2026 年 7 月 16 日生效
拾得 Ensō 隐私政策与数据边界
拾得 Ensō 是免 Ensō 账户的本地优先记忆应用。本政策区分「保存在你的设备上」和「在你主动调用联网功能时发送」的数据；「本地优先」不意味所有功能都不会使用网络。
保存在本机的核心数据
- Memory：回忆正文、日期、媒体引用、心象、地点和盖印快照。
- Profile：昵称、出生年份与地点、联系和平安回音预设等个人资料。
- Keepsake：年度信物快照。
- CompanionState：陪伴状态与本地派生分值。
- 照片、数字书 PDF、Widget 快照和应用设置。卸载 App 可能删除这些本机数据，请先在 App 内导出。
你主动使用时才会发送的数据
| 功能 | 可能发送 | 用途 |
|---|---|---|
| 公共文化内容 | 语言、年份和粗粒度筛选条件 | 只读获取公共文化条目 |
| 在线陪聊 | 当前对话与功能页明示的必要上下文 | 由在线模型生成回复 |
| 可选 AI 成书 | 你选择纳入的回忆摘要、年份与成书设置 | 生成受验证器约束的书稿与图片计划 |
| 未来邮件 | 收件地址、投递时间和你明确提交的内容 | 安排邮件投递 |
| 匿名权益 | 随机安装标识、App Attest 证据和 StoreKit 商品/交易状态 | 防止滥用并确认 Ensō+ 权益；不包含支付卡资料 |
这些联网 AI 功能（狗子对话、AI 梳理、AI 成书）由第三方 AI 服务商处理：主要是 OpenAI，在其不可用时可能改用 Anthropic（Claude）或 Google（Gemini）。仅在你主动调用该功能时，才把相关派生文本（当前对话、待梳理草稿、或截断的成书摘要）经加密传输发送给上述服务商生成结果；照片、整册资料、姓名与联系方式从不发送。按其公开条款，这些数据不会被用于训练模型。
可选匿名分析
「帮助改进拾得」开启时，App 发送匿名操作类型、短枚举、App 版本和随机安装标识。分析事件不包含回忆正文、照片、姓名或联系方式。你可在「时空主页 → 隐私与数据」关闭分析，删除服务端匿名分析记录并重置标识。原始匿名事件的设计保留期为 90 天。
拾得不使用广告标识，不为跨 App 或跨网站追踪出售数据。
订阅、导出与删除
- 购买由 Apple StoreKit 处理。拾得只读取已验证的商品和权益状态，不取得你的支付卡资料。
- 你可从「时空主页 → 隐私与数据」导出标准 ZIP：可读 JSON 清单加照片、PDF 数字书和 Widget 文件。
- 同一页面可永久删除 SwiftData、Documents、App Group、设置、分析、通知和本 App 的 Keychain 数据。操作有两次确认。
- 删除本机数据或卸载 App 不会取消 Apple 订阅；订阅必须在 App Store 账户中管理。iCloud/系统设备备份中的副本由 Apple 和你的备份设置控制。
权限、未成年人与联系
相机和相册权限仅在你选择拍摄、选取或保存图片时申请。拾得 v1 不申请精确位置、联系人或 HealthKit 权限。拾得不主动面向 13 岁以下儿童收集数据。隐私查询可联系 privacy@shide.app，产品支持可联系 support@shide.app。