订摘要：①注销时的销毁时点由「30 日内」更正为「立即」；②删除「3 年无活动账户自动销毁」条目（其依据的个人信息有效期制度已于 2023 年 9 月 15 日废止，休眠政策改由各企业自行决定；且 3 年短于合同与付款 5 年、诊疗记录 10 年等法定保存期限，无法适用；您可随时自行注销）；③按实际处理具体说明注销时保留与删除的内容。

个人信息及一般咨询：admin@healwith.co.kr

地址：Room 613, 385 Gangseo-ro, Gangseo-gu, Seoul, Republic of Korea

电话：+82-10-4772-1075（国际）· 070-7500-7795（韩国境内）

营业时间：周一至周五 09:00-18:00 KST