隐私政策

1. 适用范围与个人信息处理者

本隐私政策适用于 拾光回忆录 · Star Memoirs AI 中国大陆版本。感悦（上海）科技有限公司（以下简称“我们”）为本应用的运营方和个人信息处理者，注册地址为 中国（上海）自由贸易试验区临港新片区宏祥北路83弄1-42号20幢118室，联系邮箱为 contact@happysense.cn。

我们对所运营服务中的个人信息处理承担相应责任。您自行连接的模型账号、云盘或分享工具由对应服务商提供，其账号及服务同时适用对应的隐私政策。

本政策也适用于 https://pickmemo.happysense.cn 官网。应用正式公开下载、微信正式版本和会员收费尚未开放；本政策说明现有开发／测试版本及后续开放相应功能时的处理方式，未开放功能不会仅因阅读政策而启用。大陆版联网服务须在满足适用的境内处理或出境条件后开放。

3. 我们处理哪些信息以及用途

本地记录：您输入的文字、书名、录入时间、采访消息、原话修订与授权、回忆录计划、手稿及历史版本，用于保存、搜索、核对和整理您的资料；您选取的照片和录音用于本机展示、播放和导出。目前文字采访不读取照片内容。

文字 AI：在有效的后台连接和对应发送授权下，所需原话、近期对话、选项回答、整合授权和既有计划会发送到独立后台及其模型；沿用个人模型连接时，相关材料发送到已配置的 OpenRouter 模型。用途是生成采访回复和编排计划。

公开核查：只有您确认待查关键词并发起查询后，公开学校、机构、地名或历史关键词才会交由 AI 与搜索服务处理。核查结果、来源链接和查询时间用于展示与留存依据；核查不会自动更改原话。

语音：发送短语音消息后，原音频保存在设备，并自动经拾光回忆录HTTPS网关交给火山引擎豆包语音识别转写，可能产生识别费用；不需要另行开启开关或逐条点击转写。断网保留待处理任务，联网后查询同一任务，不自动重复已提交但结果未确认的识别；用户主动重试终态任务可能再次计费。服务端临时音频在处理结束、失败或到期后清除；结果最长保留24小时，设备保存后申请清除，仅保留防重复计费所需的散列身份、文件指纹和任务收据，供应商保留按其政策执行。iOS 未完成转写的旧聊天录音附件也经豆包网关连续分段识别，不设整段识别时长上限，逐段保留进度后接续，已有原话不会重新识别或覆盖；设备存储与服务额度仍适用。iOS 不再调用系统语音识别，其他平台以相应功能说明为准。实时语音采访仍通过网关和火山引擎处理音频、会话标识、网络信息与字幕，每次接通自动发送当前书有限的已保存对话、当前修订原话和回忆录目录及节选以接续采访，不读取其他书籍或未保存草稿，语音网关不保存这些文字上下文，目前不保存实时通话录音。

录音识别：您主动提交亲人录音识别时，音频、文件信息和任务标识发送到配置的录音网关及火山引擎语音识别服务，生成带说话人和时间的转写；正文编排另按授权将相关文字发送到模型服务。

云同步：您连接后，书架内书籍、对话、草稿、历史和聊天附件发送到所选 iCloud 或 Google Drive 的应用私有空间。Google 授权还处理账号邮箱、账号标识及令牌以识别同步账号；仅使用 Drive 应用数据权限，不读取您网盘中的其他文档。独立亲人录音资料库不随书架自动同步。

运行与凭证：联网接收方会处理必要的 IP 地址、连接、任务和用量信息。个人模型密钥、服务凭证及云授权令牌用于请求鉴权；模型密钥与服务凭证存放于设备安全存储，不进入资料备份。

iOS 自动写作接入：允许当前书使用 AI 采访与成书后，应用向拾光回忆录写作后台提交独立随机安装标识、恢复密钥和授权版本，以申请或续期本设备账号；服务器保存标识与密钥的哈希、有效期、刷新时间及匿名网络限流计数。恢复密钥和访问凭证仅保存在本机安全存储，不进入资料备份；身份申请不发送原话或触发模型。逐书确认后原话、对话、整合授权和计划经后台与 OpenRouter 交所选模型处理，照片和录音原文件不会随此操作发送。写作授权独立于语音授权，恢复书籍后需重新确认。

首次引导资料：支持该引导的版本会保存您选择的初始回复方言和性别选项（可以选择不透露），与随机安装账号关联发送至我们的后台，不与书籍正文合并。性别不进入书稿或模型提示；后台保存最初提交值，不因之后更改语音方言而覆盖。断网时暂存待提交副本，服务器确认后清除本机性别及待上传副本；撤回或删除后台资料可通过 contact@happysense.cn 申请。

微信版本：现有开发版使用随机安装身份和本机存储，不向我们申请微信昵称、头像、手机号、通讯录或微信聊天记录，也不通过微信登录取得 OpenID。您主动选择的文件、录音和按书授权的文字才用于相应功能；经微信客户端与平台的处理也适用其隐私规则。微信版尚未正式注册发布，正式开放时将提供与实际接口一致的微信隐私保护指引；未来新增微信账号登录或同步时将先更新告知并取得所需授权。

4. 设备权限与拒绝方式

麦克风仅用于您发起的录音、按住说话及实时语音。iOS 转写使用豆包，不再申请系统语音识别权限；拒绝麦克风权限会影响录制声音，但不影响已有录音转写、本地文字记录、阅读和导出。其他平台按其系统权限设置处理。

图片和文件通过系统选择器由您选取，应用不要求读取全部照片、通讯录、短信或精确位置。联网和音频路由权限用于相应连接及播放。您可以随时在手机系统设置中调整授权。

系统权限授权与个人信息处理同意分别管理。撤回权限只限制之后的访问，不会自动删除此前保存的文字或录音。

首次进入主界面后，应用提前请求麦克风权限，iOS 不再请求系统语音识别权限；授权本身不会启动录音或识别。iOS 还会向 pickmemo.happysense.cn 的公开健康接口发起一次不含原话、音频、身份标识或凭证的联网请求，以提前触发系统可能出现的 WLAN/蜂窝网络提示；接收方会收到必要的 IP 与连接信息。Android 与鸿蒙的联网权限由安装声明处理，不提供同样的系统弹窗。已处理的权限不会在录音或通话时再次申请，拒绝后可到系统设置调整。

5. 接收方与第三方组件

OpenRouter：用于文字采访、回忆录编排及公开核查，接收必要提示、上下文、查询、模型与请求信息，并转交所选模型提供方。公开查询目前使用 OpenRouter 的 Exa 搜索组件，接收确认后的关键词。不同模型提供方的保存、训练使用与处理地区可能不同，本应用不能对其作统一的零保存或不训练承诺。

火山引擎语音服务及其官方 SDK：用于您主动发起的实时语音采访和录音转写，处理对应音频、字幕、会话及必要的设备和网络信息。首次进入主界面时可提前申请麦克风权限，实际音频采集仅在您发起对应功能后开始。

Apple iCloud / CloudKit 和 Google Drive / Google 登录组件：用于您选择的云同步及账号授权，处理同步材料、账号标识和必要鉴权信息。Android 使用 Google 登录组件，iOS 使用系统网页授权及 Drive 接口。

拾光回忆录后台、语音网关和录音网关由我们运营，接收实现对应功能所需的材料、鉴权和任务信息。我们对所运营服务承担责任；委托服务商处理信息时，要求其依据约定用途及安全要求处理。您另行配置的第三方后台适用该服务商的处理规则。

应用当前未接入广告或广告追踪 SDK。我们不出售您的原话或回忆录。您主动分享、导出或使用第三方服务时，资料将依您的操作到达相应目标；依法向机关提供信息或因合并重组转移信息时，按适用法律履行必要程序。

7. 保存期限、安全与删除边界

本地原话、对话、回忆录、附件、草稿与恢复版本在设备中保存，直至您通过现有管理功能删除相应资料或卸载应用。历史版本、恢复副本和独立录音资料并不因修改当前正文而一并删除；卸载前请导出您要保留的资料。iOS 安全存储的凭证可能在卸载后由系统保留。

我们的录音及语音转写网关在处理完成、失败、删除或到期后清除临时音频，转写结果最多保留24小时，设备确认保存成功后可提前清除。实时语音网关通过内存转发声音和字幕，不将其保存为通话录音。已同步到回忆录后台的资料用于持续采访和成书，在提供该书服务期间保存。为防止重复处理和履行法定义务，最小任务收据、会员及账务记录可独立保留。您自行选择的第三方服务适用其公布的保存期限。

服务日志用于安全保障、故障排查及运行维护，应用日志不记录完整原话、音频或访问凭证。日志和恢复备份仅在实现相应用途所需或法律规定的期间保留。资料从使用中的存储删除后，既有恢复备份按其备份生命周期处理；依法需要留存的副本仅用于履行该义务。

关闭 AI、断开云同步或撤回权限会停止相应后续处理，但不会自动撤回已经发送的请求、删除已存在的云端文件或销毁您导出的副本。请分别管理设备、云服务及相关接收方的资料。

我们采用应用私有存储、系统凭证保护、传输保护、访问限制及任务隔离等措施。不能承诺绝对安全或将应用描述为端到端加密服务；云同步和模型服务需要按其处理方式访问材料。发生依法应通知的安全事件时，将按法律要求通知并采取补救措施。

8. 您的权利与联系途径

您可以在应用中阅读、搜索和导出原话与正文，核对转写并执行已确认纠错，调整设备权限，关闭 AI 或断开同步。导出 HTML 和完整备份可能包含完整原话及历史资料，分享前请核对范围。

如需查阅、复制、更正、补充、删除运营方持有的个人信息，撤回同意、解释处理规则，或在符合法律条件时转移个人信息，请联系 contact@happysense.cn。本地版目前不要求注册应用账号；第三方账号需向相应服务管理，使用运营方后台账号时可向运营方申请关闭账号并处理资料。

我们会在合理且必要的身份核验后，于收到请求之日起十五个工作日内答复；适用法律另有期限或允许延长时依法处理并说明。核验仅请求必要信息，不要求提供完整回忆录作为证明。拒绝或暂缓处理时说明合法理由及可用救济；您也可以向有管辖权的个人信息保护部门投诉。

9. 未成年人及他人信息

应用以具有相应民事行为能力的成年人为主要服务对象。未成年人使用应由监护人参与；涉及不满十四周岁未成年人个人信息时，应取得监护人的单独同意并适用专门处理规则。当前版本不向不满十四周岁儿童提供独立注册和使用服务。

录音和回忆录涉及亲属、访谈对象或其他人时，请取得所需授权并避免上传不必要的敏感信息。发现未经适当授权的儿童资料，可以通过隐私邮箱请求处理。

10. 会员与购买信息

服务器处理设备会员身份、试用期限、Apple签名交易标识、商品期限、退款状态及礼品码兑换记录。礼品码以不可逆摘要保存，支付卡信息由Apple处理，应用不获取完整卡号。会员信息与书籍正文分开保存，仅用于验证、恢复权益、防止重复兑换及必要账务记录。

中国区用户申请纸质版印刷及邮寄前，我们会单独告知所需印刷稿、收件人、联系电话和地址，以及承印方、配送方、用途和保存期限，并由您确认。开通会员或领取试用本身不会提交印刷稿或收件信息。

11. 政策更新

版本为 1.1.0，更新日期为 2026-10-08，生效日期为 2026-10-08。我们会在应用协议页面公布更新；处理目的、方式、种类、接收方或权利发生重大变化时，将作显著告知，并在依法需要时重新取得相应同意。继续阅读或使用本地功能不会自动构成对新增可选处理的同意。