宝贝计划隐私政策

公开整理版说明

整理日期：2026 年 11 月 4 日。本页整合应用内既有说明和已上线功能补充，不会因访问网页而记录或代替 App 内同意。原协议版本及已保存回执保持不变。

护理表照片识别适用独立的照片识别说明。关于头像和记录附件不发送给 AI 的说明，不覆盖这个可选功能；只有逐次确认后才发送本次处理后的图片。基础登录协议同意不替代每次上传授权。

1. 适用范围与原则

本政策适用于宝贝计划 iPhone 和 iPad App 的账号、宝宝档案、照护记录、成长观察、家庭协作、通知、天气、备份恢复、导出和个人 AI 照护助理。我们遵循目的明确、最小必要和安全保护原则；本地优先不等于所有数据只在本机，已关联在线家庭的数据会按功能需要同步。

儿童个人信息及健康、照护信息属于敏感信息。使用者应具有监护权或获得监护人明确授权。

2. 宝贝计划账号与同意记录

手机号、区号、验证码、邮箱、用户名、密码输入、Apple 授权信息、用户 ID、昵称和登录会话用于创建、验证和保护宝贝计划账号。认证由 Supabase Auth 及实际短信、邮件或 Apple 服务共同完成；App 不把密码写入业务数据库，登录会话凭据保存在 Keychain。

服务端记录所同意协议的类型、版本、账号关联、来源、同意时间及撤回时间。版本更新后，旧版同意不能代替新版同意；同意协议不等于已经核验真实监护关系。

3. 宝宝资料与照护数据

根据用户选择，我们处理宝宝名称或昵称、出生信息、性别、头像、家庭关系，以及喂养、睡眠、尿布、洗澡、户外、成长、疫苗、发展、健康观察、奶粉用品、照护计划、备注、时间、操作人和同步状态，用于记录、统计、提醒、家庭协作和数据恢复。可选字段可以留空。

统计及 WHO 参考由本机代码根据记录和内置参考数据计算，不因展示成长曲线而向 WHO 上传宝宝数据。统计和 AI 回答均不构成医疗诊断或治疗建议。

4. 照片、文件与系统权限

2026 年 10 月 31 日完整档案同步增补：在线家庭新建或编辑宝宝时，在保存前说明并由用户主动完成后，将已填写的出生时分、预产期、出生孕周、出生体重/身长/头围、血型、过敏、既往史和备注与基础资料一起保存到 Supabase，供同一家庭的有效成员查看并在更换设备后恢复。旧版仅存在本机的这些详情不会后台自动上传，需在「同步完整资料」中核对后完成保存，或在获知共享说明后明确将本机宝宝关联在线家庭。未共享旧资料与云端不同的，先保留本机副本供核对；已共享字段明确清空后会同步到其他设备。档案详情不会自动加入 AI 请求；已按既有规则保存的成长记录仍遵循相应同步与 AI 专项授权。详情随宝宝和家庭资料管理，某一家庭成员注销不等于删除共享家庭全部资料。

2026 年 10 月 23 日头像同步增补：用户可选择内置头像，或通过系统照片选择器选择照片。已关联在线家庭时，页面会在保存前告知云端共享范围；只有用户主动保存新选头像、调整构图、移除头像，或在获知提示后明确将本机宝宝关联在线家庭时，才将该头像修改同步到 Supabase，并供同一家庭的有效成员查看。旧版本仅存在本机的头像不会自动上传；在点击保存前取消选择或退出编辑不会上传；保存请求发出后，取消或网络中断不能保证服务器尚未写入，应重新同步核对结果。普通资料修改和备份恢复不会触发旧头像迁移。未关联在线家庭的头像仍只保存在本机。

上传的照片头像仅包含最终圆形构图内的像素，经重新编码为不超过 512×512 像素、256 KiB 的 JPEG；构图外的背景、原照片文件名、相册标识及 EXIF/GPS 元数据不上传。头像存入受家庭权限保护的数据库，不提供公开图片链接，不加入 AI 请求，也不用于广告跟踪。替换会覆盖当前云端头像，移除会清空当前云端头像；其他成员在线同步后更新，已保存的截图、导出副本和供应商备份不能立即收回。

用户也可主动为笔记和健康观察添加记录照片。记录照片仍仅保存在本机，不提供家庭记录照片共享入口、不向 Supabase 上传这些照片或新增其共享元数据。App 重新编码所选记录照片，去除原文件名、原相册标识和 EXIF/GPS 元数据，以随机名称保存在应用私有目录；每条记录最多 3 张，每张处理后不超过 2 MiB。用户主动导出的 JSON 备份可包含记录照片，但不包含头像。上述头像和记录附件照片均不加入 AI 请求；护理表照片识别另按逐次授权说明处理；系统备份、iCloud 图片下载和照片库原图受 Apple 设置约束，删除 App 内照片不会删除相册原图。

定位仅在用户授权后用于获取天气及所在城市/区域名称；通知、实时活动和灵动岛用于提醒或展示计时状态；文件选择器用于用户主动导入导出；剪贴板仅在用户主动复制邀请码等内容时写入。拒绝可选权限不影响无关的核心记录功能。

AI 语音快速记录只在用户点击「+」并主动选择后请求麦克风和语音识别权限。App 仅在设备支持本机识别时启动，强制不通过网络发送原始语音；原始音频不写入文件、聊天历史、备份、日志或分析系统。识别文字可在当前页面编辑，不写入本机聊天历史；只有用户点击「生成记录」后，最新转写文字才按第 6、7 节的最小化记录草稿链路发送。取消、音频中断、离页或进入后台不会发送本次转写；生成的仍是待确认草稿，只有用户查看完整字段并点击「确认记录」后才保存。不支持本机识别时仅保留键盘，不降级为 Apple 联网识别。

5. 家庭共享与云端同步

关联在线家庭后，宝宝资料、照护记录、成长、疫苗、发展、健康观察、用品、计划及必要的家庭、成员、记录、版本、时间和删除状态可上传至 Supabase，并向同一家庭的有效成员同步。当前项目文档记录的 Supabase 区域为日本东京；实际子处理地点以服务配置为准。

主动保存的宝宝头像按第 4 节同步；个人 AI 聊天、AI 记忆、笔记和健康观察的记录照片及设备通知授权不属于家庭同步数据。头像随所属宝宝和家庭资料保留；共享家庭中某一成员退出或注销，不会删除其他成员仍在使用的头像；独占家庭按账号注销流程删除时，头像随宝宝行一并清理。角色权限不能阻止已获访问者截图或另行保存。

6. AI 请求的触发与范围

只有用户发送消息、点击问题示例或主动使用 Today“AI 看看”时才发起 AI 请求。普通聊天每次最多包含当前上下文段落内最近 12 条用户及 AI 消息（连续 30 分钟无活动后再对话会开始新的段落，旧消息不因此被删除）；Today 解读只包含固定问题，不发送持续聊天历史。两者可附带当前启用的确认记忆和最小化照护摘要。

摘要可包括当日分类计数、最近喂养的类型及可选奶量或时长、近 24 小时睡眠、当日尿布次数、最多五条近期活动、最多两条成长测量及最多三项计划。系统摘要不包含宝宝姓名、账号标识、照片、备注、自定义标题或记录 UUID，但时间、健康和行为数据仍可能识别或关联儿童。

用户消息与记忆是自由文本，可能包含用户主动填写的姓名、联系方式、健康或家庭内容。请勿输入与本次需求无关的身份证件、地址、联系方式、照片内容或其他敏感信息。

7. AI 服务链路、保存与风险

当前 AI 请求由宝贝计划 App 经 HTTPS 发送至经过身份验证的宝贝计划 Supabase Edge Function，再由服务端使用运营者保管的密钥转发至 DeepSeek。模型名称、思考模式和使用限额由服务端统一配置，后续调整会自动对用户端生效。

DeepSeek 会接收模型输入、生成输出及提供服务所需的网络和日志信息，并可能依其政策在中国境内处理、保存或用于改进服务。其具体处理规则参见 DeepSeek 隐私政策 和 DeepSeek 开放平台服务条款。已经发送的请求无法通过删除本机内容撤回；不接受此处理的用户可以不使用 AI，其他记录功能仍可使用。

你勾选同意本政策，即表示你已阅读 DeepSeek 隐私政策。这不是 AI 儿童敏感信息外发的专项授权：App 会在首次 AI 请求前展示《AI 儿童敏感信息处理专项说明》并取得单独、可撤回的服务端回执；未完成该回执前，不会将相关数据发送给 DeepSeek。

AI 没有直接写入业务数据的工具。用户主动开启快速记录时，服务端只使用最新一句输入和必要时间信息生成临时草稿，不发送聊天历史、照护摘要、个人记忆或家庭/宝宝标识。草稿默认只存在当前页面内存中；只有用户查看完整字段并点击确认后，App 才在本机保存，确认后的记录会按既有家庭同步规则共享。AI 不会自动修改、删除或完成既有记录。服务端会对明显的儿童健康危险信号和不安全的诊断/治疗/用药指令做语言层拦截或替换，但这不是医疗分诊器，不能替代急救或医生判断。输出可能错误或遗漏，接入 DeepSeek 仅说明技术服务来源，不代表医疗背书。

8. 本机 AI 聊天与记忆

持续聊天按当前宝贝计划账号和宝宝保存在本机个人空间，最多保留最新 500 条，并可在“设置 → AI 助手”中选择本机保留期（永久、90 天、30 天或 7 天，默认永久）。只有你主动设置保留期后，超过期限的本机聊天才会在下次打开 App 时自动删除，且无法恢复；个人记忆不受保留期影响。确认记忆最多 40 条、每条 1–300 字符，必须由用户主动新增或编辑，模型不会自动抽取记忆。相关文件采用完整文件保护并排除应用主动备份，不进入家庭同步、业务 JSON 或 CSV。

清空聊天保留记忆；关闭记忆仅停止后续发送，删除记忆需单独操作。Today 解读关闭后不在宝贝计划持续保存。源记录的修改或删除不会自动改写旧聊天、记忆或已经发送给 DeepSeek 的内容。

9. 其他服务商与接收方

Supabase 用于账号认证、协议记录、家庭协作和 AI 服务端入口；Apple 用于用户主动选择的登录、天气、定位、通知、实时活动、照片和文件能力，语音输入只使用 Apple 系统框架的设备端识别模式，不允许原始语音联网处理；阿里云及实际邮件服务可用于成人账号验证；DeepSeek 仅在用户主动使用 AI 时接收第 6、7 节所述信息；家庭成员及用户选择的文件或分享接收方会取得用户主动共享的数据。

各服务商按其适用政策处理数据。我们不出售儿童资料，也不接入第三方广告画像 SDK。

Supabase 按其 隐私政策 处理账号认证、协议记录、家庭协作数据及服务日志；实际子处理地点、保存期限和删除安排以该政策及项目实际配置为准。

10. 保存、安全与日志

本地业务数据随应用使用保留；云端账号和家庭数据随服务关系保留；软删除、备份、日志和同步回执可能在界面不可见后继续保留一段必要时间。我们采用设备沙盒、Keychain、HTTPS、文件保护、服务端身份验证、成员权限和每日请求限额等措施，但不存在绝对安全。

网络服务商通常会取得 IP、请求时间和客户端信息。开发诊断材料可能含记录标识或部分业务字段，应受到访问限制和最小化管理。

11. 查阅、更正、导出、删除与撤回

“清空本机全部数据并退出登录”会清除本机业务副本、当前账号的本机 AI 资料与本机登录凭据，不删除云端副本，也不删除其他账号的个人 AI 文件。处理中断或失败时保留最小本机处理进度并停止同步，须继续完成；成功后需关闭并重新打开 App 才能再次登录，避免清理前的在途会话请求写回。

用户可在 App 内查看、更正或删除资料和记录，管理家庭共享，清空 AI 聊天，关闭或删除记忆，导出当前家庭范围的 JSON/CSV，撤回协议或申请注销账号。JSON/CSV 不等于完整数据权利导出：会明确列出或提示账号身份、同步队列、审计、头像、设备设置和本机 AI 数据等排除项。可在“数据与隐私 → 注销云端账号”检查服务状态并发起注销；服务端安全能力尚未开放时，不发送删除请求。共享家庭所有者需先通过该页面转交所有权；其他成员注销不会删除共享家庭记录，历史记录者标识继续保留。注销结果以服务端确认和本机清理结果为准，超时或处理中不能视为已完成。本机清理只覆盖当前账号的身份、个人 AI 数据及没有其他账号引用的家庭副本；无账号归属的历史审计日志、其他账号或共享副本仍保留，不将本机清理表述为所有云端数据销毁。软删除不等于立即物理销毁；导出文件、截图、家庭成员副本以及已发送给第三方的 AI 请求不能由 App 远程收回。

上表保留基础照护栏目。CSV 另包含已选择范围内的喝水、吸奶左右量、用户填写的剂量/单位/剂型、笔记、洗澡、用品消费说明、疫苗实际事实与原规则来源、照护计划排程，以及记录和宝宝标识、版本和导入来源；已软删除记录不导出。CSV 不导出照片字节或本机可信库存凭据。JSON 的包含范围与排除项以导出时界面说明为准。

如需行使查阅、复制、限制处理、删除或投诉权利，请联系 harnzh@outlook.com。涉及 DeepSeek 已接收内容的请求，我们可协助说明发送范围，但最终处理还受其政策和适用法律约束。

12. 儿童保护、变更与联系

本版本新增独立喝水量、用户填写的左右有效喂养时长、左右吸奶量、剂量与单位及剂型、睡眠醒来次数和主观质量、宝宝常用品选择及归档状态。这些均由用户选择记录；不填写时不补造事实，不提供用药剂量推荐。归档保留历史，不等于删除。

家庭交接使用已保存的事实和记录人、时间、同步状态。离开家庭不注销账号；成功退出后停止向原家庭上传，本机历史副本保留原家庭范围。App 保存最小的账号与所保留家庭标识索引，以便后续本机清理；注销时仅清没有其他本机账号引用的家庭副本。未知退出结果会保留待核对状态，不恢复旧家庭写入。

桌面小组件只使用应用与扩展共享目录中的最小记录时间和计时摘要，不包含姓名、量值、备注或照片；系统可能按你的锁屏与小组件设置展示。快捷指令由你主动选择宝宝和记录内容，写入前再次核对账号、家庭、权限和记录版本。系统服务自身的数据处理受相应系统设置与说明约束。

JSON 业务备份可包含所选家庭的记录照片、宝宝常用设置与归档状态，整份照片上限为 64 MiB；CSV 按你确认的宝宝、类别与所选日期口径导出实际事实、计划和来源。备份不包含登录凭据、本机 AI 聊天及本机可信库存扣减凭据。恢复只替换已确认的本机范围，不表示覆盖云端；原设备的库存扣减权限不会随文件转移，恢复后需核对库存。历史 CSV 导入保留你指定的来源和行号，只按明确映射生成事实，重复和无效行分别报告。

AI 多条草稿仍需逐条确认；用于防止重复保存的本机回执只保存请求标识、宝宝标识、类型和时间，不保存原始语音。回答中的本机记录对应关系和版本提示保存在本机，不把记录 UUID、照片或新增结构化用药字段自动加入远端摘要。既有专项授权和发送范围保持适用。

不满十四周岁儿童的信息按《儿童个人信息保护规则》处理。发生可能影响儿童权益的安全事件时，我们将依法评估、处置并通知。功能、服务商或处理方式发生重要变化时会更新政策，并在依法需要时重新征求同意。

运营者及隐私联系：张浩冉（个人开发者），harnzh@outlook.com。

当前服务补充：实时活动与账号注销

为结束另一设备上的计时显示，服务端处理实时活动推送令牌、当前账号/家庭/宝宝/记录的路由标识、推送环境及生命周期和发送状态，不收集备注、姓名或照护内容作为路由载荷。通过 Apple 推送服务发送结束或删除后的状态；登记和发送前均核对当前账号与家庭权限。路由在最后登记 24 小时后过期，由每 5 分钟执行的独立清理任务移除；服务中断可能延后处理。Apple 接受推送不等于另一设备已实际显示结束，用户可回到 App 前台核对。

当前账号注销服务已开放。在「家庭 → 设置 → 数据与隐私 → 注销云端账号」申请后有 7 天冷静期并退出登录；期限内须用原方式重新登录并明确确认恢复才会取消，到期后开始永久删除。共享家庭所有者需先处理所有权转交；其他成员仍使用的共享记录保留，独占家庭按流程删除。服务器确认后，本机在后续联网核对时按账号归属清理，不影响其他本机账号的资料。详细步骤和边界见支持中心。

网站本身不包含分析、广告、表单、Cookie 或外部脚本。访问网站时，实际托管和网络服务商仍可能处理请求 IP、时间及必要服务日志；没有仅凭页面无脚本就承诺托管零日志。