隱私政策
更新日期 2026年10月30日
銀杏健康（以下稱"本應用"）是一款個人與家庭健康記錄和醫療費用的整理與記錄工具，幫助你把化驗單、病歷、檢查報告、影像、醫療收據和賬單等材料集中保存、結構化整理、按時間查看。
本應用程式不提供任何醫療診斷、解讀、治療或用藥建議；所有數值與資料均來自你上傳的原始材料，或你明確連接的 Apple Health 或 Health Connect 資料來源，應以原始文件和醫生判斷為準。
本政策說明我們收集哪些信息、如何使用與保護這些信息，以及你享有的權利。
我們是誰
本應用由在香港註冊成立的天問智能有限公司（TIVEN LIMITED）提供並運營。
如對本政策有任何疑問，可發送郵件至 support@tiven.ai 聯繫我們。
我們收集哪些信息
我們僅收集為提供功能所必需的信息：
- 賬號信息：你註冊時提供的郵箱地址，或經由 Sign in with Apple / Google 登錄返回的標識符及（如你授權）姓名、郵箱。
- 健康和醫療費用記錄（敏感個人信息）：你主動上傳的化驗單、病歷、檢查與影像報告、醫療收據、賬單和保險結算單等文件和圖片，以及從中提取的指標、用藥、就診、原文金額和支付狀態等結構化信息。
- 轉寄的報告郵件：寄到成員專屬轉寄地址的郵件，我們只保存其中的PDF和圖片附件，以及寄件人地址（在檔案收件匣中顯示來源）。郵件主旨、內文和原始郵件在處理後不會保存。專屬地址可隨時在App中更換，舊地址立即失效。
- 家庭成員資料：你為本人或家人創建的檔案（稱呼、關係、性別、出生日期等）。
- 共享檔案存取與裝置健康資料：檔案維護人可以按指定角色邀請他人存取檔案。接受邀請後，檔案本人可在 iOS 授權唯讀存取 Apple Health 中選定的生命體徵，或在 Android 授權唯讀存取 Health Connect 中由本人允許的活動、生命體徵、睡眠、體重和身高類別。匯入的結構化記錄會上傳至 銀杏健康 使用中的雲端資料庫，用於整理、跨裝置使用，以及供檔案維護人和其他獲授權參與者查看。雲端儲存空間只用於使用者主動上傳的原始檔案，不用於存放這些 Apple Health 或 Health Connect 結構化記錄。本應用程式絕不會向 Apple Health 或 Health Connect 寫入資料。你可以在系統設定中撤銷 Apple Health 或 Health Connect 權限，也可以刪除單條匯入記錄、由你帳號管理的成員檔案，或你的帳號及其資料。我們只要求你所選功能必需的健康資料類別，不會出售你的資料，也不會將健康資料用於廣告。
- 設備權限：相機與相冊僅在你選擇拍攝或選圖上傳時使用；只有檔案本人明確授權後才會存取 Apple Health 或 Health Connect。在 Android 上，匯入 Health Connect 中 30 天以前的歷史資料還需要使用者額外授權 READ_HEALTH_DATA_HISTORY；拒絕該權限只會限制可匯入的歷史深度，不影響已授權的較近資料類別。推送通知可隨時在系統設置中關閉。加入行事曆只在你點按時開啟系統的新增行程畫面，本應用不會讀取你的行事曆。
- 使用與診斷信息：登入後，我們直接收集的使用情況分析僅限產品使用欄位白名單，會與你的賬號標識符關聯，且不包含健康或費用記錄內容。崩潰、安全和營運診斷可能包含賬號或物件識別碼以及例外或網絡上下文。我們僅在安全、問題排查和營運所需範圍內處理這些診斷。你可以在"設置 → 數據與隱私"中關閉使用情況分析。
- Apple Ads 歸因（iOS）：在你已登入且使用情況分析已開啟時，本應用程式會針對每次安裝向 Apple 查詢一次，確認該次下載是否來自我們投放的 Apple Ads 廣告活動。該查詢使用的權杖只會傳送給 Apple。如果 Apple 將該次安裝歸因於我們的廣告，我們會記錄廣告活動、廣告群組、關鍵字和廣告的識別碼以及 App Store 國家或地區，並記錄該次下載是首次下載還是重新下載，以及源於點按廣告還是瀏覽廣告；否則只記錄未獲歸因這一結果。該記錄與其他使用情況分析一樣關聯至你的帳號，整個流程不使用廣告識別碼（IDFA）。
- 網路與位置：第一方接收程式記錄每次接受上報時的完整公用 IPv4/IPv6 位址及時間。VPN 或代理可能只揭露其出口位址。國家統計採用裝置系統設定中的地區，無法取得時記為未知。此設定不代表實際位置或商店帳號地區；不收集 GPS 或精確位置。延遲上報的位址不能證明較早事件發生時的位置。
- 意見回饋診斷信息:當你提交應用內意見回饋時,我們會保存文字和附件、App 版本、構建號和更新通道,以及該請求的 IP 地址,用於調查問題和回覆。
- 網站造訪統計：造訪tiven.ai時，我們會統計頁面瀏覽次數和下載按鈕點擊次數，以及頁面語言、來源網站的網域、裝置平台（iOS、Android或其他）和國家或地區。網站不使用Cookie，這些統計不記錄IP位址或裝置識別碼，也不與任何帳號關聯。
我們不收集 GPS 或精確位置、通訊錄或廣告標識符，也不進行跨應用行為追蹤。上述國家碼屬於與你的帳號關聯的裝置地區統計。
若你開啓可選的生物識別應用鎖（如面容 ID、指紋），驗證完全由你的設備在本機完成，本應用不會獲取、傳輸或存儲你的生物特徵數據。
我們如何使用這些信息
你的信息僅用於以下目的：
- 提供賬號註冊與登錄；
- 在你沒有開啟推播通知時，透過帳號信箱提醒複查等重要事項（只說明有待處理的事項，不含健康內容，每週最多一封；可在“設定 → 通知”中或透過郵件裡的退訂連結關閉）；
- 儲存、自動識別、結構化提取與顯示你的健康和醫療費用記錄；
- 按角色提供共享檔案存取與協作，並且只在檔案本人授權後從 Apple Health 或 Health Connect 匯入所選記錄，再透過使用中的雲端資料庫提供整理、跨裝置存取和按角色協作；
- 在開啟使用情況分析時產生彙總的產品使用和按國家統計的活躍用戶資料；
- 在開啟使用情況分析時，衡量我們投放的哪些 Apple Ads 廣告活動帶來了後續使用本應用程式的用戶（如註冊、上傳資料、向 AI 助理提問或訂閱）；
- 必要的安全保障與故障排查；
- 彙總統計官網的造訪量和下載按鈕點擊次數，了解訪客透過哪些管道得知本應用程式。
自動識別和提取的結果可能以待核對狀態儲存，供你對照原件確認。未核對的醫療費用不會計入已確認彙總；識別與提取可能存在錯誤，請以原始文件為準。
我們不會出售你的資料，不會將你的資料用於目標式或個人化廣告，也不會使用你的健康資料訓練由我們或任何第三方營運的自動處理系統。唯一與廣告相關的用途，是按上文所述衡量我們自己投放的 Apple Ads 廣告活動的成效。
第三方處理者（子處理方）
為實現上述功能，部分數據會交由以下受合同約束的服務商處理。它們僅按我們的指示處理數據，不得另作他用：
- 雲端託管：阿里雲美國東部區域託管執行 Supabase 的基礎設施，用於保存你的帳號、紀錄及上傳的檔案。
- 文件辨識與 AI 輔助：Mistral AI 接收文件內容以辨識文字。OpenRouter 及其路由到的模型推論服務商接收相關文件文字、文件中圖表區域的圖片（不含人物照片）、問題、對話歷史及健康紀錄脈絡，用於擷取資訊、讀取圖表中印出的數值、檢索及產生摘要。這些請求由 銀杏健康 後端轉送，在你的裝置之外處理。問題及已完成的回答也會保存在 銀杏健康 中，供檢視對話歷史。
- 診斷與產品分析：有限的崩潰診斷以及與賬號關聯的使用和按國家統計的活躍訊號會用於維護和改進App。使用情況和按國家統計的活躍分析不包含你的健康記錄內容。當本App選擇中國大陸網絡入口時，崩潰診斷由阿里雲（中國大陸）處理。崩潰診斷可能包含賬號或物件識別碼以及例外或網絡上下文；處理僅限安全、問題排查和營運需要。
- 網路與郵件服務：Cloudflare 為本應用的介面提供網路傳輸與安全防護，往返本應用的資料會經過其網路；它也接收寄往成員專屬轉寄地址的郵件，交由本應用處理。阿里雲郵件推送寄送帳號驗證郵件和提醒郵件。
分析與崩潰診斷
為保障 App 穩定並了解功能的使用情況，我們會處理已移除記錄識別碼的頁面名稱、App 版本、裝置型號和崩潰堆疊等技術與使用訊號。登入後的使用事件並非匿名，而是與你的賬號標識符關聯，但事件中不會傳送你的姓名或聯絡資料。 登入前也會使用獨立的匿名使用識別碼收集，登入後將這段歷史關聯至帳號；你可以從登入頁的使用分析入口關閉收集。使用事件還包括有定義的操作耗時與結果、已提交的記錄變更及服務商用量；Sentry 接收異常診斷，ClickHouse 儲存 App 自訂觀測資料。使用事件不含輸入值或記錄正文。
使用分析將有定義的頁面瀏覽、控制項操作和評分引導階段，與帳號、安裝識別碼、App 與系統版本、裝置型號、語言、時區及當時可得知的訂閱狀態關聯。不收集輸入值、健康或費用內容、檔案名稱及廣告識別碼。在 iOS 上，使用分析還包括上文所述的 Apple Ads 歸因，每次安裝僅記錄一次。
裝置上的加密佇列最多保留待傳送事件 7 天。事件及情境明細持續保留，目前不設定自動到期時間；原始 IP 分開限制存取並保留 14 天，過期停止用於分析並由清理作業刪除。關閉使用分析會立即停止裝置收集並清空佇列；帳號偏好送達後停止伺服器收集，離線變更稍後同步。已收集的分析不會追溯撤回。刪除帳號同時刪除使用中儲存空間的分析與 IP，僅保留防止舊事件重新進入所需的最少刪除憑據。較早版本的國家活躍彙總保留至帳號刪除。必要安全與維運記錄遵循獨立的保留控制。 由我們控制的日誌會在不再需要時刪除；服務商日誌受適用的保留和刪除控制約束。
數據跨境傳輸
本 App 透過位於美國東部的 Supabase 儲存你的帳戶、記錄和文件。為提供自動整理功能，你上載的文件內容也可能在你所在國家或地區之外處理。轉寄的郵件和往返本應用的資料會經 Cloudflare 的網路傳輸，驗證郵件和提醒郵件經阿里雲郵件推送寄出，這些服務也可能在你所在國家或地區之外處理資料。
因此，你的資料可能發生跨境傳輸。若你身處歐盟或英國，這可能構成 GDPR 第 44–49 條所指的向第三國傳輸。使用本 App 並上載文件，即表示你知悉上述處理；如不接受，請勿上載文件。
數據存儲與安全
我們採取以下措施保護你的數據：
- 數據傳輸全程使用 HTTPS 加密；
- 數據庫啓用行級安全（RLS）和角色校驗，確保只有賬號擁有人以及獲得檔案明確授權的參與者才能在其獲授角色範圍內存取資料；
- 文件存放於私有存儲桶，按用戶隔離訪問。
數據保留與刪除
由你的賬號擁有的數據會保留至你刪除它或註銷賬號為止。
你可以在"設置 → 註銷賬號"永久刪除賬號及其擁有的數據（包括該賬號的成員、記錄、化驗單、醫療費用與影像）。該操作不可恢復，這些數據會從我們運作中的資料庫和運作中的儲存空間刪除。
撤銷 Apple Health 或 Health Connect 權限會停止後續匯入或同步，但不會刪除已匯入本應用程式的記錄。你可以在本應用程式中刪除由自己帳號管理之檔案內的已匯入記錄。如果你存取的是由其他賬號維護的檔案，退出該存取權限或刪除自己的賬號會停止日後的存取和健康平台匯入或同步，但不會刪除此前已匯入維護人檔案中的記錄。這些記錄由檔案維護人在本應用程式中管理和刪除。
有限的安全、崩潰和營運日誌僅在保障安全、防止欺詐、排查問題或履行法律義務所需期間保留。由我們控制的日誌隨後刪除；服務商日誌受適用的保留和刪除控制約束。系統或服務商備份中的有限殘留副本如存在，僅用於災難復原，不供日常產品存取，並會按適用生命週期被覆寫或退役。復原後，刪除義務仍然適用。為阻止舊 JWT 或背景任務重建已刪除的儲存空間，刪除流程會暫時保存一條僅含原始賬號 UUID 的安全標記。該標記不含你的電郵地址或健康記錄內容。正常成功刪除後會立即移除該標記；如果清理中斷，自動清理會在最多 24 小時內移除。商店交易記錄會由Google Play、Apple或其付款處理方按各自政策保留。
你的權利
你對自己的數據享有以下權利：
- 訪問與更正：隨時在應用內查看並修改由你擁有或獲授權管理的資料與記錄；
- 導出：通過"設置 → 導出我的數據"獲取結構化數據導出（JSON / CSV，能力將逐步增強）；
- 刪除：刪除由你的賬號擁有的單條記錄或成員，或註銷賬號以刪除該賬號擁有的數據。
根據你所在地區的法律（如中國 PIPL、歐盟 GDPR、加州 CCPA），你可能享有更多權利。如需協助，請聯繫 support@tiven.ai。
兒童
本應用面向成年人。若你作為監護人錄入未成年家庭成員的健康記錄，你應確保有權這樣做。我們不會在知情的情況下主動向 13 歲以下兒童收集其本人提交的信息。
政策變更
本政策更新時，我們會修改頂部的更新日期；重大變更會在應用內以顯著方式告知。
聯繫我們
天問智能有限公司（TIVEN LIMITED）
公司註冊編號：81341300
註冊地址：香港新蒲崗景福街99號啟德工廠大廈二期8樓D07室
support@tiven.ai