医嘱计划隐私政策（中国大陆版）

“医嘱计划”是一款主要面向中国大陆成年用户的个人健康记录、提醒和医疗资料整理工具。我们遵循合法、正当、必要、诚信、公开透明和最小必要原则，把“默认本机处理、敏感信息单独同意、远程功能再次单独同意”作为基本规则。

1. 个人信息处理者与联系方式

个人信息处理者：黄康兴（自然人开发者）
所在地：福建省
隐私与支持邮箱：support@yizhujihua.com

2. 默认保存在设备上的数据

以下数据默认只保存在当前设备的应用存储中，不会因为安装或日常使用而自动上传：

• 姓名、出生日期、性别、身高、体重、BMI和用户备注；
• 医疗计划、药名、剂量、时间、复查和康复任务；
• 服药、体重、测量、不适、漏服及完成记录；
• 用户选择保存在本机的医疗资料草稿和AI结果；
• AI授权记录、会员状态、激活结果、应用设置、备份和导出状态。

当前版本已停止提供新的饮食记录入口。旧版本如曾产生饮食记录，升级后仅在本机“健康记录”中作为历史记录展示，并随完整备份导出；不会自动上传，也不会发送给AI。用户可通过“清除本机数据”一并删除。

医疗健康信息属于敏感个人信息。首次使用健康记录前，我们会说明处理目的、必要性以及可能对个人权益造成的影响，并通过独立、默认不勾选的选项取得单独同意。保存目的为提供本机计划、提醒、历史记录、备份和导出。没有账户系统，也不接入广告、跨应用追踪或行为分析SDK。

应用页面不使用 Cloudflare Web Analytics、第三方访问统计脚本或广告统计信标。服务器仍可能为提供网络传输和安全防护处理必要的短期网络日志，但不会把健康记录用于访问画像。

3. 激活码与会员服务

用户主动输入激活码并点击“立即激活”时，应用会向个人信息处理者部署在中国大陆的激活服务发送：用户输入的激活码、应用随机生成的安装标识和应用版本。随机安装标识不是IMEI、手机号、广告标识或其他硬件标识，应用不会为激活而发送姓名、健康档案、药名、服药记录或AI对话。

服务器只持久保存激活码和随机安装标识经过带服务器密钥的不可逆HMAC处理后的摘要，以及会员商品、生成时间、兑换状态、兑换时间、有效期和随机激活交易号；不保存原始激活码和原始安装标识。处理目的为核验真伪、防止重复兑换、发放和恢复已购买的会员权益、处理订单争议与防止滥用。用户可以不使用激活码，并继续使用免费功能。

设备更换提示：一次性激活码兑换后绑定当前应用安装。卸载、清除应用数据或更换手机可能使本机随机安装标识丢失；需要恢复时可通过隐私与支持邮箱联系人工核验。请勿在非官方页面公开激活码。

用户主动选择一键付款时，支付服务只处理商品编号、渠道、随机安装标识、客户端订单号、渠道交易号、金额、币种、付款状态和核验时间，用于创建订单、拉起渠道收银台、服务端验单、退款和恢复购买。支付订单与医疗健康数据分开存储，订单中不包含计划名称、病名、药品、症状、医嘱正文、测量结果、处方图片、AI输入输出或用户备注。实际收款渠道及退款规则会在付款页面显示；当前渠道未配置完成时，应用不会使用模拟付款替代。

4. 可选AI功能的数据处理

AI功能不是本机核心功能。每类AI功能首次发送前，应用会在正常操作流程中单独说明用途、数据、接收方和处理地点，并要求用户主动勾选明确同意。不同意或撤回同意不会影响本机记录、提醒、手动建计划、导出和删除。

当前AI链路包括个人信息处理者部署的代理服务，以及阿里云百炼（通义千问）。模型：通义千问 qwen3-vl-flash；处理地区：中国大陆（阿里云基础设施）。传输使用HTTPS。应用代理代码不会把AI请求正文写入应用日志或数据库；服务商和基础设施仍可能处理必要的安全、计费、滥用防护和网络日志。

当前使用通义千问大模型，生成式人工智能服务备案号为 ZheJiang-TongYiQianWen-20230901，算法备案号为 网信算备330110507206401230035号。AI生成的文本和草稿会在交互界面周边显示“AI生成”标识。

境外访问限制：生产环境不得允许境外人员或系统访问中国大陆用户的健康数据、AI请求正文或可识别日志。确需向境外提供时，运营方必须先完成适用的个人信息出境条件、个人信息保护影响评估、单独告知和单独同意，并更新本政策；完成前不进行该类境外提供。

5. AI安全反馈

用户可以在“询问当前医嘱”页面报告危险、不准确、不当或疑似隐私问题。反馈只发送问题类别、功能来源和应用版本，不自动附带健康档案、对话、姓名、药名或病情。

6. Android权限

• 通知：仅在用户主动开启提醒时请求，用于显示计划或服药提醒；
• 开机完成：用于设备重启后恢复用户已设置的提醒；
• 闹钟调度与唤醒：用于尽量按用户设置的时间显示提醒；
• 互联网：用于用户主动触发的激活码核验、AI、更新、公开隐私政策和反馈功能；
• 照片/文件：使用Android系统选择器，应用不申请读取整个相册或存储空间；应用内拍摄的医疗资料先写入应用私有临时缓存，不保存到公共相册。

7. 保存期限

本机数据保存到用户在应用内清除、卸载应用或设备系统删除应用数据为止。AI请求正文由代理实时转发，不在代理应用中持久保存。用于限流的网络地址只在内存中短暂使用。类别化AI安全反馈和必要的服务安全日志应设置为不超过90天，法律要求或安全事件调查需要更长时间的除外。

激活码核销记录在会员有效期内保存；会员到期后，为处理订单争议、防止重复兑付和履行法定义务，相关摘要、状态、时间和随机交易号最长继续保存3年，期满删除或匿名化。法律法规另有更长保存要求的，从其规定。

8. 分享、出售和自动决策

我们不出售健康数据，不向广告商分享健康数据，不使用健康数据进行跨应用追踪。AI输出是辅助整理内容，不能自动改变药物、剂量、疗程或医疗计划；医疗资料草稿必须由用户逐项核对确认。

9. 用户控制与权利

• 在“我的 → 数据与备份”导出CSV、完整备份或清除本机数据；
• 在“我的 → 本机健康数据授权”查看同意记录，或撤回授权并清除本机健康数据；
• 在“我的 → AI数据授权”查看并撤回未来的AI发送授权；
• 通过 support@yizhujihua.com 询问数据处理、会员激活和设备更换，或提出访问、更正、删除、限制、反对或投诉请求；
• 对处理结果有异议时，可向履行个人信息保护职责的部门投诉、举报。

10. 儿童

本应用面向能够自行管理健康计划的成年人，不以儿童为目标用户。未成年人应在监护人和医疗专业人员指导下使用。

11. 医疗安全说明

本应用不是医疗器械，不诊断、治疗、治愈或预防任何疾病。本应用不能替代医生、药师或其他合格医疗专业人员的建议。不要依据AI输出自行改变剂量、停药、换药或双倍补服。

12. 政策更新

当数据处理方式、服务商、区域或功能发生实质变化时，我们会更新本政策，并在需要时重新征得同意。应用内会显示最近更新日期和政策版本。