您的隐私是我们的首要任务

01.我们收集的信息

Pediary 仅收集提供健康追踪服务所必需的信息。日记保存在您的手机上，只有当您自己选择连接第二部手机或开启自动备份时，它才会离开手机:

• 儿童和成人档案(姓名、出生日期、可选照片，以及您填写的身体数据和医疗卡)
• 健康事件(体温、药物、症状、血压和心率测量值、血糖及胰岛素、碳水化合物、酮体和已处理的低血糖、笔记)，化验检查和医疗报告，连同您拍摄或扫描的页面以及从这些页面读取的文字

02.我们如何使用您的信息

您的数据在您的设备上，以及在您自己通过同步连接的手机上，用于:

• 在您的手机上存储和显示您家庭的健康记录；如果您开启了同步，还会与第二部手机保持一致
• 读取化验检查和医疗报告页面上的文字，以便为您建议数值和日期，由您在保存前核对并确认。读取完全在手机上进行：在 iPhone 上使用系统自带的文字识别功能，并在支持的机型上使用同样在手机上运行的 Apple Intelligence；在 Android 上使用 ML Kit，这是 Google 用于扫描和文字识别的库，同样在手机上运行。任何页面和文字都不会为了读取而发送给 Pediary、Apple 或 Google。ML Kit 只会向 Google 发送技术统计信息（手机型号、应用版本、读取设置、错误代码），不含任何图像和文字。在 Android 上，为了纠正读错的字词，应用会把它们交给手机设置中选定的拼写检查器，它是键盘应用（例如 Gboard）的一部分，并遵循该应用的规则
• 为医生就诊创建结构化健康报告，包括给医生的血压报告，其中还包含医疗卡的摘要（诊断、过敏、医疗备注），以及给内分泌科医生的血糖日记 PDF
• 发送您已启用的药物提醒和通知
• 以标准格式(JSON、PDF，血压和血糖数据还可导出为 CSV)导出健康记录

客户支持:如需技术支持,请联系privacy@pediary.net。我们无法访问您的健康数据。所有支持都涉及存储在您设备上的数据。

03.数据存储和安全

日记保存在哪里:

Pediary 将您的数据存储在您的设备上。没有任何 Pediary 服务器会收到您的日记：我们不运营任何保存家庭数据的服务器。只有在您自己开启时，才有两项功能会让数据离开手机，而且这两种情况下数据都只经过您自己的云空间：两部手机之间的同步，以及自动备份。“同步与备份”一节对这两项功能都有说明。

• 日记保存在手机上，由手机自身的锁屏保护，无需另外记住一个密码
• 存储在设备上应用程序的私有目录中（/data/data/net.pediary.android/），其他应用程序或没有 root 访问权限的用户无法访问
• 没有任何 Pediary 服务器会收到您的日记：传到我们这里的只有匿名的汇总使用统计，以及您选择在应用中写给我们的留言
• 完全控制:只有当您连接第二部手机或开启自动备份时，数据才会离开手机

04.同步与备份

不连接任何设备、不注册任何账户，Pediary 也能正常使用。不过如果您愿意，每个档案最多可以连接四部手机，例如您的、另一位家长的和祖父母的，让同一本日记保持更新；也可以开启自动备份。这是两项相互独立的功能，初始状态都为关闭，而且只能在应用设置中开启。

哪些内容会离开您的手机:

同步会发出档案，无论是孩子的还是成人的（姓名、出生日期、性别和照片）、日记事件（包括血压测量值和血糖）及您附上的照片和语音备注、生长测量数据和发育里程碑、提醒和治疗、医疗卡、医生名录、演变记录、已添加食物的清单，以及化验检查和医疗报告，连同拍摄或扫描的页面和从这些页面读取的文字。自动备份会发出完整的导出压缩包，也就是同样的信息再加上应用设置。在您开启其中任何一项之前，日记不会离开您的手机。

会发送到哪个服务:

文件会存放在您自己云空间中的一个文件夹里，也就是您在连接手机时选择的那个服务：Google Drive（Google Ireland Limited）、Dropbox（Dropbox International Unlimited Company）或 Microsoft OneDrive（Microsoft Ireland Operations Limited）。没有任何 Pediary 服务器会收到这些文件。您与该云服务之间的关系是您和该服务商之间的事，适用其自身的条款和隐私政策：Google 见 policies.google.com/privacy，Dropbox 见 dropbox.com/privacy，Microsoft 见 privacy.microsoft.com。使用 Google Drive 时，Pediary 只能看到它自己创建的文件。而使用 OneDrive 时，您授予的权限涵盖整个 OneDrive，因为 Microsoft 不允许将其限制在随后要与另一部手机共享的文件夹内，Microsoft 的授权页面也会向您说明这一点。无论哪种情况，Pediary 都只在自己的文件夹内工作。

同步是加密的，密钥留在手机上:

同步存放到云端的所有内容，都会在离开手机之前先在手机上完成加密。用于解密的密钥只留在已连接的手机上，绝不会上传到任何地方：无论是云服务商还是 Pediary，都无法读取您写下的内容。

文件会保存多久，由谁删除:

文件会一直留在您的云空间里，直到您自己删除它们。如果您断开两部手机的连接，共享文件夹会被清空。我们无法代您删除任何内容，因为我们没有您云空间的访问权限，甚至不知道里面有什么。

文件可能存放在欧盟境外:

云空间由您选择，而这三家服务商会把文件保存在各自的数据中心，其中也可能位于欧盟境外。Pediary 不决定存放地点：选择哪个服务、因而存放在哪里，都由您决定，跨境传输的保障措施由您选择的那个服务提供。

如何才算真正删除全部内容:

在应用设置中断开两部手机的连接并关闭自动备份；然后从您的云空间中删除 Pediary 文件夹，并清空该服务的回收站，因为许多服务会把已删除的文件保留一段时间；最后从每一部已连接的手机上卸载应用。其他手机已经下载的内容会留在那些手机上，只有使用它们的人才能删除。

05.当您从应用给我们留言时

您可以在应用中给我们发送留言，例如告诉我们哪些内容对您有帮助、还缺少什么。是否留言完全由您决定：如果您不写，就不会发送任何内容。

• 我们收到的内容：您写的文字，以及应用版本、语言和手机系统（iOS 或 Android）。我们不会发送孩子的名字，也不会发送手机或您账户的任何标识符。
• 发送到哪里：发送到意大利 Aruba S.p.A. 的服务器上，这家公司为我们的网站提供托管服务。手机的 IP 地址会出现在 Aruba 作为托管服务商保存的技术日志中，而不会出现在我们的留言存档里。
• 谁会阅读：只有我们。
• 保留多久：我们会在 90 天后删除。
• 我们为何处理：因为是您主动发给我们的，我们用它来跟进您写的内容并改进应用。

如果您希望在 90 天之前删除您的某条留言，请写信至 privacy@pediary.net，注明发送日期和留言内容：由于留言中没有您的名字，我们需要这些信息才能找到它。

06.Android应用程序权限

Pediary Android应用程序仅请求核心功能所需的权限。以下是所有权限及其必要性的完整披露:

• INTERNET: 用于发送匿名的汇总使用统计（例如哪些功能被使用），且仅在获得您的明确事先同意后使用，以便我们了解应用的使用方式以及应将工作重点放在何处：其中不包含任何个人信息或健康数据，也无法识别您的身份。此外，它还用于您自己开启的那两项功能，即两部手机之间的同步和自动备份，以便连接到您自己的云空间。它还用于发送您选择在应用中写给我们的留言。Firebase Crashlytics 也始终会使用它，以便在应用因错误而关闭时向我们发送报告（第 1 节）。最后，读取化验检查和医疗报告的 Google 库 ML Kit 会用它向 Google 发送第 2 节所述的技术统计信息，不含任何图像和文字。如果这两项功能您都不开启，不同意收集统计信息，不给我们留言，也不读取化验检查或医疗报告，应用仅在发送崩溃报告时使用网络。您可以随时在设置中撤回同意或撤销该权限。
• POST_NOTIFICATIONS: 用于发送您明确设置的药物提醒。您可以随时在设备设置中禁用通知。我们不发送促销或营销通知。
• VIBRATE: 为药物提醒警报提供触觉反馈。增强可访问性并确保您不会错过重要提醒。

我们不请求的权限:

• 位置访问(我们从不跟踪您的位置)
• 相机或照片库(除非您明确选择添加照片，或拍摄化验检查或医疗报告的页面)
• 联系人或电话访问
• 短信或通话记录
• 麦克风
• 蓝牙或NFC

07.Android数据存储详情

您的数据在Android上的存储方式:

• 本地数据库:健康记录存储在设备内部存储的加密Room数据库中,仅Pediary应用程序可访问。
• 应用程序数据文件夹:位于应用程序的私有目录(/data/data/net.pediary.android/)中,其他应用程序或没有root访问权限的用户无法访问。
• 卸载行为:卸载应用程序时,Android会自动删除所有本地数据。如果您没有任何副本，无论是手动导出还是自动备份，都无法再恢复这些数据。
• 我们无法为您恢复:我们没有您的数据，因此在您丢失手机或卸载应用时，我们无法恢复或还原它们。如果您之前开启了自动备份，副本就在您自己的云空间里，由您从那里自行还原。
• Android自动备份:我们不参与Android的自动备份系统，这样您的健康数据就不会在您不知情的情况下进入Google云备份。Pediary 自己的备份是另一回事，由您自行开启：它会把与手动导出相同的、没有密码的 ZIP 压缩包上传到您自己的云空间。

08.数据共享

我们绝不出售您的数据。而且我们根本无法访问您的日记。

没有任何 Pediary 服务器会接收、保存或传输您家庭的健康记录。如果您开启同步，您写下的内容会在手机上完成加密，并经过您自己的云空间，密钥则始终留在已连接的手机上。

只有您能控制是否共享数据:

如何共享数据:

• 导出功能:以PDF或JSON格式导出您的健康记录，血压测量值和血糖还可导出为CSV，并与医疗保健提供者共享
• 您的选择:决定向医生展示什么、发送什么、共享什么
• 只有您开启后才会自动:在您连接第二部手机之前，应用不会自行发送您日记中的任何内容。连接之后，您写下的内容会自动到达其他已连接的手机，这正是这项功能的意义所在；您可以随时断开连接

09.您的权利和控制

您对数据拥有完全控制权:

• 访问:随时导出所有数据
• 更正:编辑或更新任何健康记录
• 删除:永久删除特定记录或某个完整档案
• 可移植性:以标准格式(JSON、PDF，血压和血糖数据还可导出为CSV)导出数据
• 同意:选择加入/退出任何可选功能

10.儿童隐私

Pediary专为父母追踪孩子的健康而设计，自3.1.0版本起也可追踪家中成人的健康。如果您为另一位成人创建档案，例如您照顾的祖父母，请先征得其同意：健康数据属于敏感的个人数据。对于儿童档案，我们遵守COPPA(儿童在线隐私保护法)和类似的国际法规:

• 所有儿童档案都需要父母/监护人同意
• 不向儿童直接营销
• 无社交功能或儿童数据的公开共享
• 所有数据访问和共享的家长控制

11.国际合规性

Pediary遵守国际隐私法规:

• GDPR(欧盟):完全遵守数据保护权利
• CCPA(加利福尼亚州):尊重加利福尼亚州居民的隐私权
• PIPEDA(加拿大):遵循加拿大隐私原则
• LGPD(巴西):巴西数据保护合规性

12.数据保留

数据保存在您的手机上，以及您自己决定制作的副本中:

• 数据存在:您的健康数据仅在您的设备上存在期间存在
• 卸载:卸载应用程序会删除那部手机上的所有数据；您已经放进云空间的副本会一直留在那里，直到您自己删除
• 无副本:我们没有您数据的副本、备份或云端存档，但您选择在应用中写给我们的留言除外，我们会保留 90 天；除此之外，现存的唯一副本都是您自己的，在您的手机上和您自己的云空间里
• 您的备份:请保留一份较新的副本，手动导出或通过自动备份都可以，这样手机丢了也不会把日记一起带走

13.Cookie政策和跟踪技术

Pediary致力于透明地说明我们在网站(www.pediary.net)上使用的技术。

我们不使用跟踪Cookie:

我们的网站不使用跟踪 Cookie 或第三方 JavaScript 跟踪器（没有 Google Analytics，没有 Facebook Pixel）。流量统计由我们的托管服务商（Aruba）根据服务器日志生成，详见下文。

技术Cookie(严格必要):

我们使用的唯一技术是用于Progressive Web App(PWA)功能的Service Worker,它在您的浏览器中本地缓存静态资源(字体、图像、CSS、JavaScript),以实现离线访问并提高加载速度。这在GDPR和ePrivacy指令下被视为'严格必要',不需要明确同意。

• 目的:实现离线功能和更快的页面加载
• 存储的数据:静态网站资产(图像、字体、样式表、脚本)
• 持续时间:由浏览器缓存设置管理
• 第三方数据:Google Fonts在本地缓存;初始下载后不向Google发送任何数据

浏览器本地存储:

我们可能使用浏览器localStorage来记住您的语言偏好。这不会跟踪或识别您,可以随时从浏览器设置中清除。

法律合规性:

• GDPR第6条第1款(f):严格必要Cookie的合法利益
• ePrivacy指令第5条第3款:技术上必要Cookie的豁免
• CCPA:不通过网站Cookie收集或出售个人信息

您在我们网站上的隐私:

当您访问 www.pediary.net 时，我们的托管服务商（Aruba）会保留标准服务器日志并生成汇总的匿名统计：访问次数、浏览页面和大致来源国家/地区。我们仅用它来了解受众以及应将精力集中在何处。我们不建立用户画像，也不识别个别访问者。

未来变更:

如果我们将来引入需要同意的 Cookie 或跟踪技术，我们将更新本 Cookie 政策，部署适当的同意横幅，并在更改生效前至少 30 天通知用户。