隐私政策
生效日期：2026 年 10 月 3 日
政策版本：2026-10-03
KinVitals（kinvitals.app）是一款家庭健康记录工具，由加拿大联邦注册公司 Dynamics Tech Ignite Inc. 以 KinVitals 名义运营（下称“我们”）。本政策说明我们收集哪些信息、为什么收集、谁能看到，以及你如何访问、更正、导出或删除这些信息。
本次试点仅面向居住在加拿大、且不居住在魁北克省的成年人。账号持有人和档案主人都必须年满 18 周岁。本服务目前没有监护人、代理人或其他替代决策者代为同意的流程。
我们遵守适用的加拿大私营部门隐私法律，包括《个人信息保护与电子文件法》（PIPEDA），以及在适用情况下实质相似的省级法律。
我们把一件事放在最前面：健康数据属于被记录的那个人。 下面所有规则都是这一条的展开。
一、我们收集哪些信息
1. 账号信息
注册时你提供姓名（或称呼）和邮箱。你可以使用密码，或在已启用时使用发送到邮箱的一次性登录链接登录。使用密码时，密码以不可逆的哈希形式保存，我们无法看到你的原始密码。登录后我们会在你的浏览器中写入会话 Cookie，用于保持登录状态。
为保障登录安全，我们会在每次会话中记录浏览器 User-Agent，并将其与会话记录一同保存。
系统还会记录账号的创建与更新时间和界面语言。
2. 被照护人档案
为家人（或你自己）创建档案时会填写：称呼、出生年份、性别、所在时区。出生年份与性别可以不填；时区用于正确显示“哪一天”的测量记录。
为另一位成年人创建基本档案前，发起人必须已经取得被描述的成年人允许其创建该档案的许可。
你还可以在本人许可下，为档案提供一个用于家属访问申请的手机号。
这让其他家属申请加入同一份家人档案，但不会直接授予权限。
系统会在服务器端将号码规范化，并使用服务端密钥通过 HMAC-SHA256 生成不可直接还原的派生标识符。原始手机号会通过 HTTPS 发送到服务器并仅作瞬时处理；生成派生标识符后，我们不保存原始手机号的持久副本，不将其写入应用日志，也不在响应中返回。该派生标识符会随档案保存，用于查找可能匹配的档案；管理基本档案的人可以替换或移除它。
只有已完成邮箱验证的登录用户可以使用手机号提交访问申请。无论号码是否匹配任何档案，提交响应都相同；提交响应不会显示档案是否存在、档案信息、匹配数量或哪些档案主人收到申请。档案主人批准后，申请人会看到获批档案。
访问申请本身不授予任何权限；只有档案主人批准后，申请人才会获得访问。
3. 健康测量记录
你或获得授权的家属手动录入的：血压、血糖、血氧、心率、尿酸、体温、体重的数值与单位、测量时间、测量情境（如空腹/餐后）、备注，以及是谁录入的。
内部数据模型中的部分字段和代码与 HL7 FHIR 的 Patient、Observation 等概念保持对应，但本服务并不承诺其内部存储或当前导出本身就是完整、可直接导入其他医疗系统的 FHIR 资源或 Bundle。具体导出说明见第七节。
4. 邀请信息
当你邀请家人查看档案、或邀请本人认领档案时，本服务会生成一条由你自行选择渠道发送的邀请链接。我们保存邀请的类型、权限、状态、创建与使用时间等必要信息；链接中的凭据在数据库中只以哈希形式保存，我们无法从数据库还原出原始链接。当前产品界面不会要求你为发送邀请提供收件人的邮箱或手机号。
5. 访问申请与授权记录
一次提交可能为一个或多个符合条件的匹配档案创建待处理申请。收到申请的档案主人会看到申请人的已验证邮箱和显示名（如有），以决定是否批准。提交响应不会透露匹配数量、匹配档案或哪些档案主人收到申请；档案主人批准后，申请人会看到获批档案。
我们保存访问申请所涉及的申请人、档案、状态、创建与处理时间，用于交付和处理申请、执行访问控制、防止滥用及安全审计。当前界面只向档案主人显示待处理申请。我们另行保存谁在什么时候把访问权限授予了谁、谁在什么时候撤销了它；这些授权与撤销记录构成档案主人可查和可导出的授权历史。
访问申请记录本身不赋予访问能力。档案主人批准后，申请人可以查看该档案并在权限范围内协助记录；档案主人可以随后撤销该权限。
6. 访问日志
托管服务商可能出于安全和运维目的记录常规访问日志（如 IP 地址、访问时间）。
本服务现在支持上传医疗报告的原件（见第 7 条）和记录中药药方（见第 8 条），仍不接入任何第三方健康平台（Apple Health、Health Connect、蓝牙设备等仍是规划方向，尚未提供）。但备注是自由文本；如果你在备注中填写诊断、用药或其他健康信息，我们会按本政策处理你实际填写的内容。请不要填写完成记录目的所不必要的信息。
7. 上传的医疗报告原件
你或获得授权的家属可以上传医疗报告的原件照片或 PDF，例如化验单、影像报告、出院小结和处方。
上传照片时，浏览器会先去除相机写入的 EXIF 信息（含 GPS），把图片统一转为 JPEG（最长边不超过 2000 像素、压缩到 2 MB 以内），并生成一张用于列表显示的缩略图；我们保存的是这个转换后的版本。PDF 按上传时的文件原样保存。
我们按上传后的文件保存，不识别、不抽取其中的数值，也不作任何判读。原件上可能印有姓名、出生日期、病案号、身份证号、医院与科室等标识信息，我们会按本政策处理文件中实际包含的内容；请只上传就医需要的报告。
我们会记录上传人、上传时间，以及你填写的标题、类别、报告日期、医院、科室和备注。
只有档案主人和获得授权的家属可以查看；在档案主人确认其查看权限前，协助记录的家属只能看到自己上传的报告。标记为“传错了”的报告会从报告列表中隐藏，之后只有档案主人还能看到这条记录，并可在导出中取得原件。档案主人可以彻底删除这类报告：删除后原件和缩略图会从存储中移除，导出中也不再包含。
8. 中药药方记录
你或获得授权的家属可以记录中药药方：每次药方的开方日期，以及每味药的药名和数量（袋数或克数）。未写数量的按 1 袋保存。我们保存录入时原样输入的文字、确认后的药名、录入人和录入时间。
药名和原样输入的文字是自由文本，请只填写药方本身。我们只用这些记录做保存、展示、与上一次药方对比、统计每味药出现在哪几次药方上及其间的时段，以及在趋势图上标出开方日期；不判断配伍、剂量或疗效，也不推断任何测量变化与药方有关。
修改药方会生成新版本并保留修改前的版本；标记为“录错”的药方会从列表中隐藏，并保留标记原因、标记人和标记时间。查看范围与测量记录相同：在档案主人确认其查看权限前，协助记录的家属只能看到自己录入的药方；修改前的版本和标记为“录错”的药方只有档案主人能查看。
二、数据属于谁
每一份健康档案都归被记录的那位成年人所有。
家属可以在取得本人许可后，先替本人建立只包含称呼、出生年份、性别和时区等基本信息的待认领档案。在本人认领档案、成为档案主人并同意当时有效的隐私政策之前，任何人都不能向该档案写入健康测量记录。
- 认领前，建档家属可以查看和更正基本档案信息，并生成认领链接；
- 认领并同意隐私政策后，建档家属可以在其权限范围内协助记录；档案主人确认其查看权限前，该家属只能看到自己录入的记录。档案主人可以批准其查看完整记录，也可以拒绝或随后撤销权限；
- 每次我们要求同意新版隐私政策时，档案主人和实际录入者都必须先同意新版，才能继续写入新的健康测量记录或药方记录。
除上述待确认家属只能查看自己录入的记录、自己上传的报告和自己录入的药方的有限情形外，除档案主人外，只有获得档案主人明确授权的家属或护理人员才能查看完整数据。 档案主人拒绝或撤销权限后，对方无法再读取该档案的任何健康记录。
三、你可以随时停止共享
档案主人可以随时撤销任何一份授权，撤销立即生效：对方从那一刻起无法再看到这份档案的任何记录——包括他自己曾经代录的内容。
被授权的家属也可以主动退出，撤销自己对某份档案的访问权。
撤销记录会作为历史保留（谁在何时撤销了谁），但不再赋予任何访问能力。
四、我们如何使用这些数据
我们只在提供和保护本服务所必要的范围内使用这些数据，包括：
- 建立账号、验证登录、维持会话并保障账号安全；
- 保存档案、测量记录和药方记录，向档案主人及其授权的人展示记录与趋势；
- 生成手机号派生标识符、接收访问申请，并让档案主人批准或拒绝申请；
- 生成并验证认领或共享邀请，执行授权、撤销、导出和删除请求；
- 排查故障、回应支持请求、防止滥用，以及履行适用法律要求。
我们不会：
- 将你的健康数据出售、出租或提供给第三方用于营销；
- 用你的健康数据投放广告；
- 在未获授权的情况下让任何其他用户看到你的数据。
五、数据存储、处理与安全
- Vercel 为本服务提供应用托管和运行基础设施，Supabase 提供托管的 PostgreSQL 数据库，Resend 是本服务配置的交易邮件服务商。它们是我们的服务商和数据处理者，代表我们处理提供服务所需的信息，并可能使用各自的分包处理者。交易邮件可包括邮箱验证、一次性登录链接和服务通知。
- Vercel、Supabase 及其分包处理者可能在你所在省份或加拿大境外存储或处理你的信息，信息可能因此受到外国法律下的合法访问。
- Resend 及其分包处理者也可能在你所在省份或加拿大境外处理交易邮件相关信息，信息可能因此受到外国法律下的合法访问。
- Cloudflare 为上传的医疗报告原件提供对象存储（R2）。这些文件配置为存放在 Cloudflare 位于北美地区的存储设施，只能通过本服务签发的时效链接访问，不设公开地址。Cloudflare 及其分包处理者可能在你所在省份或加拿大境外存储或处理这些文件，文件可能因此受到外国法律下的合法访问。
- 传输过程使用 HTTPS 加密；登录使用会话 Cookie；认领和共享邀请链接中的凭据在数据库中只以哈希形式保存。
- 我们会持续保存你的健康记录，直到档案主人删除档案或注销账号，或法律要求我们另行处理。健康记录用于呈现长期趋势，我们不会仅因时间经过而主动使其过期。
如果发生涉及个人信息的安全保障措施泄露，我们会保留法律要求的记录，并在法律要求时向相关隐私监管机构报告及通知受影响的个人。
六、访问、更正与删除
访问和更正请求
你可以书面联系第十一节所列的隐私负责人（Privacy Officer），请求访问我们持有的与你有关的个人信息，或更正不准确、不完整的信息。我们可能需要验证你的身份后再处理请求。我们会在适用法律规定的期限内回应；根据 PIPEDA，通常为收到请求后 30 天，但可能适用法定例外或延期。若我们依法不能满足全部请求，会在法律允许的范围内说明理由和可用的后续途径。
健康记录的更正
目前不能在应用内直接编辑健康测量记录。如需更正，请书面联系隐私负责人。我们会按照适用法律，在核验申请人身份和相关事实后，根据能够实际核实的信息处理请求并告知结果。
中药药方可以由当前版本的记录人或档案主人在应用内修改（保留修改前的版本，修改后的新版本记在修改人名下），或标记为“录错”（保留标记原因、标记人和标记时间）。
在应用内删除档案
档案主人可以先将档案归档，再在应用内彻底删除它。删除后，该档案的测量记录、中药药方、上传的医疗报告原件和共享授权会一并从我们的活动系统中删除，此前被授权的家属立即失去访问，删除无法撤销。删除前可以先导出该档案的数据。服务商备份和依法保留记录的边界与下文注销账号相同。
注销账号与删除
你可以发送邮件至 hello@kinvitals.app 申请注销账号。注销后，你拥有的健康档案、测量记录以及不再需要的账号信息会从我们的活动系统中删除，此前被授权的家属也将失去访问。上传的医疗报告原件和中药药方记录随所属档案一起删除。
删除并不意味着所有副本会在同一时刻从每一处消失。有限信息可能在服务商备份中保留至正常轮换，也可能在安全日志、依法保留的安全保障措施泄露记录，或其他法律要求保留的记录中继续存在。在这些情形下，我们会限制其使用，并在保留目的消失后按适用流程删除或去标识化。
七、导出你的数据
档案主人可以导出该档案的数据，包括档案信息、测量记录和授权历史。当前导出是与部分 FHIR 概念和代码对齐的结构化 JSON，不是可直接导入临床系统的 FHIR Bundle；另一个系统在导入前可能需要进行映射、验证或格式转换。导出内容包含医疗报告原件的记录信息，以及有效期 24 小时的原件下载链接；也包含全部中药药方，包括修改前的版本和标记为“录错”的药方。
八、成年人试点
本次试点仅供年满 18 周岁的成年人作为账号持有人和档案主人使用，也只允许为已同意建立基本档案的成年人创建待认领档案。本服务目前不提供儿童账号，也没有监护人、代理人或其他替代决策者代替本人作出隐私同意或认领档案的流程。
九、重要边界
KinVitals 用于记录、整理和展示健康趋势，不提供医疗诊断或治疗建议，不是医疗器械，也不适用于紧急情况。任何健康疑虑请咨询合资格的医疗专业人员；紧急情况请立即拨打当地急救电话。
界面中出现的任何数值提示都只是对你自己录入数据的呈现，不构成医学判断。趋势图可能在读数旁展示公开发布的一般成人参考区间，仅供参考；本服务不会把任何一次读数与之比对，也不会据此发出提示。趋势图也可能标出开出中药药方的日期，仅供对照；本服务不判断任何读数变化与药方有关，也不对药方的配伍、剂量或疗效作出判断。
十、政策更新
本政策的重大变更（尤其是涉及收集范围或共享方式的变更）会在生效前通过邮件或应用内提示告知你。每次更新都会在本页面标注新的生效日期。需要同意新版政策时，系统会在继续写入新的健康测量记录或药方记录前要求档案主人和实际录入者分别同意。
十一、联系我们与投诉
对本政策有任何疑问，或需要行使访问、更正或其他隐私权利，请书面联系 Dynamics Tech Ignite Inc. 隐私负责人（Privacy Officer）：hello@kinvitals.app。
如果你对我们的处理不满意，请先联系隐私负责人，以便我们调查和回应。之后，你可以向加拿大隐私专员办公室（Office of the Privacy Commissioner of Canada），或在适用情况下向相关省级隐私专员投诉。