隐私政策
生效日期：EverPine v0.1.0 正式上架之日
EverPine（常青松）是一款帮助你整理和保管个人健康档案的工具。我们相信：你的健康数据属于你，也只属于你。这份隐私政策用尽量直白的话，说明我们收集什么、不收集什么、数据存在哪里、你能怎样掌控它。健康数据另受我们的《消费者健康数据隐私政策》约束。
EverPine 的可用地区： 首发面向美国、加拿大、香港，暂不面向欧盟、英国及中国大陆。
一、我们的核心原则
- 本地优先：你的健康档案（就诊记录、单据照片、用药提醒等）默认只保存在你自己的手机上，经过加密。
- 最小化：我们不收集与功能无关的信息，不做用户画像。
- 不追踪、不卖数据：EverPine 不接入任何第三方分析、广告或追踪 SDK，也绝不出售或出租你的任何数据。
- 可彻底删除：你产生的任何数据，都可以由你永久删除。
二、我们处理哪些信息
- 你主动录入的健康信息：就诊日期、医院、就诊类型、备注、单据照片、用药与提醒等。默认仅存储在你的设备本地，存放在加密数据库中，单据照片另做文件级加密。
- 账户信息：你的电子邮箱地址，用于通过验证码登录。登录不使用登录密码。（另外，你可以设置一个档案密码来保护你自己数据的加密；我们不会收到、也不会存储它。）
- 服务与安全基本信息：为保障服务正常运行所必需的技术信息（如系统版本、崩溃时的非个人技术日志），以及一份极简的安全事件记录——在我们的服务器上记录关键账户事件的类型与时间（如登录、给予或撤回同意、开启备份、发起注销）。这份记录绝不包含任何健康内容、姓名或备注。我们不收集广告标识符，不做行为追踪。
- 你主动提交的反馈（可选）：如果你在 App 的反馈空间发布反馈或想法，你写的文字会发送到我们的服务器。请不要在反馈中写个人信息——含手机号、证件号等内容的提交会被自动拒收。你可以随时删除自己的反馈。
三、数据存在哪里、谁能看到
- 本地：健康档案默认只在你的设备上，断网也能使用。
- 云端备份（默认开启，端到端加密）：登录后，你的档案会自动备份，以免设备丢失时数据丢失。备份数据在离开设备前已端到端加密。我们的服务器（Google Cloud）只保存密文，我们无法读取其内容。你删除某条记录或注销账户时，对应的云端密文也会随之删除。
- 例外 · AI 识别（可选，需单独授权）：若你选择 AI 识别，单据图片会以可读形式发送给 Google（作为我们的服务商）以提取信息（见第四节）。任何图片离开设备前都需先取得你的单独授权；手动录入则完全不发生。
- 例外 · AI 助手（可选，仅当你使用时）：若你向 App 内的助手提问，你的问题和回答所需的相关档案内容会以可读形式经我们的服务器发送给 Google（Vertex AI）处理（见第四节）。内容仅为生成回复即时处理，不会以可读形式存储在我们的服务器上。你不使用助手，就不会有任何内容被发送。
四、第三方服务（数据处理方）
为提供功能，我们使用以下受信任的服务商。它们仅在为你提供对应功能时处理必要数据，不得用于自身目的。
| 服务商 | 用途 | 涉及的数据 |
|---|---|---|
| Google（Firebase 身份验证） | 邮箱验证码登录 | 邮箱地址 |
| Google（Vertex AI / Gemini） | 仅当你选择用 AI 识别单据、或使用 AI 助手时：分析单据图片、提取结构化信息；生成助手回复 | 你提交识别的单据图片/文字，或为生成助手回复而发送的问题与相关档案摘录。在 Google 企业版 Vertex AI（美国 / 全球基础设施）上即时处理。Google 作为我们的服务商（处理方），依 Google Cloud 数据处理条款不将内容用于训练其模型。 |
| Google Cloud（Cloud Run / Cloud SQL / Storage） | 运行服务、存储已加密的同步数据 | 端到端加密后的密文 |
| Resend | 发送登录验证码等邮件 | 邮箱地址 |
关于 AI 识别：这是可选功能，需你单独授权。若你选择手动建档，则不会有任何图片或内容被上传，全程在本地完成。若你使用 AI 识别，图片会以可读形式发送给 Google，且不会被自动脱敏，因此可能包含单据上的个人信息（如你的姓名）。在你同意前，我们会告知将要发送的内容。
关于 Google 侧的留存：发送至 Vertex AI 的内容不会用于训练 Google 的模型；但 Google 可能依其服务条款，为滥用监测与平台安全在有限时间内保留请求日志，随后删除。我们不控制这部分留存，如实在此披露。
五、你的权利与掌控
无论你身在何处，你都可以：
- 查看 / 导出：你可随时查看、导出你的数据。导出会生成一个压缩包（ZIP），内含结构化、机器可读的 JSON 数据及你的单据图片。
- 更正：你可更正任何你录入的记录。
- 删除：你可永久删除任何单条记录，或注销账户。注销有一段冷静期（目前 7 天）可撤销，期满后级联删除云端数据、不可恢复。
- 撤回同意：你可随时在 App 内撤回你此前给予的同意（包括对 AI 识别的同意）。
- 掌控基础功能永久免费：保存、查看、导出、删除你自己的数据，永不收费。
如需提出隐私请求，请发邮件至 hi@everpine.life。我们将在 30 天内响应。
美国各州隐私权（含加州与华盛顿州）
如果你是美国居民，你有权访问、删除、更正你的个人信息，有权拒绝对个人信息的任何出售或共享（我们不出售、不共享），并有权限制敏感个人信息的使用。健康数据专属权利详见《消费者健康数据隐私政策》。我们不会因你行使这些权利而歧视你。
六、数据保留
只要你保留你的健康记录，我们就为你保留。你删除某条记录，它即被移除；你注销账户后，云端密文将在冷静期结束后删除。本地存储的数据在你删除或卸载 App 时移除。第二节所述的极简安全事件记录（仅事件类型与时间，绝无健康内容）在账户存续期间保留，并在注销完成后 30 天永久删除。
七、儿童隐私
EverPine 不面向 14 岁以下儿童，也不会有意收集其信息。本 App 面向成年人；未成年人应在家长或监护人参与下使用。
八、数据跨境
我们的服务器与 AI 处理运行在位于美国 / 全球区域的 Google Cloud 基础设施上。如果你在加拿大或香港使用 EverPine，你的数据——加密的备份密文，以及（若你使用 AI 功能）第三节所述的可读内容——会被传输至美国或 Google 全球基础设施的其他区域进行处理。使用 EverPine 的备份或 AI 功能即表示你同意此项传输。我们不面向欧盟/英国，故欧盟/英国的跨境传输机制不适用。
九、政策更新
我们可能更新本政策。重大变更会在 App 内或通过邮件告知你。
十、联系我们
有任何疑问或隐私相关请求，请联系 hi@everpine.life。就加拿大 PIPEDA 与魁北克第 25 号法而言，个人信息保护负责人可通过该地址联系；香港《个人资料（私隐）条例》下的查阅及改正资料要求亦经由该地址处理。
数据控制者：于路文（个人开发者）。联系：hi@everpine.life（隐私请求的书面联系渠道）。