隐私政策
温迪的设计原则：孩子说过的话、声音和聊天记录，都留在家庭自己的设备里。
简明摘要
温迪是为 6–12 岁儿童设计的中文语音学习与故事应用。对话模型、语音识别、语音合成与安全检查都在设备上运行。没有用户账号，没有广告，也没有统计分析工具。孩子的对话、声音和个人信息只保存在设备上，不会上传，也不会被出售或分享。应用只在下载模型与内容、查询订阅状态时联网（见第 3 条）。
1保存在设备上的信息
温迪没有用户账号，也不含广告 SDK、统计分析、远程日志或自动崩溃报告。以下信息只保存在应用的私有存储中，其他应用无法读取：
- 孩子的档案：昵称、年龄、性别和所选头像（应用内置的插画，不使用真实照片）。
- 聊天记录：孩子与温迪之间的全部对话，默认保留 90 天，家长可改为 30 天、60 天、一年或永久保留。
- 安全事件记录：触发安全过滤时的类别、时间和触发的原话，供家长在家长洞察中查看（部分敏感类别只显示类别，见第 7 条）。
- 学习记录：听完的故事和小知识、小测答题情况、获得的徽章。
- 温迪记住的事：孩子聊天时提到的过敏、谁在照顾、害怕的事、宠物、兴趣、年级，以及亲人或宠物去世、父母分开这类家里的变故。温迪记下来是为了下次聊天时留意，不说错话。年级、兴趣这类保留一年，宠物两年，健康、照顾者和家里的变故三年，到期自动删除；家长可以在家长洞察的「温迪记住的事」里逐条查看和删除。
- 语气标签：每次语音输入时对语气的粗略判断，只保存类别，不保存录音（见第 2 条）。
- 其他：家长备注、使用时长、内容风险评分，语速、字号等设置，以及温迪回复的语音缓存。
- 同意记录：家长同意的时间。
家长可以随时清除这些记录；卸载应用会删除全部本地数据。
2语音、照片与权限
语音识别完全在设备上进行，没有云端备用路径。原始录音在转写完成后立即删除。
识别时，设备上的模型还会粗略判断语气（例如开心、平静或难过），温迪据此在孩子听起来不开心时更温和地回应。这个判断以类别标签的形式保存在本机，并在家长洞察中以语气分布的形式呈现给家长，不会上传。
温迪不申请相机权限，无法打开相机或读取相册。应用会请求麦克风权限（用于语音聊天）和通知权限（用于给家长发送安全提醒），家长可以随时在手机设置中关闭。
3什么时候会联网
温迪只在以下情形联网，且都不涉及孩子的对话、声音、昵称或其他任何关于孩子的信息：
- 下载模型与内容：首次启动时，应用从我们的云存储（Cloudflare）下载约 3–4 GB 的 AI 模型（视所选版本而定）；之后会不定期检查并下载故事、小知识等内容库的更新。这些请求只下载文件。
- 订阅状态：应用启动时会通过 Google Play 和订阅服务商 RevenueCat 查询订阅状态与价格。离开设备的信息仅限 RevenueCat 为本次安装生成的随机标识、应用版本、商店所在国家或地区；如果家长购买过，还包括 Google Play 购买凭据和所购商品。这个随机标识不是设备标识，也不与孩子的任何信息关联。
- 付款由 Google Play 处理，我们看不到银行卡等任何支付信息。
日常聊天、语音和安全检查都可以离线完成。
4不收集的信息
- 真实姓名、地址、电话或邮箱
- 位置及设备标识（如 IMEI、广告 ID）
- 照片、联系人或日历
- 行为分析、点击追踪或自动崩溃报告
5第三方组件
Google Gemma、SenseVoice、MeloTTS、sherpa-onnx 与 MiniLM 在本机处理文字、语音和安全检查，不会把数据发给任何人。Cloudflare 只提供模型和内容文件的下载；Google Play 与 RevenueCat 只处理应用分发、付款和订阅状态（见第 3 条）。它们都不会收到孩子的对话、声音或历史记录。我们不会出售、出租或交换任何数据。
6家长控制
- 设置、购买、导出和删除数据都需要通过家长验证。
- 家长洞察需要设备身份验证（指纹、面容或锁屏密码），设备未设置时使用家长验证题。
- 家长可以查看或清除聊天记录、设置保留期限，并在设置中导出全部数据（JSON 格式）。
- 可设置 15、30 或 60 分钟的使用提醒。
- 删除孩子档案会删除该孩子的全部数据。
7安全与危机提示
输入规则、本地语义安全分类器、人格规则与输出检查共同保护孩子。可能的危机会显示人工编写的固定回复，引导孩子寻找可信任的成年人，并显示求助热线。
事件会在本机记录类别、时间和触发的原话，供家长在家长洞察中查看；部分敏感类别只向家长显示类别，不显示原话。需要家长关注时，应用会在本机发出通知，通知中不含孩子的原话；导出的 PDF 报告同样不含孩子的原话。这些记录都不会上传。
8家长主动发送的内容
应用不会自动上传任何内容。只有家长主动操作时，才可能有内容发给我们：
- 孩子把某条回答标记为「有点问题」后，家长可以在家长洞察中点「反馈给我们」，通过手机的分享面板发送。发送的只有温迪的回答，不含孩子说的话。
- 应用出错时，家长可以在设置中选择「发送错误日志」。错误日志可能含有对话片段，因此需要先通过家长验证，并由家长决定是否发送。
9家长同意
使用前，家长或监护人必须完成验证，并阅读 AI 局限、安全、隐私、屏幕时间与紧急支持要点。只在本机保存同意的时间。
10政策更新与联系方式
政策更新会发布在此网址并标明生效日期。如有疑问或数据请求，请发送邮件至 support@gist-ai.net。