隐私政策

最后更新：2026年10月5日

Today Loop 的设计初衷是平静、有用，并尊重你的隐私。本政策用平实的语言说明你的数据会如何被处理。

简短版本：你的任务留在你的设备上。我们不设用户账户，也不出售你的数据。你可以在设置中选择 AI 的运行方式：仅设备端（数据不会离开你的设备）、完全隐私（设备端加上 Apple 的 Private Cloud Compute，后者不会保留你的数据——在 Free 中仅作为有限回退；Pro 解锁更完整的 Apple 云端 AI），或混合 AI（还会使用我们的代理访问第三方模型）。在混合 AI 模式下，单次请求的文本——在建议列表时，还包括在你设备上计算出的每个列表的少量代表性词语——会经我们的代理发送以生成结果。我们不存储这些文本。服务器端与你相关的记录只有短期的技术性记录——使用计数器，以及最多保留 24 小时的答案副本（以便重试的请求得到相同的结果）——它们全部列在下文“我们的服务器上保留什么”一节中。

我们收集什么

• 你的内容（任务、笔记、总结、提醒、重复模板、追踪器、挑战、支出、附件）。使用 Apple 的设备端数据库存储在你的设备本地。我们不会把你的内容存储在我们的服务器上。你添加到任务的附件——照片、文件、从通讯录中选取的联系人、在地图上选取的地点、链接——作为该任务的一部分留在设备上，绝不会被上传。
• 无账户。Today Loop 没有注册，也没有登录，因此我们不会收集你的姓名、电子邮件或用户资料。对于混合 AI，服务器使用一个假名标识符（你的 App Store 交易 ID 的带密钥哈希）——而不是你的电子邮件或姓名——来验证 Pro 状态并执行限额。
• 订阅验证（混合 AI）。启用混合 AI 后，应用会把一份已签名的 App Store 交易发送到我们的代理，以便我们确认订阅有效。我们进行验证并把结果缓存最多一天；我们不存储付款详情（由 Apple 保存）。
• 使用计数器（混合 AI）。代理 AI 调用之后，我们只存储以假名 ID 为键的数值计数器（token 数 / 操作数），用于执行合理使用限额。每日计数器在两天内过期，每月计数器在六周内过期。
• 重试缓存（混合 AI）。为了让应用在必须重试请求时（例如连接中断后）得到相同的答案，代理会把该答案的副本保留最多 24 小时，以假名 ID 和一个随机请求 ID 为键。该答案是那一次请求的 AI 结果——例如一条整理好的任务——并会被自动删除。
• 应用完整性（混合 AI）。我们可能使用 Apple App Attest 来帮助确保请求来自真正的应用构建版本。App Attest 密钥标识符及其与你假名 ID 的关联最多保留 400 天。这不是广告标识符，也不包含你的位置或设备名称。
• 诊断。只有当你开启匿名分析时，我们才会把匿名使用信号（例如你完成了引导流程或再次打开了应用）连同应用版本、iOS 版本和设备型号一起发送给 TelemetryDeck，一家位于欧盟、注重隐私的分析服务。信号不包含任务标题、笔记、金额或你输入的任何标识符。TelemetryDeck 会分配一个随机安装 ID；这不是广告 ID，也不会用于跨应用追踪你。分析在你开启之前保持关闭：应用会在你完成第一天后询问一次，开关位于设置 → 隐私，你可以随时在那里再次关闭。代理日志（仅混合 AI）只包含元数据（延迟、状态、token 数量）——绝不包含任务文本。我们不运行广告 SDK。

AI 处理模式

你可以在设置 → 隐私中选择 AI 的运行方式。无论哪种模式，私密列表 / 私密任务绝不会被发送离开你的设备，金钱、体重和睡眠挑战的计划只在设备上生成——绝不在任何云端，包括 Apple 的——并且只要设备端 AI 能以内容所用的语言处理请求，就始终使用设备端 AI。

仅设备端

所有 AI（“用 AI 整理”、总结、标签、挑战计划）都使用 Apple Intelligence 在你的设备上运行。你的文本绝不会离开设备。当你的设备或内容所用的语言不受设备端支持时，不受支持的 AI 功能会直接隐藏，或由非 AI（算法）结果替代。

完全隐私（设备端 + Apple Private Cloud Compute）

在受支持的设备上加入 Apple Private Cloud Compute (PCC)。在 Free 中，PCC 仅在设备端 AI 无法处理请求时（例如内容语言不受支持）作为有限回退使用。Pro 为挑战规划等 Pro 功能解锁更完整的 Apple 云端 AI。PCC 在 Apple 保护隐私的云端中运行由 Apple 运营的模型：请求经处理后返回结果，不会被存储，也不会用于训练模型，且没有任何第三方参与。这样一切都保持在 Apple 的体系之内。这是新安装的默认模式。

混合 AI（加入我们的代理）

混合 AI 仅限 Pro，且需主动开启：你在设置中启用它，并在第一次请求之前接受一次性的同意声明。它在上述基础上加入我们自己通往第三方模型的代理（以获得顶级模型和更广的语言覆盖）。你可以随时切换回其他模式。

发送什么（混合 AI）：只有那一次请求所需的最少文本——例如一条要整理的笔记、一句提醒语，或一个挑战目标连同你输入的限制条件——绝不是你的完整历史。晚间总结发送已完成和剩余任务的数量、最靠前的几条剩余任务的标题以及你的连续天数，绝不发送金额。每周复盘和洞察发送本周的汇总数字——计划数和完成数、一周各天的模式、连续天数、你标记为不错、还行或艰难的天数，以及达成的追踪器数量——不含任务文本。

列表摘要（混合 AI，仅限列表建议）：当应用建议某个任务应归入哪个列表时，它还会发送一份在你设备上计算出的简短列表摘要：对每个列表，最多十二个能代表该列表的单个词语（例如“厨房、维修、水管工”），最有代表性的排在前面。这是派生数据而不是你的内容——它不含句子、不含数量，也不含任务文本，而且一个词无法追溯到它所来自的任务。它只用于挑选更合适的列表，不会保留在我们的服务器上，在其他 AI 模式下也绝不发送。私密列表和私密任务不包括在内。

如何处理（混合 AI）：请求经过我们的 Cloudflare Worker 代理。默认情况下，模型通过 OpenRouter 提供，它会路由到底层的模型服务商（目前为 OpenAI GPT-5.6 Luna）。如果 OpenRouter 不可用或额度用尽，我们可能直接使用 DeepSeek。服务商处理请求以返回结果；我们不会把请求文本保留在我们的服务器上。Cloudflare 和模型服务商可能在你所在的国家/地区之外处理请求，包括在美国。

图像生成（混合 AI，Pro）。如果你选择为某个挑战生成激励封面或里程碑插画，你写的挑战描述（例如“备战铁人三项”）会经同一代理发送给第三方图像生成服务商来创建图片。只发送这段文本——绝不发送你的照片、联系人或身份信息——我们也不会把它保留在我们的服务器上。图像只在你要求时生成（绝不自动生成），结果存储在你的设备本地。

我们的服务器上保留什么（混合 AI）：我们不会把你的任务或笔记存储在我们的服务器上，因此那里没有什么可删除的。与你的假名 ID 相关的记录及其保留时长为：速率限制计数器（数分钟）；每日使用计数器和指标标记（两天）；每月使用计数器（六周）；缓存的 Pro 状态（最多一天）；重试缓存（24 小时）；以及 App Attest 密钥关联（400 天）。它们都会自行过期。如果你从未启用混合 AI，这些记录一个也不存在。删除应用会移除设备上的本地数据。

订阅

购买由 Apple 通过 App Store（StoreKit）处理。我们看不到你的付款详情。Apple 只会告知我们是否有有效的订阅处于激活状态，以便我们解锁 Pro 功能。你可以随时在 Apple 账户设置中管理或取消。Pro 是定期续订的订阅（按月或按年）；没有终身买断。

语音记录

当你轻点麦克风用语音记录任务时，应用会使用你的麦克风和 Apple 的语音识别。根据你的设备和语言，Apple 会在设备上或在 Apple 的服务器上处理音频，并遵循 Apple 的隐私条款。音频绝不会发送给我们，应用也不保存任何录音：只有识别出的文本会成为你的任务，像其他任务一样存储。你可以拒绝麦克风和语音识别的授权提示，继续用键盘输入。

通知

提醒在你的设备上本地安排。授予通知权限是可选的，不影响核心功能。我们不使用远程（推送）通知。

相机和照片

当你轻点扫描收据时，Today Loop 会使用设备相机拍摄收据。文本识别在你的设备上运行。照片作为任务附件留在设备上，绝不会被上传。你可以拒绝相机授权提示，仍然从照片图库中选取照片；系统选择器只会把你选中的那张照片交给应用。

App 锁定和私密列表

• App 锁定用六位密码保护应用，如果你开启，还可以用 Face ID 或 Touch ID。密码只以加盐哈希的形式存储在你设备的钥匙串中。生物识别由 iOS 检查；应用绝不会收到你的面容或指纹数据。
• 私密列表（Pro）在设备上用一个与本设备和一个单独的 PIN 绑定的密钥加密任务文本。无法恢复：忘记 PIN 意味着数据无法解密——我们也无法解密。私密列表在任何模式下都绝不使用 AI，绝不离开设备，并且不包含在导出和分享链接中。

分享、导出和备份

• 分享任务会创建一个包含任务标题、类型和优先级的链接。你在 iOS 共享表单中选择接收者；链接直接从你的设备发送到对方的设备，我们不参与其中。
• 导出数据会把你的列表和任务写入一个 JSON 文件——不含私密列表，也不含附件文件——由你自己保存或发送。导入数据会把这样的文件读回，或读取你选择的 Todoist 或 TickTick 导出文件。文件在设备上读取，不会发送给我们。
• 从提醒事项导入只有在你轻点它时才会请求访问 Apple 提醒事项。应用会读取你设备上未完成的提醒事项，并把你选择的列表复制到 Today Loop；它不会更改提醒事项中的任何内容，也不会向我们发送任何内容。你可以在 iOS 的设置 → 隐私与安全性 → 提醒事项中撤销访问权限。
• 小组件、锁定屏幕实时活动、Siri 和快捷指令，以及共享扩展都在你的设备上运行并读取应用的本地数据。如果你添加了小组件，任务标题会出现在你的主屏幕或锁定屏幕上。
• 备份。应用的数据是你 iPhone 备份（iCloud 或电脑）的一部分，遵循 Apple 的条款。私密列表在备份中保持加密，无法在另一台设备上打开。

数据共享

我们不出售、出租或交易你的数据。我们不会与广告商共享数据。涉及的第三方有：Apple（App Store、设备端 AI、Private Cloud Compute、App Attest、语音识别，以及你附加地点时的地图）；TelemetryDeck（匿名使用信号，仅当你开启分析时）；以及仅当你选择开启混合 AI 时，针对那一次请求的我们的代理托管方（Cloudflare）和 AI 服务商（DeepSeek，以及在使用时的 OpenRouter / 底层模型）——还有仅当你生成挑战插画时，接收该次请求挑战描述的第三方图像生成服务商。Apple Private Cloud Compute（用于完全隐私和混合 AI）由 Apple 运营，不涉及任何其他第三方。

你的控制权

• 随时在应用内删除任何任务、总结或模板。
• 删除应用即可移除你设备上所有本地存储的数据。
• 拒绝通知、AI、麦克风、相机或对提醒事项的访问——应用仍然可用。没有相机，你仍然可以从照片图库中选取收据。
• 在设置中选择仅设备端，让一切都留在你的设备上；或选择非混合模式，停止向我们的代理发送请求文本。
• 匿名分析在你开启之前保持关闭；你可以随时在设置 → 隐私中关闭它，停止向 TelemetryDeck 发送使用信号。

儿童

Today Loop 不面向 13 岁以下的儿童，也不会在知情的情况下收集他们的数据。

变更

如果本政策发生变更，我们会更新上方的日期，并在此处和 todayloop.app/privacy 发布新版本。本政策以英文和译文发布；如果译文与英文原文有出入，以英文原文为准。

我们是谁

Today Loop 由 IMPORTANT DREAMS, MCHJ 制作和运营，这是一家在乌兹别克斯坦共和国注册的有限责任公司（Markaz MFY, Fazogir street 24, Boyovut district, Syrdarya Region, 120201）。对于上文所述的有限数据，我们是数据控制者。关于公司的更多信息：importantdreams.com。

联系我们

对隐私有疑问？请发送电子邮件至 [email protected]。