隐私政策
更新日期 2026年10月30日
银杏健康（以下称"本应用"）是一款个人与家庭健康记录和医疗费用的整理与记录工具，帮助你把化验单、病历、检查报告、影像、医疗收据和账单等材料集中保存、结构化整理、按时间查看。
本应用不提供任何医疗诊断、解读、治疗或用药建议；所有数值与信息均来自你上传的原始材料，或你明确连接的 Apple 健康或 Health Connect。请以原始文件、已连接的健康数据来源和医生判断为准。
本政策说明我们收集哪些信息、如何使用与保护这些信息，以及你享有的权利。
我们是谁
本应用由在香港注册成立的天問智能有限公司（TIVEN LIMITED）提供并运营。
如对本政策有任何疑问，可发送邮件至 support@tiven.ai 联系我们。
我们收集哪些信息
我们仅收集为提供功能所必需的信息：
- 账号信息：你注册时提供的邮箱地址，或经由 Sign in with Apple / Google 登录返回的标识符及（如你授权）姓名、邮箱。
- 健康和医疗费用记录（敏感个人信息）：你主动上传的化验单、病历、检查与影像报告、医疗收据、账单和保险结算单等文件和图片，以及从中提取的指标、用药、就诊、原文金额和支付状态等结构化信息。
- 转发的报告邮件：发到成员专属转发地址的邮件，我们只保存其中的PDF和图片附件，以及发件人地址（在文件收件箱中显示来源）。邮件主题、正文和原始邮件在处理后不会保存。专属地址可随时在App中更换，旧地址立即失效。
- 家庭成员资料：你为本人或家人创建的档案（称呼、关系、性别、出生日期等）。
- 共享档案访问与设备健康数据：档案维护人可以按指定角色邀请他人访问档案。接受邀请后，档案本人可在 iOS 上授权只读访问 Apple 健康中选定的生命体征，或在 Android 上授权只读访问 Health Connect 中本人允许的活动、生命体征、睡眠、体重和身高等类别。导入的结构化记录会上传到银杏健康的活动云数据库，用于整理、跨设备使用，以及供档案维护人和其他获授权参与者查看。云存储仅用于用户主动上传的原始文件，不用于存放这些 Apple 健康或 Health Connect 结构化记录。本应用绝不会向 Apple 健康或 Health Connect 写入数据。你可以在系统设置中断开 Apple 健康或 Health Connect 权限，也可以删除单条已导入记录、由你的账号管理的成员档案，或注销账号以删除该账号及其拥有的数据。我们只请求你选择使用的功能所需的健康数据类别，不会出售你的数据，也不会将健康数据用于广告。
- 设备权限：相机与相册仅在你选择拍摄或选图上传时使用；只有档案本人明确授权后才会访问 Apple 健康或 Health Connect。在 Android 上，导入 Health Connect 中 30 天以前的历史数据还需要用户额外授权 READ_HEALTH_DATA_HISTORY；拒绝该权限只会限制可导入的历史深度，不影响已经授权的较近数据类别。推送通知可随时在系统设置中关闭。添加到日历只在你点按时打开系统的新建日程页面，本应用不读取你的日历。
- 使用与诊断信息：登录后，我们直接收集的使用情况分析仅限产品使用字段白名单，会与你的账号标识关联，且不包含健康或费用记录内容。崩溃、安全和运维诊断可能包含账号或对象标识符以及异常或网络上下文。我们仅在安全、问题排查和运维所需范围内处理这些诊断。你可以在"设置 → 数据与隐私"中关闭使用情况分析。
- Apple Ads 归因（iOS）：在你已登录且使用情况分析已开启时，本应用会针对每次安装向 Apple 查询一次，确认该次下载是否来自我们投放的 Apple Ads 广告系列。该查询使用的令牌只会发送给 Apple。如果 Apple 将该次安装归因于我们的广告，我们会记录广告系列、广告组、关键词和广告的标识符以及 App Store 国家或地区，并记录该次下载是首次下载还是重新下载，以及源于点按广告还是浏览广告；否则只记录未获归因这一结果。该记录与其他使用情况分析一样关联到你的账号，整个过程不使用广告标识符（IDFA）。
- 网络与位置：第一方接收程序记录每次接受上报时的完整公网 IPv4/IPv6 地址及时间。VPN 或代理可能只暴露其出口地址。国家统计采用设备系统设置中的地区，无法获取时记为未知。该设置不代表实际位置或商店账号地区；不采集 GPS 或精确位置。补传请求的地址不能证明较早事件发生时的位置。
- 反馈诊断信息:当你提交应用内反馈时,我们会保存反馈文字和附件、App 版本、构建号和更新通道,以及该请求的 IP 地址,用于调查问题和回复。
- 网站访问统计：访问tiven.ai时，我们统计页面浏览和下载按钮的点击，以及页面语言、来源网站的域名、设备平台（iOS、Android或其他）和国家或地区。网站不使用Cookie，这些统计不记录IP地址或设备标识，也不与任何账号关联。
我们不收集 GPS 或精确位置、通讯录或广告标识符，也不进行跨应用行为追踪。上述国家码属于与你的账号关联的设备地区统计。
若你开启可选的生物识别应用锁（如面容 ID、指纹），验证完全由你的设备在本机完成，本应用不会获取、传输或存储你的生物特征数据。
我们如何使用这些信息
你的信息仅用于以下目的：
- 提供账号注册与登录；
- 在你没有开启推送通知时，通过账号邮箱提醒复查等重要事项（只说明有待处理的事项，不含健康内容，每周最多一封；可在“设置 → 通知”中或通过邮件里的退订链接关闭）；
- 存储、自动识别、结构化提取与展示你的健康和医疗费用记录；
- 按角色提供共享档案访问与协作，并且只在档案本人授权后从 Apple 健康或 Health Connect 导入所选记录，再通过活动云数据库提供整理、跨设备访问和按角色协作；
- 在开启使用情况分析时生成汇总的产品使用与活跃用户国家统计；
- 在开启使用情况分析时，衡量我们投放的哪些 Apple Ads 广告系列带来了后续使用本应用的用户（如注册、上传材料、向 AI 助理提问或订阅）；
- 必要的安全保障与故障排查；
- 汇总统计官网的访问量和下载按钮点击，了解用户通过哪些渠道知道本应用。
自动识别和提取的结果可能以待核对状态保存，供你对照原件确认。未核对的医疗费用不会计入已确认汇总；识别与提取可能存在错误，请以原始文件为准。
我们不会出售你的数据，不会将你的数据用于定向或个性化广告，也不会使用你的健康数据训练由我们或任何第三方运营的自动处理系统。唯一与广告相关的用途，是按上文所述衡量我们自己投放的 Apple Ads 广告系列的效果。
第三方处理者（子处理方）
为实现上述功能，部分数据会交由以下受合同约束的服务商处理。它们仅按我们的指示处理数据，不得另作他用：
- 云托管：阿里云美国东部区域托管运行 Supabase 的基础设施，用于保存你的账号、记录和上传的文件。
- 文档识别与 AI 辅助：Mistral AI 接收文档内容以识别文字。OpenRouter 及其路由到的模型推理服务商接收相关文档文字、文档中图表区域的图片（不含人物照片）、问题、对话历史和健康记录上下文，用于提取信息、读取图表中印出的数值、检索和生成摘要。这些请求由 银杏健康 后端转发，在你的设备之外处理。问题和已完成的回答也会保存在 银杏健康 中，供查看对话历史。
- 诊断与产品分析：有限的崩溃诊断以及与账号关联的使用和按国家统计的活跃信号会用于维护和改进App。使用情况和国家活跃分析不包含你的健康记录内容。当本App选择中国大陆网络入口时，崩溃诊断由阿里云（中国大陆）处理。崩溃诊断可能包含账号或对象标识符以及异常或网络上下文；处理仅限安全、问题排查和运维需要。
- 网络与邮件服务：Cloudflare 为本应用的接口提供网络传输与安全防护，往返本应用的数据会经过其网络；它也接收发往成员专属转发地址的邮件，交给本应用处理。阿里云邮件推送发送账号验证邮件和提醒邮件。
分析与崩溃诊断
为保障 App 稳定并了解功能的使用情况，我们会处理已移除记录标识的页面名称、App 版本、设备型号和崩溃堆栈等技术与使用信号。登录后的使用事件会与你的账号标识关联，并非匿名，但事件中不发送你的姓名或联系方式。 登录前也会使用独立的匿名使用标识采集，登录后将这段历史关联到账号；你可以从登录页的“使用分析”入口关闭采集。使用事件还包括有定义的操作耗时与结果、已提交的记录变更和服务商用量；Sentry 接收异常诊断，ClickHouse 保存 App 自定义观测数据。使用事件不包含输入值或记录正文。
使用分析将有定义的页面访问、控件操作和评分引导阶段，与账号、安装标识、App 与系统版本、设备型号、语言、时区及当时可获知的订阅状态关联。不采集控件输入值、健康或费用正文、文件名及广告标识。在 iOS 上，使用分析还包括上文所述的 Apple Ads 归因，每次安装仅记录一次。
本机加密队列最多保留待投递事件 7 天。事件及上下文明细持续保留，目前不设置自动过期时间；原始 IP 单独受限保存 14 天，过期停止用于分析并由清理任务删除。关闭使用分析立即停止设备采集并清空待投递队列；账号偏好送达后停止服务端采集，离线修改稍后同步。已经采集的分析不追溯撤回。删除账号同时删除活跃存储中的分析和 IP，最少删除凭据用于防止旧事件重新进入。较早版本的国家活跃聚合保留至账号删除。必要安全与运维日志遵循独立的保留控制。 由我们控制的日志会在不再需要时删除；服务商日志受适用的保留和删除控制约束。
数据跨境传输
本 App 通过位于美国东部的 Supabase 存储你的账号、记录和文件。为提供自动整理功能，你上传的文件内容也可能在你所在国家或地区之外处理。转发的邮件和往返本应用的数据会经 Cloudflare 的网络传输，验证邮件和提醒邮件经阿里云邮件推送发送，这些服务也可能在你所在国家或地区之外处理数据。
因此，你的数据可能发生跨境传输。若你身处欧盟或英国，这可能构成 GDPR 第 44–49 条所指的向第三国传输。使用本 App 并上传文件，即表示你知悉上述处理；如不接受，请勿上传文件。
数据存储与安全
我们采取以下措施保护你的数据：
- 数据传输全程使用 HTTPS 加密；
- 数据库启用行级安全（RLS）和角色校验，确保只有账号所有者以及获得档案明确授权的参与者才能在其角色范围内访问数据；
- 文件存放于私有存储桶，按用户隔离访问。
数据保留与删除
由你的账号拥有的数据会保留至你删除它或注销账号为止。
你可以在"设置 → 注销账号"永久删除账号及其拥有的数据（包括该账号的成员、记录、化验单、医疗费用、影像以及与账号关联的国家活跃记录）。该操作不可恢复，这些数据会从我们的活动数据库和活动存储中删除。
断开 Apple 健康或 Health Connect 权限会停止后续导入或同步，但不会删除已经导入到本应用的记录。你可以在本应用中删除由自己的账号管理的档案内的已导入记录。如果你访问的是由其他账号维护的档案，退出该访问或删除自己的账号会停止后续访问和健康平台导入或同步，但不会删除此前已导入到维护人档案中的记录。这些记录由档案维护人在本应用中管理和删除。
有限的安全、崩溃和运维日志仅在保障安全、防止欺诈、排查问题或履行法律义务所需期间保留。由我们控制的日志随后删除；服务商日志受适用的保留和删除控制约束。系统或服务商备份中的有限残留副本如存在，仅用于灾难恢复，不供日常产品访问，并会按适用生命周期被覆盖或退役。恢复后，删除义务仍然适用。为阻止旧 JWT 或后台任务重建已删除的存储，删除流程会临时保存一条仅含原始账号 UUID 的安全标记。该标记不含你的电子邮箱地址或健康记录内容。正常成功删除后会立即移除该标记；如果清理中断，自动清理会在最多 24 小时内移除。商店交易记录会由Google Play、Apple或其支付处理方按各自政策保留。
你的权利
你对自己的数据享有以下权利：
- 访问与更正：随时在应用内查看并修改由你拥有或获授权管理的资料与记录；
- 导出：通过"设置 → 导出我的数据"获取结构化数据导出（JSON / CSV，能力将逐步增强）；
- 删除：删除由你的账号拥有的单条记录或成员，或注销账号以删除该账号拥有的数据。
根据你所在地区的法律（如中国 PIPL、欧盟 GDPR、加州 CCPA），你可能享有更多权利。如需协助，请联系 support@tiven.ai。
儿童
本应用面向成年人。若你作为监护人录入未成年家庭成员的健康记录，你应确保有权这样做。我们不会在知情的情况下主动向 13 岁以下儿童收集其本人提交的信息。
政策变更
本政策更新时，我们会修改顶部的更新日期；重大变更会在应用内以显著方式告知。
联系我们
天問智能有限公司（TIVEN LIMITED）
公司注册编号：81341300
注册地址：香港新蒲岗景福街99号启德工厂大厦二期8楼D07室
support@tiven.ai