写在最前面（要点速览）
- 你上传的照片只用于生成你的专属形象，不公开展示、不提供给无关第三方，也不会用于人脸识别比对或身份核验。形象与动作视频在云端生成，照片经加密链路传输至我们及我们委托的生成服务，生成完成后即可删除，不用于模型训练。
- App 内没有广场、没有附近的人、没有陌生人社交。你的形象与动作视频，只有你和已绑定的 TA 能看到。
- 绑定关系一生只能一位，且需双方确认；解绑与注销的流程和后果我们在下文写清楚了。
- 你可以随时查阅、更正、删除自己的信息，也可以随时注销账号。
关于人脸照片的单独告知（敏感个人信息）
你为生成虚拟形象上传的人脸照片属于《个人信息保护法》第二十八条所称的敏感个人信息。我们对其处理遵循「告知—单独同意」规则：在 App 内首次上传照片前，会向你单独弹出本条告知并请你单独勾选同意；你不勾选，我们不会收集照片。详细规则见下文「二、敏感个人信息处理规则」。
一、我们如何收集和使用你的个人信息
我们仅在实现下述功能所必需的最小范围内收集信息。拒绝提供非必需信息不影响你使用其他功能。
| 功能场景 | 收集的信息 | 目的与必要性 |
|---|---|---|
| 注册 / 登录 | 手机号、短信验证码 | 创建账号并验证身份。这是实现账号服务的必需信息，不提供则无法使用 App。 |
| 完善资料 | 昵称、性别、头像 | 昵称会显示在 TA 的桌面动画与时间线里。性别用于形象生成的默认参数。头像为选填。 |
| 生成虚拟形象 （含敏感个人信息） |
你主动上传的人脸照片（相机拍摄或相册选择） ——属于敏感个人信息，需你单独同意 |
仅用于生成你的专属形象，生成过程在云端完成。生成完成后照片不再用于其他目的，你可在设置中删除。不会用于人脸识别比对、身份核验、模型训练或提供给无关第三方。处理规则见第二节。 |
| 情侣绑定 | 你的邀请码、对方的邀请码、绑定关系与绑定时间 | 建立并维持你与 TA 的一对一关系，是「互推」功能的前提。 |
| 动作推送与时间线 | 你选择的动作、生成的动作视频、你填写的悄悄话文本、推送时间与状态 | 把动画送到 TA 的手机桌面，并按时间线为你们留存记录。仅你与已绑定的 TA 可见。 |
| 消息通知 | 设备推送标识（Push Token） | 在 TA 推来动画时通知你。可在系统设置或 App 内关闭；关闭后动画仍会记录到时间线，但不主动提醒。 |
| Token 充值 | 订单号、充值金额、支付渠道、支付时间、Token 余额与流水 | 完成交易、对账与客服处理。我们不收集也不存储你的银行卡号、支付密码等支付凭证，这些由支付机构处理。 |
| 安全与稳定性 | 设备型号、操作系统版本、App 版本、设备标识符、IP 地址、崩溃与错误日志 | 识别异常登录与刷量行为、排查故障、改进产品稳定性。 |
我们不会收集的信息
- 不收集你的通讯录、通话记录、短信内容。
- 不收集精确地理位置，也没有「附近的人」这类功能。
- 不读取你相册里除你主动选择的那张照片之外的其他内容。
- 不收集你的银行卡号、支付密码等支付凭证。
二、敏感个人信息处理规则
本服务处理的敏感个人信息仅有一项：你为生成虚拟形象而主动上传的人脸照片。我们不处理你的身份证件、金融账户、行踪轨迹、医疗健康等其他敏感个人信息，也不处理不满十四周岁未成年人的个人信息。
1. 处理目的与必要性
「上传一张照片，生成只属于你的专属形象」是本服务的核心功能，离开人脸照片这一功能无法实现，因此处理具有特定的目的和充分的必要性。我们只处理生成形象所必需的最小内容：单张、清晰的正面照即可，不要求你提供多角度、多张或活体视频。
2. 单独告知与单独同意
- 在你首次进入上传照片流程前，App 会单独弹出人脸照片处理告知（内容即本节），并要求你单独勾选同意。该同意与本政策整体同意相互独立，不勾选不影响你使用注册登录、时间线浏览等其他功能，仅无法生成虚拟形象。
- 你可随时在「我 → 更多设置 → 隐私与安全」中撤回该单独同意。撤回后我们停止处理你的人脸照片并删除已保存的原图；撤回不影响撤回前已完成的处理，也不会自动删除已生成的形象（形象可由你单独删除）。
- 若你未满十八周岁，应在监护人阅读本节并同意后再上传照片。
3. 对个人权益可能产生的影响
我们如实说明：人脸信息具有唯一性且不可更改，一旦泄露或被滥用，可能被用于伪造身份、深度伪造内容或其他侵害人格权益的行为。为把这一风险降到最低，我们做了以下限制：
- 不做识别用途：照片不用于人脸识别、人脸比对、身份核验，我们不生成也不保存人脸特征值等生物识别模板。
- 不做训练用途：不将你的照片、形象用于任何 AI 模型的训练、调优或数据集构建。
- 不做展示与共享：照片不在 App 内任何位置公开展示，不提供给与本服务无关的第三方，不出售、不用于广告与营销。
- 最小范围内共享：仅在生成本次形象所必需的范围内，将照片传输给云计算与 AI 生成服务（见第四节），并以合同约定其不得留存、不得另作他用。
4. 存储期限与安全措施
- 原图存储期限：照片仅在生成任务期间存储，生成完成后我们最长保留 30 天以便你重新生成或申诉；期限届满自动删除。你也可以在「我 → 更多设置 → 隐私与安全 → 我的照片」中随时手动删除，删除后 15 个工作日内从生产环境与备份中清除。
- 加密：照片在传输过程中使用 HTTPS/TLS 加密；在对象存储中静态加密存放，访问需带鉴权且链接有时效。
- 访问控制：仅授权的运维与算法工程人员因故障排查等必要事由方可申请访问，需审批并留存审计日志。
- 去标识化：内部排障与统计场景一律使用去标识化数据，不使用原始照片。
三、设备权限说明
以下权限均在你使用对应功能时才申请，你可以拒绝，也可以随时在系统设置中关闭。
| 权限 | 用途 | 拒绝的影响 |
|---|---|---|
| 相机 | 拍照上传用于生成虚拟形象 | 无法用拍照方式上传，可改用相册 |
| 相册 / 存储 | 从相册选择照片；保存动作视频 | 无法从相册上传或保存视频 |
| 通知 | TA 推来桌面动画时提醒你 | 收不到主动提醒，动画仍会记录到时间线 |
| 设置壁纸（Android） | 把角色动画设为动态壁纸图层 | 无法接收桌面动画推送效果 |
| 网络 | 登录、形象与视频的云端生成、推送 | App 无法正常使用 |
iOS 平台不支持第三方 App 自定义动态壁纸，我们改用桌面大尺寸小组件播放动画，因此 iOS 上不涉及壁纸权限。
四、我们如何共享、转让、公开披露你的信息
我们不会出售你的个人信息，也不会将其转让给任何第三方（法律法规另有规定或经你另行单独同意的除外），更不会公开披露。仅在以下情形下共享，且共享遵循最小必要原则：我们与每一家接收方签署数据处理协议，约定其只能按我们的指示、在本政策所述目的范围内处理，不得留存、不得另作他用，并要求其采取不低于本政策的安全保护标准。
1. 为实现功能必需的服务商
我们按服务类别说明如下（各类别对应的服务商全称、其隐私政策链接与所收集信息明细，以 App 内「我 → 更多设置 → 隐私与安全 → 第三方信息共享清单」实时展示的版本为准）：
| 服务类别 | 接收的信息 | 处理目的 |
|---|---|---|
| 短信服务 | 你的手机号 | 向你下发注册登录验证码与安全通知短信。服务商只做通道下发，不留存内容用于其他目的。 |
| 消息推送服务 | 设备推送标识（Push Token）、设备型号与系统版本、待送达的通知文案 | 在 TA 推来动画时向你的设备下发通知。你可在系统设置或 App 内关闭通知，关闭后不再共享。 |
| 支付机构 | 订单号、订单金额、商品名称 | 完成充值收款与对账。银行卡号、支付密码等支付凭证由支付机构直接采集与处理，不经过我们，我们也不存储。 |
| 云计算与对象存储 | 你上传的照片、生成的虚拟形象与动作视频、账号相关的业务数据 | 为形象生成与视频渲染提供算力，为生成结果提供存储与分发。服务商仅按我们的指示提供基础设施，不自行访问、不自行使用数据。 |
| AI 生成服务 | 你上传的照片、你选择的画风与动作参数 | 生成你的虚拟形象与动作视频。仅用于完成你当次发起的生成任务；任务完成后接收方即删除输入数据，不得留存、不得用于模型训练或调优、不得用于任何其他目的。 |
| 崩溃与性能监测 | 设备型号、操作系统版本、App 版本、崩溃堆栈与错误日志 | 定位崩溃与故障、改进稳定性。该类信息经去标识化处理，不用于识别你个人。 |
上述共享均在中华人民共和国境内完成，不涉及向境外提供个人信息。若未来因功能变化需要新增共享类别或涉及跨境提供，我们会更新本政策并按法律要求重新取得你的同意。
2. 与已绑定的 TA 之间的共享
这是产品的核心功能：你的昵称、虚拟形象、你主动推送的动作视频与悄悄话会展示给已绑定的 TA。你的手机号、支付信息、Token 余额不会共享给 TA；你上传的原始照片也不会提供给 TA。
3. 法律要求
根据法律法规、法律程序、政府主管部门的强制性要求，我们可能披露必要信息。此类情形下我们会在法律允许范围内要求出具相应法律文件。
五、我们如何保护你的信息
- 传输链路使用 HTTPS/TLS 加密；账号密码类信息不以明文存储。
- 形象与动作视频的访问采用带鉴权的地址，非绑定关系无法访问。
- 内部访问遵循最小权限原则，关键操作留有审计记录。
- 若发生个人信息安全事件，我们会按法律要求及时告知你事件情况、我们已采取的措施与你可采取的建议措施。
六、我们如何存储你的信息
存储地点：你的个人信息存储于中华人民共和国境内，不进行跨境传输。
保存期限：在实现本政策所述目的所必需的期间内保存。具体地：
- 账号信息：账号存续期间；注销后按下文「注销」条款删除或匿名化。
- 上传的照片（敏感个人信息）：生成完成后最长保留 30 天，期限届满自动删除；你也可在 App 内随时主动删除。详见第二节。
- 虚拟形象与动作视频：账号存续期间保留，便于你重复使用与回看时间线。
- 交易与充值记录：依据《电子商务法》等法律要求，自交易完成之日起保存不少于 3 年。
七、你的权利
你可以通过 App 内「我 → 设置」相关入口，或联系 support@ainezha.cn 行使以下权利：
- 查阅与复制：查看你的资料、形象、时间线与 Token 流水。
- 更正：修改昵称、性别、头像、手机号（昵称每 30 天可修改一次）。
- 删除：删除上传的照片、某个版本的形象、某条时间线记录。
- 撤回同意：关闭通知、相册、相机等权限，或关闭免打扰之外的其他可选功能；人脸照片的单独同意可在「我 → 更多设置 → 隐私与安全」中单独撤回。
- 解除绑定：见首页「解绑」流程——7 天冷静期或双方 24 小时内确认。解绑后历史数据云端封存，重新绑定不会恢复。
- 注销账号：注销后所有形象、互推记录与时间线将被永久删除且无法恢复。详见《账号注销说明》。
- 投诉与申诉：如你认为我们的处理行为损害了你的权益，可发邮件申诉，我们将在 15 个工作日内答复。
八、未成年人保护
本服务面向成年用户。若你未满 18 周岁，请在监护人陪同下阅读本政策，并在取得监护人同意后使用；我们不主动面向未满 14 周岁的儿童提供服务。若我们发现在未取得监护人同意的情况下收集了未成年人信息，将尽快删除。监护人如发现相关情况，可通过 support@ainezha.cn 联系我们处理。
九、本政策的更新
本政策可能因功能变化或法律要求而更新。重大变更（如收集信息的种类、使用目的、共享对象发生实质变化）我们会通过 App 内弹窗或显著提示告知你，并在你确认后生效。你可随时在本页面查看最新版本。
十、联系我们
- 运营主体：杭州哪吒智能设备有限公司
- 联系地址：浙江省杭州市
- 个人信息保护联系邮箱：support@ainezha.cn
- 公司官网：www.ainezha.cn
我们会在收到你的请求后 15 个工作日内予以答复。