資料保護影響評估

Data Protection Impact Assessment (DPIA)
文件編號：HOKI-DPIA-001 ｜ 版本：2.0 ｜ 日期：2026 年 2 月
依據：GDPR 第 35 條 / 台灣《個人資料保護法》第 18 條

一、評估概要

項目內容
系統名稱好記 Hoki — AI 輔助諮商紀錄系統
資料控管者使用本系統之心理諮商機構（甲方）
資料處理者開發者 Ethan（乙方）
資料保護聯絡人Vagabondpsy@gmail.com
評估執行者Ethan（系統開發者兼資料保護負責人）
評估日期2026 年 2 月（第二版修訂）
預計複評日期2026 年 8 月（每半年或重大變更時複評）

二、處理活動系統性描述

2.1 處理目的

本系統協助心理師將諮商會談錄音轉換為結構化之 SOAP 紀錄（Subjective, Objective, Assessment, Plan），以減輕行政負擔並提升紀錄品質。

2.2 處理流程

  1. 錄音/上傳：心理師於諮商會談中錄音或上傳音檔
  2. 語音轉文字：使用自主部署於 Google Cloud 台灣區域（asia-east1）專屬運算環境之 Whisper 模型將音檔轉為逐字稿（音檔於轉錄完成後立即刪除）
  3. 報告生成：使用自主部署於同一專屬運算環境之大型語言模型依模板產生 SOAP 報告（不呼叫任何外部 AI API）
  4. 去識別化：透過 AI 角色替換與正規表達式雙層處理，移除可辨識個人身分之資訊
  5. 審閱與儲存：心理師審閱、編輯後，僅去識別化報告存入加密資料庫
  6. 匯出：視需要匯出為 Word 文件
關鍵設計原則：所有 AI 模型（Whisper、大型語言模型）皆為自主部署於 Google Cloud 台灣區域之專屬運算環境，不呼叫任何外部 AI API（如 OpenAI、Google Gemini 等），諮商內容不離開台灣境內。

2.3 資料類別與當事人

資料類別資料內容當事人保留期間
諮商錄音會談音檔個案（來談者）轉錄完成後立即刪除
逐字稿錄音轉文字內容個案僅存於記憶體，不持久化
原始 SOAP 報告含可能個資之報告個案僅存於記憶體，不持久化
去識別化報告經處理之 SOAP 報告個案（已去識別化）2 天（系統自動刪除，輔助筆記不長期保存）
使用者帳號帳號、顯示名稱、密碼雜湊心理師帳號存續期間
個案代碼假名化編碼個案帳號存續期間
使用紀錄操作時間、使用量統計心理師90 天
稽核紀錄操作事件、IP、時間戳心理師365 天

2.4 法律依據

三、必要性與比例性評估

評估面向分析
處理之必要性 心理師依法需撰寫諮商紀錄。本系統透過 AI 輔助，將原需 30-60 分鐘的紀錄工作縮短至數分鐘，顯著降低行政負擔。目的明確且與蒐集範圍相稱。
資料最小化
  • 錄音於轉錄後立即刪除（不保留原始音檔）
  • 逐字稿僅存於記憶體（不寫入資料庫）
  • 僅儲存去識別化後之報告
  • 個案以代碼識別（非真實姓名）
替代方案評估
  • 手動撰寫：耗時且可能遺漏，但無資料處理風險
  • 外部雲端 AI API：需將敏感內容傳至第三方 AI 服務，風險更高
  • 專屬雲端環境自主部署 AI（本系統方案）：AI 模型部署於自有專屬環境，資料不離境、不經第三方 AI 處理，兼顧效率與隱私
當事人權利保障
  • 錄音前須確認知情同意（系統強制彈窗確認）
  • 提供存取、更正、刪除機制
  • 個案可隨時撤回同意
  • 隱私政策與知情同意書公開可取得

四、對當事人之風險評估

風險等級定義：高 = 可能導致嚴重身心傷害 ｜ 中 = 可能造成困擾或損害 ｜ 低 = 不太可能造成實質損害
# 風險情境 原始風險 緩解措施 殘餘風險 狀態
R1 諮商錄音外洩 高
  • 音檔於轉錄完成後立即自動刪除（finally 區塊確保）
  • 處理全程不經外部網路
  • 暫存目錄逐次建立並銷毀
 低 已緩解
R2 資料庫遭竊取或非授權存取 高
  • SQLCipher 256-bit AES 全資料庫加密
  • 系統拒絕以未加密模式啟動
  • DB_KEY 儲存於 .env（不進版控）
  • 二層 RBAC 權限控制（superadmin / therapist）
 低 已緩解
R3 去識別化失敗（個資殘留） 中
  • 雙層去識別化：AI 角色替換 + 正規表達式
  • 心理師於儲存前必須審閱報告
  • 僅儲存去識別化版本
 低 已緩解
R4 帳號遭暴力破解 中
  • 密碼政策：12+ 字元含大小寫、數字及特殊字元，含常見密碼黑名單
  • bcrypt 雜湊儲存（含鹽值）
  • 5 次失敗鎖定 15 分鐘（持久化於資料庫）
  • 15 分鐘閒置自動登出
 低 已緩解
R5 傳輸過程遭截取 中
  • 全程 HTTPS/TLS 加密傳輸
  • 客戶端加密：瀏覽器端 AES-256-GCM + RSA-4096 混合加密音訊後上傳，中間節點無法解密
  • CORS 限制為特定來源
 低 已緩解
R6 AI 模型產生不當或錯誤內容 中
  • AI 僅輔助撰寫，不做臨床判斷
  • 心理師必須審閱並可編輯所有報告
  • 提供脈絡補充微調機制
 低 已緩解
R7 未經同意處理個案資料 高
  • 錄音前強制同意確認彈窗
  • 同意確認記錄於稽核紀錄
  • 紙本知情同意書可供簽署
  • 個案可隨時撤回同意
 低 已緩解
R8 內部人員濫用存取權限 中
  • 治療師僅可存取自己的個案
  • 系統管理員（Superadmin）僅具帳號管理、稽核紀錄查閱及資料庫備份等系統維護權限，不可存取個案之諮商紀錄內容或原始錄音
  • 所有操作記錄於稽核紀錄（含 IP）
 低 已緩解
R9 資料遺失（硬體故障等） 中
  • 管理員可執行加密資料庫備份
  • 備份自動排除諮商紀錄（DELETE + VACUUM），僅保留系統管理資料
  • 備份檔案保持 SQLCipher 加密狀態
  • 備份操作記錄於稽核紀錄
 低 已緩解
R10 Session 劫持或 Token 外洩 中
  • 256-bit 加密隨機 Token
  • Token 7 天過期
  • 登出時伺服器端銷毀 Session
  • 閒置 15 分鐘自動登出
 低 已緩解

五、技術與組織措施總覽

5.1 技術措施

措施類別實施內容
加密（靜態）SQLCipher 256-bit AES 全資料庫加密。啟動時驗證 DB_KEY 存在且格式正確。
加密（傳輸）HTTPS/TLS 加密傳輸。客戶端加密（AES-256-GCM + RSA-4096）確保音訊即使經過中間節點亦無法被解密。CORS 限制特定來源。
存取控制二層 RBAC（superadmin / therapist）。每個 API 端點皆有角色驗證。治療師資料依 user_id 隔離。系統管理員不可存取個案之諮商紀錄內容。
身分驗證bcrypt 密碼雜湊。密碼政策 12+ 字元含大小寫、數字及特殊字元，含常見密碼黑名單。5 次失敗鎖定 15 分鐘（DB 持久化）。
Session 管理256-bit 隨機 Token。7 天過期。15 分鐘閒置自動登出。伺服器端 Session 銷毀。
去識別化雙層處理：AI 角色替換 + 正規表達式（身分證、電話、信箱、地址、中文姓名）。
資料最小化音檔即刪。逐字稿僅存記憶體。去識別化報告僅保留 2 天。個案以代碼識別。
稽核紀錄17+ 種事件類型。含使用者、IP、時間戳。僅 superadmin 可查閱。
備份加密資料庫備份，自動排除諮商紀錄（DELETE + VACUUM）。備份保持 SQLCipher 加密狀態。備份操作受稽核。
資料殘留防護Docker tmpfs 暫存（記憶體檔案系統）。關閉 swap（mem_swappiness=0）。停用 core dump。AI 模型處理完即釋放（keep_alive=0）。
數位浮水印匯出之 DOCX 文件內嵌隱藏浮水印（使用者、時間戳），供事後追溯。
專屬雲端環境處理Whisper（語音轉文字）與大型語言模型（報告生成）皆自主部署於 Google Cloud 台灣區域專屬運算環境，不呼叫外部 AI API，個資不離開台灣境內。

5.2 組織措施

措施類別實施內容
隱私政策公開於系統內，每頁頁尾皆有連結。涵蓋蒐集目的、資料類別、保留期間、當事人權利。
知情同意紙本同意書供個案簽署。系統內強制同意確認機制。同意紀錄記入稽核。
委託處理契約11 條 DPA 涵蓋處理範圍、安全義務、通報時限、終止處理。
安全維護計畫HOKI-SEC-001 文件涵蓋組織架構、資料分級、技術措施、定期檢查。
事故應變 SOPHOKI-SEC-002 文件涵蓋事件分級、6 步驟處理流程、72 小時通報、紀錄模板。
使用者訓練依角色分級之訓練規劃。年度複訓。

六、殘餘風險評估

經實施上述技術與組織措施後，所有已識別風險之殘餘等級均降至低。以下為仍需持續關注之殘餘風險：

#殘餘風險等級持續監控方式
1 去識別化可能遺漏非常見姓氏或語境性個資 低 心理師審閱報告為最後防線；持續更新去識別化規則
2 Session Token 管理 低 已採用 HttpOnly + Secure + SameSite=Strict Cookie，前端不接觸 Token；搭配 CSP 安全標頭持續監控
3 單一伺服器架構無高可用性 低 定期備份確保可復原；評估擴展需求
4 傳輸中間節點風險 低 客戶端加密（AES-256-GCM + RSA-4096）確保音訊於瀏覽器端加密後上傳，中間節點無法解密內容
結論：經評估，本系統之殘餘風險在可接受範圍內。AI 模型自主部署於 Google Cloud 台灣區域專屬運算環境，資料不離境、不經第三方 AI 處理，搭配加密、去識別化、存取控制、稽核等多層防護，已充分保障個案當事人之權益。

七、當事人意見諮詢

本系統之使用以取得個案書面知情同意為前提。知情同意書（HOKI-LEG-002）已明確告知：

由於本系統使用者為專業心理師，已由心理師向個案充分說明並取得同意。系統於每次錄音前均彈出確認提示，確保同意流程不被省略。

八、審核與更新計畫

觸發條件執行動作
定期複評（每 6 個月）檢視所有風險項目，確認緩解措施持續有效
系統重大更新評估新功能或架構變更對個資風險之影響
發生資安事件檢討受影響之風險項目，更新緩解措施
法規變更確認系統措施符合新法規要求
處理範圍變更重新評估新增之資料類別或處理目的

九、結論與簽署

本資料保護影響評估已系統性地審視「好記 Hoki」系統之個人資料處理活動，評估對當事人之風險，並確認已實施充分之技術與組織措施以緩解所識別之風險。

基於以上分析，本評估結論為：

本系統之個人資料處理活動在現有技術與組織措施下，對當事人權利與自由之風險已降至可接受水準。建議持續依本文件第八節之計畫進行定期複評。
角色姓名簽名日期
評估執行者 / 資料保護負責人Ethan
系統負責人

附錄：相關文件索引

文件編號文件名稱
HOKI-LEG-001隱私權政策 (privacy.html)
HOKI-LEG-002AI 輔助紀錄知情同意書 (consent.html)
HOKI-LEG-003個人資料委託處理契約 (委託處理契約.html)
HOKI-SEC-001個人資料檔案安全維護計畫 (安全維護說明文件.html)
HOKI-SEC-002資訊安全事故應變 SOP (事故應變SOP.html)
HOKI-DPIA-001資料保護影響評估（本文件）