资质与合规

一句话结论：南图科技在方案设计阶段就把数据安全、隐私保护与行业合规纳入考量，支持私有化部署、信创适配与等保测评配合，健康医疗数据按分级分类要求存储与流转。

合规承诺

领域	我们的做法
数据分级分类	按健康医疗数据分级要求，区分一般数据、重要数据与敏感数据，分别设定存储与访问策略
传输安全	全站 HTTPS/TLS 1.2+，敏感接口支持双向证书，关键字段额外加密
存储安全	敏感字段加密存储，密钥独立管理，数据库不落地明文身份证号等标识信息
访问控制	RBAC 权限模型 + 数据范围权限 + 敏感操作二次认证
审计留痕	登录、查询、导出、修改、删除全量记录，日志留存不少于 6 个月
数据备份	每日全量 + 增量备份，异地存储，每季度恢复演练
个人信息保护	最小必要采集、明示同意、可查询可删除、可导出
未成年人保护	校园筛查场景对未成年人信息单独分级，家长授权后开放查询

等保与测评配合

我们不直接出具等保测评报告，但提供完整的配合支持：

• 按等保二级/三级要求设计安全方案（边界防护、访问控制、身份鉴别、安全审计、数据完整性与保密性）
• 提供系统架构说明、网络拓扑图、安全管理制度模板
• 配合测评机构完成漏洞扫描、渗透测试与整改
• 提供整改所需的技术支持与配置调整

信创（国产化）适配

类别	已适配/可适配
操作系统	麒麟、统信 UOS、欧拉
数据库	达梦、人大金仓、OceanBase、GaussDB
中间件	东方通、宝兰德、金蝶天燕
处理器架构	x86、ARM（鲲鹏、飞腾）
浏览器	兼容主流国产浏览器

具体的信创适配清单建议在项目立项阶段明确，避免开发完成后再改造造成返工。

医疗器械相关说明

这一点必须说清楚，避免误解：

• 我们交付的软件中，用于健康监测、档案管理、流程管理的部分不属于医疗器械，无需医疗器械注册。
• 若产品宣称具有诊断、治疗功能，或用于辅助诊断决策，则可能纳入医疗器械监管范围。
• 我们不提供医疗器械注册服务，但可按注册要求输出技术文档、风险管理报告与验证数据，配合有资质的合作方完成注册。
• 我们不在方案阶段承诺算法准确率，标准做法是先做小样本验证，用实测数据确定可行性后再写入合同指标。

知识产权

• 项目交付物（源码、文档、设计稿、数据库设计）的知识产权在合同款付清后转移给客户。
• 我们保留通用框架、工具组件与方法论的复用权（不含客户业务逻辑与品牌资产）。
• 项目中使用的第三方开源组件，我们会在交付时提供清单，确保许可证合规（避免 GPL 传染性风险）。

合同与商务合规

项目	说明
报价透明	基于模块清单与人天估算，无隐藏费用
变更管理	范围变更先评估、双方确认后再执行
发票与资质	可开具正规增值税发票
保密义务	可签署保密协议（NDA），项目资料严格保密
数据归属	客户业务数据归客户所有，项目结束后按客户要求移交或销毁

常见问题（FAQ）

Q1：你们有哪些资质证书？

作为科技企业，我们持有营业执照并可提供软件著作权登记服务（可协助客户申请）。涉及等保测评、医疗器械注册等资质，我们提供技术配合而非直接出具证书。具体资质清单可在商务沟通中提供。

Q2：健康医疗数据放在云上合规吗？

可以合规，前提是做好分级分类、加密、访问控制与审计。对医疗健康类客户，我们推荐私有化部署（客户自有服务器或专有云），风险更可控。详见 SaaS 还是私有化部署。

Q3：患者数据会用于算法训练吗？

默认不会。如需使用真实数据做算法优化，必须单独签署数据使用授权，且数据在用于训练前完成去标识化处理，确保无法回溯到个人。

Q4：系统通过等保测评了吗？

系统本身不「通过等保」——等保测评的对象是客户的信息系统（含网络环境与管理制度）。我们按等保要求设计与实现，并配合客户完成测评与整改。

Q5：能签保密协议吗？

可以。项目启动前可签署 NDA，我们也会要求参与项目的协作方一并签署。

联系我们

有合规方面的具体问题，欢迎 联系我们，我们会如实说明能做什么、不能做什么。