melu 隐私政策
最后更新：2026-10-16
melu 是一个记录饮食、活动和身体感受的 App。你写下的东西是很私人的，所以这份文件尽量说清楚：什么留在你手机上、什么会离开、离开之后去了哪里。
读起来应该不超过五分钟。如果哪里写得不清楚，那是我们的问题，请告诉我们。
一、我们不做的事
先说这些，因为它们比我们做了什么更能说明问题：
- 没有账号。 不需要注册，不需要手机号或邮箱。我们无法把 App 里的数据和某个人对上。
- 不投广告，也不为广告收集任何东西。
- 不卖数据，不和第三方共享用于营销或数据挖掘。
- 不接入第三方统计或追踪 SDK。 没有埋点分析，没有广告标识符。唯一的统计是每天有多少台手机还在用 melu（见第三节），只留总数。
- 不做医疗诊断。 melu 不是医生，也不提供医疗建议。
二、留在你手机上的
以下内容保存在你设备本地的数据库里，不会自动上传：
- 你的昵称、生日、身高、体重、生理性别、活动量、健康目标、过敏与身体限制
- 你的每一条记录，包括文字、拍摄的照片文件、时间
- 狐狸的每一条回应，包括它偶尔问你的一句话，以及你的回答
- 狐狸观察到的线索、你确认过的规律，以及你主动补充或聊天中明确告知的目标、偏好、身体情况和来源日期
- 体重记录、偏好设置
- 狐狸记忆和最近 7 天饮食参考的设置
删除 App 即删除这些数据。你也可以在 我的 → 隐私 → 删除全部数据 里主动清除。
三、会离开设备的
为了让狐狸能回应你，你的记录需要交给 AI 模型处理。这一步无法在手机上完成。
接收方：melu 的开发者 Nate Gu & Co LLC。
流向：你的手机 → 我们的服务器（melu.tendhearth.com）→ 我们在自己服务器（llm.youdamaster.cc）上部署的 AI 模型。用途只有三个：生成狐狸的回应、估算这一餐或这次活动的营养与能量、生成周/月回顾。
先问你，再发送：第一次使用时，App 会先说明会发送什么、发给谁，请你选择「同意」或「不同意」。在你同意之前，什么都不会发送。 不同意也能正常记录，记录只保存在手机上，狐狸不做 AI 估算和回应。之后随时可以在 我的 → 隐私 → 让狐狸用 AI 回应 中开启或关闭，关闭后下一条记录起立即停止发送。
每次记录会发送：
- 你写下或说出的内容（包括回答狐狸的问题时，附上它问的那句话）
- 你拍的食物照片
- 这条记录的时间（几点几分）和估算结果，以及你当天记了些什么
- 你的活动量，以及你填写过的过敏或身体限制
- 如果开启记忆：允许参考的目标、偏好、用户报告的身体情况与告知日期，以及一起确认过的规律；还有狐狸最近问过的几句话（以免重复问）
- 如果你接入了健康数据：睡眠、步数、活动消耗、静息心率和体重的摘要（开了「隐藏体重」就不发送体重）
- 如果你开启了「参考最近 7 天饮食」：最近 7 天已记录饮食的营养估算、食物来源、记录天数与估算覆盖情况摘要（不发送整段历史或历史照片）
看周回顾、月回顾时会发送：这段时间里记下的食物和活动、每天的记录数量、你的活动量和每日能量参考范围（在手机上根据你的资料算出，只发范围本身）、开启记忆时允许参考的记忆，以及开启健康数据时对应日子的睡眠和静息心率摘要。开启「参考最近 7 天饮食」时，还会发送最近 7 天饮食摘要；这份摘要只代表已记录的部分，不代表完整摄入，也不是诊断。
在 我的 → 狐狸记得的事 可以补充、修改或忘记一件事，也可以将其留作历史，或关闭这件事的「用于狐狸回应」。身体情况保存的是你报告的原话及告知日期，不代表已核实诊断或当前检查值；近期状态只在告知后的 7 天内参考。忘记会移除记忆内容，保留不含正文的主题标识，以避免狐狸重新记住同一件事；原始聊天记录仍可在「记录」中删除。保存时提供撤销操作。
在这个页面的 记忆与近期饮食设置 中，关闭记忆后不再从聊天形成新记忆，后续回应和回顾也不再发送已有记忆；手动补充仍可留在本地。记忆默认开启，明确的第一人称告知会轻量记住并提示，可立即撤销；疑问、猜测、第三人的情况不自动保存成身体事实，狐狸推测的规律仍需确认。
最近 7 天饮食参考默认关闭，可以单独开启或关闭。旧版饮食关注目标迁入记忆时会保留此前的使用许可，未开启使用的目标不会因此自动发送。
不会发送：你的昵称、生日、身高、生理性别，以及你手机上的任何其他内容。
还会附带一个设备编号：一串随机字符，由你的手机第一次使用时自己生成，存在本地。它的唯一用途是让我们的服务器能区分「一台手机」和「一个脚本」——照片识别要花钱，没有这道防线，任何人都可以拿我们的地址去跑他自己的账单，代价最终会落到你能不能继续免费用上。
这个编号不是账号：它不含你的任何信息，不和你的昵称、生日、记录内容关联，我们也无法用它找到你是谁。服务器用它记录本月照片使用次数；拒绝请求时，技术日志也可能包含这个标识、请求类型与拒绝原因。删除 App 即消失，重装会得到一个新的。
还会附带你用 melu 的第几天：从你第一条记录那天算起（第一天是 0）。服务器用它和设备编号统计当天有多少台手机在用 melu、分别是用了几天的，比如「今天有 5 台是用到第 7 天的」，好知道 melu 对人有没有用。日志里只写这些总数；当天的设备编号最长保存到当天结束，然后删除，所以无法把某台手机今天和明天的使用连起来。这个天数不说明你记了什么、记了多少。
我们的服务器不保存你的记录内容，只保留运行日志（含调用时间、调用类型与用量统计，不含记录正文，也不含 AI 的回应内容）。为了限制同一地址每分钟和每天的请求次数，服务器会在内存里使用你的 IP 地址，最长到当天结束，不写入日志，也不保存。
关于处理你内容的 AI 模型：文字回应和照片识别都由我们自行部署的模型完成，运行在我们自己的服务器上，不经过第三方模型服务商。你写下的内容和拍下的照片不会被交给任何外部公司，也不会被用于训练任何模型。
四、健康数据（Apple 健康 / Health Connect）
这项功能默认关闭，只有你在 我的 → 健康数据 主动开启并授予系统权限后才会启用。
- 只读。 melu 从不向健康 App 写入任何数据。
- 读取范围仅限：睡眠、步数、活动消耗、静息心率和体重。
- 用途仅限：让狐狸的回应和回顾能参考你的身体状态，例如把某天吃的东西和当晚的睡眠放在一起观察。
- 这些数据会以摘要形式（如「睡眠 6 小时」）随记录一起发送给 AI 模型服务，用于生成回应。
- 绝不用于广告，绝不出售，绝不用于任何形式的数据挖掘。
随时可以在 App 内关闭，或在系统健康 App 的权限设置中撤销。
五、照片与条形码
- 拍摄或选择的照片，melu 会在你的设备上、在 App 自己的存储里留一份副本，好在记录里给你看；相册里的原图不受影响。删除这条记录，这份副本也一起删除；删除全部数据时全部删除。
- 照片在发送前会压缩到较小尺寸再交给 AI 模型识别食物。
- 我们的服务器不保存照片。
- 只有你主动拍照或选图时才会发生，不会读取你的相册。
- 扫条形码时，相机只用来识别包装上的条形码；只有这串数字会发到我们的服务器，由服务器向 [Open Food Facts](https://world.openfoodfacts.org)（开放的食品数据库）查询营养标签。Open Food Facts 看到的是我们的服务器，不是你，也收不到你的记录或设备信息。你在「隐私」里选了只记在手机上时，不会查询。
六、语音与提醒
- 麦克风只在你点击「说话」时启用。
- 语音转文字由你手机操作系统的语音识别服务完成（iOS 上是 Apple 语音识别，Android 上是系统语音服务）。根据系统设置和语言，音频可能被发送到 Apple 或Google 的服务器进行识别——这一步由操作系统处理，遵循其各自的隐私政策。
- melu 只拿到识别后的文字，不保存音频。
- 「吃饭时的提醒」默认关闭，只有你在 我的 → 吃饭时的提醒 开启并允许系统通知后才会启用。提醒由你的手机在本地安排，时间和内容不会发到任何服务器。开着提醒时，如果狐狸看完你刚记下的内容时 melu 不在前台，会用一条通知告诉你留言到了；这条通知也是手机在本地发出的。
七、出错时
如果 App 崩溃，我们会收到一份错误报告，用来修复问题。报告包括：
- 错误信息与技术堆栈
- 操作系统、App 版本和报告时间
报告不主动附加日记正文、照片或健康摘要。报告发送到我们自己的服务器，不经过第三方崩溃分析服务。
八、你的权利
- 带走：我的 → 隐私 → 导出我的数据，生成一个包含全部内容的 JSON 文件。也可以选 导出表格给营养师或医生，生成一张只含记录和估算的表格（不含狐狸的回应）。这两个文件都在手机上生成，交给谁由你在系统分享面板里决定。
- 删除：我的 → 隐私 → 删除全部数据，不可恢复。
- 关闭记忆：我的 → 狐狸记得的事 → 记忆与近期饮食设置，关闭后不再从聊天形成新记忆，也不再发送已有记忆。
- 关闭健康数据：随时可关。
因为没有账号，我们无法代你查询或删除数据——这些操作只能在你的设备上完成。
九、儿童
melu 不面向 13 岁以下儿童设计，也不会有意收集儿童信息。
十、变更
这份政策如有变更，我们会更新顶部日期。涉及数据流向的实质性变更，会在 App 内告知。
十一、联系我们
melu 由 Nate Gu & Co LLC 开发和运营，本政策中的「我们」即指该公司。
隐私相关的问题、请求或投诉，请发送至 developer@nateguco.com。我们会尽快回复。
如果你对这份政策里的任何一条不放心，也欢迎直接来问——比起让你猜，我们更希望你知道自己的数据到底去了哪里。