给情绪留一点空间，也给隐私留一道边界。
隐私协议
哪些信息留在这里，
哪些会被处理，都说清楚。
中文 · 版本 1.0 · 编制日期 2026.10.08 · 适用范围：留白 App 与网页版本
先看这三件事
记录以本机保存为主
对话、树洞、日记与记忆主要保存在当前设备。AI 回应需要处理相关内容，不能简单理解为“数据绝不离开设备”。
可选上传与 AI 请求不同
个性化内容服务涉及额外上传。关闭它后，AI 回应仍需联网；主动点赞、点踩的票值仍可能被记录。
删除有不同范围
清空本机记录，不会自动删除已提交的反馈、服务端内容或系统备份。各类数据需要分别处理。
01适用范围与说明
本协议说明「留白」在提供知序对话、情绪树洞、心情日记、释放空间、记忆及相关设置功能时，对个人信息的处理方式，以及你可以作出的选择。本文以当前项目 2.6.01 工作副本的数据流程为依据，不把尚未落地的设计目标描述为既有能力。
留白旨在帮助你表达情绪、整理想法和寻找现实中的下一步。知序是 AI 助手，不是医生、心理咨询师或紧急救援机构。不要把聊天当作医疗诊断、治疗或即时安全保障。
情绪、健康、创伤经历和涉及未成年人的信息可能具有较高敏感性。请尽量不用真实姓名、精确地址、学校详细信息、证件号码、密码或他人的身份信息描述困扰。拒绝提供这些信息，不妨碍你表达情绪。
02我们处理哪些信息
不同功能处理不同信息。下表区分记录的主要保存位置与为提供服务发生的联网处理。本机留存不代表该内容从未通过网络处理。
| 功能 / 信息 | 用途及主要保存位置 | 联网处理情形 |
|---|---|---|
| 知序对话与话题 | 对话记录、标题和时间等主要保存在本机，用于查看及续聊。 | 生成回答时发送当前消息、必要的近期对话、偏好及已确认记忆；生成标题也会处理相应对话内容。 |
| 情绪树洞 | 纸条内容、回应及相关记录主要保存在本机。 | 情绪分类、生成回声时，相应文字交由 AI 服务处理；授权后的回声反馈可能另行保存。 |
| 心情日记 | 心情天气、备注、日期等主要保存在本机。 | 生成首页 AI 问候时，近期心情天气和备注可能作为材料发送。 |
| 知序记忆 | 确认保存的简短条目主要存于本机 IndexedDB，可在记忆管理中查看或删除。 | 回答时可作为上下文发送；开启可选服务后，记忆条目可能额外上传到服务端。 |
| 释放空间 | 用于交互的文字不作为该功能的长期记录保存；保存释放次数等状态。 | 首页问候可能使用次数及近期状态，不发送释放文字作为问候材料。 |
| 首页问候 | 生成结果和日期等缓存在本机。 | AI 问候可能处理近期对话或树洞摘录、日记备注、心情天气和释放统计。 |
| 个性化设置 | 称呼、主题色、回复偏好、使用设置与授权选择等主要保存在本机。 | 回复偏好可能随 AI 请求发送；不要把证件姓名等敏感信息写入偏好。 |
| 主动反馈 | 票值、反馈时间、话题标识、轮次、来源及应用生成的设备标识可存于服务端。 | 开启内容服务时，还可能提交被评价的文字、AI 回答及有限上下文；关闭时不提交这些正文。 |
| 网络与运行信息 | IP 地址等用于网络传输、请求处理与限流；应用生成的设备标识用于关联反馈。 | 中转、托管及模型服务会处理提供服务所需的网络请求信息。相关日志期限需结合实际部署核实。 |
应用生成的设备标识不是姓名或手机号码，但可能关联同一设备上的提交内容，不能将其等同于完全匿名的数据。留白目前不以创建账号、提供手机号或实名注册作为这些本地功能的前提。
03AI 与第三方服务
为回答而处理，不等于只处理一句话
使用 AI 功能时，相关内容经留白的中转接口发送给实际配置的模型服务。为保持对话连贯，请求可能包含近期历史、已确认记忆与偏好；标题、情绪分类、回声和每日问候也有各自的处理材料。
当前项目使用 Cloudflare Worker 提供中转，并包含 Cloudflare D1 的反馈与可选内容存储路径；本地默认模型配置为 DeepSeek。项目支持调整模型供应商，实际接收方须以正式服务公布的配置为准，不能仅依赖源码默认值。
第三方处理的边界
模型与托管服务会接收完成请求所必要的信息。它们的处理地点、保留期限、是否用于训练、再委托情况及安全措施，应由运营方依据实际合同与配置核实并在发布时披露。不能仅因中转聊天接口没有主动写入数据库，就承诺模型方、托管方或日志系统不保留数据。
如实际处理涉及向境外提供个人信息，运营方应在开展该处理前依法完成适用的告知、同意和其他程序，并说明接收方、信息类别、目的及权利行使方式。本编制稿不对未经核实的境内外处理地点作出保证。
AI 输出可能不准确，不应作为疾病诊断或用户人格判断。当前情绪分类是对文本的有限判断，不是心理评估；记忆和个性化不得成为隐蔽建立心理画像或持续风险标签的理由。
04可选内容服务与主动反馈
设置中的「允许个性化内容服务」与生成 AI 回答的必要联网处理是不同的。当前代码中，这个开关控制两类额外内容提交：
- 反馈正文：你主动点赞或点踩时，被评价的用户文字、AI 回答及同一话题中有限的上下文，可以提交到服务端用于理解反馈和改进回应。
- 话题与记忆：应用可在内容变化等时机提交话题标题、已保存记忆条目及应用生成的设备标识；并非只在点赞或点踩时才提交。
关闭该开关后，客户端应停止上述可选正文与话题、记忆的额外提交；但正常 AI 请求仍会发送生成回应所需的内容，主动反馈的票值和必要元数据仍可能被记录。不能把关闭可选服务解释为“不再有任何联网传输”。
关闭开关不会自动撤回已经提交到服务端的内容，也不会自动删除历史反馈。已提交数据的删除需要通过正式隐私联系渠道另行申请。
可选处理应在清晰说明用途与范围后，由你作出自主选择。包含健康信息、未成年人信息或其他敏感内容时，还需满足适用的单独同意等要求。将内容用于模型训练、另一个目的或新的接收方，不能仅凭此前的记忆确认或反馈行为视为已获得授权。
05未成年人保护
留白面向青少年，相关信息处理需要更审慎。不满十四周岁未成年人的个人信息属于敏感个人信息；运营方应依法取得监护人同意，制定专门的处理规则，并提供适合监护人行使权利的渠道。十四周岁以上未成年人也应获得适龄、清晰的说明与适当保护。
本页不使用“继续使用即视为监护人同意”的方式。未完成适用授权前，不应开启涉及儿童个人信息的在线处理或可选上传。当前项目尚需补齐独立的儿童规则、监护人同意及相应撤回机制，不能仅由本协议文字代替实现。
不要要求孩子为普通情绪表达提交证件、学校详细地址或精确位置，也不应将健康、创伤、自伤、性经历等敏感披露自动转为长期记忆或可选改进材料。发现相关内容时，应按最小必要原则处理。
涉及欺凌、家庭暴力或其他危险时，现实中的求助对象应是安全、可信、能保护用户的人，不默认必须联系可能涉害的家长。留白不能自动定位、报警、通知监护人或代替紧急救援；本协议也不表示聊天内容会被常规转交家长。
06保存期限与安全
本机数据
本机记录通常在你删除、清理应用数据或浏览器站点数据前保留，也可能因设备故障、系统清理或存储环境变化丢失。留白目前没有账号式的常规云端备份恢复机制。请妥善保管设备，公共或共享设备上的本机内容可能被其他使用者看到。
Android 当前配置允许系统备份。系统、浏览器或设备迁移功能可能对本机数据产生副本，卸载不一定清除这些副本，也不保证迁移后不能恢复。你可根据设备设置管理备份；本机删除不能替代备份管理。
服务端与第三方数据
当前代码包含服务端反馈和可选话题、记忆的保存能力，未发现统一自动到期删除策略。服务端保存期限、日志周期及备份清理规则需在正式发布前明确，不得据此宣称“请求结束即全部删除”或“卸载即可删除全部信息”。
运营方应将保留限定在处理目的所需的最短合理期间；目的完成、期限届满、同意撤回或满足其他适用条件时，应依法删除或采取相应措施。依法需要保留的，应限制用途与访问。
安全措施
当前请求通过 HTTPS 接口传输，模型服务密钥由服务端配置，不应写入客户端。运营方还应实施访问权限控制、日志最小化、备份管理和安全事件处置。网络传输保护不意味着本机存储已经加密，也不能承诺不存在任何泄露风险。
发生个人信息安全事件时，运营方应依法采取补救措施、履行相应通知和报告义务。不要在公开反馈、聊天截图或可选上传材料中包含密码、凭证等秘密。
07你的选择与权利
查看与管理记忆。在设置中的「知序记住的事」查看、修改或删除条目。对 AI 说“忘记”可以要求它停止引用，但不应把模型的文字确认当作实际删除结果。
关闭可选内容服务。在设置 → 隐私中关闭「允许个性化内容服务」。这限制后续可选上传，不会自动删除已提交内容，也不关闭 AI 功能本身必要的请求。
清空本机记录。使用设置中的「清空全部记录」删除该功能覆盖的本机记录。当前实现会保留称呼、主题色和回复偏好等部分设置；如需清除这些内容，还可清理应用数据或浏览器站点数据。系统备份需要另行管理。
申请处理已上传内容。对于反馈、话题与记忆等服务端信息，可依法请求查阅、复制、更正、删除、撤回同意或说明处理规则。应通过正式公布的隐私联系渠道提出；当前页面不提供自动服务端删除按钮。
权利请求需要进行必要、适度的身份或提交记录核验，避免他人冒领或删除你的数据。核验应遵守最小化原则，不应默认要求提交证件原件、密码或完整敏感对话。因法律规定无法完全处理的，应说明理由和可行范围。
当前版本未确认具备通用的数据导出或在线权利申请功能，本页不承诺不存在的操作入口。撤回同意通常不影响撤回前基于有效授权已经开展的处理，但应停止依赖该同意的后续处理，并按法律要求处置已有数据。
“清空全部记录”会删除我的设置吗？
当前代码会保留称呼、主题色和回复偏好等部分设置。该按钮处理的是其覆盖的本机记录，不包含服务端反馈、第三方记录或系统备份。
关掉个性化服务，知序还会收到我的消息吗？
会。生成 AI 回答仍需要处理当前消息和必要上下文；这个开关控制额外的内容服务上传，不是联网总开关。不希望内容被在线处理时，可不使用对应 AI 功能。
点击“记住”是否同意把内容用于训练？
不是。确认记忆与训练、反馈改进或其他用途属于不同处理事项。不能把一种授权直接当作另一种授权；额外处理应有相应说明和适用的同意。
08权限、Cookie 与本地存储
当前 Android 主清单仅声明网络访问权限，未在该主清单中声明定位、通讯录、相机、麦克风或相册权限。正式发布前仍需核对依赖合并后的权限清单；如果未来增加功能或权限，应先说明目的和影响，不得以本协议概括授权。
App 与网页使用 localStorage、IndexedDB 等本地存储保存记录、偏好和必要状态。它们与广告追踪 Cookie 不同，但同样可能包含个人信息。你可以通过产品设置、系统应用数据或浏览器站点数据管理。
当前审阅范围没有确认部署广告跟踪 SDK 或跨站营销追踪机制，也不据此保证托管、第三方或未来版本绝无 Cookie 或其他技术。新增相关技术、接收方或用途时，应先更新披露与适用选择机制。
本独立协议网页无需账号，不包含分析追踪脚本、外部字体请求或数据提交表单。打印与阅读目录在浏览器本地工作。
10协议更新与联系我们
当功能、接收方、用途、信息类别、保存方式或你的权利发生实质变化时，应更新协议并以适当方式提示。需要重新同意的处理，应在取得适用授权后开展，不采用“继续使用即同意一切变更”的方式。
编制日期：2026 年 10 月 8 日。正式生效日期：应在运营主体完成必要信息核实与发布程序后公布，不能将编制日期自动视为生效日期。
个人信息处理者及联系渠道：当前项目未提供可确认的法定主体名称、地址与专门隐私联系渠道。本页不虚构邮箱或将开发者社交账号当作已建立的权利受理渠道。正式上线前应公布真实可用的渠道、权利请求处理流程及响应安排，并同时更新本页。