要点速览
- 日常打字在你的设备上处理，按键内容和本地词库不会上传。
- AI 功能只在你主动点按时，实时处理那一段文字；我们不收集、不保存正文。生成结果只为网络中断后取回而加密缓存，最长 10 分钟。
- 截图识字在设备上完成，截图本身不会上传；剪贴板历史只保存在你的设备上。
- 你同意本政策之前，心键不收集任何信息；不同意也可以正常打字。
- 登录只使用「通过 Apple 登录」；我们不向你索要手机号、通讯录、相册、定位、麦克风或相机权限。
- 你可以在 App「我的」页面随时注销账号，账号及其关联数据会被删除且无法恢复。
心键输入法（以下简称「心键」或「本产品」）由心键团队（以下简称「我们」）提供。我们深知个人信息对你的重要性，也清楚输入法所处的位置有多敏感：你在任何 App 里打的字都会经过它。本政策说明我们如何收集、使用、存储、共享和保护你的个人信息，以及你享有的权利。
请在使用心键前仔细阅读本政策，其中与你权益密切相关的内容已用加粗标出。如对本政策有任何疑问，可以通过文末的方式联系我们。
一、我们如何收集和使用你的个人信息
我们只收集实现功能所必需的信息。下面按功能逐项说明：用到了什么、为什么用、存在哪里。
首次打开心键时，我们会先请你阅读并同意本政策。在你同意之前，心键不收集任何信息：不启动崩溃报告和订阅服务，键盘不读取剪贴板中的图片，也不记录剪贴板历史，AI 功能不可用。你可以不同意，继续使用基础输入。
1. 基础输入（不需要网络，不需要账号）
心键的输入引擎运行在你的设备上。你的按键、候选、上屏文字、自造词和用户词库都只在设备本地处理和保存，我们不会收集，也没有能力读取。
键盘扩展与心键主 App 之间通过 iOS「App Group」共享容器同步设置（键盘布局、配色、输入方案、「我的键盘」里的人设列表等），这些数据同样只存在你的设备上。
剪贴板历史。键盘显示期间，你新复制的文字会被记入剪贴板历史，方便在功能面板的「剪贴板」里再次使用。剪贴板历史只保存在你设备的共享容器中，不会上传。心键不会记录密码管理器标记为敏感的内容；未置顶的条目按你在「设置 → 剪贴板」中选择的天数（1、3、7 或 30 天，默认 7 天）自动删除，最多保留 200 条。撤回对本政策的同意时，剪贴板历史会被清空。
2. AI 回复（帮你回、帮你说）、润色与翻译
当你主动点击键盘上的 ✦ 键，在「帮你回」里点人设或「读懂 TA」，在「帮你说」里点「优化」或人设，或在功能面板中选择「翻译」时，我们会把以下内容实时发送到心键服务器，只用于生成本次结果：
- 本次需要处理的文字：
- ✦ 键：输入框中选中的文字或全部文字；输入框为空时，是剪贴板中的文字（例如你复制的对方消息）；
- 帮你回：「TA：」框里对方的话（打开时从剪贴板填入，也可能是「读懂 TA」从截图识别出的文字）；
- 帮你说：你在键盘内输入框里写下的文字；
- 本次的处理方式（回复、截图回复、润色、翻译）、你选中的 AI 人设和需要的候选条数；
- 你在键盘上选择的「对方是你的」关系和聊天亲密度（亲密度只在你调整过之后才发送），以及 AI 回复语言和 App 界面语言；
- 用于校验登录状态与设备完整性的凭证（见下文「账号与登录」）。
生成时，服务器还会读取你账号下的回复偏好（见第 5 条），让结果更贴近你的习惯。
这些内容只在你点按时发送一次，心键不会在后台读取或上传你输入的内容。传输全程使用 HPKE 端到端加密封装，再经 HTTPS 传输。
服务器收到请求后，交给我们委托的云服务商提供的大语言模型推理服务生成结果，不会转交给其他 AI 公司。这些正文属于实时处理：只用于完成本次生成，我们不收集、不保存。具体来说：
- 你发送的文字和 AI 生成的文字不写入数据库，也不写入日志；
- 为了在网络中断时让你重新取回同一次结果，生成结果会以 AES-GCM 加密后临时缓存，最长 10 分钟，到期即删除；
- 对方关系、亲密度和回复语言只用于拼接本次的提示词，不写入数据库，也不写入日志；
- 我们会记录本次生成的元数据以便计算每日额度与成本：处理方式、人设编号、消耗的 token 数、成功或失败的原因代码。这些记录不包含任何正文。
AI 生成的内容由模型自动产生，可能不准确或不恰当，请在发送前自行判断。
3. 截图识字（读懂 TA）
当你复制一张聊天截图并使用截图回复或「读懂 TA」时，心键在设备上使用 Apple 系统的文字识别能力（Vision 框架）提取文字，并按聊天气泡的位置标注每一行是对方还是你说的。截图本身不会离开你的设备；识别出的文字之后按上面第 2 条的方式处理。
4. 账号与登录
AI 功能与自建人设需要登录。心键只提供「通过 Apple 登录」，登录时我们会收到并保存：
- Apple 提供的用户标识；
- 你选择共享的电子邮箱（可以是 Apple 的「隐藏邮件地址」）和名字，如你未授权则不会获得；
- 设备信息：由 App 生成的设备编号、设备名称、平台（iOS）和注册时的时区。时区用于计算「每日额度」在你所在地区何时重置；
- 登录会话：会话凭证只以不可逆的哈希形式保存，默认 30 天有效；
- Apple App Attest 设备证明：用于确认请求来自未被篡改的正版心键 App，防止接口被滥用。我们保存的是证明密钥的公钥和计数器，不包含你的任何内容。
同一账号可登录的设备数量有限，设备信息用于管理和释放设备名额。
5. 回复偏好（可选）
首次使用时，你可以选择回答几道简短的问题：希望心键在哪些场景帮到你、偏好的回复语气、常用心键做什么、希望 AI 如何协助你。所有问题都是固定选项，可以跳过，不涉及性别、年龄等个人身份信息。回答默认只保存在设备上；登录后才会同步到你的账号，作为「回复偏好」让 AI 更贴近你的表达习惯。你可以随时在「设置 → 智能助手 → 回复偏好」中修改。
6. 自建 AI 人设
你在「我的 AI 人设」中创建的人设（名称、简介、说话风格和头像类别）会保存在你的账号下，只有你本人可见、可用。说话风格仅在生成时用于拼接提示词，不会写入日志。
7. 心键 Pro 订阅
购买由 Apple App Store 完成，我们不会接触你的银行卡或 Apple 账户支付信息。为了在你的各台设备上开通权益，我们通过 RevenueCat 校验订阅状态，并保存：订阅的商品编号、状态（生效、宽限期、已过期等）、到期时间和购买环境。RevenueCat 使用你的心键账号编号关联购买记录。
8. 使用统计与服务日志
为了保障服务稳定、排查故障和改进人设内容，我们会记录：
- 请求日志：接口名称、结果代码、耗时和账号编号；
- 错误日志：接口名称、错误类别和错误代码，不含错误详情文本；
- 人设使用统计：你对某个人设执行了插入、换一个、关闭等操作的事件和时间。
以上日志不含提示词、你的输入或 AI 输出，保留 30 天后自动清理。
9. 安全与防滥用
为了防止恶意刷接口，服务器会对请求来源的 IP 地址做带密钥的哈希（HMAC）后用于限流和安全审计计数，数据库中不保存 IP 原文。安全审计计数保留 90 天。
10. 崩溃报告
App 或键盘发生崩溃时，我们通过 Sentry 收集崩溃报告，内容包括崩溃堆栈、设备型号、系统版本、App 版本和崩溃前的操作轨迹（面包屑）。崩溃报告不包含你输入的文字。我们已关闭 Sentry 的会话追踪与性能监控，只用它来定位崩溃。
11. 局域网传输（Wi-Fi 上传输入方案）
当你在 App 内开启 Wi-Fi 传输时，心键会在你的设备上启动一个仅在当前局域网内可访问的文件服务，方便你从电脑上传输入方案。文件直接在你的设备与电脑之间传输，不经过我们的服务器。离开页面或关闭开关后服务即停止。
12. 数据一览
下表汇总了上面各项中我们实际收集并保存的数据，分类与 App Store「App 隐私」一致。心键不将任何数据用于跨 App 追踪，也不用于广告。
| 类别 | 具体数据 | 用途 | 与你的身份关联 |
|---|---|---|---|
| 联系信息 | 你通过 Apple 登录授权共享的邮箱与名字 | 账号管理 | 是 |
| 标识符 | 用户 ID（Apple 用户标识、心键账号编号）、设备 ID | 账号与设备管理 | 是 |
| 购买项目 | 心键 Pro 订阅记录 | 开通和同步 Pro 权益 | 是 |
| 用户内容 | 自建 AI 人设 | App 功能 | 是 |
| 使用数据 | 人设使用记录、AI 生成元数据（处理方式、人设、token 数，不含正文）、接口请求记录 | 每日额度、服务稳定、改进人设 | 是 |
| 诊断 | 崩溃报告 | 修复问题 | 否 |
| 其他数据 | 回复偏好（问卷选项，登录后同步）、注册时的时区 | 个性化、计算额度重置时间 | 是 |
我们不收集以下数据：你的按键和输入内容、本地词库、剪贴板历史、截图，AI 请求的正文和生成结果，以及你为 AI 选择的对方关系和亲密度。AI 正文只在你点按时实时处理，处理完即丢弃，不写入数据库或日志；生成结果只为网络中断后取回而加密缓存，最长 10 分钟。截图在设备上识别，不离开你的设备。
二、关于键盘的「完全访问」权限
iOS 要求第三方键盘开启「允许完全访问」后才能联网、读写 App Group 共享容器和读取剪贴板。心键申请这项权限，仅用于：
- 与主 App 同步你的键盘设置与登录状态；
- 在你主动使用 AI 功能时联网请求服务器；
- 在你主动使用 AI 功能时读取剪贴板中的文字或截图：包括输入框为空时按 ✦、打开「帮你回」时把对方的话填进「TA：」框（剪贴板内容变化时会重新填入），以及「读懂 TA」；
- 键盘显示期间，读取你新复制的文字，记入只保存在设备上的剪贴板历史。
关闭「完全访问」后，心键的基础输入功能仍可正常使用，只是 AI 功能和设置同步不可用。你可以随时在 iOS「设置 → 通用 → 键盘 → 键盘 → 心键」中开启或关闭。
在密码框等安全文本框中，以及禁止使用第三方键盘的 App 里，iOS 会强制使用系统键盘，心键接触不到这些输入。
三、Cookie 与追踪
- 心键 App 不接入广告 SDK，不使用广告标识符（IDFA），不进行跨 App 追踪，也不会将你的数据出售给任何人。
- 本网站（hartype.com）为纯静态页面，不设置 Cookie，也不使用第三方统计代码。
四、我们如何委托处理、共享、转让和公开披露个人信息
委托处理。心键的服务器、数据库和大语言模型运行在我们委托的云服务商上。云服务商只能按我们的指示、在必要范围内处理数据，不得用于其他目的。
第三方 SDK。心键不接入任何广告、统计分析或社交分享 SDK。App 中会接触个人信息的第三方 SDK 只有以下两个：
| SDK | 提供方 | 用途 | 收集的信息 | 隐私政策 |
|---|---|---|---|---|
| RevenueCat | RevenueCat, Inc.（美国） | 校验 App Store 订阅状态，在各设备同步 Pro 权益 | 心键账号编号、订阅与交易记录、App 与系统版本、地区与语言设置、网络地址 | revenuecat.com/privacy |
| Sentry | Functional Software, Inc.（美国） | 收集崩溃报告 | 崩溃堆栈、设备型号、系统与 App 版本、崩溃前的操作轨迹、网络地址；不含输入内容，不关联账号 | sentry.io/privacy |
此外，登录、设备证明、应用内购买和设备端文字识别使用的是 Apple 的系统能力，相关数据按 Apple 隐私政策 处理。
转让。如发生合并、收购或资产转让，导致个人信息需要转移，我们会要求新的持有方继续受本政策约束，否则将重新征求你的同意。
公开披露。我们不会公开披露你的个人信息，除非获得你的单独同意，或法律法规、司法及行政机关依法要求。
五、存储地点与保存期限
心键的服务器与数据库部署在中国大陆以外的云服务上，优先在亚太地区运行；RevenueCat 与 Sentry 的服务器位于美国。因此你的部分个人信息可能在你所在的国家或地区以外被处理。我们会要求相关服务商提供不低于本政策的保护水平，并仅传输实现功能所必需的最少数据。
| 数据 | 保存期限 |
|---|---|
| AI 请求正文与生成结果 | 正文不保存；结果密文最长缓存 10 分钟 |
| 账号、设备、回复偏好、自建人设 | 保存至你注销账号，注销时一并删除 |
| AI 用量计数与生成元数据（无正文） | 保存至你注销账号，注销时一并删除 |
| 订阅权益状态 | 保存至你注销账号；Apple 与 RevenueCat 的交易记录按其各自政策保存 |
| 登录会话 | 默认 30 天有效，失效后再保留最多 30 天用于安全排查 |
| 请求日志、错误日志、人设使用统计 | 30 天；注销后日志中的账号编号立即置空 |
| 剪贴板历史（只在你的设备上） | 按你选择的 1、3、7 或 30 天（默认 7 天）自动删除；置顶的保留到你手动删除 |
| 限流与安全审计计数（IP 哈希） | 90 天 |
| 崩溃报告 | 按 Sentry 的数据保留策略保存，到期自动删除 |
超出保存期限后，我们会删除或匿名化相关信息。
六、我们如何保护你的个人信息
- 传输加密：App 与服务器之间的业务数据使用 HPKE（RFC 9180）加密封装，再经 HTTPS 传输；
- 设备证明：使用 Apple App Attest 确认请求来自正版 App，每次请求都有防重放校验；
- 存储最小化：会话凭证只存哈希，IP 只存带密钥的哈希，AI 正文不落库，生成结果加密缓存且 10 分钟过期；
- 访问控制：生产数据只能由经过授权的人员通过带身份验证的管理后台访问。
互联网环境并非百分之百安全。如不幸发生个人信息安全事件，我们会按照法律法规的要求，及时告知你事件情况、可能的影响、我们已采取或将要采取的措施，以及你可以自行采取的防范建议。
七、你的权利
你对自己的个人信息享有以下权利：
- 查阅与更正：在 App 的「我的」页面查看账号信息与自建人设，并随时修改或删除人设；回复偏好可以在「设置 → 智能助手 → 回复偏好」中修改；
- 撤回授权：随时在心键「设置 → 隐私」中撤回对本政策的同意（会退出登录、停止崩溃报告并清空剪贴板历史，之后只能使用基础输入），在 iOS 设置中关闭心键的「完全访问」，或在「设置 → Apple 账户 → 登录与安全 → 通过 Apple 登录」中停止心键使用 Apple 账户；撤回不影响此前基于授权已进行的处理；
- 删除与注销：在 App「我的」页面选择「注销账号」，经 Apple 账号再次确认后，你的账号、登录设备、回复偏好、自建人设、AI 使用记录和订阅权益关联将被删除且无法恢复。注销不会自动取消 App Store 订阅，请先在 Apple 账户中取消，以免继续扣费；
- 退出登录：退出后，设备上的登录凭证会被清除，服务器端会话同时注销；
- 获取副本与投诉：如需获取个人信息副本，或对我们的处理有异议，可发邮件联系我们。
我们会在验证你的身份后 15 个工作日内答复。
八、未成年人保护
心键主要面向成年人。如果你是未满 14 周岁的未成年人，请在监护人的陪同下阅读本政策，并在取得监护人同意后使用。如果我们发现在未获监护人同意的情况下收集了未成年人的个人信息，会尽快删除相关数据。监护人如有疑问，请通过下方方式联系我们。
九、本政策的更新
我们可能适时修订本政策。修订后的政策会发布在本页面并更新顶部日期；如有重大变化（例如收集目的、数据类型或第三方发生实质变化），我们会在 App 内以弹窗等显著方式通知你。
十、如何联系我们
如果你对本政策或个人信息处理有任何疑问、意见或投诉，请发送邮件至 support@hartype.com。我们会在 15 个工作日内回复。