Loading...
ระบบจำลองพื้นฐานทำงาน 100% ในเบราว์เซอร์ของคุณ ไม่มีภาพถ่ายผู้ป่วยส่งถึงเซิร์ฟเวอร์ของเรา เส้นทาง Photoreal แตกต่างกัน — หน้านี้ระบุชื่อผู้ให้บริการย่อยทุกรายและทุกช่องว่างอย่างชัดเจน
การตรวจจับจุดสังเกต MediaPipe (468 จุด) และการอนุมาน ONNX ทำงานทั้งหมดในเบราว์เซอร์ผ่าน WebAssembly และ WebGL ไม่มีการส่งข้อมูลภาพไปยังเซิร์ฟเวอร์ของ Faceify ระหว่างการจำลองมาตรฐาน รูปภาพจะออกจากอุปกรณ์เฉพาะเมื่อเปิดใช้ AI โฟโตรีลิสติกพรีวิวเสริมหรือบันทึกการจำลองในบัญชีเท่านั้น
lib/simulation/face-mesh.ts · lib/simulation/depth-v2/depth-v2-inference.ts · lib/simulation/ai-suggestions/ethnicity-ml.ts
เมื่อผู้ใช้เปิดใช้งาน Photoreal preview และให้ความยินยอม AI Photo ภาพถ่ายผู้ป่วย (base64 data URL) จะถูกส่งไปยัง Replicate ผู้ให้บริการ GPU บนคลาวด์ที่ตั้งอยู่ในสหรัฐอเมริกา ผ่าน /api/simulation/diffusion-preview Replicate สร้าง preview และส่งคืน URL โดยภาพจะไม่ถูกบันทึกในฐานข้อมูลของ Faceify
ผู้ใช้ในสหรัฐอเมริกาถูกบล็อกที่ระดับ API route (HTTP 451) ผู้ใช้นอกสหรัฐอเมริกา — รวมถึงสหราชอาณาจักรและออสเตรเลีย — จะถูกเปิดเผยต่อการส่งข้อมูลไปยังบุคคลที่สามนี้หลังจากให้ความยินยอมอย่างชัดแจ้ง
app/api/simulation/diffusion-preview/route.ts:277 — x-vercel-ip-country === "US" → HTTP 451
ข้อเท็จจริงทางสถาปัตยกรรม — การประมวลผลในเบราว์เซอร์ ไม่มีข้อมูลสุขภาพบนเส้นทางพื้นฐาน — เป็นทรัพย์สินความสอดคล้องที่แข็งแกร่งที่สุด เส้นทาง Diffusion สร้างภาระผูกพันที่ยังไม่ได้รับการปฏิบัติตามอย่างครบถ้วน
The base simulator produces zero data egress by design: MediaPipe landmark detection and ONNX inference run in the browser; no patient photos reach Faceify servers on the standard path. Faceify is not a covered entity. BAA available on Enterprise plan upon request.
Lawful basis: consent (Article 6(1)(a)) for AI photo features; contract (Article 6(1)(b)) for account and billing. Article 17 deletion right is exercisable via /api/account/delete or Settings. For the base simulator, image data does not transit EU borders (stays on device). The diffusion path transmits to Replicate (US); transfer mechanism for EU users is under review.
Same data-residency position as EU GDPR for the base simulator. Supervisory authority: ICO (not EDPB). Any third-party transfers require IDTA (International Data Transfer Agreement), not SCCs. Replicate DPA under IDTA has not yet been executed. This is an open gap for the diffusion path.
Base simulator: image data does not leave the device; PDPA cross-border transfer obligations are not triggered. Consent collected in-app before any simulation preview runs.
Base simulator: image data does not leave the device; PIPA cross-border transfer obligations are not triggered. Consent collected in-app before any simulation preview runs.
Base simulator: image data does not leave the device; APP 8 cross-border disclosure obligations are not triggered. The diffusion path requires an explicit APP 8 disclosure before non-US (including AU) users can use it. That disclosure is being added to the AI photo consent modal. Until it lands, the diffusion path is non-compliant for AU users.
Realtime mode: ฟีดกล้องอยู่บนอุปกรณ์
เมื่อ Realtime mode ทำงาน Banuba SDK จะประมวลผลฟีดกล้องทั้งหมดภายใน browser WASM runtime ไม่มีเฟรมภาพหรือ face landmark ถูกส่งไปยัง Faceify Labs หรือบุคคลที่สาม Banuba license token ถูกตรวจสอบในเครื่อง SDK ไม่ติดต่อเซิร์ฟเวอร์ภายนอก
Replicate: ภาพถ่ายผู้ป่วยถูกส่ง (เฉพาะเส้นทาง Diffusion)
สำหรับผู้ใช้นอกสหรัฐอเมริกาที่เปิดใช้งาน Photoreal preview ภาพถ่ายผู้ป่วย (base64) จะถูกส่งไปยัง Replicate ผู้ใช้ในสหรัฐอเมริกาถูกบล็อก ผู้ใช้นอกสหรัฐอเมริกาจะเห็นหน้าต่างขอความยินยอมอย่างชัดแจ้ง ไม่มี BAA หรือ DPA กับ Replicate ในปัจจุบัน
ผู้ให้บริการทุกรายที่รับข้อมูลในนามของเรา อัปเดตล่าสุด 2026-05-26
| ผู้ให้บริการ | ข้อมูลที่รับ | ข้อมูลสุขภาพ / ภาพผู้ป่วย? | สถานะ BAA / DPA | ขอบเขต |
|---|---|---|---|---|
| Vercel | All HTTP traffic; Vercel Blob stores patient before/after simulation images when saved | Yes — Vercel Blob receives actual patient facial images (on explicit save only) | DPA available; no BAA signed | All paths (hosting); patient images on save (base sim + diffusion) |
| Neon (PostgreSQL) | User PII (email, name, userId); simulation metadata (procedure slug, params); PHI audit log entries; AI photo consent timestamps; Vercel Blob image URLs | No raw photo bytes. Stores image URLs and userId + procedure + consent timestamps. | DPA available; no BAA signed | Base sim + diffusion; billing; auth |
| Vercel Blob | Patient before/after simulation images (base64-sourced, re-encoded) when a signed-in user saves a simulation | Yes — full facial image. Stored at a non-guessable UUID path but with public access. | Part of Vercel DPA; no BAA signed | Base sim on save; diffusion output on save |
| Upstash Redis | IP addresses + rate-limit counters; hashed user IDs as rate-limit keys | No image data. No PHI. | No DPA confirmed from source code | All paths (rate limiting) |
| Resend | Patient email address; surgeon email address; patient name; surgeon name; procedure label; share URL (encodes simulation params only — no photos) | Email addresses. Template explicitly excludes photos. | DPA available; no BAA | Consultation sharing; transactional email |
| Polar | Patient email; payment metadata; subscription status | Email address. No images. | DPA available; no BAA. Polar is Merchant of Record. | Billing only |
| Sentry | Stack traces; error messages; request URLs (tokens redacted by beforeSend filter). Extra context stripped of image/file keys. Session replay active at 1% sample rate with maskAllText + blockAllMedia. | No confirmed PHI. One P2 gap: error message string content is not scrubbed for embedded fragments (low probability). | DPA available; no BAA | All paths (error monitoring) |
| PostHog | Funnel events: procedure name, landmark count (integer), preset ID, deal ID, error code. Page views. Session replay if enabled in project dashboard. | No image bytes in event payloads. Session replay gap: canvas is not explicitly blocked in posthog.init options (P0 fix in progress). | DPA available; no BAA. EU primary region. | All paths (analytics) |
| Replicate | Patient photo (base64 data URL) for photoreal/diffusion preview generation. US users are geo-blocked (HTTP 451). Non-US users only, after explicit AI photo consent. | YES — full patient facial photo transmitted. Replicate is a US-based company. UK/AU transmission triggers UK GDPR Chapter V and AU Privacy Act APP 8 international transfer obligations. No BAA, no DPA confirmed. | No BAA. No DPA confirmed from source. Transfer mechanism for UK/AU not yet executed. | Diffusion/photoreal path only. Non-US only. |
ความยินยอมถูกเก็บในแอปก่อนที่จะมีการแสดง preview ใดๆ ประตูความยินยอมถูกบังคับใช้ที่ระดับ route
บันทึกความยินยอมเป็นของคลินิก ไม่ใช่ Faceify Faceify ไม่จัดเก็บบันทึกความยินยอม คลินิกมีหน้าที่รักษาบันทึกการตรวจสอบความยินยอมตามข้อกำหนดท้องถิ่น
เส้นทาง Diffusion: ความยินยอม AI Photo ที่ชัดแจ้ง
สำหรับ Photoreal preview จะมีหน้าต่างขอความยินยอมเพิ่มเติมที่ระบุชื่อ Replicate โดยตรงและอธิบายการส่งข้อมูลไปยังสหรัฐอเมริกา กำลังอัปเดตให้รวมถึงสิทธิ์ในการปฏิเสธโดยไม่ส่งผลต่อการใช้งานระบบจำลองพื้นฐาน
คำถามด้านความปลอดภัย คำขอ BAA และ DPA การรายงานช่องโหว่ และแบบสอบถามการจัดซื้อ:
partners@faceifylabs.comรายงานการประเมินผลกระทบการคุ้มครองข้อมูล (DPIA) สำหรับเส้นทาง Diffusion พร้อมให้บริการเมื่อมีการร้องขอ ตอบกลับภายใน 5 วันทำการ
ไม่มีวันที่ที่สร้างขึ้น สถานะสะท้อนแผนงานภายในณ วันที่ 2026-05-26
ISO 27001
Under review (last reviewed 2026-05-26)
SOC 2 Type II
Not yet pursued. Trigger: first $50k+ ACV contract per internal decision criteria.
Multi-region data residency
Under evaluation for UK and AU private hospital requirements.
PHI-tier audit log
Planned Q2 2026 per CTO report. Will cover photos, annotations, and consultation messages.
Replicate DPA / BAA (UK IDTA + AU APP 8)
Required before diffusion path is compliant for UK/AU users. Under active procurement.
We use analytics cookies to improve your experience. Privacy Policy
Faceify Labs is an educational visual planning tool designed to facilitate patient-surgeon communication. It is not regulated as a medical device under the U.S. FDA, the Thai FDA, the Korean MFDS, ANVISA (Brazil), or the PMDA (Japan). All previews are visualisations of the requested change — not predictions of surgical outcome, clinical diagnoses, or treatment recommendations. Read our full clinical posture →