1. 适用范围与运营联系
本政策适用于 omniasst 移动应用、ai.omniasst.com 网站以及为其提供账号、实时语音和用量结算的服务。
如对隐私或个人数据处理有疑问，请联系 support@omniasst.com。
2. 我们处理的数据
- 账号数据：邮箱、显示名、账号标识、验证状态和登录会话信息。密码由 OmniAsst 账号服务处理，产品服务不保存明文密码。
- 管家设置：语言、管家名字、对您的称呼、形象与性格设置。
- 可选通知：FCM 设备令牌、平台、通知语言、时区、匿名安装标识或账号标识、最后打开 App 的时间、管家与主人显示称呼，以及管家轻提醒和好友消息通知偏好。好友消息开关是账号级设置，其他设备会在下次打开 App 时同步，系统通知权限仍由每台设备单独授权。好友消息的锁屏通知只提示有新消息，不包含消息正文；Notification Center 不接收消息正文。
- 好友互通与消息：使用 OmniAsst 通用账号 ID 和显示名建立资料；创建和接受一次性邀请后，处理好友关系、消息正文、送达与已读状态，以及拉黑和举报记录。您可以为好友设置仅自己可见、按账号同步的“我的称呼”；该称呼不会展示给对方，并可随时修改或清除。邀请只能使用一次，消息发送前会显示收件人与原文供您精确确认。
- 设备本地内容：提醒、闹钟、记事和有限的关系事件；这些内容原则上保存在设备上，除非您明确使用需要云端同步或传达的功能。
- 实时语音：对话期间的音频及生成回复会交由 OpenAI Realtime API 处理。登录用户明确设置的有限好友称呼可能在当前会话中作为转写关键词和收件人识别提示发送给 OpenAI；其中不包含好友账号 ID、公开显示名或完整好友关系。
- 用量元数据：匿名设备或账号标识、会话与事件 ID、模型、音频时长、Token 数量、费用估算、额度和方案状态。
- 能力培训反馈：只有在您逐次明确同意后，才会发送固定的结构化功能类别、平台、App 版本与 Build、语言和一次性随机提交编号；类别、平台、版本与语言会计入匿名汇总统计。账号或安装凭据仅临时用于鉴权和防滥用，不写入反馈台账；原始指令、音频、联系人姓名、消息正文和位置不会包含在反馈提交或反馈台账中。
- 位置与天气：仅在您调用相关功能并授权时读取位置；坐标会发送给天气服务以返回当前位置与天气。
- 诊断数据：错误类型、连接状态、App 版本、操作系统与必要的安全日志；我们不主动收集通讯录。
- 语音合成：中文回复文字由阿里云百炼 Qwen Audio 3.0 TTS Flash 合成。OmniAsst 不保存合成正文或音频；用量记录包含提供商返回的计费字符数、音频样本数、实际时长和完成、取消或故障状态。未收到完整提供商计费回执时明确标记不完整，不伪造费用。指定本机朗读的私有内容及好友消息不送往该合成服务。
3. 使用目的与法律基础
- 履行服务：识别账号、响应语音、执行您确认的功能、同步额度、建立您明确接受的好友关系、传递经确认的好友消息并提供支持。
- 取得同意：麦克风、位置、通知与精确闹钟等系统权限仅在您授权后使用，您可以随时在系统设置中撤回。
- 基于同意改进能力：匿名汇总需求数量仅用于安排后续能力优先级；拒绝提交不影响服务使用。
- 正当利益与安全：防止滥用、排查故障、保护账号与维持服务可靠性。
- 法定义务：在适用法律要求时保留交易、税务、安全或争议处理记录。
4. 第三方与跨境处理
我们仅向完成相应功能所需的服务商传输必要数据。不同服务商可能在您所在国家或地区之外处理数据，并采用各自的安全和保留措施。
- OpenAI：处理实时音频、模型回复，以及您明确设置并在当前语音会话中作为转写关键词和收件人识别提示使用的有限好友称呼；好友消息发送前，消息正文还会由 OpenAI Moderation API 处理以识别可能的骚扰、违法或其他滥用内容。OpenAI 表示 API 数据默认不用于训练模型，除非客户明确选择加入；其默认滥用监控日志最长可保留 30 天。我们不会把该第三方处理描述为零保留。
- Open-Meteo 及平台定位服务：在您请求位置或天气时处理坐标与查询。
- Apple App Store 与 Google Play：处理下载、购买、订阅、退款及商店侧诊断信息。
- OmniAsst Identity Center：处理通用账号的注册、登录、验证和删除状态。
- Google Firebase Cloud Messaging 与 OmniAsst Notification Center：登记设备、安排您开启的轻提醒和好友消息通知、发送不含消息正文的通用锁屏提示、处理重试并记录送达或点击状态。
- 阿里云百炼 / Alibaba Cloud Model Studio：仅接收用于精灵发声的中文回复文字，通过日本网关转发至新加坡工作空间进行语音合成。该处理涉及跨境传输，并适用服务提供商的数据处理条款；其 API 密钥只保存在服务端，不包含在 App 中。
5. 保存、安全与删除
OmniAsst 服务端不保存实时语音录音或对话转写正文。好友消息正文会以独立密钥进行 AES-256-GCM 服务端静态加密；普通消息、好友关系和一次性邀请记录会在账号删除时删除。举报时，为调查骚扰、违法内容和其他滥用，相关消息证据会另外加密保存，最长 180 天，之后删除或依法隔离处理。尚未开始处理的单一用途账号删除交接票据仅以哈希保存。票据保持未启动且关联账号满 30 天后，维护作业会安排将其匿名化；若服务在达到该期限时不可用，会在恢复后补做维护。若删除已开始，但必要的依赖服务暂时无法完成清理，哈希票据及账号关联只会作为持续重试的删除作业保留，直至实时会话、通知、用量与好友互通数据全部清理成功；这可能超过 30 天，成功后会立即解除账号关联。完成或过期后，与账号解除关联的随机令牌哈希、已完成或已过期状态及时间戳可能无限期保留，用于保证重试幂等并明确返回过期结果。删除流程开始后，我们还可能按安全需要长期乃至无限期保留使用独立密钥从账号标识生成的单向 HMAC、待确认或已删除状态及时间戳。这项假名化安全标记用于阻止尚未失效的旧凭证重新创建已删除的产品数据；它不包含原始账号标识，但在再次提交同一标识时可以进行匹配，待确认状态不会自动恢复。Identity Center 的签名删除回调是最终清理路径。另一个删除结果投递作业仅保存删除请求 UUID 和固定的完成字段，不保存原始账号标识；尚未投递的作业会保留到 Identity Center 接收为止。已投递记录保留满 30 天后会安排删除；若服务中断，逾期维护会在恢复后执行。用量台账会在计费、审计、额度纠错和防滥用所需期间保存；远程通知资料和有效设备令牌会在功能开启期间保存，或保留至令牌被停用或失效，送达记录可能为可靠性与安全目的保留。账号和支持记录保留到完成相应目的或法律要求的期限。设备本地数据由您通过 App 管理或随 App 数据一并删除。能力培训反馈只保留为不关联账号或安装的匿名汇总统计。追加式审计台账可能保留随机提交标识与固定载荷的单向 HMAC；它们并非由用户或设备身份生成，只有 24 小时的运行中索引用于抑制重试。
举报达到保留期限时，其加密证据、自由文本审阅备注及相关审核事件备注都会删除。若为账号安全仍需保留互通停用状态，只保留假名化账号哈希、不关联账号的停用编号、状态和运行时间戳；举报关联、自由文本原因及备注会被清除。
账号删除会对用量台账进行隐私压实，而不是抹除其账务审计历史。用量所有者、安装认领及额度或商店授权字段中的原始 IDC 账号标识，会替换为使用用量服务专用密钥、带域分隔的 HMAC。为计费、财税、退款、争议、审计、额度纠错和防欺诈而保留的假名化条目，可能包括用量与费用指标、时间戳、服务商事件或会话 ID、商店交易或授权 ID、方案、到期时间、状态和计费标记。在同时具备同一账号标识和服务端密钥时，这些条目仍可匹配，因此并非匿名数据。当前用量台账没有自动到期清理机制。
我们使用传输加密、访问控制和最小权限等措施，但任何网络服务都无法保证绝对安全。
6. 您的选择与权利
- 在操作系统设置中拒绝或撤回麦克风、位置、通知等权限；相关功能可能因此不可用。
- 在 App 内分别开启或关闭“管家轻提醒”和好友消息通知。关闭好友通知不会删除消息，您仍可在 App 内查看；仅授予通知权限不会订阅价格优惠或语音分钟包通知。
- 您可以移除或拉黑好友，并举报骚扰、违法、冒充或其他滥用内容；拉黑后双方不能继续通过好友互通发送消息。
- 每次能力培训反馈都可单独同意或拒绝；拒绝或不回答时不会提交。
- 在 App 内查看或调整管家设置、本地数据与账号信息。
- 在 App 的“设置 → 隐私与合规 → 删除账号”中发起账号删除，也可在无法登录时使用网站提供的备用联系渠道。
- 依据适用法律请求访问、更正、删除、限制处理或导出您的个人数据。
7. 儿童、变更与联系
omniasst 不面向未达到所在地区数字同意年龄的儿童。若您认为儿童在未经适当同意的情况下向我们提供了个人数据，请联系我们。
政策发生实质变化时，我们会更新本页日期，并在必要时通过 App 或其他合理方式通知。隐私问题请发送至 support@omniasst.com。