隐私政策
生效日期：2025年11月11日
联系邮箱：[email protected] |联系电话：(310) 390-6612
官方网站： https://didihirsch.org
1. 目的与范围
迪迪赫希心理健康服务中心（"迪迪赫希"、"我们"、"我们的"或"我们"）是一家总部位于加利福尼亚州的501(c)(3)非营利组织，致力于提供心理健康、药物滥用及自杀预防服务。
我们是一家在临床运营方面受《健康保险流通与责任法案》（HIPAA）约束的实体，同时作为非营利组织开展社区教育、培训及筹款活动。
我们收集和使用信息旨在支持我们的使命：提供公平、创伤知情且具有文化响应性的护理服务。
本政策阐述了我们如何通过网站、在线表单、电子邮件通信、虚拟活动及捐赠平台（统称为"本网站"）收集、使用、共享及保护所获取的信息。
当您接受或咨询临床或行为健康服务时，您的数据可能构成受保护健康信息（PHI），并受我们的《隐私保护政策通知》（HIPAA）约束。
2 我们收集的信息
| 类别 | 示例 | 目的 |
|---|---|---|
| 个人标识符 | 姓名、电子邮箱、电话号码 | 服务协调与沟通 |
| 交易数据 | 捐赠或活动注册信息 | 支付处理与收据 |
| 技术数据 | IP地址、设备类型、Cookie | 网站功能与分析 |
| 敏感数据 | 健康或人口统计信息 | 护理协调或公平性报告（经同意） |
A. 您直接提供的信息
包括通过服务、转介、捐赠、雇佣、志愿者、媒体或培训表格提交的信息——例如联系方式、项目偏好、付款数据以及可选的人口统计信息。
B. 自动收集的信息
IP地址、大致位置、浏览器和设备类型、访问过的页面以及分析标识符（参见第11节）。
C. 敏感或健康相关信息
若您在表格中描述症状、危机或服务需求，该信息一旦录入我们的临床系统即成为受保护的健康信息（PHI），并受《健康保险流通与责任法案》（HIPAA）及《联邦法规汇编》第42卷第2部分保护。
种族、族裔、性别或残疾等敏感数据仅在您自愿提供或法律要求时收集。
3 使用法律与操作依据
我们处理信息以：
- 提供所需服务并回应咨询。
- 管理捐赠并维护必要的财务记录。
- 开展合法的非营利性活动，例如教育和质量改进。
- 遵守法律法规。
- 保护重要利益，包括生命安全和危机应对。
- 在需要时征得您的同意后再采取行动（例如使用推荐语或照片）。
4 我们如何使用信息
我们使用信息用于：提供服务、处理捐赠、传达更新、分析网站性能、招聘人员，并确保无障碍访问与公平性。
我们绝不出售个人或捐赠者数据，也绝不会在未经授权的情况下将个人健康信息用于营销活动。
5. 我们何时及如何披露信息
我们仅在必要时且在严格管控下共享信息：
- 服务提供商，其职能包括处理捐赠、邮件分发、云托管、数据分析或安全保障等。
- 法律与安全义务：遵守法律或保护个人免受伤害。
- 项目过渡安排（若业务合并或重组时适用），并确保保密性保护。
- 经捐赠者同意后，可用于捐赠者致谢或故事分享。
所有供应商必须满足与HIPAA和CPRA要求同等的隐私和安全标准。
6 第三方供应商及示例
- Blackbaud / JustGiving / Stripe / PayPal – 捐赠处理（PCI-DSS一级认证）
- Constant Contact / Mailchimp – 邮件分发与活动邀请
- Google Analytics / Tag Manager – 网站分析与性能
- Microsoft 365 / Salesforce 非营利组织云平台——安全文档与支持者管理
供应商将定期接受审查，并须签署书面数据保护义务协议。
7 数据安全与事件响应
我们采取管理、技术和物理保护措施：
- 传输过程中采用256位SSL/TLS加密
- 多因素认证与基于角色的访问控制
- 年度HIPAA及网络安全培训
- 加密备份与灾难恢复
- 持续入侵与恶意软件监控
若发生数据事件，我们将启动应急响应计划：实施隔离措施、开展取证审查、通知受影响个人，并依据《健康保险流通与责任法案》（HIPAA）及州法律进行监管报告。
8 捐赠与财务信息
- 所有捐款均通过符合PCI标准的供应商处理；我们不存储完整的支付数据。
- 定期捐赠使用代币化凭证。
- 捐赠者记录将保留七年，以满足美国国税局及审计要求。
- 匿名捐赠受到尊重。
- 随时通过[email protected] 选择退出未来的营销活动。
9 《健康保险流通与责任法案》（HIPAA）及受保护健康信息（PHI）
个人健康信息仅用于诊疗、支付及医疗保健运营。我们与处理个人健康信息的供应商签订业务合作协议，未经授权绝不将个人健康信息用于营销活动。
详情请参阅我们的《隐私保护政策通知》（HIPAA），或发送邮件至[email protected] 索取副本。
10. Cookie、分析工具及追踪技术
我们使用Cookie及类似工具来记住您的偏好设置、分析流量数据并增强安全性。
| 类型 | 目的 | 保留 |
|---|---|---|
| 必不可少 | 启用核心功能 | 会话 |
| 分析 | 聚合性能数据（Google Analytics） | 26个月 |
| 性能 | 负载均衡与速度 | 12个月 |
您可以在浏览器中禁用Cookie。我们不响应“请勿追踪”信号。如需退出Google Analytics，请访问tools.google.com/dlpage/gaoptout。
请参阅我们的《Cookie与追踪通知》以获取更多详细信息。
11 自动化工具与人工智能
我们采用有限的自动化技术、垃圾邮件过滤器、表单验证和分析工具来保护和优化我们的网站。这些工具绝不会对服务资格或护理方案作出任何决策。
12 第三方链接与社交媒体
本网站可能包含外部网站链接或嵌入社交内容。我们无法控制这些平台。受Google reCAPTCHA保护的页面适用Google隐私政策及服务条款。
13 电子邮件与短信通信
- 营销邮件包含退订链接。
- 交易类邮件（例如收据或政策更新）仍可能发送。
- 短信服务可自由选择；回复STOP即可取消，回复HELP获取帮助。我们不会将您的联系方式提供给第三方用于广告推广。
| 记录类型 | 典型保留 | 法律依据 |
|---|---|---|
| 临床记录（个人健康信息） | ≥ 10年或依法规定 | 健康记录规则 |
| 捐赠者记录 | 七年 | 美国国税局与审计 |
| 网站日志/分析 | ≤ 26个月 | 安全分析 |
| 人力资源应用 | 3年 | 劳动法 |
| 一般咨询 | 2年 | 运营需求 |
我们定期审查数据保留计划，以确保符合不断变化的法律法规及资助要求。计划删除的数据将依据NIST SP 800-88标准进行安全销毁或去标识化处理。
15 儿童与青少年隐私
我们的公共网站不面向13岁以下儿童。我们不会故意收集儿童的在线数据。青少年获取危机或临床服务时，其隐私受联邦及州保密法律以及我们的《隐私政策》保护。
16 加州隐私权法案（CPRA）
尽管大多数非营利组织享有豁免权，我们仍可能自愿遵守《加州公共记录法》的原则。
| 对 | 描述 |
|---|---|
| 访问权限 / 可移植性 | 要求获取我们持有的个人数据摘要（不包括个人健康信息）。 |
| 更正 | 要求更正不准确的数据。 |
| 删除 | 在法律允许的情况下请求删除。 |
| 选择退出 | 我们不会出售或共享个人数据。 |
| 授权代理人 | 指定一名代理人代表您提交请求。 |
| 上诉 | 若请求被拒绝，请发送邮件至[email protected]，主题注明“隐私权申诉”。 |
| 非歧视 | 我们不会因用户行使隐私权而拒绝提供服务。 |
我们将在核实身份后处理请求，并在45天内作出回应。
17 跨境数据传输
我们的系统托管于美国。国际用户同意数据在此进行传输和处理。我们采取合理的合同和技术保障措施，包括在必要时采用标准合同条款。
18 本政策的更新
我们可能会定期修订本政策。重大变更将发布在我们的主页上或通过电子邮件通知。我们存档了以前的版本，并可应要求提供。
19 联系我们
迪迪赫希心理健康服务中心
合规与隐私办公室
加利福尼亚州卡尔弗城塞普尔韦达大道4760号，邮编90230
[email protected]
(310) 390-6612
您也可通过此地址报告无障碍访问问题或疑似隐私违规行为。
