隐私政策

最后更新：2026-07-31

一、我们收集什么

不收集。

• 没有账号，不需要注册，不需要登录，也不需要手机号或邮箱。
• App 内不含任何统计分析、用户行为埋点、广告、推送服务或崩溃上报组件。
• 我们没有服务器接收你的资料，因此即使我们想看也看不到。

二、你的资料存在哪里

全部存在你 iPhone 上属于 CareThread 的私有存储空间内，具体包括：

• 家庭成员档案（姓名、生日、性别、病种标签、过敏史、既往史）
• 病历与报告的原件照片、PDF 及识别出的文字
• 检验指标、用药与医嘱、复查计划
• 就诊摘要与你自己写的备注

这些文件启用了 iOS 的最高一级文件保护（FileProtectionType.complete）：当你的 iPhone 处于锁屏状态时，这些文件在系统层面无法被读取。

三、重要：你的资料不会进入 iCloud 备份

为了让敏感的医疗资料不扩散到你未必想放的地方，CareThread 主动把自己的数据目录排除在 iCloud 备份与电脑备份之外。

这意味着：

• 你的病历资料不会被上传到 iCloud，任何拿到你 iCloud 的人也看不到它。
• 但换新手机或恢复系统备份时，这些资料不会自动跟过去。 你必须使用 App 内的"导出存档"或"换机传输"功能主动迁移。

这是一个有意的取舍：更私密，但需要你自己负责迁移。请务必了解这一点。

四、App 是否联网

不联网。 App 内不包含任何向互联网服务器发送数据的代码。

唯一的网络能力是换机传输，它的边界如下：

• 仅在你主动发起时启动；
• 只在同一本地网络（Wi-Fi）内你的两台设备之间直接传输，不经过任何服务器，也不经过我们；
• 传输全程加密，并需要在两台设备上核对配对码才能建立连接；
• 明确禁用蜂窝数据。

五、App 会申请哪些权限、什么时候申请

启动时不申请任何权限。 你可以在不授予任何权限的情况下浏览资料、查看时间线、阅读就诊摘要、导出 PDF。

以下权限只在你主动使用对应功能时才会申请，拒绝后其余功能照常可用：

关于面容 ID：验证过程完全由 iOS 完成，我们不接触、不读取、也无法保存任何生物特征数据。CareThread 只能得知"验证通过"或"验证失败"这一个结果。

六、数据分享

不分享。 不存在任何第三方接收方，也没有任何数据交易或联合营销。

你主动导出的内容（存档文件、就诊摘要 PDF、通过系统分享面板发送的文件）去向完全由你决定。一旦你把这些内容发送给他人或其他 App，其后的处理就受对方的规则约束，我们无法参与也无法追回。

七、导出文件的保护

App 内的"导出存档"默认产出一个可以直接打开的文件，方便你自己在电脑上查看和长期保管。这个文件没有加密，谁拿到都能看到其中内容，所以请不要把它放进共享目录或发送到聊天工具。

如果你需要更强的保护，可以在导出时展开"给这个文件设个口令（可选）"，此时文件将使用 AES-256-GCM 加密，密钥由你设置的口令通过 PBKDF2-HMAC-SHA256（210,000 次迭代）派生。这个口令只有你知道，我们没有任何后门或找回途径；口令丢失则该文件无法解开。

八、你的控制权

• 查看：所有资料都在 App 内，随时可看原件。
• 修改：识别结果与所有字段都可人工修订，原始文件与机器识别结果同时保留可对照。
• 删除：可删除单条记录、单个成员档案，或整个资料库。
• 导出：可随时导出全部资料（含原始照片与 PDF）。
• 彻底清除：卸载 App 即删除本机全部 CareThread 资料。

九、数据保管责任

因为资料只存在你的设备上，我们没有任何副本，也因此：

• 我们无法为你找回丢失的资料；
• 手机丢失、损坏、误删记录或卸载 App，都会导致资料永久丢失；
• 请定期使用"导出存档"，并把文件保存在你信任的地方。

十、未成年人

CareThread 不面向未成年人单独提供服务。家长或监护人可以用它管理孩子的就医资料，这些资料同样只存在本机、同样不会被我们收集。

十一、政策变更

本政策发生实质变更时，我们会在 App 内提示你，并更新本页顶部的"最后更新"日期。你可以在 App 的「管理 → 关于 CareThread」中随时查看当前版本全文。

十二、联系我们

有任何隐私相关的疑问，可以邮件联系：[email protected]

CareThread 的完整源代码以 MIT 许可公开，你可以自行核对本政策中的每一条技术描述是否与代码一致： github.com/AMortalsOdyssey/CareThread