本页目录
1. 适用范围、运营者和重要定义
本政策适用于 Fly Design 提供的家庭药箱（MedCabin）移动应用及其产品网站。Fly Design 是产品工作室名称；具体发行者以你下载应用的商店开发者信息为准。“档案”指你建立的药品、家人、就诊、健康记录及其附件。“处理”包括录入、读取、保存、识别、修改、删除、加密和你主动发起的传输。
隐私联系邮箱：flydesign.app@gmail.com。本政策区分应用内本地处理、你授权的设备间传输，以及操作系统或应用商店独立提供的服务。
2. 我们处理的信息类别
为了提供药箱和就诊整理功能，应用可能处理以下信息：
- 家庭成员信息：称呼、关系、年龄层、适用对象标签和你填写的备注；年龄层不是精确年龄画像。
- 药品档案：药品名称、商品名、通用名、规格、剂型、成分、功能主治摘录、用法用量摘录、批准文号、上市许可持有人或生产企业、批号、生产日期、有效期、存放位置、库存数量、处方药/适用对象标记、过敏或其他备注。
- 影像和编辑结果：你拍摄或从相册选择的药盒、说明书和就诊材料照片，以及裁剪、旋转、标注、压缩后的副本。
- 编码和链接：商品条码、药品追溯码、二维码、包装上的网址及应用生成的查询链接。
- 就诊记录：就诊时间、主诉或症状、检查材料、检查结果、医生或医疗机构信息、开药记录和你主动输入的健康备注。
- 日历和提醒事件：日历授权状态、系统返回的日历或账户名称、应用创建或关联的事件 ID、事件标题、开始和结束时间、时区、备注、地点（仅在你填写或功能需要时），以及创建、更新、删除和同步状态。我们不会以此读取与你选择的提醒无关的日历事件。
- 语音输入：仅在你按下语音输入并授权麦克风时采集的语音及其转写文字。
- 购买和权益信息：应用商店交回的商品 ID、购买状态、交易时间、订阅或买断权益结果；支付卡号、银行账户和完整付款凭证由应用商店处理，我们不读取。
- 技术信息：操作系统、应用版本、权限状态、网络连接结果和为诊断错误所需的最少日志；这些日志保存在本机，除非你主动发给我们。应用使用的 Google ML Kit 文字识别组件还会向 Google 发送有限的诊断和使用数据，见第 6 条。当前版本不以广告为目的收集精确位置、联系人、短信、通讯录或跨应用广告标识。
3. 信息来源和收集方式
信息来自你填写或修改的内容、相机和相册操作、扫描、系统语音输入、就诊记录、条码和日期解析、本机 OCR、你导入的备份或从另一台设备传来的档案，以及应用商店为完成购买返回的商品和权益结果。应用提供本机图片识别，识别过程在设备上完成。
应用不会在后台拍照、录音或读取相册，也不会因安装自动建立账号。应用锁、密码退避和生物识别只保护本机入口，不会把密码或生物特征发送给我们。
4. 权限和使用目的
应用只在功能需要时申请相机、麦克风、语音识别（iOS）、通知、生物识别、本地网络和日历权限。在 Android 13 及以上版本，开启互传临时热点需要「附近的 Wi-Fi 设备」权限，应用声明不用它推断位置；加入二维码中的热点时，系统会请你确认。在 Android 上，应用还会在设备重启后重新登记你已设置的本地提醒通知，这项系统权限不会单独弹窗询问。Android 选图使用系统 Photo Picker；设备不支持时使用系统文件选择器，仅访问你选择的照片，不申请读取整个照片库或视频库的权限。其他平台的照片访问由系统选择器和权限设置控制。日历功能须经你明确授权，应用只读取必要信息，并在你选择的日历中添加、更新或删除药品过期和就医提醒事件；撤销权限后停止后续同步。
麦克风仅用于你主动发起的系统语音输入。处理目的包括本机药品整理、库存和就诊时间线、PDF 导出、本机 OCR、系统语音和条码功能、导入导出、设备互传、手表摘要、日历提醒、应用安全、商店购买和故障诊断。我们不将健康档案用于广告、画像或出售。
5. 本机处理和数据流向
药品档案、家庭成员资料、就诊记录、照片编辑、条码解析、本机 OCR、PDF 生成、应用锁、密码哈希和本机加密均在设备上完成。Fly Design 不建立账号体系，不提供云同步，不上传、不接收、不托管你的药品、健康、家庭成员、照片或就诊档案，也不使用第三方云存储保存这些档案。
只有在你主动导出、分享、打印、设备互传、开启手表摘要、打开外部网站、完成应用商店交易，或授权系统日历和系统语音时，相关信息才可能由你选择的接收方或系统服务处理。这不构成 Fly Design 上传或云端托管用户档案。
6. 本机 OCR、系统语音和准确性
图片识别：应用只提供本机 OCR。PaddleOCR、ONNX Runtime、Google ML Kit 或 Apple Vision 等本机组件分析照片；药盒和就诊材料不会为识别而发送给 Fly Design 或识别服务商服务器。首次使用图片识别时，应用会从 PaddleOCR 维护方百度运营的公共存储下载模型文件；该服务器可能位于你所在国家或地区之外，会收到你的 IP 地址和常规请求信息，但不会收到照片、文字或档案。操作系统也可能自行下载系统识别资源。
ML Kit 诊断数据：应用用于文字识别、照片方向判断和 Android 条码扫描的 Google ML Kit 会向 Google 发送设备信息（如厂商、型号、系统版本）、应用包名和版本、不用于识别你本人或设备的单次安装标识、性能指标、接口配置、事件类型和错误码，用于诊断和使用分析。据 Google 说明，这些数据传输时加密，不与第三方共享，不包含你的照片、识别出的文字或档案，由 Google 按其政策处理。
Android：应用通过系统 SpeechRecognizer 接口调用设备选择的语音识别服务。服务可能由 Google、设备厂商或用户配置的提供方提供；是否联网取决于该服务、语言和设置。
iOS：应用调用 Apple 系统语音识别。设备、语言和系统能力决定能否在本机完成；系统服务也可能使用 Apple 服务器处理音频。
设备兼容性：系统语音的可用性和处理方式取决于操作系统、所选服务、语言和设备设置。不具备兼容语音接口时，你可以使用键盘输入。你自行使用的输入法语音功能由输入法提供方管理。
应用仅在你主动开始并授权后启动语音输入，使用返回的文字填写当前内容，不建立自己的录音云端库，也不另行接入独立云语音服务。系统服务可能处理音频，我们不能保证系统语音绝对离线。你可以停止语音、撤销权限或始终手工输入。OCR 和转写结果必须由你核对，不是医疗结论。
7. 外部查询、备份、分享、设备互传、手表摘要和日历同步
扫描商品条码、追溯码或包装链接后，你可以选择打开药品监管机构、商品编码服务或包装所示的第三方网站。可用查询服务取决于编码、包装链接及所在地区。你确认后，应用先用一次轻量请求检查链接的跳转和文件类型，再在应用内网页中打开。这些请求直接发送给对应网站，网站可能看到 IP、设备和请求参数；我们不控制其内容或隐私规则。
导出备份、PDF 或就诊材料时，应用调用系统文件和分享能力。你选择的邮件、网盘、即时通信、打印机或其他目标会收到你确认发送的文件。文件离开本机后，我们无法控制复制、转发、截屏、云备份或保留期限。推荐家庭药箱给朋友时，只会通过你选择的应用发送推荐文案、海报和官网链接，不包含药名、照片、健康档案或配对密钥。
当你启用提醒与日历功能并授权后，应用只会在你选择的日历中创建或关联药品过期提醒、就医提醒，并保存必要的事件 ID 以便更新或删除。应用应只操作自己创建或由你明确关联的事件，不会批量删除无关的个人事件；你撤销日历权限后，未来同步会停止，但此前已经写入系统日历的事件不一定会自动删除，你可以在应用（若提供该操作）或系统日历中单独删除。
日历服务可能将事件同步到 Apple、Google 或其他日历提供商的账户和设备，其处理、备份、跨境传输和保留受相应服务政策控制。两台设备互传须由你明确开始，并当面扫码配对；你选择的数据加密后，在两台手机之间直接传输：两台在同一 WiFi 时走该网络；不在时，Android 发起方可自动开启一个不共享上网的临时热点，热点名称和密码写入本次二维码，扫码的一方经系统确认后自动加入，同步结束后关闭或退出；两台都是 iPhone 时，也可通过 Apple 的近距离直连（MultipeerConnectivity，经蓝牙和点对点 WiFi）传输。设备名称和本地网络地址仅用于该次连接。传输不经过 Fly Design 服务器，完成后应用也不会把档案上传到 Fly Design 服务器。
手表摘要：手表伴侣默认关闭，须你在设置中选择成员并同意后才会开启。开启后，手机只从所选成员（以及你允许的未分配药品）中整理已过期或 30 天内到期的药品、30 天内的复诊，最多包含三条详情和其余事项的数量：药品只含药名、有效期、存放位置和关联成员；复诊只含成员、日期时间、医院和科室；不包含库存、照片、诊断或医嘱。摘要通过 Apple Watch 的系统连接（WatchConnectivity）或 Wear OS 的 Google Play 服务数据层发送到你配对的手表，由系统经蓝牙或网络传输，不经过 Fly Design 服务器。手表会保存最近一次摘要，离线或手机上的药箱锁定时仍可查看，请为手表设置设备密码。关闭同步后，手表要在下次连接手机时才会清除旧摘要；无法立即清除离线手表上的内容，你也可以从手表上删除应用。
8. 本机加密、应用锁和安全措施
本地加密范围：启用后，应用使用 AES-256-GCM 认证加密保护家庭档案文件以及应用管理的药品照片、说明书照片、家人头像、就诊材料和保存的 OCR 记录。启用时会加密应用管理范围内的文件，后续写入遵循该设置。解密会校验完整性，错误密钥或篡改的密文会被拒绝。图片优化在解密后进行，再按当前设置加密保存；医疗材料原件不参与有损空间优化。
密钥与应用锁：随机 256 位数据密钥保存在本机系统安全存储中；不写入可携带备份。应用密码保存为带盐的 Argon2id 校验值，连续失败触发递增等待，等待期间密码和生物识别均不能解锁。生物识别由系统验证，我们不接收原始指纹或面容。应用锁是入口控制，并不等同于由该密码加密包裹数据密钥，也不保证锁定后所有运行内存都被擦除。
备份与互传：导出的备份始终采用独立密码、Argon2id 密钥派生和 AES-256-GCM 加密，与本地加密开关无关。应用支持导入明文备份；导入后按接收设备当前设置保存，原始文件不会自动加密。设备互传要求扫描本次会话二维码，使用临时密钥协商和认证加密保护内容并拒绝重复消息。二维码含配对秘密，不应公开转发。
边界：文件名称、大小、部分偏好设置和技术元数据不全部隐藏。运行内存、系统 OCR 所需的临时工作副本、系统相册原图、授权写入的日历事件、主动分享的 PDF 及其他应用持有的副本，不受本地文件加密开关统一保护。临时解密工作副本会在操作结束时清理，异常退出的残留在下次启动清理；不承诺闪存取证级擦除。
应用配置为将其档案目录排除在支持平台的自动系统备份之外，并使用本机限定的安全存储设置；系统版本、厂商实现和已存在的历史备份仍可能影响实际行为。加密降低风险但不能保证绝对安全。请妥善保管独立备份密码，并验证备份可恢复；我们不持有你的数据密钥或备份密码，不能代为恢复丢失的密钥。
9. 第三方组件和独立处理者
应用使用 Google Play Billing/Apple App Store、相机、照片、通知、生物识别、系统语音、系统分享、系统日历、Apple WatchConnectivity 与 Wear OS 数据层、PaddleOCR、ONNX Runtime、Google ML Kit、PDF/打印组件及你主动打开的外部查询网站。组件可能随系统、商店或依赖版本更新。
本机识别组件不会将档案发送给供应商；Google ML Kit 只发送第 6 条所述的诊断数据。应用商店只处理交易所需商品和权益信息；系统日历、系统语音、手表连接通道、分享接收方和外部网站仅在你主动启用或访问后按其自身政策处理收到的信息。我们不通过 SDK 建立广告画像。
10. 存储地点、期限和删除
默认存储地点是你的设备应用目录和你选择的系统相册/文件位置。档案保留到你删除条目、清空应用数据、删除备份或卸载应用；为完成当前操作而产生的临时图片、网络响应和缓存会在功能完成或失败后按实现需要清理，但系统或第三方缓存不一定由我们控制。
若你启用日历提醒，应用会在本机保存与提醒记录的关联信息（例如日历 ID、事件 ID、来源记录 ID 和最近同步状态），保存到对应药品或就诊记录被删除、解除关联或你要求清理为止。删除应用内记录、关闭功能或撤销权限，不会自动删除系统日历或其云端副本；已写入日历的事件需要你在应用提供的清理操作或系统日历中分别删除。
删除应用内的药品、成员、就诊或照片只会删除应用管理范围内的副本；已经导出、分享、打印、导入另一设备或保存在系统备份中的副本需要你分别删除。因法律、争议处理、安全审计或商店交易而必须保留的最少记录，会在必要期限届满后删除或去标识化。
11. 共享、委托处理和法律披露
我们不会出售、出租或以广告交换你的药品和健康信息，也不会将你的档案上传或委托第三方云存储。除你明确选择的分享、备份、打印、设备互传、系统语音、系统日历、应用商店购买或外部网页访问，以及法律要求外，我们不会主动共享档案。
12. 敏感个人信息和未成年人
健康、药品和就诊资料可能受你所在地区对敏感信息的特别保护。你自愿选择在本机记录这些内容；为他人建立档案前，请取得必要授权。我们不使用内容推断保险资格、信用或投放广告。
应用面向成年人管理个人与家庭资料，不面向儿童独立注册或使用。监护人可在符合法律并取得必要同意的情况下管理儿童资料，只录入必要内容。各地区对儿童年龄、监护人同意和健康信息有不同规定，应适用当地要求。若发现不当记录，请先在本机删除或更正，并通过联系邮箱寻求操作帮助；我们无法远程访问该档案。
13. 你的权利和请求方式
依适用法律，你可能享有访问、更正、删除、复制和可携带、限制处理、反对处理、撤回同意，以及向当地数据保护机构投诉的权利。你可在应用内管理本地档案，在系统设置撤销权限，在系统日历管理已经写入的事件。撤销权限不会自动删除之前产生的外部副本。
Fly Design 不持有你的本地健康档案，不能从服务器检索、远程删除或解锁它们。对于你主动发送的支持邮件或我们实际持有的其他信息，可通过 flydesign.app@gmail.com 行使权利。我们只要求与请求相称的必要核验，按适用法律期限答复；不会仅因你行使隐私权而歧视你。拒绝或限制请求时会说明依据，并提供适用的申诉方式。
我们不出售或共享健康档案用于跨情境行为广告，也不对档案作产生法律或类似重大影响的自动化决策。不同地区法律赋予的额外权利继续适用。
14. 跨境、网络和安全事件
本机档案、本机 OCR 和本机加密不产生 Fly Design 发起的跨境传输。Google Play、Apple App Store、Google ML Kit 诊断服务、PaddleOCR 模型下载服务器、你主动打开的外部网站、你主动选择的分享目标、系统日历和系统语音服务可能依其基础设施、账户设置和政策处理它们收到的信息，包括在其他地区处理；这不改变 Fly Design 不上传、不托管用户档案的承诺。
如发生可能影响我们处理的个人信息安全的事件，我们会按适用法律采取遏制、修复、通知和报告措施。
15. 政策更新和联系我们
功能、法律或安全措施变化时，我们可能更新本政策。重大变化会以适当方式提示并标注生效日期；依法需要重新同意时，会在相关处理前取得同意。各语言版本旨在具有相同含义；解释差异不会削减适用法律给予你的保护。
隐私问题或请求请联系 flydesign.app@gmail.com。请勿通过邮件发送密码、完整病历或无关敏感信息。你主动发送的邮件将由邮件服务处理，用于答复、解决问题及必要的争议或法定义务，完成目的后删除或最小化保留。
网站不会读取应用中的本地档案。当前网站仅展示产品和法律信息，不提供在线账号、上传、云同步或用户档案托管。当前页面不嵌入广告或第三方网页字体服务；网站统计仅在你主动同意后启用，见第 16 条。与多数网站一样，我们的网站服务器和提供网络分发的 Cloudflare 会自动记录 IP 地址、访问时间、请求页面、浏览器标识和来源页面等技术信息，用于提供网站、防范滥用和排查故障。这些日志只用于安全和运维，不与应用档案关联，仅在上述目的所需期间保留。
16. 网站统计
家庭药箱（MedCabin）App 不接入行为分析工具，也不会向网站统计服务发送药品或健康档案。本节仅适用于 Fly Design 官网。
官网仅在你主动同意后加载 Umami Cloud 脚本 https://cloud.umami.is/script.js，用于了解页面浏览、按钮点击、内容曝光、滚动深度、前台停留及有效阅读时间估算，以及访问来源，以改进内容和下载入口。有效阅读时间是根据页面可见状态和近期交互估算的，不代表实际读懂内容。
我们向统计服务发送规范页面、固定页面标题、稳定内容 ID、屏幕与浏览器语言信息、来源域名及固定白名单内的营销参数；不发送任意网址参数、完整来源网址、邮箱、输入内容或健康档案，也不调用 identify 或设置网站用户账号 ID。即使不使用分析 Cookie，提供脚本和接收请求的 Umami 仍会收到 IP 地址等网络信息；“无 Cookie”不等于不涉及个人信息。
你的选择以 flydesign.analytics.v1 保存在本机 localStorage 180 天。拒绝或撤回不影响阅读、切换语言或下载，可在页脚“隐私设置”重新选择。撤回会停止后续统计并丢弃待发送事件，已发出的请求无法撤回；同意前的行为不会补报。
Umami 公布的免费方案数据保留期为六个月，实际以服务设置为准；网站代码无法替服务方执行或保证删除。隐私请求可发送至 flydesign.app@gmail.com。