隐私政策

引言

素问临床助手（以下简称“本应用”）非常重视您的个人信息与医疗数据隐私。本政策说明我们收集哪些信息、如何使用与保护这些信息，以及您享有的权利。

本应用面向医疗卫生专业人员设计，采用“本地优先 + 端到端加密”架构：业务数据（入院记录、病程、医嘱、出院小结、AI 结果、组公告等）在您的设备上使用 AES-256-GCM 加密后才上传，密钥仅存于您的设备与您的账号托管密文中，云端只保存密文，开发者与服务器任何情况下均无法解密您的业务数据。

一、我们收集的信息与用途

1. 华为账号标识：当您选择华为账号登录时，我们接收华为 Account Kit 返回的 OpenID / UnionID（经哈希后存储）、昵称与头像，用于账号识别、登录态维持与换机恢复。我们不收集您的邮箱、手机号或密码。

2. 设备信息：设备标识（ODID，用于推送消息去重）与本机设备公钥（用于端到端加密封装）。不收集通讯录、位置、短信等信息。

3. 业务数据（仅密文）：您在应用内创建的患者与临床数据在设备本地加密后同步至云端，云端一侧仅为密文与必要的白名单元数据（床号、记录时间、操作类型），无法还原患者身份与病情内容。

4. AI 配置：您自填的 AI 模型 API Key 仅保存在本机加密存储（HUKS/Asset Store），绝不上传云端，也不参与医疗组同步。

5. 工单内容：您主动提交的工单为服务端可读明文（用于处理您的问题），请勿在工单中填写患者信息。

6. 日志信息：仅记录运行所必需的技术日志，不含业务明文。

二、信息的使用

上述信息仅用于：提供登录与换机恢复、端到端加密同步、消息通知（患者信息变动提醒）、工单处理、服务稳定性保障与安全保障（审计）。我们不会将您的个人信息用于本政策未说明的用途，不出售您的个人信息。

三、信息的存储与保护

1. 存储地点：中华人民共和国境内。

2. 存储方式：业务数据端到端加密存储；会话令牌存储于系统保险箱（Asset Store）；传输全程 HTTPS/TLS 与 WebSocket 加密通道。

3. 保留期限：业务密文随医疗组与账号存续；您删除数据、退出医疗组或注销账号后，相关数据将在云端同步删除或匿名化处理。

四、信息的对外提供

我们不会向任何第三方出售您的个人信息。以下情形除外：

• 华为 Account Kit（账号登录）、华为 Push Kit（消息推送）：为实现相应功能所必需，由华为按其隐私政策处理；推送文案仅含“床号 + 事件类型”，不含姓名与病情。
• 您自行配置的 AI 模型服务商：您在使用 AI 功能时，相关请求由本应用直连您所配置的模型服务商，不经我们的服务器转发；请勿在 AI 请求中包含可识别患者身份的信息。
• NCBI PubMed 文献服务：开启文献参考时，检索词直连 NCBI 官方接口（可配置个人 API Key）。
• 取得您的明确同意，或法律法规要求、司法/行政机关强制要求时。

五、权限申请说明

• 系统相机/相册选择器（可选）：仅在您主动使用“拍照识图”时弹出系统选择器完成拍摄或选取，应用不申请相机权限。
• 通知（可选）：用于接收患者信息变动提醒，可随时关闭。
• 生物识别（可选）：仅用于本机安全锁的人脸/指纹验证，生物特征由系统处理，本应用不采集、不存储生物特征。

未开启相应功能时，我们不会请求或使用上述权限。

六、您的权利

您可以：在“设置-隐私与安全”中开关本机安全锁；随时删除本地数据；退出医疗组以移除组内共享；通过工单要求删除账号与服务器数据；关闭或卸载本应用以撤回全部授权。

七、未成年人

本应用面向专业医务人员，不面向未成年人提供服务。

八、政策更新

我们可能适时更新本政策，更新后将在本页面发布。重大变更将通过应用内公告提醒。

九、联系方式

如您对本政策有任何疑问或需行使个人信息权利，请通过本应用“我的-关于-意见反馈”（应用内工单）提交，或发送邮件至 admin@iquegui.com，我们会及时处理。