隐私政策

一、适用范围与个人信息处理者

本政策适用于咕噜星 App 及明确引用本政策的相关服务，说明个人信息的处理目的、类别、方式、保存及您的选择。仅浏览当前静态官网不会启动 App 录音、账号、支付或 AI 服务。本政策不代替对具体场景的即时告知、权限请求或单独同意。

个人信息处理者：成都指针跳跃网络科技有限公司；联系地址：四川省成都市天府新区华阳街道祥鹤二街718号1层。业务服务器位于阿里云西南1（成都）地域，账号采用阿里云短信及一键登录服务。隐私联系邮箱为 galuxy@pointerleap.com。

以下功能清单基于当前产品设计，描述正式开放前应落实的处理边界，不表示所有功能已经启用或已经收集对应信息，也不构成对未知数据处理的预授权。尚未完成清晰告知与必要授权的处理不得启动。第三方提供的独立服务适用其依法公示的规则；我们仍对自身提供信息的合法性承担责任。

二、按功能说明信息处理

我们遵循明确目的、最小必要原则，区分提供基本学习服务所必需的信息与您自愿选择的扩展功能信息。不因您拒绝非必要权限、营销、记忆或其他可选处理，而拒绝无需这些信息即可提供的基本功能。

对于基于同意的处理，我们在充分告知后取得自愿、明确的同意，并提供撤回方式。对订立、履行您作为一方当事人的合同所必需、履行法定义务所必需或紧急保护生命健康等法律允许的其他依据，将限定在必要范围内；不把所有可选处理都解释为“履约必需”，也不以本政策作为无边界授权。

三、设备权限、音频与敏感信息

麦克风：仅在口语、语音消息或通话需要录音时请求，开始、停止及使用状态应清晰可见；不会因您仅打开官网、阅读政策或启动无需录音的功能而自动录音。撤回权限后停止新的录音，既有数据可按本政策申请删除。设备权限同意不替代上传音频、交由第三方处理或敏感信息处理所需的告知与同意。

iOS 原生通知（计划接入）：如使用 Apple 推送通知服务（APNs）发送远程通知，需处理 App 对应的设备推送令牌、通知授权状态及最小必要通知内容；令牌可能与账号关联用于投递。仅提供本地提醒时，不需要向服务器提交 APNs 令牌。我们不在推送负载中放入原始聊天、录音、短信验证码或其他不必要敏感内容。可在 iOS“设置—通知—咕噜星”关闭通知；关闭后不再向该设备投递相应通知，服务端令牌的解绑和删除须随设置变更落实。原生推送不等于没有第三方处理，其具体处理地点需独立核实。

照片／文件：若正式开放头像、反馈附件或导出等功能，只在您选择对应操作时，通过系统选择器读取您选中的项目或向指定位置写入文件，不默认扫描整个相册或磁盘。通知：如提供学习提醒，只在您选择开启时请求系统权限，可通过系统设置关闭；营销消息另行选择，不与基本服务捆绑。

当前设计不以通讯录、精确定位、摄像头、剪贴板内容、广告标识符或应用安装列表作为英语学习的必要条件。若未来确需新增类别或权限，应先明确必要性、数据范围和拒绝影响并依法获取授权，不能凭本段预先收集。普通本地缓存和联网不等同于可任意读取设备文件。

音频及对话可能包含身份、健康等敏感内容；不满十四周岁用户的信息属于敏感个人信息。必要处理前，须说明特定目的、充分必要性及对权益的影响，依法取得单独同意并落实严格保护。当前设计不以提取声纹识别身份为目的；不将普通口语录音默认用于声纹建模。建议不要在提问、录音或反馈中提交与学习无关的证件、病史、账户及他人隐私。

四、AI、学习推荐与交互数据

课程起点与回顾安排会参考您主动选择的偏好、作答及课程进度。您可请求说明推荐依据，并通过实际提供的起点调整或人工支持渠道反馈。学习推荐不用于升学、就业、信贷等重大决定，不对相同交易条件的用户实施不合理差别定价。如未来开展对个人权益有重大影响的自动化决策，须先落实适用的透明、解释及拒绝权保障。

响应 AI 求助时，只传递完成本次问题所必需的文本、音频或有限上下文，尽量剥离直接身份信息。采用外部模型／语音服务前，须明确公示接收方、目的、信息类别、处理地点、保留与训练规则，并按法律要求取得相应同意。服务商未确定，不代表任何服务商可任意接收数据；未完成核验、告知与授权前，不得传输。

本政策不授权将您的原始聊天、录音、可识别学习记录用于训练通用模型、对外出售或公开传播。如另行开展训练或非必要改进，应单独明确目的、样本范围、可识别性、参与方式、退出及删除安排；法律要求单独同意的，单独取得，拒绝不影响基本功能。去标识化数据只要仍可关联个人，仍按个人信息保护，不能与不可复原的匿名化混同。

可选聊天记忆应允许开关、查看及删除；关闭后不再新增对应记忆，不继续将已删除记忆用于后续对话。法律要求保留的安全片段与日常对话分开管理。因安全风险需人工核查的，限定人员、范围、访问记录与用途，不将人工审查当作无限查阅聊天的理由。

五、受托处理、第三方与 SDK

我们不会出售个人信息。为履行服务确需委托处理时，将核查服务商能力、签订数据处理约定、限定目的与期限，并监督处理；未经允许不得擅自转委托。向独立个人信息处理者提供信息时，依法告知接收方身份、联系方式、处理目的和信息范围，并在要求的情形下取得单独同意。接收方调整用途须依法重新取得授权。

当前已确定的基础方案为阿里云成都地域的业务服务器，以及阿里云短信、一键登录；阿里百炼与 iOS 原生推送为计划接入，其他第三方统计、广告、推送 SDK 暂无接入计划。“已确定方案”不表示 SDK 已在当前静态官网加载；实际 App 开放前须核实 SDK 版本及每个字段，计划中的服务未完成告知、授权与链路核验不得启用。

依法合并、分立、转让业务涉及信息接收的，我们将告知接收主体和联系方式并要求继续履行保护义务；变更原处理目的或方式的，依法重新获取同意。公开个人信息原则上须经单独同意或具有法定依据；有权机关依法调取、紧急保护生命健康等例外，仅在权限、程序和最小必要范围内处理并依法记录。

六、存储地点、保存期限与删除

我们使用阿里云西南1（成都）地域的业务服务器，在中国大陆境内存储业务数据。备份位置、AI 推理及原生推送的具体链路须在接入前分别核实，不能由主服务器位置推断所有第三方均在同一地域处理。若拟向境外提供个人信息，须先依法告知境外接收方、联系方式、目的、方式、类别和权利行使方式，完成适用的出境条件与必要的单独同意。未落实前不启用相应出境链路；使用境内接入域名不当然意味着全部处理发生在境内。

保存期限遵循实现具体目的所需的最短时间；下列为发布前应落实的期限规则，实际天数、触发点与删除作业须核实并公示，不以“业务需要”无限保留。

• 账号和学习进度：用于账号服务期间的必要范围；注销或相应目的结束后删除／匿名化，法定保留事项除外。
• 原始口语音频、转写和 AI 上下文：区分实时临时处理、用户主动保存与必要安全记录，逐类确定最短期限；不默认永久保存全部音频或通话内容。
• 聊天与记忆：按用户选择和清晰期限管理；删除请求应覆盖后续检索与服务商持有的对应副本，不只隐藏前端入口。
• 订单与安全日志：依适用交易、税务、网络安全等规定保留相应法定期间，不将一类法定留存扩展到所有聊天、录音和学习数据。
• 备份与缓存：设置有限轮换期。删除后备份在轮换前不再用于日常业务；灾难恢复时同步执行已记录的删除要求。

处理目的实现、不再必要、同意撤回且无其他合法依据、服务终止或保存期限届满时，依法删除或匿名化。法律要求继续保存或技术上暂不能删除时，停止除存储和必要安全保护外的处理，并说明理由与后续安排。

七、信息安全与安全事件

正式服务应落实与数据风险相适应的传输保护、存储和访问控制、最小权限、人员保密、审计与异常监测措施；敏感信息另行加强保护。保护措施以实际部署和验证为准，不声称已经获得未经核实的安全认证，也不承诺“绝对安全”或“零泄露”。

发生或可能发生信息泄露、篡改、丢失时，我们将依法及时处置、采取补救，按规定向主管部门报告，并在需要时以有效方式告知受影响用户事件概况、影响、措施及可采取的保护步骤。法律允许不另行通知的情形除外，但不影响监管要求。安全事故不因本政策的一般风险提示而自动免责。

八、查阅、复制、更正、撤回与注销

您可以依法查阅和复制个人信息，请求更正、补充、删除，撤回基于同意的处理，申请注销账号，并要求说明本政策和有关处理规则。符合转移条件的，可请求按规定方式向指定处理者转移。提出请求可使用正式版本已提供的入口，或联系 galuxy@pointerleap.com，无需等待某个 App 入口上线。

• 权限与同意：可通过设备系统权限设置关闭麦克风、通知等；可选记忆、第三方或训练授权应提供对应的撤回途径。撤回不影响撤回前合法处理的效力，也不影响无需该处理即可提供的功能。
• 记录：可请求获取学习、聊天及必要订单等自身信息的副本，申请删除特定记录。合理核验后，依法按适用范围处理，不要求无关敏感证明。
• 注销：核验后说明数据、会员及星币的处理后果，并完成必要清理。未解决订单可与您协商适当处理，不无限期阻止注销。注销不自动取消应用商店订阅，请在原渠道取消后续扣费。
• 请求响应：拟在十五个工作日内完成核验及答复；适用法律规定更短期限的从其规定。确需延长应说明原因与预计时间；拒绝的，应说明具体法定理由和申诉方式。

一般合理请求原则上免费。只有法律允许的情况下才可对明显重复、过量或不合理请求作相应处理；不得以笼统“成本过高”规避权利。涉及他人合法权益、法定保密或其他法定例外时，在必要范围内限制，并提供可行替代方式。近亲属依法就死者相关个人信息行使权利的，按适用法律处理。

九、未成年人个人信息保护

不满十四周岁的个人信息属于敏感个人信息。开放相应服务前，必须制定专门的儿童个人信息保护规则与用户协议，明确儿童信息负责人及联系方式，向监护人清晰告知处理类别、用途、存储、期限与权利方式，并取得可验证的监护人同意；不能仅凭儿童勾选“已获同意”。当前上述安排未确认前，不开放面向不满十四周岁用户的注册及个人信息处理。

对十四至十七周岁用户，按年龄、理解能力和实际服务采取适当的告知、必要授权及消费保护，不以一般协议替代依法应取得的监护同意。监护人可通过联系邮箱申请查阅、更正、删除或撤回相关处理；仅核验必要的监护与身份关系，不公开儿童资料。

发现未经必要监护同意取得儿童信息时，及时停止相应处理，核验后依法删除或采取保护措施。如开放适用专项规范的拟人化互动服务，应另行落实适龄识别、未成年人模式、安全设置、消费限制等要求；本政策不意味着这些技术机制已经实现。

十、静态官网、Cookie 与外部链接

当前交付的官网为可离线打开的静态文件：不设置账号表单、不写入 Cookie 或 localStorage、不嵌入第三方统计／广告脚本、不发起后台接口请求，也不调用麦克风。页面使用本地图片、CSS 和 JavaScript；菜单、学习方式切换及目录仅在当前页面中运行。

双击本地 HTML 浏览，不会通过本页向我们提交个人信息。将来放到网站服务器后，服务器和 CDN 可能产生 IP、请求时间等访问记录，须以实际部署补充告知，不把“静态页面”当作“在线访问没有日志”的承诺。点击邮件链接由您的邮件程序处理，只有您自行发送时才向我们提交邮件内容。

外部法规或其他服务链接由对应网站提供，访问后按其规则处理信息。本政策对其独立处理不作虚假保证。如后续加入统计、Cookie、下载追踪或在线表单，会在启用前更新本节并落实适用选择机制。

十一、政策更新与联系申诉

正式生效及后续更新会标明日期和版本，保留可查阅的历史版本。涉及主体、目的、类别、接收方、敏感信息或权利方式等重大变化时，在合理时间以显著方式告知，法律要求时重新征得同意；不会仅通过替换网页或推定“继续使用”扩张处理权限。

个人信息保护咨询、撤回、删除和投诉，请联系 galuxy@pointerleap.com，主题可注明“咕噜星隐私请求”。我们按第八条处理并提供反馈；您不满意时，可继续申诉、依法向履行个人信息保护职责的部门投诉，或向有管辖权的法院寻求救济。实际服务版本、SDK 清单、数据期限与第三方处理链路核实完成前，本草案不应作为已完成合规的上线依据。