小暖AI隐私政策

一、适用范围与基本原则

本政策适用于小暖AI Android应用、iOS应用、相关后端接口及由我们运营的配套服务。不同平台、版本和服务端配置提供的功能可能不同；仅当你的平台支持、你主动使用或授权相应功能时，我们才会处理该功能所需的信息。我们依据合法、正当、必要和诚信原则处理个人信息，仅收集实现明确功能所必需的信息，并采取与风险相适应的安全措施。

若某项可选功能需要处理额外信息，我们会在启用时另行告知；依法需要单独同意的，我们会取得单独同意。拒绝可选处理不影响其他不依赖该信息的功能。

二、我们处理的信息及用途

2.1 账号、年龄与告知确认

2.2 对话、语音、游戏画面与长期记忆

iOS看屏范围与风险：ReplayKit屏幕广播可能取得你在广播期间切换到的其他应用画面、通知或其他屏幕内容，并非技术上只限于所选游戏。请勿在广播期间展示账号密码、支付、聊天等私人内容；可在进入敏感页面前通过系统控制停止广播。应用按需提取单帧或短时间窗口多帧图片，上传我们的服务器及实际启用的视觉理解服务，用于回答画面问题或生成主动陪玩反馈，不上传完整屏幕视频。当前iOS广播扩展仅处理视频帧，不处理系统广播中的应用音频或麦克风音频；语音对话由主应用在你授权麦克风并开启通话后采集。

游戏选择与启动：iOS热门手游是精选目录，不是读取你的最近游戏使用历史。为提示是否需要安装及尝试启动游戏，应用会通过系统允许的URL Scheme查询相应游戏的可启动性，并在本机保存你对特定游戏已安装的确认；查询结果不一定能准确判断全部游戏的安装情况。应用不枚举或上传完整已安装应用列表。你选择的游戏标识会随看屏请求提交，用于匹配游戏理解配置；当前版本不会根据你切到其他游戏而自动更新该标识。跳转游戏或App Store后，对应第三方服务按其自身规则处理信息。

文字、图片、语音与第三方AI：为了生成回复，服务可能将你提交的文字、语音转写、图片、按需屏幕帧及必要上下文传输给本政策列明的实际启用服务商。你不应提交无权提供的他人个人信息；拒绝或撤回此项可选处理时，依赖该处理的功能将不可用。涉及向第三方AI提供个人信息的，应在传输前向你清楚告知接收方和用途并取得明确授权；同意系统麦克风或录屏权限本身不等于同意所有第三方数据处理。

模型训练：我们当前不将你的敏感个人信息交互数据用于训练自有模型。若未来用途发生变化，我们将依法更新告知并在需要时取得单独同意。第三方模型仅应在提供服务所需范围内处理数据，其具体规则以我们与供应商确认的服务条款及数据处理安排为准。

2.3 本地处理和保存的信息

你在文字聊天中主动选择的图片经压缩后保存在应用本地，用于本机展示和发送，并可能在你未主动清理时长期保留；清空聊天页面时会删除相应本地图片，清除应用数据或卸载应用也会依系统机制删除。服务端聊天记录仅保存图片消息的必要记录，不保存图片文件本身。

Android端在相应版本提供该功能时，你主动录入的声纹特征用于区分用户本人语音与游戏外放等声音，原则上仅在设备本地处理和保存，不上传我们的服务器。声纹属于敏感生物识别信息；你可以通过应用功能或清除应用数据删除，并可不启用该功能。当前iOS版本不提供声纹功能。

iOS端还会在App Group本地写入最新屏幕帧及必要时间戳、广播会话信息，用于主应用读取和帧有效性判断；这属于本地滚动缓存，不是完整录屏文件。停止广播后不再接收新的广播帧，磁盘缓存是否清理由实际功能与系统机制决定。动态图片和游戏图标可由Kingfisher保存在内存及磁盘缓存；活力余额、显示开关和游戏安装确认等偏好也可能按账号或环境缓存在本机。

iOS端使用系统钥匙串（Keychain）在设备本地安全保存登录会话凭证等必要信息；应用还会生成不直接识别你身份的安装标识，用于产品统计、故障关联和防滥用。退出登录或注销账号时，应用会按功能清理或使相关会话凭证失效；卸载通常会删除应用容器内的数据，但Keychain内容不一定随卸载删除，不能以卸载替代注销或服务端数据删除。

2.4 安全、运营和工单信息

2.5 紧急联系人（敏感个人信息）

紧急联系人姓名、关系和手机号由你自愿填写并单独同意，采用字段级加密保存。未设置不影响正常使用；你可以随时修改或删除。系统不会因单一关键词自动短信或外呼。仅在识别到严重且紧迫的现实安全风险后，授权人员可基于人工复核、填写访问理由并留存账号、IP和时间后查看。

你应当确保有权向我们提供联系人的信息，并建议事先向联系人说明提供目的。联系人如要求查询、更正或删除其信息，可以通过本政策联系方式提出。

2.6 消息推送

为在应用未打开或进程被清理时仍能向你送达必要提醒，我们在你允许系统通知并登录后，可能接入相应平台的推送通道：Android端按设备品牌使用华为、小米、OPPO、vivo或荣耀等厂商通道；iOS端在相应版本实际提供远程通知时才使用Apple推送通知服务（APNs）；实时活动（Live Activity）可通过本机更新展示进行中的服务状态，并不意味着已注册或上传远程推送令牌。我们会向服务器登记相应通道签发的推送令牌（token）及必要的设备与应用信息。

推送内容以服务相关提醒为主（例如一段时间未使用后的回访问候、后续上线的活力或到账类通知等），不做垃圾营销群发。同一账号在多台设备登录时，业务发送默认只投递到最近登记的一台设备，避免多机同时收到相同提醒。你可以随时在系统设置中关闭通知，或在应用「设置 → 主动联系」中关闭回访类提醒；关闭后我们不会再向你发送对应类型的推送。账号登出或注销时，我们将停用或删除与账号关联的推送登记。

2.7 订单、装扮授权与购买流程统计

目前装扮购买及其交付功能仅在Android相应版本提供；本段不表示iOS已开放购买或支持权益互通。浏览、付款、下载和售后各按实际发生的功能处理相应信息，不因本政策更新而自动创建订单或扣款。

我们依据履行你主动订立或请求订立的交易所必需、履行法定义务，以及依法取得的同意等适用依据开展相应处理，不将无关营销同意与购买捆绑。拒绝非必要处理不应影响依法提供的交易服务；行使信息权利可通过第七条渠道提出。订单交付、退款核验及依法保存必要凭证，不因你停止可选功能而当然免除或提前删除。

三、自动化判断与安全干预

服务使用本地规则及模型输出处理机制进行内容安全、危机风险、过度依赖、游戏语境和好感增量判断。可能采取停止调用模型、替换为固定安全回复、强化AI身份提醒、暂停好感加分、生成审计事件或提交人工复核等措施。

这些机制不用于基于敏感特征实施不合理差别待遇，也不替代医疗、心理、公安或金融专业判断。若你认为年龄识别、账号限制或安全判断有误，可通过App内申诉入口申请人工处理。

四、设备权限

4.1 Android端

4.2 iOS端

你可以在系统设置中撤回权限。撤回不影响撤回前基于同意已经进行的处理，但相应功能可能无法继续使用。

五、委托处理、共享、转让与公开披露

为提供服务，我们可能在最小必要范围内使用以下类型的服务商，实际启用项会随可用性和配置调整：

支付接收方进一步说明：微信支付服务由财付通支付科技有限公司提供，处理必要的订单、交易及支付安全信息，详见财付通隐私政策及其中的联系方式；微信OpenSDK由深圳市腾讯计算机系统有限公司提供，适用上表所列SDK规则。支付宝App支付客户端SDK由支付宝（杭州）信息技术有限公司提供，支付服务由支付宝（中国）网络技术有限公司提供；SDK规则详见支付宝App支付客户端SDK个人信息处理规则，支付账户相关规则与联系方式以支付宝收银台及其隐私政策入口展示为准。SDK及支付机构可按各自规则处理完成唤起、支付和风控所需的设备、应用及网络信息；我们仅向你选择的渠道提交支付所需参数，不将你的聊天、记忆或完整装扮使用历史作为订单参数提供。

对真正属于受托处理的服务，我们通过合同、权限控制和安全措施要求受托方按约定目的处理；支付机构为自身支付账户、清算和风险管理依法独立处理的信息，适用其自身规则，不一概视为我们的受托处理。向其他个人信息处理者提供信息前，我们依法履行接收方、目的、方式和种类告知，并在依法需要时取得单独同意；不得仅以同意本政策代替必要的单独同意。具体模型名称、备案号或上线编号将在取得并核验后依法公示。

我们不会出售个人信息。发生合并、分立、重组、资产转让等需要转移个人信息的情形时，我们将依法告知接收方并要求其继续履行本政策；处理目的或方式变化的，将重新取得必要同意。除依法必须或为保护生命健康和财产安全所必需外，我们不会公开披露个人信息。

当前服务原则上在中华人民共和国境内处理和存储个人信息；如未来确需向境外提供，我们将依法履行告知、单独同意及相应合规程序。

六、存储地点、期限和删除

业务数据库和服务器位于中国境内。我们仅在实现本政策目的所需的最短期限内保留信息；法律法规另有要求、争议解决或网络安全日志依法需要留存的，从其规定。

交易售后与一般反馈记录应按其实际目的分别管理；一般工单的注销清理不意味着依法需留存的交易凭证也同时删除。备份与依法限制删除的数据实行访问限制，不因保留而用于无关营销。

七、你的个人信息权利

• 查阅和复制：通过账号页“导出我的数据”取得账号资料、聊天、记忆和脱敏联系人等JSON副本。
• 交易信息与售后：通过“我的订单”和订单详情查阅交易、付款及售后状态；申请复制订单、逐单确认或其他未包含在通用JSON导出中的交易记录，可发送邮件至support@xuanjismart.com。我们核实身份后依法提供，不要求你提交支付密码。
• 更正和补充：修改账号资料及紧急联系人；其他更正请求可联系我们。
• 删除：通过“清空记忆”删除长期记忆及相应可删除的对话数据，通过联系人页面单独删除联系人，或注销账号删除账号及关联数据。聊天页“清空消息”仅用于隐藏并清除本机聊天展示，不会同步清空小暖记忆。
• 撤回同意：关闭系统权限（含通知）、关闭「主动联系」、删除紧急联系人或停止使用相应可选功能。
• 解释与申诉：对年龄、账号或自动化安全判断提出申诉，并查询处理状态与答复。
• 投诉和举报：通过App内“投诉、举报与申诉”入口提交，取得工单编号。

为保障账号和他人信息安全，我们可能在响应请求前核验身份。一般在15个工作日内答复；法律法规另有规定的除外。无正当理由拒绝处理时，我们会说明原因。

退出登录、卸载或停止使用不等于注销、退款或立即删除所有交易记录。注销前可保存订单凭据并联系处理未结售后；注销不等于放弃法定退款或索赔权利。对依法不能立即删除的必要记录，我们说明原因、限制用途并按第六条处理。撤回同意不影响此前依法进行的处理，也不替代必须履行的交付、退款及法定留存义务。

八、未成年人保护

如监护人发现未成年人向我们提供了个人信息，请立即联系我们，我们将核实并依法删除或采取其他必要措施。

九、AI身份、生成内容标识与用户责任

登录页和互动界面会通过文字或AI角标提示小暖为AI虚拟角色。文本、语音和视觉表现可能由人工智能生成，可能存在不准确、不完整或不适当内容，请勿将其作为医疗、心理、法律、金融或紧急决策依据。

提供生成内容下载、复制或导出能力时，我们将根据届时适用规则落实显式或隐式标识。你不得恶意删除、篡改、伪造或隐匿依法添加的AI生成合成内容标识；向外发布AI生成内容时，应依法履行声明和标识义务。

十、安全措施与事件处置

我们采取HTTPS传输、访问控制、最小权限、敏感字段加密、密钥管理、日志审计、内容安全检测、风险分级及人工复核等措施。互联网服务不存在绝对安全；发生或可能发生个人信息泄露、篡改、丢失时，我们将依法采取补救措施并履行通知或报告义务。

十一、政策更新

发生处理目的、信息种类、使用方式或用户权利重大变化时，我们将通过应用内提示或其他显著方式告知；依法需要重新同意或单独同意的，在取得同意后实施。若你不同意更新，可以停止使用相关功能或注销账号。

网页上线或修订日期变化本身不表示你已经同意新处理。新增订单、支付、授权或统计处理应与实际开放的功能相符，在开展前完成必要告知、确认及相应留痕；拒绝无关的新处理，不作为拒绝处理既有订单合法售后请求的理由。

十二、联系我们

如你对个人信息处理有疑问、希望行使权利，或代表紧急联系人提出请求，请通过上述渠道联系我们。对我们的处理不满意时，你也有权向履行个人信息保护职责的部门投诉举报。