隐私政策
本政策适用于记食本（NutriDay，部分测试版本或商店记录显示为“营养随手记”）App、nutridaily.cn 官网及本 App 的 AI 后台服务。运营者及个人信息处理者为王乐，隐私联系邮箱为 153583504@qq.com。
先了解这四件事
- 手动饮食记录、食品库和代谢评估主要在设备上处理；开启 iCloud 同步或导出备份后，会产生相应副本。
- AI 不是纯本地功能。经您授权并点击发送后，本次输入、选中照片和必要的近期对话会经我们的阿里云后台发送至 DeepSeek。
- 不使用 AI、相机、语音或 iCloud，不影响独立的手动记食功能。相应系统权限可随时撤回。
- 删除 AI 账户、删除本机记录、清理 iCloud 和取消 Apple 订阅是不同操作，不能相互替代。
一、处理哪些数据、用于什么
| 功能 | 数据与用途 | 处理位置 |
|---|---|---|
| 饮食记录与食品库 | 您填写的食物名称、数量、餐别、日期、营养参数、备注、来源、收藏及目标，用于记录、搜索、汇总和图表。普通记录不因使用 App 自动上传到我们的 AI 服务器。 | 本机；您开启同步或导出后另见下文。 |
| 代谢评估 | 您填写的年龄、生理性别、身高、体重、选填静息心率、活动和运动规律等，用于估算目标。仅在选择记住资料时保存评估输入；应用后的代谢数值可随营养目标保存。 | 本机计算；不自动发送给 AI。 |
| iCloud 与手动备份 | 主动开启 iCloud 自动同步后，饮食、食品库、收藏、最近删除、营养目标等通过您的系统 Apple 账户同步。训练循环不进入此自动同步，但可能包含在完整手动导出文件中。备份保存到您选择的位置。 | 设备及您的 iCloud／指定文件位置。 |
| 桌面与锁屏小组件 | 向 App 自身的小组件共享营养汇总、目标、餐别和精简食物列表，以便展示。其他能看到您主屏幕或锁屏的人也可能看到这些内容。 | 本机 App Group。 |
| 语音输入 | 麦克风音频交给 Apple 语音识别，生成搜索或输入文字。设备支持时优先端侧识别；不支持时可能使用 Apple 网络识别。App 不主动保存原始录音文件。 | 本机及必要时 Apple 语音服务；发送 AI 时上传识别后的文字。 |
| AI 记食与照片识别 | 您主动发送的文字、选中照片及必要的近期对话文字（最多近 8 条），用于解析食物和估算营养。不会为此自动上传整本日记或整个食品库。照片先压缩、重绘以移除 EXIF／GPS 元数据；照片画面仍可能含个人信息。只有您确认添加饮食或加入库，结果才写入对应本机记录。 | 本机准备 → 我们的阿里云后台 → DeepSeek。 |
| 通过 Apple 登录 | 验证 Apple 身份凭证并建立在线会员账户；保存内部账户标识、经 HMAC 处理的 Apple 主体标识、会话摘要及有效期。App 不主动请求 Apple 姓名和邮箱，不收集 Apple 账户密码。 | Apple、我们的后台；手机会话保存在本机钥匙串。 |
| 会员与内购 | 处理 Apple 签名交易、商品、购买／到期／退款状态、账户关联、额度和账本，用于验单、防重复发放、恢复权益，以及核验 App 云同步、备份导入导出、饮食模板和 AI 查询权限。核验会员不要求上传您的完整本机记录或同意 AI 上传。我们不收集银行卡号、付款密码或完整支付工具信息。 | Apple StoreKit 与我们的后台。 |
| 服务安全与客服 | 请求编号、输入摘要、时间、处理状态、用量、额度记录，以及连接 IP 派生的短期限速摘要，用于防滥用、计数、故障处理。您主动发来的邮件或证明材料用于处理相应问题。 | 我们的后台及联系渠道。 |
饮食、身体参数等可能涉及您的健康状况。请勿在 AI 或客服中提交诊断资料、证件、支付凭据、他人隐私等与功能无关的敏感内容；包含他人信息时，应先取得必要授权。本 App 当前不接入 HealthKit，不读取通讯录或精确定位，也不通过广告标识符追踪您。
二、权限与您的选择
- 相机：仅在您主动拍照时请求。拍摄和裁剪本身不会自动上传或自动保存到相册。
- 照片：通过系统选择器读取您选择的照片；主动保存分享图片时申请相册添加权限，不因此读取整个相册。
- 麦克风、语音识别：仅用于您开启的语音输入。拒绝后可继续键盘输入。
- AI 上传授权：与 Apple 登录分开。关闭 AI 上传授权或不点击发送，不触发新的 AI 上传；已发给供应商的处理不能通过关闭授权立即撤回。
- 可在系统设置中关闭权限，在 App 设置中关闭 iCloud 自动同步。撤回授权不影响此前合法处理，也不自动删除已存在的副本。
三、服务提供方及数据传递
为完成您选择的功能，我们使用以下服务，而不向其发送无关的完整本机记录：
- 阿里云：托管我们的 HTTPS 网站与后台。当前业务后台位于中国大陆。基础设施服务可能处理网络连接、安全及运行所需信息。参见 阿里云隐私权政策。
- DeepSeek（杭州深度求索人工智能基础技术研究有限公司及相关服务主体）：接收本次 AI 输入和必要上下文，完成模型推理。请求通过运营方的 API 凭证认证；不会向其发送您的 Apple 登录凭证、Apple 交易记录或支付密码。供应商对收到的数据如何保存、使用及处理，以其适用的服务协议、隐私政策和实际平台设置为准；本 App 不承诺供应商“零留存”或“绝不用于模型优化”。参见 DeepSeek 隐私政策。
- Apple：提供登录、App Store 内购、iCloud 和语音识别等。具体可用性、账户地区及数据处理适用 Apple 的条款和 隐私政策。
我们不出售您的饮食或健康信息，不将其用于广告定向。除完成上述功能、您另行授权或依法必须的情形外，不向无关第三方提供。使用 Apple 等服务时，其基础设施和处理地区可能随服务、账户地区而不同，我们不把所有第三方处理都表述为“仅在境内”。如后续新增数据用途、接收方或依法需单独同意的传递，会在实施前告知并履行相应要求。
四、保存期限与安全
- 本机数据：保留到您删除相应内容或清除 App 数据。最近删除区通常保留约 24 小时且最多 10 条；导入／同步恢复副本、其他设备和导出文件可能另有副本，应分别管理。
- AI 输入：我们的业务数据库不持久保存原始请求文字、原始录音或上传照片；处理期间在内存中存在并发送给模型服务。供应商的保存行为不等同于我们的保存规则。
- AI 回复：后台通常缓存 24 小时，用于网络中断后取回；清理任务周期约 1 分钟，因此不是到时立即从所有介质消失。
- 账户、用量与账本：在账户存在及处理服务所需期间保留；这些元数据并非 24 小时自动删除。账户删除后清除对应会话、额度、账本及请求记录，但保留防止重复试用、交易重放及依法处理争议所必要的最小化标识和交易摘要。这些摘要是去标识化记录，不等同于完全匿名。
- 备份：受限备份可能暂时包含历史数据，不用于继续提供已撤回的业务处理。删除请求会一并考虑备份；无法立即逐项删除时，仅保留必要存储与安全保护处理，在备份清理时移除，恢复服务前核对已生效的删除及退款记录。
- 安全：使用 HTTPS、受限服务器权限、账户隔离、签名验单和限流等措施。没有任何系统能保证绝对安全；发现风险时会采取补救措施，并依法履行通知义务。
五、访问、更正、删除与退出
您可在 App 中查看和修改记录、删除饮食或食品库条目、撤回系统权限或 AI 上传授权；会员可使用备份导出功能保存文件。可在会员页面内删除在线账户；为防他人误删，需要重新通过 Apple 验证。
删除 AI 账户不会取消 Apple 自动续订，也不会删除您的本机／iCloud 饮食数据。删除会清空该 AI 账户剩余额度，旧交易不会因重新注册而重复发放。若希望取消续订，请在 Apple 的订阅管理中单独操作；若要清理 iCloud 或导出文件，请在相应账户和文件位置操作。
如需依法获取个人信息副本、解释、人工删除或投诉，请联系本页邮箱；不会要求先购买会员才允许行使法定权利。我们会核实必要的身份信息后处理；不会要求您发送 Apple 密码、银行卡密码、API Key 或无关身份证件。法定留存、交易防欺诈或技术限制导致不能立即满足时，将说明原因及可行处理方式。
六、官网访问与统计
本政策与服务条款页面不加载第三方统计脚本、不设置用于分析的 Cookie。官网首页目前使用百度统计，可能由该服务处理浏览器信息、访问来源、页面访问及 Cookie 等信息；这与 App 内的饮食数据库是不同的数据处理。参见 百度统计隐私说明。您可通过浏览器隐私或脚本设置限制此类统计。
网站服务器记录访问 IP、路径、时间、浏览器和响应状态等访问日志，用于安全与故障排查；按文件大小轮转，归档最多保留 5 份、归档期限配置为 30 天，当前活动文件在轮转前保存。AI 域名不启用同类访问日志，但服务安全所需的请求元数据仍按第四节处理。请不要在网址参数中放置私人信息。
七、未成年人及政策更新
本 App 不面向不满 14 周岁的儿童提供需要处理个人信息的在线 AI 服务；不应提交儿童的敏感健康资料。未成年人应在监护人指导下使用适龄功能，不应将营养估算用于自行节食或治疗。发现儿童信息被不当提交，请联系运营者处理。
重要用途、接收方或权利发生变化时，我们会更新本页日期并在适当位置提示；依法需要重新同意时会另行征求，不将继续浏览视为对所有新增处理的概括授权。
八、联系我们
运营者：王乐
隐私、删户及服务联系邮箱：153583504@qq.com
请在邮件中说明问题类型、App 版本及必要的错误说明，不要附上密码、私钥、支付验证码或与问题无关的健康资料。