隐私与保密声明。

本声明适用于 QuickVisitMD d/b/a Ankur Sunildatta Fadia PLLC 以及主诊医师 Ankur Fadia，MD（合称 “QuickVisitMD”、“我们”或“我们的”）。 QuickVisitMD 自愿对所有患者信息采用并维持符合 HIPAA 标准的隐私与安全保护措施， 并承诺保护您受保护的健康信息（PHI）的隐私、向您提供本声明，并遵守其条款。

在下列情形下，我们可以在未经您书面授权的情况下使用和披露您的 PHI：

• 治疗。 我们使用您在申请中的回答、消息、照片和病史来评估您的申请， 判断异步在线医疗是否合适，在临床指征明确时开具非管制药品处方，并与药房或其他 主诊医疗提供者进行协调。
• 付款。 我们使用和披露 PHI 以向您的付款方式收费、开具收据、 根据我们的按时回复保证处理退款，并解决账单争议。
• 医疗运营。 我们使用 PHI 进行质量审查、医疗监督、审计、培训、 资质认证、合规、业务规划以及与本诊所相关的行政活动。

根据 HIPAA 标准，在未经您授权的情况下，我们可以为下列目的（包括但不限于）使用或披露 PHI：

• 法律要求时。
• 公共卫生活动，包括对应报告疾病的监测。
• 报告疑似虐待、忽视或家庭暴力。
• 卫生监督活动，如审计和调查。
• 司法和行政程序，包括有效的传票和法院命令。
• 在法律允许的情况下用于执法目的。
• 用于法医、验尸官和殡仪馆负责人。
• 器官、眼组织或组织捐献。
• 在适用隐私保护下经批准的研究。
• 对健康或安全的严重威胁。
• 特定政府职能，包括军事和国家安全。
• 依法授权的工伤赔偿。

除非适用例外情形，否则在进行以下行为之前，我们将取得您的书面授权：

• 出于营销目的使用或披露 PHI。
• 出售您的 PHI。
• 使用或披露心理治疗记录（我们不保存心理治疗记录）。

您可以随时以书面形式撤销授权，但我们已据此采取行动的部分除外。

在使用或披露受保护的健康信息（PHI），或向其他实体索取 PHI 时，我们会根据 HIPAA 的 最小必要标准做出合理努力，将信息限制在实现预定目的所需的最低限度。 该标准不适用于：用于治疗目的的披露、向您本人披露其自身健康信息、 根据您的书面授权进行的披露、法律要求的披露，或为合规调查向美国卫生与 公众服务部进行的披露。

我们使用外部服务提供商，这些提供商可能代表我们访问或处理信息。当某一提供商处理 受保护的健康信息时，我们会要求签订符合 HIPAA 标准的业务合作伙伴协议（BAA）， 或实施技术保障措施（如 PHI 最小化）以限制信息暴露。服务提供商类别包括：

• 云基础设施与托管。 我们的应用程序和数据库托管在位于美国的 云平台上，以加密方式存储和处理 PHI。
• 支付处理。 付款由符合 PCI DSS 标准的支付处理商处理。 我们不会在服务器上存储信用卡卡号。
• 电子邮件与通信。 事务性邮件（登录验证码、状态提醒、 就诊后通知）通过第三方电子邮件递送服务发送。除非提供商已签订 BAA， 否则邮件内容会被最小化处理，以避免 PHI 在传输中出现。
• 人工智能与医疗文书辅助。 AI 工具可能处理您的就诊登记信息， 以协助医生撰写文书和进行翻译。直接标识信息（姓名、电子邮件、电话号码、 家庭住址）不会发送给 AI 服务。文书所需的临床信息——包括年龄、性别、症状、用药、 过敏史、病史以及您在就诊过程中的回答——会被发送以生成病历草稿、患者指导说明和 教育材料。您撰写的自由文本临床叙述可能包含您自愿提供的信息。所有由 AI 生成的内容在成为您病历的一部分之前，都会经过主诊医师的审核和批准。 所有最终临床决策均由医生作出；AI 工具仅用于文书辅助。
• AI 就诊登记助手（仅用于导航）。如果您使用可选的 "描述您的情况"查找工具，您输入的文字（已将直接身份标识信息最小化）可能仅为 建议哪种问诊类型可能适合您而由第三方或自托管的 AI 服务处理——这仅是一项导航辅助， 绝非医疗建议或临床决策。请参阅《服务条款》中的"AI 就诊登记助手"一节。

我们不会出售您的 PHI，也不会出于营销或广告目的共享它。我们不允许业务合作伙伴将 PHI 用于其向我们提供服务之外的自身目的。

您的 PHI 存储在位于美国的服务器上。我们实施符合 HIPAA 安全规则的管理、物理和技术保障措施，包括：

• 对传输中（TLS/HTTPS）和静态存储的数据进行加密。
• 基于角色的访问控制，将 PHI 的访问权限限制于授权人员。
• 对患者病历访问的审计日志记录。
• 对所有管理访问和患者门户访问进行安全身份验证。
• 定期审查安全实践和提供商的合规情况。

没有任何电子系统是完全安全的。虽然我们采取了商业上合理的措施来保护您的信息， 但我们无法保证针对所有威胁的绝对安全。

QuickVisitMD 在其网站上使用以下技术：

• 必要 Cookie。 用于身份验证、表单状态和安全（例如 CSRF 防护、 管理员会话令牌）所必需的会话 Cookie。在不影响核心功能的情况下，这些 Cookie 无法被停用。
• 本地存储。 我们使用浏览器的本地存储来保存就诊登记表单的草稿， 以便您在离开页面时不会丢失进度。草稿数据仅存储在您的浏览器中， 在您提交之前不会传输到我们的服务器。
• 网站汇总分析。 仅在公开的信息性页面（价格、病情指南和信息页面）上， 我们使用注重隐私的分析服务来衡量汇总的页面浏览量、来源渠道和浏览器类型。 该服务不使用 Cookie，不跨会话跟踪单个用户，也不收集个人标识信息。 分析脚本不会在任何处理受保护健康信息的页面上加载， 包括就诊登记流程、患者门户、病历、付款或管理页面。
• 错误监控。 我们可能使用错误跟踪服务来检测和修复软件问题。 启用时，该服务会收集技术信息（浏览器类型、错误消息、页面 URL）。 我们配置了脱敏规则以降低 PHI 暴露的风险，但没有任何自动化脱敏系统是完美的。 错误报告仅由授权人员出于调试目的进行审查。

我们不使用广告 Cookie、跨站点跟踪像素、社交媒体跟踪器， 也不使用为单个用户建立画像的分析服务。我们不参与广告网络，也不出售浏览数据。 在处理受保护健康信息的页面上不会加载任何跟踪技术。

作为我们隐私承诺的一部分，QuickVisitMD 就您的 PHI 为您提供以下权利：

• 查阅。 您可以查看并获得您 PHI 的副本；当我们以电子方式保存时， 可提供电子格式。
• 更正。 您可以要求我们更正您认为不正确或不完整的 PHI。
• 披露记录。 您可以获得一份我们对您 PHI 进行的某些披露的清单。
• 限制。 您可以要求我们限制使用或披露您 PHI 的方式。 如果您自费全额支付某项服务，并要求我们不向您的医疗保险计划披露，我们会予以同意； 本自费服务在所有情况下均适用此项。
• 保密通信。 您可以要求我们通过特定方式或在特定地点与您联系。
• 纸质副本。 即使您已同意以电子方式接收本声明，您仍可应要求获得 本声明的纸质副本。
• 违规通知。 当发生未经保护的 PHI 泄露时，您将收到通知。
• 投诉。 请参阅下文的投诉部分。

如需行使上述任何权利，请通过以下方式之一向我们提交一份注明日期并签名的书面请求。 我们可能会要求您验证身份；对于查阅和更正请求，可能要求您填写一份简短表格。

• 病历查阅：请使用 病历申请表。
• 其他隐私请求： admin@quickvisitmd.com。
• 如需提交书面请求，请通过门户的安全消息与我们联系。
• 邮寄地址：775 Red Hill Rd, Fairfield, VA 24435。

作为我们病历查阅承诺的一部分，我们将在收到查阅请求后的30 天内 予以回复。如经书面通知，可延长 30 天。更正请求将在 60 天内回复。 披露记录请求将在 60 天内回复。在法律允许的范围内，我们可能就纸质副本收取 基于成本的合理费用。提供您病历的电子副本不收取任何费用。

隐私官： QuickVisitMD 的隐私官是 Ankur Fadia, MD。 如有与隐私相关的问题，请联系 admin@quickvisitmd.com。

作为我们自愿采用的符合 HIPAA 标准的隐私实践的一部分，我们承诺：

• 维护您 PHI 的隐私与安全。
• 向您提供本声明，说明我们的隐私承诺与实践。
• 遵守现行有效声明的条款。
• 如发生未经保护的 PHI 泄露，及时通知您。

我们自患者最后一次就诊起，将成人病历至少保留10 年。 该期限达到或超过弗吉尼亚州（六年，Va. Code § 54.1-2910.4 和 18 VAC 85-20-26） 和西弗吉尼亚州医学委员会（最低保留期限）所要求的期限。由于本诊所仅接诊成年患者， 因此不适用儿科保留规则。保留期满后，病历将以保护保密性的方式 （例如安全粉碎或经过验证的数字销毁）成为可销毁对象，除非法律保留令、 患者授权或更长的联邦或合同义务要求继续保留更长时间。销毁时间须经定期审查， 并可能延长至最低保留期限之后。

如果发生您未经保护的健康信息泄露，我们将根据 HIPAA 的泄露通知标准， 在无不合理延迟的情况下、并最迟在发现泄露后的60 天内通知您。 对于影响 500 人或以上的重大泄露，我们还将依照适用法律的规定，向相关政府机构和 当地媒体发出通知。通知将说明发生了什么、受影响的信息类型、 您可以采取哪些步骤来保护自己、我们为调查和缓解所采取的措施，以及如何与我们联系。 本诊所投保了网络责任险，可在发生安全事件时为取证调查、患者通知和补救措施提供支持。

我们可以随时变更本声明，并使修订后的版本对我们已持有的 PHI 以及今后接收的 PHI 生效。 现行有效的声明将始终连同其生效日期发布在我们的网站上。

如果您认为自己的隐私权利受到侵犯，您可以直接向我们提出投诉。 您也可以联系美国卫生与公众服务部民权办公室作为外部途径。 我们不会因您提出投诉而对您进行报复。

内部投诉： 请登录 安全患者门户 并发送消息说明相关事项。为保护您的隐私，请勿在不安全的电子邮件中包含受保护的 健康信息。如果您无法访问门户，请发送电子邮件至 admin@quickvisitmd.com ，仅注明您的姓名和简短说明——我们将通过安全渠道与您联系。

外部途径： 如果您认为您健康信息的隐私未得到充分保护， 也可以联系美国卫生与公众服务部民权办公室。这是一项一般性的联邦途径，供您参考： 200 Independence Avenue SW, Washington, D.C. 20201； 1-877-696-6775； hhs.gov/ocr/privacy/hipaa/complaints/。

如果您是加利福尼亚州居民，《加州消费者隐私法》(CCPA) 和《加州隐私权法》(CPRA) 赋予您对个人信息的某些权利。然而，根据《加州民法典》第 1798.145(c) 条， 受 HIPAA 和《医疗信息保密法》(CMIA) 管辖的大多数受保护的健康信息均豁免于 CCPA/CPRA 的要求。由于 QuickVisitMD 维持着符合 HIPAA 隐私规则和安全规则的 隐私与安全实践，您的医疗信息主要受本声明所述的 HIPAA 标准保护， 而非 CCPA/CPRA 管辖。

• 我们不出售个人信息。
• 我们不会为定向广告共享个人信息。
• 我们不会因您行使任何隐私权利而对您加以歧视。

如对您的隐私权利有疑问，请发送电子邮件至 admin@quickvisitmd.com ，主题为“隐私咨询”。