隐私政策
发布/生效日期：2023年8月13日
更新日期：2026年10月31日
欢迎使用食卡卡。杭州计康科技有限公司重视您的个人信息保护。本政策说明我们在提供食物查询、饮食与喝水记录、运动记录、健康日记、目标管理、食谱、身体档案、智能硬件、统计报告及食卡卡 AI等服务时，收集和使用哪些信息、为何使用、如何保存和保护，以及您如何查阅、更正、删除、撤回同意或注销账户。
请您重点阅读涉及医疗健康、私人照片、AI对话和记忆等敏感信息、向第三方提供、保存删除及个人权利的条款。相应重要内容已作加粗提示。您可按实际需要选择功能，拒绝非必要处理不影响其他不依赖该处理的功能；依法需要单独同意的，我们另行取得您的同意。
食卡卡的AI服务包括分布于不同业务页面的独立AI工具，以及以即时对话形式提供服务的“食卡卡健康助理”（AI Health Agent智能体）。独立AI工具包括拍照识别食物、成分表识别、配料表分析、热量或计量估算、辅助创建等；健康助理则在有效授权范围内串联相关核心业务功能和AI工具，支持文字交流、图片上传及在相应版本开放后的图片生成。健康助理可能根据您的请求和有效授权调用账户内相关资料与记录，而不只处理当前聊天框输入。私人记录和自定义内容不会因使用AI而自动公开，具体规则见第二章、第三章。
本政策包括以下内容：一、适用范围与处理原则；二、功能涉及的信息收集和使用；三、敏感个人信息与AI特别规则；四、系统权限、设备信息及同类技术；五、委托处理及对外提供；六、保存和删除；七、境外处理；八、安全保护；九、个人信息权利；十、未成年人保护；十一、政策更新；十二、联系我们。文末附件汇总各类信息的目的及保存期限确定方法。
一 适用范围与处理原则
1.1 运营主体和适用范围
杭州计康科技有限公司（以下简称“我们”）是食卡卡的运营者及个人信息处理者。本政策适用于我们通过食卡卡App、独立AI工具及食卡卡健康助理相关服务以及直接配套的账户、饮食与健康管理服务处理您的个人信息的活动。本政策主要说明中国大陆服务的信息处理规则，并对明确标注的海外版本功能作相应说明。海外版本还应结合服务所在国家或地区的强制性规定及适用的补充隐私告知使用；境内与海外版本的登录方式、服务商及数据存储安排可能不同，并按对应版本如实告知。
不同设备、系统、版本和会员权益下的功能可能不同。只有在您使用相应功能、存在实际必要性并具备合法处理依据时，我们才按照对应规则处理信息。本政策描述某项能力，不代表该能力在所有版本均已开放，也不代表您已同意全部功能的数据处理。
本政策所列功能为相关业务场景的说明，包括但不限于其中列举的功能名称；具体入口、名称和组合可随版本优化。仅涉及名称、入口或组合调整，且个人信息处理目的、方式、类别及授权范围未发生变化的，适用对应既有处理规则。功能名称的开放列举不扩大个人信息处理范围。新增或调整功能涉及处理目的、方式、信息类别等变化时，我们将在相应处理发生前，通过更新政策、功能说明或即时告知明确相关内容，并依法重新取得同意；涉及敏感信息、独立接收方或出境等情形时，履行适用的单独同意等要求。
您自行选择使用的第三方平台、支付机构、应用商店或独立网站，其自行开展的信息处理适用其隐私规则；我们对由我们收集、接收、使用、传输或委托处理的信息，仍依法承担相应责任。
1.2 您的选择与同意
我们遵循合法、正当、必要、诚信和公开透明原则，按照具体功能说明信息的来源、类别、用途、处理方式和您的选择，并将处理范围限制在实现相应目的所需的最小范围。阅读、同意本政策，不等于同意开启全部设备权限、向任意第三方提供信息，或将全部健康记录用于模型训练。
我们主要基于您的同意提供您主动选择的健康记录和个性化服务；为订立、履行您作为一方的合同所必需、履行法定义务所必需，或存在法律规定的其他依据时，在该依据允许的范围内处理。依法需要单独同意、监护人同意或其他特定授权时，我们另行履行相应程序，不以一次概括同意替代。
您可以拒绝提供与所用功能无关的信息。食物查询等无需疾病资料、私人照片或AI记忆即可完成的功能，不以提供这些信息为条件。拒绝某项功能必需的信息可能使该项功能无法提供，但不影响其他不依赖该信息的功能。注册验证、跨设备同步、个性化计算和AI分析分别适用相应的信息要求。
我们以弹窗、功能页面提示、权限申请等方式作出的具体告知，是本政策的补充。新增处理目的、方式或信息类别时，我们会依法重新告知并取得所需授权；不会仅因您继续使用其他功能，就视为同意新增的非必要处理。
1.3 信息来源和私人内容的含义
本政策中的个人信息，包括以电子或其他方式记录的与已识别或者可识别自然人有关的信息，依法匿名化的信息除外。信息主要来自：您主动填写、输入、拍摄、选择、上传或发出的指令；您授权的第三方登录、Apple健康和智能硬件；以及在请求、计算、同步、统计和保障安全过程中形成的数据。
与您账户关联的营养计算结果、身体指标推算、健康趋势、偏好标签、AI记忆和分析报告，也可能属于您的个人信息。去标识化的信息仍可能通过额外资料与您关联，我们继续履行相应保护义务；只有达到不能识别且不能复原的匿名化要求后，才不再作为个人信息处理。
“仅本人可见”或“私人内容”，是指不会通过产品功能向其他普通用户公开，不表示信息仅保存在手机本地。为提供您选择的云端保存、同步、计算或AI服务，我们及依法受托的服务商可能在必要范围内处理相关内容，并受本政策的用途、权限、安全和保密规则约束。私人内容不会因为保存到云端，就自动变成公共食物、社区内容或模型训练资料。
二 各项功能如何处理个人信息
2.1 账户注册登录和资料管理
当您选择手机号注册、登录或更换绑定手机号时，我们处理您提供的手机号码、短信验证码及完成身份验证所需的验证结果，用于创建账户、确认账户归属、登录认证和保障账户安全。短信验证并不等同于读取您手机中的全部短信。您拒绝提供必要的验证信息时，无法通过该方式完成注册或登录。我们不因您选择手机号验证而当然取得访问通讯录或通话记录的授权。
当您选择运营商认证登录时，我们在您完成相应授权后处理用于验证的本机手机号码及认证结果。当您选择微信、QQ或Apple账户登录、绑定或解绑时，我们处理相应平台向我们提供的账户标识、登录授权凭证及您授权提供的头像、昵称等公开账户资料，用于建立第三方账户与食卡卡账户的对应关系。不同平台提供的信息可能不同；Apple账户绑定仅适用于支持该功能的iOS版本。拒绝该第三方授权仅影响相应登录、绑定方式，您可选择其他实际提供的方式。第三方平台自身的信息处理受其隐私政策约束，我们仍对我们收到并处理的信息承担相应责任。
在实际提供Google（谷歌）登录的海外版本中，您可以选择通过Google账户登录、绑定或解绑食卡卡账户。我们处理Google向我们提供的账户标识、登录授权凭证及您实际授权提供的账户资料，用于验证身份、建立或解除账户对应关系。具体资料类别以登录授权页面及第三方处理清单为准；拒绝Google授权仅影响该登录或绑定方式。Google自身的处理适用其隐私规则，我们对接收及处理的信息仍承担相应责任。该登录方式不代表境内版本均已提供，也不替代适用的跨境处理告知及授权。
您可在「我的」页面顶部进入账户管理，设置或修改头像、昵称、性别、出生年月、身高、体重、日常运动与饮食习惯、目标达成速度、饮食忌口、口味偏好、慢性病与健康问题等资料，并管理绑定关系。头像及其他照片由您主动提供、选择或授权第三方登录提供后，按相应目的处理。您可以不提供与所用功能无关的选填资料；缺少用于计算、记录或个性化分析的必要资料时，相应结果可能无法生成或不能充分反映您的实际情况。慢性病、健康问题等医疗健康信息属于敏感个人信息，我们仅在相应健康服务确有必要时处理，并在以同意为依据且依法需要单独同意的情况下另行取得您的单独同意；具体见第三章。
退出登录或切换账户用于结束当前会话，不等同于删除该账户已保存的数据。注销账户的入口位于账户管理页面底部；注销及依法申请删除的具体规则见本政策用户权利部分。
2.2 食物查询收藏纠错和自定义内容
当您搜索或查看食物时，我们处理您的搜索词、所请求的食物标识、所选择的计量单位及返回结果所需的信息，为您提供食物类型、简介、热量、营养成分和计量信息。查询行为本身不要求您填写慢性病、身体照片等无关信息。您选择收藏食物时，我们处理食物标识及与您账户关联的收藏状态，以便后续查询和使用。拒绝提供搜索内容时，无法返回相应搜索结果；不收藏不影响食物信息查询。
当您在食物详情页提交纠错时，我们处理所涉食物、纠错内容及您主动提供的说明、图片等资料，用于核对和修正食物数据。请避免在纠错图片、商品包装或补充说明中包含无关的姓名、电话号码、地址、订单条码等个人信息。为进一步核实而需要联系您时，仅使用您为该次反馈提供的联系方式或可用的账户联系渠道。
当您创建自定义食物、自定义运动或自定义计量单位时，我们处理您填写的名称、说明、类型、食物照片、营养成分、热量、单位及对应克重或容量、运动类型及消耗参数等实际录入内容，用于保存、检索、修改、删除以及将其用于您的健康记录。仅录入某项参数不会授权我们读取其他无关内容。您可在「我的」页管理自定义食物、运动和计量单位；不创建这些内容不影响使用已提供的公共数据库。
您创建的自定义食物、自定义运动和自定义计量单位，作为您的私人内容仅您本人可见。自定义食物和您提交公共库的食物属于不同使用场景：您可以主动参加食物库共建计划，将自定义食物提交运营审核。审核通过后，该食物从您的自定义食物列表移除，转为其他用户也可搜索和使用的公共食物；您将按照相应活动规则获得一定积分奖励。为完成审核、公共库入库及奖励发放，我们处理投稿内容、提交账户标识、审核结果和相应积分发放记录；账户关联用于审核和奖励核对，不因此公开您的账户资料或私人健康记录。提交公共库前，请检查所提交的食物名称、说明、图片等是否含有个人信息或他人权益内容；不愿公开的内容请勿提交。我们不会仅因您创建自定义食物，就将其作为公共食物公开。已经作为饮食记录使用的食物信息、投稿信息和您个人的饮食记录并非同一数据，公开食物数据不意味着公开您的饮食记录。
2.3 饮食饮水运动和健康日记记录
当您手动添加、修改或删除饮食记录时，我们处理您选择的食物、食物类型、克重或容量、计量单位、记录日期及早餐、午餐、晚餐、夜宵、上午加餐、下午加餐等时段信息，并结合食物数据库计算对应热量和营养素，用于保存记录、展示摄入进度、统计分析及您选择使用的健康分析功能。每条饮食记录中的热量、蛋白质、脂肪、碳水化合物及其他营养素，来自所选食物的数据库信息、您输入的自定义信息或识别或估算结果与份量计算，并非直接测量您身体中的营养含量。食物照片、饮食记录及与健康状态结合的饮食习惯可能反映您的医疗健康情况，我们按其实际敏感程度采取相应保护。您可以不添加饮食记录，相应记录与基于这些记录的统计、分析将无法形成。
当您使用快捷喝水、搜索液体食物或将液体食物「合并到喝水」时，我们处理所选择的液体类型、饮用量、日期及相应热量。食卡卡中的喝水记录可以与饮食记录关联，液体摄入可能同时计入饮水进度和饮食热量统计；您可在记录时选择相应选项并核对结果，不使用合并功能不影响其他记录方式。
当您手动记录运动时，我们处理您选择或自定义的运动、运动日期、时长及与该项记录相对应的估算消耗，用于记录运动、计算消耗和展示统计。运动数据也可以来自您主动发起的Apple健康同步或您向食卡卡健康助理提出的记录请求，分别适用本政策对应条款。仅手动记录运动并不要求提供户外轨迹、精确位置或通讯录。
当您使用健康日记时，我们处理您主动输入的日记文字、选择的图片、心情、体重、日期及您后续修改的内容，用于保存、同步和展示每日状态。日记文字及图片由您主动提供，可能包含健康、生活或情绪方面的私人信息，我们按照内容的实际敏感程度保护。日记仅您本人可见；我们不会因您添加日记而将其公开为社区内容。请谨慎在日记中输入身份证件、金融账户、他人医疗资料等与健康记录无关的信息。您可对历史日记进行新增、修改和删除，也可在支持的版本中设置日记隐私锁。删除一篇日记与删除其中曾被您单独添加为体重等业务记录的信息，可能涉及不同对象；如需一并处理，您可以分别管理相应记录或按本政策联系方式提出请求。
您可在对应记录页面管理饮食、饮水和运动记录；不提交某类记录时，不生成该类记录及依赖它的统计或分析，不影响其他不依赖该记录的功能。
2.4 健康目标与我的计划
当您设置或查看「我的计划」、净热量目标、营养目标、喝水目标、体重目标时，我们处理您提供的性别、出生年月及据此计算的年龄、身高、最新体重、日常运动与饮食习惯、减脂或增重目标、目标体重、目标达成速度、营养素目标比例和喝水目标等资料，用于生成、保存和展示您的计划，计算基础代谢、每日总消耗和建议净热量，并展示目标进度。您可以根据个人需要调整实际采用的目标，不使用推荐值不等同于拒绝其他服务。
净热量目标用于将食物摄入热量减去运动消耗后与当日目标比较；营养目标用于换算或比较蛋白质、碳水化合物、脂肪等摄入量。推荐计算优先使用有效期内设备提供的基础代谢数值；没有可用设备数值时，结合性别、年龄、身高和体重按公式估算。缺失部分资料时，系统可能采用默认参数。默认值和算法估算不代表我们已实际取得相应的身体测量结果；您可完善、修正基础资料并核对实际采用的目标。日常运动习惯用于估算每日总消耗；饮食习惯、体重目标及您选择的达成速度会影响相应推荐值。净热量推荐与您最终采用的目标分别处理，统计和AI分析以您实际保存的目标为依据。具体计算说明以相应功能页面为准，我们不会仅因您查看目标页就收集与该功能无关的疾病或生物识别信息。
2.5 健康数据统计和趋势展示
当您查看营养分析、饮食统计、运动统计、饮水统计、每日达标情况、营养素来源排名或趋势图表时，我们查询相关期间的饮食、饮水、运动记录、食物营养数据及您采用的目标，计算摄入量、比例、进度、来源排名与达标情况。统计还可能汇总记录次数、天数、餐次分布、连续记录情况、平均值、累计值及所选期间的变化，用于展示您自己的执行和变化情况；汇总结果与账户关联时仍属于需保护的信息，不能仅因称为“统计”就视为匿名数据。数据统计及图表供您查看；只有在您主动分享、导出或另行授权的情况下，才按相应场景处理对外提供信息的操作。我们不会将您的健康统计默认为公开信息。
普通统计按照您已保存的记录、目标和计算规则汇总，不因为查看统计图表就自动向AI模型发送全部历史。单纯查看普通统计，不代表授权新增AI分析。您选择AI健康分析、AI周报、每餐分析或AI总结时，按对应AI规则和有效授权处理相关资料；主动健康提示另适用第三章第9节。记录不足可能影响统计完整性或分析结果。您可以更正、删除原记录，或通过本政策渠道对相关统计、推断和报告提出请求。
2.6 食谱和轻断食计划
当您选择、启用、创建、修改或保存食谱时，我们处理所选食谱、计划日期、各餐食物、份量及修改记录，用于展示和维护饮食计划，并在您操作时将计划中的食物添加为饮食记录。您创建的食谱仅您本人可见。您未启用或保存某项食谱，不会因此生成您已实际食用相关食物的记录。
当您使用AI挑选或生成个性化食谱时，我们处理与该次请求相关的热量目标、体重目标、饮食偏好、忌口、口味及您提供的健康状况，结合您的请求生成食谱。涉及慢性病、健康问题等敏感信息时，按照敏感个人信息处理规则另行取得所需授权。您可选择不提供这些选填资料，相应食谱可能无法针对该部分情况作适配；您也可以选择不用AI生成，使用其他实际可用的食谱功能。生成的食谱是健康管理参考，不构成医疗诊断或治疗方案。
当您启用轻断食时，我们处理您设置的单日断食方案、进食和断食时段、启用状态及相关提醒设置，用于展示断食计划、进度和发送您选择开启的提醒。您可在轻断食页右上角菜单关闭该模块，并在设置中重新开启。关闭模块后停止对应计划功能及您选择关闭的提醒，不影响独立的饮食、饮水或身体记录。关闭模块不等同于删除已经形成的其他饮食或健康记录；相关数据删除可按本政策用户权利条款处理。
2.7 身体档案智能硬件和身体健康报告
当您使用身体档案时，我们处理您主动填写或记录的身高、体重、胸围、腰围、手臂围、臀围、大腿围、小腿围、记录日期及您主动上传的身材照片，用于保存身体记录、展示来源、绘制趋势和比较变化。您可以手动录入，在已授权连接智能硬件后接收设备数据，或向食卡卡健康助理明确提出记录请求；不同来源会按相应方式处理。
身材照片是您主动拍摄或选择上传的私人内容，用于云端保存、跨设备查看及您本人对比。您可以不上传照片，继续使用无需照片的身体记录功能。我们不会将上传身材照片解释为同意公开照片、投放广告、提取用于身份识别的面部模板，或将照片用于通用模型训练。未经另行告知及取得所需授权，不会仅因您保存身体照片就将其交给模型进行其他分析。
身材照片上传至云端后，在产品中仅供您本人阅览，不向其他普通用户公开。图片访问采用私有、短期有效的鉴权链接，每次获取图片时提供相应访问链接，并结合访问控制限制访问；链接到期后不能继续通过该链接获取图片。上述保护用于降低未经授权访问的风险，不表示数据仅保存在本地，也不改变为提供云端保存服务而进行的必要受托处理。
当您主动发现、绑定或连接食卡卡支持的体重秤、体脂秤、食物秤等智能硬件时，我们处理完成连接所必要的设备标识、型号、连接状态和测量时间，并接收该设备实际提供的体重及其他身体数据。部分指标由设备或其配套算法结合实际测量数据与您提供的性别、年龄、身高等身体资料计算，可能包括体脂率、脂肪量、去脂体重、肌肉量、骨骼肌率、水分率、蛋白质率、骨量、内脏脂肪等级、基础代谢、身体年龄等评估指标；BMI可由身高、体重计算，腰臀比可由腰围、臀围计算。设备类型不同，实际向食卡卡提供的项目和计算方法不同，我们仅接收设备实际提供的字段，并按所选身体档案和报告功能处理相应计算结果。
本政策所称智能硬件，包括体重秤、体脂秤、食物秤等食卡卡实际支持的设备。其他设备类型（如后续支持的手环）以相应版本实际开放能力为准。我们按设备类型和您选择的功能分别说明实际接收的信息、来源及用途，不因连接一种设备就读取其他类别数据。食物秤等设备不当然产生人体测量指标；下文身体指标说明仅适用于实际提供相应指标的设备。新设备涉及尚未说明的数据类别、用途、权限或接收方时，我们在启用前另行告知并履行所需授权程序。
上述身体评估项目并非均为直接测量值。部分结果属于基于测量和基础资料的算法推算，用于健康管理参考、趋势比较及报告展示，不代表医学检查结果。数据缺失、资料错误、测量条件或模型能力均可能影响结果。您可更正基础资料、检查数据来源，并对不准确的记录、推断或报告提出更正、删除请求。
连接设备时，我们根据系统要求申请蓝牙或“附近的设备”等权限；特定Android系统的设备发现如确需位置权限，会在请求时说明对应用途和范围。拒绝连接所必需的权限，仅影响相应设备发现、连接或数据传输，您仍可手动记录。多人使用同一设备时，请核对结果归属；未经合法授权，不应将他人的测量结果记入您的档案。
身体健康报告根据本次测量或推算指标、相关基础资料及可用历史记录，展示身体状态、变化与建议。基础报告不以开通会员为前提；您选择会员AI拓展分析时，才按照对应AI场景处理该次分析需要的健康资料。拒绝AI拓展分析所需处理，仅影响该项分析。解绑设备不会自动删除已保存的测量历史，您可另行管理或申请删除。
您通过外部电商平台咨询、购买智能硬件时，该平台自行处理的订单及售后资料适用其规则；我们不会仅因您在食卡卡查看产品介绍就取得您在该平台的全部订单或收货资料。
2.8 Apple健康同步和跨设备使用
当您在支持的iOS设备上主动授权Apple健康相关类别的读写权限时，我们在您允许的类别和范围内读取或写入对应健康数据。读取与写入属于不同方向的处理，您可以通过系统健康权限管理分别选择。运动记录同步用于将当天受支持的运动记录导入食卡卡，涉及该条运动的类型、日期、时间、时长和相关运动消耗等实际被授权并提供的字段；并不表示自动导入Apple健康中的全部历史数据。
请特别注意：您根据首页提示主动同步至食卡卡的运动记录，将保存至食卡卡云端，纳入您的饮食、运动和身体档案体系，并可在您登录同一食卡卡账户的Android等受支持设备上使用。该过程不仅是在iOS本地展示Apple健康数据。在您授权相应写入类别后，食卡卡可将喝水记录中的饮水量写入Apple健康；该写入操作不会自动授予读取Apple健康喝水记录的权限。您可选择不发起同步，继续手动添加运动。将食卡卡中记录的每日热量、饮水量、身高、体重及相应身体数据写入Apple健康时，仅处理您授权类别中的实际字段，用于按您的选择同步健康记录。
您可在系统设置中撤回健康数据访问授权，也可通过「我的 → Apple健康」查看相关说明。撤回后，我们停止相应后续读取或写入；此前已由您主动导入食卡卡云端的记录，或此前已按您指示写入Apple健康的记录，不会仅因关闭权限而自动从另一系统中消失。您如希望删除，应分别在相应系统中处理，或就食卡卡保存的数据向我们提出请求。我们不会因获得健康数据同步权限而取得将Apple健康来源数据用于广告定位、营销画像或模型训练的授权；此类数据的使用还须遵守适用法律及平台规则。
2.9 AI识别估算和辅助创建
本节主要说明在各业务页面直接使用的独立AI工具。这些工具也可能由健康助理按您的请求调用；直接使用时按本次工具任务处理信息，通过健康助理调用时还涉及实现该次对话及工具操作所必需的上下文。独立工具的使用不会自动授权读取完整聊天历史、长期记忆或全部健康档案。
当您使用拍照识别、食卡卡健康助理照片识别、成分表识别或配料表分析时，我们处理您主动拍摄、选择或上传的图片、您补充的文字以及从图片中识别出的食物名称、种类、数量、克重、计量单位、营养成分或配料内容，用于识别食物、估算份量、匹配食物数据库、展示成分或配料解读，并在您请求时生成饮食记录或自定义食物。我们仅因您发起该次识别而处理所提交内容，不因此访问相册中的其他照片或打开未由您触发的拍摄功能。
照片中可能同时包含人像、家庭场景、地理位置、账单或商品订单信息。请在提交前裁剪、遮挡与识别目的无关的内容，不要上传他人不愿披露的照片或资料。相册选择与相机拍摄是不同的数据来源；拒绝相机权限仅影响直接拍摄，不必然影响通过系统照片选择器等实际提供的其他方式提交图片。上传图片可能附带拍摄时间、位置等元数据；这些信息同样属于应当保护的信息，我们将图片和附带信息的处理限制在已告知目的所需范围，不因上传识别而取得与识别无关信息的使用授权。
当您使用食物热量估算、计量描述估算或「没有找到？试试AI创建」时，我们处理您输入的食物名称、描述、份量、单位及相关图片，生成估算营养素、热量和单位等结果。您可核对并修改识别或估算结果；错误结果不会因为由AI生成就成为您真实摄入量的证明。通过「我的」中的热量识别快捷指令设置入口调用功能时，仍只按您实际触发的指令和提交内容处理；系统快捷指令或其他应用自身取得的信息，不会当然全部提供给食卡卡。
不同AI功能可能由我们的系统及技术服务提供方共同完成，涉及第三方AI时，我们将在发送前清楚告知实际接收方和用途，并取得明确许可。涉及向受托服务商提供数据时，按本政策委托处理条款及对应服务商清单执行；涉及由独立个人信息处理者接收个人信息时，另行履行告知及取得单独同意等义务。您同意使用AI功能，不等于同意将全部账户资料、历史记录或未提交的照片无差别提供给模型服务商。
2.10 食卡卡健康助理对话和业务操作
健康助理以即时对话形式协调实际开放的核心业务能力与AI工具，能够根据请求组合查询、识别、估算、分析及记录等步骤。以下操作为能力举例，具体可执行操作以相应版本、业务权限及您的有效授权为准；组合调用不改变每个环节应遵守的数据范围、接收方及确认要求。
当您与食卡卡健康助理交流时，我们处理您主动输入的文字、图片、与本次请求相关的上下文、系统回答及您发起的操作请求，用于理解问题、连续交流、回答健康管理问题并完成您要求的具体功能。为完成您指定的分析、查询或记录请求，系统还可能调用您账户内与该请求直接相关的基础资料、目标、偏好、饮食、饮水、运动、身体记录、AI记忆或历史报告。我们将调用范围限制在实现该请求所必要的部分，不会仅因存在食卡卡健康助理而任意扩大健康资料的可访问范围。
食卡卡健康助理除了生成文字，还可以根据您的请求创建饮食、喝水、运动、体重或其他身体部位记录，修改体重目标，挑选或创建食谱。因此，您输入「帮我记录」「把目标改为」等操作性请求时，相应信息可能写入您的业务记录，而非仅留在对话文字中。请准确说明日期、数量、单位和操作对象，并及时在相应页面核对结果。您可以通过对应记录、目标或食谱页面中实际提供的管理功能进行更正；无法自行更正时，可联系我们。我们不会把一般咨询当然理解为您授权实施与咨询无关的删除、公开或交易操作。
当您的输入涉及慢性病、过敏、特殊健康状况或其他敏感个人信息时，仅为完成您所选择的健康服务处理必要内容；请勿提交与请求无关的证件号码、金融账户或他人隐私。如您提供他人个人信息，应确保具备合法处理依据，涉及未成年人信息时还应遵守本政策未成年人条款。AI生成的饮食建议、估算、计划和健康分析可受资料准确性及模型能力影响，不构成对您病情、人格或医疗状况的确定判断。
在开放图片生成的版本中，当您主动请求生成图片时，我们处理您的文字描述、您为该次生成主动上传或明确选用的参考图片、必要对话上下文及生成结果，用于完成图片生成和结果展示。参考图片可能包含个人信息；我们仅在完成本次请求所需范围内处理，不因您请求生成图片就自动调用身体档案照片、全部相册或其他私人图片。涉及第三方图片生成服务时，在发送前告知实际接收方、数据范围及用途并取得所需许可。生成结果与账户或会话关联时，按对应个人信息保护规则管理；临时生成材料仅在完成请求、必要安全检查和错误核查所需期间保存，您保存为会话或业务内容的部分按对应规则保存、删除。生成图片适用本政策的AI生成内容标识、反馈和用户权利规则。
2.11 AI记忆角色设置和对话反馈
AI记忆用于在持续交流中保留并使用您的饮食习惯、运动偏好、长期目标及个性化需求，使之后的回答更符合您的要求。记忆内容可能来自您明确告诉助理的信息，也可能是根据交流内容提取的习惯或偏好，存在理解错误的可能。涉及健康问题等敏感信息的记忆，仍须按照敏感个人信息的告知、必要性和单独同意要求处理，不会以「提升体验」作为无差别保存敏感资料的理由。
您可以查看、修改或删除AI记忆；不希望继续使用记忆的，可通过相应功能设置或本政策联系渠道提出停用、撤回及删除请求。请注意，对话内容、AI记忆、由对话生成的饮食或身体记录以及已经生成的报告属于不同数据对象；删除其中一项并不当然表示其他对象同时被删除。若您希望将相关对象一并处理，可在相应管理功能中分别操作，或通过本政策提供的联系方式提出明确请求。法定删除条件成立时，我们仍会依法处理相关派生记忆、标签、报告和受托副本。我们在响应请求时会核对涉及的范围，不会以尚无一键清空功能为由拒绝依法应当满足的删除请求。
当您设置AI名称、对您的称呼、对话风格时，我们处理这些偏好，用于调整助理的展示和回答方式。您自定义的名称、称呼或风格说明也可能含个人信息，请仅填写希望用于该功能的内容。尚未上线的个性化语音或形象功能不因本政策描述AI角色而取得现时收集语音、生物识别或其他新增信息的授权。
当您点赞、点踩或举报AI回答时，我们处理反馈类型、您主动填写的原因、所涉问题和回答及核实该次反馈所必要的上下文，用于受理反馈、核查错误或不适当内容、保障服务安全和改进回答质量。反馈不等于授权将您全部对话或健康资料纳入通用模型训练。若服务改进需要超出原处理目的使用个人信息，或将个人信息用于训练模型，我们会另行明确告知所用数据、目的、方式、接收主体及适用的用户控制，并依法取得相应同意；不能以同意本政策或提交反馈概括替代所需授权。经依法处理达到不能识别且不能复原程度的匿名化信息，依其实际性质及法律规定处理。
2.12 AI分析各类报告和报告中心
当您选择AI健康分析、AI健康周报、每餐健康分析或身体健康报告的AI拓展分析时，我们处理与所选时间及场景相关的基础资料、健康状况、个人目标、饮食、饮水、运动或身体测量记录，生成相应报告、解释和建议。每餐分析以您选择的时段为范围，周报以相应一周为范围；这不表示每次生成报告都需处理您全部账户历史。AI报告中心用于展示您已经生成的分析报告及对应期间，便于您后续查阅。您可以不生成AI报告，继续查看不依赖AI处理的普通记录和统计。
当您查看健康周报或月报时，我们处理对应期间的体重趋势、饮食与运动记录、相关目标及统计结果，生成回顾内容；您选择的会员AI总结还可能按AI分析场景处理这些数据。报告中的趣味化人格或风格描述属于基于记录生成的健康管理表达，不是对您的心理健康或真实人格作医学判断。我们不会因生成这类描述就将其转化为面向第三方广告投放的敏感健康标签。
个人资料、目标、原始记录与报告结论之间存在关联。您修改或删除原始记录后，已经生成的历史报告可能仍反映生成时的数据。您可就报告更正、删除及其使用提出请求；我们会按实际可处理范围核对并依法响应。您主动分享报告或记录图片时，应检查其中的头像、昵称、身体指标、健康状态及其他不愿被接收者看到的信息；向第三方平台分享后，该平台对所接收内容的处理适用其规则。
2.13 会员订单AI电量和积分权益
当您购买、续费、恢复会员或查询权益时，我们处理您的账户标识、所购服务、订单号、购买及支付时间、订单金额、支付状态、支付渠道返回的交易凭证、会员起止时间及权益状态，用于完成交易、验证和恢复权益、提供售后、核对争议及履行法定保存义务。通常由您选择的支付机构处理其完成支付所需的金融账户资料；我们仅处理交易验证和提供服务所必要的回传信息，不因售卖会员就当然取得您完整银行卡号码、支付密码或第三方账户密码。
AI电量功能需处理与您账户关联的额度发放、使用、扣减、剩余额度、会员等级或有效期及相应服务调用记录，用于展示可用额度、计量并核对服务使用。使用记录可以反映您调用服务的时间、功能及计量结果，不能因此不加区分地扩大对话内容的保存范围。积分、补签、积分商城优惠及实际开放的兑换功能，需要处理积分获取、扣减、补签或兑换记录和相应权益，以完成您选择的操作；尚未开放的兑换安排不代表当前已开展该项处理。
您不购买会员或不参加积分活动，不影响使用实际提供的非会员功能，但不能使用相应专属权益。会员「移除开屏广告」属于权益范围，不能被理解为未经授权即可对非会员开展健康画像广告。若使用第三方支付、应用商店或电商平台，相关主体身份、实际数据及处理关系按第三方清单和对应交易页面告知。
申请电子发票时，我们处理您在开票表单主动填写的发票抬头、税号（如适用）、实际接收方式，以及完成开票和核验所需的订单信息，用于开具、发送发票及履行相应财税义务。不申请发票不影响无需开票信息的服务；具体开票主体、字段及留存依据按实际渠道说明。
2.14 广告通用设置提醒客服和运行信息
当您设置地区、语言、身高、体重、热量或饮水计量单位时，我们保存所选偏好，用于显示、换算及服务适配。手动选择地区不等于授权获取精确位置。
当您设置早餐、午餐、晚餐饮食提醒或轻断食提醒时，我们处理提醒类型、时间、启停状态，以按您的选择发送提醒。您可在“我的 → 提醒”及系统通知设置中管理。拒绝或关闭通知只影响相关提醒的显示，不影响无需通知的记录。提醒按您所用平台和版本实际提供的能力运行，通知权限不等于日历读写权限，也不等于同意接收全部营销消息。
食卡卡提供开屏广告等广告服务。为展示、计量、归因或防止广告作弊，我们及相应服务商在合法必要范围内处理设备或广告标识、系统及App版本、网络类型、IP地址、广告展示和点击、交互及转化事件。具体SDK涉及的信息、场景和方式见《第三方SDK信息共享清单》；不同系统的标识不同，具体见第四章。只有在实际提供摇一摇等广告交互时，才在对应交互所需范围处理相应传感器事件，不将广告交互解释为持续健康监测。
对于需要平台跟踪许可的活动，我们在获得所需许可后开展；您可通过系统隐私设置管理跟踪许可。对于个性化广告或内容推荐，我们依法提供非个人特征选项或者便捷拒绝方式；您也可以通过帮助中心或本政策联系方式提出拒绝、撤回及删除有关推荐标签的请求。拒绝个性化不等于一定不再看到广告，会员移除开屏广告属于相应会员权益。我们不会将疾病、身体健康数据、身材照片、Apple健康来源数据或私人对话用于个性化广告定位；法律或平台规则禁止的用途，不因取得一般同意而开展。
为了解功能使用情况、发现故障和改进具体服务，我们处理必要的页面或功能标识、访问、点击、使用时间、请求结果、错误及性能事件。该类事件与账户或设备关联时仍可能属于个人信息；健康统计、AI执行轨迹与一般使用统计分别按各自目的处理，不以“数据统计”作为收集全部健康内容的理由。可选统计或营销目的的信息处理，依法提供相应选择；您可通过本政策渠道行使拒绝、撤回或限制处理的权利。
当您通过“我的 → 帮助中心”的邮件或企业微信渠道咨询、反馈、举报、投诉或申请行权时，我们处理您主动提供的账户标识、联系方式、问题说明、沟通及附件，用于核实身份、定位问题、联系您和处理诉求。交易售后可能需要核对相关订单；我们不会要求与诉求无关的全量健康档案、账户密码或验证码。必要信息不足时，可能无法核实该次诉求，不影响其他无关功能。
为传输请求、维持登录、保护账户和系统安全、发现故障及防止滥用，我们处理必要的设备、网络、请求和运行日志，具体见第四章。第三方邮件、企业微信等自身开展的处理适用其规则，我们仍对所接收的咨询资料负责。
2.15 日记和身体档案隐私锁
您可以通过“我的 → 隐私锁”管理身体档案等支持锁定的内容，并在相应功能中设置日记隐私锁。我们处理您设置的启停状态及完成验证所需的信息，用于限制持有您手机的人浏览相应内容。使用密码方式时，处理为设置和验证密码所需的信息；使用系统指纹、Face ID等本机认证方式时，通过系统认证接口完成验证，我们接收验证结果，不读取或保存系统中的原始指纹或面部识别模板。
隐私锁是设备上的访问保护，不会停止为您提供云端保存、同步或已授权AI服务，也不等于数据全部保存在手机本地。您可以选择不启用隐私锁，继续使用无需该锁的功能；请同时保护您的账户及手机解锁方式。需要停止特定处理、撤回权限或删除云端数据时，请按第九章操作或联系我们。
三 敏感个人信息与AI特别规则
3.1 敏感信息的必要性和影响
医疗健康信息、宗教信仰信息、能够反映健康状态的身体测量及推断、涉及私密内容的照片、生物识别信息以及不满14周岁儿童的个人信息等，具有较高敏感性。体重、围度、饮食习惯等是否构成敏感信息，也需结合具体内容、组合使用方式及泄露后影响判断；我们不会仅因某个字段看似普通就忽视完整健康档案的风险。
我们仅在具备特定目的、充分必要性及严格保护措施时处理敏感信息。以同意为处理依据且依法需要单独同意的，会在处理前单独告知并取得同意；法律规定可以不依赖同意的，限于该法定范围。我们会同时向您说明相应处理的必要性及对您个人权益的影响。
用于个性化目标、AI食谱或健康报告的身体与健康数据，是为了结合您的实际状态计算和提供相应服务。拒绝必要的敏感信息处理会影响相应个性化服务，您仍可使用不依赖这些资料的功能。身材照片用于您选择的保存和对比；不提供照片不影响其他无需照片的身体记录。AI对话和记忆涉及健康问题时，仅保留完成该项服务所需内容，不将完整健康档案作为默认输入。
这些信息一旦泄露、误用、错误关联或被不当推断，可能造成私生活暴露、歧视、名誉损害、身份关联或其他人身财产风险。我们将限制访问和传输范围、控制内部及供应商使用，提供更正、撤回及删除渠道。对算法形成的健康推断，您可提出异议；我们不会将估算结果作为已经验证的医疗结论。
3.2 AI服务接收方及数据范围
实际使用的第三方模型、语音识别和其他服务端接口，与客户端SDK一并纳入第三方处理清单。清单逐项列明服务商法定名称及联系方式、服务或模型名称、处理关系、适用功能、触发条件、信息类别、处理目的和方式、存储地域、保存期限或确定方法、隐私政策和行权渠道。适用的单独告知和同意在传输前完成，清单展示本身不替代授权。
我们根据本次任务选择必要信息，不将无关手机号、登录凭证、完整账户档案、全部历史图片或所有健康记录作为每次调用的默认输入。同一账户跨设备登录不会扩大每次调用范围。模型可用的资料和工具受账户、业务权限及用途限制，不得读取或修改其他用户的数据。
您可以不使用相应AI功能，继续使用不依赖该AI处理的功能。对您已经依法授权的某项AI任务，系统可能执行理解问题、查询资料、调用工具、再次分析等多个步骤；每一步仍受本次目的和有效授权范围限制，不将一次任务解释为对未来全部数据处理的同意。
3.3 推理改进评测和模型训练
如拟将可识别您的信息用于原告知范围之外的训练、评测或服务改进，我们会在开展前另行说明数据类别、目的、方式、必要性、接收方、保存安排、对您的影响及拒绝或退出方式，并依法取得相应同意；涉及敏感个人信息时履行适用的单独同意等要求。您拒绝可选训练或改进用途，不影响不依赖该用途的正常服务。依法或平台规则禁止使用健康数据的用途，不通过一般同意予以扩大。
受托服务商应当依我们的合法指示和约定处理信息，不得将受托取得的健康记录、图片或对话自行用于广告、数据交易或模型训练。模型推理、内容安全过滤、必要错误排查及日志保存分别受对应目的和保存规则限制；“不用于训练”不等于请求完全不经过服务商，也不等于所有数据立即消失。涉及人工核查的规则见下一节，保存和删除见第六章。
3.4 人工处理反馈和生成内容标识
为核查您主动提交的投诉、AI错误或安全事件，确需人工查看内容时，我们仅向具备必要权限并承担保密义务的人员开放该次问题所需资料，不无差别查看全部私人记录。使用外部审核服务的，按实际委托或独立提供关系披露。核查材料仅在处理该次问题和必要复核所需期间内使用和保存；依法需要留存的，限制在相应义务所需范围。
AI回答、分析、食谱及报告中适用的生成内容，将按法律要求标注并提示其AI生成属性；依法需要显式、隐式标识或在下载、复制、导出中保留标识的，按对应场景执行。生成内容可能存在错误、偏差或不完整，您可通过反馈或客服渠道报告与更正。我们按具体服务履行适用的内容审核、标识和其他法定义务，不以接入模型的手续替代我们自身的责任。
3.5 自动化决策与个性化选择
我们根据您的基础资料、目标、偏好和相关记录，计算热量或营养目标、匹配食谱、生成健康建议、分析体重变化及展示有关提示。主要信息依据和用途见第二章及本章。我们保障自动化处理的透明、公平，不利用算法对交易价格等交易条件实施不合理差别待遇。
您可更正输入、调整实际采用的目标，或通过本政策联系方式要求说明主要处理依据和机制。对基于个人特征的信息推送或商业营销，我们依法提供非个人特征选项或便捷拒绝方式，并受理对相关推荐标签的选择、删除请求。拒绝商业个性化推荐，不会停止您主动请求且另有有效授权的独立健康分析；关闭推荐也不自动等于删除AI记忆。
对您的权益产生重大影响的决定，您有权要求我们作出说明，并有权拒绝仅由自动化决策作出。自动生成的健康建议、阶段判断和身体推算可能存在偏差，您可提出异议、更正或删除请求。
3.6 Apple健康来源数据的额外边界
Apple健康来源数据用于您授权的健康管理、记录同步及相应功能，不用于广告定位、营销或与这些健康目的无关的数据挖掘。仅获得HealthKit读写权限，不代表取得向第三方AI服务商发送数据或用于训练的许可；还须符合适用法律、Apple平台规则及对具体用途的明确许可。我们区分数据来源，执行相应用途限制，并遵守Apple关于不得将个人健康信息存入iCloud的要求。
3.7 用户信息快照与历史数据查询
可能涉及的类别包括账户标识、年龄、性别、身高、注册或使用时长及会员状态；当前、初始体重及有关变化；身体围度和腰臀比；BMI、体脂率、基础代谢、肌肉量、骨骼肌率、脂肪量、去脂体重、内脏脂肪等级、水分率、蛋白质率、骨量、身体年龄等实际取得的指标；目标体重、创建日期、期望达成时间、速度、完成率及预测；热量、营养、饮水和实际启用的运动目标；饮食忌口、过敏、不耐受、口味或特殊饮食要求；您主动提供的疾病史、慢性病、健康问题、特殊状态和医生建议；轻断食状态与进食时间窗口；饮食、饮水、运动和记录习惯的相应汇总或趋势。
上述类别只有在您已经提供、授权取得或通过您选择的业务形成时，才可在相应目的范围内使用，不表示每次请求都发送全部字段。我们根据本次健康服务的实际需要及授权范围，选择当前状态、限定期间的统计或历史记录，并按相应告知限制模型接收的字段与日期跨度。用户未填写、不存在或无法确认的资料，不以模型猜测填充成事实。对宗教或文化饮食限制等可能涉及宗教信仰的敏感信息，仅在您自愿提供且确为所选服务必要时依法处理，不从食物偏好反向推定您的宗教身份。
较长历史明细与当前状态、趋势汇总分开处理。趋势、完成率等可能先在食卡卡业务系统计算或缓存；进一步分析所需的饮食明细、运动、身体围度、体重或断食记录，可以按相关日期、餐次、身体部位等条件查询后提供给本次模型请求。不会仅因开放查询能力就无限制拉取全部历史或跨账户访问。例如，询问某餐饮食时使用相关餐次及必要背景，查询体重趋势时使用所选期间的体重及相关目标；不因可查询历史记录就默认调取全部私人照片、日记或与任务无关的长期历史。
3.8 助理工具操作与确认偏好
食卡卡健康助理可在实际开放且经授权的能力范围内，查询本人饮食、运动、身体及断食记录，检索食物、识别图片、推荐饮食及食谱，分析限定期间的营养、体重趋势或瓶颈，并按明确操作请求新增、修改或删除相应饮食、运动、体重记录及设置体重、热量或饮水目标。食谱和综合健康分析还可能使用您提供的可用食材、份数、制作时间、饮食预算及关注方向；预算描述不等同于授权读取金融账户。未向您开放的能力不据此提前处理您的信息。
执行前，系统校验当前账户、目标记录、参数、业务权限及确认条件。需要确认时，会展示拟操作对象和关键内容，由您确认、修改或取消后处理；单选、多选及参数补充的结果，也会作为该次请求的一部分保存和使用。我们根据实际执行结果标识操作状态，不将未确认成功的调用直接显示为已经完成；发生超时、异常或重试时，核查实际写入情况，避免重复记录。权限判断由服务端落实，模型提出调用不等于系统一定执行。
对允许设置的低、中风险操作，您可能选择特定能力的后续免重复确认偏好；系统将保存对应能力及选择结果，用于判断之后是否仍需业务确认。该偏好不是跨功能的无限授权，不代替敏感信息、第三方提供或出境所需的法定授权，您可通过对应设置或本政策联系渠道撤销该偏好、恢复确认。删除记录、批量修改等高风险操作仍须明确确认，不以长期记忆或通用“下次不问”绕过。确认偏好按您选择的具体能力生效，不将其扩大到未选择的能力或其他账户。
3.9 主动健康提示与推荐话题
在提供主动健康提示、且已完成所需告知和授权的场景中，添加饮食、饮水、运动、体重或体脂记录，以及进入首页等操作，可能触发系统按当前状态和限定期间统计，判断是否展示健康助理提示。判断可涉及记录天数与完整度、是否用过某项功能、热量或营养素与目标的差异、体重及体脂变化、目标阶段、运动习惯、最近提示时间、已展示次数、点击或拒绝状态等，用于生成相关提示、控制频率、避免重复和尊重您的选择。
提示场景可包括功能使用引导、饮水目标设置、营养结构关注、体重趋势或平台期、身体成分变化、目标达成、运动后营养及阶段回顾。此类判断可能已经处理健康及行为信息，不能仅因您尚未进入聊天页就认为没有信息处理。提示只用于已告知的健康服务目的，不当然构成医疗诊断或授权广告营销。您可通过本政策联系方式拒绝、停止或恢复主动个性化提示；相应页面提供管理选项时，也可在页面内操作。拒绝该项可选处理，不影响独立记录等无需该处理的功能。
气泡展示、启动深度分析和形成会话消息是不同环节。您点击某个气泡或推荐话题后，系统可能将预设问题作为一条新消息发送给助理，再按该问题调用相关资料或工具；我们会在点击前展示相应内容和用途，使您了解即将发出的请求。不点击气泡不等于同意发送预设问题或启动完整分析，也不表示系统此前未进行提示条件判断。在气泡未转成聊天消息时，系统仍可能为判断是否应提示、控制频率及记录您的拒绝，处理展示、点击或拒绝状态；这些状态与完整聊天内容分别保存。提示可由业务规则或经授权的模型分析形成，两者均限制在已告知的健康服务范围。
新会话的推荐话题可以基于通用话题池，也可以在依法授权范围内个性化展示；回答后的追问建议可能依据当前会话生成。只有在您选择发送或明确要求自动继续时，才按相应请求开展下一步处理。点击、继续对话或重新生成回答等行为，按已告知的使用统计、服务核查或反馈目的处理，不因此授权训练完整健康档案。
3.10 语音输入和角色偏好
在实际提供语音输入的版本中，您主动按住或点击语音入口并授予必要麦克风权限后，我们处理本次录入的音频及转写文字，用于识别您的问题或业务指令。音频可能包含背景声音或他人信息，请尽量避免录入无关内容。录音、语音识别、文字对话及语音播放是不同环节；涉及第三方语音识别时，在发送前明确告知识别服务及其数据范围，履行所需授权；音频与转写文本按第六章分别保存和删除。
拒绝麦克风或所需语音识别授权，只影响对应语音输入，不影响实际提供的文字和图片方式。停止录入后，不继续以提供助理服务为由后台监听。语音输入授权不等于同意提取声纹或识别身份；若另行开展生物识别，须具有充分必要性并履行对应告知和授权，不由本语音条款预先覆盖。
角色性别、自定义昵称、对您的称呼、形象、性格、表达方式、预设语音包及自定义要求，可能作为角色偏好参与回答生成。选择预设声音或形象，不等于提交您的原始声音、照片或同意声音克隆。尚未上线的声音、形象或其他能力，不因本政策描述相应场景就提前采集个人信息。
3.11 会话记录执行日志和行为反馈
在实际提供会话管理的版本中，我们处理会话名称、创建与最后活跃时间、消息类型与内容、相关图片或转写、所用模型及状态，用于历史查看、命名、切换和继续交流。自动生成的会话标题也可能概括私人健康内容，适用相同保护；我们保留与历史消息对应的实际模型来源，不因切换后续模型而将历史消息标为其他模型生成。
为排查错误、追溯经您确认的业务操作、核对AI电量及依法保障安全，可能形成与账户、会话及单次请求关联的执行记录，包括请求与消息标识、角色配置、实际使用的用户背景、模型调用次数、工具名称及必要参数和结果、确认与取消状态、交互卡片、输入/缓存/输出计量、耗时、错误及最终状态。这类记录可能直接包含健康资料、输入片段或业务结果，不仅是无内容的性能统计；我们按照其中信息的实际敏感程度保护，并区分业务追溯、运维、安全及效果评估的目的。
对确需后台核查的AI请求、执行轨迹或问题样本，我们按岗位和具体任务限制访问，进行必要审计、字段最小化及脱敏，不允许无关人员任意浏览私人对话。将原始问题、健康快照或工具返回另行用作训练、评测样本或其他用途的，适用本政策第三章第三节的另行告知与授权规则；汇总计量与含内容的样本不得混同。
确认或取消、修改识别参数、操作成功与否、执行后立即更正或删除、点击推荐话题或主动气泡、继续对话及重新生成等行为，可能被记录用于核查该次服务和改进对应功能。保存这些结果时，我们限制内容范围，不为一般行为统计无差别保存完整健康内容。删除会话、记忆、原始业务记录或注销时，我们同时处理与请求范围相关的快照、趋势缓存、标题、执行轨迹、供应商副本和派生报告中的内容；法定可以保留的部分限于必要范围并限制其他使用，不以“日志”统一排除法定删除义务。
3.12 模型选择切换与实际接收方
食卡卡 AI可以通过统一服务层接入不同模型。您选择的模型、会话中途切换，以及后台灰度分配、默认模型调整或故障备用路由，都可能影响实际接收请求的服务商。我们将每次发送限制在已告知的接收方、数据范围及有效授权内，不因后台技术切换而把健康数据提供给未被告知或未满足所需授权的新接收方。需要重新告知或取得同意时，我们在传输前完成，不以后台配置变更替代。
切换后续模型时，相关历史消息、用户快照、记忆及工具结果可能按本次需要重新参与请求，因此切换模型不等于新的服务商只会收到您最后输入的一句话。我们在上下文选择、裁剪、缓存和必要重发时限制信息范围，并按照实际接收方和相应功能告知处理。供应商和模型变更不会减少您的知情、选择、撤回及删除权利。
四 系统权限设备信息及同类技术
4.1 权限的一般规则
系统权限用于允许App访问特定设备能力，不等于您同意将取得的信息公开、提供给任意第三方或用于模型训练。我们在对应功能确有需要时申请权限，并说明用途；您可拒绝、限定授权范围或在系统设置中撤回。明确拒绝后，我们不会频繁弹窗强迫授权。
相同功能在iOS、Android及不同系统版本下的权限名称可能不同。能够通过系统照片选择器只取得您选中图片的，按该选择范围处理；旧版系统确需存储权限时，仅访问相应操作所需范围。权限及主要场景如下。
| 设备能力 | 何时使用及范围 | 拒绝关闭后的影响 |
| 相机 | 您主动拍摄食物、成分或配料表、头像、日记或身材照片时，用于本次拍摄和提交。 | 拒绝只影响直接拍摄；可使用实际提供的文字或系统照片选择方式。 |
| 照片选择或相册读取 | 取得您主动选中的图片，用于上传、识别、私人记录或反馈；依系统版本选择限定照片访问。 | 可拒绝或限定所选图片；不影响无需图片的记录。不会因一次选择而读取全部相册。 |
| 保存图片或媒体写入 | 您保存报告、记录或分享图片时，按系统版本取得所需写入能力。 | 拒绝影响该次保存；写入能力不等于读取整个存储空间。 |
| 蓝牙或附近的设备 | 您主动发现、绑定、连接支持的智能硬件时，识别所选设备并传输测量结果。 | 拒绝影响相应设备连接，不影响手动记录；解绑不自动清除已有健康记录。 |
| 位置 仅特定设备发现场景 | 特定Android系统进行蓝牙设备发现确需位置权限时，在申请前说明；限于对应设备连接目的。 | 拒绝影响实际依赖该权限的设备发现；手动记录不需轨迹，不据此用于广告定位。 |
| Apple健康读写 iOS | 分别读取您主动授权并同步的运动类别，写入您授权的热量、饮水量、身高、体重及相应身体数据。 | 可按类别管理或撤回；已导入云端或已写入另一系统的数据，需要分别删除。 |
| 本机系统认证 | 您选择使用系统指纹或Face ID等解锁日记、身体档案时，通过系统验证并接收结果。 | 不启用只影响相应认证方式；不读取系统原始指纹或面部识别模板。 |
| 通知 | 在已提供提醒的平台上，按您设置的饮食或轻断食提醒类型、时间和启停发送。 | 可通过系统设置或“我的 → 提醒”管理；关闭不影响无需提醒的记录。 |
| 网络及网络状态 | 传输请求、验证登录、云端记录同步及必要安全处理；网络状态用于选择适用连接。 | 断网会影响在线功能；不据此取得通讯录、相册或其他无关内容。 |
| 平台跟踪许可或广告标识 | 实际广告、归因及统计涉及平台限制的跟踪活动时，依法、按平台要求申请相应许可。 | 您可通过系统隐私设置管理；拒绝后不通过其他标识绕过限制。 |
| 麦克风 仅实际提供语音时 | 您主动按住或点击语音入口并授权后，录入本次音频以识别问题或指令。 | 拒绝仅影响语音输入，不影响实际提供的文字或图片方式；停止后不继续后台监听。 |
| 系统语音识别 仅实际调用时 | 调用系统语音转写且系统要求授权时，识别本次音频并取得转写结果。 | 与麦克风授权分别管理；拒绝影响对应转写，不等于拒绝普通文字交流。 |
4.2 设备标识运行日志和触发频次
为传输请求、验证登录、维持账户安全和排查故障，我们处理必要的设备品牌型号、操作系统版本、App版本、语言和系统配置、网络类型、IP地址、请求时间、请求结果及错误或崩溃日志。对应处理在启动服务、登录、发出请求、同步或发生故障等必要时点触发；不以设备安全为由持续读取无关照片、通讯录、通话记录或完整应用列表。
广告或统计服务在实际集成的范围内，可能使用OAID、IDFA、GAID、Android ID、IDFV等与平台相应的标识，以及展示、点击、归因和性能事件。具体接入信息和采集方式见《第三方SDK信息共享清单》。这些标识可与设备或用户关联时仍按个人信息保护，不能因称为“匿名标识”就免除保护。需要平台跟踪许可的，先取得许可，不使用其他标识绕过您的拒绝。
为完成您选择的第三方登录、支付或分享，相关SDK可能查询特定应用是否可用，或在对应操作中处理必要的剪贴板内容；仅在已告知、合法必要的范围内处理，不将查询特定应用扩大为扫描全部安装列表，不读取无关剪贴板信息。新增位置、日历或其他能力时，我们在实际启用和处理前另行告知及取得所需授权，不因本政策提到某类权限就预先访问。
4.3 Cookie本地存储和网页组件
在实际提供的网页或内嵌页面中，我们或相应服务商使用必要的Cookie、会话令牌或本地存储，保存登录状态、必要偏好并保障安全。可选统计、广告或跟踪用途依其实际目的另行告知并履行相应授权，不通过这些技术扩大对无关健康内容的访问或重建您已拒绝的跟踪。
您可通过对应浏览器、系统或功能设置管理适用的存储内容。清除会话令牌可能需要重新登录；关闭可选统计不等于关闭维持安全所必需的会话机制。浏览器设置仅影响其实际控制的页面，不自动删除食卡卡云端记录。
五 我们如何委托处理及对外提供个人信息
委托处理
为提供您选择的功能和保障服务运行，我们可能委托服务商处理相关个人信息，例如提供云计算与数据存储、消息发送、图片识别、AI模型推理、故障排查或客服支持。具体受托人、处理的信息类别及目的，在相应第三方清单及功能告知中说明，不因服务商被称为“SDK”“API”或“合作伙伴”而改变其实际责任。
受托人只可按照我们的指示及约定的目的、期限、处理方式和信息范围处理，不得自行决定将您的健康记录、对话、照片等另作广告、数据交易或模型训练等用途。我们将依法与受托人约定保护措施、访问权限、协助响应权利请求、事件通知及监督要求。未经我们同意，受托人不得再委托他人处理。委托不生效、无效、撤销或终止时，依法要求其返还或删除个人信息，不得保留；法律另有规定的，从其规定。
向其他个人信息处理者提供
如接收方将独立决定信息的处理目的、方式，我们将在提供前明确告知其名称、联系方式、目的、方式及信息类别，依法取得您的单独同意，并要求其在告知的范围内处理。向第三方提供敏感个人信息时，额外说明必要性和对您的影响，履行相应授权及安全保护要求。接收方改变目的、方式或超出原有范围处理的，应依法重新取得同意。
相关场景可能涉及您选择的第三方登录、付款、AI能力或广告服务，实际启用的场景、接收方与字段在相应第三方清单及功能告知中披露。我们不因您注册、绑定同一手机号或同意本政策，即推定您同意把各平台记录任意关联。关联公司如需接收个人信息，同样须具有具体必要性并履行适用告知和授权义务。
共同处理及企业变更
如我们与其他主体共同决定个人信息的目的、方式，将依法约定各方权利义务并向您说明，相关约定不影响您依法向任何一方行使权利。发生合并、分立、解散、破产等需要转移个人信息时，我们将告知接收方名称和联系方式，并要求其继续履行保护义务；接收方变更原处理目的、方式的，应依法重新取得您的同意。
您主动分享及公开内容
您主动分享饮食记录、身体档案图片、健康报告或其他内容时，请先核对所含数据及分享对象。您发至第三方平台或转交他人的副本，将由接收方依其规则处理。停止分享或删除食卡卡中的原记录，不一定能自动删除接收方此前合法取得的副本；您仍可依法向相应主体行使权利，我们将履行属于我们的协助义务。
公开投稿与私人记录相互区别。自定义食物提交共建审核及变为公共食物的公开范围，我们在该操作前明确提示并依法取得相应同意。该操作不表示您同意公开饮食日志、日记、身材照片、健康状况、AI对话或AI记忆。除您依法作出的公开选择或法律允许的其他情形外，我们不会公开这些私人信息。
投稿内容包含可识别个人的信息且需要公开披露时，我们依法取得单独同意。一般投稿操作或同意本政策不替代依法所需的单独同意；审核时应去除与公共食物展示无关的个人信息。
法律规定的处理
为履行法定义务、应对突发公共卫生事件、紧急保护自然人生命健康和财产安全，或存在其他法律规定的合法基础时，我们可在必要范围内依法处理或提供有关信息。我们会审查依据、接收主体权限及所需范围，不以笼统的“商业利益”“公共利益”任意扩大例外。依法无需同意或无需告知的情形，按照适用法律执行；除此以外，本节不免除我们应履行的告知、同意和安全义务。
六 我们如何保存和删除个人信息
保存地点和方式
我们在中国大陆服务中收集和产生的个人信息，原则上存储在中华人民共和国境内。我们通过食卡卡业务系统、依法使用的云服务以及对应功能所需的服务商处理信息，采取与数据敏感程度相应的保护。需要向境外提供或在境外访问的，依第七章履行事先告知、适用授权和其他法定要求，不以您选择地区、切换语言、使用海外应用商店或跨设备登录作为出境同意。
云端记录、设备上的缓存、用于AI请求的临时文件、会话、记忆、报告、执行轨迹和备份，属于不同数据对象，我们按各自目的管理。设备上的“仅本人可见”设置或隐私锁，不表示这些对象都只保存在本地。
保存期限和确定方法
临时识别原图、原始音频、AI请求日志、含健康内容的执行轨迹及备份，按本章及附件所列目的、保存期限或确定方法分别管理。服务商保留的请求内容另按第三方处理清单披露，不以本地删除替代对受托副本的处理。
除法律、行政法规另有规定外，我们仅在实现具体目的所需的最短期间保存个人信息。对于您主动保存以供历史查看的健康记录、私人照片、日记、食谱或对话，保存期间由账户服务是否持续、您是否仍选择保留及该历史服务是否仍必要共同确定；您提出删除、撤回相关处理或注销时，依法处理对应内容。
临时识别材料不因一次识别就永久保留；已经由您保存为饮食记录、自定义食物、报告或对话的内容，则按该业务对象的规则保存。用户背景、缓存、执行日志和供应商副本不因属于技术环节，就排除在保存期限及删除范围之外。各类信息的具体目的和期限确定方法见本政策附件《个人信息处理与保存规则清单》。
保存期限届满、处理目的已经实现或无法实现、继续保存不再必要、我们停止服务、您撤回相应同意，或者存在违法、违约及其他依法应删除的情形时，我们主动删除或依法匿名化处理。存在法定保留要求的，仅保存履行该义务所必要的信息，并限制其他用途；不以安全或交易凭证的保存要求，保留全部健康内容。
删除及备份处理
删除按请求所涉范围覆盖在线数据、相关索引缓存及受托方持有的相应副本。对相关派生记忆、标签、标题、报告或统计，我们核对数据关系，依法更正、删除或停止相应处理。必要的备份恢复过程中，我们继续执行已经完成的删除和限制处理要求，避免删除内容重新进入正常业务使用。
法律、行政法规规定的保存期限尚未届满，或者技术上难以及时删除、匿名化的，我们停止除存储和采取必要安全保护措施之外的处理，限制访问，并在障碍消除后依法处理，不以“备份”或“将来可能使用”为由继续推荐、训练或扩散使用。
如果我们停止运营，我们会及时停止新的信息收集，以公告、站内通知或其他适当方式告知，并依法删除或匿名化处理相关信息；法律另有规定的，按规定处理。
七 个人信息的境外处理
如某项服务确需向境外提供您的个人信息，包括通过境外模型接口处理、境外存储或备份、境外人员远程访问等，我们会在提供前依法向您告知境外接收方名称、联系方式、处理目的、方式、信息类别、保存和保护安排，以及向其行使个人信息权利的方式和程序，并取得所需的单独同意。
我们依法开展个人信息保护影响评估，并根据实际情况完成适用的安全评估、个人信息出境标准合同、认证或其他法定条件。法律规定豁免某项程序的，不免除仍适用的告知、合法性、安全和个人权利保护义务。
未满足所需条件的，不开展相应境外提供。您可拒绝需要另行同意的出境处理，拒绝只影响实际依赖该处理的功能。您可通过本政策联系方式了解与您有关的境外接收及行权安排。
八 我们如何保护个人信息
我们根据数据种类、敏感程度、处理目的、规模及可能风险，采取相应管理与技术措施，包括信息分类、最小权限、传输与存储保护、访问控制和必要审计、备份与恢复、人员保密及安全培训，并对相关受托方提出相应要求。处理健康信息、私密照片、AI对话和未成年人信息时，采取与其风险相适应的严格措施。
对于处理敏感信息、自动化决策、委托处理、向其他处理者提供、出境等依法需要评估的情形，我们将依法开展个人信息保护影响评估，检查目的和方式是否合法必要、风险及措施是否适当。我们对能够重新关联到您的去标识化数据继续履行保护义务；只有达到无法识别且不可复原的匿名化要求后，才按非个人信息处理。
互联网安全风险无法完全消除。发生或可能发生个人信息泄露、篡改、丢失等事件时，我们将立即采取补救及控制措施，依法报告、通知受影响个人，并说明涉及信息种类、可能影响、已采取或将采取的措施，以及您可以采取的防范建议；法律允许不通知的，从其规定。难以逐一通知的，依法采取合理有效的公告等方式。我们依法承担相应责任。
请妥善保管账户与设备，不向他人提供验证码、密码或含健康资料的导出文件。发现账户异常或可能泄露时，请及时通过本政策所列渠道联系我们。设备上的隐私锁、系统权限及账户访问控制具有不同作用，不能把本地锁定理解为停止云端处理或数据已经删除。
九 您如何行使个人信息权利
查阅 更正及补充
您可在「我的」顶部的账户管理查看和修改头像、昵称、性别、出生年月、身高、体重及支持修改的绑定信息、习惯、目标与偏好；在相应饮食、喝水、运动、身体档案、日记、自定义食物/计量单位/运动、食谱及报告页面查阅支持展示的数据；在AI记忆功能中查看、修改或删除已保存的记忆。具体页面随版本变化的，我们会提供可达入口，而不减少您的权利。
如果信息无法在应用内访问、更正或补充，或您需要查询与您有关的推断、标签及处理情况，可通过帮助中心或本政策联系渠道提出请求。我们将进行必要核验，纠正不准确、不完整的信息，并依法向相关接收方或受托方传达应更新内容。
复制 导出及转移
您有权取得我们处理的您的个人信息副本，包括依法应提供的账户资料、您提交或生成的有关健康记录、照片、对话、AI记忆等，不以是否付费或曾有充值订单为行权前提。当前没有应用内导出入口的，可通过本政策联系渠道申请，我们将核验范围后以适当且安全的方式提供，涉及其他人信息的依法保护。
请求转移至您指定的其他处理者时，在能够验证身份、信息属于本人同意提供或基于合同收集、转移具有技术可行性且不损害他人合法权益等法定条件满足时，我们将提供相应途径；明显超出合理范围的重复转移请求，可依法收取必要成本并事先说明。
删除 限制处理及撤回同意
您可在支持的记录、日记、食谱、AI记忆等页面删除有关内容，也可提出删除或限制处理请求。暂不支持“一键清空全部记录”不影响您的法定删除权。我们会明确请求涉及的对象与范围，而不强迫您注销账户才能处理本可单独删除的信息。
您可在设备系统设置中撤回相机、相册、蓝牙、健康等已授予的权限，并通过相应功能设置或联系渠道撤回其他基于同意的处理。撤回后我们停止相应的新处理，仅对不在撤回范围内且仍有有效授权，或具有其他明确法定处理依据的信息继续处理；不以“服务所需”为由概括恢复已经撤回的授权，并依法处理既有数据。撤回不影响撤回前基于有效同意开展处理的效力。撤回系统权限不会自动等于删除已同步记录，您可另行提出删除请求。
删除AI记忆不当然等于删除源会话、健康原记录或历史报告，删除会话也不当然删除已另行形成的记忆。您可以明确选择需要一并处理的范围，我们将按核实后的数据关系完成相应操作。这种对象区分不免除依法处理相关派生记忆、标签、报告和受托副本的义务。更换手机、退出账户或卸载应用不当然注销账户或删除云端数据。
自动化决策及个性化
对于使用您的资料、偏好或记录进行的热量目标计算、食谱建议、健康分析等，您可请求说明主要处理目的、信息依据和有关机制，并在产品支持范围内修改目标、纠正输入。对您的权益有重大影响的决定，您有权要求说明，并拒绝仅由自动化决策作出。面向您的个性化信息推送或商业营销，我们依法提供非个人特征选项或便捷拒绝方式；您也可通过帮助中心或本政策联系方式提出请求。拒绝商业推荐不影响您主动请求且另有有效授权的独立健康分析服务。
注销账户及其他权利
您可从「我的」页面顶部进入账户管理，在底部发起注销。确有法律依据或必须处理的事项影响注销时，我们将说明具体事项及解决方式，不设置不合理障碍。注销后停止提供依赖该账户的服务，依法删除或匿名化处理有关个人信息；法定留存部分按照本政策的限制规则处理。账户注销与第三方应用商店订阅的取消可能属于不同操作，我们将提供适用的说明或协助。
自然人死亡后，其近亲属为自身合法、正当利益，可依法对相关个人信息行使查阅、复制、更正、删除等权利；死者生前另有安排的除外。您也有权要求我们解释本政策及具体处理规则，并依法向主管部门投诉、举报或向人民法院提起诉讼。
受理 核验及答复
我们原则上免费受理合理请求，身份核验仅限避免信息被冒领所必要的范围，不无故要求与请求无关的身份证件、交易订单或额外敏感信息。我们将及时受理、核验，一般在收到请求后15个自然日内作出实质处理答复。涉及复杂事项尚未完成的，将及时说明原因、进度和预计完成时间，并依法及时推进完成；法律另有更短期限的，从其规定。不以自动回执代替实质答复，不无限期拖延。依法不能全部满足的，我们将说明理由及投诉、救济途径，不用笼统的“技术困难”“商业秘密”拒绝所有请求。
十 未成年人个人信息保护
若您未满18周岁，请在父母或其他监护人的指导下阅读、理解本政策，合理使用健康记录及AI功能。适用的儿童个人信息处理规则，另见《食卡卡儿童个人信息保护规则及监护人须知》。
对于不满14周岁儿童的个人信息，我们按照敏感个人信息保护要求，仅在具有合法依据、履行适用的监护人告知和同意要求并采取严格保护措施的情况下处理。在未取得依法需要的有效监护人同意前，不开展以同意为依据的相应儿童个人信息处理；儿童自行点击、继续使用、提交生日或一般设备权限授权，不替代所需监护人同意。
对未成年人信息，我们按最小必要范围、最短必要期限及更严格的访问权限处理，不因去标识化就任意公开、提供或用于其他目的。监护人可通过本政策联系方式申请查阅、复制、更正、删除儿童信息或撤回同意；我们在必要核验监护关系后依法处理。
如发现未经所需授权处理儿童信息，我们及时核实并依法采取停止相关处理、删除等措施。关于未成年人保护的专门规则与本政策共同适用；法律、行政法规对未成年人提供更严格保护的，从其规定，不以约定减损其法定权利。
十一 本政策如何更新
我们可能因功能、处理方式或法律要求变化更新本政策，公布更新日期及生效日期。处理目的、方式、类别、主要接收方、保存安排或行权方式发生重要变化时，我们将在相应变更实施前，通过应用内弹窗、站内通知等显著方式说明变化。涉及处理目的、方式、类别变更或依法需要重新同意、单独同意的，将在实施相应处理前履行相关程序，不把继续使用或未提出异议直接视为全部新增处理的有效授权。您不接受新增的非必要处理时，仍可使用不依赖该处理的功能；此前合法处理的效力及法定权利不因此改变。
十二 如何联系我们
个人信息处理者为杭州计康科技有限公司。您可通过食卡卡「我的 → 帮助中心」联系官方客服，或通过以下方式联系个人信息保护负责人：电子邮箱 support@calheal.com；电话18705817221；地址浙江省杭州市余杭区五常街道中福未来星宸金座4幢811室B，个人信息保护负责人收；邮编310000。
对于隐私投诉、举报和个人信息请求，我们将按前述规则及时受理、核验并反馈。您对处理结果不满意的，可向履行个人信息保护职责的部门投诉、举报，或依法寻求司法救济。本政策不排除或限制法律赋予您的权利。
附件 个人信息处理与保存规则清单
本清单与正文共同适用。信息仅在对应功能实际需要、具备合法依据并满足相应授权条件时处理，不表示您必须提供全部信息。可以确定具体期限的，按具体期限执行；难以统一确定的，按下列与业务目的直接关联的事件、账户状态和法定义务确定，不永久保留无关信息。您可通过第九章行使相应权利。
| 信息类别 | 信息范围及主要目的 | 保存期限或确定方法 |
| 账户及登录 | 手机号、验证码或认证结果、第三方账户标识和授权资料、头像昵称；用于验证、绑定和账户管理。 | 账户服务持续期间按必要范围保存；注销或依法删除时清理。验证码和登录令牌仅在完成验证或维持有效登录所需期间有效，失效后不再用于认证。 |
| 基础资料和健康状况 | 性别、出生年月、身高体重、运动饮食习惯、忌口偏好、慢性病和健康问题；用于所选目标、食谱及健康分析。 | 在您选择相应账户与个性化健康服务且资料仍有效、必要期间保存；资料更新时更正，撤回相应同意或依法删除时处理相关内容。 |
| 搜索收藏和纠错 | 搜索词、食物标识、收藏状态、纠错说明和主动附件；用于查询、收藏及核查。 | 搜索请求限完成查询及必要安全、错误核查期间；收藏保留至您取消或账户终止。纠错材料限完成核查和必要争议处理期间。 |
| 自定义食物运动和单位 | 名称、说明、图片、热量营养、单位与对应量、运动参数；用于私人内容保存复用。 | 在您保留相应内容以供检索、复用和历史查看期间保存；删除或账户终止后依法处理。历史业务记录中的相关内容按该记录的保存及删除规则处理。 |
| 公共食物投稿 | 您主动提交审核的食物信息及经提示同意的公开字段；用于公共库共建。 | 审核材料限审核、必要复核及争议处理期间；积分奖励记录按积分权益规则保存；公开食物资料在公共展示目的和合法依据持续期间保存。涉及您的个人信息，依法受理更正、撤回及删除请求，不连带公开私人饮食记录。 |
| 饮食饮水和运动记录 | 日期时段、食物及份量单位、液体类型和量、运动类型时长及估算消耗、热量营养计算值。 | 在您选择保留历史、同步和趋势服务的必要期间保存；删除、相应撤回或注销时依法清理相关记录及派生内容。 |
| 日记和私人图片 | 文字、心情、日期、体重、日记图片及身材照片；用于本人状态记录、保存和对比。 | 在您保留相应历史记录期间保存；删除或账户终止时处理原图、缩略图及相应副本。另行形成的体重等业务记录按您的选择及法定要求一并或分别处理。 |
| 目标及健康统计 | 热量、营养比例、饮水和体重目标、速度、完成情况、统计和趋势；用于计划和执行比较。 | 目标有效及您选择保留历史比较的必要期间；目标调整时更新当前值，历史报告、标签或统计依其必要性及您的更正、删除请求处理。 |
| 食谱和轻断食 | 食谱、日期餐次、份量、进食或断食时段、启停及提醒；用于计划与计时。 | 在计划有效或您保留个人食谱、历史计划期间保存；关闭停止相应后续处理，历史数据可另行申请删除；不再必要时主动清理。 |
| 身体档案及智能硬件 | 身高体重围度、设备连接必要标识、测量时间、设备提供的身体指标和算法推算结果。 | 健康记录按您保留历史及法定删除规则处理；连接信息限维持绑定、连接和必要排障期间，解绑后不继续用于连接，必要安全记录单独限制保存。 |
| Apple健康同步 | 经授权主动导入的运动及实际写入的健康类别；用于同步、健康管理和跨设备使用。 | 导入记录按对应业务健康记录期间保存；权限撤回后停止相应读写。您可分别删除食卡卡保存的记录和已写入Apple健康的记录。 |
| AI识别及生成临时材料 | 主动提交的图片、文字、必要上下文、解析和估算结果及生成图片；用于识别、估算、辅助创建或您请求的图片生成。 | 原始识别或生成材料、中间结果及未另行保存的生成图片，仅在完成本次请求、必要安全检查和错误核查期间保存，目的结束后删除或匿名化；您保存为业务记录或对话的部分，按相应对象处理。 |
| AI对话及工具操作 | 输入输出、相关上下文、调用资料和操作结果；用于连续交流和按请求查询、记录或修改。 | 您保留会话以供查阅和继续交流期间保存；删除会话、撤回相关处理或注销时依法处理。另行形成的记录、报告和必要操作轨迹分别适用其规则。 |
| AI记忆及角色 | 习惯偏好、长期目标、个性化需求、称呼和风格；用于后续个性化回答。 | 仅在该目的仍必要且授权有效期间保存；您更正、删除、停用或撤回后更新或停止相应使用，依法清理关联派生内容。 |
| 报告及AI总结 | 所选期间记录、健康推断、分析报告和回顾内容；用于分析和历史查阅。 | 在您选择保留查阅且相应服务仍必要期间保存；更正、删除或账户终止时依法处理。原记录改变后，历史时点报告可另行申请更新或删除。 |
| 反馈客服及核查 | 点赞点踩举报、必要问答上下文、联系方式、沟通和主动附件；用于处理具体问题。 | 自受理起至问题处理、必要复核和适用争议解决期间；目的结束后清理。依法需保留的证据限制保存与其他使用，不因此无限保留全部健康历史。 |
| 会员订单积分及AI电量 | 订单、回传凭证、权益期限、额度发放扣减余额、积分及兑换；用于交易、验权、计量和售后。 | 服务履行、权益核对、售后及必要争议期间保存；适用财税、会计或交易记录法定期限的，按对应规定保留必要字段，不扩大至全部健康内容。 |
| 发票资料 | 发票抬头、适用税号、接收方式和必要订单；用于开具和发送发票。 | 开票、纠错、交付及适用财税和会计法定期限内保存；不申请发票不收集对应开票资料。 |
| 广告及使用统计 | 必要设备或广告标识、网络、展示点击归因、功能使用及性能事件；用于已告知广告或具体统计目的。 | 限完成展示计量、归因、必要反作弊和已告知使用统计的期间；目的结束或依法撤回后停止相应处理并清理。不将可识别健康内容用于广告定位。 |
| 偏好提醒及本机验证 | 地区语言单位、提醒启停时间、隐私锁设置及验证必要信息；用于显示、提醒和访问保护。 | 在相应设置有效和功能持续期间保存；设置变更时更新，关闭后停止对应后续处理。必要认证安全记录按安全目的单独保存。 |
| 用户背景和趋势缓存 | 已有基础及健康状态、目标、偏好、相关记录汇总；用于授权的助理背景和按需查询。 | 仅在对应AI功能授权有效且背景仍必要期间保留，随业务更正更新；撤回、删除或注销后处理相关快照和缓存，不因缓存而永久保留已删除内容。 |
| 主动提示及推荐话题 | 业务触发、数据完整度、健康条件、频控、展示点击拒绝状态和所选问题；用于提示及避免重复。 | 仅在判断提示、执行频率控制和尊重拒绝状态所需期间保存；关闭后不继续可选个性化分析，必要的拒绝状态用于维持您的选择。点击形成的消息按会话规则保存。 |
| 语音及转写 | 本次主动录入音频、转写及必要识别结果；用于理解问题和执行指令。 | 原音限完成本次识别及必要错误核查期间；转入聊天的文本按会话规则保存。删除、撤回或注销时分别处理音频、转写及相应受托副本。 |
| 执行轨迹及确认偏好 | 请求消息标识、必要背景、工具参数结果、确认取消、模型计量及状态；用于核查操作、计量和排障。 | 确认偏好限您保持该选择期间；含健康内容的轨迹限核查本次操作、计量争议或排障所需期间，目的完成后清理。依法应删除时处理相关副本，不将其统称日志永久保存。 |
| 安全及法定处理记录 | 必要网络运行和安全事件日志，依法保存的委托或提供处理情况、行权核验和结果。 | 属于依法应留存的相关网络日志，不少于六个月；依法需留存的委托、提供处理情况记录，至少三年。其他材料限履行相应法定义务或处理具体请求、争议的必要期间，不等同保留全部对话、照片或健康记录。 |
第三方接入详情见《第三方SDK信息共享清单》，个人信息分类详情可结合《个人信息收集清单》查阅；涉及AI接口、独立接收方或境外处理时，仍按本政策及相应功能告知履行适用的告知和授权义务，不因仅通过服务端接口接入而省略。