Keepsday 隐私政策

一、概述

Keepsday 无需你提供姓名、邮箱或密码注册。首次联网使用服务时，系统会创建访客账户，并使用随机用户标识和设备标识进行请求认证、制作次数计算及订阅权益核验。这些标识仍可关联到同一访客或设备，因此我们不将它们描述为完全匿名数据。大部分记忆内容保存在你的设备上。

二、我们处理的信息

• 你主动提交制作的照片：只有你明确开始制作的照片才会上传并进行 AI 处理。
• 生成图片：生成的冰箱贴图片会返回到你的设备。
• 技术标识和服务记录：包括随机用户标识、设备标识、认证记录、制作任务、使用次数，以及请求 IP 地址、请求时间、响应状态和错误信息，用于提供功能、限流、防滥用和故障排查。
• 订阅信息：Apple 和 RevenueCat 会提供商品、权益、交易及订阅状态，用于购买恢复、权益核验、防欺诈和订阅统计分析。Keepsday 不会获得你的完整银行卡资料。
• 支持沟通：当你联系我们时，我们会处理你主动提供的邮箱、问题描述、设备与 App 版本等信息，用于答复、排查问题和处理请求。请勿发送与问题无关的私人照片或支付资料。

三、保存在设备上的内容

记忆名称、便签、录音、日期、地点和收藏组织信息由 Keepsday 保存在本机，正常制作流程不会上传这些内容。只有在你点击开始制作后，所选照片才会上传。

地点搜索与地图显示使用 Apple MapKit；使用这些系统服务时，Apple 可能根据其隐私规则处理搜索请求和必要的位置、网络信息。这不表示 Keepsday 将你的记忆地点或录音提交给 AI 模型。

四、AI 图片处理

在首次上传制作照片前，App 会单独说明处理目的及接收方，并征得你的明确同意。拒绝或关闭提示会取消本次制作，不上传照片。同意后，后续制作按相同方式处理；你可以在“设置 → AI 图片处理”撤回授权。

为了制作冰箱贴，所选照片会通过加密连接上传至我们使用的私有对象存储，并由 Keepsday 服务端提交给 OpenRouter，再交给 Seed（ByteDance Seed 的 Seedream 图像模型）处理。请求中包含所选照片和完成制作所需的生成指令，生成结果随后返回并保存。

OpenRouter 和模型服务方会接收、传输及处理上述内容，也可能依据适用的服务约定和法律要求处理必要的请求元数据、安全、防滥用或合规记录。我们不把所有第三方处理一概描述为仅发生在当次生成期间；第三方的处理及保留规则见下文。

五、保留时间

我们控制的媒体副本：上传照片和生成图片在我们控制的服务器及对象存储中，自上传或生成之日起分别保留最长不超过 30 天，并在该期限内清理。云端处理空间不是永久备份服务；清理云端副本不会主动删除你已保存到设备上的内容。

服务记录：制作任务、使用次数、订阅、防滥用、安全和支持沟通记录，只在提供服务、处理请求、履行法律义务或解决争议所合理需要的期限内保留，不承诺与图片同时删除。

第三方系统：上述 30 天期限指我们控制的媒体副本，并非第三方独立系统内所有数据的统一保留期限。第三方对请求内容、日志及元数据的保留取决于具体服务、实际启用的隐私设置及适用约定；本政策不承诺全链路零留存。我们仍承担适用法律要求的数据保护义务，不因使用第三方服务而免除这些义务。

六、信息共享

• 阿里云 OSS：保存上传照片和生成结果，供制作、下载及故障恢复使用。
• OpenRouter 与 Seed：接收制作所需的照片和生成指令，处理并返回 AI 图片。可查阅 OpenRouter 隐私政策、模型服务方数据处理说明及 Seed 所引用的 BytePlus 隐私政策。
• RevenueCat 与 Apple：处理订阅、交易、权益核验及订阅统计所需的信息，不参与 Keepsday 的照片生成。可查阅 RevenueCat 隐私政策和 Apple 隐私政策。

我们不会出售个人信息，也不会将 Keepsday 数据用于跨 App 广告或跟踪。有关第三方的说明不构成对未披露用途的概括授权；依法需要另行告知或取得同意时，应在相关处理前完成。

七、你的选择与删除

系统权限：是否授予相册、相机、麦克风和位置权限由你决定，可在 iOS 设置中调整。你可以在 App 内删除单条本机记忆；删除本机记忆或卸载 App 不等于删除服务器上的访客账户，也不会自动取消订阅。

撤回 AI 授权：在“设置 → AI 图片处理”选择“撤回授权”。撤回后，开始新的制作须重新征得你的同意，不影响查看已有记忆或管理订阅。撤回不影响此前已获同意的处理，已提交的任务可能继续完成，也不会自动删除已上传的照片；需要删除时，请使用下述账户删除入口。

删除访客账户：在“设置 → 删除访客账户及相关数据”确认后，App 会请求删除旧访客账户、撤销旧访问凭据，并清除本机记忆、草稿、媒体及 AI 同意记录。服务器删除与旧账户关联的认证、任务、上传、使用明细和订阅关联记录，并为对象存储中的媒体及 RevenueCat 客户资料安排清理。外部资源清理存在等待及失败重试，不应将“账户已删除”理解为所有第三方副本已立即清除。我们控制的媒体副本仍受上述最长 30 天期限约束。

必要保留信息：为防止重复领取免费次数、绕过订阅额度及保障删除请求的安全重试，系统会保留设备标识和已用额度汇总，不保留其与旧账户照片、记忆和任务明细的关联；删除确认记录含凭据摘要和设备标识，有效期为 7 天，到期后由清理任务移除。正在执行的外部清理任务在完成前保留必要的资源标识。Apple 的交易记录及第三方依法或依约保留的安全、合规记录，不会因为删除 Keepsday 账户而自动一并删除。

删除完成后，继续联网使用服务会创建新的访客账户；保留设备标识不会恢复旧记忆，也不会重置已经使用的免费次数。账户删除不能代替取消 Apple 自动续费，请另行前往 Apple 订阅管理操作。

若删除失败、无法访问 App，或希望查询、访问、更正、导出或删除相关信息，可通过下方邮箱联系我们。我们可能要求提供处理请求所需的最少核验信息，并依据适用法律处理；仅保存在设备上且我们无法访问的内容，需要由你在设备上操作。

八、安全与变更

我们采用访问控制、加密网络传输、私有对象存储和最小化服务凭据保护数据，但没有任何系统能够保证绝对安全。产品或数据处理方式发生变化时，我们会更新本政策及下方日期。

九、联系我们

隐私问题和删除请求可以发送至 keepsday-support@orolumi.com。