隐私政策

生效日期：2026 年 6 月 8 日 · 最近更新：2026-07-03

Kensora 的设计以你的隐私为核心。本政策用简明易懂的语言解释：哪些内容留在你的设备上、哪些内容只有在你选择时才会离开设备，以及我们绝不会做的事情。本政策适用于 Kensora iOS 应用和本网站（kensora.io），二者均由 Kensora, Inc.（“Kensora”“我们”）运营。如有疑问，请联系：privacy@kensora.io。

简要说明

• 你的日记、健康读数、照片、联系人、日历、位置历史记录，以及任何已关联的财务数据，默认都留在你的设备上。
• 我们不会出售你的数据、投放广告，或利用你的个人数据对你进行定向推送。
• 我们在设备之外持有的唯一个人数据，是你主动发送的内容：你的“通过 Apple 登录”标识符、你（如提供的话）的电子邮箱，以及仅在你开启可选的云端聊天时，你发送的消息，加上它在你设备上选取的少量上下文片段（绝不会是你的整本日记、完整健康记录或整个日历）。
• 云端聊天功能默认关闭，你可以随时关闭它。
• “查找你认识的人”功能可选，且默认关闭；如果你开启它，Kensora 只会上传你联系人邮箱的单向哈希值以查找匹配项，绝不会上传邮箱本身，并且只会显示那些自己选择“可被查找”的用户。
• Kensora 面向18 岁及以上的成年人。

哪些内容留在你的设备上

按照设计，Kensora 处理的最敏感内容永远不会离开你的手机，除非你明确选择发送它们：你的日记条目、你的 Apple Health 读数、你的照片库（Kensora 会在你的设备上为照片内容打标签）、你的联系人、你的日历，以及你去过地方的地图（仅在设备上构建和存储）。Kensora 会在本地读取这些内容以提供帮助；打开应用并不会上传它们。

我们收集什么，以及为什么

账户身份

你通过 Apple 登录。Apple 会为 Kensora 提供一个稳定的标识符（如果你允许，还会提供姓名和转发邮箱）。我们仅使用它来建立你的个人资料，并通过你自己的私有存储同步你的数据。不存在会被泄露的独立 Kensora 密码。

健康与健身数据（Apple Health）

如果你连接 Apple Health，Kensora 会读取睡眠、活动和心率趋势等信号，使当天的建议更具针对性。这些数据在你的设备上处理。它绝不会被出售，绝不用于广告，也绝不会为了第三方自身的目的而与其共享。参见消费者健康数据隐私政策。

位置与天气上下文

为了在“看见/为什么”区域显示天气和附近地点的上下文，Kensora 会向 Apple 的天气和地理编码服务发送近似的、城市级别的位置信息。发送的只是一个粗略坐标，仅用于该次查询，Kensora 不会存储它或将其与你的账户关联。这与你去过地方的地图不同，后者仅在你的设备上构建和保存，绝不会上传。此上下文功能默认开启，你可以在设置中关闭它。

邮箱与联系方式

如果你加入抢先体验名单或给我们发邮件，我们会保存你提供的邮箱地址，以便与你联系。

查找你认识的人（可选的联系人发现功能）

Kensora 可以帮助你找出哪些联系人已经在使用 Kensora，方便你在应用内邀请他们。此功能默认关闭，其运作方式有两种，均能保护实际的地址信息。为了查找他人，Kensora 会在你的设备上为每个联系人的邮箱生成一个单向哈希值（一种打乱的指纹），并只发送这些哈希值以核对匹配项；你联系人的真实邮箱地址绝不会离开你的设备，你也只能看到那些自己选择“可被查找”的用户。要让自己可被查找，你可以提供一个邮箱，我们会发送一次性验证码以确认它属于你，并且我们只存储与你账户关联的哈希化版本；你可以随时关闭此功能或移除你的邮箱，这将删除该条目。这个目录仅保存这些哈希值和一个“可查找”标记，绝不包含你的消息、健康数据或你写下的任何内容。它仅根据邮箱进行匹配。

支付

如果你购买云端额度，我们的支付处理方（Apple 和 Stripe）会处理该交易。我们会收到购买已完成的确认信息以及用于你余额记录的信息；我们不会收到或存储你的完整卡号。

财务数据（可选，通过 Plaid）

Kensora 可以选择性地连接你的银行或信用卡账户，以支持其预算功能：在应用内查看你的支出、余额、即将到期的账单和经常性订阅。如果你选择关联账户，连接将通过 Plaid Inc. 完成。你直接向 Plaid 输入银行凭证，因此 Kensora 从不会看到或存储你的银行用户名或密码。通过 Plaid，我们会收到只读数据：交易记录、余额，以及诸如到期日之类的信用卡详情。Kensora 无法转移资金、进行付款，或对你的账户做任何更改。

与你的健康数据一样，你的财务数据以加密方式存储在你的设备上。我们的服务器只是把它从 Plaid 转发给你的设备，不会保留该财务数据的副本；为保持连接正常运作，我们的服务器会持有一个加密的 Plaid 访问令牌，在你解除账户关联时该令牌会被撤销。它绝不会被出售，绝不用于广告，绝不用于训练 AI 模型，也绝不会为了任何人自身的目的而被共享。你可以随时在设置中解除账户关联，这将停止所有访问；删除你的数据或账户会一并移除该财务数据。你也可以直接在 my.plaid.com 上管理或撤销 Plaid 的连接。Plaid 自身对你数据的处理方式在 Plaid 终端用户隐私政策中有说明。

网站分析

本网站使用 Plausible Analytics，这是一项尊重隐私、不使用 cookie 的服务。它只收集汇总的、匿名的使用数据（页面浏览量、来源、大致所在国家、设备类型），不存储你的 IP 地址、不使用 cookie，也不会跨网站追踪你。 另外，安全页面会向我们自己的服务器仅询问你连接的国家/地区，以便显示在你所在位置可用的危机热线；该结果只在那一刻在你的浏览器中使用，绝不会被存储，也绝不会与你关联。

诊断信息

Kensora 会将基本的崩溃和性能诊断信息保留在你的设备上，以帮助我们修复问题。只有当你主动选择发送它们时，它们才会离开你的设备，具体方式是在设置中点击“报告问题”，这会将设备上的日志附加到你发送给我们的邮件中。Kensora 不会自动收集崩溃或使用数据。

可选的云端 AI（以及它会发送的内容）

Kensora 可以使用云端 AI（由 Anthropic 提供的 Claude）来支持 Kensora 聊天功能。此功能默认关闭。当你开启并使用它时，以下内容会离开你的设备：

• 你在 Kensora 聊天中撰写的消息文本。
• 由应用生成的简短“当日摘要”（例如睡眠较短、日程繁忙），以便回复更具针对性。
• 应用在你的设备上选取的少量相关上下文片段，例如一条简短的健康信号、一段简短的日记摘录，或一个日历事项，仅在有助于回答你所提问题时才会发送。Kensora 不会上传你整本日记、完整的健康记录，或整个日历。
• 关于你生活中的人物，仅会发送名字或身份角色（“你的兄弟”“一位同事”），绝不会发送电话号码、邮箱，或你的通讯录。
• 照片默认在你的设备上被描述。更丰富的云端照片描述是一项独立的可选功能，除非你主动选择，否则默认关闭。
• 网页搜索（可选，默认关闭）。如果你为设备端模型开启网页搜索功能，你的搜索查询会通过 Kensora 发送给搜索服务提供方（Brave Search）以获取结果。只有查询内容会被发送，你的健康数据、日记或身份信息不会被发送。
• 财务信息（可选，默认关闭）。如果你开启此功能，你已关联账户的相关片段（余额、近期支出、可安全支配金额）只会在有助于回答你所提问题时才会发送，绝不会发送你完整的财务记录。
• 评估分数（可选，默认关闭）。如果你开启此功能，你记录的自我检查分数（例如 PHQ-9 或 GAD-7）可以被发送，以便聊天功能能够参考你自己的数据。这些分数绝不会被当作诊断结果。

你可以在设置中缩小范围或关闭每一类信息。

还有谁参与其中（服务提供方）

我们仅与运行 Kensora 所需的服务提供方共享数据，并且仅出于该目的：

• Apple：通过 Apple 登录、你的私有数据同步，以及应用内购买。
• Anthropic：接收云端聊天文本以生成回复。根据 Anthropic 的商业 API 条款，这些数据不会用于训练他们的模型，并在 30 天内自动删除。如果 Anthropic 提供“零数据保留”选项且 Kensora 符合条件，我们将启用该选项，使数据更快被删除。
• Netlify：托管本网站和聊天代理服务。该代理会转发你的请求，仅为计费限额保留使用次数计数，不保留你的消息内容。
• Stripe：处理在网页上进行的额度购买。
• Plaid：如果你关联银行或信用卡账户，Plaid 会连接你的金融机构，并将只读账户数据传送到你的设备。参见 Plaid 终端用户隐私政策。
• Brave Search，仅当你为设备端模型开启网页搜索功能时：接收一个搜索查询（通过 Kensora 发送，Kensora 不会存储它）以返回结果。Brave 对该查询的处理方式受 Brave 隐私政策约束。
• Neon，仅当你使用联系人发现功能时：一个托管数据库，存储小型的“查找你认识的人”目录（映射到账户的哈希化邮箱和电话号码，以及“可查找”标记），绝不包含你的消息、健康数据，或真实的邮箱地址或电话号码。
• Resend，仅当你选择让自己可通过邮箱被查找时：发送用于确认你拥有该邮箱的一次性验证码。Resend 是一家参与欧盟-美国数据隐私框架的美国服务提供方，并在与我们签订的数据处理协议下运作；它不会收到你的健康数据或消息。
• Twilio，仅当你选择让自己可通过电话被查找时：发送并核验用于确认你拥有该电话号码的一次性验证码。Twilio 是一家在与我们签订的数据处理协议下运作的美国服务提供方；它仅会收到你的电话号码，以便通过短信发送验证码，不会收到你的健康数据或消息。

我们绝不会做的事

• 我们绝不出售你的个人数据。
• 我们绝不利用你的个人数据进行定向广告投放。我们没有广告业务。
• 我们绝不使用你的个人数据训练我们自己的模型，也绝不会将其出售用作训练数据。
• 我们绝不会代表你向任何人发送消息。
• 我们绝不会在 Kensora 应用中嵌入第三方广告、分析或追踪软件。

我们不会通过自动化处理对你做出具有法律效力或类似重大影响的决定；Kensora 呈现的任何模式，都是供你自己反思之用，而非诊断。

安全保障

在任何内容发送到云端之前，Kensora 会先在设备上运行一项确定性的安全检查。如果一条消息包含与危机相关的语言，应用会显示支持资源（包括你当地的危机热线），或者，仅当你设置了信任联系人时，提醒你联系该联系人。这些文本内容完全在你的设备上处理，绝不会被发送到云端。Kensora 不是危机服务机构，也不会检测或阻止紧急情况。参见安全与危机资源。

你的隐私权利

根据你所在的地区，你可能有权访问我们持有的关于你的个人数据、更正或删除它、获取其副本，以及选择退出个人数据的任何“出售”或“共享”。Kensora 不会出售或共享你的个人数据，我们也绝不会因为你行使隐私权利而歧视你。你的大部分数据都在你的设备上，你可以直接在设置中导出或删除它们：

• 在应用内设置中访问和导出你的数据。
• 在应用内设置中删除你的聊天记录，或删除你的账户及其所有数据。
• 随时关闭云端聊天功能；新消息会立即停止发送。
• 断开与 Apple Health 或任何已连接设备的连接。
• 随时在设置中关闭联系人发现功能并移除你的可查找邮箱，这会删除使你可被查找的哈希化条目。

对于任何存储在设备之外的数据，请发邮件至 privacy@kensora.io，我们会在 45 天内回复（在法律允许的情况下，可延长一次并事先通知），健康数据相关请求同样在 45 天内答复。

请勿出售或共享 / 全球隐私控制。我们不出售或共享你的个人信息，因此没有什么可供你选择退出的。如果你的浏览器在我们的网站上发送全球隐私控制（GPC）信号，我们会予以尊重；由于我们本就不出售或共享数据，无论如何都不存在个人信息被出售或共享的情况。

限制敏感数据的使用。我们仅将你的敏感健康和福祉数据用于提供你已开启的功能，绝不用于广告、画像分析或出售。你可以随时通过关闭某项功能、断开某个数据源，或在设置中删除数据，进一步限制或停止这种使用。

加州居民，个人信息类别。

在过去 12 个月内，我们收集了：标识符（你的“通过 Apple 登录”标识符；你提供的邮箱，如有）；商业信息（购买记录）；互联网或使用信息（汇总的、无 cookie 的网站分析数据）；财务信息（仅当你通过 Plaid 关联账户时，以加密方式存储在你的设备上）；以及敏感个人信息（你输入或关联的健康和福祉数据，在你的设备上处理）。来源：直接来自你、你的设备，以及你所关联的服务（Apple、Plaid）。我们仅向上述服务提供方披露个人信息，且仅为运营应用之目的。我们不出售或共享个人信息，除了提供你所请求的服务之外，我们不会使用或披露敏感个人信息。

跨境数据传输。

Kensora 由美国运营。当你使用会将数据传出设备的功能时（例如可选的云端聊天、联系人发现，或网页购买），所涉及的个人数据会由我们及上述服务提供方在美国进行处理和存储。如果你身处美国以外，开启这些可选功能即表示你同意将你的信息传输至美国并在美国处理，而美国的数据保护法律可能与你所在地不同。我们会采取合理措施加以保护，包括与我们的服务提供方签订数据处理协议，以及在法律要求的情况下，采取下方地区章节所述的保障措施。我们对数据的处理方式始终负有责任。

欧盟、欧洲经济区、英国与瑞士（GDPR / 英国 GDPR）。

如果你身处欧洲经济区、英国或瑞士，本节内容与本政策其余部分一并适用于你，欧盟《通用数据保护条例》（GDPR）、英国 GDPR，或瑞士《联邦数据保护法》（FADP）将规范我们处理你个人数据的方式。

• 数据控制者。Kensora, Inc. 是本政策所述个人数据的控制者。联系方式：privacy@kensora.io。
• 欧盟/英国代表。GDPR 第 27 条 / 英国 GDPR 要求我们为欧盟/欧洲经济区及英国的数据主体指定一名代表。我们指定的代表及其在欧盟和英国的联系地址将在此列出；在此之前，你可以直接通过 privacy@kensora.io 联系我们。
• 处理依据。我们依据以下法律基础处理数据：针对每项会将数据传出你设备的可选功能（云端聊天、更丰富的云端照片描述、网页搜索、财务信息、评估分数，以及联系人发现），以及处理你的健康和福祉数据（属于特殊类别数据，第 9(2)(a) 条）时，依据你的同意；为提供核心应用功能和处理你的购买，依据履行合同；以及为保持服务安全和正常运行，依据我们的合法利益，并权衡你的权利。凡我们依据同意处理数据的情形，你都可以随时在设置中撤回同意，且不会影响此前已进行的处理。
• 你的权利。你有权访问、更正、删除（“被遗忘权”）、限制处理，以及可携带你的个人数据，有权反对基于我们合法利益的处理，并可随时撤回同意。你可以在设置中亲自行使其中大部分权利；对于任何存储在设备之外的数据，请发邮件至 privacy@kensora.io。我们会在一个月内免费答复（对于复杂请求，可事先通知后延长两个月）。
• 自动化决策。我们不会仅通过自动化方式对你做出产生法律效力或类似重大影响的决定；Kensora 呈现的任何模式，都是供你自己反思之用，而非诊断。
• 跨境传输。你的数据在美国处理。在需要进行此类传输时，我们依据欧盟委员会的标准合同条款（针对英国数据附加英国国际数据传输附录）、适用情形下的充分性认定（例如根据欧盟-美国数据隐私框架获得认证的服务提供方），以及针对你自行开启的可选功能，依据你对该传输的明确同意（第 49(1)(a) 条）。
• 投诉。请先联系我们，以便我们及时纠正问题。你也有权向你的监管机构投诉：在欧洲经济区，向你所在国家的数据保护机构投诉（可通过欧洲数据保护委员会查找）；在英国，向信息专员办公室（ICO）投诉；在瑞士，向联邦数据保护与信息专员（FDPIC）投诉。
• 违规通知。如果某次数据泄露可能对你的权利和自由造成风险，我们会在必要时于72 小时内通知相关监管机构，并在风险较高时不迟延地通知你。

加拿大、澳大利亚与新西兰。

如果你身处这些国家之一，本政策与你当地的隐私法律（加拿大的 PIPEDA、澳大利亚隐私原则，以及新西兰 2020 年隐私法）一并适用于你：

• 访问与更正。在设置中访问、导出、更正或删除你的数据，对于任何存储在设备之外的数据，请发邮件至 privacy@kensora.io。
• 投诉。如果你对我们处理数据的方式不满意，请先联系我们，以便我们尝试纠正问题。你也可以向你的隐私监管机构投诉：在加拿大，向加拿大隐私专员办公室投诉；在澳大利亚，向澳大利亚信息专员办公室投诉；在新西兰，向隐私专员办公室投诉。
• 违规通知。如果某次数据泄露可能造成严重损害的真实风险，我们会在其法律规定的时限内通知你和相关监管机构（加拿大的 OPC、澳大利亚“可通知数据泄露”计划下的 OAIC，或新西兰的 OPC）。

数据保留

设备上的数据会一直保留，直到你删除它或移除应用。发送给 Anthropic 的云端聊天内容，会根据 Anthropic 的商业 API 条款在 30 天内自动删除；如果 Anthropic 提供“零数据保留”选项且 Kensora 符合条件，我们将启用该选项，使这些内容更快被删除。来自已关联账户的财务数据仅存在于你的设备上，并在你解除账户关联、删除数据，或移除应用时被移除。购买记录会按照会计和法律义务所需的时间保留。

服务器函数日志（仅包含元数据，绝不包含消息内容）大约保留 24 小时。使用量和额度余额计数器会在你的账户处于活跃状态期间保留，并在你删除账户时删除，但我们依据税务和会计法律必须保留的少量购买记录除外（通常最长 7 年）。

儿童

Kensora 面向18 岁及以上的成年人，并非面向儿童。我们不会在明知的情况下收集任何 18 岁以下人士的个人数据。如果你认为某位未成年人向我们提供了数据，请联系 privacy@kensora.io，我们将予以删除。

安全

我们在设计 Kensora 时，力求将你最私密的信息保留在你的设备上，并将离开设备的数据量降到最低，同时维持与我们所处理数据相适应的管理、技术和物理保障措施。没有任何传输或存储方式能做到绝对安全，但安全是我们的首要目标，而非事后考虑。

如需报告安全问题，请发邮件至 privacy@kensora.io。

如果发生数据泄露。

如果我们发现某次泄露影响到你的可识别健康数据，我们会不迟延地在法律要求的时限内通知你和相关监管机构（包括根据《健康泄露通知规则》通知美国联邦贸易委员会），并告知你发生了什么、涉及哪些数据，以及应采取哪些措施。

本政策的变更

如果我们做出重大变更，我们会更新本页面及“最近更新”日期，并在适当情况下在应用内注明重大变更。

联系方式

有隐私方面的问题？请发邮件至 privacy@kensora.io 或 hello@kensora.io。

你也可以通过邮寄方式联系我们：Kensora, Inc., 701 South St., Ste 100, Mountain Home, AR 72653。

阅读使用条款 → 消费者健康数据政策 → 安全与危机资源 →