隐私政策
生效日期： 2026 年 9 月 20 日
本隐私政策说明 眼语心声（Talking Eyes，以下简称「本 App」）在提供辅助沟通、视线操作、语音朗读和智能联想功能时如何处理信息。请在使用前阅读本政策。
1. 我们处理的信息
TrueDepth API、面部与注视数据
在获得相机权限后，本 App 使用 Apple ARKit 的面部跟踪能力（在支持的设备上由 TrueDepth 摄像头系统提供）在设备上实时处理以下信息：前置摄像头画面；ARKit 提供的面部网格、面部位置与姿态、双眼位置、注视目标点、眼睑闭合系数和环境光估计；由这些数据计算的屏幕注视坐标、校准样本与校准映射；以及由眼睛、鼻子和嘴部关键点之间的四项归一化几何比例构成的临时面部特征签名。
这些数据仅用于：(1) 将使用者的注视方向映射到屏幕选区，以实现视线停留操作；(2) 判断闭眼、面部离开、设备或使用者位置变化，以维持跟踪质量并提示重新校准；(3) 在设备放置辅助页面向使用者显示实时预览；(4) 在同一次运行会话内粗略判断返回镜头前的人员是否可能发生变化，从而要求重新校准。临时面部特征签名不用于确认真实身份、登录、认证、广告、画像或训练任何人工智能模型，也不会建立人脸识别数据库。
视线跟踪过程中，相机、TrueDepth、面部、眼睛和注视数据只在设备内存中实时处理。实时画面持续被后续帧覆盖，离开预览页面即移除预览；面部特征签名、校准样本和派生坐标仅在当前 App 运行会话中临时保留，相关数据会随新帧覆盖、重新校准或 App 进程结束而丢弃。视线跟踪流程不将这些数据写入设备磁盘、照片、UserDefaults、钥匙串或 iCloud，也不上传到开发者服务器，不发送给火山方舟、Sentry 或任何其他第三方。因此开发者或第三方不会从视线跟踪流程收到或保存面部数据；使用者可随时关闭相机权限或结束 App 进程，停止处理；结束 App 进程会清除当前内存中的临时数据。用户主动选择附加的反馈图片按下文“反馈与建议”单独处理。
稳定性统计可能仅包含“校准成功或失败”、采样点数量、耗时和误差数值等不含相机画面、面部几何、面部特征签名或注视坐标的汇总指标。
位置信息与天气
在获得使用期间的位置权限后，本 App 获取设备位置，用于判断大致场景、进行反向地理编码并通过 Apple WeatherKit 获取天气。形成的场景描述、地点描述和天气摘要可能用于智能联想。您可以在系统设置中拒绝或撤销位置权限；核心的分类表达选择、拼音输入和语音朗读仍可使用。
使用人设置
家属或护理员可以主动填写年龄段、性别、疾病或状态标签、常驻环境、环境详情和常用快捷词。这些设置保存在设备本地，并用于调整智能联想内容。请只填写实现沟通目的所必需的信息。
句子与使用历史
本 App 在设备上保存已朗读短语及其使用次数，用于优先显示更常用的表达。当前正在编辑的句子、常用短语和部分历史高频短语可能用于智能联想。
麦克风、语音转写与环境声音
「监听护理员说话」功能默认关闭。主动开启并授权麦克风与语音识别后，本 App 会在支持的设备上进行设备端语音转写与环境声音分类，用于形成短时情境摘要并改善智能联想。App 不保存或上传原始录音；生成智能联想时，转写文字和环境声音的文字摘要可能随其他情境信息发送。撤销麦克风或语音识别权限不会影响分类表达、拼音输入、触控选择和语音朗读。
设备标识、AI 配额与订阅交易
本 App 会生成一个随机设备标识并保存在本机钥匙串中，用于设备注册、防止免费额度被滥用以及记录每日 AI 请求用量。购买或恢复月度订阅时，App 会通过 Apple StoreKit 获取订阅交易信息，并将商品标识、交易标识、原始交易标识和到期时间发送至开发者服务端，由服务端向 Apple 验证订阅状态。App 不要求创建用户账号。
AI 隐私记录
为便于使用者了解每次 AI 请求包含的内容，App 会在设备本地保存近期 AI 请求的字段摘要和时间记录。该记录不会因这一功能单独上传，可在 App 内查看，自动保留最近 7 天，也可随时使用「清空全部历史记录」删除。
诊断信息
本 App 使用 Sentry 提供崩溃分析、卡顿诊断、运行会话与重点功能性能统计。发生故障或使用重点功能时，可能向 Sentry 发送崩溃堆栈、错误类型、App 版本、操作系统与设备型号、运行环境、功能结果、耗时及非内容型计数。网络传输过程中 Sentry 还可能处理设备的 IP 地址。
我们已关闭 Sentry 的默认个人信息发送、自动界面截图和视图层级附件。自动诊断和性能事件不会主动包含姓名、疾病或状态标签、句子内容、位置、相机画面、面部或原始注视数据、模型提示词与响应、API 密钥。用户主动提交的反馈按下文单独处理。
反馈与建议
用户在 App 内主动提交反馈时，反馈正文、可选的姓名、电话号码、电子邮件地址及用户选择附加的图片会通过 Sentry 发送给开发团队。反馈用于答复问题和改进 App；提供联系方式后，我们可能据此联系用户。请勿在反馈或截图中包含不必要的患者资料、面部画面或其他敏感内容。反馈由 Sentry 按其服务设置保存；如需查询或删除开发者控制的反馈记录，请通过第 10 节的邮箱联系我们。
2. 线上智能联想与第三方 AI 数据共享
AI 联想默认关闭。在首次发送任何 AI 请求前，本 App 会显示单独的说明页面或确认框，明确列出发送的数据、接收方和用途。只有使用者或协助操作的家属/护理员点击“同意数据共享并开启”或“同意并开启”后，本 App 才会发送数据。拒绝不会影响分类表达、常用表达、拼音输入、触控选择或系统语音朗读；之后可在“设置 > 基础设置”关闭 AI 联想并撤回授权。
用户明确同意后，请求先通过 HTTPS 发送至“眼语心声”开发者运营的代理服务，再由该代理发送给第三方 AI 服务商 火山方舟（北京火山引擎科技有限公司） 的语言模型 API。此前针对其他接收方作出的授权不会自动延续；升级后需重新明确同意。可能发送：
- 当前句子和正在选择的内容类别
- 年龄段、性别、疾病或状态标签
- 常驻环境、地点描述、时间和天气摘要
- 家属设置的快捷词和部分历史高频短语
- 护理员语音转写文字和环境声音的文字摘要（仅在主动开启音频上下文时）
- 随机设备标识与设备令牌仅发送给开发者代理，用于鉴权、配额控制和防滥用；代理不会将其转发给火山方舟
这些信息仅用于生成本次候选词或短句、请求鉴权、配额计算、防止滥用和必要的内容安全处理。相机画面、TrueDepth 数据、面部网格、面部特征签名、原始或派生注视数据以及原始录音绝不会发送给开发者代理或火山方舟。
开发者代理不会将 AI 提示词或模型响应写入持久化日志或数据库；请求内容仅在转发和返回结果所必需的短暂内存处理中存在。代理可能保存随机设备标识、设备令牌、每日请求次数、订阅交易状态，并记录不含提示词或响应正文的运行日志（例如模型名称、请求状态、耗时和截断后的随机设备标识），用于鉴权、配额、安全和故障排查。
火山引擎的数据处理与保护说明请参阅其隐私政策。火山方舟可能为完成推理、计费、安全和法定义务处理请求及相关元数据；具体保存期限和处理方式以其现行政策及服务协议为准。我们要求处理用户数据的服务提供方仅按提供本 App 功能所必需的目的处理数据，并提供与本政策及适用规则相同或同等水平的保护。
火山方舟是本政策生效日使用的第三方 AI 服务商。未来若更换第三方接收方，我们会在首次发送前更新本政策和 App 内的数据共享说明；此前的同意不会自动视为对新服务商的同意。未重新同意时，AI 联想保持关闭，其他非 AI 沟通功能不受影响。
关闭 AI 联想后，App 会立即停止新的 AI 推理和自动额度请求。若希望删除开发者控制的设备注册、配额、订阅或运行日志记录，可通过本政策“联系我们”所列方式提出请求；我们将在验证请求并满足适用法律要求后删除或匿名化相关记录。火山方舟控制的数据权利请求依其隐私政策执行。请避免在使用人设置或句子中录入实现沟通目的所不需要的敏感内容。
3. 信息的使用目的
我们仅为以下目的处理信息：
- 提供注视停留和触控选择
- 提供设备放置与视线校准辅助
- 组合、保存常用程度并朗读表达内容
- 根据使用人设置和当前情境生成候选内容
- 管理每日 AI 使用额度、验证订阅状态并防止服务滥用
- 维护功能稳定性、排查故障并履行法律义务
- 统计重点功能的成功率、使用方式和处理耗时，以改进可靠性与交互体验
我们不使用这些信息进行第三方广告，也不进行跨 App 或跨网站跟踪。
4. 信息存储与安全
使用人设置、基础设置和短语使用历史存储在设备的本地偏好设置中；随机设备标识与设备令牌存储在设备钥匙串中。删除 App 可能不会立即移除钥匙串项目。TrueDepth、面部和注视数据不做持久化存储。线上智能联想、设备注册、配额和订阅验证请求会通过 HTTPS 发送至开发者服务；诊断与重点功能性能数据会通过 HTTPS 发送至 Sentry。AI 请求正文的保存方式见第 2 节。
5. 信息共享
为提供功能，信息可能由以下服务处理：
- Apple：系统权限、ARKit、语音合成、反向地理编码、WeatherKit、StoreKit 与订阅交易验证
- 开发者运营的代理服务：设备注册、AI 配额、订阅验证及智能联想请求转发
- 当前第三方 AI 服务商 火山方舟：生成智能联想内容；如接收方发生变化，按照第 2 节更新披露并重新取得明确同意
- Functional Software, Inc.（Sentry）：崩溃分析、性能监控、重点功能统计，以及用户主动提交的反馈与图片附件
App 的面部跟踪流程不会向上述任何一方传输 TrueDepth、相机画面、面部或注视数据；用户主动选择附加的反馈图片按第 1 节“反馈与建议”处理。除提供服务、遵守法律或保护合法权益所必需的情形外，我们不会出售个人信息。我们要求接收用户数据的服务提供方仅按约定目的处理，并提供与本政策和适用规则相同或同等水平的保护。
6. 您的选择与权利
您可以：
- 在 iPad「设置」中撤销相机、麦克风、语音识别或位置权限
- 在本 App 设置中修改使用人信息、常用词和交互方式
- 在本 App「基础设置」中随时开启或关闭 AI 联想
- 关闭 AI 联想以撤回向当前第三方 AI 服务商共享数据的同意；关闭后不再发送新的 AI 请求
- 通过删除 App 清除本地保存的数据
- 通过本政策所列联系方式询问、访问、更正或删除由开发者控制的信息
7. 儿童隐私
本 App 可能在监护人或护理人员协助下供不同年龄的使用者使用。请勿在没有适当监护人同意的情况下录入儿童的敏感信息。
8. 医疗与紧急情况说明
本 App 是辅助沟通工具，不提供医疗诊断、治疗建议或紧急呼救服务，也不能替代专业医疗设备、护理观察或紧急联系方式。
9. 政策更新
当功能、第三方服务或法律要求发生变化时，我们可能更新本政策，并在政策页面标注新的生效日期。重大变化将以适当方式提示。
10. 联系我们
如对本政策或信息处理方式有疑问，请联系：
开发者： 北京小快刀互动娱乐科技有限公司