SkulptAI — 隐私政策

本页为方便阅读所提供的译文。英文版为正式文本，如有歧义，以英文版为准。

SkulptAI 隐私政策

第 1 节

数据收集

A. 个人身份信息（PII）

身份信息（发送前剥离）敏感

我们为账号管理收集你的姓名、电子邮箱和用户 ID。这些数据在任何 AI 处理之前都会被剥离，绝不会发送给第三方 AI 服务。

精确位置（发送前剥离）敏感

我们仅在内部使用你的精确 GPS 坐标，以获取高精度的环境数据。该数据会被立即剥离，绝不会与 AI 共享。

B. 临床与情境数据（与 AI 共享）

用户资料

年龄、性别、肤质、病史与目标。

环境数据

大致位置（城市、国家）、紫外线指数和空气质量指数（AQI）。

皮肤分析数据

IGA、CEA、水润度评分等指标，以及护肤记录。

你自行申报的医美治疗记录敏感

若你选择回答，我们会保存你是否注射过填充剂、治疗的面部区域，以及大致时间。这是一条由你自行输入的医美记录，不会从你的扫描中推断。数据保存在你自己的账号区域（users/{你的 ID}/fillerHistory），用于调整容积结果的呈现方式，详见“容积分析免责声明”。你可以随时修改或清除，删除账号时也会一并移除。若你授权某家诊所访问，该记录可能与其共享，详见下方“数据使用”。

C. 生物识别与图像数据

面部图像敏感

通过皮肤分析功能拍摄的图像，用于计算我们专有的皮肤指标。图像仅临时处理，绝不会用于人脸识别、身份识别或生物特征画像。

重要披露：面部数据的收集与使用

当你使用皮肤分析功能时，我们按以下方式处理面部图像：

我们采集的内容

快速扫描：使用前置摄像头拍摄的单张照片（可能包含 TrueDepth 深度信息），或使用后置摄像头（“扫描朋友”模式，仅 2D，不使用 LiDAR）。3D 扫描：使用前置 TrueDepth 摄像头拍摄的短片段，用于面部几何分析。

设备端处理

面部特征点检测在你的设备本地执行，使用 Apple Vision 和 ARKit 框架。深度图、3D 面部网格和面部纹理绝不会离开你的 iPhone。

AI 分析 — 实际发送的内容

快速扫描会将照片发送至 Google Gemini AI；当 TrueDepth 可用时，还会以提示文本的形式一并发送六个面部区域由深度推算的线条测量值（以毫米为单位），以及你的面部到摄像头的距离。3D 扫描则发送从拍摄中提取的静态帧。我们明确说明这一点，是因为“3D 扫描留在你的 iPhone 上”这句话对深度图和网格而言是真实的，但单独来看会造成误解：由该深度数据推算出的数值，确实会随请求一并发送。除此之外，不会发送任何其他由你面部衍生的数据。

我们绝不会做的事

我们绝不会将面部数据用于人脸识别、身份识别、身份验证或生物特征画像，也绝不会将面部数据出售给第三方。

保留期限

面部图像不会存储在我们的服务器上。Google 端出于处理目的最长保留 48 小时，之后图像会被自动清除。

你的控制权

你可以随时通过“设置 → 删除我的数据”（Settings → Delete My Data）删除所有衍生的分析数据。

第 2 节

核心隐私保障：数据剥离

在任何数据发送至外部 AI 模型（Google Gemini）之前，本应用都会强制执行个人身份信息剥离机制。这确保你的临床数据与你的身份保持分离。

✓应用会自动移除所有直接的个人身份信息（姓名、邮箱、精确 GPS 坐标）。

✓AI 服务只会收到提供安全且准确建议所需、且无法识别个人的情境信息（年龄、肤质、城市、紫外线指数）。

✓你的身份与敏感个人数据，绝不会以可识别的形式离开你的设备。

第 3 节

数据使用

你的数据仅用于提供和改进本应用的核心功能：

服务提供

用于生成个性化的护肤建议与每日洞察。

安全性与偏差缓解

确保建议对你的菲茨帕特里克肤质分型和病史而言是安全的。

服务改进

经去标识化并汇总的数据，可能用于提升我们皮肤分析算法的准确性与公平性。

与诊所共享数据（可选）

你可以选择将数据与皮肤科医生或护肤诊所共享。共享需经你明确同意，并会生成具有时效性的二维码。访问权限按类别授予，而非全有或全无：扫描结果、你的 Facial Aesthetic Score、你的护肤流程，以及你自行申报的医美治疗记录，各自由独立的权限管理。你申报的填充剂记录，只有在你授予治疗记录权限时才会释放。诊所无法访问任何你未授权的内容，且每一次访问都会被记录以备你查阅。

第 4 节

数据存储与安全

数据保留

你的数据保留期限如下：扫描数据 2 年、护肤流程 1 年、临床扫描 5 年（作为医疗记录）、匿名化研究数据 10 年。期满后数据会自动归档或删除，除非你要求提前删除。

AI 供应商获得的数据

由于我们只传输不含个人身份信息的情境数据，AI 供应商收到的仅为匿名化的情境数据。

图像处理方式

面部图像用于计算指标。在生成这些指标的过程中，原始图像可能被临时存储，但会通过加密加以保护，且不会用于任何其他目的。

安全措施

✓静态数据加密（AES-256，通过 Google Firebase）

✓传输加密（TLS 1.3）

✓敏感凭证存储于 iOS 钥匙串

✓应用沙盒化与最小权限原则

第 5 节

你的权利

根据适用的数据保护法律（包括 GDPR），你享有以下权利：

访问

要求获取我们所持有的关于你的个人数据副本。

更正

要求更正你资料中任何不准确的个人身份信息。

删除（被遗忘权）

要求删除你的账号及所有相关数据，也可直接在应用设置中启动该流程。

退出研究使用

要求不将你的匿名化数据用于未来的算法改进。

第 6 节

AI 数据共享同意

本节说明个性化建议请求，这与上文所述的扫描分析是分开的。在任何数据发送至 AI 服务之前，SkulptAI 会显示明确的同意对话框，清楚载明：

✓发送哪些数据： 皮肤扫描结果、年龄、性别、肤质、菲茨帕特里克分型、病史（过敏、用药、疾病）、生活方式、护肤目标，以及环境情境（城市、紫外线指数、空气质量）。

✓由谁接收： Google Gemini AI（付费 API 层级 — 数据不用于模型训练）。

✓此请求不会发送的内容： 你的姓名、邮箱、照片、精确 GPS 坐标、账号 ID、出生日期和族裔。所有个人标识符都会在传输前被剥离。扫描图像仅作为上文“面部数据”一节所述扫描分析的一部分发送，绝不会随这项建议请求一并发送。

✓用户控制权： 你可以随时在“设置 → 数据隐私”（Settings → Data Privacy）撤回 AI 数据共享同意。若你不同意，应用仍可继续使用，只是不提供 AI 建议功能。

第 7 节

容积分析免责声明

请理解容积数值是什么，以及不是什么：

✓它们不是对你面部的实际测量值。 容积数值是依据你的性别与族裔所对应的 30 岁人群参考值，减去 AI 从你的照片估算出的亏损量。该参考值是人群常数，不会根据眼前这张脸进行缩放，因此比该人群更大或更小的脸，结果都会出现偏移。

✓与你自己先前的扫描比较，才是可靠的用法。 两次扫描共有的误差会在比较中相互抵消。我们不支持以立方厘米表示的绝对数值，因为该传感器从未针对已知几何形状的物体进行过标定。

✓当两项读数彼此不一致，或两次扫描间隔太近而不具意义时，应用会保留结果，而不是显示一个无法支撑的数字。

✓容积分析仅用于健康自我监测，不能替代专业医疗评估。

✓填充剂 — 你告诉我们的内容 应用会询问你是否注射过填充剂、治疗了哪些区域，以及大致时间。这由你自行回答，不会从扫描中推断。你的回答会与个人资料一同保存，并可随时修改或清除。

✓该回答如何被使用 填充剂会改变扫描所读取的组织，因此你申报的治疗会调整结果的呈现方式：可能被填充剂遮蔽的区域会被标示出来；而在填充剂可能仍然存在的情况下，容积比较会被保留，而不是报告为你自身组织的变化。填充剂会逐渐被吸收，因此你提供的时间范围决定了这一判断。

✓本版本未启用从扫描自动检测填充剂的功能。 本政策的旧版曾将其描述为已上线的功能。应用不会尝试从你的面部几何检测填充剂，而是以“无法提供”的卡片取代该项分析，并仅依据你的申报运行。

✓医疗决策请务必咨询合格的医疗专业人员。

文件上传	最长 48 小时
内存缓存	24 小时
滥用监控	约 30 天