1我们收集哪些信息
账户信息
注册时您需提供以下信息之一：
- 电子邮箱：用于账户标识和找回密码。
- 手机号码：用于账户标识，手机号注册暂不支持短信验证码，仅作账户名使用。
- 昵称（可选）：在应用内展示。
- 密码：经过 PBKDF2（120,000 次迭代，SHA-256）不可逆哈希后存储，我们无法获知您的原始密码。
日记内容
您主动创建的所有内容，包括：
- 文字记录（DayCard 中的文本消息）
- 语音录音（音频文件，存储于私有对象存储）
- 图片（上传的图片文件，存储于私有对象存储）
- AI 生成的总结、情绪标签、待办事项（派生自您的输入）
使用日志
- API 请求日志（路径、响应状态、响应时长）
- 审计日志（账户操作记录：注册、登录、内容新增/删除/修改）
设备信息
我们不主动收集设备标识符（UDID、IMEI 等）。服务端日志中会包含客户端 IP 地址和 User-Agent，仅用于安全审计。
2如何收集信息
- 您主动提供：注册账户时填写的信息、使用过程中输入/录制的内容。
- 自动收集：服务端 HTTP 请求日志（IP、路径、状态码、耗时），不包含请求体内容。
- 麦克风权限：仅在您主动点击录音按钮时访问，不在后台监听。
- 相机/相册权限：仅在您主动上传图片时访问，图片直传至私有存储，不缓存于第三方 CDN。
我们不使用 Cookie 追踪、广告 SDK、用户行为分析工具（如埋点统计）。
3信息的使用目的
| 信息类型 | 使用目的 |
|---|---|
| 账户信息（邮箱/手机） | 账户认证、密码找回、服务通知 |
| 日记文字内容 | 展示给您本人、AI 总结/情绪/待办分析、生成周期报告 |
| 语音录音 | 提交豆包 AUC 转录为文字、供您回放 |
| 图片 | 在应用内展示给您本人 |
| API 日志 | 系统监控、异常排查、安全审计 |
| 审计日志 | 账户安全追踪、争议处理 |
4语音与音频数据
录制与上传
录音完成后，音频文件通过 HTTPS 加密直传至我们的私有对象存储（MinIO）。 上传使用带时效的预签名 PUT URL（有效期 180 秒），传输过程不经过我们的应用服务器。
转录处理
音频文件通过带时效的预签名 GET URL（有效期 15 分钟）提交给字节跳动豆包 AUC 语音识别服务进行转录。 豆包 AUC 处理完成后，我们仅保留转录文字，不在第三方长期留存音频数据。
访问控制
音频文件存储于私有 MinIO 存储桶，不对外开放公共访问。 播放时通过带签名的临时链接访问（有效期 60 分钟），链接不可被他人通过猜测路径访问。
数据留存
- 音频文件保留至对应消息被您删除，或账户注销后 30 天冷却期结束
- 转录文字随消息内容保留，消息删除时同步标记清除
- AUC 处理日志受豆包隐私政策约束，我们不持有第三方处理日志
5信息存储与安全
传输加密
所有客户端到服务端的数据传输均使用 HTTPS（TLS 1.2+）加密，包括 API 请求、文件上传与下载。
密码存储
密码使用 PBKDF2-SHA256（120,000 次迭代）加盐哈希后存储。 即使发生数据库泄露，攻击者也无法直接获取您的原始密码。
文件访问控制
音频和图片存储于私有存储桶，所有访问需通过带签名的临时 URL，无公共目录列举权限。
用户数据隔离
所有查询均携带用户 ID 过滤条件，不同用户间的数据在数据库层严格隔离。
安全事件响应
如发生数据安全事件，我们将按照相关法律法规要求，在规定时限内通知受影响用户， 并及时采取补救措施。
6信息共享与披露
我们不会将您的个人信息出售给任何第三方。
以下情形下，我们可能共享您的信息：
提供服务所必需
向豆包 AUC 提交语音文件以完成转录（见第 4 节）；向 LLM 服务商提交日记文字以生成总结（见第 7 节）。
法律要求
在法律、法规要求，或收到有效的司法/行政机关命令时，我们可能依法披露必要的信息。 在不违反法律的前提下，我们会尽力提前通知您。
业务转让
如发生合并、收购或资产转让，用户数据可能作为资产被转移。 届时我们会提前通知您，并确保接收方承担同等的隐私保护义务。
7第三方服务
| 服务商 | 用途 | 数据类型 | 隐私政策 |
|---|---|---|---|
| 字节跳动豆包 AUC | 语音转文字 | 音频文件（临时 URL 形式） | 火山引擎隐私政策 |
| 大语言模型服务商 | 总结/情绪/待办分析 | 日记文字内容 | 各服务商隐私政策 |
| MinIO（自托管） | 音频/图片存储 | 音频文件、图片文件 | 自托管，数据不出境 |
我们要求上述服务商仅在完成特定任务所必要的范围内处理您的数据， 禁止将您的数据用于其商业目的（如广告投放、模型训练）。 第三方服务商的隐私政策由其自行制定，建议您自行查阅。
8数据留存与删除
| 数据类型 | 留存期限 |
|---|---|
| 账户信息 | 注销账户后冷却期（30 天）结束后永久删除 |
| 日记文字内容 | 消息删除时软删除，账户注销后硬删除 |
| 音频文件 | 消息删除后标记清理，账户注销后 30 天内清除 |
| 图片文件 | 同上 |
| AI 总结/情绪/待办 | 随所属日卡删除 |
| API 访问日志 | 最多保留 90 天，用于安全审计 |
| 审计日志 | 最多保留 1 年，法律法规另有要求的除外 |
9您的权利
依据适用法律，您对个人信息享有以下权利：
- 知情权：了解我们如何收集和使用您的信息（即本政策）。
- 访问权：查看您的账户信息及日记内容（通过应用内查看）。
- 更正权：在应用内直接编辑或修正您的内容和账户信息。
- 删除权：删除任意消息或申请注销账户（注销将触发全部数据删除流程）。
- 可携权：如需导出数据，请通过以下联系方式提交请求。
- 撤回同意：随时撤销麦克风或相册等权限（在设备系统设置中操作）；撤销后相关功能不可用。
如需行使上述权利，请通过第 12 节提供的联系方式与我们取得联系。 我们将在法律规定的时限内（通常为 30 个工作日）予以回复。
10未成年人保护
本服务面向年满 14 周岁的用户。我们不会故意收集 14 周岁以下儿童的个人信息。 如您发现您的子女在未经您同意的情况下注册了账户，请立即联系我们， 我们将尽快删除相关账户和数据。
14 至 18 周岁的未成年人应在监护人知情和同意下使用本服务， 监护人可联系我们了解或管理其子女的账户信息。
11政策变更
我们可能不定期更新本隐私政策。发生重大变更时，我们将通过以下方式通知您：
- 在应用内发布醒目提示
- 向您注册的邮箱发送通知邮件（如有）
- 在本页面顶部更新"最后更新时间"
继续使用服务视为接受更新后的政策。如您不同意变更内容，请在变更生效前停止使用服务并申请注销账户。
12联系我们
如您对本隐私政策有任何问题、意见或隐私相关请求，请通过以下方式联系：
- 产品名称DailyRecord
- 联系邮箱support@dailyrecord.app（请将此处替换为实际邮箱）
- 响应时间工作日 5 个工作日内回复，数据删除请求 30 个工作日内处理
适用法律
本政策的订立、效力、解释及争议解决均适用中华人民共和国法律。 如因本政策引发争议，双方应首先友好协商；协商不成的，提交服务方所在地有管辖权的人民法院处理。