燕语隐私政策
更新日期：2026年10月25日
生效日期：2026年10月25日
引言
燕语（以下简称"我们"）深知个人信息对您的重要性，我们将按照法律法规要求，采取相应的安全保护措施，尽力保护您的个人信息安全可控。
本隐私政策旨在向您说明我们如何收集、使用、存储、共享和保护您的个人信息，以及您享有的相关权利。
请您在使用燕语服务前，仔细阅读并充分理解本隐私政策。
一、我们如何收集您的个人信息
1.1 您主动提供的信息
当您注册和使用燕语服务时，我们会收集以下信息：
- 账号凭证：中国大陆手机号、6 位短信验证码、登录密码
- 公开资料：昵称、头像、封面图片、个人简介、性别、地区、身份标签、生日、心情状态
- 发布内容：您发布的文字、图片、视频、音频与标签
- 互动信息：您的好友关系、点赞、评论、共鸣、一对一聊天消息、您上传的表情贴纸
- 私密表达：情绪树洞记录、认知探索测评的作答与得分、星空邮局（含漂流瓶、时光信、回信）的信件内容与图片、关系镜厅中您或他人填写的称呼与关系标签、您与 AI 的对话内容
- 运营信息：您填写的邀请码、您提交的举报内容与补充说明
其中手机号、密码、短信验证码、昵称为注册必填项，其余均为选填项或在使用服务的过程中产生。
两点需要说明：注册接口不接收邮箱，资料修改接口也不支持填写邮箱，新注册用户的账号中没有邮箱信息；「心情状态」在服务端有对应字段、也会随资料下发给他人，但应用目前没有调用设置它的接口，您无法在应用内填写或修改它，该字段实际为空。
1.2 我们自动收集的信息
当您使用燕语服务时，我们会自动收集以下信息：
- 日志信息：每次请求的完整 IP 地址、请求时间、请求路径及其中的查询参数、响应状态码与耗时。日志中的访问令牌参数会被替换后再落盘，但其余查询参数按原样记录
- IP 归属地：我们用您的 IP 地址向第三方服务查询其所属的省级地区，结果会展示在您与他人的资料页上
- 活跃记录：您每个自然日的登录与使用时间，每天一条
- 最近活跃时间：您的账号上保存一个精确到秒的「最近一次活跃」时间戳，用于管理后台统计今日活跃与展示账号状态。该时间在您每次使用应用时按 5 分钟节流刷新，不只是登录时更新
- 服务配额：您的 AI 对话每日使用次数
- 客户端环境：应用在您的手机上会读取一次系统版本号，仅用于选择相册权限的调用方式，该结果只保存在本机，不上传服务器
我们不采集任何设备唯一标识符（如 IMEI、MAC 地址、Android ID、OAID、广告标识），也不读取通讯录、通话记录或日历。防刷与风控使用 IP 的计数只存在于服务器内存中，进程重启即清零，不写入数据库。
1.3 关于位置信息
燕语不申请任何定位权限，也不采集您的 GPS 坐标、移动轨迹或实时位置。您资料中的「地区」是您从一份固定列表中自行选择的常住地自述，我们把它当作普通文本保存，不与您的 IP 归属地做比对。您看到的 IP 归属地不是定位结果，而是由 IP 地址反查出的省份。
1.4 设备权限与本地存储
燕语在 Android 上申请的权限及用途：
- 麦克风：录制语音消息与动态中的音频
- 相机：拍摄要上传的图片
- 相册（Android 13 及以上为细分媒体权限，Android 12 及以下为存储权限）：选择要上传的图片与视频
- 通知：接收消息与互动通知。该权限在应用启动后即会申请，可能早于您阅读本政策
- 精确闹钟：安装包在清单里声明了这项权限，但当前的本地通知用的是非精确闹钟，实际并不依赖它；声明保留是为了兼容后续可能上线的精确提醒，您可以在系统设置中撤销它，不影响使用
除上述之外，燕语不申请定位、通讯录、通话记录、日历、短信、蓝牙等任何其他权限。
燕语在您的设备上保存的内容：
- 加密存储：登录凭证（有效期 7 天）、青少年模式的 4 位密码
- 明文存储：聊天消息、通知、动态缓存、情绪记录保存在应用私有目录下的本地数据库；您的个人资料、AI 对话全文、未发布的草稿、已读记录等保存在本机偏好设置文件中；下载的图片、视频、语音保存在应用缓存目录，其中聊天媒体的缓存有效期为 365 天
- 应用内「清除缓存」只清理动态图片缓存与临时文件，不清理聊天消息表、通知、情绪记录与聊天媒体缓存；彻底清除需使用「清除所有本地数据」或退出登录、注销账号
- 您通过「保存到相册」导出的图片存放在系统公共图片目录下，位于应用目录之外，燕语在退出登录或注销时无法删除，需要您自行在相册中清理
- 退出登录与切换账号时，燕语会清空上述本地数据，但保留主题、引导流程、协议同意开关、天气缓存与公告已读状态
二、我们如何使用您的个人信息
我们会将收集到的个人信息用于以下用途：
- 为您提供、维护、改进我们的服务
- 验证您的身份，确保账号安全
- 向您发送服务通知（燕语目前没有营销推送，公告与消息提醒属于此类）
- 了解用户需求，优化产品体验
- 防止、发现、调查欺诈或其他违法活动
- 经您同意的其他用途
以下用途需要特别说明：
- 首页天气：您的设备会直接向第三方服务请求与您 IP 对应的经纬度和城市名，再把该坐标用于查询天气。该过程不经过燕语服务器，也不受服务端的频率限制
- AI 情感对话：除您输入的对话内容外，我们还会把您最近 7 条情绪树洞记录（含日期）与您做过的认知探索维度名称拼入发送给 AI 的提示词
- 认知匹配：在生成匹配对象的「灵魂画像」时，我们会把系统为您匹配到的另一位用户的测评分数提交给 AI 服务生成描述
- 共鸣推荐：您发布动态后，我们会把该动态的标题与正文提交给 AI 服务生成语义向量，并在全站公开动态中查找语义相近的内容推荐给您。该过程只比对文本向量，不涉及您与他人的身份关联
- 归属地展示：IP 归属地会展示在您与他人的资料页上，该字段没有关闭开关
三、我们如何存储和保护您的个人信息
3.1 信息存储
- 除手机号外，我们存储在服务器上的个人信息均为明文存储，没有加密。这包括聊天消息正文、动态、评论、星空邮局信件、情绪树洞记录、认知测评分数与 AI 生成的画像文本、举报快照。一旦服务器数据库发生泄露，这些内容将直接可读
- 手机号不保存明文：我们保存手机号的 HMAC 校验值（用于登录与查重）以及 AES-256-GCM 密文（每次加密使用独立随机数），数据库中没有明文手机号列。完整手机号只在管理后台的用户详情页按需解密展示，用户列表只显示是否已绑定手机号的布尔状态
- 密码使用 bcrypt 单向哈希存储，任何人（包括我们自己）都无法从数据库还原出您的密码
- 您的聊天消息存储在服务器上，不是在您的本地设备上。清理规则是：删除会话只是给自己这一侧打上删除标记，只有对话双方都删除后，服务端才会按消息的创建时间清理——创建满 7 天清空正文与附件地址、创建满 30 天删除该行记录（判断依据是消息创建时间，不是您删除的时间）。只要有一方未删除，消息正文将长期保留。您发送的消息在被对方引用时会在对方的记录里留有一份正文副本，撤回被引用的消息不会清掉这份副本，撤回只清被撤回的那一条本身
- 您删除动态后，该动态先进入隐藏状态，30 天后由系统连同其评论、点赞、共鸣与附件文件一并彻底删除；未被您删除的动态会长期保留
- 情绪树洞记录、认知测评结果与历史快照、星空邮局信件与漂流瓶候选池、评论、每日活跃记录、真实邮件的收件邮箱与信件正文，在账号存续期间没有自动清理期限，只能由您主动删除或通过注销账号清除
3.2 注销账号后的数据处理
注销采用软删除：您的数据不会被立即物理删除，而是转为「已注销」状态并从所有前台界面隐藏。
具体来说：
- 账号资料：昵称改为「已注销」，账号上写入注销时间戳，密码被替换为一个无法通过校验的占位值，已签发的登录凭证全部作废。手机号、邮箱、头像、封面、个人简介、性别、地区、IP 归属地、身份标签、生日、心情状态、邀请码等其余资料一律原样保留，不做清空或改写
- 您发布的内容：动态、评论、点赞、共鸣、聊天消息、星空邮局信件、情绪树洞记录、认知测评结果等全部保留在数据库中，但会打上删除标记，任何其他用户都无法再看到，也无法通过搜索、推荐或直链访问
- 关系数据：好友关系、拉黑记录、通知、亲密度事件、举报记录等全部保留，不会删除
- 唯一会物理删除的是维护白名单记录：白名单按手机号的校验值匹配，与具体账号无关。如果保留这条记录，同一手机号重新注册新账号时会静默继承「停服维护期豁免」与「内容隔离」两项特权，因此必须随注销一并删除
- 媒体文件：您上传的头像、封面、动态图片与视频、语音、表情贴纸、信件图片等文件会从对象存储中删除。数据库中的记录仍然保留，因此管理后台查看这些记录时，对应的文件地址将无法访问
- 审计日志：管理员操作审计日志中与您账号关联的部分会被解除关联（目标编号归零），日志本身按留存要求保留
这样处理的原因是：注销后我们仍需要能够回答「这个账号是谁、注销前发过什么」，以应对可能的客服申诉、司法调证与安全审计。如果您希望彻底删除全部数据，请通过本政策第八节的邮箱联系我们，我们会人工处理。
3.3 信息保护
我们采取以下安全措施保护您的个人信息：
- 数据传输全程使用 HTTPS：应用与服务器之间的所有请求走加密链路，HTTP 端口只做跳转，唯一例外见下文 ip-api.com
- 手机号加密存储，密码单向哈希存储
- 短信验证码记录不保存明文手机号，只保存手机号的 HMAC 校验值；但验证码本身在有效期内是明文存库的，记录最多保留 24 小时后删除
- 管理后台需通过邮箱、密码与动态口令三重认证方可访问，数据库浏览功能会对列名中含 password、token、secret、totp、phone 的列以及名为 code 的验证码列做整列屏蔽
- 服务器日志每天一个文件、保留 30 天，其中访问令牌的查询参数在落盘前会被替换为 REDACTED
需要如实说明的是：燕语目前是单人运营的小规模内测服务，没有成体系的员工隐私培训与定期安全评估机制，代码中也不存在与之对应的落实记录。这两项属于尚未建立的措施，不作为我们已经做到的承诺。
需要如实告知您的访问边界：
- 管理后台的用户详情页会按需解密并返回您的完整手机号；用户列表的 CSV 导出包含明文邮箱、昵称、性别、地区、IP 归属地、身份、心情、简介、邀请码、最近活跃时间与注销时间
- 管理后台的聊天记录与真实邮件导出包含消息正文与收件邮箱；数据库浏览功能可读取全站用户正文内容
- 上述导出与读取操作不逐条写入管理员审计日志，审计日志只记录封禁、删帖、改密、续期会员、处理举报、发布公告与维护公告、增删维护白名单等写操作；读取类操作仅在请求日志中留下 IP、路径与时间
- 我们并没有对服务器上的聊天正文、动态正文、情绪记录、认知分数做静态加密，静态加密只覆盖手机号
- 管理后台还支持按部署配置限定可访问的 IP 白名单；只有配置了名单时才生效，未配置时不限制来源 IP
3.4 信息存储地点
您的个人信息存储在中华人民共和国境内的服务器上。您上传的图片、视频、语音等文件存放在腾讯云对象存储（上海地域）。
3.5 文件的访问方式
您上传的图片、视频、语音的访问地址是不带签名的直链，任何获得该地址的人都能查看或下载该文件。对象路径形如「目录 / 账号内部编号 _ 时间戳 _ 随机数.扩展名」，其中包含您的账号内部编号；做内容审核时，该地址会连同上述内容一并提供给腾讯云，由腾讯云回源读取文件。文件在对象存储中的删除依赖删除动作本身，桶侧的版本与生命周期策略不在本文档描述范围内。
四、我们如何共享您的个人信息
我们不会向第三方共享您的个人信息，除非：
- 获得您的明确同意
- 根据法律法规或政府要求
- 与我们的关联公司共享，用于提供服务
- 与授权合作伙伴共享，用于改善服务
- 在紧急情况下保护您或他人的合法权益
在上述情形之外，下列第三方实际会接触到您的部分信息，逐项清单见《第三方信息共享清单》：
- 腾讯云短信：接收您的完整手机号与 6 位验证码，用于下发验证短信
- 腾讯云内容审核：接收动态的标题与正文、评论、昵称、个人简介、心情状态、星空邮局信件的主题与正文的文字；图片、视频、语音、表情贴纸则以文件访问地址的形式提交，由腾讯云回源读取后审核（地址中含您的账号内部编号）
- 腾讯云对象存储：存放您上传的头像、封面、动态图片与视频、语音、贴纸等文件
- DeepSeek：接收您与 AI 的对话内容、您最近 7 条情绪树洞记录、您做过的认知探索维度名称；认知匹配时还接收匹配对象的测评分数
- 智谱AI：接收动态的标题与正文，用于生成语义匹配向量
- ip-api.com：接收您的完整 IP 地址以查询 IP 归属地，服务端调用使用明文 HTTP，该服务不由我们运营
- 邮件服务商：接收星空邮局实体信的收件邮箱与信件全文
- 您的设备：首页天气会直接向 ip-api.com 与 open-meteo.com 发出请求，二者分别获得您的 IP 与由 IP 换算出的经纬度
需要说明的是，头像、封面图片与通过通用图片上传接口上传的图片不做内容审核，只有当它们被用于动态、星空邮局信件或表情贴纸时，对应的地址才会提交给腾讯云审核。
五、您的权利
您对您的个人信息享有以下权利：
- 访问权：在「我的 - 编辑资料」中查看与修改昵称、头像、个人简介、性别、地区、身份标签、生日；在星图页面查看您的测评维度与结果
- 更正权：通过上述入口自行更正。需要说明的是，生日一旦填写无法清空，只能改填为其他日期
- 删除权：可删除单条动态、评论、聊天消息、星空邮局信件、情绪记录。需要说明的是，删除会话只是单向标记，需对话双方都删除，服务端才会在 7 天后清空正文、30 天后删除记录
- 注销权：入口为「设置 - 注销账号」，需输入登录密码确认，没有冷静期，注销提交后账号立即失效并被强制下线。注销后的数据处理方式见第 3.2 节
- 撤回同意权：您可以在「设置 - 通知」中关闭推送通知，可以在系统设置中撤回相机、麦克风、相册等权限。需要说明的是，本政策的同意状态以本机一个开关记录，应用内目前没有单独的「撤回隐私政策同意」入口，卸载应用即视为放弃
- 投诉权：在帖子详情页与他人主页可提交举报；其他投诉请发送邮件至 yanyuapp2026@163.com
关于获取个人信息副本：燕语目前没有提供自助导出功能，您无法在应用内下载自己的数据副本。如需获取，请发送邮件申请，我们会人工处理。
六、未成年人保护
燕语对未成年人的保护措施与其实际技术能力是一致的，具体如下：
- 燕语不设年龄门槛，也不做实名认证。注册只需要手机号、短信验证码、昵称与密码，我们无法判断您的年龄，也无法阻止未成年人完成注册并提交手机号
- 我们提供青少年模式，但它是您手机本地的开关：默认关闭，需要您手动开启，不会在识别到未成年人时自动开启，也不同步到服务器。其技术边界为：
- 每日限用 40 分钟，计时器运行在您的手机上，以设备本地时间为基准。修改系统时间，或在计时到达前结束应用进程，可以绕过该限制
- 开启后禁用一对一聊天与星空邮局入口
- 关闭青少年模式需要 4 位数字密码，该密码保存在设备的加密存储中
- 退出登录或执行「清除所有本地数据」都会关闭青少年模式，重新登录后不会自动恢复
- 达到时限后界面会出现全屏遮罩，但底部导航栏不在遮罩范围内
- 由于我们在技术上无法识别未成年人，因此不承诺在发现未成年人后主动删除其个人信息
- 如您是未成年人，请在监护人指导下使用我们的服务
七、本政策的更新
我们可能会不时更新本隐私政策。更新后的政策将在燕语平台公布，建议您定期查看。
需要说明的是：您在欢迎页的同意结果只以本机一个开关记录，我们不保存您同意的时间、所同意的版本号与您的 IP。本政策更新后，应用不会就新版本再次向您提示，已安装的旧版本用户需要自行查看最新文本。
八、如何联系我们
如果您对本隐私政策有任何疑问、意见或建议，请通过以下方式联系我们：
邮箱：yanyuapp2026@163.com
燕语目前只通过邮件提供人工渠道，没有工单系统，不承诺固定回复时限，实际处理周期取决于邮件往来。应用内另提供官方 QQ 群 908700594 作为日常交流渠道。
九、隐私政策的生效
本隐私政策自发布之日起生效。
燕语平台
联系方式：yanyuapp2026@163.com