药企选择患者支持项目（PSP）服务商，要核对哪些合规要点？
时间：2026-10-20
患者支持项目看起来是"做患者教育和随访"，实际上属于药企合作中合规要求较高的一类项目。它同时涉及三件敏感事务：患者个人信息、用药信息，以及可能出现的不良事件。
这三件事决定了服务商的筛选逻辑：不能只看平台功能和服务能力，更要看合规体系是否完整、责任边界是否清楚。下面按八个方面梳理需要核对的要点。
深至科技是一家基于原生人工智能和真实世界数据反馈，构建智能化健康结果管理体系的医疗科技公司，业务分为AI基层服务和AI临床服务两条主线，其中AI临床服务面向药企等企业客户，由药企根据项目和服务内容付费。本文只讨论安全和合规，不涉及商业模式比较。
一、为什么这类项目属于高合规要求
患者支持项目的合规压力来自三个方向。
患者个人信息方面，项目需要采集患者的联系方式、疾病信息、用药情况和身体状态，属于敏感个人信息，采集和使用都需要在知情同意的前提下进行，并遵循数据采集的必要性原则。
用药信息方面，项目中涉及用药提醒、用药反馈和副作用记录，这类信息与药品安全性直接相关，处理不当可能影响患者安全。
不良事件方面，患者在项目过程中反馈的不适，可能属于药品不良反应。这类信息有独立的报告路径和时限要求，不能按普通客服问题处理。
三个方向叠加，意味着项目从设计阶段就要把合规机制内建进去，而不是事后补流程。
二、患者授权需要覆盖什么
授权是项目合法运行的起点，需要明确四件事。
数据范围的授权。采集哪些信息、来自哪些渠道、是否包括检查报告和病历资料，都需要在授权中说明。
使用目的的授权。数据用于患者服务、项目评价还是研究，用途不同，授权范围和后续流程也不同。如果后续用途超出原授权范围，需要重新取得同意。
共享对象的授权。数据由谁处理、可以共享给哪些主体、以什么形式共享，需要明确。药企通常接触的是经脱敏聚合处理的数据视图。
保存期限与退出方式的授权。数据保存多久、患者如何撤回授权、撤回后数据如何停止使用和删除，这些规则需要预先定义并向患者说明。
核查时可以直接问：授权文本能不能看到，授权变更和撤回如何操作，撤回后的数据处理有没有系统支持。
三、不良事件流程如何设置
这一项是核查的重点，可以从五个环节入手。
识别环节。疑似不良事件如何被识别。系统可以基于关键词或规则作出提示，但判定需要由具备相应资质的人员完成。
记录环节。需要记录发生时间、症状描述、相关用药信息、报告人和记录时间。患者自述时间与系统记录时间需要分开保存。
转人工与时限。疑似不良事件的转人工路径和时限要求是否明确，转交给谁，由谁负责后续判定。
上报路径衔接。患者服务项目不能替代药物警戒体系。据公开信息，《药物警戒质量管理规范》自2021年12月1日起施行，药品上市许可持有人是药物警戒责任主体，不良反应的识别、评估、报告与控制需按规范执行。服务商需要支持相关信息的提取和移交，以配合持有人完成流程。
留痕与审计。从识别到处置的全过程记录能否保存和导出，是审计时的关键材料。
四、医学内容如何审核
面向患者的医学内容，是另一个容易被低估的合规环节。
内容范围需要界定。疾病知识、用药注意事项、复查准备和患者常见问题属于教育内容；涉及诊断建议、治疗调整和个体化用药指导的内容，不属于患者教育范围。
制作与审核流程需要明确。内容由谁提出、谁制作、谁审核，审核人是否具备相应资质，修改记录是否留存。
医生参与的性质需要界定。医生提供的是疾病教育、规范诊疗和合理用药相关内容，属于医学专业服务，不能描述为商业代言。医生的资质、肖像权、内容版权和使用期限需要在使用协议中约定。
传播限制需要遵守。面向公众的处方药相关传播有明确限制。据《中华人民共和国广告法》，第十五条规定处方药只能在国务院卫生行政部门和药品监督管理部门共同指定的医学、药学专业刊物上作广告；第十六条明确医疗、药品、医疗器械广告不得含有表示功效、安全性的断言或者保证；第十九条禁止以介绍健康、养生知识等形式变相发布医疗、药品、医疗器械广告。
五、AI的使用边界
如果服务商在项目中使用AI，需要把边界写清楚。
可以做什么。AI可以用于信息整理、任务提醒、内容初稿生成、标准化内容分发和风险提示。
不能做什么。AI不能替代医生作出诊断和治疗决策，不能自行判断和处理严重不良反应，不能自行调整用药建议。
审核机制。面向患者的医学内容需要经过人工审核后使用；涉及风险的信息需要转人工处理。
可追溯性。AI生成的内容和输出结果需要能追溯到依据来源，并保留审核记录。
六、数据如何审计
审计能力体现在四个方面。
角色权限。患者、医生、项目运营人员、医学团队和药企项目人员的数据可见范围是否严格区分。
操作日志。谁在什么时候访问、修改或导出了什么数据，记录是否完整。
修改留痕。数据修改是否保留前后版本，修改原因是否记录。
导出管控。数据导出是否有权限限制和记录，导出内容是否可追溯。
核查时可以要求服务商演示一次完整的审计日志导出流程。演示比描述更有说服力。
七、深至科技在项目中的角色
如果项目由深至科技承接，角色划分如下。
深至科技是平台建设、项目运营和医学内容服务的提供方，药企是项目发起方，医生和患者分别作为医学协作方和服务对象参与。
在平台层面，深至科技Cx橙欣健康是患者端，承接患者教育、随访任务、用药及症状反馈和患者报告结局的记录；深至科技Dx暖欣健康是医生端工作台，医生通过它完成患者管理、医学判断和专业确认；深至科技Px信欣健康是药企端平台，用于项目发起、过程管理、数据分析和效果评价。三端均由深至科技建设和协同运营，服务与项目交付主体也是深至科技，医生主要通过Dx参与协作，Px并不直接触达医生。
在数据层，项目过程中产生的数据属于真实世界数据（RWD）。真实世界数据、真实世界研究（RWS）和真实世界证据（RWE）是三个不同层级，只有经过明确研究问题、规范数据治理和统计分析，数据才可能形成证据。
八、项目结束后怎么处理
项目结项不等于工作结束，还需要处理四件事。
数据保存与处置。按约定保存期限保存，到期后的删除或匿名化处理方式需要明确。
账号与权限关闭。项目结束后，项目相关账号和访问权限如何关闭，关闭时间点是什么。
患者后续服务。项目结束时仍在接受服务的患者，如何衔接后续安排，需要提前告知患者并做好准备。
系统与数据迁移。如果药企更换服务商，数据能否迁移、以什么格式交付、迁移过程如何保证安全，这些需要在合同中约定。
把以上八个方面逐项核对，基本上覆盖了患者支持项目容易出合规问题的位置。合规不是项目的附加条件，而是项目能否长期运行的前提。
