HeartPulse 隐私政策
最后更新：2026-09-08 · English
HeartPulse 把你的音乐留在你自己的设备上。歌词原文、你选的照片、音频文件，一律不上传；你的曲库里有哪些歌名，我们也无从得知。只有你主动点下共鸣的那一首，会带着歌名上传——为的是让别人也能看见这首歌。
1. 不登录也能用
全部功能都可以匿名使用。登录（Sign in with Apple）是可选的，作用只有一个：让你的心魄成长与共鸣记录在换设备或重装后还能恢复。
2. 我们收集什么
- 设备标识：本机随机生成的一串不透明字符，用来把共鸣记录归到同一台设备。它不是广告标识符，也不是设备序列号。
- 账号标识：你用 Apple 登录时，Apple 给我们的不透明用户 ID，以及我们自己生成的账号 ID。Apple 登录会向你请求姓名与邮箱，我们不保存你的邮箱，数据库里也没有存放它的字段。
- 使用数据：你共鸣过的歌的「指纹」（一段无法还原回歌名的摘要值）、你选的情绪标签、播放与收藏与分享一类的事件（发生时间、时长、完成度，其中播放事件还带一段无法还原回歌名的歌曲指纹，用于成长与时间线），以及心魄成长的数值摘要与界面偏好。成长摘要包括心魄值、当前形态与星级、已点亮的勋章及其档位、已拥有的觉醒形态数量、共鸣与收听的计数；已解锁联网功能的设备都会同步这份摘要，用来在你登录后恢复成长、以及让我们了解产品整体的使用与成长情况。我们每天为每台设备留一条成长快照以观察长期趋势，这份留档保留 24 个月，到期自动删除。已解锁联网功能的设备启动 App 时，我们还会记录一次「最近使用时间」（只有一个时间戳，覆盖旧值，用来了解这台设备是否仍在使用）。
- 你共鸣过的歌的歌名、歌手名、专辑名：只在你主动点下共鸣时上传那一首。它用来让「此刻别人在共鸣」这类展示能报出歌名。我们不上传你的整个曲库——没有共鸣过的歌，我们看不到它的歌名。
- 你上传的头像：你在头像页主动从相册选一张图并确认之后，这张图会上传到我们的服务器，好让别人在你的个人主页、客厅麦位、成员名单、好友列表里看得到它——进得了你主页的人都能看到这张图，这正是它存在的目的。我们只收你选中的这一张，不读你的相册，也不对它做人脸识别或任何图像分析。给「分身」设的头像同理。这张图保留到你自己动手为止：你换一张，旧的那张当场从服务器上删除；你在同一个页面点「清除头像」，它当场删除；你删除账号，它随账号一并删除。我们不为它另设保留天数。
- 技术信息：机型、系统版本、app 版本，以及你访问时的 IP 地址与连接端口。它们只用于服务运维、安全审计与滥用排查，不用于定位你，也不用于广告。
- 登录日志：你每次登录时，我们记录发生时间、IP 地址、连接端口与设备标识，用于账号安全与滥用排查（这是我们保障服务安全的合法利益所必需）。这份日志保留 12 个月，到期自动删除。
- 崩溃与异常退出诊断：App 意外退出（崩溃、无响应、被系统结束）时，你的手机系统本身会留下一份技术记录。已解锁联网功能的设备下次启动 App 时，我们会把这份记录取回来：发生时间、退出原因、内存占用、以及崩溃现场的调用堆栈（其中只有程序自己的函数名与代码库名称）。它只用于定位并修复故障。这份记录不含任何你的内容——没有歌名、没有歌词、没有文件路径、没有你的曲库。诊断记录保留 90 天，到期自动删除；你删除账号时立即删除。
- 实时语音（客厅 / 卧室）：麦克风只在你自己在房间里点开麦克风说话时才会用到——不点开麦，App 不会去碰麦克风，系统的权限弹窗也只在你第一次点开麦时出现。你的声音经我们自己运维的服务器实时中转给同一个房间里的人，不录制、不保存：服务器只在传输的那一刻经手它，没有录音、没有存档，你一松开麦，声音就不存在于任何地方。房间里的人会看到你的心魄号与昵称（进房本来就会显示，跟说不说话无关）。你自己开着麦的时候，即使熄屏或切到别的 App，麦克风也会继续采集并中转——否则你一锁屏，房里的人就听不到你说话了。麦的开关只由你自己控制：你关麦或退出房间，采集立刻停止。开麦期间通知栏会一直显示一条「正在语音房里 · 麦克风开着」，那就是它还在工作的标志。
3. 我们明确不收集
- 歌词原文。你标记「这句戳中我」时，上传的是这句话的摘要值（一段无法还原回文字的字符串），不是文字本身。别人看到这句歌词，是他自己设备上本来就有的那份歌词被匹配出来的——没有这首歌的人看不到这句。
- 你的音乐文件本身，以及你从相册选来做封面的照片（封面照全程只在 app 内，不上传）。相册里的照片只有你主动选来当头像的那一张会离开设备，见上一节。
- 你的曲库列表、歌单、收藏（这些都不进云备份）。没有共鸣过的歌，我们看不到它的歌名（播放事件只带无法还原歌名的指纹，见上）。
- 你的语音录音。实时语音只在传输中存在，我们不录、不存，见上一节。
- 电子邮箱、通讯录、位置、健康数据、支付信息
- 任何广告标识符
4. 别人能看到什么
共鸣是一件和别人有关的事：你会看到「此刻还有谁也在这首歌里」，别人也会看到你留下的痕迹。这里说清楚露出去的到底是什么。
- 露出去的：一首歌被共鸣时选的情绪标签（只能是 app 里那 12 个之一，不能自己填字）、被共鸣过的歌词句、以及共鸣过的歌名与歌手。
- 不露出去的：任何能指向你的东西。没有昵称、没有头像、没有账号、没有设备标识、没有「第几个」这类序号，也没有精确时间——时间只到「今天 / 本周 / 更早」。别人看到的是「有人」，不是「谁」。
- 人太少就不露：一首歌（或一句歌词）至少要有若干台不同设备共鸣过，它才会出现在别人眼前。只有一两个人听的冷门歌不会被展示出来——否则「有人」就等于「那一个人」。
- 共鸣展示看不出人数：飘屏与共鸣榜是按「有哪几种」去重的，不是按人一条条铺开，所以数一数飘过多少条，得不到有多少人。
- 你自己那条不会飘给你自己看。
- 心魄之巅（唯一一处公开的人数）：心魄页会显示「目前全体用户里最高的形态是什么、有多少人站在那一档」，每天零点结算一次。这里面没有任何身份信息——不说是谁、不给名次归属、点不进任何人。它只公布最高的那一档，不公布各档的人数分布，因为把各档人数加起来就等于总人数，而我们不打算告诉任何人这个产品现在一共有多少人在用。你自己的排名只有你自己看得到，别人拿不到。
这些展示都是只读的氛围层：不能回复、不能私信、不能点进任何人的主页——因为根本没有「任何人」可以点。
5. 追踪与广告
都没有。app 内不含广告 SDK，不含第三方分析工具，不向数据经纪商共享任何数据，也不做跨 app 或跨网站的关联。因此我们不会向你弹出「允许跟踪」的请求。
6. 第三方
- Sign in with Apple：只在你主动登录时发生。我们从 Apple 拿到的是一个不透明的用户 ID。
- Last.fm（可选，默认关闭）：只有在你主动绑定自己的 Last.fm 账号之后，你播放的歌名、歌手、专辑与时长才会发送给 Last.fm，用于记录你的收听。这条链路由 app 直连 Last.fm，数据不经过我们的服务器。你可以随时在设置里解绑。绑定期间同时适用 Last.fm 自己的隐私政策。
- 心魄源：从我们的服务器下载曲目时会产生常规的服务器访问日志，其中记录访问时间、请求的文件路径与你的 IP 地址，用于统计每首歌被下载了多少次以及排查滥用。这份日志不含账号或设备标识，保留 30 天后自动删除。
- Apple DeviceCheck（防滥用）：为识别恶意的刷机重置，我们可能在你登录或注册时通过 Apple 的 DeviceCheck 服务查询与这台设备关联的两个「是/否」标记。我们从 Apple 得到的只有这两个比特——不含任何硬件信息、序列号或位置，也无法用它跨 app 追踪你。安卓版如果发布，会使用 Google Play Integrity 达成同样目的。
7. 数据存在哪、留多久
数据存放在我们自行运维的服务器上，传输全程使用 HTTPS 加密。数据在你的账号存续期间保留。你删除账号时立即全部删除，不另设保留期；例行的数据库备份最多保留 30 天，其中的副本会随备份轮转在 30 天内彻底消失。
三类记录设有固定保留期，到期自动删除：登录日志保留 12 个月，共鸣写入的服务端审计日志保留 180 天，成长的每日留档保留 24 个月。你删除账号时，这三份记录里属于你的部分也会立即一并删除。
你上传的头像不按天数保留，按你自己的动作保留：换一张、点「清除头像」、删除账号，这三件事里任意一件发生时，服务器上那张图片文件当场删除。除此之外我们不主动删它，也不为它设保留天数。
8. 你的权利
- 删除账号：在 app 内「我的 → 设置 → 账号 → 删除账号」。这个操作不可逆：服务器上属于这个账号的全部记录立即删除，本 app 的 Apple 登录授权同时被撤销，本机的心魄成长、勋章、共鸣记录也会一并清零。你自己的歌曲文件与歌单会保留。
- 退出登录：只断开本机的登录状态，云端数据保留，下次登录即可恢复。
- 不登录：全部功能匿名可用。
- 你也可以写信给我们，要求查询、更正或删除与你有关的数据。
9. 儿童
本 app 不面向 13 岁以下儿童，也不会有意收集他们的个人数据。
10. 政策变更
如有更新，我们会修改本页顶部的「最后更新」日期。涉及收集范围变化的改动会在 app 内一并说明。
11. 联系我们
隐私相关的任何问题，写信到 aipo@ailenshow.com。