开口喵 隐私政策
「开口喵」（原名「绘本闯关」，英文名 Speak English，以下简称「本应用」）是一款面向学龄前及小学低年级儿童的英语绘本跟读应用，由 Douwantech（以下简称「我们」）开发运营，提供 iOS 版本。
我们把「尽量不收集」作为设计原则：本应用不需要注册或登录即可使用全部功能；家长可以选择用 Apple 账户登录，把闯关进度同步到多台设备；小朋友的朗读声音只在设备本地识别，不会上传。下文逐项说明我们会接触到哪些信息、为什么需要、以及您如何控制它们。
一、我们会处理哪些信息
1.1 麦克风（核心功能，需要授权）
- 用途：小朋友朗读英文句子时，应用需要听到声音来判断读得对不对。
- 处理方式：语音识别由应用内置的离线模型（sherpa-onnx）在设备本地完成。录音不会上传到任何服务器，也不会保存为文件；识别结束后音频即被丢弃。
- 是否必需：拒绝授权后仍可听绘本、看图、听单词拆读，但无法使用「我来读」跟读判分。
- 如何管理：系统「设置 → 隐私与安全性 → 麦克风」中可随时关闭。
1.2 网络访问
- 用途：从我们的内容服务器下载绘本文本、插画、示范音频，以及首次使用「我来读」前一次性下载约 72 MB 的离线语音识别模型。
- 涉及信息：这些请求是普通的文件下载。服务器会像所有网站一样产生访问日志（包含请求时间、所请求的文件、设备 IP 地址、系统版本等技术信息），仅用于保障服务稳定和排查故障，短期保存后自动删除，不与任何个人身份关联。
- 朗读录音和语音识别文本不会上传；设备标识符及使用事件的上传方式见下节。
1.3 使用情况统计（无需登录）
- 用途：统计绘本与跟读等功能的使用情况，排查问题并改进应用。
- 收集信息：未登录时也会向我们的服务器发送使用事件，例如启动、打开或读完绘本、跟读评分档位、拆读、关卡和会员操作；事件可包含发生时间、绘本及会话/关卡编号、所点选的课文单词、会员商品与操作结果、应用版本、设备型号与系统、语言和地区。请求会附带设备标识符（identifierForVendor；系统暂时无法提供时使用本机生成并保存的 UUID）。不上传朗读录音或语音识别文本。
- 关联方式：未登录事件按设备标识符归因，不写入用户账号字段，也不包含姓名或邮箱；登录状态下的事件则与账号关联。事件也会转发到我们的 Matomo 统计服务，未登录事件以设备标识符派生的访问者标识统计。
1.4 家长登录（可选）
- 用途：家长可在「设置」中用 Apple 账户登录。登录后，已读完的绘本和判分松紧设置会保存到我们的服务器，换设备登录同一账号即可恢复。不登录不影响任何功能。
- 收集信息：Apple 提供的用户标识符（一串随机字符）、您在 Apple 登录弹窗中选择共享的邮箱（可选择「隐藏邮件地址」）与姓名；以及上述闯关进度、判分设置。设备标识符（identifierForVendor）用于区分同一账号下的多台设备。
- 不收集：Apple 账户密码（Apple 不会把它给我们）、孩子的姓名、朗读录音或语音识别文本。进度记录包含绘本编号；使用事件见 1.3 节。
- 保存期限：直到您在应用内注销账户或来信要求删除；注销后服务器上的账号与进度立即删除，设备上的进度保留。
1.5 会员购买
- 用途：开通会员解锁全部绘本，购买通过 Apple App Store 完成。
- 收集信息：我们通过订阅管理服务商 RevenueCat 接收 Apple 返回的购买记录：所购产品、购买与到期时间、交易标识、一个随机生成的购买者标识。若您已登录，该标识会与您的账号关联，以便在多台设备间同步会员状态。
- 不收集：银行卡号、支付密码等任何支付信息——这些只在 Apple 手中。
- 保存期限：会员到期后仍保留交易记录用于处理恢复购买与售后争议；注销账户时删除与账号的关联。
1.6 功能数据与本地设置
| 数据 | 用途 | 是否离开设备 |
|---|---|---|
| 已读完的绘本、当前进度 | 在地图上显示闯关进度 | 未登录：进度状态不云同步，但阅读事件会上传 ｜ 已登录：同步到服务器 |
| 判分松紧（严 / 标准 / 松） | 家长调节判分难度 | 未登录：设置值不云同步，但更改事件会上传 ｜ 已登录：同步到服务器 |
| 背景音乐、示范音色、倍速等偏好 | 记住您的选择 | 否 |
| 已下载的识别模型与音频缓存 | 离线使用、加快加载 | 否 |
卸载应用会删除设备上的上述数据，但不会自动删除已上传的使用事件或已登录用户的云端进度。未登录时没有账号档案或云端进度，服务器仍会保存按设备标识符归因的使用事件。
1.7 我们不会做的事
- 不强制注册、登录；不收集手机号、生日或照片；Apple 登录时共享的邮箱与姓名以及设备使用事件见上文；
- 不接入任何第三方统计、广告、推送或社交分享 SDK；
- 不展示广告，不进行 Apple 所定义的「跟踪」（App Tracking Transparency），不读取广告标识符（IDFA）；购买记录只用于提供会员服务，不用于广告或画像；
- 不获取位置、通讯录、相册、相机等与功能无关的权限；
- 不向任何第三方出售、共享用户信息。
二、儿童个人信息保护
本应用面向儿童设计，我们依照《中华人民共和国个人信息保护法》《儿童个人信息网络保护规定》等法律法规，以及 Apple 对儿童类应用的要求，采取以下做法：
- 不设计需要儿童填写姓名、邮箱等资料的功能；使用事件按 1.3 节处理，登录功能面向家长，放在「设置」中；
- 朗读音频只在本地处理，不上传、不留存；
- 不含广告、不含跳转到外部社交或购物页面的入口；本政策、用户协议和邮箱反馈的入口放在面向家长的设置区域。
如果您认为我们在未经监护人同意的情况下收集了儿童信息，请通过文末方式联系我们，我们会尽快核实并删除。
三、信息的委托处理与共享
为了分发绘本内容、保存登录用户的进度和使用事件，我们使用阿里云（对象存储、CDN、函数计算与数据库）作为基础设施服务商；使用事件也在我们的 Matomo 统计服务中处理。为了处理会员购买状态，我们使用 RevenueCat（隐私政策）接收并管理 Apple 返回的购买记录。服务商按我们的指令处理数据；除此之外，我们不与任何第三方共享用户信息。
以下情形除外：依据法律法规、诉讼、行政或司法机关的强制性要求而必须提供的信息。
四、信息安全
所有网络传输均使用 HTTPS 加密。登录凭证以随机令牌形式保存在设备的系统钥匙串中；服务器端保存 Apple 用户标识、可选的邮箱与姓名、绘本进度、设备标识符及使用事件，不保存任何密码。设备本地数据的安全依赖于您设备自身的锁屏与系统防护。
五、您的权利
- 查阅与删除：卸载会删除设备本地数据，不会自动删除已上传的使用事件。已登录用户可在「设置 → 注销账户」删除业务数据库中的账号、进度及账号关联事件；此前的匿名设备事件和已转发到 Matomo 的统计记录不会自动随账号注销删除。如需查阅或删除设备关联的事件，可来信联系我们。
- 退出登录：随时在「设置」中退出，退出只清除本机登录状态，不删除服务器数据。
- 撤回权限：随时在系统设置中关闭麦克风权限。
- 咨询与投诉：通过文末联系方式联系我们，我们将在 15 个工作日内答复。
六、本政策的更新
当本应用的功能发生变化、需要处理新的信息时，我们会更新本政策并在页首标注新的生效日期；涉及重大变化时会在应用内以显著方式提示。继续使用本应用，即表示您接受更新后的政策。
七、联系我们
- 运营主体：Douwantech
- 联系地址：浙江省杭州市
- 联系邮箱：mark@douwantech.com
如果您对我们的答复不满意，也可以向网信、公安等监管部门投诉举报。