风信子隐私政策

1、账号与成年声明

我们处理匿名设备标识、手机号或 Apple 登录凭证、平台账号标识和登录状态，用于建立账号和保护服务。手机号会加密保存，用于登录、找回账号和必要的联系，经授权的工作人员处理账号与安全问题时可以查看。风信子仅面向年满 18 周岁的用户；你需要在登录账号后明确确认自己已满 18 周岁，未确认或明确否认时不能进入社区。我们保存声明结果、声明版本和时间，用于执行准入与必要审计；这项声明不是真名或证件核验，我们不会因此收集身份证件影像、出生日期或真实姓名。

完成风名资料时需要选择性别（也可以选择“不愿透露”）和年龄段。性别的用途与删除方式见第 9 节；年龄段不公开，用于为你分发来信，见第 4 节。

2、书信、社区与语音

我们处理你选择的预设头像和风名，以及你主动提交的书信、回应、风场动态、评论、兴趣、消息、语音文件和语音转写，并处理投递、收取、点赞、收下回应、拉黑等互动记录，用于完成你请求的功能。录制语音时会在获得系统授权后使用麦克风；生成转写时会在获得系统授权后使用 Apple 语音识别能力，录音可能交由 Apple 处理，并非保证仅在设备上完成。相关处理见第 12 节。

3、内容安全与举报

风名、书信、动态、评论、文字消息和语音转写会在发布前经过敏感词规则或内容安全模型的自动风险识别，并可能由经授权的工作人员复核。自动结果用于允许发布、暂停待复核或阻断明确风险，不用于跨 App 广告画像。

举报时，我们会处理举报原因、必要的上下文、处置与申诉记录，用于阻止违法、骚扰、诈骗、自伤风险或其他有害内容。举报进入安全队列后，我们会在 24 小时内核查；确认违规时立即删除违规内容，并根据情节暂停或永久终止账号。你也可以拉黑对方、立即把动态从自己的风场移除；内容作者可以删除自己发布的动态。

4、来信分发与风场

为了把你的风笺交给合适的人、为你挑选来信，我们会参考你选择的兴趣、年龄段、常用城市，你回应来信的情况，以及按规则从你写的风笺、回应和消息中提取的话题和情绪标签（例如你是否在寻求安慰）。这些标签只在内部使用，不公开，不用于广告，注销账号时删除。你可以随时修改兴趣和常用城市。风场会按你选择的兴趣筛选内容，并按时间排列。我们不进行跨 App 跟踪。

我们还会记录“某个账号在某一天浏览过某条内容”，同一账号同一天对同一条内容只记一次，不记录停留时长，也不记录滚动或曝光次数。这项浏览记录只用于计算全站共享的内容热度，不用于分析你个人，也不会向内容作者展示谁看过他的内容。

5、使用统计（可选，默认关闭）

只有你在“窗台”→“个人资料”→“设置与隐私”中主动开启“使用统计”（开关名为“分享使用统计”）后，我们才会记录：你打开过哪些页面、在前台停留多久、App 何时启动和退出、上次是否正常退出、操作是否成功以及失败时的错误类型、App 版本和构建号；你使用“定位当前城市”时，也会记录得到的城市。默认关闭，不包含书信、风场动态、评论或消息正文，也不包含完整手机号或精确坐标。

关闭后，本机立即停止新的采集；服务器收到撤回请求后，会清理已经收到的统计记录，记录较多时会分批完成。没有网络或请求失败时，清理请求会等待后续同步，你也可以在设置中手动重试。当前设置页不展示服务器删除任务的完整进度。关闭统计不影响你发布的书信、风场动态、消息，以及提供服务所需的接信、回应记录。我们也可能根据这些必需的记录统计功能是否完成，但这不代表我们确认你读过某条内容，也不会把没有开启统计当作没有使用功能。

统计的原始记录最多保存 180 天，按天汇总的数据最多保存 13 个月，到期后分批清理，过期记录在清理完成前也不会再用于分析。我们不接入第三方统计 SDK，不进行跨 App 跟踪。使用统计与必要的崩溃、性能诊断分开处理，关闭使用统计不会同时停止安全诊断，诊断的保存期限见第 13 节。账号注销会清理可关联的诊断记录；为防止注销前的旧设备再次上传，我们只在删除回执中保留一个无法还原成设备标识的哈希值，用于防止重复上传，不用于画像或分析。

可选操作统计：在使用统计已开启且你另行开启操作统计后，记录点击与滑动的开始、结束时间、毫秒持续时间、固定页面与控件标识，用于还原已收到的步骤和排查故障；不记录触摸坐标、键盘输入、页面正文、截图或屏幕录像。关闭操作统计停止新采集并清空本机待上传操作；关闭使用统计或删除账号沿用统计撤回和清理流程。记录可能缺失，不保证完整重放。

6、可选激励广告

当前版本不启用广告。如果以后开放奖励短片，只会在你每次主动选择观看时加载；启用前我们会更新本政策，说明广告服务商可能处理的设备技术信息、广告请求、互动记录和匿名奖励凭证。我们不申请跨 App 跟踪权限。

7、保存、删除与权利

账号、互动、语音和安全记录在提供服务所需的期间内保存。语音文件存放在不公开的存储空间，只能通过短时有效的地址访问。你可以管理黑名单和兴趣，并在 App 内注销账号、删除对应的业务数据；注销后我们停止提供相关语音的访问，并按存储和备份的周期继续清理。举报等业务记录与独立安全审计的删除和保存方式见第 13 节。

8、安全、未成年人及政策更新

我们采用 HTTPS、访问控制、最小权限和必要审计等措施保护数据。风信子不面向未成年人；请如实完成年满 18 周岁声明。发现不符合年龄要求的账号时，我们会依法处置。功能、服务商或法律要求发生重要变化时，我们会更新本政策并以适当方式告知；App 内的协议更新后，你需要重新确认。

9、性别资料与选择

你可以在个人资料中主动选择“男”“女”或“不愿透露”。我们仅按你提交的选择保存，不读取证件或系统信息推断性别；资料页当前没有独立的性别同意勾选框。选择“不愿透露”与删除性别信息不同：前者仍是一个展示选择，后者移除保存的性别。

性别会怎么被使用：一、它会显示在你的风名和头像旁边，其他用户可以看到。二、如果你在“消息保护”中选择“仅同性”，只有与你同性别的用户可以向你发起消息。三、你第一次填写或修改性别时，我们会把你名下已发布动态的作者性别标记一并更新。

谁能按性别找到你：你可以在“窗台”→“个人资料”→“谁能按性别找到我”中选择“全部”“仅同性”或“不允许”，决定按性别筛选动态时你的动态是否出现。不筛选时的浏览不受影响。

我们不会做的事：不把性别用于广告定向；不把按性别筛选做成付费商品；不向第三方提供性别；性别不参与内容热度排序。

删除性别信息：你可以随时在“窗台”→“个人资料”中选择“删除性别信息”。删除后我们会删除已保存的性别和相关记录，并清除你此前发布内容上的性别标记；你不会再出现在按性别筛选的结果里，账号的其他功能不受影响。我们只记录“删除发生过”，不保留被删除的性别取值。删除不会恢复已经用掉的修改机会；如需重新填写或更正，请通过“举报不当活动与联系我们”或支持邮箱联系我们。删除前已经进行的处理不受影响。

10、位置与城市

风信子的同城内容按城市分发，因此需要知道你所在的城市（省、市一级）。你可以直接手动选择城市；如果你选择“定位当前城市”，我们才会在获得系统授权后使用一次定位。

定位的处理方式：我们只申请“使用 App 期间”的定位权限，并且只请求公里级精度。取得坐标后，App 会调用 Apple 提供的地理编码能力把坐标换算成省市名称——这一步由 Apple 处理，坐标会按 Apple 的隐私政策交给 Apple，可能涉及境外传输；换算出的省市名称再在你的设备上与 App 内的城市目录比对。只有比对出的城市编码会上传到我们的服务器；经纬度不会上传给我们，我们也不会保存任何坐标。你可以随时在系统设置里关闭定位权限，关闭后仍可手动选择城市，手动选择时不涉及任何坐标。

你的常用城市也会用于分发来信（见第 4 节）。你发布的社区内容可能带有你当时选择的城市标记，其他用户可以看到这个城市标记。

11、安全与合规日志

为保障服务安全、处理举报与投诉、防范违法违规行为，并履行法律法规规定的日志留存义务，我们会记录与你使用风信子有关的安全日志，包括：账号标识、操作时间、操作类型（例如登录、发布、投递、举报、申诉）、被操作对象的标识、网络请求来源地址（IP 地址）、必要的 App 与设备技术特征，以及内容安全的判定结果与处置记录（判定结论、处置动作、处置时间、处置人标识）。

这些日志与用于产品分析的记录分开存放、分别授权，只有经授权的安全与合规人员按最小必要原则访问，每次访问都会被记录。它们不用于广告，也不用于向你推荐内容。

法律法规对相关日志规定了最短留存期限的，我们按规定期限留存；期限届满且不存在举报、申诉、争议或司法、行政调取需要的，我们会删除或匿名化。

12、第三方、受托处理方与信息出境

为提供服务，我们会在必要范围内委托下列类型的服务方处理信息，并通过协议约束其处理目的、期限和安全义务：

一、云与对象存储服务商：存放语音文件等媒体资源，只能通过受限存储和短时有效的地址访问。二、内容安全服务商：对风名、书信、动态、评论、消息和语音转写进行风险识别；如果我们启用外部内容安全服务，会在启用前更新本政策。三、短信服务商：发送登录验证码。四、AI 生成服务提供方：为生成公开风笺、风场动态、消息回复和对评论的回复，处理 AI 角色设定、所需的当前消息上下文，以及你对 AI · 自动账号动态的评论内容和你的风名，具体范围见第 14 节。成年准入由你在风信子账号内明确声明完成，不委托第三方采集证件或核验真实身份。

与 Apple 相关的处理：如你使用 Apple 登录，Apple 会向我们提供账号标识、登录凭证，以及你授权提供的姓名，我们不获取邮箱；如你开启推送通知，设备推送标识和通知内容会经 Apple 推送服务下发，我们的通知正文只包含通用提示，不包含任何书信、动态、评论或消息的内容。此外，如你使用“定位当前城市”，App 会调用 Apple 的地理编码能力把坐标换算成省市名称，坐标在这一环节交给 Apple（详见“位置与城市”一节）；改用手动选择城市即可完全避免。如你使用语音转写，录音也可能发送给 Apple 的语音识别服务。上述 Apple 服务按其自身的隐私政策处理信息，可能涉及境外传输；你可以分别通过不使用 Apple 登录、不开启推送、手动选择城市或不使用语音转写，避免相应处理。AI 生成服务的处理地点和保存规则取决于所使用的服务，可能不全部在中国境内完成。

我们不出售个人信息，也不与第三方共享用于跨 App 广告跟踪。

13、各类信息的保存期限

一、你发布的内容（风笺、风场动态、评论、消息、语音及其转写、互动记录）：保存至你删除相应内容或注销账号；注销时，你参与的消息往来和你动态下的评论也会一并删除。二、账号与资料（风名、头像、兴趣、年龄段、城市、性别）：保存至你删除相应项或注销账号。三、来信分发用的话题和情绪标签：保存至注销账号。四、浏览记录（用于计算内容热度）：不超过 90 天。五、举报、拉黑、申诉及内容审核业务记录：注销会删除与你相关的这些业务记录；独立安全审计与必要的删除回执按其用途另行保存，不等同于保留上述业务记录的完整内容。六、安全与合规日志：按法律法规规定的最短期限保存，不少于六个月。七、成年声明记录（确认、版本和时间）：保存至准入与审计目的实现所需的最短期间。八、崩溃与性能诊断：诊断事件按 90 天、按日聚合的性能数据按 400 天的期限清理，与第 5 节可选使用统计分开处理。清理分批进行，可能因处理积压而延后，不保证每条记录在期限届满时立即清除。依法或为处理具体安全事件、未结争议确有必要延长保存的，仅保留必要范围内的记录至相应目的完成。

依法需要为未结争议或司法、行政调取保留的独立审计记录，保存至相应目的完成；这不表示账号注销后仍保留前述已删除的业务记录。

14、AI · 自动账号生成的内容

风信子提供一批具有固定人设、主题与表达风格的 AI · 自动账号，由平台内容生成系统生成公开风笺、风场动态、消息回复，以及对评论的回复。账号会明确显示“AI · 自动账号”标识，生成内容标注“AI 生成”，不代表真实个人，也不会展示内部账号或系统标识。公开风笺由运营审核确认，必要时修改并重新审核，批准后按排期发布。你与 AI · 自动账号持续往来、回应它们的风笺，或在它们的动态下评论时，系统会根据当前消息往来或你的评论生成回复，并在发布前进行安全审核；这不代表每条回复都经过人工审核。这类内容同样受举报、拉黑和处置规则约束。

AI 会使用哪些信息：生成消息回复时，我们会把当前消息往来中双方近期可见消息的正文、消息标识和时间交给所配置的生成服务处理，通常使用最近 20 条，最多 40 条；生成评论回复时，会交给生成服务你的评论内容和你的风名。AI 不读取其他用户的消息往来，也不会跨越不同的消息往来建立长期记忆。这只是限制 AI 每次参考的范围，不代表更早消息已经删除。消息仍按第 13 节保存；注销会清理相关消息及生成任务中的内容副本。删除评论或包含它的动态、注销账号时，我们也会清理相关 AI 评论生成任务和审核中的内容副本，以及由这些任务发布的回复；已经产生的服务费用记录另行保存，不包含评论正文。

对于这类内容，我们会保留生成记录，包括所使用的系统与版本标识、生成时间、内容摘要和用于核对的校验值，以及审批与发布的操作记录。这些记录用于安全审查、举报处理、争议核实和配合监管，不用于向你推荐内容，也不用于广告。

你可以随时举报任何一条内容，或拉黑任一账号以停止与它的全部互动。风信子不是紧急救援、医疗或心理治疗服务；AI · 自动账号生成的内容也不构成医疗、法律、财务或心理咨询意见。

可选登录详细诊断（默认关闭）

登录前的可选详细诊断默认关闭，需要你在登录页面单独开启，并同意当前隐私政策版本对应的诊断用途。不开启、不支持或诊断上传失败均不影响登录。登录前诊断使用独立随机匿名诊断身份，不登录业务账号，不自动关联正式账号，也不授权 AI、语音、位置或其他业务。诊断记录包括固定登录步骤及结果和错误类型、登录页前台停留区间、App 版本与构建号、设备型号（不含唯一设备标识）、系统版本、Debug/Release 构建类型、本地收据环境线索、随机登录尝试标识、从发起登录后累计的毫秒耗时，以及固定白名单 Apple 错误域与整数错误码、最多两层底层错误域与码。本地收据线索未经安装渠道验证，不能据此认定来自 TestFlight 或 App Store。只有实际收到的回调和请求结果才记录，不补记授权前操作，不保证完整重放或认定某次授权成功。我们不收集 NSError 描述、userInfo、密码、验证码、手机号、登录凭证或令牌、nonce、收据正文、消息正文、输入内容、触摸坐标、截图或屏幕录像。原始事件和前台区间最多用于最近 180 天分析，按天汇总保留 13 个月，到期分批清理。只有获授后台用户与数据分析权限的工作人员可查看固定诊断事实，不用于广告或跨 App 跟踪。可随时关闭登录诊断；本机立即停止采集并清空待上传队列，联网后独立撤回服务端授权，旧授权记录停止展示并分批清理。离线或失败会保留撤回重试，不表示已完成服务端删除。注销业务账号时也会单独撤回诊断授权；此独立匿名身份不会自动与正式账号合并。政策变更后，需要你重新确认才能继续采集。