宝贝计划儿童个人信息保护规则

公开整理版说明

整理日期：2026 年 11 月 4 日。本页整合应用内既有说明和已上线功能补充，不会因访问网页而记录或代替 App 内同意。原协议版本及已保存回执保持不变。

护理表照片识别适用独立的照片识别说明。关于头像和记录附件不发送给 AI 的说明，不覆盖这个可选功能；只有逐次确认后才发送本次处理后的图片。基础登录协议同意不替代每次上传授权。

1. 保护对象

本规则适用于宝贝计划处理的不满十四周岁儿童个人信息。产品供父母、其他监护人或获得明确授权的照护者使用，不要求儿童自行注册或提供手机号。

儿童的身份、出生、家庭关系、照片、生活规律、成长、健康、照护记录、聊天和记忆整体属于敏感个人信息，泄露可能造成骚扰、歧视、冒用或其他损害。

2. 监护人授权

创建宝宝资料、记录健康或照护信息、邀请家庭成员、导出数据或通过 AI 发送儿童信息前，使用者应具有监护权或取得监护人明确授权。产品中的家庭角色不是法律监护身份的证明。

协议勾选会记录版本和同意状态，但当前不自动核验真实监护关系。拒绝照片、定位或 AI 等可选功能时，仍可使用不依赖这些功能的本地记录。

3. 信息范围与目的

根据监护人选择，我们处理儿童的名称或昵称、出生与性别信息、头像、家庭关系、喂养、睡眠、尿布、洗澡、户外、成长、疫苗、发展、健康观察、奶粉用品、计划、备注、时间、操作人和同步状态，用于记录、统计、提醒、家庭协作、恢复和用户主动请求的 AI 解读。

可选字段可以留空。统计和 AI 输出不等于儿童健康评价、诊断、治疗或用药意见。服务端会对部分明显危险信号和不安全医疗指令做语言层安全替换，但不能替代急救或专业人员判断。

4. 本地、云端与照片

核心记录本地优先保存；加入在线家庭后，宝宝资料及业务记录可同步至 Supabase 并供获授权成员访问。当前项目文档记录的 Supabase 区域为日本东京。个人 AI 聊天和记忆不参加家庭同步。

2026 年 10 月 31 日完整档案同步增补：在线家庭新建或编辑宝宝时，在保存前说明并由用户主动完成后，将已填写的出生时分、预产期、出生孕周、出生体重/身长/头围、血型、过敏、既往史和备注与基础资料一起保存到 Supabase，供同一家庭的有效成员查看并在更换设备后恢复。旧版仅存在本机的这些详情不会后台自动上传，需在「同步完整资料」中核对后完成保存，或在获知共享说明后明确将本机宝宝关联在线家庭。未共享旧资料与云端不同的，先保留本机副本供核对；已共享字段明确清空后会同步到其他设备。档案详情不会自动加入 AI 请求；已按既有规则保存的成长记录仍遵循相应同步与 AI 专项授权。详情随宝宝和家庭资料管理，某一家庭成员注销不等于删除共享家庭全部资料。

2026 年 10 月 23 日头像同步增补：监护人可选择内置头像，或通过系统照片选择器选择照片。在线家庭的头像页面会在保存前说明云端共享范围；仅在主动保存新选头像、调整构图、移除头像，或获知提示后明确将本机宝宝关联在线家庭时，才把该头像修改同步到 Supabase 并供同一家庭的有效成员查看。旧版本仅保存在本机的头像不会自动上传；在点击保存前取消选择或退出编辑、普通资料修改、备份恢复均不会触发旧头像上传；保存请求发出后，取消或网络中断不能保证服务器尚未写入，应重新同步核对结果。未关联在线家庭的头像仍仅保存在本机。

照片头像只上传最终圆形构图内的像素，重新编码为不超过 512×512 像素、256 KiB 的 JPEG；不上传构图外背景、原文件名、相册标识和 EXIF/GPS 元数据。头像不提供公开链接、不加入 AI 请求、不用于广告跟踪。可在头像入口替换或移除当前云端头像，家庭成员在联网同步后更新。头像随宝宝和家庭资料保留：某一成员退出或注销后，其他成员仍使用的共享家庭头像保留；独占家庭按注销流程删除时头像随宝宝行一并清理。已保存的截图、其他成员副本、导出文件或供应商备份不能即时收回。

监护人可主动为笔记或健康观察添加记录照片，每条最多 3 张、处理后每张不超过 2 MiB。记录照片仍仅保存在本机，不提供家庭记录照片共享入口、不向 Supabase 上传这些照片或新增其共享元数据。所选记录照片重新编码并去除原文件名、相册标识与 EXIF/GPS 元数据，使用随机名称保存在应用私有目录。监护人主动导出的 JSON 备份可包含记录照片但不包含头像。上述头像和记录附件照片均不加入 AI 请求；护理表照片识别另按逐次授权说明处理。系统备份、iCloud 照片和用户导出的文件受 Apple 设置及接收方规则影响，删除 App 内副本不会删除相册原图或他人副本。

5. 家庭共享

同一家庭的有效成员可按角色权限访问共享记录。邀请人应确认接收者确有照护需要，及时停止不再需要的访问。权限收回不能自动收回对方已经保存的截图、导出文件或离线副本。

本机照护者称呼与云端账号成员不是同一概念；删除称呼不等于撤销云端访问。

6. 系统能力

定位仅在授权后用于获取天气及所在城市/区域名称；通知与实时活动用于照护提醒和计时展示；照片选择器和文件选择器仅在监护人主动操作时处理所选内容。拒绝这些可选权限不会阻止无关的本地记录。

AI 语音快速记录只在成年用户点击「+」并主动选择后启动。App 仅允许设备端语音识别，原始音频不保存、不上传 Apple、Supabase 或 DeepSeek；不支持本机识别的设备仅可继续键入。识别文字可在当前页面编辑且不写入聊天历史；只有用户点击「生成记录」后，最新转写文字才进入下述最小化 AI 记录草稿链路。取消、音频中断、离页或进入后台不会发送本次转写；用户仍须查看完整确认卡并点击「确认记录」后才会保存。拒绝麦克风或语音识别权限不影响键盘和其他核心功能。

设备锁屏、共享设备、系统备份和外部文件可能让旁观者或文件持有人接触相关信息，监护人应使用设备密码并谨慎分享。

7. 儿童信息与 AI

AI 仅在成年人主动发送消息、点击问题示例或使用 Today“AI 看看”时运行。请求由宝贝计划服务端统一转发给 DeepSeek，模型服务密钥和配置由服务端管理。

普通聊天最多发送当前上下文段落内最近 12 条消息（连续 30 分钟无活动后再对话会开始新的段落，旧消息不因此被删除）；Today 解读不发送持续聊天历史。请求可附带当前启用的确认记忆和最小化摘要，包括当日记录计数、最近喂养、近 24 小时睡眠、当日尿布、少量近期活动、成长测量和计划。系统摘要不含宝宝姓名、账号标识、照片、备注、自定义标题或记录 UUID，但仍可能包含敏感的健康、行为和时间信息。

自由文字可能包含监护人主动输入的儿童信息，请只提供本次需求必要的内容。DeepSeek 会按其政策处理输入、输出和必要网络信息，可能在中国境内保存或用于改进服务；详见 DeepSeek 隐私政策。不接受该处理时可不使用 AI。

监护人勾选同意本规则，即表示已阅读 DeepSeek 隐私政策。这不替代 AI 儿童敏感信息外发的专项授权：成年人首次使用 AI 前必须阅读《AI 儿童敏感信息处理专项说明》并单独确认；未确认或已经撤回时，服务端不会向 DeepSeek 提供相关儿童信息。

8. AI 本机历史与限制

监护人主动清空本机全部资料时，只清除当前账号的本机 AI 空间及本机业务副本并退出登录，不删除云端副本或其他账号的个人 AI 文件。失败或中断按最小本机进度继续处理，同步保持停止；完成后须关闭并重新打开 App 才能再次登录。

AI 聊天和确认记忆按宝贝计划账号与宝宝保存在本机个人空间，不与家庭成员共享；相关管理入口位于“设置 → AI 助手”。最多保留 500 条消息、40 条记忆，每条记忆 1–300 字符且必须由用户手动确认。监护人可在设置中选择本机聊天保留期（永久、90 天、30 天或 7 天，默认永久）；只有主动设置后，超过期限的本机聊天才会在下次打开 App 时自动删除，个人记忆不受影响。清空聊天、关闭记忆和删除记忆是不同操作。

已发送请求无法通过本机删除撤回，源记录后续更正也不会自动修改旧回答。AI 模型和服务端无业务写入权限；快速记录只发送最新一句输入和必要时间信息生成内存草稿，需要监护人查看完整字段并点击确认后，App 才在当前宝宝的本机记录中保存。确认后的记录会按家庭同步设置共享。不得依赖 AI 进行儿童诊断、危险等级判断、治疗或用药决策。

9. 外部接收方与跨境

儿童信息的主要外部接收方包括获授权家庭成员、承载在线家庭及 AI 服务入口的 Supabase，以及主动使用 AI 时的 DeepSeek。用户主动导出的文件还会交给所选文件服务或分享对象；Apple 天气与地理编码服务仅接收获取天气及所在城市/区域名称所需的位置，不携带宝宝或家庭标识。

Supabase 当前项目区域记录为日本东京，DeepSeek 按其政策在中国境内处理。各服务商可能有不同的日志、备份和删除安排。我们不出售儿童资料，不用儿童信息进行与照护无关的广告画像。

Supabase 按其 隐私政策 处理托管、认证与家庭协作所涉儿童信息；实际子处理地点、保存期限和删除安排以该政策及项目实际配置为准。

10. 保存与安全

儿童业务数据随记录和家庭服务保留；软删除、同步回执、日志和备份可能在界面不可见后继续保留必要时间。个人 AI 文件采用设备文件保护并排除应用主动备份，但第三方已接收请求不受本机删除控制。

我们采用设备沙盒、Keychain、HTTPS、文件保护、服务端身份验证、家庭成员权限、宝宝归属校验和 AI 使用限额等措施。没有任何技术能够保证绝对安全。

11. 监护人权利

监护人可查阅、更正或删除儿童资料和记录，管理家庭成员，清空 AI 聊天，关闭或删除记忆，导出当前家庭范围的数据，撤回同意或申请注销。可在“数据与隐私 → 注销云端账号”检查服务状态并发起注销；服务端安全能力尚未开放时，不发送删除请求。共享家庭所有者须先转交所有权；成员注销后，共享儿童资料及历史记录者标识仍供其他有效成员使用。超时或处理中不等于注销完成。本机清理只覆盖当前账号身份、个人 AI 数据及没有其他账号引用的家庭副本；无账号归属的历史审计日志和其他账号或共享副本仍保留，本机清理不等于全部云端数据销毁。软删除不等于立即物理销毁，App 也不能远程删除他人截图、用户导出文件或第三方已接收的 AI 请求。

CSV 保留上表基础栏目，并扩展喝水、吸奶左右量、用户填写剂量/单位/剂型、笔记、洗澡、用品消费说明、疫苗与计划事实，以及记录和宝宝标识、版本、导入来源；不导出已软删除记录。账号身份、同步队列、审计记录、头像、设备设置和本机 AI 数据不在 JSON/CSV 导出范围内。导出文件由监护人自行保管，删除 App 内副本不能收回已经分享出去的副本。

如需复制、限制处理、整体删除、停止共享或投诉，请联系 harnzh@outlook.com。我们会核实请求者与儿童的关系并说明已完成和未完成的处理范围。

12. 事件、更新与联系

本版新增的喝水、左右有效喂养时长、左右吸奶量、实际剂量及单位/剂型、醒来次数和主观睡眠质量均由监护人选择填写，不提供剂量建议，不猜测缺失观察。宝宝常用品设置按宝宝隔离；归档保留历史，恢复后可继续使用。

离开家庭后，儿童事实与历史归因保留，退出者不再有在线读写权限。本机旧家庭副本仍留在原范围，最小账号与家庭标识索引用于后续清理；注销时没有其他本机账号引用的家庭照片和业务副本一并处理，其他账号共享副本保留。网络中断不表示退出或注销已经完成。

系统小组件仅展示最小计时和记录时间，不含姓名、量值、照片或自由文本；快捷指令需明确目标宝宝，写入前核对当前账号、家庭和对应权限。系统展示与处理受设备设置影响。JSON 备份可包含当前家庭记录照片、照护偏好和归档状态，全部照片合计最多 64 MiB。CSV 可按确认范围导出照护、成长、疫苗与计划事实及记录来源；历史导入按监护人映射和逐行预览保存，不推断未知子类或重复覆盖宝宝。

本机真实扣库凭据不进入可移植备份，也不能由外部记录创建。恢复只替换已确认的本机范围，不表示覆盖云端，历史扣减信息只能用于核对，不能凭其自动增加库存。AI 多条草稿逐项确认后才能保存，本机防重回执与本机回答来源标识不扩展既有远端摘要范围。

发生可能影响儿童权益的安全事件时，我们将依法评估、处置并通知监护人。处理目的、信息范围、服务商或共享方式发生重要变化时会更新本规则，并在依法需要时重新征求同意。

儿童信息保护联系：张浩冉（个人开发者），harnzh@outlook.com。

当前服务补充：实时活动与账号注销

为结束另一设备上的计时显示，服务端处理实时活动推送令牌、当前账号/家庭/宝宝/记录的路由标识、推送环境及生命周期和发送状态，不收集备注、姓名或照护内容作为路由载荷。通过 Apple 推送服务发送结束或删除后的状态；登记和发送前均核对当前账号与家庭权限。路由在最后登记 24 小时后过期，由每 5 分钟执行的独立清理任务移除；服务中断可能延后处理。Apple 接受推送不等于另一设备已实际显示结束，用户可回到 App 前台核对。

当前账号注销服务已开放。在「家庭 → 设置 → 数据与隐私 → 注销云端账号」申请后有 7 天冷静期并退出登录；期限内须用原方式重新登录并明确确认恢复才会取消，到期后开始永久删除。共享家庭所有者需先处理所有权转交；其他成员仍使用的共享记录保留，独占家庭按流程删除。服务器确认后，本机在后续联网核对时按账号归属清理，不影响其他本机账号的资料。详细步骤和边界见支持中心。

网站本身不包含分析、广告、表单、Cookie 或外部脚本。访问网站时，实际托管和网络服务商仍可能处理请求 IP、时间及必要服务日志；没有仅凭页面无脚本就承诺托管零日志。