隐私政策

CaloriePilot 通过其网站和移动应用提供营养记录、身体数据追踪、图片识别和 AI 辅助功能。本隐私政策说明我们处理哪些信息、为何处理、如何共享，以及你可以作出的选择。

本政策为中文翻译版本；如有歧义，以英文原版为准。它适用于 CaloriePilot 账户、应用功能、支持互动，以及链接到本政策的公开网站功能。它不替代针对某一特定功能或权限另行展示的通知。

我们处理的信息

取决于你如何使用 CaloriePilot，我们可能处理以下类别：

• 账户与认证信息：邮箱地址、用户名、内部账户标识、认证提供方、社交登录标识、邮箱验证状态、会话信息和安全事件。当你创建密码账户时，我们会以受保护的形式存储密码；我们不会收到或存储你的 Google 或 Apple 密码。
• 营养与身体信息：餐食记录、食物选择、数量、营养值、身体测量、健康目标、收藏、自定义食物，以及你选择提供的相关日期或备注。
• 用户内容：提供某项你请求的功能所需的照片、文字、反馈、AI 提示、对话、草稿和 AI 生成结果。其中部分信息可能反映健康或饮食信息。
• 订阅信息：订阅权益、产品、交易引用、商店和状态信息。Apple 与 Google 处理支付交易，CaloriePilot 不存储完整的支付卡信息。
• 设备、应用与安全信息：平台、应用版本、平台提供的设备或安装标识、IP 地址、User-Agent、请求路径与状态、认证与滥用信号，以及错误或崩溃诊断。我们使用这些信息来运营、保护、排障并提升可靠性。
• 设备本地信息：应用可能会在本地保存缓存和排队的离线操作，以便页面快速加载、操作可重试。这可能包括缓存的餐食、身体、助手和账户相关数据。这些数据保留在设备上，直到应用清除或覆盖、你退出登录或删除账户、或卸载应用为止。缓存在其存储副本被物理移除之前可能已过期；清理为尽力而为，你仍应使用设备本身的常规安全控制。
• 抢先体验信息：如果你加入抢先体验计划，我们可能处理你的邮箱、平台偏好、主要目标、测试兴趣、同意时间，以及有限的活动信息（如 UTM 字段、落地路径和去除查询参数后的来源页面）。

我们如何获取信息

我们直接从你、从你使用的设备和应用、在你选择社交登录时从 Google 或 Apple、从 Apple 或 Google 及我们的订阅服务获取购买状态，以及从按我们指示处理数据的服务提供商处获取信息。当你联系支持或加入抢先体验时，我们也可能获取信息。

我们如何使用信息

我们将信息用于以下目的：

• 创建并保护你的账户、验证你的身份、维持会话；
• 提供餐食记录、食物搜索、身体追踪、图片识别、AI 辅助解析、摘要、个性化工具及你所请求的支持；
• 基于你提供的数据计算或展示营养与身体管理信息；
• 交付、验证、恢复并保护订阅访问；
• 发送验证、密码重置等事务性邮件；
• 回应反馈及隐私或支持请求；
• 监控性能、排查错误、防止滥用并保护服务；
• 满足法律、会计、审计和争议解决要求；以及
• 在你选择参与时，管理抢先体验邀请、产品更新和测试反馈。

法律依据与敏感信息

取决于你的所在地和所涉及的处理，我们可能依据与你履行合同、你的同意、我们运营和保护服务的合法权益，以及法律义务来处理信息。对于可选权限或通讯，你通常可以通过相应设置或联系我们撤回同意。当适用法律将营养、身体或其他信息视为敏感或健康信息时，我们使用该地区要求的额外法律条件，其中可能包括在需要时取得明确同意。

AI、图片识别及其他处理方

当你请求图片识别或 AI 辅助功能时，我们会将完成该请求所需的最少内容和上下文发送给相应的处理服务。当前服务架构可能使用云托管与存储、用于文字或 AI 处理的 DeepSeek、在助手判断需要时用于图片理解的 OpenAI、用于事务性邮件的 Resend、用于订阅状态的 RevenueCat、用于认证或商店服务的 Apple 或 Google、用于错误诊断的 Sentry，以及用于有限内部注册提醒的 Slack。可选 Redis 基础设施可能用于内部事件投递。

图片在发送包含它们的消息之前一直留在应用中。我们会将已发送的助手附件私密存储，并仅将所请求分析需要的图片字节发送给选定的处理提供商。我们的 OpenAI 图片请求使用store: false 请求设置；该设置不替代适用于该请求的提供商条款或账户级数据控制。我们不会把支付卡信息发送给 AI 提供商。AI 结果可能有误，你应在依赖之前进行复核。

我们何时共享信息

我们仅在实现本政策所述目的所必需时共享信息。这可能包括与代表我们行事的基础设施、托管、存储、AI、邮件、订阅、认证、诊断和安全提供商共享；在合并、收购、融资或资产转让中与专业顾问或承继方共享；以及为遵守法律、保护权利与安全、调查欺诈或滥用、或执行我们的协议所必需时共享。

新账户创建时，一条有限的内部提醒可能包含内部用户标识、用户名、邮箱、认证方式和邮箱验证状态。它被发送到受控的内部运营渠道用于账户与滥用监控，而非广告。

我们不出售个人信息，也不将其用于基于兴趣或跨场景的行为广告。如果这一点发生变化，我们会在将信息用于该目的之前更新本政策并提供法律要求的任何通知或选择。

跨境处理

CaloriePilot 及其提供商可能在你居住国以外的国家处理信息。当传输受监管时，我们使用合法的传输机制，并按适用法律要求提供适当的合同、技术或组织保障。可用机制可能取决于提供商、所涉数据和你的所在地。你可以联系我们，了解适用于你请求的保障的更多信息。

保留与账户删除

我们会在提供服务、维护账户安全、满足法律或会计要求、解决争议、执行协议和防止滥用所需的时间内保留信息。保留时长因数据类型而异，并在信息不再需要时缩短。

你可以在重新认证后在「设置」中发起账户删除。我们会立即令活动会话失效并移除账户访问。随后餐食记录、身体数据、自定义食物、收藏和用户可见的 AI 对话将不可用，相关的资料、AI 和图片引用在可行的情况下被脱敏或去标识化。图片对象可能不会在请求提交的那一刻被物理删除；它们通过受控的清理流程处理。受限的订阅、购买、安全、防欺诈和删除审计记录可能在必要时保留，且不会转移到新注册的账户。

导出文件是临时性的服务端文件。它们在 72 小时后过期，并受控清理以在 7 天内移除。删除 CaloriePilot 账户不会取消 Apple App Store 或 Google Play 订阅；你必须通过相应的商店取消。

你的选择与隐私权利

取决于你的所在地，你可能有权访问、更正、删除、限制、反对或获得个人信息的可携副本，并撤回同意或向监管机构投诉。在应用中，「设置 → 隐私与数据」提供导出、访问、更正和特定删除的请求。你也可以直接联系我们。我们可能需要验证你的身份，并可能适用合法例外。

导出文件包括账户资料、目标、餐食与身体记录、自定义食物、收藏、用户可见的 AI 对话、订阅状态和反馈。它们不包含密码、令牌、内部日志、管理员信息、他人的数据、支付提供商的原始载荷或 AI 提供商的原始响应。我们的目标是在适用法律要求的期限内、且一般在不超过 30 天内（如无更短期限）回应权利请求。

其他地区权利

如果你位于欧洲经济区、英国或瑞士，你还可能有权反对基于合法权益的处理、请求限制、撤回同意，并向当地数据保护机构投诉。你可以向我们索取与你数据相关的传输保障的更多信息。

如果你是加州居民，适用法律可能赋予你知情或访问、更正、删除，以及获取我们收集的个人信息类别的权利，并有权选择退出针对跨场景行为广告的出售或共享。我们不会为此类广告出售或共享个人信息。在适用时，你还可以请求限制对敏感个人信息的使用，并使用授权代理人。我们不会因你行使合法权利而区别对待你；我们可能核实请求并适用合法例外。

儿童

CaloriePilot 不以儿童为对象。除非你在法律上有能力同意所在地的服务条款，否则请勿使用本服务。如果当地法律要求父母或监护人授权使用，则必须在使用服务前取得该授权。

安全

我们采用合理的技术、管理和组织措施，旨在保护信息免遭未经授权的访问、丢失、滥用或篡改。没有任何互联网服务或设备存储能保证绝对安全。请保护你的设备、凭据和邮箱账户，如认为账户已遭入侵，请及时联系我们。

Cookie 与广告

公开网站可能使用站点运营、安全、偏好或你所请求功能所必需的 Cookie 或类似技术。我们不会将个人信息用于基于兴趣的广告。如果我们引入需要额外通知或同意的可选分析、广告或类似技术，我们会在使用前更新相应的通知。

本政策的变更

当服务、提供商、法律或我们的实践发生变化时，我们可能更新本政策。我们会发布新版本并更新日期和版本号。如果变更重大，我们会在法律要求时提供额外通知或请求重新接受。当前版本始终可在本页面和应用的法律页面查看。

联系

有关隐私、法律或支持的问题，请联系 support@mail.caloriepilot.net。请提供足够信息以便我们识别你的请求，但不要发送密码、验证码或支付卡号。