隐私政策
叮度（以下简称「我们」）重视你的隐私。本政策说明我们在你使用叮度产品和服务时，如何收集、使用、存储和保护你的个人信息。
一、信息收集范围
我们仅收集提供服务所必需的信息：
- 账户信息：手机号码（用于注册和登录验证）
- 设备信息：设备型号、操作系统版本、唯一设备标识符（用于多设备信任管理）
- 使用日志：功能使用频次、崩溃日志（用于产品改进，不含笔记内容）
- 支付信息：订阅状态、订单记录（具体支付由第三方支付平台处理，我们不存储银行卡信息）
我们不收集：通讯录、短信内容、通话记录。
精确地理位置：我们会收集，但只用于位置提醒。只有当你主动使用位置提醒（地理围栏）功能时，我们才会用到精确地理位置。用途、收集范围、存放位置和对外提供情况如下，请你在开启该功能前先看清楚：
- 收集什么：①你在地图上选定的提醒地点的精确经纬度与围栏半径；②为了把地图定位到你附近、以及判断你是否到达该地点，读取的设备当前精确位置。
- 什么时候收集：只在你新建或编辑位置提醒时，以及该提醒生效期间判断你进入 / 离开那个地点时。我们不记录你的位置轨迹，也不保存你的行程历史。
- 会不会存到服务器：会。你设定的提醒地点坐标，以及你保存的「常用地点」（名称、坐标、半径），会以明文保存在我们的服务器上，用于多设备同步。这部分数据不在端到端加密的范围内，我们在技术上读得到 —— 这一点必须让你事先知道。你的笔记正文与保险箱内容仍然按第三节的端到端加密处理，两者是分开的。
- 会不会提供给第三方：会。为了显示地图、搜索地点、以及把坐标转换成地址名称（逆地理编码），相关坐标和你输入的搜索关键词会发送给我们使用的第三方地图服务商 —— 当前为天地图（默认）或高德地图，由服务端配置决定。这一步只会发送坐标与搜索关键词，不会发送你的笔记内容、提醒内容、账号信息和手机号。地图服务商如何处理这些请求，以其自身条款为准。
- 后台定位：地理围栏需要在 App 退到后台时也能判断你是否到达，因此我们申请了后台定位权限（iOS 的「始终允许」／Android 的后台位置权限）。不使用位置提醒时不需要授予。
- 你可以拒绝：位置权限可以拒绝，也可以随时在系统设置里关闭。拒绝或关闭之后，位置提醒（地理围栏）将不可用；笔记、加密、搜索、时间提醒、保险箱等其他功能不受影响。删除某条位置提醒或某个常用地点后，对应坐标会从服务器一并删除；注销账号时同样删除。
二、信息使用目的
- 账户管理：注册、登录、身份验证、设备信任
- 功能提供：笔记同步、AI 整理、智能提醒、保险箱服务
- 安全防护：异常登录检测、设备信任链管理、防暴力破解
- 产品改进：匿名使用统计、崩溃分析（不含任何笔记内容）
- 客户服务：响应你的咨询和反馈
三、端到端加密说明
叮度对加密笔记和保险箱采用端到端加密（E2E）架构：
- 加密笔记的内容在你的设备上使用 AES-256-GCM 算法加密后再上传云端
- 密钥由你的主密码经 Argon2id 派生，仅存在于你的设备上
- 服务端不可读明文：即使收到法律要求，我们也只能提供密文
- AI 整理功能在你主动授权时，对明文笔记由服务端处理；加密笔记不参与 AI 处理
图片文字识别（OCR）在哪台服务器上完成：当图片交给服务器识别时，识别默认在叮度自己的服务器上完成，用的是我们自建部署的开源识别引擎，不经过任何第三方 OCR 云服务。这一步会传输的只有图片本身和它的识别结果；你的笔记正文、笔记标题、账号信息不会随之发送。当前能识别的是文字、版面和表格。
加密笔记的图片高级识别（OCR）：加密笔记默认只用你手机上的本机识别，只提取文字，图片不出设备。识别表格和版面结构的「云端高级识别」不会默认打开，只有你明确同意之后才会上传。同意之前，App 会为每一张图片单独弹出确认，并逐字告诉你：
这张图片会以明文上传到服务器做结构识别；服务器不保存图片、不保存识别结果，结果加密后只存在你的笔记里
- 加密笔记的云端高级识别一次只能处理一张图片；没有「以后都这样」的选项，同意不会被记住，也不写进你的设置
- 每一次同意都绑定那一张图片本身（按图片内容校验），有效期 10 分钟，用过即作废；换一张图会重新问你一次
- 每一次同意都会写进服务端的审计记录；审计记录写不成功，这一次识别就不会进行
- 识别完成后，图片与识别结果都不在服务端落盘：不写数据库、不写缓存、不写对象存储，也不建任务记录；结果由你的设备加密后写回笔记
- 加密笔记的图片在任何情况下都不会交给第三方 OCR 服务：这条通道上第三方厂商整层被跳过
- 你随时可以改回本机识别：下一张图片会照常再问你一次
- 每一次这样的上传都会在那张图片上留下一个永久标记，点开可以看到时间和当次由谁完成识别；标记不可关闭、不可撤销
非加密笔记的图片，服务器上留下什么：图片本身不留——它只在内存里参与识别，不写入磁盘、不存进数据库、不上传对象存储。留下的是这三样：①识别结果（文字与版面结构）存进服务器，好让你能搜到图里的文字、也让 AI 整理用得上，随笔记一起删除（见第四节）；②旧版单图识别接口的结果会在服务端缓存 24 小时（用于重试时不重复计费），到点自动清除；③多页文档走异步识别时会建一条任务记录，识别结果被你的设备取走时即清空、最长保留 1 小时，但这条记录的元信息（图片的哈希指纹、笔记编号、页数、时间）目前会长期保留。
用不用云端识别，每次都由你当场决定：每次给笔记加图片，识别方式都在当场二选一 ——「端上识别（默认，仅文字）」或「云端高级识别（图片将以明文上传）」。默认停在端上识别；只要不选云端，图片就不会离开这台设备。
四、信息存储与保护
- 服务器位于中华人民共和国境内
- 传输加密：全站强制 HTTPS（TLS 1.2+）
- 存储加密：数据库采用 AES-256 加密存储
- 访问控制：最小权限原则，运维操作有审计日志
- 数据保留：账号注销申请提交后进入 7 天冷静期，期间账号停用、可随时撤销；冷静期结束后 72 小时内删除全部数据。法律要求保存的交易记录去除身份关联后保留，安全审计日志额外保留 90 天后删除。
- 删除与空间释放：笔记删除后进入回收站保留 7 天，期间可恢复；彻底删除（手动清空回收站或回收站到期）后，对象存储中的文件及其历史版本在 24 小时内清除，占用的存储空间同步释放
五、第三方共享
我们不会出售你的个人信息给任何第三方。仅在以下情况可能共享：
- 经你明确同意
- 为提供服务所必需的第三方（如支付平台），且仅共享完成交易所需的最少信息
- 腾讯云语音识别（云端语音转文字）：当你使用云端语音转写时，音频需要上传到服务器完成识别，用于识别的那份音频在识别完成后会立刻进入删除队列，从服务器彻底清除。第三方识别服务仅用于当次识别，不会保存你的音频，也不会用于模型训练。为做到彻底加密，加密笔记的录音不会上传到服务器；只有你为某一条笔记单独同意时才会。在微信小程序里录制的语音笔记，音频还会作为笔记附件保存在我们自己的服务器上供你回放，随笔记删除一并删除；这一份不会共享给第三方识别服务。
- 第三方语音识别服务商（供应商名单与数据去向）：云端语音转写的音频会交给第三方语音识别服务完成识别，当前服务商为腾讯云；阿里云、科大讯飞已完成技术接入，仅在逐家隐私核查通过并更新本条后才会启用。我们与服务商的约定是音频仅用于当次识别、不保存、不用于模型训练；但识别接口在技术上无法限制数据不出境，也无法由我们验证服务商是否留存数据用于训练，这两点依赖服务商的条款承诺。不使用云端转写时，你的录音不会被发送给任何第三方识别服务；加密笔记的录音仍默认不上传（见上一条）。
- 微信同声传译（小程序内的实时语音转文字）：在微信小程序里录音时，我们会调用微信提供的同声传译插件把语音实时转成文字；录音由微信平台侧处理并把文字返回给小程序，不经过我们的服务器。该插件对信息的处理以微信平台的规则为准。
- 第三方图片识别服务商（当前状态与数据去向）：图片识别默认在叮度自己的服务器上完成。只有当自建识别服务不可用（故障或满载）时，非加密笔记的图片才可能回落到第三方 OCR 云服务完成识别；已完成接口接入的有百度智能云、腾讯云、阿里云、科大讯飞四家，是否启用由服务端逐家配置控制。加密笔记的图片一个字节都不会到达这四家。回落发生时会传输的只有图片与识别结果，不会传输你的笔记正文、笔记标题、账号信息和手机号。各家公开条款对「图片处理完之后如何处置」的说法并不一致：腾讯云称不储存用户图片信息、仅把脱敏后的日志保留三天用于排查问题；阿里云称「通过体验馆和SDK调用时」不会存储图片和识别结果，而叮度走的是接口直连，不在这句话的字面范围内；百度智能云承诺不对数据作未获授权的使用与披露，但没有就处理之后如何处置图片作出说明；科大讯飞的公开条款没有针对接口调用的图片留存说明。四家里没有一家给出过「处理即抹除」或「不用于模型训练」的承诺；以上都是各服务商公开条款里的说法，叮度无法代为核验其执行。今后若要接入这份名单以外的服务商，我们会先更新本条款，并在功能内再次征得你的同意。
- 第三方地图服务商（天地图 / 高德地图）：你使用位置提醒（地理围栏）时，为显示地图、搜索地点和把坐标转换成地址名称（逆地理编码），坐标与你输入的搜索关键词会发送给当前启用的地图服务商（默认天地图，也可由服务端切换为高德地图）。不会发送你的笔记内容、提醒内容、账号信息和手机号。不使用位置提醒时，不会有任何位置数据发送给他们。详见第一节「精确地理位置」。
- 法律法规要求或政府机关依法要求时（我们仅能提供密文，无法提供加密笔记明文）
六、用户权利
根据《个人信息保护法》，你享有以下权利：
- 查看权：随时在 App 内查看你的个人信息
- 更正权：修改不准确的个人信息
- 删除权：删除你的笔记、保险箱条目和其他数据
- 注销权：账号注销申请提交后进入 7 天冷静期，期间账号停用、可随时撤销；冷静期结束后 72 小时内删除全部数据。法律要求保存的交易记录去除身份关联后保留，安全审计日志额外保留 90 天后删除。
- 导出权：导出笔记文本为 Markdown 格式
- 撤回同意：随时关闭 AI 整理等需要授权的功能
七、Cookie 使用说明
叮度官网不使用 Cookie 追踪用户行为。我们仅在你主动登录时使用浏览器会话存储（sessionStorage）提供账户服务功能，该存储在关闭浏览器标签页后自动清除。
八、未成年人保护
叮度的服务面向 16 周岁及以上用户。如果我们发现在未获得监护人同意的情况下收集了未成年人信息，将尽快删除相关信息。
九、联系我们
如你对本隐私政策有任何疑问或需要行使上述权利，请联系：
- 隐私事务邮箱：privacy@dingduai.com
- 安全漏洞报告：security@dingduai.com
十、政策更新
我们可能不时更新本隐私政策。重大变更时将通过 App 推送通知你。继续使用服务即表示你同意更新后的政策。