CoffeeBuddy 隐私政策

版本号：1.1

发布日期：2026/10/04

生效日期：2026/10/04

一、关于本政策

CoffeeBuddy（咖啡搭子）由深圳市西啡科技有限公司提供，以下简称“我们”。我们的注册地址为深圳市光明区光明街道东周社区双明大道南侧云智科技园3栋D座16层。

本政策说明，当您使用 CoffeeBuddy 应用、相关云端服务及明确引用本政策的功能时，我们如何处理您的个人信息，以及您如何管理信息并行使相关权利。

根据适用法律，我们是本政策所述处理活动的个人信息处理者或数据控制者。对于第三方独立决定处理目的和方式的活动，该第三方可能是独立的个人信息处理者或数据控制者。

本政策不替代第三方独立服务的隐私政策。我们会在适当位置区分本服务与第三方独立服务的数据处理。

阅读本政策、接受《用户协议》、授予系统权限及同意特定信息处理活动是不同事项。本政策不构成对所有处理活动的概括授权；需要取得同意、单独同意或其他授权时，我们将依法另行取得。

二、我们处理哪些信息，以及为什么处理

我们根据您实际使用的功能处理相关信息。信息可能由您主动提供、由应用或设备运行产生，或由您授权的第三方提供。

2.1 账号与第三方登录

目前 CoffeeBuddy 提供 Apple、Google 和微信第三方登录。我们处理内部账号标识、登录方式、账号状态，以及所选登录方式实际提供的信息，用于验证身份、创建或关联账号、保持登录状态和维护账号安全。

不同登录方式的信息范围如下；部分字段仅在您授权且服务商实际提供时取得：

我们不通过这些登录流程要求您向 CoffeeBuddy 提交 Apple、Google 或微信账号密码。登录验证凭证与持久保存的账号资料不是同一类信息，不应理解为表中全部凭证都会长期保存。

我们还处理您在应用中设置的显示名称、语言、时区等账号设置，用于展示账号及按您的选择提供服务。第三方服务商可能不在每次登录时重复提供全部资料，我们可能继续使用此前合法取得的账号资料。

您不提供登录所必需的信息时，将无法使用需要账号的功能。第三方登录服务商的独立处理活动适用其隐私政策。

2.2 设备绑定、配网与连接

当您添加、绑定、配网或连接设备时，我们处理设备标识或序列号、品牌、型号、设备名称、硬件版本、固件版本、设备能力信息、账号与设备的绑定关系、成员角色、绑定时间、配网进度、连接状态及在线状态。

这些信息用于识别设备、验证操作权限、建立连接、展示设备状态，以及处理解绑、设备转移和连接故障。设备标识可能本身即承担序列识别用途，并不表示系统对每台设备分别保存两套独立编号。

配网时，您从设备扫描到的网络中选择 Wi-Fi 名称，或手动输入网络名称，并输入相应密码。Wi-Fi 名称和密码通过本地配网连接传输至咖啡设备，不经过我们的云端，也不保存在我们的云端。咖啡设备使用这些信息连接网络。

手机可能为完成配网和恢复配网界面而临时保留网络名称及操作状态。咖啡设备会在本地保存网络配置，需将设备恢复出厂设置才能清除。请勿将“不保存在云端”理解为设备本地也不保存。

设备信息与账号关联后，可能构成个人信息。已绑定的使用者可查看该设备状态；设备所有者可查看当前成员的显示名称、头像、角色和绑定时间，其他成员可查看所有者的显示名称和头像。制作记录按当前账号筛选：可查看本人在该设备上的制作记录及未归属到个人的设备本地制作记录，不能通过该入口查看其他成员明确归属的制作记录。成员资料接口不提供他人的对话或个人偏好。

2.3 设备状态、控制指令与制作记录

当您查看或控制设备时，我们处理设备在线及运行状态、遥测信息、故障和维护信息、饮品制作或其他控制指令、配方参数、操作时间、执行状态和制作记录。

这些信息用于展示设备情况、执行您确认的操作、确认结果、避免重复操作、排查异常及向您展示制作历史。设备状态和历史记录可能与账号、设备成员或具体操作关联。

请勿在设备名称等可能被其他授权使用者看到的字段中填写不必要的个人信息。

2.4 偏好、配方、咖啡豆资料与记忆

我们处理您设置的语言、饮品偏好、配方参数、咖啡豆资料、个性化设置，以及您实际使用的收藏等功能所需的信息，用于保存选择、展示资料和提供个性化咖啡建议。

CoffeeBuddy 的记忆包括您明确要求记住的内容，以及根据您明确表达的信息，由咖啡搭子判断对后续服务有用而保存的偏好或事实，例如口味、忌口、常用饮品及近期反馈。系统不应将您未表达过的猜测作为已确认事实写入记忆。

记忆可能在后续对话中作为上下文，用于理解需求和生成建议。这属于向您提供个性化服务，不等于将内容用于模型训练。

您可以直接在对话中通过文字或语音要求删除某项记忆，或要求清空全部长期记忆。收到清空请求后，系统会逐条删除全部已保存的长期记忆。用户画像、交流风格、独立保存的口味偏好和配方调校属于不同资料，不会仅因删除长期记忆条目而自动清除。

清空长期记忆不等同于删除历史对话、制作记录或全部账号数据。当前不提供关闭后续记忆生成的开关；您后续表达的新信息仍可能按上述规则形成记忆。如需删除其他资料或账号，可通过第十条和第十一条所述方式提出请求。

2.5 AI 对话

当您使用 AI 对话时，我们处理您提交的文本、为理解当前请求所需的对话上下文，以及有关语言、设备状态、饮品、配方、咖啡豆和记忆信息。

根据运营方确认，AI 对话使用 DeepSeek 官方模型服务，用于理解请求、生成回复、提供建议，以及辅助形成需要您确认的设备操作。当前生产环境沿用服务端默认配置：每次模型请求包含当前输入、当前会话最近最多 20 条历史消息，以及按当时可用情况生成的用户画像、交流风格、长期记忆、咖啡豆资料、设备标识与状态、相关制作记录等上下文。“20 条”按消息计数，不是“20 轮”对话；较早的会话消息仍保存在我们的数据库，不因本次模型请求未包含而立即删除。工具调用可能继续向模型提供执行所需的参数和结果。服务端使用内部用户标识进行鉴权和工具调用；标准模型消息中未见单独传输该标识的字段。

请勿提交与咖啡服务无关的身份证件、支付信息、密码或他人私人信息。AI 生成的文本及从中形成的记忆、偏好等结果，也可能属于个人信息。

2.6 语音输入

语音输入使用云端识别。您按下录音按钮时开始录音，松开时停止；该功能不持续监听，也不使用后台语音唤醒。

录音通过我们的服务发送至 OpenRouter，由 Groq 提供下游语音识别能力，调用 openai/whisper-large-v3-turbo 模型进行语音转文字。识别后的文本用于处理您的请求，并可能作为对话内容保存或发送至 DeepSeek 模型服务；启用转写纠错时也可能使用 DeepSeek 模型。

我们不使用录音提取用于身份识别的声纹，也不通过声纹识别您的身份。

我们不持久保存原始录音：客户端录音文件用于提交后删除，云端在请求处理中临时使用音频数据。OpenRouter 和 Groq 的临时处理及保留安排见第六条和第八条。模型名称中的 openai/ 不等于录音直接发送至 OpenAI 官方 API。

根据运营方提供的信息，OpenRouter 当前固定使用 Groq 作为下游语音识别服务商。Groq 与 Grok 是不同名称。相关服务商公开主体及处理说明见第六条；实际请求的处理地点和账户保留设置仍需核实。

当前核查的客户端未提供语音合成或朗读功能；若后续提供，我们会补充其处理方式和服务商信息。

2.7 图片与扫码

当前 Android 和 iOS 客户端通过输入设备上的配对码绑定咖啡机，不使用相机扫描设备二维码。相机扫描用于读取咖啡豆包装条码：客户端在本地识别摄像画面中的条码，将识别出的条码值发送至云端查询咖啡豆目录；扫描画面本身不作为该查询的图片上传。手动输入条码也会发送条码值进行查询。

在提供拍照识豆功能的 Android 客户端，当您主动拍摄或选择咖啡豆及包装图片并提交识别时，图片会上传到我们的云端；云端对图片进行处理后，将处理后的图片发送至 DeepSeek 官方图片识别服务。我们不在自有云端持久保存上传的原始图片；完成识别所需的传输和临时内存处理仍会发生。当前 iOS 客户端尚未提供拍照识豆；运营方计划上线与 Android 相同的处理流程，届时也不会在自有云端持久保存照片，并将同步更新权限说明。

原图不留存不代表识别结果不留存。识别出的咖啡豆或包装内容可能被用于生成咖啡豆资料；部分识别结果、处理状态及诊断信息会记录在云端日志中，适用相应的保存期限。

图片可能包含人物、地址、标签及其他个人信息，请在提交前裁剪或遮挡无关内容。Android 客户端读取原图的 EXIF 方向信息以校正画面，再重新编码为 JPEG 后上传；重新编码不会附带原文件的 EXIF、地理位置等元数据。云端收到图片后也会校正方向并重新编码，再将处理后的图片发送给 DeepSeek。原始图片在您选择或拍摄后可能暂存在手机本地；向我们云端传输和临时处理时仍会涉及图片内容。上述处理不能移除已直接显示在画面中的地址、人像或标签。DeepSeek 自身对输入图片的保留安排需要按实际服务条款和合同另行确认。

2.8 运行、安全与诊断

云端数据库保存对话消息的完整历史，发送给模型的最近 20 条历史消息限制不影响数据库中较早消息的保存。云端还在对话记录中保存客户端 IP 地址及最近访问 IP 和时间，并在限流、安全检查和故障处理中使用 IP 地址。服务端日志会按具体功能记录请求关联标识、账号和设备标识、请求路径、错误代码、处理时长等技术信息。当前代码未证实所有客户端均向云端单独上传应用版本、操作系统版本和设备型号，也未发现统一收集客户端崩溃日志的实现；这些字段的实际收集范围以具体功能和线上部署核查为准。

Android 条码扫描使用 Google ML Kit。其 SDK 会收集设备与应用信息、每次安装的标识、功能配置和事件、输入与输出大小、延迟及错误码，用于诊断和使用情况分析。这些 SDK 数据通过 HTTPS 传输。我们目前未接入第三方推送或崩溃分析服务。这不代表我们的云端不记录运行或诊断日志，也不代表登录及设备连接不使用第三方组件。

服务日志可能包含设备操作信息、部分图片识别结果和模型工具调用参数。当前服务端还会记录 AI 对话的系统提示与动态上下文，其中可能含用户画像、长期记忆、设备情况和近期制作信息；因此完整诊断日志可能包含对话相关个人信息。根据运营方说明，诊断日志保存 30 天，完整诊断信息仅向一名经授权的核心开发人员开放，运维人员只能查看脱敏后的数据。语音识别成功日志记录音频时长、大小和转写文本长度等字段，未见在该成功日志中直接写入完整转写正文。

2.9 客服、售后与权利请求

当您提交工单、联系售后、投诉或行使个人信息权利时，我们处理您提供的联系方式、问题说明、相关记录及必要的身份验证信息，用于核实和解决问题。

根据运营方说明，我们对对话、录音、图片及其他原始内容的主动人工查看限于处理工单和售后需要，由具备相应权限的人员查看与问题有关的局部内容。售后人员通过专门系统和账号权限，在审核、监督并留有访问记录的条件下查看脱敏数据。运行日志可能包含第二条所述的记忆、上下文及识别结果；仅一名核心开发人员可查看完整诊断信息，运维人员只能查看脱敏后的数据。我们不会因此为售后额外保存原本不留存的图片或录音；供应商自身的人工访问政策仍需另行核实。

我们只要求与请求风险相适应的验证信息，不会在可采用更少信息验证时，默认要求完整身份证件。

三、处理的法律依据

我们根据适用法律和具体处理活动确定法律依据，不对所有处理统一依赖“您同意本政策”。

适用的依据可能包括履行您作为一方当事人的合同所必需、您的有效同意、履行法定义务，以及在有关法律认可时为实现经过利益衡量的具体合法利益。

“合法利益”不会被用来替代中国法律对处理依据的具体要求。不是所有个性化、记忆或分析活动都当然属于履行合同所必需。

如拟用于不同于原目的的新目的，我们将在处理前依法告知，并在需要时重新取得同意。

四、权限与本地存储

我们在相关功能使用场景申请必要权限，不将所有权限作为使用服务的统一前提。

当前 iOS 客户端声明并按相关功能使用蓝牙、相机和麦克风权限；现有拍照识豆功能仅在 Android 客户端核实。iOS 通过相机读取咖啡豆包装条码，不通过相机扫描设备绑定码。iOS 拍照识豆功能上线时将按 Android 的处理方式提交照片，届时需核对并补充实际使用的照片选择或拍摄权限。

您可通过操作系统设置管理权限。撤销权限通常停止后续相关访问，但不自动删除此前已合法处理的数据。

应用会按功能需要在本地保存登录状态、语言和语音设置、法律文件同意状态、对话界面状态，以及录音、拍照和识豆处理所需的临时文件。Android 登录凭证使用加密的应用偏好存储；iOS 会话凭证使用系统 Keychain。配网过程中可能临时保留网络名称和界面状态。手机操作系统提供的备份或换机迁移功能，可能备份应用的部分本地设置和文件；这与我们每 24 小时进行的云端数据库备份不同。Android 应用目前允许系统备份，未设置专门的备份排除规则；iOS 和 Android 的实际本地备份范围还取决于系统、设备及用户设置。

Android 应用使用第 2.8 节及第 6.1 节说明的 ML Kit 诊断和使用情况分析。我们不使用广告追踪。当前公开法律文档页面的代码未设置 Cookie，也未引入分析脚本。若以后增加其他非必要技术，我们会在使用前更新告知，并在法律要求时取得相应同意。

五、AI 数据使用、敏感信息与自动化处理

5.1 模型训练与人工访问

我们不会使用您的对话、录音、图片或 AI 输出进行模型训练、微调或评测。利用当前请求及必要上下文生成回复，不属于上述模型训练或微调。

我们对原始内容的主动人工查看按第二条所述工单和售后场景处理；完整诊断日志仅向一名核心开发人员开放，运维人员仅可查看脱敏数据。供应商是否进行内容留存、人工审核、模型训练或其他自身用途，需要根据其实际服务、账户设置及合同分别确认。

5.2 敏感信息

对话、图片或记忆可能包含健康、忌口或其他依法属于敏感类别的信息。请勿提供服务不需要的敏感信息或他人私人信息。

如果功能确需处理敏感个人信息，我们将依法说明必要性和影响、采取相应保护措施，并取得所需的单独同意、明确同意或其他适当授权。自动形成的记忆也应受到这些限制。

5.3 个性化与自动化决定

CoffeeBuddy 可结合您表达的偏好、已保存记忆、设备情况及有关历史信息生成咖啡建议。建议可能影响展示内容及推荐参数，饮品制作仍需经过相应确认。

根据当前功能和运营方说明，我们不使用完全基于自动化处理的方式作出对您产生法律效果或类似重大影响的决定。AI 生成的咖啡建议和设备操作方案供您参考；需要制作饮品时，仍需经过相应确认。您可以不采用建议，并通过第十五条所列渠道就相关处理提出疑问或异议。

六、第三方与信息提供

6.1 实际服务商

Google ML Kit 数据披露

服务商公开资料列出的主体及说明如下，实际签约主体和本项目请求适用的条款仍需核对：

• DeepSeek 开放平台公开的运营主体为 Hangzhou DeepSeek Artificial Intelligence Co., Ltd.；参见开放平台条款及隐私政策。其隐私政策明确表示，下游应用终端用户的信息处理规则不由该政策代替。
• OpenRouter 的公开主体为 OpenRouter, Inc.；参见其隐私政策。该政策说明模型请求会转交实际推理服务商，实际数据处理还取决于所选服务商及账户设置。
• Groq 的公开主体为 Groq LLC；参见其隐私政策和GroqCloud 客户数据说明。Groq 说明推理请求的客户内容默认不留存，但在故障排查或滥用调查等情况下可能临时保留最多 30 天（法律另有要求的除外）；若有保留，其公开说明列出的客户数据存储地点为美国。本项目通过 OpenRouter 调用时，仍需核实适用的服务条款和设置。

该清单列出当前已核查到的客户端 SDK 和服务器调用的第三方服务。模型标识不是服务商法定名称；供应商同样可能通过其分包商处理信息。

对于受托处理者，我们通过适当安排约定目的、信息范围、安全、保留和删除要求。第三方独立处理活动将明确区分，并依法履行告知及必要授权要求。

6.2 其他提供情形

如果您主动请求向其他接收方提供信息，我们会在具体场景说明接收方、范围及用途，并取得必要授权。

在有适当法律依据时，我们可能为履行法定义务、回应有效法律程序、处理安全事件或维护合法权利提供必要信息。我们会审查合法性、必要性和范围，并遵守跨境披露限制。

发生合并、重组或业务转移并涉及信息转移时，我们将依法告知相关事项，要求接收方承担适用保护义务，并在需要时重新取得同意。

我们目前不出售个人信息，不将其用于广告目的的共享，也不为广告投放公开披露个人信息。第 6.1 条所列登录、云基础设施和 AI 服务商仍会按相应功能接收必要信息；这些提供情形及第三方自身处理方式按本政策和适用法律另行区分。

七、存储地点与跨境处理

我们的主要云服务器、数据库和存储使用腾讯云，数据部署地点为美国硅谷。

根据运营方提供的信息，备份和灾难恢复地点均位于美国硅谷，能够远程访问有关数据的运维人员位于中国深圳。售后人员会通过受权限、审核、监督和访问记录约束的专门系统远程查看与工单相关的脱敏数据；其访问所在地为中国深圳。AI、语音和登录服务商还可能在其他国家或地区处理信息，其地点及范围需按第六条补充。

因此，“主要数据位于美国硅谷”不代表全部处理仅发生于该地。您所在地区之外的传输、服务商处理或远程访问，可能构成受适用法律约束的跨境处理。

我们将依法采取适用的跨境机制及必要保护措施。

依法需要告知境外接收方、取得单独同意或履行其他程序的，将在相关处理前完成。您可通过本政策联系方式了解保护措施，并在法律允许的范围内获取有关文件副本或说明。

八、保存期限

正常使用期间，我们保存持续提供账号、设备管理、对话及个性化服务所需的信息。我们不持久保存原始录音。账号注销完成后，当前云端注销流程会删除该账号及其关联的个人业务数据；日志、备份和第三方服务商的数据处理边界见下文及第十一条。

确定期限时，我们考虑服务目的、信息敏感程度、法律要求和必要的争议处理需要。期限届满、目的实现或依法应当删除时，将删除或进行符合法律要求的匿名化；仅替换用户标识不等于匿名化。

确有法定保留义务或其他适用例外时，我们将限制用途和访问。账号注销或清空记忆会先从运行中的业务数据库删除相应信息，删除前形成的备份按上述 7 天周期轮换清除；备份只用于灾难恢复。

九、安全保护

我们根据数据性质和风险采取适当技术及管理措施，限制未授权访问、泄露、篡改和丢失。人员仅可按职责和授权范围访问所需信息。

当前移动应用与云端的公网通信使用 HTTPS；需要登录的 App 接口通过带有效期的 JWT 和服务端会话状态验证身份，设备资料与操作还检查账号的有效绑定和相应角色。Android 使用加密的应用偏好存放登录凭证，iOS 使用系统 Keychain。服务端对部分请求实施频率限制，对设备成员变更等操作记录审计信息。完整诊断日志仅向一名授权核心开发人员开放；运维及售后人员通过受权限、审核、监督和访问记录约束的系统查看脱敏数据。

任何系统都不能保证绝对安全。发生安全事件时，我们将依法采取补救措施，并在适用情况下通知主管机关和受影响个人，说明影响和应对建议。

十、您的权利与选择

根据适用法律和具体情况，您可能享有知情、查阅和获取副本、更正、删除、撤回同意、限制或反对处理、数据可携带、拒绝直接营销，以及退出适用的出售、共享或定向广告等权利。

对适用的自动化决定，您可以依法请求说明、人工干预或提出异议。您也可以向有权监管机关投诉或寻求法定救济。

申请渠道：

• 账号注销入口：“我的”→“隐私与法律”→“删除账号”。
• 隐私联系邮箱：support@citaly.com。
• 联系电话：+86075529850626。

我们进行与风险相适应的身份验证，并依法支持适用的授权代理请求。我们将在适用法定期限内回应；需要依法延期的，说明原因和时间。

正常权利请求原则上不收费。依法允许对明显无依据或过度请求收费或拒绝时，我们会说明理由和救济方式。因法律义务、他人权利或适用例外不能完全满足请求时，也会说明限制。

您不会仅因行使权利受到不当差别待遇；但拒绝必要信息可能导致依赖该信息的功能无法提供。撤回同意不影响撤回前基于有效同意进行处理的合法性。

十一、账号注销与删除

您可以在 Android 或 iOS 应用中依次进入“我的”→“隐私与法律”→“删除账号”，阅读提示并确认删除。我们通过当前登录状态验证您的账号。若您是共享咖啡机的所有者，需要先转让所有权；若该账号有正在执行的冲泡，需要等待冲泡结束后重试。

退出登录、卸载应用、解绑设备和清空记忆不等于注销账号，也不自动删除所有云端历史。注销成功后，我们删除该账号、登录身份和会话、对话与记忆、个人调校、归属于该账号的制作记录及设备绑定关系。共享设备中属于其他成员的资料和设备自身记录不会因您注销而一并删除。诊断日志按 30 天期限保留，删除前形成的数据库备份按 7 天周期清除。为完成 Apple 登录凭证撤销，系统会在注销时尝试向 Apple 发起撤销；如未完成，可能暂存加密凭证并在 24 小时重试期内继续处理，之后在后续任务中清除。

注销不一定清除咖啡设备或手机独立保存的信息。转让设备时，应解除关联，并按照设备说明清除本地配置。

对受托服务商，我们按适用安排处理相关删除指令；对独立处理者保存的信息，您可能需要通过其渠道另外提出请求。

十二、儿童与未成年人

本服务目前没有设置统一的最低使用年龄，也没有专门面向儿童的功能或年龄核验流程。未成年人应在监护人指导下使用本服务。

在依法需要监护人同意的情况下，我们应先取得同意，再处理相应个人信息。中国境内不满十四周岁未成年人的个人信息适用特别保护要求，包括取得父母或其他监护人同意和制定专门的处理规则。

监护人认为儿童在未满足要求的情况下提交信息时，可联系我们。经合理核实后，我们将限制处理或依法删除。

十三、特定地区补充说明

本节仅在有关法律适用于具体处理活动时适用。未列出某一地区，不影响当地依法享有的权利。《用户协议》的法律选择也不排除依法适用的个人信息保护规则。

13.1 中国境内个人

我们依法处理敏感个人信息、向其他独立处理者提供、公开披露和向境外提供信息，并履行适用的告知、同意及其他要求。您可要求解释处理规则，并依法行使查阅、复制、更正、删除等权利。

13.2 欧洲经济区与英国个人

您可根据适用条件行使访问、更正、删除、限制处理、可携带和异议等权利。处理基于同意时可撤回；基于合法利益时可根据自身情况提出异议；对于直接营销可提出反对。

您可向通常居住地、工作地或涉嫌侵权发生地的适格监管机关投诉，英国个人也可向英国信息专员办公室投诉。

欧洲经济区代表：目前未指定。

英国代表：目前未指定。

数据保护官：目前未任命。

13.3 美国适用州隐私法下的个人

在适用情况下，您可行使了解、访问、更正、删除、可携带，以及退出出售、定向广告或特定画像处理的权利。加利福尼亚州居民还可能享有退出“出售或共享”、限制某些敏感信息使用及免受不当差别待遇的权利。

十四、政策更新

我们可能因功能、服务商、处理方式或法律要求变化更新本政策，并标注版本及生效日期。重要变化通过应用内通知或其他适当方式显著告知。

需要新同意、单独同意或其他授权的，将在相关处理开始前取得，不能仅以发布政策或继续使用替代。政策更新不会自动追溯扩大此前信息的用途。

十五、联系我们

运营主体：深圳市西啡科技有限公司。

注册地址：中国深圳市光明区光明街道东周社区双明大道南侧云智科技园3栋D座16层。

隐私联系邮箱：support@citaly.com

联系电话：+86075529850626

我们将依法核实处理问题。联系或向我们投诉，不影响您向监管机关投诉或寻求司法救济。