小花 Xiaohua 隐私政策

一、总述

「小花 Xiaohua」（以下简称"本应用"）是一款面向中医与中医爱好者的临床参考手册，提供节气、五运六气、黄历、月相、天气与生辰八字等快捷查阅，古籍（含条文诵读分级）/ 方剂 / 中药 / 穴位资料库阅读，以及笔记与病历夹记录能力。

核心原则：当前版本不要求注册账户，也不含第三方广告与统计 SDK；你的笔记、病历等内容保存在你的设备上。iCloud 同步默认开启：内容在设备端加密后只同步进你自己的 iCloud 私有数据库（由 Apple 托管），开发者读不到你的数据；可随时关闭。

各平台的数据处理差异：安卓版见第十节，网页版见第十一节；iOS 版以第一至九节为准。

二、我们收集的信息

当前版本我们不收集个人信息。本应用当前不要求账号注册与登录，也没有任何形式的用户行为追踪或广告标识（IDFA 等）。你主动记录的笔记与病历内容不属于"收集"：它们保存在你的设备上；iCloud 同步默认开启，开启时加密后仅存在于你自己的 iCloud 私有数据库中（见第五节"iCloud 同步"）。

• 不收集：姓名、联系方式、设备标识、使用行为、位置历史等均不作为应用数据被收集上传。
• 不收集统计与分析数据：当前版本不采集任何使用统计或分析数据（如使用时长、页面访问、点击行为等）。
• 不接入：当前版本不含第三方统计、崩溃上报或广告 SDK。

三、定位信息（仅天气功能，按需请求）

仅当你主动在天气功能中点击「使用当前位置」时，本应用才会请求系统定位权限，用于查询当前位置的实时天气。除此之外，应用不会访问你的位置。

• 定位结果仅用于查询当前位置的实时天气，不在本应用内留存位置记录。
• 你可以随时在系统设置中关闭本应用的定位权限；关闭后应用仍可使用内置城市目录（数十个常用城市）查询天气。
• 不使用时，应用不会在后台请求定位。

四、网络请求（天气与 iCloud 同步）

未开启 iCloud 同步时，本应用唯一的网络请求用于获取实时天气与预报，使用苹果系统提供的天气服务完成；触发条件：你在天气功能中主动查看天气。开启 iCloud 同步后，应用会额外与苹果的 iCloud（CloudKit）服务交换你的加密数据，用于在你自己的设备之间同步，详见第五节。

• 请求内容：城市坐标（来自内置城市目录或你的定位），经苹果系统通道处理，不经过任何第三方天气服务商。
• 内置资料库（古籍/方剂/中药/穴位）与历法推算全部在设备本地完成，无需联网。
• 帮助中心与小组件均不收集数据：帮助中心为应用内置说明内容；桌面小组件（今日黄历、五运六气、节气、快捷入口、阅读、资料查阅、笔记、新建笔记、病历夹）仅展示设备本地数据，不发起网络请求。

五、用户数据的存储与安全

• 存储位置：笔记、病历、患者、偏好等数据存储于设备本地（SQLite 数据库与系统偏好存储），设备是数据的主存储，断网时应用完整可用。开启 iCloud 同步时，内容数据会经加密后通过你自己的 iCloud 私有数据库在你的其他设备间同步；应用偏好中的外观、语言与两个显示开关自 1.0.7 起经iCloud 键值库同步（与内容同步共用「我的 → 设置」里的同一个同步开关），笔记/病历草稿不参与同步，始终只留在本机。
• 图片加密：笔记/病历中的图片保存于应用文档目录，使用 AES-256-GCM 加密，密钥存放在系统钥匙串（Keychain）中；参与同步的图片即以这份密文原样上传。
• 文本加密：笔记、病历、患者信息与阅读数据的内容会在设备端经 AES-GCM 加密后再上传 iCloud，云中存在的始终是密文。
• 语言切换不影响数据：界面支持简体中文、繁體中文与英文，切换即时生效；语言设置仅改变界面显示（英文界面下内容仍保持中文），不会改变、迁移或删除任何数据。
• 诵读分级为内置数据：条文诵读级别（一级/二级/三级）随古籍资料内置于设备，本地读取展示，可在「我的」中关闭显示，不涉及任何网络请求。

iCloud 同步（可选）

• 同步范围：笔记、病历、患者信息及其图片，以及阅读数据——阅读进度与字号、阅读主题、章节与条文书签、中药/穴位/方剂收藏、阅读高亮、最近查阅与浏览历史。不同步：笔记/病历草稿，以及天气城市、笔记排序与正文字号，它们只留在本机。
• 偏好同步（1.0.7 起）：外观、语言、笔记入口开关与诵读分级开关四项，存放于你 iCloud 账户的键值库（Apple 的 iCloud Key-Value Store）并在你登录同一 Apple 账户的设备间同步，不含任何你记录的内容。它与内容同步共用同一个同步开关：关闭 iCloud 同步即停止（本机偏好不受影响）。同步开关自身、首启告知确认位与引导完成位不同步——否则新设备会跳过首次个人信息处理告知。
• 数据去向：同步的数据进入你自己的 iCloud 私有数据库，由 Apple 托管，只有登录同一 Apple 账户的设备能读取。同步内容在设备端加密后才上传，开发者无法读取你的数据；iCloud 的托管安排与区域由 Apple 决定（中国大陆 Apple 账户的 iCloud 服务由苹果关联方"云上贵州"运营）。
• 端到端加密：文本内容与图片均在离开设备前完成 AES-GCM 加密，云中只存密文；同步所用的加密密钥同样只存放在你自己的 iCloud 私有数据库中，供你的其他设备解密。
• 默认开启 + 首装告知：同步功能上线时默认开启，但首次安装会有一屏告知，说明同步的范围与方式，你可以直接选择关闭；关闭后不再上传数据，本地数据不受任何影响，应用仍完整可用。
• 首启个人信息处理告知（1.0.7 起）：全新安装后第一次打开应用，会先以三页引导的第一页以显著方式呈现个人信息处理规则要点——数据保存在本机并加密、iCloud 同步默认开启（内容在本机加密后才上传到你自己 Apple 账户的 iCloud 私有库，开发者无法读取）、位置与提醒事项权限的用途，并提供《隐私政策》全文入口；同步范围与关闭方式在同一流程的第三页逐条列明。该告知沿用既有首装告知口径，只提供「继续 / 跳过」，不设拒绝分支：不开启同步即可纯本机使用。存量用户升级不会被再次打断。

六、你的数据控制权

• 删除本机数据：卸载本应用会清除设备上的全部应用数据（系统会移除应用沙盒内容）；也可在应用内逐条删除笔记、病历与患者。
• ⚠️ 卸载 ≠ 清除 iCloud：若你曾开启 iCloud 同步，卸载应用不会删除已同步到 iCloud 的数据——它们仍保留在你自己的 iCloud 私有数据库中（这是 Apple CloudKit 的既定行为）。如需彻底清除，请在卸载之前先执行下一条，或卸载后另行前往系统设置删除。
• 导出：笔记、病历均为标准文本/结构数据，可在应用内查看、复制或通过分享菜单导出。
• 删除云端数据（如已开启 iCloud 同步）：有两条路径——① App 内：「设置」页 →「从 iCloud 删除我的数据」，仅删除你的 iCloud 私有数据库中的数据，不删除本机数据，操作不可撤销；② 系统设置：iOS「设置」→ 顶部 Apple 账户 → iCloud →「管理储存空间」中找到「小花」删除其 iCloud 数据，或在其中关闭本应用的同步、退出 Apple 账户。
• 关闭同步：应用内「设置」页可随时关闭或重新开启 iCloud 同步；关闭只停止上传与下载，不删除本地数据。
• 你的数据始终由你自己控制——分别在你自己的设备本地与你自己的 iCloud 私有数据库中；开发者无法读取其中的内容。

七、第三方服务

• 苹果系统天气服务：天气数据由苹果官方服务提供，遵循苹果公司的隐私政策。
• Apple iCloud（CloudKit）：仅在你开启 iCloud 同步时使用，用于托管你加密后的数据；遵循苹果公司的隐私政策。
• 当前版本不集成任何第三方广告、统计或追踪 SDK。

八、儿童隐私

本应用面向中医从业人员与爱好者，不含不适宜内容（App Store 年龄分级 4+）。我们不会有意收集未满 13 周岁儿童的个人信息；未成年人请在监护人指导下使用。

九、政策更新

若本隐私政策发生变更，我们会在本页面公布更新后的版本，并更新顶部日期。重大变更（如引入账号体系或云同步）会通过应用内提示告知。

九之二、保存期限与你的权利

保存期限

• 本应用不设服务端，我们（开发者）不保存你的任何个人信息，因此不存在"开发者侧的保存期限"。但数据仍存放在你自己的设备与 iCloud 中，保存多久由你决定。
• 你的设备：保存到你删除该条内容或卸载应用为止；应用内逐条删除，或卸载应用即清除本机全部数据。
• 你自己的 iCloud 私有数据库（仅在你开启同步时）：保存到你主动清除为止——卸载应用不会删除它。删除路径见第六节。
• ⚠️ 务必留意：卸载应用只清除本机数据，不会同步删除 iCloud 中的副本。若要彻底清除，请在卸载之前先在应用内执行「从 iCloud 删除我的数据」，或卸载后到系统设置中删除。
• 定位信息不保存：仅在天气页你主动点击「使用当前位置」时用于当次查询，不落盘、不上传。

你对自己个人信息享有的权利与行使方式

• 查阅、复制：应用内直接查看；笔记/病历支持复制与分享导出。
• 更正、补充：应用内直接编辑。
• 删除：应用内逐条删除；或在「设置」页删除云端数据；或卸载应用清除本机全部数据。
• 撤回同意：「设置」页关闭 iCloud 同步即撤回同步同意；在系统设置中关闭定位权限即撤回定位同意。撤回不影响撤回前已进行的处理。
• 解释说明：对本政策有疑问可邮件联系（见第十二节）。

我们不因你拒绝或撤回同意而拒绝提供离线功能：关闭同步或定位后，笔记、病历、古籍、资料库等本地功能完整可用。

关于你录入的患者信息（重要）

• 本应用是供医疗专业人员与爱好者使用的记录工具。若你在执业中用它记录患者信息，你是该等信息的处理者，应由你（而非本应用的开发者）依法向患者履行告知并取得同意。
• 我们不经手、不存储、无法读取你录入的任何患者信息：数据只存在于你的设备与你自己的 iCloud 私有库（端到端加密，密钥仅存于你的设备）。我们的角色仅为工具提供者，不构成患者信息的处理者或受托处理方。
• 请遵守你所在执业机构与当地法律法规关于病历记录与保管的要求，并对患者信息严格保密。

十、安卓版差异说明（Android / Google Play 与 APK 渠道）

本节只适用于安卓版，说明安卓版与 iOS 版在数据处理上的差异：安卓版以本节为准，第一至九节中涉及 iCloud / CloudKit / 天气 / 系统「提醒事项」的表述不适用于安卓版。安卓版不是 iOS 版的功能镜像：没有账号、没有云端同步、没有天气功能。

• 存储位置与范围：笔记、病历、患者资料与偏好全部保存在本机（应用私有 SQLite 数据库 cmpanel.db 与系统偏好存储），不存在任何上传通道；应用仅内置资料库与历法推算，可完全离线使用。
• 图片加密：笔记/病历中的图片在写入磁盘前经 AES-256-GCM 加密，密钥由 Android 系统密钥库（Android Keystore）生成并保管、不可导出；磁盘上只有密文。密钥不跨端、也不随应用数据导出：卸载应用或清除应用数据后，已加密图片无法再解密。
• 无账号、无同步：安卓版不提供 iCloud、CloudKit 或任何自建服务端同步；不同设备之间不会自动传递数据，开发者服务器不保存你的任何内容（实际上没有承接内容的服务端）。
• 权限清单（全部为可选，拒绝后应用仍可用）：POST_NOTIFICATIONS（通知，仅用于你为笔记设置的提醒到点时发出通知，不授权则提醒不会响、应用内数据不受影响）；SCHEDULE_EXACT_ALARM（精确闹钟，用于让提醒准时触发，未授权时自动降级为系统窗口提醒，可能有一定时间偏差而不是静默失效）；RECEIVE_BOOT_COMPLETED（开机广播，用于重启后恢复你已设置的提醒）。不申请位置、通讯录、日历、通话记录、后台定位、读取整个相册等权限；插入图片走系统照片选择器，应用只拿到你本次选中的那一张。
• 系统「提醒事项」镜像不适用：安卓版没有该功能（它是 iOS 的 EventKit 能力），提醒一律由小花自己发出本地通知，不会写入任何系统提醒应用。
• 天气不适用：安卓版当前未接入天气数据源，不存在任何天气网络请求；若未来接入，会在本节补充说明数据去向与所涉服务商。
• 备份与迁移：安卓版不使用官方导入/导出通道，数据的保存与迁移依赖系统级备份（Android Auto Backup，是否启用及备份到何处由你的系统与账号设置决定，开发者不经手）。请在换机前自行确认系统备份状态。
• 删除：卸载应用或「清除应用数据」会删除设备上的全部应用内容（含加密密钥，因而密文不可再解）；也可在应用内逐条删除笔记、病历与患者。删除不可撤销。
• 第三方服务与广告：安卓版不集成任何第三方统计、广告或数据上报 SDK；不收集设备标识，不做用户画像。
• 医疗健康信息：病历、患者资料属敏感个人信息，仅存储于本机、仅供你本人使用；小花是辅助记录工具，不提供诊断或治疗建议。
• 首启告知：全新安装后第一次打开会以三页引导的第一页显著方式呈现上述要点（存储本机并加密、无云端与账号、权限用途、完整政策入口），可跳过；跳过不等于不同意——不使用相关功能即不涉及对应处理。

十一、网页版差异说明（www.tcmabc.com/xiaohua）

本节只适用于网页版；iOS 与安卓 App 仍按前述各节执行。网页版有自建服务器，并提供独立的可选账号与端到端加密同步；App 与网页版的数据互不相通。

• 账号只要求用户名与密码（不收邮箱/手机号）；不登录也可完整使用本机功能。账号用于在你自己的浏览器/设备间同步笔记、病历、患者、阅读数据与图片。
• 服务器位于日本东京（Linode）。服务器保存用户名、密码的不可逆校验值、端到端加密后的密文、同步元数据（记录类型/实体 ID/更新时间/大小）、会话 Cookie 与访问日志（IP/时间/状态码，保留 7 天）；不保存明文笔记/病历、图片明文、密码或加密主密钥。
• 端到端加密：主密钥由密码派生（Argon2id）后只在浏览器内解包；忘记密码时用注册时生成的恢复码解包。两者都丢失时，云端数据无法解密。
• 本机数据：网页版把文本放在浏览器 IndexedDB（与 App 的本机明文存储同口径），图片写入前用 AES-256-GCM 加密。清除浏览器数据或换浏览器会丢失本机数据；可先登录同步或导出加密备份。
• 天气：查询坐标会发给本站服务器再转发给 Open-Meteo，不落库、不做用户关联。网页版不接第三方广告/统计/追踪 SDK；站点经 Cloudflare 代理时，Cloudflare 可看到常规请求元数据，但看不到端到端加密的内容。
• 你可以查看/复制/编辑/删除数据；登录后可立即同步、退出登录、删除账号与云端密文，或导出加密备份。选择账号同步即表示同意将上述加密数据与元数据存储于日本；中国大陆用户请自行评估跨境提供要求。
• 网页版同样是学习/记录工具，不提供诊断、处方或治疗建议；患者信息由你作为处理者负责告知与授权。

十二、联系我们

如对本隐私政策有任何疑问，可通过以下邮箱联系我们，也可在应用商店本应用页面留言反馈。

个人信息处理者：Da JI（个人开发者）
联系方式：见下方邮箱

（邮箱以图片显示，用于防止垃圾邮件抓取；点击图片即可发信。）