隐私政策 — Noeta

Noeta 由深圳市宇渡智能科技有限公司运营（下称“我们”或“运营方”）。Noeta（下称“本应用”）是一款帮助你私密记录身边的人、并提供 AI 辅助洞察的笔记应用。我们只收集运行应用所必需的信息，并让你掌控自己的数据。

1. 我们收集的信息

账号信息。 本应用无需账号即可使用。如你选择 Apple 登录，我们会获得一个用户标识，并可能获得姓名和邮箱（Apple 可能以中转方式提供），用于保护和管理账号。账号不承载你的记录。
你创建的内容。 你的记录、人物、关系、分析、对话、使用足迹、图片和音频主要保存在设备上，不用于多设备内容同步。测试期间，已登录测试账号会覆盖式上传一份最新诊断快照，包含结构化的记录、人物、关系、转写和 AI 结果；不包含图片或音频文件本体。快照与测试账号关联，仅供开发团队复现和修复内测问题。你主动使用 AI 功能时，仅完成该次请求所需的上下文会通过加密传输发送给所配置的 AI 服务商处理。事件分析可能包含与本次事件相关、数量受限的一跳人物关系及其本地支撑记录；默认不会发送整张关系网。所配置的服务商取决于你的语言与地区设置及网络信号（服务端可能根据请求的网络地址返回一个粗粒度地区提示——中国大陆或国际——应用只保存该提示、不保存地址）：中国大陆请求会在适用的抽取、读图和语音任务中使用境内服务商，并可能按下文说明使用 Anthropic 完成分析或对话；国际请求只路由至国际服务商。服务商是否留存及留存期限以其适用条款为准，Noeta 不承诺所有服务商都为零留存。在受支持的 Apple 设备上，导入音频会优先在设备本机转写；若本机能力不可用或失败，Noeta 会先征得你的同意，再通过加密连接将该音频发送给配置的 AI 转录服务商。拒绝不会删除设备上的原始录音。在中国大陆地区使用实时语音输入时，说话音频流仅在你口述期间通过加密连接发送给境内运营的语音识别服务商，只用于生成转写文本；Noeta 自己的服务器不会接收或存储这些音频。为提升人名识别准确率，你人物列表中的称呼与别名可能随该请求一并发送。云端服务不可用时（以及国际地区），识别改在设备本机进行。在任何私人内容发送给云端 AI 处理前，Noeta 会展示带版本的明确说明，列明可能发送的数据、接收方和用途，并让你选择「允许 AI 处理」或「暂不允许，仅本地记录」。在你允许前，不会发送私人内容；拒绝不会影响本地记录。你之后可在「我」→「隐私与数据」→「云端 AI 数据处理」 随时允许或撤回；撤回后，新的文字、读图、向量化、音频文件转写及实时云端语音请求都会被阻止。根据你主动请求的功能、语言与地区，相关内容可能由以下一家或多家已列明的 AI 服务商处理： 火山引擎/字节跳动（豆包/方舟）、阿里云（通义千问/百炼）、Anthropic（Claude）、 Google（Gemini）和 OpenAI。国际地区内容不会路由给中国大陆服务商。除上文单独说明的实时语音路径外，请求可能先经过 Noeta 运营方控制的代理或网关，再到达被分配的服务商。我们依据适用的服务条款和数据处理条款选择并配置这些服务商，要求其仅为提供你请求的功能而使用相关数据，并依照与本政策一致的合同与安全义务提供保护。
匿名产品使用数据。 默认情况下，本应用为这次安装随机生成一个匿名标识，并记录页面访问、语义操作、操作顺序、前台有效停留时长、成功/失败、应用版本和平台。该标识不与账号关联；不会包含记录正文、人名、转写、AI 结果、图片、音频、文件名或本地路径。你可以随时在「我」→ 「隐私与数据」→「匿名使用数据」关闭；关闭时也会删除设备上尚未上传的埋点。该开关与上述已登录测试账号的诊断快照相互独立。
AI 服务运行与额度数据。 AI 请求使用另一段随机安装标识；服务端用带密钥哈希将其转换，只保存不可逆的哈希和一段短客服识别码。我们会记录 AI 能力、服务商/模型、状态、延迟、请求字节数、成本权重、是否重试/失败阶段和时间等运行元数据。为执行并向你展示内测额度，我们还会保存额度余额、兑换码兑换记录及匿名邀请关系。邀请关系使用邀请人与被邀请人的同类不透明额度主体、机器生成的邀请码、登记时固化的双方权益、状态及用于确认首个事件的不透明标记，不包含账号或内容数据。设备会上传本地事件、人物和用户对话消息的聚合数量。分析事件时，设备会上传由本地事件 ID 计算出的 SHA-256 不透明标记，用于在不接收本地原始 ID 的情况下统计成功分析和重新生成次数。这些服务运行记录不包含记录或对话正文、人名、转写、AI 输出、图片、音频、文件名、本地路径、鉴权信息或原始安装标识，也不与账号关联。由于不透明额度标识在这次安装期间保持稳定，这些记录可以持续归属于同一次安装；除非未来另行上线并披露账号迁移，否则不会与账号关联。真正首次安装时，你可以自愿输入一枚独立发放的归因邀请码。我们会保存该码的活动/渠道标签、同一不透明安装主体和归因时间，仅用于统计匿名获客来源。它不发放权益，不会占用或阻止之后绑定朋友邀请码，也不包含你的记录、人物、对话或 AI 结果。额度与邀请记录用于提供额度和客服支持；只有你输入归因码时才会生成来源归因记录。两者均不受可选的「匿名使用数据」开关影响。
可选通知数据。 首次打开时，Noeta 会另行询问系统通知权限；只有你允许后，Noeta 才会生成一段随机安装标识，并把 APNs 设备 token、通知偏好、地区语言、App 版本以及发送/点击状态发送到我们的服务器。该标识与匿名埋点和额度标识分离，不与账号关联；Apple Push Notification service 会接收 token 和通用通知 payload 以完成投递。富媒体通知可能包含由 Noeta 运营人员上传、托管在 Noeta 受控域名的活动图片、音频或视频链接，设备会从该域名下载。通知绝不会包含你的人名、记录、关系详情、侧写、对话或用户创建的图片/音频内容。你可以在「我」→「使用偏好」或 iOS 系统设置中关闭。
订阅与支付数据。 若订阅支付功能开放且你主动购买，我们会处理上述同一份不可逆额度主体哈希与客服识别码、所选套餐、订单号、价格与币种、支付渠道、支付/续费/退款/撤销状态、平台交易标识（Apple 场景下可能包含原始交易标识）、权益起止时间，以及用于安全校验和对账的必要元数据。按 App Store 隐私申报口径，购买记录会持续关联同一安装的不透明额度主体，因此按“与用户关联”申报，用于 App 功能、恢复购买、退款、安全与反欺诈、税务及法定对账；不用于广告或跨 App 跟踪。当你在另一台设备上使用同一 Apple ID 恢复有效订阅时，服务端可能根据已验真的 Apple 原始交易标识，把当前会员权益迁移到新安装的不透明主体；这一过程不会传输或恢复你的本机记录。支付审计不保存原始安装 UUID、硬件标识、Apple 账号、微信身份，也不保存你的记录或对话正文。iOS App 内购买由 Apple 处理，受支持的 Android 微信支付由财付通/微信支付处理，并分别适用其隐私规则。我们不会获得你的完整银行卡号、支付密码或 Apple/微信账号密码。支付入口受远程开关控制，在功能测试期间可能保持不可用。

2. 我们如何使用信息

用于提供和维护应用（含登录、订阅权益发放、支付对账、退款处理和内测问题诊断）；提供 AI 辅助功能（为此，相关内容会由我们和/或受信任的第三方服务商处理，仅用于产出结果）；保持服务稳定与安全；响应支持请求。我们不将内容用于广告，也不出售你的数据。

3. 本机存储、系统备份与加密迁移

你的内容主要保存在设备上，Noeta 不提供主动的多设备内容同步。测试期间，已登录测试账号的最新结构化诊断快照会按上述说明保存在 Noeta 服务器。若你开启 Apple 系统设备备份，本地内容可能在 Apple 和你的控制下进入系统备份。你可以在 Noeta 开启“仅手动备份模式”并请求系统排除私有目录；但若设备丢失或损坏且没有有效备份，内容可能永久丢失。你可以导出带密码的 .noeta 加密备份，也可以在明确同意后把最新一份密文保存到自己的 iCloud Drive（iOS）或系统选择的云盘目录（Android）。手动云端备份在完成设置后始终可用；自动备份需另行主动开启，并在应用活跃期间执行。云端只保留最近一份已成功校验的备份。所选云盘服务商会收到密文文件及文件名、大小、修改时间等普通文件元数据；Noeta 服务器不会收到备份文件或恢复密码，也无法找回密码。重装或换机后，iOS 使用同一 iCloud 账号，Android 重新选择同一云盘目录，再输入恢复密码即可恢复。

4. 信息共享

我们只会在提供服务所必要的范围内，向协助运营本应用的服务商共享信息，包括已列明的 AI 服务商 火山引擎/字节跳动、阿里云、Anthropic、Google 和 OpenAI，以及云托管、Apple App 内购买、微信支付服务商。我们通过合同和技术措施限制其仅用于提供所请求的服务，并要求其依照与本政策一致的保护义务处理；法律要求时除外。绝不出售你的数据。

5. 留存与删除

测试诊断表对每个账号只保留一份覆盖式最新快照；注销账号时删除，并在测试诊断计划结束后移除。匿名产品事件、AI 调用日志、客户端错误诊断和已结算的成本权重流水最多保留 90 天；通知发送与点击记录同样最多保留 90 天，运营人员上传的活动媒体也可能保留并可访问最多 90 天。APNs token 和独立通知安装标识仅在通知开启期间保留；用户关闭或 APNs 明确报告 token 失效后会停用。测试期额度/ 客服支持运行期间，服务端可能继续保留不可逆的额度主体哈希和客服识别码、当前额度余额、兑换码兑换记录、匿名邀请关系、可选来源归因记录、最新聚合库存数量及不透明事件分析计数，以保持额度、邀请奖励、重新生成次数和客服恢复准确。设备上的内容在你删除应用或应用内清除时移除。已登录用户可直接在应用内永久删除账号及全部账号资料：「我」页 → 账号卡片 → 「删除账号」。删除即时生效且不可恢复；我们仅保留安全或法律合规所需的有限记录。也可通过下方联系方式申请删除。支付与交易记录可能因对账、退款、税务、反欺诈及其他法定义务，在停止使用或账号注销后继续保存相应法定期限；我们只保留完成上述目的所必需的信息。

6. 安全

加密传输（HTTPS/TLS）；服务器端数据以访问控制保护。

7. 你的选择

可不登录使用（不产生账号关联诊断快照）、在不影响本地记录的情况下明确允许或撤回云端 AI 数据处理、独立开关匿名使用数据、选择系统备份模式、导出或恢复加密备份、手动把最新密文保存到自己的云盘、单独选择开启或关闭自动云端备份、独立开关产品公告通知、退出登录，或分别注销账号和清除本机内容。

8. 儿童

不面向 13 岁以下（或你所在地区最低年龄）的儿童。

9. 变更

我们可能更新本政策，并会修改上方生效日期。

10. 联系

运营主体：深圳市宇渡智能科技有限公司

邮箱：support@noetaapp.com