BabyLog 宝记隐私政策

Android Beta：适用功能与资料处理

本专项说明自2026年10月30日起适用于宝记 Android 中国大陆 Beta 版本。下文 Apple 登录、语音、AI、照片文件和 StoreKit 等说明适用于提供相应功能的 iOS 版本；Android 当前不提供 Apple 登录、AI、语音识别、照片上传或下载展示、支付、广告或广告归因。Beta 表示测试版本，不改变本政策中的资料保护与用户权利安排。

本机记录、云端与家庭共享

登录页提示“继续使用即表示你已阅读并同意《隐私政策》”，可点击阅读完整说明。请仅由监护人或已获得监护人授权及相应同意的照护人填写宝宝资料。旧版本保存在本机的宝宝昵称、出生日期和照护记录不会自动上传或并入云端账号；有本机资料或曾启用本机记录的用户，仍可从登录页或“我的 → 本机旧记录”访问，查看、导出或删除已有资料。新用户不再提供本机旧记录入口。

主动登录后，应用向 api.babylogcare.com 的宝记服务提交你使用的手机号、验证码或密码，并按功能处理账号、宝宝档案、家庭成员及权限、育儿记录、辅食档案、补剂与接种计划、已有权益查询和资料权利请求。云端记录可涉及奶类喂养、辅食、喝水、睡眠、尿布、补剂/用药、体温、症状、疫苗、测量、里程碑及自定义内容。家庭成员按获授权角色访问；同一手机号账号可访问你有权限的原有资料，原 Apple-only 账号不能直接在 Android 登录，也不会自动与新手机号账号合并。

云端使用既有自托管 Supabase 和阿里云基础设施；短信验证码由宝记服务端调用阿里云号码认证服务（PNVS），Android 不内置短信厂商 SDK。Android 虽不传输照片文件，共享档案及记录仍可能包含 iOS 照片或头像的关联标识、对象引用和状态，随完整资料读取、缓存、编辑回写或原始导出保留。删除云端宝宝或注销账号会按共享服务流程影响相关既有媒体；收到申请不等于已经清理完成。

本机存储、备份、导出与提醒

记录、云端缓存、未同步修改、修改前后的副本、冲突信息、补剂待确认请求和提醒设置保存在应用私有目录，可能包含未展示的历史健康字段。登录凭据使用 Android Keystore 中的密钥加密保存，这不等于记录数据库已单独加密。应用禁用 Android 系统云备份与设备迁移备份；同意状态、待发统计及诊断缓存另保存在不参与系统备份的私有目录。卸载、清除应用数据或设备损坏可能丢失本机及未同步资料；用户主动导出、云端资料及服务端备份不受这一开关控制。

资料按服务环境、账号及宝宝隔离；登录失效时，部分原账号未同步修改会隔离保留，同一账号重新登录并核对权限后才可能恢复。明确退出、换号或确认失权时按相应范围清理。清除本机资料不等于删除云端账号，提交删除请求不等于完成。Android 原始 JSON 导出可能包含备注、身份标识、未展示字段和历史媒体引用，不包含照片或报告文件；请保存到可信位置，补充资料请求可联系支持。提醒由你主动开启，通知使用通用提示；后台限制可能导致延迟，不用于医疗或紧急照护。

可选的使用情况统计与错误、性能诊断

使用情况统计和错误、性能诊断默认开启，可在“我的 → 使用情况与诊断”分别关闭。关闭后停止对应的新采集，并清除本机对应待发送数据，不影响记录功能。已有选择（包括关闭）在升级或重新登录后保留，不会被默认设置覆盖。保存失败会提示重试；关闭操作即使暂未保存，也会先停止本次运行中的对应采集。

允许使用情况统计后，应用向宝记自有服务发送应用打开、固定入口的曝光和点击、记录操作是否得到确认等信息，附带应用版本、粗粒度系统/设备类型、受控结果码及粗粒度记录类别。已登录时由服务端生成去标识化账号标识，未登录时使用随机安装标识；这些标识仍可关联，不能称为完全匿名。不会发送宝宝姓名、出生日期、原始账号/宝宝/记录标识、健康记录内容、备注、食材或药品名称、症状明细、邀请码或登录凭据。本机待发统计最多100项、64KiB，最长保留3天，与业务记录的待同步修改分开保存。

允许诊断后，Sentry（Functional Software, Inc.）处理经过过滤的崩溃、应用无响应及非预期故障堆栈、会话健康、应用版本、粗粒度系统/设备信息，以及按5%采样发送的耗时和卡顿汇总；该比例不适用于崩溃或应用无响应诊断。独立 Android 项目的处理地域为美国（US），当前错误和性能明细默认保留30天，问题级累计计数、会话汇总和服务备份不等同于明细保留周期。诊断不发送儿童健康内容、账号/宝宝标识、登录凭据、异常消息正文、请求体、截图、界面层级或会话回放，不启用日志、自动网络/UI/数据库内容追踪或原生内存转储附件。

统计和诊断均不用于广告或通用模型训练。网络接收方仍会处理 IP 等连接必要信息；Android Sentry 项目阻止新事件存储 IP，并清理服务端附加的地理位置字段，这不表示网络层从不处理 IP。关闭相应选项后停止新采集并清除本机对应待发信息；退出、换号或注销时隔离或清理对应待发内容。关闭开关不等于删除已经发送的数据：账号关联统计沿用账号注销的数据删除流程，未关联安装数据与第三方诊断按适用留存和删除规则处理；可通过支持邮箱提出资料请求。

主动检查更新与官网访问

点击检查更新时，应用向 babylogcare.com/android/release.json 请求公开版本信息，不附带账号、宝宝资料、登录凭据或认证请求头；不会后台自动检查、下载或安装。打开安装说明、政策或支持邮箱由你主动选择，浏览器和邮件应用按自身设置处理请求，官网及网络服务仍会收到连接必要信息。拒绝统计或诊断不影响这些由你主动选择的操作。

一、我们收集的数据类型

我们会根据你使用的功能收集以下信息。不同用户实际提供的信息可能不同。

这些数据主要来自你在 App 内主动输入、选择或确认保存的内容，主动录音后的语音转写，iOS 系统能力（如语音识别、本地通知、Widget、Keychain 和系统分享），StoreKit / App Store Server API 返回的购买与订阅状态，以及宝记后端为账号、同步、协作、订阅权益、删除请求和故障排查生成的必要状态。

• 账号信息：手机号、邮箱、登录状态、用户 ID、认证 token 的本地登录态、账号安全和注销请求状态。
• 宝宝档案：宝宝姓名或昵称、出生日期、性别、早产或校正月龄相关信息、当前选中宝宝、家庭称谓等。
• 育儿记录：喂养、睡眠、大小便、补剂/用药、症状、疫苗、身高体重等测量、成长里程碑、自定义记录、记录时间、记录来源、必要备注和修改历史。
• 记录照片：你主动选择或拍摄的照片会先在本机调整尺寸、方向和色彩，并移除可选元数据，再上传至阿里云 OSS 私有对象存储。照片与对应记录及账号关联，仅供你和该宝宝有权限的家庭成员查看，不用于广告追踪。
• 宝宝头像（功能启用时）：你确认裁剪后的头像和缩略图会保存到阿里云 OSS 私有空间，与宝宝及账号关联，仅对这个宝宝有权限的家庭成员可见，不用于 AI 分析或模型训练。更换、移除后清理旧图；清空记录保留头像，删除宝宝或所有者注销会清理头像。完整数据导出包含当前头像。
• 照片校验与清理：宝记后端在确认照片保存前，临时读取处理后的图片，在内存中独立检查文件格式、完整性、尺寸及元数据，不另存校验副本、不将图片写入诊断日志。照片不发送给 AI 服务或用于模型训练。原始输入在处理后删除；若 App 意外退出，会在后续启动或恢复可访问时清理遗留输入。你可以删除记录照片；云端对象通过后台任务清理，导出的照片可经系统分享交由你指定的接收方处理。
• 家庭协作成员信息：成员关系、角色权限、邀请码状态、成员称谓、成员管理记录，以及导出、批量删除、宝宝档案删除等高影响操作记录。
• 购买、订阅与权益信息：BabyLog Plus 商品 ID、订阅状态、购买/恢复/续费/过期/退款/撤销状态、Apple 交易及原始交易标识、服务端权益同步状态；永久会员还包含购买或赠送来源、发放时间、有效或撤销状态及权益通知确认状态。为核验早期年费赠送资格与后续退款，我们会处理对应年费交易的购买时间、有效期、实付金额和退款状态。BabyLog 不收集或保存银行卡号等支付卡信息。
• 设备、本地缓存、诊断和产品交互信息：App 版本、iOS 主版本、设备类型、匿名诊断 ID、后端派生的不可逆用户 analytics key、宝宝月龄区间、家庭角色、功能名、操作结果、耗时、错误码、粗粒度记录类别、事件数量、崩溃或同步失败信息，以及用于离线体验、提醒、Widget 和启动展示的本地缓存。
• 桌面组件使用信息：启用组件直接记录时，与账号关联的安装标识用于设备认证、权限控制和防止重复记录。组件通过宝记后端保存尿布、瓶喂或撤销操作；必要的待同步操作和服务器确认摘要暂存在同一设备的受保护共享空间，供组件补发和App合并，不包含姓名、备注或语音。访问凭据保存在系统钥匙串。恢复网络且组件或App获得运行机会后继续同步；临时登录失效时，未确认的组件操作按原账号和宝宝隔离保留，重新登录并核对权限后才恢复同步；明确退出、换号、注销及确认失权时清理对应范围。这些数据不用于广告追踪或训练通用模型。
• Apple Watch 使用信息：启用手表功能时，配对的 iPhone 通过 WatchConnectivity 协助完成登录授权。手表安装标识与账号关联，用于设备认证、权限控制和记录同步，不用于广告追踪。手表在本地保存当前宝宝的必要状态、待同步记录和受保护的访问凭据，并通过宝记后端读取或保存你有权访问的记录；离线记录在恢复连接后同步。
• AI 功能所需的最小摘要：在你主动使用并确认同意语音解析、儿保报告、睡眠节律分析、喂养节律分析等 AI 功能时，我们会经 BabyLog AI Proxy 向第三方 AI 服务 DeepSeek 发送完成本次功能所需的最小文本或结构化摘要，例如必要的语音转写文本、客户端时间、统计摘要、覆盖率、关键时间窗口、证据摘要、数据限制和受控的预设分析重点。

二、我们如何使用这些数据

• 创建和登录账号，维护账号安全和登录状态。
• 保存、同步、展示和编辑宝宝档案及育儿记录。
• 支持家庭成员共同记录、查看和管理同一个宝宝的数据。
• 生成今日汇总、时间轴、统计、趋势、成长曲线、疫苗计划、补剂记录、里程碑和确定性提示。
• 在你主动触发并确认同意后，经 BabyLog AI Proxy 调用 DeepSeek 生成 AI 解析、AI 总结、儿保报告、睡眠/喂养节律分析等内容。
• 处理 BabyLog Plus 订阅及永久会员购买、恢复、权益校验、赠送资格核验和服务端权益同步。
• 导出数据、处理删除或账号注销请求。
• 排查登录、同步、导出、提醒、Widget、AI 生成、崩溃和性能问题，并以低敏聚合指标了解新用户是否顺利建档、开始记录、回访以及使用洞察/AI/订阅入口。

BabyLog 宝记不用于广告追踪，不出售个人信息，不将宝宝数据用于训练通用模型。

三、第三方处理和外部服务

为了提供账号、同步、AI 和基础设施能力，我们可能使用以下服务或系统能力。我们会要求相关服务在其处理范围内提供合理的数据保护措施。

• Supabase / 阿里云基础设施：用于账号登录、宝宝档案、育儿记录、家庭协作、权限控制、活动记录、导出审计和账号删除请求等云端能力。账号删除 worker 使用服务端受控密钥处理删除/匿名化和 Supabase Auth 用户删除，该密钥不会放入 iOS App。
• Apple 登录：如你使用“通过 Apple 继续”，App 会使用 iOS 原生 AuthenticationServices 和 Supabase Auth 换取登录 session。App 不保存 Apple token 或 nonce；仅在本机 Keychain 中保存 Apple credential user id 用于授权状态检查，并在退出登录或账号注销流程中清理。登录成功后，App 会把一次性的 Apple authorization code 发送到 BabyLog 鉴权后端，由服务端换取可撤销 token 并只保存在服务端受限表；账号注销时后端会先撤销该 Apple token。
• BabyLog AI Proxy：用于代理 AI 请求、验证登录态、限流、请求大小控制、schema 校验和安全日志。iOS App 只调用 BabyLog AI Proxy，不直连第三方 AI 服务。
• 第三方 AI 服务 DeepSeek：由 BabyLog AI Proxy 服务端按功能需要调用，用于语音解析、报告整理和节律分析。DeepSeek API key 不会放在客户端，也不会暴露给用户设备。我们要求第三方处理方在其处理范围内提供与本政策相同或同等水平的数据保护，并仅按提供相关 AI 功能所需处理数据。
• Apple StoreKit / App Store Server API：用于 BabyLog Plus 商品读取、购买、恢复、订阅及一次性购买通知、退款处理、权益同步和定期核验。App Store Connect private key、issuer id、key id、完整 signed JWS/payload 和服务端 service role key 不会放入 App；后端只长期保存必要的交易、订阅及永久权益状态和交易校验摘要，不长期保存完整签名交易内容。
• Apple 系统能力：Apple Speech Framework、Keychain、本地通知、WidgetKit、WatchConnectivity、系统分享、文件导出和系统诊断等，用于实现 App 内对应功能。
• Sentry 诊断服务：Release 生产环境配置 Sentry 时，只用于崩溃、非致命错误、release health、性能采样和关键失败定位，并会关闭默认个人身份信息、截图、视图层级、会话回放、自动 UI/网络 breadcrumbs 等非必要采集。

AI 请求只会在你主动使用并确认同意后发送完成当前功能所需的最小数据。语音解析会发送本次语音转写文本和客户端时间；报告类功能会发送统计摘要、覆盖率、关键时间窗口、证据摘要、数据限制和受控预设重点。BabyLog AI Proxy 不会把 Supabase access token、内部用户 ID、宝宝 ID、事件 ID、同步版本号或 DeepSeek API key 发送给 DeepSeek，也不会在日志中记录 Authorization header、Bearer token、AI prompt、AI response body 或宝宝家庭敏感明细。

新版喂养／睡眠分析开放后，在你确认新版 AI 使用说明并主动使用时，还会发送该次分析所需的年龄与早产／校正年龄信息、近90天的体重和身长记录（没有近期测量时附最近一次较早记录）、逐日与日内喂养／睡眠资料，以及你主动填写的背景和追问。不会自动附带档案姓名、出生日期、原始记录备注或录音；你主动输入的文字可能包含个人信息，并不等于匿名数据。

DeepSeek 对其接收数据的处理可能受其自身服务条款和隐私政策约束。我们会通过最小化、结构化摘要、访问控制和安全校验降低不必要的数据暴露。

四、宝宝和儿童数据保护

BabyLog 宝记处理的宝宝姓名、出生日期、健康相关记录、症状、用药、疫苗、成长测量和未满 14 周岁儿童个人信息，可能属于敏感个人信息。我们只在实现记录同步、家庭协作、统计洞察、报告生成、故障排查、导出和删除所必需的范围内处理这些数据。

宝宝档案和数据应由父母、监护人或经监护人授权的照护人创建和管理。监护人可以在 App 内查看、导出、删除当前宝宝数据，或发起账号注销请求。更多说明见 儿童/宝宝数据保护说明。

五、数据安全措施

• 通过登录态、数据库权限和家庭角色控制访问范围。
• 对家庭协作中的成员管理、邀请、导出和高影响删除等操作保留必要审计记录。
• 对本地缓存按用户和宝宝范围隔离，并在退出登录、被移出家庭、删除宝宝记录或账号注销流程中尽量清理相关本地数据。
• 对 AI 功能使用最小化摘要、prompt injection 防护、输出安全校验和医疗/睡眠安全边界。
• 诊断日志采用 allowlist 方式，不记录宝宝姓名、出生日期、原始备注、语音文本、AI prompt、AI response、食材/症状/药品/疫苗明细、邮箱、手机号、邀请码、原始 userId、babyId、eventId、token 或 API key。

六、数据保存、删除和账号注销

新版分析为任务恢复和继续追问，临时保存本次结构化资料、你补充的文字，以及通过校验的报告和回答。远端资料在报告任务创建后 72 小时过期，追问不延长期限，后台定期清理过期内容；已下载的本地报告历史不会因此消失。对话仅对发起账号可见，不会因同属一个家庭而自动共享。最小任务状态和消费计数约保留 30 天，不包含报告或对话正文。删除宝宝或完成账号删除会清理对应报告内容；为处理仍未结束的调用，去除账号／宝宝关联后的最小调用状态可按上述期限保留。

我们会在实现本政策所述目的所必需的期限内保存数据。若法律法规要求更长保存期限，或为处理争议、安全、审计、故障排查所必需，我们可能在必要范围内继续保存相关记录。

• 删除当前宝宝记录：你可以在 App 内删除当前宝宝相关记录。删除可能不立即清除备份或审计记录，但我们会在合理期限内完成后台处理。
• 导出数据：你可以在 App 内导出当前宝宝的数据，用于家庭留存或就诊沟通。
• 账号注销：你可以在 App 内发起账号注销请求。请求提交成功后，App 会立即退出登录并清理本机 selected baby、用户/宝宝范围缓存、本地提醒、Widget snapshot 和本地 AI/报告历史；这表示请求已提交，不表示后端删除已完成。
• 注销 SLA：账号注销通常 24 小时内完成，最多 7 天。后台 worker 会删除或匿名化业务数据并删除 Supabase Auth 用户；如果 Auth 用户删除失败，请求会保持失败状态并重试，不会假标完成。
• 注销过程中，我们会停止新的照片上传授权，并通过后台任务逐个删除和确认照片。账号注销完成后，仍会持续检查并清理删除前已经发起、但延迟到达的照片上传；这些补充清理不会恢复账号或照片访问权限。
• 多宝宝/多照护人边界：你拥有的宝宝资料和记录会被删除，其他成员将无法继续访问；你参与但不拥有的家庭会保留宝宝数据，并移除你的成员身份、匿名化你的记录者/操作者标识，后续显示为“已删除成员”。
• 完成通知：注销完成后，我们会尽可能通过账号邮箱通知你；若没有邮箱、仅手机号且未配置短信服务，或通知服务不可用，会记录跳过或失败原因。
• 离线记录（功能启用时）：离线记录启用后，未同步的记录和修改会保存在这台设备上，联网且 App 获得运行机会后继续同步。退出账号前会提示处理或放弃未同步内容；卸载 App 或设备丢失后，未同步内容可能无法找回。服务器保存必要的操作及处理结果用于防止重复记录和处理冲突，随对应宝宝或账号删除。不会因此新增广告追踪、AI 训练用途或第三方数据接收方。 iOS 本机待同步数据受系统文件保护，并遵循设备的系统备份设置；Android 的保存与备份方式见上方 Android 专项说明。
• 会员与交易数据：账号注销完成时解除购买交易与原账号的绑定，并删除或匿名化相关账号信息；已购买的永久会员可按用户协议使用原 Apple 账户在新宝记账号恢复，赠送永久权益随原账号注销失效。为处理恢复、退款、防止重复赠送和必要审计，我们保留去除原账号关联的最小交易及处理记录，并按上述留存原则清理。注销宝记账号不会自动取消 Apple 订阅。
• 本地数据：退出登录、删除宝宝记录、被移出家庭或账号注销流程会尽量清理对应本地缓存、提醒和 Widget snapshot。

七、你的选择和权利

在适用法律允许的范围内，你可以请求访问、更正、复制、导出、删除你的个人信息，撤回同意，注销账号，或对个人信息处理规则进行咨询和投诉。

• 你可以在系统设置中关闭麦克风、语音识别、通知等权限；关闭后相关功能可能不可用或降级。
• 你可以在 App 内管理家庭成员、协作权限、导出数据、删除当前宝宝记录或发起账号注销。
• 你可以通过本政策列明的联系方式提出个人信息权利请求。为了保护账号和宝宝数据安全，我们可能需要验证你的身份和监护关系。

八、健康和医疗免责声明

BabyLog 宝记不是医疗器械，也不提供诊断、治疗、处方或紧急医疗服务。统计、趋势、智能提示和 AI 内容仅基于你记录的数据进行整理和观察，可能受记录完整性、输入准确性和模型能力限制。

如宝宝出现发热、精神状态异常、吃奶差、尿布明显减少、呼吸异常、持续呕吐、便血、抽搐、明显黄疸加重或其他紧急情况，请及时咨询医生或前往医疗机构。

九、政策更新

我们可能根据产品功能、法律法规或审核要求更新本政策。重大变更会通过 App、网站或其他合理方式提示你。若更新涉及处理目的、处理方式或敏感个人信息处理规则的重大变化，我们会在法律要求的范围内重新征得同意。

十、联系我们

如你对本政策或个人信息处理有任何问题，请通过以下方式联系：

支持邮箱：support@babylogcare.com

运营者：宝记运营方

App 备案号：沪ICP备2026019575号-1A

网站备案号：沪ICP备2026019575号-2