先分清资料用途

中医馆收集反馈，可能为了处理预约差错、改进等候指引、回应投诉，或了解服务说明是否清楚。不同用途需要的信息不同。预约问题先核对时间和流程；涉及医疗服务的意见交由相应专业岗位处理。不要为“以后可能有用”把健康描述、联系方式和反馈原文放进同一份可广泛查看的表格。

建表前列出每个字段的用途、填写来源和负责岗位。姓名或联系方式不是所有意见的必需项；若为单独回复而收集，应说明用途并限定处理范围。自由文本框提示不要填写无关健康信息，提交后的处理方式按机构当前流程说明。字段越多不一定越专业，关键是支持当前任务。

内部查看按职责分配

谁接收原文、谁只需看到待办、谁负责最终回复，要在流程里写清楚。前台处理预约只看核对预约所需信息；负责指引改版的人可能只需要知道位置和问题类型。转交前删去与任务无关的个人描述，或使用机构认可的摘要。不要为图方便把整段记录发到不相关群聊或私人设备。

如果使用系统保存反馈，管理员按当前版本和配置核验账号、角色、可查看范围、导出和共享方式。不能根据某个页面看不到资料，就推断管理端或日志也无法访问。权限改动后，用不同角色账号分别实测，记录日期、测试范围和发现的问题；工具能力以实际验证为准。

留存和删除要有负责人

机构依据自身制度和适用要求，确定不同记录何时归档、到期、由谁清理。投诉材料、普通服务建议和正式医疗记录性质不同，不能用统一周期随意覆盖。文章不要承诺“自动永久安全”或未经核实的具体保留年限；由管理负责人确认规则并告知相关岗位。

发现误发、账号借用或不应查看的人接触记录，应有内部上报和处置路径。先限制继续扩散，确认涉及范围和可采取措施，再由指定负责人决定后续沟通。不要让一线员工自行删除证据、私下联系相关人员或把问题说成“没有风险”。处置过程按机构制度记录。

运营反馈与医疗记录分开

普通服务复盘通常只需记录事项、来源渠道、责任人、处理状态和核查结论。涉及诊断、处方、疗效或身体状况的内容，交给相应专业岗位按正式记录制度处理；运营表格不替代病历，也不让前台据此判断治疗需要。向运营团队反馈时尽可能只提供完成任务所需的摘要。

公开回复或培训案例要检查识别风险。删掉姓名仍不一定足够，具体日期、项目组合、同行关系或罕见经历也可能让人猜到当事人。可以用一般流程说明时，优先去掉识别细节；无法判断是否适合公开，就暂不发布并交相应负责人评估。

用一条真实链路做小范围实查

抽一条预约反馈，核对谁提交、哪些岗位看过、转给谁、解决后保留在哪里、谁负责清理；再抽一条需专业人员处理的记录，看是否被错误放进普通运营表或群聊。发现问题后明确修改字段、调整交接或补员工说明，并设复查日期。这样比只写“加强隐私意识”更容易落实。

结果区分“已看到的页面行为”和“尚未确认的系统范围”。测试账号无法导出，只说明该账号当前看不到导出入口，不能推断其他角色也没有权限。把事实边界讲清楚，才能既保护资料，也避免夸大安全能力。可靠管理来自具体流程、明确责任和持续核验。

情境核查与复盘

用角色切换做一次权限实测

可以准备一条不含真实个人信息的测试意见，分别用普通接待账号、处理负责人账号和系统管理员账号查看。记录每个角色能看到哪些字段、能否下载、是否会转发通知，以及离岗账号是否仍可进入。测试结果只能说明这些账号和当前配置的行为；其他设备、后台日志或服务商接触范围，仍需有权限的管理人员核对相应材料，不能靠前台账号测试推断。

测试结束后清理测试记录，并把发现的问题交给账号与流程负责人。员工离岗、岗位变更或临时协作结束时，按机构审批流程复查访问权限；发现误发则及时报告并按既有预案处理。定期抽查比只在制度里写“严格保密”更可执行，同时也避免文章承诺无法证明的加密等级、零风险或绝对匿名。

管理者还可以检查打印件、截图和下载文件是否脱离原系统继续流转。内部培训用示例应采用虚构资料，文件名也不要包含顾客姓名或疾病描述。员工交接、临时协作结束或岗位调整后，逐项确认纸面材料归还、共享链接失效或账号权限按流程处理。发现无法确认去向的材料，按机构内部报告程序上报，而不是自行判断已删除。