隐私政策

摘要

我们收集什么

账户

你的邮箱地址；如果你用 Google 登录，还有“Google 已确认该邮箱”这一事实。 我们不会收到你的 Google 密码。我们还会保存你的时区、你设定的一天起始时刻，以及界面语言， 因为按天归组和每日确认的时间都依赖它们。

你写下的内容

你记录的原文，一字不改，连同你写下它的时间和当时所在的时区。 我们从不编辑或改写你的记录。

由此推导出的内容

从你的记录中提取的结构化数值——睡眠、情绪、运动、各类因素——每一项都与它出自的原文片段一起保存。 你提到的人名会成为你自己实体列表中的私人条目，只有你能看到。 这一类里的所有内容都是推导出来的，随时可以从你的记录重建。

诊断信息

普通的服务器日志：请求时间、错误码、账户标识。记录文本永远不会写入日志或错误报告 ——这一点由代码中的日志过滤器强制保证，而不是靠约定。应用崩溃时，报告中不含任何记录内容。

我们不收集什么

不收集广告标识符，不接入第三方分析或追踪 SDK，除你自己设置的城市外不收集位置， 不读取通讯录，除非你明确连接否则不读取 HealthKit 中的健康数据，也不从任何其他应用取数据。

语音与录音

iPhone 应用和网页版在这件事上的做法不同，所以下面分开说明。 这个差别是真实存在的，我们不打算把它模糊掉。

两种情况下，转写结果——也就是作为文字的那些话——都会发送到我们的服务器， 并与你手动输入的记录被完全同等地对待，包括发送给 Anthropic 做提取。 我们把这一点直说，是因为一个夸大的隐私承诺比没有承诺更糟。

如何使用

你的数据只用于运行你正在使用的这个产品，不作他用：

• 存储并向你展示你的日志。
• 从你的记录中提取结构化数值；当某条记录含义不明时，向你提出一个澄清问题。
• 在你自己的历史数据上计算统计、结论和实验结果。
• 发送你要求的服务邮件——每日确认提醒、账户通知。
• 维持服务运行与安全，以及排查故障。

我们不会用你的日志训练机器学习模型，无论是我们的还是别人的。我们不会为广告目的给你画像。 我们不出售或出租个人数据，也不会为跨场景行为广告而共享它。

健康与敏感数据

睡眠、情绪、精力、症状、运动、饮酒、用药——这个应用存在的意义所在—— 在欧洲、英国和加州的法律眼中都属于健康数据， 被视为需要更强保护的特殊类别。你的记录还可能透露其他敏感信息： 你和谁在一起、你相信什么、你如何看待自己的工作。 我们把你写下的一切都当作敏感信息对待，因为日记本身并不会把它们整齐地分开。

具体来说：

• 同意是我们处理这类数据的唯一依据。在你创建账户之前， 登录界面就会说明 Listening 会保存并分析你写下的健康信息，并说明这具体指什么； 创建账户就是你表示同意的方式。我们不依赖任何其他理由， 也不会把健康数据用于你没有要求的任何用途。
• 你可以随时撤回同意，方式是在设置 → 账户中删除账户。 撤回不会使已经发生的处理失效，但会终止全部处理并删除数据。
• 除了你正在使用的功能之外，我们不会把敏感数据用于任何其他目的。 我们绝不用它做广告、做商业画像，或为第三方推断任何东西。
• 我们不出售它，不为跨场景行为广告共享它， 除下文列出的、为运行产品所必需的处理方之外也不披露它。

如果你不愿意把健康数据交给我们，那就不要创建账户—— 这个产品没有一种“少给点数据也能用”的模式，我们宁愿直说，也不想假装有。

处理的法律依据

如果你在欧洲经济区或英国，法律要求我们说明每一项处理的法律依据。我们的依据是：

履行合同

存储你的记录、提取数值、计算你的统计、运行你的账户和订阅。 这就是你注册时想要的服务；不处理就没有产品。

明确同意

上一节的全部内容——健康数据及其他特殊类别数据。 你自行连接的集成（例如 HealthKit）以及可选的服务邮件，也以同意为依据。可随时撤回。

合法利益

维持服务安全、排查故障、防止滥用——所使用的日志不含任何记录文本。 我们已就此与你的利益作过权衡；所涉数据是运行层面的，不是内容本身。

法律义务

在法律强制要求时保留或披露数据，以及在发生数据泄露时通知你和监管机构。

对于涉及你日志内容的任何处理，我们都不以“合法利益”为依据。 法律不允许对健康数据这样做，我们也不愿意这样做。

自动化处理

这个产品里有两部分是自动化的，你应该确切地知道它们在做什么。

提取。一个语言模型读你的记录，从中取出结构化数值。它并不完美。 它产出的每一个数值都与它出自的原文一并保存、展示给你，并且可以一键更正。 当一条记录含义不明时，它会问你，而不是猜。

分析。统计检验在你自己的历史数据上运行，用于呈现规律； 你设置的实验则用来检验它们。它们所做的，是把你的数据讲回给你听。

两者都不会作出产生法律效果、或对你有类似重大影响的决定。 我们不给你打分、不给你排名、不向任何人提供关于你的评估， 也不用它们决定任何与你有关的事情——定价、访问权限，或其他任何方面。 应用得出的任何结论都不会离开你的账户。你可以关闭分析、更正它的任何输入，并删除它的输出。

还有谁接触它

我们使用少数几家服务提供商。每一家都在合同上被限定为 仅按我们的指示处理数据。

Anthropic

接收你的记录文本，用于提取结构化数值和撰写澄清问题。 根据 Anthropic 的商用条款，输入内容不会被用于训练其模型。

OpenAI

接收在网页版中录制的语音以进行转写。 绝不接收来自 iPhone 应用的录音——那些在设备上转写。 根据 OpenAI 的 API 条款，输入内容不会被用于训练其模型。

Google

仅在你选择 Google 登录时，且仅用于验证你的身份。Google 不会收到你的日志。

Neon

托管存放你记录的数据库。

Fly.io

运行我们的应用服务器。

Cloudflare

提供本网站的分发，在删除前存放网页版上传的录音，并提供 DNS 与 TLS。

Apple

处理所有订阅付款。我们看不到你的银行卡信息。Apple 只告诉我们订阅是否有效。

在法律强制要求时我们也会披露数据，并会告知你，除非法律禁止我们这样做。 如果这项业务将来被出售或转让，你的数据将在本政策之下一并转移， 并且我们会在任何变化发生之前告诉你。

这些服务提供商位于美国和欧盟，因此你的数据可能在你所在国家/地区之外被处理。 跨境传输依据这些提供商的标准合同条款进行。

存在你设备上的

本网站不设置任何 Cookie，也不运行任何脚本。 营销页面和法律页面都是静态文件。没有分析代码，没有像素，也没有需要你点掉的同意横幅， 因为这里没有任何需要征求同意的东西。

应用本身会在本地保存少量内容，都是必需的，没有一项用于追踪：

你的登录状态

一个登录令牌，这样你不必每次访问都重新登录。退出登录即会移除它。

你的离线队列

你在没有网络时写下的记录，暂存在设备上，直到能够发送。 这就是你能在飞机上写东西的原因。

你的偏好设置

界面语言等本地设置。

这些内容都存在你浏览器自己的存储里，或你的手机上，退出登录或清除站点数据时即被清空。 其他网站无法读取它们，我们也不会用它们跨服务识别你。 我们不对 Do Not Track 或 Global Privacy Control 信号作出不同响应， 因为这里根本没有可供关闭的追踪。

保存多久

记录

直到你删除它们或删除账户为止。记录是这个系统里我们唯一视为不可替代的东西。

推导出的数值

与它们所出自的记录相同；删除一条记录会删除由它推导出的一切。

录音——iPhone

只存在你的设备上，按你设定的保留期限：默认 30 天，可选 0 到 90 天。

录音——网页版

存在我们的存储中，按同一保留期限，到期后彻底删除。

账户记录

直到你删除账户为止。

服务器日志

30 天。其中不含任何记录文本。

备份

已删除的数据会在删除后 30 天内从滚动备份中消失。

你的权利

下面这些都可以在应用内直接完成，不需要给任何人发邮件，也不需要付费订阅：

• 导出。设置 → 账户 → 导出。JSON 包含你的原始记录， 以及每一项提取出的数值和它出自的原文片段，另有便于阅读的 Markdown。
• 更正。点一下任意提取出的数值即可编辑或删除。 你写下的原文永远不会被改动——更正会记录在它旁边。
• 删除。一个数值、一条记录，或整个账户。 删除账户会移除每一行数据和每一个已存储的对象，且不可撤销。

依你所在地区不同，你可能还享有反对或限制处理的权利、 要求以可携带格式获得副本的权利（导出功能即是其一），以及向你所在地数据保护机构投诉的权利。 对于应用内无法完成的事项，请发邮件给我们；我们会在两个工作日内回复，并且不收取任何费用。

按地区

上面的权利对所有人开放，无论你在哪里。某些地区还有额外的规定。

欧洲经济区与英国

你享有访问、更正、删除、限制处理、数据可携带和反对的权利， 并可随时撤回同意，而不影响撤回之前已经进行的处理。 你可以向所在国的数据保护机构投诉——在爱尔兰是数据保护委员会，在英国是信息专员办公室—— 并且你无需先联系我们；不过我们更希望你先给我们一个改正的机会。

加利福尼亚

你有权知悉我们收集什么以及为什么收集，有权删除、更正、获得可携带副本， 并且不会因行使这些权利而受到差别对待。我们不出售个人信息， 也不为跨场景行为广告共享个人信息——无论按通常理解还是按法条的宽泛定义都是如此—— 因此这里没有“请勿出售或共享”的链接可点，因为没有任何东西需要它来关闭。 我们仅为提供你所要求的服务而使用敏感个人信息，这正是“限制使用”权利意在保障的有限用途； 我们没有更多可供限制的内容。上述每一项权利都可以在应用内立即行使，无需询问我们。

加拿大

你可以询问我们持有你的哪些信息、要求更正，并对我们的处理方式提出质疑。 如果我们的答复不能让你满意，你可以向加拿大隐私专员公署投诉： priv.gc.ca。

无论你是谁：这些我们都不收费，不要求你为此创建账户， 也不会向你索取超出确认身份所需的任何信息。

安全

数据在传输中通过 TLS 加密，在静态存储时由我们的数据库和存储服务商加密。 生产系统的访问权限仅限于确有需要的人员，并受多因素认证保护。 记录文本在设计上被排除在日志和错误报告之外。

没有任何服务是绝对安全的。如果发生影响你数据的泄露事件， 我们会毫不迟延地通知你和相关监管机构，并在法律要求时于 72 小时内完成。

儿童

Listening 不面向 13 岁以下的儿童，我们也不会在知情的情况下收集他们的数据。 如果你认为有儿童创建了账户，请发邮件告诉我们，我们会删除它。

变更

如果我们修改本政策，会更新页面顶部的日期。 如果某项修改实质性地影响你的数据被处理的方式， 我们会在其生效之前通过应用内或邮件告知你，让你有机会先导出或删除。

联系我们

Algernon Labs — alexhu@me.com

这里由一位专人负责隐私事务，上面这个邮箱可以直接联系到他们。 任何事项都可以写信：访问、更正、删除、索取你的数据副本、撤回同意、投诉， 或者对本页某一句话有疑问。我们会在两个工作日内回复， 最迟也会在 30 天内处理完成——绝大多数情况下会快得多， 因为这些事项大多是应用里的按钮，你根本不需要经过我们。