隐私政策

一、概述

「宠物 AI 管家」（下称「本 App」）是一款本地优先的宠物记录应用。本政策说明我们在你使用本 App 及配套网站服务时，如何处理与保护你的信息。

二、本地数据

• 宠物档案、记录（含支出记录）、照护计划、提醒与附件默认存储在设备本地的应用数据库中；本 App 不启用 iCloud/CloudKit 同步。
• 凭据（登录会话、匿名安装令牌、你选择「记住密码」时保存的密码）存储在设备本机的 Keychain 中，不会进入应用数据库或日志。
• 记录导出（JSON/CSV）完全在本机生成，由你自行决定如何分享。

三、账号与云同步（可选）

你可以在 App 内选择登录账号并开启云同步。开启后，以下信息会通过 HTTPS 传输并保存在我们的服务器（位于中国大陆）上：

• 身份信息：使用 Apple 登录时，我们保存 Apple 标识符的哈希值，不保存你的 Apple ID 本身；使用用户名密码登录时，我们保存用户名与密码哈希（Argon2id），永不保存明文密码。
• 设备信息：登录设备列表（设备标识与注册时间），你可以在 App 内随时撤销某台设备。
• 同步内容：宠物档案、记录（喂食、体重、疫苗、就医、日常、支出等）、照护计划、提醒，以及你选择上传的照片和文件附件（单个不超过 20 MB）。附件以私有方式存储，下载链接限时有效且需授权。

访客（未登录）状态下的本地数据不会自动上传；将访客数据导入账号需要你在 App 内明确确认。关闭同步或删除账号后，你可以继续以本地方式使用本 App。

四、AI 助手

AI 助手需登录账号并授予明确的第三方 AI 处理同意后方可使用，该同意可随时撤销。

发送给 AI 的内容（最小化）

• 你主动输入的文字（或本机语音转写、截图识别得到的文字）；
• 完成当次操作所需的宠物候选显示名称（不含本地唯一标识、完整档案或全部记录）；
• 参考时间、时区与能力说明。

上述内容会经由我们的服务器转发给受控的第三方大模型服务（当前为 DeepSeek）用于理解你的意图。AI 查询与月度、年度汇总的实际计算在你的设备本机完成：月度分析最多回传当月 50 条经裁剪的明细，年度分析只回传数值汇总。支出记录不参与任何 AI 处理。

本机处理

• 图片文字识别（OCR）与语音转写均在设备本机完成，照片与音频不会上传。

AI 输出与写入

AI 返回的内容经过严格校验后仅作为「待审核草稿」呈现，任何写入（新增、修改、删除记录、计划或提醒）都必须由你在 App 内逐项确认；我们不会授权 AI 直接改动你的数据。

五、通知与系统权限

• 通知：照护提醒通过设备本地系统通知送达，我们不使用远程推送，也不会通过通知渠道获取你的设备在线状态。通知权限由你在系统设置中控制。
• 照片图库：仅在你主动选择照片作为头像、日记或附件时访问，选取范围由系统照片选择器控制。
• 麦克风：仅在你主动使用语音输入时用于本机转写。
• 本 App 不申请定位、通讯录、广告标识符等其他权限，不进行跨 App 追踪。

六、日志与诊断

为保障服务质量与安全，服务端会记录请求的技术元数据（时间、结果状态、限流计数等）。日志经过脱敏处理：不保存你的原话、宠物名称、记录内容、令牌、密码或模型原始输出。

七、安全措施

• 全部传输使用 HTTPS 加密；
• 令牌、密码等凭据以哈希形式存储，明文只存在于你的设备 Keychain；
• 第三方服务密钥加密存储，与你的账号数据隔离；
• 服务器实施访问控制、限流与受控审计，管理员后台与业务数据权限分离。

请注意，任何系统都无法保证绝对安全。如发现安全问题，欢迎通过第八章方式告知我们。

八、数据保留与删除

• 本地数据：随 App 卸载删除；你也可以随时导出备份。
• 设备撤销：在 App 内撤销某台设备会立即终止其云访问。
• 删除账号：你可以在 App 内发起删除账号，账号及关联的云端宠物事实与附件将进入删除流程并被移除；访客本地数据不受影响。
• AI 同意：撤销同意后，App 将停止新的 AI 请求并丢弃未处理的审核草稿。

九、未成年人

本 App 面向一般用户，不针对 14 周岁以下儿童收集个人信息。如你未满 14 周岁，请在监护人陪同下使用，并由监护人代为同意本政策。

十、第三方服务

除上述情形外，我们不出售、不出于广告目的共享你的任何信息。

十一、政策变更

功能演进可能带来数据处理方式的变化。重大变更时，我们会在 App 内或本页面显著位置提示，并更新「最后更新」日期。

十二、联系我们

如对本政策或个人信息处理有任何疑问、意见或申诉，请通过 App 内「设置 → 帮助与反馈」联系我们，并附上页面显示的请求编号以便定位问题。请在反馈中不要提交访问令牌、密码、完整宠物档案或医疗附件。