零、一句话说完
知止档案没有账号。你记进来的每一条记录、每一张照片，都默认只存在你自己的这台手机里；就连备份用的密钥也只在你手里。我们看不到内容，也拿不到数据——这一条不因为版本升级而改变。
说得再直白些：当前版本没有任何网络请求。今后即便提供备份功能，离开手机的也只会是你用自己口令加密过的密文——没有你的口令，包括我们在内，谁也读不出内容。
这一份政策要做的，是把这句话拆开，逐条讲清楚：存了什么、存在哪、留多久、怎么删、出了事找谁。
一、谁在管这件事
| 项目 | 内容 |
|---|---|
| 运营者 | 沈睿（杭州）服装贸易有限责任公司 |
| 统一社会信用代码 | 91330108MAKA4AET8R |
| 注册地址 | 浙江省杭州市（详见营业执照） |
| 个人信息保护负责人 | 沈睿 |
| 联系方式 | aym9@163.com |
| 应用名称 | 知止档案 |
| 适用平台 | 微信小程序、支付宝小程序、Android、iOS、HarmonyOS |
本政策适用于「知止档案」在上述全部平台上的版本。各平台版本处理个人信息的方式完全一致——因为没有任何一个版本会未经你的操作把数据发出去。
二、这个 App 到底存了你什么
只存两类东西，全都在你手机里：
2.1 你自己输入的记录
| 类别 | 具体内容 | 举例 |
|---|---|---|
| 体检与检查记录 | 报告日期、机构名称、指标名称、数值、单位、参考区间、报告原文摘录 | 2025-03-12 市一医院 空腹血糖 6.4 mmol/L |
| 影像与照片 | 你拍照或从相册选的报告照片、封面缩略图 | 一张血常规报告的照片 |
| 用药记录 | 药名、剂量、起止时间、你写的备注 | 二甲双胍 0.5g 每日两次 |
| 饮食记录 | 餐次、食物名称、份量、你写的一句话 | 午餐 米饭 1 碗、青菜 1 份 |
| 饮水与睡眠 | 时间点、饮水量、睡眠时段 | 07:30 饮水 250ml |
| 身体与运动 | 体重、腰围、血压、运动类型与时长 | 快走 40 分钟 |
| 基础资料 | 出生年、性别（两项都可留空，不填也能用） | 1975 年 · 未填 |
| 家人圈分柜 | 你自己起的成员昵称、关系、可见范围（完整 / 受限） | 「妈妈 · 母亲 · 完整」 |
| 女性阶段状态 | 你主动开启的孕期/产后等阶段标记 | 孕期第 12 周 |
| 复查计划 | 医院原文建议、复查日期、完成状态 | 6 个月后复查甲功 |
| 保险与保障 | 保单名称、到期日（如果你填了） | — |
| 意见反馈草稿 | 你写的文字、可选的诊断信息（版本号、机型、记录条数、出错类型） | — |
2.2 程序自己产生的记录
| 类别 | 内容 | 用途 |
|---|---|---|
| 本地运行日志 | 启动次数、页面打开次数、出错类型代号 | 只用于你自己在「维护与诊断」里看，判断这一版跑得稳不稳 |
| 备份与导出记录 | 你导出过几次、导出时间 | 提醒你该备份了 |
关于「运行日志」要说清楚：它默认关闭，需要你在设置里主动打开。打开之后记的也只有「类型 + 时间 + 次数」，不记你填的任何数值、不记医院名、不记照片。
我们不收集的东西（逐条列，因为这是审核会逐条核的）：
- ❌ 手机号、邮箱、身份证号、真实姓名
- ❌ 设备唯一标识（IMEI、IDFA、OAID、Android ID、MAC 地址）
- ❌ 地理位置（精确或粗略，全都没有）
- ❌ 通讯录、通话记录、短信
- ❌ 已安装应用列表
- ❌ 剪贴板内容（我们只"写入"不"读出"，见 4.4）
- ❌ 任何生物识别信息
- ❌ 你的使用行为画像（没有埋点、没有 A/B、没有转化统计）
三、数据存在哪里
3.1 只存在本机
| 平台 | 存储位置 | 卸载后的结果 |
|---|---|---|
| 微信小程序 | 微信为该小程序分配的本地缓存区 | 删除小程序后清空 |
| 支付宝小程序 | 支付宝为该小程序分配的本地缓存区 | 删除小程序后清空 |
| Android | 应用私有目录（其他应用无权读取） | 卸载后清空 |
| iOS | 应用沙盒目录（其他应用无权读取） | 卸载后清空 |
| HarmonyOS | 应用沙盒目录（其他应用无权读取） | 卸载后清空 |
| 网页版（H5） | 浏览器 LocalStorage | 清除浏览器数据后清空 |
当前版本没有云端备份，没有同步，没有服务器副本。 换手机不会自动带过去——这是我们刻意的设计，不是功能缺失。要换机，请用「备份与恢复」导出备份包（发到微信「文件传输助手」或你自己信任的地方最省事），再在新手机用同一功能导入。
3.2 照片是怎么存的
- 你从相册选的原图一个像素都不改，我们不会覆盖、不会回写你的相册；
- 为了在本机显示得快，另存一份长边 1080 像素的压缩图，仅用于列表预览；
- 这份压缩图同样只在本机，同样随卸载消失。
3.3 不加密的地方，我们要如实说
本机存储依赖操作系统提供的应用沙盒隔离（Android/iOS/HarmonyOS 均保证其他应用无法读取本应用私有目录）。在应用内部我们没有再做一层加密——因为密钥同样只能存在这台手机上，加了也只是把一把钥匙放在同一个抽屉里，反而会让"忘记密码就永久丢数据"变成真实风险。
如果你需要更强的保护，请在系统层面开启锁屏密码与整机加密（现代手机默认开启），并给本应用单独设置应用锁（如有）。
四、会向你申请哪些权限
只有 4 项，每一项都能拒绝，拒绝后只少一个功能，不会罢工。
4.1 相机
- 什么时候申请：你点「拍照录入报告」或「拍一张」时
- 用来做什么：拍纸质体检报告、检查单、药盒
- 不申请会怎样：不能拍照，仍可从相册选图，仍可纯手动录入
- 会不会后台调用：不会。只有你点了那个按钮才调用
4.2 相册 / 图片选择
- 什么时候申请：你点「从相册选」时
- 用来做什么：选取已有的报告照片、检查单照片
- 我们能看到多少：只有你亲手选中的那几张。没有相册整体读取权限，我们列不出你的相册
- 不申请会怎样：不能选图，仍可拍照，仍可手动录入
4.3 文件选择（仅网页版）
- 什么时候申请：在网页版点「选 PDF」时，由浏览器弹出文件选择框
- 用来做什么：选取你本机的体检报告 PDF 文件，在本机解析出文字
- 我们能看到多少：只有你选中的那几个文件，且文件不离开你的设备
- 不申请会怎样：不能选 PDF，仍可拍照或选图
说明：小程序与 App（微信 / 支付宝 / Android / iOS / HarmonyOS）当前版本不提供 PDF 选择入口，因为本机没有可用的 PDF 解析通道——与其让你选完文件再被告知"读不出来"，不如在入口就如实说明。这不是隐藏功能，是如实不提供。后续版本若上线，会同步更新本政策。
4.4 剪贴板（只写不读）
- 什么时候用：你点「复制」按钮（复制指标摘要、复制一段记录）时
- 做什么：把你要求复制的文字写进剪贴板
- 我们绝不读取剪贴板内容。你不点复制，我们一次都不会碰剪贴板
4.5 本机存储
- 用来做什么：保存上面第二节列的全部记录
- 不申请会怎样：App 无法记住任何东西，等于不能用。这一项是功能前提，不是可选项
4.6 明确不申请的权限
定位、通讯录、短信、通话记录、麦克风、蓝牙、NFC、后台运行、自启动、读取已安装应用列表、读取设备标识——一项都不申请。
五、数据会被给到谁
不会被给到任何人。
- 没有第三方 SDK：没有统计 SDK、没有广告 SDK、没有推送 SDK、没有崩溃收集 SDK、没有社交分享 SDK
- 没有数据合作方：不出售、不交换、不"脱敏后共享"
- 没有关联方共享：本公司内部也没有任何系统能收到你的数据
只有一种情况数据会离开这台手机，而且必须由你亲手操作：
你点「导出」或「备份」时，程序会把数据写成一个文件（JSON 或压缩包），然后交给系统——由你决定存到哪、发给谁。文件一旦交出去，就归你管，我们既不知道它去了哪，也无法撤回。
同理，「意见反馈」不是把内容发到我们服务器。它只是把文字复制到剪贴板或存成一段文本，由你自己粘贴到邮件或微信里发给我们。发不发、发给谁，完全由你决定。
六、留多久
| 数据 | 保留期限 | 到期怎么处理 |
|---|---|---|
| 你录入的全部记录 | 直到你主动删除，或卸载应用 | 你删即删；卸载即清空 |
| 照片压缩预览图 | 同上 | 同上 |
| 本地运行日志 | 最多保留最近若干条，超出自动滚动删除 | 自动覆盖 |
| 备份与导出记录 | 直到你主动删除 | — |
我们不设"到期自动销毁"的时间表，因为数据在你手里，什么时候删应该由你决定，不该由我们替你定。
七、你怎么删
7.1 删单条
任意一条记录、任意一张照片，都可以在列表里长按或进入详情页删除。删了就没了，没有"回收站"也没有"服务端还留 30 天"。
7.2 一键删全部
「我的 → 清空全部数据」。执行后本机存储被清空，回到初始状态，不可恢复。执行前程序会要求你二次确认，并提醒你先做备份。
7.3 卸载 / 删除小程序
- Android / iOS / HarmonyOS：卸载应用，私有目录被系统回收
- 微信 / 支付宝小程序：删除该小程序，缓存被清空
- 网页版：清除浏览器数据
7.4 关于"注销账号"
本应用没有账号体系，因此没有"注销账号"这一操作——不存在一个需要注销的账号。你不需要注册、不需要登录、不需要给任何信息就能用全部功能。
我们理解监管要求"必须提供注销入口"。这里如实说明：该要求针对的是有账号体系的应用；本应用以"清空全部数据 + 卸载即清空"实现了同等甚至更彻底的效果，且不需要你证明"你是你"。
八、你的其他权利
按《中华人民共和国个人信息保护法》，你对个人信息享有下列权利。在本应用里，它们全部由你直接行使，不需要向我们申请、不需要等我们审批：
| 权利 | 你怎么行使 |
|---|---|
| 知情权 | 就是这份政策；另有「我的 → 数据从哪来」逐项说明每条数据的来源 |
| 决定权 | 每一项权限都可拒绝；每一类记录都可选择不填 |
| 查阅、复制权 | 「数据从哪来」「导出」两个入口，随时看、随时导 |
| 更正权 | 任何一条记录都可以直接编辑修改 |
| 删除权 | 见第七节 |
| 可携带权 | 「导出」产出的是标准 JSON 与可读文本，不锁定在应用内 |
| 解释说明权 | 写邮件到 aym9@163.com，我们会说明 |
由于我们不持有你的数据，没有任何一项权利需要"我们配合"才能实现——这正是本地存储的意义。
九、敏感个人信息（单独告知）
健康信息属于《个人信息保护法》第二十八条规定的敏感个人信息。对这一点我们单独说明：
- 处理的必要性：本应用的全部功能就是记录与整理你的健康数据。不处理健康数据，应用没有存在意义。这是"必要"的，但我们也承认它是"敏感"的。
- 对你的影响：这些数据一旦泄露，可能影响你的保险、就业、社会评价。因此我们把「数据只在你手里」定为产品第一原则：默认只存本机；任何数据要离开你的手机，都必须由你亲手触发，且只能以「只有你能解开」的方式离开。
- 保护措施：见第三节（应用沙盒隔离）与第十一节（我们主动做的限制）。
- 单独同意：首次启动时，我们用一个单独弹窗就"处理敏感个人信息"向你征得同意，不与用户协议捆绑，不默认勾选。
- 你可以拒绝：拒绝后仍可浏览演示数据、使用不涉及个人信息的界面；一旦你开始录入，即视为同意。
十、未成年人
本应用不面向 14 周岁以下未成年人。
若你是 14 周岁以下儿童的监护人，请不要让儿童使用本应用录入其健康信息。若你为未成年人（14—18 周岁），请在监护人陪同下阅读本政策并使用。
我们不主动识别用户年龄，也不采集年龄信息——因此无法自动拦截，只能依靠本条告知。
十一、我们主动做的技术限制
这一节不是法律要求，是我们自己给自己加的锁，写出来是为了让你能验证：
| 限制 | 具体做法 | 你能怎么验 |
|---|---|---|
| 无网络请求 | 当前版本代码中不存在任何网络请求调用；应用不声明网络权限 | 断网使用，全部功能正常 |
| 无统计埋点 | 已关闭框架自带的统计模块 | 抓包看不到任何上报 |
| 无第三方 SDK | 依赖清单里没有统计/广告/推送类库 | 见「我的 → 法律与隐私 → 开源许可」 |
| 照片不回写相册 | 只读相册，从不写入 | 用后相册照片数量不变 |
| 剪贴板只写不读 | 代码中没有读取剪贴板调用 | 复制别的内容，App 不会有反应 |
说句实在话：以上几条都是"可被技术验证的承诺"，而不是"请你相信我们"。如果你或任何第三方发现不符，欢迎直接发邮件指出，我们会公开更正。
十二、政策变更
- 不会悄悄改。任何实质变更（新增数据类别、新增权限、新增任何对外传输），都会在应用内以弹窗形式告知，并要求你重新确认。
- 版本号可查。每次变更都更新首部的"版本"和"最近更新"日期，历史版本可在官网查阅。
- 不同意怎么办。变更后你不同意，可以继续使用旧版本功能，或导出数据后卸载。我们不会用"不同意就不能用"来逼你接受扩大收集。
十三、安全事件
当前版本没有任何服务器，因此不存在"我们服务器被攻破导致你的数据泄露"这种情形。将来即便引入备份功能，服务器上也只会存你口令加密后的密文——就算被攻破，泄露的也只是密文。
可能发生的风险只有一种：你的手机丢了或被他人使用。这属于设备安全问题，对策在你这侧：锁屏密码、应用锁、及时卸载。
若你发现本应用存在可能影响数据安全的技术缺陷，请立即发邮件到 aym9@163.com。我们承诺：
- 24 小时内回复确认收到
- 72 小时内给出初步判断
- 修复后在新版本说明中公开说明问题与修复方式（不隐瞒、不轻描淡写）
十四、联系我们
| 事项 | 联系方式 |
|---|---|
| 隐私问题、权利行使、投诉 | aym9@163.com |
| 响应时限 | 15 个工作日内答复 |
| 不满答复的救济 | 可向网信、工信、市场监管部门投诉举报，或向有管辖权的人民法院起诉 |
企业邮箱开通后，本政策中的联系邮箱将替换为 privacy@zhizhiarchive.com，并在此处公示变更日期（替换不构成实质变更，不触发重新同意）。
十五、几件我们想额外说清的事
1. 这不是医疗器械，也不做诊断。 本应用不做任何医学判断。它不会告诉你"你有问题"，不会给患病概率，不会给风险分级。它做的事只有一件：把你历年报告里的数字排成一条线，让你在见医生时能说清楚"这几年是怎么变的"。所有健康决策请交给执业医师。
2. 我们不做"健康画像"。 不给你打健康分，不做风险预测模型，不生成"你的健康年龄是 XX 岁"这类结论。这类功能看起来聪明，实际上是把未经证实的推断包装成事实，我们不做。
3. 数字都可以手改。 本机识别出来的任何数值都是"待确认"状态，你能改、能删、能标为"存疑"。程序不会把你的原始录入悄悄覆盖掉。
4. 关于"我们可能……"这种句子。 这份政策里没有"我们可能收集""我们可能共享"这类模糊表述。凡是没做的事，我们写"不做"；凡是做的事，我们写清楚做到什么程度。如果你发现任何一句含糊，那多半是我们写漏了，请指出。
本政策自 2026 年 11 月 1 日起生效。