隐私政策

1. 适用范围与个人信息处理者

本隐私政策适用于 拾光回忆录 · Star Memoirs AI 的国际移动版本，由 感悦（上海）科技有限公司（以下简称“我们”）提供和运营。注册地址为 中国（上海）自由贸易试验区临港新片区宏祥北路83弄1-42号20幢118室。隐私请求请联系 contact@happysense.cn。我们是通过所运营服务处理个人信息的责任控制者。

我们对所运营服务中的个人信息处理承担相应责任。您自行连接的模型账号、云盘或分享工具由对应服务商提供，其账号及服务同时适用对应的隐私政策。

本政策也适用于 https://pickmemo.happysense.cn 官网。应用正式公开下载、微信正式版本和会员收费尚未开放；本政策说明现有开发／测试版本及后续开放相应功能时的处理方式，未开放功能不会仅因阅读政策而启用。大陆版联网服务须在满足适用的境内处理或出境条件后开放。

3. 我们处理哪些信息以及用途

本地记录：您输入的文字、书名、录入时间、采访消息、原话修订与授权、回忆录计划、手稿及历史版本，用于保存、搜索、核对和整理您的资料；您选取的照片和录音用于本机展示、播放和导出。目前文字采访不读取照片内容。

文字 AI：在有效的后台连接和对应发送授权下，所需原话、近期对话、选项回答、整合授权和既有计划会发送到独立后台及其模型；沿用个人模型连接时，相关材料发送到已配置的 OpenRouter 模型。用途是生成采访回复和编排计划。

公开核查：只有您确认待查关键词并发起查询后，公开学校、机构、地名或历史关键词才会交由 AI 与搜索服务处理。核查结果、来源链接和查询时间用于展示与留存依据；核查不会自动更改原话。

语音：发送短语音消息后，原音频保存在设备，并自动经拾光回忆录HTTPS网关交给火山引擎豆包语音识别转写，可能产生识别费用；不需要另行开启开关或逐条点击转写。断网保留待处理任务，联网后查询同一任务，不自动重复已提交但结果未确认的识别；用户主动重试终态任务可能再次计费。服务端临时音频在处理结束、失败或到期后清除；结果最长保留24小时，设备保存后申请清除，仅保留防重复计费所需的散列身份、文件指纹和任务收据，供应商保留按其政策执行。iOS 未完成转写的旧聊天录音附件也经豆包网关连续分段识别，不设整段识别时长上限，逐段保留进度后接续，已有原话不会重新识别或覆盖；设备存储与服务额度仍适用。iOS 不再调用系统语音识别，其他平台以相应功能说明为准。实时语音采访仍通过网关和火山引擎处理音频、会话标识、网络信息与字幕，每次接通自动发送当前书有限的已保存对话、当前修订原话和回忆录目录及节选以接续采访，不读取其他书籍或未保存草稿，语音网关不保存这些文字上下文，目前不保存实时通话录音。

录音识别：您主动提交亲人录音识别时，音频、文件信息和任务标识发送到配置的录音网关及火山引擎语音识别服务，生成带说话人和时间的转写；正文编排另按授权将相关文字发送到模型服务。

云同步：您连接后，书架内书籍、对话、草稿、历史和聊天附件发送到所选 iCloud 或 Google Drive 的应用私有空间。Google 授权还处理账号邮箱、账号标识及令牌以识别同步账号；仅使用 Drive 应用数据权限，不读取您网盘中的其他文档。独立亲人录音资料库不随书架自动同步。

运行与凭证：联网接收方会处理必要的 IP 地址、连接、任务和用量信息。个人模型密钥、服务凭证及云授权令牌用于请求鉴权；模型密钥与服务凭证存放于设备安全存储，不进入资料备份。

iOS 自动写作接入：允许当前书使用 AI 采访与成书后，应用向拾光回忆录写作后台提交独立随机安装标识、恢复密钥和授权版本，以申请或续期本设备账号；服务器保存标识与密钥的哈希、有效期、刷新时间及匿名网络限流计数。恢复密钥和访问凭证仅保存在本机安全存储，不进入资料备份；身份申请不发送原话或触发模型。逐书确认后原话、对话、整合授权和计划经后台与 OpenRouter 交所选模型处理，照片和录音原文件不会随此操作发送。写作授权独立于语音授权，恢复书籍后需重新确认。

首次引导资料：支持该引导的版本会保存您选择的初始回复方言和性别选项（可以选择不透露），与随机安装账号关联发送至我们的后台，不与书籍正文合并。性别不进入书稿或模型提示；后台保存最初提交值，不因之后更改语音方言而覆盖。断网时暂存待提交副本，服务器确认后清除本机性别及待上传副本；撤回或删除后台资料可通过 contact@happysense.cn 申请。

微信版本：现有开发版使用随机安装身份和本机存储，不向我们申请微信昵称、头像、手机号、通讯录或微信聊天记录，也不通过微信登录取得 OpenID。您主动选择的文件、录音和按书授权的文字才用于相应功能；经微信客户端与平台的处理也适用其隐私规则。微信版尚未正式注册发布，正式开放时将提供与实际接口一致的微信隐私保护指引；未来新增微信账号登录或同步时将先更新告知并取得所需授权。

4. 适用时的法律依据

适用 GDPR、英国 GDPR 或同等规则时，为执行您请求的功能所必需的处理，在适当情况下以履行合同的必要性为依据。可选权限和需要同意的处理依赖您明确作出的选择；依法必须披露的信息以法定义务为依据。

必要的安全及服务完整性处理，在考虑您的权利后可基于正当利益。特殊类别数据还需适用额外条件，例如明确同意；一般服务同意并不足够。您可以撤回对未来处理的同意，撤回不影响此前合法处理的效力。

5. 设备权限与拒绝方式

麦克风仅用于您发起的录音、按住说话及实时语音。iOS 转写使用豆包，不再申请系统语音识别权限；拒绝麦克风权限会影响录制声音，但不影响已有录音转写、本地文字记录、阅读和导出。其他平台按其系统权限设置处理。

照片和文件通过系统选择器选取。应用不要求读取全部照片库、通讯录、短信或精确位置。您可以在设备设置中更改权限；撤回权限不会删除已有录音或文字。

首次进入主界面后，应用提前请求麦克风权限，iOS 不再请求系统语音识别权限；授权本身不会启动录音或识别。iOS 还会向 pickmemo.happysense.cn 的公开健康接口发起一次不含原话、音频、身份标识或凭证的联网请求，以提前触发系统可能出现的 WLAN/蜂窝网络提示；接收方会收到必要的 IP 与连接信息。Android 与鸿蒙的联网权限由安装声明处理，不提供同样的系统弹窗。已处理的权限不会在录音或通话时再次申请，拒绝后可到系统设置调整。

6. 接收方与第三方组件

OpenRouter：用于文字采访、回忆录编排及公开核查，接收必要提示、上下文、查询、模型与请求信息，并转交所选模型提供方。公开查询目前使用 OpenRouter 的 Exa 搜索组件，接收确认后的关键词。不同模型提供方的保存、训练使用与处理地区可能不同，本应用不能对其作统一的零保存或不训练承诺。

火山引擎语音服务及其官方 SDK：用于您主动发起的实时语音采访和录音转写，处理对应音频、字幕、会话及必要的设备和网络信息。首次进入主界面时可提前申请麦克风权限，实际音频采集仅在您发起对应功能后开始。

Apple iCloud / CloudKit 和 Google Drive 处理同步材料及必要的账号与鉴权信息。Android 使用 Google 登录组件，iOS 使用系统网页授权和 Drive 接口。您配置的后台和网关接收对应功能所需的材料。

我们不出售您的回忆录或原话，当前应用没有广告或广告追踪 SDK。我们会按您主动分享或导出的指示、合法要求，或具备适用保障的业务转移披露信息。自行选择的提供者的角色与责任取决于您使用的服务。

8. 保存期限、安全与删除边界

本地原话、会话、附件、草稿和恢复版本保存至您通过现有功能删除相应资料或卸载应用。修改回忆录不会删除全部先前版本。系统规则可能使设备安全存储中的凭证在卸载后继续保留。

我们的录音及语音转写网关在处理完成、失败、删除或到期后清除临时音频，转写结果最多保留24小时，设备确认保存成功后可提前清除。实时语音网关通过内存转发声音和字幕，不将其保存为通话录音。已同步到回忆录后台的资料用于持续采访和成书，在提供该书服务期间保存。为防止重复处理和履行法定义务，最小任务收据、会员及账务记录可独立保留。您自行选择的第三方服务适用其公布的保存期限。

服务日志用于安全保障、故障排查及运行维护，应用日志不记录完整原话、音频或访问凭证。日志和恢复备份仅在实现相应用途所需或法律规定的期间保留。资料从使用中的存储删除后，既有恢复备份按其备份生命周期处理；依法需要留存的副本仅用于履行该义务。

关闭 AI、断开云同步或撤回权限会停止相应后续处理，但不会自动撤回已经发送的请求、删除已存在的云端文件或销毁您导出的副本。请分别管理设备、云服务及相关接收方的资料。

我们采用应用私有存储、系统凭证保护、传输保护、访问限制及任务隔离等措施。不能承诺绝对安全或将应用描述为端到端加密服务；云同步和模型服务需要按其处理方式访问材料。发生依法应通知的安全事件时，将按法律要求通知并采取补救措施。

9. 您的权利与联系途径

您可以在应用中阅读、搜索和导出原话与正文，核对转写并执行已确认纠错，调整设备权限，关闭 AI 或断开同步。导出 HTML 和完整备份可能包含完整原话及历史资料，分享前请核对范围。

视所在地而定，您可以请求查阅、更正、删除、可携带、限制或反对处理，并撤回同意。欧洲经济区和英国居民可向有管辖权的监督机构投诉。请求请发送至 contact@happysense.cn。我们仅核验合理必要的信息，并在适用法定期限内答复；GDPR 或英国 GDPR 下一般为一个月，依法延长时会作说明。

本地使用不要求应用账号；第三方账号由各提供者管理。使用运营方后台账号时，可向运营方申请关闭账号和相关数据处理。仅在设备中保存的信息可能需要您在本机管理。

10. 适用时的加利福尼亚补充条款

适用 CCPA/CPRA 时，收集的信息类别为标识符（账号、IP 和任务标识）、您提供的内容、音频或选取的图片、互联网／网络信息及上述服务使用信息。来源为您、设备和所连接的服务。目的与接收方类别见第3及第6节，保留期限见第8节。

我们不出售个人信息，也不为跨情境行为广告共享信息，不使用敏感信息推断广告特征。您可以请求知悉／查阅、更正或删除，委托授权代理人，且不受违法歧视地接受服务。请联系 contact@happysense.cn；适用请求期限，对可核验请求一般为45天。由于无广告出售／共享，无需退出该行为；我们不会忽视适用的浏览器或设备隐私信号。

11. 未成年人及他人信息

本服务面向成年人，不针对不满13岁或当地独立使用最低年龄更高的儿童。高于该门槛的未成年人仍需法律要求的监护人参与。我们不会有意向低于适用年龄门槛的儿童提供独立服务。

请勿在缺少适当授权时上传他人的录音或敏感信息。若认为儿童信息在无法律依据的情况下被提供，请联系 contact@happysense.cn 请求核查和处理。

12. 会员与购买信息

服务器处理设备会员身份、试用期限、Apple签名交易标识、商品期限、退款状态及礼品码兑换记录。礼品码以不可逆摘要保存，支付卡信息由Apple处理，应用不获取完整卡号。会员信息与书籍正文分开保存，仅用于验证、恢复权益、防止重复兑换及必要账务记录。

国际版会员不包含印刷或到家配送。我们不作为该会员服务的一部分收集印刷稿或收件信息。

13. 政策更新

版本为 1.1.1，更新日期为 2026-10-08，生效日期为 2026-10-08。我们会在应用协议页面公布更新；处理目的、方式、种类、接收方或权利发生重大变化时，将作显著告知，并在依法需要时重新取得相应同意。继续阅读或使用本地功能不会自动构成对新增可选处理的同意。