知行录 隐私政策

最后更新：2026-10-23 · 适用于 iOS 应用「知行录」及其 Apple Watch 应用与桌面小组件

一、总则

知行录是一款用于每日记录、觉察与复盘的个人成长工具，遵循「数据本地优先」的原则：记录默认只保存在你自己的设备上；只有开启 iCloud 同步后，才会进入你自己的 iCloud。

我们运营一台服务器（api.done2ai.com，部署在 Cloudflare），用于：核对会员权益；保存购买记录（注销账号后把身份换成假名，金额等财务字段仍保留）；处理账号删除；提供公共锁屏背景图库；以及在你已同意本政策并开启匿名使用统计后，保存运营统计的聚合计数。我们的服务器不存放你的记录、任务、觉察或复盘内容，也不接收或识别你的语音。语音识别一律只在设备端进行，不发到 Apple 服务器。设备不支持时，语音输入不可用。知行录不保存音频。

本政策说明我们处理哪些信息、为什么处理，以及你如何控制。首次打开应用时，我们会请你阅读并选择是否同意本政策。

二、我们如何处理你的数据

0. 首次同意与受限模式

首次启动时，你可以选择「同意并继续」或「不同意」。不同意时，你仍然可以在本机使用记录、觉察、复盘、提醒、日历写入、语音输入和已下载的本地模型。会员购买与恢复、iCloud 同步、通过 Apple 登录、云端 AI、锁屏背景图库、模型下载等联网功能将不可用，应用也不会发起相关网络请求。你随时可以在应用内重新选择同意。

已同意后，你也可以在「设置 → 隐私中心」撤回同意。撤回后应用进入受限模式，你可以继续使用上述本地功能：云端 AI、崩溃诊断、使用统计全部关闭，iCloud 同步停止，应用会退出 Apple 登录；已同步到 iCloud 或已发送给服务商的数据不会因此删除。之后再次同意时，上述可选项保持关闭，需要你重新开启。

1. 本地优先存储

你在应用内创建的全部内容——每日记录、杠杆动作、觉察问答、复盘文字、身份与愿景、AI 记忆、主题与语言偏好——都保存在设备本地。为了让 Apple Watch 应用与桌面小组件显示同样的内容，应用会把必要的数据快照写入同一开发者账号下的 App Group 共享容器，该容器仍在你的设备上。

2. iCloud 同步（可选，Pro 功能）

开启后，你的记录会通过 Apple CloudKit 存储在你个人 iCloud 账户的私有数据库中，我们无法访问。

• 关闭同步后，新数据不再上传。关闭同步不会删除 iCloud 中已有的数据。撤回对隐私政策的同意，也不会删除已经同步到 iCloud 或已经发送给服务商的数据。
• 应用内「重置数据」只删除本机数据，不删除 iCloud（CloudKit 私有库）里的记录。同步仍开启时，下次同步这些记录可能恢复到本机。如需删除 iCloud 中的记录，请在系统「设置 → Apple 账户 → iCloud → 管理账户存储」中操作。

iCloud 适用 Apple 隐私政策：apple.com/legal/privacy

3. 订阅与支付

订阅通过 Apple App Store 完成，订阅状态由一家第三方订阅服务管理。

• 支付方式、卡号、账单地址由 Apple 处理，我们不接收也不存储。
• 应用把购买凭证和一个用户标识发给订阅服务，用来确认会员状态。未登录时是随机生成的匿名标识；通过 Apple 登录后，这个标识是「apple:」加上 Apple 返回的用户标识（不是你的 Apple ID 邮箱）。我们的服务器用这个标识关联购买记录。
• 展示付费墙时，应用会向订阅服务上报，这不受「匿名使用统计」开关控制。购买前，应用会写入付费墙入口和一次性流程 ID。订阅服务会把购买事件通知我们的服务器。我们保存：用户标识、商品、交易号、购买 / 到期时间、价格与币种、试用 / 续订 / 取消状态、付费墙入口和一次性流程 ID，用于会员核对、客服与财务对账。我们不保存收据、支付信息或邮箱。注销账号后，购买记录中的身份会换成不可逆假名，金额等财务字段仍保留。

4. AI 功能（可选）

AI 复盘辅助有两种运行方式：

• 端侧本地模型：下载模型后完全在设备上运行，内容不出设备，无需额外同意。
• 你自行配置的第三方 AI 服务（如 OpenAI、Anthropic、Google Gemini 或你填写的其他地址）：由你的设备使用你自己的 API 密钥直接发送，不经过我们的服务器。API 密钥保存在设备钥匙串中，不会上传。

使用你自行配置的第三方 AI 服务时，发送的内容包括：当日任务与评分、觉察问答、复盘文字、身份与资料摘要、AI 记忆、最近若干天摘要和成长轨迹。

• 首次使用云端 AI 前，应用会单独征求你的同意，并显示当前服务商。你点「暂不」时不会发送任何内容。
• 一次同意适用于所有云端 AI 服务商。之后你在设置中切换服务商时，应用不会再次确认，内容将发送给你当时选择的服务商。当前服务商随时可在「设置 → 隐私中心」查看。
• 你可以随时在「设置 → 隐私中心」关闭「云端 AI 外发」，关闭后立即停止发送。已发送给第三方服务商的内容适用其隐私政策与留存策略，我们无法代为删除。
• 部分服务商位于中国境外，使用即意味着相关内容会传输到境外，详见第五节。

5. 匿名使用统计（可选，默认关闭）

「匿名使用统计」默认关闭。你已同意本政策，并在「设置 → 隐私中心」开启之后，应用才会：

• 向 TelemetryDeck（TelemetryDeck GmbH，德国）发送 paywall_view（付费墙展示）、purchase（购买）和 trial_start（试用开始）。这些事件带有付费墙入口 source；purchase 与 trial_start 另带所选方案 plan；
• 向我们的运营后端上报事件名和入口。服务器只保存按日期、事件名和入口汇总的次数，保留 90 天。防刷使用 IP 地址的 SHA-256 哈希。

这些信息不含你的记录正文，不用于广告或跨应用跟踪。关闭后立即停止向 TelemetryDeck 和运营后端发送。向订阅服务上报付费墙和购买信息不由这个开关控制，见本部分第 3 节。TelemetryDeck 隐私政策：telemetrydeck.com/privacy

6. 崩溃与性能诊断（可选，默认关闭）

你在「设置 → 隐私中心」开启「崩溃与性能诊断」后，应用才会向 Sentry（Functional Software, Inc.，美国）发送：崩溃时的调用栈与错误信息及此前操作轨迹（页面名称、网络请求地址与状态码）、设备与系统信息、抽样的性能数据、随机生成的安装标识。不含记录正文、姓名、邮箱、Apple ID、IP 或 IDFA。数据最长保留 90 天。Sentry 隐私政策：sentry.io/privacy

7. 通知

复盘与觉察提醒均为本地通知，不经过推送服务器。若你设置「重要消息提醒」（iOS 27 起），由你在「快捷指令」中建立的自动化会把命中通知的来源 App、标题、副标题与正文交给应用，仅在设备上处理；开启 iCloud 同步时，由此写入的待办或短记会同步到你的 iCloud。

8. 通过 Apple 登录（可选）

用于跨设备恢复会员，以及在应用内显示账号。登录时应用会请求你的姓名和邮箱（你可以选择隐藏真实邮箱），用于在应用内显示账号信息和协助恢复会员；它们保存在你的设备上。通过 Apple 登录后，订阅服务使用的用户标识是「apple:」加上 Apple 返回的用户标识，我们的服务器用它关联购买记录。注销账号时，应用会重新验证你的 Apple 身份；服务器删除你在订阅服务中的客户记录，把购买事件中的身份换成不可逆假名，并撤销 Apple 授权。不登录不影响记录等核心功能。

9. 日历

开启「同步到日历」后，应用会把杠杆动作与觉察写入系统日历中名为「知行录」的独立日历，不读取你的其他日程。

• iOS 17 及以上：应用只申请「仅添加事件」权限。
• iOS 16：系统没有仅添加的选项，应用只能申请完整的日历访问权限；即使获得完整权限，应用也只写入、不读取你的其他日程。

关闭后不再写入。

10. 语音输入

无论是否同意本政策，语音识别一律只在设备端进行，不发到 Apple 服务器。设备不支持时，语音输入不可用。知行录不保存音频。第三方云端语音识别服务目前未提供。

11. 锁屏背景图库

打开锁屏背景功能时，应用会向我们的服务器请求公共背景图列表。该请求不带任何用户标识；服务器只用你的 IP 地址做短时访问频率限制，不写入数据库。图库图片由我们每天用 AI 模型生成并经 AI 审核，与你的内容无关。

三、权限说明

以上权限均可拒绝或在系统设置中撤回，不影响核心功能。我们不使用 App 跟踪透明度（ATT），不请求广告标识符。

四、我们不做的事

• 不出售、不出租、不交换你的个人信息；
• 不读取通讯录、精确位置、通话记录或短信；
• 不接入第三方广告网络，不做跨应用跟踪；
• 不在我们的服务器上存储你的记录、任务、觉察或复盘内容。

五、第三方服务与数据出境

我们的网站 done2ai.com 使用 Cloudflare Web Analytics 统计访问量和访问来源。它不使用 Cookie，也不用于跟踪个人访客。

如你位于中国境内，上述部分处理会使相关信息传输至境外。我们在首次使用云端 AI 时单独征求你的同意，你可随时撤回。

六、儿童隐私

本应用面向成年用户设计，不定向收集儿童的个人信息。如你认为儿童在未经监护人同意的情况下向我们提供了信息，请联系我们，我们会尽快删除。

七、你的权利与数据删除

• 删除单条记录：在应用内删除，进入回收站并在 30 天后永久清除；
• 清空全部数据：「我的 → 设置与工具 → 重置数据」只删除本机数据，不删除 iCloud（CloudKit 私有库）里的记录。同步仍开启时，下次同步这些记录可能恢复到本机。关闭同步或撤回同意也不会删除已经在 iCloud 里的数据；如需删除，请在系统「设置 → Apple 账户 → iCloud → 管理账户存储」中操作；
• 管理授权：在「设置 → 隐私中心」随时开关云端 AI 外发、崩溃诊断、使用统计，查看每项的最近修改时间和授权记录。授权记录只保存在你的设备上，不会上传，最多保留 12 个月；
• 删除账号：在账号设置中删除账号时，应用会重新验证你的 Apple 身份。服务器会删除你在订阅服务中的客户记录，把购买事件中的身份换成不可逆假名（金额等财务字段仍保留），并撤销 Apple 授权。Apple 的订阅本身不会因此取消，请在系统设置中管理；
• 彻底移除：卸载应用清除本地数据；iCloud 残留可在系统设置中删除；
• 撤回 Apple 登录授权：系统「设置 → Apple 账户 → 使用 Apple 账户登录」；
• 导出数据：「我的 → 设置与工具 → 备份与导出」。

如你身处适用个人信息保护法、GDPR、CCPA 等法规的地区，你还享有访问、更正、可携带、撤回同意与投诉的权利，可通过下方邮箱联系我们。

八、数据安全

本地数据受 iOS 沙盒与设备加密保护；API 密钥存放于系统钥匙串；所有网络请求均使用 HTTPS。服务器日志不记录令牌、授权码和未打码的用户标识。没有任何方式是绝对安全的。

九、政策变更

本政策更新时，我们会修改「最后更新」日期；涉及重大变更时，会在应用内显著提示并重新征求同意。

十、联系我们

用户协议 →