隐私政策

致心 DearIntus · 版本 1.1 · 生效日期 2026-11-11

写在前面

你会来读这一页，多半是因为在意一件事：把心里不好对人说的话写进一个 App，它会怎么对待这些话。我们做致心的时候，也一直站在写信的那个人这边想这件事。

致心 DearIntus（下称「致心」或「我们」）是一款 iPhone App，用塔罗、占星和内在天气陪你向内看，由个人开发者刘宏涛（Hongtao Liu）提供和运营，你的个人信息由我们负责。这份政策说明我们收集哪些信息、怎么用、怎么保管、会交给谁。哪里没说清楚，请写信到 support@dearintus.com 问我们。

本政策适用于致心 App、我们的客服邮箱，以及 dearintus.com 上的说明页面。服务的使用规则见服务条款。致心目前不在欧洲经济区、英国和瑞士的 App Store 提供。

为什么有些内容要离开你的手机

我们的出发点是少收集：手机上能做完的事，就不经过服务器。抽牌、看牌意、起盘、打卡和写日记，都是这样做的。但有三件事只靠手机做不到，我们想把理由说清楚：

1. 写回信。回信要由大型 AI 模型来写，手机上跑不动。所以你请我们回信时，这封信和相关的牌或星盘要经过我们的服务器，交给 AI 服务方。
2. 让记录跟着你走。只存在一台手机上的东西，手机丢了、坏了或者 App 删了，就没有了。会员的记录保存在账号里，换手机或重装之后还在，回信也才能想起你以前说过的事。免费使用时我们不替你保存这些记录，代价是要靠你自己备份（见第 1 节）。
3. 账号和购买。登录、找回密码、核对你买了什么、在新手机上恢复购买，都需要服务器记得你的账号。

保存在服务器上的内容不是「只有你自己能解开」的端到端加密：写回信、每周短信和记忆，都需要服务器读到相关的内容。谁能接触这些内容、什么情况下会看，见第 7 节。

1. 留在你手机上的信息

下面这些只保存在你的 iPhone 上，不会发到我们的服务器（除非下文另有说明）：

• 免费的抽牌和解读：洗牌、抽牌、牌阵和免费档的解读都在手机上完成。
• 占星起盘：卜卦盘、本命盘、这一年和进阶工具都在手机上计算。
• 注册时的问卷：年龄确认、生日、出生时刻和城市、性别、职业、感情状况、近来的烦恼（例如焦虑、抑郁、睡眠）、是否在接受治疗。这些回答只存在手机上，不发给我们，也不用于写回信。你填了出生资料时，App 会在手机上替你建一份出生档案（见第 2 节的「出生档案」）。
• 非会员的内在天气：打卡、日记、清单、练习、计划、厨房和餐食记录。
• 照片：日记和餐食里的照片只存在拍它的那台手机上，存之前会去掉照片里的位置等附加信息。
• 提醒、闹钟和锁屏计时：都由手机系统在本机安排。
• 偏好设置：界面语言、回信语言、信纸、音乐和「启用知识库」等开关。

这些信息由你掌管。删除 App、在 App 里清除本机数据，或者换一台手机而没有导入备份，它们就不在了。你可以用「设置 › 数据和隐私 › 导出数据」和内在天气里的「生活备份」把它们存成文件。

2. 我们收集的信息和用途

下面这些会到我们的服务器上。每一项写了包含什么、用来做什么。

• 账号与登录：邮箱地址；登录方式（Apple、Google 或邮箱）；Apple 或 Google 提供的名字（如果有）；账号编号；这一次登录的编号。邮箱登录的密码由登录服务方以不可逆的方式保存，我们看不到。用来创建和维护账号、登录、找回密码、发送验证码和账号通知，以及在新设备登录后让旧设备的登录失效。
• 你写下并请我们回信的内容（付费功能）：给塔罗师的问题、补充的背景、抽到的牌和牌阵；追问；请 Lilly 时手机起好的星盘（包括提问的时间和地点、出生日期时刻和地点、你选的性别）；说说话里写的话；内在天气里你选中要整理的文字；厨房里你选的食材；以及写给你的回信。用来写回信和追问回信，整理日记、计划和菜谱建议。这些内容可能涉及健康、心理状态或信仰等敏感信息，我们只在你明确同意后处理，见第 3 节。
• 会员的记录：塔罗记录、收藏、记下的决定和回访、占星记录和出生档案、内在天气记录和谈心（会员自动同步）、每日小记、每周短信、每日启示。用来让记录跟着账号走，换手机或重装后还在，并提供会员功能。
• 记忆（关于你的理解）：只有你打开「记住我说的话」才记。内容是从你写下的话里整理出的关于你、你在意的事、你身边的人、还放不下的事，以及你回答过的确认问题。用来让回信想起你以前说过的事，不用每次从头说起。这项完全基于你的同意，随时可以关掉。
• 出生档案：档案名称、出生日期和时刻、出生城市及其经纬度和时区、性别选项。用来在手机上起本命盘；会员的档案保存在账号里；请 Lilly 写本命或这一年的信时随盘发出。
• 购买与订阅：商品、价格、币种、时间、订阅状态、续订、取消和退款事件、Apple 的交易编号。我们收不到你的银行卡信息。用来开通和核对你买的东西、恢复购买、处理退款和客服、记账。
• 大致位置：你在卜卦时点「使用当前位置」，App 读取一次系统给出的大致位置（降低精度），为提问的地点起盘。起盘在手机上完成；只有请 Lilly 写信时位置才随盘发到服务器，会员的占星记录里会保存。
• 地名搜索：你输入的城市名。用来在我们自己的地名库里查出生城市并返回结果。
• 推送通知：设备的推送令牌。用来在回信写好时通知你。通知内容不带你的问题和信的原文。
• 反馈与客服：你提交的反馈、类别、选填的邮箱、选填的截图（上传前在手机上缩小并去掉附加信息），以及我们的回复；还有你给 support@dearintus.com 写的邮件。用来回答问题、排查故障、改进服务。
• 设备与运行信息：App 生成的随机设备凭据、App 版本、界面语言、时区；最后活跃的日期；接口出错和耗时记录；每次写信用了多少 AI 资源和花费；限流用的 IP 地址散列值；服务器日志里的 IP 地址和请求信息。用来保障安全、防止滥用、计算会员额度和成本、排查故障、了解服务是否稳定。

App 里没有第三方的广告或统计工具，我们不给你做行为画像。我们也不会用你的信息做自动化决策来产生对你有法律效力或类似重大影响的结果。唯一的自动判断是第 3 节说的自伤安全提示：它只决定是否先给你看求助信息。

3. AI 怎么处理你的内容

回信由 AI 生成

塔罗师、Lilly 和致心的回信都由 AI 生成，不是真人写的。每封回信的信头都标着「AI 生成 · 不是真人写的」；在有回信的页面上累计使用满 3 小时，App 会再提醒一次。回信在送到你手里之前没有人工逐封审阅。回信可能出错，不能代替医疗、心理、法律或财务方面的专业意见。

写信前先请你同意

第一次使用需要 AI 的功能前，App 会弹出一张同意说明（塔罗、Lilly 和内在天气共用一张），写明内容会交给哪一家 AI 服务方。你不同意，这些功能就不能用，其余功能照常。如果你接上的是自己的模型账户，连接时点「同意并连接」就是这一次同意，写信前不再另外弹出。

你可以随时在「设置 › 数据和隐私 › AI 与内容授权」撤回同意：撤回后新写的内容不会再发出，已经写好的回信你仍然可以阅读。我们更换 AI 服务方时，会重新请你同意。

发出去的是什么

• 你写下的问题、信、追问和补充的情况，抽到的牌或手机起好的星盘；
• 说说话里的话，内在天气里你选中要整理的文字，厨房里你选的食材；
• 开了记忆时，与这封信有关的记住的话；
• 会员的每周短信、每日小记和每日启示：相应时段里你在三间房留下的记录（例如心情、笔记、决定和回访）会临时交给 AI 来写，写完不另存原材料；内在天气的材料要「AI 与内容授权」和「记住我说的话」都开着才会交。

不会发出去的：你的邮箱、账号资料、付款信息、注册问卷的回答、照片。不过你自己写进信里的内容（包括名字或别人的信息）会原样发出，请只写你愿意交给 AI 处理的内容。

谁来写

目前为我们写回信的 AI 服务方是 DeepSeek（中国公司，杭州深度求索人工智能基础技术研究有限公司），它在中华人民共和国境内的服务器上处理收到的内容。我们自己不会用你的内容训练 AI 模型。DeepSeek 按它的开放平台服务协议和隐私政策处理通过接口收到的内容：它的隐私政策没有为接口另作约定，写明可能在去标识化后把输入和输出用于模型训练和服务优化；个人信息保留到提供服务所必需的期间，网络日志按中国《网络安全法》保存不少于六个月。这一部分不由我们决定，所以我们把它原样告诉你，由你来决定写什么。

Own 会员和自带模型账户：如果你接上了自己的模型服务账户（Anthropic、OpenAI、OpenRouter 或兼容 OpenAI 接口的服务），你的信由你选择的服务方来写，按你和它之间的协议处理，模型费用由它向你收取。你的接口密钥在我们的服务器上加密保存，只在替你写信时取用，不会显示给任何人；你可以随时断开，注销账号或会员资格结束后它会和你的记录一起删除。

典籍与知识库

「启用知识库」开着时，塔罗师和 Lilly 会参考牌义典籍和古典占星规则，并在信里标出处；关掉就自由解读。这个开关只改变回信怎么写，不改变我们处理哪些个人信息。

自伤安全提示

如果你写下的内容里出现自伤或轻生的说法，App 会先在手机上按一份固定的词表判断；付费写信时服务器会用同一份词表再判断一次。判到时我们不写回信，而是先给你看所在地区的求助热线。词表没有判到、但 AI 在写信时读出了这样的意思，它会写一封劝你现在就向热线和信得过的人求助的信，信的下面附上你所在地区的求助热线。这些判断都不涉及人工查看，也不会因此通知任何人。

4. 帮我们提供服务的第三方

我们只把信息交给帮助我们提供服务的服务方。Supabase、Resend、RevenueCat 和 Cloudflare 按与我们的数据处理条款，只按我们的指示、为这些用途处理；阿里云按它的产品服务协议为我们运行服务器、存放数据，协议写明它不擅自访问我们存放的数据，但在有关国家机关依法调取时会配合提供；Apple、用 Google 登录时的 Google 和 DeepSeek 按各自的条款和隐私政策处理。

• 阿里云（中国公司，阿里云计算有限公司；机房在美国加州硅谷）：运行我们的服务器和数据库，存放反馈截图、导出文件和数据库备份。经手的是经过我们服务器的全部信息和服务器上保存的记录。
• Supabase（美国）：登录服务（账号、验证码邮件、Apple 和 Google 登录）。经手邮箱、登录方式和登录记录。
• DeepSeek（中国）：写回信。经手第 3 节「发出去的是什么」列出的内容，不含你的邮箱和账号资料。
• Resend（美国）：发送验证码和账号邮件。经手邮箱地址和邮件内容。
• Apple（美国及 Apple 的其他所在地）：App Store 购买与退款、通过 Apple 登录、推送通知。经手购买信息、登录信息和推送令牌。
• RevenueCat（美国）：核对 App Store 的购买和订阅状态。经手账号编号、购买和订阅记录。
• Google（美国）：只在你选择用 Google 登录时验证你的身份。经手 Google 提供的邮箱和名字。
• Cloudflare（美国及 Cloudflare 的其他所在地）：把发到 support@dearintus.com 的邮件转到我们的客服邮箱。经手你来信的邮箱地址和邮件内容。
• Google（Gmail）（美国）：存放和回复客服来信。经手你来信的邮箱地址和邮件内容。
• 你选择的模型服务方（所在地取决于你选的服务方）：只在你接上自己的模型账户时替你写信。经手第 3 节列出的内容。

这些服务方各有自己的隐私政策，说明它们如何处理经手的信息。

5. 我们不会拿你的内容做的事

你写下的信、日记和记录，是这款 App 里最要紧的东西。除了第 4 节列出的、为提供服务所必需的交付之外：

• 我们不出售你的个人信息，也不把它交给数据经纪人；
• 不把它用于广告，不与他人「共享」用于跨情境行为广告，不跨 App 或网站追踪你；
• 不用你的内容训练 AI 模型（AI 服务方自己的做法见第 3 节）；
• 不公开、不发表你的内容，也不拿它做宣传或案例。

只有下面几种情况，我们才会向第 4 节之外的人披露信息：法律、法院或政府机关依法要求时；为了保护你、其他人或我们的权利与安全确有必要时；以及发生合并、收购或资产转让时（接手方须继续遵守本政策，我们会事先告诉你）。

6. 跨境传输

我们的服务器和数据库在美国，由中国公司阿里云运营；为我们写回信的 DeepSeek 在中国。你的信息在美国存储和处理；写回信时，相关内容会传到中国。这两个国家的数据保护规则可能和你所在地不同。为此我们：

• 用数据处理条款约束美国的服务方（见第 4 节）；
• 只发出写回信必需的内容，不发你的邮箱和账号资料；
• 传输全程加密；
• 只有在你明示同意后才把内容交给 AI 服务方，你可以随时撤回。

你可以写信给我们索取相关保障措施的副本。

7. 安全

• 传输加密：App 和我们的服务器之间、服务器和各服务方之间，数据都走加密连接。
• 密钥只在服务器上：AI 服务和第三方服务的密钥只存在服务器上，不放进 App；会员自带的模型密钥加密保存。
• 按账号隔离：数据库按账号隔离访问，一个账号读不到另一个账号的内容。
• 谁能接触：只有确有必要的工作人员能接触服务器上的数据，并且只给完成那件事所需的最小权限。
• 什么时候会看：只在处理你提出的反馈或请求、排查故障、核对付费，或依法需要时，才查看必要的信息。除此之外，没有人阅读你的信和记录；回信在送到你手里之前也没有人逐封审阅。

没有任何系统能保证绝对安全。如果发生影响你的个人信息安全事件，我们会按法律要求通知你和监管机构。

8. 保存多久，怎么删除

• 单次购买写的塔罗信、Lilly 信和它们的追问：服务器上 24 小时后删除；手机上保留你的副本。
• 非会员时内在天气 AI 整理的内容、说说话：服务器上最多暂存 24 小时。在内在天气的「生活备份」里能看到暂存了几条，也可以现在就删。
• 会员的记录（塔罗、占星、内在天气、谈心、记忆、每日小记、每周短信、每日启示、自带模型连接）：会员资格有效期间保存；Own 是一次买断，没有到期日。订阅结束（取消后到期，或被退款），或者 Own 被退款，满 3 天后在下一次例行清理时删除。到期后 App 会告诉你保留到哪天，你可以先导出一份。
• 记忆：直到你在「关于你的理解」里删掉、关掉记忆时选择忘掉、注销账号，或会员资格结束满 3 天。删掉的确认问题会留下一个经过密钥处理、无法还原原文的标记，只用来避免再次记下它。
• 内在天气同步的删除标记：你删除一条同步过的记录后，我们保留一个不含内容的删除标记，最长 180 天，好让你的其他手机也删掉它。
• 导出文件（导出云端记录）：生成后 24 小时内可下载，之后删除。
• 限流记录、未完成的上传：分别 1 天、1 小时后清除。
• 服务器日志：30 天。
• 账号、反馈和其余记录：直到你注销账号。

备份：为了在出故障时能把数据恢复回来，我们每小时给数据库做一次备份，在服务器上留两天；另外每天给服务器的系统盘拍一份快照，留两份。上面各项的期限说的是正在使用的数据库；已经删除的内容可能在备份里再留最多 30 天，之后随备份一起清除。备份只用于故障恢复，不用来写回信，也不做别的用途。

注销账号：在「设置 › 账户 › 管理账户 › 注销账号」操作。注销会立即删除你在服务器上的内容（记录、信、记忆、出生档案、反馈、推送令牌等）并让账号无法再登录；你上传的文件和登录身份在随后的例行清理中删除，全部在 30 天内完成。用 Apple 登录的，我们会同时撤销给 Apple 登录的授权。注销不会自动取消订阅，请先在 Apple 的订阅管理里取消。

注销之后还会留下的：这些记录里都没有你写的信和日记。

• 购买与财务记录：按税务和会计法律要求的期限保存，不再与你的内容关联。
• AI 用量和费用记录：注销时去掉与你账号的关联，之后只作为不指向个人的成本统计保留。
• 你写给 support@dearintus.com 的邮件：保存在客服邮箱里，不随注销自动删除；你可以来信要求我们删掉。

9. 你的权利

无论你在哪里，你都可以：

• 查看和取走：「设置 › 数据和隐私 › 导出云端记录」下载服务器上的整份记录（JSON 文件）；「导出数据」和内在天气的「生活备份」导出手机上的记录。
• 更正：在「管理账户」里改资料；在「关于你的理解」里把记错的话改对，或标成「只适用那次」。
• 删除：「设置 › 数据和隐私 › 删除全部记录」删掉服务器和手机上的塔罗记录；内在天气里删除一条记录，服务器上的副本也一起清理；在「关于你的理解」里删掉记住的话；或者注销账号，删除全部内容。想删掉服务器上的某一条塔罗或占星记录而不注销，可以写信给我们。
• 撤回同意：「AI 与内容授权」「启用记忆」随时可以关；推送和位置在 iPhone 的系统设置里关。撤回不影响撤回前已经进行的处理。

App 里做不到的，写信到 support@dearintus.com，请用你账号的邮箱来信，方便我们确认是你本人。我们会在一个月内答复；情况复杂时可能延长，但会告诉你原因。

10. 美国加州居民的补充说明

本节依据《加州消费者隐私法》及其修正案（CCPA/CPRA）。

过去 12 个月我们收集的个人信息类别：标识符（邮箱、账号编号、设备凭据、IP 地址）；客户记录中的信息（名字、邮箱）；受保护分类的特征（出生日期、性别选项，只在会员保存出生档案或写本命信时）；商业信息（购买和订阅记录）；网络活动信息（使用和出错记录）；大致地理位置（卜卦地点）；推断（记忆功能整理出的关于你的理解）；以及敏感个人信息：账号登录信息，和你写下的内容里可能包含的健康或心理状态信息。来源是你本人、你的设备，以及你选择用来登录和付款的 Apple、Google。用途和保存期限见第 2、8 节。

披露：上述信息为业务目的提供给第 4 节列出的服务方。我们不出售个人信息，也不为跨情境行为广告「共享」个人信息，包括 16 岁以下未成年人的信息。我们只为提供你要求的服务而使用敏感个人信息，不用它推断你的特征。

你的权利：知情和访问、删除、更正，以及不因行使权利而受到区别对待。你可以通过 App 或 support@dearintus.com 行使，也可以授权代理人代为提出（我们会核实授权和你的身份）。我们会在 45 天内答复。

美国其他已立法的州（例如弗吉尼亚、科罗拉多、康涅狄格）的居民享有类似权利，方式相同。

11. 未成年人

致心只面向年满 18 岁的人。注册时我们会请你确认已满 18 岁。我们不会有意收集未满 18 岁的人的信息；如果发现，会删除对应的账号和信息。如果你认为有未成年人在使用致心，请告诉我们。

12. 本政策的变更

我们会在本页更新政策并改动版本号和生效日期。重要变更（例如更换 AI 服务方、增加新的用途）会在 App 里提前告诉你；需要你同意的，会重新请你同意。

13. 联系我们

对这份政策或我们的做法有任何疑问，都可以来信。

刘宏涛（Hongtao Liu）
邮箱：support@dearintus.com