牧也隐私政策
本政策说明"牧也"App（下称"本应用"）如何收集、使用、存储、共享和保护您的个人信息。我们遵循最小必要原则：能不收集的不收集，能在本地完成的不上传。
一、我们收集的信息
| 信息 | 场景 | 用途 | 是否必要 |
|---|---|---|---|
| 手机号、短信验证码 | 注册登录 | 账号标识与身份核验 | 注册必要 |
| 订单信息（菜品、金额、取餐号） | 下单 | 履约、售后、依法保存交易记录 | 交易必要 |
| 收货人、联系电话、配送地址 | 外卖到家 | 配送履约、联系收货人；常用地址可保存在本机 | 外卖必要，到店取餐不需要 |
| 前台位置信息（可能为精确位置） | 点击“用当前定位” | 由系统反向解析为地址，协助填写外卖地址 | 可选（可手动输入） |
| 语音片段、实时通话音频 | AI 语音点餐、主动发起 AI 通话 | 语音识别、实时对话和语音回复 | 可选（可打字替代） |
| 点餐对话文字、当前购物车和菜单上下文 | AI 点餐 | 理解点餐意图、生成回复并执行用户确认的点餐动作 | 可选（可菜单点餐） |
| 用户明确要求保存的口味、忌口、常点菜和履约偏好 | 个性化服务 | 下次优先推荐；过敏和饮食目标仅在用户再次明确确认后长期保存 | 可选，可随时要求删除 |
| 照片及 AI 美化结果 | 拍摄/选图制作打卡卡片；主动点击 AI 美化 | 本地制作分享卡片；AI 美化时经自有后端转交火山方舟处理 | 可选 |
| 剪贴板中的公开作品链接 | 用户点击“粘贴链接” | 仅在本机匹配抖音/小红书链接；用户点击投稿后才上传审核和发放积分 | 可选 |
| 随机客户端标识、IP 地址、网络状态、错误码和必要诊断日志 | 联网、安全与故障排查 | 防刷、防攻击、连接质量和问题定位；不用于广告画像 | 在线服务必要 |
| 支付结果 | 微信/支付宝 APP 支付开通后 | 确认到账、退款和对账；不保存银行卡号等支付凭证 | 使用支付时必要 |
二、设备权限
- 麦克风：按住说话或主动发起 AI 通话时使用；拒绝后仍可打字点餐。
- 相机、相册/照片：用户主动拍摄或选取打卡照片时使用；不使用该功能可拒绝。
- 位置：用户点击“用当前定位”时仅在前台使用，协助填写外卖地址；可手动输入替代。
- 通知、振动：订单进度、取餐叫号和用户领取优惠的到期提醒；可在系统设置关闭。
- 传感器列表（设备信息）：火山引擎实时音视频（RTC）SDK 在您主动发起 AI 语音通话时，会读取设备的传感器类型列表，用于判断设备朝向、选择合适的音频路由和回声消除方式；只读取传感器类型清单，不读取传感器数据、不用于定位或画像。不发起 AI 通话时不读取。
- 附近设备/蓝牙连接（Android 12 及以上）：实时 AI 音频通话时识别蓝牙耳机等音频路由，不扫描或建立顾客画像。
上述权限均在对应功能使用时申请。拒绝某项权限只影响相应功能。本应用不申请通讯录、通话记录或短信内容权限。
二之一、个性化推荐
为了让小骆推荐更合您口味的菜品，我们会根据您本人在 App 内的点餐记录和主动告诉小骆的口味、忌口，在首页和小骆对话中优先展示您可能喜欢的菜品和到店福利（个性化推荐）。我们不使用通讯录、位置轨迹或其他 App 的信息做推荐，也不向第三方提供用于精准营销。
如何关闭：「我的 → 设置 → 个性化推荐」关闭后，我们将不再基于您的个人信息做推荐，只展示通用的菜单和活动；您也可在「我的 → 设置 → AI 数据共享」撤回同意，或要求小骆忘记已保存的偏好。关闭后不影响点餐、付款等基本功能。
三、对外提供（受托处理）
为实现用户主动选择的功能，以下信息可能经我们的服务器转交受托方处理：
- 北京火山引擎科技有限公司：处理点餐文字、语音识别、语音合成、实时音频通话，以及用户主动提交的照片 AI 美化；App 不保存火山引擎密钥。
- 腾讯云：在中国境内提供自有后端、数据库与日志的云基础设施。
- 微信支付、支付宝：在 APP 支付正式开通后，处理用户主动选择的支付、退款和对账信息。
- 短信发送服务商：正式短信核验启用后发送验证码；验证码仅用于当次身份核验。
系统分享面板仅在用户主动点击分享后打开，具体发送对象由用户自行选择。抖音、小红书公开作品链接只有在用户确认投稿后才提交给我们，链接和审核结果不在本应用内向其他用户公开展示。除上述受托处理与法律法规要求外，我们不出售个人信息，不做广告画像。
三之一、第三方 AI 服务（小骆）
只有在您在 App 内点「同意」之后，我们才会把下列内容经牧也自有服务器转交第三方 AI 服务处理；未同意时小骆不会对话，菜单点餐照常使用。您可随时在「我的 → 设置 → AI 数据共享」撤回。
- 发送的数据：您输入的文字；您按住说话的语音（实时转成文字后丢弃，不保存原始录音）；为回答您所需的上下文（本次对话、购物篮中的菜品、您告诉小骆的城市和称呼）；您主动上传的菜品照片、让小骆整理的文章草稿。
- 接收方：北京火山引擎科技有限公司（字节跳动旗下，提供「豆包大模型」对话、联网搜索、语音识别与语音合成服务）。
- 用途：理解您的话、生成小骆的文字回答和语音、执行您要求的点餐和提醒等操作。不用于广告、画像或追踪，不出售给任何第三方。
- 保护：数据在中国境内传输和存储；火山引擎依据与我们的服务合同，对数据提供不低于本政策的保护，不得将其用于合同以外的目的。
四、存储与安全
业务数据存储于中国境内（腾讯云北京）。传输采用 HTTPS，加密密钥与口令不写入客户端，后台访问按角色最小授权并保留必要审计记录。发生个人信息安全事件时，我们将依法采取补救、告知和报告措施。
五、保存期限
账号信息保存至注销；交易记录依法律要求保存不少于三年并与已注销账号解除直接身份关联。自有服务器不主动将语音或实时通话音频落盘，受托方按其服务协议和隐私规则完成当次处理。AI 美化原图由自有后端即时转发且不写入业务存储；生成结果保存在 App 临时缓存，用户可删除或通过清理 App 缓存移除。偏好、投稿链接、打卡记录和非交易个人信息在账号注销时删除；法律另有规定的除外。
六、您的权利
您可在 App 内查询或更正收货信息，要求 AI 忘记已保存偏好，在系统设置中撤回权限，或注销账号（路径：我的 → 设置 → 账号注销，详见注销说明）。也可发邮件至 mgl8002006@gmail.com 行使查阅、更正、删除、撤回同意等权利，我们在 15 个工作日内响应。
七、未成年人与儿童个人信息保护
本应用不面向未成年人专门设计。若您是未成年人，请在监护人指导下使用；监护人对未成年人信息有疑问可联系我们处理。
我们不会主动收集不满 14 周岁儿童的个人信息。不满 14 周岁的儿童使用本应用前，应由父母或其他监护人阅读本政策并同意后，在监护人陪同下使用。如我们发现在未获得监护人同意的情况下收集了儿童个人信息，会尽快删除；监护人可通过 mgl8002006@gmail.com 联系我们查阅、更正、删除儿童个人信息或撤回同意，我们在 15 个工作日内处理。
八、政策更新与联系
重大政策更新将在 App 内显著提示并在需要时重新取得同意。联系方式：mgl8002006@gmail.com（主题注明"隐私"）。