本政策说明我们如何收集、使用、保存与保护你的个人信息。一句话概括：你的健康数据（检验单图片、识别文本、指标数值、用药与症状记录）全程只保存在你的设备本地，不会上传到我们的服务器。
| 项目 | 内容 |
|---|---|
| 版本 | v0.1 |
| 起草日期 | 2026-09-16 |
| 生效日期 | 2026-11-06 |
| 适用产品 | 脉谱健康 App（Android / HarmonyOS / iOS / iPadOS）/ 脉谱健康网页版 |
| 项目 | 内容 |
|---|---|
| 运营者（个人信息处理者） | 北京领地无限商贸有限公司 |
| 联系方式 | 官方网站 https://www.maipucn.com；客服邮箱 support@maipucn.com（站内「会员中心 → 退款与客服」可提交咨询、投诉与个人信息权利请求，我们将在 15 个工作日内答复） |
| 个人信息保护负责人 | 由运营者法定代表人担任，可经上述官方渠道联系 |
本产品有两种形态，收集范围完全不同，请分别阅读：
| 形态 | 说明 | 是否联网 | 健康数据是否上传 |
|---|---|---|---|
| 单机形态（默认） | 记录检验指标、用药、症状，本地看趋势 | 否 | 不上传 |
| 联网会员形态（你主动启用后） | 为完成账号注册与会员订阅而联网 | 是，仅账号/订单 | 仍不上传 |
一句话概括：健康数据永远只留在你的手机本地；联网只用于账号与收钱。
这一边界是产品设计约束，不是临时取舍（见第六节 PIPIA 的必要性论证）。
| 信息项 | 举例 | 存储位置 |
|---|---|---|
| 检验单图片 | 你拍摄或从相册选择的照片 | App 私有目录 |
| 图片识别文本 | OCR 识别出的原始文字与指标行 | 本机数据库 |
| 检验指标与数值 | 白细胞计数 6.2、糖链抗原19-9 等 | 本机数据库 |
| 用药记录 | 药品名、剂量、服用时间 | 本机数据库 |
| 症状与体征打卡 | 疼痛程度、体温、血压等 | 本机数据库 |
| 就诊与复查记录 | 医院、科室、复查日期 | 本机数据库 |
| 患者身份信息 | 姓名、性别、出生日期、血型 | 本机数据库 |
唯一的例外（需另行单独同意）：如将来推出「云备份 / 多设备同步 / 分享给家人」等需要上传健康数据的功能，
我们会在启用前弹出独立同意页，明确告知：上传哪些字段、加密方式、存储地域、保存期限、
以及「不开启也能继续使用全部单机功能」。在你对该页单独点击同意之前，不会上传任何健康数据。
| 信息项 | 用途 | 是否必需 |
|---|---|---|
| 手机号 或 微信号 | 作为登录账号、找回账号 | 必需（不提供则无法注册） |
| 昵称 | 账号展示 | 必需 |
| 密码 | 登录凭证。服务端以 PBKDF2-HMAC-SHA256 加盐哈希保存，不存明文 | 必需 |
| 邀请码 | 计算邀请优惠（月费 ¥18 → ¥8） | 可选 |
| 邮箱（可选绑定） | 找回密码、会员到期提醒。仅在会员中心「安全中心」主动填写时提交，不填不影响任何功能 | 可选 |
| 订阅状态 / 订单号 / 金额 / 支付渠道 / 支付时间 | 履约、对账、账单展示 | 必需 |
| 设备标识（操作系统、浏览器标识） | 安全风控、展示「最近登录」 | 必需 |
| IP 地址 | 安全审计、防刷与防撞库 | 必需 |
上传字段白名单（可技术核验）：注册、登录、下单三个接口只接收
regType / account / nickname / password / inviteCode / months。
不包含任何 A 类健康信息字段。接口定义见项目 server/app.py。
邮箱走独立接口 POST /api/billing/change-email，只在你于「会员中心 → 安全中心 → 绑定邮箱」时提交，随时可解绑（提交空串即清除）。
我们不收集：通讯录、短信、通话记录、位置、剪贴板、应用列表、相册全量索引、
麦克风、传感器等与功能无关的信息。
采用分层同意，每个同意节点独立、可拒绝、不捆绑：
| 触发时机 | 同意内容 | 拒绝的后果 |
|---|---|---|
| 首次启动 | 本政策的总体告知与同意 | 无法使用 App |
| 首次导入图片 | 相机 / 相册权限 | 无法导入图片，其他功能可用 |
| 首次启用会员 | 账号与订阅信息的收集（B 类） | 无法注册会员，单机功能不受影响 |
依据《个人信息保护法》：
因此我们对健康信息（A 类）采取以下做法：
| 处理活动 | 信息类别 | 目的 | 合法性基础 |
|---|---|---|---|
| 图片文字识别 | A 类 | 把检验单照片转成结构化指标 | 单独同意（PIPL 第 29 条） |
| 指标趋势分析 | A 类 | 在本地生成趋势图 | 单独同意 |
| 账号注册与登录 | B 类 | 建立你的会员账号 | 订立并履行合同所必需（PIPL 第 13 条第 2 项） |
| 订阅与收款 | B 类 | 履约、对账、开票 | 订立并履行合同所必需 |
| 安全风控与审计 | B 类 | 防撞库、防刷、防账号盗用 | 履行法定安全义务（PIPL 第 13 条第 3 项） |
| 账单与交易记录留存 | B 类 | 履行电子商务法定留存义务 | 法定义务 |
最小必要原则：我们只申请与功能直接相关的权限，只收集与目的直接相关的信息。
A 类信息因可完全本地处理，不纳入收集范围。
依据《个人信息保护法》第 55 条，处理敏感个人信息、向他人提供个人信息、
利用个人信息进行自动化决策等情形，应当事前进行个人信息保护影响评估，并对处理情况进行记录。
第 56 条规定评估报告应至少保存 3 年。
本产品因涉及医疗健康（敏感个人信息），属必须评估的情形。评估要点如下：
| 评估维度 | 结论 |
|---|---|
| 必要性（目的正当 + 最小必要） | 指标展示与趋势分析是 App 核心功能；本地处理即可实现，故不采集、不上传。健康信息的处理仅发生在你的设备内，不构成「向个人信息处理者提供」。 |
| 对个人权益的影响 | 健康信息一旦泄露，可能导致人格尊严、名誉受损或遭受歧视，影响程度高、风险等级高。 |
| 风险缓释措施 | ① 不采集（最强缓释）；② 本地存储于 App 私有目录，不写入公共相册；③ 不做云备份、不共享、不出境；④ 联网部分与健康数据物理隔离（仅账号与订单字段）；⑤ 图片识别全部本地推理，无任何图片外发。 |
| 剩余风险 | 在「健康数据不上传」的前提下，剩余风险主要为设备丢失导致本地数据被读取，属用户可控范围；我们通过应用私有目录 + 系统锁屏缓解。 |
| 结论 | 可接受。前提是持续保持「健康数据不出设备」这一约束；一旦新增任何上传健康数据的功能，必须重新评估并单独征求意见。 |
完整的《个人信息保护影响评估报告》逐项记录了评估人、评估时间、评估方法与结论，
依《个人信息保护法》第 56 条保存不少于 3 年，可供监管部门依法查验。
允许：
- 用 A 类信息在你设备本地完成展示、筛选、趋势分析与导出（均由你主动触发）。
- 用 B 类信息完成账号认证、订阅履约、账单展示、安全审计。
禁止（我们承诺不做）：
- ❌ 不用健康信息做用户画像、广告投放、推荐算法或模型训练；
- ❌ 不将健康信息对外提供、出售、出租、交换；
- ❌ 不基于健康信息做自动化决策（包括定价、风险评分、拒保等）；
- ❌ 不将健康信息用于《个人信息保护法》第 24 条所指的自动化决策推送。
我们不出售、不出租、不交换你的个人信息。仅在下列必要情形共享，且按
「单独同意 → 安全评估/标准合同 → 约束接收方」的链条处理：
| 接收方 | 共享的信息 | 目的 | 方式 | 备注 |
|---|---|---|---|---|
| 微信支付 / 支付宝 | 订单号、金额、账号标识 | 完成收款与对账 | 接口传输 | 支付机构独立处理，适用其隐私政策 |
| 云服务商（阿里云） | B 类全部 | 服务器托管 | 服务器运行 | 作为受托处理者，需签数据处理协议 |
| 司法机关 / 监管机构 | 依法要求范围 | 履行法定义务 | 依法提供 | 会做合法性审查并记录 |
A 类健康信息在任何共享清单中均不出现——因为它从未离开你的设备。
| 项目 | 说明 |
|---|---|
| 存储地点 | 中国境内 · 华北2（北京） |
| 账号与订阅信息 | 账号存续期间保存；注销后 30 日内删除或匿名化 |
| 交易记录 | 依《电子商务法》等留存不少于 3 年（法定留存，不因注销而删除） |
| 安全审计日志（IP 等） | 留存 6 个月（《网络安全法》第 21 条要求不少于 6 个月） |
| 健康信息（A 类） | 由你控制：删记录即删；卸载即全部删除。我们无副本 |
| 数据出境 | 目前不涉及。如将来需要，会依 PIPL 第 38 条履行安全评估 / 标准合同备案 / 认证，并单独征得你的同意 |
技术措施
| 层面 | 措施 |
|---|---|
| 传输 | 全链路 HTTPS（TLS 1.2+）；开启 HSTS |
| 口令 | PBKDF2-HMAC-SHA256 加盐哈希（迭代次数 ≥ 20 万），不存明文；比对使用恒定时比较 |
| 会话 | 令牌仅下发一次，服务端只存 SHA-256 摘要；30 天过期；改密后其它设备会话立即失效 |
| 支付回调 | 强制验签（缺失即拒绝，不做降级放过）；强制幂等（同一事件只生效一次）；强制校验金额与订单一致 |
| 金额 | 一律由服务端计算，不采信客户端传来的金额 |
| 本地 | 健康数据存于 App 私有目录，不做全局可读写入 |
| 日志 | 生产环境默认不记录请求正文（避免把手机号写进日志） |
管理措施：最小权限、离职回收、定期审计、安全事件应急预案。
若发生个人信息泄露、篡改、丢失，我们将依法立即采取补救措施并通知你与监管机构。
| 权利 | 行使方式 | 响应时限 |
|---|---|---|
| 查阅、复制 | App 内直接查看；申请导出副本 | 15 个工作日 |
| 更正、补充 | App 内直接修改 | 即时 |
| 删除 | App 内删除记录；或联系我们 | 15 个工作日 |
| 撤回同意 | 「设置 → 隐私」逐项撤回 | 即时生效 |
| 注销账号 | 「会员中心 → 安全管理 → 注销账号」 | 即时生效；数据 30 日内删除 |
| 获取个人信息副本 / 可携带 | 联系我们 | 15 个工作日 |
| 要求解释说明 | 联系我们 | 15 个工作日 |
| 投诉举报 | 联系我们；或向网信、市场监管、工信等部门投诉 | 15 个工作日答复 |
特别说明：注销账号不影响你继续使用单机功能（健康数据在你本机，与账号无关）。
| 权限 | 用途 | 拒绝的后果 | 是否必需 |
|---|---|---|---|
| 相机 | 拍摄检验单/报告单照片用于本地识别 | 无法拍照导入，可从相册选择 | 非必需 |
| 读取相册/媒体 | 选择已有的检验单照片 | 无法从相册导入 | 非必需 |
| 网络 | 会员注册、订阅下单与支付 | 无法使用会员功能；单机功能不受影响 | 非必需 |
| 通知 | 复查提醒 | 收不到提醒 | 非必需 |
拒绝任一权限不影响单机核心功能。所有权限均可在系统设置中随时关闭。
本产品前端组件全部本地打包，不上传任何数据：
| 组件 | 用途 | 是否联网 | 是否上传数据 |
|---|---|---|---|
| PaddleOCR / ONNX Runtime（本地推理） | 检验单图片文字识别 | 否 | 否 |
| Tesseract.js（本地） | 备选文字识别 | 否 | 否 |
| ECharts（本地） | 趋势图绘制 | 否 | 否 |
本节不包含支付类 SDK：鸿蒙版（HarmonyOS）的会员订阅通过华为应用内支付（IAP Kit）完成，由华为终端负责收银与分账，本应用不接入支付宝、微信支付，也不接触银行卡号、支付密码或支付账户。
| 渠道 | 内容 |
|---|---|
| 客服邮箱 | support@maipucn.com |
| 客服与个人信息权利请求 | 官方网站 https://www.maipucn.com 站内「会员中心 → 退款与客服」提交 |
| 答复时限 | 收到请求后 15 个工作日内答复 |
| 监管投诉渠道 | 国家网信办举报中心 12377；工信部 12321；市场监管 12315 |