隐私政策

生效日期：2026年10月19日

mamama, inc.（以下简称“本公司”）制定本隐私政策（以下简称“本政策”），规定本公司提供的 iPhone 应用 Omakase Journal 及其网站所涉及的用户信息处理方式。

第1条 总则

1.1 本政策规定本公司在提供本服务时收集、使用、保存及提供用户信息的方式。

1.2 本公司遵守 APPI、日本《电气通信事业法》（1984年第86号法律）、其他适用法律法规及日本个人信息保护委员会发布的指引，并按照本政策妥善处理用户信息。

1.3 本政策同时作为 APPI 第21条规定的使用目的公告、APPI 第32条规定的有关保有个人数据事项的公告、日本《电气通信事业法》第27-12条规定的公告、GDPR 第13条规定应提供的信息，以及 CCPA 规定的收集时告知。

第2条 定义

本政策中，下表左栏的用语具有右栏所列含义。

第3条 运营者

3.1 根据本政策处理用户信息的经营者如下：

3.2 本公司作为 GDPR 及 UK GDPR 规定的控制者处理用户的个人数据。

第4条 适用范围与语言

4.1 本政策适用于本公司在本服务中处理的用户信息，以及本应用在设备上处理的用户信息。

4.2 本应用使用 Apple、Cloudflare, Inc. 及 AI 服务商提供的服务。本政策规定本应用或本公司向这些公司发送信息的方式。各公司自行处理该信息的方式受其隐私政策及其他条款约束。

4.3 本公司按照 APPI 及其他日本法律处理用户信息；在 GDPR、UK GDPR 或 CCPA 适用的情况下，也遵守相应法律。

4.4 本政策以日语、英语、德语、法语、意大利语、巴西葡萄牙语、西班牙语、印地语、印度尼西亚语、简体中文、繁体中文、韩语及阿拉伯语发布。各语言版本如有不一致，对居住在日本的用户，以日语版为准；对其他所有用户，以英语版为准。

4.5 本政策与本应用《使用条款》对用户信息的处理规定不一致时，以本政策为准。

第5条 收集的信息与收集方式

5.1 本公司和本应用以第5.2至5.5款表格所述方式收集或处理其中列出的用户信息。各表格逐项列明收集方式、使用目的、保存位置、保存期限，以及是否向设备外传输信息。

5.2 本应用在设备上保存下表列出的信息。当本应用设置中的“保存到 iCloud”处于开启状态（初始为开启），且用户已登录 iCloud 时，下列信息也会同步到用户自己的 CloudKit 私有数据库：日记条目（日记正文与草稿、聊聊记录、日记中记录的时刻与心情、日记中记录的线索、到访路线、随条目保存的当天天气预报、稍后询问的话题、Yoru 的便条、纪念日记录与 Yoru 的信，以及当天已使用的 AI 请求次数）；已登记的地点；贴纸账册与板面位置。原始位置历史记录和地点名称缓存保留在设备上。本公司无法查看同步的文字或路线。中继服务器会为外部 AI 处理转发第7.5款所述的信息，但不保存其内容。

5.3 本应用从设备的功能中读取下表列出的信息。此外，本应用会将用户选择的心情写入 HealthKit，详见“写入 HealthKit 的心理状态”一行。

5.4 本应用将下表列出的信息保存在 iOS 钥匙串、iCloud 键值存储或中继服务器的 Durable Object 中。

5.5 本公司在本公司或受托服务商的服务器或其他系统上收集下表列出的信息。

5.6 设备上的信息受 iOS 数据保护机制保护。“保存到 iCloud”开启时，日记正文、聊聊回答及到访路线会通过用户自己的 CloudKit 私有数据库在用户的设备之间同步。本公司不持有或查看这些内容，其他用户也无法访问。

5.7 从 HealthKit 读取的数据在设备上用于显示记录和选择问题。数据数值及根据这些数值生成的描述均不会保存在日记或 CloudKit 中，也不会发送给 AI。用户自行输入的健康相关表述，包括对 Yoru 根据健康数据提出的问题所作的回答，可能与其他回答一样包含在日记正文或聊聊记录中、同步到 CloudKit，并在取得外部 AI 同意后按撰写文字所需发送。这项变更不会自动删除或改写早期版本保存的日记正文。用户使用已保存的对话或日记继续撰写文字时，早期版本保存的健康相关文字仍可能包含在其中。

5.8 用户的回答及其他输入可能包含 APPI 第2条第3款定义的需要特别注意的个人信息。通过外部 AI 同意，本公司取得用户对收集此类信息（指中继服务器接收及转发）以及在外部 AI 处理所必需的范围内向 AI 服务商提供此类信息的同意。

5.9 本公司不得以欺骗或其他不正当手段收集用户信息，也不得以本政策所列方式以外的方式收集设备内数据。

第6条 设备权限

6.1 当某项功能首次需要设备功能的访问权限时，本应用会通过 iOS 提供的方式请求授权。是否授权由用户自行决定，法律或合同均不要求用户授予任何权限。用户不授权时，本应用会在不使用依赖该权限的线索的情况下运行。

6.2 各项权限的用途与处理方式列于下表。用户可随时在 iOS 设置应用中更改权限。

第7条 外部 AI 处理

7.1 “外部 AI 处理”指本应用通过中继服务器向 AI 服务商发送用户信息，并由 AI 服务商处理这些信息，以生成下列文字。本应用仅在取得外部 AI 同意后进行外部 AI 处理。取得该同意后，即使设备可使用 Apple Intelligence，本应用也会对(a)项所列聊聊处理使用外部 AI 处理。对于(b)项所列照片描述，本应用优先使用设备上的 Apple Intelligence。仅在无法使用 Apple Intelligence 时（包括其不支持聊聊所用语言的情况），且本应用设置中的“也让 AI 看看照片”开启时，才对这些描述使用外部 AI 处理。

1. 聊聊中 Yoru 的问题、回应及话题标题，以及对用户回复的理解；
2. 照片内容的描述；
3. 日记草稿；
4. 通过“拜托Yoru”请求的草稿改写；
5. 回顾便条及 Yoru 的纪念日信件；以及
6. Yoru 的日记（用户确认日记条目后，Yoru 为当天写下的两行文字）。

7.2 在进行外部 AI 处理前，本应用会在同意界面显示接收方类别、接收方名称、接收方所在国家、待发送信息的类型及使用目的，并请求用户同意（“外部 AI 同意”）。在可使用 Apple Intelligence 的设备上，本应用可能在聊聊结束时询问一次是否给予外部 AI 同意。该同意涵盖第7.1款所列处理，包括后续的聊聊，以及在符合第7.1款及第7.5款条件时进行的照片描述。用户也可以在本应用设置中给予外部 AI 同意。发送的信息详见第7.5款。

7.3 本应用在设备上记录是否已给予外部 AI 同意、同意日期与时间，以及同意界面的版本。只有在更改发送的信息类型、AI 服务商、接收方所在国家或使用目的，且超出同意界面所示范围时，本公司才更新同意界面的版本。此时，对早期版本给予的同意失效，在用户再次同意之前，本应用不进行外部 AI 处理。调整同意界面的措辞，或在该界面所示范围内添加或更改功能，不影响已经给予的同意。

7.4 是否给予外部 AI 同意由用户自行决定。未给予同意的用户仍可使用本应用，由设备上的 Apple Intelligence 生成文字或使用标准模板文字。

7.5 在外部 AI 处理中，本应用仅发送下列信息中该次具体处理所必需的部分：

1. 当天线索的摘要（日历日程的标题、时间及地点；用户停留过的地点名称、区域及时间；照片内容的描述；以及当天没有线索的时段）；
2. 聊聊中 Yoru 的问题（天气话题的问题可包括当天的雨、雪或炎热等天气，但不含坐标）和回应，以及用户的回答与回复；
3. 日记草稿及用户请求改写的内容；
4. 早期日记条目中保留的、稍后询问的话题；
5. 撰写回顾便条或纪念日信件时，该期间各事件的标题、地点、心情及用户自己的话，以及心情计数；
6. 撰写 Yoru 的日记时，日期、当天各时刻的标题及其心情与心情色彩、用户的回答（不包括用户选择不写入或保密的回答）、已确认的日记正文、有天气话题时的当天天气类型，以及(g)和(h)项中的信息。在用户分享了非常痛苦的事情的那一天，本应用不对 Yoru 的日记使用外部 AI 处理；
7. 对于姓名出现在当天的回答、时刻或日记条目中的人物，用户在“Yoru 认识的人”中为其设置的姓名或称呼、关系及描述（用户对各人的说明），以及用户为自己设置的称呼与描述，仅用于 Yoru 在聊聊中的追问及 Yoru 的日记。撰写日记草稿时，本应用还会发送姓名出现在当天回答中的人物（用户本人除外）的姓名或称呼，以便生成(h)项所述的一行文字；
8. Yoru 从日记中记住的事：对于“Yoru 认识的人”中的人物（用户本人除外）出现在已确认日记条目中的每一天，保存日期及关于当天谈话内容的一行文字。这行文字在撰写日记草稿时，由外部 AI 处理或 Apple Intelligence 根据用户的回答生成，或由本应用根据各时刻的标题生成。为生成 Yoru 在聊聊中的追问及 Yoru 的日记，本应用会对姓名出现在当天的回答、时刻或日记条目中的每个人，发送最多三行早期文字及其日期。截至本政策生效日期，本应用不生成 Yoru 从日记中了解的关于用户本人的信息（例如偏好及近期事件），也不在外部 AI 处理中发送此类信息。如果本应用新增生成此类信息的功能，本应用可在生成 Yoru 的聊聊问题、日记草稿、Yoru 的日记及第7.1款所列其他文字所必需的范围内发送该信息；
9. 撰写照片描述时，缩小后的照片（长边不超过768像素）或从视频中提取的少量静态画面，以及照片的标签、可见文字、附近地名和拍摄时间，但仅限本应用设置中的“也让 AI 看看照片”开启期间（给予外部 AI 同意时会开启此设置，用户可随时关闭）；以及
10. 聊聊的时间、使用的语言，以及反映用户所设置语法性别的写作指示。

7.6 在外部 AI 处理中，本应用不发送：

1. 精确位置信息（经纬度）；
2. 原始照片附带的位置信息或其他元数据（缩小后的图片是新生成的，不含这些信息）；
3. 经照片筛查判定含有不当内容的照片与视频的图像，以及其标签、可见文字及描述（第14.4款）；
4. 安装 ID、App Attest 验证信息或 IP 地址（中继服务器会使用它们，但不会转发给 AI 服务商）；或
5. 用户姓名、电子邮箱地址、Apple 账户或其他可直接识别用户身份的信息，但用户亲自在回答或其他输入中写入的信息，会作为该输入的一部分发送。

7.7 本应用通过 TLS 加密连接向中继服务器发送信息，中继服务器再将其转发给 AI 服务商。中继服务器按以下方式处理信息：

1. 仅接受使用本应用预先定义的指示的请求，拒绝所有其他请求；
2. 不保存其接收的内容或 AI 服务商的响应，也不将其写入日志；
3. 使用安装 ID、App Attest 验证信息及连接的 IP 地址，限制一定期间内的请求次数并防止滥用；
4. Cloudflare, Inc. 的日志功能记录各请求的元数据（例如日期与时间、结果及处理时长），其中可能包含 IP 地址及安装 ID，这些元数据会在七天内自动删除；以及
5. 仅在完成第14.5款所述检查后，才将照片描述请求转发给 AI 服务商。

7.8 AI 服务商为下列公司，均位于美利坚合众国。对于每项已获同意的操作，例如照片描述、日记草稿及必要的聊聊，中继服务器会选择一个已配置的服务商。截至本政策生效日期，主要的文字生成服务商为 Anthropic, PBC 的 Claude Haiku，第14.5款的敏感照片检查使用 OpenAI OpCo, LLC。在添加其他公司作为 AI 服务商之前，本公司应修订本政策，并再次请求外部 AI 同意。

1. OpenAI OpCo, LLC；
2. Anthropic, PBC；以及
3. Google LLC。

7.9 本应用对外部 AI 处理适用以下限制。达到上限时，本应用在该限制范围内不再进行外部 AI 处理，Yoru 会在聊聊中暂缓回复，或由本应用使用 Apple Intelligence 生成的文字或标准模板文字。

1. 每次安装的本应用，按设备所在时区计算，每天合计最多150次外部 AI 处理请求，包括照片描述、日记草稿、改写及聊聊。不设每月上限。

7.10 AI 服务商按以下方式处理信息：

1. OpenAI OpCo, LLC 公开声明，除非客户选择加入，否则不会将通过其 API 接收的信息用于训练或改进模型；为监测滥用，会将这些信息保留最多30天后删除，法律要求更长保存期限的情况除外。本公司未选择加入。本公司发送请求时还会采用不要求 OpenAI 在其服务中保存响应的设置，但第14.5款所述检查的请求除外。
2. 本公司使用 Anthropic, PBC 或 Google LLC 时，会依据该公司的商业 API 条款，并在所发送信息不用于训练模型的条件下使用。本公司使用 Google LLC 时，使用其付费 API 服务。这些公司的保存期限由各公司自行确定。

7.11 本公司不会将从 HealthKit 读取的数据或根据其数值生成的描述发送给外部 AI。对于根据健康数据选出的问题，外部 AI 处理仅接收问题的中性表述（第5.3款）和用户自己的回答。用户的回答或其他输入中包含的健康相关信息，不得用于生成第7.1款所列文字以外的目的，不得用于广告或营销，也不得出售给第三方。

7.12 用户可随时在本应用设置中的“发送给外部 AI”下选择“撤回同意”，以撤回外部 AI 同意。撤回后，本应用不再进行外部 AI 处理。如仅需停止发送照片，用户可关闭本应用设置中的“也让 AI 看看照片”。撤回前已发送的信息，按照第15条及第18.4款处理。

第8条 Apple 服务的使用及相关事项

8.1 本应用在设备上执行以下处理，不为此向本公司或 AI 服务商发送用户信息：

1. 在可使用 Apple Intelligence 的设备上，生成照片描述；未取得外部 AI 同意时，生成聊聊问题和回应、日记草稿、改写、回顾便条及纪念日信件；
2. 语音输入的语音识别；
3. 识别照片中的标签和可见文字；以及
4. 在设备上进行的照片筛查部分（第14.1款及第14.2款）。

8.2 如果 Apple 使用 Private Cloud Compute 进行 Apple Intelligence 处理，该处理适用 Apple 的隐私政策，且不经过本公司的服务器。iOS 可能从 Apple 将语音识别所需的模型下载到设备上。

8.3 本应用使用以下 Apple 服务，并在相应范围内向 Apple 发送用户信息：

1. 地图（MapKit）：本应用发送用户停留地点、照片拍摄地点及日历日程地点的坐标，以查询地点名称、区域名称及附近兴趣点。显示地图时，本应用还会发送所显示区域的信息。
2. App Store（StoreKit）：用于购买、订阅及恢复购买。付款由 Apple 处理。本公司不接收信用卡号或其他付款详情，也不接收 Apple 账户信息，且无法获知购买者的身份。
3. CloudKit 私有数据库：“保存到 iCloud”开启时，用于在用户自己的设备之间同步第5.2款所述会同步的记录（日记条目、已登记地点、贴纸账册及板面位置）。
4. iCloud 键值存储：记录免费期的开始日期及适用天数（无论“保存到 iCloud”是否开启），并在“保存到 iCloud”开启时，在用户自己的设备之间同步“Yoru 认识的人”、晚间提醒时间、语法性别及生日。

8.4 第8.3款所列服务中的信息处理适用 Apple 的隐私政策。

8.5 为检查是否需要更新，本应用在使用期间下载本网站的设置文件（https://omakase.mamama.company/config/ios.json），原则上不超过每三小时一次。该请求不包含设备内数据。但与任何网络请求一样，IP 地址及本应用名称和构建编号（User-Agent）会发送给提供本网站的 Cloudflare, Inc.。

8.6 天气预报是标准功能。允许位置访问时，本应用将当前位置四舍五入至约1公里精度，并通过中继服务器发送给 MET Norway 以获取预报。本应用会在前台运行时（“今天”页面显示预报时及聊聊开始时）发送；对于允许“始终”访问位置的用户，也会在后台接收到停留或显著移动通知时发送（通常在上次成功获取预报至少两个半小时后，且距上次后台尝试至少30分钟时发送；此前获取的预报仍在有效期内时不会发送）。在后台时，本应用使用该通知附带的位置。预报并非用户实际经历的天气记录。本应用在设备上将预报作为显示缓存保留至 MET Norway 提供的有效期，并作为聊聊中天气话题所使用的当天天气记录保存（仅天气类型、温度及时间，不含坐标），其中逐小时记录保存三天，每日摘要保存150天。此外，本应用首次保存当天日记条目时，如果持有当天尚未过期的预报，会将该预报（仅天气类型、温度及时间，不含坐标）保存在条目中，并随条目同步到 CloudKit。坐标不保存在日记或 iCloud 中，也不发送给 AI 服务商。中继服务器既不保存坐标，也不保存预报正文。

第9条 使用目的

9.1 本公司和本应用为以下目的使用用户信息：

1. 提供本应用功能，包括收集线索、进行聊聊、生成日记草稿、改写、回顾便条、纪念日信件、Yoru 的日记及照片描述、显示地图与地点名称、让 Yoru 询问早期话题、显示健康中的当天记录、据此选择聊聊问题，以及将用户选择的心情作为心理状态写入健康；
2. 根据外部 AI 同意进行外部 AI 处理；
3. 进行照片筛查，使含有不当内容的照片在本应用中模糊显示，并且不发送给 AI 服务商；
4. 管理免费期、购买及订阅；
5. 限制中继服务器请求次数、防止滥用及未经授权的访问，并保障本服务的安全；
6. 检查本应用是否需要更新并通知用户；
7. 提供并保护本网站；
8. 回应咨询及请求（包括根据第19至21条提出的请求），并就此联系用户；
9. 使用 Apple 提供的、不能识别用户身份的统计及崩溃报告来调查问题并改进本应用；
10. 通知用户本应用或本政策的重要变更；
11. 遵守法律法规，并回应公共机关的合法请求；以及
12. 统计本应用的使用情况（首次使用引导、聊聊、确认日记条目、分享及订阅的流程，以及中继服务器请求失败情况），并改进本应用。

9.2 本公司变更使用目的时，仅在可合理认为与变更前目的相关的范围内变更，并在本政策中公布变更后的目的。

9.3 除 APPI 第18条第3款所列情形或法律另有许可外，未经用户同意，本公司不得超出实现第9.1款目的所必需的范围处理个人信息。

9.4 本公司不得以可能助长或诱发违法或不当行为的方式使用个人信息。

9.5 本公司不得仅根据自动化处理，作出对用户产生法律效力或类似重大影响的决定。

第10条 处理的法律依据（欧盟、欧洲经济区及英国）

10.1 在 GDPR 或 UK GDPR 适用的情况下，本公司根据以下法律依据处理个人数据：

1. 履行合同（GDPR 第6(1)(b)条）：第9.1(a)及(d)款的目的，包括地点名称查询以及免费期和订阅管理；
2. 同意（GDPR 第6(1)(a)及9(2)(a)条）：第9.1(b)款的目的。由于用户的回答或照片可能揭示特殊类别的个人数据，本公司将外部 AI 同意视为 GDPR 第9(2)(a)条规定的明确同意。本应用仅在用户通过 iOS 允许访问后才读取健康数据及写入心理状态。
3. 合法利益（GDPR 第6(1)(f)条）：第9.1(c)、(e)至(j)及(l)款的目的。本公司的合法利益是安全运营本服务、防止传输不当内容、为用户提供支持，以及了解本应用的使用情况以进行改进。本公司仅使用这些目的所必需的信息。用户可反对该处理（第20条）。
4. 法律义务（GDPR 第6(1)(c)条）：第9.1(k)款的目的。

10.2 撤回同意不影响撤回前基于同意进行处理的合法性。

10.3 在 UK GDPR 适用的情况下，本政策对 GDPR 条文的引用应理解为对 UK GDPR 相应条文的引用。

第11条 向第三方提供与委托处理

11.1 未经用户事先同意，本公司不得向任何第三方提供个人数据，但以下情况除外：

1. APPI 第27条第1款所列情形（例如法律要求，或为保护个人生命、身体或财产所必需且难以取得本人同意的情形）；或
2. APPI 第27条第5款所列情形（例如在实现使用目的所必需的范围内委托处理，或业务承继）。

11.2 本公司根据外部 AI 同意，向 AI 服务商提供个人数据以进行外部 AI 处理。由于 AI 服务商属于境外第三方，本公司按照第12条进行提供。

11.3 在实现使用目的所必需的范围内，本公司可将全部或部分个人信息处理委托给服务商。在此情况下，本公司应选择被认为能够妥善处理个人信息的服务商，在与其订立的合同中规定安全管理措施、保密义务、再委托条件及其他必要事项，并对其进行必要且适当的监督。

11.4 截至本政策生效日期，参与用户信息处理的公司如下：

11.5 因合并、公司分立、业务转让或其他业务承继而提供个人信息时，承继者应在承继前适用的使用目的范围内处理该个人信息。

11.6 本公司不得出售个人信息，也不得为广告目的将其提供给第三方。本公司不依据 APPI 第27条第2款向第三方提供个人数据（选择退出式提供），也不依据 APPI 第27条第5款第3项共同使用个人数据。

第12条 向境外第三方提供

12.1 本公司向下表列出的境外第三方提供个人数据或委托其处理。这些第三方均位于美利坚合众国。

12.2 本公司根据以下依据进行第12.1款所述的提供或委托：

1. 向 AI 服务商提供信息，依据用户根据 APPI 第28条第1款给予的同意（外部 AI 同意）。请求该同意时，本应用会说明接收方位于美利坚合众国，并显示本条的链接。
2. 向 Cloudflare, Inc. 的委托，以及向 Google LLC 委托接收和保存咨询邮件及统计本应用使用情况，均基于各公司已建立符合 APPI 第28条第1款规定标准的体系。本公司应按照 APPI 第28条第3款采取必要措施，确保各公司持续实施相当措施，并应用户请求提供有关这些必要措施的信息。

12.3 美利坚合众国的个人信息保护制度如下：

1. 美国没有与 APPI 相当、普遍涵盖私营企业处理个人信息的综合性联邦法律。
2. 个人信息通过医疗、金融及儿童等特定领域的联邦法律、联邦贸易委员会依据《联邦贸易委员会法》第5条进行的执法，以及《加利福尼亚州消费者隐私法》等州法律受到保护。
3. 联邦法律并未普遍规定与个人依据 APPI 可提出的请求（例如披露、更正及停止使用）相对应的权利，但州法律可能赋予此类权利。政府机关也可能依据法律要求企业提供信息。
4. 详情参见日本个人信息保护委员会发布的境外制度资料：外国个人信息保护制度调查（日语）。

12.4 接收方及受托服务商采取的个人信息保护措施如下：

1. OpenAI OpCo, LLC：OpenAI 公开声明，除非客户选择加入（本公司未选择加入），否则不会将通过其 API 接收的信息用于训练或改进模型；为监测滥用，会将这些信息保留最多30天后删除，法律要求更长保存期限的情况除外；并维持包含传输及静态加密、访问控制和独立第三方审计（SOC 2 Type 2）的安全计划。纳入 OpenAI 服务协议的《数据处理附录》包含依指示处理、保密、安全措施、次级处理者管理及数据删除的规定。
2. Anthropic, PBC：本公司使用 Anthropic 时，依据 Anthropic 的商业条款及纳入其中的数据处理条款提供信息，其条件包含与(a)项所述相当的保护措施。Anthropic 公开声明，不使用通过其商业 API 接收的信息训练模型。
3. Google LLC：本公司使用 Google 时，使用其付费 API 服务，并依据 Google 的数据处理条款提供信息，其条件包含与(a)项所述相当的保护措施。Google 公开声明，不使用其付费服务中接收的信息改进产品。
4. Cloudflare, Inc.：Cloudflare 公开声明，已取得 Global CBPR 和 Global PRP 认证，参与欧盟－美国数据隐私框架，且纳入其客户协议的《数据处理附录》规定了安全措施及其他个人数据保护事项。
5. Google LLC（Google Workspace）：Google 公开声明，纳入 Google Workspace 客户协议的数据处理条款（《云数据处理附录》）包含依客户指示处理、保密、安全措施、次级处理者管理及数据删除的规定，且 Google Workspace 接受独立第三方的审计及认证（包括 ISO/IEC 27001 和 SOC 2）。
6. Google LLC（Google Analytics for Firebase）：Google 公开声明，Google Analytics 客户接受的数据处理条款（《Google Ads 数据处理条款》）包含依客户指示处理、保密、安全措施、次级处理者管理及数据删除的规定。本公司不使用 Google Analytics 与其他 Google 服务之间的数据共享，也不使用 Google signals。
7. Apple Inc.：从设备发送给 Apple 的信息（第8.3款）由 Apple 依据其与用户的协议处理。本公司既不收集，也不提供该信息。作为参考，Apple 在其隐私政策中声明，其个人信息处理符合 Global CBPR 及 Global PRP 体系，并对从欧洲经济区、英国及瑞士传输的个人数据使用标准合同条款。

12.5 在 GDPR 或 UK GDPR 适用的情况下，个人数据按以下方式传输：

1. 本公司位于日本，日本属于欧盟委员会充分性决定及英国充分性法规涵盖的国家。
2. 向位于美国的 OpenAI OpCo, LLC 传输数据，依据纳入 OpenAI 服务协议的《数据处理附录》，其中包含欧盟委员会于2021年6月4日通过的标准合同条款及英国附录。
3. 向 Anthropic, PBC 或 Google LLC 传输数据时，本公司依据该公司数据处理条款中的相当保障措施（标准合同条款，或该公司参与时的欧盟－美国数据隐私框架）。
4. 向 Cloudflare, Inc. 传输数据，依据 Cloudflare 参与的欧盟－美国数据隐私框架及其英国扩展。
5. 为保存咨询邮件而向 Google LLC 传输数据，依据 Google 数据处理条款中的保障措施（标准合同条款，或 Google 参与的欧盟－美国数据隐私框架）。
6. 为统计本应用使用情况而向 Google LLC 传输数据，依据 Google 数据处理条款中的保障措施（标准合同条款，或 Google 参与的欧盟－美国数据隐私框架）。
7. 对于(b)至(e)项所述保障措施均不可用的传输，依据用户的明确同意（GDPR 第49(1)(a)条）。
8. 即使存在这些保障措施，美国当局仍可能根据美国法律访问信息。

第13条 用户信息的对外传输

13.1 根据日本《电气通信事业法》第27-12条，本公司在下表公布本应用及本网站使设备向外部目的地发送的用户信息、接收方名称及使用目的。

13.2 除第13.1款表格所列目的地外，本应用及本网站不包含使用户信息发送到外部目的地的程序。本应用不包含用于广告或崩溃报告的第三方模块。

13.3 用户可通过第7.12款所述方法停止外部 AI 处理的传输。

第14条 照片筛查

14.1 对于本应用用作线索或显示在屏幕上的照片与视频，本应用在设备上判定其是否含有露骨色情或其他不当内容。对于照片，判定使用长边缩小至不超过512像素的图片。对于视频，使用从视频提取的四个静态画面（如果在提取画面前视频已显示在屏幕上，则使用其封面图）。

14.2 第14.1款所述判定通过以下方法进行；任一方法判定照片或视频含有不当内容时，即将其视为含有不当内容。这两种方法均不为判定而向设备外发送任何信息。

1. 使用 Apple 的 Sensitive Content Analysis 框架进行筛查。仅在用户于 iOS 设置中开启敏感内容警告，或在屏幕使用时间中开启通信安全时使用此方法。
2. 使用本应用附带的分类模型进行筛查。该模型来自 GantMan/nsfw_model（MIT License），已转换为本应用可用的格式；其基础模型 MobileNet v2 根据 Apache License 2.0 提供。

14.3 第14.2款所述判定结果按每张照片和每段视频保存在设备上的本应用存储区域（Application Support/ClueKit/photo-sensitivity.json）中。结果不含图片数据。结果会保留至用户通过第18.1款所述操作删除，但保存结果超过20,000条时，会自动删除最早的、未发现不当内容的结果。结果不会发送给本公司或 AI 服务商。

14.4 被判定含有不当内容的照片与视频会在本应用中模糊显示，仅在用户选择显示时才显示。本应用不会将这些照片与视频的图像（包括从视频中提取的静态画面）用于外部 AI 处理，也不会发送尚未完成判定的照片与视频的图像，包括无法完成判定的情况。此外，无论正在生成何种文字（第7.1款），本应用每次为外部 AI 处理发送信息时，都会按以下方式处理被判定含有不当内容的照片与视频的相关信息：

1. 不发送照片或视频的标签（包括画面中的人数）、可见文字及描述，线索摘要仅保留拍摄时间、区域、附近地名、来源，以及是照片还是视频；
2. 在发送前，将关于该照片或视频话题的 Yoru 问题和回应替换为仅基于拍摄时间和地点的问题（例如关于“你晚上7点左右拍的一张照片”的问题）；
3. 在发送前，将关于该照片或视频的话题及各时刻的名称替换为仅基于拍摄时间或地点的名称（例如“一张傍晚的照片”）；以及
4. 用户的回答及其他输入按用户所写的原样发送。

14.5 当本应用为了照片描述而向中继服务器发送图片时，中继服务器会先将图片发送至 OpenAI OpCo, LLC 的内容审核服务（判定内容是否不当的服务）进行检查，然后才请求 AI 服务商生成描述。即使照片描述是向 OpenAI OpCo, LLC 以外的 AI 服务商请求，该检查也始终使用 OpenAI OpCo, LLC 的内容审核服务。中继服务器为此检查发送的信息仅限于第7.5(i)款所述的缩小后图片。中继服务器不会向内容审核服务发送照片标签、可见文字、地名或其他信息，也不会发送安装 ID、App Attest 验证信息或 IP 地址。

14.6 第14.5款所述检查的结果按以下方式处理：

1. 如果图片被判定含有色情内容，中继服务器不会请求该图片的描述。本应用将该照片或视频作为含有不当内容的结果按第14.3款保存，按第14.4款处理，且不再发送该图片。
2. 如果无法使用内容审核服务（例如通信故障或超时），中继服务器当时不会请求该图片的描述。在这种情况下，本应用不会将该照片或视频视为含有不当内容，之后可能再次发送图片。

14.7 为第14.5款所述检查发送的图片，适用 OpenAI OpCo, LLC 对其 API 的标准数据处理方式（第7.10(a)款）。内容审核服务没有要求 OpenAI 不保存响应的设置。

14.8 对于第14.5款所述检查，中继服务器会记录图片是否被判定含有色情内容，以及检查无法完成时的原因，作为第7.7(d)款所述元数据的一部分。中继服务器不记录图片或内容审核服务的响应内容。

14.9 本公司无法查看保存在设备上的判定结果。本公司不使用照片筛查结果来评价用户，也不用于第9.1(c)及(e)款以外的目的。照片筛查不保证准确识别全部不当内容。

第15条 保存期限

15.1 本公司仅在实现使用目的所必需的期限内保存用户信息，并在不再需要时尽力及时将其删除。

15.2 设备内数据，以及 iOS 钥匙串和 iCloud 键值存储中信息的保存期限，见第5.2至5.4款表格。

15.3 本公司及其他相关公司的保存期限如下：

第16条 安全管理措施

为防止其处理的个人数据泄露、丢失或损坏，以及以其他方式保障该个人数据的安全，本公司采取以下措施：

1. 基本方针：本公司制定并公布本政策，以确保妥善处理个人数据。
2. 数据最小化：本应用的设计使日记内容保留在设备上。中继服务器仅转发必要信息，不保存其内容。本应用不向 AI 服务商发送精确坐标，并在发送照片前缩小图片。
3. 组织措施：代表董事负责个人信息的处理。本公司每次更改本应用功能时，都会检查用户信息的流向。发生数据泄露时，本公司按照第17条应对。
4. 人员措施：本公司仅允许其授权且负有保密义务的人员访问其持有的个人数据。
5. 物理措施：本公司不在其设备上保存用户的日记内容。本公司使用登录认证保护运营本服务所用的设备。
6. 技术措施：本应用、中继服务器及 AI 服务商之间的通信采用 TLS 加密。AI 服务商的 API 密钥保存在 Cloudflare, Inc. 的加密秘密存储中，不包含在本应用内。中继服务器仅接受使用本应用预先定义的指示的请求，限制请求次数及大小，且不将请求或响应内容写入日志。本公司所用服务的账户访问受到身份认证限制。在设备上，本应用的文件受 iOS 数据保护机制保护。
7. 了解外部环境：本公司使用美利坚合众国境内公司的服务（Cloudflare, Inc.、AI 服务商，以及用于咨询邮件和使用情况统计的 Google LLC）。通过 Cloudflare, Inc. 处理的信息可能在日本、美国及其他国家的数据中心处理。本公司在了解美国个人信息保护制度（第12.3款）的基础上采取安全措施。

第17条 数据泄露的应对

17.1 本公司知悉个人数据发生泄露、丢失或损坏，或可能已发生此类事件的情况（“数据泄露”）时，应及时调查事实，并采取防止损害扩大的必要措施。

17.2 数据泄露属于 APPI 第26条第1款规定的情形时，本公司应依据该款向个人信息保护委员会报告，并依据该条第2款通知受影响个人。如难以通知个人，本公司应采取保护该个人权益所必需的替代措施，例如公布该事件。

17.3 在 GDPR 或 UK GDPR 适用的情况下，本公司应在无不当延迟的情况下，且可行时在知悉个人数据泄露后72小时内，通知主管监督机关，但该泄露不太可能对自然人的权利和自由造成风险的情况除外。如该泄露可能对自然人的权利和自由造成高风险，本公司应在无不当延迟的情况下通知受影响个人。

17.4 在美国州法律或其他法律适用的情况下，本公司应按照这些法律发出通知并采取其他措施。

17.5 本公司知悉受托服务商或 AI 服务商发生数据泄露时，应作必要调整后按照第17.1至17.4款应对。

第18条 应用内的删除及其他操作

18.1 用户可在本应用设置的“数据”下选择“删除所有日记和位置记录”，一次性删除下列设备内数据。此操作无法撤销。如“保存到 iCloud”开启，此操作还会从用户自己的 CloudKit 私有数据库及使用同一 Apple 账户的其他设备中删除下列(a)、(d)及(h)项。如“保存到 iCloud”关闭，则不会从 CloudKit 私有数据库中删除。

1. 日记，包括日记正文、草稿、聊聊记录、时刻与心情、Yoru 的便条、稍后询问的话题、Yoru 从日记中记住的事及纪念日信件；
2. 位置历史记录及地点名称和附近兴趣点的缓存；
3. 天气预报的本地缓存；
4. 已登记的地点；
5. 照片详情缓存，包括照片筛查结果；
6. 已移除的线索；
7. 回顾便条；
8. 贴纸；
9. 根据健康数据生成的问题文字，以及本应用记录的、其已写入健康的心理状态（第5.3款）。本应用已写入 HealthKit 的心理状态本身的删除，见第18.8款；
10. Yoru 的日记；以及
11. Yoru 认识的人（“保存到 iCloud”开启时，也会清空 iCloud 键值存储中的副本）。

18.2 执行第18.1款所述操作后，下列信息仍保留在设备上。(a)及(b)项信息在删除本应用时删除。(a)项中在“保存到 iCloud”开启期间保存于用户 iCloud 键值存储的设置（晚间提醒时间、语法性别及生日），不会因该操作或删除本应用而删除，仍保留在 iCloud 键值存储中。

1. 设置，包括语法性别及生日；
2. 外部 AI 同意记录及外部 AI 处理请求次数；以及
3. 安装 ID（保存在 iOS 钥匙串中）及免费期的开始日期和适用天数（保存在 iOS 钥匙串及 iCloud 键值存储中），这些信息在删除本应用后可能仍然保留，但不包含任何日记内容。

18.3 用户可在本应用设置的“数据”下选择“导出日记”，将日记正文导出为 Markdown 文件。

18.4 由于本公司不在中继服务器上保存为外部 AI 处理而发送的内容，本公司没有此类内容可供删除。AI 服务商保留的信息会在第15.3款规定的期限届满后删除。

18.5 用户从设备上删除本应用时，设备内数据会被删除，但设备备份中包含的设备内数据会保留至该备份被删除。删除本应用不会删除用户自己的 CloudKit 私有数据库中保存的日记条目、已登记地点及贴纸。用户可通过第18.1款的操作（仅限“保存到 iCloud”开启时），或通过 iOS 设置应用中的 iCloud 存储管理将其删除。

18.6 用户可在 iOS 设置应用中更改授予本应用的权限。外部 AI 同意的撤回按第7.12款办理。

18.7 由于本应用没有账户（第24条），本公司无法从本公司一侧删除、恢复用户的设备内数据，或将其转移到其他设备。

18.8 本应用写入 HealthKit 的心理状态属于健康应用中的数据，并非本应用的设备内数据。在以下情况下，本应用会从 HealthKit 删除其写入的心理状态（第5.3款）：

1. 用户在本应用中更改或移除相关心情时（仅限在该设备上写入的条目）；
2. 用户删除日记条目时（为当天写入的即时情绪及全天心情）；
3. 用户执行第18.1款所述操作时（本应用写入的全部心理状态）。

在(b)及(c)的情况下，本应用会删除在该设备上写入的条目。只有在“保存到 iCloud”开启，且日记删除通过 CloudKit 传达到其他设备时，才会删除本应用在那些设备上写入的条目；否则不会删除，因为那些设备仍保留着当天的日记。如果用户已在 iOS 健康设置中撤回写入权限，本应用无法删除这些条目。删除本应用不会删除已经写入 HealthKit 的条目。用户可以在健康应用中查看及删除心理状态，可以在本应用设置中关闭“把心情记录到「健康」”以停止写入，也可以在 iOS 健康设置中撤回权限。

第19条 披露及其他请求

19.1 根据 APPI，用户可就本公司持有的、与其有关的保有个人数据提出以下请求（“披露及其他请求”）：

1. 告知使用目的（APPI 第32条第2款）；
2. 披露，包括以提供电子记录的方式披露（第33条第1款）；
3. 披露向第三方提供数据的记录（第33条第5款）；
4. 更正、补充或删除内容（第34条第1款）；
5. 停止使用或删除（第35条第1及第5款）；以及
6. 停止向第三方提供（第35条第3及第5款）。

19.2 披露及其他请求应通过向第27条联系方式所列地址发送电子邮件提出，并注明以下事项：

1. 请求人的姓名及联系方式；
2. 请求的类型（第19.1款中的一项）；
3. 足以识别相关保有个人数据的信息（例如联系本公司时使用的电子邮箱地址及联系日期与时间）；以及
4. 如由代理人提出请求，说明代理事实及代理人的姓名和联系方式。

19.3 本公司应通过适当方式核实请求人为相关本人，例如确认请求所用电子邮箱地址是否与本公司持有的咨询发送者一致。本公司可在核实所必需的范围内要求补充信息。如请求由代理人提出，本公司应要求提供证明代理权限的文件（例如授权委托书，或对于法定代理人，证明其法定权限的文件）。

19.4 本公司应及时回复，以收到请求之日起两周内为参考期限，通过电子邮件或本公司认为适当的其他方式答复。披露应按用户请求的方式进行，包括提供电子记录；如难以采用该方式，本公司应告知用户，并通过交付书面文件或其他方式披露。

19.5 披露及其他请求不收取费用。

19.6 在以下任一情况下，本公司可拒绝全部或部分披露及其他请求。在这种情况下，本公司应及时告知请求人拒绝事实及理由。

1. 本公司无法核实请求人为相关本人或其正式授权的代理人时；
2. 相关保有个人数据不存在或无法识别时；
3. APPI 第33条第2款各项所列情形（披露可能损害本人或第三方的生命、身体、财产或其他权益，可能严重妨碍本公司正常开展业务，或违反其他法律法规）；或
4. 更正或停止使用请求不符合 APPI 第34条或第35条的要求时。

19.7 设备内数据及用户的 CloudKit 私有数据库不由本公司持有，因此不属于披露及其他请求的对象。用户可通过第18条所述方法自行查看、导出及删除。本公司可能持有的信息包括咨询，以及中继服务器的安装 ID、App Attest 验证信息和使用次数。本公司接受有关这些信息的请求，并可在核实请求人身份后，要求提供合理必要的信息，以匹配相关记录。

第20条 欧盟、欧洲经济区及英国用户的权利

20.1 对于本公司处理的、与其有关的个人数据，适用 GDPR 或 UK GDPR 的用户享有以下权利：

1. 访问个人数据的权利（GDPR 第15条）；
2. 更正权（第16条）；
3. 删除权（第17条）；
4. 限制处理的权利（第18条）；
5. 数据可携权（第20条）；
6. 反对基于合法利益处理的权利（第21条）；
7. 随时撤回同意的权利（第7(3)条）；以及
8. 不受仅基于自动化处理作出的决定约束的权利（第22条）。

20.2 许多此类权利可通过第18条所述方法直接在本应用内行使。其他请求请通过电子邮件联系第27条所列联系窗口。本公司应在收到请求后一个月内回复。必要时，考虑到请求的复杂程度及数量，本公司可再延长两个月；在这种情况下，应在第一个月内告知用户延期及理由。

20.3 请求不收取费用。但请求明显缺乏依据或过度时，本公司可依据 GDPR 第12(5)条收取合理费用或拒绝处理。

20.4 由于本应用没有账户，本公司可能无法识别请求人。在这种情况下，除非请求人提供足以识别身份的补充信息，本公司应依据 GDPR 第11(2)条告知请求人。

20.5 用户有权向监督机关投诉，特别是向用户惯常居住地、工作地或涉嫌侵权发生地所在成员国的监督机关投诉。英国用户可向信息专员办公室（ICO）投诉。

第21条 加利福尼亚州居民的权利

21.1 在 CCPA 适用于本公司的情况下，本条适用于加利福尼亚州居民用户。

21.2 在过去12个月内，本公司及其服务商收集了以下类别的个人信息。本公司不收集设备内数据。

1. 标识符（安装 ID、使用情况统计所用的应用实例 ID、IP 地址及咨询的电子邮箱地址）；
2. 敏感个人信息（用户回答或照片中的健康相关信息及其他敏感信息，仅限依据外部 AI 同意为外部 AI 处理而发送的情况）；
3. 视觉信息（缩小后的照片及从视频提取的静态画面，仅限“也让 AI 看看照片”开启期间）；
4. 大致位置（地点及区域名称）；
5. 用户提供的内容（回答、草稿、回顾输入及咨询）；以及
6. 互联网或其他电子网络活动信息（发送给中继服务器及本网站的请求，以及用于使用情况统计的应用交互记录）；以及
7. 商业信息（购买的方案及是否包含免费试用，仅用于使用情况统计）。

21.3 第21.2款所述个人信息的来源为用户和设备。使用目的见第9条，保存期限见第15条。

21.4 本公司为业务目的向其服务商及承包商（Cloudflare, Inc.、AI 服务商，以及用于咨询邮件及使用情况统计的 Google LLC）披露个人信息。本公司不出售个人信息，也不为跨场景行为广告而共享个人信息，且在过去12个月内未进行此类行为。本公司不出售或共享未满16周岁消费者的个人信息。

21.5 本公司仅为提供用户请求的功能及 CCPA 实施法规允许的其他目的使用敏感个人信息，不用于推断用户的特征。

21.6 用户有权知悉并访问本公司收集的与其有关的个人信息，有权请求删除，也有权请求更正。本公司不得因用户行使这些权利而歧视用户。

21.7 第21.6款所述请求可由用户或用户授权的代理人，通过电子邮件向第27条所列联系窗口提出。本公司应按第19.3款所述方法核实请求，并在收到请求后45天内回复。必要时，本公司可在通知用户后再延长45天。

第22条 儿童

22.1 本应用不面向未满13周岁的儿童。本公司不会在明知的情况下收集未满13周岁儿童的个人信息。

22.2 未成年用户在给予外部 AI 同意前，应取得父母或其他法定监护人的同意。在欧盟、欧洲经济区及英国，未满16周岁（或相关成员国法律规定的更低年龄）的用户的外部 AI 同意，必须由对该用户负有父母责任的人给予或授权。

22.3 父母或其他法定监护人如发现儿童未经同意提供了个人信息，应联系第27条所列联系窗口。

第23条 跟踪、Cookie 与广告

23.1 本应用不显示广告，也不使用广告标识符（IDFA）。本应用不会跨其他公司拥有的应用或网站跟踪用户。本应用包含 Google 的 Firebase Analytics 软件开发工具包（SDK），用于统计本应用的使用情况（第5.5款及第13条）。在该 SDK 中，广告存储、将用户数据用于广告及广告个性化均已关闭，且不使用供应商标识符（IDFV）收集、广告网络注册或 Google signals。本应用不包含用于广告或崩溃报告的 SDK。

23.2 本网站使用 Cookie（oj_lang）将你选择的显示语言记住一年。它仅存储所选语言，不用于识别用户身份或跟踪其活动。本网站不使用分析工具、广告标签或第三方脚本。

23.3 仅在用户于 iOS 设置中选择与应用开发者共享分析数据时，本公司才从 Apple 接收不能识别用户身份的使用统计及崩溃报告（第5.5款）。

23.4 本公司不出售用户信息，也不为广告目的与第三方共享用户信息。

第24条 账户

24.1 本应用无需用户注册，本公司不为用户创建账户。本公司不会因用户使用本应用而收集其姓名、电子邮箱地址或 Apple 账户。

24.2 本应用的购买及订阅通过 Apple 进行，本公司无法获知购买者的身份。

24.3 设备内数据不保存在本公司的服务器上。“保存到 iCloud”开启且用户已登录 iCloud 时，日记及第5.2款所述其他会同步的记录，通过用户自己的 CloudKit 私有数据库同步到使用同一 Apple 账户的设备。仅保存在设备上的数据，可在用户更换设备时，通过 Apple 提供的备份及恢复功能迁移。

24.4 基于第24.1至24.3款的原因，本公司无法识别用户身份，以便从本公司一侧披露、恢复或删除设备内数据。

第25条 本政策的修订

25.1 本公司可因法律法规变更、本服务变更或其他原因，根据需要修订本政策。

25.2 本公司修订本政策时，应在本网站公布修订后的政策及其生效日期。

25.3 如修订对用户权益有重大影响（例如使用目的变更或新增 AI 服务商），本公司应在生效前的合理期间内，通过本应用或本网站通知用户。

25.4 如果适用法律要求用户同意该修订，本公司应重新取得同意。如果本公司更改外部 AI 处理发送的信息类型、接收方或使用目的，且超出同意界面所示范围，本公司应更新同意界面的版本，本应用在用户再次同意之前不得进行外部 AI 处理（第7.3款）。

25.5 本政策的制定及修订历史载于本政策末尾的修订记录。

第26条 准据法与管辖

26.1 本政策适用日本法律，并依日本法律解释。

26.2 因本政策而在本公司与用户之间发生的任何争议，约定由那霸地方法院作为第一审专属管辖法院。但用户为消费者时，国际管辖适用日本《民事诉讼法》（1996年第109号法律）第3-7条第5款及其他适用法律。

26.3 第26.1款及第26.2款不限制用户惯常居住国家或地区的强制性消费者保护法律（包括欧盟及欧洲经济区成员国法律）赋予用户的权利和保护，也不限制用户依据 GDPR 第77至79条向监督机关投诉及获得有效司法救济的权利。

第27条 咨询与投诉

27.1 有关本政策及用户信息处理的咨询与投诉，以及依据第19至21条提出的请求，由下列联系窗口受理。请求仅通过电子邮件受理。

27.2 本公司应努力妥善且及时地处理投诉。

27.3 本公司未加入 APPI 规定的任何经认证的个人信息保护组织。

27.4 有关本应用使用方法的问题，请参阅支持。

修订记录