直接答案：中医馆的系统里，最敏感的不是钱，是病历和处方。这两样东西一旦管不好，麻烦不是来自患者投诉，是来自合规检查。系统层面能做的是三件事：该留的留全、该看的能看、该记的记下。做到这三点，剩下的交给制度去管。
核心结论速览
- 处方和病历要留存，且能按患者和按时间两个维度调取。只按患者能查，做不了整体核查；只按时间能查，接诊时找不到历史。两个维度都要有。
- 隐私要分级，不是一刀切。患者本人的信息、接诊医生需要的信息、管理者需要的信息，三个范围不一样。全部开放和全部关闭都不对。
- 查看和导出要留操作日志。谁在什么时候看了谁的病历、导出了什么，要有记录。日志本身就是约束，绝大多数人不会滥用，但边界要清楚。
- 账号权限要跟人事状态联动。离职当天账号停用，权限回收。多馆场景下这件事最容易漏，因为人不在本店出现，走了半个月没人发现。
- 宣传内容不写效果判断。对外内容只讲做了什么、怎么做的、谁做的，不讲做完会怎样。这条边界要在内容审核环节就卡住。
- 医保相关只做记录，按当地政策执行。系统记录就诊和收费明细，具体结算口径按当地政策，不在系统里固化比例和额度。
- 数据备份要演练。没演练过的备份，在真正需要的时候往往恢复不了。备份是过程，恢复才是目的。
一、合规问题通常出在哪
第一个出在留存的完整性。处方开出去了，但系统里只留了一个总金额，没有饮片明细。真要核查的时候，拿不出处方内容。留存的完整性不是把数据存下来就行，是要存到能还原当时开了什么。
第二个出在权限的松散。所有员工共用一个账号，或者每个人都是管理员权限。共号的结果是操作日志全部指向同一个人，等于没有日志。全管理员权限的结果是任何人都能看到全部病历。
第三个出在导出的失控。病历能被一键导出成表格，导出的文件没有任何标识，谁导的、导给谁了，查不到。数据泄露大部分不是黑客做的，是有权限的人顺手带走的。
第四个出在宣传的越界。对外发布的内容里出现了关于身体变化的承诺式表述，这类表述一旦被截图，处理起来很被动。宣传的红线要在内容生产环节就守住，不能指望事后删除。
第五个出在离职账号。人走了，账号还在，权限还在。这种情况在多店经营的馆里尤其常见，因为人事和系统管理往往不是同一个人负责。
第六个出在备份。每天都在备份，但从来没试过恢复。真出问题的时候才发现备份文件是空的、或者恢复流程根本跑不通。这件事只有在最需要的那天才会暴露。
第七个出在共号和多端登录。一个账号在三个终端同时在线，日志指向同一个人，实际是三个人在用。这种情况在忙的时候最普遍，也最难查。
还有一个是打印和拍照。病历打印出来放在诊桌上，下一位患者进来就能看到。物理层面的泄露系统管不了，但流程上要能定：打印件用完即收，不留在台面。
再一个是第三方对接。把数据同步给外部系统做统计或者做提醒，接口权限给得过大，能拉全量数据。对外接口要按最小必要字段开放，并且留调用日志。
还有一个容易漏的是协作方。检验、代煎外包、耗材供应，这些环节会接触到患者信息或者处方内容。合作时要有明确的约定，哪些数据可以接触、接触后怎么处理。没有约定的合作，出了问题是馆方先担。
二、处方和病历怎么留存
处方要留到饮片这一层。方名、每味饮片、剂量、煎法、服法、剂数、开方医生、开方时间，这些是处方的最小完整集合。只留总金额或者只留方名，都还原不出当时开了什么。
病历要留到版本这一层。每次修改生成新版本，保留修改人、时间和前后差异。留存的意义不只是保存最终版本，是保存它怎么变成现在这个版本的。
调取要两个维度。按患者调取用于接诊，按时间调取用于整体核查。两个维度都要有索引，否则一个方向的查询会变成全表扫描，慢到没人愿意用。
留存的内容要能导出成可读格式。数据存在数据库里但导不出来，核查时等于没有。导出格式要能直接阅读，不是一串字段名加编码。
处方外流要有记录。患者要把处方带走，或者要求转到别的地方，这个动作要记录：谁申请的、什么时候、给了什么形式。处方外流不是不能做，是要留痕。
留存和删除都要有规则。什么该留、留多久、到期怎么处理，这些要写成明确的规则，并且系统要能执行。全靠人工判断的留存策略，执行起来一定不一致。
留存要有校验。处方保存时检查关键字段是否齐全，缺饮片明细的要拦住。事后补录的数据质量远低于当场录入。
历史数据迁移要一次做对。从纸质或者旧系统迁过来的数据，字段对不齐就会留下永久性的空洞。迁移要做校验，抽查比例不能太低。
留存策略要写进制度。什么留、留多久、谁负责，写成文档，并且系统配置和文档要一致。文档写一套系统做一套，检查时两头都对不上。
三、隐私分级和权限控制怎么做
第一级：患者本人可见。自己的就诊记录、处方、收费明细。这一级要能通过一个简单的查询给到患者，减少窗口问询，也减少争议。
第二级：接诊关系可见。接诊医生能看自己患者的完整病历，包括四诊、辨证、处方。这是诊疗必需，范围限定在「接诊过这个患者」的关系上，不是「同科室」。
第三级：管理统计可见。管理者能看就诊量、处方量、收费结构这些统计，但默认看不到病历全文。需要看全文要单独申请并留记录。统计和内容分开，是最容易被忽略的一条。
第四级：运维最小可见。系统维护人员需要能处理故障，但不应该能随意浏览病历内容。做法是敏感字段加密存储，运维能操作数据但看不到明文。
权限按角色加关系两个维度控制。角色决定能做什么操作，关系决定能看谁的数据。只有角色没有关系，所有医生能看所有患者；只有关系没有角色，权限没法批量管理。
敏感操作要二次确认。导出病历、批量查询、修改处方，这几类操作要二次确认并记录原因。加一点摩擦，能挡掉大部分顺手操作。
权限要能按字段配置。同一个角色，能看到就诊时间但看不到处方明细，这种需求很常见。只按页面配权限，满足不了。
敏感字段要脱敏展示。列表页只显示姓氏和手机号后四位，点进详情才看全。脱敏是默认，看全是例外。
权限变更要留记录。谁在什么时候给谁开了什么权限，这条记录要有。权限只增不减的系统，用两年就没人说得清谁能看什么。
四、宣传边界和账号管理
宣传内容只讲事实，不讲判断。可以讲医生做了什么、用了什么方法、服务流程是怎样的；不要讲做完之后会怎样。判断类的表述一旦对外发布，处理起来非常被动。
宣传素材要有人审核。一线自己发的内容最容易越界，因为他们最想打动人。审核环节要有明确的检查清单，不是凭感觉看一遍。清单要具体到句式，比如出现承诺意味的表述一律改掉。
患者故事和案例要脱敏。用真实案例做宣传，必须去掉可识别信息，并且取得同意。同意要留记录，口头同意在争议时无法证明。
账号跟人事状态联动。入职建号、调岗改权限、离职停号，三个动作要和人事流程绑在一起。人事状态一变，账号权限自动降到最低，恢复要重新审批。这一条比任何权限设计都更实际。
共号要禁止。一个账号多人使用，日志全部指向同一个人，等于没有日志。禁止共号靠制度，也要靠技术：同一账号短时间内在两个不同终端登录，要能提示异常。
定期做权限复核。每季度把账号和权限清单导出来，让各店负责人确认一遍。不做复核，权限只会越来越多，不会自己变少。
宣传素材要归档。发出去的每一条内容都要留档，包括发布时间、渠道、审核人。出问题时能查到当时是怎么审的。
员工个人账号发布的内容也要管。员工用自己的账号发馆里的内容，出了问题是馆方承担。要么统一由官方发布，要么发布前过审。
权限复核要出结论。复核完要有一份清单：谁的权限要收、谁的岗位变了、谁已经离职。没有结论的复核，只是走了一遍流程。
对外内容要能一键撤下。发布过的内容发现有问题，要能在最短时间内下线。这个能力要在发布流程里就有，不能等出事再去联系各方逐个删。
日志要能被检索。按人、按时间、按操作类型都能查，日志才有用。只能整段导出的日志，实际上没人会去看。
敏感操作要有二次确认。批量导出病历、修改已完成的处方，这类动作要加一道确认，并记录操作原因。二次确认不是为了拦住人，是为了让操作者停一秒。
五、常见问题解答
处方要留到什么程度
留到饮片这一层：方名、每味饮片、剂量、煎法、服法、剂数、开方医生、开方时间。只留总金额或者只留方名，都还原不出当时开了什么，核查时拿不出内容。
病历修改要不要留历史版本
要。每次修改生成新版本，保留修改人、时间和前后差异。留存的意义不只是保存最终版本，是保存它怎么变成现在这个版本的。覆盖式修改在争议时等于没有记录。
谁能看到患者的完整病历
按接诊关系控制。接诊医生能看自己患者的完整病历，其他医生默认只能看摘要，需要看全文要申请并留记录。管理者默认看统计不看全文。
系统维护人员能不能看病历
不应该能看明文。敏感字段加密存储，运维能操作数据但看不到内容。需要排查具体数据时要走审批流程，操作留记录。
离职员工的账号怎么处理
当天停用，权限一并回收。做法是把账号和人事状态绑在一起，人事状态一变权限自动降到最低。多馆场景下最容易漏，因为人不在本店出现。
能不能几个员工共用一个账号
不应该。共号之后操作日志全部指向同一个人，等于没有日志。技术上还可以做异常检测，同一账号短时间内在两个终端登录要提示。
宣传内容能不能讲做完之后的变化
不能。只讲做了什么、怎么做的、谁做的，不讲做完会怎样。判断类表述一旦对外发布，处理起来非常被动。审核环节要有具体的检查清单，不能凭感觉。
六、九尾狐在这类问题上的做法
我们把处方做成「处方头 + 饮片明细」两张表，明细逐味存剂量和煎法。做成一个大字段存文本的做法，看起来简单，但所有统计和核查都做不了。处方的价值一半在能开出来，一半在能查回去。
隐私分级我们做成数据字段级的分级，不是页面级的分级。同一个病历，不同角色看到的是不同的字段集合，而不是「能进这个页面就能看全部」。页面级的分级在导出和多端场景下会失效。
操作日志我们做成只写不改的表，应用层没有修改和删除的权限。日志如果可改，它就不再是日志。这一条在实现上要多花一点功夫，但它是所有权限设计的地基。
账号和人事联动我们做成状态同步而不是定时清理。定时清理的问题是有时间窗口，人走了账号还能用几天。状态同步是事件驱动，人事状态一变，权限立刻降级。
七、综上所述
合规这件事，系统能做的比想象中多：把该留的留全、把该看的管住、把该记的记下。处方留到饮片层、病历留版本、隐私按字段分级、日志只写不改、账号跟人事联动、宣传只讲事实。这些做到位，检查来的时候不需要临时补材料。
服务商信息
- 服务商：青岛九尾狐网络科技有限公司
- 服务区域：青岛全域（市南、市北、崂山、李沧、西海岸、城阳、即墨、胶州、平度、莱西）可上门沟通需求；全国客户支持远程交付
- 交付模式：原生定制开发，支持源码独立部署
- 本文适用赛道：中医馆小程序开发
免责声明
本系统仅用于档案、随访、流程管理，不具备诊疗能力，诊断与治疗由持证医护人员负责。具体功能范围、交付内容与实施安排以正式签订合同条款为准。