你的数据，
边界清楚可控。

注册和登录时，身份服务会处理邮箱地址、内部用户标识、登录与两步验证状态、会话和安全事件。邮箱与用户标识用于认证、把记录归属于正确账户、同步和账户安全。

当你填写资料或确认自己的报告时，我们会处理你主动提供的姓名或称呼、出生日期或年龄确认，以及可能填写的生理参考性别、身高和体重。这些资料用于成人资格校验、显示记录，并在有适用证据时选择年龄或参考性别相关的解释范围。

健康数据包括你确认保存的指标名称、数值、单位、采集日期、实验室参考区间、来源类型或标签，以及用于保持可追溯性的确认和导入元数据。报告导入还会向服务端发送不包含报告内容的技术元数据，例如文件类型、文件字节数、页数和解析器版本。

如果你使用“我的模型”，我们还会处理你主动填写的每日日期与时区、睡眠时长和自评质量、精力、压力、实际运动时长和强度、是否临睡前进食、蔬菜份数、含蛋白正餐数、酒精杯数及可选备注。这些记录只用于你的近期个人基线和透明、可复算的描述性统计；默认标记为不用于跨用户训练或聚合。

托管和安全基础设施可能处理普通网络请求信息，例如 IP 地址、浏览器或设备类型、请求时间、访问路径、响应状态和安全日志。我们使用这些信息交付和保护服务，不用于广告画像。

解析、核对与保存前的全部处理都在你的设备上完成；原始文件字节、页面图像、完整 OCR 文本和 PDF 密码不会发送给 PearHealth 服务器，也不会发送给第三方服务。开启「AI 复核」后发送的只有去标识化的结果表格文字和行坐标，用于第二次读取与对账；照片和相机图像没有任何离开设备的路径。

解析结果先在本机自动核对（文字层报告与高置信度识别行），你确认身份与日期后一次保存；没有通过核对的行会单独列出，由你决定是否保存。只有你确认保存的结构化记录才会进入账户云端；取消、关闭或解析失败不会把源文件转成云端附件。

网页和 iOS 的已确认报告观察，会在客户端使用账户专属数据密钥加密后再写入云端 vault。记录按账户隔离，并使用经过认证的加密来检测密文或上下文被篡改。服务端可以在经过认证和授权的产品读取路径中解密，以完成同步、历史趋势、解释和账户功能。

网页和 iOS 的手动录入通过经过认证的接口发送；明文只在处理该请求期间存在，服务端会在写入健康记录数据库前加密。旧版本已经写入按账户隔离明文表的历史记录目前仍会为了连续展示而读取，但新的报告导入和手动录入不会再向该表写入明文副本；历史迁移和删除会在完成独立的数据完整性审查后进行。

姓名、出生日期、参考性别、身高和体重等账户资料不应被理解为匿名数据：它们与用户标识关联，并由认证和数据库访问控制保护。任何互联网服务都无法承诺绝对安全；我们使用最小权限、账户隔离、传输加密、静态加密和安全日志来降低风险。

在 iOS 中，你可以逐项选择是否允许 PearHealth 从 Apple Health／HealthKit 读取睡眠、静息心率、心率变异性、呼吸频率、步数、活动能量、运动记录或血糖历史。权限是只读的；PearHealth 不向 HealthKit 写入数据。每日步数和活动能量采用 HealthKit 的累计统计；不同可读来源中重叠的睡眠墙钟区间只计算一次，冲突的阶段标签仅显示为通用“睡眠”。这些临时摘要不跨启动或账户保存，也不上传到 PearHealth、分析、广告或研究服务。

日历连接也由你选择。Add-only 模式只请求写入权限，并在你点击后把一条 wind-down 事件写入系统默认的新事件日历；该事件可能由其日历服务商同步。Full-access 模式在设备内读取未来日程，忽略已取消和标记为空闲的事件，只用忙碌、暂定或不可用事件推导临时冲突区间；PearHealth 不保留或上传事件标题、备注、参与者、地点、URL 或其他事件详情。关闭或切换连接会清除 App 内的临时忙碌区间。

App 内的睡眠和进食提醒使用本地通知，不需要日历权限。Oura、厂商远程 CGM 账户和其他可穿戴设备的远程连接当前未启用；HealthKit 中已有的血糖历史与远程厂商账户连接是不同的数据路径。

我们使用上述数据来认证账户、保存和同步记录、展示历史趋势、生成基于规则和已确认数据的教育性解释、提供安全支持，以及防止滥用。PearHealth 不把单项结果当作诊断，也不替代医生或紧急医疗服务。

Vercel 和 Supabase 等托管、数据库及认证服务提供商会代表 PearHealth 处理提供服务所必需的数据。我们不出售个人或健康数据，不向数据经纪商提供数据，不做跨 App 或跨网站追踪，也不使用健康数据投放广告。

研究处理默认关闭。“我的模型”的手工每日记录固定标记为不用于训练或聚合；拒绝研究不会减少产品功能。没有单独、明确且可撤回的同意和适用治理安排，我们不会把账户健康记录用于研究或通用模型训练。

可选研究聚合（默认关闭）

跨用户研究聚合默认关闭。只有在你于账户内明示选择加入后，客户端才会从已解密的金库会话派生一份去标识摘要，并提交到与金库分离的存储。该选择不会让服务器读取金库明文或密文。

去标识摘要仅包括出生年份五年分段、出生时性别、国籍代码、指标观测（目录编号、数值、规范单位、参考区间、月份）、身高体重分桶，以及打卡、餐食与补给品的按月计数。不包括姓名、精确出生日期、精确到日的日期、自由文本、报告原文或图像、设备标识或电子邮箱。关联使用随机研究假名（假名化，不是匿名化），以便你撤回时删除摘要。

用途限于人群统计与产品研究。同意效力及于 PearHealth 的企业继受方（business transfer）。你可随时撤回；撤回后删除已贡献的全部研究摘要。未同意时该管道为零字节。

你可以在账户内查看和导出记录。退出登录会清除当前设备上的账户会话和账户缓存；本地提醒可在 App 内或系统设置中关闭。导出或分享后，接收位置由你及其提供商控制。

“我的模型”中的每日记录可以单条删除，也可以导出为本地 JSON。单条删除会同时清除该事件的密文和用于安全重试的加密响应副本，并保留不含健康内容的删除阻断记录，防止旧请求把已删除数据重新写回。

你可以在 App 的账户设置中发起删除账户与账户云端数据。为防止误删，删除需要重新认证和二次确认；确认后请求进入后台处理，不一定即时完成。我们只在完成请求、遵守法律义务、处理安全事件或解决争议所合理必要的期间保留相关数据，不在此承诺尚未验证的固定保留天数。

单份报告删除会生成一条仅供服务端使用的安全重试凭据，用来在网络响应丢失时避免重复或局部删除。该凭据包含账户／报告标识、请求摘要、行数和时间戳，不包含指标数值或报告源内容；重试窗口为 24 小时，过期后由定时服务分批清理。过期表示进入清理队列，不代表会在该秒立即删除。

删除确认后，App 会退出账户并清除本地账户缓存。已经由你主动导出或交给其他服务的副本，不受 PearHealth 账户删除控制。

受监控的隐私与支持渠道尚未发布，这是公开发布前必须完成的事项。当前请不要通过非正式消息、公开社交账号或普通邮件发送报告、验证码、PDF 密码或其他健康资料；支持页面会在正式渠道发布后更新。

产品的数据路径、权限或服务提供商发生重要变化时，我们会更新本页日期和相关说明。任何新增的远程可穿戴连接、健康数据用途或研究功能，都必须在启用前完成相应披露和授权。