1. 适用范围与服务提供方
本政策适用于用户通过网页端或 iOS App 连接并使用的安可记服务。当前服务提供及维护主体为：当前私有部署的服务维护者（正式发布前待补充主体全称）。
2. 我们处理哪些信息
- 账户与身份：账户名称、随机账户 ID、登录会话、家庭档案姓名及关系，用于登录、会话恢复、数据隔离和档案切换。
- 健康资料：用户录入或上传的病历、报告、指标、症状、用药、日程、健康日志、健康计划和相关附件。
- 照片、视频与其他用户内容：用户主动选择的头像、报告照片、PDF、备注、问题和其他文档。
- 产品交互：登录和会话时间、粗粒度系统或浏览器标签、每日活跃计数，以及不含普通问答正文和医疗报告原文的 AI 任务、Token、耗时与状态元数据，用于安全、额度、运行和汇总分析。
当前 App 不读取通讯录、精确位置、IDFA 或 IDFV，不处理购买记录，也没有集成广告跟踪 SDK。正式托管环境中的反向代理、CDN、安全产品或崩溃分析能力如增加其他数据处理，必须在启用前更新本政策和 App Store 披露。
3. 信息如何存储和使用
当前版本将账户、家庭档案、医疗记录和上传附件按账户隔离保存在用户所连接的安可记服务，用于跨设备访问、资料整理、同步、导出、备份恢复和账户安全。服务部署者及维护者在系统层面具备完成维护、备份和故障恢复所必需的技术访问能力。
用户在 iOS App 选择“记住账户”后，App 可在受完整文件保护且不参与备份的应用目录中保留最多 7 天的最近离线总览；它不含密码、会话 ID、CSRF、报告全文或附件。健康问答历史仅在用户允许时保存在本机受完整文件保护且不参与设备备份的目录，并限制为最近 80 条和 4 MB。提醒时间配置按档案哈希隔离保存在完整文件保护且不参与设备备份的本机文件中，文件名和内容不保存档案名、药名或原始医疗 ID。
4. AI、语音与第三方服务
仅在用户主动发送 AI 问答、报告识别、文件处理或计划生成等请求时，安可记才会把完成该次任务所需的最少内容发送给服务端以及当前已配置的模型服务商。第三方处理受相应服务商当时生效的条款、隐私政策、账户类型、处理地区和控制台配置约束。
安可记不保存原始语音录音。iOS App 在设备与当前语言识别器支持时强制本机转写；不支持本机识别时，语音可能由 Apple 的语音识别服务处理。iOS 单次听写最长 60 秒，App 进入后台、切换档案或离开问答页面时会立即停止麦克风和识别任务。网页端是否使用本地、浏览器或云端语音能力取决于当前环境及部署配置。用户可不使用 AI 或语音功能，以避免相应第三方处理。
图片、PDF 和报告原文可能直接包含身份信息。用户应先裁剪或打码，只提交完成任务所必需的内容。iOS App 会把可读取图片先在本机下采样并重绘为 JPEG，以减少原图片容器元数据；健康问答和报告识别请求还会把附件原文件名替换为通用名称。这不会移除图片画面、PDF 正文或 PDF 自身元数据中的身份信息。
5. 共享、出售与跟踪
安可记当前版本不出售个人信息，不使用收集的数据进行广告跟踪，也不为跨公司广告画像而共享数据。除用户主动发起的第三方智能处理、用户主动选择的系统分享目标，以及提供托管、安全、备份等必要服务的受托方外，不会把医疗资料提供给无关第三方。
6. 保留、导出与删除
服务器资料会在账户有效期间保留，以持续提供档案服务。用户可以在“账户安全与数据”中验证密码后导出账户资料、撤销其他设备会话或永久注销账户；非主家庭档案可在档案管理中永久删除。永久删除不可撤销，建议先导出仍需保留的资料。
本机离线总览最长保留 7 天；退出登录、会话被拒绝、切换开发服务器或取消记住账户会触发清理。关闭本机问答保存会删除已有本机问答历史。
7. 用户的选择与权利
用户可以查看和修改基础档案，导出资料，撤销设备会话，停止 AI 或语音功能，清理本机问答，以及删除家庭档案或账户。操作路径和边界见隐私选择与数据权利；需要帮助时请访问支持页面。
8. 安全与医疗提示
安可记使用账户隔离、会话控制、CSRF 防护、传输策略和系统数据保护等措施降低风险，但任何系统都无法保证绝对安全。用户应保护设备、密码、导出文件和第三方 API 凭据，发现异常会话后及时撤销并修改密码。
安可记用于个人健康档案整理与辅助理解，不替代医生诊断、治疗意见或紧急医疗服务。如有急症或紧急危险，请立即联系当地急救服务或前往医疗机构。