隐私政策

1. 我们处理哪些信息

根据使用场景不同，乐居可能处理以下信息：

• 官网访问时产生的基础网络请求信息，例如 IP、访问时间、请求路径和浏览器信息。
• 你在 App 中主动录入的资产、位置、家庭成员、家庭文化、备注、估值、图片或相关文本；默认保存在本机。
• 你主动使用华为账号登录并同步时涉及的账号标识、家庭资料、家庭文化、资产图片、文化照片和设备信息。
• 你同意新版隐私政策后产生的产品使用事件，包括启动、页面、功能结果、同步、文化创建和购买流程；按使用端区分，并包含你提交的搜索词、管家提问及回复节选，用于热门需求统计；不会另行上传图片、整篇文档或整库资产。
• 你主动使用智能服务时提交的指令、AI 看图所选图片，以及生成建议所需的必要上下文。
• 你通过邮箱联系时主动提供的联系内容和附件。

2. 家庭账号、权限与个人内容

• 登录账号绑定家庭成员；账号管理权限与成人、未满 14 岁孩子、14 岁以上孩子或长辈身份分开处理。一个账号可加入多个家庭并明确选择当前家庭。
• 生日为可选资料，可填写公历年月日；保存后加入重要日子，开启同步时随成员资料同步给有权访问的家人。未满 14 岁成员资料由监护人代为填写和管理；加入、变更监护关系和退出家庭由指定监护人确认。14 岁以上成员的个人隐私按成人规则保护。
• 资产和家庭文化可设为家庭可见、可申请查看、仅自己或指定成员。仅自己内容对其他账号不可发现，家庭所有者和管理员不能绕过成人隐私。
• 可申请内容在批准前只显示资源类型和拥有者，不显示名称、标题、正文、图片、金额、位置或备注。一次授权最长形成 15 分钟会话；7 天和长期授权可撤销。
• 权限到期或撤销后，服务会通知相关账号删除已同步的详情、图片和缓存；通过资源 ID、图片链接、搜索、3D 或助手访问仍需重新鉴权。
• 查看个人内容时使用系统身份认证；设备认证不可用时可使用保存在 HarmonyOS 安全凭据区的成员 PIN。
• 具有分析权限的运营人员可查看功能统计、搜索词、管家提问与回复节选；不因分析功能另行获取整库文化正文、图片、回应文字或资产明细。

3. 家庭文化互动与提醒

• 家庭文化包括日记、文章、照片、奖状和纪念瞬间；有权查看的成员可使用预设表态或最多 200 字的一句话回应。
• 受邀成员可提交最多 1000 字和 3 张图片的独立共写草稿，只有原作者确认后才会在原记录下展示。
• 那年今天、纪念提醒和每周回顾只按日期、类型与授权关系选取内容，不让云端 AI 阅读正文。
• 查看申请、回应、共写和回顾先写入站内消息。你同意系统通知后，设备 Push Token 会发送到乐居服务端用于华为 Push Kit 提醒，默认静默时段为 21:00 至次日 08:00。
• 通知不包含资产名、文化标题、正文或图片，点击后会重新校验权限。

人情往来账本

联系人称呼、关系、可选电话、收送方向、金额、场合、日期和备注默认保存在本机，不读取系统通讯录，不交给云端 AI。人情账同步需在账本页面单独确认，开启资产同步不会自动上传人情账。开启后，仅同步到当前账号在当前家庭下的私密账本，其他家庭成员和管理员不能通过家庭权限查看。退出登录、切换账号或家庭会切换账本；未登录记录需另行确认才能合并到账号。关闭同步停止后续传输，已同步资料仍保留；删除记录后需再次同步才能同步删除。分析事件不包含联系人、电话、金额、场合、日期或备注。

4. 产品使用分析

同意本版隐私政策后，产品使用分析默认开启，沿用现有设置，可随时关闭。我们记录主 App、家庭元服务或小艺 Agent 的使用端、版本、时间、随机会话、功能入口及结果，并记录你提交的搜索词、管家提问（每条最多512字）及管家回复节选（每条最多1024字），用于热门搜索、热门需求分析和排障。客户端和服务端过滤可识别的手机号、邮箱、证件或卡号、链接和凭据格式，但无法识别所有姓名、地址或其他私人信息，请勿在搜索或对话中提交与功能无关的敏感资料。仅有分析权限的后台人员可查看这些统计及节选；不会因此另行上传图片、整篇日记或文章及整库资产。分析使用经哈希处理的设备标识或随机安装标识，OAID 的目的、方式和范围见下一节；不使用第三方统计 SDK。关闭后停止后续上报，清空本机统计队列并请求删除该标识关联的原始事件。原始事件最长保留90天，每日无文本计数汇总最长保留24个月。

开放匿名设备标识符（OAID）

收集目的：识别同一设备，去重统计启动和功能使用次数，分析产品留存并定位故障。

收集方式：在你同意本版隐私政策、产品使用分析开启，并授予系统“应用跟踪”权限后，通过 HarmonyOS Ads Kit 的 identifier.getOAID() 系统接口读取开放匿名设备标识符（OAID）。分析初始化时读取或复用本机缓存标识；拒绝系统权限或无法取得有效 OAID 时，使用随机安装标识。

收集范围：当前设备的 OAID。原始 OAID 仅在本机内存中用于计算 SHA-256 哈希，不写入本机持久存储或日志，也不上传；本机缓存和乐居服务端仅保存哈希标识。该标识与版本、会话、时间及本政策说明的分析事件一起用于产品统计，不用于广告投放或跨应用跟踪，不向广告商提供。哈希标识仍属于本政策保护的信息。

关闭与保存：可在应用设置的“数据与隐私”中关闭“产品使用分析”，或通过“隐私授权”撤回同意。关闭后停止读取 OAID 和后续分析上报，清空本机统计队列并请求删除关联的原始事件；拒绝跟踪权限或关闭分析不影响本地家庭管理。关联的原始事件最长保留90天，每日无文本计数汇总最长保留24个月。

5. 我们如何使用这些信息

• 用于提供资产管理、空间管理、查找和整理等核心功能。
• 用于你主动开启后的多设备同步。
• 用于生成智能助理建议或聊天响应。
• 用于故障排查、服务安全、防滥用控制和部署运维。
• 用于回复你的测试申请、合作沟通或技术支持邮件。

6. 官网与第三方脚本

当前官网为静态页面，默认不内置第三方统计脚本、广告脚本或公开注册系统。 如果未来接入新的统计、客服或支付服务，本页会同步更新说明。

7. 可选同步与智能服务

• 同步功能默认关闭。你可以继续离线使用，也可以主动使用华为账号登录并同步家庭资料和图片。服务端按当前账号生成可见数据投影。
• 主动使用文字、语音助手时，指令和必要的资产/空间上下文会发送到乐居接口，用于生成待确认建议。
• 主动使用 AI 看图时，压缩后的所选图片、当前指令和必要上下文会经乐居接口转发给 Agnes AI（Sapiens AI 模型服务）识别。
• 乐居接口部署在华为云中国区域，不把 AI 看图请求中的图片写入文件存储；模型服务方对请求的处理受其服务规则约束。
• 家庭文化识别优先使用本机 OCR。云端识别图最长边 1280、压缩后不超过 900KB，不持久化识别请求图片，也不做人脸识别。
• 家庭游戏的词组生成仅向 Agnes AI 发送参与者年龄段、persona和可选兴趣标签，不发送姓名、账号、资产或房间信息。儿童词汇经过适龄筛选，生成失败使用本地词库。猜动作采用文字线索，不调用摄像头。房间码联机保存本局成员、文字线索和投票进度，房间2小时后过期，只向各账号返回自己的身份卡。

8. 数据保存与安全

• 本机资料保存到你主动删除、清空应用数据或卸载应用；同步资料保存到你删除对应内容或注销云端账号。
• 运行日志原则上保留 30 天，安全审计记录保留 180 天，已办结反馈最长保留 365 天，法律另有要求的除外。
• 同步登录令牌使用 HarmonyOS 安全凭据存储；云端数据库和图片执行定期备份与恢复检查。
• 请不要在测试或邮件沟通中提交与本产品无关的敏感个人信息。

9. 第三方服务与会员

• 华为账号、Account Kit 与 AGConnect Auth：仅在你主动点击华为登录后处理账号标识、昵称、头像和登录凭据，用于身份认证。
• Agnes AI（Sapiens AI 模型服务）：仅在你主动使用云端助手或 AI 看图时处理指令、所选图片和必要上下文，用于生成识别与录入建议。
• 华为 AppGallery IAPKit：在你主动购买或恢复家庭会员时处理商品查询和购买凭据；服务端验单成功后才授予家庭权益。
• 华为 Push Kit：在你同意系统通知后处理设备 Push Token，用于发送不含敏感正文的家庭提醒；站内消息状态是消息记录的判断依据。
• 当前版本不接入广告、第三方统计 SDK 和定位服务。资产图片和文化照片共享家庭云空间，超过免费额度时停止新增云端图片。付费会员到期后，已有云端照片自到期日起保留30天；期间可以查看、下载或续费。30天届满仍未续费的，云端照片会自动清理，本机已经保存的照片和文字资料不受影响。

10. 你的权利与联系

如需咨询数据处理方式、申请删除测试沟通内容或反馈隐私相关问题， 可以发送邮件到 leshen_s@163.com。