隐私政策
消费者健康数据隐私政策：宝宝的体温、用药、成长等记录属于健康类数据。美国华盛顿州、内华达州等地法律要求单独说明我们如何收集和共享这类数据，见 第 9 节 消费者健康数据隐私政策。
一页看懂
- 不开家庭同步时，记录只在你的设备上。不用登录，记录不会上传，我们看不到。
- 开启家庭同步后，记录会上传。无论免费还是付费，只要你创建或加入了家庭，这个家庭的宝宝档案和记录就会存到我们在 Cloudflare 上的服务器（美国），以便在家人的设备之间同步。开启前，App 会说明上传什么、谁能看到，并请你明确同意。服务器端加密存储，但不是端到端加密，技术上我们能访问这些数据。
- AI 功能只在你同意后才用。它们只属于咕噜 Plus，第一次使用任何 AI 功能前会征求你的同意（一次同意覆盖全部 AI 功能）。用到时，转写后的文字、拍照录入的照片或汇总后的数字会发给 AI 处理方生成结果，宝宝的真实名字不会发给 AI。我们不保存这些请求的内容，包括照片。
- 没有广告，没有追踪。App 不接入任何广告、统计分析或追踪 SDK；我们不出售个人信息，也不为广告目的共享。
- 随时可以删除。在 App 的「更多 → 账号 → 删除账号」里即可删除账号，详见 第 7 节。
1. 我们是谁
咕噜（英文名 Gulu）是一款给父母和照护者用的宝宝记录 App，包括 iPhone App 和 Apple Watch App（Android 版将来推出）。咕噜由个人开发者 Zihan Tong 开发和运营。Zihan Tong 也是 App Store 上显示的销售者，并且是本政策所述个人信息的控制者。本政策中的「我们」即指 Zihan Tong。
- 联系邮箱：support@bygulu.com
咕噜有三个档位：免费版（本机全部功能，以及每个家庭最多 3 台手机或平板的家庭同步）；咕噜 家庭版（付费，超过 3 台设备的同步和 Apple Watch）；咕噜 Plus（付费，家庭版的全部功能加上 AI 功能）。
本政策适用于咕噜 App 和它连接的咕噜服务器（统称「服务」）。咕噜不在中国大陆和欧盟提供。
2. 不开家庭同步：数据留在本机
- 只在一台设备上使用、不开家庭同步时，不需要登录，也不需要创建账号。你录入的宝宝档案和记录只保存在这台设备上，不会上传到我们的服务器，我们看不到。
- 一旦你创建或加入家庭（免费家庭也一样），这个家庭的宝宝档案和记录就会上传，见 第 3 节。
- App 可能会向我们的服务器请求一份公开配置（例如可购买的商品信息）。这个请求不包含你的记录或其他个人信息，但和任何联网请求一样，我们的托管商 Cloudflare 会看到你的 IP 地址等连接信息（见 第 3 节「服务日志」）。
- 导出的 CSV 文件和 JSON 备份由你决定保存或分享到哪里，我们收不到。App 在本机保存的 AI 录入日志和写入日志，也只在你主动导出时才离开设备。
- 如果你开启了系统的 iCloud 云备份或其他设备备份，本机数据可能会随设备一起备份。这些备份由 Apple 或 Google 按其各自的政策处理，我们无法访问。
- 删除 App 会删除设备上的咕噜数据（你另外保存的导出文件或系统备份除外）。
3. 我们收集的数据
只有在你登录、创建或加入家庭、购买订阅时，我们才会在服务器上保存数据。创建或加入家庭后（免费或付费），这个家庭的宝宝档案和记录会上传并在家人的设备之间同步。创建、加入或回到家庭之前，App 会说明上传什么、谁能看到、存在哪里、保留多久，并请你明确同意；你点「暂不」，就什么都不上传。
| 类别 | 具体内容 | 何时收集 |
|---|---|---|
| 账号 | 邮箱地址（统一格式后的形式和你输入的原样各一份），账号创建时间、最近一次登录时间。没有密码。 | 你用邮箱登录时 |
| 登录验证码 | 6 位一次性验证码只以 HMAC 摘要形式保存，不保存验证码本身。 | 你请求验证码时 |
| 设备 | 设备名称（你可以修改，例如「妈妈」）、平台（iOS、watchOS 或 Android）、设备令牌的哈希值，创建时间和最近活跃时间。 | 设备登录、加入家庭或配对 Apple Watch 时 |
| 家庭 | 家庭里有哪些账号和设备、谁是家庭 owner，以及邀请码。 | 创建或加入家庭时 |
| 宝宝档案和记录 | 宝宝档案（例如名字、出生日期）；记录（喂奶、睡眠、尿布、吸奶、体温、用药、疫苗、成长测量、辅食、备注），以及每条记录的时间和录入它的设备。 | 创建或加入家庭后，设备同步时 |
| 同意记录 | 你同意或撤回家庭同步、AI 功能的时间，以及所同意的同意书版本。 | 你在 App 里同意或撤回时 |
| 购买 | 购买咕噜 家庭版或咕噜 Plus 时：App Store 交易 ID、商品、到期时间、环境（正式或测试），以及一个随机生成的账单 UUID，用来把 Apple 的购买对应到你的家庭，它不含任何个人信息。我们收不到你的 Apple ID、付款卡信息或购买收据。 | 你购买或恢复购买时 |
| 防滥用 | 请求验证码时，我们保存「IP 地址＋每日更换的随机盐」的哈希值，用来限制请求频率，不保存原始 IP 地址。 | 你请求验证码时 |
| AI 请求 | 你使用 AI 功能时发送的内容（包括拍照录入的照片）只在处理过程中经过我们的服务器，不保存。服务器日志只记录状态、耗时、token 数量和照片的文件大小。详见 第 5 节。 | 你使用 AI 功能时 |
| 服务日志 | 我们的托管商 Cloudflare 会把请求日志（可能包括 IP 地址和 user agent）保留几天，用于服务运维；我们不把它用于其他目的。 | 每次连接服务器时 |
| 你联系我们时 | 你的邮箱地址、邮件内容，以及你主动附上的文件（例如导出的日志）。 | 你给我们发邮件时 |
我们不接入任何广告、统计分析或追踪 SDK，也不从数据经纪商或其他第三方获取关于你的信息。
4. 使用目的与法律依据
我们只为下列目的使用上述数据。「法律依据」一栏适用于英国等要求说明处理依据的地区。
| 目的 | 用到的数据 | 法律依据 |
|---|---|---|
| 登录和账号管理 | 账号、验证码、设备 | 履行与你的合同 |
| 家庭同步（含 Apple Watch） | 家庭、设备、宝宝档案和记录 | 履行合同；其中健康类数据以你的明确同意为依据（开启同步前征求） |
| AI 功能 | 见 第 5 节 | 你的明确同意 |
| 订阅和权益判断 | 购买 | 履行合同 |
| 安全、防滥用和服务运维 | 防滥用哈希、服务日志 | 正当利益（保护服务和用户） |
| 回复你的问题和请求 | 你发来的邮件和附件 | 正当利益；处理权利请求时为法律义务 |
| 保存同意和撤回的记录 | 同意记录 | 法律义务（证明已取得同意） |
| 遵守法律 | 法律要求的范围内 | 法律义务 |
我们不把你的数据用于广告、营销画像或数据挖掘，不出售，也不用它训练 AI 模型。
5. AI 功能
AI 功能只对开通咕噜 Plus 的家庭开放（咕噜 家庭版和免费版不含 AI）。第一次使用任何 AI 功能前，App 都会说明会发送什么、发给谁，并请你明确同意；一次同意覆盖全部 AI 功能。不同意不影响手动记录和其他功能。
5.1 语音、拍照和一句话录入
- 语音：语音由你设备的系统语音识别转成文字（可能由 Apple 或 Google 按其隐私条款处理），我们只接收文字，我们的服务器从不接收音频。
- 照片：拍摄纸质记录时，App 先在你的设备上识别照片里的文字，再把照片（缩小到长边 1024 像素，并去掉位置、拍摄时间、机型等附带信息）和识别出的文字一起通过加密连接发到我们的服务器，由服务器转给 Anthropic 识别记录内容。照片只用来识别这一次，识别完就丢弃：我们的服务器只在内存中处理，不保存到硬盘、数据库或日志；正式版 App 也不在手机上另存照片。照片只发给 Anthropic，不会发给其他 AI 处理方。照片里拍到的其他内容（例如别人的名字或笔迹）也会一起发送，拍摄时请只拍记录本身。
- 发给 AI 处理方的内容是这段文字（拍照时还有照片），加上少量上下文：宝宝的日龄、当前正在计时的项目、你使用的奶量单位、你的时区（用来把时间说对）。AI 把它们整理成记录条目，返回给 App。
5.2 AI 小结、异常提醒和儿保摘要
- 发送的是汇总数字：每天的喂奶次数和奶量、睡眠时长、尿布次数等；以及少量值得注意的记录及其时间：体温、用药名称和剂量、疫苗、成长测量、红屁股和备注文字；还有宝宝的日龄、你的时区（用来把时间说对）和语言（用来选择输出语言）。儿保摘要另外包含出生日期、预产期（用来计算日龄和早产矫正）和出生体重（如果填写了）。备注文字发送前也会先替换掉宝宝的名字。
- 备注是你自己写的文字。除宝宝的名字会被替换外，备注会原样发送；如果你在备注里写了其他人的名字或其他信息，它们也会被发送。
5.3 不发送什么
- 宝宝的真实名字不会发给 AI 处理方。AI 只会看到一个代称，App 在本机把结果里的代称换回真实名字。旧版本 App 可能仍会把名字发到我们的服务器；服务器会在请求到达任何 AI 处理方之前把名字去掉，也不会记录它。
- 你的邮箱、设备名称和其他账号信息不会发给 AI 处理方。
5.4 AI 处理方
- Anthropic, PBC（美国公司）：默认由它的 Claude 模型通过 API 处理 AI 请求。按照 Anthropic 的商业条款，通过其 API 发送的数据不会被用来训练模型，并会在 30 天内删除；被其安全系统标记的内容最多保留 2 年。拍照录入的照片也适用这一保留期。
- Cloudflare, Inc.（美国公司）：AI 请求经过我们托管在 Cloudflare 上的服务器转发；我们的服务器也可能改用 Cloudflare Workers AI 上运行的模型处理请求，但照片不会发给 Workers AI（改用它时只发送识别出的文字）。
在更换或新增 AI 处理方之前，我们会更新本政策、在 App 内通知你，并重新征求你的同意；你同意之前，不会把你的数据发给新的处理方。
5.5 保存与撤回
- 我们的服务器不保存 AI 请求和生成结果的内容（包括照片），服务器日志只记录状态、耗时、token 数量和照片的文件大小。AI 处理方按它与我们之间的服务条款处理这些数据（Anthropic 的保留期见上文 5.4）。
- 你可以随时在「更多 → 账号 → AI 处理授权」里撤回同意，之后 AI 功能停用、不再发送数据。撤回不影响撤回前已经完成的处理。
- AI 生成的内容可能出错，不构成医疗建议，详见 用户协议。
6. 处理方与跨境传输
以下是目前代表我们处理你数据的全部服务商：
| 服务商 | 用途与数据 | 所在地 |
|---|---|---|
| Cloudflare, Inc. | 托管服务器和数据库（Workers、D1），保存第 3 节所列的服务器端数据；转发 AI 请求（包括拍照录入的照片），并可能用 Workers AI 处理（不含照片）；保留服务日志 | 美国（数据库主库位于美国西部；请求经 Cloudflare 的全球网络传输） |
| Resend | 发送登录验证码邮件：你的邮箱地址和验证码邮件 | 美国 |
| Anthropic, PBC | AI 功能（默认的 AI 处理方）：第 5 节所述内容 | 美国 |
Apple 负责 App Store 的付款和订阅管理。你与 Apple 之间的交易适用 Apple 隐私政策；我们只收到第 3 节「购买」一栏所列的信息。
- 你的数据保存在美国，并在美国处理。如果你位于美国以外，你的数据会被传输到美国；美国的数据保护法律可能与你所在地不同，美国的法院和执法机关可能依据美国法律要求获取数据。
- 我们在更换或新增处理方前会更新本政策；更换 AI 处理方前，会按 第 5.4 节 通知你并重新征求同意。
- 除上述处理方外，我们只会在以下情况披露个人信息：法律要求或有效的法律程序；为保护你、其他用户或公众的人身安全所必需；咕噜整体转让给其他运营者时（我们会事先通知你，接手方须继续遵守本政策）。
- 我们不出售个人信息，不为定向广告共享个人信息，也不与数据经纪商往来。
7. 保留与删除
| 数据 | 保留多久 |
|---|---|
| 设备上的记录 | 直到你在 App 里删除，或删除 App。 |
| 账号 | 账号存续期间。删除账号时，邮箱立即与账号解除关联，剩余的账号记录在 30 天后彻底删除。 |
| 验证码摘要、防滥用哈希 | 7 天后删除。 |
| 设备 | 设备使用期间。设备退出登录或被移除后，其设备记录在 90 天后删除。 |
| 宝宝档案和记录 | 家庭在使用期间一直保留。以下情况下，家庭连同其全部宝宝和记录会被删除：家庭里所有设备都已退出，且 30 天没有任何活动；或家庭里最后一位成员删除了账号。你删除的单条记录会在服务器上再保留最多 30 天，以便这次删除同步到家里所有设备，之后彻底删除。付费方案结束后，超出免费额度的设备只是停止同步，数据不会因此被删除。如果家庭的付费方案已结束、且 90 天内没有任何设备同步过，我们可能删除这个家庭。 |
| 购买 | 家庭删除后，购买记录会与家庭解除关联但继续保留，以便付款人在新的家庭里恢复购买；它不含个人信息。保留到订阅最后一次到期后满 7 年（用于恢复购买、退款和对账），之后删除。 |
| 同意记录 | 账号存续期间（撤回后仍保留撤回记录）；随账号在删除后 30 天一并删除。 |
| AI 请求内容 | 我们不保存。 |
| 服务日志 | Cloudflare 保留几天。 |
| 与你的邮件往来 | 问题处理完毕后保留 2 年。 |
删除后的数据可能还会在数据库的恢复备份中保留最多 30 天，之后被覆盖。
删除账号
在 App 的「更多 → 账号 → 删除账号」里操作。删除后：
- 这个账号下的所有设备（包括 Apple Watch）立即退出登录，停止同步。
- 如果家庭里没有其他仍在使用的成员，这个家庭连同其中所有宝宝和记录立即从服务器删除。
- 如果家庭里还有其他成员，家庭会继续存在，你之前录入的记录对他们仍然可见；如果你是 owner，owner 身份会转给家里的另一个账号成员。如果你希望删除这些记录，请在删除账号前在 App 里删掉，或联系我们。
- 邮箱立即与账号解除关联；剩余的账号记录 30 天后删除，被撤销的设备记录 90 天后删除。
- 删除账号不会删除你手机上的记录。
- 删除账号不会取消 Apple 订阅。请在 iPhone 的「设置 → Apple 账户 → 订阅」中取消。
撤回家庭同步授权
在「更多 → 账号 → 家庭同步授权」里点「撤回授权」。撤回等于退出家庭：你的设备停止同步，之后不再上传；你之前录入、已经同步到家庭的记录仍留在家庭里，其他成员仍能看到。如果你希望删除这些记录，请在撤回前在 App 里删掉，或联系我们。以后再创建或加入家庭时，App 会重新征求你的同意。
8. 安全
- App 与服务器之间的通信使用 HTTPS（TLS）加密。
- 服务器上的数据由 Cloudflare 进行静态加密存储。
- 同步数据不是端到端加密的。作为运营者，我们在技术上能访问服务器上的数据。我们只在运维服务、排查你报告的问题或法律要求时访问，服务器的管理权限只在开发者本人手中。
- 设备令牌只保存哈希值，登录验证码只保存 HMAC 摘要，防滥用不保存原始 IP 地址。
- 没有任何系统能保证绝对安全。如果发生影响你个人信息的数据泄露，我们会按适用法律的要求通知你和相关监管机构。
- 设备上的数据靠设备本身的保护（例如锁屏密码）。请妥善保管你的设备和邮箱。
9. 消费者健康数据隐私政策
本节是我们的消费者健康数据隐私政策，适用于受美国华盛顿州《我的健康我的数据法》（My Health My Data Act）、内华达州 SB 370 等法律保护的消费者，是本隐私政策的一部分。对这些消费者，本节与本政策其他部分不一致时，以本节为准。
我们收集哪些消费者健康数据，用于什么
- 宝宝的体温、用药（名称和剂量）、疫苗、成长测量（体重、身长、头围）；喂奶、辅食和进食反应、睡眠、尿布（包括便便颜色、性状和红屁股）；以及备注中与健康有关的内容。
- 吸奶记录，它可能反映哺乳者的健康状况。
- AI 根据上述数据生成的 AI 小结、异常提醒和儿保摘要（我们的服务器不保存这些结果）。
只有在你创建或加入家庭（免费或付费）后，这些数据才会到达我们的服务器。我们收集和使用它们只为两个目的：在你家庭的设备之间同步；对开通咕噜 Plus 的家庭，在你同意后生成 AI 结果。不开家庭同步时，这些数据只在你的设备上，我们不收集。
数据来源
你和你家庭中的其他成员在 App 中录入的内容；以及 AI 根据你提供的文字和照片整理出的记录条目。
我们与谁共享
- 你邀请加入家庭的成员：家庭里的任何成员都能看到这个家庭的全部记录。
- 处理方：云托管和数据库服务（Cloudflare）、AI 处理服务（Anthropic；以及我们的服务器可能改用的 Cloudflare Workers AI），它们只代表我们、按我们的指示处理数据。
- 我们没有关联公司，不出售消费者健康数据，也不与上述以外的任何第三方共享。
同意
- 创建、加入或回到家庭之前，App 会说明上传哪些数据（包括健康类记录）、家庭里谁能看到、存在哪里、保留多久，并请你明确同意；你点「暂不」，就什么都不上传。我们只在提供家庭同步所必需的范围内收集消费者健康数据。
- 任何 AI 功能第一次把数据发给 AI 处理方之前，单独征求你的同意（与家庭同步的同意分开）。
- 如果将来要超出上述范围收集或共享，我们会事先另行征求你的同意，并且收集的同意和共享的同意分别征求。
你的权利
- 确认我们是否在收集、共享你的消费者健康数据，并获取这些数据，以及与我们共享过这些数据的全部第三方和关联方的名单和联系方式。
- 随时撤回同意：家庭同步在「更多 → 账号 → 家庭同步授权」里撤回（等于退出家庭，见 第 7 节）；AI 功能在「更多 → 账号 → AI 处理授权」里撤回。
- 要求删除。我们会删除服务器上的数据，并通知处理方删除；恢复备份中的副本会在最多 30 天内被覆盖。
- 行使这些权利不会使你受到区别对待。
如何行使
你可以直接在 App 里删除记录或删除账号；也可以发邮件到 support@bygulu.com，主题注明「消费者健康数据请求」。为了确认是你本人，我们会请你用登录咕噜的邮箱发信，或在 App 中确认。我们会在收到请求后 45 天内答复；如果确有必要延长，会在期限内告诉你原因，最多再延长 45 天。
如果我们拒绝你的请求，你可以在收到答复后回复该邮件提出申诉，我们会在 45 天内书面答复申诉结果及理由。如果申诉被驳回，华盛顿州居民可以向 华盛顿州总检察长办公室 投诉，内华达州居民可以向 内华达州总检察长办公室 投诉。
10. 你的权利
根据你所在地的法律，你可能有权：访问我们持有的你的个人信息、更正、删除、以可移植的格式获取、撤回同意、反对或限制某些处理，以及向监管机构投诉。
- 大部分操作可以直接在 App 里完成：修改或删除记录和宝宝档案，修改设备名称，导出 CSV 或 JSON 备份，撤回家庭同步授权，删除账号。
- 其他请求请发邮件到 support@bygulu.com。为了确认是你本人，我们会请你用登录咕噜的邮箱发信，或在 App 中确认。我们一般在 30 天内答复（适用法律规定的期限更短时，按该期限）；通常不收费。
- 家庭里的记录由所有成员共同录入和查看。处理涉及家庭记录的请求时，我们也需要考虑其他成员的权益。
11. 儿童
咕噜是给父母和照护者用的，不面向儿童，也不面向 13 岁以下的人。你需要是成年人才能使用咕噜（见 用户协议）。App 里关于宝宝的信息由你作为父母或照护者录入；请只为你有权照护的孩子建立档案。如果我们得知有儿童自己注册了账号，会删除该账号及相关数据。
12. 变更与联系方式
- 我们可能会更新本政策，并在本页更新「最近更新」日期。重大变更会在生效前通过 App 内通知或邮件告诉你。
- 如果变更涉及新的用途或新的处理方，并且法律要求你的同意（例如更换 AI 处理方），我们会先征求你的同意。
- 联系我们：Zihan Tong，邮箱 support@bygulu.com。
13. 地区补充说明
咕噜计划在美国、加拿大、澳大利亚、新西兰、新加坡提供（英国在第二批）。以下内容补充前文，适用于相应地区的用户。
美国
- 健康数据：华盛顿州、内华达州及其他保护消费者健康数据的州，见 第 9 节。
- 不出售、不共享：我们不出售个人信息，不为跨情境行为广告共享个人信息，不把敏感个人信息用于推断你的特征，也不为直接营销向第三方披露个人信息。
- 数据泄露：发生涉及健康类数据的泄露时，我们会按美国联邦贸易委员会《健康泄露通知规则》及各州法律的要求通知你和相关机构。
- 权利请求：你所在州的法律给予你的隐私权利，可以按 第 10 节 的方式行使。我们不会因为你行使权利而区别对待你。
加拿大（含魁北克）
- 健康类信息属于敏感信息。我们只在取得你明示同意后处理：开启家庭同步前，以及第一次使用任何 AI 功能前。
- 你的数据保存在美国并在美国处理，美国的法院、执法机关和国家安全机关可能依据美国法律获取。
- 负责个人信息保护的人：Zihan Tong，邮箱 support@bygulu.com。
- 你有权访问和更正你的个人信息，并撤回同意。
- 你可以向加拿大隐私专员办公室（priv.gc.ca）投诉；魁北克居民还可以向魁北克信息委员会（cai.gouv.qc.ca）投诉。
澳大利亚
- 我们按照《1988 年隐私法》中的澳大利亚隐私原则（APP）处理你的个人信息。
- 你的个人信息会披露给位于美国的处理方（见 第 6 节）。
- 你可以要求访问和更正你的个人信息。如果对我们的处理不满意，请先联系我们；30 天内未得到满意答复的，可以向澳大利亚信息专员办公室（oaic.gov.au）投诉。
新西兰
- 我们按照《2020 年隐私法》处理你的个人信息。你有权要求访问和更正。
- 你的个人信息由位于美国的处理方代表我们保存和处理（见 第 6 节）。美国的隐私保护可能与新西兰不同。
- 你可以向新西兰隐私专员办公室（privacy.org.nz）投诉。
新加坡
- 我们按照《个人数据保护法》（PDPA），在取得同意的基础上，为本政策所述目的收集、使用和披露你的个人数据。
- 数据保护负责人：Zihan Tong，邮箱 support@bygulu.com。
- 把数据传输到新加坡以外时，我们通过与处理方的合同条款，要求对方提供与 PDPA 相当的保护。
- 你可以撤回同意，要求访问和更正。你也可以向个人数据保护委员会（pdpc.gov.sg）投诉。