隐私政策 — Anoteo
最后更新: 2026年10月15日
本政策适用于 Anoteo 应用（iOS、iPadOS、macOS、watchOS、Android 和 Wear OS）及 anoteo.com 网站（合称“本服务”）。本服务由 Abed Alnkib（“我们”）运营，其为对本政策所述个人数据负责的控制者。核心原则是您的健康和营养数据保存在本地：您的餐食、照片、体重、目标、个人资料、过敏原，以及应用从 Apple Health 或 Health Connect 读取的任何数据都保留在您的设备上，应用不会将其同步到任何云端。默认情况下，餐食分析由您设备上的 AI 模型运行。除常规下载和第 10 条所述的防滥用检查外，只有在您选择发送时，数据才会离开您的设备——例如创建关怀圈链接、发送产品报告或反馈，或使用您自己的密钥连接云端 AI。没有用户账户，也没有广告；我们不出售或出租个人信息，健康数据也绝不会用于广告或用户画像。本政策说明哪些数据留在您那里、哪些数据会被发送以及发送给谁、数据保留多长时间，以及您享有哪些权利。
1. 存储在您设备上的数据
您的餐食日志和餐食照片、体重记录和进度照片、饮水及其他每日计数、营养目标、个人资料（姓名（如您输入）、出生日期、性别、身高、体重、活动水平、目标、饮食风格，以及怀孕或哺乳信息（如您添加））、您本人及您添加的家庭成员的过敏原清单、您的食物、食谱和产品、营养补充剂、断食设置、膳食计划和健康计划、您与 AI 的聊天记录、您开启的安息日、节日、斋月和洁食设置、权限和同意记录，连同应用根据 Apple Health 或 Health Connect 得出的数值（例如您的每日评分历史和每周洞察），均保存在您设备上的应用存储中。您的 Apple Watch 或 Wear OS 手表以及小组件所显示的内容直接来自您的手机，中间不经过任何服务器。可选的自动备份（默认关闭）同样只保留在设备上——在 Apple 设备上以文件形式存放在应用存储中，这些文件不包含在 iCloud 云备份和电脑备份中，并在设备锁定期间受设备的数据保护功能保护（它们未使用密码加密；导出的备份可以加密——见第 14 条），在 Android 上则使用保存在 Android Keystore 中的密钥加密。在 Android 上，您还可以选择一个文件夹（例如 Documents、存储卡或由其他应用同步的文件夹），每次自动备份时，都会另将一份使用您设定的密码加密的副本写入该文件夹。应用不会保存密码本身，也绝不会上传这些副本；删除或重置应用后，副本仍会保留在该文件夹中。该文件夹本身会发生什么，由您和管理该文件夹的应用决定。在 Apple 设备上，如果您使用 iCloud 云备份或备份到电脑，操作系统会将应用的其他数据纳入您自己账户下的设备备份；在 Android 上，应用被排除在 Android 备份之外，因此不会有任何内容被复制到 Google。餐食照片绝不会被自动上传。
2. iCloud（仅限 Apple 设备）
本版本不提供通过 iCloud 进行的餐食同步：应用不会将您的餐食、照片、体重、个人资料、目标、过敏原或任何 Apple Health 数据存储在 iCloud 中（您设备自身的 iCloud 云备份见第 1 条）。如果您开启偏好设置同步（默认关闭），则只有显示偏好设置（语言、外观和主题、单位、仪表板磁贴和菜单的选择与顺序，以及类似设置）和您已解锁的成就徽章列表会通过 Apple 的 iCloud Key-Value Storage 保存在您的 iCloud 账户中，从而在您的其他 Apple 设备上同样可用；其中不包含饮水、餐食或体重等任何数值。您可以在“设置”中停止同步，并从 iCloud 中删除已同步的显示偏好设置；重置应用会移除所有已同步的值。Android 应用没有云同步。
3. Apple Health、Health Connect 与您的手表
在您于应用中开启某项连接并授予相应的系统权限之前，健康数据访问处于关闭状态；您可以随时在“健康”App（Apple）或 Health Connect 的设置（Android）中撤销该权限。 • Apple Health（iPhone）：通过单独的开关，应用可以读取活动能量、步数、步行和跑步距离、体能训练和活动圆环；心率、静息心率、心率变异性和 VO2 max；体重、体脂率和去脂体重；睡眠；血糖；以及月经流量——并可将您的体重导入体重日志。如果您开启写入，应用会将膳食能量、蛋白质、碳水化合物、脂肪、膳食纤维、糖、钠、饮水、咖啡因、酒精饮料和体重保存到 Apple Health。 • Apple Watch：在您开始的体能训练期间，手表应用会读取心率和活动能量，并将该体能训练保存到 Apple Health。 • Health Connect（Android）：应用可以读取步数、活动卡路里、睡眠、心率、心率变异性、VO2 max 和锻炼记录；经期和血糖各有独立的开关；如果您开启体重导入，应用会将您的体重读入体重日志。获得写入权限后，应用会保存您的餐食（卡路里和餐食名称）、饮水，以及锻炼及其活动卡路里。 • Wear OS：在您开始的锻炼期间，手表通过自身的传感器读取心率和卡路里，并且只将锻炼的时长、卡路里和类型发送到您的手机。 这些数据仅在您设备上的应用内部使用——用于您的日志、趋势、每日评分、洞察和提醒（本地通知可能会提及基于您的睡眠或生理周期的洞察）。这些数据绝不会被出售，绝不会用于广告、营销、用户画像或信贷决策，绝不会用于训练 AI 模型，也绝不会上传到我们的服务器，但有一项由您控制的例外：您选择纳入关怀圈分享（第 4 条）的体重数值，其中可能包括从 Apple Health 或 Health Connect 导入的体重。在 Apple 设备上，您最近的体重及其近期变化也可能成为发送给您所连接的云端 AI 的“Ask AI”请求的一部分，但仅在您批准该请求之后（第 5 条）。应用不会将 Apple Health 数据同步到 iCloud。应用写入 Apple Health 或 Health Connect 的数据会一直保留在其中，直到您在这些应用中将其删除。 Anoteo 对从 Health Connect 获取的信息的使用遵守 Health Connect Permissions policy（Health Connect 权限政策），包括其中的有限使用（Limited Use）要求。
4. 关怀圈——与营养师、伴侣、照护者或医生共享
在您创建关怀圈链接之前，不会分享任何内容。创建链接后，应用会将一份最近 28 天的摘要上传到我们的服务器，其中仅包含您在分享页面上选定的项目：每日卡路里和蛋白质、记录的餐数、您记录体重当天的体重（可能包括从 Apple Health 或 Health Connect 导入的体重）、您的卡路里和蛋白质目标、您撰写的备注（最多 500 个字符）以及您的每周膳食计划（按天和餐次列出的菜品名称）。摘要绝不包含您的姓名、电子邮件地址、照片，或您日志中餐食的名称和描述，也不与您的安装标识符关联。在 Apple 设备上，您可以准确预览将要发送的内容。 摘要采用端到端加密：上传前，应用会在您的设备上用一把只存在于链接本身（“#”之后的部分，浏览器从不会将其发送给服务器）的密钥对其加密（AES-256-GCM）。因此，我们的服务器以我们以及任何访问我们数据库的人都无法读取的形式保存它；页面会在您分享对象的浏览器中解密。在这项加密之前创建的链接（0.7.5 之前版本的应用所创建）在到期前（最长 30 天）仍可在我们的服务器上读取；创建新链接即可加密。 • 谁可以查看：任何持有完整链接（anoteo.com/s/…，包括“#”之后的部分）的人，直至链接到期或您将其撤销。该页面不会被搜索引擎收录——请仅与您选定的人分享。 • 更新：在 Apple 设备上，当链接处于有效状态时，应用还会在每次启动时自动刷新摘要，但最多每 6 小时一次；在 Android 上，只有在您点按更新时才会更新。如果您的 Pro 订阅结束，将不再向该链接上传新数据，但您仍可撤销该链接。 • 到期与撤销：您可以选择链接的有效期，最长 30 天。撤销链接会在撤销请求到达我们的服务器后，立即从服务器上删除共享的摘要——如果您处于离线状态，应用会保留该链接并持续重试，直至我们的服务器确认。已到期和已撤销的链接会在约 2 天内被彻底清除。重置应用也会撤销有效的链接；删除应用则不会——请先撤销链接，否则在到期之前该链接仍可被查看。 • 回传建议：与您分享的人可以通过该页面向您发送一份每周膳食计划建议。该建议用同一把密钥加密后与链接一同存储，应用会以提议的形式显示它，只有在您接受后才会更改您的计划。
5. 使用您自己的 API 密钥的云端 AI（可选）
云端 AI 默认关闭：餐食分析和“Ask AI”均由您设备上的模型运行。如果您使用自己的 API 密钥连接云服务提供商——OpenAI、Google (Gemini)、Anthropic (Claude) 或您指定的 OpenAI 兼容服务器——应用会直接从您的设备向该提供商发送请求。这些请求绝不会经过我们的服务器，我们也绝不会看到其内容、您的密钥或回复。 • Apple 设备：每个云端请求都需要事先获得您的批准。餐食分析请求包含您的描述、食物项目及数量以及设备端的分析结果；仅当您另行允许上传照片时才会包含餐食照片，且照片会在去除元数据后重新编码。“Ask AI”请求包含您的问题以及来自您日志的相关上下文——例如您所询问的餐食、最近 14 天的卡路里、蛋白质和餐数、您的卡路里目标、匹配的过往餐食、近期平均值，以及您最近的体重及其近期变化——且仅以文本形式发送。您的个人资料、过敏原、标签照片和录音绝不会被发送。 • Android：云端 AI 仅在您选择时用于 AI 聊天，且请求仅包含您输入的问题。 • 您的密钥保存在设备的安全存储中（在 Apple 设备上为 Keychain；在 Android 上使用 Android Keystore 密钥加密），并且只会发送给您选择的提供商。重置应用会删除该密钥。 • 提供商依据其自身的条款和隐私政策处理每个请求，作为您在该提供商处的个人账户的一部分——包括其保留请求的时长。您可以随时切换回设备端模型或删除密钥。
6. 您选择发送给我们的数据
• 缺失的产品：如果您在保存产品时开启分享，应用会发送该产品的详情——条形码、名称、品牌、包装规格、成分、每 100 g 的营养数值和国家/地区——以及您拍摄的标签或包装照片，用于审核并纳入共享数据库。快速报告仅发送条形码和国家/地区。在 Apple 设备上，这些提交会附带 App Attest 证明（第 10 条）。 • 餐厅菜单（“提交审核”）：餐厅名称、请求类型以及您添加的内容——位置、来源链接、详细信息、最多 3 张照片或截图，以及您选择留下的电子邮件地址（如有）——用于在任何内容被添加到可下载菜单之前进行审核。 • 反馈：您的留言、您选择留下的电子邮件地址（如有）、在 Apple 设备上您附加到问题报告中的最多 3 张截图，以及技术信息：应用版本、平台（例如 iOS、iPadOS、macOS 或 Android）、操作系统版本和应用语言。如果您举报 AI 回答（“举报此回答”），举报将通过同一渠道发送，内容包括被举报的回答（最多 1500 个字符）、您选择的原因、可选备注以及生成该回答的引擎（设备端模型或您连接的云端 AI 提供商名称）——绝不包含您的问题或任何 API 密钥。 • 崩溃和诊断报告：存储在您的设备上，仅在您点按“发送”时发送，或在您开启自动发送（默认关闭）后自动发送。报告仅包含技术数据——在 Apple 设备上，是崩溃和卡顿次数的摘要以及每次崩溃的简短签名；在 Android 上，是发生时间、错误类型和涉及的代码位置——绝不包含餐食内容、照片或健康数据。 本条所述的所有内容还会附带您的应用版本、语言设置和安装标识符（第 10 条）。照片和截图在上传前会在您的设备上重新编码，并去除其元数据（例如照片的拍摄地点）。
7. anoteo.com 网站
本网站没有账户、分析、广告或跟踪 Cookie。网站由 Amazon Web Services 托管并通过 Cloudflare 提供，二者会处理标准请求数据（例如您的 IP 地址、浏览器类型和所请求的页面），以提供页面并保护其免遭滥用。当您的浏览器语言不受支持时，网站仅将托管服务商根据您的 IP 地址得出的国家/地区用于选择语言，并通过唯一一个功能性 Cookie（NEXT_LOCALE）记住您选择的语言。卡路里计算器以及食谱和挑战页面完全在您的浏览器中运行。 • 联系表单：我们会将您提供的信息——您填写的姓名和电子邮件（如有）、您的留言以及页面语言——存储在我们的数据库中，仅用于回复您和改进本服务。这些信息绝不会用于营销，也绝不会与第三方共享。 • 关怀圈页面（anoteo.com/s/…）仅在链接有效期间从我们的服务器加载加密的摘要，用链接中的密钥在您的浏览器中解密，且不会被搜索引擎收录。从此类页面发送的每周计划建议会用同一把密钥加密，并与该链接一同存储（第 4 条）。
8. 常规网络流量与设备功能
• 应用会从我们的服务器下载 AI 模型目录、条形码数据包、食物数据包、食物名称数据包和餐厅数据包及其更新、“新功能”信息流，以及（在 Apple 设备上）现行的法律文本。这些请求不包含任何个人数据（数据包更新请求仅注明国家/地区和您已有的版本）；与任何互联网请求一样，服务器会看到您的 IP 地址，但我们不会将其存储在我们的数据库中。有些下载会自动开始，例如设置期间的 AI 模型（默认通过 Wi-Fi）以及在 Apple 设备上您所在地区的食物数据包。应用还可能检查应用通知，例如必需的更新；此类请求仅包含平台、应用版本和语言。 • AI 模型文件和数据包文件本身存储在 Cloudflare（R2 对象存储）上：应用通过由我们的服务器签发的短期有效签名链接获取每个文件，因此 Cloudflare 会看到您的 IP 地址和标准请求数据（例如请求时间和所请求的文件）；不会发送有关您的任何其他信息。 • 天气（Apple 设备，可选）：如果您开启炎热天气补水提醒，应用每天会将您的大致位置（降低精度）发送一次给 Apple 的 WeatherKit，以获取当地天气预报。该位置不会被存储，也不会发送给我们。旅行模式的位置检查会将您的大致位置发送到 Apple 地图，仅用于确定您所在的国家/地区。 • 日历（Apple 设备，可选）：应您的要求，应用会将体能训练或营养补充剂日程添加到您的日历中；为进行忙碌日规划或确定旅行日期，应用仅在设备上读取您的日程；日程详情既不会被应用存储，也不会被发送到任何地方。 • 文本和条形码识别在您的设备上进行——在 Apple 设备上使用 Apple 的框架，在 Android 上使用 Google ML Kit。ML Kit 可能会向 Google 发送有关其运行的技术信息（例如设备型号、操作系统和应用版本、安装标识符、性能指标和错误代码），但不会发送您的图片或识别出的文本。 • 语音输入：在 Apple 设备上，语音仅在设备上识别。在 Android 上，语音输入使用您设备的语音识别服务（通常为 Google 的服务），该服务可能会依据其自身的隐私政策处理音频。 • 从网址导入食谱时，应用会直接从您输入的网站下载该页面。 • 产品图片绝不会从互联网加载——应用不会连接第三方图片服务器，因此您的扫描模式不会暴露给任何人。
9. 食谱与挑战分享——无服务器
您分享的食谱或家庭挑战邀请被编码在链接本身之中（位于“#”之后的部分，根据 Web 标准，该部分绝不会发送到服务器），而食谱二维码则将其承载于应用链接之中；挑战邀请包含您选择的群组名称。相关内容不经过我们，也不会被我们存储。请注意：任何持有该链接的人都能读取其内容——请仅与您选定的人分享。
10. 匿名安装标识符与 App Attest
为防止共享服务被滥用（例如垃圾信息泛滥），应用会在首次需要时创建一个随机标识符。该标识符会附加在产品报告和提交、餐厅菜单提交、反馈和诊断报告、照片上传请求以及创建关怀圈链接的请求中，以便我们执行针对每个安装的限额并封禁存在滥用行为的安装。对于关怀圈链接，该标识符仅用于执行创建链接的每小时限额：它会在一条单独的记录中保留 2 天，绝不会与链接本身一同存储，在上传或查看摘要时也不会被发送。它并非源自您的设备、Apple ID 或 Google 账户，不与您的身份关联，也绝不会用于跟踪；它不包含在关怀圈摘要、下载或云端 AI 请求中。重置应用会保留该标识符；重新安装则会创建一个新的标识符。在 Apple 设备上，完成设置后，应用还会注册一个 App Attest 密钥——这是 Apple 提供的一种由硬件支持的密钥，用于证明请求来自应用的正版副本——并发送该密钥的标识符、Apple 的证明（attestation）和安装标识符；产品报告和提交会带有该密钥生成的签名。App Attest 不会泄露您的身份。
11. 付款与订阅
购买和订阅完全由您购买时所用的商店处理——Apple 通过您的 App Store 账户处理，或 Google 通过您的 Google Play 账户处理。我们绝不会接收、查看或存储任何付款信息（银行卡号、账户信息等）。应用通过 StoreKit（在 Apple 设备上）或 Google Play Billing（在 Android 上）在设备上检查您的订阅状态；我们的服务器不会收到任何有关您购买的信息。
12. 服务提供商与跨境传输
我们使用少数几家服务提供商，每家只接收其功能所需的信息： • Amazon Web Services（Amazon Web Services EMEA SARL）托管我们的后端——即第 4、6、7 和 10 条所述全部内容的数据库——以及 anoteo.com 网站，服务器位于德国法兰克福。它依据其数据处理条款代表我们处理这些数据。 • Cloudflare（Cloudflare, Inc.）存储 AI 模型文件和数据包文件，通过其全球网络将这些文件传送给应用（第 8 条），并依据其数据处理条款代表我们处理请求数据。Cloudflare 参与了欧盟–美国数据隐私框架及其针对英国和瑞士的扩展。 Cloudflare 还通过其网络分发 anoteo.com 网站，并存储应用上传的文件。 • Apple 和 Google 依据其各自的隐私政策，提供您直接使用的服务——App Store 和 Google Play、App Attest、iCloud、WeatherKit 和 Apple 地图、Apple Health 和 Health Connect、ML Kit 以及 Android 语音服务。 • 您连接的云端 AI 提供商（第 5 条）会依据您与其之间的协议直接接收您的请求。 这意味着您的个人数据可能会在您所在国家/地区以外（包括在美国）被处理。对于欧洲经济区、英国和瑞士的用户，向我们的服务提供商传输数据依赖于法律认可的保障措施，例如欧盟委员会的标准合同条款或欧盟–美国数据隐私框架。我们不出售、出租或交易个人信息，也不会为广告目的共享个人信息。
13. 处理的法律依据
在适用欧盟或英国 GDPR 或类似法律的情况下，我们基于以下依据处理个人数据： • 提供您要求的功能（第 6(1)(b) 条）——提供下载、创建并提供关怀圈链接、处理您发送的提交内容，以及答复您的反馈或留言。 • 我们的正当利益（第 6(1)(f) 条）——保障共享服务的安全并防止滥用（安装标识符、App Attest 和速率限制）、修复向我们报告的问题，以及改进共享的产品和餐厅数据库。 • 您的同意（第 6(1)(a) 条）——适用于自动诊断报告等可选功能，您可以随时将其关闭。 • 健康数据属于特殊类别的数据（根据以色列法律，亦属于具有特殊敏感性的信息）。应用按照您的指示在您的设备上处理这些数据；任何离开设备的健康数据——关怀圈分享，或您选择发送给您自己的云端 AI 提供商的请求——仅基于您的明确同意（第 9(2)(a) 条）才会发送，该同意在您创建分享或发送请求时给予。 您没有向我们提供任何信息的法律义务：您发送的一切均出于自愿，不发送的唯一后果是相关功能（答复、分享或提交）无法使用。您可以随时撤回同意——通过撤销链接、关闭某项功能或移除某项权限——且不影响撤回前已进行的处理。
14. 安全
设备上的数据受操作系统加密保护，您还可以添加应用锁（生物识别、设备密码或应用内 PIN）。手动导出可以使用密码保护（采用由该密码派生的密钥进行 AES-GCM 加密）；未设密码的导出文件为可读文件，请将其存放在安全的地方。在 Android 上保存到您所选文件夹中的备份副本始终使用密码加密。Apple 设备上的自动备份未使用密码加密，但会保留在设备上，不包含在 iCloud 云备份和电脑备份中，并在设备锁定期间受设备的数据保护功能保护。与我们服务器及云端 AI 提供商的通信在传输过程中均经过加密（TLS），但您自行配置的使用明文 HTTP 的服务器除外。API 密钥保存在系统的安全存储中。关怀圈链接使用随机代码，并以只有链接持有的密钥进行端到端加密，在您选定的时间到期，并可立即撤销。对我们数据库的访问仅限于我们自己，并受秘密凭据保护；使用我们的管理员密钥所做的更改都会被记录。没有任何系统是绝对安全的；如果发生影响您个人数据的泄露事件，我们将依法采取行动，包括通知主管机关，并在可能的情况下通知您。
15. 数据保留与删除
• 您的设备上：保留至您将其删除为止。删除应用会从设备中移除其数据，但应用写入 Apple Health 或 Health Connect 的数据、您自行导出的文件、您在 Android 上所选文件夹中的备份副本以及您的设备备份除外（在 Apple 设备上，保存在系统 Keychain 中的云端 AI 密钥也可能保留——请先在应用中将其删除）。应用设置中的重置选项可在不卸载应用的情况下从设备中清除应用的数据——包括餐食、照片、个人资料、目标、体重历史记录、计划、聊天记录、本地备份和 AI 密钥——并撤销有效的关怀圈链接；已下载的 AI 模型和食物数据包会被保留。在 Apple 设备上，它还会移除同步到 iCloud 的偏好设置以及小组件和搜索数据。 • 关怀圈链接：保留至您选择的到期时间（最长 30 天）或直至您撤销链接；撤销会在我们的服务器收到撤销请求后立即删除共享的摘要，已到期或已撤销的链接会在约 2 天内被彻底清除。 • 产品、条形码和餐厅菜单提交及其照片：自我们收到之日起 24 个月后自动删除；我们采纳的产品信息将成为共享数据库的一部分，这些数据库依据 ODbL 许可证发布。 • 反馈（包括所附的任何截图）、诊断报告和联系表单留言：自我们收到之日起 24 个月后自动删除。 • 上传限额记录（安装标识符和请求时间）：2 天。App Attest 注册信息：自注册之日起 24 个月后自动删除。因滥用而被封禁的安装记录：在防止滥用所需的期限内保留。 • 同步到 iCloud 的偏好设置会保留在您的 iCloud 账户中，直至您将其删除或重置应用（第 2 条）。 如需更早删除您发送给我们的内容，请来信告知（第 19 条）；我们将在 30 天内删除。
16. 您的权利
根据您的居住地——包括根据以色列《隐私保护法》（5741-1981，经第 13 号修正案修订），以及在适用情况下根据 GDPR——您有权访问我们持有的有关您的个人数据，要求更正或删除这些数据，以可携带的格式获取这些数据，反对或限制基于我们正当利益的处理，并随时撤回同意。由于您的大部分数据仅保存在您的设备上，您可在应用内直接行使大部分此类权利：在“设置”中完整导出到文件、直接更正或删除条目（或通过重置选项删除全部内容）、在关怀圈界面中撤销链接，以及随时关闭健康权限、云端 AI 或诊断功能。对于您发送给我们的数据，请来信告知（第 19 条）。由于没有账户，请告诉我们您使用的电子邮件地址，或描述您发送了什么以及何时发送（例如某个条形码），以便我们找到相关数据；我们将在 30 天内答复。您还可以向数据保护机构投诉——在以色列为隐私保护局；在欧盟或英国，为您居住地的主管机构。
17. 儿童
本服务不面向 13 岁以下的儿童（或低于您所在国家/地区最低年龄的儿童），我们不会在知情的情况下收集儿童的个人信息。您为家庭成员（包括儿童）创建的过敏原档案保留在您的设备上。如果我们获悉某名儿童向我们发送了个人信息，我们将予以删除。
18. 本政策的变更
对于重大变更，我们将至少提前 14 天在应用内和本页面发布通知。最近更新日期显示在本文档顶部。变更生效后继续使用即表示接受更新后的政策。
19. 联系方式
本服务由 Abed Alnkib 运营，其对您的个人数据负责。如有任何隐私相关的问题、请求或投诉，请联系：[email protected]，或通过网站的联系表单。本文档是《使用条款》不可分割的组成部分。