隐私政策

01永远不离开你手机的东西

来自麦克风的音频在内存里停留几秒，经过分析后被丢弃。它从不写入存储，也从不被传输。你自己的说话只会在手机上转成文字来统计词数；这些文字从不保存，也从不离开手机。你的声纹——用来把你与其他说话者区分开的数值表示——在设备上生成并留在设备上。我们没有它的副本，也没有获取的途径。

02声纹与生物识别数据

用于识别特定个人的声纹，属于 GDPR 第 9 条所称的生物识别数据。Kyndsy 只有在你于单独页面同意之后才会创建，且只为一个目的：把你的说话与他人的区分开，让计数有意义。你可以随时在设置中删除；删除会立刻停止一切识别。它被排除在设备备份之外，也无法迁移到别的设备。

03你身边的人

麦克风听得见所有人，所以这一点我们看得最重。与你声纹不符的说话会被立即丢弃。不会为任何其他人建立画像，他们的话不会被识别、保存或展示给你，也不存在任何模式——无论隐藏与否——能让这个应用对准别人。

04存在设备上的东西

计数与事件：一个类别（粗话、礼貌用语、口头禅、语气尖锐）、一个时间、一个置信度、识别出的语言，以及命中的内置词典条目编号——那是应用自有词表里的一个序号，绝不是自由文本。这个编号存在只有一个理由：没有它，「不对吗？」按钮就无法让一个反复被算错的词闭嘴。你自己写下的日记条目。你的设置。这一切都存放在应用自己的存储里，删除应用或按下「删除全部历史」时一并消失。你检查过的文字（自己的草稿和别人发来的消息）及其评分、测试答案、练习记录和练习尝试，以及你已获得的 AI 分析。这样你才能回到已经付过费的内容；每条记录都可以单独删除。

05会到达我们服务器的东西

一次获取应用设置与版本策略的请求。识别模型的一次性下载。若你写信给支持，你的消息（见第 10 条）。若你订阅，一张购买凭据，我们会转交 Apple 或 Google 核验。请求会带上 IP 地址，和所有互联网请求一样；服务器日志出于安全最多保留 35 天后删除。应用内没有账号、没有注册、没有邮箱，也没有任何广告或分析 SDK。如果你要求 AI 分析，你所发送的内容同样会经过我们的服务器——见第 14 节。如果你允许了通知——你的设备令牌：手机的通知服务发给这台手机上应用的一串长号码：在 iPhone 上是苹果的服务，在 Android 上是谷歌的服务 Firebase Cloud Messaging。通知经由该服务送达：苹果或谷歌只看得到有一条通知被发出以及那句简短的文字，别的什么也没有——没有声音，没有你的任何一句话，没有历史。在 Android 上，要触达一个已关闭的应用，别无他法。它只用于一件事：在应用关闭时告诉你，你订购的 AI 分析已经好了。我们没有你的姓名，也没有邮箱；通知里只写“分析已就绪”，不含你的任何一句话。删除应用或按“删除全部历史”时，令牌一并消失。应用每天还会发送几次自己的计数：当天有多少次练习、多少次分析这类汇总，附带应用版本、平台和界面语言。请求里还带有应用安装的那一周以及距今多少天，用来在没有标识的情况下统计留存。其中没有匿名编号，没有令牌，也没有你说过的一个字；数字在收到时即计入当日汇总，请求本身不会保存，因此没有任何东西能把两天关联起来。这项功能可以在设置中关闭。如果你删除应用，服务器会在应用最后一次启动后的60天内删除通知令牌。

06订阅

付款由 Apple 或 Google 处理，从不由我们经手。我们从不看到你的银行卡信息。我们只保存凭据标识和订阅状态，好让应用知道你享有什么。

07你的权利

由于除了凭据和短期日志之外我们不掌握你的个人数据，删除的最快途径就是应用本身：「删除声纹」和「删除全部历史」会在本地立刻移除一切。其他事项——查阅、更正、删除、限制处理、反对、可携带，或向监管机构投诉——写信给我们，我们会在 30 天内答复。

08儿童

Kyndsy 面向 13 岁及以上的用户，在应用商店中的分级为 13+。它不面向 13 岁以下的儿童，我们也不会明知而处理他们的数据。在青少年的手机上，家长可以开启家长模式（第十三节）。

09变更

若本政策的变更会影响我们如何处理你的数据，应用会在其生效前展示该变更。页首的日期始终对应当前版本。

10你的匿名标识与支持

应用首次运行时会在你的手机上生成两个随机数：一个你可以告诉我们的标识，以及一把随每次请求一起发送、用来证明请求来自你手机的钥匙——我们只保存它的不可逆指纹。这对数字就是我们对你的全部了解。当你写信给支持时，我们保存你的消息、我们的回复、这个标识、应用版本、平台和语言——除此之外什么都不留。没有邮箱地址，因为我们本来就没有；回复会出现在应用里。会话结束 90 天后，消息会被一个确实在运行的任务删除。你可以随时在设置中生成新的标识，这会让旧的会话对你不可达、对我们无主。

11没有账户，换机就是一个文件

Kyndsy 完全没有账户：没有注册，没有登录，也没有用 Apple 或 Google 登录。没有可以登录的地方，我们也没有任何以你的名义保存的东西。换到新手机就是一个由你自己生成、自己打开的文件：应用用你设定的密码加密你的历史，文件发到哪里由你决定，从不经过我们。订阅由商店自己通过「恢复购买」找回，这从来都不需要登录。

12关于本网站

以上都是关于应用的。网站是另一回事，它确实统计访问量——但统计系统由我们自己运行、放在我们自己的服务器上，不是第三方的。它会为你正在阅读的这个浏览器保存一个标识，以免再次访问被重复计算。这个标识不会说明你是谁，也永远不会与应用里的任何东西相遇：既不会与你的匿名 ID，也不会与声音档案，更不会与任何一项计数——应用根本不与网站统计通信。这个标识在页面打开时就会保存，同意横幅并不会阻止它，你可以在浏览器设置里删除它；如果你的浏览器发送 Do Not Track 或 Global Privacy Control，我们完全不统计你。这一切都不会改变应用的行为：不保存音频，不做转写，没有账号。

13家长模式

家长可以在孩子的手机上，用一个密码锁住设置、历史、导出和声音档案。这改变的是谁可以更改设置，而不是测量什么、数据去哪里：只分析这部手机主人的声音，与之不符的话在变成文字之前就被丢弃，不保存音频，也不保存文字记录，关于孩子的任何内容都不会到我们这里。家长读到的摘要，就是孩子看到的同一组数字，并且在同一部手机上打开。孩子的屏幕上写着该模式已开启，并且随时可以不用密码停止会话；提前停止这件事，家长会看到。开启该模式需要确认您是家长或法定监护人，并且孩子知晓此事。

14AI 分析（仅在你要求时）

Kyndsy 可以解释一次测评的结果、练习中的失误、你的晚间回顾、一次练习尝试、你的嗓音测量、你对话中的平衡，也可以写一封关于这个月的信或一份季度的地图。这项功能从不自行运行：每一次请求都需要在一块写明将要发送什么的界面上单独点一下。发出去的是一份摘要——那次尝试、那个月或那个季度的数字，以及你在写过的地方留下的自己的笔记。没有姓名，没有声音，也没有转写；月度信件或季度地图还会带上最常出现的八个口头禅。我们的服务器把这段文字交给 AI 提供方（OpenAI，不可用时为 Anthropic），对方只为撰写回复而处理它，不用于训练。写好的文字保存 30 天，以便断网后应用能再次显示它，并与支付它的收据标识一同保存；之后删除。如果你订阅了年度方案，每获得一个成就就会增加一次分析：应用只把成就的名称告诉服务器——例如“连续，第三级”——服务器把它和订阅号存在一起，以免重复发放。你历史记录里的数字不会离开手机。为了让分析周从你的午夜开始，服务器会在订阅号旁保存手机的时区——仅一个数字。如果你在 iPhone 上关闭自动续订，我们会发送一次优惠：为此，订阅号旁会保存手机的匿名编号和一段用你的语言写好的通知文字。“删除之前”的礼物只发一次：服务器按订阅号记住这一点，没有订阅时按手机的匿名编号记住。个人计划的一周也按同样方式分析：发出去的只有数字——每 1000 词中每种失误出现了几次、替换说法被听到了几次——你说过的话一个字也不会发出。为了不让一次购买支付第二次分析，服务器会把每张已使用的单次购买收据的不可逆指纹保存三年——不含文本，也不含你的编号。附带优惠文案的匿名手机编号和时区，会在最后一次更新后400天删除。首次赠送的解读仅提供给经 Apple（App Attest）或 Google（Play Integrity）确认为正版的应用：应用转交该服务的一次性应答，我们的服务器进行核验，并且只保存一次性请求的指纹——最多一天，不含任何设备信息。

15合伙人计划

应用内没有输入合作伙伴代码的地方。如果您通过合作伙伴的个人链接来访，可能有两种情况。当您打开该链接时，我们的服务器会在最多两天内保存您网络地址的单向哈希（绝不保存地址本身）、您的平台（iPhone 或 Android）以及该合作伙伴的代码，然后将您转到商店。您首次打开应用时，应用会发出一次请求；仅当过去两小时内从您的网络仅打开过一位合作伙伴的链接时，服务器才会将您与该合作伙伴关联，随后删除该记录。在 Google Play 上，商店还会传递链接中的代码，应用则改为发送该代码一次。不会比对您或您的设备的任何其他信息。合作伙伴只会看到数字——通过其链接来的人数以及购买人数——而不会看到他们是谁。合作伙伴属单独事项：合作伙伴在本网站通过 Astrina ID 使用社交账号注册，或使用邮箱和密码注册，并添加钱包地址，因为我们需要能够让他们登录并向其付款。使用社交登录时，我们仅保存来自提供方的匿名标识符——不会保存您的邮箱或姓名。该账户不与任何应用数据关联，而且应用本身没有账户。

16邮件订阅

邮件订阅是我们唯一保存真实电子邮件地址的地方，而且仅限于您本人在本网站的表单中输入的情况。应用程序中没有任何地方会要求您提供邮箱地址，应用程序也从不会发送邮箱地址。我们保存的信息包括：邮箱地址、您当时阅读所用的语言、日期，以及经过哈希处理的IP地址——哈希处理后的IP地址无法还原，保存它只是为了防止有人一次性为成千上万的人订阅。只有在您点击首封邮件中的链接完成确认后，我们才会给您发送邮件；在此之前不会发送任何其他内容，未确认的记录会在两周后删除。确认后，该邮箱地址还会保存在我们自己的邮件平台 yourtrend.online 上——这是我们自己的服务，部署在我们自己的服务器上，而非第三方——因为正是它负责发送邮件。每封邮件都附有一键退订功能，无论是在邮件中还是在本网站上退订，都会同时停止两处的邮件发送。您也可以写信联系我们，我们会将该邮箱地址彻底删除。以上这些内容都不会与应用程序中的任何信息产生关联：不会关联您的匿名ID，不会关联您的声音特征，也不会关联任何一项计数。

17手表心率

只有在你于设置中开启后，Kyndsy 才会从 Apple“健康”（iPhone）或 Health Connect（Android）读取心率——即手表已经测得的数据。应用只请求一项权限：读取心率。它不会向“健康”写入任何内容，不读取任何其他健康数据，也不在后台读取。这些数据只在手机上用于一件事：在当天语气生硬的时刻旁加一条备注，例如“心率 94，比平常高 24”，且不会改变你的分数。它们不会保存在应用历史中，不进入 AI 分析或统计，从不发送到我们的服务器，也不与任何人共享；健康数据绝不用于广告，应用中也没有广告。关闭开关会立即停止读取；权限本身可在“健康”或 Health Connect 中撤销。

18家庭共同计数

如果你们共用家庭订阅，应用可以把一周之内家人一起守住的天数相加。在你自己打开之前它一直是关闭的，而打开它的那个页面会写明将要发送什么。离开手机的只有两个整数：最近七天你守住了几天，其中又有几天你确实说了话。随之只带一个日期——这一周结束的那天，好让过期的数字从总数里剔除；没有别的日期、没有评分、没有事件，也没有任何一个词——凭这两个数字无法还原出任何一天。它们放在你的匿名标识旁边，只是为了让再次发送替换掉你之前的数字，而不是累加上去；当你退出计数或家庭权限结束时即被删除。没有人能看到它们，付款的人也不能：返回的是家庭的总数，而且只有在至少三个人参与计数时才返回——只有两个人时，减去自己的数字就等于公开了对方的。

19本网站的会话记录

如果你在 cookie 提示中允许了分析，本网站会记录你如何使用页面：指针移动、点按、滚动，以及屏幕上发生的变化。密码、邮箱、电话和银行卡输入框从不上传——连长度也不上传；你输入的其他文字会在浏览器内先替换成圆点，然后才有内容离开。这只涉及这些网页，与应用无关。选择「拒绝非必要」，或者什么都不选，就不会有任何记录。你随时可以通过每页底部的「Cookie 设置」改变决定。

隐私相关问题：support@kyndsy.app