Pingoo 隐私政策

1. 适用范围与服务提供者

本政策适用于 Pingoo iOS App、Pingoo 自建服务端及相关支持服务。个人信息处理者和服务提供者为王伟（英文名：Eric Wang，Pingoo 开发者），联系邮箱为 pingoo888@163.com。本政策中的“我们”均指上述服务提供者。

2. 我们处理的信息

账号与资料

• 注册和登录所需的用户名、邮箱或中国大陆手机号、密码哈希值、验证码发送及校验结果、账号 ID 和登录会话；
• 使用“通过 Apple 登录”时，由 Apple 提供的用户标识，以及你选择共享的姓名、邮箱或私密转送邮箱；
• 你主动填写的昵称、性别、生日、头像、时区、语言、节假日及界面偏好；性别和生日均为选填，年龄只在 App 内根据生日动态计算，不作为独立字段保存；我们仅上传并保存你确认裁剪后的头像，不保存裁剪前的原始照片；
• 为防止滥用和保护账号而产生的安装标识、设备会话、设备安全校验结果及必要的安全审计记录。

你创建的内容

• 记录原文、补充说明、标题、标签、提醒时间、重复规则、完成状态及 AI 整理结果；日记还包括所属日期、实际录入时间及你确认或修改的内容；地点相关内容还包括目标地点、地点搜索文字、名称、地址、位置坐标、城市、区县、语音识别文本及备选文本、提醒范围和到达或离开条件。经你单独同意上传定位快照且系统定位已允许时，含地点的记录可能附带提交时的一次设备经纬度、定位精度、采集时间及位置来源，随记录保存到 Pingoo 服务端，用于帮助识别你所指的地点；
• 系统日历同步默认关闭。开启后，记录标题、原文及你确认的时间会写入所选的系统日历，并可能继续通过 iCloud、Exchange 或其他日历账户同步；
• 日历事件标识只保存在当前设备，不上传到 Pingoo 服务端。

语音、通知、会员与反馈

• 本地语音识别使用 Apple 提供的系统语音识别服务；根据设备和系统条件，音频可能由 Apple 在线处理。普通用户仅使用 Apple 自带识别，不向豆包或 MiMo 发送录音。在你是 VIP、已登录、已授权第三方 AI 且账号仍有 AI 次数及云端语音时长时，使用云端语音识别会将本次录音经 Pingoo 服务端发送给第 4 节列明的语音服务商。Pingoo 不持久保存音频，并在本次处理结束后释放；最终转写文本按普通记录处理；
• 为发送提醒，我们会处理通知权限状态、推送标识、提醒标题和发送结果；你可以开启“隐藏敏感内容”，让锁屏只显示通用提示。输入包含地点或你主动选择地点、启用地点提醒时，App 才申请“使用 App 时”定位权限。设备定位用于地点搜索和到达或离开提醒；经单独授权上传的定位快照还用于改善地点识别。该快照不发送给第三方 AI 或阿里云，不写入诊断日志；Pingoo 不持续收集设备当前位置；
• 启用小组件或实时活动（锁屏及灵动岛）时，选定记录的标题、时间、清单进度、目标地点、距离及可用的静态地图预览可能显示在 App 外。为显示和更新这些内容，当前设备会保存必要的展示数据，Pingoo 还会处理推送标识、关联记录和展示偏好，并通过 Apple 通知服务传递必要的提醒内容。你可关闭实时活动，或开启“锁屏隐藏敏感内容”；
• 为提供会员、恢复购买和 AI 额度，我们会处理 Apple 产品 ID、交易标识及签名校验结果、订阅与自动续费状态、权益来源和有效期、AI 基础额度及加量包购买和使用记录、云端语音处理的累计时长及额度周期；我们不会取得你的银行卡号等支付凭据；
• 你提交反馈时，我们会处理反馈正文、你自愿填写的联系方式、最多三张图片，以及 App 版本、iOS 版本和设备型号。我们仅保存你确认提交的图片，并移除图片中的元数据；
• 为保障服务运行和排查故障，我们会记录请求标识、访问功能、请求方式、处理结果、错误信息、请求次数和处理耗时；这些诊断日志不包含完整记录正文、密码、验证码或接口密钥。

3. 使用目的

• 提供注册和登录、不同账号间的数据隔离、跨设备同步、记录整理、提醒、日历和会员功能；
• 在你明确同意后，使用第三方 AI 整理记录类别、标题、标签、日期、时间和地点信息；使用必要的地点信息帮助查找你所指的地点，并按你确认的设置提供到达或离开提醒；
• 核验交易与权益、计算和扣减 AI 额度、处理退款或恢复购买；
• 处理反馈、保障服务安全、诊断故障、限制异常请求、响应数据删除请求和提供用户支持；
• 遵守适用法律法规。Pingoo 不出售个人信息，也不将数据用于跨 App 跟踪或第三方广告。

4. 第三方 AI 与其他服务商

第三方 AI 授权按 Pingoo 账号和当前设备分别管理。只有在当前设备明确同意后，我们才会把你输入的自然语言记录发送给第三方 AI。撤回授权后，当前设备会停止云同步，也不会再上传新建的自然语言记录或交由第三方 AI 整理；当前设备已有记录不会因此删除，你仍可手动填写并保存。撤回不会取消已经提交的处理任务，其他设备上的授权也需要分别管理。

• Xiaomi MiMo（小米提供的 AI 服务）：用于记录整理和云端语音纠错。可能接收记录原文、补充说明、时区、地区、节假日信息及去标识化账号标识；该标识可关联同一账号的请求，不代表原文已匿名化。涉及地点时，还可能接收语音识别文本及备选文本、所在城市和区县、相关地点名称和地址，但不附加设备经纬度。使用云端语音纠错时，还可能接收本次录音。Pingoo 使用面向中国大陆账号提供的 MiMo 服务。具体处理和留存规则见其隐私政策及适用的服务约定；
• DeepSeek（杭州深度求索人工智能基础技术研究有限公司及关联公司）：用于记录整理，可能接收上述用于文本整理的必要信息及去标识化账号标识；不接收语音音频，也不附加设备经纬度。数据存储在中国大陆。按照其现行隐私政策，服务商可能在安全加密和去标识化处理后，将输入和输出用于模型训练及服务优化；
• 智谱（北京智谱华章科技股份有限公司）：用于记录整理，可能接收上述用于文本整理的必要信息及去标识化账号标识，包括原文、补充说明、时区、地区、节假日信息，以及相关语音识别文本、地点名称和地址；不接收语音音频，也不附加设备经纬度。其境内运营中收集和产生的个人信息存储在中国境内，具体处理和留存规则见其隐私政策及适用的服务约定；
• 火山引擎豆包（北京火山引擎科技有限公司）：在 VIP 账号有剩余 AI 次数和云端语音时长并使用云端语音识别时接收本次录音；Pingoo 仅为完成该次请求而传输，不在自有系统持久保存音频；
• 阿里云（地点信息服务）：用于查询和确认记录中的地点，可能接收地点搜索文字、城市、区县及相关地点名称或地址。我们不会向该服务提供完整记录原文、Pingoo 账号标识或设备经纬度；返回的地点名称、地址和目标地点坐标会随记录保存并同步到你的设备；
• 我们不会从账号资料中另行附加邮箱、手机号、昵称、头像、密码、验证码或支付凭据给上述模型；但你主动写入记录或录音的个人信息会随内容发送。模型输出可能不准确，请在使用整理结果前核对；
• Apple 及其关联公司：提供“通过 Apple 登录”、语音识别、地点搜索与定位、通知、小组件和实时活动、日历、应用内购买及设备安全验证等系统服务，并按 Apple 的政策处理必要数据；
• 阿里云短信服务：用于中国大陆手机号注册、重置密码和敏感操作核验，会处理手机号及短信发送请求；Pingoo 保留账号手机号、必要的验证信息和发送结果，不保存验证码正文；
• 腾讯云邮件服务（腾讯云计算（北京）有限责任公司）：生产环境使用该服务发送注册、重置密码、绑定账号、敏感操作核验、删除数据和注销账号等场景的验证码邮件。为此，我们会向腾讯云提供收件邮箱、发件地址、邮件主题和模板变量，并接收必要的投递结果。该服务在中国大陆处理相关数据，我们不会将上述信息用于广告或跨 App 跟踪。腾讯云按照其隐私保护声明处理相关信息；如需行使相关权利，可通过 pingoo888@163.com 联系我们，我们会直接处理，必要时协助转达；
• 腾讯云存储服务（腾讯云计算（北京）有限责任公司）：在生产环境中，以私有方式存储头像和你确认提交的反馈图片。

主动打开外部地图：只有在你选择手机上已安装的地图 App 进行导航时，Pingoo 才向你选择的 App 传递目标地点名称、坐标及必要的来源标识，后续路线规划由该地图 App 按其自身权限和隐私政策处理。

我们要求上述服务商仅在约定目的和必要范围内处理数据，并提供不低于本政策及适用法律要求的保护；除本节已经说明的处理外，未经授权不得将数据用于其他目的。如果今后服务区域发生变化并涉及个人信息出境，我们会在传输前另行告知，并依法履行相应程序。测试环境与生产环境相互隔离，生产用户数据不会用于开发或测试。

5. 保存期限

• 账号身份、资料、偏好和用户内容通常保存至你删除相应内容或永久删除账号；
• 经单独授权附加的定位快照随记录保存，直到你删除对应记录、全部记录或账号；备份清理遵循下述最长 30 天的规则。关闭定位快照上传不会自动删除此前已提交记录中的快照，也不会取消该记录已提交的处理任务；
• Pingoo 自有系统不会持久保存云端语音纠错音频，音频在本次请求完成、失败或取消后释放；Apple 和模型服务商的处理期限以其政策和我们适用的服务约定为准；
• 反馈正文、联系方式和确认提交的图片自提交之日起保存 90 天，届满后自动删除。你永久删除账号，或经身份核验后单独要求删除反馈时，我们会提前删除。执行“删除全部数据（保留账号）”不会同步删除反馈；
• 用于检查 AI 处理是否正常的审计记录最长保存 30 天；对应记录删除时，这些审计记录也会删除；
• 服务端诊断日志最长保存 7 天，届满后自动删除；
• 删除请求的状态和安全审计记录仅用于确认操作、处理争议及确保已删除内容不会因备份恢复而重新出现，达到处理目的后删除或匿名化；其中不包含邮箱地址或记录原文。用于备份清理的必要删除记录不含用户内容，最长保留 30 天；
• 生产备份最长保留 30 天；从备份恢复数据时，我们会继续执行此前的删除要求，避免已删除内容重新出现；
• 交易、退款、安全审计等信息会在 Apple 对账、履行法定义务、处理争议或防止欺诈所必需的期限内保留。

6. 你的选择与权利

• 在“我的 → 数据与隐私”查看、同意或撤回当前设备上的第三方 AI 数据处理授权；撤回后，当前设备会停止第三方 AI 整理和云同步，已有记录不会因此删除。其他设备上的授权需要分别管理；
• 定位快照上传默认关闭。可在“我的 → 数据与隐私 → 查看说明与定位授权”单独同意或撤回；拒绝只影响利用当前位置辅助识别地点，不影响 AI 整理、手动选择地点或系统地点提醒（这些功能仍需其各自权限）。精确位置可能暴露你提交记录时所在的位置；因此仅在你单独同意且系统定位已授权时，为帮助识别你所指的地点附加一次快照。撤回后不再为新记录附加快照；
• 在 iOS 系统设置中关闭麦克风、语音识别、通知、定位或日历权限；拒绝定位权限只会阻止地点提醒激活，不影响文字、手动记录或地点修改；
• 在“我的 → 数据与隐私”生成并分享当前提供的数据副本（账号与资料基本信息、节假日偏好和记录），或执行“删除全部数据（保留账号）”；该操作会删除记录、AI 任务和提醒相关数据，但会保留登录身份、会话与设备、昵称、头像、偏好、反馈及会员交易记录；
• 在“我的 → 账号与安全”永久删除账号。账号删除后无法恢复；但法律义务、Apple 对账、安全审计或反欺诈所必需的最少记录，可能继续保存至必要期限届满。删除 Pingoo 账号不会自动取消 Apple 自动续费订阅；如有有效订阅，请先在 Apple 账号的订阅管理中取消；
• 如需查询、更正、复制或删除 App 内尚未提供自助入口的个人信息，或单独删除反馈，请通过本政策末尾的邮箱联系我们。我们会核验身份，并在适用法律规定的期限内处理。

7. 安全保护

我们采取传输加密、凭据保护和访问限制等措施保护数据。系统日志不记录完整原文、验证码、登录凭据、接口密钥或推送标识。我们会持续维护这些保护措施，但任何互联网传输和存储都无法保证绝对安全。

8. 未成年人

Pingoo 不面向 14 周岁以下儿童。14 周岁以上、未满 18 周岁的用户，应在监护人阅读并同意本政策后使用。若我们发现未经监护人同意处理了儿童个人信息，会尽快删除。

9. 政策更新

当个人信息处理目的、第三方 AI 服务商或用户权利发生重要变化时，我们会更新本政策日期，并通过 App 内提示等合理方式告知你。依法需要重新取得同意的，我们会另行征求你的同意，不会以原有授权替代。

10. 联系我们