隱私政策

Lumi 由 智希可科技（廣州）有限公司（下稱「XicoAI」或「我們」）提供。你交給 Lumi 的，是日記、計劃、帳單、健康和人生目標，是一個人最私密的部分。我們把守護這些資訊當作產品的地基，而不是附加條款。本政策說明我們收集哪些個人資訊、為什麼收集、存放在哪裡、儲存多久、與誰共享、如何保護，以及你擁有哪些權利。

本政策與《個人信息收集清單》《第三方信息共享清單》《兒童個人信息保護》《Cookie 與本地存儲說明》共同構成我們完整的隱私說明；使用規則見《服務條款》，AI 功能的使用規則見《AI 服務條款》。涉及敏感個人資訊、向境外提供個人資訊以及與你權益密切相關的內容，我們以加粗提示，請你重點閱讀。

要點速覽

• 不賣資料，不做廣告。 我們不出售你的個人資訊；Lumi 中沒有廣告，也不做跨應用、跨網站的追蹤。
• 你的內容只為你所用。 你的日記、文件、AI 對話等內容儲存在我們位於日本東京的伺服器上，沒有另做應用層加密或端到端加密，而是由嚴格的訪問控制保護：我們的管理後台沒有任何檢視這些內容的介面。我們和模型服務商都不會用你的資料訓練任何 AI 模型。 郵件原文、收件箱後設資料和電子郵件信箱憑據使用你獨立的金鑰加密，見第 11 節。
• AI 由你授權。 你明確同意之前，雲端 AI 不會啟用；你可以按模組決定 Lumi 能讀取什麼，也可以讓某一篇日記或文件對 Lumi 不可見。
• 可選的基礎診斷，照片檔案不帶位置。 網頁版和 Apple 應用沒有第三方統計 SDK；基礎穩定性診斷預設關閉，由你在設定中選擇開啟。Lumi 從不在後台獲取你的位置，只儲存你親自新增的地點；照片和影片檔案中的位置資訊在儲存前都會被去除。
• 如實告訴你資料在哪裡。 Lumi 目前的伺服器位於日本東京。如果你在中國大陸使用 Lumi，你的個人資訊會因此出境：在上傳你建立的任何內容之前，我們會單獨徵得你的同意。位於中國大陸的使用者的 AI 請求只由已備案的國內大模型 DeepSeek 處理，並經過關鍵詞內容過濾。中國區上線後，中國大陸使用者的資料將儲存在境內。
• 你始終掌控。 你可以隨時免費匯出全部資料，更正或刪除任何內容，或者註銷帳號。

1. 我們是誰

Lumi 的運營者，即你的個人資訊處理者，為 智希可科技（廣州）有限公司，註冊地址：廣州市南沙區南沙街廣生路19號（自編1棟）4樓410室215A。對於歐洲經濟區、英國和瑞士的使用者，我們是資料保護法意義上的「資料控制者」。

我們設有個人資訊保護負責人。你可以傳送郵件至 support@xicoai.com 聯絡我們；與個人資訊有關的請求，請在郵件主題中註明「個人資訊保護」，郵件將直接交由個人資訊保護負責人處理。

2. 適用範圍

本政策適用於我們以 Lumi 品牌提供的以下產品和服務（統稱「Lumi」）：

• Lumi 官方網站 lumi.xicoai.com（下稱「官網」）；
• Lumi 網頁版（/app/），目前處於搶先體驗階段；
• Lumi 的 iPhone、iPad 和 Mac 應用（正在開發中，即將登陸 App Store）；
• 與上述產品相關的服務，例如驗證碼與通知郵件、客戶支援。

本政策不適用於你通過 Lumi 連線或跳轉到的第三方服務，例如 Apple、Google、Microsoft、微信、QQ 的帳號與服務，以及各支付渠道。它們按各自的隱私政策處理你的資訊，建議你一併閱讀。Lumi 以後支援的其他平台（如 Windows、Android）同樣適用本政策；如有平台特有的處理方式，我們會在上線前更新本政策。

3. 我們收集的個人資訊

我們只收集實現功能所必需的資訊。下面按類別說明；逐項、逐功能的完整列表見《個人信息收集清單》。

3.1 帳號資訊

你可以使用 Apple、Google、微信、QQ 登入，也可以使用電子郵件信箱驗證碼、手機號驗證碼（目前僅支援 +86 號碼）或密碼登入。根據你選擇的方式，我們會收集：

• 電子郵件信箱地址、手機號、暱稱，以及你選擇上傳的頭像；
• 第三方帳號標識，例如 Apple 使用者標識、Google 帳號 ID、微信和 QQ 的 unionid / openid，以及用於在設定中區分登入方式的脫敏標籤（如脫敏後的電子郵件信箱）；
• 如果你設定了密碼，我們只儲存經 scrypt 演算法加鹽處理後的雜湊值，任何人（包括我們）都無法從中還原你的密碼；
• 你的資料區域（見第 9 節）。

使用第三方登入時，我們只接收登入所必需的資訊，例如 Google 帳號的姓名、電子郵件信箱和頭像。如果你在使用 Apple 登入時選擇隱藏郵件地址，我們只會收到 Apple 提供的中轉電子郵件信箱。使用「通過 Apple 登入」時，我們還會儲存 Apple 簽發的授權令牌（以你獨立的金鑰加密，見第 11 節），它只用於在你註銷帳號或移除這一登入方式時，向 Apple 撤銷 Lumi 的授權。

3.2 你在 Lumi 中建立的內容

這是 Lumi 的核心：你主動寫下、記錄或上傳的一切，包括：

• 待辦與日曆：任務、清單、子任務、提醒、日程、參與人和會議連結；
• 日記：正文、心情、標籤、照片等附件，以及你親自為日記新增的地點（地點名稱或位置座標；照片檔案中的位置資訊會在儲存前去除，見第 5.3 節）；
• 文件：頁面內容和圖片、檔案等附件；
• 帳本：帳戶、交易、預算、分類、商戶、備註和你新增的小票照片；
• 習慣：習慣設定、打卡記錄，以及打卡時寫下的感想和照片；
• 人生與成長：生日、預期壽命、人生目標、人生藍圖、成長規劃、復盤、倒數日和時間膠囊（即將推出）；
• 與 Lumi 的對話：你的提問、Lumi 的回答，以及 Lumi 為你生成的簡報、規劃書和洞察。

我們處理這些內容，是為了在你的裝置之間儲存和同步它們，並提供你所使用的功能。你的內容中可能包含他人的資訊（例如日記裡提到的朋友），請在尊重他人的前提下記錄。

3.3 整合與匯入

只有在你主動連線時，Lumi 才會訪問以下服務：

• Google 日曆：經 Google 授權後讀取和寫入你的日曆列表與日程（詳見第 14 節）；
• Microsoft Outlook 日曆與 Microsoft To Do：經 Microsoft 授權後讀取和寫入你的日程、任務清單與任務；
• Apple 日曆與提醒事項：在 iPhone、iPad 和 Mac 上經系統授權後直接讀寫，並把日程與提醒同步到你的 Lumi 帳號，以便在網頁版和其他裝置上檢視；通過 iCloud App 專用密碼在伺服器端同步 iCloud 日曆的方式即將推出；
• Apple 健康：見第 5.1 節；
• 日記建議：通過 Apple 系統提供的「日記建議」選擇器，Lumi 只會收到你選中的那一條建議，無需相簿等許可權；
• 帳單與資料匯入：你從支付寶、微信匯出的帳單檔案，或從其他記帳、待辦應用匯出的 CSV、Excel 等檔案。帳單檔案在你的裝置上解析，原始檔案不會上傳；只有你核對並確認匯入的記錄會儲存到帳本。

以下斷開規則適用於日曆與待辦整合；電子郵件信箱斷開規則見第 14 節。 Google 和 Microsoft 的授權憑據（重新整理令牌）以及 iCloud App 專用密碼，在伺服器上以你獨立的金鑰加密儲存（見第 11 節），只能由伺服器用於同步。你可以隨時在設定中斷開整合，或在 Google、Microsoft 的帳號設定中撤銷授權。斷開後，我們會撤銷 Google 的授權令牌、刪除 Microsoft 的授權令牌，並刪除該整合的同步資料；你可以選擇保留已經匯入 Lumi 的內容。

電子郵件信箱連線和你主動轉發給 Lumi 的郵件沿用同一收件箱與確認流程。可連線的服務以設定頁實際顯示為準；電子郵件信箱連線與登入分別授權。Gmail 的讀取、AI 處理、保留和刪除規則見第 14 節；其他電子郵件信箱與轉發郵件適用相同的郵件處理規則。

3.4 使用 AI 時的資訊

當你使用 Lumi 的 AI 功能時，我們會處理：你的提問與指令、完成任務所需的內容（僅限你授權的模組）、AI 生成的結果、Lumi 為你整理的記憶、「Lumi 活動記錄」，以及每次呼叫所用的模型、Token 用量和所屬功能等計量資訊。你對回答的反饋（例如「有用」「沒用」）也會被記錄，用於改進回答品質。詳見第 6 節。

3.5 購買與訂閱資訊

當你購買會員或 Token 加油包時，我們會處理：商品、價格、幣種、購買渠道、訂單或交易編號、購買時間、訂閱與試用狀態、續訂和到期時間、退款記錄，以及 Token 錢包的餘額與流水。

付款由 Apple（App 內購買）或 Stripe 完成；網頁版的微信支付和支付寶尚未開通，開通後同樣由其完成付款。我們不會獲取或儲存你的完整銀行卡號、支付密碼等支付憑據。 通過 App Store 購買時，我們從 Apple 獲得交易資訊，不會獲得你 Apple 帳戶的付款資訊。

3.6 裝置與日誌資訊

為了讓 Lumi 在你的裝置上正常、安全地執行，我們會收集：

• 裝置資訊：裝置平台和型號、作業系統版本、Lumi 版本、時區、語言，以及用於傳送通知的推送令牌。Lumi 會為每台登入的裝置生成一個裝置標識，用於同步和裝置管理；
• 安全記錄：登入、新裝置登入、修改密碼、繫結或解綁登入方式、匯出資料、申請註銷等事件。安全記錄中的 IP 地址和瀏覽器、裝置型別（User-Agent）只以加鹽雜湊的形式儲存。 你可以在「設定 → 帳號與安全」中檢視最近 90 天的記錄；安全記錄在約 13 個月後刪除；
• 伺服器訪問日誌：請求時間、截斷後的 IP 地址（IPv4 只保留前 24 位，IPv6 只保留前 48 位）、訪問路徑、響應狀態，用於安全防護和故障排查。訪問日誌不記錄完整 IP、瀏覽器型別（User-Agent）和網址中的查詢引數，14 天後刪除。 伺服器錯誤日誌可能包含出錯請求的完整 IP 地址，同樣在 14 天後刪除；
• 應用日誌：伺服器程式的執行日誌，用於排查故障，永遠不包含你的內容。

3.7 使用情況與診斷資訊

網頁版和 Apple 應用沒有接入第三方產品分析或崩潰報告 SDK。 我們在自己的伺服器上記錄以下不含內容的使用資訊，並提供預設關閉的基礎穩定性診斷：

• 活躍記錄：你的帳號在某一天使用過 Lumi，伺服器就記錄一條「當天活躍」（每個帳號每天最多一條，按協調世界時計日），用於統計每日活躍使用者和留存。它不記錄你做了什麼；

• AI 用量計量：每次 AI 呼叫的功能、模型、Token 數、耗時和結果狀態，用於 Token 計費、向你展示用量和核算成本。它不記錄你的提問或 AI 的回答。

• 基礎穩定性診斷（可選）：你在網頁版設定的「分享基礎診斷」或 Apple 應用設定的「幫助改進穩定性」中開啟後，登入狀態下僅向 Lumi 傳送應用版本、平台、模組和錯誤類別，用於發現故障。Apple 應用使用系統 MetricKit 判斷是否出現崩潰、卡頓或資源異常，不上傳原始報告。診斷不包含日記、任務、聊天、金額、錯誤文本、呼叫棧或網址；未登入時不上傳，你可以隨時關閉。診斷寫入我們的應用日誌，相關認證訪問日誌仍可能記錄帳號標識。

如果以後引入第三方統計或崩潰報告服務，我們會先更新本政策和《第三方信息共享清單》並公告，再取得所需授權。

3.8 你與我們的溝通

當你通過郵件或 App 內反饋聯絡我們時，我們會處理你的聯絡方式、你描述的問題，以及你選擇附上的截圖和診斷資訊。反饋是我們的工作人員能看到你內容的唯一途徑：只有你主動放進反饋裡的內容，我們才看得到。

3.9 官網

瀏覽官網時，我們不使用 Cookie，不使用任何統計分析工具，不載入第三方指令碼，字型也由我們自行託管。官網只會在你的瀏覽器中儲存你選擇的價格幣種，這一資訊不會發送給我們。和所有網站一樣，官網伺服器會產生第 3.6 節所述的訪問日誌。詳見《Cookie 與本地存儲說明》。

3.10 我們不做的事

• 不使用廣告識別符號（如 IDFA），不做跨應用或跨網站追蹤，不接入任何廣告 SDK；
• 不在後台獲取你的位置，只在你親自新增地點時儲存（見第 5.3 節）；
• 不在伺服器上掃描你的相簿，只處理你主動選擇的照片，並在儲存前去除照片檔案中的位置資訊；
• 不接入產品分析、崩潰統計或其他第三方統計 SDK；
• 不利用你的個人資訊進行不合理的差別定價。

4. 我們如何使用個人資訊，以及法律依據

在中國大陸，我們依據《個人信息保護法》第十三條規定的情形處理個人資訊；表中的「正當利益」僅適用於 GDPR 等承認這一依據的法律，在其他地區，我們以你的同意或法律規定的其他依據為準。

我們還承諾：

• 不將你的資訊用於本政策未載明的目的。 如需用於新的目的，我們會事先告知並徵得你的同意。
• 不僅憑自動化決策作出對你有重大影響的決定。 Lumi 會根據你的資料給出建議、規劃和提醒，但修改你資料的操作都遵循第 6.7 節的確認規則。你可以在設定中把 Lumi 主動提醒的次數調為 0，或關閉相關模組的 AI 讀取許可權。
• 不傳送商業營銷資訊，除非你另行同意。 服務通知（例如續費提醒、安全提醒）不屬於營銷資訊。

根據法律規定，在以下情形中處理你的個人資訊無需徵得你的同意：為訂立、履行你作為一方當事人的合同所必需；為履行法定職責或者法定義務所必需；為應對突發公共衛生事件，或者緊急情況下為保護自然人的生命健康和財產安全所必需；為公共利益實施新聞報道、輿論監督等行為，在合理的範圍內處理個人資訊；在合理的範圍內處理你自行公開或者其他已經合法公開的個人資訊；以及法律、行政法規規定的其他情形。

5. 敏感個人資訊

敏感個人資訊一旦洩露或者被非法使用，容易導致你的人格尊嚴受到侵害或者人身、財產安全受到危害。Lumi 可能處理的敏感個人資訊包括財務帳戶與交易資訊、手機號、你親自為日記新增的位置座標，以及 Apple 健康功能推出後你授權讀取的健康資料；你在日記、文件和對話中寫下的內容也可能涉及醫療健康、宗教信仰等敏感資訊。

對於讀取和上傳健康資料、將健康資料提供給 AI，我們會在處理前告知必要性和對你的影響，並單獨徵得你的同意。位置座標只在你親自新增時儲存（見第 5.3 節）。你拒絕時，只是對應功能不可用，不影響其他功能。

5.1 健康資料（Apple 健康）

Apple 健康功能將隨 iPhone、iPad 應用推出；目前的 Lumi 不讀取任何健康資料。推出後，我們按以下規則處理：

• 在哪裡讀取：僅在 iPhone 和 iPad 上，經你在系統中授權後讀取；你可以只授權其中一部分型別。Mac 無法讀取健康資料，Mac 和網頁版只顯示已同步的健康彙總。
• 讀取的型別：步數、步行與跑步距離、活動能量、鍛鍊分鐘數、站立小時數、睡眠、靜息心率、心率變異性、體重、正念分鐘數、體能訓練和心理狀態。你在 Lumi 中記錄心情時，也可以選擇把它寫入「健康」App。
• 用途：只用於健康相關功能，例如習慣自動打卡、目標進度、復盤，以及你開啟後的 AI 健康洞察。
• 上傳與同步：只有在你單獨同意後，我們才會把每日彙總和體能訓練摘要（不含運動路線）上傳到伺服器。健康資料不會儲存到 iCloud，不會用於廣告、營銷或資料探勘，也不會被出售。
• 與 AI：只有在你另行單獨同意後，健康資料才會傳送給模型服務商，並且優先發送每日彙總，而不是明細。
• 撤回：你可以在 iOS「設定 → 隱私與安全性 → 健康」中關閉 Lumi 的讀取許可權，也可以在 Lumi 中關閉健康資料的上傳或 AI 授權，並選擇同時刪除已上傳的健康彙總。

5.2 財務資訊

• 帳本中的帳戶、交易和預算由你手動記錄，或從你匯出的帳單檔案匯入。Lumi 不連線你的銀行帳戶，也不會獲取你的銀行、支付帳戶的登入憑據。
• 匯入支付寶、微信等帳單時，帳單檔案在你的裝置上解析，原始檔案不會上傳；匯入前，Lumi 會列出將要匯入的記錄，由你核對並確認。
• 金額永遠不會進入日誌；傳送給 AI 前，銀行卡號、證件號等標識會被脫敏。
• 你可以開啟帳本的「隱私模式」，在公共場合隱藏所有金額。

5.3 位置資訊

Lumi 從不在後台獲取你的位置。只有在你親自新增時，Lumi 才會為日記儲存地點，方式有三種：

• 填寫地點名稱：例如輸入「上海」「家」；
• 使用當前位置（網頁版）：在日記的「地點」中點按「使用當前位置」，Lumi 會通過瀏覽器獲取一次你當前的位置座標（經緯度）。第一次使用時，瀏覽器會先請求你的授權；你拒絕時，仍然可以手動填寫地點名稱；
• 保留照片中的地點（網頁版）：這項設定預設關閉。你在日記的照片選單中開啟後，新增照片時，Lumi 會讀取照片自帶的拍攝地點座標，把它作為這張照片的單獨欄位儲存；如果這篇日記還沒有地點，也會成為日記的地點。

地點作為日記的一個單獨欄位儲存，你可以隨時修改或刪除。無論是否開啟上述設定，照片和影片檔案本身都不會保留位置資訊： 網頁版會先在瀏覽器中重新編碼照片，去除其中的全部後設資料；伺服器還會對每一張上傳的圖片和每一段上傳的影片再去除一次位置後設資料，包括 JPEG、HEIC / HEIF、AVIF、PNG 和 WebP 圖片中 EXIF 和 XMP 裡的 GPS 資料，以及 MP4、MOV 影片中的位置資訊（GIF 格式本身不含位置後設資料）。

iPhone、iPad 和 Mac 應用目前不請求位置許可權，日記中的地點是你輸入的地點名稱。你可以隨時在瀏覽器設定中撤回網頁版的位置授權。

5.4 手機號

手機號用於登入、找回帳號和安全驗證。我們按敏感個人資訊的標準保護它：日誌中不出現明文，傳送給 AI 前會被脫敏。

5.5 你寫下的私密內容

日記、文件和對話中可能包含你的健康狀況、情緒、宗教信仰、人際關係等高度私密的資訊。我們的管理後台沒有任何檢視這些內容的介面，它們也永遠不會出現在日誌中（見第 11 節）。Lumi 的記憶功能不會自動記住健康狀況、宗教、政治觀點、性取向、財務帳號等敏感類別，除非你明確要求。

6. AI 功能如何處理你的資訊

6.1 先說明，再啟用

首次使用雲端 AI 前，Lumi 會展示獨立的授權說明頁，告訴你：Lumi 會讀取哪些資料、會發送給哪些模型服務商、用於什麼目的，以及服務商不會用這些資料訓練模型。在你明確同意之前，雲端 AI 不會啟用。 你可以隨時在 Lumi 的設定中撤回雲端 AI 授權，撤回後 Lumi 會立即停止向模型服務商傳送你的資料。

AI 功能僅面向年滿 18 週歲（或當地法律規定的更高年齡）的使用者。

6.2 按模組控制

同意之後，Lumi 預設可以讀取日記、文件、待辦、日曆、帳本、習慣、目標與規劃這 7 個模組，你可以在「設定 → Lumi」中逐一關閉。健康資料按第 5.1 節另行授權；郵件的 AI 讀取許可權需要單獨開啟，連線電子郵件信箱本身不會開啟 AI。此外：

• 任何一篇日記或文件都可以標記為「不讓 Lumi 讀取」；
• 未授權的模組和被你排除的條目在檢索階段就會被過濾，不會進入傳送給模型的內容。

6.3 傳送給模型的內容

每次請求，Lumi 只發送完成這項任務所需的最少資訊，通常包括：你的提問、當前頁面的相關內容、從授權模組中檢索出的相關片段、相關的記憶，以及一份根據你授權的資料生成的「人生快照」摘要（例如稱呼、目標、近期的心情與習慣概況）。手機號、電子郵件信箱、證件號和銀行卡號在傳送前會被脫敏。 與你的資料有關的數字（例如「10 月餐飲花了多少」）由確定性的程式計算，模型只負責解釋。

為了支援語義檢索，Lumi 會把你授權的內容轉換為向量（一種數學表示）。海外區的向量在我們自己的伺服器上生成；中國區可能使用阿里雲百鍊的向量服務。

語音輸入和聯網檢索尚未推出。推出前，我們會在本政策中說明錄音和檢索詞會交給哪些服務處理。

6.4 模型服務商與處理地點

Lumi 通過我們自建的模型閘道器呼叫下列服務商。具體使用哪一家，取決於你的資料區域、所在地區、所選模型和任務型別；授權說明頁會列出你可能用到的服務商。

請注意：即使你是海外區使用者，由 DeepSeek 處理的請求也會在中國境內處理。 會員可以在對話中指定偏好的模型。位於中國大陸的使用者的 AI 請求只由 DeepSeek 處理，見第 6.9 節。

如果沒有可用的模型服務商，相關 AI 功能會暫停或隱藏，Lumi 不會用模擬或預設的內容冒充 AI 的回答。

6.5 不訓練，最短留存

我們不會用你的資料訓練任何模型。 我們與模型服務商約定的資料處理條款要求：不得將你的資料用於訓練，並按最短期限留存。服務商可能依其條款為防範濫用而短期儲存請求記錄。

每次 AI 呼叫，我們只記錄功能、模型、Token 數、耗時和結果狀態等計量資訊，用於計費和排查品質與成本問題，不記錄提問和回答的內容。你與 Lumi 的對話作為你的內容儲存在你的帳號中，由你檢視和刪除。

6.6 記憶

為了真正瞭解你，Lumi 會從對話、日記和規劃訪談中整理出「記憶」，例如你的職業、偏好和目標。

• 每條記憶都標明來源，你可以在「Lumi 的記憶」中檢視、編輯和刪除；在對話中說「忘記這個」即可刪除，對應的向量也會同步刪除；
• 不確定的記憶會先進入「待確認」，由你確認後才生效；
• 健康狀況、宗教、政治觀點、性取向、財務帳號等敏感類別不會被自動記住，除非你明確要求；
• 「Lumi 活動記錄」完整記錄 Lumi 讀取了什麼、做了什麼、建立了什麼。

6.7 行動由你決定

Lumi 可以替你建立或修改資料，但會先給出提議。只有在你開啟「自動執行低風險操作」後，可撤銷的單個操作（例如新建一個任務）才會直接執行，並提供「撤銷」。批次或結構性的修改、影響他人或外部系統的操作（例如給日程參與人傳送更新），以及刪除等不可撤銷的操作，始終需要你確認；刪除的內容會先進入「最近刪除」，保留 30 天。

6.8 安全與標識

• AI 生成內容的標識：在 Lumi 中，AI 的回答以光球標識，對話中的回答預設標註「AI 生成」。你匯出資料時，匯出包中由 AI 生成的內容——Lumi 在對話中的回答、簡報、洞察、日記與復盤的 AI 摘要、成長規劃的分析和生成的計劃文字，以及 Lumi 為你整理的記憶——在 Markdown 檔案中帶有「AI 生成」的顯式標識，在 JSON 檔案中帶有 ai_generated 標記；匯出包還附有註明服務提供者的後設資料。我們依據《人工智能生成合成內容標識辦法》作出上述標識。
• 識別到自傷等危機訊號時，Lumi 會以固定的關懷模板回應，並提供當地求助渠道。我們只記錄「觸發了危機關懷」這一事件，不記錄對話內容。
• Lumi 不提供醫療診斷、具體投資建議或法律意見。AI 生成的文字可能出錯，重要決定請自行核實。

6.9 中國大陸使用者

Lumi 的 AI 功能向位於中國大陸的使用者開放。 對位於中國大陸的使用者，AI 請求只由已完成備案的國內大模型 DeepSeek 處理（在中國境內處理），不會發送給 OpenAI 或 Anthropic。AI 的輸入和輸出會經過關鍵詞內容過濾，被判定為違規的請求或回答會被攔截或停止生成；過濾只記錄事件，不記錄內容或命中的詞。

Lumi 根據你的裝置報告給 Lumi 的國家或地區以及時區，判斷你是否位於中國大陸，不使用 GPS 定位，也不依據 IP 地址。

我們正在辦理生成式人工智慧服務的登記及相關備案，完成後會公示所用模型的名稱及登記、備案資訊，並更新本政策。

7. Cookie 與本地儲存

官網不使用 Cookie，只在瀏覽器中儲存你選擇的價格幣種。網頁版使用瀏覽器儲存（IndexedDB 和 localStorage）儲存登入狀態和資料的離線副本，登入過程中可能使用嚴格必要的 Cookie；你選擇使用 Google、Apple 等第三方登入時，它們會在自己的域名下設定 Cookie。我們不使用廣告 Cookie，也不做跨網站追蹤。詳見《Cookie 與本地存儲說明》。

8. 我們如何共享、轉讓和公開披露個人資訊

8.1 我們不出售個人資訊

我們不會出售或出租你的個人資訊，不會與廣告商共享，也不會為了營銷與其他公司共享。

8.2 委託處理

為提供服務，我們會委託以下類別的服務商處理個人資訊：雲服務（目前為位於日本東京的 AWS）、AI 模型服務、簡訊和郵件傳送，以及支付。我們沒有使用第三方崩潰報告或使用統計服務；可選基礎診斷由 Lumi 自己接收。我們與它們簽訂協議，要求其只按我們的指示、為本政策所述目的處理個人資訊，採取必要的安全措施，並在委託結束後刪除或返還個人資訊。完整名單、共享的資訊和處理地點見《第三方信息共享清單》。

8.3 你選擇連線或使用的第三方

當你使用 Apple、Google、微信或 QQ 登入，連線 Google 或 Microsoft 的日曆與待辦，或者通過 Apple、Stripe、微信支付、支付寶付款時，我們會與這些服務交換完成相應功能所必需的資訊。它們作為獨立的個人資訊處理者，按各自的隱私政策處理你的資訊。

當你為有參與人的日程儲存修改時，參與人會通過對應的日曆服務收到更新；這類操作在傳送前都會請你確認。

8.4 你主動分享的內容

Lumi 生成的分享卡片和匯出檔案，只有在你主動選擇分享或儲存時才會離開 Lumi，接收方由你決定。分享卡片可以隱藏金額、體重等敏感數字。

8.5 依法披露

只有在法律法規要求、訴訟或爭議解決需要，或行政、司法機關依法提出要求時，我們才會披露相關個人資訊。我們會審查要求的法律依據，只提供必要範圍內的資訊，並在法律允許時通知你。

8.6 合併、收購與轉移

如因合併、分立、解散、被宣告破產等原因需要轉移個人資訊，我們會向你告知接收方的名稱和聯絡方式，並要求接收方繼續履行本政策規定的義務；接收方變更原先的處理目的或處理方式的，應當重新徵得你的同意。

8.7 公開披露

除非取得你的單獨同意，或法律法規另有規定，我們不會公開披露你的個人資訊。

9. 資料儲存地點與跨境傳輸

9.1 目前的儲存地點

目前 Lumi 只有一套生產環境：伺服器執行在 Amazon Web Services（AWS Lightsail）位於日本東京的資料中心。你的內容——日記、文件、待辦、日曆、帳本、習慣、目標、AI 對話與記憶，以及附件——儲存在這些伺服器上的資料庫和檔案儲存中。 資料庫、附件檔案和反饋截圖定期備份到生產伺服器本地，由訪問控制保護並按輪換策略保留。Amazon S3 異地備份尚未啟用；同機備份不能覆蓋整台伺服器損壞的情況。這套環境即 Lumi 的「海外區」。

9.2 資料區域

註冊時，Lumi 會根據你的 App Store 地區或系統地區選擇資料區域，你也可以在登入頁切換；註冊後，資料區域不會自動變更。中國區（使用位於中國境內的阿里雲端儲存資料，只使用已在中國完成備案的模型）正在籌備中；中國區上線前，所有帳號都屬於海外區。

9.3 中國大陸使用者：向境外提供個人資訊

如果你在中國大陸使用 Lumi，在中國區上線之前，你的帳號資訊以及你在 Lumi 中建立和同步的全部內容，都將儲存在日本東京的伺服器上，這屬於向中華人民共和國境外提供個人資訊。在上傳你建立的任何內容之前，我們會就此單獨徵得你的同意。

Lumi 判斷你是否位於中國大陸的方式與第 6.9 節相同：依據你的裝置報告給 Lumi 的國家或地區以及時區。對於位於中國大陸的使用者：

• 你首次登入時，Lumi 會先展示一個單獨的出境同意頁，說明下表列出的事項；在這項說明推出前已經註冊的帳號，會在下次開啟 Lumi 時看到它。
• 在你同意之前，你在 Lumi 中建立的任何內容都不會上傳；伺服器上只有登入所必需的帳號資訊。
• 如果你不同意，你可以不使用帳號，繼續在這台裝置上使用 Lumi（資料只儲存在本機），也可以退出登入。
• 同意之後，你可以隨時撤回：在設定中註銷帳號（見第 12.5 節），或傳送郵件至 support@xicoai.com。撤回後，我們會停止同步，並按註銷流程刪除伺服器上的資料（見第 10 節和《註銷賬號》）。

我們會依法開展個人資訊保護影響評估，採取加密傳輸、訪問控制等措施保障出境資料的安全，並按法律規定的條件開展資料出境活動。中國區上線後，中國大陸使用者的個人資訊將儲存在中國境內；對於此前在海外區註冊的帳號，我們會提前通知遷移安排，並依法徵得你的同意。

9.4 其他國家和地區的使用者

海外區的資料儲存在日本。在以下情況下，你的資訊還會在其他國家或地區處理：由 OpenAI、Anthropic 處理的 AI 請求（主要在美國）；由 DeepSeek 處理的 AI 請求（中國境內）；通過 Stripe 完成的付款；以及《第三方信息共享清單》列出的其他服務商。

對於來自歐洲經濟區、英國和瑞士的個人資料：日本已獲得歐盟委員會的充分性認定；向其他未獲充分性認定的國家或地區傳輸時，我們會在法律要求時採用歐盟委員會批准的標準合同條款（SCC）或其他合法的傳輸機制。

10. 儲存期限

我們只在實現本政策所述目的所必需的最短期限內儲存你的個人資訊，法律法規另有規定的除外。

超過儲存期限後，我們會刪除或匿名化處理你的個人資訊；從技術上難以立即刪除的（例如尚未過期的備份），我們會停止除儲存和採取必要安全保護措施之外的處理。

如果 Lumi 停止運營，我們會停止收集個人資訊，以逐一通知或公告的形式告知你，給你留出匯出資料的時間，並在此後刪除或匿名化處理你的個人資訊。

11. 我們如何保護你的資訊

• 傳輸加密：全部連線使用 HTTPS（TLS 1.2 / 1.3），並啟用 HSTS。
• 內容的儲存：你的內容（日記、文件、待辦、日曆、帳本、習慣、目標、AI 對話與記憶，以及附件）儲存在我們位於日本東京（AWS）的伺服器的資料庫和檔案儲存中。這些內容沒有在應用層另行加密，也沒有使用端到端加密，由下文所述的訪問控制保護。
• 郵件儲存: 郵件原文（包含其中的附件）和收件箱後設資料以每位使用者獨立的金鑰加密儲存；電子郵件信箱 OAuth 令牌和 IMAP 授權碼 / App 專用密碼同樣加密。伺服器為提供功能時解密，未使用端到端加密。確認卡片、儲存的記錄和單獨儲存的附件副本沿用上述常規內容儲存。
• 備份：資料庫、附件檔案和反饋截圖定期備份到生產伺服器本地，由訪問控制保護並按輪換策略保留。Amazon S3 異地備份尚未啟用；同機備份不能覆蓋整台伺服器損壞的情況。
• 憑據加密：第三方授權憑據——Google 和 Microsoft 日曆的授權令牌、iCloud App 專用密碼，以及「通過 Apple 登入」的令牌——使用每位使用者獨立的金鑰以 AES-256-GCM 加密儲存（信封加密），用於保護這些金鑰的主金鑰存放在資料庫之外；註銷帳號時，你的這把金鑰隨之銷燬。密碼只以加鹽的 scrypt 雜湊儲存；管理員的兩步驗證金鑰同樣加密儲存。
• 員工訪問：管理後台沒有任何檢視使用者內容（日記、文件、任務、交易、AI 對話）的介面，也沒有「以使用者身份登入」的功能。工作人員只能看到帳號資訊、訂閱與帳單資訊、用量計數，以及你主動發給我們的反饋。後台必須使用兩步驗證登入，工作人員的每一次操作都記入審計日誌。能直接訪問伺服器和資料庫的，僅限少數經授權的工程師，並使用金鑰登入。
• 帳號保護：驗證碼與登入限流、異常登入防護、新裝置登入提醒；你可以在裝置列表中遠端退出任一裝置。
• 裝置端保護：在 Apple 應用中，你可以為日記本上鎖，開啟時需要面容 ID、觸控 ID 或裝置密碼驗證；在網頁版中退出登入時，這台瀏覽器上的本地資料會被刪除。
• 日誌最小化：伺服器訪問日誌只儲存截斷後的 IP 地址，不記錄 User-Agent 和查詢引數，14 天後刪除；安全記錄中的 IP 地址和 User-Agent 只以加鹽雜湊儲存。應用日誌中不包含你的內容，也不出現電子郵件信箱、手機號、驗證碼和令牌的明文。
• 持續檢驗：上線前以及此後每年進行第三方滲透測試；對 AI 處理和敏感個人資訊處理開展個人資訊保護影響評估。

如果發生個人資訊洩露等安全事件，我們會立即採取措施止損並調查，按法律要求向主管部門報告（適用 GDPR 時，在 72 小時內通知監管機構），並通過 App 內通知、郵件或簡訊等方式告知受影響的你：事件情況、可能的影響、我們已採取的措施，以及你可以採取的防範措施。

沒有任何系統是絕對安全的。請妥善保管你的登入方式，不要向任何人透露驗證碼；如發現帳號異常，請立即聯絡我們。更多資訊見安全頁面。

12. 你的權利

12.1 查閱與複製

你可以隨時在 Lumi 中檢視你的全部內容。在網頁版的「設定 → 隱私與資料 → 匯出全部資料」或 Apple 應用的「設定 → 帳號與安全 → 匯出我的資料」中，你可以免費匯出你的資料：結構化資料為 JSON，日記與文件為 Markdown，帳本流水為 CSV，打包為一個 zip 檔案，生成後 24 小時內可以下載。照片等附件檔案目前不包含在匯出包中，Markdown 中以連結標註。匯出包中由 AI 生成的內容帶有標識（見第 6.8 節）。

12.2 更正與補充

你在 Lumi 中的所有內容和帳號資料都可以直接編輯。Lumi 的記憶也可以編輯或刪除。

12.3 刪除

你可以隨時刪除任何內容。出現以下情形時，你也可以要求我們刪除你的個人資訊：處理目的已實現、無法實現或不再必要；我們停止提供服務或儲存期限已屆滿；你撤回了同意；我們違反法律法規或與你的約定處理個人資訊。

12.4 撤回同意

你可以隨時撤回同意，撤回後相關處理立即停止，但不影響撤回前基於同意已進行的處理：

• 雲端 AI：在 Lumi 的設定中撤回雲端 AI 授權；按模組：「設定 → Lumi」；
• 健康資料（隨 iPhone、iPad 應用推出）：iOS「設定 → 隱私與安全性 → 健康」，或在 Lumi 中關閉上傳與 AI 授權，並可選擇刪除已上傳的資料；
• 位置、通知、日曆、提醒事項等許可權：在系統或瀏覽器設定中關閉；「保留照片中的地點」：在日記的照片選單中關閉；
• 整合：在設定中斷開；
• 中國大陸使用者的個人資訊出境：見第 9.3 節。

12.5 註銷帳號

你可以在 Apple 應用的「設定 → 帳號與安全 → 註銷帳戶」中註銷帳號，或在網頁版（/app/）的「設定 → 隱私與資料 → 註銷帳號」中操作。註銷有 7 天冷靜期，在此期間重新登入即可撤銷註銷、恢復帳號。冷靜期滿後，我們會刪除與你帳號有關的全部資料庫記錄、附件檔案、資料匯出檔案和反饋截圖，且無法恢復；同時撤銷你連線的日曆整合的授權（Google 的授權在 Google 處撤銷，Microsoft 的令牌直接刪除），並在 Apple 處撤銷 Lumi 的「通過 Apple 登入」授權。本地備份中的資料會隨對應備份輪換到期刪除。剩餘的會員時長和已購 Token 將作廢，法律另有規定的除外。註銷帳號不會取消 App Store 訂閱，請在 Apple 的訂閱設定中取消。 詳見《註銷賬號》。

12.6 轉移

匯出的資料採用通用格式，便於你帶到其他服務。符合國家網信部門規定條件的，你可以請求我們將你的個人資訊轉移至你指定的個人資訊處理者。

12.7 獲得解釋

你有權要求我們解釋本政策所述的個人資訊處理規則。

12.8 已故使用者

使用者去世後，其近親屬為了自身的合法、正當利益，可以對死者的相關個人資訊行使本節規定的查閱、複製、更正、刪除等權利，死者生前另有安排的除外。

12.9 如何提出請求

大部分權利可以直接在 App 內行使。你也可以傳送郵件至 support@xicoai.com（主題註明「個人資訊保護」）。為保護你的帳號安全，我們會先驗證你的身份，例如請你通過已繫結的電子郵件信箱傳送請求或登入後確認。我們會在驗證身份後 15 個工作日內答覆；適用 GDPR 的請求，我們會在 30 天內答覆，情況複雜時可依法延長，並告知你原因。

我們原則上免費處理你的請求。對於無端重複、明顯濫用權利、會損害他人合法權益，或者與國家安全、公共安全、刑事偵查等直接相關的請求，我們可能依法拒絕，並說明理由和你可以尋求的救濟途徑。

13. 未成年人的個人資訊

Lumi 不面向兒童。在中國大陸，你需要年滿 14 週歲才能註冊；在其他地區，需要年滿 13 週歲，當地法律要求更高年齡的（例如部分歐盟國家為 16 週歲），以當地法律為準。未滿 18 週歲的使用者應在監護人同意和指導下使用 Lumi；AI 功能僅面向年滿 18 週歲的使用者。 如果我們發現在未取得可證實的監護人同意的情況下收集了兒童的個人資訊，會盡快刪除。詳見《兒童個人信息保護》。

14. Google 使用者資料

Lumi 對從 Google API 獲得的資訊的使用，以及向任何其他應用的傳輸，都將遵守《Google API 服務用戶數據政策》，包括其中的「有限使用」要求。 原文如下：

“Lumi’s use and transfer to any other app of information received from Google APIs will adhere to the Google API Services User Data Policy, including the Limited Use requirements.”

政策全文見 Google API Services User Data Policy。

我們訪問的 Google 資料。 使用 Google 登入時，我們獲得你的 Google 帳號 ID、姓名、電子郵件信箱和頭像。連線 Google 日曆時，我們讀取你的日曆列表，並讀取、建立、修改和刪除日程。

我們如何使用。 連線的 Google 日曆資料只用於提供你開啟的日曆功能：在 Lumi 中顯示你的 Google 日曆日程、按你的要求建立或修改日程，並保持雙向同步。如果你為日曆模組開啟了 AI 讀取許可權，在你使用 AI 功能（例如「規劃我的一天」）時，相關日程可能傳送給第 6.4 節所列的模型服務商，僅用於生成你請求的結果，服務商不得將其用於訓練模型。

我們的承諾。 以下承諾也適用於 Google 使用者資料的衍生資料：

• 不用於廣告，包括個性化廣告、再營銷或基於興趣的廣告；
• 不出售；
• 不用於開發、改進或訓練任何 AI 或機器學習模型，無論是通用模型還是其他模型；
• 不會被任何人閱讀，除非事先取得你的明確許可、出於安全目的（例如調查濫用行為），或為遵守法律要求。

你也可以在 Google 帳號許可權頁面 撤銷 Lumi 的訪問許可權。

Gmail

Gmail 的只讀授權允許檢視郵件與設定；Lumi 實際只讀取 INBOX 郵件及電子郵件信箱地址，不修改 Gmail。 Lumi 讀取你的電子郵件信箱地址，以及收件箱（INBOX）中的發件人、主題、正文和附件，用於顯示郵件並整理待辦、日程和帳本記錄。首次讀取最近 7 天，之後補齊未同步的郵件。Lumi 不傳送郵件，不設定已讀標記，也不修改或刪除 Gmail 郵件。

授權憑據、郵件原文和收件箱後設資料在 Lumi 位於日本東京的伺服器上以你獨立的金鑰加密儲存。伺服器會為提供此功能解密；這不是端到端加密。原文通常在 Lumi 收取 7 天後清理，等待處理的郵件可能更久；收件箱歷史在收取 90 天後且原文已移除時清理。確認卡片、附件副本和你儲存的記錄沿用 Lumi 常規內容的儲存與保留規則。

連線 Gmail 不會開啟 AI 或自動信任發件人。只有你已同意雲端 AI，並單獨開啟郵件讀取許可權時，必要的郵件文字和圖片附件才可能交給隱私政策中列出的模型服務商進行識別。我們和服務商不會用這些資料或衍生資料訓練模型。整理出的記錄需要你確認。

你可以在設定中斷開電子郵件信箱，停止新郵件讀取並刪除儲存的憑據。已匯入的郵件和已儲存的記錄仍會保留；郵件可在 Lumi 收件箱中刪除，確認後的記錄需在對應模組刪除。這些操作不會刪除 Gmail 中的原郵件。

15. Apple 平台相關說明

• 通過 Apple 登入：我們獲得 Apple 使用者標識，以及你選擇共享的姓名和電子郵件信箱（或 Apple 提供的中轉電子郵件信箱）。你註銷 Lumi 帳號，或在「設定 → 帳號與安全」中移除「通過 Apple 登入」這一登入方式時，我們會在 Apple 處撤銷 Lumi 的授權。
• 健康資料：遵守第 5.1 節的規則；除你單獨同意提供給 AI 服務商外，不與任何第三方共享。
• 日記建議：系統選擇器只把你選中的建議交給 Lumi，Lumi 無法瀏覽你的相簿或位置記錄。
• App 內購買：付款和退款均由 Apple 處理，我們只獲得交易資訊。
• 小元件與 Spotlight：小元件會在主螢幕或鎖定螢幕上顯示你選擇的內容；Spotlight 只在裝置上索引任務、文件和日記的標題，不索引正文，你可以在 iOS 設定中關閉。
• 不追蹤：Lumi 不做 App Store 定義的「追蹤」，因此不會請求追蹤授權。App Store 中的隱私標籤與 Lumi 的實際行為一致，並在每次版本更新時複核。

16. 美國加利福尼亞州居民

本節在適用的範圍內補充說明《加州消費者隱私法》（CCPA，經 CPRA 修訂）要求披露的資訊。

我們收集的個人資訊類別。 在過去 12 個月及今後，我們收集以下類別，來源為你本人、你的裝置以及你連線的服務，用途見第 4 節：

• 識別符號：姓名、電子郵件信箱、手機號、帳號 ID、裝置標識、IP 地址；
• 客戶記錄與商業資訊：購買和訂閱記錄；
• 網際網路或其他電子網路活動資訊：每日活躍記錄、AI 用量計量、日誌；
• 地理位置資訊：你親自為日記新增的位置座標；
• 推斷資訊：Lumi 為你整理的記憶和人生快照，僅用於為你提供服務；
• 敏感個人資訊：帳號登入憑據、財務帳戶資訊、你親自新增的精確位置，以及你在 Lumi 中儲存的日記、文件和對話內容；Apple 健康功能推出後，還包括你授權讀取的健康資訊。

我們不出售或「共享」個人資訊。 我們不會出售你的個人資訊，也不會為跨情境行為廣告而「共享」個人資訊，過去 12 個月內也沒有這樣做；我們不知情地出售或共享 16 週歲以下消費者的個人資訊的情況也不存在。我們只將敏感個人資訊用於提供你所請求的服務、保障安全等法律允許的目的，因此無需提供「限制使用敏感個人資訊」的選項。我們會把「全球隱私控制」（GPC）訊號視為有效的退出請求。

你的權利。 你有權瞭解和訪問我們收集的個人資訊、要求刪除、要求更正、以便攜格式獲取你的資料，並且不會因行使這些權利而受到歧視。你可以通過第 12.9 節的方式提出請求，也可以授權代理人代為提出；我們會驗證你的身份和代理人的授權。我們不會為第三方的直接營銷目的披露你的個人資訊。

17. 歐洲經濟區、英國和瑞士的使用者

• 控制者：智希可科技（廣州）有限公司，聯絡方式見第 20 節。
• 法律依據：履行合同、你的同意、我們的正當利益（安全防護、防範濫用、統計活躍情況以運營和改進服務）、法定義務，以及保護你的切身利益，詳見第 4 節。
• 你的權利：訪問、更正、刪除、限制處理、資料可攜、反對基於正當利益的處理（包括每日活躍統計），以及隨時撤回同意；我們不會僅憑自動化處理作出對你產生法律效力或類似重大影響的決定。你也有權向你慣常居住地、工作地或涉嫌違規發生地的資料保護監管機構投訴。
• 國際傳輸：見第 9.4 節。
• 代表：如法律要求，我們將指定在歐盟和英國的代表，並在本政策中公佈其聯絡方式。
• 年齡：各成員國對數字服務同意年齡的規定為 13 至 16 週歲不等，見第 13 節。

18. 其他國家和地區

如果你所在的國家或地區的法律賦予你額外的個人資訊權利，我們會依照當地法律予以響應。你可以通過第 12.9 節的方式聯絡我們。

19. 本政策的更新

我們可能因服務變化或法律要求更新本政策。發生重大變更時，我們會在生效前通過 App 內通知、彈窗或郵件等顯著方式告知你；法律要求重新取得同意的，我們會再次徵得你的同意。 未經你明確同意，我們不會削減你依據本政策享有的權利。

重大變更包括但不限於：服務模式發生重大變化（例如處理個人資訊的目的、型別、方式改變）；我們的所有權結構、組織架構發生重大變化；個人資訊共享、轉讓或公開披露的主要物件發生變化；你的權利及其行使方式發生重大變化；負責個人資訊保護的聯絡方式及投訴渠道發生變化；個人資訊保護影響評估表明存在高風險。

本頁頂部標明瞭當前版本、生效日期和更新日期。你可以通過 support@xicoai.com 索取本政策的歷史版本。

20. 聯絡我們

• 電子郵件信箱：support@xicoai.com。與個人資訊有關的請求，請在郵件主題中註明「個人資訊保護」，郵件將交由個人資訊保護負責人處理。
• 運營者：智希可科技（廣州）有限公司
• 註冊地址：廣州市南沙區南沙街廣生路19號（自編1棟）4樓410室215A

我們會在驗證身份後 15 個工作日內答覆（適用 GDPR 的請求為 30 天內）。如果你對我們的答覆不滿意，或者認為我們的處理損害了你的合法權益，可以向網信、電信、公安、市場監管等主管部門投訴、舉報，歐洲經濟區、英國和瑞士的使用者可以向當地資料保護監管機構投訴；你也可以向 被告住所地有管轄權的人民法院 提起訴訟。本政策的解釋和適用以 中華人民共和國大陸地區法律 為準，但你所在地強制性法律賦予你的權利不受影響。