您的数据，您说了算

1. 我们会收到哪些信息

为了帮您看懂病历、找到可能适合的临床试验，我们只会收到完成这件事所必需的信息 —— 多的不要。

信息	做什么用	必须 / 可选
手机号	登录验证 · 试验团队联系预告	必须
病历文件（图片 / PDF）	AI 识别诊断、分期、基因、用药等	必须（想做匹配的话）
整理后的病历字段	给您一份能看懂的摘要 · 做试验匹配	由系统生成，您可修改
家人姓名 / 年龄（选填）	让报告和短信读起来更像"给 TA"	可选
操作日志（登录时间、IP 地域）	防止账号被盗、防刷短信	系统必须

2. 这些信息怎么处理、存多久

2.1 处理原则

• 最小必要：只处理完成本次任务所必需的字段。
• 目的限定：用于登录、识别、匹配、通知 —— 不做广告，不做用户画像，不拿来训练通用大模型。
• 您随时可以撤回：删除某份病历、注销整个账户都在您手里。

2.2 存多久

内容	保留期	到期怎么处理
病历原始文件（图片 / PDF）	7 天	到期自动从存储中删除；需要可重新上传
识别出来的病历字段（结果摘要）	您账户存续期间	您注销账户时一起彻底删除
手机号（登录用）	您账户存续期间 · 加密存储	您注销账户时彻底删除
操作日志	90 天（IP 只记地域、设备只记大类）	90 天后自动清理
短信发送记录	30 天	到期后自动删除

3. 有没有外传给第三方

不卖、不租、不交换您的数据。 我们只在下面这些有限情形会和外部打交道：

• 短信通道：发验证码、发试验联系预告时，把手机号和短信内容交给短信服务商（通道商仅做发送，不留存内容超过运营商规定时限）。
• 云存储与 OCR：病历文件存放在国内合规云服务（通过信息安全三级认证），OCR 仅做识别、不留底。
• 您主动报名试验时：经您明确同意后，仅将您选择同意分享的字段发送给对应研究团队 —— 您看到哪些字段、就发哪些字段。不点"同意报名"就不会发任何东西。
• 法律法规要求时：仅在接到符合法律程序的正式要求时按最小范围配合，并在法律允许范围内通知您。

4. 您有哪些权利

这些事都不用打电话、不用填表、不用等审核 —— 自己点一下就行。

• 查看：在「我的 → 我的病历」和「正在联络的试验」可随时查看您所有数据。
• 修改：识别出的字段哪里不对，您直接改，您改过的就是对的。
• 导出：「我的 → 导出我的全部数据」一键拿到一份 JSON + PDF 压缩包，带走给医生看或备份都行。
• 删除某份病历：在病历列表长按（小程序）或点删除图标（网页端），对应原文件、字段、关联匹配都会一起清掉。
• 注销账户：「我的 → 注销账户」后，您的账号、病历、申请、日志都会从系统里彻底抹除，不保留备份。
• 撤回同意：即使您之前同意把某些字段分享给研究团队，您也可以随时撤回（已发出的信息我们尽力协助召回）。

5. 我们做了哪些安全措施

• 全程加密传输：所有 API 走 HTTPS/TLS，不在路上被看到。
• 手机号加密存储：数据库里看到的是密文，仅在发短信的瞬间短暂解密。
• 访问留痕：任何对您数据的访问都有日志，异常会告警。
• 短信反刷：单号每日上限、单 IP 小时上限、同 IP 跨号上限 —— 防止恶意消耗。
• 最小权限：公司内部只有必要的运维角色可接触生产环境，且需二次验证。
• 通过国家信息安全三级认证的云基础设施。

6. 未成年人与特殊情形

我们的服务面向 18 岁以上的患者及其家属。如果您是未成年人的监护人，为孩子使用本服务，请您在监护同意的前提下操作；我们会在识别到未成年人字段时，加固保护措施并限制可外发的字段。

如果患者本人已无行动能力，家属代为操作时，请您遵循家庭内部的共同意愿，我们不会核验您们之间的关系 —— 但您承担代为操作的责任。

7. 政策变更怎么通知您

如果这份说明有实质性变更（比如新增数据类型、改变保留期、新增第三方），我们会在变更生效前 7 天通过短信 + 登录后首页横幅告知您；如果您不同意新版本，可以选择在生效前导出数据并注销账户，我们不会追究。

非实质性的文字润色（比如更清晰的表述），我们会直接更新本页「最后更新时间」。

8. 有问题怎么联系我们