隐私政策
茧的核心服务由 AI 提供。App 会在注册或首次使用 AI 服务前，完整展示发送的数据、处理用途和接收方，并取得你的主动同意。从 1.0.67（283）版起，注册页将“用户协议与隐私政策”和“AI 数据处理说明”分为两个默认未勾选的选项；点开 AI 说明后，须在说明页明确确认才会勾选，返回或关闭不代表同意。你也可以在网页查阅AI 数据处理说明。从 1.0.68（284）版起，App 内说明页读取此线上文档；页面加载失败或说明版本不一致时不能确认同意。普通文字与排版调整不改变既有同意，数据范围、用途或接收方的实质变更会更新说明版本并重新征得同意。未同意不会进入 AI 服务；没有本版同意记录的已登录账号也需先确认，同意记录按账号保存，不会每条聊天重复询问。你可以先阅读说明及完整政策，再决定是否使用，也可退出登录或主动删除账号。上述流程将随配套 App 和后台更新提供。如有疑问，请联系 support@hicocoon.com。
茧（COCOON，以下简称"我们"）是一款以"记住你真正在意的"为核心的个人 AI 应用。你的信任是茧存在的前提，本政策说明我们如何收集、使用、存储与保护你的信息。
一、我们收集的信息
- 账号信息：注册与登录所需的手机号或邮箱等基本信息。
- 你主动提供的内容：你与茧的对话、保存的笔记与资料。这些内容用于实现"记忆"与个性化能力，是茧为你服务的基础。
- 设备与日志信息：为保障服务稳定与排查故障所必需的设备型号、系统版本与运行日志。
- 位置信息（可选，默认关闭）：你主动开启“位置推荐”后，我们会在你使用 App 期间获取你授权的位置信息，并随消息发送至服务器，用于附近推荐、位置相关对话及常用地点分析。位置精度取决于系统授权，可能包括精确位置；你可以选择仅授权大致位置。我们不会申请后台定位，你可随时在设置中关闭位置推荐。关闭后，新消息不再携带位置，并清除本机缓存。
二、信息如何使用
- 提供记忆、提醒、个性化对话等核心功能。
- 从对话与记录中整理的推断信息：为提供个性化服务，茧会根据你的对话内容、互动时间及相关记录，逐步整理和推断你的性格倾向与沟通偏好、你提到的人物及其与你的关系、常用地点与作息规律等信息，用于形成「茧眼中的你」及「记忆全景」中的人格、关系、档案、节律内容。涉及设备位置的处理，以你另行授权的位置权限为前提。这些信息用于向你本人提供服务，不用于广告投放、不出售，也不向其他用户提供；实现上述功能所需的第三方 AI 处理，遵循本政策第四节的说明。推断可能不准确，你可以提出更正或删除请求。对话中涉及他人的个人信息，请确保你有权提供，并尽量仅提供使用相关功能所必需的内容。
- 改进产品体验与服务质量。
- 我们不会出售你的个人信息。
三、存储与安全
App 与我们的线上服务通过 HTTPS/WSS 加密传输数据；数据存储于我们的服务器，并通过访问控制、权限隔离等措施进行保护。我们持续采取合理可行的技术手段防止信息遭到未经授权的访问、泄露或损毁。
保存期限与删除后的处理
- 账号与内容：账号资料、对话、上传内容、记忆及推断信息，在提供你所使用的功能所必需期间保存，直至你删除相应内容或账号；临时文件按相关功能标明的有效期处理。账号删除后，这些数据从在线业务系统和账号专属文件目录清除，不能通过重新注册找回。
- 运行日志：用于故障排查和安全维护，按日期、日志文件大小和保留份数轮换，不以日志长期保存对话内容。登录验证码、密码和登录令牌不应写入应用日志；历史日志仅限授权运维访问，按轮换机制清理。如因具体争议或法定义务需要保留必要记录，我们将限制其用途和访问，并在保留事由结束后删除或匿名化。
- 隔离备份：账号删除不会立即改写此前生成的整库备份。备份仅用于灾难恢复，按日、周、月备份份数及容量限制轮换；故障导致备份中断时，轮换时间可能延后。这些副本不用于日常服务或恢复你的已删除账号。执行恢复时，必须先重新处理恢复点之后的删除请求，再恢复对外服务。
- 删除凭据：为避免恢复旧备份后重新出现已删除账号，我们单独保留最小删除凭据（内部账号编号、创建时间及删除请求时间），不包含对话、附件、联系方式或推断内容。凭据仅用于执行删除和灾难恢复核验，在相关备份及恢复风险消除后可清理。
- 第三方处理：发送至第三方的必要数据按第四节披露的用途及接收方规则处理。删除茧窝账号不等于能够即时擦除第三方或 Apple 保存的交易、安全记录；相关查阅或删除请求可联系 support@hicocoon.com，我们会在可控制及适用义务范围内协助处理。
四、第三方服务与 AI 数据处理
明确同意：在发送个人数据给第三方 AI 服务前，我们会在 App 内直接说明数据类别、用途及接收方，并取得你的主动同意；打开本政策链接本身不代表同意。若处理用途或接收方发生实质变化，我们会重新告知并取得相应同意。
第三方保护要求：我们要求接收方仅在提供相应服务所需的范围内处理数据，并提供与本政策相同或同等的个人信息保护，包括限制处理用途、采取安全保护措施及限制未经授权的披露。不能满足这些要求的服务不得接收你的个人数据。
处理目的：为提供 AI 回复、附件理解、记忆提取与检索、个性化服务和任务执行，我们会通过相应的第三方 AI 服务处理必要内容。语音输入使用语音识别服务将录音转成文字，朗读使用语音合成服务将文本转成语音。
发送的内容：包括聊天内容、你主动提供的图片、视频和文件等附件或其提取结果、与功能相关的对话历史、记忆、个人背景及其他上下文，以及你授权使用的工具结果。使用语音输入时，会发送录音和必要的请求标识用于转写。这些内容可能包含你在其中提供的姓名、联系方式或其他个人信息，不能等同于匿名数据。
接收方：根据所选模型、所用功能及实际服务通道，相关内容可能发送给以下相应服务提供方，并非每条消息都发送给全部接收方：
- 模型服务：DeepSeek、月之暗面（Kimi）、智谱（BigModel）、阿里云百炼（通义千问）、Anthropic（Claude）、OpenAI（GPT / Codex）、Google（Gemini）。接收上述必要内容，用于模型推理、生成回复、理解附件、记忆处理及任务执行。
- 模型接入方式：部分模型直接连接官方服务，部分通过阿里云百炼、硅基流动、国家超算互联网平台提供服务。仅在实际使用相应平台时，该平台才会接收完成请求所需的内容。
- 语音识别与合成服务：我们会根据功能需要和服务可用性，选择火山引擎、硅基流动、腾讯云中已启用且支持相应功能的服务。相应服务可能接收音频流、录音文件、视频音轨或待朗读文本，以及必要的请求标识，用于语音转写或生成朗读音频；转写文本再按上述 AI 对话流程处理。腾讯云目前提供语音识别备用服务。服务波动时，可能切换至已启用的备用服务，并重新发送完成本次转写所需的音频。仅向实际承担相应功能的接收方发送必要内容，并非每条消息发送给全部接收方。
同意方式：新版 App 的普通手机号注册及短信登录首次创建账号，均需在创建账号前主动勾选同意。我们记录同意时间和政策版本；同意后，在本次披露的处理范围内，不会每条聊天重复询问。仅打开政策、获取验证码或点击登录，不代表已同意 AI 数据处理。
可选权限：此项注册同意不包含位置、相机、麦克风等可选设备权限或通知授权，也不作为广告追踪授权。相应权限在需要时另行申请；你可以拒绝，并在系统设置中开启或关闭。
系统权限管理：在支持该入口的新版移动端 App 内，点击「我的 → 设备与能力 → 系统权限设置」，即可跳转到系统中的茧窝设置页，管理相机、麦克风、通知等授权。你既可以关闭，也可以重新开启；具体可调整的项目以系统显示为准，尚未申请过的权限可能不会出现。iPhone/iPad 也可直接进入系统「设置 → 隐私与安全性」管理相机、麦克风和定位权限，或进入「设置 → 通知 → 茧窝」管理通知。关闭相机后无法在 App 内拍摄，关闭麦克风后无法录音或使用语音通话，关闭通知后不再接收系统通知；这些操作不影响文字聊天。App 内的「位置推荐」开关用于独立控制是否使用位置提供推荐。
通知与 Apple 推送服务：在你允许 iOS 通知后，我们会将 Apple 分配的推送设备标识与你当前登录的账号关联，用于发送回复、任务及提醒通知；实时活动使用独立的活动推送标识更新状态。Apple 推送通知服务（APNs）会处理相应标识、通用状态提示及用于打开对应页面的必要标识。普通通知使用事件类型和通用提示，不直接展示对话正文、任务汇报正文、提醒详情或人格推断。实时活动可展示当前任务名称、执行阶段、状态、数量和进度，用于识别正在进行的事项；任务名称及详细进展文字会标记为隐私敏感内容，由系统按适用的隐私设置处理展示或遮挡。任务完整内容仍需打开 App 后在当前账号权限范围内查看。这些标识不用于广告追踪。你可以在系统中分别关闭通知及实时活动，不影响文字聊天。
小组件与锁屏展示：你主动添加桌面或锁屏小组件后，可以查看本账号的待办、提醒名称、时间和数量。App 与自身小组件通过系统共享容器保存必要的事项快照及专用访问凭证，用于同步事项；敏感内容已标记，由 iOS 按你的锁屏和常亮显示设置决定是否隐藏。请根据使用环境管理锁屏可见内容，也可随时移除小组件。
退出与切换账号：配套新版 App 会在退出或切换账号时清理已送达通知、小组件缓存及旧实时活动，并使用退出前的账号身份解除本设备的推送绑定，避免影响其他设备或新账号。离线退出时，先在本机停止接收远程通知并清理展示；服务器解绑可能因网络或登录凭证失效未能立即完成，重新登录并成功注册时，本设备绑定会更新至当前账号。已经由系统投递或正在传输的通知可能存在短暂处理延迟。删除账号时，服务器还会删除该账号的推送标识。
语音通话的使用范围：从 1.0.66（282）版起，移动端语音通话仅在 App 前台使用。切换到后台或锁屏时，App 会停止本轮录音、实时音频传输和自动续听；未发出的本轮内容不会自动发送。回到前台后需由你主动重新开启通话。此前已经发送的内容仍按本政策处理。
第三方 SDK：Android 版在你开启"位置推荐"后使用高德定位 SDK（提供方：高德软件有限公司）计算定位结果。该 SDK 会收集你的位置信息与用于定位所必需的设备信息（如 WiFi 状态与列表、基站信息、设备标识）。该数据由高德按其隐私政策处理；未开启位置推荐时该 SDK 不会初始化、不收集任何信息。iOS 版使用系统定位服务，不接入该 SDK。
位置查询服务：为实现附近推荐及地点解析，服务器可能将必要的位置坐标或地点查询信息提供给高德位置服务，用于查询周边地点、解析地名和辅助识别常用地点。iOS 版使用系统定位时，这些服务器查询也可能使用高德位置服务。
五、你的权利
你有权查阅、更正、删除你的个人信息，并可随时注销账号。
- 查看与管理记忆：茧记住的每一条内容，你都可以在 App 内查看、修改或单条删除。
- 查看与更正推断信息：在「我的 → 成长与记忆 → 茧眼中的你」或聊天页点击茧的头像，可查看当前成长阶段与理解程度；付费会员可在「我的 → 成长与记忆 → 记忆全景」查看人格、关系、档案、节律四页。发现记错或推断有误时，你可以直接在对话中指出错误并提供更正信息。被更正的事实记录可能保留标记为历史的旧版本，与当前有效信息区分；如希望删除相关信息，你也可以提出删除请求。所有用户均可通过 support@hicocoon.com 申请查阅、复制、更正或删除上述信息，不受会员身份限制。删除账号时，与该账号关联的推断信息将一并纳入本政策所述的个人数据清除范围。
- 撤回核心 AI 数据处理同意并退出服务：茧的核心功能依赖上述必要的 AI 数据处理。注册前，如果你不同意，请勿勾选同意并注册；注册后，如果你不再接受这些必要处理，可以在 App 内进入「我的 → 账户 → 删除账号」，主动确认删除账号并结束服务。删除账号及相关数据的处理方式见下文。位置、相机、麦克风等可选权限仍可单独关闭，无需为此删除账号。
- 删除账号：在 App 内进入「我的 → 账户 → 删除账号」即可自助完成。账号删除后，你在本 App 在线业务系统中与该账号关联的全部个人数据将被清除，包括但不限于个人资料、对话记录、上传文件、笔记、记忆、知识库及其内容、项目及其资料、任务与记事、经验，以及 App 内的订阅权益与剩余额度。上述列举仅为示例，不限制个人数据的清除范围。该操作不可撤销，删除后无法恢复；隔离备份、必要日志及删除凭据按本政策第三节处理。你也可以来信 support@hicocoon.com 申请删除。
- Apple 自动续费会员（如适用）：如果你通过 Apple 开通的会员仍开启自动续费，删除茧窝账号不会取消订阅，Apple 仍会按订阅规则续费。请先前往 管理 Apple 订阅 取消续订，或在 iPhone/iPad「设置 → Apple 账户 → 订阅」中操作。一次性重置商品不会自动续费，无需取消。你仍可立即删除账号，无需等待订阅到期。
- 其他请求：如需导出数据或有其他与个人信息相关的请求，可发送邮件至 support@hicocoon.com，我们将在合理期限内处理。
六、未成年人保护
茧面向年满 18 周岁的成年用户，在 App Store 的年龄分级为 18+。我们不向未满 18 周岁的未成年人提供服务，也不会有意收集未成年人的个人信息。
若你是未成年人的监护人，发现未成年人在未经你同意的情况下使用了茧并提供了个人信息，请通过本政策末尾的方式联系我们，我们会尽快删除相关信息并关闭账号。
七、政策更新
本政策更新时，我们会在本页面发布新版本并更新"更新日期"。重大变更将以适当方式另行提示。
八、联系我们
本产品的运营主体与个人信息处理者为深圳市埃瑞克电子商务有限公司。如你对本政策或个人信息处理有任何疑问，可通过以下方式联系我们：
- 邮箱：support@hicocoon.com
- ICP 备案号：粤ICP备2025381445号-8
- App 备案号：粤ICP备2025381445号-10A