版本 v3.3 ｜ 定稿日期：2026年10月26日 ｜ 生效日期：随 v22.82.0 发布之日起生效 ｜ 适用：本平台各服务端（诊所端应用与医生端、患者端小程序与应用、官网与 SaaS 后台——产品名称与商标以官网及端内公示为准）
本版本为法务级完整版（供用户阅读的合规告知文本）：相较 v2.0 补齐个人信息处理者主体信息、各类数据保存期限、敏感个人信息单独同意（录音/云同步/AI 训练/声纹）、死者近亲属权利、自动化决策与个性化推荐关闭、去标识化风险评估、保存与删除例外、儿童专章与监管投诉渠道。v3.2 增补：在线咨询与就医辅助类服务（报告单查询/在线挂号/费用缴纳）的数据项与访问留痕说明、两类自动回复标识与「转人工」、健康数据不用于广告与不入设备云备份、应用内账号注销入口。v3.3 增补：在线咨询中的图片/语音/文件单独说明——附件保存在平台私有存储、服务端可读取内容（与病历端侧加密是两条不同链路）；仅图片可能由人工智能（AI）尝试识别（识别可能不准、语音与文件不解析、可转人工）；附件随会话保留、会话关闭后 180 天清理文件本体并保留必要记录；撤回不删除文件本体但到期仍清理。
1. 个人信息处理者
- 平台运营主体：本平台各端产品（产品名称与商标以官网及端内公示为准）由集团运营主体及其关联公司、集团子公司或授权合作方共同开发、运营（以下统称“我们”/“本平台”）；与您发生个人信息处理行为的具体运营主体名称、注册地址、联系方式以本平台官网「平台运营主体与公示信息」页及应用内「关于我们」页面披露的信息为准（该披露信息构成本政策组成部分，随运营主体调整同步更新）；
- 联系邮箱：corp@jinsixian.cn（平台客服与个人信息保护专项邮箱，以官网公示为准，也可经应用内“设置—联系我们”提交）；备案信息：以官网公示为准；个人信息保护负责人：按《个人信息保护法》第 52 条指定，联系渠道=上述专项邮箱；
- 主体地位：为您提供患者健康服务时我们为个人信息处理者；为诊所/医疗机构提供 SaaS 能力时，我们作为受托处理者，遵从您就诊机构关于数据的控制指示（详见《数据处理协议》与诊所侧隐私政策）。
2. 我们处理的个人信息（种类 × 目的 × 方式 × 保存期限）
收集遵循最小必要；医疗健康信息与生物识别信息属于敏感个人信息，仅在第 3 条情形下经您单独同意后处理。
- 注册登录：昵称/头像/微信 OpenID/UnionID、手机号仅存掩码与不可逆索引（不能还原原文）、设备标识、日志——账号管理、身份识别、安全风控；保存至账号存续期，注销后按第 9 条处理；
- 扫码授权/绑定：姓名、性别、出生日期、手机号、就诊号、医生/门诊标识——建立医患关系与就诊档案关联；授权关系存续期间；
- 问诊与病历：经授权的录音、转写文本、AI 病历草稿、医师签署病历——生成病历、辅助诊疗记录；端侧加密、客户端零留存；病历服从《医疗机构病历管理规定》与就诊机构保存义务，原始音频平台不长期留存（转写完成后按留存策略处置）；
- 健康档案与数据采集：病种档案、指标数值、症状自述、图片/检查报告、智能识别结构化结果——健康记录、趋势分析、复诊参考；端侧加密后上传（云端只存密文），医生聚合仅使用您的授权副本；
- 回访与随访：联系方式、提醒设置与处理状态、复诊洞察、AI 电话通话内容与转写、IM 会话——通过应用内消息、微信、短信、AI 语音电话等多渠道提醒与回访；AI 电话拨打前与您确认，通话录音并入“录音”授权；
- 在线咨询（含图片、语音与文件）：您与医务人员的会话文本、消息状态、AI 回复草稿与知识出处、会话归档摘要，以及您主动发送的图片、语音、文件（含文件名/类型/大小/发送时间与内容）与图片被人工智能（AI）识别出的文字结果（加密存储）、引用回复关系——随访场景答疑、让医生看到检查单/患处照片等必要资料；AI 回复仅依据知识库内容，无依据时不作答并转人工；会话内容属医疗敏感信息，日志不记录内容。附件单独说明：图片/语音/文件保存在平台私有存储，服务端可读取其内容；仅本次会话所属门诊的接诊医生与客服人员、以及为提供本功能所必需且受保密与数据处理协议约束的平台技术人员可查看（最小权限、访问留痕）；每次读取使用短时有效的访问链接；只有图片可能由人工智能（AI）尝试识别，语音不转写、文件不解析，也不交给人工智能（AI）；识别结果可能不准确或识别不出，不作为诊断依据，任何情况下都可「转人工」；保存期限：随会话保留，会话关闭后 180 天，期满删除文件本体、仅保留类型/大小/时间等记录；发送后 2 分钟内可撤回，撤回后对方不再看到该条内容，但文件本体不删除（争议复核），到期仍按 180 天清理；如需提前删除可申请（法定或争议留存除外）；如不愿发送附件，可只发文字，不影响咨询与诊疗；
- 就医辅助类服务（各发布渠道项下）：实名信息、医疗报告单查询记录与访问日志（查询人/时间/对象/范围）、在线挂号记录、缴费订单与收款方、医疗机构与服务项目展示日志——提供报告单查询、挂号与缴费等技术通道；医疗费由医疗机构收取，我们不代收、不沉淀；
- 预约到店：姓名必填、手机号选填、时段与服务项——到店联系与查询；仅您本人与所约门店可见；
- 商城与营销：收货信息、订单/物流、优惠券/拼团/砍价/签到/邀请参与记录——履约、核销、防刷单；
- AI 智能体与对话：对话文本/语音、按需引用的资料、游客的公开知识查询——智能问答、知识检索、客服；游客仅处理必要公开内容；
- 设备与技术信息与使用数据：设备型号、系统/App 版本、IP、设备标识、功能使用与操作/错误日志——服务稳定、安全风控、故障排查、产品改进；日志滚动保留一般不超过 6 个月并多为聚合分析。
两条链路的边界（请区分）：① 病历、诊断、处方与健康档案——在您的设备上加密后上传，云端只保存密文，平台没有后门，这是“只有您能解密”的那条链路；② 在线咨询中的图片、语音与文件——保存在平台私有存储、服务端可读，通过加密传输、私有存储、最小权限访问、短时访问链接、访问留痕与到期清理（会话关闭后 180 天）保护，这是另一条链路。两者保护方式不同，不能用前者的说法理解后者；您第一次发送附件前，端内会再向您提示一次。
自动化决策与个性化推荐：如提供基于您既往数据的推荐（报告解读、活动推荐），我们将明示推荐逻辑与影响、提供一键关闭或调整入口，且不对您实施仅基于自动化决策且可能产生重大影响（如拒绝基础服务）的处理；AI 生成内容一律按第 11 条标识，不构成诊疗意见。
3. 敏感个人信息的单独同意
以下各项默认关闭、单独勾选，拒绝不影响您获得正常诊疗服务：
- 问诊与回访录音：授权“录音”后方处理问诊/回访音频（转写、病历、回访记录）；未授权则医生以传统方式记录且不进行 AI 电话回访；
- 云端同步健康记录：授权后方将您加密后的健康档案同步至云端；
- AI 训练（去标识化）：同意后，经去标识化处理（剔除姓名、身份证号、精确地址、联系方式、面像与音频特征等可识别要素）的文本样本方可用于您的医生专属模型（千人千医）训练与平台改进；
- 声纹（生物识别）：与“AI 训练”独立勾选；未勾选时问诊音频绝不随训练外传；勾选后音频方按第 6 条安全域规则处理。
上述授权均可在患者端“我的—授权管理”随时撤回；撤回停止后续处理，不影响撤回前已同意的处理合法性与效果。
4. 我们如何使用
仅用于：提供对应功能服务；回访/随访与健康提醒；安全与合规（风控、审计、监管）；经同意后的去标识化训练与质量分析；客服与争议处理；法律法规要求。我们不出售您的个人信息，不利用患者健康数据做第三方精准广告归因，不因您拒绝非必要处理而拒绝提供基础服务。您的健康、健身与医疗数据不会被用于广告、营销或数据挖掘，也不向第三方披露（法定与研究情形除外）；我们不会向健康数据平台写入虚假数据，也不会将您的个人健康信息存储于设备云备份（如 iOS 的 iCloud）。
5. 共享、委托与第三方
- 为您服务的门诊与医生（业务必要/受托）：在您授权范围内共享就诊信息与档案副本；
- 语音识别/大模型/消息推送/支付/统计等第三方服务商（委托处理）：仅按功能必需处理必要信息，签署数据处理协议并承担对等保密义务；原始音频等敏感数据经第 3 条单独同意后处理；
- 监管部门/司法（法定）：依法提供。
任何向第三方提供（共享）您的个人信息情形，均依法取得您的单独同意并告知接收方名称、联系方式、目的、方式与信息种类（法律另有规定除外）。具体 SDK 与共享清单见《第三方 SDK 与信息共享清单》（法律协议中心）。
6. 存储地点、安全域与跨境
- 数据存储于中华人民共和国境内服务器；
- 安全域：数据不出您所在安全域、不出境、不经由第三方不受控处理；采用诊所/家庭端、机构/院内、平台等保域的分级，跨域仅传输经去标识化或授权的数据；
- 云端环境：按国家网络安全等级保护三级标准建设并推进测评（测评结论以平台公示为准）；
- 跨境：本平台目前不向境外提供您的个人信息；如未来开展，将依法完成安全评估/标准合同/认证之一，取得您的单独同意并告知境外接收方信息，且会显著通知并更新本政策。
7. 安全措施
采用国密算法（SM2/SM3/SM4）对传输与存储的敏感数据进行加密保护（传输加密、静态加密、逐份单独加密）；端侧加密（平台只能看到密文，无后门）；最小权限访问与操作留痕审计；安全开发、漏洞扫描、备份与演练；员工保密与安全培训；个人信息保护影响评估（已覆盖敏感信息处理、自动化决策、委托处理、跨域传输四类）。
8. 您的权利与行使方式
- 知情、决定：本政策与各功能页提示；
- 查阅、复制、更正、补充：应用内“授权管理/档案”或申请导出；
- 删除：依法申请删除（医疗档案法定保留除外，保留部分会告知）；
- 撤回同意：逐项开关；注销：设置—账号安全—注销（核验后一般 15 个工作日内完成）；按各发布渠道要求，我们同时在应用内提供账号注销入口；
- 解释说明与信息转移：联系客服/个人信息保护负责人；
- 关闭个性化推荐：设置页开关；
- 死者近亲属权利：患者死亡后，近亲属可依法行使查阅、复制、更正、删除等权利（死者生前另有安排的除外），联系客服并出示亲属关系证明。
我们在收到请求并核验身份后 15 个工作日内响应；复杂情形依法可延期并告知理由；不予处理会书面说明理由。
9. 保存期限、删除与训练数据治理
- 各类数据期限见第 2 条列表，届满即删除或匿名化；在线咨询附件（图片、语音、文件）随会话保留，会话关闭后 180 天删除文件本体（仅保留类型、大小、时间等记录）；撤回不删除文件本体，但到期仍按 180 天清理；如需提前删除可申请，法定或争议留存的部分除外；
- 诊疗记录属于医疗机构病历管理范畴，按《医疗机构病历管理规定》《电子病历应用管理规范》保留法定最短期限，您可以就诊机构名义申请查阅/复印；
- 训练数据：撤回“AI 训练”同意后立即停止新样本加入；已入训练库样本标记剔除，并在下一次重训批次中完成更新（不超过 90 天）；
- 注销后：删除或匿名化处理（法定保留例外除外），密钥一并销毁。
10. 儿童与未成年人
未满 14 周岁儿童不得独立使用本服务，须经监护人阅读并同意后由监护人实名认证账户代为创建与管理；监护关系须实名校验并提供必要关系证明；处理遵循最小必要、不诱导收集、与成人同等或更严格安全措施；监护人可代行全部权利。详情见《儿童与未成年人个人信息保护规则》（法律协议中心）。
11. AI 生成内容与标识
平台对 AI 生成内容（病历草稿、问答、识别结果、文案、健康洞察、智能体回复等）施加显式标识（“AI 生成”角标、提示语、声明）、元数据隐式标识与接口层的真值标识（供其他系统识别该内容为 AI 生成），依据《人工智能生成合成内容标识办法》；AI 仅辅助，不构成诊断、处方或治疗建议，医疗结论以执业医师签署意见为准；规则/模板生成的非 AI 内容如实标注“智能整理/模板草稿”，不误标。在在线咨询中，您可能收到两类自动回复：规则模板回复（标注「自动回复」，非 AI）与 AI 客服回复（标注「AI 生成」并附知识来源）；AI 回复仅依据知识库内容，无依据时不作答并转人工。在线咨询中的图片识别：仅图片会由人工智能（AI）尝试识别；识别结果可能不准确或无法识别，AI 因此产生的回复会明确告知「人工智能（AI）已查看你发送的图片」并提示「识别结果可能不准确，请以医生意见为准」，同时提供「转人工」入口；识别结果不构成诊断、处方或治疗建议；语音与文件不经人工智能（AI）处理，一律由医务人员查看。
12. Cookie、SDK 与通知推送
网页端 Cookie 与同类技术见《Cookie 与同类技术使用政策》；第三方 SDK 清单（名称/提供方/用途/字段/隐私政策链接）见《第三方 SDK 与信息共享清单》，接入新 SDK 前更新；定向营销推送需您订阅并提供退订途径（短信退订、设置开关）。
13. 政策更新与生效
更新标注版本号与生效日期；涉及处理目的、信息种类、第三方披露、权利路径、安全域变化的重大变更，以弹窗/公告/推送显著告知并给予合理阅读选择期（一般 7 天）后生效；不同意可在生效前停止使用并注销；历史版本可向客服索取。
14. 投诉、监管与争议
对个人信息处理有异议，请先联系 corp@jinsixian.cn 或应用内客服；未获解决的，可向网信部门、通信管理局、卫生健康主管部门投诉举报。本政策适用中华人民共和国大陆地区法律；争议提交被告住所地（北京市）有管辖权的人民法院（法律赋予您的其他管辖选择权不受影响）。
15. 完整性与联系方式
本政策与《用户服务条款》《患者信息采集知情同意书》《数据处理与跨境传输规则》《账号注销与数据删除规则》《AI 生成内容声明》《儿童与未成年人个人信息保护规则》《第三方 SDK 与信息共享清单》共同构成隐私文件体系；冲突时以更保护您权益或法定义务为准；本政策以中文为准，英文版仅供参考。
注：本版本为法务级草拟稿（待法务审定）；公司注册地址与法定代表人已按「以国家企业信用信息公示系统登记信息为准」话术落位，个人信息保护负责人按《个人信息保护法》第 52 条职务化披露，留存周期已按法定最佳实践定值（录音转写审核后 30 天内、预约 3 年、训练剔除 ≤90 天）。