隐私政策

摘要

我们收集什么

账户

你的邮箱地址；如果你用 Google 或 Apple 登录，还有“它们已确认该邮箱”这一事实。 我们不会收到你的 Google 或 Apple 密码。如果你使用 Apple 的“隐藏邮件地址”， Apple 提供给我们的转发地址就是你在这里的账户邮箱——我们永远不会知道真实地址。 我们还会保存你的时区、你设定的一天起始时刻、界面语言，以及你偏好浅色还是深色主题—— 按天归组、每日确认的时间和应用的外观都依赖它们。当你更改这些设置（或你设定的城市）时， 我们会保留一条带时间的变更记录；打开应用时，应用也会记下设备当时报告的时区—— 知道你何时换了地方，日后才能读懂旅途前后的记录。这些历史只涉及设置本身， 从不包含日记内容，并随账户一起删除。你正在输入消息时，应用还会保存一个“最近一次输入” 的时间戳——从不保存未发送的文字本身——以便等你写完再回复。

注册时你告诉我们的

一个称呼你的名字，如果你愿意给的话。我们是问你，而不是从 Google 或 Apple 那里拿；它只用于在应用里称呼你， 没有别的地方会读它。跳过这个问题，应用就永远不会用到你的名字；以后在“设置”里清空，它就没了。

然后是一份简短的资料，来自开始时问过一次的那几个问题：你的年龄区间和性别、你为什么来用 Listening、 有什么想让我们留意的（睡眠、心情、精力之类）、你本来就在坚持的事、大概几点睡几点起、要不要每日确认， 以及可填可不填的所在城市。每一个问题都可以跳过，而跳过会被如实记为“跳过”，我们不会替你猜。

这些答案只做三件事。两件发生在你自己的屏幕上：决定先给你看哪些指标，以及你的因素面板从哪几行开始。

第三件是：当应用给你写回复时，会把这份资料的简短摘要放进发送给 Anthropic 的上下文里 ——你留下的名字、年龄区间和性别、你为什么来、你让我们留意什么、你在坚持的事、你大致的作息，以及城市。 这是为了让应用写得像知道自己在跟谁说话；对 22 岁的人合适的语气，对年纪大一倍的人可能很刺耳。它是上下文， 不是指令：我们不会因为你的年龄或性别而指示模型用某种方式对待你。你跳过的内容就是不存在——我们绝不发送 猜测或占位符。和你的记录一样，这些内容不会被用于训练模型。

你的年龄区间和性别只被这份摘要读取，除此之外没有别的地方会用。我们不会按年龄段或性别做任何统计， 任何结论都不以它们为条件，也绝不用于投放广告或分享给任何人。你随时可以在“设置”里修改任何答案， 也可以在同一处用忘掉我说过的单独抹掉整份资料——不会删除你的账户、你的记录， 或由记录派生出的任何东西。抹掉之后，从下一条回复起，这份摘要也随之消失。

我们特意不问你的感情状况、信仰，也不问任何心理健康或咨询经历。有些日记应用会问。我们不问， 因为知道了也不会改变 Listening 的任何行为；收集一份什么都不改变的敏感信息，这笔交易我们不会替你做。

你写下的内容

你记录的原文，一字不改，连同你写下它的时间和当时所在的时区。 我们从不编辑或改写你的记录——当你自己编辑时，原来的文字会一并保留。 你选择附上的照片与该条记录一起保存、一起删除；而你附上的照片确实会被查看： 它会发送给 Anthropic，由其写一段描述，说明图里有什么，好让应用能就你发来的这张照片 和你聊几句，而不是视而不见。这段描述与该条记录一起保存，你可以看到它，也会与该条记录一起 删除。它只在你发送照片时写这一次，之后照片本身不会被再看第二眼——所以这段描述就是应用 对这张照片的全部认识。

这段描述会把图中所有能看清的文字照原样读出来并保存。 路牌、菜单和价格、书名、小票上的每一项、手写的一页、白板、屏幕——只要看得清，就会被 转写进描述里留下来。这是有意为之：正因如此，拍一张小票或一页笔记才等于把它记了下来。 这也意味着凡是恰好入镜的可读文字同样会被记下，包括你拍照时并没想到的 那些。如果一张照片上有你不希望应用留存的东西，就不要附上它；已经发过的，删除该条记录 就会连同照片和描述一起删除。以上都与你的相册无关；相册的部分写在下面，我们从不读取 其中的图片内容。

这段描述的用途是：和你聊这张照片，以及写那一天的总结。它绝不会变成关于你这一天的任何 存档数值——不是一餐饭，不是一种情绪，也不是一个数字——因为这个应用记录的是你告诉它的事， 而不是模型自以为看见的事。某一天的总结里可能会提到你拍了什么，并且在应用自己的记录中 会标明这来自一张照片，而不是来自你。如果你给应用发来的某条消息标上 “说到点子上了” 或 “没太明白”，我们会把这一个标记存在那条消息上： 应用正是靠它学会在说错话的时候少说几句。你随时可以更改或撤回。

由此推导出的内容

从你的记录中提取的结构化数值——睡眠、情绪、运动、各类因素——每一项都与它出自的原文片段一起保存。 你提到的人名会成为你自己实体列表中的私人条目，只有你能看到。 这一类里的所有内容都是推导出来的，随时可以从你的记录重建。

诊断信息

普通的服务器日志：请求时间、错误码、账户标识。记录文本永远不会写入日志或错误报告 ——这一点由代码中的日志过滤器强制保证，而不是靠约定。应用崩溃时，报告中不含任何记录内容。

如果应用本身崩溃了，它会在下次启动时给我们发送一份报告：错误信息、调用栈、你当时所在的界面， 以及最近操作的简短列表（例如「打开了设置」）。如果你当时已登录，报告中会记录你的账户标识， 因为关于任何一次崩溃，第一个问题都是「这是哪个账户遇到的」。报告中绝不包含你写下的任何内容 ——没有记录文本，没有转写内容，也没有签到回答。这些报告只发送到我们自己的服务器， 保存在普通的服务器日志中，并随日志在 30 天后一并删除。

没有任何崩溃报告或数据分析服务会收到这些内容。我们不使用任何第三方错误追踪工具， 也不使用任何数据分析 SDK：诊断信息只到我们自己的服务器为止。会接触到你的数据的公司都列在下方， 那就是完整的名单。

位置

用于在你的每一天旁边显示天气，以及绘制你去过哪些地方的地图。两者都是可选的。你也可以直接输入城市名 ——这是默认方式，除非你点击「使用我的位置」，否则不会有任何环节读取你的位置。

如果你开启了它，应用读取的是粗略位置（大约城市级别，而非精确定位），并且在保存前 四舍五入到约一公里。开启后，只有在你打开应用时才会刷新，且最多每十二小时一次，这样你旅行时天气才会 跟着你走。它从不在后台读取，从不出售或共享，也从不用于向你投放广告。在 iOS 设置中关闭 Listening 的位置权限会立刻停止这一切；你手动输入的城市仍然可用。

我们每天只保留一个地点——当天最早得到的那个粗略位置或城市，仅此而已。不记录你当 天去过哪里、停留多久，也不记录路线：一天是我们记录的最小单位，一天之内的移动完全不会被保存。这将来会 让应用能够展示你去过的地方，并注意到诸如「你在外地时睡得如何」这类规律。

「设置 → 去过的地方」会明确显示我们保存了多少天、时间跨度是多少，并可应你的要求全部删除。那是真正的 删除，不是隐藏标记，并且不会影响你的日记内容。

用你的照片补全地图

上面那张地图只能显示你打开过应用的日子，所以一开始会很短。如果你愿意，可以用你已经拍过的照片来补全它 ——这是可选的，绝不会自动发生，只有你点击那个按钮时才会运行。

有一点我们想直说，因为它很容易被含糊带过：给一个应用访问相册的权限，实际上就等于把你的位置 历史交给了它。这个功能正是这样使用它的，我们宁愿现在讲清楚，也不想让你事后才发现。

另外也要说明：这是持续进行的，而不是一次性导入。开启之后，每次你打开应用，它都会查找上次之后 新拍的照片，并补上缺失的日子。这正是让地图在你没打开应用的日子也不会中断的原因——也正因为如此，我们不需 要申请后台位置权限，那会是一个大得多的授权。

你点击之后具体会发生什么：

• 我们从不查看你的照片。不看原图，不看缩略图，也不复制。你的相机会在每张照片旁边 写入一个坐标和一个日期，我们只读这两样东西。
• 每天只保留一个粗略位置，保存前四舍五入到约一公里——和这里其他所有位置一样。同一天 的四十张照片只会变成一行记录。
• 只填补我们还没有的日子。应用自己记录过的那天会原样保留。
• 从不记录某一天来自哪张照片。保存之后，这行记录和其他任何一行没有区别，也没有任何 东西能指回某张照片。
• 会持续保持地图更新，且仅在应用打开时。第一次点击会读取已有的照片。之后每当你打开 Listening，它会检查上次之后新拍的照片，并补上还缺的日子。后台不会运行任何东西，应用关闭时也不会监视 你的相册。你随时可以在 iOS 设置中取消相册权限来停止它——已保存的内容会保留，只是不再新增。

iOS 允许你授权整个相册，或只授权你挑选的照片，两种都可以——我们用你给的部分，并告诉你补出了多少天。你 也可以完全拒绝，应用的其余部分不受影响。在设置中删除位置记录时，这些日子会和其余记录一起被删除。

还有一点值得知道：这会让地图在生活更有意思的时候更密集，因为那正是人们拍照的时候。它记录的是你举起相机 的地方，而不是你去过的所有地方。

我们不收集什么

不收集广告标识符，不接入第三方分析或追踪 SDK，不收集精确位置或后台位置，也不读取通讯录。

有两样东西只有在你明确开启后我们才会读取，不开启就什么都不会发生：HealthKit 中的健康数据，以及你的相机写在照片旁边的日期与坐标。我们从不读取照片本身。

语音与录音

iPhone 应用和网页版在这件事上的做法不同，所以下面分开说明。 这个差别是真实存在的，我们不打算把它模糊掉。

两种情况下，转写结果——也就是作为文字的那些话——都会发送到我们的服务器， 并与你手动输入的记录被完全同等地对待，包括发送给 Anthropic 做提取。 我们把这一点直说，是因为一个夸大的隐私承诺比没有承诺更糟。

如何使用

你的数据只用于运行你正在使用的这个产品，不作他用：

• 存储并向你展示你的日志。
• 从你的记录中提取结构化数值；当某条记录含义不明时，向你提出一个澄清问题。
• 在你自己的历史数据上计算统计、结论和实验结果。
• 发送你要求的服务邮件——每日确认提醒、账户通知。
• 维持服务运行与安全，以及排查故障。

我们不会用你的日志训练机器学习模型，无论是我们的还是别人的。我们不会为广告目的给你画像。 我们不出售或出租个人数据，也不会为跨场景行为广告而共享它。

健康与敏感数据

睡眠、情绪、精力、症状、运动、饮酒、用药——这个应用存在的意义所在—— 在欧洲、英国和加州的法律眼中都属于健康数据， 被视为需要更强保护的特殊类别。你的记录还可能透露其他敏感信息： 你和谁在一起、你相信什么、你如何看待自己的工作。 我们把你写下的一切都当作敏感信息对待，因为日记本身并不会把它们整齐地分开。

具体来说：

• 同意是我们处理这类数据的唯一依据。在你创建账户之前， 登录界面就会说明 Listening 会保存并分析你写下的健康信息，并说明这具体指什么； 创建账户就是你表示同意的方式。我们不依赖任何其他理由， 也不会把健康数据用于你没有要求的任何用途。
• 你可以随时撤回同意，方式是在设置 → 账户中删除账户。 撤回不会使已经发生的处理失效，但会终止全部处理并删除数据。
• 除了你正在使用的功能之外，我们不会把敏感数据用于任何其他目的。 我们绝不用它做广告、做商业画像，或为第三方推断任何东西。
• 我们不出售它，不为跨场景行为广告共享它， 除下文列出的、为运行产品所必需的处理方之外也不披露它。

如果你不愿意把健康数据交给我们，那就不要创建账户—— 这个产品没有一种“少给点数据也能用”的模式，我们宁愿直说，也不想假装有。

实时健康数据

过去，连接“健康”意味着每个指标每天一个数字。如果你再开启实时健康（设置 → 健康）， 应用会在 iPhone 记录的同时收到 HealthKit 里的单条读数，包括应用关闭时：每一条心率读数、每一条心率变异性读数、 当天的静息心率，以及每一次锻炼及其类型、时长、距离和消耗。仅此而已——不读取锻炼路线中的位置，不读取心电图、血氧或经期数据。

这些数据会这样使用：

• 实时视图。在应用里显示你最近一次心率、今天的心率变异性和静息心率与你自己两周基线的对比，以及本周的锻炼。
• 应用会按固定规则（而非模型）注意到三件事：一次锻炼结束了；今天的心率变异性明显低于你的平常； 今天的静息心率明显高于平常。“平常”指前十四天的中位数，并且至少需要其中七天有数据——不足七天时不做比较，也不会说什么。
• 它会说出来。每件事会变成你对话里的一条消息，由 Anthropic 的模型根据这些数字和你最近写的几条记录写成， 并以同样的文字推送到你的手机。它只描述和提问；从不诊断，从不告诉你该做什么，也不使用医学用语。见自动化处理。
• 你选择分享的朋友也会看到——按类别、对每位朋友分别设置。见朋友与分享。

保存多久。单条心率读数三十天后删除，之后没有任何功能会读取它们。心率变异性、静息心率和锻炼记录在账户存在期间保留， 因为基线和每周视图需要它们。设置 → 健康 → 删除实时数据会立即删除全部读数，以及应用由此生成的每一个事件和消息。 关闭实时健康会停止接收新读数，已存储的内容保留到你删除为止——与断开“健康”连接的规则相同。

实时健康在你连接“健康”之前是关闭的，并且只在 iPhone 上存在。应用的其他一切都不依赖它。

推送通知

签到提醒仍然在你的手机上本地安排，不经过任何人的服务器。有两样新东西会经过：应用对实时健康事件的回应， 以及朋友发给你、或与你有关的动作。它们从我们的服务器直接发送到 Apple 的推送服务，由其显示在你的手机上， 并且通知里带着文字本身——应用就你的锻炼或这一天写的那句话、朋友的留言、某位朋友刚跑完步这件事。 在我们的服务器和你的锁屏之间只有 Apple；我们特意选择直接发送而不经过中转服务，正是为了不让任何额外的公司读到它们。

我们从不在应用打开时请求通知权限。只在你开启实时健康或接受一位朋友时才会询问；拒绝后其余一切照常—— 消息仍在你的对话里，朋友的留言仍在他们的页面上。在你告诉我们的睡眠时段内不会发送任何通知。退出登录会把你的手机从我们的列表中移除。

处理的法律依据

如果你在欧洲经济区或英国，法律要求我们说明每一项处理的法律依据。我们的依据是：

履行合同

存储你的记录、提取数值、计算你的统计、运行你的账户和订阅。 这就是你注册时想要的服务；不处理就没有产品。

明确同意

上一节的全部内容——健康数据及其他特殊类别数据。 你自行连接的集成（例如 HealthKit）以及可选的服务邮件，也以同意为依据。可随时撤回。

合法利益

维持服务安全、排查故障、防止滥用——所使用的日志不含任何记录文本。 我们已就此与你的利益作过权衡；所涉数据是运行层面的，不是内容本身。

法律义务

在法律强制要求时保留或披露数据，以及在发生数据泄露时通知你和监管机构。

对于涉及你日志内容的任何处理，我们都不以“合法利益”为依据。 法律不允许对健康数据这样做，我们也不愿意这样做。

自动化处理

这个产品里有两部分是自动化的，你应该确切地知道它们在做什么。

提取。一个语言模型读你的记录，从中取出结构化数值。它并不完美。 它产出的每一个数值都与它出自的原文一并保存、展示给你，并且可以一键更正。 当一条记录含义不明时，它会问你，而不是猜。

分析。统计检验在你自己的历史数据上运行，用于呈现规律； 你设置的实验则用来检验它们。它们所做的，是把你的数据讲回给你听。

两者都不会作出产生法律效果、或对你有类似重大影响的决定。 我们不给你打分、不给你排名、不向任何人提供关于你的评估， 也不用它们决定任何与你有关的事情——定价、访问权限，或其他任何方面。 应用得出的任何结论都不会离开你的账户。你可以关闭分析、更正它的任何输入，并删除它的输出。

还有谁接触它

我们使用少数几家服务提供商。每一家都在合同上被限定为 仅按我们的指示处理数据。

Anthropic

接收你的记录文本，用于提取结构化数值和撰写澄清问题；也接收你附在记录上的照片， 用于描述图中内容。它从不接收你相册里的任何东西。 根据 Anthropic 的商用条款，输入内容不会被用于训练其模型。

OpenAI

接收在网页版中录制的语音以进行转写。 绝不接收来自 iPhone 应用的录音——那些在设备上转写。 根据 OpenAI 的 API 条款，输入内容不会被用于训练其模型。

Google

仅在你选择 Google 登录时，且仅用于验证你的身份。Google 不会收到你的日志。

Neon

托管存放你记录的数据库。

Fly.io

运行我们的应用服务器。

Cloudflare

提供本网站的分发，在删除前存放网页版上传的录音，并提供 DNS 与 TLS。

Apple

处理所有订阅付款。我们看不到你的银行卡信息。Apple 只告诉我们订阅是否有效。此外也负责接收并显示推送通知一节所述的通知，其中带有通知文字。

在法律强制要求时我们也会披露数据，并会告知你，除非法律禁止我们这样做。 如果这项业务将来被出售或转让，你的数据将在本政策之下一并转移， 并且我们会在任何变化发生之前告诉你。

这些服务提供商位于美国和欧盟，因此你的数据可能在你所在国家/地区之外被处理。 跨境传输依据这些提供商的标准合同条款进行。

存在你设备上的

本网站不设置任何 Cookie，也不运行任何脚本。 营销页面和法律页面都是静态文件。没有分析代码，没有像素，也没有需要你点掉的同意横幅， 因为这里没有任何需要征求同意的东西。

应用本身会在本地保存少量内容，都是必需的，没有一项用于追踪：

你的登录状态

一个登录令牌，这样你不必每次访问都重新登录。退出登录即会移除它。

你的离线队列

你在没有网络时写下的记录，暂存在设备上，直到能够发送。 这就是你能在飞机上写东西的原因。

你的偏好设置

界面语言等本地设置。

这些内容都存在你浏览器自己的存储里，或你的手机上，退出登录或清除站点数据时即被清空。 其他网站无法读取它们，我们也不会用它们跨服务识别你。 我们不对 Do Not Track 或 Global Privacy Control 信号作出不同响应， 因为这里根本没有可供关闭的追踪。

保存多久

记录

直到你删除它们或删除账户为止。记录是这个系统里我们唯一视为不可替代的东西。

推导出的数值

与它们所出自的记录相同；删除一条记录会删除由它推导出的一切。

录音——iPhone

只存在你的设备上，按你设定的保留期限：默认 30 天，可选 0 到 90 天。

录音——网页版

存在我们的存储中，按同一保留期限，到期后彻底删除。

账户记录

直到你删除账户为止。

服务器日志

30 天。其中不含任何记录文本。

备份

已删除的数据会在删除后 30 天内从滚动备份中消失。

你的权利

下面这些都可以在应用内直接完成，不需要给任何人发邮件，也不需要付费订阅：

• 导出。设置 → 账户 → 导出。JSON 包含你的原始记录， 以及每一项提取出的数值和它出自的原文片段，另有便于阅读的 Markdown。
• 更正。点一下任意提取出的数值即可编辑或删除。 你写下的原文永远不会被改动——更正会记录在它旁边。
• 删除。一个数值、一条记录，或整个账户。 删除账户会移除每一行数据和每一个已存储的对象，且不可撤销。

依你所在地区不同，你可能还享有反对或限制处理的权利、 要求以可携带格式获得副本的权利（导出功能即是其一），以及向你所在地数据保护机构投诉的权利。 对于应用内无法完成的事项，请发邮件给我们；我们会在两个工作日内回复，并且不收取任何费用。

按地区

上面的权利对所有人开放，无论你在哪里。某些地区还有额外的规定。

欧洲经济区与英国

你享有访问、更正、删除、限制处理、数据可携带和反对的权利， 并可随时撤回同意，而不影响撤回之前已经进行的处理。 你可以向所在国的数据保护机构投诉——在爱尔兰是数据保护委员会，在英国是信息专员办公室—— 并且你无需先联系我们；不过我们更希望你先给我们一个改正的机会。

加利福尼亚

你有权知悉我们收集什么以及为什么收集，有权删除、更正、获得可携带副本， 并且不会因行使这些权利而受到差别对待。我们不出售个人信息， 也不为跨场景行为广告共享个人信息——无论按通常理解还是按法条的宽泛定义都是如此—— 因此这里没有“请勿出售或共享”的链接可点，因为没有任何东西需要它来关闭。 我们仅为提供你所要求的服务而使用敏感个人信息，这正是“限制使用”权利意在保障的有限用途； 我们没有更多可供限制的内容。上述每一项权利都可以在应用内立即行使，无需询问我们。

加拿大

你可以询问我们持有你的哪些信息、要求更正，并对我们的处理方式提出质疑。 如果我们的答复不能让你满意，你可以向加拿大隐私专员公署投诉： priv.gc.ca。

无论你是谁：这些我们都不收费，不要求你为此创建账户， 也不会向你索取超出确认身份所需的任何信息。

安全

数据在传输中通过 TLS 加密，在静态存储时由我们的数据库和存储服务商加密。 生产系统的访问权限仅限于确有需要的人员，并受多因素认证保护。 记录文本在设计上被排除在日志和错误报告之外。

没有任何服务是绝对安全的。如果发生影响你数据的泄露事件， 我们会毫不迟延地通知你和相关监管机构，并在法律要求时于 72 小时内完成。

儿童

Listening 不面向 13 岁以下的儿童，我们也不会在知情的情况下收集他们的数据。 如果你认为有儿童创建了账户，请发邮件告诉我们，我们会删除它。

变更

如果我们修改本政策，会更新页面顶部的日期。 如果某项修改实质性地影响你的数据被处理的方式， 我们会在其生效之前通过应用内或邮件告知你，让你有机会先导出或删除。

联系我们

Algernon Labs — [email protected]

这里由一位专人负责隐私事务，上面这个邮箱可以直接联系到他们。 任何事项都可以写信：访问、更正、删除、索取你的数据副本、撤回同意、投诉， 或者对本页某一句话有疑问。我们会在两个工作日内回复， 最迟也会在 30 天内处理完成——绝大多数情况下会快得多， 因为这些事项大多是应用里的按钮，你根本不需要经过我们。