TcmAid 中医顾问运营方（以下简称「我们」）深知健康信息对您的分量，因此把「不采集」和「用得少」当作设计前提。本政策依据《中华人民共和国个人信息保护法》《中华人民共和国网络安全法》《中华人民共和国数据安全法》《儿童个人信息网络保护规定》《生成式人工智能服务管理暂行办法》等法律法规制定，逐项说明我们收集哪些信息、为什么收集、存在谁那里、保留多久，以及您可以如何拿回或删除它们。
一、引言与适用范围
- 本政策适用于 TcmAid 中医顾问官网、应用程序及相关服务（以下称「本服务」）。您使用本服务前应阅读并理解本政策。
- 本服务为个人健康信息管理工具，不是医疗机构，不提供互联网诊疗。本政策所述信息处理活动均围绕工具功能展开，不涉及诊疗记录的法定留存义务。
- 本服务的 AI 辨证、望诊与评估结论仅供参考，不构成诊断或处方，详见《免责声明》。健康信息的处理不会改变这一性质。
二、我们收集哪些信息
我们遵循最小必要原则，只收集实现功能所必需的信息。以下按类别列举，并标注其法律性质：
2.1 您主动提供的信息
- 问诊内容（普通信息）：您在 AI 问诊对话中输入的症状描述、寒热汗出、饮食二便等回答文本，以及对话过程中上传的舌象、面色照片。这些内容会发送至我们的服务器以生成辨证结论。
- 健康档案信息（敏感个人信息）：您在每日气血打卡中记录的状态项、趋势分数、体质评估结果，以及为家庭成员建立的档案信息（年龄、性别、基础健康情况等）。
- 联系方式（普通信息）：仅当您主动通过「意见反馈」联系我们，或就内容纠错、侵权投诉与我们沟通时，我们才会获知您的邮箱或账号标识。
2.2 我们自动生成的必要信息
- 设备标识：用于识别同一设备、维持登录与配额状态，以及避免重复注册。该标识与您的健康档案在您自己的设备上绑定，我们不使用它进行跨设备追踪与广告投放。
- 服务运行日志：为排查故障与保障安全所必需的错误日志、请求时间戳等运行信息。此类日志不含健康内容，且仅在安全与运维必要期间保留。
2.3 我们不收集的信息
- 我们不收集您的通讯录、相册全量内容、短信与通话记录。
- 我们不收集精确地理位置（除非您在使用中主动告知我们您所处的气候环境，此为主观描述而非定位数据）。
- 我们不收集身份证号、银行卡号等身份识别信息。
三、敏感个人信息的特别说明
- 单独同意：处理您的健康信息需取得您的单独同意。您首次使用问诊、望诊、打卡或家庭档案功能的动作，即构成该等单独同意的作出。
- 必要性：处理目的为「生成 AI 辨证结论、生成健康记录与趋势图、向您展示家庭成员档案」。我们不将健康信息用于任何其他目的。
- 严格保护：采取加密传输与存储、访问控制与操作审计等措施，确保不被非法访问、泄露、篡改或非法使用。
- 可撤回：您可以随时撤回上述单独同意。撤回不影响撤回前基于同意已进行的处理活动效力；但撤回后将无法使用对应的健康功能（详见第十三条）。
- 不满十四周岁：处理不满十四周岁未成年人个人信息的，须取得其父母或其他监护人的单独同意并制定专门处理规则（详见第十四条）。
四、处理个人信息的法律依据
依据《个人信息保护法》第十三条，我们仅在下列情形下处理您的个人信息：
- 取得您的同意——包括使用功能、存储健康信息、生成 AI 结论的一般同意，以及对敏感个人信息的单独同意；
- 为订立、履行您作为一方当事人的合同所必需——例如维持账号与家庭档案、打卡记录保存、导出健康文档；
- 为履行法定职责或者法定义务所必需——例如配合有权机关依法定程序提出的要求；
- 为应对突发公共卫生事件，或者紧急情况下为保护自然人的生命健康和财产安全所必需——在此情形下我们将尽最大努力限制处理范围，并在法律允许的范围内不要求您另行同意。
需要说明的是：AI 问诊与健康评估结论仅供参考，不构成医学诊断，不具备医疗记录的效力，我们不将其作为医疗用途保存，也不基于它们作出任何自动化的人身决定。
五、信息的使用目的
- 生成并向您展示 AI 辨证、望诊与健康评估结论；
- 记录与展示每日气血打卡趋势，生成可导出的健康记录文档（如 A4 处方笺，仅供个人记录）；
- 在您选择的家庭档案之间切换并展示各自的打卡与评估结果；
- 维护账号状态、设备配额与登录安全，防止滥用与攻击；
- 在您主动反馈问题时定位问题、回复您；
- 履行法律法规规定的义务，配合有权机关依法定程序的调查。
- 不出售您的个人信息，不进行任何形式的交易；
- 不用于广告投放，不基于健康信息向您或他人推送商业广告；
- 不用于自动化决策意义上的画像与差别化定价；
- 不将您的健康信息用于模型训练以外的其他用途，也不将其公开披露。
六、端侧存储与服务器处理
我们采用「端侧优先、服务器按需」的处理架构，尽量让健康数据留在您自己的设备上：
- 端侧存储：每日打卡记录、健康档案、界面偏好等，默认保存在您所用设备的本地浏览器存储中，不会自动同步到我们的服务器。我们无法主动读取、导出或恢复这些端侧数据——这意味着清除浏览器数据或卸载应用将导致记录不可恢复，请谨慎操作。
- 服务器按需处理：仅当您主动发起问诊或望诊时，对话文本与您上传的图像才会发送至我们的服务器，并由第三方 AI 模型服务处理以生成结论。除此之外，我们不在后台采集您的健康信息。
- 分享功能：当您主动使用「分享问诊报告」功能时，系统会生成一个含随机标识的分享链接，对应内容会临时存储在服务器上并可通过该链接被访问至内容过期。该链接不含身份信息，但任何获得链接的人都能查看报告内容，请勿向不需要的人分享，并留意有效期。
七、AI 自动化决策的说明
本服务的辨证与评估结论由人工智能模型依据您提供的信息自动生成。依据《个人信息保护法》第二十四条与《生成式人工智能服务管理暂行办法》，我们向您作如下说明：
- 决策说明：结论基于您在问诊中的回答、上传的图像，以及模型依据中医理论语料所作的概率性推演。
- 结果的性质与用途：结果仅供参考，用于帮助您理解自身状态与记录健康线索，不用于任何自动化的人身决定，不用于评估您的信用、资质、社保、就业或任何自动化决策。我们不会因该结论而对您作差别化对待或降低服务质量。
- 显著局限：AI 可能出错，且无法识别急症与危重症。不得作为是否就医、是否用药、是否手术的唯一依据，详见《免责声明》。
- 您的拒绝权：您有权拒绝我们仅通过自动化决策作出的决定，或在决定前要求人工复核。对于本服务的具体落地方式是：您可以完全不使用 AI 问诊与望诊功能；涉及您的健康判断，您始终可以选择咨询执业医师，由医师作出判断。我们不因您拒绝使用 AI 功能而限制其他功能的正常使用。
- 说明义务的边界：我们已就结论的性质、依据、显著局限与您的权利作出充分告知。若您对某条结论的具体推演依据有疑问，可通过第十六条的方式联系我们。
八、委托处理、共享与第三方服务
8.1 委托处理（我们不参与其二次使用）
为实现上述功能，我们委托以下类型的服务商提供技术支撑。我们与每一类服务商均签订数据处理协议，约定处理目的、期限与安全义务，并要求其不得超出委托范围使用信息、不得转委托：
- 人工智能模型服务：为生成辨证与望诊结论所需的模型推理服务。您的问诊文本与上传的图像会发送至该服务商进行处理。
- 云存储与内容分发：用于托管站点静态资源、知识库内容中的图片与三维模型等公开素材。这些资源为所有用户共用的公共内容，其中不包含您的个人信息。
- 应用分发与更新：应用商店渠道。请注意，应用商店及其平台可能依据其自身政策处理安装与使用数据，该部分不受本政策约束。
- 运维与安全服务：仅在安全与稳定性保障所必需的范围内接触运行日志。
8.2 共享与转让
除下列情形外，我们不会向第三方共享您的个人信息，也不会将其转让：
- 取得您的单独同意后；
- 与有权机关依法定程序提出的要求配合，我们仅提供依法必须提供的最小必要信息；
- 在您明确告知并同意的前提下，为向您提供专业医疗服务而由您主动发起的转介情形（目前本服务不主动开展此类业务）。
如未来发生合并、收购或资产转让而涉及个人信息转移的，我们将要求新的持有者继续受本政策约束，并另行向您告知；您有权在转移前要求我们删除信息或撤回同意。
8.3 公开披露
我们不会公开披露您的个人信息，法律法规另有规定或经您另行明示同意的除外。
九、跨境传输
我们运营的服务面向中国大陆地区用户提供，原则上不在中华人民共和国境外处理您的个人信息，亦未将境内个人信息向境外提供。
如您所使用的应用商店分发渠道、终端设备系统，或人工智能模型服务的底层算力基础设施涉及境外节点，则相关数据的处理可能发生于该等节点。我们会在此情形下依《个人信息保护法》第三十八条至第四十条履行单独告知、取得单独同意并完成出境安全评估或订立标准合同等法定义务，并说明境外接收方的名称、联系方式、处理目的方式、种类与保护措施。
十、信息安全措施
我们已采取符合行业通行标准的技术与管理措施保护您的信息，包括：
- 传输加密：全站启用 HTTPS，加密浏览器与服务器之间的数据传输；
- 存储控制：健康档案默认保存在您的设备本地；服务器侧按需处理的数据受访问控制与操作审计约束。
- 访问最小化：仅在运维与故障排查确有必要时接触运行信息，且不接触健康内容；工作人员需经授权并留存操作记录。
- 防护措施：部署防护策略以防范越权访问、恶意爬取与服务攻击。
- 事件响应：一旦发生或可能发生信息安全事件，我们将依法采取补救措施并通知履行个人信息保护职责的部门与您；对危及您人身健康的情形，我们优先采取中断相关功能等止损措施。
- 定期评估：定期对处理活动与安全措施进行自查，发现问题及时整改。
请您理解：尽管有上述措施，互联网环境并非绝对安全。请您妥善保管设备与账号，不在公用设备上登录并保留健康记录。
十一、保存期限与删除
- 端侧数据：打卡记录、健康档案等保存在您的设备本地，保存期限由您控制，直至您在应用内主动删除或清除浏览器数据。
- 问诊与望诊的服务端数据：仅在为您提供功能所必需的期间内保存，完成处理后按内部策略删除或匿名化，不用于其他用途。
- 分享快照：自生成起至其标注的过期时间止可被访问，过期后即不可访问；您删除分享或内容到期后，相关内容将随之删除。
- 安全与运维日志：在安全与故障排查所必需的期限内保留，期满后删除或匿名化。
- 法律法规要求留存的：法律法规规定的最短留存期限届满后，我们将删除或匿名化。
十二、Cookie 与同类技术
问诊分享链接在读取时返回的缓存响应头仅用于避免重复回源，不包含任何可识别您身份的信息。您可以通过浏览器的隐私设置限制本地存储的写入，但这将导致打卡记录与档案等功能无法保存。
十三、您的权利与行使方式
依据《个人信息保护法》第四章，您对您的个人信息享有下列权利：
- 查阅、复制您的个人信息；
- 更正、补充不准确、不完整的个人信息；
- 删除您的个人信息；
- 转移您的个人信息（可携带至指定接收方）；
- 撤回同意（包括撤回对敏感个人信息的单独同意）；
- 要求我们解释个人信息处理规则；
- 拒绝自动化决策，或要求对自动化决策的结果进行人工复核（详见第七条）。
行使方式：
- 应用内自助：更正与删除打卡记录、删除家庭档案成员、导出健康文档、注销账号，均可在应用内对应模块完成。
- 书面请求：其余权利请通过第十六条的邮箱提出书面请求。为保障您的账号安全，我们会对请求人身份进行核验。
- 响应时限：我们将在收到您的请求并完成身份核验后十五个工作日内作出响应；情况复杂的，我们将向您说明并适当延长，但延长期限不超过十五个工作日。
- 撤回同意的影响：撤回同意不影响撤回前基于同意已进行的处理活动效力。撤回后，依赖该同意的功能将无法继续使用（例如撤回对健康信息处理的同意后，问诊、望诊、打卡与家庭档案功能将无法使用），但不影响撤回前处理活动的效力，也不影响我们此前基于其他法律依据处理信息的合法性。
- 终止服务：若您不再使用本服务，可通过应用内注销账号并申请删除相应信息。
十四、不满十四周岁未成年人
- 本服务不面向不满十四周岁的未成年人提供健康服务，亦不主动收集其个人信息。
- 未成年人应在监护人的同意与陪同下使用本服务。处理不满十四周岁未成年人个人信息，我们须取得其父母或其他监护人的单独同意，并制定专门的处理规则。
- 监护人应关注孩子的使用情况，避免其依据本服务输出自行用药或进行调摄；相关判断应由儿科或中医科医师作出。
- 监护人如发现我们在未获单独同意的情况下处理了不满十四周岁未成年人的信息，可通过第十六条联系我们，我们核实后将立即删除。
十五、本政策的更新
我们可能不时修订本政策，以反映法律法规变化、功能调整或处理实践的改进。修订后的版本自本页面公布的生效日期起适用，并在页首公布「最近修订」日期。
涉及处理目的、信息类型、使用方式或您的权利的重大变更——尤其是扩大收集范围、新增第三方共享或涉及信息出境的变更——我们将通过页面显著提示或应用内弹窗的方式另行告知，并在必要时重新取得您的同意。若您不同意修订内容，请停止使用相关功能。
十六、联系我们与投诉渠道
若您对本政策有任何疑问，或希望行使查阅、复制、更正、删除、转移、撤回同意、要求解释等权利，或认为我们的个人信息处理行为损害了您的合法权益，可通过下列方式与我们联系：
- 电子邮件：legal@tcmaid.top（主题请注明「隐私政策」）
- 应用内路径：应用程序「设置 → 意见反馈」
- 个人信息保护专门联系方式：legal@tcmaid.top（我们为个人信息保护事项指定专门对接渠道，并在十五个工作日内响应）
- 投诉与举报：如您认为我们的处理行为违法违规，可向APP 运营主体所在地有管辖权的网信部门、市场监督管理部门投诉举报。
我们不因您行使上述权利而歧视性地降低服务质量，也不会在您撤回同意后无理拒绝履行不涉及该同意的其他义务。