隐私与健康信息处理说明（演示版）

1. 收集什么

• 你主动填写的健康相关描述与问诊资料（年龄、症状、用药、过敏史等）。
• 访客身份：随机令牌（HttpOnly Cookie），仅用于把记录对应到你的浏览器，不含真实身份。
• 不收集姓名、身份证、精确地址、联系人；性别不作为无差别强制字段。

2. 健康信息属于敏感个人信息

按照《中华人民共和国个人信息保护法》，医疗健康信息属于敏感个人信息，处理需要单独同意等条件。本应用把不同的处理拆开，分别取得你的同意：

• 最小信息处理：本次咨询的信息整理（使用本应用即为此目的）。
• AI 辅助处理（单独勾选）：把你的描述发送给经营者配置的模型服务商。拒绝后，固定表单、核对、确定性摘要导出、静态知识、紧急提示全部照常可用。
• 保存记录（主动操作）：只有你点"保存"才进入长期记录。

3. 保存与删除

• 未保存会话：24 小时后自动删除。
• 已保存记录：90 天；可随时手动删除——主库即时不可访问，派生缓存与导出按计划清理，备份最长 30 天到期。
• 健康正文不写入浏览器的 localStorage，也不进入访问日志、分析埋点或第三方会话回放。
• 默认不用于模型训练、不用于广告、不公开分享。

4. 模型服务商

仅在授权 AI 后，你的描述会发送给服务商处理。服务商的数据留存、处理地域与跨境机制取决于其条款——正式部署时经营者须核查并披露。"匿名"不能概括仍可识别的病史。

5. 安全措施（演示版现状）

• 写接口校验 Origin；会话 Cookie 为 HttpOnly + SameSite。
• 模型密钥只在服务器加密保存，接口不回显；公网部署时须启用 HTTPS 并按技术方案做 SSRF 防护。
• 模型输出经服务器结构与内容校验后才发布；不逐 token 直出。
• 演示版使用单机 SQLite；生产部署需数据库加密备份、密钥管理与访问审计。

6. 你的权利

• 查看：我的记录页可查看全部会话。
• 导出：每条会话可导出 Markdown 摘要（带 AI 辅助标识与生成时间）。
• 删除：随时删除单条记录。
• 撤回同意：关闭 AI 授权后继续使用非 AI 路径。