/ 隐私政策

您的数据，
我们这样对待。

Chill 从设计之初就确保：最敏感的内容——您的消息、健康数据和私密想法——绝不会以我们能读懂的形式离开您的手机。

最后更新 · 2026年10月30日

Chill 致力于保护用户隐私，遵循隐私保护的最佳实践，并遵守适用的法律法规。本隐私政策说明您在使用我们的 iOS App、网站，或以其他任何方式与我们互动时（统称“服务”），我们如何收集、使用和披露与您有关的信息。

我们可能会不时更新本隐私政策。届时我们会更新页面顶部的日期；如有重大变更，我们还会通过 App 或电子邮件通知您。

中国大陆用户请注意：有一项特别条款适用于您，说明您在中国大陆使用 Chill 时，数据会经过哪里、使用的是哪种 AI。请点开下方查看。

特别条款 · 中国大陆

您在中国大陆使用 Chill 时，适用以下规定：

Cloudflare 网关。您的请求会经由托管在 Cloudflare 上的安全网关转发，而不是直接发送至 Google 的服务。您的账户数据仍与其他所有 Chill 用户的数据存储在同一位置；AI 请求则由 Cloudflare 处理。
不同的 AI。为遵守当地法律法规，中国大陆使用的 AI 与其他地区不同。目前主要使用的模型为通义千问（Qwen）。我们可能随时将其更换为其他模型。
数据的处理地点。您的数据通常会经由离您最近的服务器处理，一般位于新加坡。

本条款未作规定的事项，适用本隐私政策的其余部分。

我们收集哪些信息

数据分析与诊断

我们使用三款第三方工具来了解 Chill 的使用情况，并在出现故障时及时修复。这些工具都看不到您的消息内容、健康数据，也看不到端到端加密传输中的任何内容。

PostHog：匿名的产品数据分析。统计活跃用户、会话、页面浏览和 App 内事件（例如某个环境音被打开的频率），帮助我们看清哪些功能真正有用，从而决定把精力投向哪里。所用的标识符是设备级的假名化 ID，不是您的姓名或电子邮箱。
Sentry：崩溃与错误报告。出现问题时，Sentry 会收集设备型号、系统版本、App 版本和堆栈跟踪，以便我们复现并修复问题。它绝不会收集您数据的内容。
Tenjin：安装归因。如果您是点击广告后安装 Chill 的，Tenjin 会告诉我们是哪个广告活动带来了您，让我们知道哪些广告值得投放。它不会为您建立用户画像，也不会跨其他 App 追踪您。
您可以随时在 App 的设置中关闭数据分析与诊断。
相关隐私政策：PostHog · Sentry · Tenjin。

Chill 账户

创建账户是可选的。创建账户后，您可以使用邀请好友、赚取推荐奖励等功能。您的电子邮箱地址会与一个唯一的用户 ID 和一个推荐码相关联。

注册账户后，以下信息会在线存储：

推荐码及推荐状态
Premium 订阅状态及到期日期（通过 RevenueCat）
宝石余额、经验值（XP）和等级
已购买的图标和个性化内容
审核标记（仅在有人举报该账户时才会设置）
最近活跃时间戳
FCM 令牌（用于将推送通知送达正确的设备）

您的电子邮箱保存在托管的身份认证服务中。您的密码经过哈希处理，任何人都无法获取。
除非您主动选择接收，否则我们绝不会向您发送营销邮件。
我们绝不出售您的数据，也绝不与第三方共享。

端到端加密消息

Chill 内置了消息功能，方便您和好友聊天。我们无法读取这些消息。消息的明文只存在于您和好友的手机上。

服务器只能看到密文和路由元数据 · 永远看不到明文

简单来说，原理如下：

每台设备首次启动时都会生成一把私有加密密钥。这把密钥永远不会离开您手机的安全存储区。
开始对话时，双方设备会协商出一把共享密钥，而这把密钥本身从不经由网络传输。
消息用这把共享密钥以认证加密的方式封装，一旦遭到篡改即可察觉。
我们的服务器只能看到加密后的乱码和路由元数据，永远看不到消息本身。

出于路由和安全目的，我们会保留：发送者 ID、接收者 ID、时间戳、送达状态（已发送/已送达/已读）。这些元数据会在服务器日志中保留 90 天，用于防范滥用，之后自动删除。

健康教练

在您同意后，Chill 的健康教练会读取您“健康” App 中的数据（睡眠、步数、心率变异性、静息心率、活动时长）以及您在 App 内记录的心情，并借助安全服务器上的 AI 模型，为您建议身体当下需要什么。整个流程的设计确保分析结果回到您手机上时，已用只有您的设备才持有的密钥加密。

您的各项指标仅在分析时读取一次 · 回答在写入磁盘之前就已加密

具体步骤：

您的手机生成一把全新的加密密钥（每次分析一把），并保存在手机的安全存储区中。
您的健康数据和这把密钥通过安全连接发送到我们的服务器。
服务器请 AI 生成分析，先用您的密钥加密回答，再将其保存。随后服务器便丢弃这把密钥——它只存在于内存中，从未写入磁盘。
您的手机取回加密的回答，并在本地解密。
手机拿到分析结果后，加密副本和密钥都会随即删除。与这次分析有关的任何内容都不会留在我们的服务器上。

请求时我们发送的内容——仅限上图中可以看到的字段：睡眠时长、步数、HRV、静息心率、活动时长（跑步、步行、瑜伽、冥想、骑行、健身），以及您自己记录的心情。除此之外，别无其他。

我们不会发送原始音频、GPS 轨迹，也不会发送除请求归属所需的账户 ID 以外的任何标识符。所有请求都通过 App 认证机制防范滥用。

HealthKit

Chill 使用 Apple 的 HealthKit 框架读取上述指标，并将您在 App 内的冥想时长写回“健康” App。iOS 请求授权时，由您决定具体共享哪些数据；您也可以随时在设置 → 隐私与安全性 → 健康中撤销授权。

iCloud（习惯、目标、进度）

您的习惯、目标、个性化设置和进度保存在 CloudKit 中。CloudKit 是 Apple 提供的私有数据库，与您的 iCloud 账户绑定，会在传输和存储过程中加密您的数据，而且我们无法访问该数据库。

由于 Chill 与您的 iCloud 账户绑定：

一次安装 = 一个 iCloud 账户 = 一位用户。
每个人都应登录自己的 iCloud 账户来使用 Chill。
切换 iCloud 账户时，Chill 的数据也会随之切换。您的进度不会丢失，它会保留在创建时所用的 iCloud 账户中。

位置与天气

Chill 会根据天气悄悄调整 App 内的氛围：外面下雨，场景里也下雨；天气晴朗，场景里也阳光明媚。这个小细节是为了让 App 与您的每一天更合拍。我们已不再使用 Apple 的 WeatherKit：天气预报现在来自挪威气象研究所（MET Norway），其数据依据 CC BY 4.0 许可协议公开发布。

位置信息仍然是可选的。为了确定显示哪里的天气，Chill 会选用足以满足需要的最粗略的来源：

完全未授权时：使用您设备所在地区的中心位置，由您的语言与地区设置推算得出。获取这一位置不需要任何数据离开手机。
基于 IP 地址的定位：城市级别的估算，通过 GeoJS 或 ipwho.is 获取。和您访问的任何网站一样，这些服务能看到您的公网 IP 地址。
GPS（仅在您授权时）：只请求大致位置（误差约 5 公里），因为 App 中没有任何功能需要更高的精度。

无论来源如何，坐标都会先四舍五入到小数点后两位（约 1 公里），再随天气请求发送给 MET Norway。Chill 绝不会将您的位置存储或上传到自己的服务器，也不会记录任何 GPS 轨迹。您可以随时在 iOS 的设置 → 隐私与安全性 → 定位服务 → Chill中关闭位置权限，之后 App 会改用上述其他来源。

数据保留与删除

我们仅在实现上述目的所需的期限内保留数据，法律要求更长保留期限的除外。如需删除您的账户及所有相关的服务器数据，请发送邮件至 support@fayhe.com，或直接在 App 内删除账户。CloudKit 中的数据（习惯、目标）保存在您的 iCloud 账户中，您可以在 iOS 的设置 → [您的姓名] → iCloud → 管理账户储存空间 → Chill中删除。

撤回同意

您给予的每一项同意（数据分析、HealthKit、位置、AI 分析）都可以在 App 的设置或 iOS 的隐私设置中撤回。撤回立即生效，没有任何附加条件。

联系我们

有疑问、建议或数据方面的请求？请发送邮件至 support@fayhe.com。每一封邮件我们都会认真阅读。

Fayhe LLC — 美国特拉华州

您的数据，我们这样对待。