隐私政策

版本号：v2.2 ｜ 发布日期：2026年10月18日 ｜ 生效日期：2026年10月18日

本次修订：澄清 iCloud / 系统云备份与换机迁移、媒体文件的加密边界，以及 JSON/CSV 导出的实际范围。

一、适用范围与个人信息处理者

1.1 本政策适用于我们通过 Apple App Store 等官方渠道分发的「会吃会练」移动应用（以下简称"本应用"）及其配套的 Apple Watch 应用（Watch App）、锁屏/桌面小组件与实时活动（灵动岛）。

1.2 本应用为个人开发者作品，个人信息处理者（开发者）为：花延明（品牌名/对外署名：尼森与海；以 App Store 页面依法公示的卖家名称为准）。

1.3 联系渠道：

• 电子邮箱：huayanming2019@gmail.com
• 应用内反馈：「我的 › 帮助与反馈 › 意见反馈」

1.4 本政策不适用于您通过本应用跳转或分享至的第三方服务（如 Apple 健康、Apple 地图、高德地图、系统分享面板等），第三方服务由其运营主体按其隐私政策独立承担责任。

二、我们收集和使用的个人信息

2.1 无账号体系、无需注册

本应用不提供账号注册、登录功能，不收集您的姓名、手机号码、电子邮箱、身份证号等个人身份信息，也不设置用户密码。您下载后即可使用全部本地功能；应用内购买由 Apple 统一处理，我们不接触您的支付账户信息。

2.2 您主动录入并默认存储于设备本地的数据

为实现饮食与训练管理，您可以主动录入下列数据。其中结构化记录保存在您设备本地的加密数据库（Hive，AES-256）中；照片等媒体文件以文件形式存放在应用沙盒目录，受 iOS 数据保护 / Android 应用沙盒保护，未再单独进行 AES 加密。除本条明确列出的例外（语音搜索、地图底图、系统云备份 / 换机迁移、您主动开启的 iCloud 加密自动备份、系统分享与数据导出）外，这些数据不会被上传到我们或任何第三方的服务器：

2.3 经系统服务处理的信息

• 语音搜索：您点击麦克风并说话时，语音音频被发送至 Apple 语音识别服务转写为文字（详见第 3.4、5.1 条）。我们不保存录音。
• 地图底图：您查看户外跑步轨迹地图时，地图底图与必要的区域信息由 Apple 地图（iOS）或高德地图（Android）服务提供，具体数据处理详见第 5 条。
• 应用内购买：购买终身会员时，交易由 Apple StoreKit 处理，Apple 可能获取设备与账户信息以完成交易；我们仅收到交易凭证与购买状态，不获取卡号、账单地址等支付信息。
• 健康数据互通：经您授权后，本应用可与 Apple 健康（HealthKit）/ Android Health Connect 读取或写入步数、心率、睡眠、体重、饮食、饮水、运动等数据，数据交换在系统健康框架内完成（详见第 5.2 条）。

2.4 我们不收集的信息

本应用不实施下列行为：

• 不收集设备广告标识符（IDFA），不进行广告追踪，不投放广告；
• 不接入第三方统计分析 SDK（不做行为埋点、不留存使用行为画像）；
• 不在后台采集位置信息——定位仅在您主动开始户外跑步/步行时于前台使用；
• 不读取通讯录、短信、通话记录、剪贴板内容（仅在您主动点按"粘贴"时读取您当时剪贴板中的模板分享码）；
• 不进行远程配置拉取、不接入崩溃上报服务（相关能力在本版本中处于关闭状态，详见第 5.5 条）。

三、敏感个人信息的特别说明

根据《个人信息保护法》，健康医疗数据、生物识别信息、行踪轨迹、不满十四周岁未成年人信息属于敏感个人信息。本应用涉及的敏感信息处理情况如下：

• 健康与生理数据：体重、体脂、围度、饮食、月经周期、睡眠、心率等，默认仅存储于本地并加密（如您开启 iCloud 加密自动备份，会随加密备份写入您本人的 iCloud Drive 容器），处理目的为您本人自主健康管理，不用于广告、用户画像或对外提供；
• 行踪轨迹：仅在您主动开始户外跑步时以前台定位生成轨迹，运动结束即停止采集，轨迹仅存本地；
• 生物识别：Face ID / 指纹仅调用系统本地验证能力用于敏感操作的身份核验，系统仅向应用返回"成功/失败"结果，我们无法读取、也不存储您的面部或指纹原始特征；
• 语音：经 Apple 服务器转写，我们不留存音频。

上述敏感信息的处理均以您的单独同意为前提（通过首启隐私弹窗与各功能首次使用时的系统授权弹窗分别取得），拒绝授权不影响其他与该权限无关的功能。

四、设备系统权限清单

本应用遵循"最小必要"原则，首启同意页之前不申请任何权限；权限仅在您使用对应功能时按需申请，且均可在系统设置中随时撤回。撤回权限不影响此前已完成的本地处理。

五、第三方服务与 SDK 目录

为实现特定功能，本应用使用了下列系统或第三方服务。我们仅在功能必需时调用相关服务，且不向其提供您的健康记录内容。

5.1 语音识别的工作方式

• 仅在您主动点按麦克风按钮后才开始采集语音；
• 语音经 Apple Speech 框架发送至 Apple 服务器转写（在支持的地区与系统版本上，部分识别可在设备端完成，具体由系统决定）；
• 我们不保存录音、不保存可关联到您身份的识别记录，识别文字仅用于本次食物搜索；
• 您可在系统设置中随时关闭麦克风或语音识别权限。

5.2 健康数据

HealthKit / Health Connect 数据仅在您明确授权的读写范围内使用，不会用于广告、不会出售、不得据此进行用户画像，也不会与第三方共享（除系统健康平台本身外）。本应用在后台不主动读取健康数据。

5.3 地图服务

地图仅在您主动查看跑步轨迹的页面加载。高德 SDK 已按其合规要求，在您同意本政策后才初始化；我们不会将您的饮食、训练等健康记录提供给地图服务商。

5.4 支付

本应用仅销售一次性买断的非消耗型"终身会员"，不提供自动续订订阅。购买流程、扣费与退款均由 Apple 按 App Store 条款处理。

5.5 已集成但当前版本关闭的能力

为保证您在未来可平滑使用云备份、跨设备同步与稳定性改进，应用中保留了云同步（腾讯云 CloudBase）、崩溃上报（Sentry）、远程配置能力的程序代码，但在未配置服务凭证的当前发布版本中，这些能力不会初始化、不发起任何网络请求、不采集任何信息。未来若启用，我们将更新本政策，逐项列明服务提供方、采集字段与目的，并重新取得您的同意。

六、个人信息的跨境提供

本应用自身不把您的信息传输至境外。下列情形可能产生由系统服务方实施的跨境数据传输，特此单独告知：

• Apple 语音识别与 Apple 地图：数据可能由 Apple 依据其隐私政策在其服务节点（含境外节点）处理；在中国大陆，Apple 部分服务由云上贵州大数据产业发展有限公司运营。Apple 对其处理的数据承担相应法律责任。
• iCloud 备份（系统备份与您主动开启的加密自动备份）：由 Apple 按您的 Apple ID 所属区域与 iCloud 条款存储和处理，可能涉及境外节点；中国大陆用户的 iCloud 由云上贵州大数据产业发展有限公司运营。
• 高德地图服务的服务器位于中华人民共和国境内。

除上述系统服务外，本应用不存在其他个人信息出境行为。您使用语音搜索、地图功能即视为对该等系统服务数据处理方式的知悉。

七、信息的存储、保护与保留期限

7.1 存储地点与方式

• 结构化记录（饮食、训练、体重、饮水、睡眠、生理周期、心情、补剂、设置等）存储于您设备本地的加密数据库（Hive，AES-256）；照片、头像、动作示范图片、照片墙图片等媒体以文件形式存放于应用沙盒目录，受 iOS Data Protection / Android 应用沙盒保护，未单独进行 AES 加密；用于崩溃恢复的少量运行 / 恢复事件日志（仅盒名、结果与错误类型，不含上述健康记录内容）为不加密盒；
• 加密密钥在设备本地随机生成，保存于 iOS Keychain（unlocked_this_device）/ Android Keystore，密钥属性设置为"仅本机可用、设备解锁时可访问"，不随 iCloud/Google 云备份迁移；
• iOS：进度照片、头像、照片墙、自定义动作图片等媒体文件会随系统 iCloud 备份一起备份（应用未对它们设置"不备份"标记），备份内容受 iOS 文件保护与您的 Apple ID 安全机制保护。Android：上述媒体目录已在系统备份规则中排除，不随 Google 云备份或设备迁移传输，换机请使用应用内加密迁移；
• 加密数据库本身可能随系统云备份或换机直连迁移到新设备，但其内容为 AES-256 密文，脱离本机密钥不可读；新设备因取不到密钥会重建为空库，不会出现明文泄露。跨设备迁移请使用应用内「加密迁移/备份恢复」功能；
• 若您在应用内主动开启「iCloud 加密自动备份」（默认关闭），应用会把结构化记录与附件目录（头像、进度照片、自定义动作图片、照片墙等）打包为 AES-256-GCM 加密备份（密钥由您设置的口令经 Argon2id 派生），写入您本人 Apple ID 下的应用云盘（iCloud Drive）容器；该文件由您的 Apple ID 持有，我们不接触也无法访问，关闭该开关后不再产生新的备份文件；
• 应用切换到后台时，iOS 会遮盖界面快照、Android 设置了安全窗口标志（FLAG_SECURE），避免敏感内容在任务切换器中泄露。

7.2 保留期限

数据在您使用本应用期间持续保留在您的设备上（如您开启 iCloud 加密自动备份，另有一份加密备份保存在您的 iCloud Drive）。出现下列情形时数据被删除且不可恢复：（1）您卸载本应用；（2）您在「我的 › 数据管理」中执行"清除所有数据"；（3）您删除单条记录。因采用本地加密存储，我们没有您数据的副本，删除后我们无法为您恢复，请您善用导出功能自行备份。

7.3 安全措施的边界

我们采取了加密存储、本地密钥隔离、生物识别校验、可重建内容的备份排除、越狱/Root 环境风险提示等措施，但请理解，互联网与电子存储不存在绝对安全。设备被盗、被越狱/Root 或被他人解锁后，本地数据仍可能被直接访问，建议您为设备设置锁屏密码并妥善保管。

八、我们如何共享、转让、公开披露信息

• 共享：我们不向任何公司、组织或个人共享您的个人信息。第 5 条所列系统服务仅在您使用对应功能时由系统直接处理必要数据，不属于我们的共享行为；
• 转让：我们不会转让您的个人信息。如未来发生合并、收购或资产转让，我们将要求受让方继续受本政策约束，否则将重新征求您的同意；
• 公开披露：我们不会公开披露您的个人信息；
• 依法提供：因法律法规要求、行政或司法机关强制要求时，我们在没有服务器和数据副本的情况下客观上无法提供本地数据；如未来具备相应能力，我们将审慎核验要求的合法性，仅在法律强制范围内配合。

九、您对个人信息享有的权利

依据《个人信息保护法》第四十四条至第五十条，您对您的个人信息享有下列权利。鉴于数据默认保存在您本人设备上且无账号体系，多数权利您可直接在应用内即时行使：

• 知情权与决定权：通过本政策与首启弹窗知悉处理规则，并决定是否授权各项权限；
• 查阅、复制权：在应用各功能页直接查阅全部记录；通过「我的 › 数据管理 › 导出数据」可将主要记录（饮食、训练、体重、饮水、睡眠与设置）导出为 JSON/CSV 文件；照片、月经周期、心情、补剂、禁食、成就 / 挑战等不在该 JSON/CSV 导出范围内。如需完整携带（含上述附件与记录），请使用应用内「加密迁移 / 备份恢复」导出 .hchlbackup 加密数据包（可携带权）；
• 更正、补充权：随时编辑任何记录或身体参数；
• 删除权：删除单条记录或一键清除全部数据；
• 撤回同意权：在系统设置中关闭任一权限，或在「我的 › 数据与隐私」中撤回对本政策的同意（撤回后返回协议页并停止相关处理）；撤回不影响撤回前基于同意已进行的处理；
• 解释说明权：要求我们对个人信息处理规则进行解释，可通过第 13 条渠道联系；
• 注销/删除账户：本应用无账户，无需注销；卸载应用或清除数据即实现等效效果；
• 近亲属权利：近亲属可依据自身合法、正当利益，就您的去世后相关个人信息权益通过第 13 条渠道与我们联系。

我们将在收到您的请求并核实身份后 15 个工作日内答复。

十、未成年人个人信息保护

本应用主要面向成年人，不满 14 周岁的未成年人应在监护人陪同、阅读并同意本政策后使用。我们不主动收集任何个人信息，也不设置任何以未成年人画像为基础的功能。若监护人发现我们在不知情情况下处理了未成年人的个人信息（实际数据仅存于其本人设备），可通过第 13 条渠道联系，我们会指导从设备本地删除。本应用在 App Store 的年龄分级以商店页面公示为准。

十一、自动化计算与算法说明

本应用的热量、营养素目标、训练容量等结果由内置的公开通用公式（如 Mifflin-St Jeor 基础代谢公式、运动代谢当量表等）与您输入的参数在设备本地实时计算得出。该计算不属于《个人信息保护法》意义上的自动化决策：其结果不决定您的交易、定价或任何差别待遇，您可随时修改输入参数，也可完全不采纳建议。具体计算口径可在应用内方案说明页查看，或向我们索取说明。

十二、本政策的更新

我们可能适时修订本政策。对于重大变更（如处理目的、数据类型、共享范围发生实质变化），我们将在应用内以显著方式（弹窗）重新取得您的同意；未获您同意的，按原政策执行。政策顶部将标注最新版本号与生效日期，历史版本可向我们索取。

十三、投诉、举报与联系我们

如您对个人信息处理有任何疑问、意见、投诉或举报，可通过以下方式联系，我们将在 15 个工作日内回复：

• 电子邮箱：huayanming2019@gmail.com
• 应用内反馈：「我的 › 帮助与反馈 › 意见反馈」

您也有权向履行个人信息保护职责的部门投诉、举报。