账号与认证信息
必要- 具体字段
- 邮箱地址、用户 ID、家庭 ID、会话凭据的哈希值
- 处理目的
- 创建、登录和保护账号，维持登录状态
- 收集方式
- 用户主动填写；服务端在认证时生成
- 使用场景
- 邮箱验证码登录、游客会话和账号安全
- 存储位置
- 中国上海服务端；会话凭据仅保存哈希值
- 保存期限
- 账号存续期间；注销后删除。法律法规要求留存的信息，在法定期限内保留。
浏览隐私中心
个人信息收集清单
以下是当前版本会处理的个人信息、使用目的和保存规则。
邮箱验证与安全记录
必要- 具体字段
- 邮箱地址、验证码哈希、发送和验证时间、尝试次数、IP 地址的哈希值
- 处理目的
- 发送验证码、防止滥用并保护账号安全
- 收集方式
- 用户请求验证码时自动产生
- 使用场景
- 邮箱登录、限流和安全审计
- 存储位置
- 中国上海服务端
- 保存期限
- 验证码 10 分钟内失效；失效记录、限流记录及安全日志在完成安全目的后删除。法律法规要求留存的信息，在法定期限内保留。
成长记录
可选- 具体字段
- 记录 ID、标题、正文、摘要、标签、情绪、记录类型、创建与更新时间
- 处理目的
- 保存、同步、检索和展示家庭成长记录
- 收集方式
- 用户主动创建或编辑
- 使用场景
- 时间线、记录编辑、同步和搜索
- 存储位置
- 设备本地及中国上海服务端
- 保存期限
- 账号存续期间或用户主动删除前保存；注销时删除。法律法规要求留存的信息，在法定期限内保留。
儿童与家庭资料
可选- 具体字段
- 儿童生日、性别、身高、体重、照护人身份
- 处理目的
- 提供年龄展示、成长记录和个性化家庭界面
- 收集方式
- 用户主动填写
- 使用场景
- 首次设置及家庭资料编辑
- 存储位置
- 设备本地
- 保存期限
- 保存在设备本地，直至用户修改、清除 App 数据或注销账号
照片、视频与录音
可选- 具体字段
- 用户选择或拍摄的照片和视频、用户录制的音频、媒体文件可能包含的原始元数据
- 处理目的
- 创建和播放多媒体成长记录
- 收集方式
- 用户在具体记录功能中主动选择、拍摄或录制
- 使用场景
- 照片、视频和语音记录
- 存储位置
- 设备本地；当前未确认存在媒体文件上传
- 保存期限
- 保存在设备本地，直至用户删除记录、清除 App 数据或注销账号
AI 功能输入与结果
可选- 具体字段
- 用户主动提交的文字、标题、正文、标签、部分自动回顾场景下的历史文字记录、AI 生成结果
- 处理目的
- 提供整理、润色、总结、问答和自动回顾
- 收集方式
- 用户主动触发 AI 功能；自动回顾需另行开启
- 使用场景
- AI 助手、记录整理和自动回顾
- 存储位置
- 经位于中国上海的服务器转发。DeepSeek 的处理地区以其隐私政策为准。
- 保存期限
- 自有服务仅在完成该次请求所需期间处理。DeepSeek 侧的保存期限以其隐私政策为准。
位置与日历信息
可选- 具体字段
- 使用期间的一次性位置、反向地理编码得到的地点名称、用户选择写入系统日历的周年提醒
- 处理目的
- 为记录添加地点，并创建用户选择的周年提醒
- 收集方式
- 用户在具体功能中主动触发并授予系统权限
- 使用场景
- 添加地点、开启周年提醒
- 存储位置
- 设备本地；地点名称可随成长记录同步
- 保存期限
- 位置仅用于本次查询；地点名称随记录保存；系统日历事件由用户管理，注销时仅在日历权限可用时尝试删除，权限不可用时用户需在系统日历中手动删除
账号注销申请与状态凭据
必要- 具体字段
- 申请编号、账号邮箱的加密密文、邮箱查询 HMAC、状态凭据 HMAC、申请状态、提交、核验和完成时间、关联用户 ID（身份核验后）
- 处理目的
- 核验账号归属、执行注销、提供申请状态和处理期限
- 收集方式
- 用户在 App 内或站外发起注销；站外流程通过邮箱一次性链接核验
- 使用场景
- 账号注销申请、状态查询、失败重试与最小化审计
- 存储位置
- 中国上海服务端；邮箱使用 Fernet 加密，查询与状态凭据仅保存 HMAC
- 保存期限
- 注销完成后删除邮箱密文和查找 HMAC；状态查询凭据 30 天后失效。申请记录和审计记录仅在法律法规要求的期限内保留。
账号注销审计记录
必要- 具体字段
- 注销申请 ID、事件类型、操作者类别、事件时间、空对象或非敏感元数据
- 处理目的
- 证明并排查注销申请的核验和处理过程
- 收集方式
- 用户申请和服务端状态变更时自动生成
- 使用场景
- 注销申请、安全审计和故障排查
- 存储位置
- 中国上海服务端；当前审计元数据不存储邮箱、验证码或令牌明文
- 保存期限
- 仅在完成安全审计及法律法规要求的期限内保留。