安全与数据隐私
Wellness Project 将敏感的健康和健身数据汇集到一处。本页面以通俗方式说明支撑这种信任的安全保护措施、数据处理方式、AI 使用边界和独立审查。
最近审查：September 19, 2026
独立保证
我们将独立测试、Google 的受限范围验证以及我们自己的安全计划分别说明，因为它们并不是同一回事。以下范围和日期均来自我们的评估和批准记录。
这些评估和批准仅适用于所描述的范围，并不构成对所有 Wellness Project 系统或未来服务版本的通用认证。
详细评估材料可能包含机密安全信息，因此不会公开发布。
任何联网服务都无法保证绝对安全。
LTH Cybersecurity Corp.
Engagement window: August 23-29, 2026
评估范围包括人工架构和风险审查、经专业验证的源代码漏洞评估、Web 应用和 APIs 的渗透测试、iOS 和 Android 安全审查与测试，以及由 Wellness Project 控制的生产和非生产基础设施。
源代码仓库、身份验证和授权、数据库配置、集成，以及其他由 Wellness Project 控制且与评估相关的系统均在评估范围内。除非另行授权，不属于 Wellness Project 或不受 Wellness Project 控制的第三方系统均不在范围内。
LTH 后来将已完成的渗透测试描述为“非常干净”。
TAC Security / ESOF
Assessment record date: July 31, 2026
我们的评估记录显示，TAC Security 是与 Wellness Project 的 Google API 受限范围相关的 CASA 应用安全审查评估方。
TAC 报告此次评估发现零个漏洞，并确认我们的 Self-Assessment Questionnaire 满足所有要求。
Approved: August 7, 2026
Wellness Project 已获准使用其 Google Health 集成所需的受限读取范围。Google 针对受限 Health API 范围的公开验证流程包括 OAuth 应用验证和第三方安全评估。
负责任的 AI 透明度
Wellness Project 已收录于 Coalition for Health AI (CHAI) 注册表，并公开发布 Applied Model Card。
健康 AI 应当可以被审查。公开的 model card 让用户、合作伙伴和医疗评估者能够查看我们的主张和边界，而不必只依赖我们的营销内容。
被收录意味着 Wellness Project 已在 CHAI 公共注册表中发布标准化披露。它不代表 CHAI 的认证、背书或独立验证。
2026 年 10 月，CMS 批准 Wellness Project 参与其 Health Tech Ecosystem 的对话式人工智能和糖尿病与肥胖症两个类别。
该计划致力于让患者更方便地获取和使用健康信息。我们的承诺支持负责任的人工智能，以及更实用、更易携带的健康数据。
参与该计划并不代表获得 CMS 认证、独立产品评估、Medicare App Library 收录或官方背书。
了解 CMS Health Tech Ecosystem核心保护措施
数据在传输过程中和静态存储时均经过加密。健康记录通过按用户设置的数据库访问控制进行保护，因此每位用户的记录在数据库和应用中均仅限该用户范围。
账户使用 Apple 和 Google 等受支持的第三方登录提供商。内部特权访问仅限指定人员。安全和错误监控流程使用 MFA 和经过审计的特权访问。
对 Google Health API 数据的人工访问还受到 Google Health API 要求的额外限制。
AI 使用边界
内置 Wellness Project AI 顾问的请求会先通过 Vercel AI Gateway 路由，然后才到达所选模型提供商，目前包括 Anthropic、OpenAI、Google 或 xAI，并可能在适用情况下使用其他提供商。我们会发送您提交的消息，以及回答请求所需的个人资料、健康、健身或附件内容中的相关部分。
对于由 Wellness Project 提供的 AI 功能，我们与提供商的安排禁止其使用我们提交的数据来训练、微调、评估或以其他方式改进其通用模型。我们会尽量减少为所请求功能发送的数据，并且除非功能需要或提供商的 API 要求，否则不会发送可识别账户身份的元数据。Vercel 表示，AI Gateway 不会使用网关流量进行训练，并会在推理完成后从网关删除 prompts 和输出。它还为提供商路由提供集中的 Zero Data Retention 和禁止使用 prompts 训练的控制机制。
Vercel 的设计目标包括企业级安全，而不仅仅是模型路由。
Vercel 的安全计划包括 SOC 2 Type 2 和 ISO 27001、定期的第三方渗透测试和漏洞扫描、最小权限访问控制、专门的安全治理以及持续安全评估。
Vercel 的 Data Processing Addendum 说明了该计划背后的组织和技术保护措施。
连接的外部助手有所不同，例如由用户授权、通过 MCP 连接的外部 AI 服务。当您选择这种连接时，外部提供商会根据您与其之间的关系及其自身的数据处理方式，处理对话和请求的 Wellness Project 上下文，而不受 Wellness Project 内置 AI 提供商合同的约束。共享敏感健康数据时，我们强烈建议在该提供商处关闭模型训练和 prompt 保留，或使用其可提供的最严格零保留控制。
权限与共享
可穿戴设备、健康平台和第三方集成都属于可选功能。我们只请求您所选功能所需的权限，平台授权页面会显示将要授予的权限。如果某个平台和功能支持写入数据，也取决于相应的用户授权。
您可以在 Wellness Project 设置中或通过提供商自身的控制选项断开受支持的集成。断开后将停止与该服务之间未来的数据流。第三方如何处理其系统中的数据，仍受其自身条款和隐私惯例约束。
我们不会出售个人数据或健康数据，也不会将其提供给第三方用于该第三方自己的广告或营销。
健康、健身和医疗数据绝不会用于广告或营销衡量。
可携带性与删除
账户删除包括已保存的聊天记录和完整工具追踪记录。它们会与其他账户数据一起从生产系统中删除，然后按照相同滚动周期从加密备份中逐步清除。
服务提供商
Wellness Project LLC 是我们隐私政策中所述的数据控制者。核心处理方和接收方会根据您使用的功能而有所不同。目前记录包括：
身份验证、数据库和核心数据基础设施。
应用托管、交付、基础设施和 AI Gateway。
内置 AI 请求会先通过 Vercel AI Gateway 路由，然后由所选模型提供商处理。
分别用于应用错误监控和电子邮件发送。
登录提供商、健康平台、应用商店以及支付或订阅处理商也会处理您所选服务所必需的信息。
隐私政策和消费者健康数据隐私政策提供具有约束力的相关披露。
责任与问责
Wellness Project 创始人 Bryan Barash 是一名经验丰富的合规与安全专业人士，并拥有法律学位。他负责监督公司的安全和隐私计划，审查重大问题和整改措施，并确保公开的安全和隐私声明以公司的实际政策和实践为依据。
有关隐私、数据权利、账户或安全的问题：support@wellnessproject.ai。
我们的 security.txt 提供负责任漏洞披露渠道以及当前响应目标。
security.txt常见问题
本页面仅提供信息概览。
除适用的隐私政策、消费者健康数据隐私政策和服务条款所规定的内容外，本页面不会产生额外的权利、义务、保证或承诺。
如果本概览与适用的正式文件存在冲突，以正式文件为准。
目前没有单独公开的安全政策。
我们的 security.txt 将隐私政策指定为安全披露的公开政策参考。
Don't take our word for it
See why AI recommends Wellness Project
