隐私政策

• 账号——你的邮箱地址和身份验证标识符，由 Supabase Auth 管理（如果你使用 Google 登录，也包括在内）。
• 你的内容——你使用 HipiMind 时创建的对话、旅行行程和偏好设置，以便你在不同会话中都能使用它们。
• 语音——你说的话会被处理，用于提供实时回复和语音导览。我们把由此生成的文字记录作为对话的一部分保存，而不保存原始音频流。唯一的例外是你对某条回复反馈的问题：那次交流中你所说内容的录音会附在反馈中，以便我们听到哪里出了问题。
• 照片、文件、摄像头和位置——你附加的照片和文件会随对话一起保存。实时摄像头的画面，以及你允许时的位置信息，用于回答你提出的问题，不会被保存。
• 无障碍设置——仅在你设置了的情况下：你能看清多少、从什么时候开始，你出行时是否使用手杖、导盲犬或轮椅，以及你希望回答怎样朗读和描述。这些是关于你健康状况的信息。它们保存在你的设备上，并随每次语音会话发送，让回复和摄像头描述适合你。只有当你在无障碍设置中打开「把这些设置保存在我的账号里」时，它们才会保存到你的账号中；关闭该选项会将它们从你的账号中删除。

Apple Watch App 中有一个页面会读取 Apple Health——心率——并且只在你让它测量时读取。iPhone App 也会从 Apple Health 读取一项数据，且只在它自己的开关打开时读取，详见下文你周围的噪音。

它请求什么。你第一次在该页面轻点开始时，手表会向 Apple Health 请求读取你心率的权限，以及保存体能训练的权限。这两个都是 Apple 自己的权限提示，你可以拒绝其中任何一个。它还会请求你的位置，因为该页面上的指南针需要据此显示你面朝的方向：我们从不读取、保存或发送你的位置。

为什么是体能训练。Apple 只允许手表上的 App 在体能训练期间频繁读取心率，所以开始测量时会同时开始一次体能训练。这是通用类型的体能训练，背后没有训练计划，结束时也没有评分。

读数去了哪里。它留在你的手表上。读数显示在该页面上，并在你测量期间保存在内存中；它不会发送到你的 iPhone，不会发送到我们的服务器，也不会发送给任何 AI 模型：手表 App 本身没有联网代码，而 iPhone App 会忽略手表发给它的传感器读数。心率从不会进入你的对话、旅程或账号。离开该页面的唯一内容，是你停止测量时手表保存到“健康”中的那次体能训练（下文说明）——一份我们无法读取的记录。方向和稳定度数据同样留在手表上。

保存什么、保存多久。我们不保存任何内容。唯一被记录下来的是体能训练本身：你停止测量时，手表会把它保存到 Apple Health 中，连同 Apple 在此期间采集的心率样本，以及 Apple 为手表上的体能训练记录的其他数据，例如距离（这次训练请求的是户外类型）。这是 Apple 在你自己设备上的记录，会一直保留，直到你在“健康”App 中将其删除。我们无法读回这次体能训练——iPhone App 对 Apple Health 的唯一访问，是下文你周围的噪音中所述的噪音水平。

如何关闭。在手表页面轻点停止，测量会立即结束。要撤回权限本身，请在 iPhone 上前往设置 → 健康 → 数据访问与设备 → HipiMind（英文界面：Settings → Health → Data Access & Devices → HipiMind），或在“健康”App 中点按你的个人资料，前往隐私 → App → HipiMind（英文界面：Privacy → Apps → HipiMind）。删除手表 App 也会移除它的访问权限。没有该权限，该页面不会显示任何读数。

打开吵的时候回答短一点后，在嘈杂的地方，下一个回答会稍微短一些。这个开关默认关闭，直到你打开它；你自己选择的回答长度始终优先。

读取什么。在 iPhone 上，读取的是你的 Apple Watch 在最近几分钟内保存到 Apple Health 中的环境噪音水平。你第一次打开这个开关时，Apple 自己的权限提示会请求读取它，你可以拒绝。耳机音频水平不会被读取：它反映的是你自己的音频播放有多响，而不是你周围有多吵。这个数值在手机上读取，也在手机上被丢弃。离开手机的只有三个词之一——“安静”“一般”或“吵”——并且只在对话打开时发送。没有录音，没有分贝数值，也不会向 Apple Health 写回任何内容。

这个词去了哪里。发送到我们的服务器，服务器只用它来决定下一个回答的长度。它只在该次对话期间保存在内存中，对话结束即消失；不会被存储，也不会记入日志。撰写回答的 AI 模型从不会看到它：模型只会被告知回答应该多长。

没有这类读数时。浏览器无法读取 Apple Health 或 Health Connect，未获你允许的 iPhone 也不能。此时，噪音水平会根据你按住说话键或开启免提时已经打开的麦克风来估算。这种估算从不会自行打开麦克风，也从不会单独请求任何权限，同样只有那个词会离开设备。Android 的 Health Connect 中没有噪音读数，所以 Android App（也就是这个网站）同样使用这种估算。

如何关闭。关闭开关，这个词会立即停止发送。要撤回 Apple Health 权限本身，请在 iPhone 上前往设置 → 健康 → 数据访问与设备 → HipiMind（英文界面：Settings → Health → Data Access & Devices → HipiMind）。

HipiMind Plus 由 Stripe 计费。银行卡信息由 Stripe 处理——这些信息从不会到达我们的服务器。我们保存的是订阅本身的记录：Stripe 的客户标识符和订阅标识符、你使用的方案、订阅是否有效，以及当前周期何时结束。App 正是读取这些信息来判断是否为你开通 Plus。

你开始结账时，我们的数据分析会记录“结账已开始”；付款成功后，再记录“付款已完成”。两条记录都带有所选方案和本次结账会话的标识符，我们的付款记录会把这个标识符与你的账户关联起来；记录这些是为了统计有多少次结账最终完成。

我们自己的数据分析工具是一个自行托管的 Umami 实例。它不使用 Cookie——不会在你的浏览器中存储任何标识符。它会把同一个日历月内来自同一网络、同一浏览器的访问归为一组，每个月重新开始；它从不知道你是谁。它记录的是哪些页面和功能被使用，以及根据你的 IP 地址推断出的大致地区。我们不加载 Google Analytics，也不加载广告网络的标签。本站加载的第三方脚本有两个：Travelpayouts 联盟脚本（下文说明），它会记录本站的使用情况，你可以将其关闭；以及反馈小组件（再下文说明），在你使用它之前它不发送任何内容。

它是什么、为什么使用。HipiMind 通过 Travelpayouts（由香港的 Go Travel Un Limited 运营）赚取佣金，Travelpayouts 是一个面向航班、酒店和活动服务商的联盟营销网络。它的脚本向 Travelpayouts 证明我们拥有本站，统计指向旅行服务商的链接的点击，可以把这类链接转换为联盟链接，并且视其设置，可以打开合作伙伴的推广内容。通过这类链接完成的预订，你支付的费用不变；我们可能会获得佣金。

它在哪里运行。只在产品页面上运行——规划器、定价、关于我们和各功能页面。它不会在旅行指南、这些法律页面、联系页面、分享的旅程链接或调试链接上运行，也不会在 Android App 内运行。

它收集什么。页面地址、页面文字的副本、页面上的链接和你的点击，以及你的浏览器和设备的技术信息，包括你的 IP 地址。这些数据会发送到 Travelpayouts 的服务器（emrld.ltd）。我们在合作伙伴账号中看到的是汇总的点击和预订统计，而不是个人记录。

它在你的浏览器中存储什么、存储多久。Cookie am_user_session（会话标识符，在你最后一次活动后约 30 分钟过期），以及 bb-session 和 bb-session-2（作用于整个 hipimind.com，保存约 30 天，用于限制推广内容的显示频率）；还有以 mn: 开头、后接页面地址的本地存储条目。Travelpayouts 按照其自身的隐私政策保存它收到的数据。

如何关闭。使用下方的开关：此后该脚本不再在这个浏览器中加载，关闭时还会删除它在本站留下的 Cookie 和存储数据。你的选择保存在我们自己的 Cookie hipimind_affiliate_optout 中，有效期一年，因此清除 Cookie 会让它恢复默认。如果你的浏览器发送全球隐私控制（Global Privacy Control）信号，该脚本完全不会加载。在浏览器中屏蔽 emrld.ltd 也有同样的效果。

它是什么、为什么使用。页面角落的“反馈”小按钮会打开一个简短的表单，用来告诉我们哪里出了问题、或你希望增加什么。它运行在我们自己的反馈服务 Agentic CS（agenticcs.net）上，不是外部公司。

它在哪里运行。在本网站的产品页面，以及营销和指南页面上。它不会在分享的旅程链接、调试链接或账号删除页面上运行——那些页面完全不加载第三方脚本。

它收集什么。在你按下发送之前，什么都不收集。按下后发送的是你填写的文字、你选择附带的截图（最多三张），以及——如果你已登录——你的账号标识符、邮箱和姓名，方便我们回复。未登录时，它发送的是一个在你的浏览器里随机生成的标识符。

它在你的浏览器中存储什么、存储多久。未登录时会写入一条本地存储条目 agentic-feedback-anonymous-id，内容就是这个随机标识符，保存到你清除此站点的存储数据为止。不使用 Cookie。

如何关闭。这个脚本自己不发送任何内容，不按那个按钮即可；在浏览器中屏蔽 agenticcs.net 也会把按钮一并移除。

我们使用第三方服务来运行 HipiMind。每个服务只接收你所使用的功能需要的数据。

• 账号、数据库和文件存储——Supabase。托管——Vercel（本网站）和 Render（我们的 API）。
• 回答和摄像头描述——你输入或说出的内容、你分享的照片和摄像头画面、你询问的地点以及你的无障碍设置，会直接或经由我们自己的模型网关及其使用的 Neon AI Gateway，发送给负责回答的 AI 模型：OpenAI、Anthropic、Google、xAI 或 Amazon Web Services，取决于所用的模型。
• 语音——你的语音会以流式传输发送给 Deepgram，转换成文字。回复和语音导览由 Deepgram、ElevenLabs、MiniMax 或 Cartesia 朗读，它们接收的是回复文字，从不接收你的音频。
• 地点、地图、路线和天气——地名、搜索词和坐标会发送给 Google Maps Platform、Geoapify、OpenStreetMap 路线服务和 OpenWeather。地图本身由你的浏览器从 OpenFreeMap 加载，因此 OpenFreeMap 会看到你的 IP 地址和你查看的区域。地点的图片和资料来自 Wikimedia Commons 和 Wikidata。
• 网页搜索——从你的问题中提取的搜索词会发送给 Exa、TinyFish、AnySearch 和 AgentKey。
• 旅行价格——目的地和日期会发送给 Travelpayouts（航班）和 LiteAPI（酒店）。
• 产品反馈与联系留言——你通过“反馈”按钮提交的内容，以及你通过联系表单发送的姓名、邮箱地址和留言，会发送到我们自己的反馈与客服服务 Agentic CS（agenticcs.net），方便我们跟进和回复。“反馈”按钮已在上文说明。
• 付款和数据分析——Stripe 和我们自行托管的 Umami，均已在上文说明。Travelpayouts 的联盟脚本也已在上文说明。

我们使用你的数据来提供和改进本服务：验证你的身份、记住你的旅程和偏好，以及生成行程和语音导览。我们不出售你的个人数据。上文的联盟脚本会把其中所列的数据发送给 Travelpayouts，以便把预订记在我们名下，你可以将其关闭。

你可以随时自行删除账号。在网页或 Android App 中，登录后打开账号菜单并选择删除账号，或直接前往 hipimind.com/account/delete。在 iPhone App 中，打开我的并选择注销账号。删除会立即生效，且无法撤销。如果你已经无法登录，请用注册时使用的邮箱发送邮件至 contact@hipimind.com，我们会替你删除。

会删除哪些内容。你的账号及其身份验证标识符；你创建的对话、行程和偏好设置；语音会话保留的文字记录；你附加的照片和文件，以及附在问题反馈中的录音；你创建的每个分享链接；以及保存在你账号中的无障碍设置（如有）。如果你订阅了 Plus，订阅会同时在 Stripe 取消，因此你不会再被扣费，我们对该订阅的记录也会一并删除；Stripe 会保留它自己的账单记录，我们无法代你删除。如果只想删除某一个对话或某一个行程，请发邮件给我们，我们会只删除它，不动其余内容。

发邮件到同一地址，即可查看或更正我们保存的数据。退出登录可随时结束你在这台设备上的会话。

根据《2010 年个人数据保护法》（Personal Data Protection Act 2010），你还可以要求我们限制处理你数据的方式，并撤回你此前给予的同意——写信到上述地址，我们会照此处理。撤回对本服务所依赖事项的同意，可能意味着我们无法再提供相应功能。如果你对我们处理某项请求的方式不满意，可以向马来西亚个人数据保护局（Jabatan Perlindungan Data Peribadi）投诉。

本政策以英文和马来文发布（马来文版：Notis Privasi）。两个版本如有任何冲突或不一致，以英文版本为准。

本页是英文版的中文译本，仅为方便阅读而提供；中文译本与英文版如有出入，以英文版为准。