版本：v1.0
定稿日期：2026-05-20
生效日期：2026-05-21（如实际上架日不同，上架时统一改）
适用版本：萌芽时光 国内版（cn flavor）
萌芽时光 的核心使用场景涉及 14 周岁以下儿童（婴幼儿）的个人信息和家庭健康相关数据。我们深知此类数据处于《个人信息保护法》定义的 敏感个人信息 范畴，处理此类信息一旦泄露或滥用，可能严重危害自然人的人格尊严或者人身、财产安全。因此，我们以"最严格标准"设计本服务并撰写本政策。
我们郑重承诺：
请您在使用本服务前，仔细阅读并充分理解本政策全部内容，特别是加粗的条款。当您勾选同意本政策时，即表示您已充分理解并接受全部条款。
本政策的个人信息处理者（即《个人信息保护法》第 73 条定义的"个人信息处理者"，相当于 GDPR 的"数据控制者"）：
我们对您个人信息处理活动的合规性、安全性承担最终责任。
为帮助您快速理解我们到底收集了什么、为什么收集，本政策第二条按"信息类型 → 用途 → 是否必要 → 处理方式"四列展开。
为遵守《App 违法违规收集使用个人信息行为认定方法》及"数据最小化"原则，我们承诺不收集以下任何设备识别符：
| 不收集的字段 | 备注 |
|---|---|
| OAID（开放匿名设备标识符） | 移动安全联盟 OAID |
| IMEI（国际移动设备识别码） | 不需要权限 |
| IMSI、ICCID | 不需要权限 |
| MAC 地址 | 不需要权限 |
| Android ID | 不需要权限 |
| IDFA / IDFV（iOS 广告标识符） | 不需要权限 |
| Settings.Secure.ANDROID_ID | 不需要权限 |
| 序列号（Build.SERIAL） | 不需要权限 |
我们使用自生成的随机 UUID 作为设备唯一标识，UUID 在用户卸载 App 后失效，不可跨设备追踪。
| 字段 | 用途 | 必要性 | 法律依据 |
|---|---|---|---|
| 手机号 | 注册登录、身份核验、必要服务通知（账号安全告警） | 必要 | PIPL 第 13 条第 1 项（订立、履行合同） |
| 昵称 | 在 App 内展示用户身份，便于家庭成员区分 | 必要 | PIPL 第 13 条第 1 项 |
| 头像（用户上传） | 在 App 内展示用户身份 | 可选 | PIPL 第 13 条第 1 项 |
| 验证码 | 短信登录验证 | 必要 | PIPL 第 13 条第 1 项 |
加粗提示：以下信息涉及《个人信息保护法》第 28 条规定的"不满十四周岁未成年人的个人信息"，属于敏感个人信息，我们采取了"单独同意 + 最小必要"的最高保护标准，并在《萌芽时光 儿童隐私政策》中专门展开说明。
| 字段 | 用途 | 必要性 | 备注 |
|---|---|---|---|
| 宝宝昵称 | 在 App 内展示宝宝身份 | 必要 | 不收集真实姓名 |
| 出生日期 | 计算月龄、参考日常照护建议 | 必要 | 月龄是核心使用场景的基础 |
| 性别 | 月龄参考表的性别分组 | 可选 | 用户可拒绝填写，不影响使用 |
| 出生体重、身长 | 生长曲线参考（仅用户主动查阅） | 可选 | 不强制 |
| 过敏信息（用户主动填写） | 在记录页提醒家庭成员 | 可选 | 由用户输入 |
| 头像（家长上传） | 在 App 内展示 | 可选 | 仅家庭内可见 |
我们不收集宝宝的真实姓名、身份证号、住址、就诊记录、医院名称、生物特征（指纹、声纹、人脸）、精确地理位置等任何超出"育儿日常记录"必要范围的信息。
| 字段 | 用途 | 必要性 | 备注 |
|---|---|---|---|
| 喂奶记录（时间、方式、量） | 时间线展示、家庭成员同步 | 必要 | 用户每条记录均为主动操作 |
| 尿布记录（时间、类型） | 时间线展示、家庭成员同步 | 必要 | 同上 |
| 睡眠记录（开始、结束、时长） | 时间线展示、家庭成员同步 | 必要 | 同上 |
| 情绪记录（哭闹/安静/胀气标签） | 时间线展示 | 必要 | 同上 |
| 体温（用户主动填写） | 时间线展示 | 可选 | 属于敏感健康信息，单独同意 |
| 用户在记录中输入的备注（自由文本） | 时间线展示 | 可选 | 由用户输入 |
| 字段 | 用途 | 必要性 | 备注 |
|---|---|---|---|
| 家庭成员列表（昵称、加入时间、角色） | 家庭协同基础 | 必要 | 仅家庭内可见 |
| 邀请码记录（生成时间、是否使用） | 家庭邀请链路 | 必要 | 单次有效，使用后失效 |
| 字段 | 用途 | 必要性 | 备注 |
|---|---|---|---|
| 设备型号、操作系统版本 | 兼容性适配、问题排查 | 必要 | 不识别个人 |
| App 版本号 | 强制升级提示、bug 修复 | 必要 | 不识别个人 |
| 自生成 UUID | 设备唯一标识、防滥用 | 必要 | 卸载后失效 |
| 粗略网络连接类型（WiFi/4G/5G） | 数据同步策略选择 | 必要 | 不收集运营商、IP 归属 |
| 时区 | 时间显示 | 必要 | 不识别精确位置 |
| 字段 | 用途 | 必要性 | 备注 |
|---|---|---|---|
| 崩溃堆栈（脱敏） | bug 修复 | 必要 | 通过自托管 Sentry，不出境 |
| 接口请求时间、状态码 | 服务运行监控 | 必要 | 服务端审计日志 |
| 不收集的字段 | 备注 |
|---|---|
| 通讯录 | 不申请该权限 |
| 短信/通话记录 | 不申请该权限 |
| 精确地理位置（GPS） | 不申请该权限 |
| 相机（除用户主动上传图片） | 仅在用户点击"上传头像"时临时申请 |
| 麦克风（除语音速记） | 仅在用户主动唤醒时短时使用；原始音频经系统级 ASR 本地识别后立即销毁、不上传；识别出的文本经我方后端在中国境内代理调用第三方已依法备案的大模型 DeepSeek 解析为结构化记录（文本不出境、不用于训练，客户端不内置 AI/LLM SDK） |
| 浏览历史 | 不收集 |
| 银行卡号 / 支付密码 / 完整支付凭证 | 不收集——萌芽时光 Pro 经微信支付代扣开通，签约与扣款由微信支付（财付通，持牌机构）处理；我方仅保存订单号与会员有效期等订阅状态，不收集任何卡号 / 支付密码 |
| 生物特征（指纹、人脸、声纹） | 不收集 |
| 健康监测原始数据（HealthKit / Health Connect） | 不主动读取（roadmap-cn.md M4 仅占位、不读取） |
| 应用列表 | 不申请该权限 |
| 剪贴板内容 | 不读取 |
依据 PIPL 第 17 条要求，本节列明每项处理目的与对应的数据范围、合法性基础。
目的：为您和家庭成员提供婴幼儿日常记录、家庭协同、时间线查看、宝宝档案管理等本协议第二条所列服务。
对应数据：账号信息、宝宝档案、育儿记录、家庭关系信息。
法律依据：PIPL 第 13 条第 1 款第 1 项（为订立、履行个人作为一方当事人的合同所必需）。
目的：识别账号异常登录、防范账号盗用、应对监管查询。
对应数据：手机号、UUID、登录时间、设备型号、网络类型。
法律依据：PIPL 第 13 条第 1 款第 2 项（为履行法定职责或法定义务所必需）。
目的：通过聚合的、不可识别个人的统计数据，改进 App 性能、修复 bug、优化用户体验。
对应数据：脱敏崩溃堆栈、接口性能数据、聚合的功能使用计数。
法律依据：PIPL 第 13 条第 1 款第 1 项（履行合同所必需的服务质量保障）。
特别说明：M5 阶段我们将启用自托管 PostHog 进行产品分析，部署在我们自己的腾讯云广州服务器，不与 PostHog Inc 任何海外服务器交互，且仅记录脱敏聚合数据；启用前我们将通过 App 内单独同意弹窗征求您的同意。
目的：响应监管机构的合法查询、配合司法机关调查、履行《网络安全法》《数据安全法》规定的留存义务。
对应数据：根据具体法律要求确定范围。
法律依据：PIPL 第 13 条第 1 款第 3 项（为履行法定职责或法定义务所必需）。
| 不用于 | 备注 |
|---|---|
| 用户画像 | 绝不 |
| 个性化推荐 | 绝不 |
| 商业广告投放 | 绝不，App 内不含任何广告 |
| 出售给第三方 | 绝不 |
| 训练 AI 模型 | 绝不（AI 由第三方已备案大模型 DeepSeek 经我方境内代理提供，您的数据不用于训练任何模型） |
| 与其他公司数据合并 | 绝不 |
| 跨境传输 | 绝不（国内数据 100% 不出境） |
国内用户的全部个人信息均存储于：
我们与腾讯云签订《数据处理协议》，约定腾讯云作为受托处理者，仅在我们指示下处理数据，无独立处理权限。
我们遵循以下数据隔离原则：
依据 PIPL 第 19 条"个人信息的保存期限应当为实现处理目的所必要的最短时间"，我们承诺以下保留期限：
| 信息类型 | 保留期限 | 到期处理 |
|---|---|---|
| 账号信息（手机号、昵称等） | 自您注销账号起 30 日宽限期 + 7 工作日内全部删除 | 硬删除 |
| 宝宝档案 | 同账号信息；如家庭其他管理员仍在使用该家庭，则保留至该家庭解散 | 同上 |
| 育儿记录 | 同上 | 同上 |
| 家庭关系信息 | 家庭解散后 7 工作日内删除 | 硬删除 |
| 设备日志（脱敏） | 90 日 | 硬删除 |
| 服务端审计日志 | 6 年（《网络安全法》第 21 条） | 硬删除 |
| 同意记录 | 至少 6 年（监管溯源需要） | 硬删除 |
| 数据泄露事件记录 | 永久保留（监管溯源） | — |
| 法律法规要求保留的其他信息 | 按法律要求 | — |
特别说明：账号注销 30 日宽限期内，您可随时撤回注销申请并恢复账号；宽限期满后，所有数据不可恢复。我们建议您在注销前，通过"数据导出"功能保存全部数据备份。
我们承诺，绝不出售您的个人信息。我们仅在以下严格限定的场景下共享您的信息：
场景：您所在家庭的其他成员可查看您创建的育儿记录、宝宝档案。
范围：仅限同一家庭内成员（最多 5 人）；不同家庭之间数据完全隔离。
用户控制：您可随时退出家庭，退出后他人不再能查看您的新记录；您也可申请将自己的历史记录从家庭中"撤回"（具体操作见 App 内"设置 > 我的记录"）。
我们仅与以下经严格审计、签订书面《数据处理协议》的受托处理者共享必要数据：
| 受托处理者 | 处理目的 | 共享数据范围 | 数据存放地 |
|---|---|---|---|
| 腾讯云计算（北京）有限公司 | 云服务（计算、存储、CDN） | 全部加密数据 | 腾讯云广州 region |
| 短信服务商（腾讯云计算（北京）有限公司） | 注册/登录验证码下发 | 仅手机号、验证码 | 中国境内 |
| 华为终端有限公司（HMS Push） | Android 端在华为设备上的推送通道 | 设备 token、推送内容（家庭成员记录提醒） | 华为云中国境内 |
| 小米/OPPO/vivo 推送通道 | Android 端在对应品牌设备上的推送 | 同上 | 中国境内 |
| Apple Inc.（APNs） | iOS 端推送通道 | 设备 token、推送内容（脱敏） | Apple 推送服务（数据不存储） |
详细第三方 SDK 清单可在 App 内"设置 > 关于 > 第三方 SDK 清单"查看。
| 不共享的数据 | 备注 |
|---|---|
| 完整宝宝档案 | 绝不与受托处理者以外的任何方共享 |
| 育儿记录详细内容 | 绝不共享给广告平台、数据中介、营销公司 |
| 家庭关系图谱 | 绝不共享 |
| 用户上传的图片 | 绝不共享给第三方分析、AI 训练等 |
我们承诺：
仅在以下情形，我们才会披露您的个人信息：
我们采用以下技术合规措施：
| 编号 | 措施 | 说明 |
|---|---|---|
| 1 | 数据最小化 | 不收集姓名、地址、精确位置；可选项默认关闭 |
| 2 | 端到端加密 | 家庭通道使用 libsodium，密钥不上云 |
| 3 | 本地优先存储 | 数据先入手机本地加密 SQLite，再加密同步 |
| 4 | 静态加密 | 腾讯云 KMS 全盘 AES-256 加密 |
| 5 | 传输加密 | TLS 1.3，证书钉扎（pinning） |
| 6 | 一键导出 | JSON + CSV 双格式，72 小时内出包 |
| 7 | 一键删除 | 软删 30 天宽限 → 硬删 + 备份清理 |
| 8 | 完整审计日志 | 谁、何时、访问哪条数据，6 年留存 |
| 9 | 应急响应 | 事件 24 小时内通报监护人 + 监管 |
| 10 | 第三方 SDK 白名单 | 所有 SDK 单独评估儿童类合规性 |
| 11 | 隐私设计评审 | 所有新功能上线前过隐私评审 |
若不幸发生数据泄露事件，我们将依据《儿童个人信息网络保护规定》和 PIPL 第 57 条履行通报义务：
通报内容包括：泄露发生时间、影响范围、可能后果、已采取与拟采取的处置措施、用户可采取的减损措施、联系方式。
依据《个人信息保护法》第四章"个人在个人信息处理活动中的权利"（第 44 条至第 50 条），您享有以下权利。我们已在 App 内"设置 > 隐私"提供操作入口，您也可通过本政策第十六条联系方式行权。
您有权知悉本政策载明的全部内容；您有权决定是否同意对您个人信息的处理。我们承诺：
您有权查询与复制您的个人信息。具体操作：
PIPL 第 45 条第 3 款规定个人有权请求将其个人信息转移至其指定的个人信息处理者。本服务的数据导出格式（JSON + CSV）符合通用结构化标准，您可将导出文件提供给其他育儿类服务以实现转移；如其他服务不支持本格式，您可自行寻求技术支持。
您有权请求更正、补充您的个人信息。具体操作：
存在 PIPL 第 47 条规定的情形（如处理目的已实现、您撤回同意、我们违法处理等）时，您有权请求删除。具体操作：
您有权随时撤回您之前作出的同意。具体操作：
撤回同意不影响撤回前已基于同意进行的处理活动的合法性。
您有权要求我们对个人信息处理规则进行解释说明。如您对本政策任何条款有疑问，请通过本政策第十六条联系方式与我们沟通，我们将于 15 个工作日内书面回应。
如您不幸离世，您的近亲属为了自身的合法、正当利益，可以对您的相关个人信息行使本政策第八条规定的查阅、复制、更正、删除等权利（您生前另有安排的除外）。
如您认为我们的个人信息处理活动侵犯了您的合法权益，您可：
我们承诺：
依据 PIPL 第 28 至 32 条，敏感个人信息是"一旦泄露或者非法使用，容易导致自然人的人格尊严受到侵害或者人身、财产安全受到危害的个人信息"，本服务涉及以下两类敏感个人信息：
处理目的：为家长/监护人提供婴幼儿日常照护记录工具。
必要性说明：宝宝的月龄、出生日期是计算喂养间隔、睡眠时长等的基础；不收集即无法提供本服务核心功能。
处理方式：
详细规则见《萌芽时光 儿童隐私政策》。
加粗提示：本小节仅在您主动启用"语音输入"功能（设置 → AI 语音 → 启用语音输入）后才适用。默认情况下功能关闭、不进行任何收集。
| 维度 | 说明 |
|---|---|
| 收集类型 | 仅"识别后文本"+"LLM 解析后的意图 JSON"；绝不收集原始音频；不存储任何 audio buffer / 录音文件 |
| 收集时机 | 您主动按下"语音"按钮 / Tile 时；松开 / 1.5s 静音 / 二次点击立即结束 |
| ASR 路径 | 平台原生 ASR（Android SpeechRecognizer / 鸿蒙 Speech Kit / iOS SFSpeechRecognizer），在系统进程内识别后立即清理音频 |
| 存储期限 | 30 天；期满由后端定时任务自动物理删除（utf8mb4 + KMS 全盘加密 + TLS 1.3） |
| 第三方共享 | 仅 LLM provider（cn：DeepSeek 国内部署 / OpenRouter 国内代理；global：DeepSeek-V3 / OpenAI / Anthropic Claude，由用户在设置中选择）；TLS 1.3；签署《数据处理协议》；不得用于训练模型 |
| 跨境 | cn flavor 永不出境；global flavor 严格遵守 GDPR 标准合同与 CCPA |
| 多娃隔离 | 宝宝姓名仅在客户端做模糊匹配，不外发；服务端 voice_text_logs.baby_id 与家庭真实 baby_id 一致 |
| 用户权利 | (1) 在"设置 → AI 语音"关闭功能；(2) 关闭"保留识别后文本"开关使后续不再记录；(3) 点击"立即清空已识别文本"立即触发后端 DELETE；(4) GDPR Art.17 / PIPL 第 47 条删除权——DELETE /api/v1/voice/logs 端点 + 客服邮箱 |
| 儿童保护 | 同 §9.1：语音中如涉及不满 14 周岁未成年人信息，按敏感个人信息最高标准保护，且绝不用于画像、推荐、广告 |
详细说明见《萌芽时光 用户协议》§九之一"语音输入与 AI 处理"。
涉及字段：体温、过敏信息、用户主动备注的健康状况描述。
处理目的：仅用于在 App 内向您和家庭成员展示，不做任何分析、不上传至 AI、不共享给医疗机构。
处理方式：
由于本服务核心场景涉及 14 周岁以下儿童（婴幼儿）信息，我们专门制定了《萌芽时光 儿童隐私政策》，使用通俗易懂的语言（不堆砌法律术语）说明：
请您在使用宝宝档案功能前务必阅读《萌芽时光 儿童隐私政策》。
手机 App 不使用浏览器 Cookie。我们在客户端使用以下类似技术：
以上技术均为提供本服务所必需，不用于跨设备追踪、不用于第三方分析。
本服务的核心场景是 14 周岁以下未成年人（婴幼儿）的信息记录，该等信息的法定监护人（一般为父母）才是 App 的注册用户，未成年人本身不直接使用本服务。处理该等未成年人信息适用《萌芽时光 儿童隐私政策》。
如您是 14 周岁以上未满 18 周岁的未成年人，您应在监护人陪同下使用本服务并阅读本政策。我们不主动面向 18 周岁以下未成年人提供本服务；如发现注册用户未满 18 周岁且无监护人同意，我们会要求其补充监护人同意或停止服务。
依据 PIPL 第 52 条，我们指定专门的个人信息保护负责人，负责对个人信息处理活动以及采取的保护措施等进行监督。
您可通过以上方式直接联系我们的个人信息保护负责人。
加粗承诺：萌芽时光 国内版（cn flavor）严格执行"国内数据国内存储、永不出境"原则。我们不进行任何跨境个人信息传输。
具体执行：
如未来我们的服务范围发生变化（例如开通海外用户跨境服务），我们将：
我们可能根据法律法规变化、产品功能更新等需要修订本政策。修订后的政策将通过以下方式通知您：
以下情形构成重大变更：
我们将在 App 内保留历次政策版本，您可通过"设置 > 关于 > 历史版本"查看。
如您对本政策、个人信息处理有任何疑问、意见、建议、投诉，或需要行使您的个人信息权利，请通过以下方式联系我们：
我们承诺：
如您认为我们的处理活动违反法律法规，您还可向以下监管机构投诉：
| 监管机构 | 投诉途径 |
|---|---|
| 国家互联网信息办公室（CAC） | 12377 网络违法和不良信息举报中心 / https://www.12377.cn |
| 工业和信息化部 | 12300 电信用户申诉受理中心 |
| 公安机关网络安全保卫部门 | 当地公安网安部门 |
| 市场监督管理部门 | 12315 全国市场监管投诉举报平台 |
| 消费者协会 | 12315 |
生效日期：2026-05-21（如实际上架日不同，上架时统一改）