一念（YI念）隐私政策
生效日期：2026年7月9日 · 最近更新：2026年8月13日
「一念」（以下简称"本应用"）由 刘乾隆（以下简称"我们"）开发和运营。我们非常重视你的个人信息与隐私保护。本政策说明我们如何收集、使用、存储、共享和保护你的信息，以及你享有的权利。请你在使用本应用前仔细阅读并理解本政策，特别是加粗的条款。
一句话概括：本应用是一个情绪陪伴工具。你写下的"心事"很私密——心事、留句、后来和留影不会进入朋友赠签或水面流灯的传播链路。只有当你为了"照见"而摇签，或登录并开通"归舟／星河"云端保存时，相关私密内容才会被发送到服务器或 AI 模型处理。为守住每日抽签次数及签的去向，未登录时服务器也会保存随机匿名标识和公开签面账本；其中不含你的心事。我们对服务器上涉及心事的字段做了加密存储，且不会把它放进用于统计的行为记录里。
一、我们收集哪些信息
1. 你主动提供的信息
- 心事内容：你摇签时写下的问题（"心事"）、留下的"留句"、补写的"后来"。
- 留影照片（可选）：你选择为某次记录拍照或从相册选图的图片。未开通云端保存时，留影照片仅保存在你的手机本地；当你登录并开通"归舟／星河"云端保存后，照片会上传至服务器，用于换设备后取回。
- 拍照留影时的位置（可选）：仅在你选择拍照并授权位置权限后读取一次，把位置转换为城市／区域文字，用于标注这张留影。我们不持续定位，也不保存经纬度；开通"归舟／星河"云端保存后，该地点文字会随对应渡谱同步到服务器。
2. 自动产生 / 收集的信息
- 渡谱记录：你抽到的签、生成的"照见"文字、记录时间等。
- 设备内匿名标识：为在本机保存和（登录后）同步你的记录，我们会生成一个随机的匿名标识。它不包含你的真实身份信息。
- 设备时区：我们使用设备当前的 IANA 时区标识计算你的自然日、提醒与每日次数；不上传 UTC offset。朋友赠签、水面流灯和“等一盏”等多人旅程会在创建时固化创建者时区，旧旅程默认使用 Asia/Shanghai，参与者之后切换时区不会改变该旅程的规则。
- 化名行为统计信息（埋点）：例如"摇了一次签""留了一句""查看了会员页"等操作事件，以及签的稀有度、操作时间。这些统计不包含你写下的心事、留句、后来的具体内容；登录后可能与账号标识关联，用于排查问题与改进功能。其中，水面流灯及传播权限提示只做去身份的总量统计，不保留账号标识、设备匿名标识、旅程引用、签面、等级或客户端精确时间。朋友赠签页面的普通打开与"在一念里打开"不会写入传播行为；仅在发送者完成系统分享，或接收者明确点击"安装一念"时，记录分享结果／安装意图、微信／信息／复制／隔空投送等粗粒度渠道、传播代际和 App build。传播归因明细不保存 IP 地址、浏览器标识或完整版本字符串。
- 朋友赠签与水面流灯：对外页面和参与者之间只展示、传递固定签面（签号、意象、签文与语气）、等级、赠送／放流／领取／盲拾／召回／到期返还／回赠等必要状态和时间，以及无法直接识别个人的随机旅程引用。公开页面和参与者界面不显示心事、照见、留句、后来、留影、地点、昵称或用户 ID。为核验签卡归属、每日限额并发送必要通知，服务端会在内部关联账号引用；该引用不会向其他参与者公开。
- 推送通知（可选）：在你登录并允许系统通知后，我们会保存 Apple 提供的设备推送令牌，仅用于告知"赠签已被收下""流灯被拾起"或"有一份回赠"等必要状态；通知正文不放置签文或私密内容。
3. 登录与购买相关信息
- 账号标识（仅当你主动使用"通过 Apple 登录"）：在应用内登录，或在朋友赠签网页明确点击"通过 Apple 登录"并完成 Apple 授权后，Apple 会向我们提供一个用户标识，用于创建或接回同一个一念账号。普通打开赠签网页不会创建账号；网页流程不请求或保存你的姓名、邮箱，也不会在浏览器建立登录会话或设置账号登录 Cookie。为维持授权并在你注销时逐项向 Apple 撤销授权，我们会将应用内与网页签发的必要授权凭证按各自签发端标识分开加密保存，不让一项授权覆盖另一项。
- 购买信息：会员订阅与内购由 Apple App Store 处理。我们仅接收交易凭证 / 订单标识用于为你开通对应权益。账号注销后，为处理交易、退款、防止重复兑换，以及让仍有效的订阅由同一 Apple 登录安全接回，我们会保留必要交易记录和不可逆的去标识化购买归属校验值；不保留 Apple 登录标识明文，这些记录不能用于恢复你的渡谱或其他内容。我们不会接触你的银行卡、支付密码等支付信息。
关于敏感个人信息：你写下的"心事""照见"等内容可能反映你的情绪或处境，属于较为敏感的信息。我们仅在为你提供对应功能（生成照见、云端保存、月度回声）所必需的范围内处理它，并采取了加密等保护措施（见第四节）。
二、我们如何使用这些信息
- 生成"照见 / 回声"：为了给出照见，我们会把本次签文与你写下的心事发送给第三方 AI 大模型服务处理；当你本次也写了心事时，还可能一并发送最近最多两条"当时的心事／后来"短摘要，用于让相关的旧事得到连续回应，不相关时不使用。生成月度回声时，会发送该时段内经数量与长度限制的心事、后来和签级摘要（见第三节）。
- 本地与云端保存记录：未登录时，心事、留句、后来与留影仅保存在本机；随机匿名标识、抽签次数和公开签面会进入服务器签账本。开通"归舟"或"星河"并登录后，你的渡谱会同步保存到服务器，便于你换设备后取回。
- 月度回声（"星河"权益）：把你一段时间的记录汇总，生成一段回望文字。
- 本地提醒：在你授权后，用本机通知提醒你回来补写"后来"。此提醒在你的设备本地生成，不向服务器发送内容。
- 朋友赠签：核验签卡归属和每日送出限额，展示、领取、召回、到期返还和自愿回赠；在你授权后发送必要状态通知。
- 水面流灯：核验签卡归属及每日限额，提供放流、每日一次不可浏览或筛选的盲拾、召回、到期返还和自愿回赠；当水面为空时，你也可以另行选择开启“等一盏”，等待之后由他人真实放流的签。在你授权后，我们会于流灯被拾起或等待匹配成功时发送必要状态通知。
- 改进产品：用不含心事原文的化名行为统计了解功能使用情况、排查问题并优化体验；登录后这些事件可能与账号标识关联。
- 开通与维护会员权益：核验购买、开通/恢复权益。
- 在网页收下朋友赠签（可选）：只有你在赠签网页明确点击"通过 Apple 登录"并完成授权后，我们才会创建或接回同一 Apple 账号并把签放入该账号的签谱；之后可在应用内用同一 Apple 账号查看。取消、失败或过期的授权不会创建账号或领取赠签。
三、我们如何共享 / 委托处理信息
我们不会出售你的个人信息。为实现上述功能，我们会在必要范围内与以下第三方共享或委托其处理信息：
| 第三方 | 涉及的信息 | 目的 |
|---|
| 火山引擎 · 豆包大模型（火山方舟，字节跳动旗下） |
实时照见：本次签文、心事，以及最近最多两条心事／后来短摘要；月度回声：该时段内经数量与长度限制的心事、后来与签级摘要 |
实时生成"照见"与"月度回声"文字。我们要求其仅用于返回本次结果，不用于其他目的。 |
| Apple（苹果） |
你主动登录时的账号标识与授权信息、订阅 / 内购交易信息；允许通知后的设备推送令牌与必要状态文案 |
应用内登录，以及你在赠签网页主动选择的 Apple 登录与领取；App Store 订阅与内购；通过 APNs 传递不含私密内容的传播状态通知。适用 Apple 隐私政策。 |
| 云服务器服务商（阿里云，服务器位于中国境内） |
登录用户的渡谱等数据；随机匿名标识、公开签面账本、签卡归属与赠签／流灯状态 |
提供云端存储、跨设备同步、每日次数核验、朋友赠签与水面流灯服务。 |
除上述情形，以及法律法规要求、或经你另行同意的情况外，我们不会向其他第三方提供你的个人信息。
四、信息的存储与保护
- 存储位置与跨境传输：登录用户的数据存储于中国境内的服务器。如果你在中国大陆以外使用一念，为提供照见、账号、购买、云端保存、赠签、流灯和通知等功能，必要数据会跨境传输到中国境内并在中国境内处理、存储；第三方 AI 处理仍限于第三节所列范围。
- 私密内容本地优先：未登录时，心事、留句、后来与留影仅保存在你的设备本地；随机匿名标识、抽签次数和公开签面会进入服务器签账本。
- 加密存储：在服务器上，涉及心事的字段（心事、照见、后来等）采用
AES-256 加密后存储。
- 留影照片：未开通云端保存时仅保存在你的设备本地；开通"归舟／星河"并登录后上传服务器保存。注销后会立即进入清理，最迟在旧上传权限失效后的复查中确认对应云端空间已经清空。
- 传播旅程：未领取的朋友赠签及未被拾起的流灯最多等待 7 天；送出者可在此期间召回，到期会返还原签。领取或拾起后，我们按提供签卡归属、旅程状态和必要通知所需保留相应记录。
- “等一盏”等待：只有你当天先真实盲拾到空水面并明确开启后，我们才保存一条最小等待记录；等待最长 24 小时，你可以在匹配前取消。匹配、取消或过期后的最小幂等记录最长保留 30 天，之后物理删除；其中不保存心事、照见、后来、留影、地点或他人身份。
- 传播归因：公开传播码、承接凭证和领取回执在数据库中仅保存经独立密钥计算的不可逆摘要。包含账号、赠签或传播链关联的原始归因明细保留 30 天，并由每小时运行的清理任务在下一周期物理删除；之后只留下按上海日历日、粗渠道、传播代际和版本汇总且小样本受抑制的计数。汇总中不含账号、赠签或传播链接编号、签面、公开 token、IP 地址、浏览器标识或 Apple 登录授权信息。系统分享结果若因断网暂未送达，只在本机保存公开传播码、幂等事件编号、粗渠道、版本和账号不可逆摘要，最长 7 天；补送成功、重置或注销时立即清除，不保存登录凭证、签面或系统分享目标原值。
- 网页 Apple 授权尝试：你明确点击网页 Apple 登录后，我们只短时保存随机 state／nonce 的不可逆摘要及内部赠签引用，用于防止伪造和重复使用；不保存这些随机值的明文、Apple code／identity token、姓名或邮箱。授权完成即单次消费并删除，未完成记录过期后自动清理；它不会进入 30 天传播统计汇总。
- 传输安全：信息通过网络传输时采用 HTTPS 加密通道。
- 保留期限：本地数据保留至你删除或卸载应用；云端内容数据保留至你注销账号或删除记录。账号注销后，为让你在网络中断时仍能安全确认注销结果，我们会将随机会话凭证的不可逆摘要和最小注销结果保留不超过 120 天，其中不含账号标识、匿名标识或内容；为防止注销前已开始但延迟到达的 Apple 授权请求重新创建账号，我们还会将由 Apple 用户标识经独立密钥计算的不可逆校验值与注销时刻保留不超过 24 小时，到期自动删除，其中不含 Apple 用户标识明文、授权凭证或内容。若 Apple 暂时无法接收撤销请求，最小重试队列只保存待撤销凭证密文、原签发端标识，以及由 Apple 用户标识经独立密钥计算且无法还原的校验值，用于撤销前确认同一签发端是否已经重新授权；队列不直接保存账号编号、Apple 用户标识明文或内容，撤销成功或确认已重新授权时立即删除，最迟 7 天后物理清理。为完成留影清理，内部随机账号标识仅保留至对应云端空间确认清空。法律、交易履约、退款与防重复兑换所必要的交易记录及去标识化购买归属校验值按必要期限保留；超出期限后删除或匿名化处理。
五、你的权利
在符合法律规定的前提下，你可以：
- 查询与复制：在应用内"渡谱"查看你的全部记录。
- 更正与删除：你可以在应用内补写"后来"、完善记录；如需删除某条云端记录，可通过第八节邮箱联系我们处理；也可注销账号一次性删除全部账号与云端数据。
- 传播控制：未领取的赠签及未被拾起的流灯可在应用内召回；最长 7 天仍无人收下会自动返还原签。你也可以在匹配前取消主动开启的“等一盏”等待。
- 撤回同意：不开通云端保存即不上传渡谱私密内容；关闭系统通知权限即可停止提醒。
- 注销账号：在应用内"我的一念 → 删除账号与云端渡谱"一键注销，我们会删除与你账号关联的渡谱与其他内容数据；必要交易记录及去标识化校验值按第四节所述保留。
如需行使上述权利或有任何疑问，可通过第八节的方式联系我们。
六、第三方 SDK 与设备权限
本应用集成以下可能涉及信息或权限的第三方组件：
| SDK / 组件 | 用途 | 涉及权限 / 信息 |
|---|
| Apple StoreKit / AuthenticationServices | 应用内登录、你主动选择的赠签网页登录、订阅与内购 | Apple 账号标识、必要授权信息、交易信息 |
| image_picker | 留影拍照 / 选图 | 相机、相册（照片） |
| flutter_local_notifications | 补写"后来"提醒 | 通知 |
| Apple Push Notification service | 赠签与流灯状态通知 | 设备推送令牌、通知（可选） |
| Apple Core Location | 拍照留影时记录城市／区域 | 位置（可选，仅单次读取） |
本应用申请的设备权限包括：相机、相册（用于留影，可选）、位置（用于拍照留影时记录城市／区域，可选，仅单次读取）、通知（用于提醒，可选）。你可随时在系统"设置"中关闭这些权限。
七、未成年人保护
未成年人使用本应用时，建议在监护人的陪同与指导下阅读相关说明、使用各项功能；涉及付费或提供个人信息时，建议先与监护人沟通。我们将依法保护未成年人个人信息；如监护人认为相关信息处理不当，可通过本政策所列方式联系我们，我们会依法核实并处理。
八、联系我们
如你对本政策或个人信息处理有任何疑问、意见或投诉，可通过以下方式联系我们：
- 邮箱：304592637@qq.com
- 开发者：刘乾隆（个人开发者）
九、政策的更新
我们可能会适时更新本政策。更新后我们会在本页更新"生效日期"，重大变更会通过应用内提示等方式通知你。请你定期查阅本政策的最新版本。
© 一念（YI念） · 京ICP备2026044625号-1A