知人 · 隐私政策

最后更新：2026 年 10 月 11 日 · 适用于 iOS 应用「知人」（App ID 6809723005）

1. 我们处理哪些数据

• 账号标识。使用 Apple 登录或 Google 登录时，我们会收到服务商签发的账号标识（Apple 的 sub / Google 的账号 ID），并使用其哈希值关联资料。我们不会收到你的 Apple ID 密码，也不存留登录时的姓名或邮箱：Google 返回的身份令牌中可能带有邮箱地址，但服务端不保存邮箱，也不用于其他目的。
• Apple 授权凭据。使用当前版本登录时，应用将一次性授权码发送给后端，后端向 Apple 换取并保留刷新令牌，用于删除账号时撤销授权。令牌保存在私有账号存储中，不进入人物档案、备份、公开响应或业务日志，确认撤销后移除。
• 你记录的内容。人物姓名、别名、身份备注、分组与能力模型、评分与依据、需求、信息条目、行动记录、对话文字与摘要。这些内容由你主动输入或由你确认后写入。
• 选择导入的联系人。应用使用系统选择器，只读取你选中的联系人姓名、别名、单位或职务，并保留导入标识用于防止重复。确认保存后，这些字段成为人物资料；登录后会随资料档案同步。通讯录截图的文字识别在本机完成，不上传原始截图。
• 图片与视频画面（可选）。对话中主动添加的图片会在本机缩放，视频会在本机抽取画面，不发送视频音轨。发送前会显示你配置的图片 AI 服务接收方；同意后，这些画面和同次分析的文字、相关人物资料、行动记录及对话上下文会直接发送到该服务。知人后端不接收这些原始附件，原始附件不进入知人的 JSON 备份或云端档案；你确认保存的分析文字会进入资料档案。
• 录音与姓名提示。使用语音输入时，录音先保存在本机。你同意语音转写的数据处理并点击转写或重试后，音频与最多 100 个姓名或别名提示会发送给 Cloudflare Workers AI，用于识别文字。应用后端不将音频写入对象存储或业务日志。
• 运行诊断。后端的应用日志记录请求类型、响应状态、处理耗时、读入字节数、删除或清理结果和服务版本，用于排查故障和维持同步。每次请求使用独立的随机诊断编号，应用日志不记录账号标识、人物正文、录音、令牌、完整网址或查询参数。Cloudflare 平台可能另外记录请求网址等运行元数据；接口不在网址或查询参数中传递人物资料和凭据。这些诊断不用于广告或用户画像。
• 设备凭据与设置。API 密钥和登录会话凭据存于系统钥匙串，不写入档案备份。AI 请求会通过 HTTPS 将 API 密钥用于服务商鉴权，云端请求会携带登录会话凭据。隐私锁设置保留在本机。人物修改、对话和未发送的文字属于资料档案，会进入备份；登录后也会同步。

我们不收集位置信息、通讯录原始全量列表、广告标识符，也不接入任何第三方分析或广告 SDK。批量导入联系人时，被解析与保存的只有你确认保存后的人物条目。

2. 数据存放在哪里

• 本机。不登录可手动记录、查阅、比较、导入和导出。资料默认保存在你的 iPhone 上。语音转写需要登录，AI 文字分析需要另外配置密钥并同意处理。
• 云端同步（可选）。登录后，资料档案存放在 Cloudflare 的私有对象存储中，按账号及存储代次隔离。后端验证会话和账号状态后才允许读写。设备会话有效期 90 天，退出登录成功后该会话失效。
• 语音转写。本项目部署的 Cloudflare Worker 调用 Cloudflare Workers AI 托管的 Whisper 模型。Cloudflare 是这项功能的数据处理服务商；你明确同意后，音频与姓名提示会经其服务处理。
• 文字 AI 分析（可选）。开启 AI 分析并发送后，最终文字、分析范围内的相关人物资料、行动记录和对话上下文会直接发送给 DeepSeek。密钥由你自行申请并保存在本机钥匙串，调用费用由你的 DeepSeek 账户承担。知人后端不接收这把密钥。
• 图片 AI 分析（可选）。带图片或视频画面的请求由你在「设置 → AI 连接」配置的图片服务处理，接收方为所填 HTTPS 接口的服务商，而非默认的 DeepSeek 文字接口。应用在启用前显示该接收方并取得单独同意；更换接收方后需重新同意。第三方服务会收到用于分析的画面、文字、相关资料与上下文。密钥仅用于该服务鉴权，费用由该服务的个人账户承担。

第三方 AI 服务对请求的保留、删除、使用地区和模型训练安排受该服务的条款及隐私政策约束。请在配置前核对服务商的数据保护承诺，只使用你信任且允许处理所提供资料的服务。知人不能代替你向自行配置的服务商删除已发送的内容。

3. 我们如何使用数据

知人使用这些数据来同步资料、将文字整理成可确认的档案条目、提供决策建议及转写录音。我们不将你的记录用于广告或转售，也不自行使用私人记录训练模型。后端还记录不含正文的语音请求次数、会话有效期及维护结果，用于限制费用和清理过期凭据。

4. 数据保留与删除

• 你可以随时在「设置 → 导出完整备份」导出全部资料，格式为可读 JSON。
• 「设置 → 清空所有资料（含云端）」先自动备份，再清空本机人物与对话档案；清空操作需要联网且同步成功后才会应用到云端及其他设备。此操作保留账号和自动备份。
• 退出登录不会删除本机或云端资料。本机缓存仍属于原账号，重新登录原账号可继续同步；换用其他账号或同账号删除重建时，不会自动上传或合并这份旧缓存。有待上传修改时，普通退出登录需要先同步成功。
• 「设置 → 账号与云端同步 → 删除账号并清除全部资料」会删除云端档案、使该账号的旧会话失效，并清理本机档案、应用管理的自动备份、录音、API 密钥和登录凭据。清理失败可重试，未确认云端删除前本机资料仍保留。自行导出的文件和其他设备上的离线副本需分别管理。
• 切换账号需先导出 JSON 备份并确认清理。本机档案、文字草稿、自动备份、录音和凭据会被移除，原账号云端资料与自行导出文件保留。JSON 不含音频和密钥，需要的录音请先转写保存。退出当前设备会话需联网；失败时保留清理进度，完成前暂停编辑和上传。
• 删除 Apple 登录账号时，后端会撤销已保存的 Apple 授权令牌。历史账号没有保存可撤销令牌时，资料删除仍会完成，应用会提示你按 Apple 官方步骤手动停止授权。删除过程中授权过期，可重新登录原账号继续删除，恢复用会话不能读取或上传资料。
• 为阻止在途旧请求恢复已删除资料，并支持删除失败重试，后端保留不含资料正文的账号代次、删除标记和请求回执。这些元数据目前没有自动到期策略。语音次数计数在对应 UTC 日期结束 24 小时后到期；到期计数及过期或撤销的会话对象由定时任务分批清理，实际移除时间受待清理数量及运行状态影响。
• 运行诊断记录保存在 Cloudflare 日志服务中，按服务配置自动到期。由于记录不含账号标识，删除账号不会按账号检索或单独删除这些诊断记录。
• 本机录音在转写后仍保留供核对；点击发送且文字消息保存成功，或主动删除该录音后清理。删除对话、恢复时移除对话或清空资料也会清理对应录音。清理失败会显示提示，可在设置中重试，重启后继续。AI 分析随后失败时，已保存的文字仍可重试。中断和未发送的录音可在原对话恢复。云端档案包含对话文字与原始转写，不包含音频文件。
• 你可在「设置 → AI 连接」关闭「开启 AI 分析」、选择「撤销图片与视频共享同意」或关闭「允许 Cloudflare 语音转写」，停止后续相关外发。撤销不会自动删除已保存的记录或第三方已接收的数据；本机和云端资料按上述删除方式处理，第三方数据需按其政策向对应服务商申请删除。

5. 安全

与服务器之间的通信全部使用 HTTPS。云端读写使用带条件的原子写入，避免设备之间互相覆盖。API 密钥保存在 iOS 钥匙串，不写入备份、不写入日志。你可以开启 Face ID / 密码锁，让应用进入后台时自动上锁。

6. 儿童

知人不是面向儿童的应用，我们不会有意收集 13 岁以下儿童的个人信息。若你认为相关数据被误收集，请通过下方邮箱联系我们删除。

7. 政策变更

如果这份政策发生实质性变化，我们会更新本页顶部的日期，并在应用内或更新说明中提示。

8. 联系我们

隐私相关问题、数据删除请求或任何疑问，请发送邮件至 harryjia2017@gmail.com，我们会在 7 个工作日内回复。