---
policyCode: privacy-policy
version: 2026.08.2-rc1
language: zh-CN
title: 下饭记隐私政策
status: legal_review_required
required: true
---

# 下饭记隐私政策

版本：2026.08.2-rc1（法务审核候选稿）  
生效日期：以管理后台记录的本版本生效时间为准

深圳数易安科技有限公司（以下简称“我们”）是下饭记的个人信息处理者。本政策说明我们处理个人信息的目的、方式、范围和用户权利。涉及医疗健康、金融账户、行踪轨迹以及不满十四周岁儿童的信息可能属于敏感个人信息，我们仅在具有特定目的和充分必要性时处理，并按适用规则取得单独同意。

## 一、基本信息与联系

- 个人信息处理者：深圳数易安科技有限公司
- 统一社会信用代码：`{{UNIFIED_SOCIAL_CREDIT_CODE}}`
- 注册地址：`{{REGISTERED_ADDRESS}}`
- 常用经营地址：`{{BUSINESS_ADDRESS}}`
- 个人信息保护联系人或部门：深圳数易安科技有限公司个人信息保护工作组
- 在线权利入口：APP“家庭 > 设置 > 隐私与数据”及“帮助与反馈”
- 服务时间：工单支持随时提交，人工处理时间为法定工作日 09:00-18:00

## 二、我们如何处理个人信息

### 2.1 注册、登录与账号安全

| 信息 | 目的与方式 | 是否必要 | 保存规则 |
| --- | --- | --- | --- |
| 邮箱、密码不可逆校验值 | 注册、登录、身份验证 | 账号服务必要 | 账号存续期间；删除后按本政策处理 |
| 手机号 | 用户主动提供时用于账号资料 | 可选 | 删除或账号终止时处理 |
| 会话标识、设备摘要、IP、请求特征 | 会话管理、异常登录识别、限流和安全审计 | 安全所必要 | 网络日志依法保存不少于六个月；安全事件处置或其他法定义务需要更长期限的除外 |
| 密码重置令牌及邮件投递状态 | 发送一次性重置链接、防滥用和投递诊断 | 找回密码时必要 | 令牌有效期结束或使用后清除明文恢复能力；安全事件按日志规则保存 |

我们对“发送重置邮件”统一返回不区分账号是否存在的提示，防止通过接口枚举用户。

### 2.2 家庭协作和成员资料

我们处理家庭名称、城市、时区、角色、邀请状态，以及成员昵称、关系、出生日期、性别、份量系数、饮食约束和状态，用于建立家庭、计算适用日期或年龄、分配权限并生成家庭菜单。Owner、Editor、Viewer 按角色访问家庭空间；用户邀请协作者或录入其他成年人资料前，应完成必要告知并确保有权处理。

### 2.3 儿童和健康相关信息

我们可能处理不满十四周岁儿童的昵称、出生日期、性别、关系、头像、是否足月健康、辅食阶段、食物质地能力、医疗排除项、过敏或忌口、食材引入状态、观察日期、反应备注、监护同意及撤回记录。其目的在于阶段与质地校验、排除已知风险、跟踪辅食观察和使不安全的未来菜单失效。

这些信息属于儿童个人信息，并可能涉及医疗健康敏感信息。仅家庭 Owner 可执行婴幼儿资料和监护同意等高风险操作。详细规则、拒绝后果和权利见《儿童信息与监护说明》；该专项同意不由本政策的概括同意替代。

### 2.4 菜单、使用记录和食材库存

我们处理菜单版本、菜品与食材、成员参与、普通食材库存、调料库存、采购/备料/制作进度、辅食计划、反馈、评分、替换和历史记录，以提供核心饮食规划服务。普通食材库存由家庭成员主动维护，数量用于菜单推荐和采购清单抵扣；用户可以随时修改为零或删除，系统不会根据烹饪完成自动推断实际余量。菜单中的“本次已有食材量”仍只影响对应菜单的采购快照。调料库存会按用户操作持续保存。

### 2.5 粗略位置和城市

Android 客户端仅申请粗略位置权限。用户主动授权后，设备通过系统定位和设备环境提供的地理编码能力把位置转换为城市；下饭记服务端保存用户确认的城市，用于日期、天气语境或菜单展示，不保存从客户端取得的原始经纬度。用户可以拒绝权限并手动选择城市。设备系统定位/地理编码的实际提供者取决于设备环境，列入 `{{THIRD_PARTY_SERVICE_LIST_URL}}`。

### 2.6 头像和媒体

用户可选择照片作为本人或有权限管理的家庭成员头像。客户端在上传前校验类型、大小和文件特征；服务端读取原图后校验单帧图片、校正方向、移除 EXIF/XMP 等元数据并转换为 512×512 WebP。头像保存在私有对象存储，通过短期签名 URL 展示。替换、删除、成员停用、家庭删除或上传意图到期后，相关对象进入异步清理队列。

### 2.7 通知

我们处理站内通知、未读状态、菜单/辅食/邀请/支付通知偏好、加密保存的设备推送令牌及安装标识，用于发送用户选择的服务提醒。拒绝系统通知权限不影响站内通知；没有真实推送令牌时不会伪造设备注册。用户可在设置中调整偏好、将通知设为已读或退出时撤销设备绑定。

### 2.8 订阅、支付和退款

我们处理套餐、报价、币种、优惠、订单、支付方式、第三方交易标识、支付与退款状态、收据、订阅周期、取消状态和对账元数据，用于订立和履行订阅合同、处理回调、退款、争议与财务合规。

支付在第三方托管收银页完成。下饭记 APP 不提供银行卡号、CVV、有效期或磁道数据输入框，也不将这些数据写入数据库、日志或审计记录；支付机构按其规则独立或受托处理相关信息。

### 2.9 客服工单和审计

用户提交工单时，我们处理问题分类、标题、说明、优先级、关联账号/家庭/订单和往来消息，用于客服响应、退款依据和争议处理。普通客服只能处理未分配或分配给自己的工单，内部备注不会向用户展示。工单关闭后常规保存不超过 180 天；存在争议、投诉或法定义务时按必要期限保留。

我们还记录权限操作、安全事件、内容发布、支付处置和政策同意等审计信息，以保障安全、追溯责任和履行法定义务。访问按后台角色控制，高风险操作需要近期密码再次验证。

## 三、AI 与自动化处理

1. 家庭 AI 处理默认关闭，只能由家庭 Owner 单独开启。开启后，菜单生成所需的成员年龄段、饮食约束、辅食能力、候选菜品和上下文可能发送给已在管理后台配置、测试并激活的 AI 服务。
2. 具体 AI 服务主体、模型、字段、地域、留存和退出机制列入 `{{THIRD_PARTY_SERVICE_LIST_URL}}`。如涉及向境外提供个人信息，我们会在启用前完成适用的合规路径并取得必要的单独同意；当前状态：`{{DATA_CROSS_BORDER_STATUS}}`。
3. AI 输出会经过业务规则校验，但不作为医疗诊断。关闭授权后，新的平台 AI 菜单处理停止；既有菜单、必要审计和依法保存信息不会因此立即删除。
4. 菜单推荐基于用户明确提供的成员资料、约束、选择和反馈，不用于针对未成年人进行商业营销，也不基于用户特征设置不合理的交易价格。用户可修改或删除相关资料、关闭家庭 AI 授权，并通过工单要求说明与其权益有重大影响的自动化处理。

## 四、设备权限

| 权限 | 调用时机 | 拒绝影响 |
| --- | --- | --- |
| 粗略位置 | 用户点击获取当前城市后 | 可手动选择城市，不影响其他基本功能 |
| 通知 | 展示用途说明且用户选择开启后 | 保留站内通知，不发送系统推送 |
| 系统照片选择器 | 用户主动修改头像后 | 无法选择新头像；不申请通讯录或全盘存储权限 |

权限由操作系统管理，用户可在系统设置中撤回。我们不会因用户拒绝非必要权限而停止其他不相关功能。

## 五、共享、委托处理和第三方

1. 为运行服务，我们可能使用服务器与数据库、Redis、对象存储、SMTP 邮件、托管支付、设备定位/地理编码、推送和 AI 服务。正式主体、服务名、目的、信息类型、方式、地域和隐私规则见 `{{THIRD_PARTY_SERVICE_LIST_URL}}`。
2. 对受托处理者，我们通过合同限定目的、期限、信息种类和安全措施并进行监督；委托结束后要求返还或删除信息。
3. 向独立第三方提供个人信息，或共同决定处理目的和方式时，我们会依法另行告知并在需要时取得单独同意。
4. 未经同意，我们不会公开个人信息；法律法规另有规定或为保护生命健康和财产安全的紧急情形除外。
5. 因合并、分立、解散、破产等需要转移个人信息时，我们将告知接收方名称和联系方式，并要求其继续履行本政策；接收方变更原目的或方式时重新取得同意。

## 六、存储地域、期限和删除

1. 主要生产服务器和数据库位于 `{{SERVER_REGION}}`。是否存在跨境处理以 `{{DATA_CROSS_BORDER_STATUS}}` 为准。
2. 我们按照实现目的所必要的最短时间保存信息：账号、家庭、成员、菜单、头像、通知和偏好通常保存至用户删除相应内容或家庭；安全日志和已关闭工单按第二条期限；订单、退款、对账及相关假名化合规记录自交易完成之日起保存不少于 3 年，法律、税务、会计或争议处理要求更长期限的除外。
3. 家庭删除会清理主数据库中的家庭、成员、儿童档案、菜单、反馈、库存、AI 授权与运行记录、订阅、订单、客服、通知和 Owner 账号，并异步清理头像。协作者自己的独立账号不会因 Owner 删除家庭而一并删除。
4. 为满足财务合规或争议处理，支付回调仅保留去关联化的必要投影；审计记录会移除账号/家庭标识；政策同意证据会去除账号直接关联并保留内容版本证明。
5. 备份在最长 `{{BACKUP_MAX_RETENTION_DAYS}}` 天的轮转周期内清除。技术上暂时不能立即从备份删除的，我们会停止除存储和安全保护以外的处理，直至备份轮转覆盖。

## 七、安全措施和事件响应

我们采用 HTTPS、密码哈希、令牌哈希、密钥加密、私有对象存储、短期签名 URL、角色权限、敏感操作二次验证、接口限流、请求幂等、支付回调验签、日志脱敏和操作审计等措施。我们会开展个人信息保护影响评估、权限复核和安全测试。

发生或可能发生泄露、篡改、丢失时，我们将立即采取补救措施，并依法向主管部门报告和通知受影响个人。通知将说明信息种类、原因、可能危害、已采取措施、用户可采取的措施和联系方式；依法无需逐一通知的情形除外。

## 八、用户权利

1. **查阅和复制**：在客户端查看资料；Owner 或 Editor 可导出其有权访问的家庭 JSON 数据，下载响应不缓存。
2. **更正和补充**：在权限范围内修改本人、家庭和成员资料；儿童资料适用更严格的 Owner 权限。
3. **删除**：删除头像或成员；Owner 可执行家庭删除预检，处理仍可续费的订阅和有效待支付订单后，输入确认文本并以当前密码再次验证。
4. **撤回同意**：关闭家庭 AI 授权、撤回儿童监护同意、调整通知偏好或撤回系统权限。撤回不影响撤回前基于同意完成处理的效力。
5. **账号和会话安全**：查看会话、撤销其他设备、修改密码或通过注册邮箱重置密码。
6. **限制、拒绝或解释**：对自动化处理或其他个人信息处理提出限制、拒绝或说明请求。
7. **投诉与申诉**：通过 APP“家庭 > 设置 > 帮助与反馈”联系个人信息保护工作组。工单支持随时提交，人工处理时间为法定工作日 09:00-18:00。我们会核验请求者身份，并在法律规定期限内处理；无法满足时说明理由。用户还可向有权主管部门投诉或依法起诉。
8. 自然人死亡后，其近亲属可为合法、正当利益依法行使相关权利，死者生前另有安排的除外。

## 九、儿童个人信息

不满十四周岁儿童的信息属于敏感个人信息。我们仅面向监护人或获授权的家庭 Owner 收集，不支持儿童独立注册，不使用儿童信息进行商业营销。具体告知、监护同意、协作者访问、撤回、删除、安全事件和年度合规审计见《儿童信息与监护说明》。

## 十、政策更新

我们在政策入口保留版本、正文、生效时间和历史记录。处理目的、信息种类、第三方、跨境、儿童处理或用户权利发生重大变化时，我们会显著提示并在依法需要时重新取得同意。未完成重新同意前，不会把新版本记录为已接受。

## 十一、主要法律依据

本政策主要依据《中华人民共和国个人信息保护法》《中华人民共和国网络安全法》《中华人民共和国数据安全法》《网络数据安全管理条例》《儿童个人信息网络保护规定》《未成年人网络保护条例》以及移动互联网应用相关规定制定。

> 发布提示：本文仍缺营业执照地址、生产地域、第三方服务清单、跨境状态和备份轮转等资料。必须结合证照、生产数据清单、供应商合同和备份策略替换核验，法务批准前不得发布。