隐私政策

Lumi 由 智希可科技（广州）有限公司（下称「XicoAI」或「我们」）提供。你交给 Lumi 的，是日记、计划、账单、健康和人生目标，是一个人最私密的部分。我们把守护这些信息当作产品的地基，而不是附加条款。本政策说明我们收集哪些个人信息、为什么收集、存放在哪里、保存多久、与谁共享、如何保护，以及你拥有哪些权利。

本政策与《个人信息收集清单》《第三方信息共享清单》《儿童个人信息保护》《Cookie 与本地存储说明》共同构成我们完整的隐私说明；使用规则见《服务条款》，AI 功能的使用规则见《AI 服务条款》。涉及敏感个人信息、向境外提供个人信息以及与你权益密切相关的内容，我们以加粗提示，请你重点阅读。

要点速览

• 不卖数据，不做广告。 我们不出售你的个人信息；Lumi 中没有广告，也不做跨应用、跨网站的追踪。
• 你的内容只为你所用。 你的日记、文档、AI 对话等内容保存在我们位于日本东京的服务器上，没有另做应用层加密或端到端加密，而是由严格的访问控制保护：我们的管理后台没有任何查看这些内容的界面。我们和模型服务商都不会用你的数据训练任何 AI 模型。 邮件原文、收件箱元数据和邮箱凭据使用你独立的密钥加密，见第 11 节。
• AI 由你授权。 你明确同意之前，云端 AI 不会启用；你可以按模块决定 Lumi 能读取什么，也可以让某一篇日记或文档对 Lumi 不可见。
• 可选的基础诊断，照片文件不带位置。 网页版和 Apple 应用没有第三方统计 SDK；基础稳定性诊断默认关闭，由你在设置中选择开启。Lumi 从不在后台获取你的位置，只保存你亲自添加的地点；照片和视频文件中的位置信息在保存前都会被去除。
• 如实告诉你数据在哪里。 Lumi 目前的服务器位于日本东京。如果你在中国大陆使用 Lumi，你的个人信息会因此出境：在上传你创建的任何内容之前，我们会单独征得你的同意。位于中国大陆的用户的 AI 请求只由已备案的国内大模型 DeepSeek 处理，并经过关键词内容过滤。中国区上线后，中国大陆用户的数据将存储在境内。
• 你始终掌控。 你可以随时免费导出全部数据，更正或删除任何内容，或者注销账号。

1. 我们是谁

Lumi 的运营者，即你的个人信息处理者，为 智希可科技（广州）有限公司，注册地址：广州市南沙区南沙街广生路19号（自编1栋）4楼410室215A。对于欧洲经济区、英国和瑞士的用户，我们是数据保护法意义上的「数据控制者」。

我们设有个人信息保护负责人。你可以发送邮件至 support@xicoai.com 联系我们；与个人信息有关的请求，请在邮件主题中注明「个人信息保护」，邮件将直接交由个人信息保护负责人处理。

2. 适用范围

本政策适用于我们以 Lumi 品牌提供的以下产品和服务（统称「Lumi」）：

• Lumi 官方网站 lumi.xicoai.com（下称「官网」）；
• Lumi 网页版（/app/），目前处于抢先体验阶段；
• Lumi 的 iPhone、iPad 和 Mac 应用（正在开发中，即将登陆 App Store）；
• 与上述产品相关的服务，例如验证码与通知邮件、客户支持。

本政策不适用于你通过 Lumi 连接或跳转到的第三方服务，例如 Apple、Google、Microsoft、微信、QQ 的账号与服务，以及各支付渠道。它们按各自的隐私政策处理你的信息，建议你一并阅读。Lumi 以后支持的其他平台（如 Windows、Android）同样适用本政策；如有平台特有的处理方式，我们会在上线前更新本政策。

3. 我们收集的个人信息

我们只收集实现功能所必需的信息。下面按类别说明；逐项、逐功能的完整列表见《个人信息收集清单》。

3.1 账号信息

你可以使用 Apple、Google、微信、QQ 登录，也可以使用邮箱验证码、手机号验证码（目前仅支持 +86 号码）或密码登录。根据你选择的方式，我们会收集：

• 邮箱地址、手机号、昵称，以及你选择上传的头像；
• 第三方账号标识，例如 Apple 用户标识、Google 账号 ID、微信和 QQ 的 unionid / openid，以及用于在设置中区分登录方式的脱敏标签（如脱敏后的邮箱）；
• 如果你设置了密码，我们只保存经 scrypt 算法加盐处理后的哈希值，任何人（包括我们）都无法从中还原你的密码；
• 你的数据区域（见第 9 节）。

使用第三方登录时，我们只接收登录所必需的信息，例如 Google 账号的姓名、邮箱和头像。如果你在使用 Apple 登录时选择隐藏邮件地址，我们只会收到 Apple 提供的中转邮箱。使用「通过 Apple 登录」时，我们还会保存 Apple 签发的授权令牌（以你独立的密钥加密，见第 11 节），它只用于在你注销账号或移除这一登录方式时，向 Apple 撤销 Lumi 的授权。

3.2 你在 Lumi 中创建的内容

这是 Lumi 的核心：你主动写下、记录或上传的一切，包括：

• 待办与日历：任务、清单、子任务、提醒、日程、参与人和会议链接；
• 日记：正文、心情、标签、照片等附件，以及你亲自为日记添加的地点（地点名称或位置坐标；照片文件中的位置信息会在保存前去除，见第 5.3 节）；
• 文档：页面内容和图片、文件等附件；
• 账本：账户、交易、预算、分类、商户、备注和你添加的小票照片；
• 习惯：习惯设置、打卡记录，以及打卡时写下的感想和照片；
• 人生与成长：生日、预期寿命、人生目标、人生蓝图、成长规划、复盘、倒数日和时间胶囊（即将推出）；
• 与 Lumi 的对话：你的提问、Lumi 的回答，以及 Lumi 为你生成的简报、规划书和洞察。

我们处理这些内容，是为了在你的设备之间保存和同步它们，并提供你所使用的功能。你的内容中可能包含他人的信息（例如日记里提到的朋友），请在尊重他人的前提下记录。

3.3 集成与导入

只有在你主动连接时，Lumi 才会访问以下服务：

• Google 日历：经 Google 授权后读取和写入你的日历列表与日程（详见第 14 节）；
• Microsoft Outlook 日历与 Microsoft To Do：经 Microsoft 授权后读取和写入你的日程、任务清单与任务；
• Apple 日历与提醒事项：在 iPhone、iPad 和 Mac 上经系统授权后直接读写，并把日程与提醒同步到你的 Lumi 账号，以便在网页版和其他设备上查看；通过 iCloud App 专用密码在服务器端同步 iCloud 日历的方式即将推出；
• Apple 健康：见第 5.1 节；
• 日记建议：通过 Apple 系统提供的「日记建议」选择器，Lumi 只会收到你选中的那一条建议，无需相册等权限；
• 账单与数据导入：你从支付宝、微信导出的账单文件，或从其他记账、待办应用导出的 CSV、Excel 等文件。账单文件在你的设备上解析，原始文件不会上传；只有你核对并确认导入的记录会保存到账本。

以下断开规则适用于日历与待办集成；邮箱断开规则见第 14 节。 Google 和 Microsoft 的授权凭据（刷新令牌）以及 iCloud App 专用密码，在服务器上以你独立的密钥加密保存（见第 11 节），只能由服务器用于同步。你可以随时在设置中断开集成，或在 Google、Microsoft 的账号设置中撤销授权。断开后，我们会撤销 Google 的授权令牌、删除 Microsoft 的授权令牌，并删除该集成的同步数据；你可以选择保留已经导入 Lumi 的内容。

邮箱连接和你主动转发给 Lumi 的邮件沿用同一收件箱与确认流程。可连接的服务以设置页实际显示为准；邮箱连接与登录分别授权。Gmail 的读取、AI 处理、保留和删除规则见第 14 节；其他邮箱与转发邮件适用相同的邮件处理规则。

3.4 使用 AI 时的信息

当你使用 Lumi 的 AI 功能时，我们会处理：你的提问与指令、完成任务所需的内容（仅限你授权的模块）、AI 生成的结果、Lumi 为你整理的记忆、「Lumi 活动记录」，以及每次调用所用的模型、Token 用量和所属功能等计量信息。你对回答的反馈（例如「有用」「没用」）也会被记录，用于改进回答质量。详见第 6 节。

3.5 购买与订阅信息

当你购买会员或 Token 加油包时，我们会处理：商品、价格、币种、购买渠道、订单或交易编号、购买时间、订阅与试用状态、续订和到期时间、退款记录，以及 Token 钱包的余额与流水。

付款由 Apple（App 内购买）或 Stripe 完成；网页版的微信支付和支付宝尚未开通，开通后同样由其完成付款。我们不会获取或保存你的完整银行卡号、支付密码等支付凭据。 通过 App Store 购买时，我们从 Apple 获得交易信息，不会获得你 Apple 账户的付款信息。

3.6 设备与日志信息

为了让 Lumi 在你的设备上正常、安全地运行，我们会收集：

• 设备信息：设备平台和型号、操作系统版本、Lumi 版本、时区、语言，以及用于发送通知的推送令牌。Lumi 会为每台登录的设备生成一个设备标识，用于同步和设备管理；
• 安全记录：登录、新设备登录、修改密码、绑定或解绑登录方式、导出数据、申请注销等事件。安全记录中的 IP 地址和浏览器、设备类型（User-Agent）只以加盐哈希的形式保存。 你可以在「设置 → 账号与安全」中查看最近 90 天的记录；安全记录在约 13 个月后删除；
• 服务器访问日志：请求时间、截断后的 IP 地址（IPv4 只保留前 24 位，IPv6 只保留前 48 位）、访问路径、响应状态，用于安全防护和故障排查。访问日志不记录完整 IP、浏览器类型（User-Agent）和网址中的查询参数，14 天后删除。 服务器错误日志可能包含出错请求的完整 IP 地址，同样在 14 天后删除；
• 应用日志：服务器程序的运行日志，用于排查故障，永远不包含你的内容。

3.7 使用情况与诊断信息

网页版和 Apple 应用没有接入第三方产品分析或崩溃报告 SDK。 我们在自己的服务器上记录以下不含内容的使用信息，并提供默认关闭的基础稳定性诊断：

• 活跃记录：你的账号在某一天使用过 Lumi，服务器就记录一条「当天活跃」（每个账号每天最多一条，按协调世界时计日），用于统计每日活跃用户和留存。它不记录你做了什么；

• AI 用量计量：每次 AI 调用的功能、模型、Token 数、耗时和结果状态，用于 Token 计费、向你展示用量和核算成本。它不记录你的提问或 AI 的回答。

• 基础稳定性诊断（可选）：你在网页版设置的「分享基础诊断」或 Apple 应用设置的「帮助改进稳定性」中开启后，登录状态下仅向 Lumi 发送应用版本、平台、模块和错误类别，用于发现故障。Apple 应用使用系统 MetricKit 判断是否出现崩溃、卡顿或资源异常，不上传原始报告。诊断不包含日记、任务、聊天、金额、错误文本、调用栈或网址；未登录时不上传，你可以随时关闭。诊断写入我们的应用日志，相关认证访问日志仍可能记录账号标识。

如果以后引入第三方统计或崩溃报告服务，我们会先更新本政策和《第三方信息共享清单》并公告，再取得所需授权。

3.8 你与我们的沟通

当你通过邮件或 App 内反馈联系我们时，我们会处理你的联系方式、你描述的问题，以及你选择附上的截图和诊断信息。反馈是我们的工作人员能看到你内容的唯一途径：只有你主动放进反馈里的内容，我们才看得到。

3.9 官网

浏览官网时，我们不使用 Cookie，不使用任何统计分析工具，不加载第三方脚本，字体也由我们自行托管。官网只会在你的浏览器中保存你选择的价格币种，这一信息不会发送给我们。和所有网站一样，官网服务器会产生第 3.6 节所述的访问日志。详见《Cookie 与本地存储说明》。

3.10 我们不做的事

• 不使用广告标识符（如 IDFA），不做跨应用或跨网站追踪，不接入任何广告 SDK；
• 不在后台获取你的位置，只在你亲自添加地点时保存（见第 5.3 节）；
• 不在服务器上扫描你的相册，只处理你主动选择的照片，并在保存前去除照片文件中的位置信息；
• 不接入产品分析、崩溃统计或其他第三方统计 SDK；
• 不利用你的个人信息进行不合理的差别定价。

4. 我们如何使用个人信息，以及法律依据

在中国大陆，我们依据《个人信息保护法》第十三条规定的情形处理个人信息；表中的「正当利益」仅适用于 GDPR 等承认这一依据的法律，在其他地区，我们以你的同意或法律规定的其他依据为准。

我们还承诺：

• 不将你的信息用于本政策未载明的目的。 如需用于新的目的，我们会事先告知并征得你的同意。
• 不仅凭自动化决策作出对你有重大影响的决定。 Lumi 会根据你的数据给出建议、规划和提醒，但修改你数据的操作都遵循第 6.7 节的确认规则。你可以在设置中把 Lumi 主动提醒的次数调为 0，或关闭相关模块的 AI 读取权限。
• 不发送商业营销信息，除非你另行同意。 服务通知（例如续费提醒、安全提醒）不属于营销信息。

根据法律规定，在以下情形中处理你的个人信息无需征得你的同意：为订立、履行你作为一方当事人的合同所必需；为履行法定职责或者法定义务所必需；为应对突发公共卫生事件，或者紧急情况下为保护自然人的生命健康和财产安全所必需；为公共利益实施新闻报道、舆论监督等行为，在合理的范围内处理个人信息；在合理的范围内处理你自行公开或者其他已经合法公开的个人信息；以及法律、行政法规规定的其他情形。

5. 敏感个人信息

敏感个人信息一旦泄露或者被非法使用，容易导致你的人格尊严受到侵害或者人身、财产安全受到危害。Lumi 可能处理的敏感个人信息包括财务账户与交易信息、手机号、你亲自为日记添加的位置坐标，以及 Apple 健康功能推出后你授权读取的健康数据；你在日记、文档和对话中写下的内容也可能涉及医疗健康、宗教信仰等敏感信息。

对于读取和上传健康数据、将健康数据提供给 AI，我们会在处理前告知必要性和对你的影响，并单独征得你的同意。位置坐标只在你亲自添加时保存（见第 5.3 节）。你拒绝时，只是对应功能不可用，不影响其他功能。

5.1 健康数据（Apple 健康）

Apple 健康功能将随 iPhone、iPad 应用推出；目前的 Lumi 不读取任何健康数据。推出后，我们按以下规则处理：

• 在哪里读取：仅在 iPhone 和 iPad 上，经你在系统中授权后读取；你可以只授权其中一部分类型。Mac 无法读取健康数据，Mac 和网页版只显示已同步的健康汇总。
• 读取的类型：步数、步行与跑步距离、活动能量、锻炼分钟数、站立小时数、睡眠、静息心率、心率变异性、体重、正念分钟数、体能训练和心理状态。你在 Lumi 中记录心情时，也可以选择把它写入「健康」App。
• 用途：只用于健康相关功能，例如习惯自动打卡、目标进度、复盘，以及你开启后的 AI 健康洞察。
• 上传与同步：只有在你单独同意后，我们才会把每日汇总和体能训练摘要（不含运动路线）上传到服务器。健康数据不会存储到 iCloud，不会用于广告、营销或数据挖掘，也不会被出售。
• 与 AI：只有在你另行单独同意后，健康数据才会发送给模型服务商，并且优先发送每日汇总，而不是明细。
• 撤回：你可以在 iOS「设置 → 隐私与安全性 → 健康」中关闭 Lumi 的读取权限，也可以在 Lumi 中关闭健康数据的上传或 AI 授权，并选择同时删除已上传的健康汇总。

5.2 财务信息

• 账本中的账户、交易和预算由你手动记录，或从你导出的账单文件导入。Lumi 不连接你的银行账户，也不会获取你的银行、支付账户的登录凭据。
• 导入支付宝、微信等账单时，账单文件在你的设备上解析，原始文件不会上传；导入前，Lumi 会列出将要导入的记录，由你核对并确认。
• 金额永远不会进入日志；发送给 AI 前，银行卡号、证件号等标识会被脱敏。
• 你可以开启账本的「隐私模式」，在公共场合隐藏所有金额。

5.3 位置信息

Lumi 从不在后台获取你的位置。只有在你亲自添加时，Lumi 才会为日记保存地点，方式有三种：

• 填写地点名称：例如输入「上海」「家」；
• 使用当前位置（网页版）：在日记的「地点」中点按「使用当前位置」，Lumi 会通过浏览器获取一次你当前的位置坐标（经纬度）。第一次使用时，浏览器会先请求你的授权；你拒绝时，仍然可以手动填写地点名称；
• 保留照片中的地点（网页版）：这项设置默认关闭。你在日记的照片菜单中开启后，添加照片时，Lumi 会读取照片自带的拍摄地点坐标，把它作为这张照片的单独字段保存；如果这篇日记还没有地点，也会成为日记的地点。

地点作为日记的一个单独字段保存，你可以随时修改或删除。无论是否开启上述设置，照片和视频文件本身都不会保留位置信息： 网页版会先在浏览器中重新编码照片，去除其中的全部元数据；服务器还会对每一张上传的图片和每一段上传的视频再去除一次位置元数据，包括 JPEG、HEIC / HEIF、AVIF、PNG 和 WebP 图片中 EXIF 和 XMP 里的 GPS 数据，以及 MP4、MOV 视频中的位置信息（GIF 格式本身不含位置元数据）。

iPhone、iPad 和 Mac 应用目前不请求位置权限，日记中的地点是你输入的地点名称。你可以随时在浏览器设置中撤回网页版的位置授权。

5.4 手机号

手机号用于登录、找回账号和安全验证。我们按敏感个人信息的标准保护它：日志中不出现明文，发送给 AI 前会被脱敏。

5.5 你写下的私密内容

日记、文档和对话中可能包含你的健康状况、情绪、宗教信仰、人际关系等高度私密的信息。我们的管理后台没有任何查看这些内容的界面，它们也永远不会出现在日志中（见第 11 节）。Lumi 的记忆功能不会自动记住健康状况、宗教、政治观点、性取向、财务账号等敏感类别，除非你明确要求。

6. AI 功能如何处理你的信息

6.1 先说明，再启用

首次使用云端 AI 前，Lumi 会展示独立的授权说明页，告诉你：Lumi 会读取哪些数据、会发送给哪些模型服务商、用于什么目的，以及服务商不会用这些数据训练模型。在你明确同意之前，云端 AI 不会启用。 你可以随时在 Lumi 的设置中撤回云端 AI 授权，撤回后 Lumi 会立即停止向模型服务商发送你的数据。

AI 功能仅面向年满 18 周岁（或当地法律规定的更高年龄）的用户。

6.2 按模块控制

同意之后，Lumi 默认可以读取日记、文档、待办、日历、账本、习惯、目标与规划这 7 个模块，你可以在「设置 → Lumi」中逐一关闭。健康数据按第 5.1 节另行授权；邮件的 AI 读取权限需要单独开启，连接邮箱本身不会开启 AI。此外：

• 任何一篇日记或文档都可以标记为「不让 Lumi 读取」；
• 未授权的模块和被你排除的条目在检索阶段就会被过滤，不会进入发送给模型的内容。

6.3 发送给模型的内容

每次请求，Lumi 只发送完成这项任务所需的最少信息，通常包括：你的提问、当前页面的相关内容、从授权模块中检索出的相关片段、相关的记忆，以及一份根据你授权的数据生成的「人生快照」摘要（例如称呼、目标、近期的心情与习惯概况）。手机号、邮箱、证件号和银行卡号在发送前会被脱敏。 与你的数据有关的数字（例如「10 月餐饮花了多少」）由确定性的程序计算，模型只负责解释。

为了支持语义检索，Lumi 会把你授权的内容转换为向量（一种数学表示）。海外区的向量在我们自己的服务器上生成；中国区可能使用阿里云百炼的向量服务。

语音输入和联网检索尚未推出。推出前，我们会在本政策中说明录音和检索词会交给哪些服务处理。

6.4 模型服务商与处理地点

Lumi 通过我们自建的模型网关调用下列服务商。具体使用哪一家，取决于你的数据区域、所在地区、所选模型和任务类型；授权说明页会列出你可能用到的服务商。

请注意：即使你是海外区用户，由 DeepSeek 处理的请求也会在中国境内处理。 会员可以在对话中指定偏好的模型。位于中国大陆的用户的 AI 请求只由 DeepSeek 处理，见第 6.9 节。

如果没有可用的模型服务商，相关 AI 功能会暂停或隐藏，Lumi 不会用模拟或预设的内容冒充 AI 的回答。

6.5 不训练，最短留存

我们不会用你的数据训练任何模型。 我们与模型服务商约定的数据处理条款要求：不得将你的数据用于训练，并按最短期限留存。服务商可能依其条款为防范滥用而短期保存请求记录。

每次 AI 调用，我们只记录功能、模型、Token 数、耗时和结果状态等计量信息，用于计费和排查质量与成本问题，不记录提问和回答的内容。你与 Lumi 的对话作为你的内容保存在你的账号中，由你查看和删除。

6.6 记忆

为了真正了解你，Lumi 会从对话、日记和规划访谈中整理出「记忆」，例如你的职业、偏好和目标。

• 每条记忆都标明来源，你可以在「Lumi 的记忆」中查看、编辑和删除；在对话中说「忘记这个」即可删除，对应的向量也会同步删除；
• 不确定的记忆会先进入「待确认」，由你确认后才生效；
• 健康状况、宗教、政治观点、性取向、财务账号等敏感类别不会被自动记住，除非你明确要求；
• 「Lumi 活动记录」完整记录 Lumi 读取了什么、做了什么、创建了什么。

6.7 行动由你决定

Lumi 可以替你创建或修改数据，但会先给出提议。只有在你开启「自动执行低风险操作」后，可撤销的单个操作（例如新建一个任务）才会直接执行，并提供「撤销」。批量或结构性的修改、影响他人或外部系统的操作（例如给日程参与人发送更新），以及删除等不可撤销的操作，始终需要你确认；删除的内容会先进入「最近删除」，保留 30 天。

6.8 安全与标识

• AI 生成内容的标识：在 Lumi 中，AI 的回答以光球标识，对话中的回答默认标注「AI 生成」。你导出数据时，导出包中由 AI 生成的内容——Lumi 在对话中的回答、简报、洞察、日记与复盘的 AI 摘要、成长规划的分析和生成的计划文字，以及 Lumi 为你整理的记忆——在 Markdown 文件中带有「AI 生成」的显式标识，在 JSON 文件中带有 ai_generated 标记；导出包还附有注明服务提供者的元数据。我们依据《人工智能生成合成内容标识办法》作出上述标识。
• 识别到自伤等危机信号时，Lumi 会以固定的关怀模板回应，并提供当地求助渠道。我们只记录「触发了危机关怀」这一事件，不记录对话内容。
• Lumi 不提供医疗诊断、具体投资建议或法律意见。AI 生成的文字可能出错，重要决定请自行核实。

6.9 中国大陆用户

Lumi 的 AI 功能向位于中国大陆的用户开放。 对位于中国大陆的用户，AI 请求只由已完成备案的国内大模型 DeepSeek 处理（在中国境内处理），不会发送给 OpenAI 或 Anthropic。AI 的输入和输出会经过关键词内容过滤，被判定为违规的请求或回答会被拦截或停止生成；过滤只记录事件，不记录内容或命中的词。

Lumi 根据你的设备报告给 Lumi 的国家或地区以及时区，判断你是否位于中国大陆，不使用 GPS 定位，也不依据 IP 地址。

我们正在办理生成式人工智能服务的登记及相关备案，完成后会公示所用模型的名称及登记、备案信息，并更新本政策。

7. Cookie 与本地存储

官网不使用 Cookie，只在浏览器中保存你选择的价格币种。网页版使用浏览器存储（IndexedDB 和 localStorage）保存登录状态和数据的离线副本，登录过程中可能使用严格必要的 Cookie；你选择使用 Google、Apple 等第三方登录时，它们会在自己的域名下设置 Cookie。我们不使用广告 Cookie，也不做跨网站追踪。详见《Cookie 与本地存储说明》。

8. 我们如何共享、转让和公开披露个人信息

8.1 我们不出售个人信息

我们不会出售或出租你的个人信息，不会与广告商共享，也不会为了营销与其他公司共享。

8.2 委托处理

为提供服务，我们会委托以下类别的服务商处理个人信息：云服务（目前为位于日本东京的 AWS）、AI 模型服务、短信和邮件发送，以及支付。我们没有使用第三方崩溃报告或使用统计服务；可选基础诊断由 Lumi 自己接收。我们与它们签订协议，要求其只按我们的指示、为本政策所述目的处理个人信息，采取必要的安全措施，并在委托结束后删除或返还个人信息。完整名单、共享的信息和处理地点见《第三方信息共享清单》。

8.3 你选择连接或使用的第三方

当你使用 Apple、Google、微信或 QQ 登录，连接 Google 或 Microsoft 的日历与待办，或者通过 Apple、Stripe、微信支付、支付宝付款时，我们会与这些服务交换完成相应功能所必需的信息。它们作为独立的个人信息处理者，按各自的隐私政策处理你的信息。

当你为有参与人的日程保存修改时，参与人会通过对应的日历服务收到更新；这类操作在发送前都会请你确认。

8.4 你主动分享的内容

Lumi 生成的分享卡片和导出文件，只有在你主动选择分享或保存时才会离开 Lumi，接收方由你决定。分享卡片可以隐藏金额、体重等敏感数字。

8.5 依法披露

只有在法律法规要求、诉讼或争议解决需要，或行政、司法机关依法提出要求时，我们才会披露相关个人信息。我们会审查要求的法律依据，只提供必要范围内的信息，并在法律允许时通知你。

8.6 合并、收购与转移

如因合并、分立、解散、被宣告破产等原因需要转移个人信息，我们会向你告知接收方的名称和联系方式，并要求接收方继续履行本政策规定的义务；接收方变更原先的处理目的或处理方式的，应当重新征得你的同意。

8.7 公开披露

除非取得你的单独同意，或法律法规另有规定，我们不会公开披露你的个人信息。

9. 数据存储地点与跨境传输

9.1 目前的存储地点

目前 Lumi 只有一套生产环境：服务器运行在 Amazon Web Services（AWS Lightsail）位于日本东京的数据中心。你的内容——日记、文档、待办、日历、账本、习惯、目标、AI 对话与记忆，以及附件——保存在这些服务器上的数据库和文件存储中。 数据库、附件文件和反馈截图定期备份到生产服务器本地，由访问控制保护并按轮换策略保留。Amazon S3 异地备份尚未启用；同机备份不能覆盖整台服务器损坏的情况。这套环境即 Lumi 的「海外区」。

9.2 数据区域

注册时，Lumi 会根据你的 App Store 地区或系统地区选择数据区域，你也可以在登录页切换；注册后，数据区域不会自动变更。中国区（使用位于中国境内的阿里云存储数据，只使用已在中国完成备案的模型）正在筹备中；中国区上线前，所有账号都属于海外区。

9.3 中国大陆用户：向境外提供个人信息

如果你在中国大陆使用 Lumi，在中国区上线之前，你的账号信息以及你在 Lumi 中创建和同步的全部内容，都将存储在日本东京的服务器上，这属于向中华人民共和国境外提供个人信息。在上传你创建的任何内容之前，我们会就此单独征得你的同意。

Lumi 判断你是否位于中国大陆的方式与第 6.9 节相同：依据你的设备报告给 Lumi 的国家或地区以及时区。对于位于中国大陆的用户：

• 你首次登录时，Lumi 会先展示一个单独的出境同意页，说明下表列出的事项；在这项说明推出前已经注册的账号，会在下次打开 Lumi 时看到它。
• 在你同意之前，你在 Lumi 中创建的任何内容都不会上传；服务器上只有登录所必需的账号信息。
• 如果你不同意，你可以不使用账号，继续在这台设备上使用 Lumi（数据只保存在本机），也可以退出登录。
• 同意之后，你可以随时撤回：在设置中注销账号（见第 12.5 节），或发送邮件至 support@xicoai.com。撤回后，我们会停止同步，并按注销流程删除服务器上的数据（见第 10 节和《注销账号》）。

我们会依法开展个人信息保护影响评估，采取加密传输、访问控制等措施保障出境数据的安全，并按法律规定的条件开展数据出境活动。中国区上线后，中国大陆用户的个人信息将存储在中国境内；对于此前在海外区注册的账号，我们会提前通知迁移安排，并依法征得你的同意。

9.4 其他国家和地区的用户

海外区的数据存储在日本。在以下情况下，你的信息还会在其他国家或地区处理：由 OpenAI、Anthropic 处理的 AI 请求（主要在美国）；由 DeepSeek 处理的 AI 请求（中国境内）；通过 Stripe 完成的付款；以及《第三方信息共享清单》列出的其他服务商。

对于来自欧洲经济区、英国和瑞士的个人数据：日本已获得欧盟委员会的充分性认定；向其他未获充分性认定的国家或地区传输时，我们会在法律要求时采用欧盟委员会批准的标准合同条款（SCC）或其他合法的传输机制。

10. 保存期限

我们只在实现本政策所述目的所必需的最短期限内保存你的个人信息，法律法规另有规定的除外。

超过保存期限后，我们会删除或匿名化处理你的个人信息；从技术上难以立即删除的（例如尚未过期的备份），我们会停止除存储和采取必要安全保护措施之外的处理。

如果 Lumi 停止运营，我们会停止收集个人信息，以逐一通知或公告的形式告知你，给你留出导出数据的时间，并在此后删除或匿名化处理你的个人信息。

11. 我们如何保护你的信息

• 传输加密：全部连接使用 HTTPS（TLS 1.2 / 1.3），并启用 HSTS。
• 内容的存储：你的内容（日记、文档、待办、日历、账本、习惯、目标、AI 对话与记忆，以及附件）保存在我们位于日本东京（AWS）的服务器的数据库和文件存储中。这些内容没有在应用层另行加密，也没有使用端到端加密，由下文所述的访问控制保护。
• 邮件存储: 邮件原文（包含其中的附件）和收件箱元数据以每位用户独立的密钥加密保存；邮箱 OAuth 令牌和 IMAP 授权码 / App 专用密码同样加密。服务器为提供功能时解密，未使用端到端加密。确认卡片、保存的记录和单独保存的附件副本沿用上述常规内容存储。
• 备份：数据库、附件文件和反馈截图定期备份到生产服务器本地，由访问控制保护并按轮换策略保留。Amazon S3 异地备份尚未启用；同机备份不能覆盖整台服务器损坏的情况。
• 凭据加密：第三方授权凭据——Google 和 Microsoft 日历的授权令牌、iCloud App 专用密码，以及「通过 Apple 登录」的令牌——使用每位用户独立的密钥以 AES-256-GCM 加密保存（信封加密），用于保护这些密钥的主密钥存放在数据库之外；注销账号时，你的这把密钥随之销毁。密码只以加盐的 scrypt 哈希保存；管理员的两步验证密钥同样加密保存。
• 员工访问：管理后台没有任何查看用户内容（日记、文档、任务、交易、AI 对话）的界面，也没有「以用户身份登录」的功能。工作人员只能看到账号信息、订阅与账单信息、用量计数，以及你主动发给我们的反馈。后台必须使用两步验证登录，工作人员的每一次操作都记入审计日志。能直接访问服务器和数据库的，仅限少数经授权的工程师，并使用密钥登录。
• 账号保护：验证码与登录限流、异常登录防护、新设备登录提醒；你可以在设备列表中远程退出任一设备。
• 设备端保护：在 Apple 应用中，你可以为日记本上锁，打开时需要面容 ID、触控 ID 或设备密码验证；在网页版中退出登录时，这台浏览器上的本地数据会被删除。
• 日志最小化：服务器访问日志只保存截断后的 IP 地址，不记录 User-Agent 和查询参数，14 天后删除；安全记录中的 IP 地址和 User-Agent 只以加盐哈希保存。应用日志中不包含你的内容，也不出现邮箱、手机号、验证码和令牌的明文。
• 持续检验：上线前以及此后每年进行第三方渗透测试；对 AI 处理和敏感个人信息处理开展个人信息保护影响评估。

如果发生个人信息泄露等安全事件，我们会立即采取措施止损并调查，按法律要求向主管部门报告（适用 GDPR 时，在 72 小时内通知监管机构），并通过 App 内通知、邮件或短信等方式告知受影响的你：事件情况、可能的影响、我们已采取的措施，以及你可以采取的防范措施。

没有任何系统是绝对安全的。请妥善保管你的登录方式，不要向任何人透露验证码；如发现账号异常，请立即联系我们。更多信息见安全页面。

12. 你的权利

12.1 查阅与复制

你可以随时在 Lumi 中查看你的全部内容。在网页版的「设置 → 隐私与数据 → 导出全部数据」或 Apple 应用的「设置 → 账号与安全 → 导出我的数据」中，你可以免费导出你的数据：结构化数据为 JSON，日记与文档为 Markdown，账本流水为 CSV，打包为一个 zip 文件，生成后 24 小时内可以下载。照片等附件文件目前不包含在导出包中，Markdown 中以链接标注。导出包中由 AI 生成的内容带有标识（见第 6.8 节）。

12.2 更正与补充

你在 Lumi 中的所有内容和账号资料都可以直接编辑。Lumi 的记忆也可以编辑或删除。

12.3 删除

你可以随时删除任何内容。出现以下情形时，你也可以要求我们删除你的个人信息：处理目的已实现、无法实现或不再必要；我们停止提供服务或保存期限已届满；你撤回了同意；我们违反法律法规或与你的约定处理个人信息。

12.4 撤回同意

你可以随时撤回同意，撤回后相关处理立即停止，但不影响撤回前基于同意已进行的处理：

• 云端 AI：在 Lumi 的设置中撤回云端 AI 授权；按模块：「设置 → Lumi」；
• 健康数据（随 iPhone、iPad 应用推出）：iOS「设置 → 隐私与安全性 → 健康」，或在 Lumi 中关闭上传与 AI 授权，并可选择删除已上传的数据；
• 位置、通知、日历、提醒事项等权限：在系统或浏览器设置中关闭；「保留照片中的地点」：在日记的照片菜单中关闭；
• 集成：在设置中断开；
• 中国大陆用户的个人信息出境：见第 9.3 节。

12.5 注销账号

你可以在 Apple 应用的「设置 → 账号与安全 → 注销账户」中注销账号，或在网页版（/app/）的「设置 → 隐私与数据 → 注销账号」中操作。注销有 7 天冷静期，在此期间重新登录即可撤销注销、恢复账号。冷静期满后，我们会删除与你账号有关的全部数据库记录、附件文件、数据导出文件和反馈截图，且无法恢复；同时撤销你连接的日历集成的授权（Google 的授权在 Google 处撤销，Microsoft 的令牌直接删除），并在 Apple 处撤销 Lumi 的「通过 Apple 登录」授权。本地备份中的数据会随对应备份轮换到期删除。剩余的会员时长和已购 Token 将作废，法律另有规定的除外。注销账号不会取消 App Store 订阅，请在 Apple 的订阅设置中取消。 详见《注销账号》。

12.6 转移

导出的数据采用通用格式，便于你带到其他服务。符合国家网信部门规定条件的，你可以请求我们将你的个人信息转移至你指定的个人信息处理者。

12.7 获得解释

你有权要求我们解释本政策所述的个人信息处理规则。

12.8 已故用户

用户去世后，其近亲属为了自身的合法、正当利益，可以对死者的相关个人信息行使本节规定的查阅、复制、更正、删除等权利，死者生前另有安排的除外。

12.9 如何提出请求

大部分权利可以直接在 App 内行使。你也可以发送邮件至 support@xicoai.com（主题注明「个人信息保护」）。为保护你的账号安全，我们会先验证你的身份，例如请你通过已绑定的邮箱发送请求或登录后确认。我们会在验证身份后 15 个工作日内答复；适用 GDPR 的请求，我们会在 30 天内答复，情况复杂时可依法延长，并告知你原因。

我们原则上免费处理你的请求。对于无端重复、明显滥用权利、会损害他人合法权益，或者与国家安全、公共安全、刑事侦查等直接相关的请求，我们可能依法拒绝，并说明理由和你可以寻求的救济途径。

13. 未成年人的个人信息

Lumi 不面向儿童。在中国大陆，你需要年满 14 周岁才能注册；在其他地区，需要年满 13 周岁，当地法律要求更高年龄的（例如部分欧盟国家为 16 周岁），以当地法律为准。未满 18 周岁的用户应在监护人同意和指导下使用 Lumi；AI 功能仅面向年满 18 周岁的用户。 如果我们发现在未取得可证实的监护人同意的情况下收集了儿童的个人信息，会尽快删除。详见《儿童个人信息保护》。

14. Google 用户数据

Lumi 对从 Google API 获得的信息的使用，以及向任何其他应用的传输，都将遵守《Google API 服务用户数据政策》，包括其中的「有限使用」要求。 原文如下：

“Lumi’s use and transfer to any other app of information received from Google APIs will adhere to the Google API Services User Data Policy, including the Limited Use requirements.”

政策全文见 Google API Services User Data Policy。

我们访问的 Google 数据。 使用 Google 登录时，我们获得你的 Google 账号 ID、姓名、邮箱和头像。连接 Google 日历时，我们读取你的日历列表，并读取、创建、修改和删除日程。

我们如何使用。 连接的 Google 日历数据只用于提供你开启的日历功能：在 Lumi 中显示你的 Google 日历日程、按你的要求创建或修改日程，并保持双向同步。如果你为日历模块开启了 AI 读取权限，在你使用 AI 功能（例如「规划我的一天」）时，相关日程可能发送给第 6.4 节所列的模型服务商，仅用于生成你请求的结果，服务商不得将其用于训练模型。

我们的承诺。 以下承诺也适用于 Google 用户数据的衍生数据：

• 不用于广告，包括个性化广告、再营销或基于兴趣的广告；
• 不出售；
• 不用于开发、改进或训练任何 AI 或机器学习模型，无论是通用模型还是其他模型；
• 不会被任何人阅读，除非事先取得你的明确许可、出于安全目的（例如调查滥用行为），或为遵守法律要求。

你也可以在 Google 账号权限页面 撤销 Lumi 的访问权限。

Gmail

Gmail 的只读授权允许查看邮件与设置；Lumi 实际只读取 INBOX 邮件及邮箱地址，不修改 Gmail。 Lumi 读取你的邮箱地址，以及收件箱（INBOX）中的发件人、主题、正文和附件，用于显示邮件并整理待办、日程和账本记录。首次读取最近 7 天，之后补齐未同步的邮件。Lumi 不发送邮件，不设置已读标记，也不修改或删除 Gmail 邮件。

授权凭据、邮件原文和收件箱元数据在 Lumi 位于日本东京的服务器上以你独立的密钥加密保存。服务器会为提供此功能解密；这不是端到端加密。原文通常在 Lumi 收取 7 天后清理，等待处理的邮件可能更久；收件箱历史在收取 90 天后且原文已移除时清理。确认卡片、附件副本和你保存的记录沿用 Lumi 常规内容的存储与保留规则。

连接 Gmail 不会开启 AI 或自动信任发件人。只有你已同意云端 AI，并单独开启邮件读取权限时，必要的邮件文字和图片附件才可能交给隐私政策中列出的模型服务商进行识别。我们和服务商不会用这些数据或衍生数据训练模型。整理出的记录需要你确认。

你可以在设置中断开邮箱，停止新邮件读取并删除保存的凭据。已导入的邮件和已保存的记录仍会保留；邮件可在 Lumi 收件箱中删除，确认后的记录需在对应模块删除。这些操作不会删除 Gmail 中的原邮件。

15. Apple 平台相关说明

• 通过 Apple 登录：我们获得 Apple 用户标识，以及你选择共享的姓名和邮箱（或 Apple 提供的中转邮箱）。你注销 Lumi 账号，或在「设置 → 账号与安全」中移除「通过 Apple 登录」这一登录方式时，我们会在 Apple 处撤销 Lumi 的授权。
• 健康数据：遵守第 5.1 节的规则；除你单独同意提供给 AI 服务商外，不与任何第三方共享。
• 日记建议：系统选择器只把你选中的建议交给 Lumi，Lumi 无法浏览你的相册或位置记录。
• App 内购买：付款和退款均由 Apple 处理，我们只获得交易信息。
• 小组件与 Spotlight：小组件会在主屏幕或锁定屏幕上显示你选择的内容；Spotlight 只在设备上索引任务、文档和日记的标题，不索引正文，你可以在 iOS 设置中关闭。
• 不追踪：Lumi 不做 App Store 定义的「追踪」，因此不会请求追踪授权。App Store 中的隐私标签与 Lumi 的实际行为一致，并在每次版本更新时复核。

16. 美国加利福尼亚州居民

本节在适用的范围内补充说明《加州消费者隐私法》（CCPA，经 CPRA 修订）要求披露的信息。

我们收集的个人信息类别。 在过去 12 个月及今后，我们收集以下类别，来源为你本人、你的设备以及你连接的服务，用途见第 4 节：

• 标识符：姓名、邮箱、手机号、账号 ID、设备标识、IP 地址；
• 客户记录与商业信息：购买和订阅记录；
• 互联网或其他电子网络活动信息：每日活跃记录、AI 用量计量、日志；
• 地理位置信息：你亲自为日记添加的位置坐标；
• 推断信息：Lumi 为你整理的记忆和人生快照，仅用于为你提供服务；
• 敏感个人信息：账号登录凭据、财务账户信息、你亲自添加的精确位置，以及你在 Lumi 中保存的日记、文档和对话内容；Apple 健康功能推出后，还包括你授权读取的健康信息。

我们不出售或「共享」个人信息。 我们不会出售你的个人信息，也不会为跨情境行为广告而「共享」个人信息，过去 12 个月内也没有这样做；我们不知情地出售或共享 16 周岁以下消费者的个人信息的情况也不存在。我们只将敏感个人信息用于提供你所请求的服务、保障安全等法律允许的目的，因此无需提供「限制使用敏感个人信息」的选项。我们会把「全球隐私控制」（GPC）信号视为有效的退出请求。

你的权利。 你有权了解和访问我们收集的个人信息、要求删除、要求更正、以便携格式获取你的数据，并且不会因行使这些权利而受到歧视。你可以通过第 12.9 节的方式提出请求，也可以授权代理人代为提出；我们会验证你的身份和代理人的授权。我们不会为第三方的直接营销目的披露你的个人信息。

17. 欧洲经济区、英国和瑞士的用户

• 控制者：智希可科技（广州）有限公司，联系方式见第 20 节。
• 法律依据：履行合同、你的同意、我们的正当利益（安全防护、防范滥用、统计活跃情况以运营和改进服务）、法定义务，以及保护你的切身利益，详见第 4 节。
• 你的权利：访问、更正、删除、限制处理、数据可携、反对基于正当利益的处理（包括每日活跃统计），以及随时撤回同意；我们不会仅凭自动化处理作出对你产生法律效力或类似重大影响的决定。你也有权向你惯常居住地、工作地或涉嫌违规发生地的数据保护监管机构投诉。
• 国际传输：见第 9.4 节。
• 代表：如法律要求，我们将指定在欧盟和英国的代表，并在本政策中公布其联系方式。
• 年龄：各成员国对数字服务同意年龄的规定为 13 至 16 周岁不等，见第 13 节。

18. 其他国家和地区

如果你所在的国家或地区的法律赋予你额外的个人信息权利，我们会依照当地法律予以响应。你可以通过第 12.9 节的方式联系我们。

19. 本政策的更新

我们可能因服务变化或法律要求更新本政策。发生重大变更时，我们会在生效前通过 App 内通知、弹窗或邮件等显著方式告知你；法律要求重新取得同意的，我们会再次征得你的同意。 未经你明确同意，我们不会削减你依据本政策享有的权利。

重大变更包括但不限于：服务模式发生重大变化（例如处理个人信息的目的、类型、方式改变）；我们的所有权结构、组织架构发生重大变化；个人信息共享、转让或公开披露的主要对象发生变化；你的权利及其行使方式发生重大变化；负责个人信息保护的联络方式及投诉渠道发生变化；个人信息保护影响评估表明存在高风险。

本页顶部标明了当前版本、生效日期和更新日期。你可以通过 support@xicoai.com 索取本政策的历史版本。

20. 联系我们

• 邮箱：support@xicoai.com。与个人信息有关的请求，请在邮件主题中注明「个人信息保护」，邮件将交由个人信息保护负责人处理。
• 运营者：智希可科技（广州）有限公司
• 注册地址：广州市南沙区南沙街广生路19号（自编1栋）4楼410室215A

我们会在验证身份后 15 个工作日内答复（适用 GDPR 的请求为 30 天内）。如果你对我们的答复不满意，或者认为我们的处理损害了你的合法权益，可以向网信、电信、公安、市场监管等主管部门投诉、举报，欧洲经济区、英国和瑞士的用户可以向当地数据保护监管机构投诉；你也可以向 被告住所地有管辖权的人民法院 提起诉讼。本政策的解释和适用以 中华人民共和国大陆地区法律 为准，但你所在地强制性法律赋予你的权利不受影响。