隐私政策

收集与使用

你主动保存的晨重、腰围、饮食、运动、睡眠、目标和餐食用于本人记录与统计。FIT 导入只保留精简的骑行摘要、路线及遥测，不保存原文件；路线可能包含精确位置。照片经重编码去除 EXIF 后存入服务器私密目录，不提供公开上传地址。登录账户、Cookie 和可选账单信息用于认证及账户服务，与健康数据分开管理。

所有健康接口均验证会话并按用户归属查询；管理员配置入口不提供查看他人健康记录的能力。健康页不启用模板营销统计、广告或客服脚本。导出文件含健康、照片及位置内容，请只存放在可信设备。

外部服务

每次餐食 AI 分析都需你明确同意，只发送该次餐食文字、外卖标记及已同意的照片，不发送体重、账户或其他健康事实。部署者配置 OpenAI 兼容服务，分析不是医学诊断；供应商名称、处理地点、保留期限和删除渠道须由实际部署者在开放功能前披露。此应用无法撤回已发送的数据。

天气只在主动选择城市并请求时向彩云发送城市坐标，不申请精确定位、不发送健康记录。骑行解析和路线绘制在本应用完成，默认不调用第三方地图。当前没有平台 OAuth 连接；未来加入连接前需说明权限、凭据保存及撤销方式。

导出与删除

在数据与隐私页面可导出完整 JSON，包括字段说明、单位、时区、本人记录、派生报告及照片内容。此文件不承诺直接恢复。

单条删除撤销相应记录访问并重算统计。全部健康数据删除需要再次确认，将清除档案、所有记录、目标历史、周报、AI/导入任务、去重凭据和骑行详情。照片先撤销访问，再清理文件；清理失败只保留必要清理凭据，并提供重试。登录账户、账单、订阅、管理员供应商配置及共享城市天气不会随健康删除清空。登录账户删除需通过部署者提供的独立流程办理，不能直接级联数据库而遗留媒体文件。

保留、备份与部署

健康事实随你的使用保存，直到你删除；未确认导入预览有效期为 24 小时，后续访问清过期载荷；完成任务不保留原始输入载荷。失败或超时分析清输入快照，保留任务状态和同意记录直到删除。必要的限流、一次性令牌哈希和短期并发租约不含健康正文。

在线删除不会即时擦除备份。实际部署者必须在开放服务前给出明确的备份保留期限、供应商处理政策和联系方式，并在恢复备份后重放已生效的删除，防止已删数据恢复。尚未配置这些信息时，应保持个人测试或关闭外部功能，不把本模板当作已完成的公开运营隐私承诺。

生产要求 HTTPS、稳定认证密钥、真实事务数据库和持久私密磁盘；数据库及备份访问应限制并加密。我们不能保证任何系统绝对安全；操作失败时健康页提供重试和结果核对。