隐私政策
引言
心愿（以下称「本应用」）是一款自我探索与情绪成长工具。我们深知，你写下的情绪、对话与日记属于敏感个人信息，因此本应用采用本地优先的设计：这些内容加密保存在你的设备上，我们的服务器不保存，也没有能打开它们的钥匙。
本政策说明：我们处理哪些信息、为什么处理、存在哪里、会上网的部分去了哪里，以及你可以如何行使自己的权利。请在使用前完整阅读。
1. 我们是谁
本应用的运营者（个人信息处理者）为：
- 名称：昆明昭景科技有限责任公司
- 注册地址：云南省昆明高新技术产业开发区黑林铺街道办事处国际花园社区昆百大国际派一栋A座昆明理工大学科技园
- 联系邮箱：brightvisiontech@163.com
本应用不设账号体系，因此我们不会通过手机号、邮箱或第三方登录识别你。下文所说的「我们」，指上述运营者。
2. 本政策适用范围
本政策适用于「心愿」移动应用（Android 包名 com.zhaojing.moodkit）及其官方下载页（https://brightvision.net.cn/app/xinyuan/）。
本应用内可能包含指向外部网站的链接（如心理援助热线、政策页面）。外部网站的信息处理行为适用其自己的隐私政策，不在本政策范围内。
3. 我们处理哪些信息
3.1 只保存在你设备上的信息
下列信息由本应用在你的设备上生成或由你主动输入，经过加密后保存在本机。我们不接收、不存储、无法读取：
| 类别 | 具体内容 | 说明 |
|---|---|---|
| 对话内容 | 你发送的文字、模型生成的回复 | 对话由装在手机上的模型生成，推理过程不联网 |
| 日记 | 文字，以及你主动加入的图片、视频、声音 | 媒体文件同样加密保存 |
| 情绪与自评 | 情绪记录、自评量表答案与结果、每周回顾 | 仅用于向你展示与生成趋势 |
| 自我探索记录 | 内在家庭地图、身体部位标记、场景引导中的选项 | 仅本机 |
| 危机记录 | 触发时间、级别、已展示的求助资源 | 不含对话内容；仅本机 |
| 安全拦截标记 | 某条回复被本机规则拦下的类别 | 不保存被拦下的原句 |
| 密码与恢复码 | 只保存加密信封，不保存密码或恢复码本身 | 两样都丢失时，内容将无法打开 |
| 你自己导入的音乐 | 你从手机选择的音频文件副本 | 保存在应用私有目录，未加密，不上传 |
上述内容在卸载本应用时随应用数据一并删除。我们没有云端备份，
也无法帮你找回；如需留存，请使用手机系统的备份功能或自行保存文件。
3.2 会联网的信息
本应用只有以下四类联网行为：
| # | 场景 | 传输内容 | 是否含你的个人信息 |
|---|---|---|---|
| 1 | 首次进入对话页、本机模型尚未就绪 | 下载对话所需的模型文件 | 否：不含账号、设备标识或任何内容 |
| 2 | 启动时或你手动检查更新 | 读取版本清单（版本号、安装包校验值） | 否 |
| 3 | 你确认更新后 | 下载新版本安装包 | 否 |
| 4 | 订阅结算（当前未开放） | 支付渠道返回的订单结果 | 仅订单维度，不含心理内容 |
说明：第 4 项目前尚未实现，本应用当前不提供购买功能。
开放订阅时，我们会先更新本政策并重新征求你的同意。
关于 IP 地址：任何联网请求都会让接收方看到你的 IP 地址与请求时间，这是网络传输本身
决定的，本应用也不例外。分发服务器为完成传输与安全防护（如限流、防攻击）处理这一信息，
不用于识别你的身份、不做用户画像，也不与你的心理内容关联。
3.3 我们不收集的信息
- 不收集手机号、邮箱、身份证号、真实姓名；
- 不收集 IMEI、OAID、Android ID、MAC 地址等设备标识；
- 不收集精确位置、通讯录、短信、通话记录；
- 不采集人脸、声纹，不调用相机与麦克风；
- 不收集应用列表、剪贴板内容；
- 不接入第三方统计、广告、推送、社交登录 SDK；
- 不进行用户画像或广告定向。
4. 处理目的与依据
| 目的 | 处理的信息 | 依据 |
|---|---|---|
| 提供记录、对话、练习与阅读功能 | 3.1 中的内容 | 你的同意；处理敏感个人信息已取得你的单独同意 |
| 在本机判断是否需要展示求助资源 | 当前对话文字（仅本机规则匹配，不保存、不上传） | 保护你的重大人身权益 |
| 保障应用可用与安全 | 版本检查、安装包校验 | 履行向你可交付服务的必要 |
| 订阅结算（未开放） | 订单结果 | 合同履行与法定留存义务 |
我们不会将上述信息用于：广告投放、用户画像、模型训练、出售或出租。
5. 存储地点与期限
- 存储地点：3.1 中的信息只存储在你的设备本地，不在我们的服务器上；3.2 中的联网请求由位于中华人民共和国境内的服务器处理（阿里云北京），不出境。
- 存储期限：
- 3.1 中的内容由你决定保留多久——你不删除，它就一直在你的设备上；你删除或卸载应用，它即被删除。
- 3.2 中的请求不建立用户档案；分发服务器的常规访问日志（IP、时间、请求路径）按运维与网络安全需要短期留存，不含你的心理内容，也不与任何账号或身份关联。
- 订阅订单（开放后）按法律法规要求的期限留存。
6. 共享、转让、公开披露
- 共享：我们不向任何第三方提供你的心理内容。本应用没有把内容上传到服务器的通道。
- 转让：如发生合并、分立或资产转让，我们会要求承继方继续受本政策约束；若处理目的发生变化，将重新取得你的同意。
- 公开披露：我们不会公开披露你的任何个人信息。
- 例外：仅在法律法规明确要求，或为保护你或他人的生命安全所必需时，我们可能依法配合有权机关。由于我们没有服务器副本，能够提供的信息仅限于我们实际持有的范围（通常为空）。
7. 第三方组件
本应用使用了若干开源组件，它们只在本机运行，不收集个人信息：
| 组件 | 用途 |
|---|---|
| Flutter / Dart | 跨平台运行时 |
| llamadart / llama.cpp | 本机运行对话模型 |
| just_audio / audio_session | 音频播放 |
| drift / sqlite3 / SQLCipher | 本地加密数据库 |
| flutter_secure_storage | 本机密钥信封存储 |
| path_provider / file_picker / image_picker / video_player | 本地文件与系统选择器 |
| url_launcher | 打开外部链接（如热线、政策页面） |
本应用没有接入第三方统计、广告、推送、地图、社交登录或支付 SDK。
支付能力开放时，结算由应用商店或支付渠道处理，我们会在更新本政策后另行说明。
8. 你的权利
| 权利 | 你怎么行使 |
|---|---|
| 查阅 | 在应用内随时查看你的记录、日记、情绪与量表结果 |
| 更正 | 在应用内直接修改文字、删除或替换日记媒体 |
| 删除 | 删除单条内容；或在「我的」中一键销毁全部数据，同时清除密钥与同意标记 |
| 撤回同意 | 通过一键销毁撤回同意；撤回后不影响此前基于同意进行的处理 |
| 复制 / 导出 | 当前版本未提供一键导出。你的数据只在本机，可通过手机系统的备份或文件管理留存。我们可以协助你排查操作问题，但无法导出我们并不持有的内容 |
| 解释说明 | 对本政策或处理规则有疑问，可通过第 14 节联系我们 |
| 投诉举报 | 可向我们投诉，也可向网信、工信等主管部门反映 |
关于「打不开」：密码与恢复码是打开本机内容的唯一两把钥匙，都只存在你的设备上。
两样都丢失时，内容将无法再打开——这不是我们删除了你的数据，而是没有第三把钥匙。
届时应用会提供「清空并重新开始」，该操作会删除本机内容，不可恢复。
关于导入的音乐：一键销毁会解除登记，但不会删除你自己导入的音频文件副本
（它们是你的文件，不是我们保存的内容）。如需彻底删除，请在系统文件管理中删除，
或卸载应用。
9. 未成年人
- 本应用不面向未满 14 周岁的儿童，也不会主动收集儿童个人信息。
- 未满 18 周岁的未成年人，应在监护人知情并同意的前提下使用。
- 若监护人发现未成年人未经同意使用，可联系我们协助删除本机数据。
10. 信息安全
我们采取与风险相适应的措施保护你的信息：
- 加密存储：心理内容保存在 SQLCipher 加密数据库中；日记中的图片、视频、声音在入库前单独加密。
- 密钥不落盘：解锁密钥不写入磁盘，只保存由你的密码与恢复码分别包装的两份信封；每次冷启动由你在本机解锁。
- 无服务器副本：我们没有你的内容副本，因此也不存在「服务器被攻破导致内容泄露」这一类风险。
- 网络最小化：联网只做第 3.2 节的四件事，请求不携带账号、设备标识与内容。
- 安全事件：若发生可能影响你权益的安全事件，我们会按法律要求告知并报告。由于我们不持有你的心理内容，此类事件通常只涉及服务可用性信息。
11. 人工智能生成内容说明
- 本应用内的对话回复由运行在你手机上的人工智能模型生成，界面持续显示 AI 身份标识。
- AI 生成的内容可能不准确、不完整或不适合你的具体情况，请自行判断，不要将其作为医疗、法律、财务等专业建议。
- 本应用与 AI 的互动不构成医患、咨询或任何专业服务关系。
- 为降低风险，回复在显示前会经过本机规则过滤；命中特定类别时整条回复不会被采用，改为中性回应。该过滤不保证拦截所有不适当内容。
- 对话内容不会用于训练我们的模型，也不会离开你的设备。
12. 危机场景
当你在对话中表达自伤或自杀相关内容时，本应用会：
- 在本机用固定规则识别，并优先展示心理援助热线与求助建议；
- 记录一条只在本机的危机记录（时间、级别、已展示的资源），不含对话内容；
- 不会自动通知你的家人、朋友、单位或任何第三方，不会自动报警或呼叫急救。
本应用不是急救服务。如你或他人正处于紧急危险中，请立即联系身边的人、拨打 120 / 110，或心理援助热线 12356。
13. 本政策的更新
- 本政策有改动时，我们会更新页面顶部的日期，并在应用内提示。
- 改动涉及新的处理目的、新的信息类型或新的共享情形时，我们会重新征求你的同意。
- 你可以随时在应用内查看当前版本；历史版本可向我们索取。
14. 联系我们
- 个人信息保护负责人：可通过下列邮箱联系
- 个人信息保护相关咨询、投诉与权利请求：brightvisiontech@163.com
- 通信地址：云南省昆明高新技术产业开发区黑林铺街道办事处国际花园社区昆百大国际派一栋A座昆明理工大学科技园
- 我们将在收到请求后 15 个工作日内答复。
如你对我们的答复不满意，可以向网信、工信、市场监管等主管部门投诉举报。
附录 A · 权限清单（Android）
| 权限 | 用途 |
|---|---|
INTERNET | 下载模型、检查与下载新版本、订阅结算（未开放） |
ACCESS_NETWORK_STATE | 判断网络是否可用，用于下载失败提示与重试 |
WAKE_LOCK | 音频播放与较长下载期间保持运行 |
REQUEST_INSTALL_PACKAGES | 应用内更新时拉起系统安装器 |
本应用不申请相机、麦克风、通讯录、位置、短信、电话、通知与宽泛存储权限。
附录 B · 网络请求清单
| 请求 | 目标 | 内容 | 频率 |
|---|---|---|---|
| 模型文件下载 | 官方分发地址 | 模型密文 | 首次使用对话前，一次 |
| 版本清单 | version.json | 版本号、校验值 | 启动时 / 手动检查 |
| 安装包下载 | 官方分发地址 | APK | 有新版本且你确认时 |
| 订阅结算 | 支付渠道 | 订单结果 | 仅在开放订阅后 |
以上请求均不包含你的账号、设备标识或心理内容。