隐私政策

1. 我们收集哪些信息

OldCare 每天为长辈提供一通陪伴电话，并在家庭页面提供一份简短的每日简报。我们只收集提供这项服务所必需的信息：

• 家庭账户：您的邮箱地址、姓名，以及您与长辈的关系。
• 长辈资料：长辈的姓名、电话号码、所在时区和偏好的来电时段。
• 通话内容：在长辈明确书面同意后，通话可能会被录音和转写，以便助手自然交流并记住对长辈重要的事情。没有这项同意，系统不会发起通话。
• 每日约定：长辈选择跟进的简单结构化事实，例如是否按时服药。
• 紧急联系人：由长辈批准、用于身份验证并可作为未来通知功能候选人的两位联系人，包括姓名、关系和电话号码；当前版本不会自动联系他们。
• 同意记录：每次同意均形成防篡改记录，其中包含长辈看到的准确原文、该原文的密码学指纹，以及签署或撤回的时间。

2. 由长辈决定什么

OldCare 的设计确保决定权属于长辈本人，而不是为服务付费的家庭成员。服务由四项相互独立的同意约束：接听每日电话、录制通话、在首次通话中口头确认录音，以及与家庭成员分享信息。

信息分享并非只能全部允许或全部拒绝。长辈可以分别决定家庭成员是否能看到通话完成情况、整体身心状态和每日约定。在早期测试期间，为了安全，激活服务需要允许分享“家庭成员应该知道的事情”；如果长辈不同意这一类别，可以拒绝激活或暂停服务，系统不会替其决定。

在任何一次通话中，长辈都可以说“不要保存这段内容”。系统会在数据库写入层拒绝保存这部分谈话，只留下可以证明拒绝发生过的指纹，绝不会保留相关内容。

任何同意都可以随时直接在通话中撤回。撤回立即生效：已排期的通话会被取消，家庭成员从下一次读取起就不再看到简报。

3. 家庭成员可以看到什么

家庭成员会看到一份简短的每日简报：长辈当天听起来状态如何、约定事项是否完成，以及偶尔一项值得知道的情况。产品只提供这些内容。

家庭成员绝不会看到录音、转写或助手对长辈的记忆。这些内容保存在家庭端应用无法查询的私有内部系统中；这一边界由数据库架构强制执行，而不只是从界面上隐藏。

如果长辈选择把某天的谈话保密，简报只会说明通话已完成且一切安好。如果长辈暂停所有分享，家庭成员只能看到分享已暂停，除此之外看不到任何内容。

4. 保留与删除

数据库结构会拒绝把原始通话录音的保留期限设置为超过 30 天。该约束只证明数据库不会接受更长的期限，不证明到期对象已经在文件存储、电话服务商或灾备副本中完成删除。

转写目前保存在家庭端无法读取的私有数据库中，并受数据删除请求约束；其常规保留期限仍待律师审阅。当前实现不提供转写在 30 天后自动删除的功能，因此我们不作出这一承诺。

数据库已实现部分删除清单、状态门禁和不含原始内容的审计结构；同意事件当前作为审计证据保留，具体法律保留期限仍待律师审阅。

端到端删除目前尚未完成：真实日志删除适配器、独立墓碑服务、Supabase Storage 与 Twilio 删除，以及 PITR 恢复后的重放演练都没有通过。因此我们不声称数据已经不可恢复地清除或完成独立验证，也不承诺处理时限。

5. 我们与谁分享数据

我们绝不会出售个人数据，也绝不会将其用于广告。服务依赖少量基础设施服务商：

• Twilio：发起和承载电话；处理电话号码与实时通话音频。
• OpenAI：提供语音对话能力；处理通话期间的实时音频和转写。
• Supabase：托管数据库和文件存储；处理静态存储的服务数据。
• Vercel：托管本网站；处理网站流量。

6. 当前请求边界

OldCare 当前没有对外开放、受监控的隐私请求渠道，也不接受真实家庭使用；因此我们不会虚构已经可以受理访问、更正或删除请求，也不承诺 45 天或其他响应时限。

在面向真实家庭开放前，我们必须先完成真实请求渠道、身份验证、端到端删除和灾备演练，并由律师确认适用权利、保留期限和响应流程。届时的正式政策会说明如何提出请求。

7. 儿童

OldCare 面向长辈及其家庭，并非面向儿童。我们不会在明知的情况下收集 13 岁以下儿童的个人信息。

8. 本政策的变更

如果本政策发生重大变更，我们会在变更生效前通过产品向您明确通知。如果变更会影响长辈已经同意的事项，我们会再次征求长辈本人的同意，绝不会擅自推定其同意。

9. 联系我们

当前没有对外开放、受监控的隐私联系渠道。请勿向任何占位邮箱发送个人信息；真实渠道和经审阅的处理流程上线后会在本页明确公布。