咕噜晚安隐私协议

咕噜晚安隐私协议
生效日期：2026年7月13日
更新日期：2026年10月29日

“咕噜晚安”（以下简称“本 App”或“我们”）是一款由父母或其他监护人注册和操作的亲子睡前故事服务，提供宝宝档案、个性化故事生成、语音播放、收藏、历史记录及会员订阅等功能。儿童不是本 App 的独立注册用户；儿童应在监护人陪伴和指导下收听内容。

本协议说明我们如何收集、使用、存储、委托处理、提供和保护您及儿童的个人信息，以及您和监护人依法享有的权利。涉及不满十四周岁儿童个人信息的处理，还适用《咕噜晚安儿童个人信息保护规则》。创建宝宝档案前，我们会另行取得监护人的单独同意。

如果您不同意本协议，我们将无法提供需要登录、云端同步或个性化处理的功能。拒绝非必要权限不会影响与该权限无关的基本功能。

一、适用范围和处理原则
本协议适用于咕噜晚安 App 及通过 gulunight.cn 域名提供的配套服务。第三方独立提供的产品或服务适用其自身规则。

我们遵循合法、正当、必要、诚信、目的明确、最小够用和安全保障原则，只在实现本协议所述功能所必要的范围内处理个人信息。我们不出售个人信息，不在 App 内展示第三方广告，不使用儿童个人信息进行定向广告，也不将可识别的用户或儿童个人信息用于训练或微调人工智能模型。我们使用 Apple 标准广告归因分析本 App 在 App Store 的推广效果，具体范围见下文；不读取广告标识符 IDFA，不进行跨 App 广告跟踪。

二、我们如何收集和使用个人信息
1. 账号注册、登录和安全
我们处理手机号、国家或地区代码、短信验证码请求和验证状态、账号唯一标识、登录会话、登录时间、IP 地址、设备和网络基础信息、异常与错误日志，用于创建账号、身份验证、保持登录、安全防护、故障定位和账号注销。

短信验证码仅用于登录、账号安全和注销验证。验证码原文不长期保存。

在您使用的 App 版本、地区页面和服务配置支持时，您也可以主动选择“通过 Apple 登录”或 Google 登录。未选择某一第三方登录方式时，本 App 不会为该方式发起账号授权；具体可用方式以页面为准。本 App 不接收 Apple 或 Google 账号密码，不要求为第三方登录额外提供大陆手机号。

第三方登录过程中，我们接收并验证身份令牌、一次性安全校验信息，以及 Apple 的一次性授权码。身份令牌可能包含邮箱或基础个人资料声明；Apple 首次授权还可能向设备返回姓名和邮箱（包括用户选择的隐藏邮箱）。当前后端不将这些姓名、邮箱或头像另存为用户资料，也不因邮箱相同自动合并账号。我们保存登录提供方、该提供方分配的稳定账号标识、授权客户端标识、认证时间及必要的授权状态，关联本 App 内部账号，用于身份验证、防止账号冒用、建立会话，以及用户主动发起的账号绑定或注销验证。上述稳定标识属于个人信息，不属于匿名数据。

Google 登录使用 Google Sign-In iOS SDK，基本授权为 OpenID 身份、邮箱和基础个人资料，不申请 Gmail 邮件内容、云盘或通讯录权限。SDK 会在设备钥匙串保存授权凭据（包括访问令牌、刷新令牌等登录状态）；本 App 退出登录或完成注销时调用 SDK 清理本地 Google 登录状态。当前后端仅接收 Google 身份令牌用于验签，不保存 Google 访问令牌或刷新令牌。服务端身份令牌和一次性授权码仅用于本次验证或交换，不作为长期业务资料保存。

在页面提供 LINE 登录时，本 App 使用 LINE SDK for iOS，仅请求 OpenID 身份权限，不请求 LINE 昵称、头像、邮箱、好友或聊天记录。后端仅接收本次身份令牌，校验签名、Channel ID 和一次性 nonce，保存提供方稳定账号标识、客户端标识及认证时间；不保存 LINE 访问令牌或刷新令牌，不使用 Channel Secret 处理原生登录。SDK 在设备钥匙串保存授权凭据。退出本 App 或完成账号注销时，我们会请求 SDK 撤销该设备的 LINE 登录令牌并清理对应凭据；若网络或第三方服务不可用，该操作可能失败，本地 SDK 凭据可能保留至后续成功清理。该失败不会阻止退出本 App，也不会恢复已注销的本 App 账号。

Apple 登录时，后端会使用一次性授权码换取刷新令牌并加密保存，用于账号注销时请求 Apple 撤销授权。我们还接收 Apple 签名的授权撤销、Apple 账号删除和邮件转发偏好变更通知，处理必要的账号标识、事件类型、时间及状态，用于账号安全、停止无效授权和更新授权状态；不另存通知中的邮箱地址。

我们不将第三方登录身份信息用于广告投放、出售或人工智能模型训练；不会将宝宝档案、故事正文、头像或录音样本提供给 Apple 或 Google 的登录服务。取消授权、管理第三方连接、退出登录与删除本 App 账号的区别及途径见本协议第十二节。

2. 宝宝档案
监护人可以主动填写宝宝昵称、出生日期（用于计算年龄）、性别、兴趣标签、熟悉元素、成长主题、故事时长偏好，并可选择拍摄或上传宝宝头像。上述信息用于保存宝宝档案、生成适龄故事和跨设备同步。

宝宝头像为可选信息，不上传头像不影响其他核心功能。我们不使用头像进行人脸识别、身份核验或生物特征分析。请不要填写儿童真实姓名、身份证号、学校班级、详细住址、联系方式、精确位置、医疗健康等非必要敏感信息。

3. 故事生成与人工智能处理
当您生成故事时，我们处理宝宝档案中的必要字段、您选择或输入的主题、角色、价值观目标、故事时长、生成参数，以及生成的文本、音频、封面和处理状态，用于完成生成、内容安全检查、失败重试、展示、播放、保存和故障排查。

为完成生成，我们会将最小必要的文本信息委托给人工智能服务提供方处理：DeepSeek 用于故事文本生成；MiniMax 和阿里云百炼 / CosyVoice 按所选音色用于语音合成。故事中可能包含您输入的昵称或其他上下文。我们不会向上述模型服务提供手机号、支付信息或宝宝头像原图。故事封面从运营预先上传的图片库随机分配，不再发送用户信息或故事内容请求生成封面。

当成年用户主动使用“家人声音”功能时，我们处理其在 App 内直接录制的成年人语音样本、音色名称、声音所有者关系、授权确认、复刻音色标识和试听音频，用于创建、试听、保存和使用专属 AI 合成音色。语音样本和由其提取的声纹特征属于敏感个人信息；本功能不接受儿童声音，也不得用于复刻未授权人员、公众人物或虚构角色。原始录音仅在完成本次复刻所需的最短时间内临时处理，创建完成后撤销临时访问并删除后端临时文件。声音所有者可以撤回授权并申请删除专属音色。

保存音色后，合成试听音频会保存在受账号权限保护的媒体存储中，供声音管理页面再次试听；使用专属音色合成的故事音频仅供对应账号访问。音色试听音频保存至您删除音色、注销账号或服务终止，私有故事音频按故事和账号的数据删除规则处理。已合成的运营故事与推荐音色音频可以在授权范围内由多用户复用，不包含其他用户的录音样本。

4. 播放、收藏、历史与反馈
我们处理播放进度、播放记录、收藏记录、历史记录、删除操作、故事评价、问题反馈和相关操作时间，用于继续播放、内容管理、同步用户选择、分析服务质量和处理投诉。产品质量分析仅使用必要的结构化指标；可识别的儿童信息不会直接进入公开内容库或模型训练集。

5. 会员订阅与支付
会员订阅通过 Apple App Store 完成。我们和订阅管理服务 RevenueCat 可能处理 App 内账号唯一标识、Apple 收据或交易标识、商品、购买时间、到期时间、订阅状态、退款或续费状态，用于完成购买、恢复购买、开通权益、额度结算和售后核对。

我们不直接收集银行卡号、Apple ID 密码或完整支付凭证。账号注销不会自动取消 App Store 订阅，您仍需在 Apple 系统订阅管理中取消。

6. 本 App 推广效果分析
在登录后的订阅服务初始化时，我们通过 Apple AdServices 标准归因和 RevenueCat 在后台处理广告归因令牌，以及 Apple 在可归因情况下返回的广告系列、广告组、关键词等有限信息。相关信息可能与 App 内账号唯一标识和订阅交易关联，用于评估本 App 自有推广的下载和付费效果，不用于向用户展示第三方广告。

本功能不读取 IDFA，不申请广告跟踪权限，不向广告归因服务提供手机号、宝宝档案、儿童头像、录音样本、故事正文或自由输入内容。标准归因信息并不代表对用户在其他 App 中的行为进行跟踪；与账号关联的数据也不属于匿名数据。

7. 客服、投诉与争议处理
当您联系我们时，我们可能处理联系方式、账号信息、问题描述、截图、诊断日志和沟通记录，用于身份核验、问题定位、投诉处理、回访和争议解决。请在提交截图或日志前检查并遮盖无关个人信息。

三、个人信息收集清单
账号与安全：手机号、验证码验证状态、账号标识、会话、IP、设备和错误日志；用于登录、安全和故障排查；核心功能必要。
第三方登录：用户选择的 Apple / Google 登录提供方、稳定账号标识、身份令牌、必要的授权码、客户端标识、认证时间与授权状态；Apple 刷新令牌在后端加密保存，Google SDK 授权凭据保存在设备钥匙串；用于登录、安全、主动绑定及注销，仅在用户使用相应登录方式时处理，不自动合并相同邮箱账号。
宝宝档案：昵称、年龄段、性别、兴趣、熟悉元素、成长主题、故事偏好；用于个性化故事；核心功能必要。
宝宝头像：监护人主动选择的照片；用于档案展示；可选。
故事生成：主题、角色、档案必要字段、生成参数、生成文本、音频、封面和状态；用于生成、播放和内容安全；核心功能必要。
家人声音：成年人的录音样本、音色名称、声音所有者关系、授权记录、复刻音色标识和试听音频；用于专属声音复刻、试听、使用和删除；仅在用户主动使用该功能时处理。
互动记录：播放、收藏、历史、评价和反馈；用于内容管理和服务优化；部分可选。
产品分析：内容曝光与点击、实际收听时长、档案操作、生成状态、声音流程和订阅流程事件，以及账号标识、会话标识、App 版本和必要错误码；用于自有产品质量分析，不向分析事件写入手机号、宝宝昵称、生日、原始录音、故事正文或自由输入内容，不用于跨 App 广告跟踪。
订阅交易：App 内用户标识、商品、收据或交易标识、订阅和退款状态；用于会员和售后；仅付费功能必要。
推广归因：Apple 标准广告归因令牌、可用的广告系列、广告组和关键词信息、App 内用户标识，以及关联的订阅效果指标；用于本 App 自有推广效果分析，不包含宝宝档案或其他儿童个人信息。

四、系统权限
相机与照片/相册权限：仅在您点击上传宝宝头像并选择拍照或相册时申请，用于拍摄头像或读取您主动选择的图片。麦克风权限：仅在成年用户主动创建家人声音时申请，用于在 App 内录制复刻样本；拒绝后无法使用声音复刻，但不影响登录、故事生成和系统音色播放。您可以在 iOS“设置-隐私与安全性”中随时变更授权。

本 App 当前不申请定位、通讯录或广告跟踪权限。将诊断内容复制到剪贴板由您主动触发，本 App 不会读取剪贴板内容。

五、儿童个人信息保护
不满十四周岁未成年人的个人信息属于敏感个人信息。尽管本 App 的账号和功能由监护人操作，只要宝宝档案对应不满十四周岁儿童，我们仍会按照儿童个人信息保护要求处理。

监护人创建或保存宝宝档案前，应阅读《咕噜晚安儿童个人信息保护规则》，确认其监护人身份并作出单独同意。拒绝同意时，我们不会保存宝宝档案，也无法提供依赖宝宝档案的个性化故事功能。

监护人可以访问、更正、删除宝宝档案，撤回儿童个人信息处理同意，或注销账号。我们发现未经监护人同意处理儿童个人信息时，将停止相关处理并依法删除或匿名化。

六、敏感个人信息和单独同意
本 App 可能处理的敏感个人信息包括不满十四周岁儿童的个人信息、监护人主动上传的儿童头像、成年人主动提交用于声音复刻的录音及声纹特征，以及交易记录。我们仅在目的特定、充分必要并采取严格保护措施的情况下处理。

我们通过宝宝档案保存前的专门提示取得儿童个人信息处理的单独同意；通过用户主动发起购买处理交易信息；通过系统权限弹窗取得照片访问授权。您可以拒绝或撤回，但相应功能可能无法继续提供。

七、个性化内容与自动化处理
我们根据监护人提供的年龄段、兴趣和内容偏好生成或推荐故事。此类处理仅用于内容适配，不用于信用、价格、就业、教育机会等对个人权益有重大影响的自动化决策，也不对用户实施不合理差别待遇。

您可以通过编辑或删除宝宝档案改变个性化依据。对生成结果有异议时，可以通过 App 内反馈或本协议联系方式要求说明和处理。

八、第三方服务和委托处理
为提供服务，我们使用以下第三方能力，并遵循最小必要原则传输信息：

1. 腾讯云
用途：境内服务器、数据库、媒体文件存储、网络与安全运行。
处理信息：账号、宝宝档案、故事及互动记录、日志等提供服务所需数据。
隐私规则：https://cloud.tencent.com/document/product/301/11470

2. DeepSeek
用途：故事文本生成。
处理信息：宝宝昵称或代称、年龄段、兴趣标签、故事主题、角色、价值观目标、时长和必要上下文文本。
不会提供：手机号、支付信息、宝宝头像原图。
隐私规则：https://cdn.deepseek.com/policies/zh-CN/deepseek-privacy-policy.html

3. MiniMax（上海稀宇科技有限公司）
用途：故事语音合成。
处理信息：生成后的故事文本、音色标识和语音参数。
不会提供：手机号、支付信息、宝宝头像原图。
隐私规则：https://platform.minimaxi.com/zh/protocol/privacy-policy

4. 阿里云百炼 / CosyVoice
用途：根据成年用户主动录制且已确认授权的语音样本创建专属 AI 合成音色、生成试听音频，以及按所选音色合成故事音频。
处理信息：成年人语音样本、复刻参数、音色标识、试听文本、生成后的故事文本和语音参数；故事文本可能含有昵称或用户输入。不直接提供手机号、支付信息、宝宝档案原始字段或宝宝头像。
隐私规则：https://terms.alicdn.com/legal-agreement/terms/privacy_policy_full/20221129143449869/20221129143449869.html

5. Apple App Store
用途：应用分发、自动续期订阅、支付、退款、订阅管理及本 App 的标准广告归因。
处理信息：Apple 按其规则处理的账号、设备、交易和收据信息；我们获得完成会员权益所需的交易状态，以及标准广告归因令牌和可用的有限推广信息。
隐私规则：https://www.apple.com/legal/privacy/

6. RevenueCat, Inc.
用途：订阅商品展示、购买状态同步、恢复购买、续费和退款事件通知，以及本 App 自有推广的订阅效果分析。
处理信息：App 内账号唯一标识、设备和系统基础信息、Apple 收据、商品与订阅交易状态、Apple 标准广告归因令牌和可用的广告系列、广告组及关键词信息；不包含手机号、宝宝档案、录音样本、故事内容和宝宝头像。
隐私规则：https://www.revenuecat.com/privacy/

7. Apple“通过 Apple 登录”（系统 AuthenticationServices）
用途：在用户主动选择时进行身份验证、授权码交换、账号注销时撤销授权及接收账号生命周期通知。
处理信息：Apple 按其规则处理账号、设备、网络和授权信息；本 App 接收稳定账号标识、身份令牌、一次性授权码及必要的生命周期事件和状态。首次授权可能返回姓名和邮箱；当前后端不另存这些资料。后端加密保存刷新令牌，不接收 Apple 账号密码。
不会提供：宝宝档案、故事正文、宝宝头像、录音样本或支付信息给该登录服务。
隐私规则：https://www.apple.com/legal/privacy/
授权管理说明：https://support.apple.com/zh-cn/102571

8. Google Sign-In iOS SDK（Google LLC）
用途：在用户主动选择时完成 Google 账号身份验证、安全回跳和本地登录状态管理。
处理信息：Google 按其规则处理账号、授权、设备与网络信息；SDK 可获得基本身份、邮箱及个人资料，并在设备钥匙串保存授权凭据。本 App 后端接收身份令牌进行校验，保存提供方稳定账号标识、客户端标识及认证时间，不另存邮箱、姓名或头像为用户资料，不保存 Google 访问令牌或刷新令牌。
Google SDK 可能收集用户标识以记录授权，以及 IP 地址用于反欺诈并估计设备的大致位置；本 App 不因此申请精确定位权限。
不会提供：手机号、宝宝档案、故事正文、宝宝头像、录音样本或支付信息给该登录服务；不申请 Gmail、云盘或通讯录权限。
隐私规则：https://policies.google.com/privacy?hl=zh-CN
第三方连接管理：https://myaccount.google.com/connections

9. LINE SDK for iOS（LY Corporation）
用途：在用户主动选择时完成 LINE 身份验证、安全回跳及授权令牌管理。
处理信息：LINE 按其规则处理账号、授权、设备与网络信息；本 App 仅请求 OpenID 身份，不请求个人资料、邮箱、好友或聊天权限。设备端 SDK 保存必要的授权凭据，后端验证身份令牌并保存稳定身份关联，不保存 LINE 访问令牌、刷新令牌或账号密码。
不会提供：手机号、宝宝档案、故事正文、宝宝头像、录音样本或支付信息给该登录服务。
隐私规则：https://terms.line.me/line_rules?lang=zh-Hant
授权管理：可在 LINE 的设置中查看与管理已授权的应用。

我们会要求受托方按照处理目的、期限、方式和安全要求处理信息。第三方处理规则或供应商发生实质变化时，我们会更新本协议，并在法律要求的情况下重新取得同意。

九、存储地点、跨境和保存期限
1. 境内存储
账号、宝宝档案、故事、头像、收藏和业务日志原则上存储在中华人民共和国境内的腾讯云服务器。

2. 跨境处理
RevenueCat 为境外服务商，订阅管理和推广效果分析所需的 App 用户标识、设备基础信息、交易收据、Apple 标准广告归因令牌及可用的有限推广信息可能在境外处理。登录后的订阅服务初始化会启用标准归因，并非仅在购买时处理。该等信息不包含手机号、宝宝档案、录音样本、故事内容或儿童头像。我们会依法履行个人信息出境所需的告知、单独同意及其他适用程序；您可以通过本协议联系方式提出访问、删除或限制处理请求。

您主动选择 Apple / Google 登录时，授权、令牌交换或校验涉及相应第三方服务；Google 为境外服务商，必要的账号、授权、设备和网络信息会由其按服务架构在境外处理，Apple 相关信息可能按其服务架构跨境处理。此处不包含向登录服务传输宝宝档案、故事正文、头像或录音样本。本 App 后端的身份关联及 Apple 加密刷新令牌保存在境内服务器，Google SDK 本地授权凭据保存在设备钥匙串。您可以取消第三方授权，选择页面提供的其他登录方式，或通过本协议联系方式就跨境处理提出访问、删除、限制处理等请求；我们会依法履行适用的告知、单独同意及其他程序。公开本协议不替代依法需要的单独同意。

LINE 同样为境外服务。主动使用 LINE 登录时，必要的账号、授权、设备和网络信息由 LINE 按其服务架构处理，本 App 不向该登录服务传输宝宝档案、故事正文、头像或录音样本。身份关联保存在境内服务器，SDK 授权凭据保存在设备钥匙串；相关保存、退出、注销及跨境处理的限制与上述说明一致。您也可以在 LINE 设置的已授权应用中主动取消授权；这不等于注销本 App 账号或取消 Apple 订阅。

3. 保存期限
账号和宝宝档案：保存至您删除档案、注销账号或服务终止。
故事、收藏、播放和偏好：保存至您主动删除、注销账号或服务终止。
验证码和会话：在完成验证、安全保护和登录有效期所需的最短期限内保存。
第三方身份关联与 Apple 加密刷新令牌：为持续提供相应账号的登录和授权管理而保存，至您注销账号或我们完成相应信息删除；撤销、失效或第三方账号删除事件会停用相应授权状态，不代表本 App 的故事与业务账号已经自动删除。
Google SDK 本地授权凭据：按 SDK 登录状态保存在设备钥匙串，退出本 App 或完成本 App 账号注销时清理；退出并不等于撤销 Google 服务器端的第三方授权。
第三方身份令牌与一次性授权码：仅用于本次校验或交换，不长期保存；安全校验请求的必要标识、nonce 哈希、IP、到期及使用状态用于防重放和限流，过期记录随后续请求分批清理，不保证到期即时物理删除。
安全和故障日志：通常不超过六个月；发生安全事件、投诉或依法留存时除外。
订阅和交易记录：在完成权益、退款、对账以及法律、财务和审计要求所需期限内保存。
推广归因信息：仅在推广效果分析所需期限内保存，并按照账号删除和服务提供方的数据处理规则处理；依法必须保留的记录除外。

达到保存期限后，我们将删除或匿名化处理。因备份容灾导致的信息副本将在备份更新周期内被覆盖，并与日常业务隔离，法律法规另有规定的除外。

十、我们如何保护个人信息
我们采取传输加密、访问控制、最小权限、身份验证、数据隔离、日志审计、备份恢复和安全事件响应等措施。儿童信息仅允许经授权且确有必要的人员和受托方访问。

如发生或可能发生个人信息泄露、篡改或丢失，我们会立即采取补救措施，并依法向用户、监护人和主管部门告知事件情况、可能影响、已采取措施和降低风险的建议。

十一、您和监护人的权利
您和监护人依法享有知情、决定、限制或拒绝、访问、复制、更正、补充、删除、撤回同意、注销账号以及要求解释处理规则等权利。

您可以在 App 内编辑或删除宝宝档案、删除故事、管理照片权限、退出登录或通过“设置-注销账户”永久注销账号。您也可以通过本协议联系方式提出请求。为保护账号和儿童信息安全，我们可能核验账号身份和监护关系，并在十五个工作日内或法律规定期限内答复。

撤回同意不影响撤回前处理活动的效力。撤回儿童个人信息处理同意后，我们将停止依赖该信息的个性化服务，并依法删除或匿名化相关信息；法律另有规定的除外。

十二、账号和宝宝档案删除
删除宝宝档案会使该档案及其年龄、兴趣、头像和偏好不可继续使用。注销账号会删除或匿名化账号、宝宝档案、用户生成故事、收藏、播放记录和相关权益数据，但依法必须保留的交易、安全或争议记录除外。

注销账号不可恢复，也不会自动取消 App Store 订阅。请在注销前自行管理订阅并保存需要保留的内容。

对于第三方登录账号，注销前可以通过当前账号的第三方重新授权完成身份验证。完成注销后，我们删除与该账号关联的第三方身份记录、Apple 加密刷新令牌及应用会话，并清理当前设备的 Google SDK 本地登录状态，依法应保留的记录除外。Apple 授权撤销由后端请求；如第三方服务或网络原因导致撤销未成功，App 会提示您手动在 Apple 账户中停止使用该授权。

您可在 iPhone“设置 → 您的姓名 → 通过 Apple 登录”中管理 Apple 授权，或在 https://myaccount.google.com/connections 管理 Google 第三方连接。当前注销流程清理本 App 数据和 Google SDK 本地登录状态，但不自动撤销 Google 服务器端的第三方连接；您可以在上述页面另行撤销。仅退出本 App、清理本地凭据或在第三方页面撤销授权，均不等于注销本 App 账号或取消订阅；后续重新登录可能需要再次授权。若您希望删除本 App 保存的数据，请使用 App 内注销流程或联系我们。

十三、协议更新
当处理目的、信息类型、第三方、跨境情况、儿童信息规则或权利行使方式发生重大变化时，我们会更新本协议，并通过 App 弹窗、页面提示或其他显著方式通知。依法需要重新同意的，我们会在继续处理前取得同意。

十四、联系我们
运营者名称：上海智绘童心科技有限公司
联系邮箱：turkey0824@126.com
儿童个人信息保护负责人：上海智绘童心科技有限公司个人信息保护负责人

如您对隐私、儿童个人信息、人工智能处理、账号注销或投诉举报有疑问，可以通过上述邮箱联系我们。我们将在完成必要身份核验后，于十五个工作日内或法律规定期限内答复。

十五、适用法律与争议解决
本协议的订立、生效、解释、履行及争议解决适用中华人民共和国法律。发生争议时，双方应先友好协商；协商不成的，任一方可依法向有管辖权的人民法院提起诉讼。