AiThao 隐私政策

账号在首次启动应用时生成，无需提供手机号、电子邮箱和姓名。账号拥有一个不透明标识符、一个随机分配的 AiThao号码 以及一个您可以更改的用户名。如果需要，您可以添加显示名称、头像、主页封面和简短状态；这些均为可选项目，且均可随时移除。

使用 AiThao 并不强制要求绑定以下任何项目。它们的存在仅为了让您在更换新手机后能重新找回自己的账号：

• Apple 或 Google。 我们仅接收固定的账号标识符，以及在提供商发送时的电子邮箱地址。我们不索取任何其他内容 — 无通讯录、无日历、无文件 — 也绝不读取或向您的 Apple 或 Google 账号发布任何内容。存储该标识符是为了在后续登录时能匹配到同一个 AiThao 账号。
• 电子邮箱。 您可以绑定一个电子邮箱地址；我们会通过邮件发送提供商向该邮箱发送一次性验证码。我们仅存储该地址的哈希值以及用于辅助记忆的简短掩码提示，而不存储邮箱地址本身。该信息绝不会向您的联系人展示，也绝不用于营销推广。
• 恢复码。 由您自行妥善保存的一次性代码。我们仅存储其哈希值。使用恢复码登录会注销该账号下的所有其他设备并清除它们的密钥，从而防止您不再持有的手机继续使用该账号。

消息采用端到端加密。 您在聊天中发送的所有内容 — 文本、表情回应、编辑内容、照片、文件、语音消息、位置和联系人名片 — 均使用 Signal Protocol 在您的手机上完成加密，且仅为您通信对象的手机以及您自己的其他设备加密。只有这些手机才能解密。我们的服务器仅存储和投递其无法读取的加密副本，并在目标手机接收成功后或 30 天后删除各副本。

我们的服务器能看到的信息包括：谁在何时向谁发送了消息、消息的大小、是否已送达和已读，以及某条回复指向了哪条消息。

您的对话历史记录保留在手机本地，受 iOS Data Protection 保护，且不包含在 iCloud 和电脑备份中。您可以与通话对象当面或通过扫描二维码比对安全码，以确认通信未被第三方截获。

在端到端加密上线前创建的对话，其历史早期消息仍会像以往一样保留在我们的服务器上，直到您将其删除。

如果你要发送的对象尚未完成手机设置，就没有可用于加密的密钥，应用不会发送任何内容——它会让你稍候，而不是退回到明文发送。密钥由我们的服务器下发，因此这是我们唯一可能通过回答“没有密钥”而让一段对话不加密的时刻；应用选择拒绝，而不是让我们这样做。

若在聊天中开启阅后即焚（定时消失）消息，其中的每条新消息在倒计时结束后，都会从我们的服务器上为双方同时删除。为所有人删除某条消息将彻底清除其在服务器上的内容。删除对话或注销账号的详细说明参见您的权利与选择部分。

翻译是本应用的核心价值所在，且该过程并非在您的手机本地完成。在端到端加密聊天中，消息送达时为加密状态。当消息语言是您无法阅读的语言且开启了云端翻译（设置 → 翻译；除非您关闭，否则默认开启）时，您的手机在解密后会将解密后的文本或录音发送至我们的翻译服务。该服务将内容转交予翻译提供商并传回翻译结果；我们不会存储所翻译的内容。应用会在首次发生此操作时提醒一次，并对以此方式翻译的每条消息予以标记。翻译通话不采用端到端加密： 实时语音必须传输给翻译服务，而若改在手机本地翻译，造成的延迟将超过正常对话所能承受的限度。翻译采用以下提供商：

• AI 语音识别与翻译服务商 — 实时通话翻译、语音消息转写及语音合成。
• 云端 AI 翻译服务商 — 文本翻译，并在第一提供商不可用时作为上述实时和语音任务的备用方案。

我们仅传输待翻译的实际内容 — 即消息文本或通话/语音音频，以及源语言和目标语言。您的姓名、通讯录、AiThao号码 以及其他对话内容均不会被发送。因此，经过翻译的通话或语音消息并非仅限于双方之间的私密通信：提供商必须处理这些内容方能完成翻译。在您开启翻译功能的界面上，应用已明确说明了这一点。这些提供商在其自身的条款规范下于其自身基础设施上处理内容；我们无法控制其保留时长或是否用于改进其服务，亦不对其作出任何担保。

在 aithao.com 上您可以亲自体验翻译：您在那里输入或说出的内容会发送给翻译服务商，并以译文返回。录音和文字我们都不保存，体验也无需账户。

通话由运行在我们自己服务器上的媒体服务器软件承载 — 软件背后的公司不会接收任何数据。当两部手机之间无法建立直连通道时，音频和视频将通过该服务器中继；中继节点也可能承载媒体传输，该中继节点的运营方 属于第三方服务商。

两部支持该特性的手机之间的通话采用端到端加密：每次通话都有独立的密钥，通过加密聊天发送给对方手机，媒体服务器仅中继其无法解密的音视频流。在通话过程中开启翻译时，通话密钥将被提供给我们的翻译 worker 以便其接收音频；自此时起，该通话不再属于端到端加密，通话界面上的锁形图标也会隐去。视频绝不会发送给翻译提供商。我们保留通话日志 — 通话双方、通话时间和时长 — 以便您查阅自己的通话历史。我们不会对通话录音。

在翻译通话中，任何一方都可以开启通话摘要。此时对方的通话界面会显示一行提示。通话结束后，通话的文字记录——双方经识别和翻译的话语，而非录音——会从开启摘要的一方手机经由我们的服务器发送给云端 AI 翻译服务商，由其生成简短摘要并返回。我们既不保存文字记录，也不保存摘要。你可以拒绝他人为与你的通话生成摘要：设置 → 隐私与安全 → 允许总结与我的通话。关闭后，任何人都无法为与你的通话生成摘要。

文件保存多久。消息中发送的文件，照片保存 180 天，视频、语音消息及其他文件保存 90 天，自发送之日起算。之后文件将从我们的存储中删除。消息本身仍留在会话中，并注明文件已不再保存。已下载到手机上的内容仍在手机上；我们无法触及，也不会去触及。

在端到端加密聊天中，每张照片、文件或语音消息在上传前都会在您的手机上使用其专属密钥进行加密。对象存储（云存储与网络服务商）仅存放加密文件；密钥则随加密消息一同传递。翻译后的语音消息仅在收听方手机提出请求时生成，不保存在我们的服务器上。在端到端加密上线前发送的附件仍按原样存储。

聊天备份为可选功能（设置 → 聊天备份）。您的手机在上传前会使用随机密钥对对话记录副本进行加密。该密钥本身使用保存在 iCloud 钥匙串（iCloud Keychain）中的恢复密钥加锁 — Apple 在您自己的设备之间对其进行端到端加密 — 且绝不会发送给我们。我们的服务器仅存储加密的备份和上锁的密钥，且无法解密其中任何一项。登录相同 Apple ID 的新 iPhone 可自动恢复您的聊天记录。您也可以手抄记录恢复密钥。如果您同时丢失了手机、Apple ID 和恢复密钥，无论是您还是我们都无法恢复历史记录。关闭备份或注销账户将从我们的服务器中删除该备份。

将聊天转移至新手机： 新手机展示一个二维码，旧手机扫描该码，并通过仅在该码中传递的密钥加密传输历史记录。我们的服务器仅负责中继加密数据，并在一小时内将其删除。

群聊的运行机制类似于参与人数更多的一对一聊天：本页面关于消息、翻译、通话和文件的一切说明均适用于每位群成员，且每位成员均以自己的语言阅读群内内容。此外，我们的服务器会存储群名称和头像、群成员名单、创建者及管理员信息。退出群聊会将您从成员名单中移除；您之前发送的消息仍会保留在群中，就像一对一聊天一样。

联系人是指您在 AiThao 内通过对方的 AiThao号码、用户名或二维码添加的用户。知晓您 AiThao号码 或用户名的任何人均可找到您的个人资料；他们能看到什么取决于您的设置。App Store 上的版本仍可能提供按电话号码查找他人。如果你打开该界面并允许访问通讯录，通讯录中的号码会通过加密连接发送到我们的服务器，每个号码都会被转换为带密钥的哈希；号码本身从不保存，姓名也从不发送。这项查找找不到任何人，并将在下一个版本中随通讯录权限请求一并移除，因为我们无法核实一个号码属于把它告诉我们的那个人，与其提供这样的功能，不如什么都不提供。那个版本发布当天，本页面即会更新。

“在线”和“最后上线时间”仅为一个具有有效期限的时间戳，绝非持久日志，谁能查看由您的设置决定。隐藏在线状态在外界看来与彻底离线毫无分别。

推送通知由 Apple（APNs）送达。对于端到端加密消息，我们的服务器仅发送“新消息”提示以及由发送方手机专门为您加密的简短预览；您的手机解密该预览并根据您与 iOS 的预览设置显示文本内容。Apple 和我们的服务器都无法读取该预览。您的手机用于此项功能的密钥每 30 天轮换一次。为投递通知和通话，我们为您的每台设备存储推送令牌（push token）和设备标识符。

常规聊天与通话完全免费。翻译通话和翻译语音消息按分钟计费。新注册账号可获赠一次性的免费额度体验。当您购买更多时长时，由 Apple 处理支付款项；我们接收来自 Apple 的签名收据，并存储购买记录、时长余额及消耗详情（通话或语音消息、语言种类、服务商、费用），以便计量服务并支持付费功能。

我们保留维持服务稳定与安全所必需的运维数据：请求日志（URL、状态码、错误信息、时间戳）、通话质量及延迟指标，以及与设备（而非您个人）绑定的不透明防滥用标记。应用本身不包含任何第三方分析或追踪 SDK。我们不会为您建立用户画像，也不会对您作出任何自动化决策。

我们采用以下服务商来保障 AiThao 的运转。各方仅接收履行其职责所必需的数据，并依据其自身条款处理数据。

我们使用的服务商名称可应要求告知：请写信至 privacy@aithao.com。

• 不投放广告，绝不为了广告目的出售或共享任何数据。
• 应用内不包含任何第三方分析或追踪 SDK。
• 不进行用户画像，不对您作出自动化决策。
• 除非您主动使用需要特定权限的功能，否则绝不访问您的照片图库、麦克风或地理位置，且仅在用于该功能时访问。

• 访问与导出。 请写信至 privacy@aithao.com，我们会在 30 天内向您发送一个文件，其中包含我们服务器保存的与您账户有关的数据：账户、联系人以及您所看到的消息。 导出内容仅包含我们服务器实际持有的数据。对于端到端加密聊天，仅能导出谁在何时向谁发送了消息，不包含具体对话文字 — 后者仅保存在您的手机本地和聊天备份中。
• 更正。 您可以随时在应用内修改您的个人资料。
• 删除。 依次点击 设置 → 账号 → 删除账户 将彻底清除账号、身份凭据、关联设备、联系人、邀请、黑名单、通话记录和在线状态，并释放用户名。您的头像、封面图以及从未进入对话的上传内容也会在同一时间从存储中删除。 您的聊天备份以及正在两台手机之间迁移的聊天记录也会一并删除。 您已发送给其他人的消息和文件仍会保留在对方的会话中，因为这些内容同样属于对方：服务器上仅有一份副本，它既是对方的记录也是您的记录。被抹去的是您附在上面的名字 — 账号已不存在，文件停止记录上传者是谁，在对方眼中您仅显示为“已删除账户”。若想让某条特定消息及其文件从双方界面同时消失，请在注销账户之前选择对所有人删除；这是两项独立的操作，注销账户绝不会替您自动执行该操作。账户删除不可逆。
• 自动删除。 如果您在「设置 → 隐私 → 长期未使用则删除账户」所设的期限内未打开 AiThao（未选择 1、3 或 12 个月时为六个月），您的账户将按上述方式删除。删除前一周，我们会向您的手机发送通知。
• 异议与限制。 您可以随时在“设置”中关闭手机号发现、隐藏在线状态、停用消息预览以及关闭翻译功能。

如果您位于欧洲经济区或英国，您有权访问、更正、删除、转移和反对处理您的个人数据，并有权向您的数据保护监管机构提出申诉。我们的法律基础是履行与您的合同（运行即时通讯及付费功能）、您的同意（手机号发现和翻译等可选功能），以及我们在保障服务安全和防止滥用方面的合法利益。如果您是加利福尼亚州居民，您有权知悉、删除和更正您的个人信息，且不会因行使这些权利而受到歧视；我们绝不出售或共享个人信息。如需行使任何权利，请发送邮件至 privacy@aithao.com。

我们的服务器以及服务商的服务器可能位于不同国家，所在位置也可能变化。因此您的数据可能在您所在国家之外被处理。若想了解数据在何处处理，请写信至 privacy@aithao.com。

AiThao 不面向 13 周岁以下的儿童，若您所在国家规定的数字同意年龄更高，则不面向该年龄以下的未成年人。我们不会故意收集此类人群的数据。

当本政策发生实质性变更时，我们将更新上方的日期；若涉及重大变更，我们会在应用内通知您。在变更发布后继续使用 AiThao 即代表您同意受更新后的政策约束。

如有任何疑问或个人数据相关诉求，请联系：privacy@aithao.com。