智能查房 隐私政策

生效日期：2026-06-11
最后更新：2026-10-03
运营主体：叶海波
客服邮箱：m1568_mbtqqsozoz@aka.yeah.net

引言

「智能查房」（App Store 亦可能显示为 SmartWardRound，以下简称「本应用」）是一款面向医疗从业者的病历书写与查房辅助工具。 开发者叶海波（以下简称「我们」）尊重并保护您的隐私。

本政策说明我们在您使用本应用时如何处理相关信息。患者病历、查房数据与门诊草稿默认仅保存在您的设备上，我们不运营云端病历库，也不提供开发者账号登录。 仅在您主动使用相关功能时，才可能将经脱敏处理的文字发送至您自行配置的第三方在线服务；专用“化验单 OCR”还可能按下文说明上传您选择的原始图片。录音转文书的音频可能由 Apple 语音识别处理。会员购买由 Apple 处理，我们不接收付款信息。

本应用不用于广告追踪，不出售患者或用户数据，不包含第三方广告、统计或崩溃上报组件。

一、我们处理的信息

1.1 信息类型

• 患者与临床信息：您录入的床号、姓氏、性别、年龄、住院号/病历号、诊断、入院/出院信息、查房记录、病程与各类文书内容、辅助检查摘要等。
• 本机资料：您在「设置 → 本机资料」中填写的昵称、病历书写环境（中西医结合或西医）与科室。仅用于本机文书模板和默认科室，加密保存在本机。
• 门诊草稿：门诊工作站中不绑定住院患者的门诊病历草稿，保存在本机。
• 语音与图像：查房口述，以及“录音转文书”中的现场录音或您导入的音频。现场录音副本可保存在本机，供您回放和删除。
• AI 相关配置：您在「设置 → AI Key 管理」中自行填写的大模型访问密钥（仅保存在本机钥匙串，不上传给我们）。当前可选服务包括 DeepSeek、阿里云百炼、讯飞星火、智谱 GLM、月之暗面 Kimi。
• CpubMed 签名（可选）：您自行填写的中文文献库个人 API 签名，保存在本机钥匙串。仅在您启用该功能时随检索请求发往 CpubMed。
• 试用与会员状态：首次打开后的 30 天试用起算时间保存在本机钥匙串。是否已购买会员由 Apple 按当前 Apple ID 的 StoreKit 交易在本机核验。我们不收集银行卡号。
• OCR 代理配置：您自行填写的 OCR 代理地址保存在本机配置中，独立代理访问令牌保存在系统钥匙串中；阿里云 RAM AccessKey 仅应配置在代理服务器，不应录入本应用。
• 入院处理与书写模板：您自定义的入院处理快速模板、入院记录书写模板、术前文书模板、特殊治疗同意书模板及通用的病程模板（加密保存在本机）。
• 医患对话：您通过第三方键盘语音输入等方式录入的医患对话内容，可用于 AI 结构化整理为综合病史（主诉、现病史、既往史等）并回填至入院记录。
• 增强本地识别包：可选安装的离线 OCR 增强模型（开源百度 Paddle OCR，保存在本机，用于提升辅助检查/化验单等表格类图片的识别效果；安装前需单独同意）。当前公开发布版本从应用内置模型安装，不联网下载。
• 应用偏好：语言、界面与模板设置、隐私政策与第三方 AI 数据共享同意记录、增强识别包下载同意记录等。

1.2 存储位置

• 结构化病历、查房会话与文书正文保存在本机应用数据区。
• 文书草稿及部分敏感字段采用本机加密方式保存；加密访问密钥保存在系统钥匙串中。
• 您导出的 PDF、Word 等文件在分享前暂存于本机，仅在您使用系统「分享」时离开设备。
• 若您开启了 iPhone 整机备份或 iCloud 备份，备份内容是否包含本应用数据由 Apple 与您的系统设置决定，这不等于我们将病历上传至自有服务器。

二、应用使用方式

本应用不提供由开发者运营的云端账号，也不使用微信登录或“通过 Apple 登录”。请在「设置 → 本机资料」填写昵称、病历书写环境与科室；这些资料只保存在本设备，用于匹配文书模板，不会上传到我们的服务器。

• 患者、查房与门诊草稿直接保存在本设备上。同一台设备上的临床数据不按云端账号隔离。
• App Store 正式版自首次打开起可免费试用 30 天。试用结束后，需使用当前 Apple ID 购买或恢复有效会员后继续使用。付款、取消与退款由 Apple 处理。
• 清空全部患者、删除本地资料、管理 AI 密钥或 CpubMed 签名、导出数据快照等敏感操作，需通过面容 ID、触控 ID 或设备密码确认。

三、网络与对外传输

除默认开启、且可随时关闭的「启动页每日推送」，以及 Apple 在本机核验试用与会员状态外，以下对外传输均须您主动使用相关功能才会发生。会员核验不上传病历。我们不运营云端病历库；可选 OCR 代理仅转发单次识别请求，随附实现不持久化图片或识别文字。

3.1 第三方在线服务（加密互联网连接）

当您在「AI 问答」「生成病程」「智能生成入院记录/首次病程/出院记录」等功能中使用 AI 时，本应用会将经脱敏处理的文字内容，通过加密连接发送至您在「AI Key 管理」中自行配置的大模型服务，例如：

• DeepSeek、阿里云百炼、讯飞星火、智谱 GLM、月之暗面 Kimi 等（具体以您选择的提供商为准）
• 用于生成或整理临床文书、回答医学参考问题、生成病程模板的参考内容

发送前，我们会尽量去除或替换患者姓名等直接标识信息；住院号等编号仍可能出现在您提交的文本中。 上述服务由相应第三方运营，其数据处理规则请查阅该服务商的隐私政策。 访问密钥仅由您填写并保存在本机，我们不会收集或存储您的密钥。

AI 辅助生成的文书类型包括但不限于：入院记录、首次病程记录、入院沟通记录、综合病程记录、阶段小结、出院记录、转入记录、转出记录、门诊病历、术前讨论、术前小结、术者术前查看患者记录、手术审批表、手术知情同意书、手术记录、术后首次查看患者记录、特殊治疗知情同意书、住院超30天讨论记录，以及医患对话结构化整理为综合病史（主诉、现病史、既往史、个人史、月经婚育史、家族史）等。

3.2 医学文献检索与启动页资讯

当您使用文献参考功能时，本应用可能向 PubMed、Europe PMC 等公开医学数据库发送经脱敏的诊断检索词，以获取文献摘要与链接。这些机构对其收到的请求有各自的隐私政策。

若您在「设置 → CpubMed 中文文献库」保存个人 API 签名并启用该功能，检索还会把经脱敏的检索词与该签名通过 HTTPS 发往 cpubmed.openi.org.cn。签名只保存在本机钥匙串，用于向该服务表明您的个人授权；我们不接收、不转存该签名。您可在同一页面清除签名并停用。

「设置 → 启动页每日推送」默认开启。开启时，应用会向 PubMed（NCBI E-utilities）发送当前科室的主题检索词，以获取题名、期刊与 PMID，并缓存在本机。该请求不包含患者姓名、住院号或病历正文。您可随时关闭此开关。

3.3 语音输入与图像识别

• 查房语音转写：使用 Apple 语音识别。设备支持端侧识别时在本机完成；设备不支持时，系统可能将音频交由 Apple 处理。我们不接收、不保存这段音频。
• 录音转文书：您可现场录音或导入音频文件。应用在本机保存一份可回放、可删除的录音副本。识别使用 Apple 语音识别，且未强制仅在设备端完成，因此音频可能由 Apple 的语音识别服务处理。识别后的文字若用于 AI 整理文书，按第 3.1 节经脱敏后发往您配置的大模型。我们不运营语音服务器，也不把音频发到开发者服务器。
• 语音输入（第三方键盘）：您仍可搭配第三方键盘（如豆包输入法等支持语音输入的键盘）实现流式语音转文字；该键盘的数据处理请参阅其隐私政策。
• 通用报告图片识别：默认在您的设备上完成识别与脱敏，图片不会上传至外部 OCR 服务。
• 专用“化验单 OCR”：仅在您主动选择并明确同意后使用。若您配置了 OCR统一识别代理，所选原始图片会先通过 HTTPS 发送至该代理，再转发至阿里云 OCR统一识别；代理不可用时，应用可能将图片发送至您配置的阿里云百炼 DashScope OCR；云端均不可用时自动改用本地 OCR。原始图片上传前无法保证已完整遮挡姓名、住院号、机构等信息。随附代理实现仅在内存中处理请求，不持久化图片，但代理部署环境与阿里云会按各自规则处理请求。
• 增强识别包（可选）：您可在设置中安装增强本地识别包；安装前应用会展示说明并要求您明确同意。当前公开发布版本未配置远程模型清单，安装时把应用内置的开源百度 Paddle OCR模型复制到本机，此过程不联网。若将来版本配置了远程清单地址，则仅在您同意后从该 HTTPS 地址下载模型文件。患者图像与识别过程仍在设备本地完成，不会因该包把图片上传至外部服务。您可随时删除该包。

3.4 蓝牙传输（发送到电脑）

当您在文书预览页主动点按「一键蓝牙传输」时，应用可通过本机蓝牙（BLE）将您确认发送的文书纯文本写入您插入电脑 USB 口的蓝牙键盘接收器（如 BLE Input Bridge）。接收器以标准 USB 键盘方式，把文字输入到电脑当前光标所在位置，便于写入 HIS 等系统。电脑端无需安装本应用的插件。

• 仅在您点按发送并确认后传输；OCR 脱敏核阅期间禁止发送。
• 传输发生在手机与接收器之间的近场蓝牙链路。部分接收器不提供 BLE 配对加密，内容可能被近距离设备嗅探。请仅在工位使用，发送完毕可拔出接收器。
• 本应用不会经该通道将病历上传至开发者服务器；接收器固件在电脑侧表现为键盘输入，不经过我们的云端。
• 当前版本不包含局域网 / Wi‑Fi「发送到电脑」功能。

3.5 网络连接弹性与自动重试

为提升网络不稳定环境下的使用体验，本应用在与 AI 服务或文献检索服务的通信中实现了自动重试与退避策略：当网络临时中断或服务暂时不可用时，应用会在有限次数内自动重试请求，并在重试间隔中逐步延长等待时间，以减少对第三方服务的冲击。 此过程不涉及额外数据收集，所有重试均使用原请求的同一份脱敏内容。

3.6 会员与 Apple 订阅

App Store 正式版在首次打开后提供 30 天免费试用。试用起算时间保存在本机钥匙串，只用于判断试用是否仍有效，不包含患者信息。 试用结束后，可购买月度、季度、半年、年度或终身会员，或恢复此前购买。付款、发票、取消与退款由 Apple 处理。 本应用通过 StoreKit 在本机核验当前 Apple ID 是否拥有有效会员，不向开发者服务器上传交易收据、Apple ID 或病历。

3.7 我们不会做的事

本应用不会通过远程推送或广告网络收集或使用您的个人信息；不会将病历同步或留存至自有云端病历库；不会接收您的银行卡号。您主动启用专用“化验单 OCR”时发生的单次图片转发、录音转文书时可能发生的 Apple 语音识别，以及您启用 CpubMed 或启动页资讯时的文献检索除外，具体边界见第 3.2、3.3 节。

四、第三方服务说明

除 Apple 系统提供的基础能力（如相机、麦克风、通知、锁屏进度展示、系统语音识别等）外，本应用不包含独立的第三方广告或统计分析组件。

您主动启用 AI 或文献检索时，可能使用的第三方在线服务包括：

• 大语言模型服务（DeepSeek、阿里云百炼、讯飞星火、智谱 GLM、月之暗面 Kimi 等，以您的配置为准）
• 阿里云 OCR统一识别及您自行配置的 HTTPS OCR 代理
• 公开医学文献数据库（PubMed、Europe PMC；以及您启用后的 CpubMed / OpenI）
• Apple 语音识别（查房听写在设备不支持端侧识别时，以及录音转文书）
• Apple App Store / StoreKit（会员购买、恢复与状态核验）

请在使用前阅读相应第三方的服务条款与隐私政策。

五、设备权限

本应用可能在以下场景请求系统权限：

• 相机：拍摄检验报告等图片进行识别导入
• 相册：选择检查报告等图片进行识别导入
• 麦克风：查房语音转写与录音转文书
• 语音识别：将查房口述或录音转为文字；录音转文书以及设备不支持端侧听写时，音频可能由 Apple 处理
• 面容 ID / 设备密码：敏感操作前确认本人（含清空全部患者数据、管理 AI 密钥等）
• 通知：提醒您处理未完成的医嘱记录（通知中不包含患者姓名）
• 锁屏与灵动岛进度：后台生成文书时在锁屏展示进度（仅显示床号，不显示姓名）
• 蓝牙：连接 USB 蓝牙键盘接收器，将您主动确认发送的文书以键盘输入方式传到电脑光标处

本应用不会请求访问健康数据、定位、通讯录等权限。

六、患者信息与隐私保护

• 您可在本机录入患者相关信息以完成临床文书工作；界面以姓氏尊称展示（如「张先生」），录入时仅需填写《中国姓氏大辞典》范围内的单姓或复姓，不要求填写全名。
• 向 AI 发送内容前，我们会尽量去除姓名等直接标识；您仍应在分享或发送前自行核对内容。
• 检验报告等通过拍照/相册识别时，识别结果在保存前提供复核界面，供您确认或修改。
• 后台生成文书时，锁屏与灵动岛仅显示床号。
• 切换至其他应用或长时间离开后，界面可能显示隐私遮蔽，并在返回时要求验证，以降低他人窥视风险。

七、数据安全

• 病历与敏感草稿在本机加密保存；系统钥匙串用于保护您的 AI 密钥与加密材料。
• 与 AI 服务商及 OCR 代理的通信采用 HTTPS 加密连接；正式版不接受明文 OCR 代理地址。
• 在检测到设备存在严重安全风险时，可能限制临床功能的使用，以保护数据安全。
• 复制临床正文时，系统剪贴板会设置较短的有效期，以降低内容长时间残留的风险。
• 应用在发生网络切换（如 Wi‑Fi 与蜂窝数据切换）时主动关闭旧连接并重建安全连接池，防止因底层连接失效导致的加密会话泄露。

八、导出、删除与留存

您可以通过以下方式管理数据：

• 导出加密备份：设置 → 数据与安全 → 导出加密 JSON 快照
• 导出 PDF / Word：各文书页面的分享功能
• 删除单个患者：首页在院列表左滑删除
• 清空全部患者：首页在院列表右上角（需设备验证）
• 删除本地资料：设置 → 本机资料设置 → 删除本地资料（需设备验证）。将删除本机病历、查房数据、加密草稿与昵称等本机资料
• 清除缓存 / 加密草稿：设置中相应选项。清除加密草稿不会删除本机资料
• 停用 CpubMed：设置 → CpubMed 中文文献库 → 清除个人签名
• 管理会员：设置 → 订阅与会员，或通过 Apple 的订阅管理页面取消。卸载应用不会自动取消订阅
• 卸载应用：将删除本机上的全部应用数据

已向第三方 AI/OCR 服务发送的内容，我们无法代为删除；您可在该服务商处按其政策处理，并可在本应用中清除或更换 AI 密钥及 OCR 代理配置。随附 OCR 代理实现不持久化图片或识别文字。

九、儿童隐私

本应用面向医疗专业人员，并非面向 13 周岁以下儿童设计，也不会故意收集儿童个人信息。 若您认为有儿童在未授权情况下使用了本应用，请通过下方邮箱联系我们。

十、医疗免责

本应用为病历书写辅助工具，不提供诊断、处方或急诊服务。 AI 生成内容仅供参考，不替代执业医师的判断。出现危急病情请立即就医。

十一、政策更新

我们可能更新本政策。重大变更时，应用内可能要求您重新阅读并确认。 最新版本可在本页面或应用内「设置 → 隐私与数据范围 → 隐私政策」查阅。

2026-10-03 更新摘要：补充本机资料（昵称、书写环境、科室）、30 天试用与 Apple 会员、月之暗面 Kimi、可选 CpubMed 中文文献库、启动页 PubMed 科室资讯、门诊病历与转入记录。更正语音说明：查房听写在设备支持时于本机完成，录音转文书的音频可能由 Apple 语音识别处理；我们仍不接收音频。增强识别包在当前公开发布版本中从应用内置模型安装，不联网下载。会员收据不上传至开发者服务器。

2026-09-19 更新摘要：蓝牙「发送到电脑」已上线：仅在用户确认后，通过 BLE Input Bridge 等 USB 键盘接收器将文书纯文本输入到电脑光标处；说明近场明文风险，并补充蓝牙权限用途。当前版本仍不包含局域网 / Wi‑Fi 发送。

2026-08-14 更新摘要：新增可选的阿里云 OCR统一识别代理及三级回退说明；明确专用“化验单 OCR”会在用户同意后发送所选原始图片、代理仅内存转发且不持久化图片，并补充代理地址、令牌与 RAM AccessKey 的存储边界。

2026-07-18 更新摘要：取消床头卡图片识别功能；取消百度 OCR 云服务，改用开源百度 Paddle OCR 模型并嵌入增强本地识别包；取消局域网 / Wi‑Fi「发送到电脑」功能（后续将集成蓝牙传输模块）；姓氏录入范围由《百家姓》更新为《中国姓氏大辞典》。

2026-07-16 更新摘要：新增「医患对话结构化」功能说明：用户通过第三方键盘语音输入等方式录入的医患对话内容，可经 AI 结构化整理为综合病史（主诉、现病史、既往史、个人史、月经婚育史、家族史）并回填至入院记录高级模式；对话内容经脱敏后发送至用户自行配置的大模型服务处理。

2026-07-11 更新摘要：改为「一机一软件」模式（无需注册或登录，打开即用）；入院记录等文书场景改为搭配第三方键盘语音输入（不保存本地音频），查房语音转写医嘱功能保留不变；补充术前文书套件（术前讨论/术前小结/术者术前查看/手术审批表/手术知情同意书/手术记录/术后首次查看）、特殊治疗知情同意书、住院超30天讨论记录等文书类型的 AI 数据处理说明；新增增强本地识别包的下载同意与数据处理说明；新增百度 OCR（可选）作为第三方 OCR 服务的说明。

十二、联系我们

如对本政策或数据处理有疑问，请联系：

• 开发者：叶海波
• 电子邮箱：m1568_mbtqqsozoz@aka.yeah.net
• 应用内：设置 → 隐私与数据范围 → 联系开发者