本译文仅为方便阅读而提供。如有任何差异，以英文版本为准。阅读英文版本。
隐私政策
最后更新于 2026 年 10 月 13 日 · bmvp.ai Ltd
简要说明
你的任务、计划和笔记都存储在你的手机上。Treasynx 没有用户账户，也没有保存你一天数据的服务器。确实有少数内容会离开你的设备，而且都是因为你提出了要求：AI 提示词会使用你的密钥发送到你选择的服务商；如果你使用麦克风，它会把音频发送到你手机的语音服务；另外还有两项完全可选的功能，在你开启后可以向我们发送一些内容——假名化（仅与在你手机上生成的随机 ID 关联）的使用统计，以及帮助改进 Treasynx（一份关于应用使用情况的假名化每周摘要；如果你也愿意让它在将来帮助训练或测试 AI 模型，还有第二个单独的勾选框）。这两项默认均为关闭，彼此独立，而且在当前版本的应用中，“帮助改进”的发送功能尚未启用。你的金钱和业务数据绝不会离开你的手机，也绝不会发送给 AI。只有在你于“健康”中开启 AI 共享时，健康日记记录才会发送给你的 AI 服务商。购买通过 Google Play 结算服务（Google Play Billing）完成，偶尔出现的评价提示是 Google Play 自己的界面。其他一切都留在原处。
我们是谁
Treasynx 由 BMVP.AI LTD（以 bmvp.ai 名义经营）发布，该公司在英格兰和威尔士注册（公司编号 17126191），注册办事处位于 71-75 Shelton Street, Covent Garden, London WC2H 9JQ，并已在英国信息专员办公室（ICO）登记，登记编号为 C1898705。就 UK GDPR 而言，对于下文所述的有限处理活动，我们是数据控制者。
隐私问题：support@bmvp.ai
正式或法律通知：legal@bmvp.ai
哪些内容留在你的设备上
除非你明确导出或同步，以下内容绝不会离开你的手机：
- 任务、时间、时长、类别和笔记
- 已保存的计划表和工作模式模板
- 时型问卷的答案和结果
- 时薪、所选货币和时间价值数字
- 兴趣爱好、身心健康记录、感恩笔记
- 健身、饮食和健康日记记录（除非你明确将它们发送给 AI 服务商——见下文）
- 财务持仓、关注列表和投资组合数据
- 金钱数据：你输入的余额、账单、收入、导入的对账单、交易和储蓄目标
- 业务记录：你设立的每个业务的客户、项目、计费时间、发票、报价单、支出、收据照片、里程和税款储备
- Treasynx Intelligence：它从你输入的内容中学到的东西，以及它的建议记录和你的点赞或点踩
- 爱好记录、爱好项目和你的阅读进度
- 你在 Singularity 工具中输入的所有内容
- Home 方案：你添加的食物（名称、食物种类、存放位置、日期、数量和你自己填写的价格）、你为物品添加的照片、你扫描的条形码及查到的产品名称、购物清单，以及你标记为已用完、已冷冻或已丢弃的物品
- 你的 Prompt Forge 提示词库
- 连续记录、XP、等级和徽章
- 你的六个每日圆环目标、你每天完成的分钟数（最多 400 天）以及你解锁的奖杯
- 你的手机识别过的 NFC 标签和 Tag Rails、你给它们起的名称、你更改过的任何动作，以及你最近 200 次轻触
- 你输入的任何 AI 服务商 API 密钥
- 你的主题、颜色和提醒偏好
- 学到的资料和情景记忆
这些数据保存在应用的私有存储空间中，其他应用无法读取。卸载 Treasynx 会将其删除。我们无法为你恢复这些数据，因为我们从未拥有过它们。
哪些内容会离开你的设备，以及何时离开
Treasynx 只会为特定功能联系其他服务。下面列出了每一项服务及其接收的内容。
| 服务 | 时间 | 接收的内容 |
|---|---|---|
| OpenWeatherMap | 仅在你使用结合天气的出行规划时 | 你的坐标（来自手机定位）或你输入的地名、你计划的时间，以及你的 OpenWeatherMap 密钥。 |
| OpenStreetMap 瓦片服务器 |
每当显示地图时 | 你的 IP 地址和正在显示的地图区域（即你的手机下载的地图瓦片）。由 OpenStreetMap 基金会运营，并通过内容分发网络提供。 |
| Overpass API | 仅在你查询附近地点时 | 你的坐标和搜索半径，以及与任何网络请求一样的你的 IP 地址。不包含密钥，也不包含来自应用的任何标识符。 |
| OpenRouteService （HeiGIT，德国） |
仅在你请求导航路线时 | 起点和终点、出行方式、你的 OpenRouteService 密钥和你的 IP 地址。 |
| Hugging Face | 仅在你下载设备端 AI 模型时 | 来自你手机的下载请求（你的 IP 地址），在你登录自己的 Hugging Face 账户时发出，受 Hugging Face 条款约束。 |
| 你选择的 AI 服务商 |
仅在你使用 AI 生成或调整计划时 | 规划提示词，其中可能包含你写的任务标题。使用你的密钥，从你的手机直接发送到你配置的服务商。它不经过我们，我们也从不会看到它。 |
| 你选择的 AI 服务商 （身心健康） |
仅在你为身心健康功能开启 AI 并请求建议时 | 所选的健身、饮食或健康记录——发送前会先向你展示。除常规 AI 设置外，还需要单独同意。绝不会作为常规规划提示词的一部分发送。 |
| 你的 WebDAV 服务器 |
仅在你同步备份时 | 你的加密备份文件，发送到你提供的服务器地址——你的 Nextcloud、Koofr 或类似服务。不是我们的服务器。 |
| Supabase （爱尔兰，欧洲经济区） |
仅在你开启分析功能时（默认关闭） | 产品分析下列出的命名事件：计数、范围和功能名称，一个在你手机上生成的随机设备 ID（假名化，不与你的姓名或账户关联），应用版本、Android 版本和语言。不包含任务内容、按键记录、屏幕录制或点击捕获。 |
| 你手机的 语音服务 |
仅在你于日程访谈中按住麦克风时 | 你说出的音频。Android 会把它交给手机上安装的语音服务——在大多数手机上是 Google 的服务，会在其服务器上进行转写。我们从不接收也从不存储这些音频。如果你不想使用语音，打字可以得到相同的结果。 |
| 我们（bmvp.ai Ltd）， 通过 Supabase （爱尔兰，欧洲经济区） |
仅在你于“帮助改进 Treasynx”中勾选“分享匿名化的使用规律”时（默认关闭）；每周最多一次，且仅通过 Wi-Fi。当前版本尚未启用发送功能，因此目前不会发送任何内容 | 一份假名化的每周摘要（仅与在你手机上生成的随机捐赠者 ID 关联）：以范围表示的计数、各类时段的占比、四舍五入后的比率、精确到 30 分钟的第一个和最后一个时段、按一天中不同时间的精力评分、界面代号、AI 服务商类型、应用版本、方案、语言和地区设置，以及一个随机捐赠者 ID。如果勾选了第二个框，同一份摘要可能会被用于训练或测试 AI 模型，并会添加十二数字计划形态。绝不包含文本、金钱、业务、健康、联系人、位置、标识符或精确时间。参见下文的帮助改进 Treasynx。 |
| Open Food Facts | 仅在你于食物保鲜期（Home 方案）中开启在线查询产品名称时。默认关闭 | 你扫描的产品的条形码编号，仅此而已：没有姓名、没有账户、没有标识符、没有位置。返回的产品名称会保存在你的手机上，因此再次扫描同一产品时无需再次查询。你可以随时关闭此功能；关闭后扫描可离线使用，你只需输入一次名称。用于读取条形码的相机画面绝不会离开手机，也不会被保存。 |
| Open-Meteo | 仅在你请求爱好推荐时 | 你的坐标，取整到约一公里。返回日照、空气质量、浪高、紫外线、霜冻、土壤温度和积雪深度。无需密钥，无需账户，因此没有任何信息能识别你的身份。只会调用你当前进行中的爱好所需要的接口——如果你唯一的爱好是玩游戏，就完全不会发出请求。 |
| 你选择的 AI 服务商 （你的笔记） |
仅在你生成计划时，且仅在“笔记”上下文来源开启时 | 最多四条与当天任务相关的 Basalt 笔记，通过在你的设备上进行词语匹配找到。不会将任何笔记发送到任何地方进行索引。会包含标题，以便模型注明它使用了哪条笔记。 |
| 你手机的 日历 |
仅在你授予权限并轻触导入，或开启自动同步之后 | 只读。导入时读取一天的内容；可选的同步功能每小时读取今天及之后两周的内容。为避免重复，只会在手机上保留活动 ID、开始时间及其对应生成的时段。不会发送到任何地方——不会发给我们，也不会发给 AI。应用中没有写入权限，因此它无法更改你的日历。 |
| Google Play | 仅在你购买订阅或消耗型商品，或恢复购买时 | 完全由 Google Play 结算服务（Google Play Billing）处理。我们会收到购买已完成的确认；我们从不会看到你的银行卡信息。 |
| Google Play 应用内评价 |
偶尔，在某件事进展顺利之后（最多每 60 天一次，在你使用的前三天内绝不会出现） | 评价界面是 Google Play 自己的界面，由 Google 显示，Google 也可能决定不显示。你写的任何内容都会按照 Google 的政策发送到 Google Play。我们不会得知你是否留下了评价，也不会为此提供任何回报。 |
| 金融行情服务 （Twelve Data、Finnhub、 Alpha Vantage、CoinGecko） |
仅限财务功能（Infinite），仅限你设置的服务，并且仅在你轻触“刷新”或“测试”时 | 仅包含你添加的股票代码或货币符号，以及你在该服务的密钥；与任何网络请求一样，它也会看到你的 IP 地址。不包含你的持仓、持有数量或买入价格。对于加密资产，CoinGecko 无需密钥即可返回结果。 |
| Frankfurter （ECB 欧洲央行参考汇率） |
仅限财务功能，仅在开启货币换算时 | 一个货币对，例如美元兑英镑，每个货币对最多每十二小时一次。没有其他内容。 |
| 你选择的 AI 服务商 （Prompt Forge） |
仅限 Prompt Forge（Infinite），且仅在你选择发送提示词时 | 该提示词的文本。上下文包是可选的，使用前会先展示给你，并且绝不包含金钱、业务或健康信息、笔记或联系人。 |
使用你自己的 AI 密钥
Treasynx 不运营 AI 服务。如果你使用 AI 功能，需要提供你自己的密钥，你的请求会从你的手机直接发送到该服务商，并受该服务商的隐私政策约束，而不是本政策。值得读一读适用于你的那份政策。
共支持十六种：Anthropic、OpenAI、Google Gemini、Grok（xAI）、Groq、DeepSeek、Mistral、OpenRouter、Together、Fireworks、Cerebras、Perplexity、DeepInfra，以及任何其他兼容 OpenAI 的接口——另外还有两种完全不涉及第三方：在你自己的电脑上运行的 Ollama 或 LM Studio（任何内容都不会离开你的网络），以及设备端模型（任何内容都不会离开你的手机）。
有两家值得特别指出，而不是埋没在列表里。DeepSeek 在中国运营，因此你的提示词会在那里处理。Perplexity 会搜索网络来回答，这意味着你的提示词会影响对外发出的搜索。这两点都不是避免使用它们的理由，但都是你应当在知情的情况下做出选择的理由。
金钱、业务和 Treasynx Intelligence
金钱工具、财务、业务工具、Treasynx Intelligence 和 Singularity 工具都在你的手机上、根据你自己输入的内容运行。你的金钱或业务数据绝不会发送给任何 AI：不会根据余额、交易、商户、持仓、客户、发票或金额生成任何提示词。没有银行连接，没有账户关联，也不会转移任何资金。你导入的对账单文件在手机上读取，绝不会上传。
Treasynx Intelligence 在手机上从你输入的内容中学习。每条建议都会显示其背后的数字，在你确认之前不会更改任何内容，其记录也可以删除。发票或报告等文档只有在你轻触“分享”并选择发送去向时才会离开手机。
这些工具显示的数字是根据你自己输入的内容得出的估算，仅供规划使用。它们不构成财务、投资、税务或法律建议。
改为在手机上运行 AI
你可以在设备上安装一个小型语言模型，在完全没有密钥、没有账户、没有网络的情况下使用 AI 功能——开启飞行模式运行也完全可行。在这种配置下，任何关于你日程的内容都不会离开手机，这是由连接方式本身决定的，而不是一个需要你去信任的承诺。
我们不提供也不托管该模型。你从模型发布者处下载并接受其许可——对于 Gemma 模型，即 Google 的《Gemma 使用条款》。bmvp.ai Ltd 不是该许可的一方，也不会对其进行审查；遵守该许可是你与发布者之间的事。模型文件存放在应用的私有存储空间中，不需要任何新的手机权限。
如果你开启本地训练，会根据你保留了哪些计划，在你的手机上训练一个小型评分器，用于在多个草稿之间进行选择。该训练绝不会离开设备。这并不是语言模型本身在变化——没有任何手机能重新训练语言模型，我们也不会做出相反的声称。
健身、饮食与健康数据
Treasynx 包含可选的运动、膳食和日常健康（睡眠、精力、情绪、酸痛、饮水、体重）日记。所有记录都存储在你的设备本地，绝不会上传给我们。根据 UK GDPR 第 9 条，健康数据属于特殊类别数据，每本日记在你单独开启之前都处于关闭状态。
只有在你于“健康”中开启 AI 共享时，健康日记记录才会发送给你的 AI 服务商。身心健康界面中的这项可选 AI 建议功能，是健康数据可以离开你设备的唯一途径。它需要单独的同意——独立于一般的 AI 设置——并且在每次请求之前都会准确显示将要发送的内容。健康记录绝不会被加入计划工具、智能代理、聊天机器人或幕僚长所使用的一般 AI 上下文。身心健康界面会根据其自身的同意构建自己的提示词。
体重记录还需要另外开启一个开关并确认年龄（自行声明，18 岁以上）。没有卡路里数字，没有目标，没有 BMI，没有体脂估算，也不会对饮食或身体指标进行游戏化处理。有一项保护措施会留意可能表明饮食失调的规律，一旦检测到，就会停止提供 AI 建议，转而显示求助信息。
语音输入
日程访谈中的麦克风是可选的，在你轻触之前不会做任何事。当你轻触时，Android 会把音频传给你手机的语音识别服务，在大多数手机上这是 Google 的服务，它的工作方式是上传录音进行转写。我们从不接收音频，从不存储，也无法看到它——但它确实会离开你的设备，并且会发送到一家你并未选作 AI 服务商的公司。你第一次轻触麦克风时，应用会说明这一点并征求你的同意。打字可以得到完全相同的结果。
帮助改进 Treasynx
这是 Treasynx 中仅有的两项可以向我们发送任何内容的功能之一（另一项是假名化（仅与在你手机上生成的随机 ID 关联）的使用统计）。它发送的内容同样是假名化的：仅与在你手机上生成的随机捐赠者 ID 关联。除非你在“帮助改进 Treasynx”界面（方案与数据 → 你的数据，或 AI 设置）中勾选它，否则它处于关闭状态。不会有提示，不会有提醒，如果你拒绝，应用中的任何功能都不会因此变差。
当前版本的应用尚未启用发送功能。你可以阅读该界面、预览数据并记录你的选择，但目前此功能不会让任何内容离开你的手机。启用后，摘要将发送给我们的处理者 Supabase，它在爱尔兰（欧洲经济区）托管我们的数据库；本页面会首先在此说明。
两个独立的选择
- 分享匿名化的使用规律以改进应用。一份关于应用使用情况的假名化每周摘要（仅与在你手机上生成的随机捐赠者 ID 关联），用于了解哪些功能好用、哪些让人困惑以及需要修复什么。
- 同时允许这些匿名化规律用于 AI 训练。同样的摘要，以及来自你保留或拒绝的计划的十二数字计划形态，将来可能会被用于训练或测试帮助规划日程的 AI 模型。绝不出售。此框需要先勾选第一个框，并可单独取消勾选。
两个框初始均未勾选。每份摘要都会记录发送时有效的选择，只有在勾选了第二个框时发送的摘要，才可能被用于 AI 训练或评估。
收集哪些内容
- 应用版本、你的方案（免费、Pro、Advanced、Home、Super、Infinite 或 Singularity）、应用语言、简洁或先锋模式，以及你手机的地区设置——这是从语言设置中获取的国家/地区，绝不是位置，而且仅限常见国家/地区。
- 对于每一天，按星期几记录但不含日期：以范围表示的时段数量、每种内置时段类型（学习、工作、运动等）的占比、你完成了多少、取整到 30 分钟的第一个和最后一个时段、你的缓冲时间是否守住，以及迟到、重新安排和离开一段时间后重新开始的次数。
- 对于每一周：时段类型的平衡、各时段类型的实测时间与计划时间对比及估算准确度、按一天中时段平均的精力评分（仅在你为精力评分时）、按代号记录打开了哪些界面及打开频率、以计数表示的计时器、通知和 AI 使用情况、AI 服务商的类型（例如设备端或自托管），以及以范围表示的连续记录长度。
- 一个在你手机上生成的随机捐赠者 ID（见下文）。
绝不收集哪些内容
- 你或 AI 写的任何文本：任务标题、笔记、姓名、日志记录、提示词、AI 回答。
- 金额，或来自“金钱”“财务”或“业务”的任何内容——客户、发票、支出等。金钱和业务数据绝不会离开你的手机，也绝不会发送给 AI。
- 健康、健身、饮食或身心状态记录。
- 联系人、日历活动标题、照片或文件。
- 你的位置、设备标识符或广告 ID。
- 确切的日期或时间。
为了避免罕见的数值让任何人被单独识别出来，计数以范围形式发送，比率经过四舍五入且至少需要两个样本，罕见的时段类型会归入“其他”，一周内只打开过一次的界面会被排除，不常见的地区也会被省略。应用中的查看确切发送的内容会在发送任何内容之前，显示根据你自己最近七天数据生成的完整 JSON。摘要每周最多发送一次，且仅通过 Wi-Fi 等不按流量计费的网络发送。
目的、法律依据、处理者和保留期限
- 目的：改进应用（选择 1），以及仅在选择 2 的情况下，训练或评估帮助规划日程的 AI 模型，包括应用自带的初始计划评分器。
- 控制者：bmvp.ai Ltd。
- 合法依据：你的同意，即 UK GDPR 第 6(1)(a) 条，每个选择需分别给予同意，并可随时撤回。
- 存储位置：由我们的处理者 Supabase 根据数据处理协议存储，它在爱尔兰（欧洲经济区）托管我们的数据库。
- 保留期限：自接收之日起最长 24 个月，之后删除，或进一步汇总，使其不再与任何捐赠者 ID 相关联。
- 不出售，不用于广告：这些数据绝不出售，绝不分享给任何其他方供其自行使用，也绝不用于广告——Treasynx 中没有任何广告。
- 年龄：此功能仅供 18 岁或以上的用户使用。
撤回、删除和你的捐赠者 ID
你可以随时取消勾选任一框，上传会立即停止。取消勾选第一个框还会清除保存在你手机上的计数，并关闭第二个框和计划形态。随后会向你提供请求删除，它会请求服务器删除以你的捐赠者 ID 发送的所有内容——或者，在发送功能关闭期间，告诉你从未发送过任何内容。“我的数据 → 删除 Treasynx 存放的我的数据”同样涵盖此功能。
捐赠者 ID 是在你手机上生成的随机标识符。它不是你的设备 ID，不是广告 ID，不是分析 ID，也不与任何账户关联——Treasynx 没有账户。新 ID 会替换它，替换后之前的摘要将无法再与你关联。但这也正是问题所在：该 ID 是我们找到你的摘要并将其删除的唯一途径。如果你在未先请求删除的情况下更换 ID、清除应用数据或卸载应用，我们将无法再找到已发送的内容。所以请先请求删除，再进行清除。我们宁愿现在就告诉你，也不想日后一起发现这个问题。
产品分析
默认关闭，除非你主动开启。在你于匿名使用统计卡片（合规界面）上同意之前，Treasynx 完全不会发送任何分析数据。拒绝不会改变应用的任何运作方式；之后关闭此功能会立即停止所有事件，并删除你设备上的随机标识符，因此再次开启时会重新开始，而不是延续同一身份。
如果你同意，会收集哪些内容
仅包括计数、范围、开/关值以及功能的英文名称。应用可能发送的每个事件都列在下方。此列表以外的任何内容都绝不会发送。
| 事件 | 包含的内容 |
|---|---|
| 回访和会话 | |
app_opened | 打开了应用。你首次打开应用的日期、那是多少天前、你是否在 1 天、7 天和 30 天后回来使用、在最近 7 天和 30 天中你有几天使用了应用，以及今天使用了几次。 |
session_ended | 应用转入后台。打开了多长时间（以范围表示，例如 1-5 分钟），以及按名称记录使用了哪些功能。 |
feature_opened | 在一次会话中首次打开了某个主界面或标签页。只记录功能名称，不记录其中的任何内容。 |
| 核心功能 | |
time_monitor_started | 启动了时段计时器。时段的种类（例如学习或运动）以及以范围表示的计划时长。绝不包含标题。 |
time_monitor_finished | 停止了时段计时器。停止方式（按钮、通知、语音或放弃）、是否已记录，以及以范围表示的时长。 |
plan_generated | 生成了一份 AI 计划：是设备端还是服务商、服务商类别（例如 anthropic 或自托管），以及由哪个界面发出请求。绝不包含计划内容。 |
plan_accepted | 保留了一份生成的计划。 |
plan_rejected | 放弃或重新生成了一份生成的计划。 |
ondevice_model_installed | 安装了一个设备端模型。记录是哪个模型，而不是文件本身。 |
book_viewed | 打开了 Treasynx 之书。 |
cost_tool_used | “这花了我多少？”计算出了一个结果。不包含物品、小时数或金额。 |
hours_tab_viewed | 打开了“小时”标签页。 |
estimate_insight_shown | 显示了某一类时段（例如学习）的估算准确度。不包含具体数字。 |
time_audit_viewed | 打开了每日时间审计。 |
| 较新的功能 | |
tag_tapped | 轻触了一个 NFC 标签。动作类型（时段、完成、精力、标记或笔记）以及是否成功。 |
ring_closed | 合拢了一个每日圆环。是哪个圆环（例如运动）。 |
perfect_day | 一天内合拢了所有圆环。 |
share_card_shared | 制作了一张分享卡片。卡片的种类（例如圆环或 Treasynx 回顾）。不包含发送对象，也不包含卡片上的任何数字。 |
wrapped_viewed | 播放了 Treasynx 回顾。哪个时间段（上周、上月或本周）。 |
autopilot_applied | 使用了一份自动驾驶草稿。保留了多少条建议的更改、提供了多少条、是否使用了 AI 润色，以及是针对今天还是明天。 |
whatif_simulated | 运行了假设模拟器。有多少个情景以及是哪些类型。 |
savings_goal_created | 创建了一个储蓄目标。不包含其名称或任何金额。 |
| 方案与购买 | |
paywall_shown | 显示了一项锁定的功能。该功能的名称及其所需的方案。 |
paywall_cta_tapped | 在一项锁定的功能上轻触了“查看方案”。该功能的名称。 |
subscription_started | 购买了一个方案。是哪个方案、之前的方案，以及购买前 24 小时内最后看到的锁定功能（如有）。不包含价格或付款信息。 |
| 反馈 | |
insight_feedback | 你回答了“这有用吗？”。是哪条洞察，以及回答是或否。 |
每个事件还会附带应用的版本号、Android 版本和应用语言。不包含关于你设备的其他任何信息：没有设备名称或型号，没有运营商，没有网络状态，没有时区。
绝不收集哪些内容
任务标题、笔记、你输入的任何文本、提示词、AI 回复、金额或价格、储蓄目标名称或金额、API 密钥、你任务的日期或时间、你的位置、你的联系人，或任何广告标识符。应用中根本没有任何分析库，因此不存在需要关闭的自动点击捕获、界面追踪或会话回放：只有上面列出的事件会由应用自身的代码发送。
保存在你手机上的计数器
上述数字是根据只存储在你设备上的几个计数器计算出来的（你首次打开应用的日期、最近 60 天中你哪些天使用了应用、今天的打开次数、当前会话以及你最后看到的锁定功能）。它们在应用的我的数据下列为使用计数器，不包含在备份中，并会被清除所有数据或卸载应用删除。只有上述汇总数据会被发送，而且仅在你开启了分析功能时才会发送。
处理者、法律依据和保留期限
处理者：Supabase，在爱尔兰（欧洲经济区）托管我们的数据库。合法依据：你的同意（UK GDPR 第 6(1)(a) 条；对于存储在你设备上的标识符，依据 PECR（《隐私和电子通信条例》）第 6 条）。标识符：在你设备上生成的随机 ID，不与你的姓名、电子邮件或 Google 账户关联。IP 地址不会与事件一起存储；Supabase 自己的请求日志可能出于安全目的短暂记录该地址，与事件分开保存。保留期限：最长 12 个月，之后事件会被自动删除。你可以随时通过关闭该卡片撤回同意；这会立即停止收集，并删除你手机已发送的事件。
崩溃和错误报告
Treasynx 中没有任何崩溃报告软件，我们也不收集崩溃或错误报告。本页面的早期版本曾说崩溃报告会在同一同意开关下通过我们的分析功能传输；应用从未这样做过，因此该说法已被删除，而不是留着描述一件并不存在的事。（在那之前，本页面还曾提到 Firebase Crashlytics，它同样从未被使用过。）
另外，如果你开启了 Google 的“使用情况和诊断”设置，Android 本身会向 Google Play 报告崩溃。这完全由你的 Android 设置控制，而不是由我们控制，我们只能在 Play 管理中心（Play Console）中看到经过匿名化和汇总的报告。
检查新的 AI 模型
模型优化器是可选的，默认关闭。开启后，它会向你已持有密钥的每家服务商查询其当前提供哪些模型，以便在你使用的模型停用时提醒你——否则你的 AI 功能会在毫无解释的情况下失效。请求中只包含你的密钥，没有其他任何内容：没有日程，没有提示词，没有个人数据。它只在应用打开时运行，绝不在后台运行，并按你选择的间隔运行。
举报 AI 输出
每条 AI 生成的回复都带有一个举报控件。选择一个类别并发送，会打开你自己的电子邮件应用，生成一封发给我们的邮件，你可以在发送前阅读。是否附上 AI 的回复由你决定，且默认不附上，因为回复是根据你的日程生成的，可能会复述你自己的笔记。即使不附上回复，举报仍然有用——类别和模型才是最重要的两项信息。
位置
位置是可选的，仅用于天气、附近地点和爱好条件。Treasynx 只在你使用其中某项功能时才请求大致或精确位置，绝不在后台请求，也不存储位置历史记录。坐标仅用于向 OpenWeatherMap 或 OpenStreetMap 发出的一次 API 调用，随后即被丢弃——它们只保存在内存中，绝不写入存储空间。拒绝该权限不会影响应用的其他部分——你可以改为输入地名。
相机权限（Home 方案，可选）
食物保鲜期是 Home 方案的一部分，可以用你手机的相机读取产品条形码。相机权限只在你轻触“扫描”时才会请求，请求前会先作简短说明，且绝不在后台请求。该权限是可选的：没有它，你可以输入名称，或者通过 Android 的照片选择器选一张照片来读取条形码，这不需要任何权限。
- 在你的手机上读取。条形码由一个开源库（ZXing）在设备上解码。不使用 Google 或任何其他扫描服务，相机画面不会被保存或发送到任何地方。
- 照片留在你的手机上。你为食物添加的照片保存在应用的私有存储空间中，只会包含在你自己的备份中（有大小限制）。
- 在线查询产品名称默认关闭。请参阅上表中的 Open Food Facts：如果你开启查询，只会发送条形码编号。
- 你可以随时在 Android 设置中撤回相机权限；应用的其他部分不受影响。
应用中的保鲜期日期是根据一般性指引得出的估算。以标签上的日期为准。它们不构成食品安全或医疗建议。
备份和加密
导出内容可以使用 AES-256-GCM 加密，密钥通过 PBKDF2 从你的密码短语派生。密码短语绝不会被存储，也绝不会被传输。如果你丢失了密码短语，备份将无法打开——我们也打不开。文件存放在哪里由你选择；如果你将其同步到第三方服务，存储状态下的文件适用该服务的政策。
自动保存，以及各种情况下数据能否保留
四个不同的问题，有四个不同的答案，这里直白地列出来，因为“我会丢失我的日程吗？”是人们最需要得到明确答复的问题。
| 发生的情况 | 保留的内容 |
|---|---|
| 关闭并重新打开应用 | 全部保留。无需任何操作。 |
| 更新 Treasynx | 全部保留。应用更新绝不会触及你的数据。 |
| 卸载并重新安装 | Android 10 及以上版本会在卸载时询问是否保留应用数据——勾选后，一切都会保留。如果你开启了 Google 自己的备份，它会自动恢复数据。而且自动保存已经把一份副本写入了 Documents/Treasynx，轻触一下即可恢复。 |
| 恢复出厂设置、手机丢失 | “文档”中的副本会随设备一起丢失。针对这种情况，你需要把可选的自动保存文件夹指向一个你会同步的云盘，或者把加密导出文件保存在其他地方。 |
Google 的 Android 备份
这是一项 Android 功能，不是我们的功能。如果你在 Android 设置 → Google → 备份中开启了备份，Android 会把 Treasynx 设置的加密副本发送到你自己的 Google 账户，并在你重新安装时自动恢复。该副本使用从你设备屏幕锁派生的密钥加密；我们从不会看到它，从不会接收它，也无法替你开启或关闭它。
有三样东西被刻意排除在外：你的分析同意和标识符、你在“帮助改进 Treasynx”中的选择和捐赠者 ID，以及闹钟登记表。恢复一项同意与被征求同意并不是一回事，而恢复的闹钟会列出一些永远不会响的项目。
自动保存
自动保存分为三个层级，各层级的默认开启状态不同。这些差异值得读一遍。
- 回滚点——开启。每次你离开应用时在应用内部写入，保留最近三个。它们可以让你撤销一次糟糕的更新或误触。卸载后它们不会保留——它们是撤销手段，而不是备份。
- 自动保存到“文档”——默认开启（Android 10 及以上版本）。每当你离开应用时，会将一份快照写入
Documents/Treasynx，最多每五分钟一次，保留最近五份。由于该文件夹位于应用之外，这些文件在卸载后仍会保留。不需要也不会请求存储权限——Android 允许通过媒体库写入“文档”而无需权限。它默认开启而不是关闭，是因为它所防止的故障是彻底且无声的：有人重新安装后，发现一年的历史记录不见了，而从来没有人问过他们是否想保留。在说明此功能的同一界面上可以将其关闭。在 Android 9 及以下版本上，此层级不可用，因为同样的写入操作需要一项本应用不应持有的广泛存储权限。 - 自动保存到你选择的文件夹——关闭。可选，只有两种情况值得使用：把文件放到你会同步的云盘中，使其在恢复出厂设置后仍能保留；或者你使用的是 Android 9，而“文档”层级在该版本上无法使用。此项不能默认开启，因为在你选择文件夹之前，没有可以写入的文件夹。
“文档”层级的一个局限，在这里说明，而不是留给你自己发现。Android 只让应用看到它自己写入的文件，而重新安装的应用在这方面被视为一个新应用。因此，你的自动保存文件在卸载后仍会保留，但新安装的应用看不到它们，界面看起来会是空的。恢复只需一步：轻触“从文件恢复”，然后在系统选择器中从 Documents/Treasynx 里选择最新的一份。自动恢复当然更好，但要实现它，就需要请求一项允许应用读取你整个设备的权限——这比轻触一下更不划算。
自动保存文件未加密。加密这些文件意味着每次你离开应用时都要询问你的密码短语，而为了避免询问而存储的密码短语就不算加密了。因此，这些文件以可读形式包含你的任务标题、笔记、健康日记记录、财务持仓和 AI API 密钥，存放在拥有存储访问权限的其他应用可以读取的文件夹中。如果你不想做这种取舍，可以在“你的数据”界面将其关闭——应用中的其他内容都不会改变，对于任何你想放到不那么私密的地方的内容，加密导出功能依然可用。
查看我们保存的一切
根据 UK GDPR，你享有访问权和可携带权。由于你的数据在你的设备上，我们不持有任何副本，因此这两项权利都可以直接在应用中实现，而不需要写信给我们再等上一个月。
设置 → 存储与缓存 → 你的数据列出了应用写入的每一个存储位置，并用通俗易懂的语言说明其中的内容、大小以及是否包含在备份中。“导出全部”会把所有内容写入一个文件，存放位置由你选择。
具体数值被刻意不显示在屏幕上——显示每个键的内容会让你身边的人看到你的 API 密钥和健康记录。导出才是查看实际内容的正确途径，只需轻触一下。
你的手机日历
可选，在你要求之前处于关闭状态，并且是只读的。Treasynx 可以从你手机自带的日历中提取预约，而不用你重新输入。
- 导入时每次一天。它读取你正在规划的那一天，而不是你的一整年。今天的活动会加入你的一天；其他日期的活动会放到你 Treasynx 日历中的对应日期上。
- 自动同步是可选的，在你开启之前处于关闭状态。开启后，它会每小时以及在你打开应用时，读取今天及之后 13 天的内容，导入新的预约，并更新已变动或已取消的预约。它绝不会更改你编辑过或删除过的时段，并会跳过全天活动。
- 同步保留什么。只保留避免重复添加所需的内容：每个已同步活动的 ID 和开始时间，以及对应时段的时间、标题和时长——仅保存在你的手机上。它不包含在备份中，显示在“我的数据”下，并会被“清除所有数据”清除。不开启同步时，不会保留任何内容：活动只会显示，随后即被丢弃。
- 不会发送任何内容。日历活动绝不会被放入 AI 提示词中。
- 它无法写入。应用中根本没有写入权限，而不只是不使用——这是比“承诺不写入”更有力的保障。
日历记录着你要见谁、在哪里见，这比本应用保存的日程更能透露你的信息。因此，在 Android 向你请求任何权限之前，屏幕上会先说明需要该权限的原因，而拒绝不会让你失去任何其他功能。
你的笔记，以及 AI 现在能看到什么
这扩大了 AI 服务商接收的内容范围，因此值得仔细阅读，而不是一扫而过。
Basalt 笔记过去对 AI 是不可见的。现在不再如此。当你生成计划时，应用会在你的笔记中搜索与当天任务相关的笔记，并在提示词中包含最多四条——这样一条写着“健身后一小时内不做深度工作”的笔记就能真正改变你的明天。
搜索完全在你的设备上运行：对每条笔记的标题、标签和正文进行词语匹配，再沿着你在笔记之间建立的链接跳转一次。不使用嵌入模型，也不会将任何笔记发送到任何地方进行索引——那样做会在不知不觉间让“你的笔记留在你的手机上”变成一句假话。
笔记标题是刻意包含在内的，以便模型注明它使用了哪条笔记，你也可以核对。检索有时会出错，而一条未注明出处的错误笔记会变成一个看似可信的错误前提。如要完全停止此功能，请在 AI 设置中关闭“笔记”上下文来源。
实测时长
在你开启之前处于关闭状态。开启后，开始和结束一个时段时会在你的设备上记录两个时间戳，应用会按类别计算事情实际花费你的时间与你计划时间的对比。
它报告的是中位数比率，而且只在某一类别至少有八次测量时才报告——低于这个数量时，它什么都不报告，而不是给出一个附带警示的数字。之所以用中位数而不是平均数，是因为一个时段花的时间不可能少于零，却可能是估计的五倍，所以一个糟糕的下午就会永久拉高平均数。
发送给 AI 服务商的是各类别的偏差数字，而不是单个时段或其标题。超时是关于一次估计的信息，而不是关于你这个人的信息。
计时监测
计时监测只为你开始的时段计时，不做其他任何事。它不会在后台读取你使用了哪些应用、你的屏幕使用时间、你的位置或你的麦克风。开始时间、暂停和结束时间都留在你的手机上，只用于两件事：记录在时段上的时长，以及上文所述的估算学习。不会向任何地方发送任何内容。
说出命令——“done”、“pause”、“ten more minutes”（需用英语）——与说出预约的方式相同：你手机自带的语音服务把声音转换成文字，Treasynx 只接收文字，并将其与应用中的固定列表进行匹配。不会录制或存储任何音频。
提示音播放时，计时监测会将你手机的闹钟音量调高约四秒，然后恢复原样：扬声器最高 85%，连接耳机时最高 40%。它绝不会调低你的音量，你也可以在计时监测界面关闭此功能。
NFC 标签和 Tag Rails
Treasynx 标签是无电池的被动式 NFC 贴纸（NTAG213），需要你另行购买（不随附）。它们从不广播：只有当你用手机轻触标签时，数据才会传输。
- 标签上有什么：一个指明某个动作（例如“开始或结束一个工作时段”）的 treasynx.com 短链接、一个随机的八位字符标签 ID，以及对于 Tag Rail，一个随机的标签条 ID 和位置编号。没有任何关于你、你的日程或你的手机的信息。任何读取该标签的人也只能看到这些。
- 轻触时会发生什么：你的手机读取链接，应用在手机上执行该动作——例如把一个已完成的时段添加到“今天”。这项功能不进行任何网络调用。如果未安装应用，手机可能会提议在浏览器中打开该链接，显示一个关于 Treasynx 的页面；网站不会执行或存储链接中的动作部分。
- 你的手机保留什么：它识别过的标签和标签条、你给它们起的名称、你在该手机上更改过的任何动作、某个标签正在计时的时段，以及你最近 200 次轻触。这些包含在你的加密备份中，列在“我的数据”下，并会被“清除所有数据”删除。
- 写入标签：当你写入或锁定一张贴纸时，应用只会写入链接和一条 Android 应用记录。锁定会让贴纸永久变为只读。
分享卡片和邀请
每日圆环、连续记录、XP 和奖杯都是根据你勾选完成的时段在你的手机上计算出来的，并且保留在手机上。当你轻触“分享”时，应用会绘制一张你的圆环图片（圆环名称、相对于目标的分钟数以及你的连续记录），并连同一条简短消息和一个 Google Play 链接交给 Android 的分享面板。除非你选择一个应用进行分享，否则不会发送任何内容，而且它只会发给你发送的对象。
圆环或 Treasynx 回顾卡片上的 Play 链接带有一个标签，说明它来自一张分享卡片，以便 Google Play 统计通过分享带来的安装量。其中不包含任何关于你的信息。图片会短暂保存在应用的私有缓存中，以便你选择的应用可以读取它。
其他界面也提供以卡片分享功能。图片在你的手机上绘制，金额数字和姓名在你于预览中开启之前都是隐藏的。它只会通过你打开的分享面板离开手机。
邀请朋友会通过分享面板，向你选择的任何人发送一条附有公开 Google Play 链接的简短消息。没有奖励，没有推荐码，没有追踪，应用也不会保存你邀请了谁的列表。
爱好条件
当你询问空闲时间该做什么时，应用会获取实际的天气等条件，并据此为你的爱好打分。获取哪些数据完全取决于你开启了哪些爱好。
数据来源是 Open-Meteo，无需 API 密钥，也无需账户。月相完全不需要获取——它由手机在没有网络的情况下通过计算得出。
坐标会取整到小数点后两位，大约一公里：对于天气来说足够精确，又不至于精确到能识别出某座房子。不会发送其他任何内容——没有爱好名称，没有日程，没有标识符。
推荐结果是在你的设备上根据屏幕上显示的规则计算出来的，每条规则都附有理由。然后，如果你设置了 AI 服务商，会请它来组织结果的措辞，提供给它的是理由而不是原始数据，因此它无法编造出数字不支持的理由。
在你设置之前，不会设置任何 AI
全新安装时，没有配置任何 AI 服务商，没有启用任何服务商，也没有任何 AI 功能会尝试进行网络调用。
早期版本在这一点上出了错，这值得说明。应用发布时有一个指向本地 Ollama 地址的默认设置，而由于 Ollama 不需要 API 密钥，应用误以为 AI 已经配置好了。结果功能显示为可用，随后却失败，本应提示你设置 AI 的提示从未出现，多模型功能也以为自己有服务商可用。这个问题已经修复。
网站访问者和托管
本网站 treasynx.com 托管在 GitLab Pages 上，由 GitLab Inc. 在美国运营，使用 Google 和 Amazon Web Services 的云服务器。当你打开一个页面时，GitLab 的服务器会接收你的 IP 地址、你浏览器的用户代理（其名称和版本）以及请求时间，GitLab 会为了安全和运营服务而保留记录 IP 地址、所访问页面和时间的访问日志。
- 合法依据：正当利益（UK GDPR 第 6(1)(f) 条）：保障网站安全并运营网站。
- 保留期限：由托管方确定。GitLab 的隐私声明目前表示，访问日志保留 7 天，之后滚动删除。我们不会对这些日志进行任何分析。
- 传输：日志保存在美国。GitLab 声明其遵守欧盟-美国数据隐私框架（EU-U.S. Data Privacy Framework）及其英国扩展，并在这些框架不适用时使用标准合同条款。这些日志适用 GitLab 自己的隐私声明。
本网站的 Cookie 和存储
本网站不设置任何 Cookie。它没有分析功能，没有广告，也不加载任何第三方脚本或字体：所有内容都来自 treasynx.com 本身。
它会在你浏览器的本地存储中保存两个小项目，仅用于记住你的语言选择：treasynx-lang（你选择的语言）和 treasynx-lang-hint-dismissed（你已关闭“也提供……版本”的建议）。它们绝不会离开你的设备。只有当你选择语言或关闭该建议时，才会写入这些项目。
删除你的数据
快捷途径：treasynx.com/delete 说明了我们的服务器上可能保存哪些内容，以及应用如何自动删除它们（我的数据 → 删除 Treasynx 存放的我的数据）。
你的所有数据都存储在你的设备本地。卸载应用或在 Android 设置中清除应用数据会删除所有内容。应用还在“存储与缓存”界面提供了“清除所有数据”选项。
对于保存在我们服务器上的“帮助改进 Treasynx”摘要和计划形态，请在“帮助改进 Treasynx”界面取消勾选相应的框并选择请求删除，或使用“我的数据 → 删除 Treasynx 存放的我的数据”，或发送电子邮件至 support@bmvp.ai 并附上该界面上显示的捐赠者 ID。在“帮助改进”的发送功能关闭期间，不会发送任何内容，因此也没有需要删除的内容。
处理的合法依据
| 目的 | 依据 |
|---|---|
| 在你的设备上运行应用 | 合同——你要求使用一个计划工具 |
| 天气、地点、路线 | 这些内容直接从你的手机发送到你选择的服务商；我们从不接收。在涉及我们的情况下，法律依据是提供你所要求的服务（第 6(1)(b) 条）。 |
| AI 规划 | 同意，即你配置服务商和密钥 |
| 身心健康 AI 建议 | 根据第 9(2)(a) 条给予的明确同意，每次请求分别给予 |
| 假名化分析（仅与在你手机上生成的随机 ID 关联） | 同意，可随时在应用中关闭 |
| 语音输入 | 同意，即你选择使用麦克风 |
| 帮助改进 Treasynx：匿名化的使用规律 | 同意，可随时在应用中撤回 |
| 帮助改进 Treasynx：未来的 AI 训练或评估（包括计划形态） | 单独同意，可随时在应用中撤回 |
| 购买和退款 | 合同，以及保存记录的法律义务 |
| 了解你的工作方式 | 正当利益，并提供暂停或清除的控制选项 |
| 读取你的日历 | 同意，按设备授予，可在 Android 设置中撤销 |
| 爱好条件数据 | 这些内容直接从你的手机发送到你选择的服务商；我们从不接收。在涉及我们的情况下，法律依据是提供你所要求的服务（第 6(1)(b) 条）。 |
| 用于扫描条形码的相机（Home 方案） | 同意，在你轻触“扫描”时授予，可在 Android 设置中撤销；数据留在设备上 |
| 产品名称查询（Open Food Facts） | 同意，即你开启此功能；默认关闭 |
| 市场价格和汇率（财务） | 同意，即你添加密钥或开启货币换算 |
| 实测时长 | 同意，可关闭；数据留在设备上 |
| 网站服务器日志（GitLab Pages） | 正当利益：安全和网站运营 |
你的反对权。在我们依据正当利益（了解你的工作方式）进行处理的情况下：你可以随时提出反对：在“设置 → 此应用学到了什么”中暂停或清除学习内容，或发送电子邮件至 legal@bmvp.ai。
国际传输
如果你启用了分析事件，以及在发送功能启用后的“帮助改进 Treasynx”摘要，均由 Supabase 存储在位于欧洲经济区内的爱尔兰，英国认可该地区的保护水平充分。Supabase 位于英国和欧洲经济区以外（例如美国和新加坡）的支持和基础设施子处理者可能会访问这些数据。此类访问受 Supabase 的数据处理协议约束，该协议包含英国的传输保障措施（附带英国信息专员附录的标准合同条款）。
本网站由 GitLab Inc. 在美国托管；有关 GitLab 所依赖的保障措施，请参见网站访问者和托管。
你的手机直接联系的服务：OpenWeatherMap 由位于英国的 OpenWeather Ltd 运营，其集团公司位于拉脱维亚和美国。OpenStreetMap 地图瓦片来自 OpenStreetMap 基金会（英国），通过在全球设有服务器的内容分发网络提供，因此瓦片请求可能由英国境外的服务器响应。Overpass API 是一项在德国运行的社区服务。OpenRouteService 由位于德国海德堡的 HeiGIT gGmbH 运营。Open-Meteo 在欧洲经济区内的德国运营。Open Food Facts 仅在你开启产品名称查询时使用，是一家位于欧洲经济区内法国的非营利协会。如果你选择非英国的 AI 服务商或 WebDAV 主机，你的请求会传送到其运营所在地——这是一项由你通过选择该服务商而发起并控制的传输。语音音频会传送到你手机的语音服务处理它的任何地方；如果使用 Google 的语音服务，则受 Google 自身政策约束。
保留期限
设备上的数据会一直保留，直到你删除它或卸载应用。分析事件会在 12 个月后自动删除，如果你关闭分析功能，你手机的事件会被立即删除；这些事件只与一个随机 ID 相关联，而不与你本人关联。“帮助改进 Treasynx”的摘要和计划形态自接收之日起最长保留 24 个月，之后删除或进一步汇总，使其不再与任何捐赠者 ID 相关联；如果你请求删除，则会更早删除。购买记录的保留时长以英国税务和会计法律的要求为准。
你的权利
根据 UK GDPR，你可以请求访问、更正、删除、限制处理、数据可携带，并可反对处理。实际上，其中大部分你都不需要通过我们：你的数据在你的设备上，可以导出到你持有的文件中，你也可以随时删除。对于任何涉及分析、“帮助改进 Treasynx”或购买的事宜，请写信至 support@bmvp.ai，我们将在一个月内回复。
自动化决策
我们不会作出任何仅基于自动化处理、并对你产生法律效力或类似重大影响的决定（UK GDPR 第 22 条）。
投诉
如需就我们使用你数据的方式进行投诉，请发送电子邮件至 legal@bmvp.ai，并在主题中注明“Data protection complaint”（数据保护投诉）。我们会在 30 天内确认收到，进行调查，并告知你结果。你也可以通过 ico.org.uk 向 ICO（英国信息专员办公室）投诉。
儿童
Treasynx 面向 18 岁及以上的成年人。它并非为儿童设计，我们也不会在知情的情况下收集任何未满 18 岁人士的数据。它没有社交功能、没有用户之间的消息功能，也没有公开个人资料。可选的“帮助改进 Treasynx”功能仅限 18 岁或以上的用户使用。体重记录和 AI 驱动的饮食建议仅限已确认年满 18 岁或以上的用户使用。
本政策的变更
如果我们更改数据的处理方式，我们会更新本页面及顶部的日期，并在应用的版本说明中注明重大变更。最新版本始终位于 treasynx.com/privacy。