LumaCare 隐私政策
一句话：我们只收集"让家人能照看你"所必需的数据；数据存在我们自己的服务器上，只有同一个家庭圈的成员能看到；没有广告、没有统计 SDK、不出售任何个人信息；你可以在 App 内一键彻底注销账号，删除立即生效且不可恢复。
1. 我们收集哪些信息
| 类别 | 具体内容 | 用途 |
|---|---|---|
| 账号 | 邮箱地址（邮箱验证码登录）或 Apple 提供的用户标识；姓名、头像、语言与时区 | 登录、在家庭圈内展示身份 |
| 签到 | 签到方式（按键 / 语音 / 拍照）、心情标签、时间；语音签到只保存转写后的文字，不保存录音；拍照签到会保存照片 | 让家人了解今天的状态 |
| 健康记录 | 用药提醒与服药打卡、血压 / 血糖等体征数值 | 提醒按时服药、发现异常时预警家人 |
| 家庭互动 | 家庭动态（文字、照片）及家人的回应；圈内消息；相册照片 | 家庭圈内的沟通与共享 |
| 位置 | 触发 SOS 与每日签到时各获取一次当前位置（需你授权定位，且仅在 App 前台运行期间）；不使用后台定位，也不记录移动轨迹 | 随 SOS 预警或签到记录发送给家庭圈成员 |
| Nora 对话 | 你与 AI 助手 Nora 的文字对话内容，以及由此产生的情绪标签与会话摘要；语音输入由 Apple 的系统语音识别转成文字后才发送，我们收到的是文字 | 延续对话上下文、提供陪伴 |
| 设备 | Apple 推送令牌（APNs token）与平台标识；建立实时连接所需的会话凭据 | 实时连接凭据用于把新动态、预警送到在线设备；APNs 令牌目前仅留存，尚未用于发送通知 |
我们不收集：
- 不接入任何广告、崩溃统计或行为分析 SDK，不做跨应用 / 跨网站追踪，因此 App 内不会出现"跟踪"授权弹窗。
- 不读取通讯录、短信、通话记录、相册中未由你主动选中的照片。
- 不采集设备型号、厂商标识符（IDFA）或其他设备指纹。
2. 信息的共享范围
- 家庭圈内可见：你的签到状态与心情、语音签到的转写文字、家庭动态、相册照片、圈内消息、由你触发的 SOS 及其位置，对该家庭的圈成员（家人）可见。
- 仅本人可见：你与 Nora 的完整对话与会话列表只有你自己在登录后可读取，家人不能查看长辈与 Nora 的对话内容。
- 不出售：我们不会向任何第三方出售、出租或交换你的个人信息。
- 法律要求：仅在法律法规、司法程序或政府主管机关强制要求时，披露必要的信息。
3. 数据存放在哪里、由谁处理
- 服务端部署在 Cloudflare 平台（Pages / Workers 运行时、D1 数据库、R2 对象存储），用于承载 API、数据库与图片文件。
- 语音输入交给 Apple 的系统语音识别服务转写：这是唯一会接触你录音的处理环节，我们不接收也不存储录音文件，进入我们服务器的只有转写后的文字。
- Nora 的回复由服务端调用大模型推理生成；发送的是当前对话内容本身，不附带你的账号身份之外的额外画像数据。
- 家人的动态与预警通过 App 内的实时连接送达在线设备；签到与用药提醒由你设备上的系统本地通知触发。Apple 目前用于登录（Sign in with Apple）与下发设备令牌，尚未通过 APNs 发送通知。
- 本政策面向中国大陆以外的发行版本时，数据可能存储在 Cloudflare 位于全球的节点上。
4. 我们如何保护数据
- 所有客户端与服务端之间的通信均使用 HTTPS / TLS 加密。
- 接口按"必须是该家庭圈成员"校验权限，登录凭据为带有效期的签名令牌（默认 30 天过期）。
- 第三方登录（Sign in with Apple）的令牌在服务端做签名与签发方 / 受众校验，不接受未经验证的身份声明。
- 需要说明的是：数据库中的记录本身未做字段级加密，服务端管理员在运维时可访问数据；我们通过最小化收集与严格访问控制降低风险。
- 没有任何方案是绝对安全的。若发生数据泄露，我们会依法通知受影响的用户。
5. 保留期限与删除
- 数据在你账号存续期间保留，用于提供照护记录的连续性。
- 随时可彻底删除：在 App 内进入「我 → 注销账号」，我们会立即永久删除你的账号、你发布的动态与回应、你上传的照片文件、你的签到 / 用药 / 体征记录、你与 Nora 的对话、设备推送令牌。若你是某个家庭圈的长辈，该圈的记录也会一并删除。此操作不可撤销，无需联系客服，也不会有等待期。
- 邮箱验证码在 5 分钟后失效，并随账号注销一并删除。
- 如需在注销前获得一份自己的数据副本，请通过下面联系方式申请，我们在核实身份后人工提供。
6. 未成年人
LumaCare 面向成年人及其家庭成员，不面向 13 岁以下儿童，我们不会有意收集 13 岁以下儿童的个人信息。若我们认为收集到了此类信息，会尽快删除。
7. 政策更新
我们可能更新本政策。重大变更会通过 App 内提示或你注册邮箱通知。本页顶部标注了最近更新日期。
8. 联系我们
- 隐私相关问题：App 内「我 → 帮助与反馈」
- 邮箱：privacy@lumacare.com
English summary
LumaCare is a family caregiving app. We collect only what the service needs: your sign-in identity (email or the user identifier Apple provides), name and avatar, check-ins (including optional photos, voice recordings and their transcripts), medication and vital-sign records, family moments, messages and album photos, a push token for notifications, and your location only when you deliberately trigger SOS. We operate no advertising, analytics or tracking SDKs and never read your contacts, SMS or call log, and we do not collect device identifiers.
Data is stored on Cloudflare infrastructure (Workers / Pages, D1 database, R2 object storage) and is visible only to members of your own family circle. Your conversations with Nora, the AI companion, are readable only by you. We never sell personal information. Traffic is encrypted with TLS and API access requires a signed, expiring token plus circle membership; database rows are not field-level encrypted.
You can permanently delete everything at any time from Me → Delete account inside the app: the deletion is immediate, irreversible, and requires no support ticket. Questions: privacy@lumacare.com.