本政策说明 Polily（以下简称「我们」）在你使用 Polily iOS App 及其配套服务（以下合称「本服务」）时收集哪些信息、为什么收集、如何使用与共享、保存多久，以及你可以如何访问、更正和删除这些信息。
This policy explains what information Polily ("we") collects when you use the Polily iOS app and its backend service (together, "the Service"), why we collect it, how it is used and shared, how long it is kept, and how you can access, correct and delete it.
我们只收集运行本服务所必需的数据。数据来源有两个：你在 App 内主动填写或产生的数据，以及你使用功能时服务端自动产生的记录。我们不使用任何第三方分析或广告 SDK，因此不会在你使用 App 的过程中被第三方「顺带」采集行为数据。
We collect only what is necessary to run the Service. Data comes from two sources: what you actively provide or create inside the app, and records our own server generates when you use a feature. We do not embed any third-party analytics or advertising SDK, so no third party silently collects behavioural data while you use the app.
| 类别 | 具体内容 | 收集方式 |
|---|---|---|
| 账号凭据 | 账号名（handle，4–32 位小写字母/数字/下划线）；邮箱地址（仅当你用邮箱注册或绑定 Google 时）；密码的加盐哈希（scrypt，salt 16 字节，永不保存明文密码）；恢复码的哈希 | 你在注册或找回密码时提交，服务端立即哈希后入库；邮箱按小写归一化后保存；验证码仅保存带服务器密钥的哈希，10 分钟后无法使用 |
| Apple 登录 | Apple 提供的稳定账号标识（subject）以及 Apple 返回的邮箱地址（可能是隐藏转发邮箱）；身份令牌只用于登录验证，不保存 | 你主动选择使用 Apple 登录时产生 |
| Google 登录 | Google 提供的稳定账号标识（subject）以及 Google 返回的邮箱地址与是否已验证；身份令牌只用于登录验证，不保存 | 你主动选择使用 Google 登录，或在「账号与安全」中绑定 Google 时产生 |
| 成年确认与年龄 | 邮箱注册的出生日期仅用于计算并校验是否年满 18 周岁，服务端保存年龄数值，不保存完整出生日期。首次使用 Apple 或 Google 时可明确确认已成年并同意条款，无需填写生日；服务端记录确认时间，不推测具体年龄，也不在资料中展示年龄。 | 注册表单 / 第三方登录后的成年与条款确认 |
| 个人资料 | 昵称（name）、自我介绍（bio，≤1500 字）、城市（city）、地区、选填性别（仅资料展示及搭子筛选）、母语列表、正在学习的语言列表、兴趣标签（≤12 个）、可聊天时段（起止小时）、可见性设置（所有人/仅搭子/隐藏）、是否显示在线状态 | 注册流程与「我的 → 编辑资料」，由你主动填写 |
| 头像 | 你主动选择的头像会上传至 Polily 服务端，与账号关联以展示资料；你可以更换头像或删除账号。 | 主动选择后上传 |
| 搭子关系 | 你发出的好友请求及其附言（greeting）、你接受/拒绝的记录、搭子列表、黑名单 | 你使用「请求 / 接受 / 拉黑」功能时产生 |
| 聊天内容 | 你与搭子之间发送的文字消息（每条 ≤2000 字）及消息时间 | 发送消息功能 |
| 聊天图片 | 你主动选择并发送的 JPEG 图片（压缩后 ≤1.8 MB），与消息双方账号关联 | 发送图片时上传 |
| 语音留言 | 你录制的语音留言音频（m4a 格式，1–60 秒，≤2 MB）、时长，以及与你账号的关联 | 录音并发送时上传至服务端 |
| 实时语音通话 | 通话邀请、接受/结束状态，以及建立连接所需的 WebRTC SDP 与 ICE 网络候选信息；候选信息可能包含网络地址 | 仅在已确认搭子双方主动发起/接听通话时产生 |
| 通话实时字幕 | 你开启语音识别权限后，设备识别出的字幕文本会通过 Polily 信令发送给通话双方；信令最多保留 24 小时 | 你在实时语音通话中使用字幕时产生 |
| 举报与安全 | 举报对象、举报原因、你填写的补充说明（≤3000 字）、举报时间；你提交的意见反馈内容 | 「举报 / 意见反馈」功能 |
| 学习记录 | 你的课程进度、练习结果、生词复习进度等学习数据（一份 JSON 学习档案，含版本号以支持多设备同步） | 你使用学习功能时由 App 同步至服务端 |
| 推送与来电 | 用于把来电与提醒送达你设备的 APNs / PushKit 设备令牌，以及平台标识与最近使用时间。令牌与你的账号关联（这是把来电路由到正确的人所必需的），不用于追踪或广告；退出登录或删除账号时会一并移除。 | 你登录后 App 自动注册；可在系统设置中关闭通知 |
| 会话与安全日志 | 登录会话令牌的哈希与过期时间（30 天）；用于限流的请求来源 IP 地址——仅存在于服务进程内存中，用于计数，不写入数据库、不写入日志文件 | 你登录与请求时服务端自动产生 |
服务端代码显式关闭了 HTTP 访问日志中的请求内容记录：我们不记录消息正文、语音内容、Bearer 令牌或密码。我们也不会读取你的通讯录、照片库（除你主动选择的头像或聊天图片外）、精确位置、健康数据，不做设备指纹，不采集 IDFA。Apple 身份令牌仅在登录请求中验证，不落盘；Apple subject 用于识别同一账号。
Request bodies, voice content, bearer tokens and passwords are never logged. We do not access your contacts, photo library (other than an avatar or chat image you explicitly pick), precise location, or health data; we do no device fingerprinting and do not collect the IDFA.
To deliver incoming calls and reminders we store the APNs / PushKit device token your app registers, together with the platform and last-seen time. The token is linked to your account because that is what routes a call to the right person; it is never used for tracking or advertising, and it is removed when you sign out or delete your account.
头像会在你主动选择后上传，与账号关联。为处理举报，我们保留提交时你有权查看的资料、头像与双方相关消息证据，最多180天；更改资料或删除账号不提前清除必要证据。证据无普通用户读取接口，管理员访问留痕。推送投递日志最多7天，删号时删除该账号日志。
An avatar you choose is uploaded and linked to your account. Reports preserve only profiles, avatars and relevant messages the reporter is authorized to access at submission, for up to 180 days, including after profile changes or account deletion. Evidence is restricted to moderation with access records. Push delivery logs last up to seven days and are removed with the account.
Apple 登录的授权码可用于交换撤销凭据，该凭据经认证加密保存，仅用于账号删除时撤销 Apple 授权；删除后清除。旧账号缺少凭据时需要补 Apple 授权，外部撤销失败时可重试，不会先宣称删除成功。此过程不使用 App Store Server API 或 ASC 私钥。
Apple authorization codes may be exchanged for a credential encrypted with authenticated encryption, used to revoke Sign in with Apple authorization during account deletion and erased afterwards. Legacy accounts may require fresh Apple authorization. Provider failures can be retried; deletion is not reported as complete before revocation succeeds.
选句讲解与普通泡泡历史分开存储，仅为重试保留结果最多90天，不成为之后陪聊的上下文。撤回 AI 同意或删号会删除这些结果。实时语音也可能经过 TURN 中继用于连通，不在 Polily 应用服务器录音。
Selected-text explanations are stored separately for idempotent retries for up to 90 days and never become later companion-chat context. Withdrawing AI consent or deleting the account clears these results. Live audio may pass through a TURN relay for connectivity; the Polily application server does not record it.
In short: to run the account, matching, chat, voice-note, learning, safety and abuse-prevention features you asked for. We use your selected profile preferences and learning progress to personalize partner discovery and learning features. We do not use your data for advertising profiles or to build marketing audiences, and we do not sell it.
明确说明：Polily 不使用任何第三方分析或广告 SDK；不做跨 App 或跨网站追踪；不出售、不出租、不向任何广告网络或数据经纪商共享你的个人信息；你主动发给泡泡的内容会交给智谱 AI 生成回复，不会自动读取你与真人搭子的私聊；仅在你每次确认选句讲解后发送该选句与语言上下文。使用 Google 登录时，你的设备会直接与 Google 通信以完成身份验证并取回一个身份令牌（这是我们接收账号标识与邮箱的来源）；验证完成后令牌不落盘。注册验证和找回密码时，邮箱地址与验证码邮件内容会交给 Resend 发送。除已说明的 Apple、Google、智谱 AI、Resend、STUN 和 TURN 服务外，不向其他第三方提供个人信息。实时通话使用 WebRTC；通话媒体不会经过或录制在 Polily 应用服务器上，连接信令会暂存在 Polily 独立服务中，结束后最多保留 24 小时。建立直连时，双方网络候选信息（可能含公网 IP）会发送给通话另一方；为协助发现可用网络路径，App 还会向 Google 公共 STUN 服务发送网络探测请求，但不会向其发送通话音频或消息内容。一旦上述处理方式发生变化，我们会先更新本页并在 App 内同步更新。
Plainly: no third-party analytics or advertising SDK is used; there is no cross-app or cross-site tracking; we do not sell, rent, or share your personal information with ad networks or data brokers; Content you choose to send to Paopao is processed by Zhipu AI to generate replies; human chats are not read automatically. Selected-text explanations send only text you explicitly confirm and language context, without the full human conversation or Paopao history. With Google Sign-In your device talks to Google directly to authenticate and obtain an identity token, which is where the account identifier and email we receive come from; the token is not stored after verification. Your email address and verification email content are sent to Resend for signup verification and password recovery. Apart from the disclosed Apple, Google, Zhipu AI, Resend, STUN and TURN services, no personal information is provided to other third parties. If that changes, this page and the in-app policy will be updated first.
除以下情形外，我们不会把你的个人信息提供给第三方：
被举报者不会看到举报人的身份：举报记录只在服务端供审核使用，不会向被举报者展示举报人信息。
无第三方分析、广告、归因或崩溃采集 SDK。账号认证使用 Apple Sign in with Apple 与 Google 登录；Apple Speech 用于通话实时字幕。实时通话还会使用 Google 公共 STUN 网络服务进行 NAT 穿透探测；不传送通话音频或消息正文给 STUN 服务。
你随时可以删除账号并删除我们保存的上述数据，两种方式任选：
你可通过删除账号停止需要账号的服务；可选 AI 功能的同意可在泡泡菜单中单独撤回并清除 Polily 保存的 AI 历史，无需删除整个账号。撤回不影响此前合法的数据处理。
You can delete your account and the data described above at any time, either in-app (Me → Settings → Account & Privacy → Account & Security → Account Management → Delete Account, after verification and any required Apple revocation) or from the web at muno.club/polily/delete-account (processed within 7 business days). If your account was created with an email address or has Google linked, include that address so we can match the request; Apple sign-in users can include the Apple private relay address; accounts created with only a username just need the username.
泡泡由智谱 AI 的 GLM-4-FlashX-250414 生成回复。首次使用前，App 会单独征求你的同意。只有你发送给泡泡的文字、该语言最近最多 6 轮 AI 对话、所选学习语言、母语与界面语言会经 Polily 后端发送至智谱；不会发送账号凭据、昵称、真人私聊、图片或语音文件。系统键盘的听写由你控制，只有确认发送后的文字进入此流程。
Polily 按账号和学习语言保存最近最多 100 轮成功 AI 对话，以便恢复历史。泡泡右上角菜单可清空当前语言的对话，或选择「暂停使用并删除 AI 对话」撤回同意并删除 Polily 保存的全部 AI 对话。删除账号也会删除相关 AI 数据。聊天次数记录仅用于限流与配额；智谱对已收到内容的处理与保留适用其服务政策，Polily 的删除操作不承诺同步删除供应商侧记录。请勿提交敏感个人信息，AI 回复可能出错。
Paopao uses Zhipu AI’s GLM-4-FlashX-250414. We request separate consent before first use. Only text you send to Paopao, up to six recent AI conversation turns in that language, and your selected learning, native and interface languages are sent through the Polily backend to Zhipu. Account credentials, names, human chats, images and audio files are not included. Keyboard dictation is controlled by you; only text you choose to send enters this flow.
Polily stores up to 100 successful AI turns per account and learning language. Use Paopao’s menu to clear the current conversation, or stop AI use and delete all AI conversations to withdraw consent and erase Polily’s AI history. Account deletion also erases associated AI data. Usage counts support rate limits and quotas. Zhipu’s processing and retention follow its own service policies; deletion in Polily does not guarantee deletion of records held by the provider. Avoid sensitive information and check AI replies for accuracy.
你可以通过第 9 节的邮箱联系我们，行使以下权利：查阅我们持有的关于你的数据；更正不准确的信息（App 内「编辑资料」可自助修改）；删除账号与数据；获取副本（我们会以机器可读格式提供）；撤回同意；投诉。我们会在 30 天内回复；如需延长，我们会说明原因。
Polily 仅面向年满 18 周岁的成年人。邮箱注册会根据出生日期校验年龄；首次第三方登录须明确确认已成年并同意条款。未满 18 周岁不能注册或使用本服务。我们不会有意收集未成年人的个人信息；若我们发现在未获同意的情况下收集了未成年人的数据，会尽快删除。如果你是家长或监护人，发现孩子向我们提供了个人信息，请通过第 9 节邮箱联系我们。
当功能或法规变化时，我们会更新本政策并修改页面顶部的生效日期。若变更会实质影响你的权利（例如新增数据类型、接入新的第三方服务或 AI 能力），我们会提前在 App 内以显著方式告知，必要时重新征得你的同意。继续使用本服务即表示你接受更新后的政策。