日迹隐私政策
版本 1.8.0
# 日迹（Riji）隐私政策 **生效日期**：2026年10月26日 **版本**：1.8.0 欢迎使用日迹。我们重视您的隐私。本政策说明我们如何收集、使用、存储与保护您的个人信息。 官网语言偏好：仅在您主动切换官网语言时，浏览器保存 `website_language` Cookie，期限一年，内容仅为语言标签，不包含账号或唯一标识，不用于广告或使用统计。您可以清除浏览器 Cookie；禁用 Cookie 时仍可通过独立语言网址访问。 ## 一、我们收集的信息 | 类型 | 内容 | 用途 | |------|------|------| | 账号信息 | Apple 用户标识（apple_sub） | 登录验证、账号识别 | | 个人资料 | 昵称、生日、人生阶段、近期烦恼、语气偏好 | 个性化 AI 回复与画像冷启动 | | 日记与对话 | 您主动输入的日记正文、续聊文字与主动选择发送的图片 | 生成 AI 回复、图片理解、情绪记录；文字用于用户画像分析 | | 位置信息 | 可选提供的经纬度、主动发送的位置名称、地址与坐标 | 日记地点标注、天气展示、附近地点选择与位置聊天 | | 设备与日志 | IP 地址、App 版本、接口访问日志 | 安全风控、审核期识别、故障排查 | | 会员与支付 | Apple 交易 ID、商品 ID、订阅状态、到期时间、用于关联日迹账号的随机 UUID | 与 Apple 验证购买、恢复订阅、续费和退款；不保存完整收据或支付卡信息 | | 使用统计（可关闭） | 页面访问、功能操作及结果、订阅商品 ID 与购买操作结果、内部账号标识或 SDK 安装标识、设备与系统信息、App 版本、运行环境、会话标识和事件时间 | 通过 PostHog 分析功能使用情况，改进日迹体验 | 我们不会出售您的个人信息。 ### 聊天中的位置分享 附近地点搜索只过滤本次已返回的地点列表，搜索词不上传。主动点击聊天位置卡片时，App 会将该消息保存的地点名称和坐标传给本机地图：iOS 优先 Apple 地图，Android 由系统默认地图或选择器处理；无法打开时分别回退 Apple 或 Google 网页地图（Google 网页仅接收地点坐标）。不会重新获取当前位置，后续由您打开的地图服务商按其隐私政策处理。 您主动点击聊天位置按钮后，App 会请求使用期间的定位权限并获取当前位置，不进行后台持续定位。为展示附近地点，后台将坐标发送给高德地图 Web 服务做坐标转换与周边搜索，未配置服务或搜索失败时仍可选择发送当前位置。地点数据由高德提供，服务说明见[高德隐私权政策](https://lbs.amap.com/pages/privacy/)。 只有确认发送后，所选地点的名称、地址、精确经纬度和坐标系才作为聊天附件与您的账号、日记一起保存在自有服务器；仅打开或取消选择不会创建位置聊天记录。地点名称、地址和附言会作为用户消息交给 DeepSeek 生成回复，也可用于后续聊天上下文；位置附件的精确坐标不交给 DeepSeek。不将地点名称、地址或坐标写入使用统计，不在接口访问日志中记录坐标。删除关联日记或注销账号时一并删除位置附件。请勿分享不必要的敏感地点。 ### 时光邮局与灵感纸条 您主动寄出的信件标题、正文、开启日期及开启状态与日迹账号关联，存储在自有境内服务器的 SQLite 业务数据库，用于保存、跨设备同步及到期后读取。未到期的信件由服务端限制读取，列表接口不返回正文；这是一种访问控制，不是端到端加密。信件保留至您主动删除信件或注销账号，届时删除业务数据库中的关联信件。未寄出的草稿只保留在当前页面内存，确认放弃、离开页面或退出账号后清理。 信件不提交给 AI、内容审核供应商或 PostHog，不用于画像分析。灵感纸条从 App 内置题库在本机抽取；抽取、换题和收起均不上传、不调用 AI、不消耗额度。提交日记时，您选中的纸条编号及当时显示的问题会随日记保存到我们的服务器，并随相关日记和对话提交给 DeepSeek，作为聊天中的 AI 开场问题及后续上下文；不额外消耗 AI 次数。未选纸条时不保存问题，历史问题保留提交时的语言，不随之后的语言切换改写。问题随日记或账号删除，不进入 PostHog 使用统计。 ### 通知与语言偏好 使用 iOS 通知时，我们将 Apple 推送设备 token、推送环境、当前 App 语言与登录账号关联，保存在自有服务器，用于日记提醒、回访提醒及未拆信件的到期提醒。语言按设备保存；切换 App 语言、跟随系统语言变化或重新打开 App 时同步，不读取系统语言列表以外的额外个人内容。 通知通过 Apple Push Notification service（APNs）发送给该设备，仅包含通用提醒文案和内部账号／通知路由标识，不包含您的信件标题、正文、日记或聊天内容。我们记录发送状态以避免重复提醒，已拆开的信件不再发送到期提醒。您可在 iOS 系统设置关闭通知，不影响使用邮局或到期后拆信；投递是否展示由系统权限、网络及 Apple 服务决定。设备 token 在账号注销或被判定失效时清理。 设备还会提交系统的 IANA 时区标识（如 `Asia/Shanghai`），无需定位权限。设备注册保存时区；已登录业务请求也会同步时区，即使您未允许通知。账号以最近一次活跃设备同步的时区计算今日日记、连续天数、每日额度和信件日期，并安排当地晚 20 点日记提醒与早 9 点信件提醒。我们使用服务器真实时间，不采集手动修改后的手机当前时间；时区可随旅行或系统设置变化更新。时区保存在自有服务器，不作为新增属性发送给 PostHog；历史日记日期不重写，账号注销时清理关联时区信息。 ### 图片聊天 图片聊天是可选功能。您可以通过系统选图器选择图片，选中的图片先在输入框中预览，可随时移除；取消选择不影响文字聊天。只有您点击发送后，选中的图片才会上传到日迹服务器，每条最多 1 张、压缩后不超过 5 MiB。我们不扫描或上传整个相册，服务器会校验实际格式并重新编码以移除 EXIF、GPS 等元数据。 图片首先提交给**阿里云**做内容安全审核，通过后以图片内容与相关对话提交给 **DeepSeek（deepseek-flash）**，用于理解图片并生成回复。后续聊天可再次使用近期图片作为上下文。请勿发送身份证、银行卡、密码或其他不必要的敏感信息。图片不会进入 PostHog 使用统计。 ### 使用统计的具体范围与开关 在集成使用统计功能的 iOS / Android 版本中，我们通过 PostHog SDK 收集 App 打开、页面访问、日记开始编辑及保存结果、AI 消息发送及回复是否成功、宠物弹窗查看、订阅购买操作及结果、恢复购买操作等事件。统计记录的是操作类型和结果，不是您输入或收到的内容。 - **账号关联**：未登录时使用 SDK 生成的安装标识；登录后关联日迹内部账号标识（格式为 `riji:<用户ID>`）。这些数据可以关联到账号或一次安装，不是完全匿名数据；我们不向 PostHog 发送昵称、邮箱、手机号或微信账号标识。 - **不采集的内容**：使用统计不采集日记正文、聊天内容、AI 回复正文、心情标签、图片、经纬度、宠物卡片编号或场景、登录凭证、Apple 收据或交易 ID。此限制仅针对 PostHog 使用统计，不影响您主动使用日记、AI、天气或购买功能时所必需的数据处理。 - **设备与网络**：SDK 会附加设备、操作系统、App、会话和事件时间等信息。网络请求会向服务商暴露来源 IP；我们已禁用 PostHog 的 IP 地理位置推导，不将定位信息作为使用统计属性发送。 - **不用于广告跟踪**：本功能不读取 IDFA，不录屏或回放会话，不用于跨 App、跨公司广告跟踪。 - **默认与选择**：使用统计默认开启；您可随时在「设置 → 使用统计」关闭，点击旁边的信息图标可查看说明。关闭后停止收集新的使用统计数据，不影响登录、日记、AI、宠物或会员功能；已保存的关闭选择不会因正常重启或升级而被重置。关闭开关不会自动删除已经发送的数据。 ## 二、信息的使用方式 1. **核心功能**：写日记、AI 暖心回复、多轮续聊、日历回顾。 2. **用户画像**：系统在夜间批量分析您昨日的日记与对话，提取结构化画像，用于后续对话更懂您；请求过程中仅读取已有画像，不在每次请求实时重建。 3. **内容安全**：对用户输入与 AI 输出进行内容审核，拦截违规内容（违规内容不落库）。 4. **配额与会员**：统计每日交互次数，区分免费/Pro/Max 权益。 5. **产品改进**：分析页面访问、功能操作及订阅流程的使用情况，定位体验问题；使用统计开关不控制提供核心服务所必需的业务数据处理。 ## 三、信息的存储、保留与保护 - 日迹后台的账号、日记、对话及会员等业务数据存储于中华人民共和国境内的服务器（SQLite 数据库）。第三方服务按实现功能所需处理相关信息。 - **聊天图片**：元数据保存在数据库，图片文件保存在自有服务器私有磁盘目录，通过登录态和账号归属校验读取，不提供公开链接。图片随对话保留，注销账号时删除关联图片。发送失败或审核不通过的图片不会写入持久化聊天记录。 - **图片审核临时文件**：使用阿里云内容安全提供的临时上传区，不使用公开图片链接。按其[官方接口说明](https://help.aliyun.com/zh/document_detail/467829.html)，本地图片上传检测的临时文件保留 30 分钟。DeepSeek 按其服务条款和隐私政策处理生成回复所需内容；我们不将“本地存储”等同于第三方不处理或不保留数据。 - **PostHog 美国区**：使用统计数据从 App 直接发送至 PostHog US Cloud，在美国存储和处理。若您位于中国大陆或其他美国以外地区，这会涉及数据跨境传输。传输范围限于本政策列明的使用统计数据，不包含日记或聊天正文。 - **统计数据保留**：目前使用 PostHog 免费方案；其公开的事件保留窗口为 **1 年**。该窗口不等同于到期即彻底删除，超出窗口的数据可能不再可查询，删除需要单独处理，详见 [PostHog 事件保留说明](https://posthog.com/docs/data/events-retention)。如我们调整方案或保留安排，将同步更新本政策。 - Apple 用户标识与 Session 以哈希形式存储，不明文保存登录凭证。 - 我们采取访问控制、加密、日志审计等措施保护数据安全。 - 注销账号后，日迹后台为支付对账及防止重复领取，仅保留最小交易标识、匿名账号绑定及订阅状态；不会因此保留您的日记、对话或画像。 - **统计数据删除**：目前关闭统计或注销日迹账号不会自动联动删除 PostHog 中已发送的历史数据。您可以通过本政策末尾的邮箱申请查询或删除，我们会在核实必要的账号或安装关联信息后处理，并告知结果；请勿发送密码、验证码或日记正文。 ## 四、信息的共享与披露 我们仅在以下情形共享或披露信息： - **依法要求**：法律法规、诉讼、政府机关依法提出的要求。 - **服务提供商**：内容安全（阿里云/腾讯云）、AI（DeepSeek）、天气（和风）等，仅传输实现功能所必需的数据。 - **使用统计服务**：PostHog Inc.，使用 `posthog_flutter` SDK 和 PostHog US Cloud（美国区），接收本政策列明的使用统计事件及标识，用于产品分析。服务商说明见 [PostHog 隐私政策](https://posthog.com/privacy)。 - **经您同意**：在获得您明确授权的其他情形。 ## 五、您的权利 您有权： 1. **访问与更正**：在 App 内查看、修改个人资料。 2. **删除账号与数据**：在 App 设置中发起账号注销，永久删除日迹后台的账号及关联日记、对话、画像等数据；支付记录保留范围和 PostHog 历史数据的单独删除方式见第三节。 3. **关闭使用统计**：在「设置 → 使用统计」关闭，无需注销账号，也不会影响其他功能。您也可在系统设置中管理定位等权限；关闭相应权限仅影响依赖该权限的功能。 4. **查询、删除与投诉**：对使用统计或其他个人信息处理有疑问，或希望行使相关权利，请通过开发者邮箱联系我们。 ## 六、未成年人保护 日迹主要面向成年人。若您未满 18 周岁，请在监护人同意下使用本服务。 ## 七、政策更新 我们可能适时修订本政策，修订后将在 App 或官网公布。涉及处理目的、信息种类、接收方或保留安排等重大变化时，将依法履行告知及必要的授权程序。本政策是对数据处理的说明；默认开启、政策公布或继续使用均不能替代依法需要取得的同意。 ## 八、联系我们 - 产品名称：日迹（Riji） - 开发者：bin.liu - 联系邮箱：[liu_bin4835@outlook.com](mailto:liu_bin4835@outlook.com)