隐私政策

兰杉居家康复(以下简称"兰杉"或"我们")非常重视用户隐私。本政策说明我们如何收集、使用、存储、共享和保护你在使用兰杉服务时提供的个人信息。

一 · 我们收集的信息

1.1 用户注册和身份信息

• 微信 openid 和昵称、头像(通过微信登录授权获取)
• 手机号(用于短信验证登录、上门服务联络)
• 用户角色(家属 · 长者 · 训练师 · 加盟商 · 总部)

1.2 家庭成员健康信息

• 家庭成员姓名、性别、出生年月、关系
• 老人的身份证号、家庭住址(仅用于入户服务派遣)
• 紧急联系人姓名和电话
• 慢性病史、独居状态、家庭结构
• AFI 评估答题记录和综合分
• 处方 · 训练计划 · 训练执行记录
• 生命体征(BP · HR · SpO2 等,由训练师入户测量)
• Barthel 指数、跌倒事件、SOS 呼叫记录

1.3 服务使用信息

• 访问日志、操作日志、IP、设备信息
• GPS 位置(仅在训练师入户打卡时使用,家属和长者端不采集)
• 拍摄的训练/服务照片、语音评价
• 订单和支付记录(通过微信支付,兰杉不接触银行卡号)

1.4 AI 授权行为信息

• 你在 AI 平台点击"连接兰杉"的授权记录
• 每次 AI 调用兰杉 API 的时间、endpoint、scope、状态码、IP、UA

二 · 我们如何使用信息

2.1 提供核心服务

• AFI 评估、报告生成、康复处方生成
• 上门服务派遣、行程规划、训练执行、结算分账
• 训练师认证、家属绑定、家庭成员管理
• AI 授权的 OAuth 认证和 scope 校验

2.2 用户主权和安全

• 建立用户可查看/撤销/导出的授权控制中心
• 记录 AI 调用审计日志,供用户随时查看
• 建立异常检测(高频调用、跨地区访问等)

2.3 服务改进(去标识化后)

• 基于聚合数据分析 AFI 阶段分布、训练依从率、副品牌需求
• 校准算法参数(如 HFI 权重、Rockwood 阈值)

三 · 我们如何共享信息

3.1 授权的加盟商与训练师

• 为完成上门服务,你的老人姓名、地址、电话、紧急联系人会共享给负责该家庭的加盟商与训练师
• 他们签署了保密协议,不得转让或另作他用
• 你可在小程序内主动切换归属训练师,原训练师立即失去访问权

3.2 AI 平台(经你明确授权)

• 只有在你走过完整 OAuth 授权流程后,授权范围内的脱敏数据才会共享给该 AI 平台
• 脱敏原则:姓名只保留姓氏首字、无身份证、无手机号、无家庭地址
• 授权 30 天到期需重授权 · 你可在"我的 → AI 授权管理"随时撤销

3.3 医疗合作方(限特定场景)

• 当你主动开启"医师问诊"服务(未来 Phase 2 上线),持证医师会看到诊断相关信息
• 该共享仅在你发起咨询时发生,医师看到的信息在会话结束后不可再访问

3.4 法律义务

• 司法机关、监管机构基于合法程序要求提供时,我们会依法配合
• 此类情况会在法律允许范围内通知你

四 · 我们如何存储和保护信息

4.1 存储位置

• 所有数据存储于中国大陆(阿里云杭州节点)
• 不进行跨境传输(AI 平台如为境外,我们只出口经你授权的脱敏数据 · 不出口 PII)

4.2 加密

• PII 字段(身份证 · 手机号 · 地址 · 紧急联系人电话)使用 AES-256-GCM 应用层加密
• 传输层 TLS 1.2/1.3 · Let's Encrypt 证书
• 数据库连接用 SSL · 备份文件加密
• 敏感操作(处方审批、退款等)有二次密码或短信验证

4.3 保留期限

• 健康档案 · 用户主动注销账户后保留 6 个月(供咨询、争议解决)· 满 6 个月匿名化
• 审计日志 · 保留 2 年 · 满 2 年归档到冷存储
• AI 授权 grant · 撤销后立即禁用,记录保留 90 天供审计

五 · 你的权利

• 访问权 · 你可在小程序"我的 → 家庭档案"查看所有关于你和你家人的数据
• 更正权 · 发现错误可自助修改,或联系客服协助
• 撤回同意权 · 你随时可撤销 AI 授权、退出上门服务、注销账户
• 删除权 · 注销账户后 6 个月内,你可要求提前匿名化;老人档案的删除需家属主张
• 数据可携权 · 你可请求导出 JSON 格式的完整家庭档案(邮件申请 · 5 工作日内回)
• 审计权 · 你可查看每一次 AI 调用的时间、内容、endpoint

六 · 儿童与未成年人个人信息(0-6 幼儿 · 7-18 少年)

6.1 收集范围(最小必要)

• 儿童的姓名(可使用昵称)、月龄或出生年月、性别、是否早产、主要抚养人
• 家长在里程碑跟踪中逐条勾选的答案(能 / 不能 / 有时能)
• 可选的社交行为观察 20 问答案(仅 16-30 月龄触发)
• 家长为孩子打点的游戏完成记录、可选家长备注
• 不收集儿童的照片、语音、生物识别、位置、身份证、监护人以外的联系人

6.2 监护人授权

• 为该儿童建立青芽档案前 · 需完成一次单独的监护人授权确认(独立弹窗 · 非勾选式)
• 授权人必须是儿童的父母或法定监护人 · 授权行为会在系统中留痕
• 家庭中的其他成员(如祖辈)仅在监护人为其开通查看权限时 · 才可查看儿童档案

6.3 加密与存储

• 儿童相关字段单独走加密路径 · 使用与成人 PII 相同的 AES-256-GCM 应用层加密
• 数据存储于中国大陆(阿里云杭州节点)· 不进行跨境传输
• 儿童数据不用于聚合分析以外的任何用途 · 聚合统计前会做匿名化 + 月龄区间化处理

6.4 家长圈与社群(如上线)

• 家长在匿名家长圈发帖时 · 系统会自动脱敏:去除儿童姓名、精确月龄改为区间(如"20 个月"改为"1-2 岁")、去除具体地点
• 版主为持证儿保专家 · 只保留科学性置顶回复 · 不参与家长间私聊
• 发帖内容不会关联到儿童具体档案 ID

6.5 AI 助手(青小芽)

• 家长与青小芽的对话内容不会用于模型训练 · 不出境
• 青小芽只提供陪伴建议与循证科普 · 不做诊断 · 不给具体阈值判断
• 涉及"可能需要专业评估"的信号 · 青小芽会引导前往就近儿童保健科门诊

6.6 监护人权利

• 查看权 · 监护人可在"家人 → 孩子档案"查看所有关于该儿童的数据
• 更正权 · 发现错误可自助修改
• 删除权 · 监护人可要求随时删除该儿童档案 · 删除后所有关联评估/游戏记录立即匿名化
• 撤回同意权 · 撤销青芽授权后 · 该儿童档案立即停用
• 数据可携权 · 可请求导出该儿童完整档案的 JSON

6.7 法规参照

• 《未成年人保护法》(2021 修订)
• 《未成年人个人信息网络保护规定》(2024 施行)
• 《个人信息保护法》儿童个人信息条款
• 《儿童个人信息网络保护规定》(参照)

七 · Cookie 与追踪技术

• 兰杉小程序不使用浏览器 cookie(微信小程序技术不支持)
• hq-admin 后台使用 localStorage 保存 JWT token,退出登录会清除
• 不使用第三方追踪 SDK(百度统计、Google Analytics 等一律不接入)

八 · 政策变更

我们可能会不定期更新本政策。重大变更会通过以下方式通知你:

• 小程序内弹窗提示,你需重新阅读并同意
• 邮件或短信通知(如你留了联系方式)

九 · 联系我们