宝食记 · PRIVACY POLICY
隐私政策
宝食记是面向父母及其他照护者的宝宝生活记录工具。本政策说明宝食记运营者（下称“我们”）在宝食记 iOS App、配套 Widget、Watch App 及本合规网站中如何处理个人信息。
一、适用范围与基本原则
本政策适用于宝食记当前提供的宝宝档案、照护记录、统计、例行计划、本地提醒、数据导出与恢复、iCloud 同步、家庭协同、Siri 与快捷指令（iOS 16+）、App 内购买、Widget 与 Watch App 等功能。第三方通过独立网站或服务处理的信息，适用其自己的规则。
我们遵循目的明确、最小必要、公开透明和安全保障原则。宝食记当前不设独立账号系统，不接入广告或第三方监控 SDK；产品分析仅在您单独开启后启用，由 PostHog 接收功能使用情况、操作结果、同步结果、必要的 App/系统信息及随机标识，不接收宝宝姓名、健康记录、备注、照片或记录正文；我们不以出售个人信息为商业模式。
二、我们如何处理个人信息
不同功能是否处理信息取决于您是否使用该功能。您可以不填写标注为可选的内容，但相应展示、统计、同步或分享能力可能受限。
| 场景 | 可能涉及的信息 | 处理目的与方式 |
|---|---|---|
| 照护者资料 | 昵称、可选头像、内部随机标识及创建/更新时间 | 展示记录人、区分照护者和完善个人资料；保存在设备本机 Core Data，当前不通过 CloudKit 同步。 |
| 宝宝档案 | 姓名或昵称、出生日期、性别、可选头像、内部随机标识 | 建立宝宝档案、计算月龄、按宝宝隔离记录、展示统计和支持家庭协同。 |
| 照护与健康记录 | 喂养、睡眠、排泄、体温、身高、体重、头围、活动、用药、营养素、疫苗、例行计划、记录时间、照护者昵称以及您主动填写的备注 | 保存记录、生成时间线和统计、提供提醒与数据导出。用药、体温、成长、疫苗及其他健康相关内容可能属于敏感个人信息。 |
| 头像选择 | 您主动选择或拍摄的照片 | 裁切、压缩并保存为照护者或宝宝头像；不会用于人脸识别。使用系统照片选择器时，App 仅接收您选中的照片。 |
| 提醒与设置 | 通知授权状态、提醒开关、例行计划时间、安静时段、界面偏好及当前宝宝选择 | 在设备上安排本地通知；在 iOS 26+ 上，您开启系统闹钟提醒时通过 AlarmKit 安排照护计划闹钟，并维持功能偏好和跨组件一致体验。 |
| iCloud 同步与家庭协同 | 宝宝档案、喂养、睡眠、排泄、活动及家庭成员档案等同步数据，以及 CloudKit 分享标题、参与者显示名称、角色、权限和邀请状态 | 通过 Apple CloudKit 在您的设备之间同步上述数据，并在您主动发起或接受分享时与指定家庭成员协作。照护者资料、体温、成长、用药、营养素、疫苗、自定义单位和例行计划等本地数据当前不通过 CloudKit 同步。 |
| Siri 与快捷指令 | 您主动传入的宝宝选择、记录参数和状态查询请求 | 仅在您主动调用基础记录、计时或状态查询时执行；语音处理由 Apple 系统完成，宝食记不直接申请或读取麦克风权限。 |
| VIP会员购买 | 商品标识、购买结果、订阅有效状态和恢复购买结果 | 通过 Apple StoreKit 展示商品、完成交易校验并同步权益。银行卡号等付款凭证由 Apple 处理，宝食记不直接取得。 |
| Widget、Live Activity 与 Watch | 当前宝宝及必要的喂养/睡眠状态、今日摘要、权益状态和控制命令 | 通过 Apple App Group、WidgetKit、ActivityKit、WatchConnectivity 在您自己的设备间提供摘要和控制；不直接接入第三方服务器。 |
| 本地诊断与崩溃报告 | 功能事件名称、非致命错误类型与必要上下文；系统生成的崩溃报告 | 功能事件和非致命错误写入 Apple 统一日志，不由宝食记主动上传至自建服务器；未捕获崩溃由 iOS 系统生成，并在 App Store Connect 与 Xcode Organizer 中查看。 |
| 产品分析（可选） | 功能使用情况、操作结果、同步结果、必要的 App/系统信息及随机标识；不包含宝宝姓名、健康记录、备注、照片或记录正文 | 仅在您主动开启“产品分析”后，通过 PostHog 异步上报明确允许的低敏产品事件，用于发现问题和改进记录、同步及提醒体验；您可随时关闭。 |
| 访问官网、合规与支持网页 | IP 地址、浏览器/设备类型、请求时间、访问页面等常规网络日志 | 由阿里云网站基础设施为页面访问、内容分发、安全防护和必要运维而处理，详见第三方清单及阿里云隐私权政策。 |
我们不会要求您提供身份证号码、精确位置、通讯录、麦克风内容或用于广告跟踪的标识符。若未来新增相关功能，我们会在处理前更新政策，并按法律要求另行取得授权或单独同意。
三、系统权限
- 相机：仅在您主动拍摄头像或扫描家庭协同邀请二维码时申请；拍摄头像时用于获取当次图片，扫描二维码时用于读取邀请链接。拒绝后仍可使用其他主要功能。
- 照片选择：仅在您主动选择头像时申请，用于选择您指定的图片；App 不会主动读取整个照片图库。
- 麦克风：当前版本关闭语音反馈，不申请或使用麦克风权限。
- 通知：仅在您开启通知时申请，用于例行计划等本地提醒。您可在 App 设置或 iOS“设置”中关闭。
- 系统闹钟（AlarmKit）：仅在 iOS 26+ 且您开启照护计划系统闹钟时使用；权限和闹钟状态由 iOS 系统管理。
- iCloud：用于可同步数据的 CloudKit 同步及家庭协同，受您的 Apple ID、iCloud 开关、网络状态和 Apple 服务条款约束。
您可以在 iOS“设置”中管理权限。撤回权限不会影响撤回前基于有效授权进行的处理，但对应功能可能无法继续使用。
四、共享、委托处理、转让与公开披露
1. 家庭成员共享
只有在您主动创建或接受 CloudKit 分享时，相应宝宝档案及关联记录才会向您选择的参与者开放。分享权限由 Apple 系统界面和宝食记的家庭协同功能共同管理；分享创建者可以停止分享或移除成员。
2. 第三方处理
Apple 为 iCloud/CloudKit、StoreKit、推送通知基础设施及系统组件提供处理能力；如果您主动开启产品分析，PostHog 仅接收功能使用情况、操作结果、同步结果、必要的 App/系统信息及随机标识，用于发现问题和改进体验，不接收宝宝姓名、健康记录、备注、照片或记录正文，产品分析可随时关闭。阿里云计算有限公司为官网、合规与支持页面提供服务器接入、内容分发与安全加速。App 集成的开源依赖 SSZipArchive 仅在您主动导入 Excel 恢复包时在本机解压和读取压缩内容，处理完成后清理临时文件，不向其或自建服务器上传数据。您在反馈页面发起的邮件由 iOS 系统邮件编辑器交给您选择的邮件服务发送，宝食记不会通过任何反馈 SDK 自动收集或附加设备数据。具体名称、目的、信息类型和隐私政策见《第三方信息共享及 SDK 清单》。
3. 转让与公开披露
我们不会主动转让或公开披露您的个人信息。若因合并、分立、资产转让等确需转移，我们将告知接收方，并要求其继续受本政策约束；法律另有要求时依法处理。除非取得您的单独同意或法律允许，我们不会公开披露个人信息。
五、信息的存储、同步与安全
- 本机存储：业务数据主要保存在设备的 Core Data 数据库；照护者资料、自定义单位、体温、成长、用药、营养素、疫苗和例行计划等数据当前仅保存在本机。计时状态、界面偏好和跨组件摘要保存在设备本地或 App Group 容器。
- iCloud 存储：启用 iCloud 时，宝宝档案、喂养、睡眠、排泄、活动及家庭成员档案等数据会通过 Apple CloudKit 保存和同步；上述本地数据当前不通过 CloudKit 同步。存储区域、备份和保留规则受 Apple ID 所在地区、iCloud 配置及 Apple 规则影响。
- 保存期限：在实现功能所需期间保存。您删除宝宝后，App 会先隐藏档案并在后台清理关联记录；CloudKit 删除同步和系统备份可能存在合理延迟。卸载 App 通常会移除本机 App 数据，但不当然删除已同步到 iCloud、系统备份或已分享给他人的副本。
- 导出与恢复文件：Excel 恢复包由您主动生成并通过系统分享；您也可以选择本地恢复包进行预览、校验和合并导入，导入默认不会删除本地已有数据。文件离开 App 后的存放、复制和接收方使用由您控制，请妥善保管。
我们采取权限隔离、按宝宝标识隔离查询、Apple 数据保护机制、最小化日志和依赖审计等措施。互联网传输和存储不存在绝对安全；发生可能危害个人信息权益的安全事件时，我们会依法采取补救措施并履行通知或报告义务。
Apple、阿里云等服务可能依据账户区域和服务架构在不同地区处理数据。您通过系统邮件主动发送的反馈内容会由您选择的邮件服务处理；宝食记不会通过任何反馈 SDK 自动附加宝宝档案、照护记录或诊断日志。我们不会通过自建服务器主动将宝宝照护记录传输至境外；如未来发生由我们决定的个人信息出境处理，将依法另行告知并取得必要同意。
六、您如何管理个人信息
在适用法律规定的范围内，您可以查询、复制、更正、补充、删除相关个人信息，限制或拒绝处理，撤回同意，并要求解释本政策。
- 在“我的信息”和“宝宝管理”中查看、修改资料或删除宝宝档案。
- 在各记录详情页更正或删除照护记录；在“数据导出”中生成当前宝宝的 Excel 恢复包，或选择本地恢复包进行预览和合并导入。
- 在通知设置或 iOS 系统设置中撤回通知、相机等权限。
- 在家庭协同页面停止分享、移除参与者，或通过 Apple 系统管理已接受的分享。
- 宝食记当前没有独立注册账号，因此没有单独的“注销账号”流程。您可删除 App 内数据、关闭 iCloud 同步并卸载 App；已同步数据还需按 Apple 提供的方式管理。
如 App 内暂未提供相应入口，可通过本政策“联系我们”所列渠道提出请求。为保护宝宝和家庭数据，我们可能核验请求人与设备、Apple 账户或监护关系的一致性，并通常在十五个工作日内答复；法律另有规定的，从其规定。
七、儿童个人信息保护
不满十四周岁未成年人的个人信息属于敏感个人信息。监护人在创建宝宝档案或记录儿童信息前，应完整阅读并同意《儿童个人信息保护规则》，并仅提供实现记录、提醒、统计、同步或家庭协同所必要的信息。宝食记不接入第三方监控 SDK；未捕获崩溃由 iOS 系统按 Apple 服务规则生成报告。
若我们发现儿童未经监护人同意直接向宝食记提供个人信息，会在核实后尽快删除或采取其他保护措施。
八、本政策如何更新
功能、处理目的、第三方服务或法律要求发生变化时，我们可能更新本政策。重大变更包括新增敏感信息类型、改变处理目的、扩大共享对象或显著影响您的权利。我们会通过 App 内提示、页面公告或其他适当方式告知；依法需要同意的，会再次取得您的同意。
九、联系我们
个人信息处理者及运营者：宝食记运营者
联系渠道：请通过宝食记在 App Store 产品页公布的“App 支持”或开发者联系渠道提交隐私问题，并在主题中注明“宝食记隐私请求”。我们通常会在十五个工作日内核验并答复。