一、我们收集的信息
1. 账号信息：您的登录方式与邮箱地址。使用邮箱加密码登录时，我们存储您的邮箱地址；使用 Apple 登录时，Apple 会向我们共享一个邮箱地址（可能是隐藏邮件地址）。若服务商同时共享了姓名，该姓名仅保留在我们鉴权服务商持有的鉴权记录中，不会用作您在应用内的昵称。您的昵称由我们生成（如「User482913」这样的随机名称），您可以随时修改。
2. 个人资料：您在应用内填写的昵称、性别与年龄，以及您的界面语言偏好，用于体质判定与个性化建议生成。
3. 问卷逐题作答明细：提交测评时上传至服务器，用于生成个性化调理建议，并与您的账号关联存储。
4. 体质判定结果摘要（各体质转化分与判定结论）：上传至服务器，与您的账号关联存储。
5. 调理计划内容：您生成调理计划时，我们存储生成的计划文本（计划名、每日主线、调理预期、个人注意事项，以及按类别分组的推荐任务与提示）、生成时使用的语言，以及其所依据的测评记录。该内容一经生成即永久固定，不会被覆盖或重新生成；即使解锁被退款，已生成的内容仍可查看。
6. 购买与退款记录：您解锁报告时，我们存储 App Store 提供的交易标识以及解锁状态；若发生退款，我们存储相应的退款记录。这些记录在您的账号存续期间保留，用于判定报告是否仍处于解锁状态。
7. 反馈内容：您通过「意见反馈」主动提交的文字内容，仅用于改进产品，与您的账号关联存储。
8. 服务端运行记录：为保障服务安全运行，我们保留有限的技术记录——来自 RevenueCat 的支付事件副本（含您的账号标识与交易信息，保留 90 天），以及以您的账号标识为主键的限流计数（记录生成计划、导出数据等操作的触发时间，保留不超过 24 小时）。这些记录用于防范欺诈、排查故障与防止滥用。
我们不收集您的精确位置、通讯录、相册或设备指纹，不集成任何第三方统计、广告或崩溃收集组件，也不使用广告标识符（IDFA）。我们的支付处理方 RevenueCat 会通过其 SDK 接收常规设备与应用信息，详见第三节。
二、敏感个人信息（单独同意）
性别、年龄、问卷作答与体质判定结果属于健康类敏感个人信息。我们仅在取得您的单独同意后，将其用于体质分析与调理建议生成。该同意在您首次生成调理计划前一次性采集（scope：ai_wellness_generation），而非在登录或注册时一并索取。您可随时通过「我的 - 撤回隐私同意」撤回该同意。撤回后，我们将停止基于该数据进行的任何后续处理；已上传的数据仍与您的账号关联存储，直至您按第五节删除相关数据或注销账号。撤回不会登出您的账号：您保持已登录状态，已生成的方案书仍可查看，您可以随时重新同意。下次尝试生成新的方案书时，我们会再次征询您的同意后再继续。
三、信息的使用与共享
您的信息仅用于提供体质测评与 AI 生成的个性化调理建议服务。调理建议由我们的服务端调用 AI 模型（DeepSeek）按需生成，AI 不会基于您的数据进行训练，也不会在请求之外保留您的信息。我们仅在以下场景向受信任的第三方处理者提供必要信息。下列每一处理者均受合同约束，须以不低于本政策与适用法律（含 GDPR）的标准保护您的信息：
- Supabase（账号、数据库、Edge Functions）：用于账号鉴权、数据存储与服务端处理，托管于美国区域，已签署符合 GDPR 的数据处理协议。
- DeepSeek（AI）：在加密传输下接收您的性别、年龄、问卷作答与体质判定结果，用于按需生成您的个性化调理建议。您的姓名、邮箱地址与昵称绝不会发送给 DeepSeek。DeepSeek 由杭州深度求索人工智能基础技术研究有限公司运营，其服务器位于中国大陆；该等向欧盟/英国境外的传输以您在首次生成调理计划前作出的单独同意为依据（GDPR 第 49 条第 1 款 a 项，scope
ai_wellness_generation）。 - RevenueCat：校验应用内购收据与解锁状态。我们以您的账号标识作为其用户标识，其 SDK 会接收常规设备与应用信息（设备型号、操作系统版本、应用版本与厂商标识符）。RevenueCat 位于美国。我们不接触您的银行卡信息。
- Apple App Store：处理按报告单次解锁的付款，并在您选择评分时处理应用内评分。我们不接触您的银行卡号与支付账户信息。
- GitHub Pages：托管本政策及我们的其他法务文档。您打开法务文档时，文档由 GitHub 的服务器加载至您的系统浏览器，GitHub 可能接收您的 IP 地址、浏览器标识等技术信息。
我们不出售任何个人信息，不与广告网络、数据中介或第三方分析机构共享您的数据。结果页的「分享」功能由您主动触发：包含测评结果摘要的图片经系统分享面板仅传递给您选择的目标（如信息或社交应用），我们不经手该过程。
四、存储与安全
您的登录会话由 Supabase Auth 管理，仅存储于您的设备本地。会话在您保持登录期间自动刷新，在您退出登录、注销账号或长期无活动后失效。未提交的问卷作答草稿以加密形式仅存储于您本机，不会上传。草稿在您提交测评、重新开始测评或注销账号时清除；仅退出登录时予以保留，以便您重新登录后继续作答。本机缓存的报告列表与资料快照不含问卷逐题作答，并在您退出登录或注销账号时从本机清除。已提交的问卷作答明细与体质判定结果存储于 Supabase 基础设施，传输采用 HTTPS 加密，存储层启用访问控制。我们将您的个人信息保留至您注销账号之时；账号注销后将按第五节所述永久删除全部数据。
五、您的权利
无论您身处何地，您均享有以下权利：
- 查阅我们持有的您的个人数据。
- 更正您的个人资料——昵称、性别与年龄（「我的 - 编辑资料」）。已提交的测评作为历史记录保存，其作答不可修改；如需删除，请按下方说明注销账号。
- 删除账号与全部关联数据（「被遗忘权」）。
- 导出您的数据（「数据可携权」）。
- 随时撤回同意，撤回不影响撤回前基于同意已合法进行的处理。
欧盟/英国用户还可向当地数据保护机构投诉。加州用户可行使上述权利，并要求了解跨语境行为广告相关的数据共享情况（我们未进行任何此类共享）。
注销账号——「我的 - 注销账号」。注销为立即生效且不可撤销：没有冷静期，也没有任何恢复途径。由于该操作无法撤销，我们会先请您重新登录一次（Apple 或密码）以确认是您本人操作。注销账号将删除您的鉴权记录、个人资料、测评记录与逐题作答、调理计划及相关记录、购买与退款记录、反馈记录，以及第 1.8 条所述的服务端运行记录。
导出数据——「我的 - 导出我的数据」。登录状态下点击即返回全量 JSON 文件，涵盖您的账号资料与登录方式、测评记录与逐题作答、调理计划、解锁与退款状态、反馈记录，以及我们持有的与您相关的支付事件。若任一部分无法完整汇总，整个导出将失败，而不会返回不完整的文件。导出不含购买交易标识，完整收据请在您的 App Store 账号中查看。
如您希望我们就特定处理活动作出限制或提出反对，或提出其他任何请求，请来信 contact@welltao.top，我们将在 15 个工作日内免费回复。
六、年龄限制
本应用面向成年人，不面向儿童。您需年满 16 周岁方可进行体质测评并生成调理建议：应用在计分前会要求您填写年龄，应用与服务端均会拒绝低于 16 周岁的年龄。未满 16 周岁者请勿提交测评。
七、跨境传输
若数据需要传输至您所在国家/地区之外，我们依据欧盟标准合同条款（SCC）或同等 GDPR 合规机制进行。
八、政策更新
政策重大变更时，我们将以应用内弹窗等方式重新征得您的同意；变更生效后您继续使用本应用，即视为接受更新后的政策。
九、联系我们
隐私问题或投诉：contact@welltao.top，我们将在 15 个工作日内回复。