隐私政策

1. 谁在处理你的数据

阿哈娅由 2nd Brain Pte Ltd（新加坡注册公司，以下称「我们」）运营。就本政策项下的个人数据，我们是数据控制者；当一个组织（公司、团队或家庭）把阿哈娅当作大家共用的空间来用时，对于这个空间里客户与联系人的资料，该组织是控制者，我们是受托处理方。

注册地址：〔待填写：公司注册地址〕。数据保护事宜联系人见第 14 节。

2. 我们收集哪些信息

2.1 你主动交给我们的内容

记录内容本身：语音与录音、照片与视频、拍摄或上传的文档、手打的文字、以及你通过分享面板或数据源转发进来的邮件与文件。
客户与联系人资料：你自己填写的，以及阿哈娅从记录中抽取、经你确认后写入档案的字段（姓名、职务、公司、注册号、联系方式、合规日期等）。
你和阿哈娅的问答：提问、生成的回答，以及回答引用了哪些记录。

2.2 账号信息

邮箱地址、显示名、所属空间与角色。
密码：只保存不可逆的哈希值，我们看不到你的明文密码。
邮箱验证码、登录会话凭证。

2.3 设备与运行信息

推送令牌：用于向你的设备发送待办与跟进提醒（经 Apple 推送通知服务）。
服务端日志：请求时间、接口路径、错误信息与必要的诊断上下文，用于排障与安全审计。
审计流水：谁在什么时候改了什么，用于让每一步都可回溯、可回退。

2.4 位置信息（可选，且默认关闭）

只有当你主动开启「到了客户楼下提醒我」或「按路况反推该出发了」这类功能时，我们才会用到位置。地理围栏的判断在你的设备本机完成；我们不会持续上传或存储你的行踪轨迹。你可以随时在系统设置里收回位置权限，只会失去这两项提醒，其余功能不受影响。

2.5 我们不做的事

不投放广告，不做广告画像，不向广告商提供任何数据。
不出售、不出租你的数据。
不在应用里嵌入第三方分析或追踪 SDK。

3. 我们为什么处理这些信息

提供产品本身：把你的记录存下来、检索出来，抽出待办、跟进与合规日期，回答你关于自己记录的问题。没有这一步就没有产品。
提醒你：到期待办、会前提醒、跟进信号的推送通知。
保障安全与可追溯：登录保护、滥用防范、审计与回退。
与你沟通：账号相关的必要通知、你主动发起的支持请求。

法律依据：履行与你之间的服务合同、我们运营与保障服务安全的正当利益，以及你在开启可选功能（位置、数据源连接）时给出的同意。

4. AI 处理与模型服务商

阿哈娅之所以能读懂你说的话，是因为记录内容会被送到大模型接口处理。这是产品的核心机制，我们把它写清楚：

服务商：Google 的 Gemini API（Google LLC 及其关联公司）。
送出去的内容：需要处理的那一条记录的原文、音频或图像，以及为回答问题而召回的相关记录片段。
用途：语音转写、多模态信息抽取（标题、摘要、人物、组织、待办、关键词）、生成用于语义检索的向量、以及带引用的问答。
不用于训练：我们通过付费 API 调用，按服务商现行条款，这类请求的内容不会被用于训练其通用模型。服务商的条款以其官方文本为准。

除上述模型调用外，我们不会为了「改进 AI」而把你的记录用于任何其他训练或分析。

5. 你连接的第三方服务

如果你主动绑定了数据源，阿哈娅会按你的授权把内容拉进你的空间：

Google Drive（只读权限 drive.readonly）：读取你指定的那个文件夹里的文件。你把文件丢进那个文件夹，它就进你的空间；我们不写入、不移动、不删除你云盘里的任何东西。
Gmail（只读权限 gmail.readonly）：读取你邮箱中的邮件，抽出标题、摘要、涉及的人和事，以及该跟进的待办。发不了、删不了、改不了。
Outlook 与 Microsoft 365 邮箱（只读权限 Mail.Read）：读取你邮箱中的邮件，用途同 Gmail。发不了、删不了、改不了。
Lark（飞书 / Larksuite）邮箱：同上。
IMAP 邮箱（含 iCloud）：按你提供的凭证收取邮件。

Drive 和 Gmail 分开授权：接云盘的人不会被顺手要走邮件权限，反过来也一样。两者都可以随时在应用内单独解除，解除后我们停止拉取新内容；已经入库的记录仍归你处置。

Google API 服务用户数据政策。阿哈娅从 Google API 获取的信息，其使用与转移遵守 Google API Services User Data Policy，包括其中的 Limited Use 要求。我们仅将这些数据用于向你提供阿哈娅中你所要求的功能，不用于广告，不出售，除非为提供该功能所必需、为遵守法律，或经你明确同意，否则不向第三方转移。

不让人读。我们不安排任何人阅读你从 Google 拉进来的邮件与文件，除非出现以下情形之一：① 你就某一条内容明确要求我们协助，并同意我们查看； ② 为排查安全事件或滥用行为所必需；③ 法律程序要求； ④ 数据已经聚合并去除身份标识，仅用于服务运行状况的内部统计。

模型处理。你从 Google 拉进来的邮件与文件，和其他记录一样会经第 4 节所述的模型接口处理，用来做转写、抽取和带引用的问答。这属于「为向你提供你所要求的功能所必需」的处理，不用于训练通用模型，也不用于任何与该功能无关的用途。

6. 数据存在哪里

后端服务与数据库运行在 Google Cloud 位于新加坡（asia-southeast1）的区域。
记录存放在我们的数据库里；搜索用的索引可以从记录重新生成。
附件与媒体文件存放在同一区域的云存储里。
调用模型接口时，内容可能被传输至服务商在其他司法辖区的处理节点。
推送通知经 Apple 的推送通知服务（APNs）投递，仅包含必要的提示文本。

7. 空间里谁能看见

记录有私有与共享两种可见性。私有记录只有作者本人可见， 空间管理员也看不到。
共享记录对同一空间的成员可见。
采集永不自动发布：新建的记录不会因为任何默认设置而变成公开，可见性由你在采集时或之后显式决定。
对外分享链接：你可以把某条记录生成一条公开链接。拿到链接的人无需账号即可查看该条记录的内容；没有生成过链接的记录不可能被外部访问。链接由你创建，也可以随时撤销，撤销后立即失效。
名片页：你的名片对应一条公开卡链。任何拿到链接或扫到二维码的人，都能看到你放在名片上的字段——名片上放什么由你决定。对方扫码后先进入你的收件箱，经你确认才写入档案。
我们的工程人员仅在排障或你主动请求支持时，在必要范围内访问数据，且访问会留下记录。

只有以下几种情形：

为提供服务所必需的处理方：上文列出的云服务商与模型服务商，按合同仅为我们处理数据。
法律要求：在有管辖权的法律程序要求下，且在法律允许的范围内我们会先通知你。
公司变更：合并、收购或资产转让时，数据可能作为资产的一部分转移，受让方须承继本政策的义务；我们会提前告知你。

9. 保留、导出与删除

保留：你的记录会一直保留，直到你删除它，或你的空间终止服务。
回收站：删除的记录先进回收站，可以还原；从回收站清除后不可恢复。
导出：在 App 的设置里可以导出账号信息，包括登录方式、所在空间和个人空间等，不含记录内容。整份记录的导出还在做，做好后会在这里写明。
注销：写信给我们即可申请删除账号与全部数据。我们会在核实身份后 30 日内完成删除；日志与备份中的残留会随其正常轮换周期一并清除。
审计流水：出于可追溯要求，审计记录会在相应记录删除后保留一段时间，但不含被删除内容的正文。

10. 你的权利（新加坡 PDPA）

依据《个人数据保护法》（PDPA）及其他适用法律，你可以：

查询我们持有你的哪些个人数据，以及在过去一年中它们被如何使用或披露；
要求更正不准确的个人数据；
撤回你此前给出的同意（可能导致部分功能不可用）；
要求删除数据，或对我们的处理提出异议。

发邮件到 [email protected] 即可行使上述权利。我们会在 30 日内答复；如需更长时间，会先告知你原因和预计时限。

11. 安全措施

传输全程 TLS 加密；服务端存储位于受控的云环境，磁盘由云服务商加密。
密码仅以不可逆哈希保存；登录令牌通过 HttpOnly Cookie 传递。
iOS 端可开启 Face ID 锁；本机凭证保存在系统钥匙串中。
所有敏感变更进审计流水。

没有任何系统能保证绝对安全。若发生影响你数据的安全事件，我们会在知悉后按法律要求的时限通知你与主管机关。

12. 未成年人

阿哈娅不面向 16 岁以下人士提供，我们也不会有意收集未成年人的个人数据。家庭空间里如果记录了未成年家庭成员的信息，由建立该空间的成年人负责。

13. 本政策的变更

政策更新时我们会修改本页顶部的「最近更新」日期；涉及实质性变化的，我们会通过应用内提示或邮件另行通知。

14. 联系我们

数据保护相关问题、权利请求、投诉，都可以写到 [email protected]。
2nd Brain Pte Ltd，新加坡。

如果你对我们的答复不满意，可以向新加坡个人数据保护委员会（PDPC）投诉。