隐私政策

1. 简介

本隐私政策说明 mojo（以下简称「本服务」或「开发者」）如何收集、使用、存储和保护您的个人资料与健康数据。 本服务采用「本地优先」架构，您的核心健康数据（体重、体脂、肌肉量、GLP-1 用药记录、副作用记录等）默认存储在您的设备本地，不会同步到我们的服务器。部分情况下数据会离开设备，例如备份会把数据复制到您自己的云端账号，使用 AI 分析功能时，数据会传送给 AI 服务提供商。各类数据的收集项目与流向，详见第 2 章至第 4 章与第 6 章。 我们承诺：

• 永不出售您的个人健康数据
• 尊重您对数据的完全控制权

2. 我们收集什么数据

我们收集以下类型的数据：

健康数据

• 体重、体脂率、肌肉量等身体组成数据
• GLP-1 药物注射记录（日期、剂量、药物类型）
• 副作用记录（症状类型、严重程度、发生时间）
• 从 Apple Health（iOS）或 Health Connect（Android）同步的健康数据（饮食、运动、睡眠等）
• 其他手动输入的数据与设置，如减重速度、目标、饮食、饮水记录等

账号数据（需要登录功能时）

• Email 地址（用于账号注册、订阅管理、客服联系）
• 订阅状态与交易记录（通过 Apple App Store 或 Google Play Store 管理）

使用分析数据

• App 使用统计（功能使用频率、停留时间、导航路径）
• 设备信息（操作系统版本、App 版本、设备型号）
• 错误日志与性能数据（用于调试与优化）

3. 我们如何收集数据

我们通过以下方式收集数据：

用户主动输入

• 您在 App 中手动记录的体重、药物注射、副作用等数据
• 您注册账号时提供的 Email 地址，或通过 Apple/Google 账号绑定获取

健康平台整合

• iOS：通过 Apple HealthKit API 读取您授权的健康数据（如步数、睡眠、饮食）
• Android：通过 Health Connect API 读取您授权的健康数据
• 重要：我们仅在您明确授权后才能访问这些数据，您可随时在系统设置中撤销授权

自动收集

• 由我们自行搭建的分析系统自动收集的使用统计数据
• App 自动生成的错误日志与性能数据

4. 数据存储与备份

本服务采用「本地优先」架构：健康数据默认留在您的设备上。数据在部分情况下会离开设备，以下说明主要的几条路径。

本地存储的数据

• 所有健康数据（体重、体脂、药物记录、副作用等）默认存储在您的设备本地
• 数据存储在 App 的私有沙盒空间，其他 App 无法访问
• 您的设备密码/生物识别即是最强的数据保护
• 您在设备上的健康记录不会同步到我们的服务器

备份与换机会把数据带到哪里

以下路径都不经过我们的服务器：数据从您的设备进入您自己的云端账号，或直接进入您自己的另一台设备。

• Android 系统备份（进云端）：若您的 Android 设备开启了系统备份（是否默认开启依厂牌而异），系统会把 mojo 的 App 数据备份到您的 Google 账号，其中包含存放健康记录的数据库。这段过程我们不经手，也读不到备份内容
• Android 换机直传（不进云端）：使用 Android 的换机功能把数据搬到新手机时，mojo 的数据会直接传到新设备
• iOS 整机备份（进云端）：若您使用 iCloud 整机备份，mojo 的数据会包含在其中
• iOS 换机直传（不进云端）：使用 iPhone 的「快速开始」把数据搬到新机时，mojo 的数据会直接传到新 iPhone
• iOS App 内的 iCloud 自动备份（进云端）：若您在 App 中开启这项功能（默认关闭，需要您主动开启并登录 mojo 账号），备份文件会加密后才存进您自己的 iCloud Drive

其他会让数据离开设备的情况

• AI 分析：使用 AI 分析功能时，健康数据会传送给 AI 服务提供商。这与备份无关，详见第 6 章
• 您自己导出的文件：使用 App 的导出功能时，文件会交到您手上，之后传给谁、放在哪里由您决定
• 账号数据、分析与诊断信息的收集项目与流向，见第 2 章、第 3 章与第 8 章

数据控制权

• 删除 App 会删除设备上的本地数据；您也可以随时在 App 中删除单条记录
• 但写进系统健康 App 的数据不会跟着消失：如果您授权过 mojo 写入 Apple 健康或 Health Connect，体重、体脂、腰围、营养与饮水记录会有一份留在该 App 里，需要您在那里另外删除
• 但备份不会跟着消失，而且各种备份的删除方式不同：
• App 内的 iCloud 自动备份：文件在 iCloud Drive，删除 App 后仍然存在，需要您自行到「文件」App 删除
• iOS 整机备份：mojo 的数据包在整份设备备份里，「文件」App 看不到，要在 iOS 的 iCloud 备份设置中管理，您可以删除整份设备备份，或设置不把 mojo 纳入备份
• Android 系统备份：依您 Google 账号的备份管理设置处理
• 换机直传不会在云端留下副本：数据就在您的新设备上，跟原本的设备一样可以在 App 中删除单条记录或移除 App
• 删除 mojo 账号同样不会删除这些云端备份文件，因为它们在您自己的云端账号里，我们无权访问
• 已删除的本地数据，我们无法访问或恢复

局限

• 我们不提供跨设备实时同步。备份的用途是换机或重装时把数据带回来，不是让多台设备同时使用同一份数据
• iCloud 自动备份写出的文件虽然加密，密钥却内置于 App、不是由您单独持有；备份存放处的安全性，仍取决于您自己云端账号的保护措施。各路径的保护程度见第 10 章

5. 我们如何使用数据

我们使用您的数据的情况包含但不限于：

核心功能

• 存储与显示您的健康记录（体重趋势图、药物注射历史等）
• 计算统计数据（平均体重、体脂变化率等）
• 提供整体用户的汇总统计（如减重速度、目标达成情况的分布），供您比较自己与整体用户的进展
• 提供 AI 个性化健康分析与建议（详见第 6 章）

服务改善

• 进行分析统计，以优化 App 功能与使用体验
• 调试与修复技术问题
• 开发新功能与改进现有功能

客户服务

• 回应您的问题与支持请求
• 发送订阅相关通知（付费用户）
• 通知重要服务更新或安全性公告

法律合规

• 遵守适用法律与法规要求
• 保护本服务与用户的合法权益
• 回应法律程序或政府机关的合法要求

6. AI 数据处理

当您使用 AI 分析功能时，我们会将您的健康数据传送给 AI 服务提供商。以下是详细流程：

传送前的处理

传送前我们会移除您的 Email。

传送的数据范围

我们传送 AI 分析所需的数据：

• 体重、体脂、肌肉量的数值与时间趋势
• GLP-1 药物类型、剂量、注射时间
• 副作用类型、严重程度、发生时间
• 相关的饮食、运动、睡眠等健康数据（如有同步）

AI 服务提供商

您的数据会经由 AI 请求路由平台 OpenRouter 转送给 AI 模型供应商。我们会随服务优化调整所使用的模型组合，当前供应商清单可来信索取。

数据用途说明

1. 个人 AI 分析：生成您的个性化报告 2. 服务改善：部分请求（含假名化的健康数据）会保留在我们的追踪系统（7 天）与评估数据集（保留期以该数据对系统优化及调试不具参考价值为止），用于优化 AI 提示词、调试与分析统计 3. 使用 AI 分析即表示同意保留

您的控制权

• 您可选择不使用 AI 分析功能，App 的基本记录功能不受影响
• 我们不会训练自己的 AI 模型
• AI 请求路由平台与各 AI 模型供应商受其隐私政策约束，您可查阅：
• OpenRouter: https://openrouter.ai/privacy
• 各 AI 模型供应商的隐私政策可于 OpenRouter 的模型页查阅

7. 数据分享政策

绝不分享的原则

• 我们永不出售您的个人健康数据

有限度分享的情况

我们分享数据的情况包含但不限于：

1. 第三方服务提供商（详见第 8 章）

• AI 请求路由平台（OpenRouter）与其转送的 AI 模型供应商：健康数据
• 云端数据库（Supabase）：已注册用户的 Email、订阅状态与 AI 分析报告
• AI 评估数据集（LangSmith）：部分 AI 请求与响应内容（含假名化的健康数据）

2. 法律要求

• 回应法院命令、传票或其他合法法律程序
• 保护本服务或用户的合法权益
• 防止欺诈、安全威胁或非法活动

3. 业务转让

• 如本服务发生合并、收购或资产出售，您的数据可能转让给接手方
• 我们会在此情况发生前通知您，并让您选择删除数据

8. 第三方服务详细信息

本服务整合的第三方服务包含但不限于以下各项：

AI 服务提供商

• OpenRouter (https://openrouter.ai/)
• 用途：AI 请求路由平台，将分析请求转送给实际执行的 AI 模型供应商
• 接收数据：健康数据
• 数据保留：本身默认不保存请求内容，仅保留用量统计
• 隐私政策：https://openrouter.ai/privacy

• AI 模型供应商（经由 OpenRouter 转送）
• 用途：执行 AI 分析并生成您的个性化报告
• 接收数据：健康数据
• 数据保留：依各供应商自身政策
• 供应商清单：我们会随服务优化调整所使用的模型组合，当前供应商清单可来信索取；各供应商的隐私政策可于 OpenRouter 的模型页查阅

云端与分析工具

• Supabase (https://supabase.com/)
• 用途：用户账号管理、AI 分析报告暂存
• 接收数据：Email、订阅状态、社交登录的 OAuth 身份识别信息，以及您的 AI 分析报告内容。Apple refresh token 以加密方式存储于 Supabase Vault。
• 数据位置：云端服务器（加密存储）
• 隐私政策：https://supabase.com/privacy

• LangSmith (https://www.langchain.com/langsmith)
• 用途：AI 评估数据集
• 接收数据：部分 AI 请求与响应内容（含假名化的健康数据）
• 数据保留：以该数据对系统优化及调试不具参考价值为止
• 隐私政策：https://www.langchain.com/privacy

• 订阅分析与安装归因服务商
• 用途：订阅状态统计与广告安装来源归因
• 接收数据：设备技术信息、App 内购买交易记录、您的 mojo 账号识别码；iOS 另包含 Apple 广告的安装归因信息（不含广告识别码 IDFA）
• 数据保留：依数据处理者合约（DPA）约定

健康平台整合

• Apple Health (iOS)
• 用途：读取您授权的健康数据（饮食、运动、睡眠等），并在您记录时把体重、体脂、腰围、营养与饮水写回 Apple Health
• 控制权：您可在 iPhone「设置 > 隐私与安全 > 健康」中分别管理读取与写入授权
• 数据流向：双向，且只发生在您的设备与 Apple Health 之间，不经过我们的服务器

• Health Connect (Android)
• 用途：读取您授权的健康数据，并在您记录时把营养与饮水写回 Health Connect（不写入体重、体脂与腰围）
• 控制权：您可在 Android「设置 > 应用 > Health Connect」中分别管理读取与写入授权
• 数据流向：双向，且只发生在您的设备与 Health Connect 之间，不经过我们的服务器

认证服务

• Sign in with Apple (https://support.apple.com/HT210318)
• 用途：通过 Apple ID 进行账号认证
• 接收数据：Apple 账号身份识别、Email 地址（可能是 Apple 提供的隐私转发地址）
• 数据存储：OAuth 身份识别信息存储于 Supabase；Apple refresh token 以加密方式存储于 Supabase Vault（服务器端）
• 隐私政策：https://www.apple.com/legal/privacy/

• Google Sign-In (https://developers.google.com/identity)
• 用途：通过 Google 账号进行账号认证
• 接收数据：Google 账号身份识别、Email 地址
• 数据存储：OAuth 身份识别信息存储于 Supabase
• 隐私政策：https://policies.google.com/privacy

9. 数据保留期限

我们仅在必要期间内保留您的数据：

• 健康数据：存储在您的设备本地；云端备份文件存于您自己的 iCloud／Google 账号，我们无权访问
• 账号数据（Supabase）：保留至您删除 mojo 账号为止；审计记录在安全目的所需期间内另行保留
• AI 分析报告：最长 90 天，期满自动删除
• 服务质量追踪（我们自己的服务器）：7 天，含完整的 AI 请求与响应内容，期满自动删除
• 分析数据（自建）：保留至您删除 mojo 账号为止，删除后由每日清除作业移除，备份副本则在 30 天内随轮替移除；未与账号关联的匿名使用统计（如官网浏览）则保留至对统计分析不具参考价值为止
• AI 评估数据集（LangSmith）：部分 AI 请求与响应内容（含假名化的健康数据），保留至该数据对系统优化及调试不具参考价值为止
• 订阅分析与归因数据：依数据处理者合约（DPA）约定
• AI 模型供应商：依其自身政策
• 法律要求时（如会计法规、税务要求、法律程序），可能保留更长时间

10. 数据安全措施

我们采取多层次安全措施保护您的数据：

设备端安全

• 本地数据存储在 App 私有沙盒，其他 App 无法访问
• 支持 iOS Keychain 和 Android KeyStore 加密敏感数据

备份文件的加密程度

• App 内「导出数据」产生的备份文件是可直接阅读的 JSON，请自行妥善保管
• 若您日后开启 App 内的 iCloud 自动备份，该功能写出的备份文件会加密后才存进 iCloud Drive
• 这层加密的密钥内置于 App，不是由您单独持有
• Android 系统备份由 Android 自己处理，不经过我们
• 备份放在您自己的 Google 或 iCloud 账号，该处的安全性取决于您对那个账号的保护（例如两步验证）

传输安全

• 所有网络传输使用 TLS/SSL 加密（HTTPS）
• AI 请求使用业界标准加密协议
• 防止中间人攻击与数据窃听

云端安全（账号数据）

• Supabase 使用 AES-256 加密存储数据
• 数据库访问受到严格的权限控制

访问控制

• 开发者仅在必要时访问分析数据
• 采用最小权限原则（Principle of Least Privilege）

事件应急

• 自我们知悉数据泄露事件起 72 小时内，以适当方式通知受影响用户；无法个别联系时，改以 App 内或网站公告方式告知
• 若执法机关要求暂缓通知以利调查，我们会在该要求解除后尽速通知
• 立即采取措施防止进一步损害
• 依适用法规通报主管机关并配合调查

11. 您的权利（GDPR/CCPA）

根据 GDPR（欧盟一般数据保护条例）和 CCPA（加州消费者隐私法），您享有以下权利：

访问权

• 您有权知道我们收集了哪些关于您的数据
• 您可要求取得您的数据副本
• 操作方式：在 App 设置中使用「导出数据」功能（订阅者可用），或写信到 hey@mojoapp.ai 提出数据权利请求。这条路免费、不需要订阅，我们会提供您在设备上的健康数据与设置（结构化 JSON）；若您还需要账号数据、AI 报告或分析记录，请在同一封信里说明，我们会另外处理

删除权（被遗忘权）

• 您有权要求删除您的个人数据
• 操作方式：
• 本地数据：在 App 中删除单条记录，或移除 App 清除设备上的全部数据
• 账号数据：在 App 设置中申请删除账号，或联系 hey@mojoapp.ai
• 我们会在 30 天内处理您的删除请求

更正权

• 您有权更正不正确或不完整的数据
• 操作方式：直接在 App 中编辑您的记录

可携权

• 您有权以结构化、常用格式取得您的数据
• 操作方式：使用 App 的「导出数据」功能（订阅者可用），或写信到 hey@mojoapp.ai 提出数据权利请求。我们会免费提供您在设备上的健康数据与设置（结构化 JSON），不需要订阅；账号数据、AI 报告与分析记录请在信中一并说明，我们会另外处理

反对权

• 您有权反对我们处理您的数据（如用于分析或营销）
• 操作方式：联系 hey@mojoapp.ai 说明您的要求

限制处理权

• 您有权要求限制我们如何使用您的数据
• 操作方式：联系 hey@mojoapp.ai 说明您的要求

提出申诉权

• 如您认为我们违反数据保护法规，您有权向主管机关申诉
• 台湾：国家发展委员会（https://www.ndc.gov.tw/）
• 欧盟：您所在国家的数据保护机关
• 美国加州：加州总检察长办公室（https://oag.ca.gov/privacy/ccpa）

行使权利

请通过 hey@mojoapp.ai 联系我们，我们会在 30 天内回应您的请求。为了保护您的隐私，我们可能需要验证您的身份。

12. 健康数据特殊保护

健康数据是最敏感的个人数据类型，我们采取特殊保护措施：

法律标准

本服务不属于 HIPAA（美国健康保险流通与责任法案）管辖范围，因为我们不是医疗保健提供者。

敏感数据处理

GLP-1 药物使用记录属于高度敏感的健康数据，我们特别采取：

• 本地优先存储：药物记录默认存在您的设备，不会同步到我们的服务器；备份路径见第 4 章
• 不与保险公司分享：我们永不将您的用药记录分享给保险公司或雇主
• 不用于歧视：您的健康数据不会用于任何可能导致歧视的用途

未成年人保护

GLP-1 药物通常需医师处方，且适用年龄有限制。本服务要求用户年满 18 岁（详见第 13 章）。

医疗免责声明

重要提醒：

• 本服务提供的 AI 分析仅供参考，不构成医疗建议
• 任何用药决策应咨询您的医师或专业医疗人员
• 如遇紧急医疗状况，请立即拨打当地急救电话（台湾 119，美国 911）
• 我们不对 AI 分析的准确性或您依据分析做出的决定承担责任

13. 儿童隐私保护

本服务不向未满 18 周岁的儿童提供服务。

年龄限制

• 最低年龄要求：18 周岁
• 理由：

1. GLP-1 药物通常需医师处方，且多数药物仅核准成人使用 2. 健康数据的敏感性需要用户具备完全行为能力 3. 遵守儿童在线隐私保护法（COPPA，美国）与 GDPR 儿童保护条款

不知情收集儿童数据的处理

• 如我们发现无意中收集了未满 18 周岁用户的数据，将立即删除
• 如您是家长/监护人，发现您的孩子在未经许可的情况下使用本服务，请联系 hey@mojoapp.ai，我们会立即删除相关数据

年龄验证

• 用户在注册时需确认年满 18 周岁
• 我们可能要求提供年龄证明文件（如发现可疑注册）

14. 国际数据传输

本服务之 App 由位于台湾的个人开发者开发与发行。

数据传输位置

• 本地数据：存储在您的设备，不涉及国际传输
• Supabase（账号数据）：服务器可能位于美国或欧盟
• 分析数据（自建）：服务器位于美国（AWS us-east-1）

数据保护措施

• 所有国际传输均使用 TLS/SSL 加密

欧盟用户特别说明

如您位于欧盟/欧洲经济区（EEA），您仍享有 GDPR 规定的所有权利（详见第 11 章）。

美国加州用户特别说明

根据 CCPA，您有权知道我们是否出售您的个人信息。我们明确声明：我们不出售个人信息。

15. Cookies 与追踪技术

本服务的追踪技术使用情况：

我们使用的主要技术

1. 必要技术（无法关闭）

• App 本地存储（Local Storage）：存储您的健康记录与偏好设置
• Session 管理：维持您的登录状态

2. 分析技术

• 分析 SDK：收集使用统计
• 收集数据包括：功能使用频率、停留时间、导航路径、设备信息

移动设备标识符

• iOS：仅在您于系统的跟踪授权对话中同意时，收集 IDFA（广告标识符）用于分析统计；您可随时在 iOS「设置 > 隐私与安全 > 跟踪」中取消
• Android：我们不收集 AAID（广告 ID）

16. 隐私政策变更

我们可能不时更新本隐私政策，以反映服务变更、法律要求或业界最佳实践。更新时，本页面顶端的「最后更新」日期会一并更新。

您的选择

• 如您不同意新的隐私政策，您可选择停止使用本服务并删除您的账号与数据
• 继续使用本服务即表示您接受新的隐私政策

历史版本

我们会保留隐私政策的历史版本供参考。如需查阅旧版本，请联系 hey@mojoapp.ai。

17. 数据控制者信息

根据数据保护法规，以下是数据控制者的详细信息：

数据控制者身份

本服务之 App 由个人开发者开发与发行。 开发者：mojo 开发者（个人开发者） 所在地：台湾 联系 Email：hey@mojoapp.ai

个人开发者说明

• 本服务目前处于早期阶段，由个人开发者独立开发与发行
• 我们遵守所有适用的数据保护法规（GDPR、CCPA、台湾个资法等）

18. 联系我们

如您对本隐私政策有任何疑问、意见或要求，请通过以下方式联系我们：

一般查询

Email：hey@mojoapp.ai 我们会在 3 个工作日内回复一般查询。

数据权利请求

如您要行使数据权利（访问、删除、更正、导出等），请发送 Email 至 hey@mojoapp.ai，主题注明「数据权利请求」。 我们会在 30 天内回应您的请求。为了保护您的隐私，我们可能需要验证您的身份（如要求提供注册 Email 或订单编号）。

数据泄露通报

如您发现任何安全漏洞或数据泄露迹象，请立即联系 hey@mojoapp.ai，主题注明「安全性问题」。我们会优先处理此类报告。

申诉与争议

如您对我们的回应不满意，您有权向以下主管机关申诉：

• 台湾用户：
• 国家发展委员会（个人资料保护专区）
• 网站：https://www.ndc.gov.tw/
• 电话：(02)2316-5300

• 欧盟用户：
• 您所在国家的数据保护机关
• 清单：https://edpb.europa.eu/about-edpb/board/members_en

• 美国加州用户：
• 加州总检察长办公室
• 网站：https://oag.ca.gov/privacy/ccpa
• 电话：1-800-952-5225

语言

我们主要以简体中文与英文提供客户服务。如您需要其他语言协助，请在来信中注明，我们会尽力安排。