知眠（LullSense）隐私政策

版本：草稿 rev 3（内测版） · 起草日期 2026-10-15 · 生效日期：待律师确认后填写 运营主体：Heslora LLC · 联系邮箱：[email protected] 托管地址：https://heslora.com/lullsense/privacy/

一句话总览

知眠把你的睡眠记录、聊天记录和「知眠记得的信息」都存在你的手机上。按钮记录、预测和提醒完全在手机上完成，不联网也能用。只有两类操作会把内容发出手机：聊天与自然语言记录（本轮相关内容发给 AI 模型处理，不用于训练）和你主动开启的内测云端备份。我们的服务器除内测备份，以及你在 👍/👎 反馈里主动写的说明或主动附上的那轮对话外，不保存任何记录或聊天内容。

1. 我们是谁

知眠（LullSense）由 Heslora LLC（美国）开发和运营。关于本政策的任何问题、数据请求或投诉，请发邮件到 [email protected]。

知眠是一款帮助家长记录婴幼儿睡眠、理解作息规律的工具。它不提供医疗建议，不能替代医生。

2. 数据在哪里：三块互相隔离的部分

1. 你的手机：记录的主库。宝宝资料、睡眠与夜醒记录、聊天记录、知眠记得的信息、预测与校准数据、安全暂停状态都只存在这里。
2. 知眠服务器（由 Heslora LLC 运营，托管在云服务商处）分四块，彼此隔离：
3. 账号服务：只保存账号所需的最少数据：你的 Apple 化名 ID、用量计数、订阅档位与 Apple 订阅交易的标识（见第 6、7 节）。
4. 聊天网关与复盘分析：无状态计算。我们的程序不把请求内容写入数据库、日志或文件；内容只在处理本轮请求期间存在于内存中。
5. 内测云端备份：内测期间唯一的内容例外。独立数据库，默认关闭，只在你登录并单独同意后才上传（见第 5 节）。
6. 反馈库：独立数据库，只存你主动提交的 👍/👎 反馈（见 3.8）。
7. 第三方处理者：Apple（登录与订阅）、AI 模型服务商（聊天）、云服务托管商（服务器）。第 9 节列出完整名单。

3. 逐项说明：每种数据存在哪里、是否离开手机、保留多久、怎么删除

3.1 睡眠记录（含夜醒、修改历史）

• 存在哪里：手机本地数据库；默认排除出 iCloud 备份（见第 8 节）。
• 是否离开手机：默认不离开。三个例外：① 你开启内测云端备份时上传到知眠服务器；② 在聊天中问作息规律或复盘时，最近最多 28 天的记录发给知眠服务器做复盘分析（见 3.9）；③ 你自己导出 JSON 文件。
• 保留多久：直到你删除。历史不自动截断。
• 怎么删除：单条删除或撤销；设置 › 数据控制 › 删除宝宝全部数据（手机上硬删除并清理残留；若曾开启云端备份，同时向服务器发删除请求，服务器确认前显示「待确认」）。

3.2 宝宝资料（名字、出生日期或大致月龄、出生孕周）

• 存在哪里：手机本地数据库。
• 是否离开手机：聊天时 App 不会附带名字与生日，网关只收到月龄；但你在聊天中自己输入的文字（包括名字）会原样发送。开启内测云端备份时随备份上传；经你在第 5 节同意后，备份内容可能为质量评估交给 AI 模型服务商处理（不用于训练）。
• 保留多久：直到你删除。
• 怎么删除：删除宝宝全部数据。

3.3 聊天记录

• 存在哪里：手机本地数据库。
• 是否离开手机：每发一轮，最近几条对话（最多 12 条纯文本）连同月龄、记忆摘要（若记忆开着）、发送时刻和你设备的地区代码（两位字母，如 US，用于给出当地急救号码）发给知眠网关，网关转给 AI 模型服务商处理。知眠服务器用完即弃。聊天不进入内测云端备份。
• 保留多久：手机上直到你删除。知眠服务器不保存（例外：你在反馈里主动附上的那轮对话，见 3.8）。模型服务商按其条款保留（见第 4 节）。
• 怎么删除：设置 › 数据控制 › 删除全部聊天记录与聊天记忆；或删除宝宝全部数据。

3.4 知眠记得的信息（记忆：事实与尝试计划）

• 存在哪里：手机本地数据库。
• 是否离开手机：「聊天长期记忆」开着时，每轮最多 20 行记忆摘要发给 AI 模型。新记忆不论由模型提出还是由手机本地规则识别，都必须经你在「记住？」卡上确认才会保存。不进入内测云端备份。
• 保留多久：直到你纠正或删除。记忆关闭期间的对话不会进入记忆，之后也不会回流。
• 怎么删除：「知眠记得什么」视图里逐条纠正或删除；关闭记忆开关；删除全部聊天；删除宝宝。

3.5 预测与校准数据

• 存在哪里：预测结果只在手机内存中，不持久化，重启后由记录重算。校准数据（预测与实际的配对、最近 7 次偏差）存在手机本地。
• 是否离开手机：不离开。
• 保留多久：预测随记录变化即重算；校准数据滚动保留。
• 怎么删除：删除宝宝时一并清除。

3.6 安全暂停状态

当聊天中出现需要就医的信号时，知眠会暂停睡眠建议。手机上每个宝宝只存一条暂停记录：审核后的原因码与严重度，不存你输入的症状原文；你确认恢复后只保留恢复时间。不离开手机。直到你明确确认恢复才解除（不会定时或静默恢复）。删除宝宝时清除。

3.7 本地通知（准备提醒等）

只在 iOS 系统通知队列中，不离开手机。状态变化时自动取消或替换。删除宝宝时取消其待发提醒。你可随时在系统设置中关闭通知权限，App 其它功能不受影响。

3.8 回复反馈（👍 / 👎）

• 存在哪里：手机上记在该条消息里；已登录时上传到知眠服务器的独立反馈库（与账号库、备份库分离）。
• 上传内容：投票、你勾选的标签（时间不对 / 没听懂 / 忘了我们家 / 语气 / 不合适 / 语言）、可选的文字说明（≤500 字）。只有你打开「附上这轮对话」时才附上这轮对话（≤12 条纯文本；不自动附带名字，但你在对话中自己写的内容会原样包含在内）。
• 用途：改进回答质量。反馈及其附带的对话不会用于训练任何 AI 模型；带对话的 👎 由团队成员人工改写成不含你身份信息的合成评估案例，只用于测试回答质量。
• 保留多久：直到你删除账号。
• 怎么删除：再点一次取消（服务器删行）；删除账号时一并删除。此前已据此人工改写、且不含你身份信息的合成评估案例不会随之删除。

3.9 复盘分析（你在聊天中问作息规律时）

• 当 AI 模型调用分析工具时，知眠网关向你的手机请求最近最多 28 天的记录（起止时间、时区、类型、夜醒、月龄；不含名字与生日），交给知眠服务器上的分析程序计算。
• 分析在知眠服务器上计算完即删除：我们的程序不把这些记录写入磁盘、日志或临时文件。回传的原始睡眠记录不发给 AI 模型服务商；分析算出的统计结果会作为本轮内容发给模型（不用于训练）。
• 结果不写回手机数据库，只有一行披露随回答进入聊天记录，例如「本次分析用了最近 N 天的睡眠记录，计算完即删除，不保存」。

3.10 账号数据

见第 6 节。

3.11 内测云端备份

见第 5 节。

4. 发给 AI 模型服务商的内容

聊天与自然语言记录会把本轮相关内容发给 AI 模型处理。具体是：

• 发什么：最近几条对话（≤12 条纯文本）、宝宝月龄、记忆摘要（记忆开着时，≤20 行）、发送时刻、设备地区代码；需要时追加上一轮的分析结果。App 不会主动附带名字、生日、完整历史或 Apple 账号信息；你在对话中自己写下的任何内容（包括名字）会作为本轮文字发送。
• 发给谁：Anthropic, PBC（Claude 模型，经其商业 API）。
• 训练：不用于训练模型。这是我们与服务商的合同约定。
• 保留：知眠服务器不保存请求内容，只保留 10 分钟的签名指纹用于防重放（不含文字）。模型服务商按 Anthropic 商业条款与数据处理附录保留（待核：填入其当前公布的默认保留期与链接）；涉嫌违反其使用政策的内容可能保留更久。本政策只按服务商实际条款描述。
• 发送前，手机会先在本地做安全分流（红旗词筛查）；触发暂停时，那条消息不会发给模型。

5. 内测云端备份（需要单独同意）

内测期间你可以在 设置 › 数据控制 开启云端备份。它默认关闭，登录本身不会上传任何内容。开启前你会看到并确认以下 8 项：

1. 备份什么：宝宝资料（名字、出生日期或月龄、出生孕周）、睡眠记录和夜醒记录及其修改历史。其中可能包含与健康有关的信息。不包括聊天内容、知眠记得的信息和尝试计划。
2. 用来做什么：排查问题、评估和校准预测质量，以及在你重装或换手机后恢复记录。
3. 谁能看到：只有经授权的知眠团队成员，为上面的用途、在有访问记录的受控环境中查看。
4. 交给谁处理：我们的云服务托管商；如用于质量评估交给 AI 模型服务商处理，均不得用于训练模型。名单见第 9 节。
5. 保存多久：内测结束：正式版上线后 30 天内删除，最晚 2027-12-31 前删除。截止后服务器拒收上传。
6. 怎么停止和删除：随时在 设置 › 数据控制 停止备份，或停止并删除云端备份；退出登录也会停止备份（云端副本保留到内测结束用于换机恢复，可随时删除）；删除账号会同时删除云端备份。手机上的记录都不受影响。
7. 与账号关联：备份与你的 Apple 登录账号关联，不是匿名的。
8. 完整隐私政策：即本文。

同意后你可以选择补传已有历史，或只备份以后的记录。备份不是同步：一个账号一台备份设备，只在空设备上恢复，不合并。

6. 账号与登录（Sign in with Apple）

• 登录是可选的。不登录时记录、预测、提醒全部可用；聊天需要登录。
• 登录时我们从 Apple 的身份令牌中只读取化名 ID（Apple 为知眠生成的稳定随机标识），据此派生一个用户 ID。我们的应用程序不读取或保存你的邮箱、姓名、Apple 令牌或硬件设备标识，也不把 IP 地址写入我们的数据库。 云托管商的网络基础设施可能在短期访问日志中记录连接的 IP 地址，用于安全与防滥用，保留期按托管商设置（待核：填入天数）。你给 [email protected] 发邮件时，我们会保存邮件往来以处理你的请求。开启内测云端备份时，服务器记录允许上传的那一台设备的标识，这是 App 自己生成的随机 ID，不是硬件或广告标识，用于保证一个账号只有一台备份设备。
• 账号库里只有：化名 ID、派生用户 ID、会话令牌的哈希值（会话 90 天）、按 UTC 日的咨询与记录次数计数、订阅档位及到期时间、每轮聊天的轮次 ID（用于防止重复扣次，不含文字）、Apple 订阅交易的原始交易 ID、产品 ID、到期与签署时间（见第 7 节）。
• 账号数据不是匿名的：它与你的 Apple ID 相关联。保留到你删除账号为止；按 UTC 日的用量计数同样随账号删除。服务器运行日志（只含请求类型、结果与交易 ID，不含内容）保留 待核 天。
• 退出登录只清除本机会话。删除账号在 设置 › Apple 账号 › 删除账号，需要 Apple 重新验证；服务器确认后才显示已删除；同时删除内测云端备份与反馈记录。手机上的数据不受影响。
• 未登录时，你的数据只在你的手机上，我们无法访问；请用 App 内的删除功能或删除 App。已登录用户通过邮件提出数据请求时，我们可能要求你在 App 内完成 Apple 重新验证以确认身份。

7. 订阅与付款

内测期间全部功能免费。正式版上线后，部分功能按订阅计费。付款由 Apple 处理，我们不会收到你的银行卡或支付信息。我们从 Apple 收到的是已签名的交易凭证；服务器只保存其中的原始交易 ID、产品 ID、到期时间与签署时间，用于判断你的档位。服务器运行日志会记录这个交易 ID（Apple 生成的不透明标识），不记录任何内容。待核（iOS 端订阅落地后对照实际字段复核本段）。

8. iCloud 备份与换手机

睡眠数据库默认排除出 iCloud 备份，以降低数据出手机的风险。这是降低风险的措施，不是保证：如果你过去曾在 iCloud 中备份过本机，旧副本可能仍在 iCloud 里，需要你在 iOS 系统设置中自行处理。换手机请使用 设置 › 数据控制 › 导出（JSON 文件，经系统分享面板）或内测云端备份。

9. 第三方处理者

上述处理者受合同约束，只能按我们的指示、为本政策所述目的处理数据，并提供不低于本政策的保护。

我们不出售你的数据，不与广告商共享。App 中没有任何广告、分析或崩溃上报 SDK。

知眠服务器位于美国（待核：托管区域），AI 模型服务商在美国处理请求（待核）。若你在美国以外使用知眠，你的信息会被传输到美国并按本政策处理。

10. 你的控制一览

「删除宝宝全部数据」覆盖：手机存储（含残留清理）、内测云端备份（删除请求在服务器确认前显示「待确认」）、待发提醒。我们的服务端日志不包含记录或聊天内容。删除聊天或删除宝宝不会删除你已提交的反馈；反馈只在你取消投票或删除账号时删除。服务器会保留一条不含内容的删除回执（宝宝的随机 ID 与删除时间），直到你删除账号。

查看与更正：你可以在 App 内直接修改宝宝资料和记录，在「知眠记得什么」中纠正记忆；服务器上的账号数据如需更正，请发邮件至 [email protected]。

请勿追踪：我们不跨网站或跨 App 追踪你，因此不对浏览器的「请勿追踪」（Do Not Track）信号作差别处理；也没有第三方通过知眠跨场景收集你的信息。

11. 儿童信息

知眠面向家长等成年照护者使用，不面向 13 岁以下儿童，我们不会故意向儿童收集信息。你在 App 中记录的是你孩子的睡眠与基本资料；这些信息默认只存在你的手机上，只有你开启内测云端备份时才会上传（第 5 节），聊天时 App 只附带月龄（第 4 节）。

12. 消费者健康数据声明（华盛顿州及类似法域）

待核：律师确认本节措辞与适用性。华盛顿州法律要求消费者健康数据隐私政策为单独链接的页面；公开上架前将另设页面并从 heslora.com 首页与 App 内链接，本节届时只保留指引。

睡眠记录、夜醒记录和聊天中提到的健康信息可能构成某些州法律下的「消费者健康数据」（如华盛顿州《我的健康我的数据法》）。

• 我们收集的类别：第 3 节所列各项。
• 收集与共享的目的：提供记录、预测、提醒与聊天功能；第 9 节所列处理者仅为提供这些功能处理数据。
• 共享对象：第 9 节所列处理者。我们不出售消费者健康数据。
• 你的权利：访问（导出）、删除（第 10 节）、撤回同意（关闭内测备份、关闭记忆、退出登录）。行使权利或申诉请联系 [email protected]。
• 内测云端备份需要你单独同意；同意内容见第 5 节。聊天中提到的健康信息会发给第 4 节的模型服务商处理（待核：律师确认该处理是否需另行取得同意）。

加州居民：上述数据属于敏感个人信息；我们只为提供你请求的服务以及经你单独同意的内测备份用途使用它，不出售、不共享用于跨场景行为广告。

13. 安全

传输全程 HTTPS。我们在数据库中启用安全删除设置，删除的数据不会在数据库文件中保留可读残留；托管商的自动快照或备份（如有）中的副本会在其轮换周期内被覆盖（待核：___ 天）。备份库、账号库、反馈库物理分离。团队成员访问内测备份须在有访问记录的受控环境中进行。没有任何系统是绝对安全的，我们不作「无法泄露」的承诺。如发生影响你个人信息的安全事件，我们会按适用法律通知你。

14. 变更

本政策更新时，我们会更新顶部的版本与生效日期。如果变更会以新的方式使用或共享已经收集的数据，我们会在 App 内提示，并在你明确同意后才对已有数据适用新做法；不同意不影响你按原政策继续使用或删除数据。