隐私政策
豆芽便签（下称「豆芽」）由 晏恩华 开发和运营。我们的原则很简单：你的便签默认只在你自己的 Mac 上；只有你用到需要联网的功能时，才发出完成那件事所必需的东西。
一、只在你 Mac 上的
便签、附件（图片、录音、手绘）、搜索索引、历史版本、AI 审计日志、设置，都存在你的 Mac 上：便签在你选的文件夹（默认「文稿 / 豆芽便签」），其余在「~/Library/Application Support/Douya」。我们收不到这些。豆芽没有统计、埋点、广告或崩溃自动上报。
语音转文字、图片识字都用 macOS 自带的功能在本机完成。
二、你用到才会联网的功能
| 功能 | 发出什么、发给谁 |
|---|---|
| 检查更新 | 向本站的更新源（appcast.xml）请求最新版本信息。请求里有 App 版本号和你的 IP 地址，不含便签内容。 |
| AI（填自己的 Key） | 你点 AI 功能时，把相关便签的文字直接从你的 Mac 发给你选的服务商（如 Anthropic、OpenAI、DeepSeek）。不经过我们，适用那家服务商的隐私政策。 |
| 豆芽 AI | 你点 AI 功能时，相关便签的文字经我们的转发服务发给 Anthropic 的 Claude，回答原路传回。转发服务不保存、不记录内容，只记用量（时间、模型、token 数、折算的费用），用来扣额度。Anthropic 按其商业服务条款处理这些请求。 |
| 附近协作 | 在同一 Wi-Fi 或蓝牙范围内的设备之间直连、加密传输，不经过任何服务器。 |
| 豆芽云（账号、云端协作、多台 Mac 同步） | 见第三节。 |
设为「不交给 AI」的便签，任何 AI 功能都不会发送它；所有附件文件本身也不会发给 AI。每次 AI 请求都在本机审计日志里记一行（时间、用途、服务商、是直连还是经豆芽转发、便签 id、字数，不记内容）。
三、豆芽云
登录豆芽云后，我们保存：
- 账号：邮箱（用「通过 Apple 登录」时可能是 Apple 提供的转发邮箱）、账号 id、登录记录。
- 公钥和设备名：端到端加密要用你的公钥；你的 Mac 名称会作为显示名，协作者能看到。
- 协作：谁是哪张协作便签的成员、权限、申请记录；协作码只存哈希。
- 同步和协作的内容：都是在你的设备上端到端加密后才上传的密文，我们没有钥匙，看不到便签和附件的内容；服务器上连便签 id、附件路径都是打乱过的。我们能看到的只有它们的大小和时间。
- 订阅状态：哪一档、状态、到期时间、Paddle 的客户 id 和订阅 id。
- 豆芽 AI 的用量：见第二节。
换新 Mac 时，账号私钥可以通过 iCloud 钥匙串同步，或由你的旧 Mac 加密后经服务器交给新 Mac（服务器只经手密文，配对请求 15 分钟作废），或者由你自己输入恢复码。
四、付款
付款由 Paddle（Paddle.com Market Limited）作为经销商代收，你的银行卡等付款信息由 Paddle 处理，我们收不到。我们只从 Paddle 收到订阅状态。Paddle 如何处理你的数据，见 Paddle 的隐私政策。
五、我们用的服务商
| 服务商 | 做什么 | 位置 |
|---|---|---|
| Supabase | 豆芽云的账号、数据库、加密文件存储 | 美国 |
| Vercel | 本网站、更新源、结账和豆芽 AI 的转发服务 | 美国 |
| Paddle | 收款、开票、代缴税费 | 英国 / 美国 |
| Anthropic | 豆芽 AI 的模型（仅在你使用豆芽 AI 时） | 美国 |
我们不出售你的个人信息，也不把它用于广告。
六、保存多久
- 账号和订阅记录：账号存在期间一直保存；删除账号后 30 天内删除，法律要求保留的交易记录除外。
- 同步和协作的密文：订阅到期后保留 30 天（期间你还能下载回本机），之后自动删除。你开的云端协作会随之关闭，成员本机的副本不受影响。
- 豆芽 AI 的用量记录：保留 12 个月，之后删除。
- 你 Mac 上的数据：由你自己决定，卸载豆芽不会删除你的便签文件夹。
七、你的权利
你可以随时查阅、导出（App 里「全部导出」）、更正或删除你的数据，撤回同意，或注销豆芽云账号。注销或其他请求请发邮件到 service@douyanote.cc，我们会在 15 天内处理。所在地法律（如欧盟 GDPR、中国《个人信息保护法》、美国加州 CCPA）赋予你的其他权利，你同样可以行使。
八、未成年人
豆芽云不面向 14 岁以下的儿童。如果你发现孩子在未经监护人同意的情况下注册了账号，请联系我们删除。
九、变更
本政策有实质变化时，我们会在 App 或本网站上提前告知。
十、联系我们
晏恩华 · service@douyanote.cc