隐私政策
生效日期：2026-10-30 · 福建观昂昂信息科技有限公司
修订标识：2026-10-30-r4
本政策说明问福使用哪些信息、使用目的，以及你可以怎样管理自己的信息。
1. 运营与联系
问福由福建观昂昂信息科技有限公司运营。公开客服与隐私联系邮箱为 genbinda@gmail.com；无需登录，注销账号后也可以联系。你也可以在「我的—应用设置—账号服务—帮助与反馈」选择「个人信息与隐私」，提交后在「我的反馈」查看回复。
2. 登录与使用记录
为识别账号、保存收听进度和管理家人，处理手机号、账号与会话标识、姓名、性别、家庭绑定、已播问题、点赞、收藏和设置。手机号用于验证码验证；账号档案保存号码掩码与校验摘要。你可以选择手机号与密码登录，或只用短信验证码登录。设置或重设密码须先通过该手机号的新验证码验证；验证码验证后可以跳过设密。密码通过 HTTPS 临时提交服务端校验，设备不保存密码或验证码，服务端仅保存与账号关联的随机盐和 scrypt 密码校验哈希，不保存明文密码；哈希仍属于与账号关联的个人信息，不表示匿名。验证码验证成功后产生与该账号和本次会话绑定、最多有效 5 分钟的一次性设密凭证，设备仅在当前操作内存中保留，服务端只保存其摘要。设备保存受保护的登录会话，以便重启后恢复登录；服务端每次验证会话。新版会话连续 30 天无有效认证访问或首次登录满 90 天即到期，普通登录不退出其他设备，改密或重设密码会使该账号此前全部会话失效，当前设备取得新会话；退出登录、注销账号也使相应会话失效。网络连接失败不会自动抹去本机登录状态，但过期或撤销的会话仍需重新登录。摘要仍用于关联账号和安全校验，不表示信息已匿名。账号资料和使用记录保存在服务端，设备会缓存必要内容，发送验证码时也会在设备保存号码及冷却时间。姓名和性别用于展示资料、识别家人称呼，你可以在「我的」编辑。邀请家人时使用你输入的号码、昵称与关系，服务端保存号码校验摘要以匹配接收人，不读取手机通讯录。双方确认绑定后，接收方可查看共享者的昵称、关系和音色就绪状态。父母账号优先使用已绑定且就绪的子女音色，主动更换的声音选择仍可保存。
3. 录音与个人音色
仅在你主动开始录音、授予麦克风权限并单独同意声音授权后，采集指定的 30 秒本人声音。录音完成后弹窗自动关闭，录音、录音文案标识、所选称呼、本次请求标识、账号关联及本次声音授权确认提交给问福服务端，失败时可保留本次页面中的录音重试。问福服务端校验所选文案版本并关联本次录音，不据此认定已经核验实际口述内容或本人身份。当前创建个人音色时，向音色服务商发送授权录音及必要的模型、创建操作等参数；指定录音文案、问福资料姓名、手机号和声音授权记录不作为当前建声请求字段发送给该服务商。合成朗读时另发送待朗读问题文字、音色标识和必要合成参数。原声临时保存在当前页面，刷新或退出后清除。音色标识、授权时间和文案标识与账号关联保存；生成的朗读音频可缓存，用于经授权的播放与重试。可识别个人或提取音色特征的声音信息可能属于敏感个人信息，仅用于本人音色创建与问题朗读，不用于声纹登录或身份核验。
4. 服务商与用途
个人音色与平台语音使用阿里云百炼北京地域服务（阿里云计算有限公司）。当前建声请求发送授权录音及必要创建参数；合成朗读请求发送待朗读问题文字、音色标识及必要合成参数，用于创建本人音色和生成朗读。指定录音文案及声音授权记录由问福服务端核验、关联，不作为当前建声请求字段发送给该服务商。登录短信使用火山引擎（北京火山引擎科技有限公司），接收手机号、验证码及发送请求标识，用于发送登录短信；验证码校验由问福服务端进行。应用与账号数据托管于中国境内腾讯云服务器。这些服务通过服务端接口提供，不能因为未集成手机 SDK 就认定没有第三方处理信息。本应用授权不包含公开出售声音、广告代言、冒用身份或通用模型训练。云服务商的必要服务记录及删除处理适用其服务协议与法定义务。更改用途、服务商或跨境提供信息时，履行相应告知与同意要求。
5. 保存期限
账号资料、设置、家人关系和使用记录在提供账号服务期间保存；音色保留至你删除、重新录制或注销账号，生成朗读缓存随有关音色授权失效而清理。反馈与回复自提交或最近回复起保存 180 天，到期清理。注销后，为防止反复注册领取试听，仅保留号码校验摘要、身份来源及已用试听次数，保存 90 天后清理；该摘要仍用于防滥用关联校验，不保留姓名、性别或已听问题。登录安全限流摘要和验证码请求记录在服务端按两天窗口清理。密码校验哈希与随机盐保留至更改密码或账号注销；旧哈希在更改时替换。会话记录按各自到期时间清理；一次性设密凭证在使用、退出相应会话、改密、注销或到期后失效并清理。密码登录和改密的安全事件仅保存账号关联（成功事件）、号码或来源的加密摘要、事件类型和时间，服务运行期间按 7 天期限循环清理；限流摘要仍按两天窗口清理，不记录明文密码、验证码或会话凭证。停服期间不能保证立即执行到期清理。设备中的验证码冷却记录和待确认播放重试信息可能保留至相应缓存清理。安全恢复备份及必要运行日志中的历史数据不用于日常用户画像；有关其中个人信息的处理，可通过隐私反馈提出请求。
为履行网络安全保护义务并处理公开提问的内容安全、投诉和账号注销，另保存最小必要的安全事件摘要，范围限提问提交、审核结论、下架、举报及处理、删帖和注销等事件。摘要保存固定动作与状态、服务端时间、到期时间，以及使用受控密钥计算的账户、对象和内容HMAC摘要，不另存提问正文、处理理由、手机号、密码、验证码或会话令牌。这些摘要仍可能关联原事件，属于受控关联数据，不是匿名数据。摘要按190日策略保存，到期由运行中的维护任务清理；停服期间不能保证立即物理清理，恢复后继续处理。
部分固定接口的网络安全日志按第10节说明的190日策略保存，并按日维护、轮转和清理；停机后在恢复服务前补跑维护。删帖或注销会删除相应活动业务数据，但上述最小安全摘要及必要网络安全记录按其到期规则保留，不因业务删除提前清除。此处190日专指这些安全记录，不延长验证码、一次性设密凭证、密码临时数据或前述其他业务资料期限，也不表示所有历史管理审计和自由文本日志都已转换为摘要或统一留存190日。
6. 删除声音与注销
你可以在「我的声音」删除本人音色。服务完成后，本人及共享家人无法再使用该音色，相应活跃生成缓存与播放授权清除；已播记录、点赞、收藏和家庭绑定仍保留，试听额度不重置。在「应用设置—账号服务」注销账号，将删除活动账号资料、密码校验哈希、一次性设密凭证、记录、发布内容、家人绑定、反馈、通知订阅与个人音色，并使相关会话失效。删除不等于立即物理擦除历史备份或离线设备字节，离线缓存再次播放仍需服务授权。
7. 权利与可选权限
你可以拒绝麦克风或撤回声音授权，继续使用平台问题与公共音色。仅在使用录音功能时请求麦克风权限，核心收听和录音功能不申请通讯录、短信、精确位置或相册权限。安卓渠道的支付、更新及基础组件可能处理相应功能所需的设备、应用、交易和网络信息，权限及触发条件按渠道区分，详见第13、14节；华为渠道的更新或必要服务安装流程还可能涉及安装应用权限。不能以未申请某项系统权限认定SDK不处理其他信息。支持网页通知的环境中，通知需由你主动选择并取得系统权限，可在设置中关闭，拒绝通知不影响核心收听功能。你依法享有查阅、复制、更正、删除信息及注销账号的权利；可通过资料编辑、音色删除、账号注销或隐私反馈行使。
8. 反馈与信息保护
为处理反馈，保存你选择的类型、反馈正文、回复及提交时间，不需要密码或验证码。请勿在反馈中填写不必要的敏感信息。账号数据通过 HTTPS 传输，后台按权限访问，登录与音色播放由服务端校验。涉及新的处理目的或重要政策变化时，将向你说明。
9. 发布提问与公开展示
登录后，你可以提交自己的生活文字提问。提交的提问先进入待审核状态，由安全负责人每日人工审核；审核通过后，才会在最新或热门提问广场向其他用户公开展示。公开内容包括提问文字、展示昵称及点赞和收藏汇总；服务端保存作者账号关联、正文、时间和互动记录。公开广场不播放个人音色。发布前请勿填写他人的手机号、录音或其他不必要的个人信息。你可以举报提问或屏蔽发布者；一般投诉在3个工作日内反馈处理情况。注销账号时删除本人活动发布内容及相关互动记录，最小安全摘要和必要网络安全记录按第5、10节的到期规则保留。
10. 性能监测与安全日志
为定位加载、点击响应和语音服务故障，处理页面类别、耗时、次数、大小与性能分布等必要诊断信息。网页性能上报不包含姓名、手机号、账号标识、登录Cookie、录音、问题正文或完整网址，不用于广告跟踪。网络连接本身仍向服务器提供IP地址和网络请求信息；登录安全校验使用来源地址的校验摘要，必要错误日志可能记录IP或请求信息。因此不能将全部网络与日志数据描述为匿名。性能模块的服务端内存按小时汇总，必要汇总可写入运行日志。
为履行网络安全保护义务、维护账号和公开提问及相关管理操作的安全，另仅对明确列举的固定接口保存最小必要网络安全日志。范围限验证码请求、登录、隐私说明同意确认、密码设置、退出登录、提问发布/列表/互动/删除/举报/屏蔽、对应内容审核和举报处理、账号注销等接口。记录时间、来源及目标IP地址与端口、请求方法、固定接口路径、响应状态和耗时；不记录请求体、查询字符串、Cookie、Authorization授权头或User-Agent，也不增加客户端设备硬件标识采集。
上述独立网络安全日志按190日策略留存，由授权的安全与运维人员为安全核查、投诉处理及依法协助监管使用。日志按日轮转、维护和清理，归档到期后清理；停机期间不能保证到点立即物理删除，恢复服务前补跑维护。该策略不是对所有既有运行日志、备份或自由文本审计的统一期限承诺，也不能恢复此前已依法清理的历史记录。第5节所述安全事件HMAC摘要与这里的网络日志为不同记录，不应理解为来源IP已被匿名化。
11. 可选网页通知
你开启网页通知后，设备的浏览器推送平台会生成订阅地址和加密密钥，问福保存其与账号的关联、同意时间和投递状态，用于发送你选择的通知。推送平台取决于浏览器，可能由 Apple、Google、Mozilla 或 Microsoft 提供。关闭通知会停止使用该订阅；注销账号会删除服务端通知订阅和投递记录。未开启时不生成这类订阅。本说明不表示应用已接入原生推送服务。
12. 会员购买与交易记录
你主动购买会员时，处理问福账号、商品和期限、订单号、金额与币种、渠道、交易标识、支付结果、购买及到期时间，以及退款或撤销状态，用于下单、核验权益、恢复购买、防止重复到账和处理售后。华为、小米渠道在你主动购买、主动选择恢复订单，或应用回到前台且本机存在当前问福账号的待确认订单时，可能查询该渠道未完成的消耗型购买；查询和后续处理均要求本版有效同意及当前登录账号保持一致。SDK返回的厂商购买凭据、签名或订单数据会发送至问福服务端核验；服务端核验付款、订单和账号关联后，才允许相应发货、完成或消费处理，SDK返回成功本身不直接开通会员。苹果内购还使用与问福账号关联的 appAccountToken 和原交易标识，由服务端核验苹果签名交易；微信和支付宝由服务端核验商户通知或查询结果。问福不接收你的银行卡号、支付密码或支付账户验证码；支付账户及付款信息由相应支付服务处理。为在应用重启后继续核对订单，本机会保存问福账号关联标识或摘要、渠道、本地订单号、购买凭据摘要以及待确认、服务端已确认、渠道完成等最小状态；这些关联数据不是匿名数据。本机恢复账本不保存厂商原始购买令牌、签名或完整返回数据；恢复核验时仍需通过相应SDK重新获取必要凭据。已完成订单的摘要可用于防止重复处理，退出登录不自动清除未完成订单；账号注销成功后尝试清理对应本机记录，清理失败会提示你在系统设置中清除应用数据。清除应用数据或卸载应用会移除该本机记录，不代替服务端对交易、退款和争议记录的必要留存。交易关联标识不是匿名数据。购买与退款的必要记录可在注销后为交易核验、退款、争议处理及适用的法定义务保留；注销账号不代替在苹果渠道管理或取消订阅。未配置可用渠道时不发起收费。
13. 安卓渠道与第三方SDK
问福各安卓渠道包集成的第三方组件不同。下面按当前渠道说明名称、用途、调用时机及已核信息类别。SDK能够处理的信息受版本、具体功能、系统环境和权限状态影响；Android随应用进程自动创建的组件，与问福在页面或付款流程主动调用SDK接口是不同阶段，不能统一理解为所有组件仅在付款时初始化。
（1）OPPO、vivo渠道：微信OpenSDK Android（com.tencent.mm.opensdk，6.8.40）
开发者：深圳市腾讯计算机系统有限公司。
用途：微信付款调起、结果返回和交易安全。处理信息包括应用信息、设备及网络信息、支付请求信息。问福仅在有效同意后、你明确发起微信付款且订单参数校验通过时，才主动创建及注册相应API并发送支付请求；打开会员页或检查付款资格不会主动初始化微信SDK或查询微信是否安装。
SDK个人信息处理规则：https://support.weixin.qq.com/cgi-bin/mmsupportacctnodeweb-bin/pages/RYiYJkLOrQwu0nb8
（2）OPPO、vivo渠道：App支付宝客户端SDK（com.alipay.sdk，15.8.42）
提供方：支付宝支付科技有限公司。
用途：支付调起、结果返回、交易安全与必要的网络链路选择。官方Android信息类别包括Android ID、OAID、传感器列表、设备屏幕密度、运营商信息、Wi-Fi参数和网络类型，并说明必要的基本设备信息。实际处理受SDK版本、系统环境、权限及所用支付流程约束。问福在有效同意及你明确发起支付宝付款后主动调用，SDK内部网页支付或认证页面属于对应支付流程。
SDK信息处理说明：https://opendocs.alipay.com/open/54/01g6qm
官方引用的隐私政策：https://opendocs.alipay.com/common/02kiq3
（3）华为渠道：华为应用内支付SDK（com.huawei.hms:iap，6.16.6.305）
提供方：华为软件技术有限公司。
用途：该渠道的应用内支付环境检查、收银台调起、购买结果处理及权益核验。华为官方SDK隐私声明列出的相应个人信息为交易记录，并说明该IAP SDK本身不使用系统权限。问福在本版有效同意及你明确发起相应购买后，主动取得IAP客户端并调用该付款流程；在当前问福账号已登录、应用处于前台且本机有该账号待确认订单时，也会自动发起未完成购买查询，你还可以在会员页主动选择恢复订单。恢复流程可能主动取得IAP客户端、检查支付环境并查询未完成消耗型购买，再由问福服务端核验账号、订单与凭据；只有服务端确认后才调用相应消费接口，以避免已付款订单重复或遗漏处理。它不是新的付款或自动扣款，不会仅因普通页面展示且没有本机待确认订单就自动查询购买。这不表示同一渠道的其他基础或更新组件也只在付款时运行。
SDK隐私声明：https://developer.huawei.com/consumer/cn/doc/HMSCore-Guides/sdk-data-security-0000001050044906
SDK合规使用说明：https://developer.huawei.com/consumer/cn/doc/HMSCore-Guides/sdk-compliance-usage-0000001716967049
（4）华为渠道：华为帐号SDK（com.huawei.hms:hwid，6.15.0.300）
提供方：华为软件技术有限公司。
本组件作为华为服务依赖集成。问福的手机号登录由问福服务端完成，当前没有独立的华为帐号授权登录入口。华为官方对其授权登录能力列出的信息包括帐号头像、昵称、华为帐号信息、电话、邮箱及应用基本信息，并按相应授权场景说明网络和Wi-Fi状态权限；是否发生对应处理，以实际使用的华为服务、帐号授权、SDK版本与系统环境为限。相关服务可能关联启动HMS Core。
（5）华为渠道：华为应用服务SDK（com.huawei.hms:appservice，6.16.2.300）及更新、基础组件
提供方：华为软件技术有限公司。当前华为渠道还集成相应更新组件（update 5.0.2.300、availableupdate 6.13.0.303）和AGConnect基础组件（agconnect-core 1.9.1.304），包含Android自动创建的初始化及文件提供组件。
问福在取得本版有效同意后，每个主Activity首次建立时自动调用应用内更新检查，不需要先点击付款；更新检查及相关流程可能关联启动华为应用市场或HMS Core。当前接入目的为应用更新与相应华为服务基础能力，不表示问福已启用游戏登录、防沉迷或其他未接入的能力。
HMS Core官方基础声明说明，为稳定运行、网络安全和相关服务，会处理设备标识符、应用包名及标识、错误日志、接口调用时间、运营商网络类型及ID、设备类型及国家、操作系统版本、接口及设备安全状态等信息；相关服务声明另列帐号、应用、设备和可变随机标识信息，实际范围以所用能力及运行环境为限。问福未以这些华为组件开展自己的广告画像或独立统计分析业务，并保留本包已有的华为统计禁用配置；这不表示其他基础服务没有设备、应用或网络信息处理。
HMS Core开放能力隐私声明：https://developer.huawei.com/consumer/cn/doc/hmscore-common-Guides/privacy-0000001261262707
应用服务相关SDK隐私说明：https://developer.huawei.com/consumer/cn/doc/HMSCore-Guides/sdk-data-security-0000001050121546
（6）小米渠道：小米应用内支付SDK（com.xiaomi.ecosys:iap，1.4.0）及基础组件
提供方：北京瓦力网络科技有限公司。
用途：该渠道的支付环境检查、商品购买、订单及结果处理。问福在本版有效同意及你明确发起该渠道付款后，主动通知相应基础API（onAppLaunch、onUserAgreed）并调用环境检查、购买和结果处理；在当前问福账号已登录、应用处于前台且本机有该账号待确认订单时，也会自动通知上述基础API、检查支付环境并查询未完成消耗型购买，你还可以在会员页主动选择恢复订单。恢复后由问福服务端核验账号、订单与凭据，只有服务端确认后才进行渠道完成处理；服务端已确认渠道发货完成时不会再重复调用客户端完成接口。恢复查询不是新的付款或自动扣款。请求涉及应用与商品信息、订单标识、数量、购买及返回结果等必要字段。
该SDK官方隐私政策列出的信息包括：为适配支付服务而收集的设备标识（OAID，Android Q以上）、设备型号、制造商、设备存储容量、国家或地区、Android系统版本号、游戏服务版本号、小米操作系统版本号及网络状态；为支付订单收集的应用ID、应用包名、应用版本号、安装来源、应用账号、商品名称及商品金额；为安全风控校验账号一致性所用的设备标识、设备型号、制造商和系统API版本。该SDK另具备实名认证与防沉迷能力（姓名、身份证号，选择身份证照片认证时还含身份证照片、手机号），问福作为普通应用当前调用支付环境检查、购买、未完成购买查询及已核验交易完成处理，不调用实名认证或防沉迷。Android还会按本包清单创建MiIapProvider，基础依赖带有MiBasicService，不能把其系统组件创建等同于只在付款时初始化。
当前基础依赖树还包含OneTrack统计组件（3.0.5-snapshot，提供方北京小米智能科技有限公司，用于产品分析与改进）、patch（0.9.03）及channel（2.7.3）。它们的存在不等于问福已接入定向推送或第三方画像；对应版本的实际初始化、信息处理和传输范围应与当前接入一起判断。
SDK个人信息处理规则：https://privacy.mi.com/iap-sdk/zh_CN/
各渠道安装包的权限清单不同。核心功能使用网络、录音及媒体播放前台服务相关权限；OPPO、vivo渠道另声明Wi-Fi状态权限，华为渠道还带有更新或必要服务安装流程相关的安装请求及应用市场通用数据访问权限。不能因某项权限未声明或某SDK未被问福显式调用，就推定它不处理其他信息。问福不将这些支付、更新及基础服务信息用于自己的广告画像。iOS会员使用StoreKit，相关规则与安卓渠道分别适用。
14. 安卓运行状态与后台朗读
华为、小米渠道的订单恢复有两种触发方式：你在会员页主动选择恢复订单；或你已同意本版隐私说明并登录，应用回到前台且本机有当前问福账号的待确认订单时自动尝试。退出登录、账号切换或同意失效后，不再为原会话启动后续恢复步骤；未配置可用支付渠道时，恢复仍须以服务端核验结果为准，不能把查询结果当成新付款或会员到账。切到后台后不再启动后续的恢复核验与渠道完成步骤，但已经发出的SDK或服务端请求及其本地结果记录可能继续完成。恢复不用于后台保活或广告画像；仅有普通页面展示、没有本机待确认订单时，不会自动启动这两家渠道的购买查询。
问福自己的应用数据初始化与直接业务接口请求在取得本版隐私说明的有效同意后启动。华为和小米渠道的部分第三方Provider由Android在应用进程创建时自动创建，组件创建与问福主动业务调用应分别理解；本说明不将所有SDK统一描述为只在主动付款后初始化。华为渠道还在同意后每个主Activity首次建立时自动发起应用更新检查。此前已同意且保存登录会话的设备，在再次打开问福时会读取受保护的会话，并向问福服务端核验登录状态、确认当前说明和同步必要业务数据。这些初始化、同步或你已发起的请求，可能在你切换界面或将应用切到后台后完成；处理范围仍限本政策第2、4、5、10节说明的会话、账号服务、内容同步与必要网络安全记录。不能将应用没有显示在前台，理解为所有已授权的网络任务立即停止。
你主动开始朗读后，问福使用媒体播放前台服务，使朗读能够在切换应用或锁屏后继续，并显示正在朗读、暂停或停止状态及播放控制。为了播放你选择的声音、核验本人或家人音色授权、确认收听及试听权益、准备下一条声音，后台朗读过程中会向问福服务端处理必要的账号与会话关联、问题标识、声音请求及授权标识、播放领取与收听记录；网络连接会产生本政策已说明的来源IP及必要请求信息。尚未提交的播放领取会按60秒间隔续约，领取已提交或该播放流程结束后不再按此间隔续约。停止播放会停止继续朗读与后续准备，但已发起的领取释放、播放记账或必要同步可能继续完成，不代表停止后不再有任何网络请求。你可以使用应用内或媒体通知中的暂停、停止控制。信息用途与保存期限仍以本政策前述对应条款为准。
麦克风录音以你主动开始、授予系统权限并单独同意声音授权为前提。正在录音时切换应用或锁屏，问福会取消正在进行的录音；已经完成且经你授权发起的音色创建请求可能继续完成，返回前台后可同步其结果。后台朗读使用已经授权生成的声音，不要求在后台持续录制你的麦克风。
在你已同意隐私说明并明确发起相应渠道付款后，问福才主动调用微信或支付宝SDK处理本次付款。该流程可能转到微信、支付宝或相应支付页面，使问福暂时处于后台；相应SDK的开发者、用途及处理信息范围见第13节。问福不会仅因打开会员页或检查付款资格就主动初始化微信SDK或查询微信是否安装，也不以保活为目的主动调用这两个SDK关联启动付款应用。支付返回后，问福依据服务端核验结果更新交易和权益；未配置可用渠道时不发起收费。
当前安卓原生客户端未启用运营消息推送，也未提供相应开关；后台朗读通知用于显示播放状态并提供控制。第11节的可选网页通知规则适用于相应浏览器环境，不能据此认为安卓原生消息推送已启用。