A · 关系与授权
1. 你们和 LibreClinica 是什么关系？
我们是 LibreClinica 开源项目的使用者与社区贡献者，不是官方机构，也没有取得"中国区授权"。客户使用的 EDC 内核是 GPL-3.0 开源的 LibreClinica，我们对修改部分按 GPL-3.0 提供源码。收费来自本地化、验证、集成与数据管理服务。
2. 你们能做"LibreClinica 中国官方"吗？
不能，也不建议任何供应商这样表述。LibreClinica 社区没有"中国区总代"这一授权体系。把我们写成官方，只会在核查与合同审查中制造风险。
3. 如果我不用你们的服务，能自己部署吗？
可以。原版从 libreclinica.org 或 GitHub 获取，按官方文档即可部署。我们不做"唯一正版"，也不锁功能。
4. 你们能用 LibreClinica 的名字和 logo 吗？
文字上可以说明"基于 LibreClinica 构建"，但不使用其 logo 作为我方商标，也不以官方名义宣传。项目名称与商标归其权利人所有。
B · 许可证与源码
5. 你们交付的系统是开源还是闭源？
分两层：LibreClinica 内核及其修改部分为 GPL-3.0，随交付提供完整源码；独立服务（如院内接口网关、随访服务）与文档模板为商业授权，通过接口与主程序通信。
6. 为什么不把整个系统闭源卖？
因为 GPL-3.0 不允许。把修改后的主程序闭源分发属违约，一旦被追溯，合同与项目都会受影响。我们选择合规的商业模式：软件开源，服务收费。
7. 源码交给客户，会不会泄露你们的成果？
源码对应的是开源内核与我们对它的修改，本就应当公开；真正构成差异化的是验证文档、实施方法、集成能力与运维经验，这些不在 GPL 约束范围内。
8. 客户要求"禁止二次分发"，可以写进合同吗？
对 GPL 覆盖的部分不可以，这类限制与 GPL-3.0 冲突。可以对商业组件、文档模板约定使用范围与保密义务。
C · 验证与核查
9. 用了 LibreClinica 是不是就符合 GCP / CDE 要求？
不是。软件只是工具。合规取决于是否完成计算机化系统验证、是否有权限与留痕控制、是否有 SOP 与培训记录。任何声称"装了就合规"的说法都不可信。
10. 核查时监管会问软件品牌吗？
通常不问品牌，而问：怎么验证的、谁批准的 URS、权限矩阵在哪、稽查轨迹怎么审、备份恢复测过没有、电子签名依据是什么。这些问题要靠文档回答，不是靠软件名字。
11. 验证文档谁签字？供应商签行不行？
不行。验证方案与报告须由研究机构（QA/负责人）批准，供应商提供协助与执行记录。责任不能被外包。
12. IQ/OQ/PQ 一定要做全吗？
按风险评估决定深度，但不能只做 IQ。涉及数据完整性的关键功能（权限、稽查轨迹、规则、导出、备份）必须有 OQ 证据；PQ 用真实研究场景验证端到端流程。
13. 系统升级后要不要重新验证？
要，按变更影响评估决定范围。补丁级可做聚焦测试，涉及权限模型、稽查轨迹、数据结构的变化须重新执行相关 OQ 用例，并保留变更记录。
14. 稽查轨迹能导出给核查员看吗？
能。系统保留字段级修改前后值、时间、用户与原因，并可按项目/受试者/时间段导出。建议同时准备中文审核记录，说明谁在什么时候审过、发现了什么。
D · 数据与安全
15. 数据会出境吗？
默认不出境。采用院内私有化或境内云部署；如有跨境需求，按数据出境合规路径单独评估，不纳入标准方案。
16. 备份和恢复怎么保证？
定频率、定异地、定演练。至少每年一次完整恢复演练并留记录（RTO/RPO 指标、实际耗时、问题整改）。只有备份没有演练，核查时等于没有。
17. 能对接医院 HIS/LIS 吗？
能，但原则是只读、经中间表、可追溯。直连生产库写入会同时放大业务风险与验证负担，不建议。
E · 商务与合作
18. 为什么软件免费还要收这么多钱？
软件本身不产生合规能力。收费对应的是：本地化、部署加固、验证文档与执行、集成开发、培训与核查陪跑——这些都需要人和时间，且要承担支持责任。
19. 项目失败或核查不通过，你们承担什么责任？
按合同约定承担服务范围内的责任（如文档缺陷、实施错误）。合规结论由机构作出，我们不承诺"通过核查"，也不替机构承担申办者责任。
20. 你们的资料可以给机构信息科看吗？
可以。建议同时提供：架构说明、部署与安全配置清单、GPL 源码交付说明、验证文档目录、运维与应急方案。信息科关心的通常是安全与运维，不是功能列表。