Mosen 隐私政策

我们处理的数据

• 账号与安全数据：你主动填写的昵称、登录邮箱、账号标识、设备会话、登录时间和安全审计记录。你使用邮箱创建账号或重设密码时，我们会向该邮箱发送一次性验证码；密码只以不可逆的加盐派生值保存，不保存明文密码。只有 App 明确显示相应入口且你主动选择“使用 Apple 登录”或“使用 Google 登录”时，我们才会处理该服务返回的稳定账号标识和已验证邮箱（Apple 可能提供私密电子邮件转送地址）。数据库只保存这些标识的不可逆索引，不保存原始第三方账号标识。
• 产品更新与活动邮件选择：只有你在创建账号或账号设置中主动打开“接收 Mosen 的产品更新与活动邮件”后，我们才会将已验证邮箱用于此目的，并保存选择、同意或退订时间。该选择默认关闭，不影响账户、安全、交易或你主动请求的服务邮件。
• 你主动提交的内容：对话文字、语音转写、提醒内容、邀请制协作安排、任务指令、聊天图片、截图或票卡，以及完成任务所需的有限上下文。你从协作成员页举报用户时会提交举报类别和可选的最多 600 字说明；从收到的安排卡片举报时，还会附上该条安排，专用于安全响应。你接受 Mosen 的系统语音邀请并允许使用麦克风时，会话所需的麦克风音频也会通过腾讯云实时音频服务用于语音识别、生成当次回复和维持该语音会话。
• 会议录音与笔记附件：会议录音或导入的音频先在设备上转写；设备不支持本机会议转写时，App 会提示不可用，不会改为上传原音频。只有你主动选择智能校对或生成纪要且已同意第三方 AI 数据处理时，才会将核对后的转写文字、时间标记、原录音文件名、时长和语言经 Mosen Cloud 交给 Qwen。新插入备忘录的照片保存在设备上，不会因为插入而上传；只有你主动使用 AI 写作优化时，才会发送你选择的文字或当前文档文本，其中可能包含图片的 Markdown 引用，但不会上传图片文件。聊天语音识别在设备不支持本机识别时可能使用 Apple 语音识别；该路径不适用于会议录音，也不代表会议原音频会被上传。
• 官网反馈：当你在 Mosen 官网填写 Bug、想法或其他反馈并点击“用邮件发送反馈”时，官网只会打开你的默认邮件客户端；打开邮件客户端不等于发送，内容只有在你确认发送后才会通过邮件送达。官网不会自动上传你填写的内容，也不会显示虚假的“已提交”。收到邮件后，我们会处理反馈内容、来源页面和你选择留下的联系邮箱，用于排查、回复和改进产品。
• 回答质量反馈：每条 Mosen 回答后，你可以选择“不错”或“没帮上”。“不错”只提交该条回答的质量信号、消息与请求标识、模型来源、App 版本和设备系统信息；“没帮上”还可由你补充原因和说明，并选择是否附上当前这一轮的用户消息与 Mosen 回答，以及当前界面截图。截图只有在你打开对应开关后才会上传。隐身对话默认不上传对话正文或截图；若你仍选择附上，App 会在提交前明确提示该内容将进入私有改进后台。回答反馈不会触发 Mosen 当场自行修改或发布代码。
• 日历、位置、天气、提醒与记忆：EventKit 标识、日历账户和提醒详情保留在设备上。“云端日历智能索引”和“聊天时参考近期日程”是两个分别控制、默认关闭的功能，只有用户主动开启对应开关后才会运行。开启“云端日历智能索引”后，会把近 14 天至未来 90 天的日程标题、起止时间、全天标志及设备生成的拼音检索键同步到 Mosen Cloud。单独开启“聊天时参考近期日程”后，只将未来 4 天、最多 14 项日程随当前聊天请求发送，不写入云端索引。当你在聊天中明确查询日历时，Mosen Cloud 会先生成有边界的读取范围，iPhone 再从 EventKit 读取对应日程；为了回答该问题，设备只回传该范围内必要的标题、起止时间和全天标志，不回传 EventKit 标识、日历账户或提醒详情。当你主动使用基于当前位置的天气或 Apple 地图能力时，App 才会请求“使用 App 期间”的位置；附近地点和路线由 iPhone 上的 Apple MapKit 处理，位置不会为这些地图请求发送到 Mosen Cloud。当前位置实时天气会把本轮所需的新鲜精确经纬度发送给 Mosen Cloud，再由下述天气服务处理；晨报位置先在设备端降至小数点后两位再上传。Mosen 不请求“始终”位置，不把位置用于广告追踪。智能记忆会先向用户请求一次明确授权；开启后，设备会在本机按会话边界将已完成对话压缩为最多 180 字符的中性摘要，再从最多 40 条近期原话候选和本机摘要中选取与当前聊天较相关的最多 6 条线索及间隔发送，而不发送完整历史。长期提炼会将当前用户消息和最多 30 条已有可控记忆的最小摘要发送给 Mosen Cloud 及已配置的模型，返回的候选记忆及用于说明“为什么记住”的最多 180 字符当前用户原话仅保存在设备上，并可查看、撤销、修改、停用、纠正、要求忘记或删除。设备还会在当前账号的本机范围保留最近最多 12 轮受限记忆诊断，包括最多 100 字符的消息预览、被选中的近期线索与长期记忆以及各处理阶段结果；该记录不会作为独立诊断上传，用户可在“记忆诊断”中随时清除。用户也可在“Mosen 记得”的“记忆与隐私”中分别关闭聊天引用、自动提炼或近期脉络，开启临时隐身对话，或清除当前账号全部记忆；关闭近期脉络会清除对应的本机正文。晨报、云端提醒和天气功能另会处理其所需的最小摘要、时间和位置。
• 订阅与用量：Apple 交易标识、订阅商品、有效期、退款或续费状态，以及模型、语音、Momo 合照生成次数和后台任务的用量记录。Mosen 不接触你的银行卡号或 Apple 付款凭据。
• 运行与诊断：请求标识、错误码、延迟、应用版本和必要的安全日志。生产日志不记录验证码、访问令牌、供应商密钥或完整对话正文。

处理目的

这些数据用于登录与会话保护、完成你发出的请求、发送提醒和回执、同步订阅权益、控制合理使用额度、排查故障、阅读并回复你主动提交的反馈、处理协作安全举报与阻止后续骚扰、将回答问题关联到后续人工分诊与代码修复、防止滥用，以及履行退款、审计和法律义务。仅在你单独选择接收后，我们才会发送 Mosen 的产品更新与活动邮件。

服务提供方

账号和平台功能使用 Apple 的订阅、推送及设备端 MapKit；只有 App 明确显示相应联合登录入口时，才会使用 Apple 或 Google 登录。腾讯云用于验证码投递。实时天气和晨报经 Mosen Cloud 获取天气：配置可用时使用 Apple Weather（WeatherKit）作为主要天气服务；请求失败或未配置时，改由 Open-Meteo 处理所需的位置和时区。实时天气使用本轮坐标，晨报使用设备降精度后的坐标；Open-Meteo 请求中的经纬度保留到小数点后四位。登录本身不会授权第三方 AI 数据处理。在本机首次使用或披露内容更新后，即使当前账号曾在其他设备同意，App 也会先显示“联网 AI 数据处理”说明，列出阿里云百炼 / 通义千问 Qwen、腾讯云 TRTC Flow、Apilio、Apple 语音识别，以及各自处理的文字、上下文、音频或图片。用户选择“同意并发送”后才发送本次消息；选择“暂不发送”则保留草稿。设置中重新启用也需在同一说明页明确确认。可随时在“关于 Mosen → 联网 AI 数据处理”停用。只有同意后，功能所需的数据才可能交给阿里云百炼/通义千问 Qwen（对话、任务处理、一次性公开网络搜索及当前聊天所需的有限上下文与所选图片）。一次性联网搜索只使用本轮真实返回的公开来源生成答案和来源卡；搜索失败时不会把旧知识冒充为已搜索结果。当你确认开启定时搜索时，Mosen 还会在你设定的每个执行时间把该搜索要求和上一轮报告的有限摘要交给 Qwen；Qwen 会重新搜索公开网络，可按问题需要读取相关网页或使用隔离代码工具，并把报告和本轮公开来源链接返回 Mosen。任务会持续到你暂停、删除、撤回第三方 AI 同意、失去对应权益或因连续失败被系统暂停；默认定时搜索即使没有重大变化也会产生本轮报告。精密变化监控会在界面另行标注，并以 Mosen 复取来源和确定性状态核验为准。其他供应商包括腾讯云 TRTC Flow（实时音频、语音识别和语音合成）、Apilio（你主动创建 Momo 合照时的图像处理），以及设备不支持本机识别时的 Apple 语音识别。

文字和所选聊天图片经 Mosen Cloud 转交 Qwen；你选择的合照照片、Mosen 参考图及生成要求经 Mosen Cloud 转交 Apilio。接听或主动发起语音通话时，实时麦克风音频由设备直接传至腾讯云 TRTC，提醒内容和必要的会话文字经 Mosen Cloud 提供。语音输入优先使用本机识别；设备不支持时，只有你已同意相应数据处理并授予 Apple 语音识别及麦克风权限后，设备才可能直接将音频发送给 Apple 进行识别。更新后的客户端发送给 Apple 的识别提示仅为静态通用词，不包含日程标题、联系人或记忆中的人名。普通聊天文字由你确认发送；已主动开始的语音通话按当次会话处理转写。会议原录音仍只在设备上处理，不使用此云端识别回退。

当前票卡识别没有已披露且启用的视觉处理商时会直接提示不可用，不会静默把票卡改发给未列出的供应商。天气卡会标明实际使用的数据来源，并提供相应来源说明入口。在图像能力测试、切换或主要服务暂不可用期间，Mosen 只会在更新本政策、App Store 隐私信息和 App 内供应商说明后启用受相同数据最小化、安全与保密要求约束的备用图像处理服务。Mosen 只发送完成对应功能所需的数据，不出售个人信息，也不以跨应用广告为目的共享数据。

Mosen 要求所有接收用户数据的第三方服务提供方（包括上述 AI、语音、图像及其他服务）提供与本政策相同或同等的数据保护，只为已披露的目的处理所需数据，并遵守适用的安全、保密、保留及删除要求。该要求适用于主要服务及备用服务；更换处理方或扩大数据用途前，我们会更新相关说明并重新取得所需同意。

保存与删除

数据只在提供服务、安全响应、审计及履行法定义务所需的期限内保存。协作安全报告只供受限的安全支持处理，包含的举报说明和被举报安排不会用于模型训练或广告；删除账号会删除该账号作为举报人或被举报人的报告。回答反馈截图在提交 30 天后自动删除；用户补充说明及主动附上的单轮对话最长保存 180 天，反馈被标记为已修复或不处理后会缩短为最多 30 天。详细内容到期后，只保留原因、质量信号、处理状态、代码或版本引用及必要诊断元数据；删除账号会删除该账号关联的回答反馈。日历智能采用可替换的近期索引；你关闭该功能后，App 会在联网时删除当前账号的云端日历索引，退出登录或删除账号时也会清理，未能再次连接原账号的索引会在最后一次同步满 120 天后自动清理。运行诊断仅保存请求标识、错误码、延迟、App 版本和服务配置摘要，不保存完整对话、验证码、访问令牌或供应商密钥；生产日志每日轮转，最多保留 30 个已轮转文件，之后自动删除。你可以在 Mosen 的账号设置中直接删除账号；成功删除会撤销活动会话和已绑定设备，并清理账号凭据、第三方登录关联、推送令牌、协作内容、反馈、照片任务、日历索引、云端提醒与通话会话、Watch／自动化／遥控任务及其文件。若曾用 Apple 登录，我们会在删除前撤销为此目的保存的 Apple 授权凭据。依法需要保留到法定期限届满的 Apple 交易、财税、用量与安全审计记录会移除昵称、登录目标、请求／会话／供应商关联和自由文本，并改用不能再用于登录的删除标识。

保存为当前账号本机备忘附件的原录音可从该备忘回听或导出；转写失败或关闭整理页不会删除已保存的原音附件。退出登录会隔离该账号的本机访问。删除账号会清理当前设备该账号的本机备忘、音频与附件、长期记忆和聊天记录；如果云端已删除而本机清理暂未完成，App 会明确提示并记录待清理状态，在重启 App 后再次进入聊天或备忘时重试。备忘移入‘最近删除’期间，附件随备忘保留以便恢复。Mosen 不修改外部导入的原文件，也不会删除你另行导出的副本。

你的选择

你可以不同意第三方 AI 数据处理并继续使用本机日历、待办、备忘和普通本地提醒，也可以之后在“Mosen 与你”中开启或关闭。关闭后，设备上的新联网 AI、云端语音和图像请求会被阻止；撤回决定成功同步至 Mosen Cloud 后，后台定时搜索会在授权检查时停止第三方 AI 调用并暂停。关闭时若网络不可用，设备会在重新联网后完成撤回决定的同步；在同步成功前，已在远端运行的任务可能尚未收到撤回状态。你可在 Mosen 账号页随时打开或关闭产品更新与活动邮件；关闭后不再发送这类邮件。邀请制协作中，你可以举报一位成员或具体安排、屏蔽对方、退出自己加入的群组；群组创建者可解散群组。你可以不使用回答反馈；提交“没帮上”时，也可以关闭单轮对话或截图开关。你还可以在 Mosen 日历页关闭日历智能并删除云端索引，在 iOS 设置中撤销日历、精确位置、麦克风、通知等权限，在 Apple 账号的订阅设置中管理或取消订阅，并在 Mosen 内退出登录或删除账号。撤销某项权限后，依赖该权限的功能可能无法继续使用。

未成年人

Mosen 不是专门面向未满 14 周岁儿童设计的服务。若监护人发现儿童在未经同意的情况下提供了个人信息，请通过 basionwang@gmail.com 联系我们。

政策更新与联系

功能或法律要求变化时，我们会更新本政策并修改页面日期。对于隐私、账号删除或数据处理问题，请联系运营者王百琛（Basion Wang）：basionwang@gmail.com。