医记通隐私政策

更新日期：2026年10月11日；生效日期：2026年10月11日。 本次更新补充当前功能、AI 及云端处理、境外项目与账户删除限制。文件公示不代替依法需要的单独同意及其他必要程序。

本政策说明医记通（Medivia）的账户、学习内容、AI、知识库、存储和同步等个人信息处理活动。个人信息处理者为上海谱纳创思科技有限公司，联系邮箱为 support@punovia.com。

请重点阅读上传内容、AI 数据去向、敏感信息、存储地区、保留期限和注销说明。仅同意用户服务协议或系统权限，不等于同意一切数据处理。本政策不以含糊授权替代需要单独取得的同意。

一、信息类别、使用场景与目的

1. 账户与身份验证

注册、登录、找回密码或绑定账户时，按您选择的方式处理邮箱、手机号码、密码验证数据、验证码、用户 ID 和会话凭证；Apple 授权登录时，处理授权返回的账户标识、邮箱及您允许提供的姓名等信息。用于账户认证、关联资料与权益、防止未授权访问。昵称、头像等资料由您主动设置；选择头像时会处理所选图片。第三方登录是否可用，以实际版本为准，不声称已接入微信登录。

2. 资料与个人知识库

设置个人资料时还可能处理您主动填写的性别等可选字段。当前版本头像使用公开访问链接，知悉链接的人可能查看头像，不能理解为仅本人可见。请勿使用证件、患者照片或其他敏感图片作为头像；可通过账户入口或支持提出更正、删除请求。

导入资料、保存笔记、使用导图、PDF 批注或建立知识库时，处理您选定的文件名、文档文本、图像或相关页面、文件夹及知识节点结构、编辑内容、来源关联、收藏和批注，用于解析、组织、阅读、保存、查找和同步。根据操作，原文件或解析内容可能被发送至服务器；不能把“只选择了本地文件”理解为后续 AI 或云端导入也始终在本地完成。

知识库入库或检索可能生成文本切片及向量，并记录与账户和来源的关联。向量化同样属于对资料的处理，不等于匿名化。个人笔记与平台内置学习资源的来源不同；本政策不将个人资料默认转为公共教材或其他用户的可用资源。

3. AI 问答、生成与检索

您请求 AI 导图、谱纳创思内容、局部改写、问答、闪卡或试题生成等功能时，处理提示词、问题、选中内容、相关资料文本，以及完成任务所需的对话历史、知识库检索片段和模型选项。后端可能将这些信息提供给相应模型或向量服务。范围可能包含上下文，不仅是您最后输入的一句话。

使用联网检索时，查询内容和必要关键词可能交由相应检索或模型服务处理；使用个人知识库模式时，相关来源片段可能进入模型上下文。模型选择与失败回退可能改变实际接收方；请结合模型提示及下列第三方说明判断，如无法确定，请停止发送敏感内容并联系支持。

4. 学习记录与偏好

复习、闪卡、做题、影像学习、学习档案和统计等功能会处理相应学习进度、回答、正确情况、复习状态、打卡日期、专注时长及偏好，用于展示进度和安排复习。搜索词与搜索历史可在本地保存，登录后部分搜索历史及学习档案还会上传至账户云端。主题、字号、提醒、最近打开文件的路径等可保存于本地；具体同步范围不等于所有设置均跨设备同步。

5. 购买、会员与点数

支付或恢复购买时，处理用户 ID、订单或交易标识、购买项目、购买凭据、权益期限、点数余额及消耗记录，以核验订单、开通权益、记账和处理争议。支付机构按自身规则处理付款信息；我们的应用不因提供购买入口而需要读取完整银行卡信息。实际渠道以购买入口和交易凭据为准，未开放的渠道不因此成为接收方。

6. 反馈与运行信息

参与已开放的早鸟、新人或好友邀请活动时，处理活动资格、手机号验证状态、邀请码、邀请关系及奖励流水，用于核验、发放奖励、防止重复领取与处理争议。规则以实际活动页面为准。手机验证不等于收集身份证件或完成法定实名核验。复制邀请文案会按您的操作写入系统剪贴板，不表示读取通讯录；邀请关系仅应在必要范围展示。

主动提交反馈时，处理您填写的内容、联系信息、账户标识、相关资料标题、问题类型、平台、版本及所选截图。请先遮盖患者资料、密码和令牌。访问服务器、下载资源或发起请求时，还可能产生 IP 地址、请求时间、路径、状态码、文件名和故障信息，用于提供服务、排障和安全防护；日志按排障、安全及处理争议必要的期限保留；具体期限、依据及清理状态可联系支持查询。

本地体验功能生成并保存设备相关随机标识及额度记录，用于识别本机体验状态。当前实现使用操作系统、主机名称、处理器数量与随机值生成散列标识，并在偏好与应用支持目录保存副本；它不等同于 IMEI 或广告标识。联网体验校验可能随请求产生设备及运行记录，不承诺所有设备相关信息始终只在本机保存。

二、本地、云端和模型处理的区别

本地数据：部分笔记、复习记录、偏好、最近文件记录和资源缓存保存在设备内；您自行导出的文件保存在所选位置。操作系统备份或您选择的网盘可能产生另行副本。
云端数据：登录后的账户资料、笔记与批注、对话历史、部分搜索记录、学习档案和权益信息可能通过不同服务保存。当前源码包括阿里云 OSS、账户认证与数据库服务、服务器上的会话或权益记录，以及知识库向量索引。
模型处理：生成、改写和问答等操作会发送必要的输入及上下文供模型推理，向量化会将相关文本交由嵌入服务处理。模型服务商可能按其实际服务合同和政策处理运行记录；在未核对合同、账号配置及保留机制前，不承诺“仅当次处理”“零留存”或“绝不用于训练”。
同步与备份：本地保存、云端上传、向量入库和其他设备下载是不同操作。关闭 AI 设置不等于停止云端同步；卸载、退出登录或删除单个文件也不等于已清理全部云端记录。

三、系统权限与本机验证

相机、照片及选定文件：用于您主动拍摄或选择头像、资料图片、反馈截图，以及导入或导出文件；具体授权由操作系统和功能入口提供。拒绝相应权限会影响该项操作，不应无关地拒绝其他功能。
通知与系统提醒：用于任务、扣费或复习相关提醒。部分平台在初始化时请求通知权限，您可在系统设置拒绝或撤回；提醒内容可能显示在锁屏，请按需要调整可见范围。
面容或指纹：通过系统验证本机使用者以解锁会话。应用接收验证结果，不读取您的原始面容或指纹模板。
其他权限：不能仅因依赖库或系统配置中存在某项权限，就认为该功能已使用它。麦克风、通讯录、精确定位等若未来确需处理，应另行核实、说明用途并取得必要授权。

四、第三方服务与数据接收方

以下列明当前功能涉及的主要第三方及信息类别，实际接收方取决于所用功能、模型与生产配置。新增接收方或改变处理目的、方式、类别时，应在处理前补充告知并取得依法需要的同意。具体请求的接收方及规则可联系支持查询。

阿里云计算与 OSS：承载业务接口、资料存储或资源下载；处理必要请求信息及对应存储内容。当前 OSS 默认端点指向杭州；不能仅凭端点推定其他部署及备份地区，具体内容的处理位置可向支持查询。
阿里云百炼／通义模型与嵌入服务：为部分生成、问答和向量化提供能力，接收任务所需文本及上下文。当前默认接口为 dashscope.aliyuncs.com；不能仅由接口名称推定完整数据保留或训练规则。
DeepSeek：为部分模型任务提供推理，接收所选或实际路由任务的输入及上下文；当前默认接口为 api.deepseek.com。
Agnes AI：运营方已确认该服务仍对用户开放，实际接收必要的任务文本及上下文；当前代码默认接口为 apihub.agnes-ai.com。其公开隐私页面正文载明主体为 SINGAPORE SAPIENS TECHNOLOGY PTE. LTD.，联系方式 support@agnes-ai.com，并说明可能在新加坡、美国或其他服务地区处理数据，存在部分用户内容用于模型／服务改进及退出请求规则。该公开应用政策不能自动视为您所接入 API 的合同；当前不能据此保证所用 API 的具体保留期限及训练排除设置；如有异议，请勿向 Agnes 发送内容，可联系支持查询或提出限制、删除请求。
账户认证、数据库与存储：本软件使用 Supabase 官方云项目，运营方确认项目主区域在日本，并非国内自建服务。使用相应账户、资料、头像、搜索历史和档案等功能时，必要数据可能在该官方云项目中处理。客户端访问 pncs.punovia.cn 不改变其后端转发与实际存储地区，不能因此声明全部数据在境内。
Apple 登录、系统验证及购买：在您使用对应功能时，按授权及交易流程交换必要认证或购买信息；Apple 的处理同时适用其自身规则。短信、邮件及其他支付渠道仅在入口实际开放并由您使用时处理必要号码、邮箱或交易信息，具体服务方可向支持查询。
设备系统与功能组件：文件选择、分享、通知、生物识别等组件借助操作系统完成对应功能。依赖中出现某个库不当然代表其运营方远程接收资料；引入远程处理的新组件，应另行提供必要说明。

我们不得将个人信息出售或违法提供给无关第三方。因服务需要委托处理、对外提供、转移或公开信息时，应按适用法律约束目的和范围，并完成相应告知、合同、评估或同意要求；运营主体变更或依法配合有权机关的情形也应依法处理。未经核验，不对第三方作超出合同的绝对保密保证。

五、存储地区、保存期限与安全

境外云项目：本软件 Supabase 官方云项目主区域为日本。其官方说明指出，项目主要数据按所选区域托管，运行日志、支持及内容分发等还可能在区域外处理；不得由主区域推定所有处理都只在日本。服务合同通常列明 Supabase Pte. Ltd. 为主要处理主体；实际合同主体及关联服务应按所用服务核对。

第三方规则及联系可参阅 Supabase 隐私说明、数据地区与传输说明；其隐私渠道为 privacy@supabase.io。您也可通过我们的支持邮箱提出访问、更正、复制、撤回或删除请求，我们应依法协助处理。

跨境处理：Supabase 日本项目与 Agnes 等境外服务涉及境外处理。账户及云端数据用于账户、资料服务，AI 输入用于您请求的模型任务；数据类别、接收方及联系见本政策。依法需要单独同意、合同、评估或其他手续的，应在处理前完成。仅接受本政策或服务协议，不表示这些程序已完成。如不同意，请停止相关境外云端及模型操作，并联系支持提出撤回、限制或删除请求；部分账户及云端功能可能因此无法继续使用。

保存期限应限于实现明确目的所必要的最短时间：账户用于维护服务关系；您保存的学习内容、会话用于持续访问，直至删除、注销或不再需要；订单、审计及争议记录依法及按明确需要保留。日志、反馈、临时文件、备份及第三方推理记录的期限因服务与合同而异，现不对未核实项目承诺固定天数或即时清除。具体期限、清理状态及依据可向支持查询；目的不再存在且无法定保留理由时，应删除或依法匿名化。

当前资料解析代码在正常完成或异常退出处理时尝试删除服务器临时文件，并在后续请求中清理过期残留；这不是每份原文件在固定时间内必定清除的部署保证。账号删除会尝试清理笔记、批注、会话、权益档案及向量；备份、第三方记录、法定保留与自行导出副本须另行区分。

我们使用 HTTPS、请求鉴权和用户关联访问控制等措施降低风险，部分服务器会话记录存在加密实现；不将这些措施描述为所有数据均端到端加密或所有存储均已加密。系统仍可能发生故障或安全事件，应依法采取补救、风险告知及报告措施。

六、敏感信息与未成年人

医疗健康资料、身份标识、生物识别等可能属于敏感个人信息。请勿上传能够识别真实患者的病历、影像及其他医疗资料，亦勿上传密码、密钥、完整银行卡信息或未经授权的他人信息。去标识化不是简单删掉姓名，仍应检查证件号、影像头信息、照片及能够重新识别身份的组合信息。

如服务确需处理敏感个人信息，应事先说明必要性及影响，并取得依法要求的单独同意，不能仅以用户自行上传替代相应义务。发现误传，可停止后续请求并联系支持协助核查和删除。

本软件主要面向医学学习者。未成年人应在监护人指导下使用及购买。涉及不满十四周岁儿童的信息，应有专门保护规则并依法取得监护人同意；现有版本的一般注册不证明相关程序已完成。未完成必要程序前，请勿提供儿童个人信息；如发生误收集，请联系支持处理。

七、访问、更正、复制、删除与撤回

访问与更正：可通过账户与数据、学习工作台、记录和档案等入口查看或修改相应信息；没有自助入口的，可通过支持邮箱请求协助。
导出与复制：可使用实际提供的导图／资料导出功能，或向支持提出个人信息复制请求。现有内容导出不等于已经支持一键导出全部账户数据。
删除具体内容：可按实际入口删除笔记、资料、搜索记录或会话。界面删除、本地副本、云端内容和向量索引的处理范围可能不同，应核实服务端结果；不能保证每次删除立即清除所有存储。
AI 设置与撤回：“设置—隐私与安全”提供 AI 数据授权开关。当前源码该设置默认开启，部分解析／生成入口会检查，但其他问答或模型调用路径未统一检查；关闭它不能作为所有云端 AI 请求已停止的保证。如您不希望继续向模型发送内容，请停止使用云端 AI 操作并联系支持提出撤回或限制处理请求。必要同意及全链路控制不能由政策公示替代，现有版本存在上述控制限制。撤回不影响此前依法进行的处理；关闭 AI 也不自动删除历史资料、停止账户服务或关闭同步。
系统权限：可在操作系统设置撤回相机、照片、通知及本机验证授权；是否可继续某项功能取决于其必要性。
投诉与请求：可联系 support@punovia.com。我们应在合理身份核验后依法及时答复；无法满足时说明理由和救济途径，不要求提供与请求无关的信息。我们会告知受理及处理进度；需要第三方协助或依法不能立即完成时，将说明原因。

八、账户注销与删除结果

您可通过“设置—账户与数据”发起注销。当前流程先请求业务服务器清理相关云端存储，再删除账户资料与认证账户；任一步失败或部分完成，均不应视为完整注销。若出现部分删除，原有内容也可能已经无法恢复，请按提示重试或联系支持。

请先备份重要资料，并在付款渠道处理仍有效的订阅。账户注销不会自动删除自行导出的文件、其他设备的全部副本、交易平台记录或法律要求保留的记录。当前清理代码未充分证明头像、云端搜索历史、全部本地数据库、设备标识文件及所有备份都被覆盖；界面提示不代表所有个人信息已永久即时清除。对于头像、搜索历史、设备记录及备份等未确认部分，请联系支持核查并提出补充删除请求。

九、政策更新与联系

更新时应显著提示主要变化及生效时间；涉及处理目的、方式、信息类别或其他依法需要重新取得同意的事项，应在变更处理前完成相应程序，不仅依靠“继续使用视为同意”。本政策可从登录、设置及官网协议页查阅和保存。

个人信息问题、纠错、删除及投诉请联系 support@punovia.com；使用帮助见医记通使用支持。请不要在首次邮件中附上密码、验证码、令牌或未去标识化的患者资料。