本文为便利性译本。以英文版为准：两者含义如有出入，以英文文本为准。
隐私政策
Pippa 的存在是为了支持进食障碍康复。而这只有在您愿意把最敏感的一些信息托付给我们时才成立。 本政策准确说明我们收集什么、为什么收集、谁能看到、保存多久，以及您拥有哪些控制手段。 简要来说：您的健康数据仅用于运行本服务，仅与您授权的临床工作者共享， 绝不出售，绝不用于广告，也绝不用于训练人工智能模型。
由于 Pippa 处理的几乎一切都与您的健康有关，我们还另行发布了一份 消费者健康数据隐私政策， 按部分州法律（例如华盛顿州《我的健康我的数据法》（My Health My Data Act） 与内华达州消费者健康数据法）要求的形式，说明我们对消费者健康数据的处理。 两份文件内容一致；如有冲突，以对您保护更强的一方为准。
1. 我们收集什么
| 数据 | 包含内容 | 原因 |
|---|---|---|
| 账户 | 邮箱地址、登录方式（邮箱、Sign in with Apple 或 Google）、出生日期 （来自年龄确认界面） | 创建并保护您的账户；符合年龄的同意流程 |
| 个人资料 | 体重、身高、生日、性别；按您的临床工作者设定的频率进行的可选盲测体重签到 | 个性化您的日常进食节奏，以及您照护团队看到的图表 |
| 饮食记录 | 餐食照片、由照片生成的食物名称与卡路里估算、用餐时间（您可以修改）， 以及您对餐后签到问题的回答，包括您的临床工作者所配置的问题 | 服务的核心：记录餐食并跟踪规律性 |
| 饮食计划与购物清单 | 您或您的临床工作者制定的饮食计划，以及你们共享的购物清单 | 由您和照护团队共同编辑的计划支持 |
| 心情与签到 | 心情记录与笔记、每日签到答案，以及您的临床工作者布置的问卷的作答 | 心情支持功能，以及在您同意的前提下供照护团队查看 |
| 与 Pippa 的聊天 | 您近期的聊天消息、应用保存的滚动摘要（以便 Pippa 记住上下文）， 以及当某条消息提示危机时自动生成的安全标记 | 让聊天在多次会话之间保持有用，并保障您的安全；详见安全页面 |
| 照护团队消息 | 您与已获您授权的临床工作者之间的消息，包括他们发给您的消息 | 与您的照护团队直接沟通 |
| 同意记录 | 条款接受情况（何人签署、何时签署、哪个版本）、青少年账户的监护人同意、 与临床工作者签订的数据共享协议 | 您所授予权限的法律记录 |
| 应用内奖励 | 金币、坚持出现的连续记录，以及您收集到的装饰物品 | 让您的伙伴和房间在您的各台设备之间保持同步 |
| 订阅状态 | 您的账户是否拥有有效的高级订阅，通过 Apple 验证 | 解锁高级功能。付款由 Apple 处理；我们绝不会看到您的银行卡信息 |
| 设备与使用情况 | 设备标识符、推送通知令牌、时区、应用打开时间、应用设置 | 同步、在您所在地合适的时间发送通知，以及在提醒真正有帮助时把握时机 |
仅保留在您设备上的内容
您的日记只属于您的设备。日记条目存储在本地， 绝不会被上传、同步，也不会被任何人看到，包括您的照护团队和我们。 如果您请 Pippa 对某条日记作出回应，该文本只会被处理一次以生成回应， 不会存储在我们的服务器上。贴纸收藏及类似的纪念物同样保留在本地。
照片与元数据
餐食照片在上传前会在您的设备上重新编码，这会移除其中嵌入的元数据， 包括位置信息（EXIF/GPS）。当您从相册导入照片时，应用会在您的设备上读取照片的拍摄日期， 用于建议用餐时间；该元数据本身不会被上传。我们对任何图像都 不进行人脸识别或生物识别处理，从来没有。我们不收集您的精确位置。
2. 我们绝不会做的事
- 我们绝不出售您的数据，无论是否为健康数据。
- 我们绝不向您展示广告，也绝不将您的数据共享给广告商或数据经纪商。
- 我们不在应用中放置任何第三方广告或分析追踪器。我们的 Cookie 政策说明了我们的网站会在您浏览器中存储什么。
- 我们绝不使用您的数据训练人工智能模型。我们的人工智能服务提供商仅为生成回复而处理您的内容， 并且依据我们的 API 协议，不会将其用于训练。我们绝不将儿童或青少年的数据用于人工智能训练， 未经单独的、可自愿选择加入的授权，也绝不会将任何人的数据用于人工智能训练。
- 除您本人和您授权的照护团队之外，我们绝不让任何人看到您的体重或体重趋势。
- 我们绝不追溯性地变更本政策：对已收集数据的新用途需要重新取得您的同意， 仅更新文件是不够的。
3. 谁能看到您的数据
- 您本人。
- 您授权的临床工作者。只有在签署数据共享协议之后， 临床工作者才能看到您的详细数据，而您随时可以在设置中解除该协议；访问会立即停止。 临床工作者对您数据的每一次读取都会写入审计日志。当您通过治疗提供者加入时， Pippa 作为该提供者的服务提供方（HIPAA 业务关联方）。
- 安全升级。如果应用检测到危机迹象（例如在聊天中）， 它可能会提醒您已同意共享数据的临床工作者。如果您没有授权任何临床工作者， 则不会通知任何人；应用会直接向您展示危机资源。详见安全页面。
- 法律要求。在法律有效要求时我们会披露数据， 并将任何此类披露限制在法律要求的范围内。
帮助我们运行 Pippa 的服务提供商
这些公司仅按我们的指示处理数据以运营服务。他们均不得将您的数据用于其自身目的， 例如广告或人工智能训练：
| 服务提供商 | 为我们做什么 |
|---|---|
| OpenAI | 生成聊天回复、餐食照片的食物与卡路里估算，以及安全审核检查。 内容通过其 API 处理，该 API 的内容不用于训练其模型。 |
| Amazon Web Services | 数据库、登录基础设施，以及事务性邮件 （例如监护人同意链接和临床工作者提醒） |
| Cloudflare | 应用服务器与餐食照片存储 |
| Apple | 推送通知、Sign in with Apple，以及 App Store 订阅计费 |
| Android 上的推送通知与 Google 登录 | |
| Stripe | 仅用于诊所与机构的计费；Stripe 绝不会收到患者健康数据 |
我们没有关联公司，除上述服务提供商和您授权的临床工作者之外， 我们不向任何第三方共享消费者健康数据。完整的现行清单见我们的 次级处理方页面。
4. 我们保存多久（留存政策）
- 在您的账户处于活跃状态期间：我们保存您的数据，以便服务正常运行。 我们只保存服务所需的内容；我们不会「以防万一」地囤积数据。
- 当您删除账户时：您的照护团队会立即收到通知并失去访问权限； 该账户无法再登录；您的全部数据（照片、记录、心情、聊天、消息、计划、个人资料） 会在 30 天内从我们的系统中永久擦除。备份副本会按我们的标准轮换周期到期失效。
- 我们必须保留的内容：同意授予/撤回的最小化记录、删除请求本身， 以及临床工作者访问审计日志，依法保留约六年，并以内部标识符而非您的姓名或邮箱为索引。
- 儿童与青少年的数据仅在收集该数据的特定目的合理必要的期限内保存， 绝不会无限期保存。
5. 儿童与青少年
- 13 周岁以下：Pippa 不接受 13 周岁以下儿童的账户， 除非通过参与合作的治疗提供者、在可验证的家长同意计划下加入（如该计划已提供）。 如果我们发现在没有可验证家长同意的情况下收集了 13 周岁以下儿童的个人信息，我们会将其删除。
- 13 至 17 周岁：必须由家长或法定监护人作为缔约方接受本条款， 并由该青少年确认与其年龄相称的同意。监护人同意会被记录在案。 未成年人账户默认采用最高隐私设置：绝不进行定向广告、定位追踪或数据出售。 在聊天中，未成年人还会定期收到「Pippa 是人工智能」的提醒，并在长时间会话中收到休息提示。
- 家长/监护人的权利：作出同意的监护人可以随时查阅所收集信息的类别、 撤回同意，并要求删除该未成年人的信息，方式为发送邮件至 pippa.app.general@gmail.com 或使用应用内的删除流程。
6. 安全
我们采取合理的管理、技术与物理保障措施：数据在传输中加密， 存储于有访问控制的云基础设施中，且临床工作者对患者数据的每一次读取都会写入仅可追加的审计日志。 对生产系统的访问受到限制并被记录。没有任何系统是绝对安全的。 如果发生影响您数据的安全事件，我们会在不无理延迟的情况下通知您， 最迟不超过我们发现之日起 60 天，法律要求更早时则更早通知，并按要求通知监管机关。
7. 您的权利与控制手段
无论您居住在哪里，我们都向每一位用户提供以下权利， 并且绝不会因您行使这些权利而对您进行报复或降低服务质量：
- 访问与导出：可要求我们确认所持有的内容， 并以可移植的格式获取您数据的副本，包括这些数据曾共享给哪些第三方。
- 更正：大部分数据可以直接在应用中修改；其他内容请发邮件给我们。
- 删除：在设置中删除您的账户（按上述 30 天擦除时限）， 或在不注销账户的情况下要求我们删除特定数据。删除会随备份轮换扩展至备份， 并会传达给我们的服务提供商。详见删除您的账户。
- 撤回同意：在设置中即时解除某位临床工作者的访问权限。 青少年账户的监护人可通过邮件撤回同意。
- 通知控制：可在设备设置或应用内管理通知。
我们会在 45 天内答复隐私请求（对复杂请求可在通知后延长一次、再延 45 天）。 如果我们拒绝某项请求，我们会说明理由，您可以回复我们的答复提出申诉； 我们会在 45 天内答复申诉，如果您仍不满意，可以联系您所在州的总检察长。 由于我们不出售任何数据，也不进行定向广告，因此在各州「不得出售或共享」规则下 并不存在需要选择退出的事项，Global Privacy Control 等浏览器退出信号也没有可关闭的对象； 我们默认就遵循这些规则的精神。
8. 不适用于紧急情况
Pippa 和您的照护团队并不会全天候监看应用。如果您认为自己正在经历医疗急症， 请拨打 911。如果您处于自杀危机或情绪困扰之中， 请拨打或发短信至 988（Suicide & Crisis Lifeline），全天候提供服务。 我们完整的危机处理协议公布于安全页面。以上号码适用于美国境内。
9. 本政策的变更
如果我们作出重大变更，我们会在应用内通知您，并要求您重新接受后方可继续使用。 未经您的明确同意，我们绝不会将重大变更适用于此前已收集的数据。 本页顶部的版本与生效日期始终反映现行政策。
10. 联系方式
Pippa LLC。如有疑问、请求或顾虑： pippa.app.general@gmail.com。