隐私政策
我们用最少的数据，做负责任的就医决策建议。 我们不卖你的搜索记录， 不接第三方追踪， 不让保险公司知道你来过这里。
1. 我们主动收集的（必需）
- 你输入的搜索 query — 用于提供决策建议；7 天后脱敏，90 天后删除
- 你点击了哪些页面（页面 ID） — 用于优化页面；7 天后聚合，原始数据删除
- 浏览器类型 + 屏幕尺寸 — 用于适配移动端；不存日志
- 时间戳 — 用于决策建议时效性
2. 你主动点 CTA 才提供的（可选）
- 你提交给机构的电话 / 微信 / 邮箱 — 推送给你选择的机构
- 你输入的主诉简述 — 帮机构准备会面
- 你同意被联系的时间 — 合规证据
这些数据 90 天后脱敏（仍可查到机构对接，但不能反查出你）。
3. 我们主动不收集的（红线）
- ❌ 你的 IP 地址（nginx 脱敏后才写日志）
- ❌ 你的设备指纹 / cookie ID（不使用第三方追踪 SDK）
- ❌ 你的精确位置（不用 GPS / 高精度 IP）
- ❌ 你的浏览历史（不读 referer 完整路径）
- ❌ 你的社交账号关联（不接微信 OpenID 等账号）
4. 我们不接入的第三方
- ❌ 百度统计 / 友盟 / 字节 pixel
- ❌ Google Analytics / Hotjar / Mixpanel
- ❌ 任何广告 SDK
- ❌ 任何在线客服 SDK
- ❌ 第三方推送 SDK
- ❌ 第三方地图 SDK 上报
我们用 Plausible Analytics 自部署（开源，可审计）做聚合统计。聚合统计 = 我们知道"今天有 N 个用户访问了'失眠挂什么科'"，不知道是谁访问的。
5. 我们不分享的数据
- ❌ 不卖给保险公司
- ❌ 不卖给药企做营销
- ❌ 不分享给广告平台
- ❌ 不用于训练机器学习模型（包括我们自己的）
我们只分享给：
- ✅ 你主动提交联系方式选择的合作机构（仅传你提交的字段）
- ✅ 法律强制要求（监管查询 / 法院传唤）
6. 你的权利
- 查阅 / 删除：通过邮件 [email protected]（标题注明「个人信息查阅或删除」）；提交过对接申请的请附参考号
- 撤回同意：见 同意记录与授权撤回
- 投诉：通过邮件 [email protected]（标题注明「隐私投诉」）
7. 数据安全
- 数据 in transit：TLS 1.2+
- 数据 at rest：AES-256-GCM + KMS 管理密钥
- 数据库访问：最小权限 + audit log
- 员工查看用户联系方式：必须有 audit log
8. AI 助手
AI 助手不调用大模型，只在站内已发布的内容里检索作答，你的提问不会发送给任何模型服务。
9. 联系
联系：邮件 [email protected]（标题注明「隐私问题」）
授权撤回：同意记录与授权撤回