Kkirok 隐私政策
施行日期：2026年10月21日
1. 处理的个人信息及使用目的
| 类别 | 处理项目 | 使用目的 |
|---|---|---|
| 会员注册·登录 | 电子邮件地址、Apple/Google 用户标识符、登录提供方、认证·会话令牌或其加密值/哈希值 | 身份确认、保持登录、账户保护 |
| 饮食记录 | 食物名称、餐次类别、记录日期、摄入量·热量·营养信息、目标热量 | 饮食的保存·查询·修改及提供统计 |
| AI 分析 | 用户选择的食物照片或搜索词、分析结果、图片哈希值、模型·处理时间·令牌使用量 | 食物识别、营养信息估算、质量改进与错误处理 |
| 用药·体重记录（可选） | 药物名称·实际单次剂量（mg）·用药日期·可选时间·时段·是否首次用药·可选备注，测量日期·体重（kg）·可选时间·时段，单独同意的版本·时间 | 管理单独同意的会员的用药·体重历史，并按日期与现有食物记录关联查询。不会将此信息传输给外部 AI·外部分析 SDK。 |
| 订阅 | 商品 ID、Apple 交易标识符、Google Play 购买令牌的哈希值·订单 ID·base plan·offer、订阅开始·购买·到期时间及状态 | Apple·Google Play 订阅验证、提供付费功能、防止重复·不正当使用 |
| 应用使用步骤记录 | 在设备上生成的随机使用流程标识符的服务器端哈希值、平台·应用版本、画面步骤及成功·失败、服务器接收时间 | 用于开始·认证·首次记录过程中的错误处理及可用性改进。在支持该功能的应用中，于使用服务期间传输至 Kkirok 自有服务器，不提供给广告商或外部分析 SDK。不包含食物名称·搜索词·照片·热量·药物·体重数值·广告标识符·账户标识符。 |
| iOS 安装·广告效果统计（可选） | 应用实例标识符、设备·操作系统·应用信息、首次启动·会话·应用更新等基本应用事件、因临时处理访问 IP 而得出的大致地区 | 通过 Google Analytics 和 Google Ads 衡量安装来源·广告效果。仅在支持此功能的 iOS 正式运营应用中，用户开启“共享安装统计”时才收集。不发送健康·饮食记录、照片、搜索词、电子邮件、Kkirok 账户 ID、广告 ID，也不用于广告个性化·再营销。 |
| 服务运营 | 请求时间、错误代码·处理状态、IP 地址的临时处理、使用量记录 | 安全、故障处理、使用量限制及防止不正当使用 |
仅在用户直接拍摄或选择时访问相机和照片图库。Kkirok 不在自有存储中保存原始照片，而是在内存中处理后用于 AI 分析请求。
2. 收集方式
应用使用步骤记录在启动画面·认证·搜索·分析·保存记录过程中自动生成。不显示单独的参与同意画面。使用不与账户关联的随机流程标识符，退出登录时重置当前流程并请求服务器删除。因通信失败未被删除的信息，也会在自开始接收起最多 30 天后清理。由于应用重新安装·多台设备·离线等原因，可能与实际用户数或安装数不同。
iOS 安装统计共享是一项单独的可选功能。 默认关闭，在个人资料设置中开启之前不会启动相应的 Google Analytics SDK。关闭后将停止此后的收集，并同时撤回广告衡量同意。即使不选择，也可以使用应用的其他功能。此统计与上述 Kkirok 自有服务器的“应用使用步骤记录”相互独立，不使用自动收集画面名称，也不收集广告 ID·设备供应商 ID（IDFV）。同样不使用 Google 信号、详细位置·设备信息收集及广告个性化。
用药·体重记录是可选功能。即使不单独同意健康信息的收集·使用，也可以使用现有的食物记录·搜索·订阅。可在该功能的同意管理中撤回同意，撤回后用药·体重历史将被删除，但现有食物记录将保留。
Apple 健康 App 体重同步与 Android Health Connect 体重同步是单独的可选功能。当用户同意 Kkirok 账户的健康信息处理及导入期间，并在健康应用中允许读取体重后，体重·测量日期与时间·来源以及用于去重·删除处理的识别信息将保存在账户的服务器上。Kkirok 不会向健康应用写入或删除记录，也不会将导入的健康信息提供给外部 AI 或广告分析。
Health Connect 仅请求读取用户所选期间的体重，不请求其他健康项目或向健康应用写入的权限。30 天之前的记录，仅在设备支持额外的历史记录读取权限且用户允许时才会导入。即使撤销权限或读取结果为空，也不会自动删除已导入的体重。
在支持断开连接·删除已导入体重的新版应用中，确认要删除的条数和期间后，删除已导入的体重（包括经修改或被选为代表值的导入记录）。仅删除从已断开连接的提供方导入的体重，直接输入的体重、从其他提供方导入的体重以及 Apple 健康 App·Health Connect 原始数据将予以保留。旧版本仅停止连接不会删除记录。用于防止重新导入已删除原始数据的最少原始识别信息及请求重试确认信息，在相应健康信息同意保持期间保存，并在撤回同意·会员注销时一并删除。测量值不保存在此删除确认信息中。
- 会员在应用中直接输入或选择照片的过程
- 在 Apple·Google 登录及 Apple 应用内购买·Google Play 付款过程中传递的信息
- 使用服务期间由服务器自动生成的最少使用·错误记录
3. 保留及使用期限
应用使用步骤记录： 自开始接收起最多 30 天。退出登录时请求删除该流程，灾难恢复备份最多保存 30 天。
可选 iOS 安装统计： 将 Google Analytics 的用户·事件数据保留期限设置为 2 个月，不使用因新活动而延长期限的功能。汇总的标准报告可能不适用此期限，导出到 Google Ads 的转化数据适用该服务的保留政策。撤回同意意味着停止此后的收集，并不意味着已传输的信息会被立即删除。删除·停止处理请求可通过下方联系方式提交。
- 账户·饮食·与用户关联的分析记录： 在会员使用期间保存，会员注销时立即从运营数据库中删除。
- 可选用药·体重健康信息： 在使用会员已同意的功能期间保存，单项删除·撤回同意·会员注销时从服务数据库中删除。在画面中隐藏并非撤回同意或删除。灾难恢复备份最多保存 30 天，恢复时将反映删除·撤回。
- 电子邮件验证码： 签发后 10 分钟内有效，仅以验证用哈希值处理。
- 可识别的运营日志及数据库备份： 最多保存 30 天。备份仅用于灾难恢复目的，恢复时将再次删除已注销用户的信息。
- 依法需要保存的交易记录： 合同·撤回要约及付款·供应记录 5 年，消费者投诉·纠纷记录 3 年，标示·广告记录 6 个月，可与其他信息分开保存。
4. 向第三方提供个人信息
运营者不出售个人信息，原则上不向第三方提供。但仅在用户另行同意或有法律依据的情况下，在必要范围内提供。
5. 委托处理及境外转移
| 受托方·转移国家 | 项目·目的 | 时间·方式 | 保留期限 |
|---|---|---|---|
| Anthropic, PBC 美国 | 用户已同意的食物照片或搜索词及分析提示词 AI 食物·营养分析 | 用户请求 AI 功能时通过 HTTPS 传输 | 根据标准 Anthropic API 政策，输入·输出在接收或生成后 30 天内删除。执行使用政策或遵守法律时可能存在例外 |
| Resend, Inc. 美国 | 电子邮件地址、验证码及验证邮件内容 发送会员注册身份验证邮件 | 请求电子邮件注册·重新发送时通过 HTTPS 传输 | 电子邮件数据 30 天。合同终止时适用受托方政策规定的删除程序 |
| Apple Inc. 美国 | Apple 用户标识符及 App Store 交易信息 Apple 登录·订阅付款及验证 | Apple 登录·购买·订阅状态变更时通过 HTTPS 处理 | 依据 Apple 账户·付款及相关法律规定的期限 |
| Google LLC (Google Analytics·Google Ads) 美国等 Google 的全球处理设施 | 可选 iOS 安装统计的应用实例标识符·设备/应用信息·基本应用事件及大致地区 衡量安装来源·广告效果。不包括健康·饮食记录、照片、搜索词、电子邮件、Kkirok 账户 ID 及广告 ID | 在个人资料中开启“共享安装统计”后由 SDK 通过 HTTPS 传输，并在与 Analytics 关联的 Google Ads 中以衡量为目的进行处理 | Analytics 用户·事件数据 2 个月（不因活动而延长）。汇总报告及 Ads 转化数据适用相应服务的政策 |
| Google LLC 美国 | Google 用户标识符及 Google Play 商品·购买令牌·订单·订阅状态 Google 登录·订阅付款及验证 | Google 登录·购买·订阅状态变更时通过 HTTPS 处理 | 依据 Google 账户·Google Play 付款及相关法律规定的期限 |
关闭个人资料中的“共享安装统计”即可停止安装统计的境外传输。即使拒绝，基本应用功能也不受限制。Google 的处理设施及保存方式可在 Firebase 隐私保护说明, Google Analytics 数据保护说明 及 Google 隐私政策中查看。
您可以不同意向 Anthropic 传输，或在应用设置中撤回同意。在此情况下，将无法使用照片分析和 AI 补充搜索，但可以使用直接输入和普通搜索等其他功能。
6. 销毁程序及方式
会员注销完成后，账户、饮食、与用户关联的 AI 分析·使用量·校正·搜索请求、会话及 OAuth 信息将通过单个数据库事务永久删除，运营服务中将不再访问或使用。不与用户关联的公共营养·搜索缓存及去标识化汇总信息可能会保留。
7. 用户的权利及行使方式
- 您可以在应用中查询·修改·删除自己的饮食记录。
- 可通过个人资料中的会员注销功能删除账户及关联信息。
- 可在个人资料中撤回外部 AI 数据传输同意。
- 可在受支持的 iOS 应用的个人资料中开启或关闭安装统计共享。
- 查阅·更正·删除·停止处理请求可通过下方联系方式提交。
自动续订订阅与账户注销相互独立，需在 Apple ID 或 Google Play 的订阅管理画面中取消；仅删除应用或注销 Kkirok 账户不会自动取消商店订阅。
8. 安全保障措施
运营者采取传输加密（HTTPS）、令牌加密或哈希存储、访问权限限制、管理员认证、数据库备份及错误记录检查等合理的保护措施。
9. 未满 14 周岁的儿童
Kkirok 不面向未满 14 周岁的儿童提供，如得知属于此类用户的信息，将在进行必要确认后删除。
10. 政策变更
如因法律或服务变更而修改本政策，将在施行前通过应用或服务画面进行通知。重要变更在必要时将另行征得同意。
11. 个人信息咨询
运营者： JHSoft
电子邮件： kkirok.app@gmail.com