一、适用范围
本政策适用于“三思”iPhone 应用。三思无需注册应用账户，也不会要求你向三思提供姓名、手机号或 Apple ID 密码。应用分发、购买与订阅管理由 Apple 提供。
二、一次落墨如何处理数据
- 声音留在手机。只有你按住墨点时，应用才使用麦克风。声音通过 Apple 的设备端语音能力在设备上转写；临时音频不上传，转写完成后删除。
- 文字只为完成本次处理而传输。松手后，应用通过 HTTPS 将转写出的文字和当前手稿上下文、所处场景、随机安装标识与请求编号发送至三思服务。三思服务再将生成所需的文字和上下文交给中国境内的阿里云百炼即时处理，并把结构化结果返回应用。
- 手稿保存在本地。手稿、页边提问、落款状态和设置保存在这台 iPhone 的应用沙盒中。三思不提供手稿云端同步，也不把你的文字建立为服务端手稿库。
三、匿名验证、额度与订阅
正式版使用 Apple App Attest 验证请求来自真实三思应用。服务端保存验证所需的匿名公钥、计数器和哈希后的设备标识，不取得你的姓名或 Apple ID，也不用于跟踪或广告。
免费用户每周 50 次落墨；有效订阅用户每周 100 次，并可在同一 Apple 账户的设备间恢复共享余墨。为核验权益，应用会把 Apple 签名交易发送至三思服务，Apple 也可能发送订阅状态通知。服务端严格验证商品、有效期、续订、退款与撤销状态，只保存经 HMAC 处理的原始交易标识和必要状态，不保存原始 Apple 交易标识。
四、服务端记录与保留
三思服务不记录请求正文、当前手稿上下文或模型候选正文。为完成超时重试，经过加密的短期响应缓存最长保留约十分钟；周额度、请求幂等和安全预检记录通常在约八天内自动过期。订阅通知的去重标记最长保留约九十天；当前匿名订阅状态及 App Attest 验证记录会在提供权益和防止滥用所需期间保留。
为诊断稳定性，运行日志可包含哈希后的设备标识、场景、模型 token 数、数值耗时、成功或错误类别与时间，不含你说出的文字、当前手稿、Apple 签名交易或 App Attest 原始证明。
五、Apple、阿里云与数据用途
Apple 依据其隐私政策处理 App Store 购买、订阅、安装、崩溃与性能诊断等信息；是否向开发者共享部分诊断信息取决于你的 Apple 设置与选择。阿里云百炼仅接收完成当次生成和安全检查所需的文字。三思不出售个人信息，不展示广告，也不把上述数据用于跨应用或跨网站跟踪。
六、你的选择与删除
你可以不授予麦克风或语音识别权限，也可以随时在 iOS“设置”中关闭这些权限。你可以在应用内删除未封存的本地内容；卸载应用会删除设备上的应用数据，但已有的 iCloud 或设备备份仍受 Apple 的备份规则控制。你可以在 Apple 账户的订阅管理中取消订阅或恢复购买。
若要询问或请求处理三思掌握的有限服务数据，请联系下方邮箱，并提供便于定位的时间范围；不要发送手稿正文。出于安全和最小化收集原则，三思可能无法仅凭姓名定位匿名安装记录。
七、安全、未成年人和变更
我们使用传输加密、最小化日志、匿名化标识和生产验证降低风险，但任何联网服务都无法保证绝对安全。三思并非面向未满十四周岁的儿童设计。若处理方式发生重要变化，我们会更新本页面的生效日期，并在适当情况下通过应用或本页面告知你。
八、联系我们
隐私问题请写信至 argvid@126.com。