冲和手账隐私政策

版本：1.0
发布／生效日期：2026年10月1日
个人信息处理者／运营者：张萍
隐私联系邮箱：450428956@qq.com

一、适用范围、处理原则与重要说明

本政策说明“冲和手账”Android 应用如何在您的设备本地处理健康资料，以及您自愿使用邮箱账号和高级权益服务时，哪些必要信息会由账号和权益云服务处理。

**本机处理不等于不处理。**您主动录入或导入的健康信息、图片、附件和票据会由应用在设备上读取、展示、编辑、整理和保存。其中的医疗健康信息属于敏感个人信息；不满十四周岁未成年人的个人信息也属于敏感个人信息。当前应用没有健康档案云同步：注册或登录账号、查询或取得高级权益，均不会自动将这些健康资料上传至运营者的账号或权益服务器。

首次启动时，应用会向您展示本政策和《冲和手账用户服务协议》，由您明确选择是否同意。对于您主动录入、导入的医疗健康等敏感个人信息，应用将在进入健康记录功能前提供《冲和手账医疗健康敏感个人信息处理说明》链接，并通过独立勾选项取得您的单独同意。儿童规则只在实际处理不满十四周岁儿童个人信息时适用，不要求所有用户首次启动时统一确认。新建明确不满十四周岁儿童的人员记录时，应用提供《冲和手账儿童个人信息保护规则》链接，并要求监护人确认；备份导入可能带入儿童资料；导入前会统一显示儿童资料提示并要求操作人确认监护人身份或授权，应用不自动识别备份内人员年龄。

不同意敏感个人信息处理的单独同意，将无法继续使用需要处理相应敏感信息的健康记录功能，但不影响您查阅协议、隐私政策和联系运营者。

您主动通过系统文件选择器或备份工具将资料保存到自己选择的位置时，相应系统或文件提供方也可能按照其自身规则处理所选文件。

二、应用在本机处理的健康资料

根据您主动使用的功能，应用可以在设备本地处理人员名称或称呼、与您的关系、病程、健康变化、就医、用药、身高体重等 Measurement 记录、备注，以及图片、附件、图库、票据和 PDF。处理目的，是实现您主动选择使用的健康记录建立、查看、编辑、检索、整理、备份和导入等功能。

这些资料主要保存在应用的本机数据库及应用私有文件目录。应用启动时也可能为完成您此前主动发起但未完成的本地恢复、导入或文件整理而读取或维护本机数据；该类本地处理不用于将健康资料自动上传至运营者服务器。

应用不以您登录的邮箱账号为本机健康档案建立自动云端绑定。不同账号在同一设备上的使用者，应自行保护设备及本机记录的访问安全。

您可以在应用内查看、修改或删除相应记录。删除应用内副本不一定删除系统图库原文件、来源文件、您另存的备份或其他设备上的副本。

三、敏感个人信息的必要性、影响与单独同意

医疗健康信息一旦泄露、非法使用或被不当访问，可能导致个人隐私暴露、歧视、诈骗或其他对人格尊严、人身及财产权益的不利影响。因此，冲和手账仅在实现您主动选择的健康记录功能所必要的范围内处理这些信息，并尽量将健康资料保留在设备本地。

处理这些敏感个人信息的必要性在于：病程、就医、用药、Measurement、图片、附件、票据等功能本身需要读取、展示、编辑和保存您主动提供的相关内容；如果不处理相应信息，就无法提供对应的健康记录功能。

首次进入健康记录功能前，应用在隐私提示同一页面提供《冲和手账医疗健康敏感个人信息处理说明》链接和独立勾选项，取得单独同意。该单独同意不意味着您同意将健康资料上传到云端；当前健康档案仍以设备本地处理为主。

如需撤回医疗健康敏感个人信息处理的单独同意，可通过应用实际提供的功能或发送邮件至 450428956@qq.com 提出请求。撤回不影响此前基于有效同意进行的处理，也不会自动删除已保存在设备本地的健康资料。本机资料可通过现有记录删除、人员删除、清除应用数据等方式管理。

四、邮箱账号注册、登录与安全验证

基础健康记录功能原则上无需注册。若您主动使用高级权益等账号功能，Android 首发通过邮箱验证码注册和登录。

应用会将您输入的邮箱及验证码认证请求交给华为 AppGallery Connect Authentication Service。该服务为账号创建、验证码发送及验证、登录状态维护和必要的安全认证提供技术能力。应用及认证服务会在实现上述目的所必要的范围内处理邮箱地址、验证码认证信息、AGC 用户标识 UID、认证 Token、登录状态和必要的安全运行信息。账号注销前可能再次使用邮箱验证码确认操作人身份。

应用不要求您提供邮箱账号本身的登录密码。请勿把验证码交给他人。未登录时，您仍可以使用不要求高级权益的本地基础功能。

五、高级权益和活动信息

您登录后，客户端会将当前账号的认证 Token 发送给冲和手账使用的 AGC Cloud Function，用于服务端核验身份。函数从验证通过的账号信息中取得 UID，读取活动状态，并在服务端 CloudDB 中查询或写入该 UID 对应的权益记录。

权益记录可能包括权益等级、有效状态、权益来源、授予时间、资格观察时间以及必要的更新信息；客户端接收权益等级与活动状态，并可能在本机暂存最近一次验证结果，用于显示高级功能状态。

CloudDB 中的权益记录属于账号权益数据，不是健康档案。当前 CloudDB 不用于保存您录入的病程、就医、用药、图片、附件、图库或票据内容。

永久高级权益与取得它的账号关联。账号注销后，对应服务端权益按注销流程删除或失效；日后重新注册不自动恢复原权益。

六、图片、PDF、文件选择与本地备份

只有在您主动选择文件时，应用才通过 Android 系统文件或文档选择界面接收您明确选择的图片、PDF 等文件，并按功能需要复制至应用私有目录。应用不会为此后台扫描整个相册或设备全部文件。

若您从其他应用或云文件提供方选择文件，来源方对原文件的处理适用其自身规则。

您主动导出本地备份时，备份可能包含完整健康记录及附件；您主动导入时，应用会读取您选择的备份并写入本机。应用不会因为生成备份而自动将其上传至冲和手账服务器。您自行把备份保存或分享至其他服务时，请注意接收方的处理规则及健康资料的敏感性。

七、Android 权限与网络

账号认证、登录状态和高级权益验证需要网络访问及网络状态判断。当前配置和已有合并清单显示会使用 INTERNET、ACCESS_NETWORK_STATE；最终披露以首发 Release 安装包的实际权限为准。

应用通过系统文件选择器处理您明确选中的文件，当前没有为此申请长期访问整个相册的权限，也未发现定位、通讯录、麦克风等业务权限。

首次启动隐私确认前，应用设计为不启用 AGC 账号网络服务；您完成相应隐私确认后，进入账号或权益功能时才需要相关网络通信。正式发布前仍须以最终安装包进行同意前、同意后、登录和权益查询等阶段的网络验证。拥有网络权限不表示本机健康记录会自动上传。

八、第三方技术服务

为实现当前 Android 首发的账号及权益能力，我们使用以下华为 AppGallery Connect 技术服务。华为服务方按照其适用规则提供技术处理；具体处理字段应以最终集成版本、发行包和官方规则为准。

权益函数在服务端使用 AGC CloudDB 保存账号权益和活动配置；Android 应用没有直接集成 CloudDB 客户端 SDK。关于 AGC 服务的数据处理，可参阅华为 AppGallery Connect 数据处理说明：https://developer.huawei.com/consumer/fr/doc/app/76411906

Android 首发不提供微信账号认证，也不集成微信登录 SDK或华为应用内支付服务，因此这些未启用服务不作为当前实际运行的信息共享或处理对象。

Flutter、sqflite、shared_preferences、file_picker 等组件用于应用运行、本机存储或用户主动选择文件。列出软件依赖不意味着这些组件都独立向外发送个人信息，其最终行为仍以发行包和运行时验证为准。

九、信息存储地点与保存期限

**本机健康资料：**主要存储在您的设备，由您在应用内管理。通常保存至您主动删除、清除应用数据、卸载应用，或者因设备、系统及存储环境变化而被移除。应用不持有可自动恢复的云端健康备份。卸载前若未完成可用备份，资料可能无法恢复。

账号及权益资料：账号认证、账号安全、权益验证和管理所需资料，在实现相应目的的必要范围和期限内处理。当前 Android 项目的 AppGallery Connect 数据处理位置设置为中国，因此相关 AGC 账号和权益云服务按照该项目配置在中国的数据处理位置进行相关处理；这不表示保存在用户设备上的所有健康资料都存储于中国云服务。

账号注销完成后，账号及对应服务端权益按照实际注销流程删除或失效；法律、行政法规另有保存要求的，按要求处理并限制无关用途。

**验证码、Token 与服务日志：**验证码认证信息、Token 和必要的安全、运行日志由相关服务按照其技术规则和实现认证、安全、故障排查所必要的期限处理。当前没有足够依据承诺统一固定天数，因此不虚构具体保存日数。我们采取措施避免在正常业务日志中记录验证码原文、Token 原文或用户健康记录内容。

十、信息安全

应用使用本机数据库、应用私有目录和必要的账号身份验证等方式保护资料，并尽量限制服务端只处理账号和权益所需的信息。

网络服务仍可能受网络、设备、第三方服务或安全事件影响。请为设备设置可靠的解锁方式，保护邮箱账号和验证码，并妥善保存包含健康资料的备份。

如发现可能影响个人信息安全的问题，请通过文末邮箱联系我们。

十一、您的权利与撤回同意

您可以在应用内查看、修改、删除所录入的本机健康记录，并可以使用应用提供的本地备份、导出或导入功能。

您可以在账号页退出登录；应用提供经过重新验证的账号注销流程。退出登录不会删除账号、服务端权益或本机健康资料；注销账号将删除账号并使对应服务端权益删除或失效，但不会自动删除本机健康资料。删除本机资料需要使用相应记录删除功能或其他明确的本地数据操作；卸载应用也不等于账号注销。

如需撤回相关同意、删除由运营者处理的账号信息或行使其他个人信息权利，可通过应用实际提供的功能或发送邮件至 450428956@qq.com 提出请求。撤回同意不影响此前基于有效同意进行的处理，也不会自动删除已经保存在本机的健康资料。本机资料可通过现有记录删除、人员删除、清除应用数据等方式管理。

如需查询、更正、删除与账号服务有关且由运营者处理的信息，或提出注销、撤回同意、隐私相关请求，可以使用应用提供的相应功能，或发送邮件至 450428956@qq.com。为保护账号安全，我们可能核验申请人身份。需要人工处理的合理请求，我们将在完成必要身份核验后及时处理，并在适用法律法规要求的期限内予以答复。

十二、未成年人及家庭成员资料

应用主要用于用户记录本人和家庭成员的健康信息。请确保您对所录入的其他成年人的资料具有合法处理权限。

如您准备记录不满十四周岁儿童的资料，应由其父母或其他监护人操作，或者在其父母或其他监护人知情、同意和授权的情况下操作；新建明确为儿童的人员记录前，应阅读、确认《冲和手账儿童个人信息保护规则》。备份导入可能带入儿童资料；导入前会统一显示儿童资料提示并要求操作人确认监护人身份或授权，应用不自动识别备份内人员年龄。该规则不要求所有用户首次启动时统一确认。

医疗健康信息以及不满十四周岁未成年人的个人信息属于敏感个人信息。对儿童资料的处理，我们将按照适用规则进行专门告知，并由监护人作出相应同意。当前这些资料主要在用户设备本地处理，不会因为邮箱注册或高级权益验证自动进入运营者服务器。

十三、政策变更与联系我们

如处理目的、信息种类、第三方服务或本地／云端边界发生实质变化，运营者将更新本政策，标明日期并采用适当方式告知；依法需要重新取得同意的，将在继续相关处理前完成。

当前没有广告画像、健康资料云同步或以健康资料训练模型的服务；如以后增加，应在启用前更新相应告知并履行适用的同意及其他义务。

个人信息处理者／运营者：张萍
隐私联系邮箱：450428956@qq.com