代谢记隐私政策

核心说明

本政策适用于“代谢记”iOS App。代谢记用于个人健康记录、检验报告整理、用药查看、趋势展示和复诊准备。医疗健康信息属于敏感个人信息，我们只在实现你主动选择的功能所必需的范围内处理，并通过清晰提示让你了解数据去向。

最少必要

只处理完成当前功能所需要的数据。

由你控制

权限、模型发送、导出和删除均由你决定。

不做变现

不出售健康数据，不用于广告、营销或数据经纪。

“本机保存”不等于开发者收集。你的数据默认保存在 App 沙盒中，开发者无法远程访问。下表说明每类数据在什么情况下会离开设备。

数据类别	来源	本机保存	何时发送到外部
病症背景与备注	由你填写	是	仅在你主动发起健康分析并确认后
用药记录	经授权从 Apple 健康读取	是	仅在你主动发起健康分析并确认后
检验报告与指标	由你选择导入并确认	是	报告识别每次确认后发送图片内容；健康分析发送结构化结果
模型配置与接口密钥	由你填写	配置在本机；密钥在系统钥匙串	密钥仅用于向你选择的模型服务鉴权
分析问题与回答	由你和外部模型生成	是	问题和健康上下文发送到你确认的模型域名

首次由你主动授权后，代谢记会在 App 打开时自动刷新 Apple 健康中的用药记录，用于本机日历、统计、检验趋势关联，以及你主动发起的健康分析。你可以随时在 iOS 系统设置中变更或撤销权限。由于 HealthKit 的隐私设计，App 不能可靠区分“没有数据”和“你拒绝了读取权限”。

我们不会将 HealthKit 数据用于广告、营销、用户画像、数据挖掘、出售或向数据经纪商提供。

代谢记允许你自行填写兼容接口地址、模型标识和接口密钥。开发者不代理这些请求；App 会从你的设备直接连接你选择的服务。报告识别每次发送图片前都会再次确认；健康分析首次向某个域名发送前会单独取得你的确认。

发送你选择的报告图片内容，发送前可能进行压缩或分段。确认页会展示接收域名、接口类型、模型名称、数据内容和风险。图片可能包含姓名、就诊号、报告号、二维码和检验结果，建议发送前裁剪或遮挡不必要的身份信息。

发送 App 在“当前上下文”中展示的病症背景、备注、最近用药和检验结果；不发送报告原图。

外部服务对数据的留存、训练使用、跨境传输和安全措施由该服务自己的条款与隐私政策决定。如果你选择位于境外的服务，数据可能传输至境外。请在确认前审阅对应服务政策；如不接受，请不要启用模型功能。

你可以在 App 的“设置—数据与隐私”中：

删除 App 也会移除 App 沙盒中的数据。外部模型服务已经接收的数据，需要依照对应服务提供的渠道行使查询或删除权利。

代谢记不是专门面向不满十四周岁未成年人的产品。未成年人应在监护人同意和指导下使用，不应自行配置或向外部服务发送健康信息。

代谢记用于个人记录、信息整理和复诊准备，不提供医学诊断，也不能替代医生或其他专业医疗人员的判断。请勿依据模型回答自行停药、换药或调整剂量。

当数据处理方式发生实质变化时，我们会更新本政策和更新日期；如变化影响你已经作出的外部发送选择，App 会重新请求确认。

代谢记的开发者及个人信息处理者为李彦章。产品官网为 metabolog.liyanzhang.com。

如对本政策或个人信息处理有疑问、意见或请求，请通过代谢记 App Store 产品页面中的“App 支持”入口联系开发者。我们会在收到请求后核实身份，并在适用法律要求的期限内处理。