日跡隱私政策

版本 1.8.0

# 日跡（Riji）隱私政策

**生效日期**：2026年10月26日

**版本**：1.8.0

歡迎使用日跡。我們重視您的隱私。本政策說明我們如何收集、使用、儲存與保護您的個人資訊。

官網語言偏好：僅在您主動切換官網語言時，瀏覽器儲存 `website_language` Cookie，期限一年，內容僅為語言標籤，不含帳號或唯一識別碼，不用於廣告或使用統計。您可清除瀏覽器 Cookie；停用 Cookie 時仍可透過獨立語言網址存取。

### 聊天中的位置分享

附近地點搜尋只篩選本次已回傳的清單，不上傳搜尋詞。主動點選聊天位置卡片時，App 會將該訊息儲存的地點名稱與座標傳給本機地圖：iOS 優先 Apple 地圖，Android 由系統預設地圖或選擇器處理；無法開啟時分別改用 Apple 或 Google 網頁地圖（Google 網頁僅接收地點座標）。不會重新取得目前位置，後續由您開啟的地圖服務商依其隱私政策處理。

主動點選聊天位置按鈕後，App 才會請求使用期間的定位權限並取得目前位置，不進行背景持續定位。為顯示附近地點，後台將座標交給高德地圖 Web 服務轉換並搜尋；服務未設定或搜尋失敗時仍可選擇目前位置。地點資料由高德提供，詳見[高德隱私權政策](https://lbs.amap.com/pages/privacy/)。

確認傳送後才將所選地點名稱、地址、精確經緯度與座標系作為聊天附件，與帳號及日記一起儲存在自有伺服器；開啟或取消選擇不會建立位置聊天記錄。地點名稱、地址與附言交給 DeepSeek 產生回覆並用於後續聊天脈絡，不傳送附件的精確座標。地點名稱、地址及座標不進入使用統計，座標不寫入 API 存取日誌。刪除相關日記或註銷帳號時一併刪除附件，請勿分享不必要的敏感地點。

## 一、我們收集的資訊

| 類型 | 內容 | 用途 |
|------|------|------|
| 帳號資訊 | Apple 使用者識別碼（apple_sub） | 登入驗證、帳號識別 |
| 個人資料 | 暱稱、生日、人生階段、近期煩惱、語氣偏好 | 個人化 AI 回覆與初始使用者輪廓 |
| 日記與對話 | 您主動輸入的日記正文、續聊文字與主動選擇傳送的圖片 | 產生 AI 回覆、圖片理解、情緒記錄；文字用於使用者輪廓分析 |
| 位置資訊 | 選擇性提供的經緯度、主動傳送的地點名稱、地址與座標 | 日記地點標註、天氣展示、附近地點選擇與位置聊天 |
| 裝置與日誌 | IP 位址、App 版本、API 存取日誌 | 安全風險控管、審核期間識別、故障排查 |
| 會員與付款 | Apple 交易 ID、商品 ID、訂閱狀態、到期時間、用於關聯日跡帳號的隨機 UUID | 向 Apple 驗證購買、恢復訂閱、續訂和退款；不儲存完整收據或付款卡片資訊 |
| 使用統計（可關閉） | 頁面存取、功能操作及結果、訂閱商品 ID 與購買操作結果、內部帳號識別碼或 SDK 安裝識別碼、裝置與系統資訊、App 版本、執行環境、工作階段識別碼和事件時間 | 透過 PostHog 分析功能使用情況，改善日跡體驗 |

我們不會出售您的個人資訊。

### 時光郵局與靈感紙條

您主動寄出的信件標題、正文、開啟日期及開啟狀態與日跡帳號關聯，儲存於自有中國境內伺服器的 SQLite 業務資料庫，用於保存、跨裝置同步及到期後讀取。未到期的信件由伺服器限制讀取，列表介面不回傳正文；這是存取控制，並非端對端加密。信件保留至您刪除信件或註銷帳號，屆時刪除業務資料庫中的關聯信件。未寄出的草稿只留在目前頁面記憶體，確認放棄、離開頁面或登出帳號後清理。

信件不會提交給 AI、內容審核供應商或 PostHog，也不用於使用者輪廓分析。靈感紙條從 App 內建題庫於本機抽取；抽取、換題及收起均不上傳、不呼叫 AI、不消耗額度。提交日記時，您選中的紙條編號及當時顯示的問題會隨日記儲存到我們的伺服器，並隨相關日記和對話提交給 DeepSeek，作為聊天中的 AI 開場問題及後續上下文；不額外消耗 AI 次數。未選紙條時不儲存問題，歷史問題保留提交時的語言，不隨之後的語言切換改寫。問題隨日記或帳號刪除，不進入 PostHog 使用統計。

### 通知與語言偏好

使用 iOS 通知時，我們將 Apple 推播裝置 token、推播環境及目前 App 語言與登入帳號關聯，儲存在自有伺服器，用於日記提醒、回訪提醒和未拆信件的到期提醒。語言依裝置儲存；切換 App 語言、跟隨的系統語言變更或重新開啟 App 時同步，不讀取系統語言偏好以外的額外個人內容。

通知透過 Apple Push Notification service（APNs）傳送，只包含通用提醒文字和內部帳號／通知路由識別碼，不含信件標題、正文、日記或聊天內容。我們記錄傳送狀態以減少重複提醒，已拆開的信件不再提醒。您可在 iOS 系統設定關閉通知，不影響使用郵局或到期後拆信；是否顯示由系統權限、網路及 Apple 服務決定。帳號刪除或 token 判定失效時會清理裝置 token。

裝置還會提交系統的 IANA 時區識別碼（如 `Asia/Shanghai`），不需定位權限。裝置註冊儲存時區；已登入業務請求也會同步，即使您未允許通知。帳號以最近一次活躍裝置同步的時區計算今日日記、連續天數、每日額度及信件日期，安排當地晚 20 點日記提醒與早 9 點信件提醒。我們使用伺服器真實時間，不蒐集手動修改後的手機目前時間；時區可隨旅行或系統設定變更。時區儲存於自有伺服器，不作為新增屬性傳給 PostHog；不改寫歷史日記日期，帳號註銷時清理關聯時區資訊。

### 圖片聊天

圖片聊天是選用功能。您可以透過系統照片選擇器選擇圖片，選取的圖片先在輸入框中預覽，可隨時移除；取消選擇不影響文字聊天。只有您點選傳送後，選取的圖片才會上傳到日跡伺服器，每則訊息最多 1 張、壓縮後不超過 5 MiB。我們不掃描或上傳整個相簿，伺服器會驗證實際格式並重新編碼，以移除 EXIF、GPS 等中繼資料。

圖片首先提交給**阿里雲**進行內容安全審核，通過後將圖片內容與相關對話提交給 **DeepSeek（deepseek-flash）**，用於理解圖片並產生回覆。後續聊天可再次使用近期圖片作為上下文。請勿傳送身分證、銀行卡、密碼或其他不必要的敏感資訊。圖片不會進入 PostHog 使用統計。

### 使用統計的具體範圍與開關

在整合使用統計功能的 iOS／Android 版本中，我們透過 PostHog SDK 收集 App 開啟、頁面存取、開始編輯日記及儲存結果、AI 訊息傳送及回覆是否成功、寵物彈窗查看、訂閱購買操作及結果、恢復購買操作等事件。統計記錄的是操作類型和結果，不是您輸入或收到的內容。

- **帳號關聯**：未登入時使用 SDK 產生的安裝識別碼；登入後關聯日跡內部帳號識別碼（格式為 `riji:<使用者ID>`）。這些資料可以關聯到帳號或一次安裝，不是完全匿名資料；我們不向 PostHog 傳送暱稱、電子郵件、電話號碼或微信帳號識別碼。
- **不收集的內容**：使用統計不收集日記正文、聊天內容、AI 回覆正文、心情標籤、圖片、經緯度、寵物卡片編號或場景、登入憑證、Apple 收據或交易 ID。此限制僅針對 PostHog 使用統計，不影響您主動使用日記、AI、天氣或購買功能時所必需的資料處理。
- **裝置與網路**：SDK 會附加裝置、作業系統、App、工作階段和事件時間等資訊。網路請求會向服務商揭露來源 IP；我們已停用 PostHog 的 IP 地理位置推導，不將定位資訊作為使用統計屬性傳送。
- **不用於廣告追蹤**：本功能不讀取 IDFA，不錄製螢幕或重播工作階段，不用於跨 App、跨公司的廣告追蹤。
- **預設與選擇**：使用統計預設開啟；您可隨時在「設定 → 使用統計」關閉，點選旁邊的資訊圖示可查看說明。關閉後停止收集新的使用統計資料，不影響登入、日記、AI、寵物或會員功能；已儲存的關閉選擇不會因正常重新啟動或更新而重設。關閉開關不會自動刪除已傳送的資料。

## 二、資訊的使用方式

1. **核心功能**：寫日記、AI 暖心回覆、多輪續聊、日曆回顧。
2. **使用者輪廓**：系統在夜間批次分析您昨日的日記與對話，提取結構化輪廓，用於後續對話更理解您；請求過程中僅讀取已有輪廓，不在每次請求即時重建。
3. **內容安全**：對使用者輸入與 AI 輸出進行內容審核，攔截違規內容（違規內容不寫入資料庫）。
4. **額度與會員**：統計每日互動次數，區分免費／Pro／Max 權益。
5. **產品改善**：分析頁面存取、功能操作及訂閱流程的使用情況，找出體驗問題；使用統計開關不控制提供核心服務所必需的業務資料處理。

## 三、資訊的儲存、保留與保護

- 日跡後台的帳號、日記、對話及會員等業務資料儲存於中華人民共和國境內的伺服器（SQLite 資料庫）。第三方服務按實現功能所需處理相關資訊。
- **聊天圖片**：中繼資料儲存在資料庫，圖片檔案儲存在自有伺服器的私人磁碟目錄，讀取時須驗證登入狀態和帳號歸屬，不提供公開連結。圖片隨對話保留，刪除帳號時移除關聯圖片。傳送失敗或審核未通過的圖片不會寫入持久化聊天記錄。
- **圖片審核暫存檔案**：使用阿里雲內容安全提供的暫時上傳區，不使用公開圖片連結。依其[官方 API 說明](https://help.aliyun.com/zh/document_detail/467829.html)，本機圖片上傳檢測的暫存檔案保留 30 分鐘。DeepSeek 依其服務條款和隱私政策處理產生回覆所需內容；我們不將「本機儲存」等同於第三方不處理或不保留資料。
- **PostHog 美國區**：使用統計資料從 App 直接傳送至 PostHog US Cloud，在美國儲存和處理。若您位於中國大陸或其他美國以外地區，這會涉及資料跨境傳輸。傳輸範圍限於本政策列明的使用統計資料，不包含日記或聊天正文。
- **統計資料保留**：目前使用 PostHog 免費方案；其公開的事件保留期間為 **1 年**。該期間不代表到期即徹底刪除，超出期間的資料可能無法再查詢，刪除需要另外處理，詳見 [PostHog 事件保留說明](https://posthog.com/docs/data/events-retention)。如我們調整方案或保留安排，將同步更新本政策。
- Apple 使用者識別碼與 Session 以雜湊形式儲存，不以明文儲存登入憑證。
- 我們採取存取控制、加密、日誌稽核等措施保護資料安全。
- 刪除帳號後，日跡後台為付款對帳及防止重複領取，僅保留最少必要的交易識別碼、匿名帳號綁定及訂閱狀態；不會因此保留您的日記、對話或使用者輪廓。
- **統計資料刪除**：目前關閉統計或刪除日跡帳號，不會自動連動刪除 PostHog 中已傳送的歷史資料。您可透過本政策末尾的電子郵件申請查詢或刪除，我們會在驗證必要的帳號或安裝關聯資訊後處理並告知結果；請勿傳送密碼、驗證碼或日記正文。

## 四、資訊的分享與揭露

我們僅在以下情形分享或揭露資訊：

- **依法要求**：法律法規、訴訟、政府機關依法提出的要求。
- **服務供應商**：內容安全（阿里雲／騰訊雲）、AI（DeepSeek）、天氣（和風）等，僅傳輸實現功能所必需的資料。
- **使用統計服務**：PostHog Inc.，使用 `posthog_flutter` SDK 和 PostHog US Cloud（美國區），接收本政策列明的使用統計事件及識別碼，用於產品分析。服務商說明見 [PostHog 隱私政策](https://posthog.com/privacy)。
- **經您同意**：獲得您明確授權的其他情形。

## 五、您的權利

您有權：

1. **存取與更正**：在 App 內查看、修改個人資料。
2. **刪除帳號與資料**：在 App 設定中申請刪除帳號，永久刪除日跡後台的帳號及關聯日記、對話、使用者輪廓等資料；付款記錄保留範圍和 PostHog 歷史資料的單獨刪除方式見第三節。
3. **關閉使用統計**：在「設定 → 使用統計」關閉，不需刪除帳號，也不影響其他功能。您也可在系統設定中管理定位等權限；關閉相應權限僅影響依賴該權限的功能。
4. **查詢、刪除與申訴**：對使用統計或其他個人資訊處理有疑問，或希望行使相關權利，請透過開發者電子郵件聯絡我們。

## 六、未成年人保護

日跡主要面向成年人。若您未滿 18 歲，請在監護人同意下使用本服務。

## 七、政策更新

我們可能適時修訂本政策，修訂後將在 App 或官網公布。涉及處理目的、資訊種類、接收方或保留安排等重大變化時，將依法履行告知及必要的授權程序。本政策是對資料處理的說明；預設開啟、政策公布或繼續使用，都不能取代依法需要取得的同意。

## 八、聯絡我們

- 產品名稱：日跡（Riji）
- 開發者：bin.liu
- 聯絡信箱：[liu_bin4835@outlook.com](mailto:liu_bin4835@outlook.com)